CIA新大纲第二部分讲的是具体怎么做一个审计项目，串起来长这样： A（计划）→ B（执行分析）→ C（督导沟通）。即，动手前想清楚，干活时找证据做分析，过程中有人管、信息同步。

A. 项目计划——"动手前想清楚"

定目标、画边界：搞清楚为什么要审、审到什么范围，考虑法规、公司战略、历史问题等，如果有人不让审全也得记下来。

找标准、定尺度：用什么样的标准来判断好坏（比如公司制度、行业规范），标准要具体、能用。

摸清风险和控制：了解被审部门的业务、IT风险、网络安全、财务概念等，为后面重点查什么打基础。

选方法、排资源：决定用敏捷还是传统审计方式，评估需要多少人、钱、技术，并针对被审部门做一次详细的风险排序，哪块风险高就重点查哪块。

写方案、定程序：最终形成一份工作方案，写明具体查什么、怎么查（比如测试控制设计还是运行有效性）。

B. 信息收集、分析和评价——"找证据、做分析、下判断"

收集信息：通过访谈、观察、数据分析等方式获取资料，比如制度文件、流程图、业务数据等。

评估证据质量：拿到的证据够不够、可不可靠（比如是亲眼所见还是听人说的，差别很大）。

运用分析技术：用比率分析、趋势分析、数据挖掘（如异常检测）等方法，发现实际和标准之间的差异。

判断差异严重性：找到差异后，分析根本原因和影响，判断这个问题重不重要。

记录工作底稿：把分析过程、证据、结论都整理记录下来，作为审计报告的支撑。

汇总形成结论：综合所有发现，对整个被审领域形成一个总体评价。

C. 项目督导和沟通——"过程有人管、信息要同步"

项目督导：项目负责人要复核底稿、协调任务、评价组员表现，确保质量。

利益相关方沟通：在计划、检查、报告各阶段，都要跟相关方（被审部门、管理层等）用正式或非正式的方式沟通，遇到重大问题及时上报。