公司內控做得好不好？內部稽核都在查什麼？

費用合規與內控

「這筆交際費是誰核准的？」「發票有，但付款紀錄在哪裡？」「ERP 裡是這個成本中心，當初申請時也是嗎？」這些問題聽起來像月底對帳的小麻煩，但在內部稽核眼中，都是內控是否落地的線索。尤其近年企業支出型態變得瑣碎：SaaS 與 AI 訂閱變多、遠距工作與跨境付款增加、員工代墊和公司卡使用場景更複雜。若資料還散在表單、Email、聊天紀錄、紙本憑證和 ERP 之間，財務平常只是辛苦，查核時就會變成風險。

內部控制是什麼？

內部控制是公司為了讓營運更可靠、財務資料更可信、風險更可控，而設計的一套規則、流程、權限與檢查機制。

它不是只有財務部的事，也不是只有上市櫃公司才需要。任何企業只要開始有多人經手費用、付款、憑證、採購、報銷、入帳和報表，就需要內控。公司規模越大、部門越多、支出型態越複雜，內控的重要性越高。

內控問題	財務要確認什麼	如果答不出來，可能代表
這筆錢該不該花？	用途、政策、預算、部門或專案是否清楚。	支出合理性只能靠事後判斷。
是誰核准的？	簽核人是否有權限，超標是否加簽。	簽核可能只是形式，沒有真正控管。
憑證完整嗎？	發票、收據、合約、付款證明或補充文件是否齊全。	報帳、稅務或會計師查核時容易補件。
付款對得上嗎？	公司卡、轉帳、員工代墊或供應商付款是否能對到申請。	公司卡對帳、報帳對帳和查帳都會卡住。
能正確入帳嗎？	科目、成本中心、專案、稅額與 ERP 欄位是否一致。	月底關帳前仍要人工重整資料。

換句話說，內控不是流程最後的檢查關卡，而是從支出發生前就開始：預算是否可用、政策是否清楚、付款是否受控、憑證是否完整、資料是否能進到正確的會計與管理報表。

內部稽核在做什麼？

內部稽核是用來評估公司內部控制是否有效的獨立檢查機制，它會看制度有沒有設計，也會看制度有沒有真的被執行。

國際內部稽核協會 The IIA 將內部稽核定位為獨立、客觀的確認與諮詢活動，重點在協助組織改善營運，並評估風險管理、控制與治理流程是否有效。

換成企業日常語言，內部稽核不是只問「有沒有一張表」，而是會追問：

表上的資料完整嗎？
該核准的人真的核准了嗎？
超過預算或政策的支出有沒有被攔下？
發票、付款紀錄、報銷單和 ERP 入帳能不能互相對上？
發生退件、補件或異常支出後，有沒有改善機制？

內部控制和內部稽核有什麼不同？

內部控制是公司日常用來防止問題發生的制度；內部稽核則是檢查這些制度是否真的有效。

項目	內部控制	內部稽核
核心目的	降低錯誤、舞弊、合規與營運風險。	確認內控制度是否存在、有效且被遵守。
發生時間	日常營運中持續發生。	依稽核計畫、重大風險或異常事件進行。
主要角色	各部門主管、財務、會計、營運、人資與資訊團隊。	內部稽核人員、稽核單位或受委任的專業人員。
常見工作	設計政策、權限、簽核、付款、憑證與入帳規則。	抽查資料、測試流程、訪談人員、提出改善建議。
結果	讓流程比較不容易出錯。	讓管理者知道哪些流程需要補強。

這也是為什麼「有稽核」不等於「內控好」。如果制度寫得很完整，但費用資料仍然散落、簽核資訊不足、付款和憑證對不起來，內部稽核只會一直指出同樣問題，卻很難讓問題真正減少。

公司內控做得好不好，可以先看費用流程

費用流程是觀察內控最直覺的地方。原因很簡單：它牽涉的人多、情境碎、憑證多，也最容易出現例外。

一筆看似普通的支出，可能會經過員工、主管、財務、會計、部門預算 owner、供應商和 ERP。只要其中一段資料斷掉，後面就要靠人工補救。

常見的內控警訊包括：

警訊一：費用常常事後補申請

如果錢花出去後才補申請，代表預算和政策沒有在支出前發揮作用。財務只能事後審核，無法事前控管。

警訊二：主管簽核只剩「看金額」

主管簽核時如果只看到金額和一句備註，沒有預算、附件、政策提醒和歷史支出，就很難做出有品質的核准。

警訊三：憑證、付款與報銷單對不起來

發票在員工手上，刷卡明細在銀行帳單，報銷單在表單，對帳表又在另一份 Excel。資料分散會讓報帳對帳、公司卡對帳和查帳都變得吃力。

警訊四：ERP 入帳前還要大量人工整理

如果會計每到月底都要重新補科目、成本中心、專案代碼、稅額和付款資料，代表前端流程沒有把入帳需要的資料收乾淨。

警訊五：退件很多，卻沒有人追原因

每月都有缺憑證、超標未加簽、科目錯誤、附件不完整，但沒有統計原因。這表示公司一直在支付同一種管理成本，卻沒有把問題轉成制度改善。

若你正在整理費用科目與入帳規則，可以延伸閱讀費用科目怎麼分？企業費用分類與入帳管理指南。費用分類越清楚，內控和稽核越容易落地。

內部稽核通常怎麼查費用流程？

內部稽核不會只看單一發票，也不會只看這筆錢有沒有花，比較完整的費用稽核，會從制度、流程、資料和例外處理一起看。

稽核步驟	檢查重點	財務可先準備什麼
制度確認	費用政策、核准層級、例外處理是否清楚。	整理差旅、交際、交通、員工代墊、公司卡和 SaaS 訂閱規則。
抽樣檢查	申請、簽核、憑證、付款與入帳資料是否完整。	保留完整費用資料，不只保存發票圖片。
權限測試	超標是否加簽，敏感操作是否有權限限制。	設定金額門檻、代理人、加簽規則與修改紀錄。
憑證勾稽	憑證、付款紀錄、報銷單和簽核紀錄是否能互相對應。	讓每張憑證連到交易、申請單與付款紀錄。
入帳檢查	科目、成本中心、專案、稅額與 ERP 欄位是否正確。	在前端申請時就收齊會計需要的結構化欄位。
缺失追蹤	同樣問題是否反覆發生，改善是否有結果。	統計退件、補件、超標、缺憑證和重複申報原因。

關於憑證保存與查核資料包，可以延伸閱讀憑證數位化怎麼做？導入前先問會計師的 6 個關鍵問題。內控做得好不好，常常就差在資料是否能被調閱、追溯和勾稽。

費用內控檢查表

如果公司還沒有正式稽核計畫，也可以先從最近 20 筆費用做一次自查。重點不是一次把制度做滿，而是先找出最常出現、最耗財務時間、也最容易變成查核風險的缺口。

檢查項目	通過標準	常見改善方向
費用用途	每筆支出都有明確用途、部門、專案或成本中心。	統一申請欄位，避免自由文字過多。
政策符合	費用類別、金額上限、憑證要求都有對應規則。	把費用政策放進送件流程，而不是只放在文件裡。
簽核權限	簽核人符合權限，超標支出有加簽紀錄。	依金額、部門、費用類別設定簽核路徑。
憑證完整	發票、收據、合約、付款證明或補充文件可調閱。	集中保存憑證，並保留補件紀錄。
付款對帳	公司卡、轉帳、員工代墊與申請單能互相對應。	把支付資料和報帳流程串起來。
入帳資料	ERP 需要的科目、稅額、成本中心與專案欄位已收齊。	前端欄位結構化，減少月底重複輸入。
操作紀錄	誰送件、誰修改、誰核准、何時退件都能追溯。	避免重要決策只留在 Email 或聊天訊息。
異常追蹤	退件、缺憑證、重複申報與超標原因有被統計。	定期檢視高頻缺失，回頭修政策和流程。