112 公務人員升官等薦任 審計 內部控制之理論與實務 考古題詳解

核心觀念

本題評量審計人員對於內部控制理論中「控制活動」（Control Activities）分類及其在「企業風險管理」（ERM / Risk Management）體系中實務運用的整合能力。

1. 規範依據：

• 以命題當年（民國 112 年）法規為準，本題核心依據為國際 COSO《內部控制－整合架構》（Internal Control - Integrated Framework）、行政院《政府內部控制制度實施要點》及審計準則相關規範。

2. 核心架構：

• 控制活動依時點與功能特性，主要區分為預防性控制（Preventive Controls）、偵測性控制（Detective Controls）與矯正性控制（Corrective Controls）。
• 風險管理之核心指標包含：風險發生機率（Likelihood）、風險衝擊幅度（Impact）、固有風險（Inherent Risk）與殘餘風險（Residual Risk）。內部控制之目的即在於將固有風險有效降低至組織所能承受的「風險胃納」（Risk Appetite）之內。

---

解題方法

本題屬申論題型，答題應採取「時序維度 $\times$ 風險要素」之結構化切入點：

1. 第一部分（定義）：採「發生時點」、「控制機制」與「實務案例」三層次切入，精準界定三項控制之界線，避免觀念混淆。
2. 第二部分（對風險管理之幫助）：不可僅流於抽象描述，應扣緊風險管理量化與質化要素：

• 預防性控制 $\rightarrow$ 降低風險發生的「機率」（$P$）。
• 偵測性控制 $\rightarrow$ 縮短風險暴露的「時限」（$T$），及時識別異常。
• 矯正性控制 $\rightarrow$ 縮小風險造成的「衝擊/損失」（$I$），並回饋改進流程。
• 綜合綜效 $\rightarrow$ 形成「縱深防禦」（Defense-in-depth），降低殘餘風險。

---

選項分析

本題為升官等薦任審計類科之申論題，無選擇題選項。閱卷委員主要針對考生能否辨析三者「作用時點、主要標的、成本效益」之異同進行評分。三項控制特性的詳細對比分析如下：

控制類型	作用時點	對風險要素之主要作用	實務範例	成本效益特性
預防性控制	事前（Before the event）	阻絕於源頭，直接壓低發生機率	職能分工、授權核准、密碼存取管制、防呆輸入檢核	效益最高、防杜成本通常最低（預防勝於治療）
偵測性控制	事中或事後即時（During/After the event）	發掘已存在之錯誤，縮短暴露時間	銀行存款調節表、實體盤點、異常交易警訊、覆核作業	必要之防線，若無後續矯正作為則無法單獨挽回損失
矯正性控制	偵測確認後（Post-detection）	修補缺失、挽回損失，降低衝擊嚴重度	系統資料備份還原、溢付款追回、修改錯誤程式、修訂作業規章	往往伴隨補救成本，但具備防止問題再度發生之持續改善機能

---

解題技巧

1. 答題關鍵訣竅：

• 牢記「時點三字訣」：事前擋（預防）、事中抓（偵測）、事後改（矯正）。
• 答題第二子題時，切忌泛泛而談「降低風險」，必須指明是降低風險的「發生可能性」抑或「衝擊嚴重度」。

2. 常見陷阱與盲點：

• 混淆偵測與矯正：例如「編製銀行往來調節表」為偵測性控制（發現差異），而針對未達帳通報並「調整分錄補正」方屬矯正性控制；兩者不可混為一談。

核心觀念

本題旨在評量考生於「資訊科技（IT）環境」下，針對企業核心營運循環——**銷售及收款循環（Sales and Collection Cycle）**之風險評估與內部控制作業設計能力。本題涉及之法規依據與理論基礎如下：

1. 法規準據（以命題當年民國 112 年法規為準）： 依《公開發行公司建立內部控制制度處理準則》第 7 條第 1 項第 1 款規定，銷售及收款循環包括處理客戶訂單、授信管理、開出銷貨單、運送貨物、開立銷貨發票、開出帳單、確認及記錄應收帳款、處理及記錄現金收入等作業程序，公司應針對各作業程序建立有效之內部控制制度。
2. COSO 內部控制整合架構與資訊應用控制： 在高度資訊化環境下，內部控制作業涵蓋預防性控制（Preventive Controls）與偵查性控制（Detective Controls），並特別著重資訊系統應用控制（IT Application Controls），包括輸入控制（Input Controls）、處理控制（Processing Controls）與產出控制（Output Controls），藉由系統自動化比對與權限檢核，防範資料錯誤、舞弊與信用風險。

---

解題方法

本題為標準的「風險—衝擊—控制」三段式風險對應題型，解題步驟如下：

1. 情境切入點：題幹開宗明義強調「公司已經導入資訊系統」，因此控制措施之設計不可僅偏重傳統人工監督，必須具體提出**系統自動化控制（System Controls）與人工管理程序（Manual Controls）**相結合之機制。
2. 衝擊面分析：須兼顧「營運作業效率（如物流成本、商譽損失）」與「財務報表聲明（如營業收入存在性、應收帳款評價與權利義務、存貨真實性）」。
3. 控制措施設計：針對各風險本質，優先由系統前端進行「防錯／阻擋（預防性）」，後端進行「異常報表產出與權限複核（偵查性）」，建立端到端（End-to-End）之控制防線。
4. 作答形式合規：題末明文規定「請依下列格式統整作答，否則不予計分」，務必嚴格依指定之三欄式表格呈現，不可自行改以純文字論述。

---

題目結構深度剖析

本題屬指定表格作答之申論分析題，針對題幹所列 5 項風險逐一解析其本質與對應核心：

• 風險 1（不完整或不正確之訂單）：核心為資訊系統「輸入控制（Input Control）」問題。因人為疏漏或系統未設檢核，造成訂單資料失真，引發後續物流與發票錯誤。
• 風險 2（授信與壞帳風險）：核心為「授信政策之系統強制鎖定機制」。傳統人工授信易受人情干預，導入 IT 後應落實「信用額度自動檢核與阻擋出貨」。
• 風險 3（存貨缺貨）：核心為「訂單處理系統與庫存管理系統之即時整合」。著重在 Available-to-Promise (ATP) 現有可用量檢核與安全存量自動警示。
• 風險 4（衝業績之期末假銷貨與期後大量退貨）：核心為業務「績效指標（KPI）誘因設計」與「銷貨截斷點（Cut-off）/收入認列舞弊」。控制措施須打破利益衝突，將退貨權限抽離業務單位，並將獎金與收現掛鉤。
• 風險 5（特定客戶應收帳款偏高）：核心為「信用過度集中風險（Credit Concentration Risk）」與「帳齡監控」。控制措施須設定單一客戶曝險上限，並引入風險移轉或實質擔保工具。

---

解題技巧

1. 辨識 IT 關鍵字：答題時控制措施務必融入「必填欄位檢核」、「系統自動比對」、「自動凍結/卡單（Hold/Lock）」、「異常例外報表（Exception Report）」、「電子簽核工作流（Workflow）」等資訊控制術語，方能契合題意。
2. 避免責任模糊：控制措施應明列「職能分工（Segregation of Duties）」，例如授信由獨立之信用管理部門負責、退貨由財務與倉儲部門複核，嚴禁業務人員球員兼裁判。
3. 格式紀律：對於標註「否則不予計分」之警語，作答時欄位名稱與順序必須百分之百精確符合題意，確保閱卷委員能依標準評分表快速給分。

---

【答案】

依題意指定格式統整作答如下：

風險	衝擊	控制措施
風險 1：不完整或不正確的客戶訂單。	1. 產生出貨錯誤（如品項、規格、數量錯誤），衍生額外之退換貨運送成本與倉儲作業負擔。<br>2. 發票開立錯誤或帳務調整繁瑣，延誤請款時程，甚至引發客戶抱怨與損害商譽。

核心觀念

本題評量現代內部稽核之核心骨幹——以風險為導向的稽核規劃（Risk-Based Internal Audit Planning, RBIA）。年度稽核計畫並非各項業務的例行性均等分配，而是將有限的稽核資源聚焦於影響組織目標達成最重大的風險領域。

本題主要涉及之法規與專業準則（以命題當年民國 112 年法規與準則為準）：

1. 國際內部稽核執業準則（IIA Standards）：

• 準則第 2010 號「規劃（Planning）」：內部稽核主管必須建立以風險為基礎的計畫，以決定內部稽核活動的優先順序，並與組織的目標保持一致。
• 實務指引 2010.A1 及 2010.A2：計畫應至少每年依據文件化的風險評估結果訂定，並納入高階管理階層、治理單位（如董事會、審計委員會或機關首長）的期望與意見。

2. 我國公部門法規：

• 「政府內部稽核實施要點」第 13 點及第 14 點：明定內部稽核單位應依風險評估結果策訂年度稽核計畫，陳報機關首長核定，並具體明列訂定時應考量之重要施政、外部審計意見、重大控制缺失與稽核資源等因素。

3. 我國私部門法規：

• 「公開發行公司建立內部控制制度處理準則」第 13 條：內部稽核單位應依風險評估結果擬訂年度稽核計畫，並考量營運策略、自評結果、歷史缺失及外部查核意見等。

法規更新提示：國際內部稽核協會（IIA）於民國 113 年發布新版《全球內部稽核準則》（Global Internal Audit Standards, GIAS）並於民國 114 年正式施行，現行法與準則對規劃架構已有更新，但本題解題仍以命題當年（民國 112 年）之規範為準。

---

解題方法

本題為高分申論題，作答切入點應兼具「學理邏輯（IIA 風險導向稽核架構）」與「公私部門法制規範（實務考量要點）」，切忌僅憑直覺零散條列。

解題架構建議採取「目標導向 $\rightarrow$ 風險辨識 $\rightarrow$ 內外部期望 $\rightarrow$ 歷史軌跡 $\rightarrow$ 資源限制」之邏輯推進：

1. 前言：破題說明「年度稽核計畫」與「風險評估」之連結（有限資源與最大效益）。
2. 核心考量因素：系統性開展 7 至 8 項具體因素，並針對每一因素詳細描述其評估重點與實務意涵（回應題目「請詳細描述」之要求）。
3. 結語：補充計畫之「動態修正」與「核定程序」，使答題架構完整閉環。

---

選項分析

本題為申論題（非選擇題），無個別選項之正誤判斷。評分著重於論述的完整性、層次條理及專業術語之精準度，完整答題內容請見下方【答案】。

---

解題技巧

1. 記憶口訣架構（標、險、人、變、史、資）：

• 標（目標方針）：組織重要策略、施政方針、高預算規模業務。
• 險（風險結果）：固有風險高、控制有效性弱之業務、內部控制自評缺失。
• 人（治理關注）：機關首長指示、董監事期望、民意監督與媒體關注。
• 變（重大變革）：法規修訂、新資訊系統上線、組織重組或人事大幅異動。
• 史（歷史軌跡）：審計部查核意見、外部檢查缺失、歷年未改善事項。
• 資（資源限制）：內部稽核人力、查核時間、專業職能（如資訊稽核能力）。

2. 答題常見陷阱：

• 陷阱一：死背法條條文卻缺乏學理解釋。若僅列出「考量重大施政、考量首長指示」，未說明「為什麼該項目具備高風險」，難以取得高分。
• 陷阱二：忽略「資源限制」也是規劃要素。年度計畫是「資源最佳配置方案」，不是無止境的清單，若漏答「人力與能力限制」，代表缺乏主管層級的規劃視野。
• 陷阱三：忽略「動態調整」。外在風險瞬息萬變，計畫訂定需保留隨環境變更而彈性調整的機制。

---

【答案】

內部稽核單位每年應提出年度稽核計畫。該計畫係以組織目標為依歸，採取「以風險為導向（Risk-Based）」之方法進行規劃，期在有限的稽核資源下，優先涵蓋最高風險之營運

核心觀念

本題測驗的核心為「資訊科技控制」（IT Controls）中**資訊科技一般控制（Information Technology General Controls, ITGC）**的內涵、控制項目與實務運作機制。

• 準則與法規基礎：
• 本題以命題當年（民國 112 年）適用之審計準則公報第 48 號「瞭解受查者及其環境並評估重大不實表達風險」（及改編後之審計準則 315 號「辨認並評估重大不實表達風險」）附錄有關資訊科技環境評估之規範為準。
• 參酌 COSO 內部控制—整體架構之「原則 11：管理階層選擇並發展一般控制活動以支持目標之達成」及行政院所頒「政府內部控制監督作業要點」與「內部控制制度共通性作業範例」。
• 定義：
• 資訊科技一般控制（ITGC）：指適用於組織全部或大部分資訊系統的政策與程序，旨在確保資訊系統運作環境的穩定性、完整性與安全性，並為「應用控制（Application Controls）」提供有效運作的基礎環境。

---

解題方法

本題為典型的「申論列舉與闡述題」，解題應採層次化論述法：

1. 界定定義與定位：開篇簡述一般控制之意義及其與應用控制之關聯。
2. 範疇化展開控制項目：依審計準則公報與 COSO 架構，將一般控制劃分為系統取得與開發、程式變更、存取安全、資料中心與電腦維運、系統軟體維護及業務持續與備援等主要領域。
3. 深入闡述控制內容：每一項目均清楚交代「控制目標（防範何種風險）」與「具體控制作為（如授權、測試、職能分工、監控）」。

---

選項分析

本題為申論題（非選擇題），閱卷重點與評分結構分析如下：

• 項目完整性：若僅回答單一安全措施（如密碼複雜度、防毒軟體），無法獲得高分。必須完整列出涵蓋資訊生命週期與運作環境的各大控制領域。
• 內容描述精確性：說明各控制項目時，需精確使用審計與內控專業術語（例如「職能分工」、「開發與正式環境隔離」、「特權帳號管理」等），展現理論與實務結合的專業度。

---

解題技巧

1. 五字速記訣「開、變、存、運、備」：

• 開：應用系統取得、開發與維護。
• 變：程式變更控制。
• 存：邏輯與實體存取安全控制。
• 運：資料中心與網路作業控制（電腦維運）。
• 備：備份與業務持續運作（災難復原）。

2. 切忌混淆一般控制與應用控制：

• 「輸入檢核（如檢查碼、欄位合理性檢核）」、「交易授權勾稽」屬於應用控制，嚴禁混入一般控制項目中作答。

---

【答案】

一、資訊科技一般控制之意義

資訊科技一般控制（ITGC）係指架構於組織整體資訊處理環境之基礎控制措施，涵蓋作業系統、資料庫管理系統、網路架構及相關硬體設施。其主要目的在確保應用系統於設計、建置及日常運作階段皆能維持資料之完整性、正確性、機密性與可用性，並支持應用控制之持續有效運作。

二、資訊科技一般控制之主要項目及內容

依審計準則公報及 COSO 內部控制架構，資訊科技一般控制主要包含下列六項控制項目：

1. 應用系統取得、開發與建置控制（Application System Acquisition, Development and Maintenance Controls）

• 控制目的：確保新購置或自行開發之資訊系統能符合組織營運需求、具備足夠內部控制機制，且經適當測試與核准後方能正式上線。
• 具體內容：
• 訂定標準系統發展生命週期（SDLC）規範，涵蓋需求分析、系統分析、設計、編程、測試及驗收各階段。
• 執行嚴謹之使用者驗收測試（UAT）及安全性測試（如弱點掃描與滲透測試）。
• 實施專案管理與分期查核點審查，上線前必須取得業務單位與資訊單位主管之書面授權核准。