| 范围 | 影响财务报告的系统与数据（含外包） |
|---|---|
| 要求 | 控制设计文档、执行证据、缺陷评估 |
| 节奏 | 年度测试，季度更新与缺陷跟踪 |
工作要点示例
工作要点示例
1. 识别财务相关系统清单
2. 记录关键控制与责任人
3. 收集执行证据（抽样）
4. 缺陷评估与整改
5. 与外部审计对齐测试范围SOX 与 IT 控制要点
SOX 法案要求美国上市公司管理层对财务报告内部控制负责：IT 侧需覆盖财务相关系统的访问、变更、运维与外包控制，并由审计师测试；非上市公司客户也可能按此标准提出要求。
易错点
- 系统清单不全：新上线财务相关系统未纳入控制范围
- 证据临时补：平时不留痕，审计期突击补材料
数据来源与参考
- Sarbanes-Oxley Act (2002)
- PCAOB AS 2201（ICFR 审计）