上市公司内部控制自我评价

2014-10-20孙德芝

统计与决策 2014年13期

沈烈，孙德芝

（中南财经政法大学会计学院，武汉 430073）

1 问题提出

近十年来，我国理论与实务界对内控评价方面的研究一直未停止过，相关研究成果与文献资料呈逐年快速增加之势。陈关亭（2003）提出了评价整体内控的必要性，并肯定强制性披露方式的意义；王立勇（2004）提出运用可靠性理论和数理统计方法构建内部控制系统评价的分析数学模型；李斌(2009)提出上市公司内部控制模糊综合评价模型与方法，对内控的有效性和可能存在的缺陷等级进行了定量的分析；肖仲云(2008)提出要从完善治理结构、内控规范体系和评价依据入手，建立统一的评价方法体系；南京大学会计与财务研究课题组（2010）基于112个企业运用案例研究方法探讨中国企业内部控制评价五要素中28个关键控制点,通过揭示关键控制点突出的问题以及我国企业现实与国际水平的差距,为我国企业指明了在今后的内部控制建设中应该努力的方向；陈汉文、张宜霞(2008)在比较分析目前内控评价的详细评价法和风险基础评价法的基础上，提出应完善并更多运用风险基础评价法以提高成本效益的建议；张先治、戴文涛（2011）提出多层模糊综合评价方法，构建定性与定量相结合的风险控制评价指标体系。迪博·中国上市公司内部控制指数（2011年）首次发布了反映我国所有上市公司内部控制水平与风险管理能力的指数，弥补了国内关于上市公司内部控制定量评价研究的空白，并于2012年和2013年又连续发布了反映2011年度和2012年度中国上市公司的该项指数。我国政府部门、理论与实务界虽然做了上述大量的内部控制评价的探索与实践，但大都限于原则性、方法性、范围性、要素框架性的讨论、设计与尝试。

对于内控评价具体操作层面的，特别是对现实操作中呈现的具体问题及解决方案的研究及文献仍较少。本文通过对2012年度沪市公司披露的内部控制自我评价报告及内控审计报告的统计分析，尝试全面透视存在的问题，提出解决措施，以期为进一步规范我国企业内控评价工作提供有益的参考。

2 统计描述

本统计描述的范围为截至2013年5月31日上海证交所挂牌交易的941家A股披露的2012年度内控评价报告。本文的资料来源于“同花顺”、“长江证券”网上交易平台、“国泰君安”网上交易平台、上海证券交易所网站的信息披露平台，并主要采用人工方式逐一采集、分析与整理后取得。

2.1 内控评价报告披露情况

在沪市941家A股上市公司中，610家为国有控股公司，331家为民营企业。其中，单独披露独立评价报告的只有703家，占比74.7%（这其中独立且完整披露的有463家，占比49.2%，240家独立披露但内容不完整，占比25.5%），另238家只在年度财务报告中只进行了简单的附带说明而没有独立披露，占比25.3%。

2.2 内控评价范围披露情况

941家公司中有159家内控评价范围按“五要素”详细披露，占比16.9%，有204家按十八项应用指引为“对象”详细披露，占比21.68%，有133家按“对象”与“五要素”详细披露，占比14.13%，另有215家只是简要披露或描述，占比22.85%，其余230根本就没有披露其评价范围的相关信息，占比24.43%，具体情况见表1所示。

2.3 内控评价部门情况

在941家公司中，由内部评价部门与外聘会计师事务所合作完成（以下简称“内部+外部”）的有179家，占比19.02%；由临时成立的内部控制评价联合小组（以下简称“内控联合小组“）完成的有278家，占比29.54%；由内控部、内审部门或者稽核部门完成的，共占比23.97%；另有1家披露的评价部门是董事会秘书；还有1家披露的是经营管理层；其余247家的相关信息不明确，占比26.25%。具体情况见表2所示。

表1 内控评价范围披露情况表

表2 内控评价部门情况表

2.4 内控评价报告整体结构形式情况

从披露公司的内控评价报告结构来看，有的公司的评价报告由“报告页+附件”组成，即先有一个书面文件简要报告总体评价结论，然后以附件形式具体报告评价过程、范围、方法、标准、程序、详细内容、缺陷及更改等，这种结构称为“分离式”，有的公司评价报告按评价范围、方法、标准、程序、评价内容、评价过程、责任划分、整改及内控结论等整合在一个书面文件之中，这种结构称为“一体式”。在941家公司中以“分离式”报告的185家，占比约20%，以“一体式”报告的有524家，占比约55%，还有232家情况不明，基本属于没有披露内控报告的，占比约25%。

2.5 内控缺陷标准披露情况

在财务报告内控缺陷标准信息披露上，941家公司中有283家只有定性的描述而没有披露具体量化标准，占比30.07%；50家披露了其笼统的量化标准，占比5.31%；18家披露了其特殊量化标准，占比1.92%；295家按财务报告重要性水平作为其缺陷量化标准（简称“财报重要性水平量化标准”），占比31.35%，还有295家没有内控缺陷标准，占比31.35%，内控缺陷标准情况见表3所示。

表3 财务报告内控缺陷认定标准情况表

在非财务报告内控缺陷标准信息披露上，941家公司中，有373家在内控评价报告中进行了简单描述，披露定量确认标准的只有156家。

2.6 内控审计报告情况

在941家公司中，披露了内控审计报告的有634家，还有307家没有进行内控审计。从634家披露内控审计报告的情况看，其中有615家是整合审计。出具内控审计报告情况见表4所示。

表4 内控审计报告情况表

3 问题分析

虽然我国现行《企业内部控制基本规范》、《企业内部控制评价指引》中对内控评价的相关内容进行了规定和引导，但由于2012年是我国主板上市公司强制披露的第一年，企业在实施过程中出现了理解或者执行力不同而导致的许多差异与问题，现依据上述统计表进行分析。

3.1 评价范围的内容披露缺失或过于简单

内部控制评价范围是判断内控评价是否全面、合规的重要依据，亦是内控评价评价报告必须披露的重要内容。然而在941家公司中215家公司的内控评价报告没有披露具体的范围内容，只是用几句话进行概括，既没有按内控规范中规定的五要素涵盖的内容进行描述，也没有按内控应用指引中包括的十八项具体内容来进行披露；另230家根本没有提及评价范围，使得评价报告的使用者无法根据评价报告判断公司是否根据国家内控评价规范要求和企业内控评价手册的要求进行了自我评价。

3.2 内控缺陷认定定量标准或悬殊或不明确

大多数公司披露的内控缺陷认定标准是直接引述《企业内部控制评价指引》中重大、重要和一般缺陷的定义，未制定或披露适用于企业实际情况的具体认定标准。对于财务报告内控缺陷定量认定标准也是千差万别，约30%的企业财务内控缺陷只有简单文字描述，企业没有具体量化标准，31.35%的企业根本没有披露内控缺陷定量认定标准，只有不到40%的企业披露了定量标准。从披露了定量标准的企业看，大部分采用财务报告重要性水平标准，这也是目前实务界广泛采用的标准，此标准易于操作，适用于大多数行业；有的以直接损失金额为标准，以此为标准的企业一般也不区分财务报告和非财务报告内控缺陷标准；有的是笼统量化标准；有的根据定性和定量因素，进行综合评级来确定，目前银行、证券、保险等金融行业运用此类标准较多。对于非财务报告缺陷的量化标准的问题就更严重了，披露定量标准的不到20%，大部分基本没有提及非财务报告缺陷量化标准。由此不得不令人质疑，没有披露财务与非财务缺陷定量标准的，到底是有标准而因疏于披露，还是根本就没有而无法披露，还是其标准因经不起检验而不敢披露？定量标准笼统化或同一缺陷定量标准悬殊性是否导致情形相同的企业面对同一缺陷认定的程度（重大、重要及一般）的差异性？这些疑问的存在，进而不得不让人对2012年沪市941家上市公司中仅有一家内部控制是无效的结论产生大大的问号。

3.3 评价部门呈现随意混乱现象

从表2现的已披露其评价部门的上市公司的统计数据可知，上市公司内控评价部门的确定带有很大随意性，呈现出较为混乱的局面。其弊端较为明显：一是权威保障性不够。不少企业虽然设立或指定了评价部门或牵头部门，而未按《指引》设置专门的内部控制评价领导机构作为组织保障与支撑，因此评价工作开展起来常常遇到这样或那样的阻力。二是技术性不够。内部控制评价工作的技术性、政策性与程序性要求都很高，且需要投入大量的时间与精力。然而，不少企业仅匆匆抽调一些所谓的业务骨干组建成临时的评价组织，或临时指定一个部门单独或牵头履行评价职能，这些成员大都未进行专门的系统学习与培训就投入到评价工作中去，如此开展的评价工作的技术含量如何可想而知。更有甚者，仅成立由公司董事长或总经理牵头，各部门负责人或骨干共同组成的联合小组来开展评价工作，还有的披露的评价部门居然仅仅是董事会秘书处，实在难以想象，这些评价组织的成员在履行其既有职能与责任的同时，是否有时间与精力去掌握内控相关的评价技术与流程，是否有可能有大量且相对集中的精力投入到内控评价工作中？三是独立性不够。内控自我评价部门虽然不可能追求完全的独立，但相对的独立不可忽略。因此将评价工作交由各部门抽调的人员组成的评价部门、或由制定内控规则的内控部门完成，无疑存在相对独立性弱的诟病，而将内控自我评价工作交由经营管理层进行更是难以理解与接受。四是持续性不够。内控自我评价是一项制度化、长期化、经常化的工作。但在评价部门的设立与建设上，不少企业却过度倚重外力，不注意培育企业自身稳定的、专业的队伍与机构。从2012年沪市反应的情况看，依靠“内部+外部”来开展评价工作的比例仍然偏大（实际上这其中还有一定比例的企业是完全依靠外力，譬如中介机构、管理咨询公司来完成的），这种形式虽然不违规，且中介机构、管理咨询公司经验较丰富，效率较高，但应尽量只在初次开展与学习内控评价时采用，不适合长期存在，因为毕竟外力对企业业务方面的具体情况，特别是非财务报告内控方面的各种活动和控制的熟悉程度有限，对相关缺陷的问题与根源性分析不可能深入细致，外加所聘请的外力是要支付较高费用的，其投入的时间又相对集中于期末，不利于企业内控评价工作的持续、定期、常态的开展。

3.4 其他方面问题

除上述主要问题外，2012年沪市上市公司内控自我评价还存在着诸如时点评价的成份浓重、外部评价（审计）不到位等其他问题。就企业内控有效性评价本身而言，应是对其时期有效性的评价。但大部分企业对此信息的披露含糊其词，或披露的信息与实不符。据我们结合相关的调查分析，许多企业名为时期评价，但实际上其评价结论并没有平时开展评价分析结论与相关记录作支撑，更多的是在年末组成人马对评价日（通常为资产负债日）的内控状况进行分析评价得出的结论，即实为时点有效与否的结论。内控外部评价的问题也不少，比如披露了内控评价报告家数为703家，可是出具内控审计报告的只有634家，这不符合内控规范的相关要求。另外出具内控审计报告的公司中只有615家进行整合审计，也就是说有部分公司财务报告审计与内控审计分别由不同的事务所来完成，这虽然不违规，但与成本效益原则、高效高质的内控审计要求相冲突。

4 完善建议

4.1 完善相关法规，明确相关信息披露责任

上市公司最大也是最直接的利益相关者是其投资者。内部控制的有效与否不仅影响其财务报告的真实性和经营效率，而且对其战略实现与可持续发展产生深刻影响。为了规范我国资本市场，保护投资者利益，应借鉴美国的思路，将上市公司内部控制的相关要求由部门规章层面上升到法律层面予以规范，尤其是要以法律形式明确和细化对内部控制评价的要求。朱荣恩等（2003）提出过要加强法律监管。笔者认为应修改证券法中关于首发股票和增发股票的条件，补充增加披露内控评价的相关条款，规定上市公司在首发和增发股票之前，要出具经注册会计师审计的内控评价报告。同时明确规定上市后公司内控评价信息披露的基本要求及违反责任，以提升其法律意识。

4.2 细化指引或指南，相对统一评价范围及披露要求

针对上市公司内控评价报告内容不完整或过于简单的现象，笔者建议，应将《指引》中评价范围的内容细化或明确化，甚至给出上市公司披露的标准模版，对于需要变化的内容留出空白，以实现相对的统一。与此相配套，还应比照中国注册会计师协会针我国中小会计师事务所质量控制工作的乱象而编写和下发《小企业工作底稿》作为注册会计师执业时记录工作底稿的样本的做法，将内控评价范围框架按内部控制五要素或者十八项指引再转化为工作底稿形式，将每一要素或者项目进行细分为可操作的评价形态（具体的指标或关键控制点，评价形式与具体方法），再以指南或指引形式提供企业，以使实际评价的内容与评价范围实至名归，落到实处。