我国上市公司2012年实施企业内部控制规范体系情况分析报告



我国上市公司2012年实施企业内部控制规范体系情况分析报告

为全面深入了解我国上市公司实施企业内部控制规范体系情况，财政部会计司会同证监会会计部组成课题组，开展了对我国上市公司2012年执行企业内部控制规范体系情况的分析工作，现将有关情况报告如下。

一、企业内部控制规范体系实施情况

（一）总体情况。截至2012年12月31日，沪、深交易所共有上市公司2 492家。其中纳入实施范围上市公司共有853家，包括839家A股上市公司和14家B股上市公司。其中纳入实施范围的上市公司集中在中央及地方国有控股企业，具有规模较大、经营业绩较好等特征。

（二）内部控制评价报告披露情况。2012年，纳入实施范围的上市公司全部披露内部控制评价报告，其中852家公司的内部控制评价结论为有效，占比99.88%，1家公司（北大荒）的内部控制评价结论为无效，占比0.12%。

在纳入实施范围的上市公司中，有575家披露了内部控制缺陷认定标准，占比67.41%；278家未披露内部控制缺陷认定标准，占比32.59%。有245家披露了内部控制缺陷，占比28.72%；608家未披露内部控制缺陷，占比71.28%。其中，纳入实施范围上市公司内部控制缺陷分等级披露情况如下：4家（次）上市公司披露了内部控制重大缺陷，总共存在 15个重大缺陷；22家（次）上市公司披露了内部控制重要缺陷，总共存在223个重要缺陷；243家（次）上市公司披露内部控制一般缺陷，总共存在2 359个一般缺陷。有382家公司披露聘请了内部控制咨询机构，占比44.78%；471家公司未披露是否聘请内部控制咨询机构，占比55.22%。

（三）内部控制审计报告披露情况。2012年，纳入实施范围的上市公司全部披露内部控制审计报告，其中831家上市公司的内部控制审计意见为标准无保留意见，占比97.42%；3家上市公司因存在财务报告内控重大缺陷被注册会计师出具否定意见，占比0.35%；19家上市公司的内部控制审计意见为带强调事项段的无保留意见，占比2.23%；非标准内控审计报告共22份，占比2.58%。

二、企业内部控制规范体系实施取得的成效

总体来看，企业内部控制规范体系运行平稳、执行有效，实施范围不断扩大，全面提升了企业的经营管理水平及风险防范和应对能力。企业内部控制规范体系实施取得的成效具体表现在以下几个方面：

（一）企业内部控制体系建设中取得的成效。

1．实施企业对内部控制的重视程度普遍提高。各实施企业普遍重视内部控制体系建设与实施工作，纷纷成立内部控制专门机构，指定或抽调业务骨干，建立责任明确、沟通顺畅、配合联动的工作推进保障机制，从而确保优质高效地完成企业内部控制规范体系实施工作。

2．实施企业经营管理水平有效提升。各实施企业根据自身管理实际，系统梳理在内部环境、风险评估、控制活动、信息与沟通、内部监督等方面的薄弱环节，并进行查漏补缺。例如，在职责分配上，厘清职责分工、防范推诿扯皮等。

3．实施企业风险防范与应对能力显著提高。在企业内部控制规范体系实施过程中，各实施企业贯彻以“风险为导向”的工作思路，紧密围绕公司战略目标，全面系统地识别可能存在的各类风险，建立科学的风险分析与评估程序，针对识别出的各类风险，明确责任部门，确定应对措施，使风险管控措施融入日常管理工作中。

（二）企业内部控制评价工作中取得的成效。

1．内部控制评价工作趋于规范并体现企业特色。2012年，更多的实施企业能够按照《企业内部控制基本规范》及《企业内部控制评价指引》要求，认真、规范开展内控测试、缺陷认定以及出具评价报告等工作并逐步体现企业自身特色。例如，有些企业结合自身所处行业特点、管理薄弱环节以及当年管理的高风险领域合理确定内部控制评价范围，有针对性检查内部控制实施效果。

2．完善自我监督程序，形成内部控制评价长效工作机制 。为保证内控实施效果，2012年多数实施企业建立健全了内控评价制度，从制度层面上明确了评价工作责任部门、工作程序与具体要求等内容，并加强内部控制日常监督和专项监督，形成覆盖全面、重点突出，持续自我监督与完善的评价工作长效机制。

3．披露内控评价报告的公司数量稳步上升，报告信息量增大、可读性增强。从披露数量来看，2008年至2012年，披露内部控制评价报告的上市公司从1 076家增加至2 244家，披露比例也从67%增加至90%（具体数据见图1），披露绝对数以及比例均呈较大幅度上升趋势。

图1　2008～2012年内部控制评价报告披露基本情况

从披露内容来看，内控评价报告所包含的信息愈来愈丰富。例如，有些企业披露内控缺陷情况，既按照缺陷等级区分一般缺陷、重要缺陷、重大缺陷，也按照缺陷性质区分财务报告内控缺陷与非财务报告内控缺陷，从而实现对内控缺陷更为精细、全面的审视和改进等。

（三）内部控制审计工作中取得的成效。

1．内部控制审计执业趋于规范，审计监督的作用逐渐凸显。2012年，从审计准则执行来看，更多的注册会计师能够按照《企业内部控制审计指引》及相关执业准则的要求，认真制订审计计划，合理确定审计范围与重点审计领域，严格实施控制有效性测试，有效识别、评价内控缺陷，形成恰当审计意见，如实出具内控审计报告。从审计成效来看，更多的注册会计师在审计过程中，保持应有的职业怀疑态度，勤勉尽责执业，充分关注、披露上市公司存在的财务报告内部控制缺陷与非财务报告内部控制缺陷，并提出针对性的改进建议。

2．披露内控审计报告的公司数量逐步上升，报告质量逐年提高。从披露数量方面看，2008年至2012年，聘请会计师事务所对内部控制有效性进行审计并出具审计报告的上市公司数量从316家增加至1532家，出具报告比例也从20%增加至62%（具体数据见图2），披露绝对数以及比例均有较大幅度上升。

图2　2008～2012年内部控制审计报告披露基本情况

从内控审计结果方面看，2012年，在853家纳入实施范围的上市公司中，非标准内控审计报告共22份，占比2.58%，较上年非标准内控审计报告占比1.49%有所增加。非标准内控审计报告数量和比例的提高，以及内控审计报告意见“差异化”趋势在一定程度上反映了当前我国上市公司实施内控规范的现状和水平，内控审计报告的监督效能进一步提升。

三、企业内部控制规范体系实施中存在的主要问题

（一）相关责任主体在企业内部控制规范体系实施中存在的问题。

一是政府监管部门在内控标准体系完善、内控规范实施监管等方面的工作仍需要加强。我国现行企业内部控制应用指引操作性和实务性有待加强，内控缺陷认定标准及缺陷认定程序不明确，内控缺陷认定的客观性、合理性很难保证，造成上市公司披露的内控评价报告格式与内容标准差异较大。内控规范体系实施的监管工作仍需加强，应通过对内控规范实施和内控审计执业质量的后续检查，强化内控规范体系实施的监管工作，加大监督检查和处罚力度，促进有关企业和中介机构更加有效实施企业内部控制规范体系。

二是部分企业对内部控制的认识及重视程度仍存不足，内控评价工作存在走过场现象。在内控规范体系实施过程中，仍存在部分企业的董事会、高管对内部控制的认识及重视程度不够，仍将内控规范的实施简单定位于满足监管要求，甚至仍习惯凌驾于内部控制之上。部分企业重要领域的内控提升优化工作有待提高，虽已制定了基本的内控制度，但在推动内控体系实施方面力度不足，内控缺陷整改侧重管理制度完善，不重视后续运行的监督和信息化手段的运用。部分企业存在内控评价范围不全面、重点不突出、缺陷认定标准不恰当、缺陷认定随意性强、评价结论不客观等评价工作“走过场”的现象。

三是有些中介机构专业胜任能力不足、执业质量不高、低价竞争、独立性等问题突出。部分内控咨询机构、内控审计机构对内控规范体系理解不深、掌握不牢，行业知识匮乏，专业胜任能力不足，内控审计执业质量不高。部分内控咨询和内控审计机构无原则降低服务收费，以明显低价赢取服务项目，项目实施中又迫于成本压力，资源投入不足，降低服务标准，严重影响了服务质量。内控审计机构独立性有待加强，部分审计机构与咨询机构构成网络关系，甚至存在咨询人员与审计人员的交叉，违反了独立性原则以及“不能同时为一家企业提供内控咨询和内控审计服务”的监管要求，给审计质量带来潜在威胁。

（二）内部控制信息披露存在的问题。

1．上市公司内部控制评价报告披露存在的问题。

一是内部控制评价范围披露不够充分，评价范围不够恰当。例如，许多上市公司未披露纳入评价范围单位占公司总资产比例或占公司收入比例；有些上市公司未开展相应的风险评估工作；部分上市公司虽披露了纳入评价范围的单位，但没有包括特殊业务类型的重要子公司；有些公司采取“两年或三年内轮换一遍”的方法确定每年纳入评价范围的重要单位或业务，但未披露纳入评价范围单位的比例等。

二是内部控制缺陷认定标准不够科学。例如，部分上市公司未按要求披露内控缺陷具体认定标准，或披露的缺陷认定标准“模式化”；已披露内控缺陷具体认定标准的上市公司，其披露的内控缺陷认定标准不恰当、不适用，可比性差。

三是内控缺陷的披露不够充分，对内控缺陷整改的理解不当。例如，部分上市公司对内控缺陷的披露偏重缺陷事件本身，缺乏对缺陷性质及其对内控影响的披露；部分上市公司对内控缺陷分类披露含糊不清，或有意回避对缺陷严重程度分类的披露；部分上市公司认为内控评价发现的错报已得到纠正，或在评价报告出具日之前完成整改，即认为内控缺陷整改完成，并得出内部控制有效的结论。

四是内部控制评价报告格式与内容差异较大，评价结论表述不规范。例如，纳入实施范围的上市公司分别遵循财政部、证监会和上交所发布的内部控制评价报告格式指引编制和披露内控评价报告，降低了内控信息披露的可比性和有效性，不利于报告使用者对上市公司内控规范体系实施情况进行分析评价；一些上市公司的内控评价结论表述不规范，评价结论含糊不清，如相当数量的上市公司未以积极的方式表述评价意见，而是以“未发现”重大缺陷的消极意见代替“不存在”重大缺陷的积极评价意见。

2．上市公司内部控制审计报告披露存在的问题。

一是审计意见的客观性、恰当性有待进一步提高。少数注册会计师出具的内控审计结论有失客观性，审计意见类型不当。不少带强调事项段内控审计报告披露上市公司的持续经营问题、内控缺陷问题以及内控审计范围问题，但未披露其对内控的影响，强调事项的性质也与内控审计指引及其实施意见中定义的强调事项不符。

二是内控缺陷的性质及影响披露不够充分、准确。部分注册会计师出具的非标内控审计意见未按照《企业内部控制审计指引》及其实施意见的要求披露内控缺陷的性质及其影响。部分否定意见内控审计报告未披露重大缺陷对财务报告内控的影响程度，未披露否定意见内控审计报告对财务报表审计意见的影响。

三是内控审计报告结论及相关信息披露与内控评价报告不一致，但未予以说明。被出具否定意见内控审计报告的3家公司中，除北大荒的内部控制评价报告承认存在重大缺陷外，其余2家公司的内部控制评价报告均否认其内部控制存在重大缺陷，仍认为财务报告内部控制有效或整体内部控制有效，注册会计师未能按照《企业内部控制审计指引》及其实施意见的要求，在内控审计报告中增加强调事项段，披露其审计报告与公司内部控制评价报告对重大缺陷认定和披露不一致这一事实。

四、进一步推动企业内部控制规范体系实施的有关建议

为更好地推动企业内部控制规范体系建设与实施工作，进一步提升我国企业内部控制水平，下面从政府监管部门、企业、内控审计及咨询机构等层面提出相关建议。

（一）政府监管部门层面。

一是完善统一内部控制有关技术标准，提升内控要求的法律层级。针对不同行业情况、企业实际情况和现实需求，研究一些典型行业业务运作的特点、共性风险和行之有效的控制措施，制定发布分行业的内控操作指南，为有关企业实施内控规范体系提供借鉴和参考。研究修订内控审计报告内容与格式的可行性，提高内控审计报告信息的有效性。统筹协调相关监管机构，进一步明确当前市场环境下内控评价报告披露内容与格式的监管要求，并在修订和完善《会计法》等相关法律法规时，增加有关内部控制的条款，进一步明确企业及相关中介机构对内部控制的责任。

二是加强对企业内部控制规范体系实施的引导，进一步加大监管力度。有关监管部门应当加强对企业实施内控规范体系的工作指导，加大对企业内部控制评价工作和内控信息披露工作的监督检查力度。不断强化对内控审计机构执业质量的监管，加大对审计机构的监督检查力度，及时查处并公开曝光违反内控审计执业准则和职业道德守则的相关审计机构和人员。

（二）企业层面。

一是加强内控环境建设，明确内部控制职责与工作重点。实施企业应加强内部控制环境建设，营造内控实施的良好内部环境。同时，结合企业年度工作计划，设定年度内控工作重点，使之能持续深入地开展内控相关工作，发挥内部控制为企业发展保驾护航的作用。

二是建立内部控制长效运行机制，促进内控体系“做实”、“落地”。各实施企业应加强内控更新优化等工作，建立健全内控相关的考核评价机制，确保内控运行机制的良性运转。同时深入开展内部控制体系与已有管理体系的深度融合等工作，不断提高内部控制的作用。

三是完善内部控制评价程序，加强评价工作的监督，提升内控信息披露水平与质量。各实施企业应调配具有专业胜任能力人员开展内控评价工作，充分揭示内控缺陷问题并限期整改；依据企业风险及缺陷影响程度，规范地细化内控缺陷评价标准，如实认定内控缺陷；加强对评价工作的监控，履行相关审批程序；按照监管要求，遵循内控评价报告内容与格式要求，全面地作好内控评价信息披露工作，向报告使用者提供更多有效的公司内部控制信息。

（三）内控审计及咨询机构方面。

一是完善技术方法，培养专业人才，提升专业服务能力。审计机构应当明确、统一内控缺陷的认定步骤和认定标准，通过强化内控审计的专业技术培训，培养储备内控审计的专业人才，并通过强化执业过程监控督导和质量控制复核，切实提升内控审计执业质量。咨询机构应尽快制定和执行规范、统一的咨询服务专业实务标准，认真履行咨询服务质量控制程序，规范工作底稿记录和归档要求，切实提供贴合企业实际的内控建设方案。

二是公平合理收费，维护市场秩序，恪守独立性要求。内控审计、咨询机构应当在确保项目质量的前提下，与企业合理协商有关费用，公平合理收费，坚决杜绝低价恶性竞争现象。各中介机构应坚持客观公正、独立性原则，恪守职业道德，对于违背独立性原则以及“不能同时为一家企业提供内控咨询和审计服务”监管要求的内控审计业务，应主动坚决拒绝承接，切实维护公平竞争的市场秩序。

（财政部会计司供稿）