第3章 控制矩阵的构成要素

控制矩阵这东西，说白了就四个柱子撑着——控制目标、控制活动、控制频率、控制责任人。你在审计报告里看到的那一条条控制点，拆开来看，无非就是这四个部分的不同组合。我刚开始带项目那会儿，总觉得把表填满就行，后来吃过亏才明白：每个要素写不到位，整张矩阵就是废纸。

这一章我们不扯理论，直接上干货。我把每个要素掰开揉碎了讲，顺便说说我在项目中踩过的坑。

3.1 控制目标——你到底要防什么

控制目标不是业务目标。我见过很多团队把"提升销售额"写进控制目标里，这就不对了。控制目标回答的是：我们要防止什么风险？要确保什么结果？

举个例子：
❌ 错误写法：「提高付款效率」
✅ 正确写法：「确保所有付款都经过授权审批，防止未授权支付」

我个人习惯把控制目标分成三类，这样写起来不容易漏：

• 完整性目标——确保所有交易都被记录，没有遗漏。比如"所有销售订单都已录入系统"。
• 准确性目标——确保数据正确无误。比如"库存数量与实物盘点一致"。
• 合规性目标——确保符合政策法规。比如"报销单据符合公司差旅制度"。

3.2 控制活动——具体怎么干

控制活动就是具体的操作步骤。你想想看，光有目标没有动作，那就是空喊口号。我在项目中遇到过控制活动只写一句话的情况——"财务审核发票"。这等于没写。谁来审？审什么？审完怎么处理？全都没说清楚。

写控制活动要遵循"谁、在什么时间、做什么事、留下什么证据"这个公式。比如：

这样写，任何人拿到都能直接执行。你不用猜，不用问，照着做就行。

控制活动常见的形式有：

• 审批类——XX金额以上的合同需经XX审批
• 核对类——将A表与B表进行交叉比对
• 系统控制类——系统自动校验金额不允许为负数
• 实物控制类——仓库双人双锁管理

3.3 控制频率——多久干一次

频率选不对，控制要么形同虚设，要么把人累死。我记得有个项目，业务部门为了"合规"，把每天都要做的控制写成了"每日执行"，结果实际业务量根本支撑不了这个频率，最后变成了月底一次性补签——这反而成了更大的风险。

频率	适用场景	典型示例
一次性	项目启动、系统上线、组织变更	新系统上线前的权限配置复核
每日	高频交易、现金流相关	出纳每日盘点现金并与账面对账
每周	常规业务、批量处理	销售团队周报数据核对
每月	财务结账、绩效统计	银行余额调节表编制
每季度	合规报告、资产盘点	固定资产季度抽盘
每年	全面盘点、制度修订	年度存货全面盘点

3.4 控制责任人——出了事找谁

这一项最容易被当成"填个名字就行"。我建议你认真对待。控制责任人不是"知道这事的人"，而是对这个控制点负责的人。他需要有权限调配资源，推动整改。

实际操作中，我推荐用RACI模型来厘清责任：

• R（负责执行）——具体干活的人，比如出纳、会计
• A（审批决策）——签字拍板的人，比如财务经理
• C（被咨询）——提供信息的人，比如业务部门
• I（被通知）——结果抄送的人，比如内审部

3.5 四个要素怎么捏到一起

好了，四个要素都讲完了。但它们不是孤立存在的。你想想看，一条完整的控制点应该是：谁来（责任人）按照什么频率（频率）做什么事（活动）以达到什么目的（目标）。

它们的关系就像一台四驱车——四个轮子都得转，少一个就翻车。下面这张图能帮你快速理解它们的协作逻辑：

你看这个图就清楚了：四个要素围绕控制矩阵形成一个闭环。目标定方向，活动抓落实，频率管节奏，责任人兜底。哪个环节断了，整个控制就失效了。

3.6 实战案例——一条完整的控制点长什么样

讲再多不如看实例。下面这条控制点来自我以前做的一个采购付款项目，你感受一下四个要素是怎么揉在一起的：

要素	内容
控制目标	确保所有采购付款都基于已验收的采购订单和匹配的发票，防止重复付款或虚假付款
控制活动	应付会计在ERP中执行三单匹配（采购订单、入库单、发票），匹配一致后生成付款建议，经财务经理审批后出纳方可付款
控制频率	每笔付款前执行（即每次触发付款时执行）
控制责任人	执行人：应付会计；复核人：财务经理