對上市公司內部控制評價報告的探討

陳慧莉

（福建農業職業技術學院，福建福州350007）

對上市公司內部控制評價報告的探討

陳慧莉

（福建農業職業技術學院，福建福州350007）

內部控制評價是企業對內部控制進行檢驗的一項有效的監督機制，是內部控制高效執行的重要保證。本文對上市公司近三年的內部控制報告存在的疑惑進行探討和思考，以解決困惑。同時，以期能更好地促進內部控制評價效果的提高。

內部控制；評價

內部控制評價是企業對內部控制進行檢驗的一項有效的監督機制，是內部控制高效執行的重要保證。通過對內部控制的評價，可以重點分析企業在執行內部控制中可能存在的缺陷或漏洞，并進行全面的監控，使得內部控制體系更加貼合企業的發展。內部控制評價還是企業對社會負責任的表現，能準確、及時地披露內部控制的情況，展現出良好的企業形象。本文重點對內部控制評價的相關問題進行探討，在解決疑惑的同時，望能更好地促進內部控制評價的效果。

一、上市公司內部控制報告的基本情況

我國內部控制報告的基本情況：2008年5月財政部、證監會、審計署、銀監會和保監會聯合頒布了《企業內部控制基本規范》（財會〔2008〕7號）。2010年4月五部委又聯合發布了18項《企業內部控制應用指引》、《企業內部控制評價指引》和《企業內部控制審計指引》，自2011年1月1日起首先在境內外上市的公司同時施行。2012年，以上內控相關指引實施范圍擴大到國有控股主板上市公司。2013年7月19日財政部召開行政事業單位內部控制規范實施動員視頻會。2013年8月1日由財政部、國資委、證監會、中注協聯合主辦的“企業內部控制知識競賽”正式啟動。2013年8月30日財政部公布我國上市公司2012年實施企業內部控制規范體系情況分析報告。從上述情況可以看出，我國對內部控制的要求是越來越重視，并采用循序漸進的方式逐步推展開來，應該說，隨著我國經濟的不斷發展，在國際市場中的地位不斷提高，內部控制的完善和執行也邁進了新的階段，為我國上市公司的正常發展起到了良好的促進作用。

國外內部控制的基本情況：美國在內部控制管理和實施方面占有重要的地位和作用。其內部控制框架的基本情況是：1987年，COSO委員會機構成立，專門研究內部控制、風險管理和反舞弊問題。1992年，COSO發布了《內部控制—整合框架》，被各國內部控制標準制定機構借鑒或采用。2002年出臺薩班斯（SOX）法案，要求公眾公司的管理層評估和報告公司最近年度的財務報告內部控制的有效性。2004年，美國公眾公司會計監督委員會（PCAOB）發布了第2號審計準則，要求注冊會計師對公眾公司財務報告內部控制的有效性進行審計。為適應新形勢的發展，2010年9月，COSO啟動了《企業內部控制整體框架》審核與更新。2011年12月，COSO發布了新框架的征求意見稿。2013年5月，COSO正式發布新的內部控制框架。美國在內部控制管理方面具有較強的優勢，梳理和掌握其在內部控制方面的歷程和經驗與不足，不僅有助于少走彎路，同時也有利于結合自身的特點，設計和完善適合各自發展的內部控制框架，保障企業的健康良性發展。

二、上市公司內部控制報告的基本要求

1、內部控制報告的內容

企業應根據內部控制評價結果和整改情況，編制內部控制評價報告。內部控制評價報告至少應當包括下列內容：第一，組織實施內部控制評價的總體情況；第二，內部控制責任主體的聲明；第三，內部控制評價的范圍和內容；第四，內部控制評價的標準和依據；第五，內部控制評價的程序和方法；第六，內部控制重大缺陷及其認定情況；第七，內部控制重大缺陷的整改措施及責任追究情況；第八，內部控制有效性的結論即存在一個或多個內部控制重大缺陷的，應當作出內部控制無效的結論。

2、深圳證券交易所內部控制報告的內容

《深圳證券交易所上市公司內部控制指引》自我評價報告至少應包括以下內容：第一，對照該指引及有關規定，說明公司內部控制制度是否建立健全和有效運行，是否存在缺陷；第二，說明本指引重點關注的控制活動的自查和評估情況；第三，說明內部控制缺陷和異常事項的改進措施（如適用）；第四，說明上一年度的內部控制缺陷及異常事項改善的進展情況（如適用）。

3、上海證券交易所內部控制報告的內容

《上海證券交易所上市公司內部控制指引》公司內部控制自我評估報告至少應包括如下內容：第一，內控制度是否建立健全；第二，內控制度是否有效實施；第三，內部控制檢查監督工作的情況；第四，內控制度及其實施過程中出現的重大風險及其處理情況；第五，對本年度內部控制檢查監督工作計劃完成情況的評價；第六，完善內控制度的有關措施；第七，下一年度內部控制的有關工作計劃。

三、上市公司內部控制報告執行情況分析①

根據2014、2015、2016年內部控制報告白皮書的數據，選取了內部控制評價報告披露數量、內部控制評價結論情況、內部控制評價缺陷的上市公司數量以及內部控制缺陷數量進行三年的比較分析，具體見表1。

表1從以下四個方面能大致說明上市公司內部控制評價報告的基本情況。第一項從上市公司內部控制披露的數量來看，其數量呈逐年增加態勢，三年中2015年的情況更好一些；上市公司已經把對內部控制評價報告的披露納入正常的工作，并按規定的時間進行披露。在一定程度上既說明上市公司逐步認識到了內部控制的重要性，通過內部控制的建立和執行將有助于企業的發展和風險防范，其風險導向意識在增強；同時也說明了我國內部控制的發展進入了新的階段，為今后進一步地規范和自覺披露奠定了基礎。第二項是內部控制評價結論情況，結論為整體有效的在98%以上；內部控制的建立和有效執行才能真正發揮內部控制的作用，總體來看，上市公司內部控制的效果是良好的。第三項反映的是上市公司內部控制披露缺陷的數量，未披露有缺陷的遠遠大于披露有缺陷的，說明了企業在建立各環節內部控制的程序上充分依據了內部控制規范的基本要求，出現的漏洞比較少，內部控制的健全和完善，對企業的作用也是不言而喻的，有效的預防更甚于事后的彌補。第四項是對第三項的進一步比較分析，上市公司產生的缺陷大致分為四類：重大缺陷、重要缺陷、一般缺陷和未區分。從三年的數據中可以看出，產生重大缺陷和重要缺陷的內部控制較少，一般缺陷較多，比重也是最大的。重點要分析一般缺陷是什么問題，是建立了不正確的執行程序，還是不能執行或執行的有困難。對于何種缺陷都不應忽視，探索出解決的辦法，對執行內控程序的人員來說，能夠不受妨礙地執行，總體的內控流程才是順暢的，內控措施才會有效。

四、內部控制評價報告存在問題的思考

本文通過對三年的內部控制評價報告的了解，也隨機選取了30家滬市上市公司的內部控制評價報告進行了學習，存在兩個比較模糊的問題。

1、內部控制評價報告的規范問題

在前述第二個問題中已經可以看到對上市公司內部控制評價報告的基本要求，在選取的30家內部控制評價報告中的基本內容與要求是相符的。這里所指的規范是在內部控制評價報告的具體內容中的規范存在疑惑，隨機抽取兩家上市公司在2016年的內部控制報告進行比較（2016年的內部控制報告白皮書對應年度為2015年），一家用A公司代替，另一家用B公司代替。

（1）在第三部分的內部控制評價工作情況的第一個內容內部控制評價范圍中。第一點納入評價范圍的主要單位方面，A公司對納入評價范圍的主要單位作了較詳盡和具體的披露，包括公司和分公司的具體名稱全部列出，基本能了解公司全貌情況；而B公司對納入評價范圍的主要單位則是以簡單的本部、分公司帶過，并不具體。第二點納入評價范圍的占比方面，A公司按兩項指標占比均達到97%以上；B公司按兩項指標占比一個67%，一個53%。顯然B公司占比會低一些，那么公司披露的內控情況是否全面呢？第三點納入評價范圍的主要業務和事項這點上兩家公司基本一致。第四點重點關注的高風險領域方面，A公司有具體關注的領域，B公司只是提及了關注的風險。可以看出，各上市公司對這部分內容的披露比較細致，但有的似乎只是為了披露而披露。雖不能說是什么錯誤，但有的內容過于簡化。所以，針對具體內容來說并沒有一個準確的標準，只要有該披露的內容就可以了，并未太多考慮披露的質量問題。

（2）在第三部分的內部控制評價工作情況的第二個內容，內部控制評價工作依據及內部控制缺陷認定標準中。第二點財務報告內部控制在缺陷認定標準上，A公司對于重大缺陷、重要缺陷、一般缺陷的定量標準按不同的指標分別給出，一目了然，而且還有定性標準；定性和定量相結合將更加客觀地說明問題。B公司對重大缺陷、重要缺陷、一般缺陷也有定性標準，但定量標準只有一個指標過于單一；可能這個指標比較貼合該公司的具體情況，但單純一個指標用來作為定量指標，過于寬泛一些。第三點非財務報告內部控制缺陷認定標準上，A公司的定量指標只有一個，根據“直接財產損失金額”認定；B公司則有三個指標分別是：利潤總額、負面影響程度和供應商流失，相比之下更具體，對損失估計可能更準確，比單一指標更全面。（3）在第三部分的內部控制評價工作情況的第三個內容內部控制缺陷認定及整改情況中。AB兩家公司的表述格式和內容相差不多，但對于整改情況的披露信息較少；看不到具體的整改情況，只能看到是否有缺陷，是否進行整改；看不到整改的效果。而B公司對一般缺陷的表達則非常清晰和詳細，列出具體的內部控制缺陷的項目并對其進行了整改。

表1 內部控制報告評價比較分析

2、內部控制評價報告的效果

中國證券監督管理委員會公告〔2014〕第1號：年度內部控制評價報告的一般規定，對內部控制評價報告的披露作出了具體規定。如第三條：本規則是對年度內部控制評價報告披露的最低要求，不論本規則是否要求（有未披露的），凡對投資者投資決策有重大影響的內控信息，公司均應充分披露。規定要求上市公司應如實披露內控信息，只要是對投資決策有重大影響的都應披露。從內部控制評價報告中看到的大多是內控有效性的結論。作為投資決策會涉及到很多方面，而投資者、債權人、信息使用者都只能通過這樣的披露來了解相關信息，因此作為參考依據的內部控制評價報告的作用就顯得尤為重要。及時準確披露相關內控信息，既是上市公司的責任，同時也是接受社會監督的方式，其共同目標是一致的，為了促進上市公司發展壯大。

公告中第十六條：內部控制缺陷認定及整改情況應當區分財務報告內部控制和非財務報告內部控制。分別披露報告期內部控制重大缺陷和重要缺陷的認定結果及缺陷的性質、影響、整改情況、整改計劃等內容。但上市公司對于內部控制重大缺陷和重要缺陷的性質、影響及整改情況關注的較少。一個是本來重大缺陷和重要缺陷出現的就不多，另一個也可能是涉及到一些保密信息不便說明。通過了解，有的公司對于重大缺陷和重要缺陷的認定、性質和影響做的比較到位，有認定的標準，分析了性質和影響，也還有整改情況。從三年的數據來看，重大缺陷和重要缺陷在缺陷的占比雖然比較低，但應充分認識到這類問題對于一家公司來講，一旦發生大的缺陷對公司的生產經營所產生的影響是不能忽視的問題，嚴重的可能還會影響持續經營能力。所以，要認真對待每一個缺陷，不論是重大缺陷和重要缺陷，還是一般缺陷，都應分析缺陷的原因，做好整改，為企業的內部控制掃清障礙。

五、對內部控制報告評價的建議

1、提高內部控制報告的信息含量

從內部控制報告的基本要求中，我們可以了解上市公司內部控制報告的具體內容。不管是上海證券交易所還是深圳證券交易所都給出了具體的要求，但這個基本要求是一個標準或準則，要求內部控制報告應該要披露的內容，其余的并未做過多的說明。從看到的內部控制評價報告來說，各上市公司從披露的規范來講基本是做到了，但從另一個側面作為投資者或信息使用者來講，除了標準的模式之外，想獲取上市公司的詳細內部控制情況就比較難了。在內部控制報告白皮書存在的問題中也提及審計費用披露較少，而審計費用是衡量上市公司內部控制實施成本效益的一項重要參考指標。如果信息量少，會不利于監管機構、投資者、研究者客觀、全面地衡量上市公司內部控制實施的成本效益。所以，在不影響上市公司商業信息的情況下，披露應該披露的及可以披露的信息，主動接受監管機構、投資者和研究者的監督，將獲得信息使用者的信任和支持，對于上市公司來說不啻為一種良好的宣傳。

2、強化監管部門的監督管理

對于內部控制評價報告披露的情況進行有效的監管，能促進上市公司對自身的內部控制問題進行自糾。在內部控制評價報告中可以看到對內部控制存在缺陷問題的披露，但對于存在的重大缺陷、重要缺陷和一般缺陷是否及時整改了，尤其是整改之后的效果如何，看到的情況就比較少了。而披露內部控制評價的初衷也是希望通過企業建立健全內部控制的措施，幫助企業預防和改善內部控制流程，使企業的各項活動流暢有序地進行。那對于發現的缺陷進行分類，應該是需要分析缺陷的重要程度，但不論哪一類缺陷都不應忽視，在企業自身糾錯后是否達到預期的效果了呢？對于監管，內部審計部門具有其局限性，可以起到督促和幫助的作用，但獨立性會差一些。如果對于這部分內容的執行情況有單獨或獨立的一個職能部門進行后續的跟蹤，對于上市公司內部控制的進一步完善是十分有益的。各自分離的職能，沒有驅動利益。披露的目的不僅要對投資者負責，同時也是希望上市公司在披露和糾正內部控制的過程中，企業能夠螺旋式不斷上升發展，真正發揮內部控制的有效性，實現雙贏。

注釋

①基于上市公司內部控制報告2014、2015和2016年的數據，分別對應的是2013、2014和2015年度.

[1] DIB迪博內部控制與風險管理數據庫：2014年中國上市公司內部控制白皮書[DB/OL].http：//www.kuaiji.com/news/16311 69，2014-06-06.

[2] DIB迪博內部控制與風險管理數據庫：中國上市公司2015年內部控制白皮書發布[DB/OL].http：//www.canet.com.cn/news/ cjyw/201506/09-448918.html，2015-06-09.

[3] DIB迪博內部控制與風險管理數據庫：中國上市公司2016年內部控制白皮書發布[DB/OL].http：//finance.sina.com.cn/roll/

2016-07-14/doc-ifxuapvw1911458.shtml，2016-07-14.

[4] 財政部中國證券監督管理委員會公告〔2014〕第1號[DB/OL]. http：//news.eastday.com/eastday/13news/auto/news/china/u7ai49 9351_K4.html，2014-01-07.

（責任編輯：胡春雨）