内控：从穿行测试到控制矩阵，怎么做出能用的底稿

内控底稿是申报材料里最容易被做成形式主义的部分。厚厚一本流程描述，配上几张流程图，最后一句「内部控制有效」，看着完整，实际上一个问题也没回答。

审核看内控，只关心三件事：哪些环节可能出错、发行人设了什么控制来防错、这些控制有没有真的在运行。第三点最难证明，也最能区分底稿的质量。

一、五要素落到申报上是什么

准则里的五要素听起来抽象，翻译成申报语言就具体了。

控制环境是最难改也是最重要的。如果实际控制人习惯口头决策、越过制度直接指挥，那么后面所有控制活动的可靠性都要打问号。这种情况下，只补制度不改决策习惯，底稿写得再漂亮也过不了现场检查。

二、关键控制点：先找风险，再找控制

关键控制点不是把所有审批环节都列上，而是从重大错报风险倒推。

四个核心循环，各有关键点：

销售与收款循环。客户信用审批、合同评审、价格审批、发货授权、开票与收入确认、回款核销与对账。

采购与付款循环。供应商准入、采购申请与比价、合同审批、验收入库、付款审批、三单匹配（订单、入库单、发票）。

生产与存货循环。生产计划、领料授权、工时记录、成本核算、产成品入库、盘点与差异处理。

资金循环。账户管理、印鉴分管、网银权限、付款审批、银行对账、票据管理。

每个循环里，真正关键的通常只有三到五个点。判断标准是：这个控制失效，会不会直接导致财务报表重大错报。不会的，就不是关键控制，不必占用底稿篇幅。

举例：差旅费报销的审批层级，失效了顶多多报几千块，不构成关键控制；但付款审批的授权额度，失效了可能几百万资金流出，是关键控制。

三、穿行测试：一笔业务从头走到尾

穿行测试的目的是确认「制度写的」和「实际做的」是同一件事。做法是选一笔真实业务，从起点走到终点，每一步都拿到原始单据。

以销售为例，完整链路是：

1. 客户提出需求 → 销售接单，形成订单（看订单审批记录）
2. 信用评估 → 查客户信用额度、审批人（看信用审批表）
3. 合同评审 → 价格、账期、交付条款是否经评审（看评审记录）
4. 生产或备货 → 生产计划、领料（看计划单）
5. 发货 → 出库单、运单（看授权签字）
6. 客户签收 → 签收单（看客户签字或盖章）
7. 开票 → 发票与出库单匹配（看三单一致）
8. 收入确认 → 记账凭证（看确认时点依据）
9. 回款 → 银行回单、核销记录（看核销是否对应具体发票）

九步走完，每一步都要看到单据、签字、日期。任何一步只有制度没有单据，就说明这项控制没有运行。

穿行测试的样本量不用多，每个循环一到两笔足够，因为它的目的不是统计推断，而是验证流程是否存在。要验证运行的有效性，需要控制测试，样本量按发生频率确定。

四、控制矩阵：字段设计决定好不好用

控制矩阵是把风险、控制、测试、结论串起来的那张表。字段设计得好，一页纸能说清一个循环；设计得差，就是一锅粥。

关键点是「风险与控制一一对应」。一条风险对应多条控制可以，但一条控制如果对应不上任何风险，说明它是冗余的，不该占用篇幅。

另一个细节：执行人写岗位不写人名。写人名会让人以为控制依赖某个特定的人，而内控的要义是靠制度不靠人。

五、缺陷分级：重大、重要、一般

缺陷分级的判断标准是「可能导致的错报有多大」以及「是否可能被防止或发现」。

常见的重大缺陷包括：实际控制人凌驾于控制之上、财务人员配备不足导致无法完成必要复核、业务系统与财务系统长期不勾稽、资金支付由一人全程操作。

「实际控制人凌驾」是最常见的认定。表现形式是：大额付款不经审批直接执行、关联交易不履行决策程序、财务数据按老板口径调整。这类问题不能靠补制度解决，要靠治理结构改变，比如引入独立董事、设立审计委员会并实质运作。

六、整改与运行期：时间是不可压缩的

内控缺陷整改后，需要运行一段时间才能证明有效。这个期间通常要求覆盖一个完整的会计期间，实务中按不少于六个月掌握。

整改要留三类证据：

• 制度文件：修订后的制度、发布记录、培训记录
• 执行记录：整改后实际发生的业务单据，能体现新控制已运行
• 测试记录：内审或中介机构对整改后控制的测试结论

只交制度不交执行记录，等于没整改。审核会直接抽几笔整改后的业务，看单据上有没有新的审批痕迹。

时间安排上要提前。很多企业到申报前半年才发现内控有重大缺陷，整改加运行期已经来不及，只能推迟申报。这是内控问题最常见的实际损失。