上市公司内部控制信息披露历程

王宪振

【摘要】 在国家大力推动上市公司内部控制建设以及众多学者青睐内部控制研究的背景下，内部控制的研究呈现多元化趋势，然而，对于内部控制信息披露的案例研究却相对罕见。文章以具有代表性的企业为案例，踏着内部控制政策法规的足迹，探索上市公司对内控政策的反应及其披露现状。

【关键词】 上市公司； 内部控制； 信息披露； 历程

一、引言

内部控制是防范企业财务报告错误和舞弊行为的重要防线，也是保证企业财务报告真实、完整的内在机制。美国安然、世通财务舞弊事件发生后，各国监管机构将监管重心从单纯注重财务报告本身的信息质量，转向财务报告本身信息质量与建立健全财务报告信息质量保证体系并重。为此，美国于2002年通过了强制性要求内部控制信息披露的《萨班斯—奥克斯利法案》。我国资本市场起步较晚，发展较不完善，相关的内控政策出台较迟。针对国际市场的内控变革，我国也出台了一系列政策指引，对上市公司的内部控制信息披露进行规范。但是，考虑到条件不成熟，未对所有的上市公司强制性实施。个别上市公司出于向市场传递利好信号的考虑，以便将自己同其他上市公司区分开来，进而对投资者的投资决策产生影响，对内部控制信息进行了自愿披露。

相较于国外强制性披露的执行效果，国内上市公司对于内部控制信息的披露质量参差不齐。无论是披露范围，还是披露内容以及披露的方式都呈现出较大的随意性。同时，在国内由于政策的侧重点不同，不同行业的内部控制信息披露质量也存在较大的差异。国家对于上市银行的内部控制信息披露要求更高，相关的政策指引更为细致。上市银行内部控制信息的披露质量略高于其他公司。对于金融类上市公司的内控信息披露状况，已有学者进行了案例研究，发现其内部控制信息的披露呈现出较为明显的形式主义（瞿旭等，2009）。

二、内部控制政策法规及相关研究

本文在研究设计中将上市公司内控信息披露历程划分为自愿披露与强制性披露两阶段，自愿性内控信息披露阶段是指2006年以前，强制性信息披露始于2006年，需要说明的是，这里所说的强制性仅仅指部分内控信息，例如，2006年以后上市公司至少需要在“重要事项”一节说明其内部控制建设情况。

（一）自愿披露阶段的内部控制法规及相关研究

在近来的研究中，有关内部控制的法规文件一般追溯至2000年，证监会要求商业银行在年度报告对内部控制建设进行说明。继而，2001年起，中国证监会要求一般上市公司的监事会对该公司是否建立了完善的内部控制制度发表独立意见，若监事会认为内部控制完善，可以不对外披露。2003年3月证监会又针对上市银行内部控制信息披露做出了规定，明确了董事会对于内部控制的责任。2005年中国证监会要求上市公司定期对内部控制的完整性、合理性及实施的有效性进行检查和评估，并开始要求上市公司通过外部审计对公司的内部控制制度以及公司的自我评估报告进行核实评价，该年度内银监会还发布了商业银行内部控制评价办法。可以说，我国在2006年以前以及美国在2002年以前并未对内部控制信息披露做出强制性规定，内控信息披露系上市公司自选择的行为。那么具体实施效果如何呢?

我国2001年上市公司内部控制信息披露在很大程度上流于形式、缺少实质性内容，披露主体主要为监事会（李明辉等，2003）。张立民等（2003）研究表明，我国ST上市公司在2001年与2002年年报中披露的内部控制信息不少前后矛盾，且以说好话为主。2003年，上市公司大多披露了内部控制信息，但披露词句模糊，证监会的规定并没有得到很好执行（蔡吉甫，2005）。2003到2005年间，上交所上市公司内部控制信息有逐年增加的趋势，但总体水平较差（方红星等，2009）。

以上的研究主要是针对一般上市公司，那么对内部控制信息披露管制严格的金融类公司而言，其内部控制信息披露如何呢？上市银行2001到2006年间，在年报中披露的内部控制信息存在诸多问题（黄秋敏，2008），类似的，倪慧萍（2006）通过对上市银行年报的分析发现，上市银行未严格遵循内部控制信息的披露要求。

通过以上研究可以看出，2001至2005年间，上市公司的内部控制信息披露存在较多问题，披露主体多元化，披露内容形式化。为完善上市公司的内部控制信息披露，提高披露的信息含量，相关的研究针对披露中存在的问题提出了众多建设性的针对性极强的建议和意见。与此同时，2006年监管机构出台了相关的法规文件，对内部控制信息披露进行了更详细严格的规定，2006年被认为是内部控制信息披露具有转折性意义的一年。故众多学者将2006年以后的内部控制信息披露视为强制性披露的始点。

（二）强制性信息披露阶段的内部控制法规及相关研究

2006年，上交所与深交所分别于6月5日和9月28日发布了《上市公司内部控制指引》（以下简称《指引》），前者自2006年7月1日起生效，后者自2007年7月1日实施，两者皆要求上市公司披露董事会编制的内部控制自我评估报告以及会计师事务所对内部控制报告的核实评价意见。考虑到实施的仓促性以及我国上市公司内部控制建设的现状，上交所于2006年12月在《关于做好上市公司2006年年度报告的通知》中对《指引》做了补充，只要求上市公司在年报的“重要事项”部分披露内部控制信息，鼓励有条件的上市公司遵守《指引》的规定。2007年，国务院法制办公室、证监会以及深交所发布了对上市公司年报工作的条例与通知，其中都特别提到了有关内部控制信息披露的要求。2008年1月2日，在上交所发布的关于2007年年报工作的通知中，也涉及了关于内部控制信息披露的内容。尤其应引起注意的是，2008年6月28日财政部等五部委颁布了《企业内部控制基本规范》，自2009年7月1日率先在中国境内上市的公司执行。紧接着，2010年4月15日又出台了《企业内部控制配套指引》，自2011年起要求部分上市公司执行。

在相关的政策背景下，李享（2007）通过对上市公司2006年年报中披露的内部控制信息的分析发现，内部控制信息的披露并不理想，同时，2006年内部控制信息披露的强制性规定并未得到执行，信息披露动机不足，上市公司的内部控制自我评价以及会计师事务所的核实评价缺少统一的标准（杨有红等，2008）。2007年，总体来说，大约40%的上市公司披露了内部控制评价报告，然而，只有约12%的公司聘请了外部审计机构对公司的内部控制评价发表意见（张士强等，2009）。林斌等（2009）研究表明，其选取的2007年度沪深两市的研究样本中有约15%的上市公司自愿披露了鉴证报告，并且中央控股公司自愿披露鉴证报告的动机更强。在2006到2008年间，约有10%的上市公司首次执行了内部控制鉴证（张龙平等，2010）。对于内部控制缺陷的披露而言，2007年样本公司中有244份年报披露了公司的内部控制缺陷，占所有上市公司的比例约为18%；2008年样本公司中披露内部控制缺陷的有98家，占所有上市公司的比例约为7%（刘亚莉等，2011）。方红星和金玉娜（2011）研究发现，在其选取的2009年研究样本中，有28.28%的公司自愿披露了内部控制鉴证报告，其中分别有89.93%和10.07%的公司披露了合理保证的内部控制鉴证报告与有限保证的内部控制鉴证报告。

可以看出，自2006年以来，内部控制信息披露发生了转折性的变化。上市公司基本都能简单按照相关规定披露内部控制信息，在未强制要求披露内部控制自我评估报告以及内部控制鉴证报告的背景下，已有相当一部分上市公司出于信号传递的考虑，主动披露了内部控制自我评估报告以及内部控制鉴证报告。在披露的内部控制信息中，开始有意识地披露内部控制中存在的缺陷。然而，对于内部控制缺陷重要性的划分尚无具体的指导细则，在相关的研究中，很多学者将上市公司披露的内部控制问题一概归入内部控制重大缺陷，存在不合理的以偏概全现象。

三、内部控制信息披露历程的案例分析

（一）案例的选取

沱牌曲酒（股票代码：600702），于1996年在上海证券交易所上市，曾被评为“上海证券交易所治理样本公司”，率先披露了内部控制评价报告与内部控制鉴证报告；深发展（股票代码：000001），于1991年在深圳证券交易所上市，系早期上市以及金融类公司中较具代表性的上市公司；绿大地（股票代码：002200），于2007年在深圳证券交易所上市，曾一度因为上市造假，而被认为是继银广夏之后A股的一大污点。

本文所选取的样本公司，皆具有鲜明的代表性。案例公司不仅分布于不同的行业，而且在不同的时间上市，其时间段涵盖了股市的发展历程，而且见证了内部控制信息披露的足迹。此外，所选取的案例公司有明显的治理上的区别，尤其是作为上市公司典型代表的深发展，更是被给予政策厚望。本文试图踏着政策法规的足迹，一探上市公司内部控制信息披露的虚实。

（二）内部控制信息披露载体

1.自愿披露阶段的内控信息载体

证监会在2001年要求上市公司监事会对公司的内部控制发表独立意见，但未作强制性规定。继而，在2003年又明确了董事会对内部控制的责任。2005年发布的法规文件开始对内部控制自我评估报告以及内部控制的核实评价报告作出要求，主要责任方依然是上市公司的董事会。

沱牌曲酒在2001年年报的“董事会报告”与“监事会报告”部分，对相关项目的内部控制进行了说明。在此后的2001—2005年度内，内部控制信息的披露仅出现在监事会报告中。

深发展在2001年与2002年在年报中的“监事会报告”以及专设的“内部控制的完整性、合理性与有效性的说明”部分涉及了公司的内部控制制度的说明，其中后者还包括了会计师事务所的内部控制审核报告。公司在2003年“董事会报告”、“监事会报告”以及“银行业务数据摘要”部分披露了内部控制信息，而在2004与2005年仅仅在“银行业务数据摘要”部分对公司内部控制制度进行了说明。

2.强制性披露阶段的内控信息载体

2006年上海证券交易所发布通知，明确要求上市公司应在“重要事项”部分说明内部控制的建设，鼓励有条件的上市公司同时披露内部控制评估报告以及会计师事务所对内部控制评价报告的核实评价意见。2008年，五部委颁布了《内部控制基本规范》，对内部控制的具体内涵做了详细说明，但未明确指出内部控制信息的披露载体。

沱牌曲酒在2006年年报中的“监事会报告”以及“重要事项”段提到了公司内部控制制度，2007年公司在“公司治理结构”段详细披露了内部控制建设，其中包括内部控制自我评估报告以及内部控制鉴证报告。沱牌曲酒2008年年报在“公司治理结构”段对内部控制进行了详细的描述，然而，该年度仅仅披露了内部控制自我评估报告，未聘请审计机构对公司的内部控制进行核实评价，2009年与2008年的差异在于又开始披露内部控制审核报告。沱牌曲酒2010年内控信息载体与往年的区别在于独立于年报对外披露了内部控制鉴证报告。

深发展2006年年报中仅在“银行业务数据摘要”段提到了内部控制制度，从2007年年报起，公司年报中增设“内部控制报告自我评估报告”一节，对内部控制进行了详细的叙述，并在附件中公布了内部控制审核报告。深发展独立于年报向外公布了2008年度内部控制自我评估报告，并在2008年年报“内部控制自我评价报告”段披露了相关的内部控制信息，该公司在2009年报“公司治理结构”一节中披露了内部控制自我评价并且独立于年报进行了内部控制自我评估报告披露。深发展2010年内控信息载体与往年的不同之处在于该公司对外独立公布了内部控制鉴证报告，而不是附属于年报，而且在“管理层讨论与分析”部分也提到了内部控制制度。

绿大地于2007年上市，由于其虚假上市行为而广受关注与议论，同时深陷诉讼泥潭。该公司在2007年年报“公司治理结构”以及“监事会报告”段对公司的内部控制进行了说明，此后，公司独立于年报披露了2008年内部控制自我评价报告以及内部控制审核报告。2010年却仅仅披露了2009年的内部控制自我评价报告，2011年该公司又开始对外披露2010年的内部控制鉴证报告，并在2010年年报中的多处提到了公司的内部控制制度，披露的内容同样主要集中在“公司治理结构”一节。

综上所述，可以看出，上市公司内部控制信息披露的载体包括年报中的监事会报告、董事会报告、重要事项、管理层讨论与分析、公司治理结构、业务数据摘要以及内部控制自我评价报告和内部控制审核报告。从最初的多元化的披露到后来内部控制报告中的集中披露，表明内部控制信息披露制度的不断完善。

（三）内部控制信息披露的连续性

通过内部控制信息披露载体的分析可以看出，2004年沱牌曲酒没有在年报中说明任何内部控制的信息。该公司在2007年同时披露了内部控制自我评估报告与审核报告，而在2008年却仅仅披露了自评报告，2009年又复同时披露。

深发展在2003年中断了内部控制自评报告与内部控制审核报告的披露，直至2007年方又开始披露。2008到2010年期间则又中断了内部控制鉴证报告的披露。上市较晚的绿大地，其上市初期即比较重视对内部控制信息的披露，然而，仍然不能做到内部控制报告的连续披露，例如，该公司未披露2009年度的内部控制鉴证报告。

各上市公司恰恰在政策的拐点完整的按要求披露了内部控制信息，而后则消极对待。显然，上市公司披露内部控制信息迎合监管需求的意图不言自明。

（四）内部控制信息披露内容

2001年，沱牌曲酒在年报中指出了董事会对于各项资产计提及核销资产减值准备的内部控制责任，直至2005年，公司关于内部控制的陈述各年度基本相同。在2006年年报中，公司指出开始启动内部控制的相关工作，简单说明了公司内部控制的建设情况，但并未披露具体信息。2007年起，该公司在内部控制自我评估报告中对企业内部控制进行了全面的梳理，在年报中占据了较大的篇幅，是内部控制信息披露具有转折意义的一年。2008年，该公司根据《企业内部控制基本规范》的要求，较为详实地披露了内部控制信息。2008到2010年间，内部控制信息披露实质内容差别不大。

深发展于2001年便开始在其披露的内部控制信息中对内部控制各方面进行全面的梳理，并且由会计师事务所出具了内部控制审核报告，2002年与2001年基本相似。2003年该公司在年报中指出“内部控制不够完善，需要努力改善”，较往年信息量较少。2004到2006年期间，披露的内部控制信息仅为内部控制有效性的陈述。从2007年起，深发展内部控制信息披露的内容发生了转折性的变化，披露的内部控制信息开始涵盖企业的多方面。2008年在2007年基础上增加了独立董事等对内部控制的评价意见。2009年与2010年内部控制信息披露内容稍有完善，变化不大。

绿大地不仅在2007年年报中对内部控制进行了说明，披露的内容主要是对企业内部控制建设的简要说明，同时，在披露的内部控制自我评价报告以及内部控制鉴证报告中，还提出了完善内部控制的措施，比较而言，该公司的内部控制信息披露状况较好。2008年较2007年披露的内控信息更具体，只是含糊的提到内控问题。2009年该公司按照《企业内部控制基本规范》的框架披露了内部控制信息，但上年存在的问题仍未解决。2007—2009年的内控鉴证报告皆未提及存在的内控问题。2010年绿大地在其年度报告以及内部控制自我评估报告中都对内部控制存在的问题进行了说明，并且会计师事务所在内部控制鉴证报告中明确指出该公司内部控制存在重大缺陷。

总之，顺着内控法规的征程，可以看到企业披露的内控信息日益详实，有些上市公司还主动披露了存在的问题以及完善的措施，使投资者在连篇累牍的内控建设信息中，也可以嗅出潜在的危机。但总体而言，实质性的内控信息有限，多为一般性的陈述。

四、结论及启示

循着内部控制政策法规的足迹，分析发现，伴随着内部控制相关政策法规的出台，上市公司内部控制信息的披露日益充分、完善，内部控制信息的载体日趋明确，内容基本符合相关规定。然而，在分析过程中可以看出，现阶段内部控制信息披露的政策效应明显，当政策发布时，上市公司会有针对性地做出反应，继而会消极对待。此外，内部控制的信息多是对企业内部控制建设的披露，而乏对企业内部控制问题的陈述。内部控制自评报告以及内部控制鉴证报告主要是对内部控制有效性的声明，只有在财务状况被发现以后才会披露相关内部控制问题。

近年来，内部控制的诸多研究中，把是否披露或是否详细披露相关内部控制信息作为内部控制质量的代理变量，通过案例分析可以发现，披露内部控制相关报告并不能完全代表内部控制质量的高低，首先，内部控制报告的披露不具有连续性，有的企业是为了表明自己对于内部控制政策法规的遵守，也许会在某一年度公布内部控制报告，在以后的年度出于成本或者其他的考虑便中断了内部控制报告的披露。其次，有些企业会通过披露内部控制报告来掩盖本企业内部控制存在的不足，相较于不披露内部控制带来的市场负面反应的代价而言，完整的披露内部控制报告的成本要小得多。

【参考文献】

［1］ 瞿旭，李明，杨丹，叶建明.上市银行内部控制实质性漏洞披露现状研究——基于民生银行的案例分析［J］.会计研究，2009（4）：38-47.

［2］ 李明辉，何海，马夕奎.我国上市公司内部控制信息披露状况的分析［J］.审计研究，2003（1）:38-43.

［3］ 张立民，钱华，李敏仪.内部控制信息披露的现状与改进——来自我国ST上市公司的数据分析［J］.审计研究，2003（5）：10-15.

［4］ 蔡吉甫.我国上市公司内部控制信息披露的实证研究［J］.审计与经济研究，2005（2）：85-88.

［5］ 倪慧萍.上市银行内部控制披露状况研究［J］.南京审计学院学报，2006（2）：17-19.

［6］ 李享.内部控制信息披露的现状与改进——基于2006年沪市公司年报的考察［J］.财务与会计，2008（7）：8-10.

［7］ 杨有红，汪薇.2006年沪市公司内部控制信息披露研究［J］.会计研究，2008（3）：35-42.

［8］ 张士强，张暖暖.我国上市公司内部控制现状与存在问题分析［J］.审计与经济研究，2009（5）：102-107.

［9］ 林斌，饶静.上市公司为什么自愿披露内部控制鉴证报告？——基于信号传递理论的实证研究［J］.会计研究，2009（2）：45-52.

［10］ 张龙平，王军只，张军.内部控制鉴证对会计盈余质量的影响研究［J］.审计研究，2010（2）：83-90.

［11］ 刘晓莉，马晓燕，胡志颖.上市公司内部控制缺陷的披露：基于治理特征的研究［J］.审计与经济研究，2011（3）：35-43.