我国上市公司内部控制的现存问题、构成因素和应对策略

杨亚观

（宜华健康医疗股份有限公司，广东 深圳 518118）

上市公司内部控制是由董事会、监事会、经理层和全体员工实施的一个过程，旨在保证上市公司经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，实现其发展战略。上市公司需要设计、实施有效内部控制的长久机制。国内上市公司全面实施内部控制的时间不长，企业实施或执行内部控制的水平参差不齐，目前仍存在一系列问题，需要高度重视并持续加以改进。

一、我国上市公司内部控制的现存问题

随着我国《内部控制基本规范》和《内部控制配套指引》的陆续发布，我国有关部门统筹构建企业内部控制框架，不仅为企业规定内部控制的标准，也为监管部门、审计机构明确监督标准，并列出企业实施内部控制体系的时间表。上市公司迅速响应建立健全本单位的内部控制体系，治理架构失衡、内控意识普遍薄弱、财务造假丑闻频出等问题得到缓解或部分解决，相关工作水平有了明显提高，但仍然存在以下问题。

（一）架构设计不合理，机构地位受损

尽管大部分上市公司母公司为满足监管要求建立内部控制的架构，但内部控制体系实际搭建、运行环节却未赋予足够权力支持，顶层支持不足；同时，虽然上市公司母公司董事会下设审计委员会，建立了内部审计监督部门，在制度中明确对母公司董事会负责[1]；而在企业实际运营中，审计部门在职能上向审计委员会负责，在行政上向总经理负责。行政方面一般涉及财务预算、人员配置、薪酬待遇等日常部门业务发展的内容，往往行政上的工作内容限制了审计部门的独立性，很难约束总经理的行为，工作效果大打折扣。

（二）企业的内部控制意识薄弱，相关培训体系不健全

部分上市公司母公司管理层对内部控制往往存在错误的感知认识，如普遍存在认为内控就是写制度，内控是决策层或管理层的事，与普通员工无关等错误或片面的理解[2]，导致整体内部控制意识薄弱；又如企业日常宣传不够，后期又缺少健全的内部控制培训体系支撑，导致整体内部控制环境较差等相关问题的出现。

（三）风险评估浮于表面

内部控制实施过程中，风险清单的梳理及业务流程重溯环节尤为重要，在进行内控手册制订和实施时岗位相关人员或有关部门的参与度不够深入，只按“模板式”搭建一部分架构，风险评估不足，或过多依赖上市公司母公司上层管理的传统评估模式[3]，脱离或忽视了上市公司的基本业务、深层次需求，无法全面覆盖其重点风险，浮于表面，只为完成上市公司主体资格系列要求而维持。

（四）执行力不强

上市公司应监管部门的要求均能较快地制订企业的内控管理手册，但普遍执行度低下。首先，实际执行过程中无视或轻视内控管理手册的存在，或片面地认为内控实施要求是给企业增加成本或繁琐工作，甚至认为实施内部控制只为满足监管部门的要求，出现侥幸的思想而忽略内控要求，导致内控管理手册执行力低下，未充分发挥其作用。其次，内控管理手册制订后，往往很多上市公司片面地认为已完成了监管部门所要求的系列任务，落实过程中无视于内控管理手册中具体业务流程与信息系统的衔接，日常业务操作以信息系统为主，忽略了内控管理手册系列要求，导致信息系统与关键业务流程严重脱节。

（五）自我评价流于形式

首先，自监管部门强制式要求上市公司每年披露内部控制自我评估报告以来，上市公司应有全面或重点覆盖重要风险领域的内控测试，但相当多的上市公司在披露年度内部控制自评报告时无实质性测试、无底稿支撑，年度内部控制自评工作缺乏依据。其次，监管部门及相应层面对自评报告无严格标准或统一格式，自评业务比重无标准，各个行业或企业的内控缺陷的定性和定量标准无统一规定，监管部门无明确指导性细则，上市公司在自评过程中对缺陷问题往往“就轻避重”，自评工作浮于形式，应付式进行年报工作，没有发挥自评纠错扶正的作用[4]。

（六）子公司内控管理缺失

近年资本市场上各行各业均出现了大大小小的并购潮，随着子公司管理层级的增加，但上市公司的集团化管控并未及时延伸或覆盖至新并购子公司的实际业务运营中，子公司并购入上市公司后仍按其并购前的粗放式管理继续运营，其操作模式及运营与上市公司基本要求存在较大的差距或不规范，存在较多缺陷。

（七）缺乏有效约束

上市公司在实施内部控制过程中缺乏与落实或执行结果相关的约束与激励机制，实施过程中对发现的缺陷问题及整改情况等未与相应部门及员工的薪酬绩效相挂钩，内部控制的落实、整改与个人绩效或薪酬相关度差，缺乏有效约束。

（八）内控管理手册更新不及时

随着内控管理手册搭建完成并正式实施，企业的内控管理手册亦具有一定的“时效性”，并非一成不变。上市公司较普遍地存在这类问题：后期无论企业的业务如何变化，或者管理架构已作出调整，或者企业赖以生存的外部环境已日新月异，而忽略了系列变化对内控管理手册的深刻影响，未及时对内控管理手册进行调整和更新，导致企业的内控管理手册缺乏可执行性，成为摆设。

二、影响上市公司实施内部控制的有关因素

（一）意识与动机

由于我国内部控制的全面正式实施起步较晚，无论上市公司母公司决策层、管理层或各级员工，对内部控制的认知不高，部分上市公司局限于理解内部控制工作是为年报模板型填报工作，日常无内控宣传及培训，整体意识提升至自觉或主动性仍需时日。近期上市公司系列相关规则的补充完善也逐步引入、加强了关于企业内部控制出现问题对上市主体资格影响的威慑力，一定程度上提升了上市公司内部控制的意识，但企业内动力仍然不足。

（二）薪酬绩效挂钩约束机制

各上市公司均有不同程度的薪酬绩效机制，但其与内部控制实施与否或执行度等缺乏紧密的联动牵制。不少上市公司对内控整体效益存在错误理解，甚至认为只会增加企业的成本，不产生效益，这种错误认知导致上市公司在薪酬绩效设计及实施时不重视内控实施系列问题。

（三）专业内控人员数量与质量

我国上市公司内部控制实施历程不长，内部控制实施水平参差不齐，上市公司缺少专业的内控人员，普遍由兼职人员或审计部兼任，不少工作无专业的内控人员负责。内控人员的素质、工作质量急需提高。

（四）子公司并购

被并购对象作为上市公司的子公司，由于其之前未在上市体系内运作，并未熟识内部控制的系列要求，且存在较大的差距。这些子公司内控意识薄弱，长期固化且不规范的运作模式短期内难以改变。

三、上市公司加强内部控制的策略

（一）合理设计架构并提高有关机构的地位

上市公司母公司应继续优化架构设计，赋予分管内控的领导足够的组织支持和权力保障。从上市公司母公司董事会层面，保持专业审计委员会、相关独立董事与内控人员的沟通频率和顺畅，采取有力措施尽量减少总经理在行政职能上对内控机构、人员的干扰，实质提升内控机构、人员的专业性、权威性。

（二）健全内控管理手册

在充分掌握上市公司母公司及分公司、子公司整体内控现状的基础上，应健全内控管理手册。内控管理手册一般主要包含：总则（包括上市公司背景和目标介绍）、内部环境（包括公司治理、发展战略、人力资源、企业文化和社会责任）、风险评估和管理（包括公司面临的风险和应对措施，具体包括风险识别、评估和管理的流程和方法）、内部控制活动（详细规定公司的内部控制制度和重点业务流程，具体包括资金管理、采购业务、资产管理、销售管理、研究与开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理等；明确企业落实内控的要求和执行标准）、信息与沟通、监督和审计（包括内部日常内控监督及外部审计机构审计标准及规定）、附件和参考资料（包括附件、表单、流程图等）。

（三）加强宣传力度

内部控制的有效执行，是后期内控工作的重点。上市公司母公司管理层和各部门负责人要带头重视内控工作。必须采取有效的方法或形式加以培训或宣传，建立内部控制的长效机制，将内控手册及时下发至各个部门及分子公司，使各个层级不仅了解在内控执行上做什么、如何做、清楚做到什么程度，达到什么标准，并定期对内控实施执行及整改情况进行通报，将内控意识贯彻至企业各个层级，使内控意识逐步渗透式生长，创造良好的内部控制基础[5]。

（四）内控落实与薪酬挂钩

确保内部控制的有效执行需要后期的监督到位及措施有力，而监督到位及措施有力更需要完善的约束及激励机制加以鞭策，构建重大、重要缺陷问题专项评价及内控责任回溯机制，内部控制实施执行及整改落实与上市公司母公司管理层和各级部门及员工的绩效紧密关联，只有与部门及个人的经济利益相挂钩，才能更好地为内部控制的落实提供源源不断的动力。

（五）构建子公司内控推广及覆盖机制

为避免上市公司并购失败以及年度内部控制审计合并层面出现重大影响，将集团化管控与内部控制规范相结合，并根据自身的产业特点、管理特点形成具有自身特点的管控模式和清晰的制度，并定期对子公司进行内控测试。上市公司母公司定期就内部控制实施执行、整改等与子公司总经理及部门负责人的薪资绩效行挂钩考核，形成有效闭环。

（六）及时更新手册

企业的内控手册具有时效性，如不及时更新将变为一堆废纸。随着上市公司的组织架构、经营规模、业务范围、市场状况和面临风险水平等的变化，企业应对其《内部控制管理手册》《制度汇编》和《职责汇编》进行持续更新及优化以适应新的情况，同时将相应的变化或调整及时同步并嵌入于企业的信息系统中，避免内控体系与信息系统出现两张皮，高度及紧密保持其时效性。

（七）数智化赋能监管

首先，内部控制的有效运行离不开持续及强有力的内部监督体系，完善的内部监督评价机制，上市公司应及时发现内部控制体系设计与运行中存在的问题，促进内部控制体系的优化。因此，需继续强化内部监督评价，加强内部审计或内控评价，发挥日常监督的职能，促进内部控制体系的不断完善和有效实施[6]。其次，引入及并持续强化数智化赋能监管，应充分引入和利用大数据等技术，逐步构建并形成信息化“事前有标准、事中有执行、事后有评价、持续有改进”的内控监管体系，如条件允许的情况下，鼓励上市公司搭建内部控制信息管理系统，实现实时预警、纠正，充分发挥内部控制在上市公司财务报告或非财务报告中的作用，控制关口应前移。

四、结语

当前，我国上市公司的内部控制仍存在系列问题亟须解决，内控实施过程中现代化管理技术未有得到有效的使用，企业的整体竞争力不高。上市公司应根据内部控制规范体系及《内部控制管理手册》的相关要求，结合自身的发展战略和实际情况，不断地推进以风险为导向的内部控制体系建设，进一步完善内部控制制度及优化流程等，保持其时效性；上市公司决策层、管理层和全员要大力推进内部控制监督检查、薪酬挂钩考核约束和激励机制，促进上市公司健康、持续发展。