我國制造業上市公司內部控制信息披露問題與對策

●南開大學會計系 梅 丹 南京大學會計系 徐 穎

信息披露是維系資本市場健康、有效運行的核心制度安排之一。內部控制信息披露是對財務信息披露的重要補充。上市公司披露內部控制信息，可以向資本市場傳遞有關公司內控建設和公司治理結構的重要信號，可以促進公司管理層不斷建立健全良好的內部控制制度，并有利于監管部門、投資者和債權人加強對上市公司的外部監督，提高資本市場的透明度和投資效率，這對完善我國資本市場和現代公司制度都具有深遠意義。

一、我國上市公司內部控制信息披露背景

我國上市公司內部控制信息披露發展歷史較短。隨著2006年上交所和深交所頒布內控指引，以及2010—2012年我國企業內部控制基本規范及配套指引的發布，我國已經基本建成企業內部控制規范體系，同時內控信息披露逐漸由自愿披露轉為強制披露。

內部控制信息披露主要包括兩方面內容：一是公司董事會、管理層對外公布內部控建設、運行情況及是否存在內控缺陷與不足，具體形式包括內部控制自我評估報告、落實情況審核報告、實施工作方案等；二是公司披露的內外部對內部控制的監督意見。主要包括注冊會計師出具的內部控制審計或鑒證報告，及公司監事會和獨立董事對內部控制自我評價的審核意見。

2014年證監會《公開發行證券的公司信息披露編報規則第21號——年度內部控制評價報告的一般規定》進一步明確了內部控制評價報告的內容和結構①。若股份有限公司在我國境內公開發行證券，并在證券交易所上市，則應當充分披露對投資者投資決策有重大影響的內部控制信息。此外，規定還明確了內部控制評價報告的構成要素，要求上述公司出具有關財務報告內控有效性的結論，與財務報告相關內控和非財務報告相關內控的區別，并分別披露重大和重要的內控缺陷及針對缺陷的整改情況等。

二、上市公司內部控制信息披露研究的樣本選擇

制造業是當前國民經濟的主體。制造業上市公司數量占我國上市公司數量的一多半，是我國上市公司的主力軍，影響著我國上市公司整體的競爭力。本文選擇2012年制造業上市公司的內部控制信息披露作為研究對象。

2012年，所有進行了內部控制信息披露的制造業上市公司共計1582 家，從中按行業具體門類抽取了150 家公司作為樣本。具體抽樣方法和程序是：先采用分層抽樣法確定制造業29個門類中各個門類應當抽取的公司數量；再利用Excel中的隨機函數對每一分層進行隨機抽取，確定制造業各門類中的具體公司。這種隨機抽樣方式能保證樣本的代表性和說服力。

本文相關數據主要來自深交所、上交所、巨潮咨詢網等網站公布的上市公司年報和其他公開披露文件。

三、制造業上市公司內部控制信息披露現狀分析

伴隨著內控基本規范和內控指引的出臺，上市公司內控信息披露逐漸走上標準化和規范化道路，但就2012年制造業上市公司內控信息披露的統計分析結果來看，仍存在以下問題。

（一）內控相關信息披露的總體情況

1.內部控制的相關信息披露不一。樣本公司中，與內部控制信息披露的相關文件及其披露狀況如表1 所示。

表1 與內部控制信息相關的文件及其披露情況

總體來說，相比于財務報告的審計和披露，我國制造業上市公司內控信息的披露程度和規范性欠缺。雖然150 家制造業上市樣本公司都通過各種方式披露了內部控制相關情況，但只有137 家公司（占比91.33%）出具了單獨的內部控制評價報告。在內部控制的建設方面，只有56 家公司（占比37.33%）制定并且披露了《內部控制實施工作方案》，48 家公司（占比32%）對內部控制制度落實情況進行自查并出具了《內部控制落實情況自查表》。

在內部控制的內部監督方面，出具獨立董事或者監事會關于內部控制評價報告審核意見的公司僅有21 家，合計占比14%。在內部控制外部監督方面，150 家制造業上市樣本公司都聘請了注冊會計師審計財務報告并發表審計意見，但只有69 家公司（占比46%）出具了關于內控的審計報告或鑒證報告。另外，有73 家公司（占比48.67%）出具了第三方證券公司關于《內部控制自我評價報告》和《內部控制規則落實自查表》的核查意見。這兩項均不足一半的比例，顯示了我國制造業上市公司缺乏內部控制的外部監督。

除了以上文件，還有少數樣本公司出具過：關于內控缺陷整改方案和報告，內控評價管理制度，內控專項報告，內控缺陷認定標準，內控自我評價制度，關于實施《公司內部控制基本規范》進展情況的報告，2012年度內控規范實施階段性工作總結，獨立董事關于聘請內部控制審計機構的獨立意見，以及中國證券監督管理委員會xx證監局現場檢查相關問題的整改方案等。這些形式各異的報告和總結豐富了內部控制信息披露的形式和內容，應當予以鼓勵，同時加強規范。

2.內控信息披露缺乏統一的依據。150 家樣本公司關于內部控制建設與評價及信息披露的依據標準并不相同，如表2 所示。

表2 內部控制建設和內控信息披露依據標準

相比于COSO 內部控制框架對內部控制評價標準的具體規定，很長時間我國一直缺乏統一和權威的內部控制評價標準。我國2010年出臺的企業內控基本規范，其條款的操作性不是很強，并在內部控制評價標準方面沒有做出統一而又規范的規定。其后出臺的內控評價指引雖規范了內部控制評價的報告形式、程序方法、范圍內容等，但要求企業根據自己的情況制定具體評價標準，具有較大隨意性，給了企業更多選擇空間。這使得我國上市公司的內部控制評價具體標準也五花八門，且披露詳略不一。如，雖說大多數樣本公司均明確聲明了本公司所依據的內部控制評價標準，但仍有少數公司并未對此做出明確說明。

占比96%的樣本公司在內部控制建設與評價和信息披露中都以內控基本規范和配套指引為依據，同時參考了其他相關法規等。但有9 家公司（占比6%）是以上交所內部控制指引為參考，26 家公司（17.33%）是以深交所內部控制指引為參考。大量深交所樣本上市公司會參考深交所的中小板指引、內審工作指引、創業板規范運作指引和股票上市規則、上市公司治理準則以及深交所關于做好上市公司2012年年報工作的通知，來建立和健全內部控制體系。還有少量公司在內控信息披露中提及參考薩班斯法案和地方監管機構針對轄區內的上市公司所發布的做好實施和開展內控規范相關工作的通知。依據的標準各有差異，可能會降低制造業行業上市公司內部控制信息的可比性。

（二）內部控制自我評價報告信息披露

1.內部控制自我評價報告披露總體缺乏主動性和自覺性。作為上市公司內控信息披露的主要也是最重要形式，是否披露內控自我評價報告成為衡量公司內控信息披露狀況的重要指標。樣本公司披露內部控制自我評價報告情況如表3。

表3 內部控制自我評價報告披露情況

有137 家制造業公司（占比91.33%）單獨披露了2012年的內部控制自我評價報告。其中有99 家是深市上市公司，38家是滬市上市公司。因而，在單獨披露內控自我評價報告方面，深市公司優于滬市公司。原因可能在于深市的內部控制法規比滬市嚴格，執行力度也更強。盡管滬市內控指引要求上市公司披露內控自我評估報告及會計師事務所對內控自我評價的核實評價意見，但仍有1/4 左右的滬市樣本公司沒有單獨披露內控自我評價報告，可能反映滬市的內控法規落實不夠，滬市有必要加強內控信息披露法規的落實和執行力度。但需要指出和肯定的是，與前幾年相比，滬市公司披露內部控制信息的比例已大大提升，且這部分未公布內控信息的公司中，有相當一部分正在進行內控制度建設，正在或者已經制定并公布了詳細的內控實施方案，擬披露或已公布了后續年度的內部控制評價報告。

另有13 家公司（占比8.67%）只在年報中對內部控制建設情況進行了說明，全部為滬市主板公司。這13 家公司中有11 家公司是在年報中單獨設立了“內部控制”章節進行信息披露，還有2 家公司僅是在年報中分散位置提及“內部控制”。在年報中的披露通常偏簡單，沒有詳細披露內部控制制度執行情況、內控缺陷以及整改措施等。

此外，樣本中個別公司并非以內控自我評價報告作為與內控有關的單獨信息披露的文件標題。如大北農公司（股票代碼002385）是以《關于內部控制有關事項的說明》作為內控自我評價的披露形式。這在一定程度上易與其他文件混淆，給投資者查找信息帶來諸多不便。

在我國當前內部控制強制性披露規則約束下，仍有少部分制造業上市公司未按規定單獨披露內控自我評價報告，缺乏內部控制信息披露的主動性和自覺性。究其原因，可以用成本效益原則來解釋。公司如果認為建立健全內部控制制度、對內部控制進行評價、聘請注冊會計師審計內控有效性，所發生的成本大于由此而獲得的收益，不符合經濟效益原則，公司就缺乏完善內控的動力。由于內控建設是一項系統而長期的工程，經濟效益的回收期相對實體投資項目可能更長，因此對于一些規模較小、流動資金不充裕的公司來說，也確實缺乏評價和完善內部控制強有力的物質支持，自然也就沒有內控信息披露的積極性和主動性。

2.內部控制自我評價報告中信息披露的詳略程度。強制性內控披露規定下，各公司內控信息披露的詳略程度不同。以本文單獨披露了內部控制自我評價報告的137 家樣本公司為分析對象，將其內控披露情況由簡到詳大概分為4個層次：（1）“說明”層次。僅僅說明“本公司建立了合理的內部控制制度，不存在影響財務報告真實性和可靠性的重大缺陷”，或者“未能按照內部控制基本規范和相關指引保持有效的財務報告內部控制”，但沒有詳細披露問題所在。這個層次有2家公司（占比1.46%）。（2）“簡單披露”層次。簡單披露了董事會聲明，內部控制的目標、原則、依據、范圍及主要領域的內部控制評價。這個層次有44 家公司（占比32.12%）。（3）“一般披露”層次，除（2）中的內容外，還說明了內部控制體系的持續完善措施和2013年的內部控制建設計劃。這個層次有34家公司（占比24.82%）。（4）“詳細披露”層次。較詳細地披露了董事會關于內部控制有效性的聲明，公司治理結構，內部控制評價總體情況、依據、范圍、程序方法，內部控制缺陷的分類認定標準和整改方案實施情況，及內部控制政策推廣深化的工作方案等。這個層次有57 家（占比41.61%）。在這57 家相對詳細的披露中，有4 家公司還具體披露了內控缺陷的個數。

雖然表3 顯示，深市中單獨披露內控自我評價報告的公司比例遠高于滬市，但從表4 內控信息披露的詳略程度來看，滬市制造業公司詳細披露內部控制信息的比重（占比68.42%）遠高于深市（占比31.31%）。

表4 內部控制信息披露詳略程度

按照我國內控評價指引的要求，上市公司內控信息披露應該包括諸如內控的目標、依據標準、董事會是否進行有效性評價、監事會是否發表了審核意見等八個方面。但實際中，上市公司披露內控信息內容參差不齊，有很大的選擇性和隨意性。總體來看披露內容都是偏簡單，只是大致介紹公司治理結構、內部控制體系和內部控制評價所依據的原則和程序。以內部控制缺陷的披露為例，即使是屬于“詳細披露”層次的公司中，也僅有53 家公司披露了內部控制缺陷的認定標準和整改情況，且這部分公司所披露的內控缺陷認定標準事實上幾乎都是理論上和普遍化的缺陷認定標準，而非結合本公司內部控制建設和運行實際情況，制定具體和有針對性的認定標準。涉及到整改情況時，也往往只是幾句話的概括，很少詳細披露整改具體計劃和過程。少數（4 家）樣本公司披露了本年度內部控制缺陷的具體個數，且披露的缺陷均為一般缺陷，多與財務報告相關，相對而言此類缺陷對內控執行有效性的影響甚微。

我國上市公司這種內控信息披露的模式化、形式化和表面化現象可以用信號傳遞理論來理解。只有經營業績好的公司才有動力去披露有關公司經營的高品質信號，諸如良好的內部控制與經營業績和較強的風險防范能力，以期增強投資者信心，降低資本成本，提升公司價值；而經營業績差、風險防范能力低的公司更傾向隱瞞其在內控方面的不足。我國現代公司制度建立時間短，大多數制造業上市公司出于穩健因素考量，為避免信息披露可能帶來的不利影響，選擇盡量少披露，或有選擇地披露對本公司有利的內控信息而隱瞞那些不想被公眾知曉的內控信息，整體呈現一種缺乏披露動力的狀態。

（三）內部控制的內部和外部監督意見披露

1.內部控制的內部監督意見披露。內部控制的內部監督意見主要指董事會、獨立董事、監事會對內控自我評價的審核意見。本文150 家制造業樣本公司都以董事會作為內部控制責任主體，由董事會發布內控自我評價報告。所不同的是在于是否單獨出具獨立董事和監事會對于內控自我評價報告的核實意見。

在當前公司治理結構與內部控制的關系中，董事會是內部控制建設、執行和自查的主體，同時監事會和獨立董事應發揮有效的監督作用，具體體現為對內控自我評價報告發表的審核意見。上交所內控指引沒有明確和強制要求監事會或者獨立董事發表關于內控自我評價報告的獨立意見，而深交所則有此項要求。因此51 家滬市樣本公司中只有1 家單獨披露有獨立董事對內部控制自我評價的意見。而99 家深市樣本公司中有6 家公司披露了獨立董事對內部控制自我評價的意見，有14 家公司披露了監事會對內部控制自我評價的意見，其中有4 家公司同時披露了獨立董事和監事會對內控自我評價報告的意見，如表5 所示。深交所公司披露比例并不高，可能反映深交所要求的落實問題。對自覺出具獨董和監事會意見的深市公司，其意見中披露的內容也偏于形式化，大多只是簡單描述公司內控建設情況，并認為內部控制自我評價符合公司內部控制的實際情況，缺失實質性的建設意見。

表5 單獨出具獨立董事和監事會對內控自我評價的審核意見

其原因可能還在于我國監事會制度和獨立董事制度不完善。監事會缺乏獨立性，缺少必要的監督權力和監督能力，受制于管理層，不能切實履行實際的監督責任。而獨立董事規模較小，大多由第一大股東提名，其選舉也會受到制約，基本上代表某些股東的利益，難以在重大決策上保持獨立性。當監事會和獨立董事的設置流于形式，甚至淪為一種擺設，也就難以發揮對內部控制的監督作用。

2.內部控制的外部監督意見披露。內部控制的外部監督意見主要指由外部獨立的第三方——注冊會計師對內部控制有效性出具的內部控制審計報告或鑒證報告。兩者都是上市公司內控信息披露的重要渠道，但兩者在深度和廣度上有較大區別：①從依據上看，只有依據內控基本規范出具的才可被稱為內控審計報告；而內控鑒證報告的依據為其他鑒證業務準則和內控審核指導意見，其要求相對寬松。前者的規范性和標準性更強。②從內容上看，內控審計報告不僅要對與財務報告相關的內控有效性發表審計意見，還要對與非財務報告相關的重要控制活動中的重大缺陷發表審計意見，涵蓋公司治理結構、內部控制體系建設情況、缺陷評價標準和認定等內容，詳細程度高，范圍廣；而內控鑒證報告只要求對與財務報告相關的內控建設與運行情況發表意見，詳細程度相對低，范圍相對窄。③從注冊會計師的意見來看，不允許保留意見的內控審計報告，只要存在與財務報告內控相關的重大缺陷，審計意見就應當是否定的；而內控鑒證報告則沒有這項規定，可以被出具保留意見。本樣本中僅大北農的內控審計報告被出具否定意見。

內控基本規范要求上市的主板公司披露內控審計報告，對中小板和創業板公司則無此要求。而深交所內控指引要求中小板公司每兩年出具一次內控審計報告，創業板公司每兩年出具一次內控鑒證報告。如表6 所示，樣本中主板公司披露的都是內部控制審計報告，而創業板公司在無硬性要求情況下，披露的都是程序相對簡單的內控鑒證報告。

表6 不同板塊制造業上市公司披露內部控制審計報告和內部控制鑒證報告情況

合計只有69 家公司（占比46%）披露了內部控制審計或鑒證報告。作為外部監督的重要方式，注冊會計師所出具的內控審計和鑒證報告是保證內控信息真實性的重要依據，但目前我國部分上市公司還缺乏充分動力去聘請注冊會計師對內控有效性進行審計。這一方面與制度有關，非強制性規定或缺乏規范的內部控制審計要求使得公司選擇不審計或簡化的內控審計流程；另一方面與公司對此項工作的不重視有關。

四、完善我國制造業上市公司內部控制信息披露的建議

（一）加強內部控制信息披露的制度建設

1.進一步落實強制披露內部控制信息的政策。雖然我國內部控制指引強制要求境內上市公司披露內控評價信息，但現實情況不容樂觀，不披露的現象仍然存在。因此，相關部門應進一步落實強制要求所有境內上市公司披露內部控制信息的政策。政府部門、證監會、交易所應加強合作，統計沒有披露內控信息的公司，分析沒有披露的原因，為那些正處于內控建設期的公司給予政策指導，督促其在財務報告年度內盡快按要求完成內控建設并信息披露；對于僅在年報中簡單說明內控情況的公司，督促其披露內控自我評價報告，尤其是滬市應當加強相應的監督整改措施。

2.規范內部控制自我評價報告的披露內容、格式與標準。基本規范僅對上市公司內部控制信息披露提出了強制要求，卻沒有對披露的內容和格式做出詳細規范和統一標準。雖然上交所、深交所和證監會、財政部都先后出臺了一系列通知、公告來解釋內部控制自我評價中應遵循的原則和注意事項，但這些規定較零散地分布在各地、各交易所及某一專項文件中，缺乏統一和明確的約束力。在信息披露的名稱、內容和格式方面不夠統一和規范，也會使得上市公司按照自己的利益偏好來進行選擇性披露。這不利于投資者查找獲取內控信息，也使得當前本來就缺乏實質性內容的內控信息更加雜亂，不利于行業公司間比較分析。有關部門應進一步統一內控信息披露的內容，出臺更加完善、操作性更強的內控評價指標體系和缺陷認定標準，從內控評價的目標、原則、依據、范圍、程序、方法、缺陷情況及整改方案等各方面來規范內部控制自我評價，使外部信息使用者能更準確判斷公司是否存在內控缺陷及缺陷的重大程度，也便于外部監管機構對上市公司的財務信息和非財務信息的監管。

3.明確董事會、監事會、獨立董事在內部控制自我評價和監督中的責任。我國企業內控基本規范和配套指引中并沒有規范內控評價的主體和其他相關責任方。建議相關部門應明確內部控制信息披露的責任主體，同時規定獨立董事和監事會在內控規劃、建設、完善、自我評價及信息披露方面應當承擔的建議監督責任，不斷強化各方積極主動履責的意識。這也有賴于不斷完善監事會和獨立董事制度，增強監事會和獨立董事的獨立性和監督意識。

（二）建立健全內部控制信息披露的監管體系

1.建立健全內部控制信息披露的內部監管體系。建立健全內控信息披露的內部監管體系能從源頭上改善內控信息披露的質量，這包括健全公司治理結構以及加強內部審計。

良好的公司治理結構是建立完善內控的基礎和前提。建立公司治理和內部控制間的良性關系，不僅能優化公司治理結構，還能提高內部控制的效率效果。這包括建立“三權分立”的內部制衡機制，保證經營權、控制權和所有權相互監督、相互制衡；保證監事會的話語權和監督權；完善獨立董事制度，發揮獨立董事的建言獻策和監督作用。

健全的內部審計制度能夠監督內控的設計與執行，相應提升內控信息披露質量。應當理順內部審計的領導體制，明確內審的職責、定位、服務對象和作用，保證內審的獨立性、專業性和合規性；建立相關的內審人員激勵責任機制，從物質和人力上給內審工作強有力支持。

2.建立健全內部控制信息披露的外部監管體系。公司的盈利性目標和內部結構的復雜性往往導致內部監督達不到預期效果，此時，來自于政府部門、交易所以及社會的有效外部監督可以起到一定彌補作用。

（1）加強政府部門對上市公司內部控制信息披露的監管。我國上市公司內控信息披露的實際落實情況不盡如人意，一個很重要原因在于缺乏對規定落實情況的有效監督，沒有明確違規主體應承擔的責任。建議相關部門加強對上市公司內控信息披露的監管，制定明確的懲罰措施。

（2）加強交易所對上市公司內部控制披露的監管。市場經濟下，政府對市場的監管也不能也不必面面俱到。上交所和深交所就需要承擔起對上市公司的日常監管責任。兩家交易所應以證監會的統一監管措施為指導，根據本交易所上市公司特點細化和明確監管措施，并時時關注公司的內控建設進展和信息披露情況，適當給予指導意見，對違法違規行為進行懲處。

（3）加強社會第三方對上市公司內部控制披露的監管。社會監督是內控信息披露監督的最后一道防線，要充分發揮注冊會計師、授權的證券公司、新聞媒體乃至投資者對上市公司內部控制信息披露的監督作用。

注冊會計師出具的內控審計報告或鑒證報告能在一定程度上保障內控信息披露的可靠性。除了將內部控制審計規范化和常態化，也需規范內部控制審計報告的格式和形式，加強對注冊會計師的職業技能培訓、職業道德教育和行業監督，確保其能遵守審計準則等相關規定并切實履行內部控制審計責任。

授權的證券公司對上市公司內控自我評價報告及內控落實情況自查表的核查意見能在一定程度上反映內部控制的有效性。應規范這類機構的監督行為，規定核實意見的內容和格式，明確受聘核查內部控制的機構應承擔的責任。

新聞媒體能對上市公司內控信息披露進行輿論監督，給違法違規公司施加輿論壓力，從無形中督促上市公司完善內部控制。應確立有利于新聞媒體監督的法律環境，同時明確新聞媒體在內控信息披露監督方面應承擔的道德和法律責任，確保新聞媒體能實事求是報道，發揮良好的輿論導向作用。

（本文系天津市2012年度哲學社會科學規劃課題“內部控制缺陷信息披露的經濟后果研究”〈TJGL 12 -004〉、中央高校基本科研業務費專項資金項目〈NKZXB1244〉階段性研究成果。）

注釋：

①中國證券監督管理委員會.證監會和財政部聯合發布《公開發行證券的公司信息披露編報規則第21號——年度內部控制評價報告的一般規定》[EB/OL].中國證券監督管理委員會，2014[2014-04]。

1.陳龍.2013.主板與中小板上市公司內部控制信息披露差異性分析[J].財會研究，2: 68-70。

2.陳國輝、王文杰.2011.關于提高上市公司內部控制信息披露質量的建議[J].財務與會計，5:28。

3.惠全紅.2008.我國上市公司內部控制信息披露的思考[J].會計之友，7:36-37。

4.晉曉琴.2011.我國企業內部控制應用指引的發展評點[J].財會月刊，3: 67-68。

5.楊慧文、顧鎮同.2013.上市公司內部控制信息披露及自我評價的現狀研究[J].會計之友，12:70。

6.張倪瑋.2011.監事會制度與獨立董事制度的職能分權探析[J].會計之友，22:93-94。

7.張妙凌.2012.我國上市公司內部控制信息披露問題研究[J].財會研究，15:56-59。