上市公司內部控制評價的現狀與規范分析

□

（德州學院財務處 山東德州253023）

一、引言

2008年財政部聯合五部委發布了《企業內部控制基本規范》，2010年又相繼發布了配套指引，我國企業內部控制規范體系基本建立。然而，上市公司的內部控制評價并不盡如人意。一方面，在2010年披露內部控制自評報告的所有上市公司中，無一家公司自認存在內控重大缺陷或重要缺陷，對內部控制的評價大多是“本公司董事會認為該公司內部控制不存在重大缺陷”等結論性語句；但另一方面，上市公司因違規而被處理、處罰的比例并沒有顯著變化（深圳迪博企業風險管理技術有限公司，2011），至少有上百家公司出現了2010年年度報告補丁，發布其2010年年報修正公告。由此提出以下問題：（1）內部控制的實施，是否如人們期許的那樣規范？（2）內部控制評價報告能否真實、客觀地反映企業內部控制的情況？這些問題亟待分析。

二、2010年深市A股上市公司內部控制評價報告分析

之所以選擇2010年深圳證券交易所主板上市公司為樣本是基于以下考慮：其一，《企業內部控制基本規范》的實施日期為2009年7月1日。因此，2010年是上市公司遵循該基本規范披露內部控制相關信息的第一個完整的會計年度。其二，滬深兩交易所對在本所上市的上市公司內部控制信息披露的具體要求不同。深交所2010年對內控自評報告采取的是強制性披露態度。據統計，滬市2010年實際披露《內部控制自我評價報告》的公司僅占滬市所有上市公司934家的19.4%（韓傳模，2011）。因此，深市上市公司披露的內部控制評價報告更能體現內部控制相關法規的實施效果。

（一）深市上市公司內部控制自我評價情況

本文依據巨潮咨訊網（www.cninfo.com.cn）獲取有關內部控制評價的信息。筆者對深市主板A股上市公司逐一進行查閱，結果顯示，深交所對上市公司內部控制信息披露的要求正在日益加強，并初現成效。在472家公司中，披露內部控制自評報告的公司有470家，占總數的99.58%，說明內部控制強制性披露規則的執行效果在逐年提升，基本已得到全面的執行。在披露內部控制自評報告的公司中，自評報告經審計機構審計并披露鑒證報告的公司為101家，占披露自評報告的470家公司的21.49%，說明上市公司對聘請審計機構對內部控制進行鑒證的意愿并不強烈。在470家披露內部控制自評報告的上市公司中，對公司內部控制總體情況的評價用詞出現頻率最高的是 “完整”、“有效”、“健全”；沒有一家公司承認本公司內部控制存在重大缺陷或重要缺陷；在董事會等類似權力機構對于內部控制的總體評價中，無一例外的得出“本公司不存在重大的內部控制缺陷”的結論。

（二）自我評價與會計差錯更正

合理保證財務報告的可靠性是內部控制所要實現的三大目標之一。會計差錯更正公告的發布表示內部控制未能及時發現財務報告中存在的重大錯報和遺漏，而這些錯報和遺漏可能會影響到報表使用者依據財務報表所做出的經濟決策。基于此，我們對年報報出后以年度報告補丁的方式進行會計差錯更正的公司進行分析以明確內部控制自我評估與財務報表質量的關系。結果顯示，在472家深市上市公司中，有78家上市公司進行了不同程度的會計差錯更正。而這78家上市公司均出具了內部控制評價報告并得出了“內部控制不存在重大問題或缺陷”甚至是“內部控制是有效的”結論。其中，78家上市公司中有17家聘請了會計師事務所對內部控制進行鑒證，并均得出了無保留的鑒證意見。

三、原因分析

內部控制評價報告是反映上市公司內部控制建立情況和實施效果的信息載體，通過逐一審查深市主板上市公司2010年內部控制評價報告，發現現階段的內部控制評價并不能真實反映企業的內部控制情況，仍然存在一系列問題。究其深層次的原因，大致可分為以下幾個方面：

（一）評價主體職能發揮受到限制

依據財政部等五部委2010年發布的《企業內部控制評價指引》，內部控制評價是企業董事會或類似權力機構對內部控制有效性進行全面評價和報告的過程。因此，董事會對企業內部控制的制定和執行承擔最高責任，深交所《指引》中也要求公司以董事會的名義對外披露內部控制自評報告。然而，管理層權力的存在一定程度上弱化了董事會的監督能力，干預和限制了董事會的決策（Bebchuk and Fried，2002，2004）。 況且，企業的管理層負責內部控制的具體制定和實施。因此，在這種情況下，內部控制評價報告有可能成為滲透管理層意識的產物（崔志娟，2011），從而導致企業高管層為了自己的私人利益而操縱內部控制信息的披露。尤其是對于國有企業而言，其“所有者缺位”的產權特質使得管理層所擁有的實質性權力可能會逐步超越董事會，從而使管理層的權力進一步得到夯實（權小峰，2010）。

（二）評價對象的特殊性

根據COSO的定義，內部控制是為合理保證企業經營目標、財務報告目標和合規性目標的實現而由一個企業的董事會、管理層和其他人員實現的過程。在該過程中，企業管理層負責建立識別、計量、監測并控制風險的程序和措施，并保證內部控制各項政策和措施的有效執行，使得各部門的各項職責得到有效履行。董事會負責審批整體經營戰略和重大內部控制措施，并對內部控制進行定期檢查、評價執行情況，并負責保證高級管理層對內部控制體系的充分性與有效性進行監測和評估。因此，內部控制是一個系統連續、動態循環的過程，其具有不能直接觀察或驗證的特征（Kinney，2000）。內部控制的這種特性，也恰恰成為內部控制評價工作的難點所在。內部控制的評價包括對于事前內部控制政策和措施健全性的評價，即檢查和評價企業內部控制制度運轉的環境是否理想，是否建立了關鍵的控制點和控制措施以發現和防止錯誤和舞弊的發生；同時，內部控制評價還包括對事中控制和事后的有效性的評價以發現企業建立的內部控制政策和程序是否在正確的執行，執行的效果如何，能否降低企業風險和實現企業價值的增值；進一步地，在對內部控制進行評價的過程中，還需要對發現的內部控制不完善之處進行改進，并保證其能適應企業所處的環境和生產經營狀況的不斷變化，這些都無疑給內部控制評價工作增加了難度。

（三）內部控制相關法規待完善

內部控制缺陷的認定是內部控制評價和鑒定中最基礎的問題，然而，目前我國內部控制規范在內部控制缺陷的認定方面，仍然存在概念模糊和實務操作性差等問題（王惠芳2011）。《企業內部控制評價指引》將內部控制缺陷按其影響程度分為一般缺陷、重要缺陷和重大缺陷，但對什么是內控缺陷、內控缺陷的種類、如何具體區分三類缺陷以及如何在內部控制評價報告中披露內控缺陷，均無具體詳細的規定。2010年，時任財政部會計司司長劉玉廷博士曾指出：“內部控制缺陷的認定，特別是非財務報告內部控制缺陷的認定，是企業內部控制評價工作中面臨的重大挑戰之一”。相關法規只是對于內部控制缺陷進行了原則性的規定，缺乏具體的指導性，這為上市公司在內部控制信息披露中的機會主義行為打開了大門，從而導致絕大多數上市公司以模糊或操縱的方式披露其內部控制信息，導致披露的內部控制評價報告不能真實反映企業內部控制的情況。另外，我國目前尚未建立內部控制缺陷未披露的懲罰機制，這無疑進一步增強了上市公司內部控制信息披露機會主義的強度。依據新制度經濟學的觀點，制度的有效執行需要相應的懲罰機制予以輔佐。在我國目前的外部治理環境和內部治理下，如果缺乏強大且及時的懲罰機制，極有可能出現企業的管理層凌駕于內部控制之上的情況。而這一方面會降低上市公司內部控制的效率，另一方面也會影響信息使用者的決策，損害其經濟利益。

四、規范內部控制評價的建議

為了提高內部控制信息披露的質量，合理保證內部控制財務目標的實現，本文提出如下建議：

（一）強化內部人的權力制衡

首先，應該通過完善獨立董事的選聘機制來增強董事會的獨立性，并通過必要的激勵、懲罰措施來強化獨立董事的責任，以防范內部人控制。其次，要完善上市公司的內部治理機制，明確股東大會、董事會、監事會和管理層各自的職能，合理配置權限、公平分配利益，通過完善和明確內部職能和分工以實現對內部人權利的制衡。同時，要建立與上市公司相適應的職業經理人激勵機制，完善職業經理人聲譽市場，并強化法律約束力度，實現全方位的權力制衡。

（二）改進內部控制評價方法

作為一個動態的過程，內部控制不能直接觀察或驗證的特征使得改進目前單一定性的內部控制評價方式，嘗試加入定量方法成為必要。層次分析法作為多指標、多方案優化決策的系統方法，能夠將定性指標定量化，并且減少了內部控制評價過程中的主觀性，是目前較為成熟的一種定量評價方法。為了使企業對其內部控制實施更加全面和科學的評價，韓傳模、林野萌（2011）利用平衡計分卡（BSC）思想和層次分析法（AHP）對我國 2008-2009年上市公司內部控制進行了評價。另外，模糊綜合分析方法、數據包絡分析法、矩陣分析法、灰色系統綜合評價法也可應用于企業內部控制的綜合評價。但是較層次分析法而言，這些方法可操作性不強。

（三）完善內部控制評價指引的具體實施細則

首先，應該確定內部控制缺陷的具體量化標準。內部控制缺陷的認定與操作具有較大的難度，因此需要借助一套內部控制缺陷認定的具體量化標準，使內部控制的評價更具有可操作性。在實際操作中，可以借鑒注冊會計師在財務報表審計工作中對于重要性水平的確定，根據錯誤或舞弊事項的性質和金額嚴重程度來衡量。

其次，要加強對內部控制評價工作的監督。為使內部控制評價有效執行，應該建立內部控制缺陷未披露的懲罰機制。陳志斌（2004）認為，問責機制能夠有效地克服管理層機會主義行為，從而影響內部控制相關法規的實施效果，是內部控制有效實施的基石。