中美企业内部控制法律规范比较分析——以 《萨班斯法案》和 《企业内部控制基本规范》为例

张　　凡

中美企业内部控制法律规范比较分析
——以 《萨班斯法案》和 《企业内部控制基本规范》为例

张凡*

内容提要：美国 《萨班斯法案》突破性地把财务报告的可靠性和信息披露的真实性责任落实到公司实际掌权者身上，明确了责任人员。它的颁布不仅促进了世界各国企业内部控制的发展，而且标志着美国资本市场完全以自律为主的弱监管时代已经过去。与之相比，我国 《企业内部控制基本规范》存在着内容原则化、简单化、缺乏具体规定及由此导致的可操作性不强等问题，今后的立法完善应进一步明确责任主体和处罚措施，同时加大处罚力度、提高违法成本，全面细化具体规定、使其便于操作，从而充分发挥法律规范的外部监管作用。

企业内部控制法律规范萨班斯法案中美比较

近年来，随着我国证券市场的持续蓬勃发展，越来越多的企业主动选择上市以获得更大的发展空间，企业的发展对我国经济的影响不断加深，尤其是大型上市公司运营状况的好坏将直接作用于证券市场的稳定发展。与此同时，接连发生的上市公司造假舞弊事件迫使我们把关注点从企业效益更多地转移到了企业内部控制上面。2002年美国通过了 《萨班斯法案》（该法案的全称是 《2002年公众公司会计改革和投资者保护法案》，由于该法案是由多部法案合并而成，法案的主要提议人分别是美国参议院银行、住房和城市事务委员会主席萨班斯及众议院金融服务委员会主席奥克斯利，因此该法案又被称为 《2002年萨班斯——奥克斯利法案》，简称 《萨班斯法案》），1金平：《中国企业内部控制法律问题研究》，复旦大学法学院2013年硕士论文。时隔六年之后，由我国财政部、证监会、审计署、银监会、保监会联合相继发布了 《企业内部控制基本规范》及其配套指引，这标志着我国企业内部控制制度的发展进入到了一个新的阶段。但不可否认的是，与发达国家相比较，我国不管是在企业内部控制理论还是企业内部控制实务方面的发展都相对落后。我国学者李凤鸣等提出，企业要保持长久地良性运营，必须要实施完善且有效地内部控制。对一个正处在发展高峰期的企业而言，内部控制实施是否完善有效，是衡量其运营成效的重要指标，加强企业内部控制已是当务之急。2李凤鸣、韩晓梅：《内部控制理论的历史演进与未来展望》，载 《审计与经济研究》2001年第4期。另外，黄新銮等学者提出，法律法规的保障作用对企业内部控制的有效实施意义非凡。目前，我国关于内部控制的法规主要以部门规章为主，且来源单一、数量不多、层次偏低。3黄新銮、梁步腾、姚杰：《中美内部控制法律框架的比较与借鉴》，载 《会计研究》2008年第9期。当然，美国的企业内部控制研究也存在一些难题，《萨班斯法案》并非完美无缺。斯科特·格林提出，法案的实施与董事会的监督职能关系密切，董事会为提高效率，需要及时、准确、相关和可靠的信息，全面准确地理解法案内容并使其得到充分有效地实施对公司意义非凡。4斯科特·格林：《<萨班斯-奥克斯利法案>与董事会》，荆新译，东北财经大学出版社2012年版，第133-148页。笔者认为，我国在企业内部控制方面的研究确实还比较局限，虽然美国的企业内部控制法律规范不一定是最完美的，但却能为我国企业内部控制的发展提供良好的借鉴。

一、中美企业内部控制的立法现状比较

（一）美国的立法现状

众所周知，在二十世纪三十年代之前，自由经济主义是美国人奉行的主流理论，提倡市场的自由发展和政府不主动干预。但是，1929年出现的经济大萧条迫使美国政府开始考虑制定统一的法律来调控经济，以此来实现证券市场的稳定运作和股份公司的良性发展等目标。

1.联邦法层次的法律

联邦法层次的法律主要包括 《1933年证券法》《1934年证券交易法》《海外反腐败法》《萨班斯法案》《公共事业控股公司法》以及 《联邦存款保险公司改进法》等。其中，《1933年证券法》和《1934年证券交易法》都是用于规范在美国主板上市的公司，差别在于 《1933年证券法》主要针对的是一级证券市场，要求发行人依照法律完整并准确地披露相关内容，假若披露有漏洞或者不真实，那就要依法承担与之相对应的法律后果；而 《1934年证券交易法》主要监管的是与证券交易及证券业参与者相关的问题，其目的在于充分保护投资者的合法权益。

其中，对企业内控的发展影响最深刻的当属 《萨班斯法案》，该法案的颁布对美国证券市场的发展具有里程碑意义。行业内也普遍认为该法案是1929年经济大萧条以来美国政府颁布的涉及范围最广、处罚力度最大且最具影响力的企业法律。

2.行政法层次的法律

根据 《1934年证券交易法》的相关规定，SEC（美国证券业监督委员会）有权制定并颁布具有法律约束力的规则，但限定在联邦法律的框架内，且重大规则必须获得国会通过才可以生效。所以，行政法层次的文件多是由SEC制定并颁布的。SEC是具有独立性的准司法机构，主要负责联邦证券制定法的管理执行，同时制定和发布实施细则和其他具有法律约束力的监管文告。至今，SEC已经制定并发布了数量众多的文件，其中包括条例、以一般公告形式颁布的监管文告、解释性公告、诉讼性公告及概念性公告、不采取行动函、政策声明等，这些文件所具有的法律约束力程度不等。除此之外，SEC还负责公开联邦证券制定法要求的各种说明书和报告信息，这些表格同样具有和文件一样的法律效力，并且在披露义务的界定中发挥着巨大的作用。

3.行业自律层次的制度

美国的行业和专业团体在市场机制的良性运作方面也占有一席之地，在SEC的监督之下证券交易所有序地监管着会员的活动。在 《萨班斯法案》颁布之前，由美国注册会计师协会全权负责监督美国注册会计师行业。萨班斯法案颁布之后，美国则成立了受证监会管辖的上市公司会计监督委员会，该委员会有权制定相关审计准则，同时拥有日常监督权、调查和处罚权、会计师事务所注册权，并负责解决企业和会计师之间的会计处理分歧等。

以上所述的三个层次形成了一个健全完善且相互关联的法律框架体系，美国通过这种建构方式将上市公司内部控制理念、目标融合在多种法律规范中，从而使其在企业的生产经营活动中顺利实施，并且成绩斐然。5参见前引3，黄新銮、梁步腾、姚杰文。

（二）中国的立法现状

1.国家层面的法律

目前，涉及企业内控的法律主要有1999年修订的 《中华人民共和国会计法》，此法第一章明确要求 “会计资料要真实、完整，并规定要加强经济管理和财务管理”。从法条的具体内容不难看出，此法的侧重点局限于会计领域，并未上升到企业内控的高度。另外，《中华人民共和国证券法》在第一百二十四条规定 “有完善的风险管理与内部控制制度”，但缺失具体规定。除此之外，《中华人民共和国审计法》第二十九条规定，受审计机关审计监督的部门，需要建立完备的内部审计制度，同时，由审计机关负责指导和监督其内部审计工作。

2.行政法规与部门规章

根据2011年1月8日 《国务院关于废止和修改部分行政法规的决定》修订的 《总会计师条例》第五条规定，总会计师不仅要负责所在单位的会计核算和监督，财务、成本、预算管理等工作，还要参与一些要紧的经济问题的剖析和决策。涉及企业内控的部门规章主要有：《内部会计控制规范》《企业内部控制基本规范》及其配套指引和 《首次公开发行股票并上市管理办法》以及 《上市公司信息披露管理办法》。其中，通过分析可知 《内部会计控制规范》的内容仍集中在会计控制的具体程序上，涉及内部控制理论的内容少之又少。2006年发布的 《首次公开发行股票并上市管理办法》涉及内部控制的内容主要有，“第一，发行人应当建立并有效维护自身的内部控制制度，且该制度能够保证财务报告的可靠性、生产经营的合法性、运营的效率性。第二，发行人应当保证内部控制的有效性，并由注册会计师出具无保留结论的内部控制评价意见”。6舒静平：《我国上市公司内部控制法律规制研究》，华侨大学2014年硕士论文。《企业内部控制基本规范》及其配套指引是我国第一次为国内企业提供了企业内控标准框架，标志着我国初步构建了统一的内部控制基本规范体系。

3.其他规范性文件

证监会在2000年发布的 《公开发行证券公司信息披露编报规则》是由多个文件组合而成的。其中第15号文件要求公开发行证券的公司要有完整并真实的财务报告，并由具有资格的会计师事务所负责审计；第21号文件第七条规定，公司的年度内部控制评价报告需包括标题、收件人、引言段、重要声明、内部控制评价结论、内部控制评价工作状况以及其他内部控制相关重大事项说明等要素；第十一条规定，公司的年度内部控制评价报告重要声明应当说明董事会、监事会和董事、监事、高级管理人员的相关责任以及内部控制的目标和固有局限性。该规则对很多具体问题的细致规定在一定程度上有效地弥补了 《企业内部控制基本规范》的缺漏。另外，由中国注册会计师协会在2004年发布的 《独立审计具体准则第29号——了解被审计单位及其环境并评估重大错报风险》（征求意见稿）效仿了美国COSO内部控制框架的体系，在内部控制的目标方面基本上与其保持一致。由上海证券交易所在2006年发布的 《上海证券交易所上市公司内部控制指引》和深圳证券交易所在2006年发布的 《深证证券交易所上市公司内部控制指引》二者之间有诸多共同点，在内部控制的披露主体、披露方式以及披露内容等方面都做了具体规定。

综上可见，我国在企业内控的立法方面还十分薄弱，全面涉及企业内控的国家层面的法律缺失，只有几部仅仅涉及内部控制但没有配套实施细则，更多是政府各部门、行业组织等制定发布的规范性文件或通知。可以说，由于没有上位法的规定和授权作为支撑和依据，既能够具体约束和规范企业内控，又具有一定法律效力的法律并不存在。与美国相比，我国涉及内部控制的法律框架尚未形成，研究还处于起步阶段。我国现有的法律规范普遍具有 “立法层次较低、内容零散、部门来源单一、尚未形成一个互相衔接、完整的法律框架体系”等特点。7参见前引3，黄新銮、梁步腾、姚杰文。

二、中美企业内部控制法律规范的效力比较

美国的 《萨班斯法案》是由国会通过、总统签署颁布的，属于国家层面的法律。《萨班斯法案》的发布是为了应对接连不断曝光的财务丑闻，安然和世通等财务造假事件一度让投资者遭受重创，为了恢复投资者对美国资本市场的信心，保护其合法权益，美国在相当短的时间内制定并发布了该法案。该法案第3条明确规定：“证券交易委员会应当制定对维护公共利益或保护投资者必要或适当的、可促进本法的规则和条例。”

我国的 《企业内部控制基本规范》是由财政部、证监会、审计署、银监会、保监会五个部门联合发布的。虽然 《会计法》和 《审计法》等国家法律在具体条文中涉及了内部控制的内容，但都局限在各自行业领域之内。换言之，这些法律中对企业内控的规定与企业迫切需要的法律规制还有很大的一段距离，我国在国家层面上的针对企业内控的专门性法律还是空白的。在此种情形下，《企业内部控制基本规范》的意义就不单单是五部门联合发布的统一规范了，而是我国企业唯一可以遵循的不局限在某一行业领域的专门针对企业内控的统一标准框架。

但也有学者认为，从法学的角度对 《企业内部控制基本规范》的性质进行分析就会发现，《企业内部控制基本规范》既不是法律，也不是行政法规，甚至连部门规章都算不上。一方面，在我国，全国人民代表大会及其常务委员会有权制定国家法律；地方人民代表大会及其常务委员会有权制定地方性法规；国务院有权制定行政法规。由此可见，《企业内部控制基本规范》既不是法律和行政法规，也不是地方性法规。另一方面，《立法法》第七十五条和第七十六条都分别规定了公布部门规章的法定程序，即要经部门会议或者委员会会议决定并由部门首长签署命令方可公布。但是，《企业内部控制基本规范》是以通知形式公布的，并不符合法定程序。8参见前引1，金平文。在立法层面上的先天不足导致我国 《企业内部控制基本规范》的权威性和强制性不高，可执行性也因此而降低。

虽然一些业内人士和专家学者认为 《萨班斯法案》的执行难度太大，企业需要投入巨大的人力、物力、财力才能完成相关工作，这给一些小型企业造成了致命的打击，在无法承担运营成本激增压力的情况下只能被迫退市。但这丝毫不影响该法案的实施，为了强化对投资者的保护，企业必须遵从法律规定，如若不执行将会受到严厉的处罚。与此同时，该法案在内部控制理念方面的突破性和实质性转变不仅对美国证券市场产生了深刻的影响，也对世界各国在企业内控理论和实物的发展方面影响深远。

三、中美企业内部控制法律规范的内容比较

在内容方面，《萨班斯法案》是在安然公司破产之后紧急出台的，安然的破产不仅影响了美国乃至全球股市，造成汇市、债市、期市、金市剧烈变动，而且引发了美国企业一系列破产风暴。9王宏、张婷：《公司治理与内部控制》，法律出版社2011年版，第79页。在这种背景之下诞生的 《萨班斯法案》，其内容必然是围绕公司的财务造假行为展开的，意义在于严厉打击企业造假行为，重拾投资者和社会公众对美国资本市场的信心。而我国五部联合发布的《企业内部控制基本规范》主要是在借鉴了1992年美国COSO（The Committee of Sponsoring Organizations of The National Commission of Fraudulent Financial Reporting）报告中的五大要素框架的基础上又吸收了2004年COSO报告中的部分新增内容，因此，在核心内容和具体规定上与 《萨班斯法案》存在很大的差异。

首先，为了保证审计师的独立性，《萨班斯法案》第201条和 《企业内部控制基本规范》第十条都规定，会计师事务所不能同时为上市公司提供审计服务和相关服务，这就迫使上市公司必须聘请两家会计师事务所分别为其提供鉴证业务和相关业务。这有效预防了会计师事务所提供虚假审计并出具相关审计报告的行为的发生。

其次，《萨班斯法案》和 《企业内部控制基本规范》分别在第806条和第43条明确规定对举报人进行保护。由于诈欺行为具有隐蔽性，投资者很难掌握具体情况，但企业内部员工在掌握犯罪线索和具体信息方面具有天然的优势，建立完善的内部知情员工举报投诉制度和举报人保护制度就显得尤为重要。只有当内部知情员工敢于揭露违法行为时，才能有效促进对企业的监管，否则这种具有隐蔽性的犯罪行为是很难被社会各界所知晓的。

再次，美国 《萨班斯法案》第302条和第404条分别通过规定首席执行官和首席财务官的财务报告责任和对内部控制有效性以及内部控制评估报告的责任，明确了具体责任人。只有明确管理层的具体责任，才能引起全部公司人员对企业内控建设的重视，使其得到更好地发展，从而促进对企业财务欺诈的内部监管。

最后，美国 《萨班斯法案》明确规定了企业违反法律或者拒绝承担违法责任的具体法律后果，这使其处罚机制相对完善。而我国 《企业内部控制基本规范》更多是原则性的条文，并没有具体的处罚措施。

通过上述对比可知，《萨班斯法案》主要有两处亮点：“第一，对公司法人治理结构进行改进，强化对企业的管理控制与责任承担。该法案明确规定了公司管理层的财务报告责任，要求管理层及时对企业内控做出评估。同时，加大对公司管理层及白领犯罪的刑事责任。第二，强化审计的独立性及监督。法案要求建立一个独立机构来监督上市公司审计、审计师定期轮换、全面修订会计准则、制定关于公司审计委员会成员构成的标准并独立负责审计师的提名、对审计师提供咨询服务进行限制 （如不能同时为上市公司提供审计服务和相关服务）等。”10参见前引9，王宏、张婷书，第81页。

与 《萨班斯法案》不同的是，我国 《企业内部控制基本规范》是先做原则性的规定，再出台相应的操作细则，并且没有强制实施举措，也没有相应的具体处罚措施。虽然都分别提及审计师的独立性和对举报人的保护，但是 《萨班斯法案》的可执行性和可操作性远远高于 《企业内部控制基本规范》。因此，虽然 《企业内部控制基本规范》被称为 “中国的萨班斯法案”，但在法律规制的方式方法、核心理念以及法律规范的核心内容等方面与其相距甚远，还需要不断地修订完善，才能更好地为我国企业和投资者服务。

四、我国企业内部控制法律规范的完善建议

（一）明确责任主体，强化责任意识

我国企业有其特殊性，很多上市公司是由国企进行股份制改造而成的。11周勤业、王啸：《美国内部控制信息披露的发展及其借鉴》，载 《会计研究》2005年第2期。股权结构更加复杂，经营管理的市场化程度较低，股东大会和监事会所能发挥的作用微乎其微，存在严重的 “一股独大”现象。虽然，在上市公司的治理准则中明确要求上市公司董事会要有独立董事并设立审计委员会，12许一凡：《萨班斯法案的剖析与借鉴》，厦门大学2009年硕士论文。但由于董事会人员和高级管理层人员职位重叠的内在原因造成审计委员会无法独立于管理层，故严重阻碍其在内部控制体系中监控作用的正常发挥。

这里所讲的责任主体，并非只强调企业管理层对内部控制的法律责任，同时还要明确政府机构需要承担的责任。一方面，明确管理层的责任能够有效提高管理层对内部控制建设及实施的重视程度，有利于加强对企业内控的内部监督。另一方面，强调政府机构所应承担的责任，有利于加强对企业内控的外部监管，双管齐下才能产生最大的合力，从而为企业内控的发展创造良好的环境。

（二）明确处罚措施，加大处罚力度

权利与责任匹配原则强调权利与责任的均衡，只有当享受的权利与承担的责任达到平衡状态时，社会机制才会持续有效地运行下去。同理，法律义务的规定只有与对应的法律责任相匹配，才能更好地贯彻落实。如果法律义务与法律责任不相匹配，会导致法律义务难以得到重视和履行。《萨班斯法案》在第八章至第十一章中明确规定了公司高管及白领犯罪的责任。13张路：《美国上市公司最新立法与内部控制实务》，法律出版社2006年版，第1页。我国 《企业内部控制基本规范》完全没有规定相对应的法律后果，弱化了其权威性和强制性。明确犯罪后果，在一定程度上能有效降低犯罪行为发生的几率，因为人们在进行违法行为时往往会先衡量违法成本。因此，明确处罚措施是十分必要的，与此同时还要加大处罚力度，事实上提高企业的违法成本，使其造假成本远远高于造假收益，从而在一定程度上有效解决企业主要负责人造假舞弊的问题。

（三）规定具体化，内容细致化

财政部在2012年发布的 《我国企业内部控制规范体系实施情况的调查报告》结果显示：企业对内部控制规范体系在合理性、全面性和理解性等方面的设计评分较高，但对其可操作性评分较低。由此说明制度本身是比较容易理解的，但在具体该如何执行上却没有明确的方向，为使 《企业内部控制基本规范》便于操作，提高其在企业内部的适用性应是下一阶段需要着重解决的问题。我国 《企业内部控制基本规范》的规定过于原则化、简单化，这使其在操作层面上很难得到落实。因此，当务之急就是要修订完善现有法律规范，做到在内容上具体完备，在要求上明确细化，全面增强其可操作性，为我国企业内部控制的长远发展奠定良好的法律基础。

值得注意的是，对美国 《萨班斯法案》的借鉴不可一味照搬，必须充分考虑我国国情以及企业的自身特点和发展过程中可能遭遇的种种问题。在 《萨班斯法案》出台以后，和赞扬褒奖一同袭来的还有各种质疑，就连美联储前主席格林斯潘都曾公开指出，“（萨班斯法案）严格的监管已成为近来许多美国公司选择在海外上市的重要原因”。14黄继汇：《监管过严扼杀竞争力保尔森探讨修改<萨奥法>》，载 《中国证券报》2006年11月21日。总之，我国在企业内部控制方面还有很长的路要走。内部控制是一个多方协作共同完成的系统工程，完善的法律规范为其发展创设了良好的法律环境。虽然美国的企业内部控制法律规范不一定是最完美的，但对我国企业内部控制的发展提供了良好的借鉴。因此，我国应该在理性借鉴美国先进经验的基础上逐步完善与企业内部控制相关的法律规范，从而使我国企业内部控制法律规范得以成熟。另外，对企业而言，不应该把内部控制的建设与实施当作运营负担，而应将其看作企业自身的内生性需求，这有利于从根本上促进企业生产经营和内部控制目标的实现。

（责任编辑：刘长兴）

*中共广东省委党校硕士研究生。