函证应由审计机构直接发函，以确保函证的独立性和可靠性，防止被审计单位篡改。