內部控制缺陷認定標準研究

施 赟（博士），蔣華林，徐玉琳

一、引言

內部控制缺陷認定標準的制定是判斷內部控制缺陷存在性，進而評價企業內部控制有效性的關鍵環節。認定標準可以幫助企業追蹤內部控制風險的具體路徑并指明內部控制持續改進的方向，同時也有助于外部信息使用者了解內部控制缺陷信息產生的過程，引導利益相關者做出合理的判斷和決策。

自2002年美國SOX 法案頒布以來，世界各國高度重視內部控制相關制度的建立和完善，我國的內部控制規范建設也取得了較大的進展。但是，國外的相關內部控制規范主要是對內部控制缺陷的概念性定義和等級分類提出要求，對于不同程度內部控制缺陷的具體認定標準并沒有出臺單獨的評價規范。相比之下，2011年，監管規則首次強調在內部控制自我評價工作計劃中制訂內部控制缺陷的定量認定標準。隨后，2012年財政部發文，從試點企業開始，制定適合本企業內部控制重大缺陷、重要缺陷和一般缺陷的定性和定量標準，并從2014年開始在上市公司中全面執行。當內部控制缺陷的劃分標準模糊時，企業對缺陷的認定和披露有較大的選擇權，鑒于內部控制缺陷的披露會向投資者傳遞消極的信息，部分上市公司會選擇“披露好消息”“隱藏壞消息”，少報、不報，或者把原來應歸為重大缺陷的問題降級為重要缺陷或一般缺陷，導致披露出來的內部控制缺陷信息缺乏可靠性。

內部控制缺陷定量認定標準的強制披露，體現了董事會及管理層對財務和非財務風險發生的可能性及其影響程度的識別和控制，為評價企業是否存在內部控制缺陷以及缺陷的嚴重程度提供了明確的可操作的“度量尺”。定量認定標準迫使有內部控制缺陷的企業“自揭其短”，縮小其“自由裁定”的空間，同時為外部使用者的內部控制評價提供了清晰的依據，這對突破現行內部控制規范的執行困境、提高企業內部控制信息披露質量、保障內部控制制度的有效執行發揮了積極的作用。因此，針對內部控制缺陷認定標準相關問題的探討顯得尤為迫切和重要。

本文基于我國上市公司的情景，在梳理內部控制缺陷認定標準相關制度規范的基礎上，總結各階段關于認定標準制定和披露的要點。同時，根據2009～2015年我國上市公司內部控制缺陷和認定標準的披露信息，統計分析內部控制缺陷認定標準的披露現狀及其存在的問題。最后，從文獻的角度梳理與內部控制缺陷認定標準相關的研究成果，并提出相關的政策建議和未來的研究展望。本文的研究豐富了關于內部控制缺陷認定標準披露現狀和評價的相關文獻，同時也希望對完善內部控制缺陷認定標準的制定、改進內部控制缺陷披露機制和提升內部控制缺陷監管水平提供思路與建議。

二、內部控制缺陷認定標準的相關制度規范

與內部控制缺陷認定標準相關的制度規范在2008年出臺的《企業內部控制基本規范》中才被明確提出，上述規范指出：①企業應當制定內部控制缺陷認定標準。②針對發現的內部控制重大缺陷，應當明確缺陷的嚴重性和產生的原因，并進行修正。對缺陷的具體情況要及時向董事會、監事會或者經理層報告，并在內部控制自評報告中披露。但是，2008版的《企業內部控制基本規范》只強調了制定內部控制缺陷認定標準的必要性，并未對內部控制缺陷認定標準的相關內容做出詳細規定。同時，根據2008年有關年度報告工作的通知，上市公司內部控制的工作重點在于對存在的內部控制缺陷進行評價、描述、情況說明并提出相應的整改措施。顯然，企業對內部控制缺陷的認定僅提出了原則性的要求，具體操作仍停留在非量化評定標準的階段。

2010年五部委聯合發布企業內部控制配套指引，作為其中之一的《企業內部控制評價指引》對內部控制缺陷的認定與評價主要規范了以下四項基本內容：①企業內部控制缺陷按照運行和設計以及影響程度的分類和定義，規定具體的認定標準由企業自行確定；②內部控制缺陷認定的權限和程序（初步認定、編制內部控制缺陷認定匯總表、提出認定意見、報告），重大缺陷應當由董事會予以最終認定；③建立評價質量交叉復核制度；④企業對于認定的重大缺陷的應對策略及責任追究。但是，2010版的《企業內部控制評價指引》仍然側重于定性評價，沒有關于財務報告內部控制缺陷量化認定標準的規定。

2011年證監會發布《關于做好上市公司內部控制規范試點有關工作的通知》和《上市公司實施企業內部控制規范體系監管問題解答》，對財務報告內部控制和非財務報告內部控制進行了界定，首次強調在內部控制自我評價工作計劃中要確定內部控制缺陷的定量和定性認定標準。2012年2月23日，財政部發布《企業內部控制規范體系實施中相關問題解釋第1號》，要求試點企業從定性和定量的角度綜合考慮，確定適合本企業三種缺陷的具體認定標準。根據《2012年主板上市公司分類分批實施企業內部控制規范體系的通知》的要求，上市公司對內部控制缺陷標準的具體認定在試點企業中率先實施，并于2014年逐步過渡到全面推行。2014年證監會會同財政部頒布《公開發行證券的公司信息披露編報規則第21 號——年度內部控制評價報告的一般規定》，要求區分財務報告和非財務報告內部控制，分別披露重大缺陷、重要缺陷和一般缺陷的認定標準，以及認定結果和缺陷的性質、影響、整改情況、整改計劃等內容。至此，財務和非財務報告的內部控制缺陷量化認定標準才得以普遍推行。

三、財務報告內部控制缺陷認定標準披露現狀

1.基于認定標準、內部控制缺陷和內外部評價的對比。內部控制缺陷披露規則的變遷過程表明，內部控制缺陷定量認定標準直到2011年才部分地被要求披露和執行。作為內部控制監督和評價的標準，上市公司內部控制自評報告以及審計師的內部控制鑒證報告均應以其制定的內部控制缺陷認定標準為依據。本文將2009～2015年我國A 股上市公司披露的財務報告內部控制缺陷認定標準、內部控制缺陷和內部控制的內外部評價等進行了對比分析，如表1～表3所示，結果表明：

（1）如表1Panel A 所示，2011年以前，在內部控制缺陷認定標準沒有出臺具體披露規范的階段，沒有上市公司主動披露其內部控制缺陷的認定方法。2011～2015年，隨著相關政策法規的推進，上市公司對財務報告內部控制缺陷認定標準的描述和三種缺陷類型的劃分日趨具體和詳盡，認定標準的披露質量逐步提高。尤其自2013年開始，與2012年度相比，內部控制缺陷定量認定標準披露比例有了大幅度增加。截止到2015年12月31日，2808家A股上市公司中，有2664家披露了內部控制自評報告，其中201家公司未披露內部控制缺陷認定標準，占7.5%；53 家僅披露內部控制缺陷定性標準，占2%；2410 家披露了完整清晰的財務報告內部控制缺陷定性及定量認定標準，占90.5%。

（2）如表1Panel B 所示，2009～2015年，上市公司中披露存在內部控制缺陷的公司平均占比為16.2%，披露有財務報告內部控制缺陷的占比為4.4%。在披露財務報告內部控制缺陷的公司中，約40%的公司沒有披露詳細的內部控制缺陷定量標準。出具內部控制整體或財務報告內部控制無效結論的公司中，部分沒有披露詳細的內部控制缺陷定量標準。上述對比分析說明，部分公司在內部控制缺陷的認定和內部控制有效性的判斷中并沒有依據明確的內部控制缺陷定量標準。

（3）內部控制自我評價與審計師內部控制鑒證報告評價存在差異，反映出雙方的評價標準存在不一致。2009～2015年審計師出具內部控制審計（鑒證）報告的數量呈上升趨勢，其中，標準無保留意見的比例維持在97%以上，非標準審計意見占比較低，具體如表2、表3所示。

一方面，內部控制自評整體或部分無效上市公司數（7年共103家）遠低于審計師出具非標準審計意見的上市公司數（7年共273家）；另一方面，審計師出具非標準內部控制審計意見的公司與其內部控制自評結論也存在差異。2009～2015年273 家出具非標準內部控制審計意見的上市公司中只有70 家內部控制自評整體或部分無效。自評報告與非標準內部控制審計意見對缺陷認定存在的差異主要包括：兩份報告對內部控制缺陷的描述不一致、內部控制審計報告發現公司未披露的內部控制問題、公司和審計師認定的缺陷類型不同等。同時，據統計，內部控制自評報告整體或部分無效但未出具非標準內部控制審計意見的公司有34家，主要是因為上市公司未披露內部控制審計報告、上市公司存在非財務報告內部控制重大缺陷以及上市公司存在的財務報告重大缺陷已經整改。

表2 審計師內部控制審計（鑒證）報告意見匯總

表3 內部控制非標準審計意見與其內部控制自評結論的比較

2.財務報告內部控制缺陷定量認定標準的設定情況。為進一步考察上市公司財務報告內部控制缺陷定量標準的設定情況，本文對樣本公司定量標準的使用比例和內部控制缺陷重要性水平標準的設定方式進行了統計分析。定量標準是指根據內部控制缺陷造成財務錯報的“重要性”和“可能性”的大小進行缺陷嚴重程度的量化界定。從上市公司內部控制缺陷重要性水平的設定方式上來看，定量標準大體可以分為以下三類：

（1）基準指標百分比法。這類方法在上市公司中使用得最為普遍，通常的做法是將利潤、經營收入、總資產等財務指標中的一個或幾個作為基準指標，同時設定基準指標的一定百分比來確定重要性水平，然后根據內部控制缺陷導致的財務報告錯報、漏報或損失金額與重要性水平之間的關系來劃分缺陷等級。如中糧地產（000031）2013年的財務報告內部控制缺陷認定標準設定為：會計信息錯報與漏報的金額達到年度合并財務報表稅前利潤的5%時確認為重大缺陷；小于年度合并財務報表稅前利潤的5%，大于等于3.75%時認定為重要缺陷；小于3.75%時認定為一般缺陷。

據統計，上市公司使用基準指標百分比法時采用的財務指標按其性質和內容可大致劃分為八大類，分別是利潤類（如利潤總額、凈利潤、毛利、營業利潤等）、收入類（如經營收入、主營業務收入、收入總額）、資產類（總資產）、所有者權益類（所有者權益）、負債類（總負債）、成本費用類（如費用、成本、主營業務成本）、現金流量類（如經營活動凈現金流量、經營活動現金流入、現金流量總額）和其他類（損失等）。據筆者統計，2011～2015年上市公司八大類財務指標的使用情況中，利潤類、收入類、資產類和權益類指標5年的平均使用比例分別達到62.8%、57.4%、63.2%和25.5%，是上市公司進行財務報告內部控制缺陷評價最常用的指標，負債類、成本費用類、現金流量類和其他類的使用頻率較低（上市公司在選擇財務指標類別時，存在選擇一個或多個指標的情形；占比是指每類財務指標的使用頻數除以披露內部控制缺陷定量標準的公司數）。另外，從各年的變化趨勢來看，上市公司對財務指標的設定也逐步從單一指標轉變為多重指標，指標的覆蓋面有所增加。各類指標百分比的閾值設置顯示：在重大缺陷方面，利潤類、收入類、資產類和權益類指標的閾值眾數分別為5%、1%、1%和1%；在重要缺陷方面，利潤類、收入類、資產類和權益類指標的閾值眾數分別為3%、0.5%、0.5%和0.5%。

（2）絕對金額法。這類方法通常是為重大缺陷、重要缺陷和一般缺陷設置具體的金額臨界值。比如，海南高速（000886）2012年的財務報告內部控制缺陷認定標準設定為：當公司合并報表的錯報大于等于凈資產總額500 萬元，直接財產損失金額大于等于100萬元時，認定為重大缺陷；當公司合并報表的錯報大于等于凈資產總額200萬元且小于500萬元，直接財產損失金額大于等于50 萬元且小于100 萬元時，認定為重要缺陷；凈資產總額小于200萬元，直接財產損失金額小于50萬元的錯報認定為一般缺陷。

（3）同時使用百分比法和絕對金額法。比如，南玻A（000012）2015年的財務報告內部控制缺陷認定標準設定為：按合并報表口徑，錯報影響凈利潤的金額大于等于凈利潤的3%且絕對金額不低于3000 萬元、錯報影響資產負債的金額大于等于資產的1%的，認定為重大缺陷；錯報影響凈利潤的金額大于等于凈利潤的2%且絕對金額不低于2000 萬元、錯報影響資產負債的金額大于等于資產的0.5%但小于1%的，認定為重要缺陷；其他的認定為一般缺陷。

3.財務報告內部控制缺陷認定和缺陷披露中存在的問題。從上市公司內部控制缺陷認定標準的制定和內部控制缺陷的披露現狀來看，近年來在監管規范的不斷完善和監管機構的不斷推動下，上市公司對內部控制的認識更趨理性和客觀，內部控制信息披露的數量和質量呈現逐年穩步提升的趨勢。但不可否認，上市公司在財務報告內部控制缺陷認定和缺陷披露中依然存在一些不可忽視的問題。

（1）財務報告內部控制缺陷定量認定標準的設定缺乏嚴謹性和可比性。如內部控制缺陷重要性水平在公司間的差異較大，且選擇的對照期并不統一，運用百分比指標和絕對數指標相結合的公司經換算后兩類指標的數值無法對應。從定性認定標準的設定來看，則存在三種缺陷的分級標準照搬定義、缺陷事件描述含糊、缺陷的認定依據不統一等問題。

（2）內部控制缺陷信息披露不完整，總體內部控制重大缺陷披露數量不足。例如，與國外上市公司披露內部控制重大缺陷的統計結果相比，2008年美國公司披露內部控制重大缺陷的比例為16.9%，日本公司為2.1%，而我國上市公司內部控制重大缺陷的披露比例在2009～2015年平均不到1%。部分上市公司披露的內部控制缺陷信息模糊、可讀性差；或是只籠統地指出存在內部控制缺陷，但對缺陷等級避而不談，對明顯應當被確認的重大缺陷降級處理；部分公司在披露內部控制缺陷時，僅僅側重于披露缺陷事件本身，對導致缺陷的原因、缺陷嚴重程度的分級以及未來的整改計劃等關鍵問題則沒有詳細提及。

四、內部控制缺陷認定標準的國內研究現狀

近年來，在國內相關制度規范的推動下，中國情景下有關內部控制缺陷認定標準的相關研究成為熱點。部分學者統計分析了我國內部控制缺陷認定標準的披露情況，發現我國上市公司內部控制缺陷認定標準的披露比例和披露質量較低[1]，公司自行披露的內部控制缺陷定量標準差異較大[2]，內部控制缺陷認定標準的制定具有一定的行業特征，且認定標準變更后趨向于使用更低的比率閾值[3]。

在實證研究方面，較多文獻聚焦于分析內部控制缺陷認定標準異質性的影響因素。從董事會的職能履行來看，良好的董事會治理可有效提高內部控制缺陷定量認定標準。即董事會監督職能越強，企業制定的財務報告內部控制缺陷定量認定標準越嚴格；董事會的咨詢職能在后續采用定量標準的樣本中作用明顯[4]。此外，認定標準制定和變更也會受到管理層私利動機的負面影響。在管理層機會主義的動機下，管理層的盈余管理程度會負向影響內部控制缺陷認定標準的透明度[5]。管理層權力越大，內部控制缺陷認定標準的披露質量越低[6]。在管理層卸責動機下，新任管理層在首個完整任職年份將內部控制缺陷定量標準調整得更加寬松，進而實現降低內部控制缺陷嚴重程度的目的[7]。

從外部約束機制來看，尹律等[8]對內部控制缺陷認定標準的披露質量進行了分析，發現產品市場競爭對提升內部控制缺陷認定標準的披露質量有積極作用；且環境敏感性越高，上述正相關關系越強。楊婧、鄭石橋[9]從行業性質的角度展開研究，發現不同行業門類間的上市公司內部控制缺陷認定標準具有異質性，競爭程度越高的行業，內部控制缺陷認定標準越嚴格。

從經濟后果來看，謝凡等[10]發現內部控制缺陷定量認定標準制定越嚴格，越能降低股東和管理層之間的代理成本。同時，高質量的外部審計和更高的市場化進程與嚴格的認定標準之間存在互補作用。張俊民等[11]以信號傳遞理論為依托，考察了認定標準與審計定價的關系，發現認定標準的寬嚴程度與內部控制審計定價顯著正相關，但與反映內部控制審計投入的審計延遲的關系則不明顯。他們進一步對定量標準的指標設置類型進行細分，發現與資產類、利潤類和收入類認定標準相比，審計師對嚴格的權益類認定標準會更為敏感。

從上述研究結論可知，內部控制認定標準的披露質量和指標設置重要性水平的高低受內部公司治理機制和外部約束機制的共同影響。而認定標準由誰制定、參照標準如何、由誰執行，以及對認定標準的實施效果等的研究，仍然值得學者繼續深入探討。

五、政策建議與研究展望

1.政策建議。如前所述，本文提出如下建議：

（1）增強同行業、同規模企業財務報告內部控制缺陷認定標準的可比性。目前，我國上市公司在內部控制缺陷嚴重程度判斷中具有自由裁量權。企業自行確定認定標準可能具有隨意性，使得公司間的認定標準不可比，導致類似缺陷在某些公司中被認定為重大缺陷，而在另一些公司中被認定為重要缺陷，甚至是一般缺陷。本文認為，為了使目前執行的定量標準更具說服力和科學性，相關規定可以進一步要求企業內部控制評價人員對量化的依據和缺陷評價的結論予以詳細說明。此外，提高內部控制缺陷定量認定標準在公司間的可比性，如在同行業、同規模的企業中設置類似的重要性水平，統一定量標準的指標選擇和基期設定，減少企業操縱定量標準的空間，這是內部控制監管需進一步考慮的問題。

（2）建立隱瞞內部控制缺陷的處罰機制。新制度經濟學指出，推動制度有效執行的背后需要相應的懲罰機制支撐。目前我國尚未建立隱瞞內部控制缺陷的懲罰機制，而且我國經理人市場還相當不成熟，經理人的聲譽機制尚未建立，這都導致了我國上市公司的管理層有動機隱藏缺陷[1]。因此，建立相應的隱藏內部控制缺陷的懲罰機制，要求管理層嚴格按照董事會制定的內部控制缺陷認定標準對可能存在的內部控制缺陷進行識別、認定并及時披露，十分必要。一旦上市公司未按規定評價內部控制、隱藏內部控制缺陷信息時，就應當追究董事會和高管等相關負責人的責任，制定嚴厲的懲罰措施。

（3）促進企業和審計師采用統一的內部控制缺陷認定標準。目前，《企業內部控制審計指引》第22條規定了審計師判定企業內部控制可能存在重大缺陷的四種跡象。實務中，我國《注冊會計師審計準則第1221號——計劃和執行審計工作時的重要性》對重要性也提出了量化的參考標準：如對以營利為目的的企業，重要性量化參考標準為經營性業務的稅前利潤或稅后凈利潤的5%，或總收入的0.5%；對非營利組織，為費用總額或總收入的0.5%。當企業和審計師采用的內部控制缺陷認定標準不同時，很可能導致評價結果和信息披露不一致，投資者在解讀信息時容易產生誤解。因此，相關規范應當促使企業和審計師采用同樣的認定標準，提高內部控制自評報告和內部控制審計（鑒證）報告信息的可比性。

2.研究展望。未來，針對內部控制缺陷認定標準的研究仍有廣泛的空間，本文認為：

（1）財務報告內部控制缺陷定量認定標準的研究值得深入擴展。現有的研究主要集中在內部控制缺陷認定標準異質性的影響因素分析上。認定標準異質性可能產生的經濟后果（如更嚴格的定量認定標準，或是更高的認定標準披露質量）是否有助于提高會計信息質量、降低管理層在職消費等？對經濟后果的拓展有助于進一步形成對定量認定標準更為完整的綜合評價。此外，針對財務報告內部控制重要缺陷和一般缺陷定量認定標準的研究也值得關注。

（2）應當重視非財務報告內部控制缺陷的認定問題。與美國關注財務報告內部控制制度不同，我國的內部控制制度對財務和非財務報告的內部控制進行了劃分。根據本文對上市公司披露的內部控制自評報告的查閱情況來看，僅有部分公司同時披露了非財務報告內部控制缺陷的定量和定性認定標準，大部分公司仍以定性描述為主?，F有研究指出，非財務報告內部控制缺陷的認定是一項重大的挑戰，但是投資者未來對非財務信息的關注會日益增加。因此，未來可以系統地研究制定非財務報告內部控制缺陷認定標準的影響因素和經濟后果。

（3）關注政府內部控制標準體系的構建和實施問題。2012年以來，一系列針對建立健全行政事業單位內部控制的相關制度規范陸續出臺，建立一套符合我國國情的政府內部控制標準體系及其實施機制，對于在國家治理機制中形成與激勵體系相呼應的制衡約束機制、規范政府內部的權力運行并提高治理水平，具有重要的意義。