内部控制审计能够发挥监督作用吗？

郑玉如

【摘 要】 内部控制审计是最近几年才开始普及的一项审计服务活动。文章认为萨班斯法案404条款直接促生了内部控制审计，以尽可能降低管理层对内部控制保证的风险，并以上海家化内部控制审计为例，说明内部控制审计作用的有限性。

【关键词】 内部控制审计； 萨班斯法案； 上海家化

【中图分类号】 F239.4 【文献标识码】 A 【文章编号】 1004-5937（2016）18-0118-04

自从2002年美国萨班斯法案要求对内部控制进行审计、董事长要签字承担责任以来，内部控制再度成为一个热点问题，政府相关管制机构与政策制定部门高度关注，如我国财政部、证监会、银监会等五部委联合发布关于内部控制的制度规范，并要求所有企业分步执行。美国是一个相对崇尚市场经济和小政府的自由社会，但是，美国证监会、纽约证券交易所也先后发布相关的指引，要求企业加强内部控制；甚至美国国会还通过立法，强化内部控制，即著名的萨班斯法案404条款。按照404条款的要求，上市公司需要对其内部控制的有效性作出保证，这直接促发了内部控制审计的产生。

那么，内部控制审计是否能够发挥人们所期望的作用？或者，在实务中，内部控制审计究竟能够发挥什么作用？是发挥了制度设计的初衷，强化内部控制与监督，还是作用有限，甚至成为公司控制权争夺的工具？下面，笔者结合上海家化的案例作一讨论。

一、内部控制与内部控制审计

内部控制是由“内部”加“控制”所组成，是指在一个组织/企业内部建立的机制或制度，约束、引导组织/内部所有活动，最大限度地限制并期望杜绝各种舞弊行为，保证组织/企业财产的安全完整、财务报告及相关信息真实完整，由此来提高主体的经营效率。

目前所讨论的内部控制是从内部牵制演变而来的，内部牵制的核心思想就是不相容职责分离。早期的现金出纳与现金记账岗位分离就是最常见的内部牵制。随着经济的发展，特别是企业规模不断增大，同时，社会经济活动更加复杂，企业舞弊事件的社会影响也更加广泛。因此，内部控制也在不断改进，出现1992年COSO委员会所提出的内部控制框架体系，把企业一切经营活动都置于内部控制之下，或者说，内部控制不再仅仅是一种对活动的控制（如现金收支），它也是一种目标导向（内部控制要与企业经营目标相结合）、过程控制（从目标到计划到行动）等等。

20世纪90年代，内部控制成为企业实践中非常重要的内容。但是，2001和2002年所发生的安然、世界通讯在内的系列舞弊事件，一定程度上表明企业的内部控制并未能发挥预期的作用，因此，美国国会所通过的《萨班斯法案》中，对内部控制着墨甚多。其中，第404条要求，上市公司管理层必须要明确说明，他/她了解公司的内部控制，并保证内部控制是完整、有效的。正是这一规定，直接导致内部控制审计制度的产生。目前，美国资本市场上公开上市的公司都需要聘请审计师，对内部控制制度进行审计并发表意见。

2008年，财政部、证监会、审计署等五部委联合发布《企业内部控制基本规范》；之后，又陆续发布《企业内部控制配套指引》、《企业内部控制应用指引》、《企业内部控制评价指引》、《企业内部控制审计指引》等，要求上市公司披露董事会对公司内部控制的自我评价报告以及会计师出具的审计报告，并分批自2011年起执行。到2014年，所有主板上市的公司都需要在年报披露的同时，披露内部控制审计报告。

内部控制审计产生的初衷，在笔者看来主要是为了满足404条款中管理层对内部控制评价、保证而提供的一个额外保证。由于内部控制本身只能提供合理保证，效用有限，且存在失效的可能，法律要求公司管理层保证其内部控制完整、有效，一旦事后发生了舞弊等表明内部控制失效的事件，管理层就需要承担相应的法律责任。审计师作为独立第三方所出具的内部控制审计报告，可以作为管理层最大限度免责的依据。

审计职业在一定程度上是与声誉紧密相关的。审计师提供内部控制审计，在提高了审计市场份额的同时，也增加了审计风险。为了尽可能规避自身的风险，美国资本市场上内部控制审计的非标意见比例要远高于财务报表审计。据Audit Analytics网站数据，2008—2013年间，审计师提供内部控制无效的审计报告数量，最低的662家（2013年），最高的1 712家（2011年），占当年上市公司总数的16%～20%。与之相比，我国深圳、上海两个交易市场2013年底共有2 489家上市公司，提供内部控制报告的公司有2 312家，9家被出具财务报告内控有效、非财务报告内控无效，8家被出具财务报告内控无效、非财务报告内控有效，6家被出具财务报告和非财务报告内控均无效，总计23家公司，占全部提供内部控制审计上市公司总数的1%不到[ 1 ]。也就是说，按照内部控制审计报告来判断，我国99%的上市公司内部控制是有效的。假定内部控制的审计标准是相同或相近的，一个有趣的推论是：我国资本市场上的公开上市公司，内部控制有效性要远远高于美国。

另外，我国资本市场上每年都会爆出多起公司舞弊等事件，且大部分都不在上述内部控制报告失效的名单中。且审计师通常会因为财务报表审计失败而承担责任，鲜有因为内部控制审计失败被市场关注并承担责任的。

从这一角度来看，在我国的审计市场上，内部控制审计的作用是有限的；同时，审计师也不需要刻意提高内部控制审计报告非标意见来规避自身的风险。

二、上海家化：内部控制审计“变脸”[ 2-3 ]

上海家化是以原上海家化（集团）有限公司为主体改组而成的，2001年在上海证券交易所发行上市，代码600315。公司并列第一大股东上海家化（集团）和上实日用化学品控股都是上海市国有企业，它们共持有上海家化56.30%股份，因此，上海家化属于国有控股。

2011年，平安信托以51.09亿元取得上海家化的第一大股东家化集团的全部股权，也相应成为上海家化的控股股东。上海家化已经借此顺利地改变身份，成为非国有企业①。

从2010年起，上海家化就聘请安永华明进行审计。尽管当时没有对内部控制进行单独审计，但我们都知道，审计师在进行审计之前，需要对企业的内部控制进行测试。从安永华明2010—2012年连续三年标准无保留审计意见报告可以推测：在安永华明看来，上海家化这期间的内部控制应该是健全、有效的。按照上海家化的年报和相关信息可知，2012年，安永华明还为上海家化出具了内部控制审计报告，但具体意见类型，公开资料检索不到。2009—2014年上海家化年报审计和内部控制情况如表1。

2013年，上海家化的审计师更换为普华永道中天，后者为上海家化出具了标准无保留意见的审计报告，以及一份否定意见的内部控制报告。导致否定意见的事项为：

——与识别、获取、确认关联方信息相关的财务报告内部控制设计失效。2013年12月对此进行了整改，但整改后的控制运行时间尚短。

——部分子公司尚未建立会计期末对当期应付未付的销售返利和运输费进行统计和预提的内部控制。2013年度还未完成整改工作，但在2013年财报中已作了恰当预提，并进行了追溯调整及重述。

——对财务人员的专业培训尚不够充分，财报中多个会计科目的准确性受到影响。2013年度还未完成整改工作，但在2013年财报中已予以关注、避免和纠正，并进行了追溯调整及重述。

审计师认为上海家化的财报内控存在上述重大缺陷，因而出具了否定意见的内控报告；否定意见的内部控制审计报告并未对其2013年度的财务报表审计报告产生影响，因此，年报的审计意见仍然是标准无保留意见的审计报告。

2014年5月13日，上海家化发布公告，因对内部控制“负有不可推卸的责任”，解除王茁总经理及董事职务。

2014年，上海家化的年报和内部控制都是标准无保留审计意见，审计师仍然是普华永道中天。

三、内部控制缺陷还是控制权之争

按照相关资料介绍，平安信托在收购家化集团时，曾经承诺不派董事、不参与管理、支持上海家化的发展战略，但是，自2012年起，平安信托与原上海家化之间就产生了对控制权的争夺。主要事件包括：

——2012年12月，第四届董事会改组，平安信托提名董事人选，担任上海家化的董事长；上海家化原管理团队对此存有抵触。

——2013年5月11日，上海平安信托免去葛文耀在家化集团的职务，同时透过媒体公开批评家化管理层存在“账外库、小金库”，“涉案金额巨大”；葛文耀通过微博批评平安信托变卖资产、追加投资不实等“不守承诺”行为。平安信托与上海家化的控制权争夺公开化，后经上海市国资委调停。

——2013年5月16日，上海家化年度股东大会上，通过审计机构变更议案，普华永道中天取代安永华明，成为新的审计师。

——2013年9月17日，葛文耀提出辞职。

——2013年11月，上海家化发布公告，中国证监会正式对上海家化立案调查②。

——2014年3月，上海家化的新任审计师普华永道出具否定意见的内部控制审计报告。

——2014年6月，上海家化第三次临时股东大会发布公告，宣布解除王茁的总经理职务。主要理由就是“普华永道中天……对内部控制出具否定意见……公司形象及名誉出现重大损害”，“公司总经理作为公司内部控制制度的制定及执行事宜的主要责任人，对此负有不可推卸的责任”。

至此，平安信托已全面控制上海家化。

放在平安信托与上海家化原管理团队争夺对上海家化控制权这一大情境下，普华永道中天的否定意见内部控制审计报告，一定程度上成为控制权争夺的工具。

四、内部控制审计的作用：再认识

内部控制，无论设计多么严密，程序多么完备，它都有两个环节无法控制：第一，所有内部控制制度都是由人来执行，而不是机器、电脑的自动执行。只要是人来执行，就容易出现“人为”干预现象。第二，无论控制过程设计多么严密，都会留有一个“后门”：最高决策者处在控制闭环之外，或者，控制环在这儿是“开口”的。如果公司最高决策层犯了错误，所带来的风险内部控制将难以控制。这也就可以部分解释，即便人们高度重视内部控制，一再发布新的、关于内部控制的相关规定，不断地修补已经发现的控制漏洞，但市场上还是不停地爆出公司舞弊事件，甚至包括2008年次贷危机那种大范围公司失败现象③。

实证研究表明，内部控制能够降低企业风险。但是，内部控制能否达成有效降低企业风险、最大限度地保证企业运行合规要求等，管理层的影响与作用不可忽视。也正因为如此，与年报审计会失败类似，内部控制审计同样会失败。比如，我国资本市场最近几年出现多起上市公司董事长或总经理因为舞弊被“双规”，而这些公司前一年度的内部控制审计报告都是标准无保留意见。内部控制审计，一个重要的作用是帮助公司检查、确定内部控制的各环节健全，没有重大缺陷，同时，提醒公司管理层内部控制的重要性。从这一角度来看，至少，这些公司之前年度的内部控制审计报告，未能及时、有效地识别出该公司内部控制失效，内部控制审计报告是失败的。

什么时候需要出具否定意见的内部控制报告，这是一个职业判断问题，不同的审计师、不同的事务所，会有不同的职业判断。2013年内控审计被出具非标意见的47家公司中[ 3 ]，有9家被出具否定意见。依据有限的外部资料，笔者很难判断上海家化的内部控制否定是否恰当，但是，对比另外8家被出具内部控制非标意见的公司，这些公司或者陷入ST或*ST（如华锐风电、北大荒、天津磁卡等），或者因为其他事项以及被市场高度关注并被交易所、证监会警告或处罚（如西部矿业、五洲交通、泰达股份等）。相比而言，上海家化是内部人举报，牵扯出内部关联交易，在此之前，公司没有受到来自任何监管层的特别关注，公司经营业绩良好。2014年，上海家化的经营业绩依然良好，无论是内部控制审计意见，还是财务报告审计意见，都是标准无保留意见报告[ 2 ]。

2013年、2014年两年，共出具33份否定意见报告和无法表示意见报告。公开检索显示，除了上海家化外，没有发现其他公司管理层因为内部控制失败而被问责、免职的报道。

如果从公司控制权争夺的视角来看，上海家化的否定意见内部控制审计报告就显得有点特别了。上海家化借助更换审计师、出具否定意见审计报告，为董事会免去原管理层提供了正当理由。

按照上海家化董事会的声明，因为被出具否定意见的内部控制审计报告公司形象受损。但有趣的是，审计报告公布当天，上海家化股票价格不跌反涨。一个可能的推断是：资本市场投资者并不认为上海家化的内部控制“失败”，并对公司经营产生重大影响[ 3 ]。

按照笔者的理解，内部控制审计是作为对萨班斯法案404条款的一种补充——最大限度地降低公司管理层的内控保证责任而产生的，对内部控制审计的作用需要结合其产生背景以及相应的法律制度环境来讨论。在一个管理层法律风险不高的制度环境下，内部控制审计可能发挥的作用必然有限。甚至，在特殊的情境下，内部控制审计会成为管理权争夺的工具。这时，内部控制审计意见更应该谨慎对待。

五、小结

作为一种人为设计的制度，内部控制的应用已经有上千年的历史，它也应该会持续应用下去，这一点毋庸置疑。但是，我们应该充分认识到内部控制的局限性，特别是对核心员工和高管的约束、控制上常常“捉襟见肘”。

内部控制审计，特别是根据法律要求、提供标准格式的内部控制审计报告，是因为萨班斯法案404条款直接促生的，它的主要作用还是为管理层对内部控制的责任提供一种谨慎、有限保证。当然，可以借助每年一次的内部控制审计，提醒公司管理层和全体员工内部控制的存在性，帮助厘清内部控制程序是否完备、是否存在缺陷。

如果制度环境对管理层的内部控制风险约束不高，管理层对内部控制可能带来的风险意识不到，那么内部控制审计报告的作用相对有限。过高地看待内部控制审计报告会诱发新的信任危机。

尽管本文只是一个案例讨论，但是，它的直接文献意义体现在两个方面：第一，对内部控制审计的有用性研究，需要重新审视研究的制度基础。与财务报表审计自发产生不同，内部控制审计是一种强制性制度安排，研究者有必要检讨内部控制审计产生的制度背景、内部控制审计报告传递与使用、审计师在内部控制审计报告中的可能风险等。第二，内部控制审计是否被用于控制权争夺，也是一个未来可检验的命题。此外，内部控制审计是否还在其他方面发挥作用，同样值得进一步研究。

【参考文献】

[1] 财政部会计司，等.我国上市公司2013年实施企业内部控制规范体系情况分析报告[R/OL].（2014-

10-10）. http： // kjs.mof.gov.cn / zhengwuxinxi / diao

chayanjiu/201410/t20141009_1147429.html.

[2] 刘华.内部控制审计否定意见案例研究：基于上海家化的分析[J].新会计，2014（9）：33-35.

[3] 刘国珍.否定意见“蹊跷”，上海家化大涨[N].南方都市报，2014-03-14.