我國上市商業銀行內控信息披露質量研究

周明鈺

摘要：商業銀行作為國家金融市場的核心主體，其健康運行有助于規范經濟秩序，促進經濟發展。因此，商業銀行應重視內控制度的建設，提高內控信息披露的質量。本文通過對國內商業銀行內控信息披露質量的分析與評價，揭露其現存問題并給予合理的建議，為內控缺陷的信息披露質量評價提供參考依據，提高商業銀行內控披露的信息含量、規范內控信息質量評價標準。

關鍵詞：上市商業銀行;內部控制;信息披露

一、引 論

近些年來，我國接連發生了如銀廣夏、中航油、樂視等重大內部控制失效案件。這些案件的發生都有一個共同的原因：內部控制制度建設存在缺陷。在這樣的大環境下，內部控制信息的有效披露成為了防范舞弊事件的重要手段。眾所周知，上市商業銀行的經營狀況與國家金融秩序有著密切的聯系，因此，我國監管部門對于商業銀行的內控信息披露的要求更加嚴格，但即便如此，國內商業銀行還是頻頻爆出違規舞弊事件，例如2017年民生銀行發布假的理財產品，導致數億資金無法兌現;中國農業銀行、郵政儲蓄銀行也曾因為票據違規行為被銀監會處罰上千萬元。從這些案件我們可以看出，我國上市商業銀行對于操作風險、信用風險的管控等方面存在缺口，因此，銀行業的內控信息披露質量的提升至關重要。

基于上述背景，本文將通過對國內商業銀行內控信息披露質量的研究與分析，找出其中潛在的質量問題。為商業銀行的內控信息披露建設貢獻綿薄之力。

二、國內外內部控制發展歷程

（一）國外發展歷程

隨著經濟社會的發展和金融體系的完善，內部控制理論也會不斷發展，總體而言，國外企業內部控制理論分為4個發展階段。

內部控制的萌芽階段：1929年，美國注冊會計師協會和美聯儲修訂并發布了《會計報表驗證》，首次提到內部控制。1936年，美國注冊會計師協會發布了《獨立會計師對會計報表的審查》，初步界定了內部控制的概念。隨后，美國注冊會計師協會審計程序委員會將初始內部控制分為內部會計控制和內部管理控制，即所謂的“二分法”。

內控信息強制披露爭論階段：20世紀70—80年代，內部控制報告的重要性日益顯著，許多學者呼吁各上市企業提交的年度報告中應該包含內部控制報告。1978年，美國審計師責任委員會建議公司管理層不僅要對外公布財務報表，還需要公布披露公司內控狀況的報告。截至1989年，約有25%的上市公司在年度報告中納入了分析和討論內部控制某些方面的管理層報告。絕大多數管理層報告涉及的是針對編制公開財務報表的內部控制，而非財務報表方面的內控信息很少受到應有的關注。

內部控制成熟階段：以1992年發起組織委員會（COSO委員會）發布的《內部控制——整合框架》報告，即眾所周知的COSO報告為標志，內部控制制度逐步走向成熟。COSO報告提出的整合框架，得到公司管理當局、投資者、債權人、專家學者等的普遍認可。COSO委員會又于2004年發表了《企業風險管理—整合框架》報告，該報告具有很強的綜合性，它對內部控制進行了迄今為止最全面的概述。內部控制制度在此基礎上得到了進一步的發展與完善。

內控信息強制披露的實施階段：2002年，美國國會頒布的《薩班斯—奧克斯利法案》首次倡導對財務報告內部控制有效性進行審計。2007年，美國公眾公司監督委員會出臺《審計準則第 5 號》文件，使強制披露的內控信息質量得到了有效保障。

西方國家包括銀行業在內的各個行業在內部控制體系建設，不論是制度建設，還是內控流程運行，都形成了一套較為完善的內部控制體系，借鑒其成功經驗，可為我國上市商業銀行內控信息披露質量的提升和內部控制體系建設提供完善思路。

（二）國內發展歷程

1997年以后，我國金融機構內部控制體系實現了進一步的發展，根據相關文件的出臺時間，其發展歷程大致可劃分為三個階段：

第一階段， 1997年5月16日中國人民銀行出臺的《加強金融機構內部控制的指導原則》（簡稱《指導原則》），《指導原則》指出：鑒于我國金融機構的重要性，金融機構內控建設及內控信息披露應提上日程。《指導原則》內容涵蓋廣泛，是當時國內金融機構內部控制最完整的文件，對完善國內金融機構特別是上市銀行的內部控制制度起到了指導作用。

第二階段，2004年11月，中國銀監會發布的《商業銀行內部控制評價試行辦法》進一步規范了商業銀行內部控制評價內容，它將內部控制評價分為兩大類：過程評價和結果評價。前者主要對內控流程的有效性和適宜性進行評價，后者主要對內控目標的實現情況做出評價。

第三階段，2009年9月23日，中國人民銀行頒發《商業銀行內部控制指引》，《內控指引》的頒布標志著我國金融機構，尤其是商業銀行內部控制制度建設進入了一個更為完善的發展時期。以《內控指引》和《指導原則》為基礎，補充了商業銀行內控主要業務的要求和原則。并指出內部控制是一種事前防范、事中控制、事后監督的貫穿式控制機制。

從以上分析可以看出，相關文件和后續措施的出臺也使得金融機構內控程序更加規范，實現了穩健發展。大多數金融機構都制定了相關的管理制度、業務操作流程和內部控制規則，設立了獨立的審計機構，這不僅符合市場發展規律，也符合國內經濟發展方式轉變的大趨勢。

三、國內商業銀行內部控制信息披露質量分析

（一）國內商業銀行內部控制信息披露現狀

本文選取了國內10家上市商業銀行作為研究對象，其中包括5家大型商業銀行（分別是：建設銀行、工商銀行、交通銀行、農業銀行、中國銀行）和5家中小型商業銀行（分別是：光大銀行、華夏銀行、民生銀行、平安銀行、中信銀行）。

首先對這10家上市商業銀行2015年—2018年的內控信息披露載體分布情況進行歸納總結。本文所指的內控信息披露載體包括董事會報告、監事會報告、內部控制評價報告、內部控制審計報告、年報中的公司治理部分、管理層討論與分析報告。通過各銀行公告及年報所提供的信息，統計得出：不同的銀行對于內控信息披露的位置選擇有所不同，并且同一銀行在不同的年份內控信息披露的載體也在不斷發生變化，說明目前為止信息披露的載體依然存在一定程度的不一致，這給投資者及其他利益相關者了解銀行內控信息增加了一定的難度。這10家商業銀行也存在共同點：在調查的4年間均出具了獨立的內控自評報告和內控審計報告;董事會報告中均未披露內控信息。

2010年，我國頒布的《企業內部控制鑒證指引》要求上市公司須披露內控審計報告和自我評價報告，并要求在滬深主板上市的企業于2012年起嚴格貫徹實行。2015年至2018年的調查數據顯示，上市銀行的內控信息披露工作的確遵循了《指引》的相關規定，其操作流程和內容相對規范了許多。同時，各大銀行選擇在董事會報告和監事會報告中披露內控信息的比例呈下降趨勢，尤其是董事會報告，在近幾年中已很少成為內控信息披露的載體。這體現出商業銀行管理層對內控信息披露規范和質量的重視有所加強。

（二）國內商業銀行內部控制信息披露質量

1.內部控制信息披露的內容

立足于以上披露載體，對商業銀行內控信息披露現狀進行初步分析，但若想對上市商業銀行內控信息披露質量情況有進一步了解，還需從內控信息披露具體內容入手。根據《企業內部控制基本規范》和《上市公司內部控制指引》要求，上市公司內控報告必須包含對COSO內部控制框架五要素（控制活動、控制環境、風險識別、監控、信息與溝通）的披露。因此，本文將從內控五要素是否得到披露以及披露是否完整，來對商業銀行內控信息披露的質量做出評價。

經查閱該10家上市商業銀行2015年—2018年內控信息評價報告，發現內控五要素披露情況變化不大，內控信息披露不涉及五要素的占比為0。除2015年五要素全部披露占比為38%以外，其他年份全部披露占比均為50%，說明各商業銀行管理層內控信息披露的內容較為規范，基本遵循了《上市公司內部控制指引》的要求。內控信息披露的完整性是決定信息披露質量的高低程度的重要因素之一，商業銀行相對于其他行業上市公司來說，在五要素規范性方面做的較好，但仍有進步空間，部分披露目前占了較大比重，內控信息披露內容的完整性有待進一步加強。

2.內部控制缺陷披露情況

內部控制缺陷是指公司內部控制的設計或運行存在漏洞而無法合理保證內部控制目標的實現。內控缺陷按影響程度分為重大缺陷、重要缺陷和一般缺陷。內部控制信息是否得到有效披露的另一重要評價標準就是披露單位是否對其內部控制缺陷進行披露。

通過搜集從以上10所商業銀行的內部控制自評報告資料，筆者發現大部分銀行都是進行劃對勾的調查問卷形式對內控缺陷進行評價，而評價結果基本上都是“未發現重大、重要財務報告內控缺陷”及“未發現重大、重要非財務報告內控缺陷”，而對于內部控制一般缺陷的描述，大多數銀行也都是一致的：“公司個別內部控制環節存在一些需要關注的方面，公司已制定了整改措施，其對公司財務報告的可靠性不構成影響。” 只有以下兩家銀行：①民生銀行2018年度： 財務報告內控一般缺陷說明了缺陷所在位置;披露了非財務報告內控重要缺陷（民生銀行廈門支付清算中心違規事件），并給出了詳細整改措施。民生銀行2017年度：披露了非財務報告內控重要缺陷（北京分行航天橋支行理財銷售業務發生重大風險事件），并給出了詳細整改措施。②平安銀行2018年度：非財務報告內部控制一般缺陷披露了個數：102個;但未披露財務報告內部控制一般缺陷。平安銀行2017年度：非財務報告內部控制一般缺陷披露了個數：106個，披露了缺陷位置及整改措施。由此可以看出，雖然所調查的10家銀行均在每年披露了內控一般缺陷，但缺陷內容和數量基本上沒有涉及。這說明內控自評報告對內控缺陷的披露過于形式化，千篇一律的披露結果不利于投資者及其他利益相關者獲取需要的信息、掌握企業的真實狀況。

通過對所選取的國內商業銀行內部控制信息披露現狀、披露的載體以及內容等做出的定量分析，我們可以發現就目前而言國內銀行業的整體內控信息披露基本符合法律法規的要求，但在披露質量方面仍存在許多欠缺之處。

（三）我國上市商業銀行內部控制信息披露的問題

結合上文對我國商業銀行內控信息披露狀況的定性與定量分析，下文將對當前國內商業銀行內控信息披露存在的問題進行歸納總結，主要存在4個方面的問題。

1.內控信息披露載體不統一

上市企業內部控制法律規范對于包括上市商業銀行在內的信息披露載體沒有特別的限制。主要載體有：內部控制評價報告、內部控制審計報告、董事會報告、監事會報告、公司治理報告、管理層分析與討論報告。選擇那幾個作為披露載體主要取決于銀行管理層的決策。相關法律法規雖已強制要求上市企業出具內部控制評價報告和內部控制審計報告，但在內控信息披露載體的選擇方面并未做出強制性的要求，所以才會導致同一報告期間不同銀行的信息披露載體有所差異，甚至同一銀行在不同的報告期間披露載體也會發生變化。

2.內部控制披露內容不全面

在國家監管方面，上市商業銀行面臨著最為嚴格的要求，但商業銀行披露的內控信息內容依然較為欠缺。從上述五要素的披露情況來看，仍存在一定比例的銀行沒有對五要素做出完整的披露，在五要素以外的高風險業務的信息也是簡單提及沒有做詳盡的披露。尤其在定量披露方面，很少有銀行涉足。就高風險經營特征的銀行來說，在上述情況下，外部信息使用者的需求根本得不到滿足。

3.內控信息披露形式化嚴重

我國上市銀行在披露內控信息的時候有較為嚴重的形式化傾向，披露內容很少涉及實質性問題。就監事會報告來說，其作為內控信息披露的主要載體之一，多數銀行并未能在其中對銀行內控方面的情況進行積極式的描述，而是僅僅以模板化的定性描述方式對內控信息進行披露，內容過于簡單。在年報中，大多數銀行雖然有對自己的內控缺陷信息進行表述，表示會對自己的內部控制進行完善，但是并未說明相應的具體解決措施。

4.相關規章制度不健全

我國在上市企業信息披露的相關規章和制度尚不完善，目前為止，只有新修訂的《企業內部控制基本規范》較為完整地規定了相應要求，因而從內部控制披露成文法依據的角度講，我國的相關規章制度還不夠完善。而當前各銀行的業務發展逐漸擴大，各銀行發生風險事故的幾率也可能隨之增大，而目前尚沒有強制規定披露內容的規章制度。不健全的規則制度以及不完善的內部控制流程設計，導致內控信息披露不規范、不完整等問題產生。

四、提升我國商業銀行內控信息披露質量的建議

（一）對監管部門的建議

由于商業銀行在金融體系中的特殊地位，監管部門應針對我國上市銀行的特殊性，并且結合行業特性來制定相關法律法規。首先，制定規范過程中，要對我國上市商業銀行內控信息披露內容和格式進行明確要求，注重規范的實操性和指導性。其次，嚴謹的法律規范必須通過嚴格的執法手段才能發揮其作用，因此，有關監管部門在發揮監督權力的過程中就要履行好其相應的責任。最后，建立內控信息披露獎懲機制，定期評價上市銀行內控信息披露質量，提高內控執行過程中的違規成本，以提高上市銀行內控信息披露的積極性。

（二）對上市商業銀行的建議

上市商業銀行應積極加強內部控制信息披露機制建設。首先，要充分了解銀行自身所處的內外部環境，找出不合時宜的方面并加以改正，根據自身特點設立合理的內控流程與規范。其次，高質量的內部控制文化是企業整體文化的重要組成部分，銀行管理層應加強對員工內部控制信息披露意識的培養，讓員工明確自己在內控信息披露體系中應承擔的責任，建立起高素質的內控文化。最后，提高各級信息溝通的效率和質量，通過對整個期間的內控過程進行審視，總結和披露銀行可能存在的內部控制缺陷，重視后期整改后工作，提高內部控制信息披露的有效性。證券交易所應當著眼于完善披露細則以健全披露格式。

參考文獻

[1]丁文星.我國上市銀行內部控制實質性漏洞披露現狀研究——基于華夏銀行的案例分析[J].經濟論壇，2017（04）：79-81.

[2]付曉，張媛. 淺談銀行內部控制的缺陷及建議[J]. 科技創新導報， 2018，（05） .

[3]劉旭遲.上市銀行內部控制信息披露缺陷分析評價——以2016年～2018年度報告為研究對象[J].全國流通經濟，2019（20）：152-153.

湖北經濟學院 430205