内控评价之下，二次申报的企业的六个动作

缺陷的严重程度不取决于金额，而取决于它是否会让人看不到真相。落地最难的不是第一步，而是第三步之后没人接手。

一、动作要具体到可以检查

把动作拆开，每一段都对应一个明确的交付物和时间点。

从现有资料看，前次否决涉及关联交易。这一点决定了第一步的工作量，也决定了后面能不能按期推进。

核算资源本来就被前次否决问题的整改验证占去了一部分。这个问题如果不在第二步识别出来，第四步执行时会以另一种形式再冒一次。

二、出错之后代价有多大

下面三处是实务中最常见的失手点，共同特征是：做的时候觉得没问题，查的时候一眼就能看出。

三处的共性是同一个：都不是知识问题，而是执行时省了一步。注册会计师应对财务报告内部控制的有效性发表审计意见，发现重大缺陷的应出具否定意见。这一步省掉，前面做得再规范也会被追问。

背景上还有一个事实：前次否决问题的整改验证。这些点单看都不致命，叠在一起就成了解释不通的缺口。

三、流程走一遍，卡点就出来了

下面这条链路对二次申报的企业适用，环节数量不多，但每一环都有明确的交付物。

流程的价值不在于规范，而在于它让「什么时候该有什么」变成可以检查的事实。

四、责任不能停在部门层面

二次申报的企业有520人，看起来人手不缺。但内控评价这件事，往往一个明确的负责人也没有。

制定缺陷认定标准并经理层批准。这条动作本身不复杂，难的是指定一个人对它负责到底。这家企业同时面临的另一个问题是前次否决问题的整改验证。这类问题之所以反复出现，就是因为没有归口。

分工表最怕写成「共同负责」。共同负责在出问题时，通常等于没人负责。

五、材料之间的勾稽关系

二次申报的企业的资料通常不缺，缺的是能对上号的那一部分。内控评价对材料的要求，恰恰在「对上号」这三个字上。

评价范围排除重要子公司，结论失真。这一类问题在复核时最容易被提出来，因为它是「有没有做」和「做得对不对」的分界。

内控测试看的是执行记录，不是制度文本。

六、说到底就这几件事

把前面的内容收一收，可以落成三个结论。

第一，规则是确定的。内部控制缺陷按其影响程度分为重大缺陷、重要缺陷和一般缺陷。这一条不会因为企业大小、行业差异而改变，能改变的只有企业自己的做法。

第二，成本是前置的。制定缺陷认定标准并经理层批准。这件事做得越早，后面的空间越大；拖到申报前或检查前，能选的余地就很小了。

第三，能证明才算做到。建立缺陷整改台账，逐项跟踪至关闭。没有这一层，前面两条都只是判断。

另一处需要一并考虑的变量是「中介机构更换后的衔接」。把这一层考虑进去，前面三句话的落点会更具体。

把最后一步的验收标准提前写出来，中间就不会跑偏。