我國上市公司內部控制披露存在的問題與對策

竇 偉

(河南牧業經濟學院 會計系，河南 鄭州 450044)

2006年上海證券交易所頒布了《上海證券交易所上市公司內部控制指引》，同時深圳證券交易所頒布了《深圳證券交易所上市公司內部控制指引》。2008年五部委聯合頒布了《企業內部控制基本規范》，緊接著2010年五部委又頒布了內部控制的配套指引，包括《企業內部控制應用指引》《企業內部控制評價指引》和《企業內部控制審計指引》三部分。2012年財政部和證監會聯合發布《關于2012年主辦上市公司分類分批實施企業內部控制規范體系的通知》，緊接著2014年財政部與證監會又聯合頒布《公開發行證券的公司信息披露編報規則第21號——年度內部控制評價報告的一般規定》。這些規范和政策的陸續出臺體現了企業內部控制的披露的重要性和必要性。在這一政策導向和法規要求下，我國上市公司在企業財務年報中紛紛披露關于內部控制的自評報告及審計報告。但對企業來說，內部控制的完善需要一個過程，其自評報告及審計報告的標準也不統一，所以就我國上市公司目前在內部控制的披露上仍然存在很多問題，需要逐步完善，本文將對目前我國上市公司的內部控制披露情況進行研究和分析，對其存在的問題和不足提出意見和建議。

一、 我國上市公司近年來內部控制披露的情況

我國上市公司內部控制披露包括兩部分：內部控制的自評報告以及外部的鑒定報告。內部控制的自評報告是由上市公司企業董事會和管理層實施的，針對公司內部控制設計和執行的有效性進行自我評價，而內部控制的外部鑒定報告則是由企業聘請的會計師事務所對公司內部控制的有效性進行外部評價。這兩者是從不同的角度對公司的內部控制進行分析和評價。公司通過對內部控制的自評，自覺主動查找內部控制存在的缺陷，并將缺陷按照是否直接影響財務報告分為財務報告內部控制缺陷和非財務報告內部控制缺陷；按缺陷帶來的影響程度分為重大、重要和一般缺陷，針對查出的缺陷進行整改，以達到完善企業管理規避風險的目的。外部審計報告則是由注冊會計師對企業內部控制進行審計得出的鑒定意見。這兩種報告可能存在不一致的結論。外部投資者、債權人以及潛在投資者通過上市公司在年報中披露的內部控制的自評報告和外部審計報告，對上市公司內部控制的有效性做出評價和判斷，繼而做出決策。

(一) 內部控制自評報告的披露情況

3487家上市公司中，在2017年的年報中披露內部控制評價報告的有3225家，占A股上市公司總數量的92.49%。其中，內部控制自評報告為整體有效的上市公司為3168家、占比90.85%，非整體有效的為57家、占比1.63%。如表1所示。

表1 2017年上市公司內部控制自評報告情況統計

其中，在自評報告中披露存在內部控制缺陷的有456家上市公司，在全部披露內部控制評價報告的公司總數中占比14.14%。依據對缺陷等級的劃分方式分類統計的上市公司數量，如表2所示。

表2 披露內部控制缺陷的上市公司情況統計

2016年披露內部控制重大、重要缺陷的公司比例為2.65%，2017年披露內部控制重大、重要缺陷的上市公司比例3.66%，同比增長38.11%。與2016年相比，明顯上升。

(二)內部控制審計報告披露情況

2017年的年報中有2555家上市公司披露了會計師事務所對企業內部控制作的鑒定報告，占披露年度報告的上市公司總數量3487家的比例73.27%。在這些所披露的內部控制鑒定報告中：標準無保留意見有2455家，占比70.40%；非標意見有100家，占比2.87%。而在100家非標意見中：帶強調事項段的無保留意見有54家，占比1.55%；保留意見有2家，占比0.06%；否定意見有43家，占比1.23%；無法表示意見的1家，占比0.03%，如表3所示。

表3 2017年上市公司內部控制審計報告情況統計

(三)內部控制自評報告和內部控制審計報告對比

從以上統計數字可以看出，自評報告非整體有效的公司僅57家，占比1.63%。內部控制審計報告為非標意見的公司有100家，占比2.87%。可見外部審計報告對自評報告的不認可，由此看出自評結果相對外部審計的結果要樂觀。

總體來說，上市公司自愿披露內部控制評價報告的比例呈逐年上升趨勢；內部控制自評非整體有效的結論比例近年來逐年上升，2017年達到最高。這說明披露內部控制自評報告近幾年不再是走過場，在近年來的法規約束和強調下，更多公司對內部控制的建設認真起來，其內部控制披露的信息含量和質量也在逐年上升。上市公司披露內部控制審計報告的比例也是呈逐年上升趨勢；非標準審計意見的內部控制鑒定報告近年來也呈上升趨勢。這說明外部審計更加規范和嚴格。

二、 我國上市公司內部控制披露現階段存在的問題及成因

(一) 企業對內部控制的建設和披露動力不足，內部審計不夠獨立

我國內部控制法規不同于美國薩班斯法案的形成原因。薩班斯法案是在會計丑聞頻發，給社會、企業和公眾帶來巨大損失的情況下，引起了政府和監管部門的高度重視，頒布了《薩班斯-奧克斯利法案》，要求在美上市的企業每年提交的年報中必須包含內部控制自評報告，以及外部會計師事務所對企業內部控制出具的鑒定報告。在外界壓力和企業自身發展的需求下，企業本身也有發展內部控制的需求。而我國的《企業內部控制基本規范》是未雨綢繆，站在國際學術領先的角度制定了財務和管理全口徑的內部控制目標。企業在執行這一法規的要求時候，更多是為了合規合法性建設內控制度，沒有真正和企業治理、風險管控聯系起來，使內部控制嵌入業務流程，真正發揮作用。也不夠重視內部審計的獨立性，中小企業甚至沒有內部審計部門。所以企業內部控制建設多流于形式，很難真正發揮作用。

同時，企業對內部控制缺陷的披露也是遮遮掩掩，欲蓋彌彰。從2017年內部控制報告披露情況可以看出自評報告披露中有內控缺陷的公司比率很小。造成這個情況的原因筆者分析主要有兩個。第一，內控缺陷的披露會降低企業會計報表的信息質量，對企業的市場價值來說是一個不好的影響，內部控制缺陷的披露必然帶來整改的措施，會產生較高的內部控制的建設成本，這是管理層不愿意看到的。第二，目前的法規對內部控制缺陷沒有統一的認定標準，而是由各個上市公司自己界定，導致企業以一種寬松的認定標準來對待內部控制缺陷。在合規合法的前提下對內部控制缺陷的認定降低標準。就算承認存在內部控制重大缺陷，在披露中也是非常簡單，一筆帶過。同時也由于標準的缺乏導致上市公司自己界定的內部控制缺陷缺乏可比性。

(二)法規不夠完善，標準不統一，企業無所適從

1.財務報告內部控制缺陷和非財務報告內部控制缺陷沒有明確界定。我國這些法規和指引雖然借鑒了國外的成熟的法規，但我國的內部控制框架目標卻不同于國外的財務報告導向的內部控制目標，而是更高層級的針對企業財務、經營和管理全方位全口徑的內部控制目標。這在理論上是完全領先國際水平的，所以在其內部控制的披露和評價中沒有一套成熟的標準來借鑒。因此這方面從理論到實務有很多具體化的工作要做。首先，在全口徑的內部控制目標下，對財務報告內部控制缺陷和非財務報告內部控制缺陷應該如何界定，尤其是當非財務報告內部控制缺陷通過一定的作用機制，影響到到財務報告的內部控制上，進而影響財務報告的披露。

2.內部控制缺陷程度沒有明確標準。如何界定內部控制缺陷的嚴重程度(重大、重要、一般)，尚沒有一套統一的內部控制缺陷的認定標準。在財政部和證監會頒布的《公開發行證券的公司信息披露編報規則第21號——年度內部控制評價報告的一般規定》中要求：“公司應當區分財務報告內部控制和非財務報告內部控制，分別披露重大缺陷、重要缺陷和一般缺陷的認定標準。”這里要求上市公司自行對內部控制缺陷進行分類，并對缺陷程度制定標準。上市公司對內部控制中財務報告缺陷和非財務報告缺陷的劃分很混亂，在2017年內部控制自評報告中，有22項財務報告缺陷被歸入非財務報告缺陷；在2017年內部控制審計報告中，有5項內部控制財務報告缺陷被劃分為非財務報告內部控制缺陷。并且有一些上市公司將本應屬于重大或者重要的內部控制缺陷劃分為一般缺陷，甚至沒有認定為內部控制缺陷。因此在上市公司內部控制自評報告中各自披露的內部控制的缺陷并不具備可比性，尤其是非財務報告內部控制缺陷的認定標準，由于非財務報告內控缺陷認定涉及面廣，不具備一個量化的標準，很難界定，也難以對非財務報告內部控制缺陷的程度劃分標準。

以上這些問題導致上市公司內部控制報告雖然具有一定的信息含量，但是由于標準的缺乏和不統一使得不同上市公司的內部控制報告橫向之間缺乏可比性，難以給信息使用者帶來真正有價值的決策信息。

(三)外部審計缺乏統一規范

在內部控制審計報告披露方面，既有2007年財政部頒布的《中國注冊會計師其他鑒證業務準則第3101號——歷史財務信息審計或審閱以外的鑒證業務》，又有國家五部委在2010年頒布的《企業內部控制審計指引》，還有2002年中國注冊會計師協會頒布的《內部控制審核指導意見》等多種規范和多種格式，導致上市公司在內部控制審計報告方面的格式不一，審計意見的類型也存在顯著差異。《中國注冊會計師其他鑒證業務準則第3101號——歷史財務信息審計或審閱以外的鑒證業務》《內部控制審核指導意見》中對注冊會計師出具的內部控制審計報告類型中有“保留意見”的類型，而《企業內部控制審計指引》的審計意見類型中沒有“保留意見”的類型。

三、 對現階段上市公司內部控制披露存在的問題的改進措施

(一)完善我國內部控制規范體系

我國內部控制規范化體系是企業經營管理及財務的全口徑目標，并不局限于美國式財務報告導向的內部控制目標。這一點在國際上是領先的，但是在實際操作層面需要繼續研究和完善，才能真正發揮內部控制在企業經營管理中的作用。在財務報告披露中的作用，對內部控制報告披露的內容進一步具體化、規范化，使得企業出具內部控制報告時有依據，有規定，使得內部控制報告內容更加具體化、規范化，使得企業披露的內部控制信息橫向之間具有可比性。我國內部控制規范需要在以下方面做出更加科學和具體的要求，制定相應的標準。

1.在內部控制報告的內容和范圍上進一步規范。調查顯示上市公司在內部控制報告中涵蓋的單位、業務和重點關注高風險領域標準不一，內容差別很大。因此內部控制規范應該在對自評報告和外部鑒定報告的披露在業務范圍、風險監控等內容上進一步合理細化和規范化。

2.在相關法規中應明確劃分財務報告內部控制缺陷和非財務報告內部控制缺陷。基于我國目前全口徑的內部控制規范及其指引的理論體系下，雖然要求企業分別披露財務報告缺陷和非財務報告缺陷，但在規范中并沒有對這兩種缺陷有明確的說明和劃分標準，實務中并不明確，使得上市公司對財務報告缺陷和非財務報告缺陷的劃分有較大的隨意性。

3.對內部控制缺陷的嚴重程度(重大、重要、一般)給出一個定性和定量的標準，使得上市公司內部控制披露在內部控制缺陷判定方面有更具體的依據。

4.對內部控制審計報告的披露規范需要進一步修訂，統一內部控制審計報告的意見類型，對審計報告中相關缺陷的認定要進一步制定細化標準，提高審計報告的可比性和有用性。

5.建立和完善內部控制評價體系。對企業披露的內部控制自評報告和外部審計報告提供的信息，建立一套科學可行的評價指標體系，能夠真實體現企業的內部控制質量，使得企業的內部控制信息披露具有橫向可比性。

另外，還要完善內部控制的披露和評價標準。從企業內部經營管理來說，對企業戰略目標的實現，公司治理和風險防范方面會有良好的促進作用，從外部監管來說，不僅對財務舞弊及虛假財務信息都有很好的防范，更能給信息使用者提供有用的決策信息。

(二)完善內部控制的責任追究機制

美國《薩班斯-奧克斯利法案》不僅對美國的上市公司強制要求披露內部控制自評報告和外部審計報告，而且明確規定了管理層對于履行該法案的責任，對于不履行該責任的公司管理層將會面臨訴訟，并處以5萬至50萬美元的罰金。我國僅僅是在《公開發行證券的公司信息披露編報規則第21號——年度內部控制評價報告的一般規定》的第四條中提出：“公司董事會及全體董事應保證提供的年度內部控制評價報告不存在虛假記載、誤導性陳述或重大遺漏，并就年度內部控制評價報告的真實性、準確性、完整性承擔個別和連帶的法律責任。”但沒有具體的懲罰措施，使得上市公司管理層對內部控制的披露沒有積極性。

我國監管部門應該對上市公司管理層在內部控制報告披露中的違規行為落實具體的責任追究制度。可以借鑒國外的懲戒措施，對其處以經濟責罰。對于拒絕披露內部控制自評報告或者在自評報告中隱瞞內部控制重大缺陷的公司，監管部門應對其監事會和獨立董事追究相應的法律責任；對于企業聘請的會計師事務所在內部控制審計報告中出具虛假審核意見、誤導投資者，或者未能勤勉盡責提供了不實內部控制審計報告的，一并追究其法律責任。只有加大監管和懲戒力度，提高上市公司及相關責任人的違規成本，才能對上市公司提供虛假內控評價報告和注冊會計師出具虛假內控審計報告進行有效規制。