内控有效性的核查程序：被抽中现场检查的企业版本

内控有效性的证明方式很朴素：同样的事，换个人做，结果一样。查账的人不看你写了什么，只看你能不能对上。

一、归档不是收尾，是证据

下面这份清单按用途分四组，每组都对应一个会被问到的问题。

制度文件齐全但执行记录缺失。这一类问题在复核时最容易被提出来，因为它是「有没有做」和「做得对不对」的分界。

问询回复先给结论，再给依据，最后给核查程序与核查意见。

二、三个容易踩空的地方

按被抽中现场检查的企业的规模，内控有效性一旦出问题，通常不是单点，而是一串连带。

三处问题看起来互不相干，背后其实是同一条约束：应重点关注资金管理、采购与付款、销售与收款、存货与成本、关联交易等关键循环。少了这条约束，表里每一项都只能靠人记。

现场检查看原始单据，临时补做的东西时间戳会对不上。按这个思路自查，三处里有几处能过，基本就知道自己的位置了。

三、站在对方立场想一遍

视角决定了问题的提法，提法决定了答案的方向。

企业视角，看的是投入产出。按9,800万元的收入体量和320人的组织规模看，被抽中现场检查的企业的特点是申报后进入现场检查名单，检查覆盖报告期三年。在这样的经营压力下，内控有效性很容易被当成「先放一放」的事。

复核视角，看的是证据。制度文件齐全但执行记录缺失。这种做法，在企业内部可能被解释为「效率」，在复核者眼里则是缺口。

监管视角，看的是实质。发行人应建立健全内部控制制度，并由注册会计师出具无保留结论的内部控制鉴证报告。形式上的文件齐全，替代不了对业务实质的说明。

三个视角里，企业最容易忽略的是第三个。原因不难理解：前两个视角每天都要面对，第三个只在特定时点出现。

四、先对齐口径再比数

先给结论：被抽中现场检查的企业在这一项上的敞口不算小。下面是推算过程。

测算的口径需要说明：基数为企业最近一个完整年度的经营数据，比例取自现行规定或行业通行区间，未考虑企业特殊事项。

几个指标里，偏离最明显的内控覆盖率与门槛相差-10.1个百分点，折算影响约398.7万元。核算资源本来就被存货盘点差异无法解释占去了一部分。这一点如果不先解决，表里最后一行还会继续放大。

五、复核时看这几处

六个检查点，两个必查——这两项不过，其余的意义有限。

表里带★的两项必须留证据。其余几项可以靠说明，这两项不行。账面之外的客观条件是：有三处生产场地。这也是为什么它们被单独标出来。

申报期发现的每一个问题，最终都要用时间或成本去换。

六、回到最初的问题

最后不再展开，只留三个判断给被抽中现场检查的企业。

第一，规则是确定的。发行人应建立健全内部控制制度，并由注册会计师出具无保留结论的内部控制鉴证报告。这一条不会因为企业大小、行业差异而改变，能改变的只有企业自己的做法。

第二，越早越便宜。对内控缺陷建立整改台账并跟踪运行。晚做的代价不是多花钱，而是少了很多可选的方案。

第三，能证明才算做到。按业务循环做穿行测试，留存测试底稿。没有这一层，前面两条都只是判断。

边界之内可以放手去做，边界之外一步都不要试。这条线画在哪里，条文里其实写得很清楚。

底稿的意义在于：半年后换个人来，也能得出同样的结论。结论写给做决定的人，动作留给执行的人，两者不要混在一份文件里。