采购和支出控制审查

除了所有者或单一委托人之外，是否有任何人有权承诺企业支出——下订单、签署供应商合同或携带公司卡？

采购到付款控制规模与授权：一旦所有者以外的人可以投入资金，预防性控制就必须取代个人监督。计算任何可以下订单、签订合同或刷卡的人——非正式权限与正式权限的计数完全相同。

采购到付款控制规模与授权：一旦所有者以外的人可以投入资金，预防性控制就必须取代个人监督。计算任何可以下订单、签订合同或刷卡的人——非正式权限与正式权限的计数完全相同。

官方指南： GAO 内部控制标准

在业务投入之前如何授权支出 - 在下订单或签署合同之前会发生什么？

预防性门是在资金投入之前进行的控制——一旦下订单，谈判就结束，通常必须支付发票。根据绿皮书原则 10，设计问题是授权是否发生在流程中出现风险的时刻，而不是批准最终是否出现在书面记录中。

2013 框架的控制活动组件描述了采购到支付流程应嵌入的授权、验证和隔离控制。

官方指南： GAO 内部控制标准

• COSO 内部控制 - 综合框架

您的采购或会计系统中配置的审批限制是否与实际委派给每个角色的权限相匹配，并且当人们更改角色或离开时，它们是否会更新？

拉取授权时间表并将其与工作流配置逐行进行比较；漂移通常出现在重组、晋升、系统迁移之后。不再与实际权力相匹配的审批矩阵给人一种控制的感觉，同时又将支出决策传递给了错误的部门。

拉取授权时间表并将其与工作流配置逐行进行比较；漂移通常出现在重组、晋升、系统迁移之后。不再与实际权力相匹配的审批矩阵给人一种控制的感觉，同时又将支出决策传递给了错误的部门。

官方指南： GAO 内部控制标准

在支付发票之前，它是否与采购订单和接收证据相匹配（三向匹配），并阻止或保留不匹配项以供解决？

三向匹配是经典的验证控制：它将批准的订单和收货记录转换为支付门。常见的失败是接受纪律 - 货物到达时没有接收记录，或者服务由订购者确认 - 这悄悄地将三向匹配变成了仅发票批准。

三向匹配是经典的验证控制：它将批准的订单和收货记录转换为支付门。常见的失败是接受纪律 - 货物到达时没有接收记录，或者服务由订购者确认 - 这悄悄地将三向匹配变成了仅发票批准。

官方指南： GAO 内部控制标准

新供应商是否通过独立验证（税表和身份检查、通过已知联系人确认的银行详细信息）入职，并将供应商主变更与付款发放分开？

供应商主控是购买到付款中的主要欺诈媒介：商业电子邮件泄露通过更改合法供应商的银行详细信息来实现，而虚拟供应商计划则通过插入收款人来实现。通过独立获得的联系方式进行验证（而不是变更请求本身的电话号码或电子邮件）是击败两者的控制方法。

供应商主控是购买到付款中的主要欺诈媒介：商业电子邮件泄露通过更改合法供应商的银行详细信息来实现，而虚拟供应商计划则通过插入收款人来实现。通过独立获得的联系方式进行验证（而不是变更请求本身的电话号码或电子邮件）是击败两者的控制方法。

官方指南： GAO 内部控制标准

您今天的流程中如何发现重复或欺诈性付款？

检测控制支持预防性大门：重复付款集中于供应商名称变体、重新发送发票和系统转换，而欺诈性付款则集中于银行详细信息更改。定期重复付款测试（对供应商、金额和发票编号进行精确和模糊匹配）成本低廉，并且通常可以收回成本。

检测控制支持预防性大门：重复付款集中于供应商名称变体、重新发送发票和系统转换，而欺诈性付款则集中于银行详细信息更改。定期重复付款测试（对供应商、金额和发票编号进行精确和模糊匹配）成本低廉，并且通常可以收回成本。

官方指南： GAO 内部控制标准

公司卡和费用支出是否受书面政策约束——卡限额、收据要求、每月独立审核以及持卡人离开时立即取消？

卡和消费支出是设计上绕过采购订单大门的渠道，因此需要有自己的补偿政策。审查必须是独立的——持卡人批准自己的声明是最常见的卡控制失败——并且注销清单必须在访问结束当天取消该卡。

卡和消费支出是设计上绕过采购订单大门的渠道，因此需要有自己的补偿政策。审查必须是独立的——持卡人批准自己的声明是最常见的卡控制失败——并且注销清单必须在访问结束当天取消该卡。

官方指南： GAO 内部控制标准

当采购绕过标准授权路径（紧急情况、紧急订单、高级领导请求）时，这些例外情况是否很少见、是否被该级别权威人士及时记录和批准？

每个流程都会有突发情况；控制问题是例外是否仍然是例外。根据绿皮书原则 12，未经批准而经常被绕过的书面政策不是已实施的控制 - 运营控制是实际发生的情况，这就是审计员或欺诈审查员将测试的内容。

每个流程都会有突发情况；控制问题是例外是否仍然是例外。根据绿皮书原则 12，未经批准而经常被绕过的书面政策不是已实施的控制 - 运营控制是实际发生的情况，这就是审计员或欺诈审查员将测试的内容。

官方指南： GAO 内部控制标准

由于在承诺之前没有可靠的大门，是否存在支付方控制——付款发放的双重批准、验证的供应商银行详细信息以及所有者或控制者对完整支付登记册的审查？

当承诺前授权较弱时，付款发放就成为最后的预防控制措施。双重发布、独立的银行详细信息验证和全面的支付登记审查并不能解决不受控制的购买问题，但它们可以确定风险是否是超支或彻底的欺诈损失。

当承诺前授权较弱时，付款发放就成为最后的预防控制措施。双重发布、独立的银行详细信息验证和全面的支付登记审查并不能解决不受控制的购买问题，但它们可以确定风险是否是超支或彻底的欺诈损失。

官方指南： GAO 内部控制标准

您能否按供应商和类别生成过去 12 个月的总支出？该视图是否实际用于合并供应商、安排续订和协商定价？

控制措施使支出数据值得信赖；可见性使其变得有价值。根据应付账款历史记录构建的支出立方体（按类别按期间的供应商）通常是节省成本的最快途径，因为分散的采购隐藏了供应商本来必须定价的数量。绿皮书原则 13 将此定义为使用质量信息来实现目标。

控制措施使支出数据值得信赖；可见性使其变得有价值。根据应付账款历史记录构建的支出立方体（按类别按期间的供应商）通常是节省成本的最快途径，因为分散的采购隐藏了供应商本来必须定价的数量。绿皮书原则 13 将此定义为使用质量信息来实现目标。

官方指南： GAO 内部控制标准