专知智库知识库IPO问询｜145 收入确认内控是否有效？

作者：专知智库IPO研究院

这是收入真实性追问的“内控收口落点”。前面的问题逐项查了收入确认政策、时段法/时点法、签收验收、总额净额、内外销、经销寄售对账、跨期、Q4占比、订单匹配、现金流匹配、产能匹配、终端真实性、压货、贸易商实质、境外收入、海关数据、出口退税、第三方回款、现金收款、个人卡收款。这一问做一次总收口：支撑上述所有收入确认动作的内部控制，到底有没有效——制度有没有、流程走没走、单据全不全、职责分没分、系统记没记、监督查没查、缺陷改没改。监管的逻辑很直接：收入确认政策再合理、单据再齐全、核查程序再充分，如果内控是失效的，收入真实性就缺乏可持续的制度保障；反过来说，内控有效，收入确认的差错风险才能被系统性控制。这个问题问的不是“有没有内控制度”，而是“制度有没有跑起来、关键控制点有没有人守、单据链条能不能闭合、异常能不能被拦住、缺陷改了没有”。

一、为什么追问“收入确认内控是否有效”

第一，收入确认是财务报告的核心循环，内控有效性直接决定收入数据的可靠性。 收入确认涉及订单、合同、发货、签收/验收、开票、记账、对账、回款多个环节，跨销售、仓储、财务、法务多个部门。任何一环控制缺失，都可能导致收入提前确认、跨期确认、金额错误、虚构交易。监管追问内控有效性，本质上是在验证“收入数据是不是在受控流程中产生的，而不是靠事后补单据、靠人盯人”。

第二，内控失效是收入舞弊的制度温床。 收入舞弊往往不是单点造假，而是内控多个环节同时失守：订单可以补签、发货单可以后补、验收单可以代签、开票与发货脱节、对账由同一人完成、收入记账缺乏复核。内控有效，这些操作会被职责分离、审批、复核、系统控制拦住；内控失效，造假成本极低。监管追问，是在排查“收入确认的关键控制点有没有被架空、有没有人为操纵空间”。

第三，IPO审核对内控有效性的要求是“健全且被有效执行”，不是“有制度就行”。 《首次公开发行股票注册管理办法》要求发行人内部控制制度健全且被有效执行，能够合理保证财务报告的可靠性。监管不仅看制度文本，更看运行记录：审批有没有留痕、复核有没有签字、系统有没有权限控制、内审有没有测试、缺陷有没有整改。监管追问，是在验证“内控是不是真的在跑、有没有运行证据”。

第四，专精特新企业高发“收入内控制度有、执行弱”。 技术团队创业企业早期重业务轻内控，收入确认靠老板拍板、单据靠事后补、职责不分离、系统不健全、内审缺失；申报前集中补制度，但执行记录缺失、缺陷未整改。申报前不逐项核对，问询时集中暴露。

二、法规依据

（一）内控规范

• 《企业内部控制基本规范》：内部控制五要素（内部环境、风险评估、控制活动、信息与沟通、内部监督）；内部控制应当贯穿决策、执行和监督全过程，覆盖各种业务和事项。
  
• 《企业内部控制应用指引第9号——销售业务》：销售计划、客户信用、销售合同、发货、收款、销售退回、客户服务等环节的控制要求；销售与收款职责分离；收入确认依据。
  
• 《企业内部控制应用指引第18号——信息系统》：信息系统开发、运行、维护的控制要求；系统权限、数据备份、日志记录。
  
• 《企业内部控制评价指引》：内部控制评价的组织、内容、程序、缺陷认定、评价报告。
  

（二）会计准则

• 《企业会计准则第14号——收入》：收入确认以控制权转移为基础；合同识别、履约义务识别、交易价格确定、收入确认时点判断。
  
• 《企业会计准则第22号——金融工具确认和计量》：应收账款、合同资产的确认与减值。
  

（三）证监会规章与监管规则

• 《首次公开发行股票注册管理办法》：发行人会计基础工作规范，财务报表在所有重大方面公允反映财务状况、经营成果和现金流量；内部控制制度健全且被有效执行，能够合理保证财务报告的可靠性。
  
• 《监管规则适用指引——发行类第4号》：财务真实性相关核查要求，包括收入确认内控有效性、关键控制点、运行记录、缺陷整改。
  
• 《首发业务若干问题解答》（如适用）：关于内部控制、收入确认、穿行测试、控制测试的具体口径。
  
• 沪深交易所审核问答中关于“内部控制”“收入确认”的核查口径：通常要求说明收入确认内控制度、关键控制点、控制测试、缺陷及整改。
  

（四）执业规范

• 《保荐人尽职调查工作准则》《会计师事务所证券业务执业规则》：要求对收入确认内控进行专项核查，核查程序包括：内控制度核验、穿行测试、控制测试、运行记录核查、缺陷识别、整改验证、访谈确认。
  

三、哪些公司问询中容易涉及

第一类，收入确认靠老板拍板、缺乏制度的企业。 收入确认时点由实控人决定，缺乏书面政策、审批流程。问询会追问：收入确认政策、审批流程、内控是否有效。

第二类，单据事后补、验收单代签的企业。 发货单、验收单、对账单事后补签、代签，单据与业务脱节。问询会追问：单据是否真实、内控是否防住补签代签。

第三类，销售、仓储、财务职责不分离的企业。 同一人负责订单、发货、开票、记账、对账，缺乏职责分离。问询会追问：职责是否分离、是否存在舞弊空间。

第四类，收入确认与开票、发货、验收脱节的企业。 开票与发货脱节、收入确认与验收脱节，缺乏系统控制。问询会追问：收入确认依据、系统控制、内控是否有效。

第五类，收入确认系统不健全、手工记账的企业。 收入靠手工台账、Excel记账，系统无权限控制、无日志。问询会追问：系统是否健全、数据是否可靠、内控是否有效。

第六类，内审缺失、内控评价流于形式的企业。 无内审部门、内控评价报告模板化、缺陷不认定。问询会追问：内审是否独立、内控评价是否真实、缺陷是否整改。

第七类，申报前集中补制度、执行记录缺失的企业。 申报前集中补内控制度，但运行记录缺失、控制测试无法执行。问询会追问：制度是否执行、运行记录在哪、控制测试是否充分。

第八类，收入确认内控缺陷未整改的企业。 内控测试发现缺陷，未整改或整改不到位。问询会追问：缺陷是什么、是否整改、整改是否有效。

四、如何回答：五维内控有效性核查

维度一：控制环境与职责分离

• 收入确认政策是否书面化、是否经管理层审批；
  
• 销售、仓储、财务、法务职责是否分离；
  
• 订单、发货、开票、记账、对账是否由不同人员负责；
  
• 关键岗位是否有轮岗、强制休假；
  
• 管理层对内控的态度、内控文化；
  
• 控制环境是否有效、是否披露。
  

回答要点： 环境要“有制度、有分离、有文化”。政策要书面；职责要分离；关键岗位要控制；管理层要重视。

维度二：关键控制活动

• 订单/合同审批：是否经销售、财务、法务审批；
  
• 客户信用管理：信用评估、授信、账期审批；
  
• 发货控制：发货单与订单匹配、仓储复核；
  
• 签收/验收控制：签收单、验收单、客户确认；
  
• 开票控制：开票与发货、验收匹配；
  
• 收入确认控制：确认时点、确认依据、复核；
  
• 对账控制：定期对账、差异处理；
  
• 回款控制：回款核对、应收账款管理；
  
• 关键控制点是否设置、是否执行、是否有记录。
  

回答要点： 控制要“逐环节、有审批、有复核”。订单、发货、签收、开票、确认、对账、回款逐环节控制；关键控制点要留痕；不能有环节缺失。

维度三：信息与沟通、系统控制

• 收入确认相关信息是否在销售、仓储、财务之间传递；
  
• 是否使用ERP/业务系统、系统是否覆盖收入确认全流程；
  
• 系统权限是否分离、是否有日志、是否有审批流；
  
• 系统数据与手工台账是否一致；
  
• 异常收入是否有人复核、是否有人报告；
  
• 信息与沟通、系统控制是否有效、是否披露。
  

回答要点： 信息要“传得到、系统控、可追溯”。信息要传递；系统要覆盖；权限要分离；日志要留存；异常要报告。

维度四：内部监督与缺陷整改

• 是否设内审部门、内审是否独立；
  
• 内审是否对收入确认进行测试、频率、覆盖；
  
• 是否开展内控评价、评价是否覆盖收入循环；
  
• 是否识别内控缺陷、缺陷等级、缺陷描述；
  
• 缺陷是否整改、整改是否验证、是否运行足够时间；
  
• 内控评价报告、审计意见是否标准；
  
• 监督与整改是否有效、是否披露。
  

回答要点： 监督要“有内审、有评价、有整改”。内审要独立；评价要覆盖；缺陷要识别；整改要验证；运行要足够时间。

维度五：控制测试与有效性结论

• 是否执行穿行测试，覆盖收入确认全流程；
  
• 是否执行控制测试，样本量、覆盖期间、测试结果；
  
• 控制测试是否发现偏差、偏差率、偏差原因；
  
• 偏差是否整改、整改后是否重新测试；
  
• 内控是否有效、是否能够合理保证财务报告可靠性；
  
• 是否取得中介机构核查意见、结论是否明确；
  
• 内控有效性结论是否在申报文件中充分披露。
  

回答要点： 测试要“穿行、控制测试、结论明确”。穿行要覆盖全流程；控制测试要足够样本；偏差要整改；结论要明确。

五、专知智库能做什么

专知智库成都专知利乎数字科技有限公司在收入确认内控有效性核查中，可提供：

• 控制环境与职责分离核查：收入政策、审批流程、职责分离、关键岗位控制核查；
  
• 关键控制活动核查：订单、信用、发货、签收验收、开票、收入确认、对账、回款逐环节控制核查；
  
• 信息与系统控制核查：信息传递、系统覆盖、权限分离、日志、异常报告核查；
  
• 内部监督与缺陷整改核查：内审独立性、内控评价、缺陷识别、整改验证核查；
  
• 控制测试设计与执行：穿行测试、控制测试样本设计、偏差分析、整改后重测；
  
• 整改方案设计：补制度、补职责分离、补系统控制、补内审、整改缺陷的方案和程序支持；
  
• 问询回复逻辑设计：按“环境—控制—信息—监督—测试”五维框架组织回复，确保首轮回复形成闭环；
  
• 证据链台账建设：把内控制度、审批记录、系统日志、内审报告、控制测试底稿纳入日常台账，确保问询回复时“有据可查”。
  

其中涉及收入准则适用、控制测试的，由专知智库协同会计师事务所提供支持；涉及内控制度设计、缺陷认定的，由专知智库协同内控专业机构提供支持；涉及系统控制的，可协同IT审计机构提供支持。

专知智库 成都专知利乎数字科技有限公司
官网：www.ipzhihu.com
电话：028-84400310

六、FQA

Q1：收入确认内控有效，主要看什么？
A：看五个层面：控制环境（制度、职责分离、管理层态度）、关键控制活动（订单、发货、签收、开票、确认、对账、回款逐环节控制）、信息与系统（信息传递、系统权限、日志）、内部监督（内审、内控评价、缺陷整改）、控制测试（穿行测试、控制测试、结论）。核心是“制度在跑、控制点有人守、运行有记录、缺陷改了”。

Q2：有内控制度，但没执行记录，算有效吗？
A：不算。内控有效性看运行记录：审批有没有签字、复核有没有留痕、系统有没有日志、内审有没有测试。只有制度文本、没有执行记录的，会被质疑“制度挂在墙上”。

Q3：职责不分离，一定内控失效吗？
A：不一定，但风险高。销售、仓储、财务职责不分离，同一人负责订单、发货、开票、记账、对账，存在舞弊空间。规模小的企业可说明补偿性控制（如管理层复核、事后检查），但关键环节职责分离是内控有效的基本要求。

Q4：收入确认靠手工台账，内控有效吗？
A：要看手工台账的控制措施：是否有复核、是否有审批、是否与系统数据核对、是否有日志。手工台账缺乏系统权限控制和日志，内控有效性较弱；建议逐步系统化，或加强补偿性控制。

Q5：内控测试发现偏差，怎么办？
A：要分析偏差原因、评估偏差率、判断是否构成缺陷；缺陷要整改、整改后重新测试、运行足够时间。偏差率高、缺陷未整改的，内控有效性存疑。

Q6：内审缺失，会影响IPO吗？
A：可能影响。内审是内部监督的重要环节，内审缺失、内控评价流于形式，内控有效性缺乏独立验证。建议申报前设内审部门、开展内控评价、测试收入循环。

Q7：如何证明“收入确认内控有效”？
A：五维证据：内控制度、审批/复核记录、系统日志、内审报告、控制测试底稿、中介机构核查意见。结论要明确“内控健全、执行有效、能够合理保证收入数据可靠性”。

Q8：收入确认内控失效，会影响IPO吗？
A：可能影响。内控失效可能导致收入数据不可靠、财务报告失真，构成发行障碍。建议申报前补制度、补执行、补监督、整改缺陷、充分披露。

Q9：申报前集中补内控制度，会被质疑吗？
A：会追问。集中补制度要说明：为什么现在补、制度是否执行、运行记录在哪、控制测试是否充分。补制度但无执行记录、无控制测试的，重点追问。

Q10：专知智库的收入确认内控核查服务，怎么用？
A：建议在申报前6—12个月启动。先做控制环境与职责分离核查，识别制度、职责缺陷；再做关键控制活动、系统控制、内部监督核查；最后按“五维内控有效性核查”框架设计问询回复逻辑。补制度、补职责分离、补系统、补内审、整改缺陷需要时间，不要等问询来了再临时处理。涉及控制测试、内控评价的，建议同步引入会计师事务所、内控专业机构。