收入核查（五）丨单据在撒谎：收入内部控制有效性的核查逻辑与监管镜鉴

旧书君

本 文 目 录

一制度的纸面与现实的裂缝：内控有效性的核心命题

二单据造假：从公章粘贴到事后补签的十种手法

三流程断裂：已验收未入账与未发货已确认的背反世界

四制度摆设：披露的"完美内控"与执行的真实图景

五岗位分离与监督机制：舞弊的最后一道防线

六内控核查的实操框架：四个维度的穿透核查

七实务自检清单：收入内控的十个关键测试点

一、制度的纸面与现实的裂缝

《保荐人尽职调查工作准则》第三十九条对收入内控提出了明确的核查要求：制度健全性、执行有效性、缺陷整改效果，三条主线构成了内控核查的完整框架。从准则条文到业务实操，收入确认涉及的核心环节至少包括：客户获取与信用审批、合同审批及签署、发货出库、物流运输、验收签收、收入记账、回款核销。每个环节的内部控制如果存在漏洞，都可能成为收入造假的通道。

收入内控失效的常见模式可以归纳为三类：

第一类：制度缺失。核心环节根本没有建立内部控制制度，或制度过于简单、可操作性差。比如寄售模式下的销售对账制度缺失、验收留痕制度不完善等。

第二类：制度虚置。制度文本写得很完整，但执行层面流于形式，发货不经审批、物流不留记录、签收单从不回收、验收无人签字、回款不对账。制度躺在文件夹里，工作照旧。

第三类：选择性执行。制度在大部分时候执行，但在涉及业绩达标、对赌承诺、上市关键期等敏感时点，流程被刻意绕过，这是最难发现但危害最大的一类。

近几年监管处罚的案例集中揭示了一个事实，收入造假很少通过凭空捏造的方式实现，更多是通过扭曲或绕开已有的内控流程来完成。这种模式揭示了一个规律，收入内控核查不能停留在制度层面的"合规性审查"，必须穿透到执行层面的"有效性测试"。

二、单据造假：从公章粘贴到事后补签的十种手法

收入凭证是内控执行的实物证据。当这些凭证本身存在造假时，整个内控体系就从根基上被架空。近年监管处罚案例暴露出的单据造假手法，覆盖面之广、手法之多样，值得所有核查人员警惕。以下十个案例，全部来自交易所审核动态与证监会/交易所的公开纪律处分。

序号	案例	造假手法	内控失效节点
1	长晶科技 创业板 · 2025年6月通报批评	经销收入（报告期各期约9亿至12亿元，占主营收入50%—70%）的单据存在异常：销售订单与对账单等重要支持性文件上的公章系粘贴的图片，销售订单存在事后编辑痕迹。督导组要求提供原始沟通记录、文件原件及原始物流底单，保荐人大部分无法提供。此外实控人在工作例会中曾提及部分销售增量为压货订单。	合同审批环节，伪造的印章未被查验，审批流程对签章真伪缺乏验证机制；同时缺失原始证据链的留存与勾稽
2	辉芒微 创业板 · 2025年6月处罚	经销收入占各期主营收入91.37%、94.58%、95.85%、96.78%，中介机构却发表"内控设计合理并有效执行"的明确意见。经查，经销商信用政策实际执行与披露不符，部分经销收入原始单据存在缺陷，事后补签了2020年、2021年的框架合同、订单、送货单、对账单等重要支持性文件原件，且未充分披露经销收入内控的不规范情形。	单据生成全链条，事后补签说明从合同签订到对账确认，整个凭证生成流程处于失控状态
3	安芯电子 科创板 · 2025年3月处罚	收入确认单据信息与外部单据记录不一致：验收确认单日期早于客户如皋大昌的到货记录日期，涉及收入222.81万元；部分验收确认单时间信息与物流对账单相互矛盾，涉及收入105.94万元。与关联方上海锦荃的部分交易中，尚未实际发货即于2022年度确认收入54.49万元。公司自查报告称不存在通过延长信用期扩大销售，但客户实际回款周期已远超约定的月结90天。	发货出库环节，发货审批与出库记录脱节，内部单据与外部物流、客户到货记录未形成勾稽验证
4	凝固力 创业板 · 2025年5月处罚	招股书披露直销/经销模式下"经客户验收取得验收单后确认收入"、代储代销模式"根据对账单确认收入"，问询回复称制度流程均已建立。证监会现场检查发现披露的收入确认依据与实际执行情况不符，未充分披露收入确认相关内控不规范情形。另采取先发货后签合同模式，销售合同未与发出商品匹配，2022年度个别客户发出商品少结转成本231.55万元，部分已确认收入存在合同缺失。	信息披露环节，内控缺陷未如实披露，形成"披露内控"与"执行内控"的平行世界
5	美亚科技 北交所 · 2026年5月处罚	会奖旅游业务的收入核算内控存在缺陷，业务与财务系统设置无法支撑按服务提供完成时间确认收入；业务数据须系统审结后才流转至财务系统，导致部分已提供但未审结的旅游服务，收入未调整至当期。公司还补签了7份供应商机票包机包位（切位）采购意向协议及个别客户销售合同。	对账与记账环节，业务系统与财务系统的数据流转时点成为收入跨期的通道
6	华理生物 科创板 · 2024年12月处罚	与客户已形成固定交易习惯并均实际执行，但相关商品通过客户验收并实际使用后，未及时进行收入确认，仅以未签订书面合同为由推迟确认。经模拟测算，2020年营业收入应调增5,312.93万元（变动比例96.86%），2021年应调减5,390.56万元（变动比例-19.42%）。	记账环节，验收单据完成后的账务处理流程存在时滞或人为干预
7	耐普股份 创业板 · 2026年8月处罚	工业泵业务部分项目合同约定了安装调试后终验测试或试运行条款，但公司仍以安装调试验收单作为验收凭证，未充分说明收入确认依据的合理性。此外还存在物流运输时间早于发货单时间等单据不规范情形；2024年6月30日确认的某笔收入，客户验收期明显短于该类装备平均验收期，且验收后仍陆续发出配件。	验收管理环节与单据时序，验收标准被降低，终验被简化为安装调试验收，关键控制点被跳过
8	北交所案例E公司 北交所 · 2025年第4期督导通报	E公司在问询回复中披露已建立完善的收入确认内部控制制度。现场督导发现，抽查的大部分项目进度单无编制依据文件；针对收入确认金额超过合同金额的项目，保荐机构未获取补充协议等支持性证据验证合同变更事项的真实性。	制度监督与底稿支撑，制度声称"完善"但执行的证据链空白，"说"与"做"之间存在巨大鸿沟
9	北交所案例A公司 北交所 · 2025年第4期督导通报	境内收入确认时点本应为"收到客户寄回的对账单"，但督导发现部分收入确认时点为物流签收日期，无对账单、物流单等收入确认单据。其前五大贸易商客户中，有三家成立时间较短且实际控制人均为发行人前员工，保荐机构访谈地点竟在咖啡店，未查看客户实际经营场所；客户提供的终端销售明细合计数远低于其向发行人的采购额。	确认时点与客户真实性的双重失守，收入确认单据缺失，异常客户未被穿透识别
10	北交所案例C公司 北交所 · 2025年第4期督导通报	部分物流单据系手写后补，大部分手写单据无法与物流公司月度对账单匹配，也无法在公开快递平台查询轨迹信息，保荐机构未关注上述异常。此外，对于同一收货地址对应多个非关联客户的情形，未获取支持性证据验证真实合理性；个别客户回函未盖章却被直接认定为回函相符。	物流环节的外部独立证据缺失，内部单据自我循环，无法与第三方数据交叉验证

编辑观察

这十个案例覆盖了收入内控全流程的六个核心环节，合同审批、发货出库、验收管理、记账核算、对账核查、制度监督。一个值得深思的规律是：没有任何一个案例的造假手法是完全孤立的。长晶科技的公章粘贴问题，背后是合同审批形同虚设；辉芒微的事后补签，暴露的是从签约到发货再到对账的整套凭证生成流程失控。这些案例提醒我们，内控核查不能孤立地看某一个环节，必须用贯穿性的视角去审视制度设计的逻辑完整性和执行的一贯性。

三、流程断裂：已验收未入账与未发货已确认的背反世界

单据造假是最恶劣的内控失效形态，但更多情况下，内控问题的表现更为隐蔽，不是单据本身虚假，而是业务流程各环节之间的衔接出现了断裂。这种断裂往往被正当化为"操作惯例"或"行业做法"，但实质上构成了重大内控缺陷。

华理生物的案例是一个典型：商品已验收、已投入使用，但公司仅以"未签订书面合同"为由推迟确认收入。经模拟测算，若按已验收发出商品在当年确认，2020年营业收入应调增5,312.93万元，变动比例高达96.86%；2021年则应调减5,390.56万元，变动比例-19.42%。一正一负之间，收入在两个会计期间之间被大幅搬运。这说明验收环节的信息传递到财务记账之间存在一个被人为拉长的时滞，无论原因如何，结果都是收入的跨期错配。

安芯电子的案例则揭示了相反方向的断裂：货物尚未真实发出，收入却已确认。其与关联方上海锦荃的部分交易中，尚未实际发货即于2022年度确认收入54.49万元；更普遍的问题在于时间逻辑的颠倒——验收确认单日期早于客户如皋大昌的到货记录日期，涉及收入222.81万元。这意味着从销售订单到出库单再到收入记账的逻辑链条中，关键的外部物流验证环节被完全跳过。内部凭证可以自洽，但在外部证据面前显得薄如纸片。

美亚科技的跨期问题则是一个更具行业普遍性的典型。其会奖旅游业务的收入核算内控存在缺陷：公司会计政策约定该业务在"提供旅游服务时"确认收入，但业务数据须在业务系统审结后才流转至财务系统，财务人员在报告出具前再"补调整"已提供但未审结的部分，结果仍存在少量收入未调整至当期。问题出在系统设置本身——对账确认时点的控制权落到了业务系统的审结节奏上，而财务缺乏对"何时确认"的刚性约束。公司还补签了7份供应商采购意向协议及个别销售合同，进一步说明凭证链条的完整性同样堪忧。

耐普股份的问题则发生在验收标准的执行层面。合同明确约定了"安装调试后需进行终验测试或试运行"的验收标准，但公司实际操作以安装调试验收单作为收入确认凭证，中间跳过了终验测试和试运行这两个关键控制点。更值得警惕的是那笔"异常"收入：2024年6月30日确认的某客户收入，客户验收期明显短于该类装备的平均验收期，且验收完成后仍陆续发出配件——业务逻辑上的自相矛盾，往往就是收入时点被操纵的破绽。

四、制度摆设：披露的"完美内控"与执行的真实图景

凝固力和北交所E公司两个案例共同指向了一个严肃的问题：在招股书和审核问询回复中描述得滴水不漏的内控制度，在现实中可能完全是另一番景象。

凝固力被处罚的核心不在造假本身，而在"未充分披露"。招股说明书中明确写着各模式下的收入确认依据，问询回复中也称"在制度、流程上均制定了相关内部控制措施"，但现场检查发现披露依据与实际执行不符，且未披露收入确认内控的不规范情形。公司知道自己的收入内控存在问题，但在申报材料中没有如实披露。这种"知而不报"的性质比制度缺失更为恶劣，因为它不仅涉及内控缺陷，还涉及信息披露的真实性和完整性。

北交所2025年第4期案例中的E公司则更进一步：在问询回复中明确声称"已建立完善的收入确认内部控制制度"，但现场督导抽查发现，大部分项目进度单根本没有编制依据文件。更致命的是，对于收入确认金额超过合同金额的项目，这本身就是一个强烈的异常信号，保荐机构竟然没有获取补充协议等支持性证据去验证合同变更的真实性。这一期督导通报共点名了7家公司（A—G公司），除E公司外，还揭示了"问询回复中披露截止性测试核查比例100%、实际核查不到30%"、函证程序不合规等一系列"说做不一致"的问题，堪称目前监管对收入核查问题最详尽的公开通报。

这些案例组合给核查工作提出了一个根本性的方法论问题：内控核查的核心不是看制度文本写得好不好，而是看制度是否真正嵌入到了日常业务流程中。一份写得出彩的内控制度文件可能只花了一个下午就能起草完成，但一个有效的内控体系需要数月甚至数年的持续运营和磨合。核查人员不能因为看到了厚厚一本内控手册就放松警惕，事实正相反：越是对外宣称制度"完善"的企业，越有动机掩盖执行层面的缺陷。

五、岗位分离与监督机制：舞弊的最后一道防线

如果说前四部分讨论的是内控的"程序性防线"，单据的真实性、流程的完整性、制度的一致性，那么岗位分离和监督机制就是内控的"结构性防线"。程序性防线是最外层的，也是最容易被绕过的；结构性防线是内嵌在组织架构中的，一旦存在缺陷，整个内控体系的根基就会动摇。

在收入确认相关的关键岗位上，至少需要确保以下五组岗位的严格分离：

收入内控关键岗位分离清单

①	销售岗与收款岗	销售人员不能同时负责客户回款确认，否则存在虚构销售+伪造回款循环的风险
②	发货岗与审核岗	出库单的发货人和审核人必须是不同人员，防止虚开发货记录
③	合同审批岗与签约岗	合同审批人不能同时是签约经办人，防止自行审批、自行签约的利益输送
④	验收岗与记账岗	验收确认人员不能同时负责收入记账，防止操纵验收时点以调节收入
⑤	销售定价岗与折扣审批岗	定价人员不能同时审批折扣，防止通过异常折扣实现利益输送或调节利润

除了岗位分离，监督机制的有效性是另一个常被忽视的维度。如果企业没有建立独立于业务部门的内控监督职能，或虽然有但监督频率不足、监督内容流于形式、发现的问题得不到整改，那么即使岗位分离做到位了，舞弊行为仍可能躲过监督。

核查时应当获取监督部门的监督报告，核实监督频率是否合理（至少每季度应有一次）、监督内容是否覆盖收入确认全流程、发现的问题是否已建立整改台账并跟踪完整验证。如果连续多个时期的监督报告都是"无异常"但其他核查程序却发现了问题，这本身就是监督机制失效的强烈信号。

六、内控核查的实操框架：四个维度的穿透核查

基于前述案例分析和法规要求，收入内控核查可以构建为四个层层递进的维度，从制度到执行、从设计到验证，形成完整验证：

维度一：穿行测试，了解全流程，识别控制节点

选取报告期内各年度不同业务类型的收入交易（每类每年至少1-2笔），跟踪一笔交易从客户获取到回款的完整轨迹，至少覆盖八个环节：客户获取与信用审批→合同审批及签订→发货出库→物流运输→验收签收→收入记账→发票开具→回款核销。目标是识别每个环节的控制节点和执行岗位，形成收入内控全流程图。

穿行测试的核心产出不只是"了解了流程"，尤为关键的是识别出哪些控制节点在实际操作中可能被绕过或省略。比如，合同审批系统是否真的强制了逐级审批？发货单是否必须经由审批后才能推送至仓库？验收单的签字流程是否有时间节点的硬约束？

维度二：控制测试，验证执行有效性，统计失效比例

针对合同审批、发货审批、验收管理、回款核对等核心控制点，选取足够数量的样本（样本量根据控制点执行频率确定，如每日执行的控制点至少测试25个样本）。逐一核查：各环节单据是否完整留存、合同审批流程是否完整且审批人具有相应权限、发货是否经过审批且发货信息与订单匹配、验收单是否有签字且验收意见明确。

对发现的控制失效问题，必须统计失效比例，区分"偶发失效"和"系统性失效"。偶发性的个别失败可能是因为人员疏忽，但若某类控制点失效比例超过10%，基本可以判定为重大缺陷。控制测试的结论不能是笼统的"基本有效"，而应该是量化、可验证的。特别提醒：前文监管镜鉴中提到的"问询回复称核查比例100%、实际却不到三成"的情形，底稿与实际执行必须严格一致，否则核查结论本身即构成违规。

维度三：关键岗位核查，跑通权责分离，排查舞弊风险

拉出收入确认相关全部关键岗位清单（销售岗、合同审批岗、发货岗、验收岗、收款岗、记账岗及各自的分管领导），逐一比对是否存在一人多岗的情形。核查关键岗位员工的轮岗记录，确认是否按制度要求定期轮岗。访谈关键岗位员工时，问题应该具体到操作层面，"你平时是怎么操作的？"比"你们有没有执行内控制度？"更容易发现真实问题。同时应穿透核查异常客户：成立时间短、实际控制人为前员工、注册地与经营地不符、同一收货地址对应多个非关联客户等，均是舞弊的高危信号。

维度四：内控缺陷核查，追踪整改完整验证，验证整改效果

识别内控缺陷后，获取缺陷识别报告、整改计划和整改验收报告。核查缺陷的严重程度（一般缺陷、重要缺陷、重大缺陷），判断对收入确认的影响范围和金额。对重大缺陷，重点关注：缺陷产生的根本原因、整改措施是否触及了根源（还是仅仅修补表象）、整改后的运行验证数据是否真实有效、缺陷是否反复出现。特别警惕"已整改但申报基准日后又出现"的虚假整改。

七、实务自检清单：收入内控的十个关键测试点

以下十个测试点提炼自监管处罚案例中的高频风险点，可作为项目组在收入内控核查中的快速自检工具：

序号	测试点	红色警报（出现以下情形需启动专项核查）
1	销售合同是否全部经过独立审批	发现未审批合同即执行交易；审批人与经办人为同一人；公章有粘贴或编辑痕迹
2	发货是否经过系统审批并匹配订单	发货未经审批；发货数量/品种与订单不符；发货记录与外部物流数据不一致
3	物流运输是否有外部独立证据支撑	无物流单号或无法查询轨迹；物流记录为手写后补；物流单据与月度对账单不匹配
4	验收/签收单是否有客户签字盖章及完整日期	签字盖章缺失；日期空白或倒签痕迹；验收意见模糊（如"数量未清点"）；让步验收未说明原因
5	单据日期是否存在逻辑矛盾	验收日期早于发货日期；记账日期早于验收日期；开票日期与收入确认时点大幅错位
6	对账时点是否固定且及时	对账时点人为延迟且形成惯例；对账周期跨越资产负债表日；对账结果与账面存在持续差异
7	单据是否事后补签或有编辑痕迹	报告期早期的单据在后期补签；多份单据字迹雷同；电子单据有明显编辑或替换痕迹
8	关键岗位是否严格分离	销售与收款、发货与审核、验收与记账存在一人多岗；关键岗位长期未轮岗
9	内控缺陷是否已充分披露且真实整改	披露称"已整改"但申报基准日后问题再次出现；整改措施仅停留在制度修订层面，未触及执行端
10	监督机制是否独立运行且发现过问题	连续多期监督报告"零异常"但其他核查程序发现了问题，这是监督机制流于形式的最强信号

◆ 结 语 ◆

回顾十个处罚案例构成的内控失效全景图，一个反复出现的关键词是"不一致"，内部单据与外部证据不一致，披露制度与实际执行不一致，问询回复与核查底稿不一致，整改报告与持续运行效果不一致。内控有效性的核心，不在于有没有制度，而在于制度是否真实地嵌入到了每一个操作环节中，并且这种嵌入是经得起追踪验证的。

对核查人员来说，最重要的职业本能是"不信任书面制度"，不是怀疑一切，而是在拿到制度文件后，立即追问三个问题：这套制度是怎么被执行的？我能通过什么外部独立证据验证它被执行了？如果它是摆设，从哪里最容易找到突破口？

长晶科技的公章粘贴图片是一面镜子：连最基础的签章确认环节都能被PS，那么任何停留于形式的核查程序都可能被技术手段轻易绕开。要真正守住收入内控的底线，需要的不是更多的制度文本，而是从单据到流程、从纸面到事实的穿透式验证。

下一篇，我们把证据的视野从"体内"挪到"体外"：用现金流、应收、存货、毛利率这些财务科目，产能、能耗、原料、人工这些业务指标，以及纳税申报、开票数据这些税务口径，三个维度交叉验证同一笔收入，看看这些数字之间到底说不说得通。敬请关注。