内部控制缺陷实证研究的最新进展：一个文献综述

白 华 高 立

（暨南大学管理学院 广东 广州 510632）

内部控制缺陷实证研究的最新进展：一个文献综述

白 华 高 立

（暨南大学管理学院 广东 广州 510632）

本文通过对内部控制缺陷实证研究领域相关文献进行综述发现，该领域呈现出新的发展趋势：研究对象由内部控制缺陷研究向内部控制信息披露研究转移，研究视角由内部控制缺陷与公司内部因素的相关性研究向内部控制缺陷与公司外部因素的相关性研究转移，研究层面由公司层面向资本市场层面转移。这些新趋势为内部控制缺陷研究领域勾勒出一个由内部控制缺陷层面（内部控制缺陷与审计委员会的关系、与财务报告质量的关系、与审计费用的关系、与外部审计师的关系）和内部控制信息披露层面（内部控制信息披露与股票价格的关系、与资本成本的关系）构成的新的分析框架。

SOX法案 内部控制缺陷 实证研究 综述

一、引言

2001年爆发的“安然事件”等一系列重大财务舞弊事件，让全球资本市场开始关注企业内部控制的建设，尤其是内部控制理论研究走在前列的美国，2002年率先颁布了《萨班斯-奥克斯利法案》（简称SOX法案）用来管理上市公司内部控制信息的强制性披露，这也极大地促进了世界各国对内部控制信息披露的监管。2008年6月我国财政部等5部委联合发布了《企业内部控制基本规范》（简称《基本规范》）原定于2009年7月1日起首先在上市公司范围内实施，这部《基本规范》也被认为是中国式的“萨班斯法案”。执行《基本规范》的上市公司，应当对本公司内部控制的有效性进行自我评价，披露年度自我认定报告，并聘请具有证券、期货业务资格的中介机构对内部控制的有效性进行审计并对外披露评价结论。但由于上市公司2009年准备工作不足，《基本规范》的实施范围被缩小至境外上市的企业，境内上市企业执行《基本规范》的时间被推迟至2010年1月1日。证监会在2009年12月28日发布的“关于做好上市公司2009年年度报告及相关工作的公告”中规定，上市公司应在年报“公司治理结构”部分专项披露内部控制建设的总体方案、内部控制规范建立健全情况、内部监督和内部控制自我评价工作开展情况、内部控制存在的缺陷及整改情况等内容。

二、国外内部控制缺陷实证研究形成的经验证据

（一）内部控制缺陷层面及其启示 内部控制缺陷层面及启示相关研究体现在以下方面。

（1）内部控制缺陷影响因素研究。较弱的内部控制通常与投入会计控制的资源不足有关；那些收益确认政策有缺陷、缺乏职责的分离、期末会计报告的程序和会计政策有误、不恰当的会计调整的公司更容易产生内部控制重大缺陷（Ge等，2005）。Ashbaugh-Skaife等（2007）认为那些经营业务比较复杂、组织结构刚刚发生变化、会计风险较高、独立审计师辞职频繁以及对内部控制系统投入较少资源的公司更容易产生内部控制缺陷。Doyle等（2007）认为那些规模小、成立时间短、盈利能力较弱、业务复杂、成长速度快或者正在重组的公司更有可能存在内部控制重大缺陷。把内部控制缺陷按照严重程度分为公司层面的内部控制缺陷和会计账户层面的内部控制缺陷。存在公司层面缺陷的公司大多数是那些规模小、成立时间短和财务状况差的公司，而会计账户层面缺陷多发生在那些财务状况良好但业务复杂、经营多元化或者正经历着经营快速发展的公司。

（2）内部控制缺陷与审计委员会质量的相关性研究。审计委员会直接对内部控制制度的制定、内部控制设计的合理性和执行的有效性负责。从而，审计委员会质量的高低直接决定了内部控制质量的高低。Krishnan（2005）用三个因素来衡量审计委员会质量：审计委员会成员的数量、独立性和专业性，研究发现审计委员会成员的独立性越强，专业水平越高，内部控制问题越少。Zhang等（2007）认为，如果审计委员会有较少的财务专家，尤其是较少的财务会计专家和缺乏会计从业经验的财务专家，那么公司极有可能被发现内部控制缺陷。重大内部控制缺陷披露与委派一个没有会计从业经验的财务专家或者委派多个财务专家做审计委员会成员有关（Hoitash等，2009）。高质量的审计委员会可以降低内部控制缺陷发生的概率、提高内部控制缺陷修正的效率。Hoitash等（2009）发现，披露基于SOX 404条款内部控制重大缺陷的较低可能性与审计委员会更多成员有会计和监管经验、董事会强度有关。Goh（2009）实证研究表明，具有较多的审计委员会成员、审计委员会有较多的非会计、财务知识背景的委员、有更多的独立董事的公司，其内部控制重大缺陷修正的效率越高。聘请具有内部控制评价经验的审计师做公司审计委员会成员可以更好的监督企业内部控制，从而提高公司财务报告的质量。Naiker等（2009）研究结果表明，原审计合伙人或者非原审计合伙人被聘请当审计委员会成员与内部控制缺陷发生的概率负相关。

（3）内部控制缺陷与财务报告质量的相关性研究。国外学者对财务报告质量进行研究时，一般选取的替代变量是应计项目的质量。Doyle等（2007）研究表明，应计项目质量与内部控制质量之间显著正相关。他们将内部控制重大缺陷分为公司层面和会计账户层面的重大缺陷，认为较弱的内部控制与较低质量的应计项目之间的关系主要受公司层面的重大缺陷所驱动。Ashbaugh-Skaife（2008）也认为报告内部控制缺陷的公司有较低质量的应计项目、有显著大的正或负异常应计项目。Chan等（2008）披露内部控制重大缺陷的公司，有较多正的、完全自由决定的应计项目。应计项目质量随着内部控制缺陷的改善也在逐渐提高。与那些前期报告内部控制有缺陷而本期没有修正的公司相比，前期内部控制缺陷经审计师确认本期已经修正的公司，其应计项目质量较高（Ashbaugh-Skaife，2008）。Altamuro等（2010）认为执行FDICIA（FederalDepository Insurance Corporation ImprovementAct）内部控制条款的银行增加了贷款损失条款的有效性、盈余的持续性、现金流的可预测性，降低了基准点的波动幅度，使会计更加谨慎。LaFond（2010）也支持上述结论。

（4）内部控制缺陷与审计费用的相关性研究。当内部控制发现有缺陷时，审计人员可以通过增加实质性测试来降低测试风险。增加实质性测试，很可能会增加审计费用。2004年披露内部控制重大缺陷的公司与没有披露缺陷的公司相比，审计费用高出43%（Raghunandan，2006）。Hoitash等（2008）研究发现，SOX 404条款实施后第一年的审计费用与内部控制缺陷披露之间存在显著正相关关系。还发现那些基于SOX 302条款披露内部控制问题的公司在接下来的年度里继续支付了更高的审计费用。Hogan等（2008）研究表明，在控制了公司规模、风险和可审计性后，审计费用与内部控制缺陷显著正相关；内部控制有缺陷的公司与同行业平均水平相比，有更高的固有风险和信息风险，且这些风险都与审计费用正相关。Elder等（2009）也认为审计费用、审计意见的变化与内部控制缺陷的变化呈正相关关系。

（5）内部控制缺陷与外部审计师的相关性研究。外部审计单位在签订审计业务委托书时，首要考虑的是审计师的独立性。审计师独立性越强，公司被发现内部控制缺陷的可能性越大，那些刚刚经历审计师变更的公司更容易被发现内部控制缺陷（Zhang等，2007）。当内部控制发现有缺陷时，审计人员可以通过增加实质性测试来降低测试风险，从而延长了审计期间。Ettredge等（2006）发现，当内部控制有重大缺陷时，将会产生较长的审计延期。考虑到过程审计（内部控制审计）从概念上不同于结果审计（财务报告审计），Abraham（2010）提出了一种专门用来评价内部控制重大缺陷的风险模型。Elder等（2009）和Dey（2009）研究发现，审计师对内部控制缺陷的应对策略存在严格的等级顺序。当控制风险较高时，审计人员首先选择的是调整审计费用，其次是修改审计意见，最后才选择审计师辞职。当审计师出具内部控制评价意见时，通常需要与公司管理层进行讨论，这时管理层的劝说能力将起到一定的作用。Wolfe（2009）把内部控制偏差分为信息技术（Information technology）偏差和手工控制（Manual control）偏差，这些偏差可能暗示着重大缺陷。研究发现，对于信息技术偏差，审计师倾向于接受管理层的劝说策略，对内部控制缺陷严重程度评价为较低；对于手工控制偏差，接受与否定之间没有显著差异。Bierstaker等（2009）发现，在没有提供内部控制文件但提供了业务流程图的情况下，审计人员发现了显著多的内部控制程序的缺失。这表明当审计人员评价重要的内部控制程序有效性时，应在阅读委托人提供的内部控制文件前，按照提供的业务流程图测试并完成内部控制有效性的评价。

（6）启示。内部控制缺陷层面启发人们在今后的研究中可以横向拓展研究内部控制缺陷与公司内部、外部其他因素的相关性，如内部控制缺陷与高管的激励措施的相关性、与公司治理结构改善的相关性、与机构投资者的相关性等；纵向拓展研究内部控制缺陷的划分，如分为实质性弱点、重要缺陷、控制缺陷（Hamersley等，2008），分为公司层面缺陷、会计账户和交易层面缺陷（Doyle等，2007）。这也是我国在研究内部控制缺陷时最需要注意的研究设计，对于不同研究，应把内部控制缺陷分为不同的类别，因为将内部控制缺陷按照某种特征进行恰当的分类直接影响到模型的稳健性测试，也具有较强的技术含量。

（二）内部控制缺陷信息披露层面及其启示 内部控制缺陷信息披露层面及启示的相关研究体现在以下方面。

（1）内部控制信息披露影响因素研究。在研究内部控制信息自愿披露时，首先应该对什么是自愿披露加以界定。按照GAAP和SEC的相关规定，管理层必须披露公司的重要信息，因此重要信息的披露在研究自愿披露信息时应加以控制。Heizman等（2010）认为，对管理层自愿披露信息的研究必须分解出相关规定暗含的管理层有义务披露的重要信息。控制了信息重要性水平对自愿披露的影响比没有考虑重要性水平的研究更具有说服力。忽视管理层披露的信息是否重要这一因素来研究自愿披露信息的动机，其研究结论值得商榷。Ge等（2005）统计分析后发现，公司内部控制重大缺陷的披露与公司业务复杂程度和外部审计单位的规模正相关，与公司规模和盈利能力负相关。Bronson等（2006）研究发现那些规模较大、利润增长较快、审计委员会会议次数较多、机构持股比例较高、销售收入增长较慢的公司有更强的动机自愿披露内部控制信息。Leone（2007）认为，内部控制信息披露的影响因素有组织结构复杂性、重大组织结构的变化以及在内部控制系统上的投资等因素。

（2）内部控制缺陷信息披露与股票价格的相关性研究。第一篇实证研究文献就是从研究会计信息的信息含量开始的（Ball&Brown，1968）。按照市场有效性假说，在半强式有效市场的环境下，股票价格反映的是所有公开披露的信息。如果内部控制缺陷的披露能带来显著的股价下滑，说明内部控制缺陷的披露能使投资者重新评价公司管理层披露财务报告的质量，或者调整自己对公司会计信息系统质量的评估（Hamersley等，2008）。SOX法案执行前，内部控制信息公开披露较少。按照SEC条款的规定，更换外部审计单位时，应该披露前任会计师发现的重大内部控制缺陷，这也为内部控制实证研究提供了可能。Whisenant（2003）发现，3天（7天）事件窗口内，内部控制缺陷披露引起的累积超额收益的均值为-2.75%（-5.53%）。这表明内部控制缺陷披露有显著为负的股票价格反应。还发现财务报告可靠性存在问题的信息披露对投资者来说更有信息含量。SOX法案执行后，内部控制重大缺陷成为强制披露的内容。Hamersley等（2008）发现，有些内部控制缺陷特性很有信息含量，如内部控制缺陷的严重程度、管理层对内部控制有效性的自我认定、内部控制缺陷的可审计性、披露的模糊程度。研究表明，内部控制缺陷披露的信息含量取决于内部控制缺陷的严重程度。Kim等（2009）认为内部控制披露能够降低市场的不确定性，其收益大于市场对内部控制问题的消极反应。实证研究发现，当公司披露其内部控制缺陷时，股票超额收益与市场不确定性变化幅度（用日股票收益标准方差的变化来衡量）呈负相关关系。

（3）内部控制缺陷信息披露与权益资本成本的相关性研究。尽管SOX 404条款的执行会增加公司的成本，但内部控制信息的披露可以降低信息不对称水平，减少信息风险，从而降低公司的权益资本成本。但国外实证研究结果并不支持上述分析结论。一种结论是内部控制信息披露与公司权益资本成本之间不存在直接相关关系（Ogneva等，2007）；另一种结论是内部控制信息披露使公司资本成本上升。基于SOX 302条款披露的公司有显著负的异常收益（-1.8%），而且这些公司的权益资本成本也异常上升（Beneish等，2008）。Beneish等（2008）对基于SOX 404条款披露内部控制信息的公司进行研究，并没有得出上述结论。Ashbaugh-Skaife（2009）认为，披露内部控制缺陷的公司有显著高的公司特定风险、系统风险和权益资本成本；随着审计师对内部控制有效性评价意见的变化（前期报告的内部控制缺陷本期得以修正），权益资本成本也发生显著变化。

（4）启示。内部控制信息披露层次启发我们在研究中国实际问题时，应考虑我国内部控制信息披露在2010年之前还处于自愿披露阶段，怎样处理自选择问题应是自愿披露阶段重点解决的问题；也就是说，上市公司只有披露那些法规、规章没有规定必须披露的事项时才属于自愿披露。Doyle等（2007b）将SOX 302条款下披露的内部控制缺陷分为重大缺陷和非重大缺陷，通过对SEC的相关规定分析，认为非重大缺陷才属于自愿披露的内容。

（三）内部控制缺陷的一个新的分析框架 以上文献梳理可以概括如下：第一，在回顾了国外近10年来内部控制缺陷实证研究的最新证据后，本文总结两个主流研究方向：内部控制缺陷层面和内部控制信息披露层面；第二，在这两个层面之间存在着递进而非并列的关系，也就是说，将公司内部控制与资本市场进行有效的结合来研究内部控制信息披露将会成为主流；第三，随着我国《基本规范》的实施，执行SOX 302条款和404条款研究视角也给我国学者提供了方向参考——执行《基本规范》后的中国市场研究。

三、启示及展望

美国从2002年颁布SOX法案以后，上市公司内部控制信息披露进入了强制披露阶段。从以上文献梳理可以看出，自从强制披露阶段以来，学者的研究方向开始进入内部控制缺陷及其信息披露的研究上。我国上市公司在2010年1月前还处于自愿披露内部控制自我认定报告和审计师评价意见阶段，因可用数据不足，从而形成了我国现有的大部分文献是研究内部控制影响因素及其信息披露的现状，所用数据来源于企业年报“重要事项”节信息，还没有系统地研究内部控制自我认定报告与其他因素的关系。随着《基本规范》于2010年1月1日在我国上市公司执行，内部控制自我认定报告和审计师评价意见报告将进入强制披露阶段，为实证研究提供了样本数据，从而用内部控制自我认定报告做样本数据来研究内部控制缺陷披露与其他因素的关系将成为未来主流研究方向。

［1］Abraham,D.,ARisk Model toOpineon InternalControl.Accounting Horizons,2010.

［2］Altamuro,J.,Beatty,A.,How does InternalControlRegulationaffectFinancialReporting?JournalofAccountingand Economics,2010.

［3］Ashbaugh-Skaife,H.,Collins,D.,Kinney,W.,The Discovery and Reporting of Internal Control Deficiencies Prior to SOX-mandated Audits.JournalofAccountingand Economies,2007.

［4］Ashbaugh-Skaife,H.,Collins,D.,Kinney,W.,LaFond,R,The Effect of Internal Control Deficiencies and Their Remediation on AccrualQuality.The Accounting Review,2008.

［5］Ashbaugh-Skaife,H.,Collins,D.,Kinney,W.,LaFond,R.,The Effectof SOX Internal Control Deficiencies on Firm Risk and Costof Equity.JournalofAccounting Research,2009.

［6］Beneish,M.,Billings,M.,Hodder,L.,InternalControlWeaknessesand Information Uncertainty.The AccountingReview,2008.

［7］Bierstaker,J.,Hunton,J.,Thibodeau,J.,Do Client-Prepared InternalControlDocumentation and Business Process Flowcharts Help or Hinderan Auditor’sAbility to Identify Missing Controls?Auditing:A JournalofPractice and Theory,2009.

［8］Bronson,S.,Carcello,J.,Raghunandan,J,Firm Characteristics and Voluntary Management Reports on Internal Control.Auditing:A JournalofPractice and Theory,2006.

［9］Dey,A.,Discussionof“InternalControlWeaknessesand ClientRiskManagement”.JournalofAccounting,Auditingand Finance,2009.

［10］Doyle,J.,Ge,W.,McVay,S.,AccrualQuality and InternalControlover FinancialReporting.The Accounting Review,2007.

［11］Doyle,J.,Ge,W.,McVay,S.,Determinants ofWeaknesses in Internal Control over Financial Reporting.Journal of Accounting and Economics,2007.

［12］Elder,R.,Zhang,Y.,Zhou,J.,Zhou,N.,Internal ControlWeaknesses and ClientRisk Management.Journalof Accounting,Auditing and Finance,2009.

［13］Ettredge,M.,Li,C.,Sun,L.,The Impactof SOX Section 404 Internal Control Quality Assessmenton Audit Delay in the SOX Era.Auditing:A JournalofPracticeand Theory,2006.

［14］Ge,W.,Mcvay,S.,Thedisclosureofmaterialweaknessesin internalcontrolafterTheSarbanes-OxleyAct.AccountingHorizons,2005.

［15］Goh,B.,Audit Committees,Boards of Directors,and Remediation of Material Weaknesses in Internal Control.Contemporary Accounting Research,2009.

［16］Heizman,S.,Wasley,C.,Zimmerman,J.,The joint effects ofmateriality thresholds and voluntary disclosure incentives on firms’disclosure decisions.JournalofAccountingand Economics,2010.

［17］Hogan,C.,Wilkins,M.,Evidence on the Audit Risk Model:Do Auditors Increase Audit Fees in the Presence of Internal Control Deficiencies?Contemporary AccountingResearch,2008.

［18］Hoitash,R.,Hoitash,U.,Bedard,J.,InternalControlQuality and AuditPricing under the Sarbanes-Oxley Act.Auditing:A Journalof Practice and Theory,2008.

［19］Hoitash,U.,Hoitash,R.,Bedard,J.,Corporate Governance and Internal Control over Financial Reporting:A Comparison of Regulatory Regimes.The Accounting Review,2009.

［20］Kim,Y.,Park,M.,Market Uncertainty and Disclosure of Internal Control Deficiencies under the Sarbanes-Oxley Act.Journal of Accounting:Public Policy,2009.

［21］Krishnan,J.,AuditCommittee Quality and InternalControl:An EmpiricalAnalysis.The Accounting Review,2005.

［22］Krishnan,J.,Rama,D.,Zhang,Y.,Costs to Complywith SOX Section 404.Auditing:A JournalofPractice and Theory,2008.

［23］LaFond,R.,You,H.,The Federal Deposit Insurance Corporation Improvement Act,Bank Internal Controls and Financial Reporting Quality.JournalofAccountingand Economics,2010.

［24］Naiker,V.,Sharma,D.,FormerAuditpartnerson theAuditCommitteeand InternalControlDeficiencies.TheAccountingReview,2009.

［25］Ogneva,M,Subramanyam,K,Raghunandan.,Internal Contro1 Weakness and Cost of Equity:Evidence from SOX Section 404 Disclosures.The Accounting Review,2007.

白 华（1969-），男，湖北洪湖人，暨南大学管理学院副教授

高 立（1986-），男，山东济宁人，暨南大学管理学院硕士研究生

（编辑 梁 恒）