企業內部控制評價報告質量提升策略研究

□

（哈爾濱金融學院 黑龍江哈爾濱150030）

一、引言

2010年我國《企業內部控制評價指引》對企業內部控制評價工作及其報告制度進行了規范，該指引與同期發布的《企業內部控制審計指引》共同構成企業貫徹內部控制規范體系的保障措施。與內部控制審計側重財務報告相關控制的關注不同，企業內部控制評價則兼顧了財務報告內部控制與非財務報告內部控制，意即涵蓋了內部控制所有重大方面和事項。從這個意義上看，內部控制評價工作的成果也即內部控制評價報告，其包含的信息數量要明顯優于內部控制審計報告，具有許多內部控制審計報告不可替代的利用價值。隨著對外披露內部控制評價報告的企業的日益增加，以及我國企業內部控制評價工作的縱深發展，企業內部控制評價報告對企業投資者、債權人及其他利害關系人的經濟決策必將越來越重要，該報告正在和必將成為他們了解和監督企業受托經濟責任履行情況的主要依據之一。

本文研究的是企業內部控制評價報告的質量及提升問題，目的是為內部控制評價工作縱深發展探索方向和策略。本文在內容上分成四個部分闡述，第一部分是引言，說明本文研究的問題及意義；第二部分是內部控制評價報告質量衡量標準的基本構想，第三部分是來自上市企業內部控制評價報告質量的實證情況分析，第四部分是內部控制評價報告質量發展策略。

二、內部控制評價報告質量衡量標準的構想

內部控制評價報告的質量應站在內部控制評價報告信息使用者角度來考慮。企業內部控制評價報告信息使用者主要包括企業投資者、債權人、經營管理者及其他各類利益相關者，這一范疇與企業財務報告信息使用者基本相同。對于企業內部管理層來說，其編制的內部控制評價報告只是其內部控制評價工作成果的信息載體之一，相關信息載體還包括內部簡報、工作文件、部門工作總結等。因此，他們對內部控制評價報告質量的要求主要在報告格式等技術性要求層面。相反，來自企業管理層以外的投資者、債權人等，他們對企業內部控制評價報告質量方面的要求主要在報告內容等非技術要求層面，特別是要求企業能夠真實和全面反映那些能夠對內部控制目標產生影響的所有重大和重要控制缺陷，概括起來就是對可信度與信息價值的要求。這種要求與財務報告信息質量要求中的可靠性與相關性不謀而合。

所謂內部控制評價報告的可信度，是指包括內部控制評價范圍、程序、控制缺陷的認定、內部控制設計和運行有效性結論等諸多方面的可信度。一般看來，這一可信度主要受企業動機、意愿和外部監管等因素影響，主要表現為對外披露虛假信息或不完整信息。而且，內部控制信息相對于財務報告信息，由于其可驗證性相對較弱，因而其可信度普遍缺乏保證。

所謂內部控制評價報告的信息價值，是指與該報告內容相關的所有信息的可利用價值總和。一般看來，這一信息價值主要受報告規范、管理層執行規范水平、信息可讀性和易理解性等因素影響，主要表現為對外披露模糊信息、矛盾信息或誤導信息。相對于財務報告信息，由于其涉及范圍廣且多采用文字描述方法，因而其信息價值彈性較大。

內部控制評價報告質量的可信度與信息價值這兩個衡量標準同等重要。其中可信度是基礎，若評價范圍、程序、控制缺陷的認定、內部控制設計和運行有效性結論等方面的披露失信于內部控制報告使用者，該報告就會失去存在的基礎；信息價值是重要特征，若報告規范不清、管理層執行規范不嚴格、對信息可讀性和易理解性沒有重視，該報告就會背離其宗旨。內部控制評價報告質量的兩個衡量標準關系可如下圖所示。

三、來自上市企業內部控制評價報告質量的實證情況分析

我國財政部于2013年8月份發布了2012年上市公司內部控制實施情況。根據該這份報告，2012年，共有2 244家上市公司對外披露內部控制評價報告，存在的問題主要包括：一是內部控制評價范圍披露不夠充分，評價范圍不夠恰當；二是內部控制缺陷認定標準不夠科學；三是內控缺陷的披露不夠充分，對內控缺陷整改的理解不當；四是內部控制評價報告格式與內容差異較大，評價結論表述不規范。筆者將這份報告中列舉的具體事件及可能對報告質量形成的影響或風險列示如右側表。

總結上述具體事件可以發現，當前上市公司內部控制評價報告主要集中于評價范圍確定、控制缺陷認定及信息披露環節，這些問題不同程度涉及信息價值與可信度方面的風險。由于當前直接針對企業內部控制評價報告可信度的證實還缺乏有效方法和依據，因此，財政部主要是就上市公司違背《內部控制評價指引》的可視現象和做法進行搜集和分析。然而事實上，作為內部控制評價報告絕大多數使用者群體，更為期待的是這些現象背后的更深層次的可信度，以及建立在可信度基礎上的較高水平的信息價值。

四、內部控制評價報告質量發展策略

我國現行《企業內部控制評價指引》對企業內部控制價工作過程和結果均提出了諸多要求，今后還應從內部控制評價報告可信度與信息價值兩個方面做進一步的改進和提高，以滿足日益發展的內部控制評價報告使用者的決策需求。

（一）提升可信度的策略

應從改進和加強外力干預的主導思想出發，依托日趨提高的“違規成本”威懾，逐步影響和改變企業內部控制評價工作動機、意愿。為此應采取的主要措施有：

一是加快與內部控制規范貫徹實施有關法制化進程。財政部在《我國上市公司2012年實施企業內部控制規范體系情況分析報告》中，提出今后應“進一步明確當前市場環境下內控評價報告披露內容與格式的監管要求，并在修訂和完善《會計法》、《證券法》等相關法律法規時，增加有關內部控制的條款，提升內控要求的法律層級，進一步明確企業及相關中介機構對內部控制的責任。”下一步這條措施尚需得到立法機關的足夠重視，只有早日形成 “內部控制評價報告的虛假披露屬于違法行為，應予追求其相應法律責任”的公眾意識，才能為企業內部控制評價報告可信度提升帶來持久推動力。

二是推動企業切實構建起與內部控制評價可信度相關的制約機制。當前除了不斷強化企業監事會、內部審計委員會對內部控制評價結論和報告階段的參與度之外，還應努力創造條件在企業實施少數股東就內部控制評價有關事項開展質詢的工作機制。所謂質詢，本意是人大代表就國家機關工作中的違規和失職行為依法向有關部門提出質詢，其程度上要比詢問嚴厲的多。在我國，少數股東權益的維護問題在制度建設層面還有很大空間。政府監管者應努力創造條件，將維護上市公司少數股東知情權與提升內部控制評價工作透明度結合起來，用少數股東知情權的恰當保護來推動上市公司內部控制評價工作透明度，進而提升內部控制評價報告質量。例如可規定上市公司少數股東在上市公司對外披露其內部控制評價報告后的20個工作日內，可以就少數股東所關心的內部控制評價過程和結果有關問題，以書面形式回復少數股東的質詢。

（二）提升信息價值的策略

只有建立和實施明確和嚴格的信息加工標準，作為內部控制評價工作成果的內部控制評價報告才有其普遍應用價值，且內部控制信息與內部控制報告使用者的需求相關程度越高，這種信息的價值越大。為此應采取的主要措施有：

一是進一步明確內部控制評價主體及其責任。根據我國《企業內部控制評價指引》，“執行內部控制評價主體是內部審計部門或專門的內部控制評價部門”，根據財政部《內部控制規范體系實施中相關問題解釋第1號》規定，“企業可以獨立開展內部控制評價工作，也可以委托不承擔本企業內部控制審計的中介機構協助開展內部控制評價工作。”上述規定給企業選擇內部控制評價主體提供了較高自由度，而企業往往出于成本效益原則，以內部審計部門的日常作業的累加來替代全面內控評價，較少委托社會中介參與企業內控評價，或者有意將內控評價做成“多元協作”局面。這些局面既無益于統一評價工作技術標準，又無法考核評價者的工作責任。因此，政府監管者有必要對內部控制評價主體資格、工作責任、評價工作時間，以及社會中介應予參與的重要業務單位和事項控制的評價作出更加明確的規定，堅決杜絕拿內部審計部門的日常工作來簡單替代全面性的內部控制評價工作。

二是嚴格和細化內部控制評價程序。盡管《企業內部控制審計指引》中規定了制定評價工作方案、組成評價工作組、實施現場測試、認定控制缺陷、匯總評價結果和編報評價報告等與內部控制評價工作相關的程序，以及個別訪談、調查問卷、專題討論、穿行測試、實地查驗、抽樣和比較分析等方法，但并沒有對這些程序所應留下的記錄等軌跡提出具體規定以及違背此類規定的懲戒措施。這種情況易導致企業隨意簡化評價程序、任意減少現場測試等情形。因此政府監管者下步可根據納入實施范圍的企業情況，分級分類規定內部控制現場評價工作技術標準，并積極配合外部審計師實施內部控制評審。

三是深化和完善內部控制缺陷認定和對外披露。當前內部控制報告偏離標準的事件，使用者的共性需求較集中體現在企業內部控制重大缺陷和重要缺陷的識別和應對方面，因為此類缺陷和應對信息利于識別和判斷企業能否實現其內部控制目標，進而識別能否對經營效率和效果乃致發展戰略產生重要影響。財政部在《我國上市公司2012年實施企業內部控制規范體系情況分析報告》中，對上市公司內部控制缺陷標準制定、重大缺陷界定、重大缺陷披露給予了充分關注，并列舉出企業執行相關工作標準出現偏差等諸多問題，這一系列問題的存在嚴重影響了內部控制評價報告的質量。要扭轉這一局面，光靠企業自省是不夠的，政府監管者應聯合相關主管部門、行業協會組織及高等院校，派出內部控制工作促進小組深入企業持續開展內部控制缺陷認定和對外披露有關工作的指導、監督和重要控制政策和標準的復核工作，力圖通過來自監管層的積極支持促進企業內部控制執行工作標準能力方面的質的提高。與此同時，應鼓勵企業結合自身情況持續降低對內部控制缺陷的容忍度，使越來越多的控制缺陷逐步納入重大缺陷和重要缺陷的視野，避免此類看似“小微的缺陷”從萌芽發展成巨大。

四是積極推動企業開展內部控制評價報告預披露，在信息可讀性和易理解性等方面做出新的努力。根據《企業內部控制評價指引》規定，“企業應當以12月31日作為年度內部控制評價報告的基準日。內部控制評價報告應于基準日后4個月內報出。”為提升內部控制評價報告信息價值，政府監管者應出臺相應措施，鼓勵企業對其重要業務單位或重要風險領域的內部控制評價情況第一時間（可不局限于特定基準日限制）向外界披露，暫將此類信息披露作為全面性的內部控制評價報告的預披露。這種做法不僅提升了內部控制評價信息的時效性，而且有利于調動企業加快重大和重要控制缺陷整改的進度，因為在預披露制度下，對控制缺陷的更早關注機制作用下，問題整改進程會獲得更強的推動力。