[“控制测试”在内部控制评价实务中的应用] 2018内部控制最新案例

　　摘要:内部控制评价对于监督内部控制体系有效运行是必不可少的职能和手段，本文就内部控制评价的技术方法——“控制测试”在实务中的应用做以探讨。　　关键词:控制测试 内部控制评价 实务 应用
　　一、为内部控制评价
　　《企业内部控制评价指引》中将内部控制评价定义为：企业董事会或类似权力机构对内部控制有效性进行全面评价，形成评价结论，出具评价报告的过程。
　　内部控制评价的内容围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等五要素入手，在具体评价中应采取必要的技术方法，遵循规定的程序。内部控制评价的程序一般包括：制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编制评价报告等环节。
　　在企业具体操作的整个程序中，实施现场测试和认定控制缺陷这两个环节是评价的中心环节，是对具体控制活动的符合性及有效性进行认定的关键环节，需要综合运用相应的技术方法，一般包括：个别访谈、调查问卷、专题讨论、控制测试、穿行测试、实地查验、抽样和比较分析等方法，在这些技术方法的运用当中，控制测试和穿行测试是最为常用的技术方法，而且是评价过程中最重要，也是必不可少的方法。
　　二、何为控制测试
　　控制的有效性就是指在控制能够在各个控制点按照既定的设计得以一贯运行。控制测试就是对控制执行有效性进行验证的一种方法，是内部控制评价实施现场测试的重要方法。通过这种方法能够认定我们通常开展的控制活动是否在企业的各个层级有效地得以贯彻和执行，为认定内控缺陷提供依据。
　　在评价实务操作过程中，用企业“财务管理”流程下的二级子流程“资金管理”下的三级子流程“银行存款对账”财务控制活动的控制测试实例，来说明控制测试的操作流程。
　　测试操作流程：通过对财务部门每月银行存款对账控制活动一定量的抽样，测试其对该流程每一个预先设定的控制步骤是否严格执行，并形成控制文档，控制文档是体现控制生成结果的有力依据。该流程分为8个步骤，即8个控制点，登记银行存款日记账→核对账户明细→获取银行对账单→核对对账单→编制余额调节表→分析并处理未达账项→抽查银行对账情况→存档，流程中对每个控制点的控制措施都设定有详细的描述，通过样本的测试可以得出每个控制点是否存在不符或异常，测试人员据此编制控制测试工作底稿。如在“抽查银行对账情况”这一控制点，如果会计主管或指定的会计人员未执行不定期抽查或并未留有可以证明履行抽查的证据，就证明该步骤未得到有效控制，如果此步骤是关键控制步骤，有可能导致整个流程控制失效，最后得出经测试的流程控制是否有效的结论，就此一个完全的控制测试环节告一段落。
　　三、控制测试的要素和具体方法
　　(一)控制测试的六要素
　　在控制测试过程中，首先要明确测试的对象，既对什么进行测试，这里我们要需要关注六个要素：主体、时间、地点、客体、目的、方式。
　　主体——已被授权或赋有职责的人是否执行了控制，既执行的主体；
　　时间——是否按事先设定的步骤逐一执行，既控制发生的时间；
　　地点——是否涵盖了所有适用的交易，既控制体现在何处；
　　客体——控制的对象是否得到了有效控制，既通过控制生成的结果在预期范围内；
　　目的——是否将已识别的风险降低在可接受的范围内，既控制的目的得以实现；
　　方式——如何执行控制活动，既具体操作和控制的执行过程是怎样的。
　　沿用上例，在“银行存款对账”三级子流程的测试中，主体是财务部门出纳、会计主管或指定复核人，时间是每月发生，客体是银行存款对账事项，地点即是否涵盖了所有账户，目的是银行对款对账是否按预定的程序得到有效控制，方式是指具体的控制过程。六个要素在一项控制测试中完全得以体现。
　　(二)控制测试的具体方法
　　控制测试的具体方法有询问和访谈、观察、审阅和检查、重新执行等。询问和访谈：测试人员对控制活动执行情况对控制主体进行面对面的部问询；观察：测试人员对执行中的控制，如资产保全、职责分离、安全维护等具体措施的实施实地观察是否真实执行，并查验其执行的效果；审阅和检查：测试人员对控制证据、生成的控制文档或需要检查的财务、技术、管理等各方面资料的实地检查和审阅；重新执行：为测试控制是真实有效的，测试人员对所选交易重新分析或重新执行控制的整个过程。即重新处理交易样本，以确认处理是否正确。
　　这些方法在具体测试过程中，是综合运用的，其作用各不相同，当仅运用询问或访谈、观察或检查，不足以获取充分的证据时，需要将各种方法结合运用。比如：在“银行存款对账”流程的测试过程中，对出纳的登账、对账以及指定人员复核的步骤可以综合运用审阅、检查或询问等方法，验证符合性，对编制银行存款余额调节表这一步骤，有必要的话可以运用重新执行的方法，验证调节表编制和未达账项处理的正确性。
　　(三)测试的程度和范围
　　测试中，对于测试客体，由于控制执行的频次各不相同，有些控制的频次相当高，一日多次发生，需要确定大致范围和程度，这就是对测试样本量的确定，需要采用抽样法，只有科学合理地确定样本量，才能保证测试结果相对合理，将抽样风险降致最低。通常运用任意抽样法、随机抽样法、统计抽样法。
　　样本量一般不低于测试总量的10%，实务操作过程中，视业务发生频次大致可确定为：
　　每年发生一次的业务，直接抽取该笔业务样本，如果该笔样本异常，则测试结论为控制失效；每季发生一次的业务，随机抽取不少于2个样本，若任何一个样本异常，则测试结论为控制失效；每月发生一次的业务，随机抽取不少于4个样本，若任何一个样本异常，则测试结论为控制失效；介于每月发生一次至每周发生一次的业务，随机抽取不少于12个样本，若任何一个样本异常，则测试结论为控制失效；介于每周发生一次至每日发生一次的业务，随机抽取不少于20个样本，若2个以上样本异常，则测试结论为控制失效；若1个样本出现异常， 增加3个样本进行补充测试，若补充的样本任何一个出现异常，则测试结论为控制失效；每日多次发生的业务（即常规业务），随机抽取样本量不少于30个，若2个以上样本异常，则测试结论为控制失效；若1个样本异常，需要增加15个样本进行补充测试，补充样本任何一个出现异常，则测试结论为控制失效；其余情况视为控制有效。