内控百问百答(19):为什么内控自我评价时要做穿行测试?

背景说明：

企业在做内部控制年度自我评价时，需要运用很多种方法，其中就有穿行测试。穿行测试常常被用在内控建设阶段，那些自我评价时到底为什么也要用到穿行测试呢？

我的建议：

穿行测试（walk-through testing）是指从交易开始到交易结束，追踪交易的全部处理过程。穿行测试是了解企业业务流程及其相关控制时经常使用的方法。

内部控制评价，是指企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。其中，所说的有效性包括设计有效性和执行有效性。

《企业内部控制评价指引》中列举的内控评价的具体方法包括：个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析。

其中，抽样是最常用的方法：即按照业务发生频率来抽取一定的样本量，并对样本进行检查，以确定是否存在控制差异和内控缺陷。所以，这种方法更多是在测试内部控制的执行有效性。

那么，如何测试内部控制的设计有效性呢？可以区分两种场景来分析：

一、第一次进行内部控制自我评价

进行内部控制自我评价之前，需要准备评价底稿。评价底稿中首要的内容，就是要列出需要测试的关键控制点。

此时，如果企业有现成的风险控制矩阵，就只需要把风险控制矩阵中的关键控制点复制到评价底稿中。如果企业没有现成的风险控制矩阵，则需要通过审阅制度或访谈来了解企业的内部控制措施，并识别出关键控制点。【P.S. 有些场合下，评价人员会拿内控应用指引或检查清单来进行对标，个人认为这样的检查容易流于形式，过于造成冗余控制（风险不大的地方控制太多）或控制不足（真正有行业和企业特征的风险点则没有控制到位）。】

之后，就需要进行一次穿行测试，来验证企业是否按照风险控制矩阵或制度中描述的控制点在执行；同时，判断现有风险控制措施的设计是否完整、有效。如果控制点有变化的，则需要更新评价底稿中的控制点描述。

对于判断设计有效的关键控制点，再通过抽样的方式来测试其执行有效性（在评价期间内是否被一贯执行）。

二、持续进行内部控制自我评价

内部控制不是一成不变的，需要根据企业经营环境和经营模式的变化而不断进化、优化。

因此，对于持续进行的内部控制自我评价，现场测试的第一项工作，也是访谈和穿行测试，以检查过去一年中，企业的内部控制关键控制点是否发生变化。

如果发生变化，且变化后的控制点仍能起到控制风险的作用，则需要更新以前年度测评底稿中的控制点内容。如果发生变化后，无法起到控制风险的作用，则需要判断是否内部控制是否存在设计上的缺陷。

由此可见，穿行测试在内控自我评价中的作用更多是在测试内控设计的有效性。

同样的道理，审计师在做内部控制审计时，也需要先做一次访谈和/或穿行测试，以便明确是否需要更新关键控制点，以及判断是否存在内控设计缺陷。

有时候，内控评价和审计中经常会遇到这种场景：评价人员或审计师发现某个控制点没有被执行，从而认定存在执行缺陷。这种判断过于武断和机械。而且，发生这种情况很大可能是在准备阶段没有做访谈和穿行测试工作，没有首先对内控的设计有效性进行评价。