内部控制缺陷认定标准及披露研究

柯文凤

内部控制缺陷是指内部控制的设计存在漏洞，不能有效防范错误与舞弊，或者内部控制的运行存在弱点和偏差，无法检测和纠正内部控制中错误和欺诈行为的情况。内部控制缺陷按照不同的分类方法，可以有不同的分类。按照重要程度可以分为重要缺陷、重大缺陷和一般缺陷，按照内部控制缺陷的本质分类可以分为设计缺陷、运行缺陷等。文章从内部控制缺陷认定标准出发，分析内部控制缺陷认定标准和披露的现状及存在的问题，并提出相关建议。

一、引言

在内部控制审计中，内部控制缺陷的认定大多依靠注册会计师的职业判断能力。注册会计师依据内部控制缺陷的认定标准对公司的内部控制进行评价形成结论。

2010年4月15日，财政部、证监会、审计署、银监会和保监会财会联合发布的《企业内部控制评价指引》第十七条指出，“重大缺陷、重要缺陷和一般缺陷的具体认定标准，由企业根据上述要求自行确定。”解释第1号对企业应该如何确定内控缺陷的认定标准做出解释：“企业可以根据《企业内部控制基本规范》及其配套指引，结合企业规模、行业特征、风险水平等因素，研究确定适合本企业的内部控制重大缺陷、重要缺陷和一般缺陷的具体认定标准。企业确定的内部控制缺陷标准应当从定性和定量的角度综合考虑，并保持相对稳定。”

从国内外相关权威法规来看，内控缺陷认定标准没有明确规定，但规定公司应制定缺陷识别标准。尽管一些文件涉及内部控制缺陷识别的标准，但总的来说，这个数字很小，研究也并不深入。

随着企业内部控制体系的贯彻实施以及上市公司内部控制评价报告的披露，内部控制缺陷的认定标准引起了业界的关注。2010年由财政部等五部委联合发布的《企业内部控制评价指引》意味着我国公司的内部控制法制化建设初步形成，对全面提高上市公司管理水平以及应对金融危机都具有重要的现实意义和理论价值。然而，就目前来看，内部控制的规范还存在很多需要不断改进和完善的地方。内部控制缺陷的认定，在上市公司内部控制建立、评价及审计中起着基础性作用，无论是定性标准还是定量标准都与职业判断影响较为紧密。因此，需要政府、企业以及事务所这样的中介机构共同努力来使内部控制更为完善，使内部控制缺陷及其认定标准的披露更为规范。

二、内部控制缺陷认定标准的披露

内部控制缺陷认定标准为上市公司内部控制缺陷的认定的依据，揭示了上市公司在内部控制缺陷认定过程中遵循的依据和准则、采用的方法以及认定的结果和对结果的评价等问题。因此，上市公司应充分披露内部控制缺陷认定标准和内部控制缺陷认定结果。投资者和其他利益相关者通过上市公司披露的内部控制缺陷认定标准可以获取上市公司在内部控制缺陷认定方面做的工作进而了解上市公司的内部控制建设情况。目前，我国企业主要是通过内部控制评价报告披露内部控制缺陷认定标准的。因此，内部控制评价报告的披露需要引起我们的注意。

内部控制评价报告披露是指企业管理当局依据一定的准则向外界披露本单位内部控制合理性、完整性和有效性评价的信息以及注册会计师对内部控制报告审核的信息。内部控制评价报告披露包括自愿性披露和强制性披露。一般来说，自愿性披露的往往是对企业有利的信息，极少提及内部控制的缺陷，而强制性披露则是国家法律法规对企业做出的要求，是企业必须披露的内容，国家对此做出了统一规范，这类披露由于目前我国内部控制缺陷认定标准尚不完善，所以从中分析所能得到的企业内部控制运行情况的相关信息也是有限的。但是，企业通过内部控制信息的披露，可以加强对企业内部控制设计的合理性、科学性和执行的有效性等方面的外部监督，通过内部控制评价报告的披露，可以减少信息的不对称，有助于利益相关者做出正确的决策，从而促进市场资源的有效配置。此外，国家通过强制披露体现出了对企业内部控制评价的重视，加强了企业内部控制的有效性。

截至2016年12月31日，上海和深圳证券交易所共有3050家上市公司，2930家上市公司披露了内部控制评价报告，占全部上市公司的96.07%。2016年，在2930家披露內部控制评价报告的上市公司中，2874家披露了内部控制缺陷认定标准。从这里可以看出，前都大部分公司目发布了内部控制评价报告，但是，仍有不少上市公司对年报的“公司治理”、“重要事项”等进行一般性描述，远远不能满足资本市场的需求，在确定内部控制缺陷的认定标准和披露方面仍存在诸多不完善之处。

三、内部控制缺陷认定标准及披露存在的问题

（一）内部控制缺陷认定缺乏统一标准

内部控制缺陷认定标准存在较大的选择性和随意性，内控信息中也存在很多的不完整性和模糊性，对内部控制信息披露质量有较大的影响，不利于企业及时发现内部控制问题。各个企业为了自身的利益，往往会选择对自己企业有利的标准来进行信息披露，这必然对报告的使用者产生不利的影响。

（二）内部控制缺陷认定标准披露动机不足

公司管理层对内部控制的认识比较薄弱，没有认识到内部控制的重要性。这使得上市公司内部控制信息披露动机不强。有些企业即使披露，也只是披露企业内部控制好的方面，对企业控制的薄弱环节则很少主动披露，更少有公司实事求是地披露内部控制缺陷认定标准。

（三）内部控制缺陷认定标准的披露缺乏监管，执行不力

2011年4月29日，中国证监会发布了《信息披露违法行为行政责任认定规则》，仅仅指出了哪些信息披露是违法行为，但是并未规定违反此规定的法律责任。而且，我国至今也尚未要求注册会计师对公司内部控制信息披露进行详细的审计，这就会使得我国上市公司的内部控制缺陷认定标准披露缺乏可信性和权威性。

（四）内部控制缺陷认定标准的披露形式化

我国上市公司在内部控制缺陷认定标准披露方面存在着严重的形式化问题，由此得出的内部控制评价报告内容各家大同小异，并不能够真实地反映企业内部控制情况，对利益相关者的使用价值很低。我国大部分企业报喜不报忧，披露的认定标准大部分只停留在知识层面，导致内部控制大部分都认为没有重大缺陷，这实际上与我国内部控制的发展情况相悖。即便有少数企业在某些年份的报告中披露了一些缺陷认定标准，但是仍然避重就轻，对缺陷认定标准描述含糊不清。

（五）内部控制缺陷认定标准的披露权责认定不清

公司董事会和监事会负责完善公司治理并对股东负责。此外，注册会计师在执行审计，审查业务和其他认证服务时，应当正式保持其独立性。并且需要对所出具的评价报告负责任，与此相关的认定标准的披露也应由注册会计师负责。一般情况下，企业内部控制评价由董事会，监事会和注册会计师进行，但缺乏对各部分相关责任的确定。这导致了信息披露方面的很大的主观性和随意性。

四、完善内部控制缺陷认定标准及披露的对策

（一）政府层面

监管部门对相关内部控制缺陷认定标准披露要求应该更加细化、明确，应该出具更为规范的、操作性更强的实施意见，进一步加强对企业内部控制缺陷披露标准的规范和监督。内部控制评价报告的结论反映了内部控制是否有效。内部控制缺陷信息的披露与确定内部控制缺陷的标准披露密不可分。监管部门要按照《企业内部控制评价指引》的有关内部控制评价和披露部分，进一步完善和发布操作规程和指引。它使内部控制缺陷披露的识别标准更加具体化，便于监督。为避免公司对内部控制评价报告的操纵，一旦确定非财务报告内部控制缺陷的识别标准，在不同评估期间必须保持一致，不得任意改变。

（二）企业层面

企业要完善公司治理机制，充分发挥内部审计部门在监督评估中的作用。公司内部審计部门应由董事会和审计委员会直接领导。加强内部审计部门的独立性。内部审计部门要从全局出发，客观，独立地评估企业风险，评估内部控制的有效性。缺陷识别和严重程度属于技术层面问题，然而缺陷最终认定属于管理层面的问题。企业应当强化企业治理层在内部控制体系中的作用，充分发挥治理层的监管作用。此外，要提高对内部控制缺陷认定标准的重视，高层管理者要深刻认识到加强内部控制缺陷认定标准对完善内部控制披露的意义。提高内部员工对内控文化的认同，加强控制意识，规范内部控制缺陷认定标准的披露。

（三）事务所等中介机构

中介机构应当增强专业胜任能力，提升服务质量，积极引导上市公司的内部控制缺陷认定标准的披露工作，强化内部控制审计业务的业务培训，提高相关员工的业务水平，提供具有专业水准的服务。审计人员应当始终保持职业怀疑，避免出现在证据不足的情况下出现了审计失误。

五、结语

内部控制就像一个摄像机，只要有经营活动，就会反映到财务里;反之，只要财务有反映，那么就一定有经营活动发生。内部控制缺陷的认定，就是基于这样的理论。对企业影响的程度、大小，决定了这个缺陷是什么样的层次，决定了人们对它的重视程度以及会采取什么样的措施来应对。企业内部控制涉及到政府、企业以及事务所等中介机构，因此，需要各方共同努力，使企业内部控制缺陷标准的制定以及披露更加完善和规范。

（作者单位：安徽大学商学院）