很多企业的内控手册写得很厚，流程图画得很漂亮。问一句「上一次按这个流程走是什么时候」，答不上来。
内控审计要验证的不是「有没有制度」，是「制度有没有运行」。
一、内控审计与财务报表审计的关系
财务报表审计关注「数字对不对」，内控审计关注「控制有没有效」。两者目标不同，但可以整合。
整合审计的思路是：用同一套风险评估，同一批样本，同时满足两个目标。
比如测试销售审批控制，既评价控制有效性（内控审计），又减少实质性程序（财报审计）。
整合不是省程序，是省重复。同一份合同，不要两个人分别看一遍，一个人看，两份底稿引用。
整合也有边界。内控审计要求对每个重要账户、每个重要业务流程的相关控制都做测试；财报审计可以只做实质性程序。整合后，控制的测试范围要按内控审计的要求走，不能按财报审计的「够用就行」。
二、缺陷的三级分类
重大缺陷：可能导致财务报表出现重大错报而未被防止或者发现。存在重大缺陷的，不能出具无保留意见的内控审计报告。
重要缺陷：严重程度低于重大缺陷，但仍应引起管理层与治理层重视。
一般缺陷：除重大、重要之外的其他缺陷。
分级的依据有两项：一是可能性，控制失效导致错报的概率；二是影响程度，可能导致的错报金额。
分级不是拍脑袋。要有判断标准：涉及金额占重要性水平的比例、涉及的业务循环、是否涉及舞弊、是否被其他控制补偿。
补偿性控制的作用要谨慎评价。一个控制失效，另一个控制理论上能发现，但前提是后者真的在运行，且有测试证据。只是「制度上写了有复核」，不构成补偿。
三、认定重大缺陷的四类情形
第一类，董事、监事、高管的舞弊。无论金额大小，都构成重大缺陷。
第二类，对财务报告编制过程的控制失效，且未被其他控制发现。比如期末结账无人复核、报表由外部机构代编且无人审核。
第三类，内部审计或者外部监督失效。内审形同虚设，或者审计委员会不发挥作用。
第四类，重述前期财务报表，以更正重大错报。已经重述，说明控制未能防止或发现错报。
四类情形里，第一类最严重。舞弊涉及故意，说明控制环境本身有问题，其他控制再完善也不可信。这也是为什么舞弊一旦涉及管理层，内控评价通常直接否定。
四、控制测试的样本与偏差
控制测试的样本量取决于控制频率与控制的重要性。每日发生的控制，样本量通常大于每月发生的控制。
测试方法包括：询问、观察、检查、重新执行。四种方法要组合，不能只询问。
偏差处理：发现偏差，要判断是「控制未执行」还是「执行有瑕疵」。前者是控制失效，后者可能只是个别失误。
偏差率超过容忍率的，控制不能信赖，要扩大实质性程序，并考虑缺陷等级。
还要区分「设计缺陷」与「运行缺陷」。制度本身不合理的，是设计缺陷；制度合理但没执行的，是运行缺陷。两者整改方式不同。
五、五类常见缺陷
第一类，不相容岗位未分离。出纳兼记账、采购兼验收、销售兼收款。
第二类，授权审批缺失或者流于形式。大额支付无审批，或者审批人只签字不看内容。
第三类，资产盘点不到位。存货、固定资产长期不盘，账实不符。
第四类，信息系统控制薄弱。账号共用、权限过大、变更无审批、数据可随意修改。
第五类，期末结账与报表编制控制缺失。调整分录无依据、合并报表无复核。
五类里，第一类与第四类最容易出问题。前者是人的问题，后者是系统的问题，两者叠加，舞弊空间最大。检查时若两类同时出现，通常直接按重要缺陷以上处理。
六、一起资金支付控制失效的案例
某公司财务部五人，出纳同时负责银行对账与记账凭证录入。银行付款由财务经理在网银审批，但网银的制单与审批使用同一台电脑。
审计测试选取四十笔付款，发现其中七笔无对应的合同或者审批单，金额合计六百八十万元。进一步核查，收款方为两家新设公司，无实际经营。
出纳承认，利用共用电脑与共用账号，自行制单并审批，将款项转出后用于个人投资。
缺陷认定：不相容岗位未分离、信息系统权限控制失效、银行对账未独立执行。三项叠加，构成重大缺陷。
公司被出具否定意见的内控审计报告，同时因舞弊事项调整财务报表，调减资产六百八十万元。银行贷款随即收紧，授信额度下调两千万。
整改方案包括：出纳与对账分离、网银制单与审批设备分离、U 盾分人保管、每月银行对账由财务经理执行并签字。
整改花了三周，重建信任花了两年。
七、内控审计的落地做法
第一条，从流程出发，不从手册出发。先画出实际流程，再对照手册，差异就是风险点。
第二条，抓关键控制。每个循环抓三到五个关键控制点，不做全面铺开。
第三条，用穿行测试验证设计。选一笔业务，从发起走到入账，看控制是否真的存在。
第四条，用抽样测试验证运行。按频率定样本，记录偏差，评价影响。
第五条，缺陷分级有依据。金额、循环、舞弊、补偿控制，四项一起看。
八、内控审计清单
- 了解业务流程，绘制实际流程图
- 识别关键控制点与不相容岗位
- 执行穿行测试，验证控制设计
- 按控制频率确定样本量
- 组合使用询问、观察、检查、重新执行
- 记录偏差并判断是否控制失效
- 区分设计缺陷与运行缺陷
- 按四类情形判断是否构成重大缺陷
- 评价补偿性控制的作用
- 缺陷与整改建议书面提交治理层
内控的价值不在纸面，在「有人真的按它做」。审计要做的，就是找出那些「写了但没做」的地方。
