服务机构审计：核对期间与客户配套控制

CoTrading 编辑团队 2026-10-26 Read in English

把工资处理外包，不会取消发行人的财务报告责任。服务机构审计报告可以提供相关证据，但只涉及实际覆盖的系统、目标、期间和测试。即使服务端报告令人满意，客户自己的控制也可能留下独立缺口。

本文限定PCAOB发行人审计，采用二〇二六年十月二十五日所示AS2601。工资供应商、报告及控制均属虚构，没有取得或声称阅读任何受限服务审计报告。公开投资者可能知道报告存在，却没有足够权限评价其内容。

识别流程及证据类型

AS2601第.06—.12段把外包处理与客户信息系统联系，并区分理解控制与运行有效性证据。只说明控制已设置的报告，本身不提供足以降低控制风险评估的运行证据。

先记录服务法律实体、系统、受托流程、相关认定及报告日期或运行期间。供应商安全实践报告，不自动证明本项目所需工资计算或财务报告控制；宣传称“通过审计”，不能代替具体范围。

阅读报告是否包含运行测试、实际测试内容、时间、例外及预期由客户执行的控制。报告名称类似，不代表证据用途相同，不能只根据封面勾选全年覆盖。

目标也要具体。工资计算准确性控制，不必然证明员工均获授权，或发行人已在正确期间确认费用。每一项拟依赖结论，都要连接到财务报表认定。

两个不完整时间窗口主例

假设发行人年度为一月至十二月，每月工资10，全年120，单位千元。某相关服务报告提供一月至九月指定服务端控制的运行证据。

报告所述安排还依赖客户复核授权工资变更。假设该复核一月至九月没有执行，十月至十二月才开始，并有相应运行证据。对本例所检验的特定控制依赖链，两项控制均属必要，且尚无其他材料填补缺口。

期间	服务端控制证据	必要客户复核证据	指定组合链已获支持吗
一月至九月	指定控制有证据	没执行，缺失	否
十月至十二月	本报告未覆盖	有证据	否

把日历窗口取并集，表面上九加三等于十二；但必要证据的交集，在这些假设下是零个月。不能把两个不同控制、不同期间相加，称全年组合链都有支持。

按每月均等假设，前九个月处理工资90，末季30。这是窗口相关交易量，不是查明错报或损失。没有证据表明工资120全部错误，也不能把证据缺口直接转为同额费用调整。

这里“零”只描述指定两项必要控制链的重叠证据，不是发行人全部审计证据为零。其他控制或实质性程序可能提供信息，应按实际内容另列，而非扩大结论范围。

每个缺口分别解决

AS2601第.13—.16段讨论客户控制、服务端证据及组合评价，包括测试覆盖期间。支持一部分的材料，不能自动替代另一项必要控制。

十月至十二月需要对应服务端运行证据，可能来自适当后续报告或由客户审计师评价的其他程序。供应商说“没有变化”的声明需要评价，不是自动延长全部旧测试的按钮。

一月至九月的缺失客户复核，不会由服务端新报告补上。应判断其他有效控制或其他审计证据能否应对相关风险。若原复核从未存在，后来补签重建清单不能证明当时运行。

假设后续报告适当补足末季服务证据，末季便可能在本例条件下同时具备两项必要支持；前九个月仍缺指定客户部分。修复一处，不等于原来全年均可依赖。

审计师也可能改变实质性程序，而不是依赖该链。控制证据缺口本身不等于已知工资错报，也不自动决定修改意见；最终还要看相关程序是否取得充分适当证据。

单日说明改变的是证据机制

另设一份九月三十日报告，仅描述当日控制设置，没有期间运行测试。它可以帮助理解安排，却不是九个月运行证据。

区别不只是差三个月，而是证据类型不同。不能因为报告日期是九月底，就把一月至九月全部填为“已覆盖”。应记录报告实际断言和程序，不让表格格式替代阅读。

十一月才出具的报告，也可能覆盖截至九月的期间。出具日与覆盖起止日期分列；从发布日推算覆盖窗口，会产生另一种错误。

系统迁移改变总体

假设十月一日工资从系统A迁到B，即使供应商法律名称没变，A的报告也不能自动支持B。需要确认转移数据、配置、授权角色、接口及相关处理控制。

不同产品或服务实体的报告，要明确评价相关性。采购清单上的当前系统名称，不证明它的财务报告控制范围，也不能用全球供应商品牌代替实际受托流程。

同样，为标准客户配置测试的控制，可能无法覆盖发行人的特殊改造。记录哪些部分标准化、哪些依赖客户设置。配置证据缺失属于范围问题，不能默认全部成功或全部失败。

若迁移后客户继续使用旧复核表，也需确认它仍针对新系统的真实风险。表格沿用和控制目标继续适用不是同一事实，应保留接口及字段变化的证据。

服务控制与分担审计责任分开

AS2601第.14—.21段保留客户审计师评价证据的责任，并解释该安排下为何不把服务审计报告引用为财务报表意见的部分基础。

这不同于审计参与申报中分担责任的关系。供应商具有控制报告，不意味着另一事务所审计了发行人某一明确财务报表部分，也不能转换成自创资产覆盖比例。

报告使用及分发限制还影响取得权限。投资者不能阅读时，应把供应商或发行人的公开描述列为有归属陈述。没有权限不证明报告含例外，但也阻止研究者宣称详细测试已经验证。

可执行控制与期间矩阵

字段	应取得材料	防止的推断
服务身份	法律供应商、系统及流程	品牌当作通用范围
目标	相关认定及控制	安全标签当会计保证
证据类型	设置或运行、测试及结果	单日说明当全年测试
期间	起止与出具日	发布日当覆盖范围
客户职责	指定复核及执行记录	服务报告替代客户工作
例外	性质、受影响控制及跟进	报告存在等于无问题
缺口回应	补充程序及剩余限制	日历并集等于组合证据

公开披露可能识别工资外包、依赖供应商或控制问题，详细报告、客户日志和测试往往私有。每格应标注公开、由获授权人员私下验证或研究者不可得，不能把信息状态混在一起。

如果只有报告摘要，应保存摘要来源及准确措辞，不把被省略的测试范围当作不存在。也不能替真实报告编出例外数量、抽样数或结论；本例数字仅用于说明时间逻辑。

文件冲突时，对齐系统版本、客户范围、期间、目标和例外是否实际解决。计划整改日期，不证明过去窗口已经有效运行；同样，后来的无例外报告不自动清除以前缺口。

取得新报告、系统迁移、客户控制改变、例外跟进或新增程序时，应更新。保留原缺口，不静默用最新出具日覆盖旧状态。结论应描述具体哪条链得到支持，以及还需什么证据。

覆盖期间之外还要保存测试频率

报告写九个月，不代表每笔交易或每次执行都被测试。服务端每月控制与客户逐次审批工资变更，频率不同；应读取实际测试性质与范围，不能只看起止日期。

例如客户末季执行记录包含十二次授权变更，就保留这十二次总体及实际证据，不能只打一个“季度覆盖”勾。期间矩阵用于组织材料，不会扩大服务审计师的测试范围，也不会使例外消失。

若报告对某控制只在特定时点测试，应保留其描述及客户审计师如何评价期间相关性的状态，而不是擅自扩成每天都运行有效。公开摘要若省略频率，应填未知。