风险控制措施与责任岗位对应检查

能帮做什么

制度规定“付款前应审核”，实际表格却没有审核人，也没有说明审核什么。风险表、制度和岗位各自完整，并不代表它们连在一起可以执行。

WorkBuddy 可以把业务风险、控制要求、责任岗位和执行证据对应起来，找出没有责任人、没有验证方式或只有制度文字的位置。它做的是控制资料检查，不能替代现场测试和内审结论。

准备什么

提供指定业务流程、风险清单、控制制度、岗位与授权、表单以及获准使用的执行记录。明确检查范围、期间和控制目标。现有控制有效性的人工结论可以提供，但需保留作出人、依据和适用范围。

先选一条能独立说清的流程，例如第三方准入或付款审批，不把所有公司制度一次性混在一起判断。

具体怎么做

第一步：把风险定位到流程

按发起、执行、复核、批准和交接步骤，说明哪个事件可能发生、影响什么目标。无法对应流程的风险先保留待确认，不硬塞给某个岗位。

第二步：提取对应控制

逐项列明预防或发现措施、触发条件、执行频率、岗位、权限和应有证明。制度中的“相关部门负责”应列为职责不清，不替企业指定人。

第三步：核对执行资料

检查所给记录能否证明控制发生在正确时点、覆盖正确对象，并由规定角色执行。审批记录只能说明审批发生，是否真正核实业务仍需证据和人工测试。

第四步：形成缺口与验证问题

区分未设计控制、责任不清、材料未提供、执行与制度不一致以及需现场验证。已有替代控制的保留其依据，不因形式不同直接判失效。

可直接交给 WorkBuddy 的完整要求

请对本次指定业务建立风险—控制—岗位—证据对照表，只依据提供的流程、风险清单、企业制度和执行记录。先确认期间和控制目标。

每行列业务步骤、风险事件、控制要求及原句位置、触发或频率、执行和复核岗位、权限、应有证明、实际记录、缺口类型和待核问题。缺口分为未设计待确认、职责不清、资料未提供、执行不一致、需现场验证。替代控制单列，不自行认定等效。

不用一张签字表证明控制有效，不把文件缺失写成一定未执行，不直接判定重大缺陷。输出资料对照和建议测试问题，不修改职责权限，不替代内审，不自动追责或更改系统流程。

得到什么

得到控制对应表和验证清单。例如制度要求复核供应商收款账户，记录只有付款批准，应追问实际核对步骤、所依据资料和执行人；不能直接写审批就是账户复核，也不能凭缺件判定舞弊。

怎么检查

抽查控制是否确实针对风险原因，责任岗位是否符合授权，记录时点与业务发生顺序是否一致。检查是否漏掉交接和例外，是否把同一人的两次签字当作独立复核。

异常处理

制度与系统流程不同，保留两者并请业务及系统负责人确认；只有部分样本时明确范围。控制结果需要现场观察或专业技术测试的，列出测试目标，不用文本推断现场有效。职责调整尚未批准的保持候选状态。

人工决定

业务负责人确认实际流程和证明，内控或审计人员决定测试及缺陷认定，法务判断义务，管理层批准流程和权限调整。WorkBuddy 只将分散资料连接起来，不能证明控制已经有效运行。