上市公司内部控制信息披露研究与对策分析

虞佳琪 福州大学经济与管理学院

一、引言

内部控制信息披露是资本市场信息披露的重要组成部分，企业根据《内部控制基本规范》对自身内部控制的有效性、完整性和合理性进行评价，并且出具内部控制评价报告，为投资者提供可靠信息。随着资本市场的不断发展，内部控制在公司治理中扮演着日益重要的角色，但仍有部分企业因为信息披露不当、未及时披露相关信息等问题被证监会处罚。本文利用CSMAR数据库中上市公司数据以及迪博内部控制指数，对上市公司当前内部控制信息披露现状进行研究与分析，进一步提出改进的建议。

二、内部控制信息披露现状

2020年A股上市公司中共有3 642家公司披露了内部控制评价报告，占比95.99%，较2019年度有所增长。由此可见，披露内部控制评价报告的上市公司数量庞大且逐年上升。3 550家上市公司内控评级数据显示，44家上市公司内控评级为A级，其中上汽集团、中国人寿和中国中铁为AAA评级。内控评级为B级、C级、D级的数量分别为2 679家、555家和272家。由表1可知，与上一年度对比，内控评级为 B级的上市公司占比明显增加，同时C级明显下降，说明上市公司披露的内控质量总体有所提高。此外，沪深两市有514家上市公司在内部控制评估报告中披露了内部控制缺陷，占14%。总体而言，上市公司内部控制指数接近于中等水平，企业内部控制质量在稳步提升，但在内部控制分项指数方面，企业战略层级、经营层级和资产安全指数得分均偏低，在信息披露方面还存在问题。

表1 2016-2020年上市公司内部控制指数评级占比情况

三、内部控制信息披露存在的问题

(一)内控信息披露及时性有待提高

2012年起，财政部、证监会等要求上市公司强制披露其内部控制信息，但每年度均存在部分企业未能在4月30日前及时披露内控信息。根据迪博数据显示，2020年存在5家上市公司未能如期披露年度报告以及相关的内部控制报告，40家公司所披露的内部控制报告未能在指定渠道中查询。这表明部分企业由于管理层披露责任意识不强或推迟发布不良消息等原因，未及时披露当年内部控制信息。另一方面，我国证券市场规定，当发生对企业生产经营存在较大影响的状况时，上市公司应当及时披露，但仍有部分企业在信息披露中隐藏重大诉讼事项，关联方交易等行为。如华铁应急设备公司隐瞒或推迟披露相关投资项目中存在的内控重大缺陷，该行为可能导致投资者遭受重大损失。

(二)内控评价报告专业性有待提升

一是披露内控缺陷在内部控制自我评价过程中，部分上市公司未将内控缺陷进行分类。部分企业存在未区分财务报表与非财务报表的内部控制缺陷的问题，甚至存在没有披露真实存在缺陷的情况。二是披露内控缺陷未按既定标准进行认定。上市公司披露的内控缺陷标准不一，缺乏可比性。相同的内控缺陷内容在部分公司属于重要缺陷，另外的公司却将其归入一般缺陷，导致不同企业的内部控制评价报告无法比较，专业性不强。三是内部控制自我评价报告评价甚高，缺乏客观公正性。由企业自行发布内部控制自我评价报告，评价的内容可能存在流于形式或隐藏缺陷，导致其失去使用和参考的专业价值。如代码603991的公司自身未在内部控制评价报告中识别出相关内部控制缺陷而受到证监会处罚。

(三)内控缺陷披露主动性有待加强

迪博数据显示2020年只有514家上市公司披露了自己存在的真实内控缺陷，并且仍然存在部分公司并未主动披露当年内部控制缺陷内容。企业在内控缺陷方面披露很不全面，2016—2020五年间，披露的信息主要集中于一般内控缺陷，该缺陷比例达到80%以上，披露重要缺陷和重大缺陷的数量较少，一方面说明大部分企业内部控制质量较好，另一方面可能是由于有些企业对于重大或重要内控缺陷方面的信息甚至完全没有涉及。对于企业内部控制中的实际缺陷数量以及缺陷内容与所披露信息是否一致性还存有疑虑。

(四)对内控缺陷整改的关注度不足

上市公司内控缺陷整改情况不容乐观，迪博数据显示，上市公司识别出的内部控制缺陷中，只有27%得到了及时整改，仍有73%的缺陷还为进行有效整改。部分上市公司甚至未整改上一年度所披露的内部控制重大缺陷，这说明上市公司总体对内控缺陷整改不够关注，还未给予充分重视。甚至个别公司的内控缺陷存在多年仍未整改，直至被证监会点名处罚后才完成相关整改。内部控制缺陷整改情况披露方面，部分企业对整改具体措施和整改情况披露过于笼统，较多使用的表述如“已责成相关人员进行整改”。该模糊的表述无法使得监管者与投资者有效掌握企业内部控制整改的真实情况。

四、提升内部控制信息披露的建议

(一)提升企业外部监管水平

一是规范化内部控制缺陷内容的具体评价标准，使得上市公司对重大、重要和一般缺陷的认定具有统一性和可比性。披露外部监管部门和会计师事务所不仅要关注披露是否规范，还应当重点关注上市公司内控缺陷的整改情况，持续跟踪整改具体计划与整改效果，而不只满足于信息披露时形式上的模糊表述，避免连续多年披露相同的内部控制缺陷。此外，证监会等可以考虑对上市公司加大处罚力度，对未披露内控信息或内控信息披露存在问题的上市公司给予严厉处罚。二是利用大数据等高科技手段，监管上市公司。利用传统监管手段，难以量化企业内部控制评价以及信息披露中存在的风险，但当前大数据已经在审计领域得到应用，该技术能为审计风险提供分析和预警能力，有效监督信息披露的合法性和合规性。

(二)加强企业内部控制制度建设

内部控制评价报告不够专业及评价过高的原因在于部分上市公司管理层凌驾于内部审计机构之上，内审机构形同虚设。企业内部控制不仅是财务部门的责任，而且应当将内部控制要求融入到生产经营的全过程中，包括管理层和所有员工。当前仍有部分企业内部控制体系不够系统与完整，内部审计部门没有尽到独立审计的责任，因此建立运行有效的上市公司内部审计机构是首要目标。其次，建立大数据平台为基础的内部控制体系。信息与沟通是内部控制的五大要素之一，贯穿于整体活动之中。大数据平台能有效地对企业信息和数据进行收集、分析和处理，发现内部控制中存在的薄弱环节与风险点，有力地提高了内部控制质量，保障了企业披露的内控信息的真实性和完整性。最后，培训内部财务人员与审计人员的专业技能也尤为重要。内部控制评价报告缺乏可比性不止需要外部监管机构发布具体的规定，还需要内部审计人员具有处理内控缺陷认定差异的能力和职业判断的谨慎性。

(三)强化上市公司主动披露意识

从整体上看，目前我国上市公司自愿披露相关信息的意愿和程度普遍较低，披露的侧重点倾向于财务信息而非预测性信息。迪博数据显示，造成内控信息披露违规的主要原因是上市公司的董事会、监事会和管理层没有尽到监督的责任。部分管理层倾向于披露好的经营成果和隐藏不良消息，在这样的观念指导之下，经营不善的企业可能选择不披露或者信息披露不够完整。因此，提高公司披露的内控信息质量的关键一步在于提高上市公司董事和管理层主动披露意识，自觉承当相应的义务。监管部门应当对缺乏主动披露意识的管理人员强调违法违规的严重后果，对未勤勉尽责的人员追究责任。此外，建立主动披露的良好治理规则，鼓励外部投资者选择自愿积极披露相关信息的企业，能够真正有效促进企业主动地披露内控信息。

五、结语

综上所述，我国上市公司内部控制信息披露方面还存在一些问题，包括信息披露不及时、内控评价报告专业性不足、披露内控缺陷不够主动及对内控整改关注度不足等。一方面，外部监督部门应通过完善法律法规、规范制定标准、加强处罚等措施，加强对信息披露质量的监督。另一方面，企业应当完善内部控制体系建设，保障内部控制质量，提高内部人员专业技能与管理层主动披露意识。以上建议将进一步改善我国信息披露质量，促进企业良好发展。