基于COSO框架的内部控制比较分析

周玉梅

摘要：通过PL制药、LS制药和CCGX三家上市制药企业公开披露的信息，基于COSO内部控制框架五要素对三家公司的内部控制进行分析，结合内部控制的现状指出三家公司在内部控制方面存在的问题，并且针对这些问题提出相关的建议。

关键词：内部控制;COSO内控框架;内控自评报告

2020年使得很多企业的发展面临危机，对危机的应对在一定程度上反映了企业对风险的处理能力和管理能力，而要想在突发情况下保持企业的这种处理和管理能力，除了与决策者的判断有关，还与企业内部控制制度的建设情况有关。当前上市制药企业中，部分制药企业的内部控制还存在一些问题，这些问题将影响企业对风险的处理能力，本文基于COSO内部控制框架就当前上市制药企业内部控制存在的问题进行分析并提出相关建议。

一、国内上市制药企业内部控制现状比较分析

（一）内部环境

首先，在治理结构方面，PL制药、CCGX和LS制药都设置了股东大会、董事会、监事会和经理层。董事会中单独设立了审计委员会，加强了对公司内部控制的监督与检查。其次，三家公司都制定了较为完善的人力资源政策，包括员工选聘、薪酬、考核与奖惩等。最后，三家公司都在企业中倡导了各自的企业文化。就披露内容来看，三家企业的内部环境设置都比较完善。

（二）风险评估

查阅三家公司的内部自评报告等资料，只有CCGX较为详细地介绍了公司的风险评估过程。分析了公司业务层面可能存在的风险、行业环境可能面临的风险以及公司财务存在的风险，根据各类风险制定了一系列完备的应对措施。

相比CCGX，PL制药和LS制药对风险评估的披露内容较少，或者说二者没有重视风险评估的建设，没有制定系统的风险评估制度。

（三）控制活动

在设置内部控制的控制活动时，PL制药设置了6个部分的控制活动，公司设置的控制活动基本涵盖了企业的管理活动。LS制药的控制活动更加全面和具体，不仅在管理层面设置了控制活动，還对公司的关键业务环节如对募集资金的管理、关联交易等业务进行了控制。而CCGX公司的控制活动集中在投资活动和控股子公司上。

内部控制的原则之一就是全面性。PL制药的控制活动集中在管理活动，对具体的经济业务活动的控制则较为缺乏。长春高薪的控制活动集中在投资活动和控股子公司，没有对公司的生产采购等具体的业务领域制定详细地控制活动。

（四）信息与沟通

在信息与沟通方面，PL制药从三个方面展开对信息与沟通的建设：畅通信息收集渠道;建立及时的信息传递程序;注重信息系统的安全运行。LS制药建立了实时监控的信息系统对本公司的资金流、物流和人力资源等方面实时监控。CCGX信息与沟通的建设侧重在信息的披露方面，董事会秘书是公司对外发布信息的主要联系人，公司财务部、企业管理部以及控股子公司都要确定重大信息报告责任人。

LS制药信息获取渠道较为单一，主要集中在公司内部，这可能导致公司忽略其面临的外部风险。CCGX对信息渠道的建设也没有予以重视。

（五）内部监督

由三个公司的公告及公司年报可以发现，PL制药规范了日常监督和专项监督的范围和频率，对监督过程中发现的内部控制缺陷，要分析原因并提出整改方案。LS制药也按照相关规定对公司的日常活动及财务工作进行了监督。CCGX在内部控制制度中规定了要对公司的内部控制运行情况进行监督检查，对发现的缺陷进行原因分析并提出整改意见。三家公司都在内部控制自我评价报告中详细划分了内部控制缺陷的认定标准，这有利于准确地发现公司内部控制存在的缺陷。

LS制药公司的监督工作比较宽泛，没有对日常监督与专项监督进行细分，这可能会使监督工作不能常态化和流程化，从而导致风险的出现。而CCGX较为缺乏对内部监督的建设，只在公司内部控制制度中指出要对公司内部控制进行监督，并没有制定对应的制度措施。

二、存在的问题

（一）内部控制的披露信息不全

通过对这三家公司内部控制的现状进行分析，可以发现三家公司对内部控制的部分内容披露的过于宽泛，这反映出部分上市公司在制定内部控制的规章制度时并没有进行深入的了解和研究，只是按照规定制定了规章和条文以应付法律法规的要求，而公司是否实施了其制定的内部控制制度更无从得知。

（二）内部控制制度不够完善

从披露内容来看，虽然内部控制应该根据公司自身的具体情况进行设置，但是有些内容是内部控制中必不可少的环节，不能够轻易删减。例如风险评估环节，该环节是企业实现企业内部控制目标的重要一环，但是部分企业可能没有予以重视，对风险的评估没有建立完整的评估流程，只是根据经验等来对风险予以判断。

三、相关建议

（一）提高内部控制自我评价报告披露标准，规范内部控制披露内容。

监管机构应该提高内控自我评价报告披露的标准，规范内部控制披露内容，除了内部控制存在重大缺陷等情况，审计师对于内控制度披露不完善以及不达标的企业的自评报告不予通过。高标准下的内部控制自评报告不允许“一笔带过”的内部控制措施，这会倒逼企业深入研究内部控制制度。

（二）建立系统的内部控制评价体系。

目前针对内部控制有效性评价的标准主要是公司财务报告内部控制重大缺陷的认定情况，在这种标准下企业没有重视对内部控制完整性的建设。因此，可以在对内部控制重大缺陷进行认定的同时增加对内部控制完整性的认定，而这种完整性认定则可以基于内部控制五大要素进行判定。在企业或者第三方对内部控制进行评价时，必须增加内部控制是否完整的审计结论，对企业内部控制是否有效的结论也必须考虑企业内部控制制度的完整性。

参考文献：

[1]鲍诗度，陈文懿.当前企业内部控制质量评价体系的理论进展与提升[J].河南社会科学，2019，27（02）：115-120.

[2]兰佳玥，金瑶瑶，陈秀凤.上市公司内部控制自评报告披露质量比较分析[J].财会通讯，2015（06）：67-69.

[3]张琦.证券公司内部控制缺陷信息披露现状研究——基于我国上市证券公司的分析[J].管理现代化，2014（02）：102-104.

[4]杨恒仓.上市证券公司内部控制信息披露现状评价[J].财会月刊，2012（27）：72-73.

[5]张先治，戴文涛.中国企业内部控制评价系统研究[J].审计研究，2011（01）：69-78.