公司内部审计一般无权直接调查员工配偶及其家属信息，除非在特定法律允许的范围内且符合正当程序。以下从不同角度对此问题进行分析：
一、内部审计的权限范围
内部审计是公司内部管理的一部分，其主要目的是评估和改进公司的风险管理、内部控制和治理过程。根据内部审计的基本原则和职业道德规范，内部审计的权限通常限于公司内部事务，包括但不限于财务记录、业务流程、内部控制等。除非法律另有规定或公司章程、内部规章制度明确授权，内部审计一般无权直接调查员工个人及其家庭成员的私人信息。
二、法律对个人信息保护的规定
《中华人民共和国个人信息保护法》：该法规定了个人信息的处理原则，包括合法、正当、必要和诚信原则，以及目的明确、最小必要、公开透明等原则。公司内部审计在处理员工及其家庭成员信息时，必须遵守这些原则，确保信息的收集、使用和处理符合法律规定。
隐私权保护：员工及其家庭成员享有隐私权，这是宪法和法律所保护的基本权利。除非法律另有规定或经过员工本人同意，公司无权擅自调查、收集或使用其私人信息。
三、特定情况下的例外
尽管内部审计一般无权直接调查员工配偶及其家属信息，但在某些特定情况下，可能存在例外：
法律授权：如果法律明确规定公司或内部审计在特定情况下有权调查员工及其家庭成员信息（如涉及反洗钱、反腐败等法律义务），则公司可以依法进行调查。但这种情况通常非常有限，且必须严格遵守法律规定的程序和条件。
员工同意：如果员工本人同意公司或内部审计调查其配偶及其家属信息，且该同意是自愿、明确和具体的，那么公司可以在员工同意的范围内进行调查。但公司应确保员工的同意是真实有效的，且不得利用员工的弱势地位或欺骗手段获取同意。
公司规章制度：如果公司章程或内部规章制度明确规定了内部审计在特定情况下的调查权限，且该规定不违反法律、行政法规的强制性规定，那么公司可以依据规章制度进行调查。但公司应确保规章制度的制定程序合法、内容合理，并告知员工相关权利和义务。
四、法律后果与风险防范
如果公司内部审计擅自调查员工配偶及其家属信息，可能面临以下法律后果：
侵犯隐私权：员工及其家庭成员可以依法提起民事诉讼，要求公司停止侵害、赔偿损失等。
行政处罚：如果公司的行为违反了个人信息保护法等相关法律法规，监管部门可以依法对公司进行行政处罚。
声誉损害：公司的行为可能损害其声誉和形象，影响员工士气和客户信任。
为防范法律风险，公司应：
明确内部审计权限：在公司章程或内部规章制度中明确规定内部审计的权限范围，避免超越权限进行调查。
遵守法律程序：如果需要进行涉及员工及其家庭成员信息的调查，应确保符合法律规定的程序和条件，如获得法律授权、员工同意等。
加强员工培训：定期对员工进行法律培训，提高其对个人信息保护、隐私权等法律问题的认识和理解。
建立投诉机制：建立员工投诉机制，及时处理员工对内部审计行为的投诉和举报，确保内部审计的合法性和合规性。
如有更多疑问或需要进一步的法律建议，请直接向我咨询。