内控流程测试，不能止于打分：从控制证据到数字预警的闭环

——把合规义务、岗位职责、剩余风险与管理层决策放进一张风险底图

导语

不少企业已经有流程图、制度清单、风险库和预警看板，但一到检查和问责阶段，仍然回答不清三个问题：某项控制到底有没有执行；发生异常后谁有权接受剩余风险；红黄灯亮起后，业务、合规、风控和管理层分别做了什么。根源在于内控、合规、风险和数据预警仍被做成彼此独立的台账，而不是围绕同一项业务事实运行的闭环。

核心判断是：内控流程测试的目标，不是给流程打一个“有效/无效”的分数，而是证明合规义务已经被嵌入岗位动作，控制已经留下可复核证据，异常已经在授权范围内升级处置，剩余风险已经由有权主体决定是否接受。数字预警只是发现偏离的起点，不能替代事实复核、专业判断和责任认定。

01 从合规义务到控制清单：先把“必须做什么”翻译成流程动作

合规要求如果只停留在法规库和培训课件里，业务人员很难在项目立项、采购、付款、合同变更、数据处理等具体环节正确执行。企业应从“义务—风险—控制—证据—责任人”五个字段建立控制清单：识别外部法律法规、监管要求、章程、授权制度和内部禁令；明确不履行可能导致的后果；把要求嵌入流程节点、表单、系统校验或复核动作；最后明确谁执行、谁复核、留下什么证据、保存在哪里。

岗位职责不能只写“负责审核”“负责监督”。应明确发起、审批、执行、复核、监督和整改的边界。以采购付款为例，业务部门对需求真实性和验收事实负责，采购部门对程序与供应商准入负责，财务对合同、订单、验收、发票和付款条件勾稽负责，法务和合规对重大例外与红线问题提出意见。职责一旦交叉或空白，预警再精准也会在处置环节失效。

02 流程穿行与控制测试：既看设计，也看运行

流程穿行不是照着制度逐项问一遍，而是选取一笔真实业务，从触发需求开始，沿着审批、合同、执行、验收、付款、归档和异常处理一路核验。重点追问：流程图上的控制点在实际业务中是否存在；责任人是否真的参与；系统权限、表单、会议纪要、审批记录、验收单、银行流水和日志能否彼此印证；临时变更和例外事项是否绕开了既定控制。

控制测试必须区分设计缺陷与运行缺陷。设计缺陷是控制本身无法覆盖风险，例如大额付款没有独立验收、风险接受没有授权层级、预警阈值没有统计口径；运行缺陷是设计合理但没有被持续执行，例如复核人未复核、证据缺失、超阈值预警未升级。前者要重设流程、权限和系统逻辑，后者要补责任、培训、监督和问责。把运行问题一概归咎于制度不完善，或把设计问题简单要求“加强执行”，都会让整改停留在口号。

03 风险评估：把“风险名称”还原为可决策的业务事实

有效的风险评估至少要把目标、风险事件、原因、影响、固有风险、现有控制、剩余风险和应对措施连成一条逻辑链。目标是业务想实现什么；风险事件是可能发生什么；原因说明为什么会发生；影响要分别评估现金流、资产安全、合规处罚、项目进度和声誉。固有风险是在不考虑控制时的暴露程度，现有控制说明已经做了哪些防护，剩余风险才是管理层真正需要接受、降低、转移或退出的对象。

风险分级不能只由一次会议主观确定。应明确可能性、影响程度、速度、可侦测性等维度的口径，记录证据来源和评估日期。风险因重大合同、资金安排、监管政策、项目进度或外部环境变化而变化时，应触发重新评估，而不是等年度风险评价时再更新。

04 剩余风险、红线与升级：把“谁决定”写进制度和日志

任何控制体系都不能把风险降为零，关键在于剩余风险由谁接受、何时升级、能否留下决策依据。企业应建立与金额、影响范围、监管敏感度和持续时间相匹配的风险接受权限。项目负责人处理一般偏差，跨部门或影响较大的事项由分管负责人或专门委员会决定，触及重大损失、重大合规、重大安全、重大数据或声誉风险的事项进入经营层、董事会或按规定上报。

禁止性合规红线必须与一般风险接受区分开来。法律法规明令禁止、违反国家安全与安全生产底线、商业贿赂、财务造假、侵犯个人信息权益等事项，不能通过“风险可接受”来豁免。红线预警应直接触发停止、保全、调查、报告和移交，而不是停留在常规整改工单。每一次风险接受、例外批准和升级决策，都要留存事实、规则、备选方案、审批权限、附加条件、期限、复核节点和责任人。

05 数字预警：先统一口径，再谈阈值和模型

每项预警指标应至少定义数据来源、统计口径、计算周期、阈值分级、责任主体和处置要求。以合同付款异常为例，除金额外还要明确合同台账、验收系统和资金系统哪个为主数据；按合同金额、累计付款还是单笔付款计算；同一供应商、同一项目、同一账户如何合并；预付款、质保金、税费是否排除；超过阈值后谁在多长时间内复核并提交什么材料。

预警指标应覆盖前瞻、过程和结果三类信号。前瞻信号包括供应商集中度、权限超配、关键岗位空缺和合同到期；过程信号包括审批超时、频繁变更、验收滞后、异常登录和预算偏离；结果信号包括逾期应收、重复付款、质量索赔、案件数量和监管处罚。没有业务解释的数据波动不能直接定性风险，必须先由业务和数据责任人复核真实性、完整性与异常原因。

06 从提示到关闭：让预警成为管理层可用的风险报告

完整的预警闭环应包括提示、复核、分级、升级、工单、关闭和复盘七个动作。系统生成提示后，责任人先核实数据与事实；确认偏离后按阈值和红线规则分级；需要跨部门处置或超过权限的自动升级；工单明确措施、时限、协同部门和证据要求；关闭前由独立复核人确认整改是否真实、是否降低剩余风险；对重复出现或影响重大的事项进入复盘，调整控制、阈值、权限或制度。

管理层风险报告不应堆砌预警数量，而要呈现风险趋势和决策需要：哪些风险处于红线附近，哪些控制测试发现设计缺陷，哪些剩余风险等待接受或退出决策，哪些整改已逾期，哪些指标因数据质量不足而不可依赖。报告既要有“发生了什么”，也要有“需要谁在何时决定什么”。

结语

内控流程测试、风险决策与数字预警的结合，不是再增加一个系统或一套表格，而是让企业把合规要求真正翻译为流程动作、把控制运行真正沉淀为证据、把风险判断真正上升为有权限的决策。数字化不能取代治理，预警不能取代复核，风险评分也不能取代责任认定。只有把控制测试、剩余风险接受、红线处置、预警工单和管理层报告连成闭环，风险管理才会从事后解释转向事前识别和事中纠偏。

本文仅供政策研究和行业交流，不构成投资、融资或法律建议。

参考资料来源

1. 国务院国有资产监督管理委员会：《关于加强中央企业内部控制体系建设与监督工作的实施意见》。

2. 国务院国有资产监督管理委员会：《中央企业合规管理办法》。

3. 审计署：《审计署关于内部审计工作的规定》。

4. 财政部等五部委：《企业内部控制基本规范》。

5. 国务院国有资产监督管理委员会：中央企业穿透式监管有关公开信息。

 附：如果希望系统学习穿透式监管、五职能协同、重点业务风险穿透以及审计整改等实务内容，可进一步了解相关专题：2026—2027年：国有企业穿透式监管与合规内控风控法务审计专题活动