我國上市公司內部控制評價與報告體系的構建

趙愛玲

摘要：我國上市公司內部控制評價與報告制度存在缺乏清晰的工作步驟和程序，缺失內部控制評價工具的相關準則，信息披露的責任機制不夠完善等問題。適合我國的內部控制評價與報告框架體系應包括：內部控制自我評價、外部審計師審核鑒證、內部控制報告披露等三部分內容，內部控制自我評價和外部審計師審核鑒證應具有相互獨立的工作步驟和業務流程。自我評價報告與鑒證報告共同構成上市公司內部控制披露報告。

關鍵詞：內部控制；評價；架構

中圖分類號：F234文獻標識碼：A文章編號：1003－7217(2009)04－0048－04

一、引言

在上市公司中建立和推行內部控制制度，以增強公眾公司對外披露財務報告信息的真實性和公允性，避免或減少公眾公司財務造假，已得到眾多發達國家和新興經濟體國家的廣泛共識和積極推行。我國自2007年開始，要求境內上市公司建立企業內部控制制度并進行相關信息的公開披露。2008年6月，由財政部、證監會等五部門聯合發布了《企業內部控制基本規范》，以及《企業內部控制評價指引》、《企業內部控制應用指引》的征求意見稿等配套性制度，并開始對上市公司內部控制進行評價和鑒證。《基本規范》的核心內容較多地吸收和借鑒了美國的COSO框架。同時，財政部截止2009年4月已發布的27項《企業內部控制引用指引》(征求意見稿)內容豐富全面，為企業內部控制制度建設提供了具體的參照標準。應該說，我國在上市公司內部控制的制度規范建設方面是較為科學和全面的，也是比較適合我國具體國情的。但是，上市公司參照這些規范建立的本公司內部控制制度設計是否科學合理?運行是否有效?則必須通過公司管理層自我評價和外部審計師審核鑒證后才能得出結論。而對于內部控制的評價和相關信息的披露，正是我國目前內控體系總體建設的薄弱環節，相關技術標準缺失，內控評價和報告體系的構建尚處探索階段。財政部和中國注冊會計師協會雖然分別發布了《企業內部控制評價指引》和《企業內部控制鑒證指引》的征求意見稿，但其內容僅僅是一些程序性或者原則性的規定，由于缺乏具體的操作性標準，造成實際執行過程中企業進行內部控制自我評價時無所適從，也導致注冊會計師在進行內部控制審核鑒證時因缺乏相關標準而難以人手，上市公司內部控制的信息披露更是五花八門，缺乏統一的規范格式和內容。分析現狀和問題，盡快建立我國上市公司內部控制評價與報告的框架體系，對于提高我國上市公司內部控制評價及披露工作的規范性和標準化，深入推進我國內部控制建設，具有非常重要的意義。

二、我國上市公司內部控制評價及披露的實施現狀

滬深證券交易所于2006年先后出臺了《上海證券交易所上市公司內部控制指引》和《深圳證券交易所上市公司內部控制指引》，并規定上市公司分別于2007年1月和7月起開始執行，要求上市公司在公司層面、控股公司和附屬公司層面以及公司各業務環節層面建立健全內部控制制度，并要求上市公司披露年度內部控制自我評估報告，會計師事務所對內部控制自我評價報告出具鑒證意見。實際執行的情況是：2007年滬市共有146家上市公司出具了公司內部控制報告，占滬市披露2007年年度報告上市公司總數的17％；在出具公司內部控制報告的146家公司中有139家公司披露了會計師事務所對公司內控報告的審核意見，占滬市披露2007年年度報告上市公司總數的16％。2007年深市主板上市公司共有449家公司按照要求披露了內部控制報告，占公司總數487家的92.4％；內部控制報告被審計機構出具審核意見的只有42家，占公司總數的8.6％。2007年深市中小板共有225家上市公司，其中221家公司披露了2007年年度報告，在披露年度報告的221家上市公司中，共有84家公司披露了內部控制自我評價報告，占披露年度報告公司總數的38.01％；內部控制報告被審計機構出具鑒證意見的共有54家，占披露年度報告公司總數的24.43％。

在滬深上市公司2007年年度報告中披露內部控制評價報告及審計機構的鑒證報告，是對于在上市公司推行建立內部控制體系的初步嘗試，從實際執行結果分析，主要存在著兩方面的問題：一是在各上市公司披露的內部控制評價報告中，普遍存在僅具有報告形式，而缺乏實質性內容；內部控制報告披露格式不統一，披露內容偏離要求，缺乏對關鍵內容的具體分析；內部控制制度有效性評價過于樂觀，內部控制缺陷的分析和披露較少等問題。二是在審計機構出具的鑒證報告中，存在著審核意見類型單一，審核意見表達形式不規范，對內部控制報告的審核標準尺度不一、判定標準較為混亂等問題。形成上述問題的主要原因是：中國證監會和滬深交易所在開始推動國內上市公司實行內部控制自我評價制度和注冊會計師審核鑒證時，只發布了一些原則性規定，而相關操作性的專業標準制訂工作嚴重滯后，造成企業在進行內部控制自我評價及注冊會計師進行內控審核鑒證時的隨意和混亂，最終導致上市公司內部控制評價及鑒證工作流于形式。

三、我國上市公司內部控制評價與報告體系亟需改進的關鍵問題

內部控制有效性的評價與鑒證工作是推進整個企業內部控制體系建設的關鍵環節，是內部控制制度能否有效實施的關鍵要素。根據目前的實施現狀，我國上市公司內部控制評價及披露工作在以下三個方面亟待改進：

(一)確定清晰的內部控制自我評價及報告的程序

美國對于其上市公司內部控制評價與報告的類型(管理層對財務報告內部控制評價的對內報告和對外報告、外部審計師對管理層發布的內部控制評價報告發表的鑒證意見以及對內部控制有效性發表的意見)和產生程序，在SEC的“最終規則”和PCA－OB的“審計準則第2號”中，有著清晰明確的規定。英國的做法較美國要簡化一些，即外部審計師通常不單獨出具對企業內部控制評價報告的審核鑒證報告，而是將鑒證性意見作為審計報告中一個說明段。但是，英國對于企業內部控制評價及報告的產生程序以及審核程序，在《聯合規則》以及Tumbull指南等相關法律法規中進行了清晰明確的規定。而我國財政部發布的《企業內部控制基本規范》以及《企業內部控制評價指引》征求意見稿中，對于企業內部控制自我評價及報告程序的相關規定，沒有進行集中和完整的描述。

明確內部控制評價及報告的工作步驟和程序，是實現內控評價規范化的首要任務，我國上市公司管理層進行的內部控制自我評價至少應包含以下主要工作程序，并且應該在《企業內部控制評價指引》專門章節中集中并完整地予以規定：(1)上市公司應當指定內部審計機構或其他機構(比如專設的內部控制管理部門)組織實施內部控制評價工作，開展內部控制評價，運用訪談、調查問卷、穿行測試、統計抽樣等多種測試方法廣泛收集公司內部控制設計和有效運行的證據，研究認定內部控制設計缺陷和

運行缺陷。在充分實施評價程序的基礎上，根據收集到的相關證據，形成內部控制評價報告。(2)內審部門將內部控制評價報告提交公司管理層進行審核，并對測試評價過程中發現的內部控制設計缺陷和運行缺陷，組織相關部門進行對應整改。(3)經管理層審核修訂后的內部控制評價報告，上報公司董事會進行審定。(4)經董事會審定后的內部控制評價報告作為對外正式披露的內部控制自我評價報告。

(二)盡快制訂發布內部控制評價工具的相關準則

目前，財政部尚未出臺有關內部控制評價工具方面的準則或專業指引，中國注冊會計師協會于2008年6月28日發布的《企業內部控制鑒證指引》(征求意見稿)規定了內部控制鑒證的范圍、程序、實施鑒證工作的測試內容、缺陷評估標準、鑒證報告格式等一般性要求，但缺少評價內部控制和鑒證內部控制的具體操作性工具。這就容易造成管理層不知道如何對公司內部控制進行測試評價，外部審計師也因無相關標準而難以確定測試結果對應的評價意見類型。COSO的《內部控制一整合框架》包括上下兩卷，上卷為“整合框架”，下卷為“評價工具”。“評價工具”卷包括一套完整的可用于對企業內部控制體系進行評價的工具。評價工具具體包括：一套空白工具(blank tools)，即列明具體測試內容和步驟的空白測試表單，并附有一個幫助匯總這些評價結果以便作出總體評價的工具；一個參考手冊(ref-erenee manual)，旨在幫助評價者完成“風險評估與控制活動工作表”，還提供了一個通用經營模式，作為參考手冊安排結構的依據；已填寫的工具(filledin tools)，即針對一家假想的中型公司，例示如何完成評價工作，可以對類似規模的公司運用這些工具提供指引。評價工具可以用于任何規模的主體，可根據不同的主體和行業對相關的測試內容和步驟進行一些修改，但評價方法和記錄技術都是一致的。這些評價工具既可以作為管理層進行內部控制評價時采用，也可以作為外部審計師用于對內部控制評價報告進行鑒證審核時采用。我國應盡快制定發布《內部控制評價工具指引》，只有建立起一套科學適用的內部控制評價工具，才能真正實現我國企業內部控制評價工作的統一化和標準化。

(三)建立完善內部控制評價信息披露責任機制

內部控制信息披露是上市公司內部控制流程中的最后一個環節，主要包括公司管理層出具的內部控制自我評價報告和外部審計機構出具的內部控制鑒證報告。也就是說，對于企業內部控制的評價實際是由公司管理層和外部審計師共同完成的，工作程序上也是相互銜接的，所以，確定管理層和外部審計師相互之間的責任是非常必要的。我國《企業內部控制評價指引》第三條第二款規定：“企業主要負責人應當對內部控制評價結論的真實性負責。”將企業內部控制自我評價的責任主體規定為“企業主要負責人”，是個模糊不確定的對象。《企業內部控制評價指引》第九條中雖然規定了企業可以委托中介機構協助管理層進行內部控制自我評價，但對于受托中介機構應承擔的責任沒有進行規定。

美英對于企業內部控制評價中涉及到的管理層和外部審計師相互之間的責任劃分是非常明確的。按照SOX法案302節條款以及證券交易法規則的13a－14(a)或15d－14(a)的要求，上市公司管理層，特別是首席執行官和財務總監，必須要對其編制的內部控制評價報告內容的真實性和完整性負責。審計師可以幫助管理層建立內部控制，并且可以協助管理層進行內控有效性的測試評價。但是，管理層不能把其評價財務報告內部控制的責任轉移給審計師，而且參與企業內部控制測試評價的中介機構和審計師不得同時為同一企業提供內部控制審計及鑒證服務。

根據我國目前的具體實際，借鑒美英的成熟經驗，應該明確：我國上市公司管理層，特別是上市公司總經理和財務總監，必須要對其編制的內部控制評價報告內容的真實性和完整性負責。審計師可以幫助管理層建立內部控制，并且可以協助管理層進行內控有效性的測試評價，但是，審計師不能替代公司管理層承擔內部控制評價應承擔的責任，而且參與企業內部控制測試評價的中介機構和審計師不得同時為同一企業提供內部控制審計及鑒證服務。外部審計師要依據相關的專業準則，對上市公司管理層編制的內部控制自我評價報告進行審核鑒證，并發表鑒證意見，外部審計師應對出具的鑒證意見的公允性和完整性負責。

四、構建我國上市公司內部控制評價與報告體系的基本架構

通過分析現階段我國上市公司內部控制評價與報告制度存在的問題，進一步厘清內部控制評價鑒證及相關信息披露的主體內容及其工作步驟，借鑒國際先進經驗，根據財政部等五部委發布的《企業內部控制基本規范》、《企業內部控制評價指引》，以及中注協發布的《企業內部控制鑒證指引》(征求意見稿)的相關規定，可以梳理出我國上市公司內部控制評價與報告體系的基本架構，筆者認為應該包括以下主要內容：

(一)上市公司內部控制自我評價及報告

管理層對于內部控制的自我評價是內部控制評價工作的核心內容，通常應當指定內部審計機構或專設的內部控制管理部門組織實施內部控制評價工作，收集公司內部控制設計和有效運行的證據，研究認定內部控制設計缺陷和運行缺陷。在充分實施評價程序的基礎上，根據收集到的相關證據，形成內部控制評價報告。內審部門完成的評價報告。經管理層和董事會的審核認定后，形成對外正式披露的內部控制自我評價報告。

(二)外部審計師對上市公司內部控制評價報告的審核鑒證

外部審計師接受委托后，對管理層出具的內部控制自我評價報告具有審核鑒證之責。外部審計師需要運用專業標準規定的多種測試方法，分別對企業層面控制和流程層面控制進行抽樣測試，獲取鑒證證據，評價企業控制缺陷，與企業管理層溝通鑒證過程中識別的所有重大缺陷。并依據管理層組織的整改結果，完成鑒證報告，在報告中清楚地表達對企業內部控制有效性的鑒證意見。

(三)內部控制評價及鑒證的信息披露

上市公司出具的內部控制自我評價報告，與外部審計機構出具的內部控制鑒證報告共同構成內部控制信息披露報告，將由上市公司在指定的媒介上予以公開披露。

(四)評價及報告體系的結構圖示

綜合上述對我國內部控制評價與報告體系具體內容的分析和梳理，我國上市公司內部控制評價與報告體系基本架構如圖1所示。

上述架構將公司內部控制評價與報告工作劃分為內部控制自我評價、外部審計師審核鑒證、內部控制報告披露等三部分。其中將內部控制自我評價和外部審計師審核鑒證，設計為兩個平行且相互獨立的業務流程，依據各自獨立的審核測試程序，分別完成自我評價報告和審核鑒證報告。獨立的業務流程可以明確劃分出各自的責任，有利于保證管理層內部控制自我評價和外部審計師審核鑒證的工作過程和結果的客觀公正；管理層內部控制自我評價報告和外部審計師鑒證報告的共同披露，則有助于公眾對于上市公司內部控制有效性進行客觀分析和相互印證。這種體系架構是對內部控制評價與報告體系應包含的主要內容、工作步驟及流程，以及最終工作結果的具體規定，科學的體系架構必將有助于提升我國內部控制評價與報告工作的規范化和標準化水平。

參考文獻：[1]周勤業，吳益兵，上交所：滬市上市公司2007年內部控制報告分析[N]，上海證券報，2008－12－01。

[2]陳天驥，深市主板上市公司內部控制披露情況分析[N]，中國證券報，2008－06－06。

[3]許碧，中小板上市公司2007年報內部控制披露情況分析[N]，中國證券報，2008－06－06。

[4]張宜霞，美英上市公司內部控制與報告體系的比較研究[c]，2006年，中國會計學會財務成本分會2006年年會暨第19次理論研究會論文集(上)，http：//ierm.dufe.cdu.cn/fare/download/index，html。

[5]企業內部控制標準委員會秘書處組織翻譯，內部控制——整合框架(第1版)[M]，大連：東北財經大學出版社，2008。

[6]中國石油天然氣股份有限公司內控項目建設委員會編譯，內部控制審計準則(第1版)[M]，北京：石油工業出版社，2005。