中国上市公司内部控制缺陷披露存在的问题及建议

冯浩 何蔚

摘要：内部控制缺陷的披露是内部控制评价报告中的核心问题，目前我国上市公司内部控制缺陷的披露存在认定标准、等级界限模糊不清等问题。本文从理论和实践两方面分析内部控制缺陷披露存在问题的原因，提出了完善内部控制缺陷披露的建议。

关键词：内部控制缺陷披露 问题分析 建议

一、中国上市公司内部控制缺陷披露情况

中国经济的快速发展给企业创造了机遇也带来了风险，经过调查统计，中国企业的平均寿命为三年左右。近年来，企业为了持续健康地发展，开始重视内部控制的建设，同时为加强和规范企业内部控制，五部委要求我国沪深主板上市公司自2012年起须根据《企业内部控制配套指引》的规定披露内部控制自我评价报告。指引规定上市公司在披露内控缺陷时应根据影响程度大小划分为重大、重要和一般缺陷，具体操作由企业根据自身实际情况确定。根据财政部会计司统计的结果显示，2012年我国上市公司整体上能按照指引的规定进行披露。在披露了内控评价报告的2244家公司中，有8家上市公司披露存在内部控制重大缺陷，占比0.36%，其余2236家公司均未披露存在内部控制重大缺陷。而在2011年，沪深两市1819家上市公司中，只有1428家上市公司披露了内部控制评价报告，156家公司在内部控制评价报告中披露了内部控制缺陷，占比9.38%，3家上市公司披露存在重大缺陷，占比0.16%，尽管2011年与2012年披露存在重大缺陷的比例还显著低于美国上市公司披露比例的14%，但也说明我国扩大内部控制规范实施范围之后，上市公司在内控缺陷披露质量这一方面取得了一定了成效。但我们也要看到，我国上市公司内控缺陷披露仍存在一些问题。

二、内部控制缺陷披露存在的问题及原因分析

（一）内部控制缺陷披露存在的问题

披露内部控制缺陷对于上市公司来说是一个“坏消息”，上市公司披露内部控制缺陷会对股价产生消极影响，理性投资者由于逐利性，将会减少对存在内控缺陷的上市公司的投资，最终致使股价下跌。Richardson等（2003）的研究也证实了这一点，他们发现宣布财务报告重述的上市公司，股票价格平均下降率为25%。Rice等（2011）的研究认为，披露重大缺陷可能会导致更高的融资成本，所以准备近期融资的上市公司将不会披露存在内控缺陷。在实际操作中，大部分上市公司对于内部控制缺陷的披露，仅仅是因为指引的规定，为了披露而披露，不能认真细致地审视自身存在的内部控制缺陷，在披露内部控制缺陷具体内容时也只是浅尝辄止，如管理制度制定得不够合理、内部控制执行力度不够、规章制度不够细化等等，不能够结合自身实际具体说明，缺乏准确性。根据我国2012年上市公司披露的内部控制评价报告分析和总结，内部控制缺陷披露存在以下方面的问题：

1.上市公司回避披露内部控制缺陷

在我国2012年扩大了企业内部控制规范的实施范围和进一步细化内部控制规范后，大部分上市公司为了企业声誉回避披露内控缺陷。数据表明2012年只有19.48%的上市公司披露存在内部控制缺陷，其中披露存在重大缺陷的上市公司占比0.36%，多数上市公司内部评价报告中仅披露存在一般缺陷，甚至，被注册会计师出具了否定意见的上市公司，在内部控制自我评价报告中依然认为不存在缺陷，并得出公司内部控制在总体上是有效的结论，如贵糖股份（000833）在2012年度被注册会计师出具了否定意见的内部审计报告，然而贵糖股份在2012年内部控制评价报告中，依然认为自身财务报告内部控制有效。

2.内部控制缺陷认定标准不够精细

2012年度，734家上市公司披露了内部控制缺陷评价标准，但是报告中并未按照《企业内部控制评价指引》的要求披露内部控制缺陷具体认定标准，或是援用评价指引中对重大缺陷、重要缺陷和一般缺陷分类的定义作为认定标准，如长航凤凰（000520）就是以内控缺陷的定义作为认定标准，并没有实质性地按照自身内控缺陷的特性来确定认定标准，导致不能全面地考察该公司所存在的内控风险。有些制造类上市公司对于存货和固定资产的风险把控不严，只是考虑已经发生的损失，而产品的更新换代或由于技术的发展而导致固定资产存在潜在的损失，并没有体现在内部控制自我评价报告中。

3.内部控制缺陷等级界限模糊

我国指引规定上市公司在披露内控缺陷时根据影响程度大小划分为重大、重要和一般缺陷，具体操作由企业根据自身实际情况来落实。指引中对各等级内部控制缺陷只作了大致的性质界定，而上市公司由于披露存在内控缺陷会对公司股价和自身声誉造成消极影响，大都抱着大事化小、小事化无的态度，模糊内控缺陷等级的边界，用词含糊，在披露具体内容上用笼统的说法一带而过，并且由于可操作性较差，部分上市公司在披露内部控制缺陷时未给缺陷按照重大、重要、一般缺陷进行分类，也并没有明确这三个等级的界限，如何区分重大缺陷、重要缺陷及一般缺陷，上市公司在自我评价报告中并没有作定量规定和明确说明。内部控制缺陷等级界限的模糊不清，将直接影响披露信息的准确性和有效性。

（二）内部控制缺陷披露存在问题的原因分析

我国指引中对内控缺陷只做了概念解释，没有明确指出企业要如何来确定自身所存在的内控缺陷。理论上，我国学者从多角度来划分内控缺陷，造成了实际操作的指导混乱，所以内控缺陷等级的划分一般是根据注册会计师的主观判断来确定，在披露内部控制缺陷的实际操作中，《企业内部控制评价指引》并不能给上市公司明确的指引，这必然会引起内部控制缺陷认定的困境，下面将从理论和实践两个方面进行分析：

1.理论方面

对于内部控制缺陷认定的规定，《企业内部控制评价》只给出了定性分析，具体标准由企业自行确定，可以看出，我国对于内部控制缺陷的认定是以原则为导向的，尊重上市公司的自由选择，并鼓励上市公司根据自身的实际情况确定评价标准，这在某一方面强调了各个上市公司内部控制缺陷的差异性和特殊性，但是也由于原则导向的灵活性，实际操作难度加大，对上市公司的素质和注册会计师的能力提出了更高的要求，两者有一方面跟不上，就会影响内部缺陷披露的恰当性。对于内部控制缺陷性质的界定，《企业内部控制指引》没有给出明确的分类，理论界也没有一致的结论，如国外学者Ge和Mcvay（2005）将重大内部控制缺陷分为会计类与公司类，我国学者对于内部控制缺陷性质的分类多种多样，并没有统一的划分，也缺乏明确的划分依据，如田高良和齐堡垒（2010）认为重大缺陷包括特定账户类、期末报告与会计政策类、收入确认类和子公司控制类，这一分类沿用国外学者对内部控制的分类，并且更加细化，南京大学课题组（2010）根据COSO内部控制框架五要素，把内部控制缺陷分为控制环境缺陷、风险评估缺陷、控制活动缺陷、信息与沟通缺陷与内部监督缺陷，并细分为28个子类，可以看出，我国学者对于内部控制缺陷的分类仅仅是从理论出发，划分的种类虽然越来越细，但是可操作性较差，虽然内部控制缺陷的分类在理论上百花齐放，却造成分类混乱的局面，如何对内部控制缺陷的标准和分类进行明确和统一，理论上并没有给出一致的结论，这是内部缺陷认定的理论困境。

2.实践方面

指引把内控缺陷按照影响程度划分为三个等级，这在逻辑上固然合理，但是在实际操作上缺乏可行性。内部控制缺陷发生可能性的大小，对内部控制影响程度的大小，要根据哪些指标来界定；三个等级的边界要如何来确定，指引并没有明确规定，如何落实这两个方面的问题就有赖于注册会计师的职业判断。但是，注册会计师的职业判断是一种主观性的认定，并没有客观的标准来衡量是否恰当：首先注册会计师的独立性影响着注册会计师的职业判断，在实际操作中，注册会计师与被审计公司的社会关系错综复杂，并且被审计公司是给付审计费用的一方，所以注册会计师在审计过程中不是完全独立的；其次，由于我国对于内部控制缺陷的认定是以原则为导向的，由企业根据自身所处行业的特点或自身所具有的特殊性来把认定标准落实，没有一个具体清晰的量化标准，这无疑给注册会计师增加了操作难度，并且企业更倾向于回避披露内控缺陷，得出内控有效的结论，不能从实质上落实信息的披露，最终使企业披露内部控制缺陷流于形式，造成企业内部控制基本规范的虚置，达不到提高企业内部控制建设的目标。

三、对我国内部控制缺陷披露的建议

2012年，我国内部控制缺陷的披露从自愿披露阶段步入强制披露阶段，内部控制建设也取得了一定的成效，但由于种种原因，我国上市公司披露的质量偏低，根据上述分析我国内部控制缺陷所存在问题的原因，本文提出以下几点政策建议。

（一）加强制度建设

我国指引的制定，是把美国关于内控的相关规定结合我国经济发展的实际状况来进行的，并没有实地考察我国企业自身信息披露的状况，所以在内控缺陷的认定方面，给予企业一定的自由空间，以原则为导向，根据我国2012年上市公司内部控制规范实施状况调查报告，指引应进一步细化有关披露标准，根据行业的共性和个别企业的特性对标准认定进行量化规定，统一有关技术标准，以上市公司为样本，从实际出发制定更多的实务指引，为内控缺陷标准的认定提供具体的依据，更加细化的制度将会大大降低实际操作难度，降低上市公司在披露内控缺陷的随意性，例如中国上市公司内部控制指数研究课题组（2011）以2009年我国A股上市公司作为研究样本，基于内部控制目标设计出定量化的内部控制指数，为总体衡量、横向比较上市公司的内部控制水平和风险管控能力提供了参考依据，在此基础上我们可以根据行业特点和企业性质，去研究存在内控缺陷的指数区间，分析一些典型性行业业务运作的特点和共性风险，按行业制定出内部控制缺陷预警指标，对等级边界进行量化规定，如王惠芳（2011）对内控缺陷的影响程度做了量化分析，并把三个等级的边界明确为公司合并税前利润错报率5%和1%，这一研究为确定内控缺陷的边界提供了理论基础。在实际操作中，要以行业数据为基础，根据企业自身的运作特点披露标准认定，内部控制缺陷的制度建设将为实际操作提供指向标。

（二）加大监管力度

一项制度的实施，没有政府监管的保驾护航，往往是不会顺利的。我国上市公司内部控制的建设还处于摸索和借鉴阶段，内部控制评价报告的披露是以自愿披露与强制披露相结合的方式进行，显然，我国在2012年把部分上市公司纳入强制披露范围后取得了一定的成效，所以加强对企业内部控制规范体系实施的引导，加大监管力度是很有必要的。财务部、证监会及相关部门，应加大对企业内部控制评价工作和内部控制信息披露工作的监督检查力度，对内部控制评价流于形式，内部控制缺陷认定不客观，内控信息披露不充分的企业进行惩处，适度地建立惩罚机制；对违反审计职业道德和审计职业准则的审计机构进行查处并曝光，以此提高内部控制缺陷披露的质量。

（三）提高企业素质

企业应重视内部控制的建设，认识到内部控制的有效建设是有利于企业的持续健康发展，提高风险意识，将利益立足于长远，建立内部控制长效运行机制，完善内部控制评价程序，提升内控信息披露的质量。各实施企业应根据《企业内部控制评价指引》对内部控制缺陷披露的要求，分析企业自身所处行业的特点，结合个体发展的特殊性，制定符合自身的内控缺陷划分标准，客观且全面地向社会披露存在的内部控制缺陷并限期整改，这样不仅向市场传达整改信息以获得市场信心，而且能避免受到市场处罚，向报告使用者提供给更多有效的公司内部控制信息，提高市场的有效性，促进内部控制建设的健康发展。

参考文献：

[1]Ge，w.and S.Mcvay.The disclosure of material weaknesses in internal control after the Sarbanes-Oxley act[J].Accounting Horizons，2005.

[2]田高良，齐堡垒，李留闯.基于财务报告的内部控制缺陷披露影响因素研究[J].南开管理评论，2010.

[3]王惠芳.内部控制缺陷认定：现状、困境及基本框架重构[J].会计研究，2011.

[4]南京大学会计与财务研究院课题组.论中国企业内部控制评价制度的现实模式[J].会计研究，2010.

[5]陈武朝.在美上市公司内部控制重大缺陷认定、披露及对我国企业的借鉴[J].审计研究，2012.

[6]洪峰.关于上市公司内部控制重大缺陷的研究综述[J].财会月刊，2012.

[7]杨有红，李宇立.内部控制缺陷的识别、认定与报告[J].会计研究，2011.

[8]中国上市公司内部控制指数研究课题组.中国上市公司内部控制指数研究[J].会计研究，2011.

[9]周守华，胡为民，林斌，刘春丽.2012年中国上市公司内部控制研究[J].会计研究，2013.

[10]中国证监会会计部.我国上市公司2012年年报披露总体情况分析[J].财务与会计，2013.

[11]财政部会计司，证监会会计部.我国上市公司2012年实施企业内部控制规范体系情况分析报告[J].财务与会计，2013.

（作者单位：湖北大学商学院）