内部控制之控制测试要点及技巧

内部控制之控制测试要点及技巧

控制测试是开展内部控制评价的另一项重要内容与方法，它通常在穿行测试完毕以后进行，在穿行测试得出设计是否有效的基础上，对控制活动的执行有效性进行测试与判断。

1、什么是控制测试

控制测试是为了验证控制是否按照设计要求被一贯和有效执行的一种测试程序。也就是指在穿行测试的基础上，从样本总体中，根据测试要求抽取多个样本，来测试控制执行的有效性。其目的即含义中所述，即测试验证控制活动是否按控制设计那样被执行，通过是否被统一和一贯及时地执行，通过抽样尽可能地涵盖所有适用交易并获得真实可靠的信息。

2、关键控制的识别

在控制测试操作中，并非所有的控制都需要加以测试，应将测试集中在关键控制上，而且特别值得提醒的是，我们仅需要对“设计有效”的“关键控制活动”开展执行有效性测试，那些存在设计缺陷的控制活动则无需开展，因为即使内部控制按照该设计得到了一贯执行，也不能认为其运行是有效的。因此，控制测试的前提是对控制活动中的关键控制进行判定，在风险控制矩阵中加以标识，并且不能随意更改。

关键控制是指能够保证有较好的机会防止或者发现财务报表差错风险的重要控制。如果关键控制不存在或未被有效执行，即使流程里有其它控制存在，可能也无法防止错误发生的风险。这里列示几种典型的关键控制以供参考：职责分离；反舞弊控制；系统与数据的接触限制、物理安全等；主数据的输入控制；关键数据的系统自动控制；对账、账实核对等期末的检查性控制；例外事项的审阅；数据的详细审核/交叉审核等。

3、控制测试的方法

安装可靠程度的从小到大排列，控制测试的主要方法包括：询问、观察、检查、重新执行。

（1）询问：即通过口头或书面形式确认控制存在，是一种较薄弱的测试方法，应与其他测试共同执行，并且应该询问多人以确定结果一致；

（2）观察：即观察员工执行控制步骤，该方法可能需要其他跟进测试，并且需要结合突袭检查，在员工无准备的情况下获得控制活动执行的真实记录。

（3）检查：这种方法是获得资产存在证据的最简单的方法，主要是通过审阅相关文档记录或报告来对控制活动执行情况进行判断，需要注意的是，在这种方法中需要员工提供详细内容从而可以重复测试步骤并检验结果。

（4）重新执行：如采用独立的数据重新进行对账，按系统的计算公式重新计算，在系统中输入测试数据来查看结果等。这种方法可用于某些重要的并且产生较强数据和表单勾稽关系的控制，例如：根据数据、单据和复核审核控制的传递过程，重新执行一次出差费用报销流程。

4、控制测试程序与要点技巧

（1）确定样本总体

明确了测试方法后，测试人员应向流程负责人取得所需的测试对象的整体（即样本总体），并妥善留存样本总体文件。样本总体在测试期间内应当是完整的，即必须涵盖相应控制在既定的时间和地点范围内的所有业务（对于本身就关注完整性的控制，如收发货相关的控制，如果实际测试取法取得完整样本，应考虑是否控制设计本身就存在问题）。

样本总体的取得方式主要有：

1）从业务发生的末端取得：即从财务系统中直接取得汇总的会计凭证或明细账信息，或通过明细账的借贷方、凭证摘要、或比较期初期末的差异进行分析获得样本总体；

2）从业务发生的前端取得：考虑连续编号的登记簿或汇总表，如支票登记簿、合同登记表等；或从信息系统中提取数据列表。采用该种技术时，需要事先做好计划，与公司IT人员会谈，了解数据的形成和格式，便于正确完整地提取数据；

3）根据控制频率直接判断：如月度或季度的控制点，通常测试期间内只有一个样本，则全部抽取；部分控制可通过从测试期间抽取全部交易日（周）等方式作为样本总体；

4）点数法：即在测试期间内对样本总体进行实际点数。

（2）确定抽样方法

抽样测试是目前普遍采用的测试方式，主要包括随机抽样和任意抽样。测试人员在没有随机软件支持的情况下应采取任意抽样（建议在考虑交易频率的基础上采取等距抽样），并以大金额交易和临近交易为测试重点。

测试人员按设计的方法选取了样本后，不能按个人意愿取舍，应保证样本的真实性。

一旦确定了样本总体后，只能抽样一次，不能在抽样的基础上进行二次抽样。如支票盘点、银行余额调节表等控制，通常选择测试期间内的所有账户的样本，而不能先选定个别测试月份，再从有限的期间内再随意抽取一定比例的账户进行测试，应确保取得一整套的测试文档。再如季度利息预提控制的测试，可选择2个季度内的所有贷款利息预提事项；或选择测试期间内的所有预提事项作为总体再抽取25个样本进行测试。

穿行测试的样本可作为一个样本用于控制测试，一般适用于每年、每季度、每月发生的控制。

（3）确定样本规模

不定期抽样：测试期间发生的实际样本总量乘以10%（最低为1，最高为25）。

IT自动控制：原则上抽取1个样本即可，除非支持该自动控制的IT一般控制经测试无效，否则应抽取 25 个样本进行测试

如因样本不适用等原因导致无法测试的，应考虑重新调整样本总体或选取替代样本。且测试底稿中应详细记录样本不适用的原因和替代样本的选取方法等。

一般的抽样关系如下：

（4）执行控制测试

1）根据控制性质选择测试方法，并预先编写控制测试程序（即测试步骤），也就是要事先明确“查什么”，“怎么查”；

2）检查文档记录中涉及到的金额与数字的前后勾稽关系，也是测试关注的重点；

3）测试过程中综合运用询问、观察、检查文件记录、重新执行等多种程序；

4）测试过程中如果发现实际执行与之前对流程和控制的理解有偏差或异常，应及时与控制执行人和负责人进行沟通确认。

测试完毕或测试异常确认完毕后，应考虑修改并更新现有的风险控制矩阵等控制文档，以保持与实际执行的一致性。如需大幅度修改流程文档或关键控制认定的应由专业人员认定并谨慎进行。

对于非每日或每日多次的控制，如出现1个测试异常，则应视同控制无效；对于每日或每日多次的控制，对发现的测试差异需扩大测试后方可给出结论。测试过程中，发现差异情况通常做如下处理：