108 高普考高考三級 財務審計 內部控制之理論與實務 考古題詳解
第 一 題25 分
政府為有效推動內部控制制度，陸續頒定相關法令要求各機關執行，如：「政府內部控制制度設計原則」、「政府內部控制聲明書簽署作業要點」等。請依現行規範回答下列問題：
(一) 內部控制制度應考量控制環境、風險評估、控制作業、資訊與溝通及監督作業五項組成要素，由機關各單位有關人員負責設計、執行及維持，並落實行政透明措施、提升政府公信力及施政品質。請問組成要素中之「控制作業」的內容，包括定義、原則及其特性，為何？（12 分）
(二) 簽署內部控制聲明書之意義為何？內部控制聲明書按整體內部控制之有效程度，區分為「有效」、「部分有效」及「少部分有效」三種類型，請問其主要內涵為何？（13 分）
登入後即可作答並保存紀錄。
核心觀念
本題考查政府內部控制制度的兩個面向：一是五項組成要素中的「控制作業」，二是機關首長簽署內部控制聲明書的意義及有效程度分類。
法規時點：以下依民國 108 年命題當時規範作答，主要依據為當時的《政府內部控制制度設計原則》及《政府內部控制聲明書簽署作業要點》。前者已於民國 109 年停止適用，現行規範已調整；本題仍以命題當年規定為準。
解題方法
(一) 依「控制作業」的定義、控制目的與特性，再整理設計及執行時應注意的原則。作答時要兼顧控制手段的例子，以及控制作業如何因應風險。
(二) 先說明聲明書的功能，再依「缺失重大程度、改善時點、對內控目標的合理確保程度」區分三種類型。判斷重點在於：有無重大缺失、聲明日前是否已改善，以及整體制度能合理確保多少內控目標。
（一）控制作業的內容
1. 定義與目的
控制作業係機關依據風險評估結果，採用適當政策與程序所採取的行動，目的在將達成內部控制目標的相關風險控制於可承受範圍內。
控制作業可具有預防性或偵測性功能，也可以是人工化或自動化作業。其重點不是單純增加程序，而是針對已辨識的風險，設計足以降低風險的措施。
2. 控制作業的原則及設計要點
- 依風險評估結果設計控制：依職能分工及風險評估結果選擇業務項目，建立適當控制作業，將達成目標的相關風險降低至可容忍程度。
- 建立資訊作業控制並強化安全管理：控制範圍包括資訊系統的建置、營運與維護，以及資訊安全管理。例如，設定程式修改及資料存取權限。
- 定期檢討並授權執行：配合政策、目標、計畫及業務流程的變化，適時檢討作業流程透明度與控制重點的有效性；並授予適當權限，使相關人員得以落實執行。
- 控制重點應配合業務流程及其性質：各單位依承辦作業流程及業務需要設計控制重點；如已發生內部控制設計缺失，應即時修正相關控制重點。
3. 控制作業的具體內容
依《政府內部控制制度設計原則》，控制作業可包括：
- 核准
- 驗證
- 調節
- 覆核
- 定期盤點
- 記錄核對
- 職能分工
- 實體控制
- 計畫、預算或前期績效的分析比較
例如，採購案件可透過權責核准與驗收覆核預防不當支出；財產管理可透過定期盤點及帳實核對偵測資產差異；資訊系統則可透過權限控管降低未經授權存取的風險。
4. 控制作業的特性
控制作業有以下特性：
- 以風險為基礎：根據風險評估結果設計，並依風險程度選擇相應控制。
- 具有預防或偵測功能：可在錯誤或違規發生前預防，也可在發生後及時偵測。
- 涵蓋人工與自動化作業：可以由人員執行，也可以透過資訊系統或自動化程序執行。
- 須持續檢討並落實執行：控制措施應配合業務與環境變動調整，並由獲授權人員確實執行。
（二）簽署內部控制聲明書的意義與類型
1. 簽署聲明書的意義
第 二 題25 分
現行全球企業皆已展開「數位轉型」革命，數位化與資訊系統環境影響了內部控制之設計與執行，故查核人員於了解受查者內部控制制度時，應考量資訊系統環境等之特性，並查核受查者如何因應資訊科技與數位化等所產生之風險。請依序回答下列問題：
(一) 資訊科技對受查者之內部控制，通常具有的優點為何？請列舉四點說明之。（12 分）
(二) 關於人工智慧（AI）對內部稽核的影響，國際內部稽核協會（IIA）提出稽核架構，供內部稽核時參採之，其主要內容包括：AI 策略（AI Strategy）、AI 治理（AI Governance）、數據架構與基礎設施（Data Architecture and Infrastructure）、數據品質（Data Quality）、對 AI 進行績效評估（Measuring Performance of AI）、人為因素（The Human Factor）、黑盒效應（The Black Box Factor）等。請說明「AI 治理」之主要內容為何？（13 分）
登入後即可作答並保存紀錄。
核心觀念
本題考查資訊科技對內部控制設計與執行的影響，以及內部稽核如何評估人工智慧的治理。作答時應先掌握資訊科技能如何提升控制的效率與一致性，再依 AI 治理的管理流程說明責任、風險、監督及問責機制。
本題未涉及特定法條；AI 治理部分依題目所述國際內部稽核協會（IIA）架構作答。
（一）資訊科技對內部控制的優點
解題方法
從控制的執行方式與控制資訊的處理流程切入，分別說明自動化、一致性、資訊處理能力及監控能力。每一點均應寫出「科技如何改善控制」及其控制效果。
作答要點
-
提高控制執行的一致性與正確性 資訊系統可依預先設定的規則，自動執行授權、資料檢核、計算及例外提示，減少人工處理時的疏漏與主觀差異，使控制較穩定地依相同標準執行。
-
提升資訊處理速度與效率 系統能迅速處理大量交易與資料，縮短資料蒐集、核對、彙整及報表編製所需時間，讓控制活動及管理決策能更即時進行。
-
強化資訊取得、分析與監控能力 資訊科技可彙整不同來源的資料，並運用例外報表、趨勢分析或警示機制，協助管理階層及內部稽核迅速辨識異常交易、控制偏差與潛在風險。
-
增進交易紀錄與追蹤能力 系統可記錄交易處理過程、使用者操作及核准軌跡，形成較完整的稽核軌跡，有助於追查交易來源、確認責任歸屬及進行後續查核。
解題技巧
可用「自動化、效率、分析監控、可追蹤」四個方向快速組織答案。只寫「資訊科技很方便」或「可以降低成本」不足以說明內部控制上的具體優點；應指出其如何改善控制執行或提供控制證據。
（二）AI 治理之主要內容
核心觀念與解題方法
AI 治理關注組織如何管理 AI 的生命週期與相關風險，使 AI 的運用符合組織目標、法律與倫理要求，且責任清楚、運作受監督。作答可依「責任與政策、風險與遵循、生命週期監督、透明與問責」的架構說明。
作答要點
第 三 題25 分
「公開發行公司建立內部控制制度處理準則」規定，公開發行公司之內部控制制度係由經理人所設計，董事會通過，並由董事會、經理人及其他員工執行之管理過程。請依序回答下列問題：
(一) 公開發行公司自行評估內部控制制度而分為有效之內部控制制度或有重大缺失之內部控制制度，請問：其係以公司之內部控制制度是否能合理確保哪些事項而定？（9 分）
(二) 公開發行公司之內部控制制度應涵蓋所有營運活動，遵循所屬產業法令，並應依企業所屬產業特性以營運循環類型區分，訂定控制作業。請完成下列有關內部控制風險評估與必要的內部控制作業：
| 營運循環類型 | 基本活動 | 編號 | 可能發生的錯誤與舞弊 | 必要的內部控制作業 |
|---|---|---|---|---|
| 銷售及收款循環 | 記錄收入及應收帳款 | A1 | 已開立之銷貨發票卻未入帳或未登入應收帳款明細帳 | ____ |
| 銷售及收款循環 | A2 | 銷貨發票誤寄對象（客戶） | ____ | |
| 採購及付款循環 | 經收貨品、檢驗品質 | B1 | 驗收人員未確實清點進貨的數量與規格 | ____ |
| 採購及付款循環 | B2 | 未訂（採）購的貨品卻予以驗收 | ____ | |
| 生產循環 | 領料、投入生產 | C1 | 在未經授權之情況下領用原料 | ____ |
| 生產循環 | C2 | 實際領用的原料與領料單上記載之規格及數量不相符 | ____ | |
| 薪工循環 | 考勤、計時 | D1 | 由他人代為打卡 | ____ |
| 薪工循環 | D2 | 工作計工單與員工計時卡之時數不相符 | ____ |
請於試卷上依下列格式作答，否則不予計分。（16 分）
| 編號 | 必要的內部控制作業 |
|---|---|
| A1 | ____ |
| A2 | ____ |
| B1 | ____ |
| B2 | ____ |
| C1 | ____ |
| C2 | ____ |
| D1 | ____ |
| D2 | ____ |
登入後即可作答並保存紀錄。
核心觀念
本題考《公開發行公司建立內部控制制度處理準則》所定的內部控制目標，以及如何依各營運循環辨認風險、設計控制作業。內部控制制度由經理人設計、董事會通過，再由董事會、經理人及其他員工執行；自行評估制度有效性時，重點在於制度能否合理確保法定目標達成。
法規時點：以下以命題當年（民國 108 年）法規為準。現行法規已修正。
解題方法
第一小題依處理準則列出三項內部控制目標。第二小題則從每一項錯誤或舞弊的成因反推控制方式：漏記著重完整性勾稽；寄錯對象著重資料核對；數量、規格錯誤著重實物與單據比對；未經授權著重事前核准；代打卡著重身分辨識；時數不符則以紀錄核對及覆核處理。
（一）內部控制制度應合理確保的事項
依民國 108 年《公開發行公司建立內部控制制度處理準則》，內部控制制度應合理確保下列目標：
- 營運之效果及效率：促進公司營運健全，提升作業績效，並保障資產安全。
- 財務報導之可靠性：使財務報導可靠，相關交易經適當核准，並依適用規定編製。
- 相關法令規章之遵循：確保公司營運遵守所屬產業及其他相關法令規章。
（二）必要的內部控制作業
| 編號 | 必要的內部控制作業 |
|---|---|
| A1 | 銷貨發票應連續編號，定期檢查發票編號是否連續，並將已開立發票逐筆核對銷貨收入及應收帳款明細帳，追查未入帳或漏登情形。 |
第 四 題25 分
內部控制係由機關全體人員共同參與，透過五項互有關聯之組成要素，整合機關內部各種控管及評核措施，並融入至管理過程之後端，為業務之規劃與執行提供後援，藉以合理確保達成下列四項主要目標：實現施政效能、提供可靠資訊、遵循法令規定與保障資產安全。請依序回答下列問題：
(一) 各機關應確實辦理各項監督作業，檢查內部控制之建立及執行情形，並針對所發現之內部控制缺失及提出之興革建議，而採行相關因應作為。監督作業包括：例行監督、自行評估、內部稽核等，請問其主要內容為何？（10 分）
(二) ○年○月，外界指出某機關辦理的議題調查、創意設計及徵文等三項活動之得獎名單有不合理現象。民眾反映未報名參加，名字卻出現在得獎名單中，未實際領到獎品；得獎名單與某大學○學年度入學名單相同，質疑名單造假。嗣經該機關核對得獎者名單確有造假情事，經深入檢討，違失案情摘要如下：
-
開（決）標程序：某機關在○年委託廠商辦理「○年○○公共參與○○擴充暨○○經營計畫」，於○月○日完成決標。得標廠商因承攬「○年○○公共參與○○擴充暨○○經營計畫」時，逕自刪除原公告合約草案中有關繳納履約保證金之相關條文，前經該機關認定得標廠商有變造契約之情事，違反政府採購法規定，決定將該廠商名稱及相關情形刊登於政府採購公報。嗣該廠商向行政院公共工程委員會提出申訴，惟申訴案於○年標案決標前尚由行政院公共工程委員會審理中，廠商依規定仍可參與投標，惟該機關未於○年標案「初審意見表」之履約實績欄位提列相關說明。
-
履約管理及驗收：由於○年相同契約訂有繳交履約保證金條款，○年在無特殊原因下刪除該條款；驗收時係由需求單位會同資訊單位辦理書面驗收，並將驗收結果簽會政風室及會計室，又該機關相關驗收紀錄文件未參照行政院公共工程委員會範本設置監驗人員欄位。
-
得獎者產生方式：網路抽獎須由承辦廠商設計電腦亂數抽獎程式，隨機抽出得獎名單，惟抽獎程式及程序完成後，並未有資訊單位負責稽核，致廠商於抽獎前先灌入造假名單，並利用抽獎程式刻意抽出其造假之名單；另評選優良作品係召開評選會議邀請專家評審後，逕交由廠商繕具得獎名單，致得獎名單被造假。上開兩項活動在得獎名單核定過程中，均未要求廠商提供得獎者作品或得獎者相關資料，以供機關驗證參賽者之身分。
-
獎品購買及寄送：該機關依廠商提供得獎者名單進行公告後，由廠商進行後續通知及獎品寄送事宜，因契約未要求檢附證明文件，故未由廠商提供獎品購買及寄送之證明文件。
請就上述違失案情，提出檢討改進措施。請於試卷上依下列格式作答，按內部控制五項要素分項說明，否則不予計分。（15 分）
| 組成要素 | 檢討改進之措施 |
|---|---|
| 控制環境 | ____ |
| 風險評估 | ____ |
| 控制作業 | ____ |
| 資訊與溝通 | ____ |
| 監督作業 | ____ |
登入後即可作答並保存紀錄。
核心觀念
本題考查政府機關內部控制的五項組成要素，以及監督作業的三種方式。內部控制由機關全體人員共同參與，融入機關管理及業務流程，透過五項彼此關聯的要素，合理確保施政效能、資訊可靠、遵循法令及資產安全等目標。
題幹所述「融入至管理過程之後端」不宜解讀為內部控制只在業務完成後才介入；內部控制應在業務規劃、執行及監督過程中發揮作用。第二小題則要求把採購、履約、抽獎、評選及獎品寄送各階段的缺失，分別對應至控制環境、風險評估、控制作業、資訊與溝通及監督作業。
法規部分以命題當年（民國 108 年）法規為準，依「政府內部控制監督作業要點」說明監督方式。
解題方法
第一小題直接依監督作業要點列出三種監督方式，並說明執行者及工作內容。第二小題先依事件流程辨識風險及控制缺口，再依五項要素分配改進措施；同一缺失可在不同要素下提出互補的改善做法，但應以題目指定的五項要素分欄作答。
（一）監督作業的主要內容
-
例行監督：由各單位主管人員本於職責，就分層負責及授權業務執行督導。在日常管理過程中，透過檢核、審查、追蹤、管制或考核等機制，確認相關內部控制持續運作；遇有外界意見或執行缺失，應即時檢討。
-
自行評估：由相關單位依職責分工，評估內部控制五項組成要素運作的有效程度。各單位依計畫執行評估並記錄結果，彙整缺失及興革建議，依程序核定後辦理改善，並追蹤後續辦理情形。
-
內部稽核：由內部稽核專責單位或任務編組，以客觀、公正的立場協助機關檢查內部控制建立及執行情形，適時提出改善建議，並追蹤缺失改善情形。內部稽核可依風險及重要程度安排年度稽核或專案稽核。
（二）依五項組成要素提出檢討改進措施
| 組成要素 | 檢討改進之措施 |
|---|---|
| 控制環境 | 機關首長及主管應明確宣示誠信與廉潔要求，建立對採購、活動辦理及獎項核定負責的管理責任。明定需求單位、採購單位、資訊單位、政風室、會計室及驗收人員的權責，並落實職務分工及必要的覆核，避免抽獎程式、得獎名單製作與核定等關鍵工作由廠商單方面控制。加強承辦人員及相關主管的採購、契約、驗收與內部控制教育訓練，對違失依規定究責。 |
| 風險評估 | 將委外辦理網路抽獎、競賽評選、得獎名單核定、獎品採購及寄送等納入風險辨識與評估，特別評估廠商可自行控制抽獎資料、程式及名單的舞弊風險，以及履約保證金條款遭刪除、評選結果遭更換、得獎者身分無法查證及獎品未實際寄送等風險。依風險高低決定應採取的審查、覆核、抽核及稽核措施，並在法令或外界情勢變動、發生民眾陳情或異常事件時重新評估。 |