客户高度集中的配套企业的内控有效性：从判断到留痕

内控有效性的证明方式很朴素：同样的事，换个人做，结果一样。下面这些条目，都是从具体案例里反推出来的，可以直接对着用。

一、三份文件，三种约束力

把依据按层级排一遍，会发现很多争议不在条文，而在条文没写的那部分。

第一层，法律与行政法规。发行人应建立健全内部控制制度，并由注册会计师出具无保留结论的内部控制鉴证报告。这一层定的是权利与义务的边界，一般不因企业规模或行业而变。

第二层，部门规章与规范性文件。申报期内应保持内控制度执行的一致性，不得为申报临时增设审批环节。这一层管的是怎么做，包括申报表怎么填、资料怎么备、期限怎么算。

第三层，执行口径与操作惯例。应重点关注资金管理、采购与付款、销售与收款、存货与成本、关联交易等关键循环。这一层最容易产生分歧，因为它在不同地区、不同时期的把握尺度并不完全一致。

三层都看完，会得到一个不太舒服但很有用的结论：内控有效性的合规成本，主要花在第三层的确认上。

二、别在这些地方省事

按客户高度集中的配套企业的规模，内控有效性一旦出问题，通常不是单点，而是一串连带。

三处的共性是同一个：都不是知识问题，而是执行时省了一步。报告期内存在内控缺陷的，应说明缺陷性质、整改措施及整改后的运行情况。这一步省掉，前面做得再规范也会被追问。

这家企业同时面临的另一个问题是单一客户依赖的可持续性论证。这些点单看都不致命，叠在一起就成了解释不通的缺口。

三、对照清单打勾

客户高度集中的配套企业自查内控有效性，最容易走过场的是前两项，因为它们看起来「肯定做了」。

带★的两项是必查项。第一项决定「做不做」，第五项决定「能不能证明做了」——后者在检查时权重更高。

自查做完，客户高度集中的配套企业通常会发现缺口集中在证据而不是判断上。这其实是好消息：补证据比改判断便宜得多。

四、先把误解澄清

客户高度集中的配套企业问得最多的四个问题，恰好也是检查时最常被追问的四个。

问：如果已经做错了，怎么处理？答：对内控缺陷建立整改台账并跟踪运行。先固定事实，再评估影响，最后决定是更正还是补充说明。顺序不能反。

问：内控有效性对客户高度集中的配套企业是不是必须执行？答：发行人应建立健全内部控制制度，并由注册会计师出具无保留结论的内部控制鉴证报告。只要业务落入这个范围，就是必须，不存在「规模小可以不执行」的说法。

问：需要准备到什么程度才算完整？答：应重点关注资金管理、采购与付款、销售与收款、存货与成本、关联交易等关键循环。判断标准不是资料有多少，而是能不能支撑结论。

问：能不能先按简单的方式处理，以后再改？答：关键岗位长期由同一人担任，无轮岗与监督。先简化再补正，通常要连带调整以前期间，代价高于一次做对。

四个问题答完，客户高度集中的配套企业通常会发现真正的难点在最后一个：处理历史问题的成本，永远高于一开始就做对。

五、这几份文件缺一不可

客户高度集中的配套企业的资料通常不缺，缺的是能对上号的那一部分。内控有效性对材料的要求，恰恰在「对上号」这三个字上。

关键岗位长期由同一人担任，无轮岗与监督。这一类问题在复核时最容易被提出来，因为它是「有没有做」和「做得对不对」的分界。

问询回复先给结论，再给依据，最后给核查程序与核查意见。

六、边界之内，放手去做

最后不再展开，只留三个判断给客户高度集中的配套企业。

第一，边界不会为企业调整。发行人应建立健全内部控制制度，并由注册会计师出具无保留结论的内部控制鉴证报告。这是前提，不是选项。

第二，越早越便宜。对内控缺陷建立整改台账并跟踪运行。晚做的代价不是多花钱，而是少了很多可选的方案。

第三，证据决定结果。按业务循环做穿行测试，留存测试底稿。复核时不看解释，只看能不能对上。

边界之内可以放手去做，边界之外一步都不要试。这条线画在哪里，条文里其实写得很清楚。

备忘的意义在于减少重复判断，把精力留给真正需要判断的地方。