2026年内部控制与风险管理考试考试真题及答案

2026年内部控制与风险管理考试考试真题及答案一、单项选择题（本大题共15小题，每小题1分，共15分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填在括号内。）1.在COSO整合框架（2017版）中，内部控制与风险管理的核心原则被重新整合，以下哪项不属于COSO风险管理框架的五大基本要素？（）A.控制环境B.风险评估C.信息与沟通D.战略目标设定2.某大型跨国企业在2026年引入了基于AI的实时审计系统，该系统属于内部控制的（）。A.预防性控制B.检查性控制C.纠正性控制D.指导性控制3.根据风险管理中的“风险偏好”概念，如果一家初创型科技公司愿意承担极高的市场风险以换取超额回报，这表明其风险偏好属于（）。A.风险厌恶型B.风险中性型C.风险追求型D.风险盲从型4.在职责分离控制中，以下哪项职责组合是不兼容的，应当严格分离？（）A.授权批准与业务执行B.业务执行与业务记录C.业务记录与稽核检查D.资产保管与资产清查5.关于“三道防线”模型，下列说法正确的是（）。A.第一道防线是内部审计部门B.第二道防线是各业务及职能部门C.第三道防线是董事会及其审计委员会D.内部审计部门作为第三道防线，对前两道防线进行独立评估6.某公司遭遇勒索软件攻击，导致生产系统中断12小时。根据ISO31000标准，公司在处理此事件时，首先应进行的是（）。A.直接支付赎金B.沟通与咨询C.启动业务连续性计划（BCP）D.修改风险偏好7.在控制环境中，被视为内部控制系统“基石”的因素是（）。A.诚信与道德价值观B.胜任能力C.治理结构D.权责分配8.风险识别的方法多种多样，以下哪种方法主要依靠专家的经验和判断，通过匿名方式反复征询意见以达成共识？（）A.德尔菲法B.流程图分析法C.财务报表分析法D.SWOT分析法9.关于“剩余风险”，下列计算公式正确的是（）。A.剩余风险=固有风险-风险控制成本B.剩余风险=固有风险×控制有效性系数C.剩余风险=固有风险-风险应对效果D.剩余风险=重大错报风险/检查风险10.某零售企业为了应对库存积压风险，采取了“买一送一”的促销策略。这属于风险应对策略中的（）。A.规避B.降低C.分担D.接受11.在信息技术一般控制（ITGC）中，关于程序变更管理的核心要求是（）。A.允许开发人员直接操作生产环境B.变更必须经过测试、审批并记录C.只有IT经理有权批准变更D.紧急变更可以事后补录12.根据COSO框架，有效的监控活动应当具备两个特征，即（）。A.持续监控和单独评估B.内部监控和外部审计C.人工监控和自动监控D.定期监控和随机抽查13.某上市公司在年报中披露其内部控制存在重大缺陷，根据监管要求，注册会计师出具的内部控制审计报告意见类型通常是（）。A.无保留意见B.带强调事项段的无保留意见C.保留意见D.否定意见14.在操作风险管理中，关于“关键风险指标”（KRI）的作用，描述错误的是（）。A.KRI用于预示潜在风险事件的发生B.KRI应当具备可计量性和前瞻性C.KRI只能在风险事件发生后进行统计D.KRI的阈值设定需要结合历史数据与业务现状15.董事会对内部控制的最终责任体现在（）。A.负责具体的控制活动执行B.负责日常的风险监控C.审批年度财务报告D.确立并监督内部控制体系的运行效果二、多项选择题（本大题共10小题，每小题2分，共20分。在每小题列出的五个备选项中至少有两个是符合题目要求的，请将其代码填在括号内。多选、少选、错选均不得分。）1.2026年企业面临的外部环境风险主要包括（）。A.地缘政治冲突导致的供应链中断B.人工智能技术带来的数据隐私合规风险C.气候变化引发的物理资产损失D.内部员工舞弊E.市场利率波动2.有效的风险评估过程应当包含以下哪些关键步骤？（）A.目标设定B.风险识别C.风险分析（可能性与影响程度）D.风险评价与排序E.风险应对3.常见的内部控制活动包括（）。A.绩效考评B.不相容职务分离C.预算控制D.会计系统控制E.运营分析控制4.关于控制缺陷的严重程度分类，下列说法正确的有（）。A.缺陷一般分为重大缺陷、重要缺陷和一般缺陷B.重大缺陷会导致企业无法及时防范或发现严重偏离整体控制目标的情形C.重要缺陷的严重程度低于重大缺陷，但足以引起管理层关注D.一个或多个一般缺陷的组合可能构成重要缺陷E.只有注册会计师有权认定控制缺陷5.企业在构建风险管理文化时，应采取的措施包括（）。A.高层管理人员率先垂范B.将风险管理指标纳入绩效考核体系C.建立畅通的风险举报渠道D.定期进行全员风险意识培训E.仅在财务部门强调风险管理6.业务连续性管理（BCM）的主要目标包括（）。A.保护员工生命安全B.减少业务中断造成的财务损失C.维护企业声誉和品牌形象D.满足法律法规合规要求E.确保核心业务在灾难发生后能快速恢复7.在采购与付款循环的内部控制中，关键的管控点有（）。A.采购申请与审批分离B.供应商选择与评估机制C.验收单与采购订单、发票的“三单匹配”D.付款审批与记账分离E.会计期末的暂估款调整8.下列关于“固有风险”的描述，正确的有（）。A.是企业在不采取任何风险应对措施的情况下所面临的风险B.通常由外部环境、行业特点、业务性质决定C.可以通过完善内部控制完全消除D.是风险管理的起点E.与企业的管理水平无关9.内部信息与沟通机制的有效性取决于（）。A.信息的及时性B.信息的准确性C.信息的完整性D.信息的安全性与保密性E.信息传递渠道的畅通性10.2026年，随着ESG（环境、社会和治理）理念的深入，企业在内部控制中需要特别关注的风险领域包括（）。A.碳排放超标导致的监管处罚B.供应链中的劳工权益问题C.董事会成员多元化不足D.绿色金融信贷政策变动E.产品质量安全事故三、判断题（本大题共10小题，每小题1分，共10分。请判断正误，正确的打“√”，错误的打“×”。）1.内部控制是由企业董事会、监事会、经理层和全体员工实施的，旨在实现控制目标的过程，因此，内部控制不仅仅是财务部门或内部审计部门的责任。（）2.成本效益原则要求企业在进行内部控制建设时，必须以最小的控制成本获取最大的控制效益，因此，对于某些发生概率极低的风险，企业可以选择不进行控制。（）3.风险分担策略（如购买保险）意味着企业将风险完全转移给了第三方，企业自身不再承担任何该风险相关的成本或管理责任。（）4.穿行测试是指注册会计师或内部审计人员追踪交易在财务报告信息系统中的处理过程，这是一种用于评估控制设计有效性的方法。（）5.只要企业建立了完善的内部控制制度，就一定能防止所有的舞弊行为和错误发生。（）6.管理层凌驾于控制之上是内部控制面临的最大威胁之一，通常涉及管理层为了操纵利润而故意绕过既定的控制程序。（）7.在风险管理中，风险矩阵（RiskMap）是一种定性分析工具，用于根据风险发生的可能性和影响程度对风险进行分级排序。（）8.企业的内部审计部门应当向最高管理层汇报工作，以保证审计工作的独立性和权威性。（）9.云计算服务的引入虽然降低了IT基础设施成本，但也增加了数据主权、网络安全和供应商依赖性等新的风险。（）10.控制自我评估（CSA）是一种由业务部门人员自行评估其内部控制风险和有效性的方法，这有助于增强全员的风险责任感。（）四、简答题（本大题共4小题，每小题5分，共20分。）1.简述COSO《内部控制——整合框架》（2013）与COSO《企业风险管理——整合框架》（2017）在目标设定上的主要演进逻辑。2.简述“固有风险”、“控制风险”和“剩余风险”三者之间的关系。3.在数字化转型背景下，企业进行信息系统一般控制（ITGC）审计时，应重点关注哪些领域？4.简述企业建立反舞弊机制的关键要素。五、计算与分析题（本大题共1小题，共10分。）某高科技制造企业A公司计划在2026年投产一条新的智能生产线。经过初步风险评估，该生产线面临的主要风险是核心设备故障。相关数据如下：1.该核心设备价值为2000万元。2.若设备发生重大故障，预计修复成本为500万元，且停产将导致潜在损失1500万元（即总损失金额为2000万元）。3.根据历史数据和技术专家评估，在不采取任何额外控制措施的情况下，设备发生重大故障的概率为20%。4.A公司拟引入一套先进的预测性维护系统（PdM），该系统的年度运维成本为50万元。5.专家预测，引入该系统后，设备发生重大故障的概率将降低至5%。要求：（1）计算在不引入预测性维护系统时的年度预期损失（ExpectedLoss，EL）。（2）计算引入预测性维护系统后的年度预期损失。（3）基于风险管理的成本效益分析原则，计算引入该系统带来的风险降低价值，并判断A公司是否应该引入该系统。（4）除了成本效益分析，A公司在做最终决策时还应考虑哪些非财务因素？六、综合案例分析题（本大题共2小题，共25分。）案例一：B公司是一家主营跨境电商业务的上市公司，近年来业务规模迅速扩张。2025年底，B公司为了提升运营效率，对供应链管理系统进行了全面升级，并引入了大数据算法自动调整采购订单。然而，2026年第一季度，B公司出现了严重的库存积压问题，大量当季流行服装滞销，导致存货跌价损失高达8000万元，股价大幅下跌。经内部审计部门调查发现：1.采购部门负责人为了完成年度采购额指标，利用职权干预了算法模型的参数设置，人为放大了安全库存系数。2.新系统上线前，未进行充分的用户接受测试（UAT），导致系统在特定市场环境下生成的订单量异常。3.董事会下设的审计委员会缺乏具备IT和数据分析背景的委员，未能及时识别出系统升级带来的控制风险。4.仓库管理部门在发现库存异常增长时，曾多次向采购部门发出预警，但采购部门以“系统自动决策”为由未予理会，且缺乏跨部门沟通的有效机制。要求：（1）根据COSO框架要素，分析B公司在内部控制方面存在的主要缺陷（请结合控制环境、风险评估、控制活动、信息与沟通、监控五个方面进行分析）。（2）针对B公司的情况，提出具体的改进建议。案例二：C集团是一家多元化经营的能源企业，业务覆盖发电、煤炭开采及新能源投资。2026年，面对全球碳中和政策的压力，C集团制定了激进的转型战略，计划投入巨资建设风能和光伏项目。在风险管理方面，C集团面临以下挑战：1.项目投资额巨大，回收期长，且受政策补贴退坡影响大。2.海外新能源项目面临复杂的法律环境和汇率波动风险。3.传统的风险管理体系侧重于安全生产和财务合规，对战略风险和市场风险的量化分析能力不足。4.部分分子公司为了争取集团投资资金，在项目可行性研究中故意夸大未来收益，低估潜在成本。要求：（1）分析C集团在战略转型期面临的主要风险类型。（2）针对“分子公司粉饰可行性研究报告”这一现象，设计一套控制方案，以遏制此类道德风险和逆向选择问题。（3）C集团如何利用“风险热力图”来辅助其投资决策？试卷结束，请将答案写在答题纸上----------------------------------------参考答案与解析一、单项选择题1.【答案】D【解析】COSO框架（无论是1992版、2013版IC-IF还是2004/2017版ERM）的五大基本要素通常归纳为：控制环境、风险评估、控制活动、信息与沟通、监控。战略目标设定属于目标制定的范畴，是风险管理的前提，但不是五大基本要素之一。在2017版ERM中，要素被重新表述为治理与文化、战略与目标设定、执行、审查与修订、信息沟通与报告，但选项A、B、C仍是传统且核心的表述，D选项不属于五大要素。2.【答案】A【解析】预防性控制旨在防止错误和舞弊的发生。基于AI的实时审计系统如果在交易发生时即进行拦截或验证，属于事前或事中控制，具有预防性质。虽然它也有检查功能，但在现代内部控制分类中，能够实时阻断风险的系统通常归类为预防性或自动预防控制。3.【答案】C【解析】风险追求型（RiskSeeking）是指企业或投资者愿意承担较高的风险以获取较高的预期回报。初创型科技公司通常具有这种特征。4.【答案】B【解析】不相容职务分离的核心原则是：授权批准、业务执行、会计记录、资产保管、稽核检查等职责应当分离。选项B中，业务执行与业务记录如果由同一人负责，容易发生舞弊（如虚增业绩后自己记账），是不兼容的。选项A通常也是分离的，但在某些特定层级下可能合并，而B是绝对不兼容的。选项C和D也是标准的分离要求。本题中B是最典型的不兼容组合。5.【答案】D【解析】三道防线模型中：第一道防线是各业务及职能部门（运营管理）；第二道防线是风险管理、合规等部门（支持与监控）；第三道防线是内部审计部门（独立保证）。6.【答案】C【解析】遭遇勒索软件攻击属于突发性运营中断事件。根据ISO31000及业务连续性管理原则，首要任务是确保业务恢复，减少损失，因此应立即启动业务连续性计划（BCP）。沟通与咨询贯穿始终，但C是具体的应对行动。直接支付赎金通常不作为首选（不仅助长犯罪，且不一定能恢复数据）。7.【答案】A【解析】控制环境包括诚信与道德价值观、组织结构、胜任能力等。其中，诚信与道德价值观是所有内部控制建立和运行的基础（基石），如果没有良好的道德环境，任何制度都形同虚设。8.【答案】A【解析】德尔菲法是一种专家意见法，通过匿名、多轮反馈的方式收集专家意见，最终达成共识，常用于风险识别。9.【答案】C【解析】剩余风险是指企业在实施了风险应对措施（控制活动）后仍然存在的风险。概念上：剩余风险=固有风险-风险控制效果（即被控制掉的部分）。选项B虽然逻辑上可用系数表示，但C选项更符合定义的文字描述。10.【答案】B【解析】库存积压是运营风险。采取促销是为了降低库存水平，减少损失，属于风险降低（减轻）策略。规避是停止业务，分担是转嫁（如保险），接受是任由其发生。11.【答案】B【解析】程序变更管理是ITGC的核心。必须确保变更经过申请、测试、审批、授权、实施和记录。开发人员不应接触生产环境，紧急变更也必须事后补齐手续。12.【答案】A【解析】COSO框架将监督分为持续监控和单独评估。13.【答案】D【解析】如果存在重大缺陷，意味着内部控制未能实现控制目标。注册会计师应当出具否定意见的内部控制审计报告。14.【答案】C【解析】KRI是关键风险指标，其核心作用是“预警”，即通过监测指标的变化来预示风险可能发生，因此必须具备前瞻性。选项C说“只能在风险事件发生后进行统计”是错误的，那是事后指标（如损失率）。15.【答案】D【解析】董事会对内部控制负有最终责任，负责确立并监督体系运行。管理层负责具体执行和日常监控。二、多项选择题1.【答案】A,B,C,E【解析】外部环境风险包括宏观环境、行业环境等。D选项“内部员工舞弊”属于内部风险。2.【答案】A,B,C,D,E【解析】完整的风险管理流程包括目标设定、风险识别、风险分析、风险评价、风险应对、监控与审查。3.【答案】A,B,C,D,E【解析】这五项均属于COSO框架中列举的常见控制活动。4.【答案】A,B,C,D【解析】缺陷按严重程度分为重大、重要和一般。重大缺陷会导致严重偏离目标。重要缺陷介于重大和一般之间。一般缺陷累积可能升级为重要缺陷。选项E错误，管理层和审计师都有责任认定缺陷。5.【答案】A,B,C,D【解析】风险管理文化需要全员参与，E选项说“仅在财务部门”是错误的。6.【答案】A,B,C,D,E【解析】BCM的目标涵盖了人员安全、财务、声誉、合规及业务恢复能力。7.【答案】A,B,C,D,E【解析】采购付款循环的关键控制点包括申请审批、供应商管理、三单匹配、职责分离以及期末的准确截止性测试（暂估款）。8.【答案】A,B,D【解析】固有风险是客观存在的风险，由外部环境和业务性质决定。内部控制只能降低风险，不能完全消除固有风险（例如自然灾害风险）。因此C错误，E错误（固有风险与管理水平控制效果无关，它是假设没有控制时的状态）。9.【答案】A,B,C,D,E【解析】有效的信息沟通需要具备及时、准确、完整、安全、畅通等特征。10.【答案】A,B,C,D,E【解析】ESG风险涵盖环境（碳排放、绿色金融）、社会（劳工、质量）、治理（董事会结构）等方面。三、判断题1.【答案】√【解析】内部控制是全员责任，不仅仅是财务或审计部门的事。2.【答案】√【解析】成本效益原则是内部控制设计的限制性因素。3.【答案】×【解析】风险分担（如保险）虽然转移了损失，但企业仍需支付保费，并可能承担免赔额、声誉损失等剩余风险。4.【答案】√【解析】穿行测试是追踪交易流程，用于验证控制设计是否合理并得到执行。5.【答案】×【解析】内部控制提供的是合理保证，而非绝对保证。管理层凌驾、串通舞弊等都可能导致内控失效。6.【答案】√【解析】管理层凌驾是最高风险，因为管理层有能力绕过控制。7.【答案】√【解析】风险矩阵是定性分析工具，利用可能性和影响两个维度对风险分级。8.【答案】×【解析】为了保持独立性，内部审计机构应当向董事会或审计委员会报告工作，而不是仅向管理层报告。9.【答案】√【解析】云计算引入了数据安全、网络依赖、供应商管理等新风险。10.【答案】√【解析】CSA（ControlSelf-Assessment）鼓励业务部门自我评估，有助于提升控制意识。四、简答题1.【答案】COSO2013内部控制框架主要关注三类目标：经营、报告、合规。COSO2017企业风险管理框架在目标设定上进行了显著演进：（1）增加了“战略”目标：强调风险管理应与战略制定和执行紧密结合，支持企业实现战略目标。（2）拓展了“报告”目标：不仅包括财务报告，还涵盖了非财务报告（如ESG报告、运营报告）。（3）强调价值创造：ERM框架更明确地指出风险管理的目的是在识别和应对风险的同时，把握机遇，创造、保持和实现价值。简而言之，2017版框架将风险管理提升到了战略高度，关注面更广，更强调前瞻性和价值导向。2.【答案】（1）固有风险：企业在不采取任何风险管理措施（内部控制）的情况下，所面临的风险水平。它由外部环境、业务性质和行业特点决定。（2）控制风险：内部控制未能及时防止或发现并纠正风险的可能性。（3）剩余风险：企业在实施了风险应对措施（控制活动）之后，仍然残留的风险水平。三者关系：剩余风险=固有风险-控制效果（或通过控制降低的风险部分）。风险管理的目标是将剩余风险控制在企业的风险偏好之内。3.【答案】在数字化转型背景下，ITGC审计应重点关注：（1）IT治理：包括IT战略与业务战略的一致性、IT组织架构与职责分工。（2）信息系统获取、开发与维护：关注开发过程中的质量控制、变更管理、测试及上线审批。（3）访问控制：关注逻辑访问权限管理（如权限审批、定期审查、特权账号管理），防止未授权访问。（4）数据安全与网络安全：包括数据加密、备份与恢复机制、防病毒、防火墙策略等。（5）IT运维管理：包括机房管理、服务商管理、灾难恢复计划（DRP）等。4.【答案】建立反舞弊机制的关键要素包括：（1）诚信与道德环境：营造高层基调，明确禁止舞弊的行为规范。（2）舞弊风险评估：定期评估各业务环节的舞弊风险点（如收入确认、资产采购）。（3）有效的控制活动：实施职责分离、资产保管、独立稽核等针对性控制。（4）举报机制：建立安全、保密、畅通的举报渠道（如热线、邮箱），并实行反报复政策。（5）调查与处罚机制：对发现的舞弊线索进行及时、专业的调查，并对违规者进行严肃处理。（6）内部审计监督：内部审计师在舞弊侦查和防范中发挥重要作用。五、计算与分析题【答案】（1）不引入系统时的年度预期损失（EL）：E其中，P1=20，EL（2）引入系统后的年度预期损失（EL）：E其中，P2=5，L=2000万元，预期事故损失=0.05×2000=100（万元）EL（3）风险降低价值（即控制带来的收益）：风险降低价值=E=400-100=300（万元）或者：净收益=风险降低价值-控制成本=300-50=250（万元）结论：因为引入系统后的总成本（150万元）远低于不引入时的预期损失（400万元），且净收益为正（250万元），A公司应该引入该系统。（4）还应考虑的非财务因素：1.员工安全：设备故障是否可能导致人员伤亡。2.生产连续性：故障停工对客户交付、市场份额和声誉的影响。3.技术成熟度：预测性维护系统本身的技术稳定性和适用性。4.战略匹配度：该系统是否符合公司数字化转型和智能制造的长期战略。六、综合案例分析题案例一【答案】（1）B公司存在的内部控制缺陷分析：1.控制环境缺陷：采购部门负责人为了个人指标（KPI）干预系统参数，缺乏诚信和道德价值观；权责分配不当，采购负责人权力过大。2.风险评估缺陷：新系统上线前未进行充分的用户接受测试（UAT），未能识别出系统算法在特定环境下的风险；对供应链管理系统升级带来的业务风险估计不足。3.控制活动缺陷：缺乏对算法模型参数变更的审批与锁定机制，导致人为随意干预；缺乏对异常订单量的自动阻断或人工复核机制。4.信息与沟通缺陷：仓库发出的预警未能被采购部门有效处理，跨部门沟通机制失效；系统数据与业务实际情况脱节，信息传递不畅。5.监控活动缺陷：审计委员会缺乏专业背景，未能履行监督职责；内部审计未能及时发现系统运行中的异常。（2）改进建议：1.优化控制环境：调整绩效考核指标，避免单一指标导致的短期行为；加强职业道德教育。2.完善风险评估：建立系统上线前的风险评估与测试规范，确保UAT充分覆