内部控制是指单位为实现控制目标，通过制定制度、实施措施和执行程序，对经济活动的风险进行防范和管控。评价内部控制整体有效性，可以运用穿行测试手段，测试被审计单位的内控制度执行情况，检验内部程序流转的合理性和效率性。就行政事业单位而言，穿行测试是在了解单位有关内部控制的基础上，选择一个或多个具有代表性的交易和事项，追踪其发生、处理、记录的全过程，得出单位内部控制是否得到执行的结论。实施穿行测试包括选取样本、执行测试、记录测试结果、样本偏差的分析及应对、评价测试结果五个步骤。
选取样本
确定样本的规模
要遵循重要性原则和风险导向原则，样本总量要适度，既要保证足以通过样本测试，推断控制总体是否得以执行，又要考虑成本效益原则。要根据单位内控环境、风险情况以及具体控制活动的发生频率，合理确定分层样本规模。对于风险大、影响大、发生频率高的业务，原则上应选择较多样本，反之亦然。
确定样本的代表性
穿行测试的主要目的是测试内部控制是否得到执行，因此样本应当覆盖所有关键控制点。以行政事业单位最日常的支出——办公用品采购控制为例，基于支付方式的不同，选取的样本应当涵盖公务卡支付、网银支付、支票支付的经济业务；基于采购内容的不同，选取的样本应当涵盖采购纸张等办公耗材类、采购碎纸机等办公设备类的经济业务；基于采购方式的不同，选取的样本应当涵盖政府、非政府采购的经济业务；基于采购金额的不同，选取的样本应当涵盖一定额度以上和以下的经济业务。
执行测试
分析业务流程和相应的控制
测试既定的控制是否得到执行，前提是分析选取样本的业务流程以及现有的控制。在这个分析过程中，也可以了解行政事业单位对自身业务流程的分析、风险的识别以及应对举措是否得当，为评价内部控制的设计合理性提供一定的依据。
选择测试方法进行追踪
穿行测试的常用方法包括：询问、观察、检查、重新计算，要针对不同的样本选取不同的测试方法，做到量体裁衣、具体问题具体分析。追踪的路径可分为顺向和逆向两条，二者互补验证，以提高穿行测试结果的准确性。以行政事业单位的零星办公用品采购为例，顺向路径就是从采购申请入手，到审批、询价、选择供应商、验收入库、审核付款、记录，这是一个完整的流程；逆向路径就是从会计资料入手，选取某一项经济业务记录，倒查追踪至审核付款、验收入库等，直至审批环节，这也是一个完整的流程。
记录测试结果
此环节要注意两个方面：
完整性和充分性兼具
对于穿行测试的全过程进行充分完整的记录，不仅包括样本的选取，测试的方法、步骤、结果，还包括在测试过程中所积累的资料，如分析业务流程过程中识别出的新风险，没有纳入单位内部控制手册的不成文的规定和做法，询问、观察、检查、重新计算的记录等。记录的完整性和充分性要求对每个样本的测试结果都要明确记录控制是否得到执行、设计是否合理或者直接反映内控运行是否有效。
形式和本质兼顾
对于审核类的控制，在关注是否有完整审批签字手续的同时，更要关注本质，也就是审批责任的落实，即审批人是否真正根据岗位职责分工进行审核，确认结果后签名。若只停留于检查签名等形式表面，可能得出错误结论。
样本偏差的分析及应对
在测试过程中，如果发现实际执行与单位内控规定不符甚至相悖，应当及时与相关人员沟通，询问原因，并考虑是否需要扩大样本规模来确认偏差的概率及其对评价内部控制运行情况的影响，对于偏差的描述、分析及应对，应当充分予以记录。
评价测试结果
基于前面四个步骤，根据具体情况，得出设计的合理性评价、执行的有效性评价。针对某些可以使控制得到一贯运行的自动化控制，则可以直接得出控制运行的有效性评价。