浅谈上市公司内部控制的信息披露与完善

董忱忱?高凯丽

摘 要：内部控制是上市公司实现有效管理的重要举措。因此，怎样评价上市公司内部控制的质量尤为重要。内部控制信息的定期披露可以反映出上市公司内部控制的管理效果。良好的内部控制信息披露是增强投资者信心、准确判断企业价值、提高资本市场效率的基石。《企业内部控制基本规范》及三项指引的相继出台标志着我国已初步形成内部控制信息披露制度的基本框架。本文以上市公司内部控制信息披露的现状为切入点，进一步分析其中仍存在的问题并提出相应建议。

关键词：内部控制;信息披露;上市公司

一、研究背景

上市公司内部控制的信息披露是投资人获取内部控制相关信息的重要来源，这些信息为投资人做出经济决策提供重要依据，其重要性日益凸显。通过内部控制信息披露，投资人可以了解到：（1）企业董事会、高管等相关责任人对本企业采取的内部控制措施如何評价？（包括设计及其执行情况）（2）以会计事务所为代表的中介机构对企业的自我评价是否认同？并出具其审计意见。（3）上述的自我评价及第三方专业评价是否按照监管部门规定进行了及时、完整的披露？上市公司披露的相关信息是投资者对披露义务人做出价值判断的重要依据。由此可见，披露信息质量的高低直接影响到投资人的经济决策，因此对上市公司内部控制信息披露质量进行规范尤其重要。

我国关于上市企业内部控制规范文件较早的可以追溯到2006年。上交所和深交所也在同一年出台了内部控制具体指引文件，文件中明确规定：上市企业内部控制信息披露不再是企业自愿披露的内容，自文件实施之日起变成企业强制披露的内容。随后，财政部会同国资委等五部门于同年成立了企业内部控制标准委员会，委员会的成立筑牢了我国企业内部控制标准体系构建的坚实基础。2008年财政部等五部委联合发布了《企业内部控制基本规范》。随后，与之配套的三项指引《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》于 2010 年发布，文件中强调内部控制报告信息的质量应该具备五大重要特征：可靠性、可比性、相关性、全面性、重要性。

2012年，财政部、证监会联合发布关于内部控制规范体系的通知，在这份文件中明确要求所有主板上市公司应当自文件出台的当年开始就必须开展内控体系的建设，上市公司除了披露财务报表审计报告以外还需要披露注册会计师对内部控制有效性发表的审计意见，并将独立意见形成相应的内部控制有效性审计报告对外公布。自此，我国已初步形成内部控制披露制度的基本框架，内部控制信息披露由原来的自愿性披露转变为强制性披露，并重点突出了内部控制评价制度与内部控制审计制度的重要地位。财政部、证监会于2014年联合发布了《21号规则》，文件中为上市公司提供了内控评价报告的参考格式，也进一步明确了企业内控自评报告需要包含的要素，在一定程度上减少了企业内部控制信息披露的随意性。

二、上市公司内部控制信息披露的现状

我国上市公司内部控制需要披露的内容包括两个部分：（1）由上市公司董事会、监事会、管理层牵头，从内部控制五要素即风险评估过程、内控环境、控制活动、监督、信息系统与沟通这五个方面对内部控制有效性进行自评，由此形成内部控制自评报告。（2）企业委托第三方专业机构即会计师事务所审计本企业内部控制，并对其有效性做出评价，出具内部控制审计报告。旨在从内外两个角度对企业内部控制运行情况进行全面客观的评价。

1.内部控制信息披露情况整体向好

为全面了解我国上市公司执行企业内部控制规范体系的情况，财政部与证监会组织专家工作组，对沪市、深市挂牌企业公开披露的年度内部控制报告进行深入分析。2021年2月，财政部印发的《2019年上市公司执行企业内部控制规范体系情况蓝皮书》（以下简称蓝皮书），对2019年上市公司内部控制披露情况进行了总结分析。笔者从蓝皮书中重点选取了内部控制自评报告和审计报告这两部分进行简要概括：

（1） 内部控制评价报告披露情况

根据证监会关于上市公司年度报告审计与披露工作相关事项的规定，部分公司确实严重受到新冠疫情影响的，2020年可以延迟披露年度报告。根据财政部印发的《上市公司2019年执行企业内部控制规范体系情况蓝皮书》显示，截至2020年6月30日，沪深主板上市公司共有3794家披露了2019年度报告，其中单独披露2019年内部控制评价报告的上市公司共计3642家，占比约为96%。根据《蓝皮书》的统计数据显示，上市公司内部控制评价报告披露比例自2007年以来呈逐年上升趋势，从下图中可知该比例自2013年起逐步趋于稳定。披露比例的变化与财政部、证监会印发的通知规定相一致。这表明，随着我国对内部控制信息披露规范文件的不断出台，上市公司内部控制自评报告披露比例逐年上升趋势。可以明显看到，2012年内部控制信息披露比例达到了90.04%，同比增长11.24%，这与当年《企业内部控制配套指引》的强制规定有直接关联。从披露内容的质量上看，内容的规范性、语言的严谨性较上一年有明显进步，并且内容上的可读性也有所改善。有些公司开始根据板块行业特点、经营管理的实际情况在内控报告中披露个性化内容，并结合具体业务在报告中披露了风险应对方案。企业内部控制规范体系在上市公司范围内实施情况整体向好。

从披露的内部控制评价结论来看，披露了2019年度内部控制评价报告的3642上市公司中，共有3531家上市公司内部控制评价报告的结论为整体有效，占比达96.5%。其余的129家企业的评价意见为内部控制非整体有效，具体情况为：整体无效的36家;财务报告内部控制有效、非财务报告内部控制无效的21家;财务报告内部控制无效、非财务报告内部控制有效的72家。根据《蓝皮书》披露的数据显示：2013年至2019年，内部控制评价结论为非整体有效的比例逐年上升。

（2） 内部控制审计报告情况

根据《蓝皮书》显示，2019年披露内部控制审计报告的上市公司共有2827家，占比74.51%。未披露内部控制审计报告的上市公司共有967家，其中169家企业由于第一年上市而豁免披露，6家企业因重大资产重组、破产重整等原因豁免披露，40家未在证监会指定网站披露，此外未聘请会计师事务所对内部控制有效性进行审计的企业共计752家。

从审计报告的意见来看，已经披露的内部控制审计报告意见情况如下：2677家上市公司内部控制审计报告意见为标准的无保留意见，占比94.69%;共有150家上市公司被出具了非标准的无保留审计意见，占比5.31%（具体包括47家为带强调事项段的无保留意见，4家为无法表示意见，6家为保留意见，93家为否定意见）。

2.内部控制信息披露中存在的问题

（1） 披露的规范性有待加强。从自评报告的内容上看，已披露内部控制信息的部分企业只是迫于监管部门的检查需要，披露的报告重形式轻实质。此外，由于披露内部控制存在缺陷必然会带来传言四起、股价不稳等不良市场反应，部分企业会在披露时刻意避重就轻。从上市公司披露自评报告的时间上看，存在部分企业故意延迟报告披露、逾期仍不披露的情况。上市公司在进行内部控制披露时仍然具有随意性，“报喜不报忧”的情况依然存在，使得不同企业之间的内部控制报告无法按照统一标准进行比对。

（2） 披露内容的全面性有待提高。从内部控制披露的五要素来看，完整的内部控制评价报告应从控制环境、信息系统与沟通、风险评估过程、控制活动和监督这五个方面对内部控制的设计及执行情况做出评价。从已披露内容的上市公司来看，部分企业只涉及其中一两个方面。从内部控制披露的复杂程度来看，各个企业之间存在差异：有些企业的自评报告只有几页，而有些企业披露的报告可达到三四十页，内容也更为详实。

根据《蓝皮书》显示，2019年度共有510家上市企业披露其存在内部控制缺陷，占比14%，其中139家存在内部控制重大缺陷，占比3.82%;38家存在内部控制重要缺陷，占比1.04%。从 14%的已经披露内控缺陷的报告来看，其披露的信息也有所缺失：对造成重大及重要缺陷原因的说明、针对缺陷上市公司应该如何整改？有没有进行整改？整改的效果如何？这些问題都无法从已披露的报告中获知。

（3） 内部控制缺陷程度的界定模糊。内部控制缺陷程度分为重大、重要、一般三个层级，但是每个层级尚没有具体可量化的指标说明。缺陷程度的模糊性直接导致上市公司内部控制自评报告互相之间不可比，同时也会加大了各企业在进行缺陷认定时的操纵空间。

3.原因分析

笔者认为，造成上述问题的原因主要包括两个方面：（1） 客观原因，内部控制本身的特性所决定的;（2） 主观原因，部分企业在披露时出于自身利益考虑，选择避重就轻。

一方面，从内部控制本身来看。内部控制在整个企业日常的管理流程中起着至关重要的作用，规范的企业内部控制不仅可以提升公司的治理水平，也利于企业树立风险意识、加强风险防控。内部控制的好坏直接影响企业的经营，内部控制的质量备受投资人的关注。因此可以说，内部控制是企业管理过程中重要的一环。同时内部控制也是复杂的，内部控制体系不是简单机械地制定几条政策、设置几个部门、引入一些技术就能一蹴而就的。文化氛围如何建设、组织机构如何完善、控制活动如何开展等都是企业在内部控制建立和实施过程中需要解决的问题。内部控制本身的重要性和复杂性使得内部控制成为企业经营管理中不可回避的一个难点问题。此外，内部控制存在固有局限性，即使存在内部控制也不能完全规避出错的风险。内部控制体系的制定及运行都需要由人来执行。不同行业业务的差异也就必然带来不同企业之间内部控制的千差万别，其设计必须根据企业具体的业务流程进行灵活的设计和调整，这无疑是一项复杂的工程，且需要长期的实践和不断的调整完善。已经设计出的内部控制需要长时间的实践并不断调整，这无疑会加大企业的成本支出。因此很多企业会从成本效益的角度考虑，企业管理无法完全依赖内部控制去完成。想要在降低局限性带来的负面影响，就必须更加重视对现有内控运行形况的关注和披露，从而对内部控制的建设起到一定的监督作用。

另一方面，从企业管理者角度出发。披露内控缺陷可能会向市场释放企业管理不善的信号，影响资本市场对企业价值的判断进而带来股价波动等影响。此外，披露内部控制缺陷只是开始，后续如何整改、整改措施是否有效、以后年度是否还会发生同样的问题都是资本市场和监管机构关注的，企业需要在此过程中投入较高的内部控制建设成本。部分企业出于这些考虑选择在内部控制披露时有所遮掩。因此，如何推动企业在内部控制信息披露时由被动披露转变为主动披露，是后续需要努力的方向。

三、完善内部控制信息披露的有关建议

1.规范信息披露内容

首先应统一内控自评报告的披露框架。具体而言，自评报告的名称、具体范围、整改方案以及后续跟进都应当有统一的规范，不同行业、不同地区、不同板块的企业之间的自评报告框架上不应有太大差距。其次，对自评报告中涉及到的判断依据、评价内容、认定标准等有明确的要求，让企业在进行自我评价时有规则、有依据。最后，对自评报告的责任主体也应做出明确，防止上市公司董事会、高管之间互相扯皮推诿。内部控制信息披露内容的规范，是监管机构压实责任的基础和前提。只有存在规范的信息控制披露政策，才有后续统一的监管标准。当然，在规范信息披露内容时也不能忽视不同行业、不同企业之间业务流程的区别和经营模式的差异，既要考虑内部控制信息披露内容的普适性，也要考虑披露内容的特殊性。上市公司内部控制信息披露内容的规范，不仅可以提高上市企业自评报告的可读性，对监管部门监管效率的提高也起到助益作用。

2.统一缺陷认定口径

重大缺陷、重要缺陷、一般缺陷的认定直接关系到内部控制信息披露的结论，是内部控制质量高低的直接体现。不同缺陷程度的认定口径应当有一个量化的标准。关于缺陷认定标准的量化，不少学者认为可以参照审计准则中的有关规定，以指标金额或比例进行评判。具体而言，针对相同行业、规模相当的企业可以采取同一个量化指标，可以将缺陷影响程度量化为定量的金额（比如导致利润下降多少、资产发生多少损失、由此带来的风险不确定性等），也可以按照缺陷影响程度占总资产或者净利润一定百分比来进行量化。在指标量化的同时也要注意规定数据的来源、时间等，避免上市公司在计算这些指标时随意操纵，增强内部控制信息披露缺陷认定的可比性。

3.明确信息披露责任

对内部控制信息披露的监督应从内外两方面同时入手。一方面，打铁还需自身硬，上市公司应重视内审部门、监事会的职能作用，强化其自我监督的功能。内部审计部门应充分发挥其监督职能，评价本公司内部控制执行情况时采用统一规范，在日常经营管理中督促各部门按照统一规范落实内部控制政策、按照标准编制内部控制评价报告、按照要求整改内部控制缺陷。对内部控制的落实做到事前调查设计、事中监管督促、事后整改跟进。除了强调内审部门的职责以外，还要明确上市公司董事会、管理层的责任，制定违规行为的追责制度，对于隐瞒关键信息、编造不实信息、逾期仍不披露的行为明确惩罚措施，追究经济责任。另一方面，外部第三方监督也必不可少，应保持会计师事务所独立性地位，对于在内部控制有效性审计中未能勤勉尽责、出具不实审计意见的行为一并追究相应的责任。厘清经济责任、加大惩戒力度，不仅能够对违规企业起到威慑作用，也为整肃市场、保持资本良性循环打下基础。

4.重视内部控制建设

内部控制信息披露质量的高低根源仍然在内部控制本身。一个良好的内部控制建设情况是企业主动进行信息披露的基石。因此，内部控制环境的优化是提高企业内部控制信息披露意愿的一个重要方面。控制环境是内部控制体系的首要因素，控制环境的优化有助于内控机制的建设和运行，也有助于会计信息质量的提升。控制环境对财务报表编制环境的影响是广泛的，具体来说，控制环境包括管理层的经营风格和理念、公司治理结构、企业员工聘用晋升政策、思想道德观念等。因此要营造良好的内部控制环境，对财务管理人员职业道德和管理行为的培训必须重点强化。比如，在企业中不断强化会计信息质量的重要性，重视企业内控建设，建立健全各项制度规则，提高财务管理体系质量。管理层要重视内部控制并起到关键带头作用，不断强化道德操守和职业素养，在企业内营造良好的文化氛围。此外，应不断完善公司治理结构，均衡各部门如董事会、监事会、管理层的权力，企业可以通过改变股权结构的方式制衡权力的行使，完善董事会制度，充分发挥独立董事、监事会的作用，强化外部监管力度，规范化管控企业经营流程各个环节，从源头上控制并降低重大错报风险。

四、结语

上市公司内部控制信息披露制度是客观评价管理层经营效果、投资人有效了解企业信息、解决代理矛盾的重要举措。通过分析我国上市公司内部控制信息披露情况，可以看出我国对内部控制信息披露规范的变化历程：信息披露的范围从只涉及部分机构逐步扩展到大部分上市公司;信息披露的形式从部分说明逐渐转变为单独的内控自评报告加外部审计报告;信息披露的内容从规定不明逐渐转变为规定更加详实;信息披露的数量、质量也在逐年增加、改善，逐渐从应付检查的被动披露转变为主动披露。尽管目前内部控制信息披露仍有问题，但实践情况整体向好，随着我国内部控制信息披露制度的不断完善，上市公司的内部控制发展未来可期。

参考文献：

[1]崔志娟.规范内部控制的思路与政策研究——基于内部控制信息披露“动机选择”视角的分析[J].会计研究，2011（11）：52-56+93.

[2]宋建波，张彦松.企业内部控制信息披露经济后果文献研究及建议[J].财务与会计，2020（22）：38-43.

[3]闫华红，杜同同，邵应倩.中国上市公司内部控制信息披露现状[J].经济与管理研究，2016，37（03）：131-136.

[4]刘桔林，赵枚辉.我国上市公司内部控制信息披露问题探讨[J].湖南财政经济学院学报，2017，33（04）：57-65.

[5]王照延.上市公司内部控制信息披露监管的现状、问题及优化策略[D].西安理工大学，2019.

作者简介：董忱忱（1993.12- ），女，汉族，江苏南京人，硕士，东南大学成贤学院，讲师，研究方向：财税

基金项目：本文系江苏高校哲学社会科学研究一般项目“内部控制对会計信息质量影响的 实证研究”（项目编号：2020SJA2209）;中国商业会计学会江苏省商业会计学会研究课题“内部控制对会计信息质量影响”（项目编号：2019JSSYKJ302）