我国上市公司内部控制规范试点工作存在的主要问题及对策建议

中国证监会四川监管局 李铁军

我国上市公司内部控制规范试点工作存在的主要问题及对策建议

中国证监会四川监管局 李铁军

2008年5月，五部委联合发布《企业内部控制基本规范》（以下简称《基本规范》）；2010年4月，发布《企业内部控制配套指引》，包括18项《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》（以下简称《审计指引》），标志着我国企业内部控制规范体系基本形成。2010年以来，中国证监会选取了部分上市公司开展内控规范实施、试点工作。本文作者作为上市公司一线监管者，力图揭示当前上市公司内部控制规范试点中存在的主要问题，并提出对策建议，以期为下一阶段上市公司全面推行企业内控规范提供一点借鉴。

上市公司 内部控制规范 试点工作

一、内控规范试点工作的进展情况

按照“坚决导入、稳步实施、步步深入、逐年提高”的原则，中国证监会稳步推进上市公司内部控制规范体系建设。2011年，全国有287家上市公司纳入了内部控制规范实施、试点，其中69家境内外同时上市公司开始实施，218家公司为自愿开展试点。总体看来，上市公司实施内部控制规范试点工作进展较为顺利。目前，从内控的4个主要阶段看，半数左右公司已经完成风险评估与识别、确定内控缺陷整改方案、实施内控缺陷整改，并进入内部控制建设成果固化阶段，其余公司也处在稳步推进过程中。2011年12月，中国证监会在湖南长沙就内控试点工作进行了阶段性总结。

二、当前内控试点工作中存在的主要问题

（一）对内控建设的认识尚未从根本上得到统一。近年来，随着内控规范体系文件的陆续建立，以及相关宣传教育的稳步推进，上市公司对于企业内控建设的认识有了一定提高。但由于内控工作推进的时间还较短，根深蒂固的认识偏差尚难以在短期内纠正。主要存在以下几种认识误区：

1．运动论。认为内控规范建设仅是监管部门开展的一项“运动”，不会持久、也不会深入，因而只需要走走形式即可蒙混过关。反映出其对内控建设的背景及其必要性认识不足。

2．制度论。认为内控规范建设就是指“内部制度”建设，只需要比照财经、证券法规，对企业现有规章制度进行梳理完善即可。持这种观点的人将内部控制的内涵狭隘化。

3．财务论。认为内部控制就是财务控制，是财务部门的事情，与企业生产经营的其他环节、其他部门没有关系。没有意识到我们建设的内控规范体系，是全面风险导向的内控，涵盖企业生产经营的各个环节。

4．重构论。认为是对现行内部管理体制的重构，需要完全摒弃原有管理制度、内控流程。其实，内控规范体系与上市公司现有管理制度是融合的，是从更宽的视角进行重新审视与完善，不存在本质上的冲突。

5．负担论。认为按照《基本规范》的要求建设内部控制，必然要增加大量的成本费用，对公司造成较大的负担。其实，我国的内控体系建设，充分考虑了美国《萨班斯法案》推出后对其上市公司形成巨额负担的情况，要求公司在内控建设中要注重成本、效益原则，因而并不必然造成公司大额负担。

（二）实施过程中的机构、人员保障及实施方式问题。内控规范的实施过程是一项系统工程，需要企业投入大量资源，需要内部各个环节、各部门的全员参与和配合。但由于对其重要性认识的不足，在实施环节基本都是由财务部或证券部牵头，抽调个别财务人员、内审人员、证券部员工具体负责实施。有的公司虽然设立了“内控推进工作办公室”，但实质上也并未实际发挥作用。因而，从机构和人员上都很难保障内控工作的有效推进。

还有部分公司为了一劳永逸，将内控规范工作全部外包，聘请咨询机构全面负责实施。姑且不论现阶段咨询机构良莠不齐的情况，没有公司主导的内控设计，只能造成内控体系设计浮于表面，不能有效与企业行业特点、自身经营特点结合，造成实际生产、经营情况脱节的局面。

（三）公司内控基础水平不同，推进进度难以统一。三地上市公司（A、H、N）上市公司，依据境外监管要求，已初步建立了基于COSO框架体系的全面风险管理内控体系（如中国石油、中国石化），且已连续多年接受会计师事务所内控审计，内控基础较好；对于金融类上市公司（如工商银行、建设银行），基于行业监管要求，也建立有相对较完善的内控体系，有利于推进内控实施进程；而对于ST或*ST类公司、并购重组借壳上市、额度制下部分改制上市公司，其内控基础则相对薄弱。上述公司内控基础的差异，制约了内控工作推进进度，对于其内控建设的阶段性目标、建设效果的评估也难以统一。

（四）内控缺陷认定的尺度较难把握，内控评价难以反映实质性缺陷。《基本规范》及其配套指引，按照程度将内控缺陷划分为重大缺陷、重要缺陷及一般缺陷。但考虑到企业所处行业、规模、风险承受能力等方面存在固有差异，没有将具体认定标准进行明确。在实际评价工作中，各公司普遍反映由于没有具体标准指导，难以把握哪些内控问题属于内控缺陷，更难以对内控缺陷按程度进行合理划分。从已披露的2010年内控评价报告看，绝大部分公司均不认为存在实质性内控缺陷。

（五）内控评价报告的格式及披露方式不统一。从部分已披露的2010年内控评价报告的格式看，有的公司自评报告仅披露了自评结果，有的公司对照“内控五要素”进行了详细自评，有的公司还区分了与财务报告相关的、与财务报告无关的内控评价。从披露方式看，有的公司单独披露自评报告，有的则仅作为内控鉴证报告的附件披露。

（六）整改后的内控运行时间较短，难以出具合理审计意见。按照中注协发布的《企业内控审计指引实施意见》（以下简称《实施意见》）的规定，如果被审计单位在基准日前对存在缺陷的控制进行了整改，整改后的控制需要运行足够长的时间，才能使注册会计师得出其是否有效的审计结论。而现实情况是，除部分金融、多地上市公司外，大部分公司正处在进行内控缺陷整改或成果固化阶段，其建立整改后的内控体系也尚未有效运行或者运行时间较短，均难于满足上述规定的要求。

三、对策与建议

（一）正确认识，稳步推进。内控建设对我国资本市场而言是一个新生事物，上市公司缺乏内控建设的经验，监管部门也缺乏评价、检查的标准，实施难度可能远高于新会计准则。对此，相关各方都应该有清醒的认识，在不断摸索中前进，在前进中不断总结。当前，应着重把握好以下两点：

一是合理把握监管边界，理清各自工作职责。开展内控建设是上市公司的责任，如何理解、执行，都应是企业独立开展的；作为监管者，其工作重点应该在动员、引导、检查，切不可因为工作推动心切或者“恨铁不成钢”而越俎代庖。

二是稳妥处理内控试点中的一些问题。一方面，对于2011年内控审计工作进行指导。鉴于大部分公司建立的内控体系运行时间都较短，为防止出现无法出具有效审计意见的局面，监管部门可以采取考虑调整2011年内控审计基准日，采取适当后延的方式以稳妥推进试点工作。另一方面，针对部分公司内控基础较弱的现状，应本着客观、务实、不走形式的原则，可以适当延长其内控建设周期，但其需履行披露义务。应披露其内控建设计划以及时间安排，披露其内控建设周期延长的原因，应动态披露内控建设进展情况及下一步规划。

（二）强化对内控审计的监督。内控审计是衡量企业内控有效性的重要手段，是内控规范体系建设成败的关键环节，强化对内控审计的监督、检查具有重要现实意义。结合内控试点建设情况，应重点关注如下事项：

一是关注审计范围是否涵盖完全。出于对注册会计师在内部控制审计过程中的风险承担能力的考虑，现阶段审计意见只要求针对财务报告相关的内部控制，但并不意味着内控审计范围局限于此。部分注册会计师可能出于工作量、执业习惯等因素的考虑，仅实施与财务报告相关的内控测试，或者对于非财务报告的内控关注不够。监管部门应本着全面风险导向原则，加强对内控审计范围的监督，以同步揭示非财务报告内部控制重大缺陷。

二是关注“整合审计”的有效性。从试点公司了解的情况看，大多采取聘请同一家机构进行整合审计，即将内部控制审计与财务报告审计整合进行。整合审计可以提升效率，也是国际上普遍采用的方法，但我们也必须清醒地意识到，我们正处于从年报审计中“内控循环测试”到内控审计的过渡阶段，许多机构还不清楚如何调整执业程序、执业内涵、人员配备以应对上述转变，整合审计可能导致“挂内控审计之名，行年报审计之实”的结果。因此，应加强对内控审计计划、内控审计底稿的抽查，防止出现上述走形式的情况。此外，还应关注内控审计收费情况，对于收费过低的情况（与其年报审计收费相比），应合理怀疑其内控审计的有效性。

（三）规范内控建设咨询市场。目前，参与内控咨询的机构众多，既有传统意义的会计师事务所，也有各类咨询机构，可谓是良莠不齐、鱼龙混杂。同时，作为新生事物没有相应法规约束，也缺乏有效监管。为发挥咨询机构在上市公司内控建设中的积极作用，建议对监管部门考虑将其纳入“中介机构”监管范围，研究制定监管办法，适时设立准入制度，实现规范发展。

（四）完善配套规则体系。一是相关监管机构加强研究，尽快出台银行、证券、保险等特殊行业内控工作应用指引，以使得相关行业上市公司有章可循，健全完善内控体系；二是强化对内控缺陷认定标准的研究，鉴于企业有其具体情况，不便于采取“一刀切”的方式，可以在运行一段时间后，以规范问答等形式进行指导；三是，制定内部控制审计工作指南，作为《基本规范》、《审计指引》的进一步细化，以进一步规范内控审计工作流程。

1.财政部、证监会、审计署、银监会、保监会.2008.企业内部控制基本规范。

2.财政部、证监会、审计署、银监会、保监会.2010.企业内部控制配套指引。