上市公司内部控制审计的成本—价值研究

万里霜

上市公司内部控制审计的成本—价值研究

万里霜

(北京交通大学经济管理学院，北京 100044)

上市公司内部控制审计由于实施成本较高，且审计程序与财务报表审计存在较多重复等问题使其必要性常常遭到质疑。文章分析了内部控制审计实施成本的构成，从内部控制审计在提升公司价值、促进市场经济秩序的有序发展等方面的积极作用，探讨内部控制审计价值可能存在的领域。建议从控制内部控制审计的实施成本、提升内部控制审计信息的相关性两方面发挥内部控制审计的价值。

上市公司；内部控制审计；实施成本；信息相关性

一、内部控制审计制度的发展

与财务报表审计的发展时间相比，内部控制审计的历史较短。早在16世纪，当经济主体的财产所有权和经营权开始分离之时，即在客观上产生了由独立的第三方审计财务信息的需求。时至今日，以财务报表的公允性和合法性为目标的财务报表审计的价值已获得公认。

内部控制审计的产生和发展与财务报表审计的技术发展密切相关。1949年，美国注册会计师协会发布了一项公告《内部控制：组成要素及其对管理层和独立公众会计师的重要性》，将财务报表审计从账项基础转变为制度基础审计，将内部控制测试确立为财务报表审计的重要程序。20世纪70年代以后，单独的内部控制审核得到了美国科恩委员会、美国反财务报告欺诈委员会等机构的积极推进，但由于实施成本过高、报告意见的不相关性、审计标准模糊等原因屡次遭到置疑并搁浅。直到1991年美国《联邦储蓄保险公司改善法案》实施，确定了内部控制审核的可行性之后，美国证监会正式要求上市公司进行单独的内部控制稽核。

进入21世纪后，美国发生的一系列重大财务舞弊案件，最终导致美国国会在2002年通过《SOX法案》。该法案将内部控制审计确立为上市公司的法定审计项目。其后，内部控制审计成为多个国家上市公司的法定监管要求。在我国，2008—2010年的企业内部控制系列规范颁布后，证券监管机构经过审慎权衡，将内部控制审计作为一项主板上市公司的法定审计项目。

从整个发展过程来看，内部控制审计是伴随财务报表审计的发展而独立出来的审计类别。内部控制审计之所以在较长时间里不被重视，主要原因包括：（1）内部控制审计的实施成本较高。（2）内部控制与财务报表审计两者的测试工作存在较多重复。（3）两项审计的最终工作目标均为提升财务报告信息的可信赖程度，而财务报表审计与该目标直接相关，内部控制审计则是通过评价财务报告内部控制的有效性，间接地与财务报告信息披露相关。（4）内部控制审计意见与预期信息使用者的经济决策相关性不高。本文对上述问题进行分析，并立足于比较内部控制审计实施成本和价值可能发挥的领域，提出充分发挥内部控制审计价值的政策建议。

二、内部控制审计实施成本分析

内部控制审计实施成本问题一直备受审计理论界和实务界的关注。Sneller等学者的案例研究显示，SOX法案404条款的遵循成本大约比美国证监会预计的水平高出约12倍。从实务操作的角度看，在财务报表审计之外单独增加内部控制审计，不仅意味着挤占审计资源，还意味着被审计单位资金、人力、物力的额外付出，以及正常业务活动的中断。对上市公司而言，内部控制审计的实施成本包括：（1）聘用注册会计师实施内部控制审计的额外资金支付；（2）配合内部控制审计，提供资料和信息所需耗费的成本支出；（3）内部控制审计信息披露成本；（4）不利内部控制审计意见对公司声誉的不利影响；等。对注册会计师而言，实施成本包括：（1）内部控制审计工作的增量付出；（2）对已有审计资源的占用；（3）审计人员提升内部控制审计专业胜任能力的培训费用；（4）失实内部控制审计报告的法律责任成本；等。对监管机构而言，内部控制审计意味着对有限监管资源的挤占，以及监管成本的额外增加。

2016年度，上海证券交易所A股上市公司单独披露的内部控制审计费用合计达到5.08亿元，当期披露的财务报表审计费用合计为20.79亿元。虽然前者金额远低于后者，但对于被审计单位而言，是一种增量支出，且金额绝对值较大。此外，2016年我国全部上市公司被出具非标准无保留内部控制审计意见的家数达到86家，其中否定意见21家。上述指标数均创造了我国自2011年内部控制审计成为法定审计要求以来的最高值。

内部控制审计是否有存在的必要，取决于实施成本与其能创造价值的对比结果。如果内部控制审计所能创造的增量价值不能超出所需耗费的成本，其存在的必要性必然无法获得认可。

三、内部控制审计价值的存在领域分析

旨在对财务报表内部控制是否有效做出鉴证意见的内部控制审计，其价值可能体现在多个领域。

（一）对被审计单位的影响

1．内部控制审计能够提升财务报表信息质量。财务报表信息质量的高低，与被审计单位自身财务报表相关内部控制设计和执行的有效性直接相关。如果财务报表内部控制存在缺陷，则被审计单位编制的财务报表出现错弊的可能性较大。作为对上市公司信息披露行为进行外部监管的重要组成部分，内部控制审计是为确定被审计单位财务报告内部控制体系的有效性而实施的一种独立鉴证活动，它的实施，不仅可以得出一个内部控制有效与否的鉴证意见，还可以促进被审计单位关注自身的内部控制，采取更有效的内部控制措施，减少错弊发生的可能性，以确保财务报表信息的可靠性。

较多实证研究的结果显示了内部控制审计对被审计单位的盈余管理的抑制作用。如，许骞等检验了2011至2012年主板上市公司的内部控制审计情况，认为实施强制性的内控审计制度不仅有效地减少了上市公司应计项目的盈余管理，而且减少了真实活动盈余管理。他们的研究结论认为这项制度可能改变了上市公司财务操控程度和手段。

2．内部控制审计能够促进内部控制有效性的整体提升。从信息传递理论来看，信息的可靠性、充分性和相关性是判断一家上市公司经营质量的重要依据。内部控制审计提供了上市公司内部控制信息，有助于信息使用者做出更全面的判断，影响其经济决策。从声誉理论来看，如果上市公司被出具非无保留内部控制审计意见，可能会对其市场信誉、经济效益，以及投资者印象等诸多方面产生不利影响，导致面临更高的信任危机。反过来，如果上市公司对外披露无保留意见的内部控制审计意见信息，则有助于企业形象的提升。

内部控制审计是内部控制的再控制，法定的内部控制审计使得注册会计师能够站在超然的立场上，评价被审计单位内部控制设计和执行的有效性，从而从外部对企业施加压力，促进被审计单位重视内部控制，促进其提升内部控制水平。为减少或避免不利情况的产生或恶化，上市公司可能从内部产生提升内部控制有效性的动力，以改变不利的处境。

内部控制审计意见对上市公司内部控制的影响在实证研究中已获得了一些证据。例如，Li等学者发现美国的一些上市公司在收到不利内部控制审计意见后，将其归咎于原有财务总监专业胜任能力不足。而他们在聘任了一位更具有胜任能力的财务总监后，公司所获得的内部控制审计意见得到了改善。

3．内部控制审计能促进公司的可持续发展能力的形成。内部控制的基本目标在于提升公司经营的效率效果，实现发展战略。内部控制提升使得企业能够更有效地应对风险，从而促进企业战略目标的实现，实现可持续发展。内部控制审计通过梳理内部控制关键控制点，查找被审计单位内部控制缺陷，客观上帮助被审计单位完善了内部控制，有助于企业各项内部控制目标的实现。在内部控制水平得以提升之后，被审计单位的战略决策、经营决策、投融资决策可能更加有效，由此形成可持续发展能力。

（二）为利益相关者提供增量信息

财务报表虽然是关于一家公司的全面的综合性信息，但存在固有局限性。例如，财务报表主要是提供历史性的、能以货币计量的信息。内部控制信息则是对上市公司内部管理活动的描述，可以在一定程度上弥补财务报表信息的不足，从而进一步降低信息不对称的严重程度。将内部控制信息与财务报表信息相结合，一方面能帮助利益相关者判断财务数据形成过程的可靠性，以更有效地评价财务报表信息的可信赖程度；另一方面，两类信息的结合，还能帮助利益相关者更好地评价公司的经营管理状况，预测未来的发展。

利益相关者对内部控制审计信息的反应可能直接反映在资本市场中。如果内部控制信息显示被审计单位较多的内控缺陷，则可能导致利益相关者看淡该公司的前景，在资本市场上将表现为股价下跌，以及筹资成本上升。吴益兵研究了单独内部控制审计的价值相关性，认为内部控制信息会影响投资者决策，从而改变资本成本。

（三）增强市场秩序的稳定性

在资本市场上，内部控制审计的稳定效应可能表现在以下方面：1．通过增量信息的提供，帮助投资者更全面地了解公司的情况，抑制了投资者的投机行为。2．通过监管上市公司的责任方，增加其建立健全内部控制的工作压力，减少舞弊机会，提升投资价值。3．通过提升财务报表信息的可靠性，引导资本的合理配置。内部控制审计意见能够帮助投资者做出更理性的投资决策，减少投机行为，维护正常的资本市场秩序。

经过几年实践，内部控制审计意见对资本市场的稳定效应已经表现在对股价变动、股票流动性等多个方面。较多实证研究获得了有意义的研究结果。例如，基于《SOX法案》的实施情况，Hammersley等学者的研究结果表明内控缺陷和重大缺陷会导致股价下降。Dowdell等学者通过研究内部控制审计报告与股票市场流动性的关系考察信息含量，研究发现披露内部控制缺陷的公司比内控有效的公司有更大的买卖价差，即更低的市场流动性。在以股票市场反应为因变量的相关研究中，一些研究者统计了内部控制审计意见披露前后若干时间段的股价变动超额收益，多数结论认为股票市场对内部控制审计意见有显著反应。

内部控制审计的价值还可以延伸到资本市场以外。从我国的现实情况看，与上市公司相比，非上市公司内部控制处于相对较低水平。许多非上市公司的内部管理则处于较低水平，内部控制更加薄弱，在公司治理和内部控制方面均存在较大的提升空间。上市公司内部控制水平的提升，在客观上能在社会经济生活中起到示范效应，从而也有助于提升整个市场经济秩序的稳定性。

四、控制内部控制审计的实施成本

提升内部控制审计价值的一个重要方面是控制实施成本。在控制实施成本时，不应过度强调节约，而是应当在确保必要支出的前提下，控制过高的审计成本。在现阶段，建议从以下方面控制实施成本。

（一）合并财务报表审计和内部控制审计

目前，我国内部控制审计相关规定中允许进行整合审计。即被审计单位可以聘请同一家会计师事务所同时进行内部控制审计与财务报表审计，或者聘请不同的会计师事务所分别进行单独的财务报表审计和内部控制审计。基于财务报表审计和内部控制审计联系密切，且多项审计程序重合的，实施整合审计不论是对被审计单位，还是对注册会计师，都有利于提高审计效果和效率，降低审计成本，减少重复劳动。与单独审计相比，实施整合审计能够大幅度地节约资源。当前，我国绝大多数的上市公司已经选择了整合审计方式，但为进一步控制审计成本，建议监管机构对现有规则做出进一步的修订。

建议合并财务报表审计和内部控制审计，即，将两项审计直接合并为同一项审计业务。现有规则中，即使上市公司聘请同一家会计师事务所进行整合审计，仍然要求将内部控制审计和财务报表审计作为两项单独的业务，分别签订审计业务委托书，分别出具审计报告。从审计性质和操作实务来看，这种要求并不必要。其一，两项审计均为鉴证业务，其终极目标具有一致性；其二，两项审计的较多测试程序相同，所获取的审计证据本身具有相关印证的关系；其三，两项审计意见之间具备天然的联系。因此，没有必要对这两项审计业务做出形式上的分离。建议允许注册会计师在同一份审计报告中，同时出具财务报表和内部控制的审计意见，由此不仅减少了注册会计师的工作量，还能让预期使用者在一份审计报告中看到关于被审计单位财务报表信息合法性、公允性的可信赖程度，以及这些财务数据在形成过程中相关内部控制的有效性。两项信息放在一份审计执行中，更有助于审计意见使用者形成对一家公司财务报表信息的更完整了解。

（二）规范内部控制审计程序

目前，我国关于内部控制审计相关的规定或指引主要有《内部控制基本规范》（2008）、《内部控制审计指引》（2010）、《企业内部控制审计指引实施意见》（2011）、《企业内部控制审计工作底稿编制指南》（2011）、《企业内部控制审计问题解答》（2015）。这些规范与财务报表审计准则及相关指南、解释意见相比，系统性、严谨性以及对实务工作的指导性明显不足。由此可能导致以下问题：（1）与财务报表审计相比，内部控制审计实务中应当如何执行审计程序更加信赖于审计人员的主观判断。（2）由于内部控制审计程序的专业标准模糊，可能造成审计人员内部控制审计程序执行过剩和执行不到位的情况同时存在。（3）在追究内部控制审计的法律责任时，缺乏可资评判的专业标准。这些问题的存在，不仅导致内部控制审计实施成本的支出缺乏依据，还严重影响了内部控制审计的执行效果。建议行业监管机构尽快组织制订内部控制审计程序专业标准。

（三）充分利用他人的工作成果

注册会计师在实施内部控制审计过程中，应充分利用被审计单位自我评价、内部审计等相关工作成果。建议在内部控制审计实施过程中，充分评价他人相关工作结果是否值得信赖，以判断是否可以利用，或可以利用的程度，从而尽可能地降低审计的实施成本。

五、提升内部控制审计的信息含量

增加内部控制审计价值的另一方面在于提升内部控制审计的信息含量。对内部控制审计意见信息质量要求至少应当包括：（1）与财务报表审计意见的内容应有明显的不同，以提供财务报表审计意见之外的增量信息；（2）尽可能与利益相关者的决策相关，否则将成为审计资源的浪费；（3）审计意见的信息应具备适当的丰富性和可阅读性。然而，目前相关规范中对内部控制审计报告，以及在内部控制审计操作实务中存在以下问题，使上列信息质量要求难以达到。建议从以下方面提升内部控制审计的信息含量。

（一）修订内部控制审计报告的参考格式

在现有无保留意见的参考格式中，除了说明内部控制具备有效性的审计结论之外，几乎没有实质性的内容。2017年，财务报表审计报告的参考格式做出了实质性的修改。建议内部控制审计报告的参考格式可作类似的改进，例如增加列示“关键审计事项”，描述内部控制审计的关键过程，列示对内部控制有效性重点关注的问题及审计应对程序的采用情况。

（二）增设内部控制审计保留意见

在目标的内部控制审计意见类型中，没有设置保留意见。从性质上看，保留意见适用于被审计对象存在重大问题，但尚未达到广泛影响的情形。既然财务报告内部控制缺陷的评价标准以“错报”的严重程度来评判，那么在财务报表审计中区分“错报”是否重大、广泛的标准也应同样适用于内部控制审计。此外，在实务中，内部控制缺陷的影响程度重大但不广泛的情况很常见，那些本应被出具保留内部控制审计意见的公司，可能被人为地变成无保留意见，无法表示意见或否定意见，这种情况并不合理。因此，建议在内部控制审计意见类型中增加保留意见。

（三）减少同类信息的重复

当前，非标准内部控制审计报告与非标准财务报表审计报告所列示的信息内容存在较多的重复。例如，2011至2016年，较多内部控制审计报告的强调事项段中所描述的内容，与财务报表审计报告中强调事项段相同。其中，重复较多的内容有：被审计单位正在接受证券监管部门审查、持续经营能力存在重大不确定性、被审计单位已经停止经营等。在两类审计报告均为公开信息的情况下，没有必要让公司的利益相关者重复阅读同一信息。基于这一点，需要重新考虑内部控制审计报告内容的列示。

（四）规范强调事项段列示的内容

从2011年至2016年，上市公司被披露强调事项的内部控制审计意见的家数逐年上升，一直占据着非标准审计意见的大多数。2016年度，带强调事项段的内部控制审计报告的数量达到65份。而多项强调事项段所描述的内容有待斟酌。除了上文中提到了与财务报表审计报告中的相关内容存在较多重复的问题之外，有较多的强调事项段所描述的事项对审计意见预期使用者经济决策的影响难以界定。例如，某家上市公司被出具的强调事项段所描述的内容是，提醒内部控制审计报告使用者关注，纳入本项财务报告内部控制审计范围的母公司及其重要子公司总资产、营业收入和净利润三项指标占当年度合并财务报表相应指标的比例分别为92.30%、96.44%和98.80%。类似事项被强调的理由无法判断，也难以确定对预期使用者决策的影响，建议监管机构、行业管理机构对强调事项的选择做出进一步规范。

六、结 论

内部控制审计通过关注财务报告编制过程中内部控制的有效性来帮助利益相关者判断财务报告信息的可信赖程度，从理论上能够为利益相关者提供与其经济决策相关的增量信息。然而因其实施成本较高，以及其信息相关性不足等原因，导致其存在的必要性成为业界关注的重点。本文从内部控制审计的实施成本与其价值发挥领域的对比中，寻找提升内部控制审计存在价值的路径。内部控制审计实施成本虽然较高，但如果能与财务报表审计进一步相整合，充分利用相关人员的工作，可以进一步降低实施成本。同时，丰富内部控制审计意见的信息含量，增加与利益相关者的决策相关性，才能证明内部控制审计存在的价值。

[1] 吴益兵．内部控制审计、价值相关性与资本成本[J]．经济管理，2009（9）：64-69．

[2] 方红星．内部控制、审计与组织效率[J]．会计研究，2002（7）：41-44．

[3] 许骞，曾建光，王立彦．强制内控审计改变了上市公司财务操控程度和手段么?[J]．审计研究，2014（6）：92-99．

（责任编辑：郑宗荣）

A Study of Cost-Value in the Internal Control Audit of Listed Companies

WAN Lishuang

The internal control audit of listed companies has often been questioned because of the high implementation costs and the duplication of audit procedures and financial statement audits. This paper first analyzes the composition of the implementation cost of internal control audit, and then probes into the possible fields of internal control audit value from the active role of internal control audit in promoting the value of the company and the orderly development of the order of the market economy. It is suggested that the value of internal control audit should be used to control the implementation cost of internal control audit and enhance the relevance of internal control audit information.

listed company; internal control audit; implementation cost; information relevance

万里霜（1972—），女，湖北孝感人，北京交通大学经济管理学院讲师，博士，主要研究审计、风险管理、社会责任。

F275

A

1009-8135（2018）04-0054-06