情景：欧洲集团在越南4家子公司。内审发现：一家6个季度没交投资报告，一家超总经理限额签合同没董事会决议，一家存客户数据没按356/2025号法令做影响评估。官方一家没查出来——因为内审先查出来了。一年内审的费用只是一张罚单的零头。合规管控不是”成本”——是最便宜的”保险”。
内部控制框架
- 控制环境：章程、内规、审批分级清楚；
- 风险评估：法律风险矩阵（税务、用工、环保、投资、数据）按概率×影响排；
- 控制活动：大交易多级批、定期对账、不相容职务分离；
- 信息沟通：共用合规日历、定期向母公司报合规；
- 监督：独立内审评估控制有效性。
内审：审啥、多久一次
- 范围：税务合规（申报、缴税、附表一）、用工（合同、社保、工签）、投资（IRC、报告）、环保、消防、个人信息；
- 频率：一年一次全面审＋按风险专题查（如汇算季前、新法生效后）；
- 独立：内审直接向董事会/母公司报，不向被审的管理层报；
- 整改跟踪：每个发现都要有整改计划、责任人、期限——还要复查。
举报通道和合规文化
- 匿名举报：让员工敢报违规（腐败、舞弊、骚扰）不怕报复；
- 保护举报人：禁报复规矩，报复严处；
- 合规培训：定期给管理层和关键岗讲新义务（如356/2025数据、219/2025外籍劳工）；
- 上梁正：领导带头——合规文化从一把手开始。
看得见的好处
- 检查组来之前先发现——内部整改永远比罚款便宜；
- 被罚时”善意合规”的证据（从轻情节）；
- 建了合理内控，管理人个人责任有道”防火墙”。
常见问题
小子公司（20人）也要内审吗？
要——按规模来：母公司/总会计按checklist定期合规检查，不必设独立内审部。原则：控制配得上风险。
内审和外审啥区别？
内审服务治理（找风险、改进控制），向董事会/母公司报。外审服务外部（鉴证财报），向股东/机关报。
举报通道强制吗？
一般不强制；但这是好的治理惯例，部分行业（证券、银行）有具体要求。
多久查一次合规？
一年一次全面；新法落地（如356/2025号法令2026年1月1日生效）或大变化（并购、扩张）时专题查。
Shuo ming: Ben wen jin gong can kao. Lian xi FLAT Law Firm.