内部控制能预防和降低企业风险吗?

戴文涛，纳鹏杰，马 超

(1.云南财经大学 商学院，云南 昆明 650000;2.南开大学 中国公司治理研究院，天津 300071)

一、引 言

21世纪初，安然、世通等一连串财务舞弊事件的发生促使美国的参众两院在短短半个月内迅速弥合分歧，以压倒性多数紧急通过了“萨班斯—奥克斯利法案”(以下简称SOX法案)。该法案对上市公司治理和内部控制进行的前所未有的严格要求和限制格外引人关注，激起了国内外资本市场监管部门和研究机构的快速反应。为执行SOX法案，美国的SEC(证劵交易委员会)对企业内部控制报告的具体内容和形式进行了详细规范，美国的COSO将内部控制置于风险管理的平台上进行研究和阐释，发布《企业风险管理——整合框架》。借鉴美国的做法，世界其他各国政府监管部门和研究机构纷纷发布内部控制相关法律法规、内部控制框架或风险管理框架，中国财政部等五部委于2008年6月28日联合发布被称为中国版的SOX法案—— 《企业内部控制基本规范》 (以下简称《基本规范》)，并在2010年4月26日发布《企业内部控制配套指引》。上述情况表明，理论和法律层面都认为内部控制能够预防和降低企业风险。

相比于内部控制预防和降低企业风险的理论研究而言，针对内部控制降低企业风险所进行的严谨的实证研究在国外 (尤其是美国)却鲜有见到。其原因主要有两点:一是进行这类研究涉及企业内部控制质量综合评价，而美国国会和公共监督委员会 (POB)都要求上市公司将内部控制框架作为评价企业内部控制有效性的标准，企业内部控制自我评价和注册会计师的内部控制审计是按照内部控制五要素对企业内部控制制度设计和运行的有效性进行定性评价，这使得开展内部控制实证研究缺乏相应的数据支持。尽管有学者如Botosan［1］和Moerland［2］进行了内部控制综合评价方面的研究，但这些研究以企业自愿披露的内部控制信息为基础，评价结果仅仅反映企业内部控制信息披露情况。二是西方学术界一直把追求价值最大化作为企业目标，企业价值包含了市场对公司基本面的判断，如股价既包含了业绩，同时也对风险给出了价格［3］，因而将研究重点较多地集中在企业行为对企业价值或企业绩效的影响方面，忽略了企业行为对企业风险产生的影响。

在内部控制理论研究与实践方面，美国一直走在前列。SOX法案实施前，企业内部控制信息披露属于自愿披露，只有少数公司在定期报告中披露管理层内部控制情况，因此，有关内部控制的实证研究成果较少，仅有少数学者如 Raghunandan和Rama［4］以及Hermanson［5］研究了内部控制的自愿性披露。SOX法案的第302节和第304节的强制性内部控制信息披露条款不但极大地促进了企业内部控制的建设和完善，而且催生了一大批内部控制实证研究成果。从实证研究主题看，相关成果主要集中在四个方面:一是自愿性内部控制披露的影响因素。二是内部控制缺陷存在的决定因素。三是企业内部控制信息披露和内部控制质量。四是内部控制缺陷产生的经济后果。其中，研究内部控制缺陷产生的经济后果的文献较多，基于不同的研究视角，这些研究的关注领域又有较大的不同:将内部控制缺陷视为财务报告内部控制较差的标志时，关注内部控制质量对财务信息质量的影响［6］;将内部控制缺陷视为存在较高的审计风险标志时，关注内部控制与审计费用、审计师变更和审计延迟［7－8］;将内部控制缺陷视为企业存在较高风险的标志时，关注内部控制缺陷对权益资本成本的影响［9－10］;将内部控制缺陷视为一种信息披露时，关注内部控制信息披露的市场反应［11－12］;将内部控制缺陷视为公司治理存在问题的标志时，关注内部控制与公司治理和投资者保护［13］。

国内学者也主要从上述方面展开了内部控制实证研究。林斌和饶静［14］研究了自愿性内部控制披露的影响因素;田高良等［15］研究了内部控制缺陷存在的决定因素;张国清［16］研究了内部控制与审计费用、审计师变更和审计延迟;李超和田高良［17］研究了内部控制缺陷与权益资本成本;程晓陵和王怀明［18］、张先治和戴文涛［19］以及杨德明和林斌［20］研究了内部控制与公司治理和投资者保护。相比较而言，国内学者的关注重点更多地集中在中国上市公司内部控制披露、内部控制质量对财务信息质量的影响以及内部控制信息披露市场反应方面，仅有少数学者研究了中国上市公司内部控制质量。

内部控制理论的核心思想是预防和降低企业风险。上述成果从多个方面开展了内部控制实证研究，但对内部控制与企业风险的关系缺乏研究。美国学者没有进行这方面的研究是因为西方学术界一直把追求价值最大化作为企业目标，企业价值包含了市场对公司基本面的判断，如股票价格既包含了业绩，同时也对风险给出了价格，因而偏重于企业行为对企业业绩或价值的考察，忽略了企业行为对企业风险产生的影响。但是由于信息不对称不可能完全消除、完美的资本市场条件很难实现，使得市场很难对企业风险做出准确的评估。在中国，由于存在投资者法律保护不健全、公司治理有缺陷和资本市场发展不完善等问题，公司的股票价格很难反映公司的基本面，企业风险更难以通过企业价值或绩效进行判断，关注企业行为对企业风险产生的影响更为关键，研究内部控制与企业风险的关系非常必要。

二、理论分析与研究假设

内部控制发展到今天，经历了内部牵制、内部控制制度、内部控制结构、内部控制整体框架和企业风险管理整合五个阶段。虽然其概念、包括内容和范围等发生了多次变化，但其控制风险的本质依然没有发生改变。在内部控制萌芽阶段——内部牵制阶段，内部牵制的目的是查错防弊，控制财产丢失和私自挪用风险;在内部控制现代阶段——内部控制制度阶段，内部会计控制的目的是保护企业财产安全与会计信息真实可靠，防止财产损失和财务舞弊风险;在内部控制发展阶段——内部控制结构阶段，内部控制的目的除了规避财产损失和财务舞弊风险外，增加了防止经营活动效率低下风险［21］;在内部控制整体阶段，内部控制的目的是为了防止企业活动偏离内部控制目标的风险;在企业风险管理整合阶段，内部控制作为风险管理的重要组成部分 (风险管理框架中超过60%的内容属于内部控制框架)，防范企业风险是内部控制的最重要功能。

按照COSO的内部控制定义，①COSO将内部控制定义为由企业董事会、经理层和其他员工实施的、为营运效率效果、财务报告的可靠性及相关法律法规的遵循等目标的达成提供合理保证的过程。可见，企业内部控制的主体是包括企业董事会和管理层在内的全体员工。内部控制客体是企业各层次的经营管理活动。企业内部控制从控制内容角度可分为以董事会为主体的公司治理控制、以管理者为主体的管理控制和以企业员工为主体的作业控制或任务控制;控制的对象是公司治理中的治理风险、经营活动中的经营风险、财务风险及员工的作业风险;控制的目的是预防和降低公司治理风险、管理风险和作业风险。由于上述三种风险是风险管理的具体内容，因此，内部控制和风险管理并无本质上的区别，内部控制是从控制目的反映风险控制目的，风险管理是从控制内容反映风险控制目的，他们的目的都是为了控制风险 (或风险控制)。

企业目标是企业的最高目标或终极目标，不论是COSO的企业风险管理四目标，还是中国的内部控制五目标，都应当与企业目标相一致。企业目标首先是生存 (即可持续)，其次是发展和盈利，可持续是企业最基本的需求，发展是企业可持续的重要保证，盈利是企业的终极目的。在企业目标确定为实现可持续发展和企业价值最大化的情况下，内部控制的目标应分为基本目标 (或总体目标)和具体目标两个层次。企业内部控制的总目标是企业目标，企业内部控制的具体目标是企业目标的分目标，表现为企业战略、资产安全、财务报告、效率效果和合法合规目标。因此，企业内部控制目标的实现程度决定了企业目标的实现程度，企业内部控制目标的设定是为了保证企业目标的实现，预防和降低企业风险。

任何偏离企业内部控制目标的重大行为、过程和结果都意味着企业存在风险，都需要采取一定的控制活动。企业在进行这些控制活动时首先进行目标设定，识别影响内部控制目标实现的各种潜在风险，然后采用定性或定量方法分析各种潜在风险发生的可能性以及对企业内部控制目标实现的影响程度，提出各种风险应对方案，经过分析论证与评价从中选择最优方案加以实施，最后测试与评价企业内部各项管理制度和业务流程的合理性和有效性。因此，从内部控制的整个流程或方法看，企业内部控制活动就是对企业风险的控制，内部控制的功能就是预防和降低企业风险［19］。

基于上述分析，我们提出如下核心假设:

H1∶企业内部控制与企业风险呈负相关关系，企业内部控制质量越高，企业风险越低。

企业内部控制有四个目标，任何一个目标没有达到预期目的则意味着内部控制存在缺陷，从而增加企业风险。因此，本文提出以下四个子假设:

H11:企业战略目标控制与企业风险呈负相关关系。

H12:企业财务报告目标控制与企业风险呈负相关关系。

H13:企业经营活动效率效果目标控制与企业风险呈负相关关系。

H14:企业遵守相关法律法规目标控制与企业风险呈负相关关系。

三、研究设计

(一)样本选取与数据来源

本文以2011年沪、深上市公司作为初选样本，并按以下原则进行筛选:(1)不考虑金融类上市公司。这是由于金融类公司的特性与一般上市公司存在较大差异而将之剔除。(2)剔除2009—2011年和2010—2012年间上市的公司。企业内部控制是一个不断完善的过程，期限太短，计算出的内部控制指数不科学、不合理。(3)剔除创业板和中小板上市公司。《基本规范》及配套指引首先在境内外上市公司和主板上市公司强制实行，对创业板和中小板上市公司则是择机实行，创业板和中小板上市公司内控信息披露较少，无法计算出内部控制指数。(4)剔除所需数据缺失的公司。最终获得研究样本2 437个。为剔除极端值的影响，本文对样本数据进行上下1%分位数的Winsorize处理。

(二)变量定义

1.企业风险

企业风险尽管按照分类标准的不同表现为不同的形式，如按来源分，分为外部风险和内部风险;按控制程度分，分为可控风险和不可控风险;按形成原因分，分为主观风险和客观风险。但从企业管理的角度看，企业风险主要分为经营风险和财务风险两大类［22］。由于经营风险是企业经营活动中固有的风险，主要来自客观经济环境的不确定性，如经济形势和经营环境的变化、市场供求和价格的变化、税收政策和金融政策的调整等外部因素很难控制，也不易准确地进行度量，因此，本文选择较易控制、较易度量的财务风险作为企业风险替代变量。

企业财务风险替代变量来源于两类:一类是以资本市场数据为基础形成的变量，如股票收益波动率和贝塔系数等;另一类是以会计数据为基础形成的变量，如利润的波动率和负债比例等。在西方发达国家，由于资本市场较成熟、投资者保护程度较高等因素，常常选择股票收益波动率和贝塔系数作为财务风险替代变量。在中国，由于资本市场不发达、相关的法律法规不健全和投资者具有强烈的投机动机等原因，有学者如陈文婷和李新春［23］以及于富生等［3］认为，股票收益波动率和贝塔系数等并不是反映企业财务风险的较好变量;会计数据虽然可能存在很大的噪音如盈余管理等因素，但相比之下，它比资本市场数据衡量企业风险更合理。因此，我们以会计数据为基础，参照于富生等［3］的做法，用样本公司的Z指数作为企业财务风险替代变量，①美国纽约大学斯特恩商学院教授阿特曼 (Edwary Altman)通过对美国破产和非破产企业的大量财务比率数据进行数理统计分析并筛选后，在1968年提出了用于判别企业是否处于财务困境的多变量模型——Z－score模型。按照该模型，Z指数越大，企业财务风险越小;反之，企业财务风险越大。其计算公式如下:

2.内部控制变量

企业实施内部控制的目的是保证内部控制目标的实现。南开大学中国公司治理研究院发布的中国上市公司内部控制指数以内部控制目标实现程度为评价对象进行编制，内部控制指数的大小代表了企业内部控制质量的高低。因此，我们选择内部控制指数作为内部控制替代变量，选择代表内部控制各目标实现程度的四个分指数——战略目标分指数、财务报告目标分指数、效率效果目标分指数和法律法规遵循目标分指数作为各目标控制质量替代变量，深入考察企业内部控制与企业风险的关系。

3.控制变量

根据相关文献以及中国制度背景和上市公司实际情况，我们设置以下控制变量:(1)公司规模。“船小易调头，船大宜冲浪”。陈文婷和李新春［23］以及张敏和黄继承［24］的研究发现，公司规模越大，其抗风险能力越强。我们预计该变量的回归系数为正。(2)公司的成长性。快速成长企业以发展速度快为主要特征，一般在投资规模与融资规模等方面比较大，面临着高度不确定性的环境，如产品和技术的更新速度比较快，稍有不慎，企业就可能陷入财务困境。我们预计该变量的回归系数为负。(3)上市公司年限。上市公司的年龄越长，其业务和客户就会越成熟、稳定。于富生等［3］以及张敏和黄继承［24］的研究发现，上市公司年龄越大，企业风险相对较小。我们预计该变量的回归系数为正。(4)最终控制人性质。中国上市公司的大部分是由国有企业或其他政府控制的实体重组改制而成，尽管改制后的上市公司获得了形式上的独立，但是他们与母公司、政府的关系始终是唇齿相依的关系，当受到风险威胁时，国有控股上市公司比其他性质的上市公司获得的帮助要大。我们预计该变量的回归系数为正。(5)净资产收益率。公司盈利能力越强，企业价值越大，而且在外部环境变化不大的前提下，其收益波动的幅度也较小［24］。我们预计该变量的回归系数为正。

此外，我们还设置了11个行业哑变量，以控制行业因素。行业哑变量以证监会《上市公司行业指引 (2001)》划分的13个行业为依据，去除金融业后，以农业为基准进行设置。变量具体定义如表1所示。

表1 变量定义表

(三)模型设定

借鉴于富生等［3］以及张敏和黄继承［24］的研究成果，我们建立如下的OLS回归模型:

Zi=a0+a1NKZSi+a2SIZEi+a3GROWi+a4AGEi+a5OWNERi+a6ROEi+a1j∑11j=1INDj+εi

其中，NKZSi变量分别为内部控制指数、企业战略目标分指数、财务报告目标分指数、效率效果目标分指数和法律法规遵循目标分指数;a0为常数项;ai为相应变量的回归系数;εi为残差项。

四、实证检验结果

(一)主要变量描述性统计

表2列示了主要变量描述性统计。从表2中可见，样本公司的Z指数最小值为－6.210，最大值为239.142，均值为65.228，中位数为52.416，标准差为51.337，表明样本公司间的风险水平差异较大。企业内部控制指数最小值为37.521，最大值为94.183，均值为67.063，标准差为9.322，表明样本公司总体内部控制水平较低，内部控制状况差异较大。公司战略目标分指数、财务报告目标分指数、效率效果目标分指数和法律法规遵守目标分指数也显示了大致相同的趋势。上述数据特征便于我们考察内部控制与企业风险的关系。

表2 主要变量描述性统计

表3列示了检验模型中各变量的Pearson相关分析结果。从表3中可见，Z指数与EICI、STRA、ICFI、ICEI、ICLI、SIZE和ROE显著正相关，说明企业内部控制能够降低企业风险;规模大、盈利能力强的公司，其风险水平较低。表3的结果初步支持内部控制与企业风险呈负相关关系 (企业内部控制质量越高，企业风险越低)的研究假说。

表3 相关变量的Pearson相关分析结果

我们还按内部控制指数高低进行分组，对比检验了内部控制水平高、低企业的Z指数均值和中位数差异。表4结果显示，无论是均值检验还是中位数对比检验，内部控制水平高的企业，其Z指数显著高于内部控制水平低的企业，进一步说明内部控制质量高的企业，其风险越小，初步提供了内部控制能够预防和降低企业风险的证据。

表4 按内部控制水平分组的企业Z指数对比检验

(二)回归检验

表5列示了以Z指数作为企业风险替代变量、分别以内部控制指数、战略目标分指数、财务报告目标分指数、效率效果目标分指数和法律法规遵守目标分指数作为解释变量的OLS回归结果。

在模型1中，我们的解释变量是内部控制指数EICI。从回归结果来看，EICI对企业风险变量Z指数的回归系数为0.221，且在1%的显著性水平上显著，验证了核心假设。表明在控制了其他一些因素后，企业内部控制质量越好，企业风险越低。从控制变量的回归结果看，除SIZE变量外，其他控制变量如GROW、ROE、AGE和OWNER的回归系数和预计一致，但GROW和ROE没有通过显著性检验。SIZE的回归系数为负但不显著，和我们预计的符号相反。我们认为，出现这一结果与中国上市公司特殊的制度背景有关。中国上市公司的大部分由国有企业改制而来，为了达到上市的目的和要求，一些地方政府和部门采用“拉郎配”的方法，硬性规定联合的对象和范围，扩大企业规模，但合并后的企业由于缺乏内在的经济技术联系，规模并不经济。另外，国有控股上市公司的董事长和总经理等通常由组织部门或上级主管部门任命，本质上并不是企业家，政府部门采用的绩效考核指标如营业收入、新上项目和就业职工等，导致很多企业通过扩大投资和兼并收购等形式盲目扩大企业规模，由于缺少具有核心竞争力的产品和技术，贪大图快的结果削弱了企业抵御风险的能力。

在模型2、模型3、模型4和模型5中的解释变量分别为战略目标分指数、财务报告目标分指数、效率效果目标分指数和法律法规遵守目标分指数。从回归结果看，四个分指数对企业风险的回归系数都显著为正，支持四个分假设，表明企业内部控制的各个目标都是非常重要的，任何一个目标没有达到预期目的则意味着内部控制存在缺陷，从而增加企业风险。同时，还说明在企业内部控制总体质量确定的情况下，企业内部控制目标实现的个数越多，企业风险水平越低。模型2和模型4中的控制变量回归结果和模型1结果一致，模型3和模型5中的SIZE符号和理论分析一致，但并不显著，其他控制变量和模型1结果一致。

表5 内部控制质量与企业风险OLS回归结果

(三)稳健性检验

为验证上述结论是否可靠，我们参照陈文婷和李新春［23］的做法，将企业财务风险变量替换为权益乘数，对模型重新进行回归，回归结果和表5基本一致。此外，由于本文的样本中包含ST公司，而这类公司的风险一般较大，我们将它们剔除，重新进行了回归分析，发现结论仍然保持不变。因此，本文采用OLS方法得到的结论是稳健可靠的。

五、结论与建议

本文利用南开大学中国公司治理研究院发布的中国上市公司2011年和2012年内部控制指数和各目标分指数，研究了企业内部控制与企业风险的关系。结果表明，企业内部控制与企业风险呈显著负相关关系，企业内部控制质量越高，企业风险越小;企业内部控制各目标控制质量和企业风险呈显著负相关关系，任何一个内部控制目标没有实现都会增加企业风险。

本文的研究为企业内部控制理论提供了经验证据，也说明国家监管部门不遗余力地致力于提高中国企业内部控制质量的做法是非常必要的，国家应借鉴美国通过SOX法案强化企业内部控制的做法，制定更高层次的内部控制法律，强制企业提高内部控制质量;同时，还应重视企业内部控制评价，要求企业及时、全面地披露内部控制信息，尽快建立内部控制内部报告制度。

此外，本文的研究还从另一个侧面说明南开大学中国公司治理研究院发布的中国上市公司内部控制指数具有较高的科学性、说服力和可信度。该指数从独立的第三方——政府监管部门 (或科研机构)评价内部控制目标实现程度角度，采用众多内部控制专家、学者如Huang等［25］以及张先治和戴文涛［19］认可的多层模糊综合评价模型进行编制。由于利用该数据获得了与理论预期相一致的实证结果，我们相信，该指数具有较高的实用价值。

［1］Botosan，C.A.Disclosure Level and the Cost of Equity Capital［J］.The Accounting Review，1997，72(3):323－349.

［2］Moerland，L.Incentives for Reporting on Internal Control:A Study of Internal Control Reporting Practices in Finland，Norway，Sweden［M］.The Netherlands and United Kingdom，Maastricht University，2007.

［3］于富生，张敏，姜付秀，等.公司治理影响公司财务风险吗?［J］.会计研究，2008，(10):52－59.

［4］Raghunandan，K.，Rama，R.V.Management Report after COSO［J］.Internal Auditor，1994，(8):54－59.

［5］Hermanson，H.M.An Analysis of the Demand for Reporting on Internal Control［J］.Accounting Horizons ，2000，14(3):325－341.

［6］Doyle，J.，Ge，W.，McVay，S.Accruals Quality and Internal Control over Financial Reporting［J］.The Accounting Review，2007，82(5):1141－1170.

［7］Chris，E.H.，Michael，S.W.Evidence on the Audit Risk Model:Do Auditors Increase Audit Fees in the Presence of Internal Control Deficiencies?［J］.Contemporary Accounting Research，2008，25(1):219－242.

［8］Yan，Y.C.Associations between SOX 404 Opinions and Auditors，Audit Committees，and Executives［D］.Doctoral Dissertation，Florida International University，2007.

［9］Ogneva，M.，Subramanyam，K.R.，Raghunandan，K.Internal Control Weakness and Cost of Equity:Evidence from SOX Section 404 Disclosures［J］.The Accounting Review，2007，82(5):1255－1297.

［10］Ashbaugh－Skaife，H.，Collins，D.W.，Kinney，W.R.，Lafond，R.The Effect of SOX Internal Control Deficiencies on Firm Risk and Cost of Equity［J］.The Accounting Review，2008，83(1):217－250.

［11］Hammersley，J.S.，Myers，L.A.，Shakespeare，C.Market Reactions to the Disclosure of Internal Control Weaknesses and to the Characteristics of Those Weaknesses under Section 302 of the Sarbanes Oxley Act of 2002［J］.Review of Accounting Studies，2008，13(1):141－165.

［12］Jams，H.I.The Information Content of Internal Controls Legislation:Evidence from Material Weakness Disclosures［D］.Doctoral Dissertation，University of North Carolina at Chapel Hill，2006.

［13］Goh，B.W.Internal Control Failures and Corporate Governance Structures:A Post Sarbanes－Oxley Act(SOX)Analysis［D］.Doctoral Dissertation，Georgia Institute of Technology，2007.

［14］林斌，饶静.上市公司为什么自愿披露内部控制鉴证报告?［J］.会计研究，2009，(2):45－52.

［15］田高良，齐保垒，李留闯.基于财务报告的内部控制缺陷披露影响因素研究［J］.南开管理评论，2010，(4):134－141.

［16］张国清.自愿性内部控制审计的经济后果:基于审计延迟的经验研究［J］.经济管理，2010，(6):105－112.

［17］李超，田高良.上市公司内部控制质量与权益资本成本关系研究［J］.中国注册会计师，2011，(1):61－65.

［18］程晓陵，王怀明.公司治理结构对内部控制有效性的影响［J］.审计研究，2008，(4):53－61.

［19］张先治，戴文涛.中国企业内部控制评价系统研究［J］.审计研究，2010，(1):38－41.

［20］杨德明，林斌.内部控制、治理环境与投资者保护［J］.证券市场导报，2010，(4):53－60.

［21］戴文涛.内部控制学科体系构建［J］.审计与经济研究，2010，(2):80－86.

［22］武艳，张晓锋，张静.企业风险管理［M］.北京:清华大学出版社，2011.

［23］陈文婷，李新春.上市家族企业股权集中度与风险倾向、市场价值研究［J］.中国工业经济，2008，(10):139－149.

［24］张敏，黄继承.政治关联、多元化与企业风险［J］.管理世界，2009，(7):156－164.

［25］Huang，S.M.，Hsieh，P.G.，Taso，H.S.，Hsu，P.Y.A Structural Study of Internal Control for ERP System Environments:A Perspective from the Sarbabes－Oxley Act［J］.International Journal of Management and Enterprise Development，2008，5(1):102－121.