前面几章的工具有个共同前提：公司的内部控制——那些审批、复核、对账、权限分工的制度——大体是好的，审计师要做的只是在它筛过的数据里捞漏网之鱼。但实务里更常见的局面是：控制本身就有裂缝。裂缝不只放走问题，它还会制造噪声，把整个账目的可信度拉低一个档次。这一章看裂缝长什么样、怎么找。
职责分离：一个人不能既是运动员又是裁判
内控的第一块基石叫职责分离——大白话讲：一件钱的流动，从头走到尾不能全捏在同一个人手里。采购的申请、审批、收货、付款要分给不同的人；记账的和管钱的要是两拨人；能改供应商主数据的，不能同时能发起付款。
为什么这么设计？不是不信任谁，而是一道简单的算术：一个人做坏事，需要他既是坏人又逮到机会；两个人才能办成的事，需要两个坏人同时出现还恰好勾结——概率从 p 降到 p² 再乘以「他们互相认识且信任」的小系数。职责分离是用组织结构做的乘法。
所以审计师看一家公司的内控，第一件事就是把关键流程的「经手人链条」画出来，数有多少环节是同一个人。一家成长中的公司最常见的裂缝就在这里：创业期三个人身兼数职是生存需要，长到三百人还没拆开，就是定时炸弹。经典场景：行政主管既能新增供应商，又能审批五万以下的付款——那她给自己表妹的「保洁公司」付点钱，系统里每一步都「合规」，每一步都是她自己。
穿行测试：跟着一笔钱走完全程
怎么验证控制是不是只在纸上？用穿行测试——挑一笔真实发生的业务，从发起到入账，把它走过的每一个环节都走一遍：谁发起、谁审批、系统什么时候记录、凭证在哪、钱哪天出去的。大白话讲：不抽查结果，跟踪过程。
穿行测试的价值在于，它能暴露「制度文本」和「实际跑法」之间的裂缝——而这正是最大的噪声产地之一。制度说「付款前三人会签」，实际跑起来是秘书拿着一摞单子挨个办公室追签字，追不齐的先付后补；制度说「供应商准入要验资质」，实际是采购员把营业执照照片发到群里就算验过。你按制度文本去理解数据，处处对不上——那些「对不上」不是舞弊信号，是流程惯性的噪声。但注意，这正是第二章说的：给出平淡解释的过程本身就是检查——你顺着「为什么对不上」追下去，才能分清哪条是坏习惯，哪条下面压着真问题。
裂缝如何放大问题：越权与凌驾
裂缝分轻重。轻的是「流程坏习惯」：补签、先斩后奏、系统权限图省事开得过大。这类裂缝制造噪声、降低数据质量，但未必出大事。重的有两种，名字都值得记住。
越权：有人绕过自己权限外的控制。比如总监批 5 万以下，他把 8 万的合同拆成两笔（第五章的贴线在这里和内控裂缝会师了：拆单之所以能成功，是因为没有一道控制负责「把同供应商相邻时间的合同合并看」）。裂缝不在审批线，在控制之间的接缝——每条控制单看都在运转，接缝处没人负责。
凌驾：管理层凌驾，指位高者直接用手中的权力压过控制本身——CFO 让会计「先把这笔挂到下季度」，CEO 指示跳过招标直接签约。这是最致命的一种裂缝，因为内控的全部设计都假设「规则面前人人平等」，而凌驾恰恰是规则之上的人动手。第 12 章会专门讲它为什么难查。
内控评价：给裂缝分级，而不是写八股
内审报告里最常见的八股是「该司内控基本健全，个别环节有待加强」——这句话的信息量为零。专业的内控评价应该回答三个问题：裂缝在哪？多大的鱼能游过去？游过去多久了？
实务里的做法是把裂缝按「能被利用的严重程度 × 被利用的可能性」分级：一个只能被用来多报 200 块打车费的裂缝，和一个能让千万级付款绕开复核的裂缝，不该出现在报告的同一个段落里。分级之后，整改才有优先级——管理层的时间也是稀缺资源，审计师把三十条「建议」不分轻重地甩过去，等于又一次制造噪声：真正要命的第三条，被淹没在二十九条无关痛痒里。
一句话总结
内控是用分工和流程给「一个人做坏事」加乘法难度；穿行测试用跟踪一笔钱的方式验证制度是不是只在纸上；裂缝轻的是噪声源（流程惯性），重的是信号的温床（越权与凌驾），评价它要分级而不是写八股。下一章处理一个审计师天天面对的心智陷阱：捞上来的异常，到底是不是问题？