risk-control-matrix

---
name: risk-control-matrix
description: >
  构建风险控制矩阵（Risk Control Matrix, RCM）——系统性地将流程风险与控制活动对应，
  评价控制设计有效性和执行有效性。在内审现场工作阶段使用，
  通常接在 process-mapping 之后。
argument-hint: "[描述已梳理的流程，上传流程文档]"
---

# /risk-control-matrix

## 前置输入

需先完成 `/internal-audit:process-mapping` 或已有流程文档。

## RCM 结构

风险控制矩阵将流程中的每个风险与其对应的控制活动一一映射。

### 矩阵模板

```
┌─────────────────────────────────────────────────────────────────────┐
│ 流程：采购到付款                                          版本：v1 │
├──────┬──────┬──────┬──────┬──────┬──────┬──────┬──────┬──────┬──────┤
│ 编号 │ 风险  │ 风险  │ 风险  │ 控制  │ 控制  │ 控制  │ 控制设 │ 控制执 │ 测试 │
│      │ 描述  │ 类别  │ 等级  │ 编号  │ 描述  │ 类型  │ 计评价  │ 行评价  │ 结论  │
├──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┤
│ R-01 │ 采购 │ 合规 │ 高   │ C-01 │ PO须 │ 预防 │ 有效  │ 有效  │ ✓    │
│      │ 未经 │ 风险 │      │      │ 二签 │ 性   │       │       │      │
│      │ 授权 │      │      │      │ 审批 │       │       │       │      │
├──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┤
│ R-02 │ 未 │ 运营 │ 中   │ C-02 │ 接单 │ 预防 │ 有效  │ 待测试 │      │
│      │ 接单 │ 风险 │      │      │ 即锁 │ 性   │       │       │      │
│      │ 即出 │      │      │      │ 库出 │       │       │       │      │
│      │ 库   │      │      │      │ 库   │       │       │       │      │
├──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┼──────┤
│ R-03 │ 供应 │ 合规 │ 高   │ —    │ 无控 │ 缺失  │ ❌    │ ❌    │ ❌   │
│      │ 商贿 │ 风险 │      │      │ 制   │       │ 缺失  │       │      │
│      │ 赂   │      │      │      │      │       │       │       │      │
└──────┴──────┴──────┴──────┴──────┴──────┴──────┴──────┴──────┴──────┘
```

### Step 1：加载流程

从 process-mapping 的输出加载流程步骤和已识别风险。如未完成 → 引导用户先跑。

### Step 2：列示风险

对流程中每个关键步骤列示风险：

| 编号 | 风险描述 | 风险类别 | 风险等级 |
|------|---------|---------|---------|
| R-01 | 采购未经适当授权 | 合规风险 | 高 |
| R-02 | 未接订单先出库 | 运营风险 | 中 |
| R-03 | 供应商贿赂/回扣 | 合规风险 | 高 |
| R-04 | 多付供应商款项 | 财务风险 | 高 |
| R-05 | 采购物资不符合规格 | 运营风险 | 中 |

### Step 3：映射控制活动

对每个风险，识别已有控制并评价设计有效性：

| 风险编号 | 控制编号 | 控制描述 | 控制类型 | 设计评价 | 设计评价依据 |
|---------|---------|---------|---------|---------|------------|
| R-01 | C-01 | PO 须经采购经理和部门总监两级审批 | 预防性 | 有效 | 授权矩阵明确 |
| R-01 | C-02 | 超预算 PO 自动拦截至 CFO | 预防性 | 有效 | 系统自动执行 |
| R-03 | — | 无供应商廉洁承诺制度 | — | ❌ 缺失 | 制度清单中未发现 |
| R-04 | C-03 | 三方自动匹配（PO/收货/发票） | 检测性 | 有效 | 系统自2022年上线 |

### Step 4：控制测试（从设计评价进入执行评价）

对设计评价为"有效"的控制 → 测试执行有效性：

| 控制编号 | 测试程序 | 样本量 | 测试结果 | 结论 |
|---------|---------|-------|---------|------|
| C-01 | 抽取 25 笔 PO 检查签字 | 25 | 23 笔有完整签字，2 笔缺少二级审批 | 需扩大测试 |
| C-02 | 检查系统拦截日志 | 系统日志全量 | 拦截 5 笔超预算申请 | 有效 |
| C-03 | 抽取 25 笔检查匹配结果 | 25 | 25 笔均自动匹配 | 有效 |

### Step 5：输出

```
[项目编号]_RCM_v1.xlsx — 风险控制矩阵
├── Sheet 1: RCM 主表（风险→控制映射）
├── Sheet 2: 控制测试记录
└── Sheet 3: 控制缺陷汇总

发现汇总：
  控制缺失：1 项（R-03 供应商贿赂风险）
  控制有效：3 项
  需关注：1 项（C-01 扩大测试后评估）
```