我国自愿性内部控制鉴证报告的研究

●江苏省电力公司电力经济技术研究院 王 乐

内部控制的兴起和推广，是为了治理财务舞弊现象，理论界和实务届近年来对内部控制的研究和完善都投入了高度的关注。我国内部控制的研究也方兴未艾，自2002年中国人民银行发布《行业银行内部控制指引》开始，到2008年《内部控制基本规范》、《内部控制审计指引》以及相关解释等的出台，构建了我国企业内部控制规范体系，由此而推动了内部控制鉴证报告的热潮。我国深市中小板和创业板上市公司的内部控制鉴证报告是资源型的，而2012年开始上海和深圳证券交易所主板的上市公司内部控制鉴证报告就是强制性披露。

中注协5月14日发表的审计快报第12 期，截至2013年4月30日，会计师事务所共为963 家上市公司出具了内部控制审计报告，其中，标准内部控制审计报告941 份，带强调事项段的无保留意见内部控制审计报告19 份，否定意见的内部控制审计报告3 份，非标意见报告比例为2.28%。这是内部控制审计，和内部控制鉴证还是有区别的，这里中注协的统计并不包括内部控制鉴证报告。2006年来资源性内部控制鉴证报告的数量呈现上升趋势，但是总量偏少。据相关统计2006年披露内部控制鉴证报告的A股上市公司占沪深两市A股上市公司的8%，为114 家，这一比 例在2009年、2010年、2011年分 别 为3%、42%和53%。本文对自愿性内部控制的现状进行研究，分析自愿性内部控制鉴证的定性以及其影响因素。

一、内部控制鉴证报告的定性

《企业内部控制基本规范》要求企业对内部控制设计的合理性和运行的有效性进行自我评价，但是这种自我评价都尽量把缺陷轻描淡写一带而过，极少的企业才出具否定式的内部控制评价报告，因此不仅引发了投资者对内部控制评价报告的依赖性。这就使得内部控制鉴证报告——来自外部的客观、专业的鉴证成为了一种需求。《内控鉴证报告》一般是使用“审核”，而且将公司管理层的认定意见附在后面，例如海联讯的鉴证报告：“我们审核了后附的深圳海联讯科技股份有限公司(以下简称海联讯公司)管理层按照《企业内部控制基本规范》及相关规定对2012年12月31日与财务报表相关的内部控制有效性作出的认定。”

企业的内部控制鉴证报告是企业聘请会计师事务所或者其他中介机构对企业内部控制评价的一种外部评价意见，其目的是为了提高内部控制的有效性，改进财务信息质量。目前来说，我国的内部控制鉴证报告处于一种从自愿性到强制性披露的一种过渡。内控鉴证报告通常是按照《中国注册会计师其他鉴证业务准则第3101号—历史财务信息审计或审阅以外的鉴证业务》并参照《内部控制审核指导意见》（会协[2002]41号）的规定，对截至资产负债表日时点与财务报表相关的内部控制发表意见，其规定相对较为宽松，实务执行中尺度差异较大。

目前来说，我国对内部控制鉴证报告的定性还不慎明朗，有诸多的争议，主要体现在以下方面的争议：一是鉴证目标的争议：合理保证还是有限保证，有的学者认为内部控制鉴证报告属于注册会计师的其他业务，是一种内部控制审核，因此是有限保证。他们认为美国和国际审计与鉴证准则过去都将内部控制鉴证定位于有限保证业务，只需要注册会计师采用询问和分析程序获取证据，以消极方式发表意见即可，如果定位于合理保证，会加大注册会计师的责任。而有诸多的学者却将其定位于合理保证业务，认为这是目前的国际通行的做法，内部控制鉴证通常就是内部控制审计，最好和财务报表审计进行整合，提高鉴证报告的权威性和可信赖性。二是性质的争论，有的认为内部控制是一种信息审计，只是针企业管理层认定的内部控制进行鉴证，而有的学者认为这是一种过程和行为审计，是一种直接报告业务，鉴证的对象就是企业的内部控制而非内部控制评价。在前文中笔者也阐述了，事实上自愿性的内部控制鉴证报告是一种行为和过程审计，不仅仅是对内部控制评价指引，其鉴证对象和内部控制评价的对象是一致的，都是企业的内部控制设计的合理性和运行的有效性。三是鉴证主体是否能与财务报告审计主体一致问题的争议。有的学者认为内部控制鉴证和内部控制审计一样，应该实施整合审计，以便节约审计资源，提高审计效率；有的学者认为内部控制鉴证业务只能作为一项单一的业务，不能实现和财务报告审计的整合，原因在于二者的性质不一样，目标不同、对象不同，整合审计难以保证审计质量，并且还会影响审计主体的独立性。我国内部控制规范允许内部控制审计和财务报告审计的整合，并提倡这种做法。

对于上述的争议，笔者的观点是：内部控制鉴证正实现从有限保证到合理保证的变革，正实现从审核到审计的变革，也就是说合理保证、过程或者行为审计是内部控制鉴证的归属，尽管现在我国实行的内部控制鉴证还只是一个有限保证和信息审计，但是终将变革，那么整合审计也是可能的。

二、内部控制鉴证报告与内部控制审计、财务尽职的比较

在内部控制鉴证的研究中发现，有必要将其与内部控制审计、财务尽职区分开来。

内部控制鉴证和内部控制审计的比较，需要强调的是，这里比较的是内部控制鉴证的现状，也就是比较的是审核阶段的内部控制鉴证。（1）相同点，从内部控制鉴证报告和审计报告就可以看出，在报告的结果方面存在诸多的相似性，例如专业术语的引用，鉴证或者审计的对象，鉴证或者审计的意见类型等。另外，内部控制鉴证和内部控制审计对被审计或者被鉴证单位的内部控制的了解和测试程度也是相同的，有的程序也是相同的。（2）区别：从目标层次来说，由于本文是基于内部控制鉴证是有限保证业务，所以与内部控制审计的合理保证业务是不同的；由此而采用的程序和方法也有所不同，在证据搜集方面的深度也有所不同；意见类型虽然都是四种，但是各自的划分界限不一样，例如内部控制鉴证强调的是内部控制的重大缺陷，而内部控制审计强调的是重大影响，由此同样的内部控制问题可能反映在不同的意见类型里面；内部控制鉴证报告的固有限制段落和内部控制审计报告的不同，后者不包含“柑橘内部控制评价结果推测未来内部控制有效性风险”内容。

财务尽职也是为了弥补内部控制评价可信赖性不足的需要而产生的一项措施，是指投资人委托专门人员如财务专业人员对目标企业与所欲进行的投资有关的财务状况进行调查、分析、审阅的一种活动。内部控制鉴证与财务尽职的比较：出发点和目的不同，财务尽职是在投资活动意向达成后、投资活动开始前，主要是立足于未来的后续投资或者收购活动的顺利进行，而内部控制鉴证是每个会计年度委托第三方对内部控制做出有限保证的业务；程序和方法不同，正是基于定性和目的不同等，财务尽职和内部控制鉴证的程序和方法有很大的差异，例如在方法的选取上，内部控制鉴证主要是保证财务会计资料的真实、公允和及时，而财务尽职则主要是侧重于企业未来现金流量、盈利能力等的预测。

但是，财务尽职对于内部控制鉴证有着积极的影响和促进作用。财务尽职调查以询问为主，并不着重强调财务会计信息的客观和公允，调查结果以预测方式做出，往往主观性很大，有时候甚至会出现背道而驰的预测。以上汽集团对双龙汽车公司的收购案为例，上汽集团由此进行了财务尽职调查，但是结果是双龙汽车公司的财务问题不清晰，因而上汽集团放弃了收购和投资，导致双龙汽车公司没有资金投入而出现严重亏损。反过来，若是双龙汽车有限公司主动披露自己的内部控制鉴证报告，将财务状况客观真实地予以披露，就能获取到上汽集团的信赖，获得资金投入。因此，财务尽职在一定程度上来说，可以对内部控制鉴证的自愿性披露起到促进作用。

三、内部控制鉴证报告现状

对内部控制的运作方式、运作流程、运作结果以及评价监督等相关信息进行披露可以使投资者更全面了解企业，进而做出正确的投资决策。而内部控制效果与财务报告信息的可靠性密切相关，因此其信息披露的可信性会直接决定相关报告的决策有用性。我国对于内部控制相关信息的披露方式主要有内部控制自评报告、内部控制鉴证报告以及在年报以及招股意向书中对内部控制情况的相关说明。根据杨雄胜（2007）的研究，我国内控信息多数选择在年报的股东大会介绍、董事会报告、监事会报告、重大事项、公司治理以及报表附注中进行说明；仅有部分公司发布自评报告以及鉴证报告。自评报告以及鉴证报告作为国际公认的内控有效性报告，美国2002年在SOX 法案中将其列为强制性披露内容。我国虽然目前对此仍规定为自愿披露内容，但随着内部控制与企业盈余质量（张龙平，2010）、财务表现（蔡吉普，2005）等相关性研究的不断深入，内控信息越来越受到各方的关注，因此对其进行有第三方认证的信息披露是大势所趋。

根据郭葆春（2012）相关研究的描述性统计可知，截止到2010年我国上市公司中有333 家进行了内部控制鉴证报告的披露，披露率为23.5%。其中制造业披露百分比最高，为53%。其余行业中，房地产披露率相对较高，为6.6%。由此可见，虽然内部控制鉴证报告的重要性在不断提高，但是从披露先装上来看行业差距较大，披露程度有待提高。从横向空间来看，内控鉴证报告的披露率沪市与深市均在20%之上，沪市略高，整体基本持平，无显著差异。从纵向时间来看，内控鉴证报告的披露呈现出逐年增加的态势，可见随着投资者对内控信息重视程度的不断提高，上市公司对相关信息的披露程度也在随之深化。

从内部控制鉴证报告披露内容来看，由于我国尚未对此进行强制性规定，因此内部控制鉴证报告各事务所命名有所不同，如《内部控制鉴证报告》、《内部控制审计报告》、《内部控制自我评价报告的审计身和评价意见》、《内部控制专项说明》等。报告名称的差异来源于报告内容、审计程序以及会计师事务所责任承担程度的差异。审计报告与鉴证报告的要求较高，信息可靠性强，鉴证力度较大。同时，我国虽然在审计指引中要求审计师对内部控制单独发表审计意见，但是有部分内控报告是结合财报审计目的而发布的，并未履行实质性程序对此进行专门的审计审核，因此鉴证报告的可信度有待提高。除此之外，我国目前对于内部控制鉴证所依据的执业准则标准尚未统一（何芹，2012）。目前审计师执行内控审计程序时所依据的标准有《中国注册会计师其他鉴证业务准则》、《企业内部控制基本规范》、《中国会计师审计准则》、《审计指引》以及《质量控制准则》等。标准的不统一使得内控鉴证报告的测试程序、内容、评价标准不一致，可比性受到影响。

从内部控制相关审计鉴证政策演变来看，我国内控审计相关政策由最初列入财报审计的内控评价逐渐发展为财报内控审核，最终形成财报内控审计。从最初对于主板上市公司的内部控制规范逐渐通过《指引》的颁布，实现对中小板、创业板企业内控披露的要求。虽然我国目前对内部控制鉴证未做强制性规定，且披露存在意见表述形式不统一、审计依据不统一、对内控鉴证报告以及审计报告区分不明确等诸多缺陷，但是随着内控对于各利益相关者决策重要性的不断提高，内控鉴证报告的报告范围与报告力度的扩大与提升是必然趋势，相关政策也必然会不断完善。

四、完善企业的自愿性内部控制鉴证的建议

前文提到我国目前上市公司自愿性内部控制趋势越来越强，尽管总体数量不多，笔者认为，要规范自愿性内部控制鉴证，需要从以下方面着手。

一是加大对内部控制规范的完善研究，提高内部控制规范的指导性、操作性和执行力。根据有关学者对自愿性内部控制鉴证的计量分析，内部控制鉴证报告的雷同性很强，内容几乎全部一致，发现缺陷的很少，即使有也是轻描淡写一带而过。要治理这种现象，就要提高内部控制规范的操作性、指导性和执行力，将内部控制缺陷或者问题的认定具体化，细化对内部控制缺陷的认定，构建明确具体的企业内部控制规范体系。

二是以内部控制鉴证制度为基础，构建和完善其执业准则。目前的内部控制鉴证制度还没有提高到法律层次，只是在规范上，如果能够上升到和《公司法》一样的法律层次，将会提高内部控制鉴证的权威性。在此基础上，要建立和完善内部控制鉴证的执业准则，这也是为了迎合内部控制鉴证不断膨胀的市场需求的需要，建立和颁布《内部控制鉴证指引》将会极大地规范和推动内部控制鉴证业务的发展。

三提升内部控制鉴证主体的业务素质，提升鉴证的可信赖性。内部控制鉴证的目标是为投资者提供内部控制的有限保证或者合理保证，投资者据此作出相关决策。要保障这项业务的质量，鉴证主体一般是注册会计师就要提高相关的业务素质和能力，进行专项的内部控制评估培训，加强后续教育，加大对内部控制内容、标准的学习和掌握。从目前蓬勃发展的内部控制来看，我国国内本土的会计师事务所对内部控制专门人才还是比较缺乏的，会计师事务所要加大对此类人才的培养。

最后要说明的是，本文探讨的资源型内部控制鉴证，从长远来看，强制性的内部控制鉴证是发展趋势，我国也要逐渐实现从自愿到强制的转化。

1.汪寿成、刘明辉.2011.内部控制鉴证变革：从审核到审计的革命[J].财务与会计，1。

2.徐婧、蒋武.2013.我国上市公司内部控制鉴证现状与思考[J].湖北经济学院学报（人文社会科学版），8。