sox-testing

SOX 合规测试

如果您看到不熟悉的占位符，或需要检查已连接的工具，请参阅 CONNECTORS.md。

重要提示：本命令用于辅助 SOX 合规工作流程，但不提供审计或法律建议。所有测试工作底稿和评估在用于审计文档之前，均应由具备资质的财务专业人员审核。

为 SOX 404 财务报告内部控制生成样本选取、创建测试工作底稿、记录控制评估并提供测试模板。

用法

/sox <control-area> <period>

参数

• control-area — 要测试的控制领域：
  • revenue-recognition — 收入循环控制（订单到收款）
  • procure-to-pay 或 p2p — 采购与应付账款控制（采购到付款）
  • payroll — 薪资处理与薪酬控制
  • financial-close — 期末结账与报告控制
  • treasury — 现金管理与资金库务控制
  • fixed-assets — 固定资产生命周期控制
  • inventory — 存货计价与管理控制
  • itgc — 信息技术通用控制（访问、变更管理、运营）
  • entity-level — entity 层面及监控控制
  • journal-entries — 日记账分录处理控制
  • 任何特定的控制编号或名称
• period — 测试期间（例如 2024-Q4、2024、2024-H2）

工作流程

1. 识别待测试的控制

根据控制领域，识别关键控制。呈现控制矩阵：

控制编号	控制描述	类型	频率	关键/非关键	风险	认定
[ID]	[描述]	人工/自动/依赖IT	每日/每周/每月/每季/每年	关键	高/中/低	[CEAVOP]

控制类型：

• 自动控制： 由系统执行、无需人工干预的控制
• 人工控制： 由人员依据判断执行的控制
• 依赖 IT 的人工控制： 依赖系统生成数据的人工控制

认定（CEAVOP）：

• Completeness（完整性）— 所有交易均已入账
• Existence/Occurrence（存在/发生）— 交易确实发生
• Accuracy（准确性）— 金额记录正确
• Valuation（计价）— 资产/负债计价恰当
• Obligations/Rights（权利与义务）— 主体对资产拥有权利，对负债承担义务
• Presentation/Disclosure（列报与披露）— 分类恰当并已披露

2. 确定样本量

根据控制频率和风险计算样本量：

控制频率	总体规模（约）	建议样本量
每年	1	1（测试该实例）
每季	4	2
每月	12	2-4（视风险而定）
每周	52	5-15（视风险而定）
每日	约 250	20-40（视风险而定）
逐笔交易	不定	25-60（视风险和交易量而定）

需考虑以下调整因素：

• 风险水平： 风险较高的控制需要更大的样本
• 上一年度结果： 上年存在缺陷的控制需要更大的样本
• 依赖程度： 外部审计师依赖的控制可能需要更大的样本

3. 生成样本选取

使用适当的方法从总体中选取样本：

随机选取（逐笔交易层面控制的默认方法）：

• 生成随机数，从总体中选取特定项目
• 确保覆盖整个期间

系统选取（适用于定期控制）：

• 以随机起点按固定间隔选取项目
• 确保覆盖所有子期间

有针对性的选取（作为随机选取的补充，用于基于风险的测试）：

• 选取具有特定风险特征的项目（高金额、异常、期末）
• 记录有针对性选取的理由

呈现样本：

SAMPLE SELECTION
Control: [Control ID] — [Description]
Period: [Testing period]
Population: [Count] items, $[Total value]
Sample size: [N] items
Selection method: [Random/Systematic/Targeted]

| Sample # | Transaction Date | Reference/ID | Amount | Selection Basis |
|----------|-----------------|--------------|--------|-----------------|
| 1        | [Date]          | [Ref]        | $X,XXX | Random          |
| 2        | [Date]          | [Ref]        | $X,XXX | Random          |
| ...      | ...             | ...          | ...    | ...             |

4. 创建测试底稿

为每项控制生成测试模板:

SOX CONTROL TESTING WORKPAPER
==============================
Control #: [ID]
Control Description: [Full description of the control activity]
Control Owner: [Role/title — to be filled by tester]
Control Type: [Manual/Automated/IT-Dependent Manual]
Frequency: [How often the control operates]
Key Control: [Yes/No]
Relevant Assertion(s): [CEAVOP]
Testing Period: [Period]

TEST OBJECTIVE:
To determine whether [control description] operated effectively throughout the testing period.

TEST PROCEDURES:
1. [Step 1 — What to inspect, examine, or re-perform]
2. [Step 2 — What evidence to obtain]
3. [Step 3 — What to compare or verify]
4. [Step 4 — How to evaluate completeness of performance]
5. [Step 5 — How to assess timeliness of performance]

EXPECTED EVIDENCE:
- [Document type 1 — e.g., signed approval form]
- [Document type 2 — e.g., system screenshot showing review]
- [Document type 3 — e.g., reconciliation with preparer sign-off]

TEST RESULTS:

| Sample # | Ref | Procedure 1 | Procedure 2 | Procedure 3 | Result | Exception? | Notes |
|----------|-----|-------------|-------------|-------------|--------|------------|-------|
| 1        |     | Pass/Fail   | Pass/Fail   | Pass/Fail   | Pass/Fail | Y/N    |       |
| 2        |     | Pass/Fail   | Pass/Fail   | Pass/Fail   | Pass/Fail | Y/N    |       |

EXCEPTIONS NOTED:
| Sample # | Exception Description | Root Cause | Compensating Control | Impact |
|----------|----------------------|------------|---------------------|--------|
|          |                      |            |                     |        |

CONCLUSION:
[ ] Effective — Control operated effectively with no exceptions
[ ] Effective with exceptions — Control operated effectively; exceptions are isolated
[ ] Deficiency — Control did not operate effectively
[ ] Significant Deficiency — Deficiency is more than inconsequential
[ ] Material Weakness — Reasonable possibility of material misstatement not prevented/detected

Tested by: ________________  Date: ________
Reviewed by: _______________  Date: ________

5. 提供常见控制测试模板

根据控制领域,提供预置的测试步骤模板:

收入确认:

• 核实销售订单的审批与授权
• 确认交付或履约证据
• 对照合同条款测试收入确认时点
• 对照合同或价目表核实定价准确性
• 测试贷项通知单的审批与有效性

采购到付款:

• 核实采购订单的审批与授权额度
• 确认三单匹配(采购订单、收货单、发票)
• 测试供应商主数据变更控制
• 核实付款审批及职责分离
• 测试重复付款预防控制

财务结账:

• 核实账户调节的完整性与及时性
• 测试日记账分录的审批与职责分离
• 核实对财务报表的管理层复核
• 测试合并及抵销分录
• 核实披露清单的完成情况

ITGC:

• 测试用户访问权限的授予与撤销
• 核实特权访问的复核
• 测试变更管理的审批与测试
• 核实批处理作业监控及异常处理
• 测试备份与恢复程序

6. 记录控制评估

对识别出的缺陷进行分类:

控制缺陷: 控制未能使管理层或员工及时防止或发现错报。需考虑:

• 错报发生的可能性
• 潜在错报的金额大小
• 是否存在补偿性控制

重要缺陷: 单项缺陷(或多项缺陷的组合),其严重程度低于重大缺陷,但足以引起负责监督者的关注。

重大缺陷: 单项缺陷(或多项缺陷的组合),存在合理可能性,即重大错报无法被及时防止或发现。

7. 输出

提供:

1. 所选领域的控制矩阵
2. 附抽样方法说明的样本选取
3. 附预填测试步骤的测试底稿模板
4. 结果记录模板
5. 缺陷评估框架(如发现例外事项)
6. 针对已记录缺陷的建议整改措施