我國上市公司財務報告內部控制（ICOFR）評價與對策研究

□（江西理工大學 江西南昌 330013）

一、引言

2002年7月美國頒布了 《薩班斯—奧克斯利法案》（The Sarbanes Oxley Act，簡稱 SOX 法案），該法案第一次對財務報告內部控制進行了闡述，將財務報告內部控制（Internal control over financial reporting，以下簡稱ICOFR）定義為：由企業管理當局設計，由企業董事會、管理層和其他員工實施的，旨在為企業財務報告的可靠性提供合理保證的控制程序。SOX法案第404節中，對公司內部報告信息做出了強制性披露要求，即公司管理層不但要出具ICOFR的自我評價報告，而且注冊會計師還要對上市公司ICOFR的自我評價報告出具審計意見。之后美國上市公司會計監管委員會（PCAOB）發布了第二號和第五號評價準則作為其實施要求和指南。上市公司ICOFR的重要目標就是保證財務報告的可靠性和有效性。應該說SOX法案的公布，促進了美國財務報告內部控制審計的發展，同時也為國際社會開展ICOFR審計提供了借鑒依據。2006年7月我國“企業內部控制標準委員會”成立，2008年5月，我國財政部等五部委聯合發布了 《企業內部控制基本規范》，該規范從2009年7月1日起在上市公司范圍內施行，鼓勵非上市的大中型企業執行。2010年4月又聯合發布了《企業內部控制配套指引》，基本規范和配套指引明確要求我國企業必須建立內部控制審計制度，執行內部控制規范體系的企業必須對本企業內部控制的有效性進行自我評價和披露年度自我評價報告，同時聘請有證券期貨業務資格的會計師事務所對其內控的有效性進行審計。內部控制審計與財務報告審計一樣，成為上市公司的一項法定責任。這一系列的制度的制定和實施標志著我國企業內部控制規范體系基本建成。ICOFR評價是企業董事會或類似權力機構對ICOFR設計的合理性、健全性和運行的有效性進行全面評價，形成評價結論，出具評價報告的過程。

國外對ICOFR評價的研究起步較晚，早期主要作為附帶問題進行探討，直到20世紀90年代隨著財務造假案的增加，以及人們對財務報告信息質量的期望升高，ICOFR的研究才開始引起學者們的注意。美國學者的研究主要涉及ICOFR評價的成本效益（Bill Dner，2003）、ICOFR 的評價內容（Lehde 和 Wllis，2000）和評價標準（Raghunandan 和 Rama，1994）等幾方面的問題。

美國安然事件爆發后，我國對ICOFR評價的研究才得以展開，主要學者有朱榮恩、袁敏、吳水澎、陳漢文、陳關亭、張少華、張龍平、毛敏、仇瑩等。不過，目前國內學者對ICOFR評價的研究多在于對國外經驗的借鑒，尤其是對美國SOX法案以及PCAOC NO.2和PCAOC NO.5的學習和借鑒。借鑒內容主要包括ICOFR評價的內容、范圍以及評價報告等，但研究不夠深入和系統，故內部控制建設還是停留在機械的模仿上。近年來，以張宜霞、田高良為代表對ICOFR審計收費和缺陷披露等進行了實證研究。目前我國對ICOFR評價缺乏有效的標準，內部控制的各種評價形式沒有得到有機整合與協調，評價方法不合理（陳漢文和張宜霞，2008）。

總之，ICOFR評價的提出是概念上的創新，更是審計理念上的一次飛躍。做好ICOFR評價，可以增強公司管理人員的控制意識，改善管理層的控制環境，提高財務報告的可靠性。由于我國開展ICOFR評價和審計時間很短，這項工作雖然取得了一些成績，積累了一些經驗，但也存在不少問題，本文以我國近年實施的 《企業內部控制基本規范》和三項配套指引的數據經驗為背景，在分析我國目前開展ICOFR評價存在的問題后，提出了完善我國ICOFR評價的政策建議，以期今后我國上市公司ICOFR評價體系的進一步完善和管理水平的提升。

二、我國上市公司開展ICOFR評價的現狀分析

（一）ICOFR評價成本過高

實施ICOFR評價的成本包括直接成本、間接成本和社會成本。公司在實施評價的初期效益難以單獨計算而發生的成本卻是巨大的，它對公司的經營業績會產生強大的沖擊。美國對ICOFR相關法規實施過程也不是一帆風順的，曾造成了來自美國大公司和小公司利益集團的空前反對。他們認為執行SOX法案的302節和404節會造成大量的執行成本。有關研究表明，平均銷售收入為50億美元的公司，發生的額外費用超過財務報表費用的57%，還有的分析師用“每獲得10億美元的收入就要支付100萬美元的費用”來形容執行第302節和第404節所需的花費成本。就我國上市公司的盈利水平，該項評價和審計支出也是難以承受的。故我國上市公司很少會自愿要求對ICOFR評價。從這幾年的實踐來看，雖然大多數公司能按照要求對內控信息進行一定的披露，但大都泛泛而談，缺乏實質內容，對保證財務報告的可靠性作用甚微。

（二）內部控制評價意識淡薄

內部控制評價和審計的目的在于發現公司內控缺陷，以優化內部控制體系，提升公司的管理水平，這項工作理應是公司的內生需要，而非公司外界壓力所迫。2011年，我國首次在上市公司執行內部控制審計，并要求企業同時披露內控自我評價報告。2011年共有217家上市公司參加或參與了內控評價和審計（其中68家境內外同時上市的公司，參與試點的有149家境內上市的公司）。從2011年執行內控自我評價的情況看，不少企業對內控評價重要性認識不足，僅停留在“合規”和“交差”的層面上，公司缺乏優化內控體系的積極性和動力。另外，不少企業將內控評價看作是階段性任務，未將其當作一項長期的任務來抓。以上種種不重視內控評價的表現，影響了內控評價工作的正常開展。

（三）ICOFR評價方法不當

我國內控基本規范和配套指引是根據制造業企業生產經營特點制定，內控評價指引中有關ICOFR評價程序和方法，都是屬于一般性規定，缺少對各公司評價的針對性，很多規定不具體，同時評價指引賦予公司較大的自由裁量權。在對具體業務流程進行評價時，如果不結合企業自身特點，而只是簡單依照內控應用指引的要求展開，其評價的結果必定不能起到優化內控體系的作用。另外不同行業不同類型的企業之間差異較大，各企業對內控的理解及重視程度也不同，企業實施內控評價的出發點以及參與評價人員的素質也存在較大差異，因此上市公司在評價方法的選擇上存在較大差異，影響了評價結果的有效性。

（四）ICOFR評價缺失

由于上市公司內部控制與ICOFR是兩個不同的概念，它們在具體內涵和目標上有很大的不同。內部控制是公司治理層的控制，關注的是公司層面的風險評估及監督問題，目標是站在管理層角度幫助其提高經營效果和經濟效益；ICOFR是財務報告層面的控制，關注的是業務或交易層面的控制，目標是站在投資者的角度試圖通過內控提高管理層財務呈報的可靠性。而目前我國進行ICOFR評價遵循的是《內控基本規范》和三個配套指引。內部控制審計只要求對ICOFR的有效性發表意見，對于非ICOFR的有效性不發表意見，只在審計報告中增加強調段進行披露起提醒作用。在內控評價審計執業時遵循的是《內控基本規范》和三項配套指引，卻沒有專門的ICOFR評價指引可供遵循，在內控評價和審計的實踐中，這顯然是不妥的，會導致ICOFR評價缺失，同時也大大增加了評價和審計難度、范圍和成本。

（五）內部控制缺陷認定不準

內部控制缺陷認定不準會導致內控評價報告不真實的表達。近年來的實踐表明，導致內部控制缺陷認定的原因主要有三方面：一是內控缺陷與內控局限性認定不清。內控缺陷與內控局限性二者既有聯系又有區別，但又容易混淆。如果把內控缺陷當成內控局限性認定那就會得出ICOFR有效的錯誤結論。二是ICOFR缺陷與公司內控缺陷認定不明。站在注冊會計師角度，注冊會計師要對ICOFR有效性發表意見；站在公司的角度，公司管理層要對ICOFR缺陷和非ICOFR缺陷認定納入評價的范圍。在企業自我評價報告中并未要求企業將ICOFR與非ICOFR缺陷分開披露。很明顯，公司與注冊會計師進行評價發表意見的對象不一致，二者的報告形式也有區別。三是內部缺陷程度不容易區分。內控缺陷分為重大缺陷、重要缺陷和一般缺陷，相關指引中只有對其進行定性模糊描述。目前注冊會計師只能根據經驗和職業能力對內控缺陷進行判斷和分類，因此很可能將重大缺陷劃分為重要或一般缺陷，從而得出ICOFR有效的錯誤結論。

三、完善我國上市公司ICOFR評價的對策

根據我國上市公司內部控制評價存在的問題，可以從以下幾方面去完善上市公司ICOFR評價制度。

（一）切實提高認識水平

針對我國部分企業對內部控制的認識僅只停留在“合規”和“交差”的層次和缺乏優化內控體系的積極性和動力的現狀，公司要注重內部文化培養和建設，要切實提高公司全體員工對內控的理解和認識。領導要起推動作用，不斷提高自身對內控評價的認識程度，從“合規”和“交差”的出發點轉變為通過評價和審計來提升管理水平的最終目的，從制定制度的 “應付心理”轉變到“重在執行”的管理實踐，從階段性的內控建設轉變成一項長期的、持續改進的內控優化工作，身體力行推動內控的建設和評價工作。通過制定激勵和考核機制，轉變各中層領導的權力觀念，降低對內控建設的抵觸情緒。要加大對基層員工的宣傳教育，鼓勵其參與到內控建設和評價的實踐中，形成全員參與、人人負責的良性互動。

（二）將ICOFR評價與財務報告審計整合

這主要基于三方面的考慮：第一，ICOFR評價與財務報告審計二者業務類型相同，都同屬為責任方認定提供合理保證業務。第二，二者實現的目的相同，都是為外部利益相關者提供高質量和可靠性強的財務報告信息。第三，二者都強調風險導向思路，它們一定程度上關聯并相互補充，因此將二者融合，可以相互印證審計證據，相互利用審計成果，達到既降低審計成本，又提高ICOFR評價以及財務報告審計的質量和效率。美國第5號審計準則也明確指出，上市公司的審計人員需要在財務報告審計的同時進行ICOFR的審計，并提出了融合審計的理念。在對內部控制評價與審計時注冊會計師應有效協同地計劃和執行審計工作，以快速和有效實現二者的目的。

（三）建立內控評價人才培養的長效機制

專業人才的缺乏是內控建設和評價的瓶頸。ICOFR在我國尚處于起步探索階段，相關專業人才缺乏，為了能夠順利實施《企業內部控制基本規范》和配套指引，提高我國ICOFR評價和審計報告的質量，就必須提高相關人員的能力。一是要進行ICOFR評價的學習，深入理解其理論體系和相關概念，二是有關人員要積極參加由財政部、證監會和中國注冊會計師協會等權威部門組織的ICOFR評價與審計的業務培訓，加強對《企業內部控制基本規范》和配套指引的理解。三是會計師事務所要投入必要的人財物，及時對注冊會計師進行業務指導和勝任能力的測試，完善ICOFR審計的質量控制體系。總之，企業和會計師事務所要積極探索建立長期、科學和有效的內控專業人才的培養機制。

（四）準確識別和認定內部控制缺陷

內部控制缺陷的識別和認定是新鮮事物，針對目前我國內部控制缺陷界定、分類和認定沒有統一、明確的標準的現狀，我們認為可以從兩方面入手解決：一是按原則性和規范式相結合的思路從理論層面明確內部控制缺陷的界定，區分內控缺陷與內控局限，以及財務報告缺陷和非財務報告缺陷，這樣才能更有利于內控建設、評價和審計。二是采用定性和定量結合的方法從操作層面具體化ICOFR缺陷和非ICOFR缺陷。ICOFR缺陷可采用定量方法界定，用“可能性”和“導致后果”的嚴重程度來劃分缺陷類別。嚴重程度可量化進行，不要簡單地劃分一般缺陷、重要缺陷和重大缺陷。對“可能性”的量化可借鑒我國《或有事項會計準則》的規定，比如，“很可能”發生的概率是大于50%但小于或等于95%等。對“導致后果”具體量化方法可根據缺陷造成的錯報金額占財務報告相關項目，如資產總額、營業收入等的百分比來確定。總之，內部控制缺陷的識別和認定是內部控制評價和審計鑒證過程中非常重要的一環。

（五）盡快制定和出臺ICOFR評價指引

針對目前我國在ICOFR評價時沒有專門ICOFR評價指引可供遵循給ICOFR帶來的評價缺失、評價難度、范圍和成本增加的現狀，建議我國應盡快制定和出臺ICOFR評價指引。該指引要具有明晰性和操作性，能為ICOFR的評價和披露提供評價標準。指引內容要包括ICOFR的目標、評價范圍、內部控制缺陷的識別、披露和改進措施以及財務報告錯報的風險識別等。為突出重點，避免披露時面面俱到執行時卻流于形式，建議在該指引中明確評價對象是公司的ICOFR，且只對ICOFR的有效性進行評價等內容。