上市公司內部控制缺陷信息披露質量分析
——基于滬深2014—2016年的數據

□（天津商業大學寶德學院 天津300384）

一、引言

上市公司內部控制信息披露質量，不僅能夠反映出企業自身是否已經建立了完善的內部控制體系，而且還會影響投資者等相關利益者的決策和判斷，而反映企業內部控制信息披露質量高低的一個直接指標就是內部控制缺陷信息的披露質量。內部控制缺陷對于上市公司來說屬于敏感信息，它的披露可能會暴露企業存在的不足，影響企業的公眾形象，甚至影響其在資本市場上的地位，企業管理層就很有可能在披露時進行遮掩或者選擇性披露等行為。因此，上市公司內部控制缺陷信息的披露質量是一個值得關注的課題。

自內部控制基本規范及其配套指引正式實施以來至今，我國內部控制信息披露完成了“自愿披露-局部強制-整體強制”的過渡，隨著《內部控制基本規范》的深入實施，其執行效果如果？還存在哪些方面的不足？這些都是監管部門、理論界和實務界非常關注的問題。目前國內的研究多是通過構建內控評價指數來衡量內部控制有效性，而筆者認為內部控制缺陷的披露本身就是內部控制有效性的一個反映。對于上市公司而言，既要有識別缺陷的能力，還要敢于承認自身存在的缺陷并據實對外披露，這既可以加大外部信息使用者的監督力度，又可以促進企業完善其內部控制制度。按照要求，我國所有的主板上市公司應在2014年全面實施企業內部控制規范體系。李冰輪等（2015）以2011—2013年的數據為研究對象，證明《內部控制基本規范》的強制實施明顯有助于提高上市公司對控制缺陷信息的披露質量，驗證了這一制度安排的合理性。那么2014年進入整體強制披露階段之后，內部控制規范的實施效果如何？內部控制缺陷信息的披露質量是否確實有質的提升，內控缺陷信息含量如何？本文以此為出發點，選取2014—2016年在滬深兩市上市的公司為研究對象，對其內部控制自我評價報告中披露的內部控制缺陷情況進行整理和分析，并提出相應的建議。

二、文獻綜述

近年來我國關于內部控制缺陷的相關研究主要集中在以下三個方面：

（一）關于內部控制缺陷認定的相關研究。認定技術方面，王惠芳（2011）指出了內部控制缺陷認定存在的困境：理論困境在于財務報告內控缺陷和公司內控缺陷的界定，規范標準確立的困境在于原則式和規范式認定的選擇，實踐判斷上的困境在于內部控制缺陷程度的劃分；李宇立（2012）基于管理層的視角，認為內控缺陷的認定以識別為基礎，而缺陷識別與認定是敞口風險與可容忍度相對比的過程。

認定標準方面，石意如（2014）把內部控制缺陷劃分為層次性缺陷、規模性缺陷和持續性缺陷三類，并設計了“三維”認定模型定量認定標準。林兢等（2016）以COSO框架為依據，從公司和賬戶兩個層面構建了內部控制缺陷的具體認定標準體系。

（二）關于內部控制缺陷信息披露影響因素的相關研究。李育紅（2010）、田高良等（2010）、 劉麗芬等（2012）、李越冬等（2014）等認為，公司組織結構特征方面，公司經營的復雜性、正在經歷的組織變革、子公司的數量、上市的時間等與內部控制缺陷披露正相關，而公司規模、內控建設、審計師質量等與內部控制缺陷負相關。

發現并披露內部控制缺陷的動機方面，趙息等（2013）認為管理層的權力越大，內控信息披露中的機會主義動機表現就越強烈，越傾向于隱瞞公司已存在的內控缺陷。郭軍等（2015）認為董事會獨立性對內部控制缺陷影響不顯著，而董事會的團隊異質性越高，存在內控缺陷的可能性越小。

（三）關于內部控制缺陷信息披露經濟后果的相關研究。內部控制缺陷披露與審計費用方面，主要觀點認為內部控制缺陷與審計費用正相關，如蓋地等（2013）、張紅英等（2014）；而內部控制缺陷的修正與審計費用的關系方面研究結論則有所不同，蓋地等（2013）認為內部控制制缺陷的修正與審計費用關系不顯著，而張紅英等（2014）則認為內部控制缺陷的修正與審計費用顯著負相關。

內部控制缺陷披露與資本成本方面，主要觀點認為披露內部控制缺陷的公司要求的資本成本會更高，其中，郭雪萌等（2014）認為披露內控缺陷的公司要求的權益資本成本更高；孔凡峰（2012）、王虹靜（2016）認為公司存在內控缺陷時有較高的債務成本，而且披露的內控缺陷越嚴重，債務資本成本就越高。

三、上市公司內部控制缺陷信息披露質量分析

本文對于內部控制缺陷信息披露的質量分析，主要是看上市公司在進行披露時是否實話實說，是否存在避重就輕、言語模糊等現象。數據方面，本文選取2014—2016年在滬深交易所上市并披露內部控制自我評價報告的公司為研究對象，剔除了其中數據不完整的公司。文中的相關數據信息來源于滬深交易所、巨潮資訊等官方指定的信息披露網站，筆者后期對數據進行了進一步的整理。分析內容方面，本文主要關注以下幾點：第一，上市公司內部控制自我評價報告是否對內部控制缺陷的定義進行了明確的劃分，即內控缺陷認定標準的披露情況。第二，上市公司內部控制自我評價報告是否明確表明存在缺陷，內容是什么。第三，對于存在的內部控制缺陷是否已進行整改，整改效果如何。

（一）內部控制缺陷認定標準的披露情況。內部控制缺陷的認定標準是企業認定和劃分內控缺陷的依據，具有關鍵性的指導作用。按照內部控制規范體系的要求，內部控制缺陷有不同的分類標準，本文分析是按照財務報告和非財務報告是否按照缺陷嚴重程度披露了重大、重要及一般缺陷的定性和定量標準展開的。數據統計分三種情況：第一種，完整披露財務報告和非財務報告內部控制缺陷認定標準，即按照財報、非財報分別披露了重大、重要和一般缺陷的定量和定性標準；第二種，未完整或未明確披露財務報告和非財務報告內部控制缺陷認定標準，如披露重大、重要和一般缺陷的定性和定量標準而未區分財報和非財報、財報或非財報缺陷未區分定性和定量標準、雖然披露了認定標準但均為定義性內容等情況均屬于這一類；第三種，未披露內控缺陷認定標準。

由下頁表1的統計結果可以看出，2014年披露內控缺陷標準的公司占81.46%，而2015和2016年有了大幅提升，達到了98%；其中完整披露內控缺陷的公司占比由2014年的48.15%上升到2015、2016年的85%以上。這組數據高于2013年的披露比例76.57%（中國上市公司內部控制報告2014，胡為民），這足以表明愿意主動披露內部控制缺陷認定標準的公司數量在增加，絕大多數公司愿意對外披露其內部控制缺陷認定標準等信息。雖然披露情況總體向好，但仍有相當一部分公司（2014年 891家，2015年 333家，2016年320家）雖然披露了內控缺陷標準，但在披露內容的完整性、準確性、透明度等方面存在問題，還有少數公司根本就未披露內控缺陷標準。

（二）內部控制缺陷內容的披露情況。關于內部控制缺陷內容的披露情況主要從以下兩個方面進行分析：

第一，企業是否披露內部控制缺陷具體內容的情況統計。外部信息使用者在進行決策和判斷時，不僅關注企業是否存在內部控制缺陷，更會關注企業存在什么樣的缺陷，是否披露了缺陷的具體內容。根據統計結果，2014—2016年分別有360、428、510家公司在內部控制自我評價報告中披露表明存在內部控制缺陷，披露的缺陷數量分別為1 294、2 713、2 409 個，但這些公司并不是全都披露了缺陷的具體內容。

如表2所示，近3年披露具體內容的缺陷數量占比分別為68.08%、42.78%、51.52%，接近一半左右，其余缺陷在披露時基本上僅說明存在某等級缺陷的數量，而未提及具體缺陷是什么，稍好一點的公司也僅僅是提及在某方面存在缺陷多少個。除此之外，還有相當一部分公司只是提及公司存在缺陷，積極開展整改工作，而缺陷的數量和內容均未提及（由于未表明數量，所以這部分公司不在表2統計范圍內）。由此可見，進入整體強制披露階段之后，雖然上市公司披露內部控制缺陷的意愿相較于之前有所增強，但是在缺陷內容披露上仍然有所保留，選擇了逃避，而這些信息恰恰又是外部利益相關者比較關注的重要信息。

第二，企業披露的內部控制缺陷類型的情況統計。要分析企業內部控制缺陷披露的質量，不僅要看企業是否承認自己存在缺陷，還要看企業是否承認其缺陷真實的嚴重程度。具體統計數據結果如表3所示。

表1 內部控制缺陷認定標準的披露情況

表2 內部控制缺陷是否披露缺陷內容的情況統計

表3 披露內部控制缺陷內容的公司所披露的缺陷類型情況統計

表4 內部控制缺陷的整改情況統計

由表3可以看出，披露內部控制缺陷內容的公司，所披露的內部控制缺陷中一般缺陷占了絕大多數，而重要缺陷和重大缺陷占比都非常少。一般缺陷是內部控制缺陷中對企業的影響程度最小的缺陷，由此可以看出企業傾向于披露一般缺陷。另外，值得注意的一點是，2014—2016年重大缺陷的披露比例在逐年降低，這有可能是因為企業內部控制建設越來越完善，缺陷數量越來越少，當然也有可能是企業在披露較嚴重的缺陷上意愿不足，選擇隱瞞。

由上述分析可以看出，企業披露內部控制缺陷的具體內容，無疑是向市場傳遞了自己的一個“壞消息”，盡管企業主動披露內部控制缺陷可以樹立良好的形象，但有時候這種正面形象所帶來的效益可能遠遠抵不過披露缺陷內容所帶來的負面效應，從而影響企業長遠發展，因此會導致部分企業在披露內部控制缺陷信息時刻意回避或者隱瞞其內部控制缺陷的具體內容。

（三）內部控制缺陷整改的披露情況。對于企業披露的內部控制缺陷信息，還有一個應該重點關注的問題，就是缺陷的整改情況，這可以反映出企業對于健全和完善其內部控制制度的信心和決心。從表4的統計結果來看，2014—2016年披露的內部控制缺陷整改運行有效的占比分別為38.71%、35.95%、28.69%，比例逐年降低，情況并不樂觀。而且近三年中有將近15%左右（2014年比例稍高，為22.25%）的缺陷根本未開始整改，將近一半左右的缺陷未完成整改或者未披露缺陷整改的相關信息。從理論上來看，如果企業內部控制缺陷已整改完成，有助于企業建立良好形象，向市場傳遞利好信息，然而統計顯示的結果卻恰恰相反。這就說明仍然有相當一部分企業對于內部控制缺陷信息的披露未引起重視，盡管承認存在缺陷也僅僅是迫于強制性要求的壓力，應付監管部門，缺陷的實質性內容并未體現在自評報告中，因此這些企業內部控制缺陷信息披露的意愿仍有待進一步增強。

四、上市公司內部控制缺陷信息披露存在的問題及改進建議

（一）上市公司內部控制缺陷信息披露存在的問題。

第一，內部控制缺陷的認定標準披露不完整。按照要求上市公司在披露內控缺陷的同時，還要根據公司規模、行業特征、風險承受度、自身特點等因素，設立區分財務報告缺陷和非財務報告缺陷的認定標準。但是統計結果表明，仍然有相當一部分企業未完整披露，甚至未披露其內部控制缺陷的劃分標準，這會導致利益相關者無法通過企業內部控制缺陷的認定標準來準確獲取上市公司在內控缺陷認定方面的信息，更無法通過缺陷的披露對其內控建設成效進行合理評價。

第二，內部控制缺陷具體內容的披露有待加強。承認自身存在內控缺陷的企業占比較之前有所增加，但是在缺陷具體內容的披露上卻持有逃避態度，有所保留，而且披露的缺陷偏重于對企業影響程度最小的一般缺陷。另外，缺陷披露上存在語言模糊、描述空泛的現象，或者照搬內部控制評價指引原文，一句話帶過。比如有些公司雖然承認存在缺陷，卻僅用“針對報告期內的一般缺陷，公司落實了相應的整改措施”這樣的語句簡單概括，而未做其他詳細說明，內部控制缺陷信息披露形式化，實質性內容不足，信息含量不高。

第三，內部控制缺陷整改情況的披露動機不足。企業有能力發現缺陷并勇于承認自己存在缺陷固然可喜，但重要的是對于存在的缺陷該如何進行后續處理，也就是內控缺陷的整改問題。內部控制缺陷整改運行有效，表明企業完善了其內控制度，從而可以合理保證其目標的實現。然而統計結果卻反映出缺陷整改運行有效的比例僅占三成，這說明企業在缺陷整改方面的披露動機不足，并未真正重視內控缺陷的整改問題。

（二）提高上市公司內部控制缺陷披露質量的建議。雖然內部控制缺陷信息披露仍存在一些問題，但從整體情況來看，數量和質量方面均得到了很大改善。為進一步完善內部控制缺陷信息披露機制、提高內部控制缺陷信息披露質量，筆者提出以下建議：

第一，引導企業正確認識內部控制缺陷及其披露。當前我國已步入內部控制信息強制披露階段，大多數上市公司都披露了內控自評報告，并對內控缺陷進行了一定的描述，但這并不能完全歸功于企業自身的努力，究其原因某些程度上主要是迫于政策壓力滿足監管需要，這就導致披露存在形式主義，缺乏實質性內容，很難反映出企業內控建設的真實情況。所以，應該引導企業正確認識內部控制缺陷及其披露，健全有效的內部控制才會讓企業的運營更有效率，合理地披露內部控制缺陷才會促進企業不斷提高和加強自身的經營和管理水平。只靠法律制度等強制性手段并不能從根本上解決問題，上市公司只有真正全面理解和認識內部控制缺陷及其披露的重要性，才會自愿去披露內部控制缺陷，進而提高內部控制缺陷披露質量，減少內部控制缺陷披露中存在的問題。

第二，完善內部控制缺陷信息披露細則。我國的內部控制基本規范和配套指引雖然對于內部控制缺陷方面做了一定的說明，但是仍然存在很多細節問題有待完善。比如：內部控制缺陷標準的認定，重大缺陷、重要缺陷和一般缺陷的劃分方面，在實務中一項內部控制缺陷給企業帶來的影響程度到底有多大很難準確去判斷，那么企業在認定缺陷標準時就有很大的主觀操作空間。制度上的缺失必然會導致內部控制缺陷在認定上存在爭議，進而影響上市公司內部控制缺陷的披露質量。因此，相關部門應進一步完善內部控制缺陷信息披露的相關細則。

第三，加強監管力度，完善監管體系。內控缺陷信息作為敏感類信息，有其特殊性，披露缺陷信息會給企業帶來負面影響，從而使企業可能會存在一定的僥幸心理，披露缺陷的積極性不高。對此，監管機構應該制定嚴格的監管措施，對于在內部控制及缺陷信息披露上存在的消極行為，比如隱瞞缺陷信息、缺陷信息披露形式主義等要進行大力整治并加大處罰力度，消除其僥幸心理。另外，資本市場上投資者等進行決策不僅依據財務數據，還需要非財務信息，而內部控制缺陷就是非常重要的非財務信息，信息失真將會導致投資者決策失誤，打擊其對資本市場的信任。因此，監管部門應當加強監管力度，保證披露內控信息的確鑿和完整，推動我國內部控制規范體系逐漸走向成熟和完善。

當然，本文中還存在一些不足之處：（1）研究數據方面，本文數據均為作者手工整理，不免存在一些誤差。（2）分析內容方面，本文僅對自評報告中披露的缺陷信息進行了統計分析，而企業是否存在內控缺陷也可以通過其他指標來反映，比如內控審計報告意見、是否受到證監會處罰、企業是否進行財務重述等。