4. 运行有效性概念
在完成控制设计有效性测试之后，审计人员需要进一步回答一个更贴近实务的问题：这项控制在报告期内是否真的被一贯执行？执行的人是否具备权限？执行频率是否符合设计？执行时是否留下了可验证的证据？这正是运行有效性测试要解决的核心命题。设计有效性回答“控制设计得对不对”，运行有效性回答“控制跑得好不好”。两者缺一不可，设计再完美，若未被执行或执行走样，重大错报风险依然无法被有效抑制。
一、运行有效性的定义与内涵
运行有效性是指控制在报告期内被相关人员按照既定设计持续、一致地执行，且执行过程与结果能够支持控制目标的实现。它包含三个不可分割的要素：
- 执行主体正确：由设计指定的岗位或人员执行，未出现越权、代操作或职责分离失效。
- 执行方式一致：实际执行步骤、依据、审批层级与设计文档相符，未擅自简化或跳过关键环节。
- 执行频率达标：在报告期内按设计频率发生，未出现长期停用、集中补做或事后补签。
需要强调的是，运行有效性测试的对象是控制活动本身，而非控制运行的结果数据。例如测试“月末银行余额调节表由财务经理复核”，关注点是复核是否真实发生、是否留下签字与日期，而不是调节表最终是否恰好平衡。
二、判断标准：什么算“有效运行”
判断运行有效性不能凭感觉，需要建立可操作的判定标准。实务中通常从以下维度设定：
| 判断维度 | 有效运行的表现 | 无效运行的典型信号 |
|---|---|---|
| 执行频率 | 与设计频率一致，无长期中断 | 季度控制只在年末集中执行一次 |
| 执行人员 | 具备授权，职责分离有效 | 制单与复核为同一人 |
| 执行证据 | 留有签字、日期、系统日志等可追溯痕迹 | 仅有口头确认，无书面或系统记录 |
| 执行质量 | 关键步骤完整，异常被识别并跟进 | 复核流于形式，异常未处理 |
| 偏差处理 | 偏差被记录、评估并采取纠正措施 | 偏差被忽略或未分析根因 |
三、测试期间与样本设计
运行有效性测试的测试期间通常覆盖整个报告期，或至少覆盖控制预期运行的大部分时间。若控制在期中发生重大变更，需分段测试并分别评价。测试期间的选择直接影响样本量的确定。
样本设计需考虑控制频率、总体规模、可容忍偏差率和预期偏差率。控制频率越高，样本量通常越大。以下是一个常见的样本量参考逻辑：
控制频率 典型样本量参考
年度控制 1 次
季度控制 2～4 次
月度控制 2～5 次
每周控制 5～15 次
每日控制 20～40 次
多次每日控制 25～60 次
样本选取应具有代表性，优先使用随机选样或系统选样，避免只挑选容易获取或看起来“干净”的样本。对于自动化控制，样本量可适当减少，但需验证系统逻辑与权限配置未发生变更。
四、偏差处理：发现异常后怎么办
偏差是运行有效性测试中最需要谨慎处理的环节。发现偏差后，不能简单判定“控制无效”，而应执行以下步骤：
- 确认偏差性质：是执行遗漏、执行错误，还是证据缺失？是否属于孤立事件？
- 扩大测试范围：针对同一控制追加样本，判断偏差是否系统性存在。
- 评估偏差影响：分析偏差是否导致重大错报风险未被覆盖，是否影响相关认定。
- 考虑替代控制：若原控制失效，是否存在其他补偿性控制可依赖。
- 形成结论并沟通：将偏差及处理结果记录于工作底稿，并与管理层沟通整改。
五、案例场景：月度复核控制的测试
某公司设计了一项月度控制：每月末由财务经理复核银行存款余额调节表并签字。审计人员选取报告期内6个月作为样本，测试发现：
- 4个月有完整签字与日期，复核痕迹清晰；
- 1个月签字缺失，但邮件记录显示财务经理曾回复确认；
- 1个月由会计代签，财务经理出差未实际复核。
针对缺失签字的月份，审计人员通过邮件记录确认复核实质发生，可视为有效；针对代签月份，属于执行主体错误，构成偏差。追加测试后未发现其他代签情况，判断为孤立偏差，但需评估该月调节表是否存在未发现的错报，并建议公司增加出差期间的授权替代机制。
六、常见误区与复盘要点
运行有效性测试中，以下误区最容易导致结论偏差：
- 只看有没有签字，不看签字是否真实：签字可能是事后补签或代签，需结合日期、笔迹、系统日志交叉验证。
- 样本集中在容易获取的月份：应覆盖报告期各阶段，尤其是业务高峰期和人员变动期。
- 发现偏差直接判定控制无效：应先扩大测试、评估偏差性质与影响，再下结论。
- 忽略自动化控制的变更：系统升级、权限调整可能导致控制逻辑变化，需重新验证。
- 测试期间与报告期不匹配：仅测试期中几个月，却对全年控制下结论，证据不充分。
运行有效性测试的本质，是用充分、适当的证据去证明控制在报告期内真实、持续、正确地运行。定义明确了方向，判断标准提供了尺度，测试期间与样本设计决定了证据的覆盖面，偏差处理则考验专业判断。四者环环相扣，缺一不可。