内控缺陷分三级：一般缺陷、重要缺陷、重大缺陷。分级的目的是把有限的整改资源放在最要紧的地方，但在实务中，企业最常见的错误是把所有缺陷都写成“一般缺陷”，结果被审计师或者监管直接调整。
分级不是一个主观判断，需要事先设计标准，事后再按标准套。标准要在年初就定好，不能在评价时倒推。
一、两类缺陷要分开认定
财务报告内部控制缺陷：与财务报告的可靠性相关，比如收入确认流程没有复核、存货盘点流于形式、银行余额调节表长期不编。
非财务报告内部控制缺陷：与经营效率、合规性相关，比如采购比价制度缺失、安全环保检查未执行、合同审批权限混乱。
两类缺陷的认定标准不同。财务报告缺陷可以用金额衡量，非财务报告缺陷更多用定性判断（是否违法、是否造成损失、是否影响声誉）。
很多内控评价报告把两类混在一起写，导致“重大”的标准模糊。规范的做法是分别设计标准、分别评价、分别披露。
二、定量标准怎么设计
定量标准的核心是“潜在错报金额”，参照重要性水平来定。常用三档：
- 潜在错报金额 ≥ 合并报表营业收入的 1%，或 ≥ 资产总额的 0.5%，或 ≥ 税前利润的 5%，认定为重大缺陷；
- 潜在错报金额在上述标准的 50%-100% 之间，认定为重要缺陷；
- 低于 50%，认定为一般缺陷。
三个基准（收入、资产、利润）同时设，取“先触发者”。原因是不同企业的利润波动大，单用利润做基准不稳定。比如某年利润只有 300 万元，5% 是 15 万元，一笔 20 万元的错报就成了重大缺陷，这不合理；用收入或资产做基准可以平滑。
基准的选择要考虑企业性质：制造业用资产和收入，贸易企业用收入，金融企业用净资产。选定后要在制度中写明，不能年年换。
三、定性标准更重要
有些事情金额不大，但性质严重，必须直接认定为重大缺陷。六种典型情形：
- 董事、监事、高级管理人员的舞弊行为；
- 已经被发现并报告给管理层的重大缺陷，在合理期间内未予改正；
- 注册会计师发现当期财务报告存在重大错报，而内部控制在运行中未能发现；
- 审计委员会和内部审计机构对内部控制的监督无效；
- 因违反法律法规受到重大行政处罚；
- 关键岗位人员长期缺位，或者一人兼任不相容岗位且无补偿性控制。
这六种情形不设金额门槛。一个人贪了 5 万元，如果他是财务负责人，同样构成重大缺陷，因为它证明了授权审批与监督机制失效。
四、认定流程：从测试到定级
规范的流程是五步：
第一步，识别控制点。按业务循环梳理关键控制，比如销售循环的“客户信用审批”“发货审批”“开票复核”“回款核销”。
第二步，测试控制有效性。抽样测试，看控制是否按设计执行。样本量按控制频率定：每日多次的控制取 25 个样本，每日一次取 20 个，每周一次取 5 个，每月一次取 2-3 个。
第三步，判断是否构成缺陷。控制未执行、执行不到位、设计本身有漏洞，三种情形都构成缺陷。
第四步，评估潜在影响。假设这个控制失效，可能导致的最大错报是多少。这一步决定定量档位。
第五步，定级并汇总。单个缺陷定级后，还要看汇总影响。多个一般缺陷集中在同一循环，可能构成重要缺陷。
五、一个把重大缺陷写成一般的案例
某化工企业 2023 年内控评价报告，自我评价结论为“内部控制有效，发现一般缺陷 8 项”。
其中一项是“部分月份银行余额调节表未编制，涉及账户 3 个，最长滞后 7 个月”。企业定为一般缺陷。
审计师复核后认为应定为重大缺陷，理由有三：
一是这三个账户中，有一个是公司主要结算账户，年均流水 4.2 亿元；
二是后期核查发现，该账户存在 6 笔未入账的收款，合计 1800 万元，被销售人员用于账外循环；
三是银行余额调节表是发现资金舞弊最基础的控制，长期不编，等于资金监控形同虚设。
最终评价报告改为“发现重大缺陷 1 项、重要缺陷 2 项、一般缺陷 5 项”，并披露了整改措施。企业因此被出具了带强调事项段的审计报告，银行贷款审批被延后。
这个案例的关键点是：缺陷定级要看“这个控制失效会放过什么”，而不是“已经造成了多少损失”。控制失效但侥幸没出事，仍然是重大缺陷。
六、披露口径的实务处理
- 内控评价报告要披露缺陷认定标准（定量与定性），标准要具体到数字；
- 披露缺陷数量与等级分布，重大缺陷要逐项说明情形、影响、整改措施、整改完成时间；
- 重大缺陷整改完成前，不能出具“内部控制有效”的结论；
- 整改中的缺陷要说明是否已建立补偿性控制，以及补偿性控制的有效性；
- 连续两年出现同类缺陷，说明整改无效，应升级定级；
- 非财务报告缺陷造成实际损失的，要披露损失金额与追责情况。
内控缺陷的分级不是为了好看，是为了让管理层知道哪里最危险。把重大缺陷写成一般，短期报表好看，长期是把风险藏在了自己脚下。
