函证看起来简单：发信、等回函、核对数字。真做起来，每一步都有漏洞。
漏洞不在技术，在控制。函证一旦经过被审计单位的手，证据的可靠性就打了折。
一、函证的对象与范围
银行：全部账户，包括本期新开、本期销户、零余额、保证金账户、外币账户。
往来：应收账款、应付账款、预收、预付、其他应收、其他应付。按金额、账龄、异常特征选取。
借款与担保：银行借款、股东借款、对外担保、抵押质押，逐笔函证。
其他：律师（诉讼与或有事项）、关联方（交易与余额）、托管机构（基金份额）、海关与税务（特定事项）。
选取标准要写进底稿：为什么选这几家、金额占比多少、覆盖率是否足够。
覆盖率不是越高越好，要结合风险。风险高的客户，即使金额小也要选；风险低的，可以按比例抽。
二、发出与回收的控制
控制的核心是「三不」：不经被审计单位之手、不用被审计单位提供的地址、不接受被审计单位转交的回函。
地址要独立核实。银行地址查官网或者金融许可信息；客户地址查工商登记、合同、发票、官网，多方比对。
发出方式：审计师亲自寄出，保留快递面单与查询记录；或者通过电子函证平台发起。
回函方式：直接寄回会计师事务所，不回被审计单位；电子回函发到审计师的工作邮箱，不发企业邮箱。
回函异常要追查：地址与登记不符、回函章与合同章不一致、回函金额与账面完全一致但格式可疑、回函由被审计单位人员转交。异常不必立刻定性，但必须留下追查记录。
三、未回函的替代程序
未回函不代表有问题，但必须执行替代程序，且替代程序要能得出与函证相同的结论。
应收账款的替代程序：检查销售合同、发票、出库单、物流单、期后回款。五样里，期后回款最有说服力。
应付账款的替代程序：检查采购合同、入库单、发票、期后付款。期后付款同样最有力。
银行存款的替代程序：取得银行对账单、检查余额调节表、核对期后流水。对账单要由审计师亲自从银行获取或者网银截图。
替代程序不足以消除疑虑的，要考虑追加程序：实地走访、访谈客户、检查后续交易、扩大样本。
所有替代程序要记录「做了什么、看了什么、结论是什么」，不能只写「已执行替代程序」。
四、电子函证的身份核验
电子函证提高了效率，也带来了新的风险：谁发的、谁回的、有没有被截获或者伪造。
身份核验有三个层次：平台认证（接入第三方函证平台，验证企业与会计师事务所身份）、邮箱验证（回函域名与官方域名一致）、内容验证（回函包含被函证方的电子签章或者授权码）。
只有平台认证不够。平台认证的是「接入方」，不是「回函方」。回函方仍要单独核验。
实务中最薄弱的环节是「邮箱」。被审计单位提供一个「客户财务邮箱」，实际由自己控制，回函自然配合。所以邮箱必须独立获取。
还有一类风险：回函被篡改。电子回函要保留原始邮件（含邮件头），必要时做哈希存证。
五、函证结果的评价
回函相符，不代表没问题。要看回函的内容是否完整：有没有未入账的交易、有没有争议事项、有没有担保或者抵销安排。
回函不符，要查明原因。是时间性差异（在途资金、未达账项），还是错报，还是舞弊。
时间性差异要编制调节表，逐笔核对；错报要提请调整；舞弊要扩大程序并考虑对整体审计的影响。
回函率过低，要考虑函证程序是否有效。回函率低于一定比例，替代程序的工作量会大幅增加，时间预算要相应调整，也要评估是否存在被审计单位干预的可能。
六、一起回函地址造假的案例
某公司应收账款前五名客户合计占余额七成。项目组按惯例发出函证，五封全部回函相符，回函地址与合同地址一致。
复核时，项目经理发现一个细节：五封回函的快递面单，寄件人电话有三个相同。进一步核查发现，这三个号码属于被审计单位的三名员工。
扩大核查：回函地址是当地工业园区的门牌号，但工商登记显示该地址并无这几家公司；回函公章与合同章的字号有细微差异。
最终认定，这五笔应收账款为虚构，回函由被审计单位安排人员在外地租用场地、私刻印章后寄回，金额合计八千六百万元。
项目组被检查认定「函证控制失效」，原因是：地址未独立核实，仅与合同比对；回函未核对寄件人信息；未对回函异常（金额完全一致、格式雷同）保持警觉。
这个案子的启示是：函证的可靠性，来自「控制」，不是来自「回函」本身。回函可以造假，控制造不了假。
七、函证的质量控制
第一条，清单化管理。建立函证清单，逐户记录地址、联系人、发出日期、回函日期、结果。
第二条，地址独立核实。银行查官网，客户查工商，不依赖被审计单位提供的信息。
第三条，寄件与回收留痕。快递面单、查询记录、邮件原始文件，全部归档。
第四条，异常必查。地址异常、章异常、格式异常、金额过于一致，都要追查。
第五条，覆盖率与结论匹配。覆盖率不足的，增加替代程序或者扩大样本。
八、函证操作清单
- 编制函证清单，注明选取标准与覆盖率
- 银行账户全部函证，含零余额与销户
- 独立核实地址，不采用企业提供的联系方式
- 审计师亲自发出，保留面单与查询记录
- 回函直寄事务所，不经企业转交
- 核对回函印章、格式、金额与账面差异
- 未回函的执行替代程序并记录结论
- 电子函证核验平台、域名与电子签章
- 回函不符的编制调节表，逐笔查明
- 异常回函扩大程序，评估舞弊风险
函证的价值，一半在「问了谁」，一半在「谁在控制这个过程」。控制松一寸，证据就假一分。
