上市公司内部控制存在的问题及相关措施探析

赵梦雅 蔡璐 朱静文

摘 要：随着经济的快速发展，上市公司面临的风险趋于复杂化，各种问题层出不穷。由于会计信息失真，财务舞弊，风险失控等导致上市公司退市甚至破产，内部控制受到越来越多的关注。市场环境的多变性要求上市公司必须建立完整的内部控制，才能有效防范风险，在恶劣的竞争中立于不败之地。本文从上市公司内部控制的现状出发，结合《企业内部控制基本规范》的要求，通过对市场的宏观分析，对内部控制存在问题进行研究，从内部控制环境、控制活动、风险管理、信息披露与监管等几方面对内部控制的建设提出合理的建议，提升了上市公司内控管理水平与市场竞争力。

关键词：上市公司;内部控制;风险管理

一.绪论

中国市场最初是计划经济体制，后为适应经济的发展，建立现代公司制度，开始向市场经济体制转变。目前，中国已经步入市场经济多年，曾借鉴美国的先进经验，中国的内部控制以风险管理为主导，但由于市场环境及企业自身的限制，内部控制现状并不乐观。就上市公司自身而言，法人治理结构不健全，人力资源存在缺陷，企业文化意识薄弱，缺乏一个良好的内部控制环境。而内部控制的具体实施上，重点业务环节没有形成有效的控制链，内部控制点面失调，相关的内部监督和审计也存在漏洞，使内部控制活动失效。从公司的信息沟通出发，方法上缺乏灵活性，且信息利用率不高。

二.上市公司内部控制存在的问题剖析

（一）内部控制环境存在的问题剖析

内部控制环境是内部控制的基本要素，也是内部控制建设的基础。只有拥有一个良好的执行环境，内部控制的实施才能顺利进行下去。目前存在的内控环境问题主要体现在法人治理结构不健全——三权失衡与两权分立、企业文化意识薄弱、高管人员激励制度不完善等三个方面。根据上市公司的年报和对部分破产公司的分析，可以发现，上市公司的法人治理结构并不完善，集中表现为董事会组成结构不合理，监事会职能发挥受限。上市公司股权集中在少数股东手中，小股东一般只能占到总股份的1%～4%左右，董事会成员多为大股东，导致公司决策掌握在少数人手中，小股东权益得不到保障[1]。而企业文化关系到一个企业的价值观，象征的是一种品牌，是企业核心竞争力中的软实力。品牌文化是诠释一个企业的最好渠道，尤其是上市公司，拥有良好的企业文化，优秀的核心价值观，可以大大提高公司的形象，扩大公司的影响力和知名度。而对高管人员的激励方式多种多样，对高管人员的激励方式多种多样，公司一般会采取监督与激励并行的方式。就整个市场来看，近些年对高管人员的激励措施中，股权激励起到了更显著的作用。如下表1所示，可见，大部分上市公司并未采取股权激励。

（二）信息交流与沟通存在的问题

在这样一个信息化时代，一个企业的信息交流与沟通是非常重要的，与外界保持良好的信息交流可以大大提升公司的形象，迅速获取市场信息，在资本市场中占据有利地位。上市公司的信息交流包括公司内部门之间的交流和公司与外界的交流，而前者对于内部控制的建设起着重要的作用。在内部控制执行的过程中，各部门之间要始终保持信息互通，时常进行交流，以保证公司各重点业务环节的衔接、配合。另一方面，根据对沪、深交易所网站数据的调查可以发现，除了证监会、交易所等机构强制要求披露的公司信息外，很少有上市公司会主动披露公司的重大信息，尤其是公司的重大缺陷[2]。与外界交流有利于迅速获取市场信息，显然，只有少数上市公司认识到了这一点。而在上市公司内部，各部门虽说是各司其职，却缺乏必要信息交流，平常都只是负责本部门的工作，部门间的交流很少。交流的匮乏导致信息的堵塞，不仅错失了很多的获利机会，也阻碍了公司的整体发展。

（三）内部控制活动存在的问题剖析

所谓的内部控制活动其实是指通過制度和业务操作要求等对公司的相关业务进行指导及规范的活动，是企业内部控制的重要手段。每一个重要的业务环节都是一个控制点，而点与点之间必须要有良好的衔接，才能保证整个公司的持续运营，一旦一个环节出现问题，就会导致整个控制链断裂。例如巨人集团，就是因为资金链的断裂走上了破产之路。上市公司的业务控制点之间的衔接缺乏灵活性，容易导致业务链接失调，阻碍内部控制活动的执行。

（四）风险管理存在的问题剖析

从某种意义上来说，内部控制就是一种风险管理，它通过制度建设、控制活动、信息披露等降低公司的风险，获得低风险高收益的经济目标。据调查，近几年上市公司破产的原因或多或少都与风险管理有关，失败的原因之一便是上市公司缺乏风险管理的意识。企业的风险意识淡薄主要表现为以下几点：第一，高管人员一味追求低成本高利润，而忽略了风险的存在，使潜藏的危机成为了可能的结果;第二，对于风险有朦胧的意识，但总是保持侥幸的心理，轻视对风险的管理;第三，对风险的认识不足，随着经济的全球化，风险也趋于复杂化，如果对风险的认识只是停留在简单的层面，是无法抵御风险的。

（五）信息披露制度存在的问题剖析

关于上市公司对内部控制的信息披露在法律上并没有硬性的要求，这导致大部分的公司对内部控制的披露采取比较随意的态度，从而不能向外界传达正确的信息，导致投资者利益受损。信息披露法规的不健全，一方面阻碍了监管机构对上市公司内部控制的监管，影响其权威性和执行力，另一方面也使上市公司产生轻忽的心理，对于内部控制的信息披露不重视。不管是内部审计还是注册会计师，在对上市公司内部控制进行评价时，都是基于其专业知识上的个人评判，对内部控制的评价实际上缺乏一个统一的标准，可能导致对同一个公司的评价出现两种不同的结果。

（六）内部审计与外部监管存在的问题剖析

为了保证内部控制的建设，上市公司应该建立一个独立的监管组织，对内部控制制度的制定、内部控制活动的实施等进行监督管理，并在年终报告时做出正确的内部控制评价报告，而这一职能通常是由内部审计来完成的。但是，根据调查可知，2011年沪、深市的内部控制披露率虽达到了78.8%，但是，披露完整的内部控制评价报告的却很少。另一方面，对上市公司内部控制监管还停留在简单的监督层次上，审计部门通常只是对违规行为作出处罚，而不能有效地进行管理，导致内部控制的整体水平下降[3]。内部审计的不到位，导致内部控制的建设缺乏有利保障。上市公司的内部控制不仅需要内部审计，还需要进行外部监管，像财政部、证监会、证券交易所等都属于外部监管机构，但是这些机构对上市公司内部控制的监管缺乏效益，主要有以下几方面原因：一是对上市公司内部控制监管的法律法规体系不健全，对一些具体的监管内容法律存在空白与漏洞，容易使公司钻空子。二是各机构监管范围有所交叉，一个问题牵扯到好几个部门，不能得到有效解决。三是监管机构手段单一而温和，对于上市公司内部控制的监管流于形式，上市公司存在的问题得不到实质性解决。

三、对内部控制建设的几点建议

《风险管理整合框架》倡导构建以风险管理为主的内部控制体系，并提出内部控制的八要素，结合中国的基本国情和市场环境，财政部等五部颁布了《企业内部控制基本规范》，要求构建“以内部环境为重要基础、以风险评估为重要环节、以控制活动为重要手段、以信息与沟通为重要条件、以内部监督为重要保证，相互联系、相互促进的五要素内部控制框架。”针对之前对内部控制的问题分析，给出以下几点建议：

（一）完善相关的法律法规体系

首先，应该确定上市公司内部控制的披露方式。内部控制俨然已经成为上市公司基础建设的一部分，而且起着至关重要的作用。在实施内部控制时，要保持其相对独立性，对内部控制的披露也应采取单独披露的方式。其次，应该确定上市公司内部控制评价报告的披露人员，做到独立、权威、公正。为了全面反映内部控制的实施情况，应该由内部审计师与聘请的注册会计师共同披露，一个出具内部控制自评报告，另一个出具内部控制评价报告[4]。为了保证审计师与注册会计师的工作质量，避免出具虚假的内部控制报告，应该建立相应的问责制度。为了保证其执行强度，必须从法律上确认披露人员的法律责任，建立严格的内部控制法律法规体系4。

（二）改善内部控制环境

提高内部控制的水平，应该从基础出发，也就是改善上市公司的内部环境。

1、健全法人治理结构

要建立良好的法人治理结构，重点还是在于董事会、经理层、监事会三者之间的制衡关系。为了避免大股东对上市公司的操控，可以采取以下措施：第一，对股东与经理层的职位重复率进行控制，可以以法律条款的形式要求，控制在10%以下，对于违反此规定的上市公司，可以采取一定的处罚并责令其更正;第二，通过公司章程，强化监事会的权利，确立监事会的绝对监管地位，并对监事会中的普通职工赋予特殊权利。第三，由政府出面建立专门的中小股东权益机构，在公司进行重大决策时，小股东们可以将自己的投票权集中在这个机构手中，然后由这个机构代表中小股东进行投票，防止几个大股东联手操纵公司。

2、在股权改革的基础上全面实行股权激励制度

自股权分置改革以来，上市公司迅速发展壮大，在此基础之上，对高管人员的股权激励制度已显示出其优越性。为了全面实施股权激励制度，可以由公司人力资源部门成立一个专门的小组，对这项工作全面统筹、规划、实施。股权激励制度解决了以往的激励制度存在的问题，减少了经理层的道德风险和逆向选择，从而大大提高了公司的业绩。

3、建立贯彻执行内部控制的企业文化

企业文化可以说是上市公司的灵魂，要创造一个公司的企业文化绝非易事，上市公司应该建立贯彻执行内部控制的企业文化，将内部控制的的建设渗透到每一项工作当中[5]。建立一个优秀的企业文化，首先要让提高员工的文化意识和职业操守，将内部控制的建设时刻铭记于心，其次就是要身体力行，以企业文化为指导思想，积极主动地投入到内控建设中，领导层更是要起好表率作用，带动全体职工的积极性。

（三）加强风险管理

1、提高风险管理意识

风险管理是内部控制活动的前提条件，也是内部控制建设的主要环节。加强风险管理，首先应该提高高管人员风险管理的意识。为了解决经理层风险意识薄弱的问题，可以将风险管理的效果与管理层的利益相挂钩，具体来说，就是通过内部控制报告确定高管人员在内控建设中的业绩，并将其纳入绩效考核中，以此来促进经理层对风险管理的重视度和积极性。

2、建立风险管理体系

加强风险管理，就要以内部控制的目标为基础，建立一个全面的风险管理体系。

（1）目标设定

风险管理是内部控制的中心环节，风险管理的目标是建立完整的内部控制体系，保障公司的资产安全，提高公司的经营业绩和管理水平。

（2）风险识别

风险识别是风险管理的第一步，主要是为了识别可能危害公司利益的不良因素。可以通过搜集资料和考察业务来识别风险，一般采用生产流程分析法、财务表格分析法和保险调查法。

（3）风险评估

是指对风险产生的条件、可能性及后果进行估计，并采用一定的方法对风险的大小和强度进行度量。

（4）风险控制

即根据风险评估的结果，采取相应的措施，将风险可能带来的损失降到最低。

（5）风险预警机制及应急处理机制

预警机制可以帮助公司有效地防范风险的发生，降低风险管理成本，有利于内部控制活动的顺利进行。

（四）提高内部控制活动效率

1、建立内部控制业务网

内部控制活动不是简单地对每一个业务关键点的控制，而是一个完整的控制体系，各业务点之间都是有关联性的。为了使内部控制活动有效进行，就需要建立一个程序，使内部控制活动形成一个控制网，各控制点之间建立关联度，相辅相成，稳健运行。其次，就是要加强对关键业务点上的控制，譬如销售定价、采购预算等。为了更好地对各业务点进行控制，有必要建立隔级授权、双重审核等制度，从申请到执行都要有明确的规定。

2、灵活选择控制活动方式

在对内部控制活动的方法选择上，应该以自动控制为主，人工控制为辅，这样既可以降低控制成本，又可以加强内部控制活动的灵活性，同时人工的机动性可以弥补自动控制无法顾及的盲区。

（五）建立良好的信息沟通

企业与外界的信息沟通多是通过出具年度报告等方式实行，这里不多加阐述，下面重点对公司内部的信息沟通进行优化。为了保证重要信息及时传达到各相关部门，应该建立一个高速畅通的信息传递通道。通过这个通道，高层管理人员可以迅速下达指令，并及时了解到下属的工作成效，以便制定下一步的工作计划，达到监督与指导的作用;下属员工也可以清楚地得到上级指示，明确自己的任务，降低管理成本，提高工作效率。这样一个自上而下，自下而上，相互关聯的信息沟通系统会大大提高内部控制的效率。

（六）完善内部审计，强化外部监管

上市公司应该将监管纳入管理的范畴，设立一套专门的监管制度，突出监管部门的独立性与权威性。监管部门可以归属于监事会权下，在此基础上保持相对的独立性，客观评估公司的内部控制。其次，就要从制度与执行上加紧监管的力度。根据法律与政府监管机构的规定，加之公司自身的情况，加大监管力度，提高信息披露的程度和频率，使管理层始终掌握公司的内部控制情况，一旦出现状况，可以最快的解决问题。在对内部审计人员的选择上，也要提高标准，加强绩效考核，进行不定期的培训，并贯彻执行问责制度。内部审计的监管职能与范围始终有限，更偏向于上市公司的自律范畴。为了保障整个市场上上市公司内部控制可以良好建立与实施，就要借助政府的力量加强对上市公司的监管与指引，强化外部监管势在必行。随着上市公司的数量增多以及内部控制建设工作的全面展开，应该在证监会内部建立一个专门的部门，对上市公司的内部控制进行监管。监管可以采用分级式，对占市场份额较大，内部控制建立比较完善的上市公司可以适当放松监管，而对于刚刚建立内部控制的上市公司应该加强监管力度，注重引导，建立事后跟踪反馈机制。这样，即可以达到人力资源的合理配置，还可以有效降低监管的成本。其次，依靠法律的强制性和权威性，确立证监会的监管地位，并通过法律法规的形式规范上市公司的内部控制建设以及信息披露。政府还可以适当利用媒体的力量，鼓励其曝光上市公司的违纪行为，充分发挥舆论监督的作用。

四、总结

内部控制工作实际上是对内部人员的控制工作，通过建设完整的内控制度，提升上市公司的内部管理水平。针对目前各上市公司在内控方面存在等诸多问题，本文提出了从体系、环境等方面提出了建议，并结合目前上市公司的现状提出了解决方案，从而进一步推进上市公司内控管理水平提升。

参考文献

[1] 钱梦娴.当前风险管理下的上市公司内部控制[J].财经界（学术版），2009（8）：134-136.

[2] 张士强，张暖暖.我国上市公司内部控制现状与存在问题分析[J].审计与经济研究，2009， 24（3）：102-107.

[3] 刘肃.对我国上市公司内部控制信息披露问题的研究[J].商业经济，2009（10）：73-77.