IT 应用控制是什么
ITAC（IT 应用控制，IT Application Control）指业务流程中依赖系统自动完成的控制：采购三单匹配、金额阈值审批、接口对账、重复付款拦截等。它区别于一般控制的地方在于，控制效果由系统配置决定，因此审计要点是参数是否正确、例外是否被处理、变更后控制是否仍有效。
怎么测才到位
不要只核单据，要测配置：确认阈值、容差、规则开关的实际取值，并构造能触发例外的数据，观察例外报告是否生成、是否有人处理。应用控制建立在 ITGC 之上——如果权限管理混乱、变更不受控，控制结论本身不可信；因此测试前先确认依赖的 ITGC 有效。
基本信息
| 控制类型 | 输入校验、处理逻辑、输出核对、访问限制 |
|---|---|
| 常见证据 | 配置截图、例外报告、处理记录、变更单 |
| 依赖关系 | 应用控制有效以 ITGC 有效为前提 |
| 测试方法 | 核对参数 + 构造数据触发例外 + 跟踪处理 |
典型使用场景
- 采购付款：三单匹配与重复付款自动拦截
- 费用报销：阈值与容差规则控制超限支付
- 系统间对账：接口数据自动核对并生成差异清单
- 主数据维护：变更需走审批与双人复核
- 订单处理：价格与折扣规则由系统强制执行
- 报表输出：关键报表的取数与权限范围受控
测试示例（三单匹配）
测试示例（三单匹配）
控制：采购订单、入库单、发票自动匹配后付款
验证参数：容差范围（例如 ±2%）与例外阈值取值
测试：构造数量或金额不符的数据，观察是否被拦截
观察：例外报告是否生成、由谁处理、多久闭环
复核：控制上线后的变更记录，确认参数未被放宽控制类型与关注点
| 类型 | 示例 | 审计关注 |
|---|---|---|
| 输入校验 | 字段必填、格式与范围检查 | 校验规则是否前后端一致 |
| 处理逻辑 | 阈值审批、自动匹配 | 参数取值与例外处理 |
| 输出核对 | 对账报表、差异清单 | 差异是否被跟进闭环 |
| 访问限制 | 职责与数据范围隔离 | 权限是否与岗位匹配 |
参数放宽属于控制变更：容差从 2% 调到 5% 会直接改变控制效果，这类调整应有审批记录，也是审计最容易发现的问题之一。