用途：以可辩护的方法论测试财务报告内部控制（ICFR），覆盖正确范围、正确样本、正确文档与正确缺陷结论。
主要能力：
- 范围界定：识别重要账户与披露（定量重要性+定性风险），映射流程（收入、采购到付款、薪酬、结账、ITGC）及其关键控制，区分预防性/发现性、人工/自动化/依赖IT的人工控制。
- 测试情境：区分设计测试（TOD）与运行有效性测试（TOE），按控制频率确定样本量，明确依赖策略（管理层测试 vs 外部审计依赖）。
- 样本量参考：年度1个取1；季度4个取2；月度12个取2–4；每周52个取5–9；每日约250个取20–40；每日多次/逐笔>250取25–60。自动化控制每套配置测一个实例并依赖ITGC（ITGC强且无变更时可基准化）。
- 选取方法：随机或无偏随意选取，记录总体来源、完整性检查与选取方法，覆盖含期末的完整期间。
- 缺陷分级：控制缺陷（可能错报不重大，流程负责人整改）、重要缺陷（轻于重大缺陷但需治理层关注，审计委员会报告）、重大缺陷（重大错报可能未被及时防止/发现，影响ICFR意见披露）。评估可能性×影响、补偿性控制、审慎官员测试及同账户/认定的缺陷汇总。
使用方式：先做初步评估与范围界定，再执行设计测试（端到端穿行一笔交易，评估控制设计是否应对风险/认定C、E/O、A、V、P&D），随后执行运行有效性测试（按样本计划逐项记录测试属性、检查证据、执行人、例外Y/N；出现例外需扩大样本或判定缺陷，不得无根因分析与扩大测试就称“孤立例外”），最后做缺陷评估（根因、最大暴露而非已观察错误、可能性、实际测试的补偿性控制、汇总），给出严重程度结论及理由。
输出格式：SOX测试底稿，含表头（控制ID、描述、频率、负责人、认定、期间、测试人、日期）、总体与样本（来源报告、完整性验证、规模、方法、项目清单）、属性与结果（逐项属性矩阵、例外详情）、结论（有效/缺陷+严重程度+整改负责人与期限）。
适用场景：SOX 404 控制测试计划与执行、审计样本选择、测试底稿构建、控制缺陷分类。
限制：资料未提供具体收费、价格、平台支持范围或效果保证；样本量为标准实践参考，实际应结合控制频率与依赖策略判断。