三、内部控制基础：COSO框架、采购与付款循环的关键控制点、控制环境与风险评估
采购与付款循环是企业经营活动中最频繁、涉及资金量最大、最容易滋生舞弊与差错的业务环节之一。审计师对该循环的内部控制进行评估，其理论根基与操作框架均源自美国反虚假财务报告委员会发起组织（COSO）发布的内部控制整体框架。本章将围绕COSO框架的五大要素，聚焦采购与付款循环的关键控制点，深入剖析控制环境与风险评估在审计实务中的具体应用，帮助审计人员建立从“理解框架”到“识别控制”再到“评估风险”的完整思维链路。
3.1 核心原理：COSO框架在采购与付款循环中的映射
COSO内部控制框架由控制环境、风险评估、控制活动、信息与沟通、监督五大要素构成。在采购与付款循环中，这五大要素并非孤立存在，而是相互交织、层层递进。审计师在评估内控时，不能仅盯着“有没有审批单”这类表面控制活动，而应从治理层基调、风险识别机制、信息传递质量、监督评价闭环等维度进行系统性审视。
具体而言，控制环境决定了采购业务的“土壤”——管理层是否重视合规、采购部门是否独立、职责分工是否清晰；风险评估要求企业识别采购环节可能存在的重大错报风险，例如供应商舞弊、价格虚高、存货积压等；控制活动则是具体的政策和程序，如授权审批、职责分离、凭证核对等；信息与沟通确保采购数据在请购、订购、验收、记账、付款各环节之间准确传递；监督则通过持续监控和独立评价，保证内控体系持续有效运行。
| COSO要素 | 在采购与付款循环中的具体体现 | 审计关注重点 |
|---|---|---|
| 控制环境 | 采购部门组织架构、审批权限矩阵、员工职业道德培训、反舞弊机制 | 是否存在“一人多岗”现象？采购经理是否拥有超越权限的审批权？ |
| 风险评估 | 供应商信用评估、市场价格波动分析、合同违约风险预警 | 企业是否建立了供应商黑名单？是否对大宗商品价格波动有应对策略？ |
| 控制活动 | 请购审批、招标比价、三单匹配（采购订单、入库单、发票）、付款审批 | 关键控制点是否有效执行？是否存在绕过控制的情况？ |
| 信息与沟通 | ERP系统采购模块、供应商门户、内部报告机制、异常情况上报 | 系统数据是否完整？采购订单与入库单是否自动匹配？差异是否自动预警？ |
| 监督 | 内部审计定期检查、管理层对采购报表的审阅、外部审计的依赖 | 内审发现的问题是否整改？管理层是否定期审阅采购价格变动报告？ |
3.2 判断方法：采购与付款循环的关键控制点识别与测试
识别关键控制点需要审计师沿着“业务流—数据流—资金流”三条主线进行梳理。业务流关注实物的请购、订购、验收、入库；数据流关注ERP系统中的采购订单、收货单、发票校验记录；资金流关注应付账款、付款申请、银行付款流水。三条主线交汇之处，往往就是关键控制点所在。
实务中，审计师通常采用“控制矩阵”工具来系统识别关键控制点。该矩阵以业务流程为行、以控制目标（完整性、准确性、存在性、计价、截止、分类）为列，逐项判断每个环节是否存在对应的控制措施。例如，针对“存在性”目标，验收环节的“三单匹配”就是关键控制点；针对“完整性”目标，月末应付账款与供应商对账就是关键控制点。
- 请购环节：检查请购单是否连续编号、是否经部门负责人审批、是否与预算挂钩。测试方法：抽取请购单样本，核对审批签字、预算占用情况。
- 订购环节：检查采购订单是否经采购经理审批、是否经过比价或招标程序、供应商是否在合格名录内。测试方法：抽查采购订单，比对供应商报价单、中标通知书。
- 验收环节：检查验收单是否由独立于采购部门的仓库人员填写、是否与采购订单核对数量、质量检验是否有记录。测试方法：实地观察验收流程，抽取验收单与采购订单、入库单核对。
- 记账环节：检查应付账款是否根据发票、入库单、采购订单三单匹配后入账、暂估入库是否及时冲回。测试方法：抽取应付账款明细账，追查至原始凭证。
- 付款环节：检查付款申请是否附完整单据、是否经财务经理和总经理审批、是否按资金计划付款。测试方法：抽取银行付款流水，核对付款审批单、发票、入库单。
3.3 案例拆解：某制造企业采购舞弊的内部控制失效分析
某中型制造企业（以下简称A公司）年采购额约2.8亿元，主要原材料为钢材和电子元器件。2023年度审计中，审计师发现该公司原材料采购单价明显高于市场平均水平，且部分供应商成立时间短、注册资本低。经深入调查，发现以下问题：
背景与约束：A公司采购部共5人，采购经理张某已在公司工作8年，拥有供应商审批权限。公司未建立供应商准入制度，采购订单由张某一人审批即可生效。仓库验收人员由采购部兼任，验收流于形式。
初始现象：审计师在分析采购单价时发现，某型号钢材采购均价为4,850元/吨，而同期市场均价为4,200元/吨，差异率达15.5%。进一步分析发现，该供应商（B公司）成立于2022年6月，注册资本仅50万元，且其法定代表人王某与张某存在亲属关系。
分析判断过程：审计师首先通过国家企业信用信息公示系统查询B公司工商信息，发现其股东结构异常；其次，调取A公司采购订单审批记录，发现所有向B公司的采购订单均由张某一人审批，且未经过比价程序；再次，实地查看仓库验收记录，发现验收单上签字人为张某本人，而非仓库保管员。
实际操作步骤：审计师执行了以下程序：① 获取A公司全部供应商清单，筛选成立时间不足2年、注册资本低于100万元的供应商；② 对筛选出的供应商进行工商背景调查，识别关联关系；③ 抽取向B公司采购的20笔订单，核对审批流程、比价记录、验收单签字；④ 向B公司发函询证交易金额，但未收到回函；⑤ 检查A公司应付账款明细账，发现向B公司的付款均通过“其他应付款”科目核算，未纳入正常应付账款管理。
结果对比：审计师最终确认，A公司向B公司采购的钢材单价虚高约15%，累计多支付货款约230万元。张某利用审批权限和验收权限的集中，通过虚构采购交易、抬高采购单价的方式，将公司资金转移至关联方。
风险与代价：A公司不仅面临资产损失，还因内部控制重大缺陷被出具否定意见的内部控制审计报告，银行授信额度被下调，股价下跌约12%。
复盘经验：该案例充分说明，控制环境薄弱（采购经理权限过大、缺乏监督）和风险评估缺失（未对供应商进行背景调查）是舞弊滋生的温床。审计师在评估内控时，应特别关注“职责分离”这一基础控制是否真正落实，而非仅看制度文件是否齐全。
3.4 控制环境与风险评估：审计中的常见误区与总结复盘
控制环境是COSO框架的基石，但在审计实务中，审计师往往容易忽视其重要性，而过度关注具体的控制活动。常见误区包括：
- 误区一：认为只要企业有完善的制度文件，控制环境就良好。实际上，制度是否被执行、管理层是否以身作则，才是控制环境的核心。
- 误区二：将风险评估等同于财务风险分析。采购环节的风险评估应涵盖供应商风险、市场风险、合规风险、运营风险等多维度。
- 误区三：忽视“软控制”的作用。企业文化、管理层风格、员工胜任能力等软控制难以量化，但对内控有效性影响深远。
- 误区四：在风险评估时，未将控制缺陷与财务报表认定联系起来。例如，验收环节的缺陷不仅影响存货的存在性，还可能影响应付账款的完整性。
总结复盘时，审计师应形成“控制环境—风险评估—控制活动—信息沟通—监督”的闭环评价逻辑。首先，了解企业治理结构和管理层风格，判断控制环境基调；其次，结合行业特点和企业实际，识别采购环节的重大错报风险；再次，针对识别出的风险，测试对应的控制活动是否设计合理、执行有效；然后，评估信息系统是否支持控制的有效运行；最后，检查监督机制是否能够及时发现和纠正控制缺陷。
综上所述，COSO框架为采购与付款循环的内部控制审计提供了系统化的分析工具。审计师应深刻理解五大要素的内在联系，熟练运用控制矩阵识别关键控制点，并通过穿行测试和控制测试验证控制的有效性。同时，保持职业怀疑，关注控制环境中的“人”的因素，将风险评估贯穿审计全程，才能有效识别采购环节的重大错报风险，提升审计质量。