sox-itgc

用途

SOX ITGC 技能定位为 SOX IT 一般控制（ITGC）专家顾问，服务于财务部门、内部审计和 IT 合规团队。其目标是帮助团队围绕支持 ICFR（财务报告内部控制）的 IT 一般控制开展工作，包括设计、记录、测试与整改。该技能同时使用审计语言（PCAOB AS 2201、COSO 2013）和 IT 语言沟通。

主要能力

法律框架适用性

技能强调正确陈述适用性：

SOX §404(a)：管理层年度 ICFR 评估，适用于所有上市公司。
SOX §404(b)：审计师对 ICFR 的鉴证，豁免非加速申报人（依据 SEC 2020 年修订）和 EGC（JOBS Act §103；收入低于 12.35 亿美元，IPO 后最长 5 年）。
申报人门槛（现行法律）：加速申报人 = 公众流通股 7500 万至 7 亿美元且收入 ≥1 亿美元；大型加速申报人 = 流通股 ≥7 亿美元；小型报告公司 = 流通股低于 2.5 亿美元，或收入低于 1 亿美元且流通股低于 7 亿美元。
待定事项提示：SEC 2026 年 5 月 19 日提案拟将大型加速门槛提高至 20 亿美元流通股、豁免所有非加速申报人适用 404(b)，并新增约 5 年 IPO 后过渡期；评论期于 2026 年 7 月 20 日结束，尚未最终确定。技能要求以现行门槛为有效法律并标记该提案。
IPO 时间线：首份年报可省略 404(a) 和 404(b)；管理层首次 404(a) 评估出现在第二份 Form 10-K；§302/§906 认证自首份定期报告起适用。
标准：审计方为 PCAOB AS 2201（整合 ICFR 审计，自上而下、风险导向）；框架方为 COSO 2013《内部控制—整合框架》（2026 年仍现行，无继任框架，仅有补充指引，包括生成式 AI 内部控制指引）。

四大 ITGC 领域

技能列出审计师测试的四大领域及核心控制（频率为审计惯例而非法规）：

程序与数据访问：按批准请求开通；及时终止权限（24–72 小时惯例）；特权访问限制、监控、保险库化；用户访问复核（范围内系统每季度惯例）；访问设计中的职责分离；认证策略含服务账户；直接数据访问（数据库/操作系统）锁定。
程序变更：迁移前变更审批；保留测试证据；开发/部署职责分离（不得自行迁移至生产）；紧急变更：快速通道加事后审批与复核；配置变更纳入范围，不只代码。
计算机运行：作业调度与批处理监控及失败跟进；备份完成监控与定期恢复测试；涉及财务系统的事件/问题管理。
程序开发：新系统/实施的 SDLC 控制：授权、测试/UAT 签核、数据转换验证、上线审批。

核心工作流

范围界定（自上而下、风险导向，依据 AS 2201 / GAIT 逻辑）：从财务报表出发，重大账户与披露 → 相关业务流程 → 执行启动/记录/处理/报告的应用（ERP、子分类账、合并、薪资接口、关键 IPE 来源和最终用户计算）→ 支持层：数据库、操作系统及变更/访问/运营基础设施。仅在 ITGC 支持 ICFR 所依赖的自动化控制、关键报告或接口时纳入。SOC 1 报告覆盖外包层（将 CUEC 映射到 RCM）。
风险与控制矩阵（RCM）：按系统 × 领域，风险管理陈述 → 控制目标 → 控制活动（预防性/检查性，自动化/人工）→ 频率 → 负责人 → 证据 → 测试方法。交付为可直接用于审计工作底稿的表格。
控制叙述与测试脚本：叙述含系统、控制负责人、触发、程序、产生的证据、异常路径。测试脚本含 TOD（设计穿行测试，一个实例）+ TOE（运行有效性——按频率惯例抽样：每日→25，每周→5，每月→2，每季度→2，每年→1，自动化→测试一例加 ITGC 依赖；基准惯例需与审计师商定）。
缺陷评估（阶梯，双重引用）：定义依据 AS 2201 附录 A 与 SEC Reg S-X Rule 1-02(a)(4)：控制缺陷 → 重要缺陷（轻于重大弱点但足以引起监督关注，报告审计委员会）→ 重大弱点（合理可能重大错报未被及时预防或发现，公开披露，ICFR 否定意见）。评估：可能性 × 影响；考虑补偿性控制；汇总影响同一账户/认定的缺陷。ITGC 缺陷通过其支持的自动化控制和报告来评估，单独的 ITGC 失败不自动构成重大弱点。
整改计划：根本原因 → 控制重新设计 → 整改窗口，需在年末前有足够运行期以供重新测试（12 月修复的控制无法展示季度运行）→ 验证测试 → 管理层结论。引用背景：2023—24 年报约 8% 披露重大弱点（KPMG/Audit Analytics，3,502 份中 279 份）；IT/访问和职责分离问题位列反复出现的主题；超过 60% 的否定评估是重复申报者（Baker Tilly，截至 2025 年 4 月）。

当前背景（2025—2026）

PCAOB 2025 年检查重点：ICFR 质量、发行人与审计中生成式 AI 使用、网络安全事件；AS 1000 对 FY ≥ 2024 年 12 月 15 日生效。SEC 网络规则（8-K Item 1.05、S-K Item 106）与 SOX 互动——财务系统上的重大网络事件同时涉及两者。PCAOB 仍为独立监管机构（2025 年将其并入 SEC 的提案已放弃）。新兴 ITGC 议题：财务系统内的 AI/智能体功能——将自动化财务控制的模型/配置变更视为范围内变更。

使用方式

技能按任务输出特定格式：

范围界定：系统清单表：应用 | 流程/账户 | 层栈 | 纳入原因 | SOC 1 依赖。
RCM：按上述工作流输出完整矩阵。
叙述/测试脚本：可供工作底稿使用的行文 + 含样本量的程序表。
缺陷评估：阶梯走查：事实 → 可能性/影响 → 补偿性控制 → 汇总 → 依据 AS 2201/Reg S-X 的分类引用。
整改：含负责人、日期、财年末前重新测试窗口的计划。

技能还设有回答完整性规则（即使未被询问也需包含）：说明 404(b) 是否适用于公司申报人身份（并标记 2026 年 5 月待定 SEC 提案）；将频率/样本量数字标注为审计惯例而非法规；缺陷分类必须引用 AS 2201/Reg S-X 并处理汇总；ITGC 缺陷通过其支持的自动化控制评估；季度末/年末时间驱动每个整改答案。

参考文件

references/itgc-control-catalog.md：各领域完整控制目录，含测试程序与证据。
references/deficiency-evaluation.md：评估框架、汇总、按严重程度的示例。
references/scoping-and-rcm.md：范围界定方法、RCM 模板、SOC 1/CUEC 处理、IPE/EUC。

限制

技能明确声明：提供通用合规信息，不构成法律意见。要求针对官方来源核实当前要求；就决策咨询合格法律顾问或认可评估师。资料未提供安装命令、价格、平台支持等技术细节。