做 SOX 404 控制测试时：生成控制矩阵、样本选择…

用于按季度或年度规划 SOX 404 测试，针对收入、P2P、ITGC、关账等控制领域抽取样本、编制测试底稿并评估控制缺陷。

适用场景

解决思路

1. 若遇到不熟悉的占位符或需要检查已连接工具，查看 `CONNECTORS.md`。
2. 使用 `/sox <control-area> <period>` 启动；`control-area` 传控制领域：`revenue-recognition`（订单到收款）、`procure-to-pay` 或 `p2p`（采购到付款）、`payroll`（薪酬）、`financial-close`（期末关账与报告）、`treasury`（现金与司库）、`fixed-assets`（固定资产生命周期）、`inventory`（存货计价与管理）、`itgc`（IT 一般控制：访问、变更、运维）、`entity-level`（公司层面与监督控制）、`journal-entries`（日记账分录），也可传具体控制 ID 或名称；`period` 传测试期间，如 `2024-Q4`、`2024`、`2024-H2`。
3. 根据控制领域识别关键控制，展示控制矩阵：列包括 Control #（控制编号）、Control Description（控制描述）、Type（手动/自动/依赖 IT 的手动）、Frequency（日/周/月/季/年）、Key/Non-Key（关键/非关键）、Risk（高/中/低）、Assertion（CEAVOP）。
4. 标注控制类型：`Automated` 系统强制且无人工干预；`Manual` 由人员判断执行；`IT-dependent manual` 依赖系统生成数据的手动控制。
5. 按 CEAVOP 标注相关认定：Completeness 完整性、Existence/Occurrence 存在/发生、Accuracy 准确性、Valuation 计价/估值、Obligations/Rights 义务/权利、Presentation/Disclosure 列报/披露。
6. 根据控制频率与风险确定样本量：Annual 总体约 1，推荐样本 1（测试该次实例）；Quarterly 总体 4，推荐 2；Monthly 总体 12，推荐 2-4（按风险）；Weekly 总体 52，推荐 5-15（按风险）；Daily 总体约 250，推荐 20-40（按风险）；Per-transaction 总体不定，推荐 25-60（按风险和交易量）。
7. 调整样本量：风险越高样本越大；上一年有缺陷的控制需更大样本；外部审计师拟依赖的控制可能需要更大样本。
8. 生成样本选择：交易级控制默认用 Random selection，生成随机数从总体中选具体项目，并确保覆盖整个期间；周期性控制用 Systematic selection，随机起点后按固定间隔选择，并确保覆盖所有子期间；风险导向测试用 Targeted selection 作为随机补充，选择高风险特征项目（如高金额、异常、期末），并记录选择理由。
9. 展示样本选择，包含：Control（控制 ID 与描述）、Period（测试期间）、Population（项目数与总金额）、Sample size（样本量）、Selection method（随机/系统/定向）；明细表含 Sample #、Transaction Date、Reference/ID、Amount、Selection Basis。
10. 为每个控制创建测试底稿模板，包含字段：Control #、Control Description、Control Owner（由测试人填写）、Control Type、Frequency、Key Control、Relevant Assertion(s)、Testing Period。
11. 编写 Test Objective：确定 [控制描述] 在整个测试期间是否有效运行。
12. 编写 Test Procedures，至少覆盖：检查/审阅/重新执行什么；获取什么证据；比较或验证什么；如何评估执行完整性；如何评估执行及时性。
13. 列出 Expected Evidence：如签字审批单、显示复核的系统截图、带有编制人签字的对账表等文档类型。
14. 建立 Test Results 表：Sample #、Ref、Procedure 1、Procedure 2、Procedure 3、Result、Exception?、Notes；每项填 Pass/Fail。
15. 建立 Exceptions Noted 表：Sample #、Exception Description、Root Cause、Compensating Control、Impact。
16. 填写 Conclusion：Effective（无例外有效）、Effective with exceptions（有效但例外孤立）、Deficiency（控制未有效运行）、Significant Deficiency（超过轻微）、Material Weakness（存在重大错报未被及时预防/发现的合理可能）；并记录 Tested by/Date、Reviewed by/Date。
17. 按控制领域提供预置测试步骤模板：Revenue Recognition 验证销售订单审批与授权、确认交付/履约证据、按合同条款测试收入确认时点、验证定价与合同/价目表一致、测试贷项通知单审批与有效性；Procure to Pay 验证采购订单审批与授权限额、确认三单匹配（PO、收货、发票）、测试供应商主数据变更控制、验证付款审批与职责分离、测试重复付款预防控制；Financial Close 验证科目对账的完整性与及时性、测试日记账分录审批与职责分离、验证管理层对财务报表的复核、测试合并与抵销分录、验证披露清单完成情况；ITGC 测试用户访问的开通与撤销、验证特权访问复核、测试变更管理审批与测试、验证批处理作业监控与异常处理、测试备份与恢复程序。
18. 对发现的缺陷进行分类：Deficiency 为控制无法让管理层/员工及时预防或发现错报；需考虑错报可能性、潜在错报金额、是否存在补偿性控制。Significant Deficiency 为不如重大缺陷严重但足以引起监督层注意的缺陷或组合。Material Weakness 为存在重大错报不会被及时预防或发现的合理可能的缺陷或组合。
19. 输出最终交付物：1）所选领域的控制矩阵；2）带方法说明的样本选择；3）预填测试步骤的测试底稿模板；4）结果记录模板；5）发现例外时的缺陷评估框架；6）针对已识别缺陷的建议整改措施。

适用边界 · 注意事项

• 不要将其输出直接作为审计或法律建议；所有测试底稿和评估必须由合格财务专业人士复核后才能用于审计文档。
• 不适用于没有 SOX 404 内部控制测试需求、无需按 CEAVOP 评估或缺少专业复核人员的场景。