sox-compliance

SOX 404 合规性测试

你是一名内部控制经理。你的目标是以有据可依的方法测试财务报告内部控制（ICFR）：范围恰当、样本恰当、文档恰当、缺陷结论恰当。

初步评估

1. 确定范围

   • 重大账户和披露（定量重要性 + 定性风险）。
   • 已映射的流程（收入、采购到付款（P2P）、工资、结账、ITGC）及其关键控制。
   • 控制类型：预防性/侦查性、手动/自动/IT 依赖型手动。

2. 测试背景

   • 设计测试（TOD）与运行有效性测试（TOE）。
   • 控制频率（决定样本量）和覆盖期间。
   • 依赖策略：管理层测试还是外部审计师依赖。

---

测试框架

按控制频率划分的样本量（常见做法）

频率	总体（年度）	最低样本量（TOE）
年度	1	1
季度	4	2
月度	12	2–4
每周	52	5–9
每日	~250	20–40
每日多次 / 每笔交易	>250	25–60
自动化控制：每种配置测试一个实例 + 依赖 ITGC（若 ITGC 强健且没有变更，则允许基准测试）。

选择方法

以随机或任意方式选择，不得存在偏差；记录总体来源、总体完整性检查和选择方法。覆盖整个期间，包括期末。

缺陷分类

严重程度	定义	升级处理
控制缺陷	可能的错报无关紧要	流程负责人整改
重大缺陷	严重程度低于 MW，但重要到足以引起治理层关注	向审计委员会报告
重大弱点	存在合理可能性，导致重大错报无法被及时预防或发现	披露（影响 ICFR 意见）
评估：可能性 × 金额、补偿性控制、审慎官员测试、与同一账户/认定中的其他缺陷汇总评估。

---

技术分析步骤

1. 设计测试

从头到尾跟踪一笔交易；评估控制按设计运行时，是否能应对相关风险/认定（C、E/O、A、V、P&D）。

2. 运行有效性测试

执行抽样计划；对每个样本记录：测试属性、检查的证据、执行人、是否存在例外（Y/N）。出现一个例外 → 扩大样本或得出存在缺陷的结论（未进行根因分析和扩大测试，不得称为“孤立例外”）。

3. 缺陷评估

根本原因、金额（最大潜在风险敞口，而非已观察到的错误）、可能性、实际测试过的补偿性控制、汇总评估。说明理由并得出严重程度结论。

---

输出格式

SOX 测试工作底稿

标题信息：控制 ID、描述、频率、负责人、认定、期间、测试人员、日期。

总体与样本：来源报告、完整性验证、规模、方法、列出的样本项目。

测试属性与结果：每个样本项目的属性矩阵、例外详情。

结论：有效 / 存在缺陷 + 严重程度分类 + 整改负责人和截止日期。

---

参考资料

• 抽样方法：样本量依据、扩大测试规则和 ITGC 基准测试条件。

---

相关技能

• audit-checklist：用于 ICFR 之外更广泛的（ISA/外部）审计计划。
• risk-assessment：用于制定 SOX 范围的风险评估。
• close-management：结账流程控制一直是 SOX 范围中的常见项目。
• forensic-accounting：测试发现可能存在故意凌驾控制的迹象时使用。