上市公司內部控制自我評價

沈 烈，孫德芝

（中南財經政法大學 會計學院，武漢 430073）

1 問題提出

近十年來，我國理論與實務界對內控評價方面的研究一直未停止過，相關研究成果與文獻資料呈逐年快速增加之勢。陳關亭（2003）提出了評價整體內控的必要性，并肯定強制性披露方式的意義；王立勇（2004）提出運用可靠性理論和數理統計方法構建內部控制系統評價的分析數學模型；李斌(2009)提出上市公司內部控制模糊綜合評價模型與方法，對內控的有效性和可能存在的缺陷等級進行了定量的分析；肖仲云(2008)提出要從完善治理結構、內控規范體系和評價依據入手，建立統一的評價方法體系；南京大學會計與財務研究課題組（2010）基于112個企業運用案例研究方法探討中國企業內部控制評價五要素中28個關鍵控制點,通過揭示關鍵控制點突出的問題以及我國企業現實與國際水平的差距,為我國企業指明了在今后的內部控制建設中應該努力的方向；陳漢文、張宜霞(2008)在比較分析目前內控評價的詳細評價法和風險基礎評價法的基礎上，提出應完善并更多運用風險基礎評價法以提高成本效益的建議；張先治、戴文濤（2011）提出多層模糊綜合評價方法，構建定性與定量相結合的風險控制評價指標體系。迪博·中國上市公司內部控制指數（2011年）首次發布了反映我國所有上市公司內部控制水平與風險管理能力的指數，彌補了國內關于上市公司內部控制定量評價研究的空白，并于2012年和2013年又連續發布了反映2011年度和2012年度中國上市公司的該項指數。我國政府部門、理論與實務界雖然做了上述大量的內部控制評價的探索與實踐，但大都限于原則性、方法性、范圍性、要素框架性的討論、設計與嘗試。

對于內控評價具體操作層面的，特別是對現實操作中呈現的具體問題及解決方案的研究及文獻仍較少。本文通過對2012年度滬市公司披露的內部控制自我評價報告及內控審計報告的統計分析，嘗試全面透視存在的問題，提出解決措施，以期為進一步規范我國企業內控評價工作提供有益的參考。

2 統計描述

本統計描述的范圍為截至2013年5月31日上海證交所掛牌交易的941家A股披露的2012年度內控評價報告。本文的資料來源于“同花順”、“長江證券”網上交易平臺、“國泰君安”網上交易平臺、上海證券交易所網站的信息披露平臺，并主要采用人工方式逐一采集、分析與整理后取得。

2.1 內控評價報告披露情況

在滬市941家A股上市公司中，610家為國有控股公司，331家為民營企業。其中，單獨披露獨立評價報告的只有703家，占比74.7%（這其中獨立且完整披露的有463家，占比49.2%，240家獨立披露但內容不完整，占比25.5%），另238家只在年度財務報告中只進行了簡單的附帶說明而沒有獨立披露，占比25.3%。

2.2 內控評價范圍披露情況

941家公司中有159家內控評價范圍按“五要素”詳細披露，占比16.9%，有204家按十八項應用指引為“對象”詳細披露，占比21.68%，有133家按“對象”與“五要素”詳細披露，占比14.13%，另有215家只是簡要披露或描述，占比22.85%，其余230根本就沒有披露其評價范圍的相關信息，占比24.43%，具體情況見表1所示。

2.3 內控評價部門情況

在941家公司中，由內部評價部門與外聘會計師事務所合作完成（以下簡稱“內部+外部”）的有179家，占比19.02%；由臨時成立的內部控制評價聯合小組（以下簡稱“內控聯合小組“）完成的有278家，占比29.54%；由內控部、內審部門或者稽核部門完成的，共占比23.97%；另有1家披露的評價部門是董事會秘書；還有1家披露的是經營管理層；其余247家的相關信息不明確，占比26.25%。具體情況見表2所示。

表1 內控評價范圍披露情況表

表2 內控評價部門情況表

2.4 內控評價報告整體結構形式情況

從披露公司的內控評價報告結構來看，有的公司的評價報告由“報告頁+附件”組成，即先有一個書面文件簡要報告總體評價結論，然后以附件形式具體報告評價過程、范圍、方法、標準、程序、詳細內容、缺陷及更改等，這種結構稱為“分離式”，有的公司評價報告按評價范圍、方法、標準、程序、評價內容、評價過程、責任劃分、整改及內控結論等整合在一個書面文件之中，這種結構稱為“一體式”。在941家公司中以“分離式”報告的185家，占比約20%，以“一體式”報告的有524家，占比約55%，還有232家情況不明，基本屬于沒有披露內控報告的，占比約25%。

2.5 內控缺陷標準披露情況

在財務報告內控缺陷標準信息披露上，941家公司中有283家只有定性的描述而沒有披露具體量化標準，占比30.07%；50家披露了其籠統的量化標準，占比5.31%；18家披露了其特殊量化標準，占比1.92%；295家按財務報告重要性水平作為其缺陷量化標準（簡稱“財報重要性水平量化標準”），占比31.35%，還有295家沒有內控缺陷標準，占比31.35%，內控缺陷標準情況見表3所示。

表3 財務報告內控缺陷認定標準情況表

在非財務報告內控缺陷標準信息披露上，941家公司中，有373家在內控評價報告中進行了簡單描述，披露定量確認標準的只有156家。

2.6 內控審計報告情況

在941家公司中，披露了內控審計報告的有634家，還有307家沒有進行內控審計。從634家披露內控審計報告的情況看，其中有615家是整合審計。出具內控審計報告情況見表4所示。

表4 內控審計報告情況表

3 問題分析

雖然我國現行《企業內部控制基本規范》、《企業內部控制評價指引》中對內控評價的相關內容進行了規定和引導，但由于2012年是我國主板上市公司強制披露的第一年，企業在實施過程中出現了理解或者執行力不同而導致的許多差異與問題，現依據上述統計表進行分析。

3.1 評價范圍的內容披露缺失或過于簡單

內部控制評價范圍是判斷內控評價是否全面、合規的重要依據，亦是內控評價評價報告必須披露的重要內容。然而在941家公司中215家公司的內控評價報告沒有披露具體的范圍內容，只是用幾句話進行概括，既沒有按內控規范中規定的五要素涵蓋的內容進行描述，也沒有按內控應用指引中包括的十八項具體內容來進行披露；另230家根本沒有提及評價范圍，使得評價報告的使用者無法根據評價報告判斷公司是否根據國家內控評價規范要求和企業內控評價手冊的要求進行了自我評價。

3.2 內控缺陷認定定量標準或懸殊或不明確

大多數公司披露的內控缺陷認定標準是直接引述《企業內部控制評價指引》中重大、重要和一般缺陷的定義，未制定或披露適用于企業實際情況的具體認定標準。對于財務報告內控缺陷定量認定標準也是千差萬別，約30%的企業財務內控缺陷只有簡單文字描述，企業沒有具體量化標準，31.35%的企業根本沒有披露內控缺陷定量認定標準，只有不到40%的企業披露了定量標準。從披露了定量標準的企業看，大部分采用財務報告重要性水平標準，這也是目前實務界廣泛采用的標準，此標準易于操作，適用于大多數行業；有的以直接損失金額為標準，以此為標準的企業一般也不區分財務報告和非財務報告內控缺陷標準；有的是籠統量化標準；有的根據定性和定量因素，進行綜合評級來確定，目前銀行、證券、保險等金融行業運用此類標準較多。對于非財務報告缺陷的量化標準的問題就更嚴重了，披露定量標準的不到20%，大部分基本沒有提及非財務報告缺陷量化標準。由此不得不令人質疑，沒有披露財務與非財務缺陷定量標準的，到底是有標準而因疏于披露，還是根本就沒有而無法披露，還是其標準因經不起檢驗而不敢披露？定量標準籠統化或同一缺陷定量標準懸殊性是否導致情形相同的企業面對同一缺陷認定的程度（重大、重要及一般）的差異性？這些疑問的存在，進而不得不讓人對2012年滬市941家上市公司中僅有一家內部控制是無效的結論產生大大的問號。

3.3 評價部門呈現隨意混亂現象

從表2現的已披露其評價部門的上市公司的統計數據可知，上市公司內控評價部門的確定帶有很大隨意性，呈現出較為混亂的局面。其弊端較為明顯：一是權威保障性不夠。不少企業雖然設立或指定了評價部門或牽頭部門，而未按《指引》設置專門的內部控制評價領導機構作為組織保障與支撐，因此評價工作開展起來常常遇到這樣或那樣的阻力。二是技術性不夠。內部控制評價工作的技術性、政策性與程序性要求都很高，且需要投入大量的時間與精力。然而，不少企業僅匆匆抽調一些所謂的業務骨干組建成臨時的評價組織，或臨時指定一個部門單獨或牽頭履行評價職能，這些成員大都未進行專門的系統學習與培訓就投入到評價工作中去，如此開展的評價工作的技術含量如何可想而知。更有甚者，僅成立由公司董事長或總經理牽頭，各部門負責人或骨干共同組成的聯合小組來開展評價工作，還有的披露的評價部門居然僅僅是董事會秘書處，實在難以想象，這些評價組織的成員在履行其既有職能與責任的同時，是否有時間與精力去掌握內控相關的評價技術與流程，是否有可能有大量且相對集中的精力投入到內控評價工作中？三是獨立性不夠。內控自我評價部門雖然不可能追求完全的獨立，但相對的獨立不可忽略。因此將評價工作交由各部門抽調的人員組成的評價部門、或由制定內控規則的內控部門完成，無疑存在相對獨立性弱的詬病，而將內控自我評價工作交由經營管理層進行更是難以理解與接受。四是持續性不夠。內控自我評價是一項制度化、長期化、經常化的工作。但在評價部門的設立與建設上，不少企業卻過度倚重外力，不注意培育企業自身穩定的、專業的隊伍與機構。從2012年滬市反應的情況看，依靠“內部+外部”來開展評價工作的比例仍然偏大（實際上這其中還有一定比例的企業是完全依靠外力，譬如中介機構、管理咨詢公司來完成的），這種形式雖然不違規，且中介機構、管理咨詢公司經驗較豐富，效率較高，但應盡量只在初次開展與學習內控評價時采用，不適合長期存在，因為畢竟外力對企業業務方面的具體情況，特別是非財務報告內控方面的各種活動和控制的熟悉程度有限，對相關缺陷的問題與根源性分析不可能深入細致，外加所聘請的外力是要支付較高費用的，其投入的時間又相對集中于期末，不利于企業內控評價工作的持續、定期、常態的開展。

3.4 其他方面問題

除上述主要問題外，2012年滬市上市公司內控自我評價還存在著諸如時點評價的成份濃重、外部評價（審計）不到位等其他問題。就企業內控有效性評價本身而言，應是對其時期有效性的評價。但大部分企業對此信息的披露含糊其詞，或披露的信息與實不符。據我們結合相關的調查分析，許多企業名為時期評價，但實際上其評價結論并沒有平時開展評價分析結論與相關記錄作支撐，更多的是在年末組成人馬對評價日（通常為資產負債日）的內控狀況進行分析評價得出的結論，即實為時點有效與否的結論。內控外部評價的問題也不少，比如披露了內控評價報告家數為703家，可是出具內控審計報告的只有634家，這不符合內控規范的相關要求。另外出具內控審計報告的公司中只有615家進行整合審計，也就是說有部分公司財務報告審計與內控審計分別由不同的事務所來完成，這雖然不違規，但與成本效益原則、高效高質的內控審計要求相沖突。

4 完善建議

4.1 完善相關法規，明確相關信息披露責任

上市公司最大也是最直接的利益相關者是其投資者。內部控制的有效與否不僅影響其財務報告的真實性和經營效率，而且對其戰略實現與可持續發展產生深刻影響。為了規范我國資本市場，保護投資者利益，應借鑒美國的思路，將上市公司內部控制的相關要求由部門規章層面上升到法律層面予以規范，尤其是要以法律形式明確和細化對內部控制評價的要求。朱榮恩等（2003）提出過要加強法律監管。筆者認為應修改證券法中關于首發股票和增發股票的條件，補充增加披露內控評價的相關條款，規定上市公司在首發和增發股票之前，要出具經注冊會計師審計的內控評價報告。同時明確規定上市后公司內控評價信息披露的基本要求及違反責任，以提升其法律意識。

4.2 細化指引或指南，相對統一評價范圍及披露要求

針對上市公司內控評價報告內容不完整或過于簡單的現象，筆者建議，應將《指引》中評價范圍的內容細化或明確化，甚至給出上市公司披露的標準模版，對于需要變化的內容留出空白，以實現相對的統一。與此相配套，還應比照中國注冊會計師協會針我國中小會計師事務所質量控制工作的亂象而編寫和下發《小企業工作底稿》作為注冊會計師執業時記錄工作底稿的樣本的做法，將內控評價范圍框架按內部控制五要素或者十八項指引再轉化為工作底稿形式，將每一要素或者項目進行細分為可操作的評價形態（具體的指標或關鍵控制點，評價形式與具體方法），再以指南或指引形式提供企業，以使實際評價的內容與評價范圍實至名歸，落到實處。

4.3 設定底線，增強評價部門的相對獨立性

內控自我評價部門雖然不可能具有外部審計機構的超然獨立性，但至少也應劃清“規則制訂者”、“運動員”與“裁判員”的關系，以“裁判員”一般不應與“制訂者”或“執行者”合體為底線，確保其具備相對的獨立性。

[1]李斌.上市公司內部控制評價研究[J].統計與決策,2009，（22）.

[2]董美霞，戴松梅.美英加基于風險的內部控制評價及啟示[J].財務于會計（綜合版），2009，（6）.

[3]池國華.基于管理視角的企業內部控制評價系統模式[J].會計研究，2010,（10）.

[4]財政部會計司.企業內部控制規范講解[M].北京：經濟科學出版社，2010.

[5]陳漢文等.《企業內部控制的有效性及其評價方法[J].審計研究，2008,(3).

[6]朱榮恩等.美國財務報告內部控制評價的發展及對我國的啟示[J].會計研究，2003,(8).

[7]張龍平等.美國內部控制審計的制度變遷及其啟示[J].會計研究，2009,(2).

[8]王惠芳.內部控制缺陷認定：現狀、困境及基本框架重構[J].會計研究，2011,(8).

[9]吳秋生，楊瑞平.內部控制評價整合研究[J].會計研究，2011,(9).

[10]南京大學會計與財務研究院課題組.論中國企業內部控制評價制度的現實模式——基于112個企業案例的研究[J].會計研究，2010,(6).

[11]劉玉廷.全面提升企業經營管理水平的重要舉措—企業內部控制配套指引解讀[J].會計研究，2010,(5).

[12]李心合.內部控制研究的困惑與思考[J].會計研究，2013,(6).