107 高普考高考三級 財務審計 內部控制之理論與實務 考古題詳解

核心觀念 本題以命題當年（民國 107 年）法規與審計準則為準，核心依據為國際內部控制 COSO 整合架構（2013 年版）、我國《公開發行公司建立內部控制制度處理準則》第 6 條與第 7 條，以及《審計準則公報第 48 號》（瞭解受查者及其環境並評估重大不實表達風險）。（註：我國審計準則現行已全面編碼化為中華民國審計準則第 315 號，但本題解題概念與核心要素完全一致）。 內部控制包含五大組成要素：控制環境、風險評估、控制作業、資訊與溝通、監督作業。其中「控制環境（Control Environment）」係整個內部控制體系的基礎與基石，奠定組織的紀律與架構，影響全員的控制意識與「高層基調（Tone at the top）」。

---

解題方法 本題為標準的制度法規與理論申論題，採「雙層次展開法」作答：

1. 第一層次：定義與內涵（定性分析）：先明確界定「控制環境」之本質，說明其作為內控五大要素基石之地位，並指出其所塑造的組織文化與高層基調，對風險評估、控制作業等其他四要素具有根本性、普遍性的擴散影響。
2. 第二層次：重要元素（定量展開）：題目要求「至少五項」。最佳切入點係整合 COSO（2013 年版）控制環境對應之五大原則，並輔以我國公報／法規所列要素（如誠信與道德價值、治理單位監督、組織架構與權責分派、人力資源政策與適任承諾、課責機制），依序以「標題＋理論定義＋實務內涵」詳盡闡述，確保架構周延且得分點無遺漏。

---

選項分析 本題為申論題，非選擇題，無個別選項。應試關鍵在於五項元素的論述必須具備獨立性與完整性，切忌僅列標題未作文字闡述，亦不可將屬於「控制作業」之細部技術（如核准、調節、盤點）誤列為「控制環境」。

---

解題技巧

1. 關鍵字破題：開篇務必出現「內控基石（Foundation）」、「高層基調（Tone at the top）」、「全員控制意識」等高分閱卷關鍵詞。
2. 記憶架構口訣：掌握「德（誠信道德）－監（治理監督）－構（組織權責）－人（適任人才）－責（考核課責）」五字訣，即 COSO 2013 控制環境之五大原則，保證寫滿五項且結構精準。
3. 區分環境與作業：組織架構與授權政策屬於「控制環境」；具體的交易審核、實體盤點與分工執行屬於「控制作業」，作答時不可混淆。

---

【答案】

一、控制環境（Control Environment）之內容與內涵

1. 本質與定位： 控制環境係指設定組織之基調（Tone at the top）、塑造組織文化，並深刻影響員工對內部控制認知與重視程度之綜合氛圍。控制環境為內部控制五大組成要素（控制環境、風險評估、控制作業、資訊與溝通、監督作業）之基礎與核心基石，提供組織推行各項控制之紀律、架構與土壤。
2. 影響範疇： 控制環境並非針對單一交易流程之微觀控制，而是對組織整體運作具廣泛性、根本性的影響。健全之控制環境能強化各項控制作業之執行成效；

核心觀念

本題旨在測驗內部控制之「控制活動（Control Activities）」組成要素，其核心架構源自 COSO《內部控制—整合架構》（Internal Control - Integrated Framework）與美國審計準則公報（SAS No. 78），以及會計資訊系統（AIS）經典理論中歸納的五大實體控制活動（Physical Control Activities）：

1. 授權（Authorization）：確保交易依管理階層政策進行，防止未核准之舞弊或浪費。
2. 職能分工（Segregation of Duties）：避免利益衝突與舞弊遮掩，落實互相牽制之內部牽制機制（Internal Check）。
3. 存取控制（Access Control）：保障資產（實體資產與資訊資產）免於非授權接觸、挪用或竄改。
4. 獨立驗證（Independent Verification）：由非經辦交易之獨立第三人檢視運作與數據，確保數據完整與程序正當。
5. 會計紀錄（Accounting Records）：維護充足且客觀之憑證與帳簿，確保具備完整之審計軌跡（Audit Trail）。

註：本題係學理與制度實務題，以命題當年（民國 107 年）之《公開發行公司建立內部控制制度處理準則》及行政院《政府內部控制監督要點》等規定之精神為準，強調各項日常作業程序之遵循與控制點之落實。

---

解題方法

本題為標準的觀念闡明與實務配合題。作答切入點採​「定義／控制目標」＋「分點類型說明」＋「實務具體情境舉例」​的三段式論述：

• 內容部分：先精準定義該項控制活動的理論核心、控制目標（如降低何種風險），並帶出理論分類（如：一般授權與特定授權、實體存取與邏輯存取）。
• 舉例部分：切忌使用抽象語意，應以公務機關或企業組織最典型且不易產生爭議的「採購付款循環」與「銷貨／收款循環」為實例，指出明確的「主體職稱」、「客體單據／資產」與「控制動作」，讓閱卷委員能一目了然考生具備審計查核的實務視野。

---

選項分析

本題為申論題（非選擇題），無ABCD選項可供逐一辨析。閱卷評分係針對題目指定之五項「內部控制活動」之論述精確度與舉例適當性進行評分，其關鍵審查要點如下：

• 授權：必須能清楚區分「常態性程序」與「重大/例外程序」，不可僅簡述為「主管簽名」。
• 職能分工：必須點出不相容職能（交易授權、資產保管、帳務記錄、執行/獨立核對）之分立原則，避免將純粹的工作分配誤認為職能分工。
• 存取控制：必須兼顧傳統「實體資產」與現代資訊系統之「邏輯資料」，不可偏廢任一方。
• 獨立驗證：必須強調執行驗證者的「獨立性」及「事後性」，不可與一般常態作業的審核（如出納付錢時看傳票）混為一談。
• 會計紀錄：重點在於「審計軌跡」之建立與「前後勾稽」，應扣緊憑證預先編號與過帳核對。

---

解題技巧

1. 記憶口訣與框架：實體控制活動五大支柱簡記為「授、職、存、驗、記」（授權、職能分工、存取控制、獨立驗證、會計紀錄）。
2. 職能分工黃金法則（CAR 原則）：任何業務流程中，Custody（資產保管）、Authorization（交易授權）、Recording（帳務記錄）三者絕對不可歸屬於同一人，此為申論作答舉例的得分關鍵。
3. 陷阱防範（獨立驗證 vs. 監督）：獨立驗證著重於「日常個別交易與帳戶層級」的事後核對（例如編製銀行往來調節表）；COSO 的「監督（Monitoring）」則是對「整體內控架構運作之有效性」進行持續或個別評估（例如內部稽核年度稽核計畫）。作答舉例時切勿將二者混淆。

---

【答案】

一、授權（Authorization）

• 內容說明： 授權係指確保各項營運作業與財務交易，皆經過管理階層明訂之政策、額度與程序核准後始得執行，目的在防範未經授權之資源耗用、舞弊或非意圖性承諾。授權形式分為兩類：

1. 一般授權（General Authorization）：針對符合預設標準的例行性、常態性交易，制定標準作業流程供員工直接依循。
2. 特定授權（Specific Authorization）：針對非例行性、超過一般額度或具高度財務風險之重大交易，必須個別呈報至高階主管或專責決策層級審批。

• 舉例說明：

核心觀念

本題旨在測驗考生在「採購及付款循環」（Procurement and Payment Cycle）中，運用「電腦輔助稽核技術」（Computer-Assisted Audit Techniques, CAATs）執行控制測試與證實測試的能力。

1. 內部控制與資訊科技架構：

• 依據 COSO 內部控制整合架構，本題核心在於「控制作業」（Control Activities）於自動化資訊系統環境中的具體實踐。
• 電腦稽核並非人工抽查的延伸，而是利用稽核軟體（如 ACL、IDEA 或 SQL 查詢語法）對全母體資料執行自動化比對、例外項目篩選（Exception Reporting）、邏輯檢驗與關聯分析。

2. 採購作業主要風險與控制目標：

• 授權風險：未經核准之採購、規避授權額度之拆單（化整為零）。
• 舞弊與利益衝突風險：向未核准或虛設之幽靈供應商（Phantom Vendors）採購、採購人員與供應商勾結。
• 計價與驗收風險：採購單價高於標準或合約價、未經採購單之盲目收貨、驗收數量超額。
• 結算與付款風險：三方比對（Three-Way Matching）不符、發票重複請款或付款。

---

解題方法

本題為申論實務題（非選擇題，故無個別選項分析），答題關鍵在於「流程風險導向」與「資料庫欄位精確化」：

1. 依採購生命週期切入： 沿著採購業務核心流程展開：「請購/採購授權 $\rightarrow$ 供應商選擇 $\rightarrow$ 價格與訂購 $\rightarrow$ 驗收 $\rightarrow$ 請款/比對」，從各環節提取最具代表性的電腦稽核重點。
2. 稽核重點與欄位之邏輯對應：

• 「電腦稽核重點」必須是具體可程式化執行的檢核邏輯（例如：篩選大於特定門檻值、串聯兩檔案比對異常、排序搜尋重複值等），切忌寫成人工觀察、面談等非系統化查核。
• 「對應檔案欄位」必須精確指明其所屬資料表（Table）及具體欄位名稱（Field Name），不可僅含糊回答「採購檔」或「系統資料」。

---

解題技巧

1. 欄位命名避坑訣竅： 寫出檔案類型（主檔 Master File、交易檔 Transaction File）與特定欄位（如「供應商代號」、「單價」），能立即展現對關聯式資料庫（RDBMS）的熟悉度。
2. 黃金五大查核類型（易記好拿分）：

• 重複性檢驗（Duplicate Test）：查重複採購、重複請款。
• 間距與極值檢驗（Range & Gap Test）：查拆單規避額度、編號跳號。
• 雙檔比對檢驗（Join / Match Test）：比對員工主檔與供應商主檔、比對採購單與合格廠商檔。
• 關聯驗證（Relational Test）：三方比對（採購、驗收、發票之數量與金額）。
• 合理性與截止檢驗（Cut-off & Reasonableness Test）：查單價偏離常態、訂單日期晚於驗收日期。

---

【答案】

採購作業電腦稽核重點與對應檔案欄位彙總表

項次	採購作業的電腦稽核重點	對應檔案欄位
一	拆單採購規避分層負責授權額度查核	採購單主檔之「採購金額」（Purchase Amount）
二	幽靈供應商或員工利益衝突舞弊查核	供應商主檔之「銀行帳號」（Vendor Bank Account Number）
三	向非經核准或評鑑不合格之供應商採購查核	採購單主檔之「供應商代號」（Vendor ID）

核心觀念

本題測驗 COSO《內部控制－整合架構》（Internal Control-Integrated Framework）在較小型組織（Smaller Entities）之實務應用限制，以及我國《公開發行公司建立內部控制制度處理準則》所強調之內部控制固有局限。

解題方法

從中小企業之組織規模與資源結構切入分析：

1. 職能分工（Segregation of Duties, SOD）難以落實：中小企業因編制精簡、員工人數少，常由同一人兼任不相容職責（例如：出納兼會計、採購兼驗收保管），造成控制作業之結構性缺口。
2. 管理階層踰越（Management Override）風險偏高：中小企業多為家族經營或由少數經營者集中掌控，負責人權威高，易繞過已建立之控制程序逕行拍板決策。
3. 成本效益之限制（Cost-Benefit Constraint）：內部控制制度之設計與維運（如建置 ERP 系統、嚴格之雙重覆核機制）需要相應成本，中小企業常因規模效益不足而難以負擔完備控制機制。
4. 缺乏獨立專職之內部稽核人員：受限於預算與法令門檻（非公開發行公司多未強制設置獨立內稽），內部控制之監督作業往往流於形式或完全從缺。
5. 書面化與制度化不足（Lack of Documentation）：企業日常運作過度依賴非正式口頭溝通與個人經驗，缺乏完整作業程序手冊（SOP）與書面控制軌跡。

解題技巧

記誦口訣：「少人（分工難）、老大（踰越）、缺錢（成本效益）、沒稽核、無文件」。其中「職能分工難以達成」與「管理階層踰越之固有風險」為評分之絕對關鍵字。

【答案】

中小企業建立內部控制時面臨之主要挑戰包括：

1. 組織編制精簡，難以落實不相容職務之職能分工（如會計與出納兼任）。
2. 主管或負責人權力高度集中，容易產生管理階層踰越既定控制之風險。
3. 受限於成本效益原則，缺乏充裕資源建置複雜之資訊安全與自動化控制系統。
4. 缺乏專職且具獨立性之內部稽核人員以執行持續與個別評估。
5. 缺乏正式的書面規範與作業流程紀錄，內部控制軌跡難以追溯驗證。

---

（二）企業對於內部控制之持續監督活動？

核心觀念

本題測驗 COSO 架構五大要素中「監督作業」（Monitoring Activities）之原則 16：組織應選擇、發展並執行持續性評估（Ongoing Evaluations）及／或個別評估（Separate Evaluations），以確認內部控制各要素之存在與發揮功能。

解題方法

持續監督活動（Ongoing Evaluations）係指內建於企業日常營運及常規管理作業中之即時監控機制，與事後、週期性由稽核人員執行之「個別評估」（Separate Evaluations）相對。其典型活動包括：

1. 管理階層之日常營運審查：各級主管定期審查日常營運報表、毛利分析、預算與實際數差異，從異常數字中辨識控制失靈。
2. 日常授權與核准程序：營運流程中主管對請購、發包、付款、折讓之例行性實質覆核。
3. 資訊系統自動化監控與警示：系統自動產生之異常交易報告（Exception Reports）、存取權限變更日誌，以及超出預設門檻時之即時警訊。
4. 外部利害關係人之溝通回饋機制：針對顧客抱怨（對帳單爭議）、供應商請款查詢、銀行對帳單未符事項、監理機關檢查意見等客觀外部資訊進行追蹤與調節。
5. 日常實體盤點與常態性調節：由經辦部門或現場主管進行之每日現金結算、門市庫存抽盤、零用金即時查核等例行控制。

解題技巧

切勿將「內部稽核定期查核」誤列為持續監督活動。內部稽核之查核屬於「個別評估」（Separate Evaluations）；「持續監督」必須具備「內建於日常業務流程（Built-in）」與「即時常態性（Ongoing）」兩大特質。

【答案】

企業內部控制之持續監督活動，係指內建於日常營運與常規管理中的即時監控機制，主要包括：

1. 各級管理階層於日常作業中審閱營運報告、預算差異分析及關鍵績效指標（KPI）。
2. 營運流程中各項交易的例行審批、雙重覆核及異常交易即時通報。
3. 資訊系統內建之日誌監控、存取異動追蹤及自動防弊檢核。
4. 針對客戶投訴、供應商請款歧異及外部對帳單回饋進行即時調查與調節。

---

（三）雲端運算環境下企業的主要風險回應？

核心觀念

本題測驗 COSO 企業風險管理（ERM）之「風險回應」（Risk Responses：規避、降低、分攤、承受）結合「雲端運算共同責任模型」（Shared Responsibility Model）之實務應用。

解題方法

企業導入雲端（IaaS、PaaS、SaaS）時，控制權轉移給雲端服務供應商（CSP），帶來資料隱私外洩、服務中斷、供應商鎖定（Vendor Lock-in）及法規遵循等風險。企業主要風險回應措施包括：

1. 服務水準協定（SLA）與第三方保證（風險分攤與降低）：

• 與 CSP 簽訂嚴密之 SLA，明定系統妥善率（Uptime）、資料所有權、復原時間目標（RTO）與復原點目標（RPO）。
• 要求 CSP 提供國際資安認證與獨立確信報告（如 ISO/IEC 27001、SOC 1 / SOC 2 報告）。

2. 身分鑑別與存取控管（IAM，風險降低）：落實最小權限原則（Least Privilege）、多因素驗證（MFA）、單一登入（SSO）與特權帳號管理（PAM）。
3. 資料全生命週期加密與金鑰自主管理（風險降低）：資料於傳輸中（In Transit）與靜態儲存（At Rest）均全面加密，並落實自持金鑰（BYOK, Bring Your Own Key）。
4. 營運持續與多雲備援策略（風險降低與承受）：制定跨區域、跨業者之多雲（Multi-cloud）或混合雲（Hybrid Cloud）備份架構，定期演練災難復原計畫，防範供應商鎖定與服務中斷。
5. 保留稽核權條款與日誌即時監控（Right to Audit，風險降低）：合約中明定企業之查核權限，並將雲端安全日誌（Logs）整合至企業內部 SIEM/SOC 平台進行持續威脅分析。

解題技巧

作答切忌泛泛而談「加強管理」，應緊扣雲端核心技術與合約架構名詞：SLA、SOC 報告、身分與存取管理（IAM）、資料加密/BYOK、多雲備援。

【答案】

雲端運算環境下企業的主要風險回應策略與措施包括：

1. 簽訂完善之服務水準協定（SLA）並索取第三方審計保證：明定可用性與損害賠償條款，並審查 CSP 之 SOC 1 / SOC 2 確信報告及 ISO 27001 認證。
2. 強化身分與存取管理（IAM）：全面推行多因素驗證（MFA）與最小權限原則，嚴格控管特權帳戶。
3. 落實資料加密與金鑰自主管理（BYOK）：確保機密資料在傳輸中與儲存中皆經高強度加密，企業自主掌握金鑰解密權。
4. 建立營運持續與多雲/混合雲備援機制：避免依賴單一雲端業者，定期進行跨平台資料備份與還原演練。
5. 合約明定保留稽核權條款並集中監控日誌：確保內部稽核能取得日誌存取權，整合雲端事件紀錄至監控中心即時反應。

---

（四）為了避免以沖銷壞帳方式來掩飾盜用現金，最具效益的查核程序？

核心觀念

本題測驗銷貨與收款循環中「截留挪用現金」（Lapping / Skimming）之舞弊防弊機制。舞弊者挪用客戶清償應收帳款之現金後，常藉由將該應收帳款作「壞帳沖銷」（Write-off），使帳面借貸平衡，避免向客戶寄送催款單而東窗事發。

解題方法

1. 防弊核心關鍵：不相容職責分離與獨立授權。沖銷壞帳之權限絕不能落於出納、收款員或應收帳款記帳員手中。
2. 查核程序比較：

• 檢查壞帳沖銷之授權與佐證文件：抽查壞帳沖銷案件，核對是否經獨立於出納及應收帳款帳務處理之權責主管（如財務主管或信用主管）書面核准，並檢附法律催收紀錄、法院裁定破產等合法證明。此為最具效益之控制查核。