作为一名在注会行业摸爬滚打多年的“老兵”，每到年审季，我的生活就变成了两点一线：要么在客户的会议室里翻凭证，要么在酒店里写底稿，在这个过程中，有一个词像幽灵一样贯穿始终，它既是我们审计工作的基石，也是我们与客户财务人员“斗智斗勇”的焦点——这个词就是“符合性测试”。
如果你不是业内人士，听到这个词可能会觉得云里雾里，甚至觉得它充满了某种冷冰冰的学术气息，但在我看来，符合性测试其实是审计中最具“人情味”、最考验洞察力，甚至最像一部悬疑侦探片的环节，我想撇开教科书上那些晦涩的定义，用最接地气的方式，和大家聊聊符合性测试背后的逻辑、故事以及我个人的思考。
什么是符合性测试？别被术语吓倒了
教科书上说，符合性测试是为了测试内部控制制度的设计和运行是否有效而实施的审计程序，这话听起来没错,但太干瘪了。
让我用一个生活中的例子来解释，假设你雇了一个保姆照顾你的孩子，你不可能24小时盯着她，你制定了一套规则：每天必须给孩子喝两杯牛奶，必须带孩子下楼晒一小时太阳,晚上8点必须让孩子上床。
这时候，你每天下班回家检查保姆是否遵守了这些规则的过程，符合性测试”。
你可能会看垃圾桶里的牛奶盒是不是有两个（检查记录）；你可能会问楼下的保安阿姨今天有没有见到保姆带孩子下来（询问）；你甚至可能突然提前回家，看看保姆是不是真的在8点把孩子哄睡了（观察）。
如果保姆每次都做得很好，你就会觉得“这保姆靠谱”，以后抽查的频率就可以低一点，这就叫“控制风险低”，你可以给予一定的“信任”，反之，如果你发现牛奶盒还是满的，或者孩子晚上10点还在疯跑，你就会觉得“这人不靠谱”，那你以后必须天天盯着，甚至考虑换个保姆（这就叫控制风险高，需要扩大实质性测试的范围）。
在审计中，公司就是那个保姆，股东就是雇主，而我们审计师，就是那个拿着放大镜去检查规则是否被执行的“管家”。
审计师的“四大法宝”：如何看穿伪装
在实际工作中，我们进行符合性测试通常有四种手段：询问、观察、检查和重新执行，这听起来像是在做科学实验，但实际上,这更像是一场心理博弈。
询问：听其言 这是最基础的一步，我们会问财务经理：“这笔超过5万元的支出，是谁审批的？”通常会得到标准的回答：“是总经理审批的。”但在我看来，询问的含金量其实最低，因为人们总是倾向于说“正确”的话，而不是“真实”的话，就像你问那个保姆：“你今天给孩子喝牛奶了吗？”她当然会说喝了，询问只是让我们了解流程长什么样，至于流程是不是真的这么跑,还得看别的。
观察：观其行 这就好玩多了，我们会坐在财务室里，看着出纳怎么开支票，看着会计怎么把账录入系统，有一次，我去一家制造业企业审计，他们的内部控制制度写得那叫一个漂亮，厚厚的一大本，我去仓库观察存货盘点，理论上要求两个人共同点数，一人记录，结果我到了现场，发现那个仓管员一边抽烟，一边随手在单子上填数字，完全是在“盲填”，那一刻，我就知道，那本厚厚的制度书，唯一的用途就是垫桌脚，观察能让我们看到最真实的操作现场，但也存在局限性——因为当你盯着看的时候，大家都会表现得比平时好，这就是著名的“霍桑效应”。
检查：留其痕 这是最耗费体力的环节，我们要去翻凭证、看签字、查印章，公司规定采购要有验收单，我就要去抽几十笔采购，看每一笔后面是不是都贴着验收单，上面的签字是不是真的，这就像家长检查作业，只看结果，但我个人非常反感“形式主义”的检查，有的公司，为了应付审计，把缺的签字补得齐齐整整，甚至日期都是同一种笔迹写的，这时候，检查就变成了单纯的“找茬游戏”,失去了测试控制的意义。
重新执行：做一遍 这是最狠的一招，也是我认为最能说明问题的一招，既然你说你的系统算折旧算得准，好，我自己拿数据算一遍，看跟系统出来的一样不一样，既然你说银行余额调节表每个月都做，好，我拿银行对账单和你账面数，自己调节一次，这就像老师为了验证学生没抄作业，让学生在黑板上重新推演一遍公式，如果这一步做通了,那这个控制的有效性基本就稳了。
那些年，我们在符合性测试中踩过的“坑”
做审计久了，你会对人性有很深的怀疑，我遇到过太多“纸面完美”的案例，写出来简直可以编成一本《防骗指南》。
记得有一年，我审计一家中型贸易公司，他们的采购付款流程非常严格：合同要经法务审核，发票要经专人核对，付款申请要经总经理签字，在抽样测试中，我翻看了几十份凭证，每一份都像教科书一样标准，合同、发票、验收单、签字，一应俱全，我当时心里还挺美，觉得这家公司的内控不错,可以适当减少对采购付款细节的抽查。
事情并没有那么简单。
在做细节测试的时候，我随意挑选了一笔大额付款去核对合同原件，我发现，合同上的条款和后面附在凭证里的复印件有一处细微的差别——原件规定了“货到验收合格后30天内付款”，而复印件上的“30”被拙劣地改成了“90”，顺藤摸瓜，我发现那个负责审核合同的法务人员，其实是老板的小舅子，常年不在岗,所有的审核章都是他扔在办公室让行政人员随便盖的。
更可怕的是，那个所谓的“总经理签字”，经过笔迹比对，大部分是出纳模仿的，因为老板经常出差，出纳为了赶着付款拿回扣,就练了一手模仿签字的好本领。
这个案例给我留下了巨大的心理阴影，从那以后，我个人的观点发生了转变：符合性测试不能只看“有没有”，更要看“真不真”。 当所有的控制点都执行得“完美无缺”时，审计师反而应该警铃大作，在真实的世界里，人总会犯错，流程总会有卡顿，如果几百份样本里连一个涂改、一个迟签、一个备注错误都没有,那这往往意味着整个系统都在为了迎合审计而表演。
为什么我们还要执着于符合性测试？
既然符合性测试这么容易被绕过，甚至可能被造假，为什么我们还要花大把时间去做？直接把账目从头到尾查一遍（实质性测试）不就完了吗？
这就涉及到了审计的“性价比”问题。
想象一下，你去一家拥有上亿笔交易的大型超市审计，如果你不测试内控，直接去核对每一笔小票和银行流水，哪怕你把整个事务所的人都派过去，查到下个世纪也查不完，这时候，符合性测试就是我们的“省力神器”。
如果我们通过测试，发现超市的收银系统（POS机）和后台账务系统是直接关联的，收银员没有权限修改记录，且每天的钱款核对都有严格的监控（即控制有效），那么我们就可以相信，系统里生成的销售额数据大概率是准确的，我们只需要抽查极小一部分交易,就能确认整体的真实性。
这就是我一直强调的：符合性测试的本质，是对“信任”的量化。 我们不是盲目信任企业，而是通过科学的测试,去评估我们能信任它多少。
如果测试结果好，我们就可以“偷懒”（减少实质性测试）；如果测试结果不好，我们就得“拼命”（扩大实质性测试范围）。
这就好比开车，符合性测试就是检查刹车系统，如果刹车好，你敢开120码；如果刹车失灵，你只能开20码，甚至根本不敢上路，在审计中，如果内控失效，我们面临的审计风险就会激增，为了保护自己，我们只能采取最笨、最累、最保险的方法去查账。
我的个人观点：别让符合性测试变成“走过场”
写了这么多,我想发表一点作为行业从业者的个人感慨。
在现在的审计实务中，我观察到一种不好的倾向：很多年轻的审计师，甚至是一些项目经理，把符合性测试当成了纯粹的“填空题”，他们不管企业的实际情况，直接套用事务所的标准模板，看到有签字就打勾,看到有单据就算通过。
这种做法是非常危险的，符合性测试的灵魂，在于“职业怀疑”。
我认为，一个优秀的审计师，在做符合性测试时,心里应该始终装着三个问题：
- 这个控制是设计来防谁的？（防员工舞弊？防错误？还是防税务风险？）
- 执行这个控制的人，有没有动力去绕过它？（出纳有没有动机模仿签字？）
- 如果这个控制失效了，后果有多严重？（是导致多付了几百块运费，还是导致几千万的资产流失？）
如果控制失效的后果很严重（比如资金划转），那么哪怕我们在测试中没发现问题,也要保持十二分的警惕。
我认为沟通在符合性测试中往往被低估了，很多时候，我们发现控制执行不到位，并不是因为员工坏，而是因为制度设计得太反人类，要求一个每天要处理几百单的采购员，对每一张两块钱的快递单都找三个领导签字，这在现实中根本做不到，最后的结果必然是员工先斩后奏,或者领导把私章扔在那随便盖。
这时候，审计师不应该只是冷冰冰地记录“控制未执行”，而应该从咨询的角度，建议企业优化流程，比如设定一个金额门槛，超过多少才需要高级审批，这样既符合成本效益原则，也能让内控真正落地,而不是变成一纸空文。
在信任与怀疑之间寻找平衡
符合性测试，说到底，就是一门在“信任”与“怀疑”之间寻找平衡的艺术。
我们既不能像多疑的神经病患者，把每一个签字都看作是阴谋；也不能像天真的孩子，相信每一个印章背后的承诺，我们需要用专业的眼光，去穿透那些枯燥的表格和繁杂的流程,去触摸企业运营的真实脉搏。
对于企业来说，不要把符合性测试当成是审计师来找麻烦的，如果你们的内控真的有效，它不仅能帮你们通过审计，更能帮你们堵住管理的漏洞，省钱、省心、省事。
对于我们审计师而言，我们签字的背后，是对公众的一份承诺。 那些在符合性测试中偷的懒，最终都会在实质性测试中变成泪,甚至在未来变成法律诉讼中的悔。
下一次，当你拿起那份满是签字的付款申请单时，别急着打勾，多看一眼，多问一句，多想一下，因为在那看似平淡无奇的墨迹背后，可能藏着一个企业的真相,也可能藏着我们职业生涯的转折点。
这就是符合性测试，枯燥，却充满挑战；机械，却关乎人性，它是审计工作的基石，也是我们每一个注会人必须修好的“心法”。
还没有评论，来说两句吧...