完善上市公司内部控制披露的策略研究

【摘 要】 内部控制信息披露是上市公司向外界传递公司内部控制信息的重要途径，对于投资者及监管者具有重要意义。随着我国内控规范体系的形成，内控披露的相关制度规范也日臻成熟，但是从制度执行的情况来看，上市公司内控披露的质量仍然较低，尤其是内部控制自我评价报告的披露，粉饰现象严重。因此，文章通过分析上市公司自评报告披露的现状，找出制约内控披露质量的影响因素，进而提出完善内控披露的措施。

【关键词】 内部控制； 自我评价报告； 完善措施

一、制度背景与文献回顾

21世纪初安然、世通、施乐等美国大型上市公司一系列财务丑闻的爆发，引发了美国有关监管部门对上市公司内部控制的重视，并于2002年7月颁布了《萨班斯—奥克斯利法案》，首次从制度层面对上市公司的内部控制进行规范，要求上市公司披露内部控制自我评价报告，并聘请注册会计师进行审计。美国监管部门的这一举动引发了全球对内部控制的关注，我国资本市场监管机构也不断出台各种政策规范，以期完善我国企业的内部控制制度，促进企业在内部建立一套有效的制衡机制。2008年6月28日财政部等五部委联合发布了《企业内部控制基本规范》，提出了内部控制的五个目标（合法合规目标、资产安全目标、财务报告目标、经营目标、战略目标），并对内部控制的五个构成要素（内部环境、风险评估、控制活动、信息与沟通、内部监督）进行了详细地阐述。2010年4月26日，五部委再次补充发布了《企业内部控制配套指引》，包括应用指引（18项）、评价指引和审计指引，至此我国内部控制完整的规范体系基本形成。内部控制的制度规范是全面提升上市公司和非上市大中型企业经营管理水平的重要举措，也是我国应对国际金融危机的重要制度安排（刘玉廷，2010）。

提高财务报告的可靠性，保护资本市场投资者的利益，是内部控制规范上升到制度层面的主要动因。而资本市场是一个信息不对称的市场，因此内控信息的披露对于投资者了解企业内控建设情况具有重要意义。尤其是在我国内部控制的有关规范日臻成熟的制度背景下，上市公司内部控制信息披露的质量究竟如何？对此，我国学者展开了大量研究。刘秋明（2002）通过分析2001年实施配股的34家上市公司的招股说明书中披露的内部控制信息，认为内控信息披露缺乏普遍性和强制性的要求。李明辉等（2003）通过分析上市公司2001年报中披露的内部控制信息，发现上市公司内部控制的信息披露大多流于形式，实质性内容较少。林斌、饶静（2009）基于信号传递理论，实证检验了上市公司自愿披露内部控制鉴证报告的影响因素。杨有红、汪薇（2008）通过对2006年沪市内部控制信息披露的现状进行统计分析，发现内控信息自愿性披露动力不足，强制性规定执行效果不好，提出内控自评报告应采用强制披露和鼓励性披露相结合的方法。王惠芳（2011）以内部控制缺陷为突破口，通过对深市主板2009、2010连续两年披露自评报告的A股上市公司进行分析，认为内部控制缺陷认定处在困境中，影响了内控披露的质量。综合我国学者的研究可以发现，虽然分析的角度不同，但是不置可否的是我国内控信息披露还不是很理想，尤其是内部控制自我评价报告的披露，出于利己目的考虑，是否会有人自我批评，甚至自我否定？

二、我国内部控制披露情况概述

配套指引于2011年1月1日首先在境内外同时上市的公司执行，2012年1月1日实施范围扩大到上交所和深交所的主板上市公司。执行内部控制控制规范的企业，必须披露内部控制的自我评价报告，并聘请会计师事务所对内部控制的有效性进行审计，这标志着我国上市公司内部控制自我评价报告将由自愿披露阶段转到强制披露阶段。强制性披露与自愿性披露是两个不同层面的要求，类似于法律与道德对人的不同约束（杨有红、汪薇，2008）。对此，我国学者的看法莫衷一是，部分学者从信号传递理论出发，认为只有内控建设较好的公司才更有动机自愿向外界传递信号，而在强制性披露下，这种信号作用却趋于消失，许多企业“鱼目混珠”，粉饰自己的内部控制自评报告，“伪披露”现象广泛存在。但也有学者指出，我国企业内控信息自愿性披露动力不足，仅有极少比例的公司披露内控自评报告，不利于敦促企业完善健全自身的内控制度。但是不论是在自愿披露阶段还是强制披露阶段，上市公司内控信息披露大多都仅是流于形式，且都呈现“报喜不报忧”的特征，近乎90%的公司披露自己的内部控制是有效的，且几乎没有公司在内控自评报告中披露重大缺陷，以2010年披露内控自评报告的企业为例，99.2%的上市公司披露自己的内部控制是有效的，但现实是这其中仍有多家公司出现财务重述行为，甚至遭到证监会的处罚，这种“打补丁”的行为，同不完善的内部控制是相关的。

结合上市公司内控信息的披露情况，总结归纳可发现目前上市公司内部控制信息披露呈现如下特点：1.披露形式不统一。内部控制规范并没有对自评报告的披露形式进行规定，使得上市公司的自评报告呈现随意性较大的特点。从披露形式的繁简角度划分，自评报告可以分为简要式和详细式两种，简要式的披露只有一至两页，而详细式披露却可多至三十页以上，相比之下，详细式报告更加符合评价指引的要求，从内控的目标、原则、要素等多个方面对企业的内部控制情况进行了描述。2.缺陷披露较少且词语含糊，多数企业没有在自评报告中披露内部控制设计及运行中的缺陷，而企业内部控制的建设情况真如其自身披露的那样乐观吗？结论显然是否定的，对于我国企业来说，内部控制作为一种新兴事物，只能是出于不断完善的进程中，还有许多问题亟待解决，更多的企业显然是粉饰了自评报告，披露自己的内部控制不存在重大缺陷。而也有数量可观的企业甚至选择回避这一问题，在自评报告中既不指明自身的内控存在重大缺陷，也没有明确地陈述无重大缺陷。并且，披露内部控制缺陷、不足的企业也没有按照评价指引对缺陷进行区分，究竟是一般缺陷、重要缺陷还是重大缺陷，报告使用者都不得而知。那么，究竟是什么原因导致我国上市公司内控信息的披露形同虚设？是制度因素，还是企业自身执行不力？

三、制约内控信息披露质量的因素

（一）目标的冲突

自评报告作为一种信息传递媒介，向投资者传递了公司内部控制的信息，目的是使投资者了解公司的内部控制建设状况，从而作出正确的投资决策。从信息经济学的角度，信息的披露是为了降低资本市场上信息不对称的程度，而信息的披露将会产生一定的经济后果，大量的经验研究也表明，内控缺陷的披露会引起资本市场的负向反映。为此，公司管理层在向外界披露信息时，必然加以美化，尤其是在原则性规范的指导下，许多信息缺乏定量的衡量标准，超过90%的公司披露自己的内控是有效的，也就不足为奇。资本市场信息不对称的程度越强，管理层这种粉饰内控自评报告的动机越强。监管部门要求企业对内部控制进行评价，是希望企业能够在自我评价的过程中发现内部控制需要完善的地方，从而健全自身的内部控制。内部控制和内部控制披露之间目标的差异从某种程度上制约了内控信息的披露质量。

（二）制度规定不详尽

内部控制自评报告最终是要表明企业的内部控制是否有效，而内部控制缺陷的存在有否与严重程度是决定内部控制是否有效的关键因素，因此，可以认为内部控制自评报告披露的核心就是内控缺陷的披露。而目前实施的评价指引与审计指引对内部控制缺陷概念和内涵界定得都较为a152912290acb1774103ae0275e59af4bd817e26489cc395f5335745840c0202模糊，对缺陷识别的技术方法及披露政策也都没有明确的规定，这些原则性的指引在实际应用中不免会造成操作上的困境。例如，评价指引中根据导致内部控制偏离其目标的程度将内控缺陷界定为重大缺陷、重要缺陷和一般缺陷。而对于这个程度应该如何度量，却缺乏定量的规定。并且，不论是法律层面还是监管层面，对披露内部控制虚假信息的企业也未出台严厉的惩罚措施，使得披露虚假内控信息的成本要小于披露真实内控缺陷的成本，即披露内控缺陷所产生的一切不利的经济后果。

（三）信息披露成本较高

内部控制信息的披露包含显性成本和隐性成本，显性成本是指完善的内部控制评价体系的建立需要花费公司大量的人力、物力、财力，企业需要成立专门的机构，或者安排特定的人员定期评价内部控制。而在内部控制的评价过程中，需要搜集、整理、记录、分析等一系列工作，这对于企业来说是一笔不小的开销。而内部控制披露的隐性成本，特别是内部控制存在缺陷的公司，则更加“高昂”。国内外学者对内部控制信息披露的经济后果展开了广泛的研究，研究发现内控缺陷的披露会导致公司债务成本上升，信用机构更为严厉的审查及投资者对财务报告可靠性的质疑，同时还会增加管理层面临诉讼的风险，影响其薪酬及升迁的机会。

四、提升内部控制披露质量的措施

（一）完善内控披露的制度规定

首先，应该确定内控缺陷的量化标准。可以借鉴会计准则中的规定，以发生概率的形式界定内部控制缺陷导致内控目标无法实现的可能性。并且可以引入审计指引中的有关规定，结合审计指引中列出的表明公司内部控制存在重大缺陷的迹象进行认定。对内控缺陷的影响程度也应该规定一个金额的比例标准，以此来确定内控是否存在缺陷及缺陷的类别，例如，此缺陷会导致企业遭受多大比例的损失、利润下降多大比例或风险导致的不确定性增加多少。

其次，应对内控自评报告的披露形式作出统一的规范。要统一自评报告的名称，并要求公司独立披露自评报告，并应对自评报告的落款进行规范，明确自评报告的责任方。自评报告的评价依据、评价范围、具体内容都要有明确的纲领，为公司披露内部控制提供一个框架。对内部控制缺陷的披露要加以详细的规范，应要求企业披露缺陷的认定标准、披露标准、具体内容、整改措施及整改后的剩余风险。

（二）加强内控披露的外部监管

监管部门应建立一套严厉的内控惩罚措施，以加大虚假披露的成本。新制度经济学认为制度的有效执行需要依靠相应的惩罚机制，严厉的惩罚机制会抑制企业在自评报告披露中的粉饰行为。对内部控制披露不合规范的企业要处以公示、罚款等处罚。对于内部控制存在虚假陈述的企业，甚至可以采取更为严厉的处罚措施，例如暂停上市。同时监管机构也要做到恩威并济，对于内控信息披露较好的公司进行激励，鼓励公司延续良好的内控披露行为。

由于我国内部控制目标的设定较为宽泛，远远超出财务报告层面的内控要求，而拓展至公司层面。而注册会计师对内控自评报告的审计，大多是针对与财务报告有关的内部控制，因此审计意见对内控有效性的保证程度也是有局限性的。而对于公司层面内部控制的评价，我国学者已经进行了大量的研究，提出了许多评价内部控制的方法，致力于构建权威的内部控制评价指数，将定性的信息定量化。为此，监管部门可以建立一套科学的内控评价指数，对上市公司的内部控制建设情况进行赋分评级，为投资者评判企业的内部控制提供一个参照。

【参考文献】

[1] 杨有红，汪薇.2006年沪市公司内部控制信息披露研究[J].会计研究，2008（3）.

[2] 刘玉廷.全面提升企业经营管理水平的重要举措——《企业内部控制配套指引》解读[J].会计研究，2010（5）.

[3] 王惠芳.内部控制缺陷认定：现状、困境及基本框架重构[J].会计研究，2011（8）.

[4] 崔志娟.规范内部控制的思路与政策研究——基于内部控制信息披露“动机选择”视角的分析[J].会计研究，2011（11）.