千辛万苦，信号捞出来了，证据链也闭合了。很多审计师以为活儿干完了——其实还差最后一道工序，而且这道工序翻车的概率不低：把它写成报告。
报告写砸的方式五花八门：发现写得云里雾里，管理层读完不知道发生了什么；或者写得义愤填膺，被审计部门逐条反扑；或者建议写得正确但没法执行，「加强管理」四个字甩过去，一年后原样再犯。这一章讲一个发现怎么从底稿变成「别人能懂、能复核、能行动」的文字。
一个发现的五要素
实务里成熟的写法，是每个发现都包含五个要素。记不住的审计师写出来的报告，十有八九是缺了其中某一块：
- 标准：应该是什么样。制度怎么规定的、行业惯例是什么、合同约定怎样。
- 状况：实际是什么样。具体、可核实的事实——哪年哪月、哪几笔、金额多少、凭证号是什么。
- 原因：为什么会这样。是流程没设计到、执行走了样，还是有人故意。
- 影响：后果有多大。金额敞口多少、风险性质是什么（是已经损失了，还是有损失的可能）。
- 建议：怎么办。改什么、谁改、改到什么程度算完。
五要素的本质，是把审计师脑子里的推理链摊平在纸面上，让读报告的人能自己走一遍。缺「标准」，读者不知道这事为什么算问题（报销没附水单——然后呢？制度要求附吗？）；缺「状况」，变成空对空的批评；缺「影响」，管理层没法排优先级；缺「建议」，报告成了一纸控诉而不是改进的图纸。
检验一个发现写得合不合格，用「陌生人测试」：找一个不了解这个项目、但懂业务的同事，只给他看报告里这一条。他能说出「什么事、为什么算事、多严重、找谁改」四个答案，就算过；他皱着眉头回来问你，问的那个点就是你漏掉的要素。
证据链：让每个字都能被复核
第十章讲了证据的四性，到了报告阶段，它们要落成一条具体的东西：证据链——报告里的每一个事实性断言，后面都能挂上一份编号归档的底稿证据，第三方顺着编号能独立走到同一个结论。
为什么强调「第三方能走到」？因为审计报告天然活在争议里。被审计部门的第一反应几乎永远是反扑：「数据口径不对」「那一笔有特殊情况」「你们不了解业务」。这时候报告的作者如果只能靠「我记得当时……」，阵地就丢了；如果每个数字都能当场翻出底稿、说出取数口径、重演计算过程，争议就回到了事实层面。证据链不是为了显得专业，是审计师在报告发出那一刻就预支的防御工事。
写事实时还有个技术性纪律：把事实、推断、观点三层分开标。「系统显示该供应商 3 月新增，当月即中标」是事实；「准入审核可能流于形式」是推断；「采购管理混乱」是观点。三层混着写，反扑方只要推翻你的观点，就连带否定了你的事实；分层写，事实层永远稳固，推断层留有讨论的余地，观点层——最好直接删了，让事实自己说话。
分级与排序：别把报告写成噪声
回到全书主线：一份不分轻重的报告，本身就是噪声发生器。第九章说过，三十条建议甩过去，要命的第三条会被淹没。所以报告的最后加工是分级排序：
按风险分级。每条发现标上风险等级（常见做法是按「影响 × 可能性」分高、中、低），高等级的放报告最前面、给管理层当面汇报；低等级的进附录，甚至不写进正式报告、改用管理层建议书的形式递过去。把一条「报销水单不规范」和一条「千万级付款可绕开复核」排在一起，是对前者的抬举，对后者的谋杀。
建议要能执行。「加强供应商管理」不是建议，是许愿。合格的建议长这样：「供应商准入增加营业执照与法人身份证的交叉核验，由采购部负责，系统层面 6 月底前上线校验规则」。可执行的建议有三个零件：动作具体、责任到人、有验收标准。审计师没有权力替管理层经营，但有义务把「怎么改」想到能落地的颗粒度——否则整改回复永远是「已组织学习，提高认识」。
整改要有闭环。报告发出不是终点。成熟的内审会做后续跟踪：到期核对整改完成情况，没改的升级上报。没有闭环的审计，发现的问题复发率极高——第九章那条裂缝今年写了明年还在，审计就退化成一年一度的行为艺术。
一句话总结
发现要按五要素写（标准、状况、原因、影响、建议），让陌生人读得懂；每个事实挂证据链，让第三方能复核；事实、推断、观点分层，别让反扑者一锅端；分级排序、建议落地、整改闭环，别把报告本身写成噪声。到这里，从一桌单据到一份报告的全流程走完了。最后一章，说说这套机制够不着的地方——审计的边界。