我国上市公司内部控制自我评价探析

胡秋玲

【摘 要】 企业内部控制规范体系自2011年在我国上市公司实施至今已两年有余，文章以2010年至2012年沪深两市A股上市公司为样本，通过对样本公司在执行企业内部控制规范体系前后公开披露的内部控制评价报告等相关资料进行纵向对比，分析我国上市公司内部控制评价的现状、存在的问题并提出进一步改进的措施。

【关键词】 内部控制； 上市公司； 自我评价

中图分类号：F272.35 文献标识码：A 文章编号：1004-5937（2014）11-0088-03

内部控制制度是现代企业对其经营活动进行管控的主要工具，也是企业进行风险控制的关键所在。内部控制评价是指对内部控制设计和运行的有效性所进行的评估。上市公司对内部控制自我评价，不仅可以提升公司形象和公众认可度，而且可以使投资者通过了解经营风险进行理性投资，可以使监管者通过掌握内部控制情况进行资源的合理配置。

一、我国A股上市公司近年内部控制自我评价情况

企业内部控制规范体系自2011年1月1日开始在我国境内外同时上市的公司执行，2012年1月1日起扩大至沪深两市主板上市公司。实施以来，上市公司内部控制水平如何？本文以2010年至2012年沪深两市A股上市公司为样本，对样本上市公司在执行企业内部控制规范体系前后公开披露的内部控制评价报告的相关资料进行纵向对比分析，以便了解上市公司内部控制现状，发现内部控制实施中存在的问题。

（一）内部控制评价报告披露数量

2010年至2012年沪深A股上市公司数量、公开披露和未披露内部控制评价报告的数量统计见表1。

从表1可以看出，沪深A股上市公司的数量从2010年的2 105家发展到2012年的2 469家，说明随着我国经济的快速发展，企业上市的需求越来越强烈。披露内部控制评价报告的上市公司的绝对数和相对数都在逐年增加，特别是2012年披露内部控制自评报告公司数量占沪深A股上市公司总数的90.04%，比2011年的78.80%增长了11.24%，而未披露内部控制自评报告公司数量逐年减少，到2012年只有9.96%，比2011年的21.20%减少11.24%，说明内部控制规范体系在沪深主板上市公司的实施进一步推动了我国上市公司内部控制建设。

（二）内部控制自我评价结论

2010年至2012年沪深A股上市公司公开披露内部控制评价报告中关于内部控制有效性的结论情况统计见表2。

从表2可知，2010年、2011年和2012年自评内部控制有效的上市公司数量分别是1 605、1 841和2 219，自评内部控制有效的上市公司的绝对数呈上升趋势，近三年占披露比都在99%以上，说明越来越多的公司认可内部控制对公司经营管理的作用并加强了本公司内部控制的建设。对内部控制自评报告不做结论的公司由2010年的11家降到2011年1家，至2012年没有公司不做结论，说明内部控制自评报告不再流于形式，有没有作用公司都可以作出明确的判断。但认为内部控制无效的上市公司由2010年、2011年各两家到2012年4家，从0.12%上升到0.18%，可能是由于评价责任的明确，上市公司对内部控制有效性的评价更谨慎、更真实。

（三）内部控制缺陷的披露

2010年至2012年沪深A股上市公司公开披露内部控制评价报告中关于内部控制缺陷认定标准和缺陷披露情况统计见表3。

从表3中可以看出，上市公司在自评报告中披露内部控制缺陷的数量由2011年的156家到2012年的503家，披露比例从6.67%提升到22.63%，而2011年之前的统计没有关注内部控制缺陷的披露情况，主要原因是企业内部控制规范体系自2011年才开始在境内外同时上市的公司执行。另外，从表中可知，2012年披露内部控制缺陷认定标准的上市公司有734家，占披露内部控制自评报告公司总数的33.02%，不仅说明上市公司对内部控制缺陷的认识有较大的提高，而且表明上市公司所披露的内部控制缺陷有理有据，披露质量有一定的保证。

二、我国A股上市公司近年内部控制自我评价存在的主要问题

内部控制评价是优化内部控制自我监督机制的一项重要制度安排，也是有效防范风险、提高经营管理效率的重要方法和工具。内部控制评价能保证内部控制的有效执行，是内部控制建设中非常重要的环节。有效的内部控制自我评价对于社会进步、上市公司发展以及有效开展审计工作都具有重要意义，但目前我国内部控制自我评价与美国等发达国家还有较大差距。

（一）内部控制评价报告结论不准确

内部控制评价报告结论不准确主要是指内部控制评价报告的结论与内部控制审计意见不一致。内部控制审计意见由第三方中介机构出具，具有客观性、公正性，所以当二者结论不一致时，人们更倾向于第三方结论。2012年有22家上市公司的内部控制评价报告结论与内部控制审计意见不一致，特别是天津磁卡和贵糖股份的评价结论为内部控制有效，而内部控制审计意见为内部控制无效。

（二）内部控制缺陷披露不充分

内部控制缺陷披露不充分表现为没有披露内部控制缺陷的认定标准、没有披露内部控制缺陷的内容、披露内部控制缺陷但没有对缺陷划分等级或没有披露存在缺陷的内部控制应该采取的整改措施等。

内部控制缺陷的认定标准是事关内部控制是否有效的重要内容。从表3可以看出，按内部控制配套指引的要求，2012年仅有734家（占披露比33.02%）上市公司在内部控制评价报告中披露了内部控制缺陷认定标准，这些公司又只有247家采用定量和定性的方法在内部控制评价报告中就财务报告内部控制缺陷认定标准和非财务报告内部控制缺陷认定标准进行了披露，而1 489家（占披露比66.98%）上市公司对内部控制缺陷认定标准未做任何披露。认定标准不明确可能导致披露的缺陷具有主观随意性。

从表3可知，2012年2 223家公司披露内部控制自评报告，披露内部控制缺陷仅占披露比22.63%。即便在503家披露内部控制缺陷的公司中也存在内部控制缺陷未划分等级或未披露内部控制缺陷整改措施等问题，而且另外1 720家公司未披露内部控制缺陷，占披露比达77.37%。是内部控制没有问题还是不愿意揭露自身问题？从我国近年上市公司发生的一系列舞弊案件看，不愿意披露自身缺陷的可能性比较大。

（三）内部控制评价指标体系落实不到位

《企业内部控制规范讲解》中要求企业根据内部控制核心指标体系及参考标准形成的工作底稿作出内部控制评价结论，而实际工作中，多数上市公司在进行内部控制自我评价时采用定性分析，由内部审计或内部控制评价小组成员根据经验进行判断。由于没有将内部控制评价核心指标体系量化，各上市公司在进行内部控制自我评价时主观性较强，如果评价人员经验不足，就会造成评价结论的错误。

（四）内部控制评价报告不规范

近两年我国上市公司出具的内部控制评价报告从依据、名称到内容都不统一。例如评价依据有《上市公司规范运作指引》、《主板上市公司规范运作指引》、《创业板上市公司规范运作指引》、《深交所上市公司内部控制指引》、《企业内部控制基本规范》、《企业内部控制配套指引》、《企业内部控制评价指引》等。由于披露的依据不同，报告的名称和内容也不同。报告名称多种多样：关于内部控制有关事项的说明、董事会关于内部控制的自我评价报告、与财务报表相关的内部控制自评报告、内部控制评价报告等。评价报告披露的内容主要是有关内部环境这一要素的详细描述，而对其他四个要素如风险评估、控制活动、信息与沟通和内部监督披露较少甚至不披露。

三、完善我国上市公司内部控制自我评价的措施

（一）加强内部控制法制建设和执行力度

2010年我国内部控制规范体系的建立，表明我国内部控制建设取得了一定进步，但我国内部控制规范体系属于部门规章。美国在2001年颁布的《萨班斯法案》中就要求上市公司出具内部控制评价报告，规定了隐瞒内部控制重大缺陷、虚假披露内部控制有效性相关责任人面临的刑事处罚。与美日等发达国家相比，我国内部控制的建设还处于部门规章层面，没上升到法律的高度。因此政府监管部门面临的一项紧迫任务就是加强内部控制法制建设，做到有法可依、有法必依、违法必究，进一步提升上市公司内部控制的水平。

政府监管部门一方面要制定内部控制的相关法律，另一方面更要加强执法部门的执行力度，对违反内部控制法律法规的公司及责任人要追究相关的法律责任。实行内部控制评价信息披露的奖惩制度，做到奖罚分明，对不按法规要求披露内部控制评价报告的公司给予一定警告或处罚，同时，强化激励机制和约束机制。

（二）加强上市公司内部控制文化建设

内部控制缺陷披露不充分的主要原因可能受我国家丑不可外扬的传统文化影响，因此，充分披露内部控制缺陷，需要加强本公司内部控制文化建设，使公司管理人员勇于面对内部控制建设中的问题。公司应在各级各部门深入开展内部控制培训，向管理人员大力宣传本公司内部控制制度，使各个级别的管理人员都能理解和发现本公司内部控制缺陷，主动参与到内部控制的建设和评价中。管理人员要善于和非管理人员进行沟通，让公司所有员工积极关注与内部控制自我评价有关的法律法规和该领域的最新动态，培养员工的主人翁意识，增强公司员工的凝聚力和向心力，在公司内部形成良好的内部控制文化，为提升公司内部控制水平创造条件。

（三）量化内部控制评价指标体系

为了确保内部控制评价结论的准确性，保证内部控制评价指标体系的落实，建议监管机构量化内部控制五要素的评价标准，各上市公司根据自身实际情况对每一内部控制要素下的核心指标制定本公司的量化标准。量化内部控制评价指标体系后，各上市公司在进行内部控制自我评价时口径统一，评价报告也具有可比性。

（四）统一内部控制评价报告依据

目前我国上市公司内部控制评价报告名称和披露内容不统一，原因是评价报告的依据标准多样性。因此，建议政府监管部门统一内部控制评价报告的依据，统一评价报告的格式和内容，不仅使上市公司能明确内部控制评价报告的执行标准，而且有助于信息使用者理解和判断内部控制的有效性。

从近年上市公司内部控制评价报告的披露数量、评价结论等方面反映出我国上市公司内部控制建设不论在形式还是内容上都有明显的进步，虽然在内部控制建设过程中也存在一定的问题，但在政府和相关部门的支持和配合下，未来我国上市公司内部控制整体水平会有更高的提升。

【参考文献】

[1] 迪博上市公司风险管理技术有限公司.中国上市公司2013年内部控制白皮书[N].上海证券报，2013-06-26.

[2] 迪博上市公司风险管理技术有限公司.中国上市公司2012年内部控制白皮书[N].中国证券报，2012-06-13.

[3] 董美霞，戴松梅.我国上市公司内部控制评价研究[M].济南：山东大学出版社，2012.

[4] 郑洪涛，张颖.上市公司内部控制学[M].大连：东北财经大学出版社，2009.

[5] 财政部等五部委.上市公司内部控制基本规范[S].2008.

[6] 财政部等五部委.上市公司内部控制评价指引[S].2010.

从表3可知，2012年2 223家公司披露内部控制自评报告，披露内部控制缺陷仅占披露比22.63%。即便在503家披露内部控制缺陷的公司中也存在内部控制缺陷未划分等级或未披露内部控制缺陷整改措施等问题，而且另外1 720家公司未披露内部控制缺陷，占披露比达77.37%。是内部控制没有问题还是不愿意揭露自身问题？从我国近年上市公司发生的一系列舞弊案件看，不愿意披露自身缺陷的可能性比较大。

（三）内部控制评价指标体系落实不到位

《企业内部控制规范讲解》中要求企业根据内部控制核心指标体系及参考标准形成的工作底稿作出内部控制评价结论，而实际工作中，多数上市公司在进行内部控制自我评价时采用定性分析，由内部审计或内部控制评价小组成员根据经验进行判断。由于没有将内部控制评价核心指标体系量化，各上市公司在进行内部控制自我评价时主观性较强，如果评价人员经验不足，就会造成评价结论的错误。

（四）内部控制评价报告不规范

近两年我国上市公司出具的内部控制评价报告从依据、名称到内容都不统一。例如评价依据有《上市公司规范运作指引》、《主板上市公司规范运作指引》、《创业板上市公司规范运作指引》、《深交所上市公司内部控制指引》、《企业内部控制基本规范》、《企业内部控制配套指引》、《企业内部控制评价指引》等。由于披露的依据不同，报告的名称和内容也不同。报告名称多种多样：关于内部控制有关事项的说明、董事会关于内部控制的自我评价报告、与财务报表相关的内部控制自评报告、内部控制评价报告等。评价报告披露的内容主要是有关内部环境这一要素的详细描述，而对其他四个要素如风险评估、控制活动、信息与沟通和内部监督披露较少甚至不披露。

三、完善我国上市公司内部控制自我评价的措施

（一）加强内部控制法制建设和执行力度

2010年我国内部控制规范体系的建立，表明我国内部控制建设取得了一定进步，但我国内部控制规范体系属于部门规章。美国在2001年颁布的《萨班斯法案》中就要求上市公司出具内部控制评价报告，规定了隐瞒内部控制重大缺陷、虚假披露内部控制有效性相关责任人面临的刑事处罚。与美日等发达国家相比，我国内部控制的建设还处于部门规章层面，没上升到法律的高度。因此政府监管部门面临的一项紧迫任务就是加强内部控制法制建设，做到有法可依、有法必依、违法必究，进一步提升上市公司内部控制的水平。

政府监管部门一方面要制定内部控制的相关法律，另一方面更要加强执法部门的执行力度，对违反内部控制法律法规的公司及责任人要追究相关的法律责任。实行内部控制评价信息披露的奖惩制度，做到奖罚分明，对不按法规要求披露内部控制评价报告的公司给予一定警告或处罚，同时，强化激励机制和约束机制。

（二）加强上市公司内部控制文化建设

内部控制缺陷披露不充分的主要原因可能受我国家丑不可外扬的传统文化影响，因此，充分披露内部控制缺陷，需要加强本公司内部控制文化建设，使公司管理人员勇于面对内部控制建设中的问题。公司应在各级各部门深入开展内部控制培训，向管理人员大力宣传本公司内部控制制度，使各个级别的管理人员都能理解和发现本公司内部控制缺陷，主动参与到内部控制的建设和评价中。管理人员要善于和非管理人员进行沟通，让公司所有员工积极关注与内部控制自我评价有关的法律法规和该领域的最新动态，培养员工的主人翁意识，增强公司员工的凝聚力和向心力，在公司内部形成良好的内部控制文化，为提升公司内部控制水平创造条件。

（三）量化内部控制评价指标体系

为了确保内部控制评价结论的准确性，保证内部控制评价指标体系的落实，建议监管机构量化内部控制五要素的评价标准，各上市公司根据自身实际情况对每一内部控制要素下的核心指标制定本公司的量化标准。量化内部控制评价指标体系后，各上市公司在进行内部控制自我评价时口径统一，评价报告也具有可比性。

（四）统一内部控制评价报告依据

目前我国上市公司内部控制评价报告名称和披露内容不统一，原因是评价报告的依据标准多样性。因此，建议政府监管部门统一内部控制评价报告的依据，统一评价报告的格式和内容，不仅使上市公司能明确内部控制评价报告的执行标准，而且有助于信息使用者理解和判断内部控制的有效性。

从近年上市公司内部控制评价报告的披露数量、评价结论等方面反映出我国上市公司内部控制建设不论在形式还是内容上都有明显的进步，虽然在内部控制建设过程中也存在一定的问题，但在政府和相关部门的支持和配合下，未来我国上市公司内部控制整体水平会有更高的提升。

【参考文献】

[1] 迪博上市公司风险管理技术有限公司.中国上市公司2013年内部控制白皮书[N].上海证券报，2013-06-26.

[2] 迪博上市公司风险管理技术有限公司.中国上市公司2012年内部控制白皮书[N].中国证券报，2012-06-13.

[3] 董美霞，戴松梅.我国上市公司内部控制评价研究[M].济南：山东大学出版社，2012.

[4] 郑洪涛，张颖.上市公司内部控制学[M].大连：东北财经大学出版社，2009.

[5] 财政部等五部委.上市公司内部控制基本规范[S].2008.

[6] 财政部等五部委.上市公司内部控制评价指引[S].2010.

从表3可知，2012年2 223家公司披露内部控制自评报告，披露内部控制缺陷仅占披露比22.63%。即便在503家披露内部控制缺陷的公司中也存在内部控制缺陷未划分等级或未披露内部控制缺陷整改措施等问题，而且另外1 720家公司未披露内部控制缺陷，占披露比达77.37%。是内部控制没有问题还是不愿意揭露自身问题？从我国近年上市公司发生的一系列舞弊案件看，不愿意披露自身缺陷的可能性比较大。

（三）内部控制评价指标体系落实不到位

《企业内部控制规范讲解》中要求企业根据内部控制核心指标体系及参考标准形成的工作底稿作出内部控制评价结论，而实际工作中，多数上市公司在进行内部控制自我评价时采用定性分析，由内部审计或内部控制评价小组成员根据经验进行判断。由于没有将内部控制评价核心指标体系量化，各上市公司在进行内部控制自我评价时主观性较强，如果评价人员经验不足，就会造成评价结论的错误。

（四）内部控制评价报告不规范

近两年我国上市公司出具的内部控制评价报告从依据、名称到内容都不统一。例如评价依据有《上市公司规范运作指引》、《主板上市公司规范运作指引》、《创业板上市公司规范运作指引》、《深交所上市公司内部控制指引》、《企业内部控制基本规范》、《企业内部控制配套指引》、《企业内部控制评价指引》等。由于披露的依据不同，报告的名称和内容也不同。报告名称多种多样：关于内部控制有关事项的说明、董事会关于内部控制的自我评价报告、与财务报表相关的内部控制自评报告、内部控制评价报告等。评价报告披露的内容主要是有关内部环境这一要素的详细描述，而对其他四个要素如风险评估、控制活动、信息与沟通和内部监督披露较少甚至不披露。

三、完善我国上市公司内部控制自我评价的措施

（一）加强内部控制法制建设和执行力度

2010年我国内部控制规范体系的建立，表明我国内部控制建设取得了一定进步，但我国内部控制规范体系属于部门规章。美国在2001年颁布的《萨班斯法案》中就要求上市公司出具内部控制评价报告，规定了隐瞒内部控制重大缺陷、虚假披露内部控制有效性相关责任人面临的刑事处罚。与美日等发达国家相比，我国内部控制的建设还处于部门规章层面，没上升到法律的高度。因此政府监管部门面临的一项紧迫任务就是加强内部控制法制建设，做到有法可依、有法必依、违法必究，进一步提升上市公司内部控制的水平。

政府监管部门一方面要制定内部控制的相关法律，另一方面更要加强执法部门的执行力度，对违反内部控制法律法规的公司及责任人要追究相关的法律责任。实行内部控制评价信息披露的奖惩制度，做到奖罚分明，对不按法规要求披露内部控制评价报告的公司给予一定警告或处罚，同时，强化激励机制和约束机制。

（二）加强上市公司内部控制文化建设

内部控制缺陷披露不充分的主要原因可能受我国家丑不可外扬的传统文化影响，因此，充分披露内部控制缺陷，需要加强本公司内部控制文化建设，使公司管理人员勇于面对内部控制建设中的问题。公司应在各级各部门深入开展内部控制培训，向管理人员大力宣传本公司内部控制制度，使各个级别的管理人员都能理解和发现本公司内部控制缺陷，主动参与到内部控制的建设和评价中。管理人员要善于和非管理人员进行沟通，让公司所有员工积极关注与内部控制自我评价有关的法律法规和该领域的最新动态，培养员工的主人翁意识，增强公司员工的凝聚力和向心力，在公司内部形成良好的内部控制文化，为提升公司内部控制水平创造条件。

（三）量化内部控制评价指标体系

为了确保内部控制评价结论的准确性，保证内部控制评价指标体系的落实，建议监管机构量化内部控制五要素的评价标准，各上市公司根据自身实际情况对每一内部控制要素下的核心指标制定本公司的量化标准。量化内部控制评价指标体系后，各上市公司在进行内部控制自我评价时口径统一，评价报告也具有可比性。

（四）统一内部控制评价报告依据

目前我国上市公司内部控制评价报告名称和披露内容不统一，原因是评价报告的依据标准多样性。因此，建议政府监管部门统一内部控制评价报告的依据，统一评价报告的格式和内容，不仅使上市公司能明确内部控制评价报告的执行标准，而且有助于信息使用者理解和判断内部控制的有效性。

从近年上市公司内部控制评价报告的披露数量、评价结论等方面反映出我国上市公司内部控制建设不论在形式还是内容上都有明显的进步，虽然在内部控制建设过程中也存在一定的问题，但在政府和相关部门的支持和配合下，未来我国上市公司内部控制整体水平会有更高的提升。

【参考文献】

[1] 迪博上市公司风险管理技术有限公司.中国上市公司2013年内部控制白皮书[N].上海证券报，2013-06-26.

[2] 迪博上市公司风险管理技术有限公司.中国上市公司2012年内部控制白皮书[N].中国证券报，2012-06-13.

[3] 董美霞，戴松梅.我国上市公司内部控制评价研究[M].济南：山东大学出版社，2012.

[4] 郑洪涛，张颖.上市公司内部控制学[M].大连：东北财经大学出版社，2009.

[5] 财政部等五部委.上市公司内部控制基本规范[S].2008.

[6] 财政部等五部委.上市公司内部控制评价指引[S].2010.