每家企业都有一本内控制度汇编，厚得像本书。审核不看厚度，看的是：制度有没有被执行，执行有没有留痕，出问题能不能发现。
核心判断
- 结论内控有效性由两方面证明：一是会计师出具的无保留结论的内部控制鉴证报告；二是报告期内控运行的实际证据，包括审批流程、授权记录、异常事项处理。
- 依据《首次公开发行股票注册管理办法》（证监会令第 205 号）第十二条规定，发行人内部控制制度健全且被有效执行，能够合理保证公司运行效率、合法合规和财务报告的可靠性，并由注册会计师出具无保留结论的内部控制鉴证报告。
- 边界可认定有效
一、规则是怎么写的
《首次公开发行股票注册管理办法》（证监会令第 205 号）第十二条规定，发行人内部控制制度健全且被有效执行，能够合理保证公司运行效率、合法合规和财务报告的可靠性，并由注册会计师出具无保留结论的内部控制鉴证报告。
《企业内部控制基本规范》第四条规定，企业建立与实施内部控制，应当遵循全面性原则、重要性原则、制衡性原则、适应性原则和成本效益原则。
《企业内部控制基本规范》第二十八条规定，企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。
《企业内部控制应用指引第 1 号——组织架构》要求企业建立规范的治理结构和议事规则，明确决策、执行、监督等方面的职责权限。
《会计法》第二十七条规定，各单位应当建立、健全本单位内部会计监督制度。
二、学界与实务的分歧
一种说法是：有制度、有鉴证报告就够了。理由是，会计师都出意见了。
另一种说法是：要看制度是不是真在执行。理由是，留痕才是证据。
分歧的落点：鉴证报告是结论，不是过程。审核常通过细节反推：合同审批单是否有签字、付款是否经过复核、采购是否比价、关联交易是否回避。若发现「制度规定三级审批，实际只有一人签字」，即属于控制未执行，即便鉴证报告为标准无保留意见，也会被追问。重大缺陷通常表现为：资金被占用未被发现、收入确认无复核、存货账实不符。
三、用数字说话
| 判断项 | 标准 |
|---|---|
| 鉴证结论 | 无保留结论是申报必要文件 |
| 关键控制点 | 资金、采购、销售、存货、关联交易、财务报告 |
| 执行证据 | 审批单、授权书、复核记录、内部审计报告 |
| 缺陷分级 | 重大缺陷、重要缺陷、一般缺陷 |
| 整改期 | 报告期内完成整改并运行足够期间 |
| 披露 | 内控制度建立及运行情况、鉴证意见 |
四、结论在什么条件下反转
- 制度齐全且执行留痕：可认定有效
- 存在重大缺陷但已整改：需运行完整期间验证
- 资金占用未被内控发现：反映监督失效
- 一人兼任不相容职务：控制设计缺陷
- 仅子公司内控薄弱：需纳入统一管控
五、实务中的一次判断：三级审批，一个人签完
事实：某企业内控制度规定付款需经部门负责人、财务负责人、总经理三级审批。核查抽取 60 笔付款凭证，发现 41 笔仅有总经理签字，财务负责人签字为事后补签；另有 6 笔付款无合同、无发票，以「备用金」名义支出共计 380 万元。
争点：这种情况内控算不算有效？
裁判逻辑：构成重要缺陷。付款审批流于形式、事后补签，说明控制未实际执行；无合同无发票的备用金支出，反映资金支付控制失效。整改路径：上线 OA 审批系统，实现线上留痕与不可跳过；明确备用金限额与核销期限；设立内部审计岗，按季度抽查。整改后需运行至少一个完整会计年度，并由会计师重新出具鉴证报告。该企业因此将申报期后移，同时被要求说明 380 万元备用金的最终去向。
启示：内控的证明不在制度文本，在签字的时间戳上
六、可执行的操作清单
- 梳理关键业务流程，识别控制点与不相容职务
- 抽查凭证，验证审批是否实际执行
- 检查是否存在事后补签、越权审批
- 设立内部审计部门，建立定期检查机制
- 对发现的缺陷制定整改方案并落实
- 委托会计师出具内部控制鉴证报告
- 在招股书中披露内控建设、缺陷及整改情况
七、常见错误及其后果
- 制度与实际两张皮：鉴证意见可能被否
- 不相容职务未分离：舞弊风险
- 子公司未纳入管控：合并层面失效
- 整改后未运行足够期间：结论依据不足
常见追问
内控鉴证报告是必须的吗？
是。申报材料需包含注册会计师出具的无保留结论的内部控制鉴证报告。
存在缺陷一定不能上市吗？
不是。重大缺陷整改完成并运行一段期间后，可论证内控有效，但需充分披露。
内控和财务造假有什么关系？
内控失效往往是财务造假的前置条件，审核会通过内控缺陷反推财务真实性。
声明：本文基于公开政策文件与实务经验整理，仅供专业交流参考，不构成正式税务或法律意见。具体事项请结合企业实际情况，并以主管机关口径为准。引用条文请以官方发布文本为准；转载本文请保留作者、出处与原文链接。
