“项目明明问题重重，内部审计只能提出问题，眼睁睁看着风险一步步变成现实……”在信息化项目审计实务中，类似困境屡见不鲜。信息化项目具有投资大、周期长、技术复杂、风险隐蔽的特点，一旦启动便产生巨大的沉没成本和合同违约风险。面对正在实施中的信息化项目，发现重大风险时，内部审计能做什么？这个问题更具复杂性和紧迫性，也更能考验审计的权责边界与专业智慧。
与高风险业务不同，信息化项目的“实施中”状态意味着资源已投入、合同已签署、人员已到位，如果这时候叫停项目不仅涉及决策，更涉及合同履约、资金损失、组织变革等多重连锁反应。因此，对信息化项目的“叫停权”争议，本质上是技术风险与管理连续性的深层博弈。
内部审计没有直接的项目叫停权，这是权责边界的底线
回归制度本源和审计准则，一个明确的实务答案是：内部审计没有直接的、法定的信息化项目叫停权。这一判断基于以下制度逻辑：
（一）职责定位的法定边界
根据《内部审计具体准则》及普遍适用的内部审计章程，内审的核心职责是“监督、评价、建议”，而非“决策、执行、叫停”。
内审的法定角色：
对信息化项目的内部控制有效性进行独立评价
识别项目风险，提出改进建议
跟踪审计发现问题的整改落实情况
向治理层报告重大风险及管控缺陷
内审的非授权行为：
直接下达项目暂停或终止指令
替代项目管理办公室（PMO）进行项目决策
强制要求业务部门变更项目范围或技术方案
以审计意见直接否决项目合同履行
信息化项目的决策权，归属于董事会（重大战略项目）、管理层（年度预算内项目）或项目管理委员会（具体实施决策）。内审的介入不能改变这一权力结构。
（二）合同法律关系的约束
正在实施的信息化项目涉及多重合同法律关系，软件许可合同，实施服务合同，硬件采购合同，云服务合同等，内审并非上述合同主体，无权单方变更或终止合同。若内部审计直接“叫停”项目，可能构成对合同义务的非法干预，甚至引发供应商的违约索赔诉讼。
（三）权责对等的基本原理
若赋予内审直接叫停权，意味着内审需承担相应的决策责任，如经济损失责任，业务中断责任，战略延误责任等，这与内审的独立性原则根本冲突。内审的价值在于客观评价，而非承担后果。一旦内审深度介入决策并承担后果，其独立性将荡然无存，最终沦为“背锅侠”。
当然，明确内审没有直接叫停权，绝不意味着内审对信息化项目风险束手无策。没有“叫停权”，不代表没有“干预权”；不能“直接停止”，不代表不能“有效阻止”。这是内审在信息化项目审计中必须把握的关键。
无直接叫停权，却有多重风险干预手段
（一）风险等级动态判定
参照《国家审计准则》第三十条、第六十九条的重要性判断原则，将信息化项目风险划分为：
一般风险：可通过项目内部管理消化，建议常规跟踪
较大风险：需项目管理委员会审议，建议优化方案
重大风险：需管理层决策，建议暂停整改
极端风险：触及法律红线或可能导致重大损失，建议立即终止
通过量化评估，让管理层清晰认知：“继续推进的损失可能远大于暂停的违约成本”。
（二）全流程书面固化，审计留痕
审计工作底稿：详细记录发现的风险点、访谈记录
风险提示单：向项目经理、负责人发出正式风险提示
专项审计报告：向管理层报告项目整体风险状况
重大问题请示，所有文书需签字确认、归档留存，形成完整的责任界定证据链。
（三）引入外部专家
信息化项目的技术复杂性往往超出普通审计人员的专业能力边界。针对系统架构合理性、代码质量、供应商技术能力等专业技术问题，内部审计团队还应具备IT审计专家，必要时可以委托第三方检测机构进行代码审计、渗透测试、性能测试。外部专家意见既能弥补内审技术能力的不足，也能增强风险判断的客观性和说服力，避免“不懂技术，瞎指挥”的质疑。
比纠结叫停权更重要的，是建立信息化项目风险协同机制
信息化项目的管控效果，从来不是靠“叫停”这一单一动作实现的，而是靠全生命周期的风险协同机制。从根本上解决“提示风险无人听，项目失败结算审计背锅”的问题，需要建立以下机制。
（一）建立内部审计前置介入机制
计从“事后监督－结算审计”转变为“事中监控－过程审计”甚至“事前预警－全过程跟踪审计”。
在立项阶段参与可行性研究评审，评估技术路线合理性、供应商选型合规性；
在需求阶段审查需求变更控制机制，防止需求蔓延；
在实施阶段：定期开展跟踪审计，监控里程碑达成、预算执行、风险应对；
在运维阶段评估系统运行效果、技术债务积累、安全漏洞修复。
通过全过程参与，在风险萌芽阶段即提出预警，避免风险累积到必须“叫停”的极端境地。
（二）建立清晰的责任界定与免责机制
明确信息化项目各主体的责任边界，明确内审仅对“是否充分履行监督职责”负责，不对“项目最终结果”负责，从制度上为内审松绑，让内审敢于直言、敢于监督。
回到最初的问题：内部审计对于有问题的信息化项目应该怎么办？答案清晰而确定：无需追求直接的叫停权，内部审计的核心价值，不是叫停，而是守住风险的底线。对内部审计而言，要把握好信息化项目风险的尺度。一方面，对于触及以下底线的极端风险，必须坚持原则；另一方面，对于项目实施中的一般性技术风险、管理偏差，内部审计不应轻言叫停，而应主动融入，帮助项目团队。
内部审计不必纠结于是否拥有停止信息化项目的权力。优秀的审计，不是靠“一纸叫停令”树立权威，而是靠精准的技术风险识别、专业的风险量化分析、可行的风险处置建议，赢得管理层和业务部门的认可。
真正健康的信息化项目治理，从来不是让内审与项目团队对立，而是让其相互协同、相互支撑。在技术创新中把控风险，在风险可控中推进创新，这才是内部审计在信息化时代最核心、最珍贵的价值体现。
