CIA新大纲第三部分讲的是内部审计部门本身怎么管。从部门运营、制定年度计划、保证自身质量，到最后把审计成果用起来、推动问题解决，是站在整个内审职能角度的管理指南。

A. 内部审计运作——"内审部门日常怎么管"

部门运营：平衡确认和咨询业务，管理好预算、人力、技术资源，培养和留住人才，用绩效管理技术来考核。

战略对齐：内审的战略要服务于组织的整体战略，并形成清晰的使命和愿景。

高层沟通：首席审计执行官（CAE）要定期向董事会和高管汇报审计计划、独立性担忧、重大风险，以及内审自身的绩效指标。

B. 内部审计计划——"确定明年审哪些项目"

找项目来源：从董事会要求、法规变化、行业趋势、公司新系统/新业务中，识别出潜在的可审项目。

制定风险计划：对所有潜在项目进行风险评估和排序，形成年度审计计划，并确保这个计划跟公司战略、内审战略一致。计划也要灵活，能根据突发情况调整。

借力外部确认：跟外部审计、合规等其他确认提供方沟通，避免重复工作，必要时可以参考他们的成果。

C. 内部审计职能的质量——"内审自己也要被检查和考核"

质量保证和改进：内审自身也要有质量评估，包括持续的内部监督和定期请外部专家来做独立评估，并向董事会报告结果。

披露不合规：如果没能完全遵守《全球内部审计准则》，必须在正式沟通中说明原因和背景。

使用绩效指标：建立关键绩效指标（KPI）或平衡计分卡，用财务、质量、效率等定量和定性指标，来量化和展示内审的工作成效。

D. 审计项目结果和监督——"审计发现怎么报告、怎么推动整改"

有效沟通结果：审计报告要准确、客观、清晰、及时，包含目标、范围、结论、建议和行动计划这些关键部分。

离场和报告流程：项目结束时要开离场会议，跟被审单位确认事实。向不同层级（管理层、董事会、外部审计）报告时，内容侧重点和详细程度不同。

跟进整改：CAE要评估剩余风险，如果管理层接受了超出公司容忍度的风险，必须上报。同时，要跟踪确认管理层的整改行动是否落地，如果对方不整改，要启动上报程序。