我国上市公司内部控制评价与报告体系的构建

赵爱玲

摘要：我国上市公司内部控制评价与报告制度存在缺乏清晰的工作步骤和程序，缺失内部控制评价工具的相关准则，信息披露的责任机制不够完善等问题。适合我国的内部控制评价与报告框架体系应包括：内部控制自我评价、外部审计师审核鉴证、内部控制报告披露等三部分内容，内部控制自我评价和外部审计师审核鉴证应具有相互独立的工作步骤和业务流程。自我评价报告与鉴证报告共同构成上市公司内部控制披露报告。

关键词：内部控制；评价；架构

中图分类号：F234文献标识码：A文章编号：1003－7217(2009)04－0048－04

一、引言

在上市公司中建立和推行内部控制制度，以增强公众公司对外披露财务报告信息的真实性和公允性，避免或减少公众公司财务造假，已得到众多发达国家和新兴经济体国家的广泛共识和积极推行。我国自2007年开始，要求境内上市公司建立企业内部控制制度并进行相关信息的公开披露。2008年6月，由财政部、证监会等五部门联合发布了《企业内部控制基本规范》，以及《企业内部控制评价指引》、《企业内部控制应用指引》的征求意见稿等配套性制度，并开始对上市公司内部控制进行评价和鉴证。《基本规范》的核心内容较多地吸收和借鉴了美国的COSO框架。同时，财政部截止2009年4月已发布的27项《企业内部控制引用指引》(征求意见稿)内容丰富全面，为企业内部控制制度建设提供了具体的参照标准。应该说，我国在上市公司内部控制的制度规范建设方面是较为科学和全面的，也是比较适合我国具体国情的。但是，上市公司参照这些规范建立的本公司内部控制制度设计是否科学合理?运行是否有效?则必须通过公司管理层自我评价和外部审计师审核鉴证后才能得出结论。而对于内部控制的评价和相关信息的披露，正是我国目前内控体系总体建设的薄弱环节，相关技术标准缺失，内控评价和报告体系的构建尚处探索阶段。财政部和中国注册会计师协会虽然分别发布了《企业内部控制评价指引》和《企业内部控制鉴证指引》的征求意见稿，但其内容仅仅是一些程序性或者原则性的规定，由于缺乏具体的操作性标准，造成实际执行过程中企业进行内部控制自我评价时无所适从，也导致注册会计师在进行内部控制审核鉴证时因缺乏相关标准而难以人手，上市公司内部控制的信息披露更是五花八门，缺乏统一的规范格式和内容。分析现状和问题，尽快建立我国上市公司内部控制评价与报告的框架体系，对于提高我国上市公司内部控制评价及披露工作的规范性和标准化，深入推进我国内部控制建设，具有非常重要的意义。

二、我国上市公司内部控制评价及披露的实施现状

沪深证券交易所于2006年先后出台了《上海证券交易所上市公司内部控制指引》和《深圳证券交易所上市公司内部控制指引》，并规定上市公司分别于2007年1月和7月起开始执行，要求上市公司在公司层面、控股公司和附属公司层面以及公司各业务环节层面建立健全内部控制制度，并要求上市公司披露年度内部控制自我评估报告，会计师事务所对内部控制自我评价报告出具鉴证意见。实际执行的情况是：2007年沪市共有146家上市公司出具了公司内部控制报告，占沪市披露2007年年度报告上市公司总数的17％；在出具公司内部控制报告的146家公司中有139家公司披露了会计师事务所对公司内控报告的审核意见，占沪市披露2007年年度报告上市公司总数的16％。2007年深市主板上市公司共有449家公司按照要求披露了内部控制报告，占公司总数487家的92.4％；内部控制报告被审计机构出具审核意见的只有42家，占公司总数的8.6％。2007年深市中小板共有225家上市公司，其中221家公司披露了2007年年度报告，在披露年度报告的221家上市公司中，共有84家公司披露了内部控制自我评价报告，占披露年度报告公司总数的38.01％；内部控制报告被审计机构出具鉴证意见的共有54家，占披露年度报告公司总数的24.43％。

在沪深上市公司2007年年度报告中披露内部控制评价报告及审计机构的鉴证报告，是对于在上市公司推行建立内部控制体系的初步尝试，从实际执行结果分析，主要存在着两方面的问题：一是在各上市公司披露的内部控制评价报告中，普遍存在仅具有报告形式，而缺乏实质性内容；内部控制报告披露格式不统一，披露内容偏离要求，缺乏对关键内容的具体分析；内部控制制度有效性评价过于乐观，内部控制缺陷的分析和披露较少等问题。二是在审计机构出具的鉴证报告中，存在着审核意见类型单一，审核意见表达形式不规范，对内部控制报告的审核标准尺度不一、判定标准较为混乱等问题。形成上述问题的主要原因是：中国证监会和沪深交易所在开始推动国内上市公司实行内部控制自我评价制度和注册会计师审核鉴证时，只发布了一些原则性规定，而相关操作性的专业标准制订工作严重滞后，造成企业在进行内部控制自我评价及注册会计师进行内控审核鉴证时的随意和混乱，最终导致上市公司内部控制评价及鉴证工作流于形式。

三、我国上市公司内部控制评价与报告体系亟需改进的关键问题

内部控制有效性的评价与鉴证工作是推进整个企业内部控制体系建设的关键环节，是内部控制制度能否有效实施的关键要素。根据目前的实施现状，我国上市公司内部控制评价及披露工作在以下三个方面亟待改进：

(一)确定清晰的内部控制自我评价及报告的程序

美国对于其上市公司内部控制评价与报告的类型(管理层对财务报告内部控制评价的对内报告和对外报告、外部审计师对管理层发布的内部控制评价报告发表的鉴证意见以及对内部控制有效性发表的意见)和产生程序，在SEC的“最终规则”和PCA－OB的“审计准则第2号”中，有着清晰明确的规定。英国的做法较美国要简化一些，即外部审计师通常不单独出具对企业内部控制评价报告的审核鉴证报告，而是将鉴证性意见作为审计报告中一个说明段。但是，英国对于企业内部控制评价及报告的产生程序以及审核程序，在《联合规则》以及Tumbull指南等相关法律法规中进行了清晰明确的规定。而我国财政部发布的《企业内部控制基本规范》以及《企业内部控制评价指引》征求意见稿中，对于企业内部控制自我评价及报告程序的相关规定，没有进行集中和完整的描述。

明确内部控制评价及报告的工作步骤和程序，是实现内控评价规范化的首要任务，我国上市公司管理层进行的内部控制自我评价至少应包含以下主要工作程序，并且应该在《企业内部控制评价指引》专门章节中集中并完整地予以规定：(1)上市公司应当指定内部审计机构或其他机构(比如专设的内部控制管理部门)组织实施内部控制评价工作，开展内部控制评价，运用访谈、调查问卷、穿行测试、统计抽样等多种测试方法广泛收集公司内部控制设计和有效运行的证据，研究认定内部控制设计缺陷和

运行缺陷。在充分实施评价程序的基础上，根据收集到的相关证据，形成内部控制评价报告。(2)内审部门将内部控制评价报告提交公司管理层进行审核，并对测试评价过程中发现的内部控制设计缺陷和运行缺陷，组织相关部门进行对应整改。(3)经管理层审核修订后的内部控制评价报告，上报公司董事会进行审定。(4)经董事会审定后的内部控制评价报告作为对外正式披露的内部控制自我评价报告。

(二)尽快制订发布内部控制评价工具的相关准则

目前，财政部尚未出台有关内部控制评价工具方面的准则或专业指引，中国注册会计师协会于2008年6月28日发布的《企业内部控制鉴证指引》(征求意见稿)规定了内部控制鉴证的范围、程序、实施鉴证工作的测试内容、缺陷评估标准、鉴证报告格式等一般性要求，但缺少评价内部控制和鉴证内部控制的具体操作性工具。这就容易造成管理层不知道如何对公司内部控制进行测试评价，外部审计师也因无相关标准而难以确定测试结果对应的评价意见类型。COSO的《内部控制一整合框架》包括上下两卷，上卷为“整合框架”，下卷为“评价工具”。“评价工具”卷包括一套完整的可用于对企业内部控制体系进行评价的工具。评价工具具体包括：一套空白工具(blank tools)，即列明具体测试内容和步骤的空白测试表单，并附有一个帮助汇总这些评价结果以便作出总体评价的工具；一个参考手册(ref-erenee manual)，旨在帮助评价者完成“风险评估与控制活动工作表”，还提供了一个通用经营模式，作为参考手册安排结构的依据；已填写的工具(filledin tools)，即针对一家假想的中型公司，例示如何完成评价工作，可以对类似规模的公司运用这些工具提供指引。评价工具可以用于任何规模的主体，可根据不同的主体和行业对相关的测试内容和步骤进行一些修改，但评价方法和记录技术都是一致的。这些评价工具既可以作为管理层进行内部控制评价时采用，也可以作为外部审计师用于对内部控制评价报告进行鉴证审核时采用。我国应尽快制定发布《内部控制评价工具指引》，只有建立起一套科学适用的内部控制评价工具，才能真正实现我国企业内部控制评价工作的统一化和标准化。

(三)建立完善内部控制评价信息披露责任机制

内部控制信息披露是上市公司内部控制流程中的最后一个环节，主要包括公司管理层出具的内部控制自我评价报告和外部审计机构出具的内部控制鉴证报告。也就是说，对于企业内部控制的评价实际是由公司管理层和外部审计师共同完成的，工作程序上也是相互衔接的，所以，确定管理层和外部审计师相互之间的责任是非常必要的。我国《企业内部控制评价指引》第三条第二款规定：“企业主要负责人应当对内部控制评价结论的真实性负责。”将企业内部控制自我评价的责任主体规定为“企业主要负责人”，是个模糊不确定的对象。《企业内部控制评价指引》第九条中虽然规定了企业可以委托中介机构协助管理层进行内部控制自我评价，但对于受托中介机构应承担的责任没有进行规定。

美英对于企业内部控制评价中涉及到的管理层和外部审计师相互之间的责任划分是非常明确的。按照SOX法案302节条款以及证券交易法规则的13a－14(a)或15d－14(a)的要求，上市公司管理层，特别是首席执行官和财务总监，必须要对其编制的内部控制评价报告内容的真实性和完整性负责。审计师可以帮助管理层建立内部控制，并且可以协助管理层进行内控有效性的测试评价。但是，管理层不能把其评价财务报告内部控制的责任转移给审计师，而且参与企业内部控制测试评价的中介机构和审计师不得同时为同一企业提供内部控制审计及鉴证服务。

根据我国目前的具体实际，借鉴美英的成熟经验，应该明确：我国上市公司管理层，特别是上市公司总经理和财务总监，必须要对其编制的内部控制评价报告内容的真实性和完整性负责。审计师可以帮助管理层建立内部控制，并且可以协助管理层进行内控有效性的测试评价，但是，审计师不能替代公司管理层承担内部控制评价应承担的责任，而且参与企业内部控制测试评价的中介机构和审计师不得同时为同一企业提供内部控制审计及鉴证服务。外部审计师要依据相关的专业准则，对上市公司管理层编制的内部控制自我评价报告进行审核鉴证，并发表鉴证意见，外部审计师应对出具的鉴证意见的公允性和完整性负责。

四、构建我国上市公司内部控制评价与报告体系的基本架构

通过分析现阶段我国上市公司内部控制评价与报告制度存在的问题，进一步厘清内部控制评价鉴证及相关信息披露的主体内容及其工作步骤，借鉴国际先进经验，根据财政部等五部委发布的《企业内部控制基本规范》、《企业内部控制评价指引》，以及中注协发布的《企业内部控制鉴证指引》(征求意见稿)的相关规定，可以梳理出我国上市公司内部控制评价与报告体系的基本架构，笔者认为应该包括以下主要内容：

(一)上市公司内部控制自我评价及报告

管理层对于内部控制的自我评价是内部控制评价工作的核心内容，通常应当指定内部审计机构或专设的内部控制管理部门组织实施内部控制评价工作，收集公司内部控制设计和有效运行的证据，研究认定内部控制设计缺陷和运行缺陷。在充分实施评价程序的基础上，根据收集到的相关证据，形成内部控制评价报告。内审部门完成的评价报告。经管理层和董事会的审核认定后，形成对外正式披露的内部控制自我评价报告。

(二)外部审计师对上市公司内部控制评价报告的审核鉴证

外部审计师接受委托后，对管理层出具的内部控制自我评价报告具有审核鉴证之责。外部审计师需要运用专业标准规定的多种测试方法，分别对企业层面控制和流程层面控制进行抽样测试，获取鉴证证据，评价企业控制缺陷，与企业管理层沟通鉴证过程中识别的所有重大缺陷。并依据管理层组织的整改结果，完成鉴证报告，在报告中清楚地表达对企业内部控制有效性的鉴证意见。

(三)内部控制评价及鉴证的信息披露

上市公司出具的内部控制自我评价报告，与外部审计机构出具的内部控制鉴证报告共同构成内部控制信息披露报告，将由上市公司在指定的媒介上予以公开披露。

(四)评价及报告体系的结构图示

综合上述对我国内部控制评价与报告体系具体内容的分析和梳理，我国上市公司内部控制评价与报告体系基本架构如图1所示。

上述架构将公司内部控制评价与报告工作划分为内部控制自我评价、外部审计师审核鉴证、内部控制报告披露等三部分。其中将内部控制自我评价和外部审计师审核鉴证，设计为两个平行且相互独立的业务流程，依据各自独立的审核测试程序，分别完成自我评价报告和审核鉴证报告。独立的业务流程可以明确划分出各自的责任，有利于保证管理层内部控制自我评价和外部审计师审核鉴证的工作过程和结果的客观公正；管理层内部控制自我评价报告和外部审计师鉴证报告的共同披露，则有助于公众对于上市公司内部控制有效性进行客观分析和相互印证。这种体系架构是对内部控制评价与报告体系应包含的主要内容、工作步骤及流程，以及最终工作结果的具体规定，科学的体系架构必将有助于提升我国内部控制评价与报告工作的规范化和标准化水平。

参考文献：[1]周勤业，吴益兵，上交所：沪市上市公司2007年内部控制报告分析[N]，上海证券报，2008－12－01。

[2]陈天骥，深市主板上市公司内部控制披露情况分析[N]，中国证券报，2008－06－06。

[3]许碧，中小板上市公司2007年报内部控制披露情况分析[N]，中国证券报，2008－06－06。

[4]张宜霞，美英上市公司内部控制与报告体系的比较研究[c]，2006年，中国会计学会财务成本分会2006年年会暨第19次理论研究会论文集(上)，http：//ierm.dufe.cdu.cn/fare/download/index，html。

[5]企业内部控制标准委员会秘书处组织翻译，内部控制——整合框架(第1版)[M]，大连：东北财经大学出版社，2008。

[6]中国石油天然气股份有限公司内控项目建设委员会编译，内部控制审计准则(第1版)[M]，北京：石油工业出版社，2005。