报表上的数字干干净净，利润增长、成本下降、现金流充裕。签字的人问了一句：应收账款周转天数为什么从 45 天跳到 72 天？没人答得上来。
三天后查出来：一笔大额销售在季末确认了收入，货还没发。利润是真的，但时间是假的。
这就是审计的起点——不是怀疑所有数字都在骗人，而是知道哪些数字之间应该有关系，一旦关系断了，就值得追问。
数字之间的关系比数字本身重要
单看一个数字，什么都看不出来。收入 1000 万，高还是低？毛利率 35%，好还是差？脱离了上下文，数字只是噪音。
审计思维从建立数字之间的勾稽关系开始。收入和应收账款要对得上，采购和库存要对得上，工资和人数要对得上。对不上的地方，不一定是错，但一定值得问。
这和写代码里的断言很像——不是每个 assert 都会触发，但没有 assert 的代码，出了问题你都不知道从哪里开始找。
异常不会自己举手，得设计检测方法
经验丰富的审计师不靠灵感发现问题。他们靠的是一套系统的异常检测方法：趋势分析、比率分析、合理性测试、抽样验证。
趋势分析看的是时间序列上的断裂。一个科目连续五年稳定增长，突然跳了 30%，要么业务发生了真实变化，要么有人动了手脚。
比率分析看的是关联科目之间的比值。毛利率突然提高但销售费用没变，可能是收入被提前确认了，也可能是成本被推迟计入了。
合理性测试更直接——算一下每个销售人员的人均产出，如果某个区域的人均产出是其他区域的三倍，要么那个区域有超级销售，要么数字有问题。
抽样不是偷懒，是科学地分配注意力
全查不现实。一家中型企业一年的凭证可能有几十万张，逐张审核既不经济也不必要。
审计抽样的核心逻辑是：把有限的注意力集中在最可能出问题的地方。大额交易必查，异常波动必查，关联交易必查。剩下的用统计抽样覆盖，确保整体风险在可接受范围内。
这跟软件测试的策略一模一样：核心路径做集成测试，边界条件做单元测试，剩下的靠覆盖率指标兜底。
怀疑是职业态度，不是性格缺陷
审计师的怀疑精神经常被误解为"不信任"。实际上，职业怀疑是一种认知纪律——不是假定对方在说谎，而是不把任何未经验证的信息当作已知事实。
拿到一份报表，第一反应不是"这个数字对不对"，而是"这个数字是怎么来的"。追溯到原始凭证，追溯到业务实质，追溯到合同条款。数字只是表面，背后的业务逻辑才是审计要验证的核心。
数据分析能力是审计的放大器
传统审计靠手工翻凭证、画工作底稿。现在的审计越来越依赖数据分析——SQL 查询、透视表、可视化工具。但工具变了，逻辑没变。
用 SQL 做的事情和手工做的事情本质相同：筛选异常、交叉验证、追踪资金流向。区别只在于速度和覆盖面。会写 SQL 的审计师能在一个下午完成过去一周的工作量。
但工具也带来新的风险。公式写错了，结论就全错了。所以审计分析的每一步都要留痕，每一个筛选条件都要能解释，每一个结论都要能反向追溯到原始数据。