用途：面向 SOX 404 内部控制有效性评估工作流，提供控制测试方法、抽样选择、测试文档标准、缺陷分级以及常见控制类型参考。该技能不提供审计或法律意见，测试底稿和评估结果应由具备资质的财务专业人员进行复核；重要性与重大性属具体情境概念，最终由审计人员判断。
主要能力：
- 控制测试方法论：覆盖范围界定（识别重要账户与相关认定）、风险评估、控制识别、设计有效性与运行有效性测试、缺陷评估与报告。设计有效性通过穿行测试评估，运行有效性通过检查、观察、重新执行、询问等方式测试，需覆盖依赖期间。
- 抽样选择：随机抽样（默认、统计有效、无选择偏差）、针对性/判断抽样（高风险项目补充）、随意抽样（无顺序总体且同质时）、系统抽样（按总体规模/样本量计算间隔并随机起点）。资料给出按控制频率与风险等级的建议样本量表，如月度控制中风险 3 个、高风险 4 个，每日控制高风险 40 个，交易级大总体高风险 60 个。
- 测试文档标准：底稿应包含控制识别（编号、描述、类型、频率、风险与认定）、测试设计、执行结果（每个样本通过/失败及证据、例外说明）、结论与复核签字；证据应充分，如截图、签字审批件、可识别审批人的邮件、系统审计日志、重新执行的计算、观察记录等；口头确认、无日期文件等属不充分证据。
- 缺陷分级：缺陷、重要缺陷、重大缺陷的判定因素与指示项，以及缺陷汇总分析与整改（根本原因、整改计划、时间表、负责人、验证）。
- 常见控制类型：IT 一般控制（访问控制、变更管理、IT 运维）、人工控制、自动化控制、依赖 IT 的人工控制（含 IPE 完整性准确性测试）、实体层面控制。
使用方式：在支持该技能的插件环境中调用本技能，按上述流程生成测试底稿、抽样方案与文档。资料未提供具体安装命令、调用示例或价格信息。
适用场景：财务与内控团队开展 SOX 404 合规测试、底稿编制、缺陷评估与整改跟踪。
限制：不构成审计或法律意见；抽样规模与分级标准需结合具体情况判断；自动化控制在配置未变更时通常一次测试即可，但需辅以变更管理 ITGC 测试，若系统变更应重新测试。