上市公司内部控制重大缺陷的分析——基于内部控制审计报告

杨敬懿 蔡琳

一、引言

2001年安然公司的财务舞弊促使美国在2002年通过了《萨班斯—奥克斯利法案》，要求上市公司在披露财务报表的同时，在年报中披露上市公司对内部控制自我评价，以及会计师事务所出具的内部控制审计报告。受《萨班斯法案》的影响，2006年，上海证券交易所颁布《上海证券交易所上市公司内部控制指引》；2008年，财政部等五部委制定了《企业内部控制基本规范》，并于2010年颁布《企业内部控制配套指引》，我国的内部控制信息披露得到了规范。执行企业内控规范体系的企业在年报中的内部控制披露越来越详细和规范，而当时并没有建立企业内部控制框架的企业，在年报中也逐渐增加了对内部控制制度建设情况的描述、对内部控制的自我评价以及内部控制审计报告。内部控制审计报告在一定程度上可以客观反应上市公司的内部控制情况。若内部控制出现了重大缺陷，意味着内部控制失效，公司运营存在着极大的风险，注册会计师会出具否定意见的内部控制审计报告。因此，内部控制重大缺陷在注册会计师评判内部控制有效性并出具内部控制审计报告意见中起到了决定性作用。本文对2012-2015年度披露出的内部控制重大缺陷进行分析，总结原因并提出建议。

按照内部控制严重程度可以将内部控制缺陷分为：一般缺陷、重要缺陷和重大缺陷。重大缺陷是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。重要缺陷是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。一般缺陷是指除重大缺陷、重要缺陷以外的其他缺陷。但是如何判断企业存在的缺陷是何种缺陷没有统一的定量或定性标准，本文对重大缺陷的定义是，内部控制审计报告中披露出来的一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。

二、上市公司存在内部控制重大缺陷的现状

内部控制否定意见报告中披露重大缺陷主要有两个方面：一是财务报告内部控制；二是非财务报告内部控制。

财务报告内部控制缺陷直接影响财务数据，财务报告中的列报金额不客观、不公允，财务报告的真实性和完整性会受到侵害；而非财务报告内部控制缺陷不会直接影响财务报告，而是在经营管理过程中出现了影响其实现组织目标的重大问题。

为了解上市公司内部控制的现状，本文选取了2012年至2015年的内部控制审计报告，从中筛选出共48份内部控制否定意见报告，筛选出115条财务报告内部控制重大缺陷和10条非财务报告内部控制重大缺陷。

（一）财务报告内部控制重大缺陷的分析

为更直观了解内部控制在哪些经营活动环节出现重大缺陷，本文以《企业内部控制应用指引》为划分依据，将财务报告内部控制的重大缺陷分成以下类型，见表1。

由表1可以得出，前五项重大缺陷的类型占了所有重大缺陷的80%，其中资金活动出现的频率最高，占据了所有重大缺陷的31.30%。销售业务、财务报告、资产管理都占据了10%以上，第五项担保业务也将近8%。

1.在资金活动中出现的重大缺陷。企业的资金活动包括三个方面：筹资、投资以及资金营运。其中资金营运方面出现财务报告重大缺陷22次，投资活动出现14次，筹资活动出现2次。营运活动中出现最频繁的是资金使用的审批程序不完整，其次是资金管理没有按照内部控制执行，以及公司使用个人账户的情况。其他中包含了票据贴现、印章管理不到位、因职务之便侵占企业资金、资金使用合规性的检查。投资活动中出现重大缺陷的类型比较平均，主要是投资活动后续的跟踪管理、对投资进行资产减值评估、投资活动的审批流程不完整、对投资活动的管理没有相关制度。筹资活动只出现过2次重大缺陷，一是利息计算，二是向银行借款没有执行相关的审批流程。

2.在销售业务中出现的重大缺陷。销售业务主要包含销售业务流程和收款活动（应收账款）。销售活动和收入联系密切，为了使报表呈现公司运行良好的假象，在销售活动中会用很多手段去粉饰利润和资产。因此，在销售业务中重大缺陷出现的现象颇多，例如客户信用管理、应收账款坏账的计提以及对账制度等等。客户信用管理的缺陷分为两种：有无相关制度和是否有效执行。其中没有相关审批制度出现了3次，没有有效执行制度出现了2次。应收账款同客户方的核对都是发生于有制度却没有执行，共出现7次。

表1 财务报告内部控制重大缺陷的类型

表2 非财务报告内部控制重大缺陷的类型

3.在财务报告中出现的重大缺陷。财务报告主要是财务报告的编制、对外提供以及分析利用，其重大缺陷全部发生在财务报告编制。在16次出现于财务报告的重大缺陷中，8次出现在重大事项未披露中，6次是对准则掌握不准确，2次是没有建立财务报告流程制度。对准则掌握不准确的6次重大缺陷中，有4次是由于收入成本确认的原则与会计准则不相符。

4.在资产管理中出现的重大缺陷。资产管理包括存货、固定资产和无形资产。其中，无形资产只出现过1次重大缺陷，存在于无形资产转移及确认；固定资产出现3次、存货出现9次，这两方面主要在期末盘点资产、计提资产减值准备以及出入库记录出现问题。

5.在担保业务中出现的重大缺陷。担保业务包括对担保申请人的调查评估与审批，以及后续的执行与监控。担保业务重大缺陷均出现在担保申请的前期，即未对担保申请人进行调查评估或未履行担保审批程序。担保业务中，最容易出现重大缺陷的是没有对担保进行授权审批，甚至没有通过经理层和董事会自行对外进行担保。

6.在其他方面出现的重大缺陷。采购业务方面缺少供应商评估制度、未建立或未执行应付账款期末对账制度。合同管理方面主要是签订以及变更合同时的印章管理以及之后合同保管时未连续编号。组织架构方面出现的6次重大缺陷有5次是因为公司未设立风险管理部门或部门设立不满一年。工程项目方面，其重大缺陷主要集中在工程建设和工程验收上，工程款项结算、工程成本的归集以及未检查在建工程是否达到可使用状态。工程项目与资产管理相关联，工程项目验收之后就会进入到资产管理范围。人力资源方面的重大缺陷只出现过一次，是未实际执行职工薪酬业务循环相关控制，部分职工保险未进行账务处理也未缴纳。

综上所述，在内部控制五要素中，主要是控制活动出现问题，内部监督、控制环境以及信息与沟通也存在少数问题。

（二）非财务报告内部控制重大缺陷的分析

非财务报告内部控制重大缺陷主要有以下几个方面：信息披露；滥用职权，串通舞弊；责任事故；未设立审计部，结构框架缺失；重大投资事项不谨慎。详细分析如表2。

其中信息披露存在重大缺陷的比例最高，7家公司中4家都存在披露事项的重大问题，具体描述如下：信息披露过程可能存在设计及执行的缺陷；披露事项不充分、不完整、不明确，甚至对重大事项采取不披露行为。

对应《内部控制应用指引》的内容，非财务报告内部控制重大缺陷主要存在于1号文件组织架构—组织架构的设计、4号文件社会责任—安全生产、以及5号文件资金活动—投资。从内部控制五要素的角度来看，主要是控制环境和控制活动的问题。

三、导致内部控制重大缺陷的原因

1.企业部门设立不健全

＊ST博元和ST生化在2014年和2015年的内部控制审计报告均披露出未设立风险管理部门或未设立内部审计机构，无法对生产经营活动进行有效监督的内容。

企业部门设立不健全也就是企业的组织机构设计不科学，职能缺失。主要是公司没有设立内部审计机构或者风险管理部门，无法对生产经营活动进行有效监督，对重大事项进行风险评估，同时管理层没有制度约束，没有专业人员监督，凌驾于内部控制之上，产生相应的风险。

2.企业内部控制业务流程建设不完善

在2012年至2015年中共有10家公司，例如上海家化、天津磁卡、＊ST国创等，在内部控制制度的建设中没有制定供应商、客户引入制定审批制度，供应商、客户资信等级进行评估的制度以及期末对账制度和期末财务报告流程控制制度，等。

对企业内部控制的评价主要从两个方面进行，一是内部控制制度建设的完整性，二是内部控制制度执行的有效性。企业内部控制业务流程建设不完善就是制度不完整，即公司尚未制定有效的、完整的控制措施，工作人员在处理业务过程中，没有相关执行指南。

3.企业执行层没有有效执行内部控制

制度没有得到有效执行是所有内部控制审计报告被出具否定意见的原因。这涉及到所有类型的内部控制重大缺陷，集中在资金活动的审批、往来账户的对账、资产管理的盘点和减值准备、担保授权等方面。

企业执行层没有有效执行内部控制就是内部控制制度执行无效，即企业已经建立相关的管理制度、内部控制，但是在执行过程中未能履行相关程序，没有规范按照规定执行程序，从而导致企业业务流程出现漏洞，影响信息的真实性、完整性。

4.企业各部门缺少有效沟通

2014年，昆明机床由于缺少非经常性业务的内部控制，并且在业务发生时，业务部门与财务部门缺乏充分的沟通，并且后续的财务报告流程中的相关复核控制运行失效，对财务报表中的存货、应收账款、其他应付款、营业收入及营业成本产生重大影响。

各部门的沟通不及时主要是业务部门没有能及时与财务部门进行沟通，将该部门相关业务变化告知财务人员。沟通问题主要导致企业资产账实不符，影响财务报告的真实性和公允性。

5﹒企业管理层有意隐瞒

在财务报告的内部控制重大缺陷中，企业管理层有意隐瞒体现在重大事项不披露，对财务报告产生影响。根据上述分析，财务报告的重大缺陷都出现在重大事项不披露，尤其是关联方交易。在非财务报告的内部控制重大缺陷中，企业管理层有意隐瞒发生概率最高，重大事项不予以披露。2014年，皖江物流、山水文化、荣丰控股和华泽钴镍都出现了重大事项不披露或披露事项不完整问题，涉及到重大业务开展、重大资产重组等等。

6.财务人员解读准则不准确

财务人员解读准则不准确对财务报告的影响巨大，尤其是收入成本确认的原则与会计准则不符合。财务人员解读准则不准确有两种情况，一是来源于管理层的压力，基于业绩、运营等压力，不得不粉饰财务报表，使得财务报告未按照企业会计准则进行正确的会计处理，导致企业财务报告出现重大差错。二是财务人员本身对准则理解不准确，导致账务的不真实。

四、改善内部控制重大缺陷的建议

1.设立内部审计部门以完善组织架构

完整的组织架构是企业平稳运行的基本保证。企业内部审计部门对企业最重要的一道保障--内部控制--进行监督，为其有效性提供有力的保证。内部审计部门其特有的独立性也会合理保证内部控制运行的有效性，在一定程度上阻止高层管理者的舞弊行为。在设立内部审计部门之后，要定期对内部审计部门人员进行换岗以及专业培训或者考核，以保证其工作的专业性和有效性。在日常工作中，内部审计部门应更加注意上述的重大缺陷类型及发生的阶段，在高风险的科目上加大检查力度。

2.定期核查并完善内部控制业务流程

内部控制框架是组织对内部控制的规范。定期核查内部控制业务流程是为了全面梳理企业业务流程，补充企业增加的经常性业务流程控制或者原有的业务流程风险性、重要性增大的流程控制，删减冗余重复、没有必要的流程控制，使得内部控制业务流程始终保持高效使用的状态，合理保证企业的流程控制有效。在否定意见的内部控制报告中，一些重大缺陷是由于企业没有设计相关业务的内部控制或者管理制度，因此为业务人员或管理人员提供了舞弊的机会，从而使得企业的运营和财务报告受到了影响。

3.定期对全体职员进行培训

企业对职员的培训主要分为两大方面：一是对全体人员开展关于内部控制的培训，二是对财务人员的专业性培训。

通过上述分析可以看出，内部控制重大缺陷大多都是对内部控制的执行不到位。由此可见，培养企业员工的内部控制执行意识是非常有必要的。为了使企业内部顺利开展内部控制工作，对全体职员进行内部控制培训，强化履行内部控制流程的重要性，增强执行层的执行力度，并且各部门按月进行理论考试。内部审计部门的监督人员，要深入考察内部控制流程执行情况，并定期向企业管理层进行汇报。对没有按照流程控制执行的工作人员进行二次培训，使得内部控制能够有效地发挥其职能。

财会人员专业性水平不高，导致解读会计准则不准确，会计处理不正确，财务报告反应的数据不合理。企业应制定财务人员专业性的相关要求和标准，财务人员应保持持续学习的状态。另外，财务部门在企业财务准则或者行业准则有重大变化时，应统一进行专业性的培训。并且每季度或者每月对财务人员进行考核，以确保财务报告的准确性。

4.加强业务部门之间的沟通

业务部门之间的沟通主要分为两个方面：一是与非财务部门之间的沟通；二是与财务部门之间的沟通。业务部门的工作涉及到除财务部门以外的其他部门，应该定期（每周）与相关部门进行沟通讨论。如果业务部门涉及到资产以及供应商、客户状况的变化，要及时向财务部门汇报。每周财务部门要与业务部门进行核实，保证资产的账实相符，供应商、客户账面信息符合实际。