内控制度齐全但业务仍在绕行，怎样用穿行测试区分设计缺陷和运行缺陷？

中智博诚 · 专业研究

内控制度齐全但业务仍在绕行，怎样用穿行测试区分设计缺陷和运行缺陷？

国企治理与合规风控｜内部控制评价、证据与整改

不少企业的制度、流程图、权限表都很完整，实际业务却仍会出现先付款后审批、同一人兼任不相容岗位、系统外传递指令、补签倒签等问题。评价人员看到制度存在，容易判断“设计没有问题，只是执行不到位”；业务部门看到一笔漏签，又可能直接认定为重大内控缺陷。两种判断都可能过快。

区分设计缺陷和运行缺陷，关键是同时回答三个问题：控制是否被设计出来，设计是否足以应对风险，设计好的控制是否在真实业务中由适当人员持续执行。

一、先把控制目标和风险说清楚

穿行测试不能从“找一张单据”开始。应先明确业务目标、主要风险以及拟依赖的控制。例如采购付款的目标可能包括交易真实、验收充分、金额准确和权限合规；对应风险包括虚假交易、重复付款、未验收付款和越权审批。

控制活动必须与风险对应。若制度只要求“履行审批程序”，却未明确谁审批、审批什么、达到什么金额需要升级、哪些资料是前置条件，即使每笔业务都有人签字，也可能存在设计缺陷。

二、穿行测试要从起点追到终点

《企业内部控制评价指引》把穿行测试列为现场测试方法之一。财政部会计司的解读进一步说明，穿行测试是在流程中选取一笔交易，从最初起源追踪到最终进入财务报表或经营管理报告的全过程，用于了解控制设计并识别关键控制点。

一笔采购付款可从需求提出开始，依次追踪预算、采购、合同、收货、验收、发票校验、付款审批、资金支付和会计记录。每到一个节点都核对：输入材料是什么，谁执行，系统或表单留下什么痕迹，异常时谁决定，结果传递到哪里。

只看制度文本无法发现系统允许跳过审批、权限配置与制度不一致、纸面验收无法关联实物等问题；只看最终付款凭证，也无法确认前端控制何时发生。

三、怎样识别设计缺陷

设计缺陷通常表现为：应有的关键控制没有建立；控制虽然存在，却不能及时预防或发现并纠正风险；控制主体、频率、阈值或证据要求不明确；控制之间出现空档或相互冲突。

例如制度要求重大合同法务审查，但没有定义“重大”的金额和风险标准，也没有规定修改后的合同是否必须重新审查。即使业务人员按现有制度操作，仍可能让重大变更绕过审查。这类问题应优先回到制度、权限、流程和系统设计整改。

再如系统允许经办人自行创建供应商、修改收款账户并发起付款，而后续审批只核金额、不核账户变更，岗位分离表即使写得很完整，也没有形成有效制衡。

四、怎样识别运行缺陷

运行缺陷的前提是控制设计本身能够应对风险，但没有按设计执行，或执行人员不具备必要权限和能力，或执行频率、质量、证据不足。

例如制度和系统都明确付款前必须完成验收，验收标准、责任人和附件要求也清楚，但抽样发现部分业务通过借用他人账号、线下指令或补传附件绕过控制，这更接近运行缺陷。整改重点包括责任落实、权限收回、系统强制校验、异常监测和执行培训。

但不能只凭一笔例外下结论。还要核对例外是否获得合规授权、是否属于制度允许的紧急情形、是否触发补充复核，以及同类问题的发生频率和影响范围。

五、一笔穿行不能替代运行有效性测试

穿行测试可以确认流程是否按理解存在、关键控制点是否落地，也能暴露明显设计断点。但一笔业务顺利通过，并不能证明全年所有控制持续有效。

评价运行有效性时，应根据控制频率和风险程度确定样本，结合抽样、访谈、实地查验、系统日志、重新执行和比较分析。每日控制、每月控制和偶发重大事项控制，样本策略不会相同。自动控制还要核对程序、权限、变更和基础数据控制是否可靠。

六、用“七要素”形成缺陷判断底稿

建议每个控制至少记录：控制目标、对应风险、控制活动、执行主体、执行频率、证据载体、例外处理。评价人员再分别回答设计有效性和运行有效性。

工作底稿应保留流程节点、样本来源、原始证据、测试步骤、发现事实、被评价单位解释、评价人员判断和复核意见。对于设计与运行同时存在问题的，不宜为了统计方便只选一个标签，应说明先修设计还是先纠执行，以及两者如何共同影响控制目标。

七、缺陷等级不能由“漏签次数”直接决定

《企业内部控制评价指引》要求根据现场测试证据初步认定缺陷，并按影响程度区分重大、重要和一般缺陷；具体标准由企业结合实际确定。缺陷等级应关注对控制目标的偏离程度、影响范围、发生可能性、补偿性控制及是否造成损失或错误。

同样是一笔漏签，如果后续有独立复核、未造成越权付款且属于偶发操作偏差，判断可能不同；如果漏签反映审批人长期缺位、系统可普遍绕过，或涉及重大资金和舞弊风险，严重程度会明显上升。

八、整改要对应缺陷成因

设计缺陷应修改制度、权限、流程、系统规则和责任分工；运行缺陷应处理账号权限、培训、监督、异常预警和执行问责。整改验收不能只看“制度已修订”或“人员已培训”，应重新测试控制是否能防止原风险，并在一段期间内观察运行证据。

穿行测试的价值，不是把流程重新画一遍，而是把制度、系统、人员和证据放在同一条业务链上验证。只有先区分设计是否合理，再验证运行是否持续，内控评价才能给出可整改、可复核的结论。

参考资料

1.《企业内部控制基本规范》（财会〔2008〕7号）
2.《企业内部控制评价指引》（财会〔2010〕11号附件2）
3.财政部会计司解读《企业内部控制评价指引》
4.《企业内部控制规范体系实施中相关问题解释第1号》（财会〔2012〕3号）