Systems of internal control

欢迎阅读内部控制系统指南！

你好！今天我们将深入探讨“审计与鉴证”（Audit and Assurance）中最重要的一个领域：内部控制（Internal Control）。如果你曾好奇公司如何确保现金不会不翼而飞，或如何确保财务报表准确无误，那么你来对地方了。

如果起初觉得这些内容有点专业，别担心。你可以把内部控制想象成企业的“免疫系统”。就像你的身体有对抗细菌、保持健康的免疫系统一样，企业也需要系统来对抗错误和舞弊，从而保持公司的健康运作。让我们一步步拆解吧！

1. 到底什么是内部控制？

在 ACCA 的世界里，内部控制被定义为由治理层（TCWG）、管理层及其他人员设计、执行及维持的程序。

目标： 提供“合理保证”，确保企业在以下方面实现目标：

1. 财务报告的可靠性（数字是正确的）。
2. 运营的有效性及效率（业务运作顺畅）。
3. 符合相关法律法规（没有违法乱纪）。

小比喻：餐厅的例子

想象你拥有一家繁忙的披萨店。为了防止员工从收银机拿走现金，你给每位员工一个独立的登录密码，并安装了闭路电视。这些就是内部控制。它们虽然不能 100% 保证没人会偷窃，但它们能大大增加舞弊的难度，并帮助你发现错误！

2. 内部控制的五个要素（记住“CRIME”口诀）

为了帮你记住内部控制系统的五个部分，我们可以使用 CRIME 这个助记词，这是审计师常用的经典技巧！

Control Environment（控制环境）

这就是所谓的“高层基调”（Tone at the Top）。它关乎管理层对内部控制的态度、意识和行为。如果首席执行官（CEO）都不理会规则，员工很可能也会跟着无视。

关键要素： 管理层的经营理念、组织架构，以及人力资源政策（例如聘请诚信的人员）。

Risk Assessment Process（风险评估程序）

公司如何识别业务风险？例如，如果公司开始网上销售产品，他们就会面临“网络攻击”的新风险。一个良好的内部控制系统必须具备识别这些风险，并决定如何应对它们的方法。

Information System and Communication（信息系统与沟通）

这就像公司的数据“管道”。它是用于发起、记录、处理和报告交易的程序与记录。它能确保每个人都清楚自己在控制系统中扮演的角色。

Monitoring of Controls（控制的监督）

需要检查控制措施是否依然有效。这可能涉及由内部审计部门定期测试员工是否遵守规定。这就像老师检查学生有没有认真完成功课一样。

Control Activities（控制活动）

这是确保管理层指令得以执行的具体政策和程序。（我们将在下一节详细介绍！）

重点总结：

CRIME（控制环境、风险评估、信息系统、监控、控制活动）代表了内部控制的整体架构。审计师需要了解全部五个要素，才能评估重大错报的风险。

3. 详细的控制活动（记住“SPAM SOAP”口诀）

虽然“CRIME”是大方向，但控制活动是员工采取的具体行动。要记住这些，请使用 SPAM SOAP：

S - Segregation of Duties（职责分工）： 绝不要让一个人完成所有事。例如，填写支票的人不应是签署支票的人。
P - Physical Controls（实物控制）： 锁好仓库、使用保险柜，或在电脑上设置密码。
A - Authorization（授权）： 交易应由适当的人员批准（例如：超过 $50 的退款必须由经理签署）。
\nM - Management（管理）： 由管理层执行的监控，例如对照预算审核业绩。

S - Supervision（督导）： （注意：职责分工非常重要，所以常被列出，但在助记词中，这里我们也看重督导）。督导意味着监督他人的工作。
\nO - Organization（组织）： 公司内部明确的权责分工。
\nA - Arithmetic/Arithmetical（算术计算）： 核对发票和记录上的数字是否正确。
\nP - Personnel（人员）： 确保员工具备胜任工作的能力并接受过适当培训。

你知道吗？

小型企业发生舞弊最常见的原因是缺乏职责分工。如果一个人同时负责处理现金、记录销售额及进行银行调节，钱就非常容易“不翼而飞”。

4. 内部控制的局限性

即便再完善的系统也不会是完美的。审计师称之为固有限制（Inherent limitations）。无论公司花多少钱，永远无法拥有一套 100% “滴水不漏”的系统。为什么？

1. 人为错误： 有人可能因为疲劳而输入错误的数字。
\n2. 串通（Collusion）： 两名或以上的员工可能合谋绕过控制（例如：写支票的人和签支票的人串通一起盗窃）。
\n3. 管理层凌驾（Management Override）： 高层主管可能滥用权力无视控制。
\n4. 成本效益（Cost vs. Benefit）： 如果一个装着价值仅 $10 枝笔的盒子，却花 $1,000 去买锁，这并不符合成本效益。
5. 滥用职权： 负责人可能会为了个人利益而滥用权力。

快速复习：常见误区

误区： 认为内部控制仅用于预防舞弊。
纠正： 内部控制同样能预防简单的错误，并协助公司保持高效运作！

5. 总结与后续步骤

了解内部控制至关重要，因为作为审计师，如果你发现公司有强力的控制措施，你通常可以减少对数字的直接测试；如果控制措施薄弱，你就必须花更多力气去核查每一笔交易！

总结清单：
- 你能定义内部控制吗？（DIM - 设计、执行、维持）。
- 你记住 CRIME 了吗？（五个要素）。
- 你记住 SPAM SOAP 了吗？（具体的控制活动）。
- 你明白控制为何会失效吗？（人为错误、串通等）。

做得好！你已经掌握了内部控制系统的基础。把这些助记词记在心里，无论遇到什么相关问题，你都能迎刃而解！