引言
内部控制评价和舞弊风险防范是审计实务的一体两面：内控评价回答「制度设计得好不好、执行到不到位」，舞弊防范回答「有没有人绕过制度做假账」。笔者在施工企业做过多年财务负责人，也配合过多次内控审计和专项调查，深切体会到：财务报告舞弊几乎从不凭空发生，它总是从内控的某个缺口钻进来。本文按企业内部控制基本规范及配套指引的框架，结合施工企业特点，把内控评价的操作要点和舞弊防范机制讲清楚。
内部控制五要素
按《企业内部控制基本规范》，内部控制由五个要素构成：
- 内部环境：治理结构、机构设置与权责分配、内部审计机制、人力资源政策、企业文化，是内控的基础。
- 风险评估：及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。
- 控制活动：根据风险评估结果，采用授权审批、职责分离、预算控制、财产保护、会计系统控制、绩效考评等措施，将风险控制在可承受度之内。
- 信息与沟通：及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间有效沟通。
- 内部监督：对内部控制建立与实施情况进行监督检查，评价有效性，发现缺陷及时改进。
五要素不是并列的五项工作，而是一个有机整体：环境是土壤，风险评估定方向，控制活动是手段，信息沟通是血脉，监督是免疫。
内控评价的范围确定与重要性水平
年度内控评价的范围确定遵循风险导向：覆盖公司层面（治理、组织架构、企业文化、反舞弊）和业务流程层面（资金活动、采购业务、资产管理、销售业务、工程项目、合同管理、财务报告、全面预算等）。工程项目是施工企业的核心业务，必须纳入评价范围且加大测试比重。
重要性水平通常参考财务报告重要性确定，可取营业收入、资产总额或利润的一定比例，并区分财务报表整体重要性和实际执行的重要性。低于重要性水平的缺陷汇总后仍可能构成重大缺陷，评价时要关注缺陷的汇总效应。
缺陷认定标准
缺陷按成因分为设计缺陷（缺少必要控制或控制设计不当，即使按设计运行也无法实现控制目标）和运行缺陷（控制设计合理但未按设计执行，或执行人员缺乏必要授权与胜任能力）。
按严重程度分为三级：
- 重大缺陷：一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标（如财务报告严重错报未被防止或发现）。
- 重要缺陷：一个或多个控制缺陷的组合，严重程度和经济后果低于重大缺陷，但仍需引起董事会和管理层重视。
- 一般缺陷：除重大缺陷、重要缺陷之外的其他缺陷。
认定标准应当定量与定性结合。定量标准以错报金额占相关指标的比例设定区间；定性标准考虑是否涉及舞弊、是否更正已公布报表、审计发现的错报是否源于内控失效、监督无效等情形。涉及管理层舞弊的，无论金额大小，至少认定为重要缺陷并审慎评估是否构成重大缺陷。认定标准由董事会或其授权机构确定并保持一贯。
评价程序：访谈、穿行测试、控制测试、抽样
- 访谈：与流程负责人、执行人员面谈，了解控制的设计与实际运行情况，识别流程变化。
- 穿行测试：选取一笔或数笔交易，从起点追踪到财务报告，验证对流程和控制设计的理解，确认控制是否实际存在。穿行测试不能替代控制测试。
- 控制测试：测试控制在评价期间内的运行有效性，包括询问、观察、检查文档记录、重新执行。
- 抽样：控制测试通常采用抽样，样本量与控制频率相关——每日多次运行的控制样本量最大，年度运行的控制样本量最小，具体样本规模按评价方案确定的抽样标准执行。测试发现偏差的，扩大样本或认定为缺陷。
内控评价报告的编制与披露
内控评价报告内容包括：重要声明、内部控制评价结论、内部控制评价工作情况（范围、程序、方法）、非财务报告内部控制重大缺陷认定情况、财务报告内部控制重大缺陷的认定及整改情况。
按《企业内部控制基本规范》及配套指引的要求，纳入评价范围的单位若存在财务报告内部控制重大缺陷，应当在内控评价报告中如实披露并说明整改安排；上市公司还需关注内控审计意见与评价结论的衔接。报告经董事会审议后对外披露或按规定报送。
财务报告舞弊的高发环节
结合监管处罚案例和实务观察，财务报告舞弊集中在五个环节：
- 收入确认：提前确认收入、虚构完工进度（施工企业按履约进度确认收入，进度估计的主观性是操纵空间）、虚构交易、通过关联方循环交易虚增收入。
- 成本费用跨期：将本期费用挂账推迟确认、少提分包成本、延迟结转材料费，粉饰当期利润。
- 资产减值：应提不提（应收账款、合同资产、存货跌价、商誉），或通过减值准备的大额计提与转回操纵利润。
- 关联交易：非关联化掩盖关联交易、通过体外公司承担成本费用、资金占用。
- 货币资金：虚构银行存款、大额存单质押未披露、资金被挪用后以在途款项挂账。
反舞弊机制的四个组成
- 举报渠道：设立并公布举报电话、邮箱，渠道直达审计委员会或独立部门，允许匿名举报。
- 调查程序：明确举报受理、初步核实、立案调查、结论报告的流程与时限，调查过程保密，重大舞弊调查由审计委员会督导。
- 保护机制：对举报人和证人严格保密，禁止打击报复，违者从重处理。
- 问责制度：舞弊查实后按制度追究责任，涉及违法的移送司法机关，不搞「内部消化」；同时倒查相关管理者的监督责任。
职责分离与授权审批的关键控制点
职责分离的核心是不相容职务相互分离：授权批准与业务经办、业务经办与会计记录、会计记录与财产保管、业务经办与稽核检查、授权批准与监督检查。施工企业的关键控制点包括：
- 资金支付：申请、审批、复核、支付四岗分离，大额支付实行联签或集体决策。
- 采购：请购、审批、询价定价、合同签订、验收、付款分离，供应商准入与评价由独立岗位负责。
- 印章与网银：财务专用章与法人章分管，网银制单与复核分离，U 盾不得由一人保管。
- 授权审批：编制分级授权表，明确各层级审批权限与金额上限，超权限一律上收，禁止口头授权长期化。
施工企业项目层面的内控薄弱环节
- 材料采购：项目部自行采购绕过集中招采、验收单与入库单脱节、废料处置无记录。
- 劳务分包：无合同先进场、结算单由同一人编制与审核、农民工工资代发资料造假、虚增用工量。
- 机械租赁：台班签认随意、租赁单价未经比价、自有设备与租赁设备混用导致成本失真。
- 现场签证：签证事由不实、先施工后补签、签证审批权限下放过度、与业主结算脱节。
- 备用金：项目经理备用金长期挂账、白条抵库、以备用金名义转移资金。
针对这些环节，我们推行了「项目财务委派制」：项目会计由公司财务部垂直委派，薪酬考核与项目部脱钩，对大额支付和结算单据有一票暂缓权。
内控自查表的 20 个检查项
- 是否建立分级授权审批表并每年更新。
- 不相容职务分离矩阵是否覆盖资金、采购、销售、工程项目流程。
- 银行账户开立、变更、注销是否经总部审批。
- 网银制单与复核是否由不同人员操作。
- 财务专用章与法定代表人名章是否分管。
- 大额资金支付是否实行联签或集体决策。
- 备用金是否设定限额并定期清理。
- 供应商准入是否经过资质审查与比价。
- 采购合同是否经法务或合同管理岗审核。
- 材料验收是否做到采购、验收、保管三岗分离。
- 劳务分包是否先签合同后进场。
- 分包结算是否由造价、工程、财务三方复核。
- 农民工工资是否通过专用账户代发并留存考勤记录。
- 机械租赁台班签认是否有现场影像或第三方记录支撑。
- 现场签证是否在约定时限内办理并留存依据。
- 收入确认的完工进度是否有监理或业主确认资料支撑。
- 应收账款账龄分析与催收记录是否按月更新。
- 资产减值计提是否经过管理层审批并留存测算底稿。
- 关联方清单是否动态维护，关联交易是否履行审批与披露。
- 举报渠道是否公布并保持畅通，年度内举报事项是否全部闭环。
常见误区
- 误区一：把内控等同于制度汇编，制度上墙不等于控制运行。
- 误区二：内控评价走过场，测试样本由被评价部门自行提供。
- 误区三：只关注财务报告内控，忽视工程项目、采购等业务内控。
- 误区四：缺陷整改没有跟踪机制，年年评价年年同样问题。
- 误区五：认为小金额舞弊不值得调查，纵容「破窗效应」。
- 误区六：把反舞弊当成监察部门一家的事，业务部门不参与。
落地清单
- 每年更新分级授权表与不相容职务分离矩阵。
- 按风险导向确定年度内控评价范围，工程项目加大测试比重。
- 建立缺陷认定标准（定量加定性），报董事会确认。
- 完善举报、调查、保护、问责四位一体的反舞弊机制。
- 推行项目财务委派制，强化项目层面监督。
- 用 20 项自查表组织年度自查，整改事项闭环跟踪。
- 内控评价报告按规定程序审议、披露或报送。