上市公司内部控制自我评价与披露探究

摘要：近年来，由于社会经济环境的变化，人们对内部控制信息的需求在不断加强，也在呼吁企业披露更多实质性的内部控制信息。尽管有关部门已相继出台了多个指导文件和相关政策，用以规范上市公司内部控制信息的披露，但是效果仍有待加强。本文阐述了上市公司进行内部控制自我评价与披露的内涵，分析了当前上市公司内部控制自我评价报告披露工作中存在的不足，最后针对这些问题提出了相应的改进建议。

关键词：上市公司 内部控制 自我评价报告

一、内部控制自我评价与披露的内涵

内部控制自我评价是指公司定期检查公司内部控制缺陷，评估其执行的效果和效率，并及时提出改进建议的过程。它是由企业的全体成员共同参与，采用结构化的方法对内部控制的实施效果进行总体的评估，使得上至企业管理者，下至企业基层员工都能了解内部控制所存在的不足以及这些问题所可能导致的严重后果，督促企业的管理者能够积极主动地改正这些缺点，完善企业的内部控制制度，企业的员工也能主动地遵守改进后的内部控制相关规定，以促进企业的发展。从现在的实施情况看来进行内部控制自我评价所起到的作用是巨大的，它在一定程度上能够有效地提高企业的经营管理水平，同时能够使企业拥有一个有效的内部稽查程序，及时地发现内部控制所存在的不足并进行改进，使企业的业务经营流程更加合理有序，而且能够提高企业的风险防范能力，减少企业的经营风险，促进企业的可持续发展。

内部控制信息披露，是指上市公司通过一定的媒介向社会公众发表或发布公司内部控制运行状况的信息。我国《企业内部控制基本规范》中指出，企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。规范中也规定将企业实施内部控制的情况及进行自我评价与披露的情况纳入绩效考核体系，有关部门有权力检查企业的具体操作情况。为此目的，企业的相关负责人可以要求内部审计机构或委托会计师事务所定期的对本企业内部控制设计是否合理、执行是否到位进行审计，然后将最后的结果通过内部控制自我评价报告或其他的方式提供给外部信息使用者。

二、上市公司内部控制自我评价与披露存在的问题

（一）披露内容不规范。通过研究选取的自我评价报告可以发现公司所披露的报告内容带有很大随意性，缺乏一个统一的规范性的标准。尽管现在已经出台了相关文件，但是也仅仅提出了哪些内容是报告中必须要有的，而没有对全部的内容做出一个硬性统一的规定，所以导致报告的内容五花八门，也导致报告中的内容大多是避重就轻，存在众多的无用信息。

在所收集到的内部控制自我评价报告中，大部分的公司都按照相关要求详细地评价了内部控制的几个基本要素，或者是分业务简要的介绍了一下内控的设计，并且这些内容占了报告的绝大部分版页。但是一个很现实的问题不得不引起我们的思考，那就是这些信息的作用到底有多大？以雅戈尔的内部控制自我评价报告部分内容为例，报告中雅戈尔对销售业务的内部控制评价就短短的一句话：明确了销售业务中各环节的职责和审批权限，并按照权限和程序办理销售业务，实现了与生产、资产、资金等方面管理的衔接，有效防范经营风险，促进销售目标的实现。在评价研究和开发的内部控制时，几乎没有对其内部控制进行评估，而是着重介绍了公司品牌的发展历程。这样的信息对于我们的信息使用者而言其实都是一些无用或者说是没有任何实质性内容的信息，而这样的信息在很多公司的内控报告中都出现了，所占的篇幅比重也不小。

（二）内控报告中关于“缺陷”的披露情况存在不足。目前大部分公司所公布的报告中都包括内部控制的缺陷与整改情况这个内容，但是真正把企业内部控制存在的缺点公布出来的企业的数量是有限的。很多报告中都是说本公司的内部控制不存在重大或重要缺陷，也有的公司没有提到这句话，只是说会继续按照有关要求改进其内部控制制度。而不管企业的内部控制到底是否存在缺陷，报告中有没有披露所发现的不足，最后关于内部控制有效性的评价都是内部控制制度健全，执行有效。这些其实违背了内控自评的初衷，内控自评为的是让公司发现内部控制中所存在的不足并加以改正，从而促进企业的健康发展，同时也是为了让其他利益相关的人员了解企业内部控制执行的真实情况，帮助他们做出决策。有缺点就要勇于披露，积极改正，相信投资者肯定会做出一个合理的判断，但是显而易见我国的上市公司目前在这方面仍然做的不够好。

（三）内部控制评价标准不统一。在公司所公布的内部控制自我评价报告中往往还包括内部控制评价的程序和方法以及内部控制缺陷的认定标准，仔细查看这几部分内容可以发现几乎每个公司都有自己单独的流程以及认定标准。尽管每个公司披露出来的内控评价的流程存在相同之处，大体可以分为评价准备阶段、评价实施阶段、缺陷认定阶段、评价报告阶段，所采用的方法也基本相似，主要有调查问卷法、访谈法、穿行测试法和抽样法等集中办法，但是在最重要的评价标准上每个公司采用的标准是千差万别的。

评价标准一般分为定性标准和定量标准，在这两个标准上每个公司所给出的参考数据是不一样的，例如华润双鹤的报告所给出的定性标准中提到关键岗位管理人员和技术人员流失严重或者是媒体负面新闻频现都属于内部控制的重要缺陷，而这些在其他公司出现的比较少。定性认定标准不统一，定量标准更是千差万别。根据公司自己的评价标准，也许可以评判一个公司内部控制制度的好坏，执行落实的效果如何，但是在整个的评价体系中，公司之间却缺少一个可以进行统一衡量的标准，不能进行公司与公司之间的横向比较。这个缺点使得公司之间的相互学习变得比较困难，也使得有关部门不能统一全面地了解全体公司的内部控制制度执行情况。

（四）披露形式与格式不规范。上文中提到在现有的文件中没有明确的提出内部控制信息披露的具体形式，也不强制性地规定公司必须要采取哪种披露方法，企业可以在现有的两个形式中自由选择其中一种，这不利于让企业认识到内部控制自我评价报告的重要性，也不能满足社会对内评报告的需求。同样的现在对内部控制自评报告披露的格式也缺少一个统一的规定，在之前的现状描述中也说到公司进行披露的格式主要有两种，尽管这两种格式在大体上是相似，但是其中的细节部分还是存在不同，导致所披露的内部控制自我评价报告也存在差别，这就会使得报告显得杂乱无章，也会影响信息需求者的使用。endprint

（五）信息提供者和信息需求者对内部控制评价与披露不重视。

一是从信息提供者的角度看，虽然很多上市公司的内部控制自我评价都确定了具体的评价流程，但是很多公司仅仅是敷衍了事，并没有严格地遵照规定来进行评价，而且在报告中给出的结论也极其简单，起不到任何实质的作用，甚至还有的企业没有披露内部控制自我评价的相关信息。而如果是聘请外部的注册会计师来进行内控的评估，一方面他们所关注只是与财务报告有关的那部分内部控制，另一方面出于利益的考虑，某些注册会计师所提供的内部控制审计信息对于利益相关者来说并没有很大的利用价值，而正是因为这样导致披露出来的内部控制自我评价报告缺少使用价值。

二是从信息需求者的角度看，内评信息的需求动力严重缺乏。尽管说如今对内控信息的需求正在增加，但是真正有效的需求还是比较少的，因为仍有很多的利益相关者包括投资者和政府部门都还没有真正的意识到内评信息所能起到的重要作用，或者可以说是他们还没有感受其所能带来的价值；同时，企业内部的员工还没有认识到内部控制自我评价与披露对改善工作流程、提高工作效率、防范经营风险的重大作用，自然就不用主动的去关注内部控制自我评价报告有哪些不足。

三、完善上市公司内部控制自我评价报告的建议

（一）上市公司层面。

1.不断完善企业内部控制制度建设。建立健全并有效实施内部控制是公司董事会的责任；监事会对董事会建立实施内部控制进行监督；经理层负责组织领导公司内部控制的日常运行。然而在现实生活中，由于各部门的利益纠葛，会影响到内部控制执行的有效性，从而可能会影响内部控制披露信息的真实性。所以要保证披露信息的质量，必须要使这些部门负责任地承担其本职工作。公司的董事会为了股东的合理利益，要认真地根据公司情况设计内部控制；监事会则认真地担负起监督责任，一旦发现内部控制中存在不足就应及时向有关部门反映；经理层则应坚持将内部控制制度执行落实到底，不能阳奉阴违，及时调整在实施过程中发现的弱点，以保证公司的内部控制不存在任何的重大或重要的缺点。坚持如此，公司的人员就不会害怕披露内部控制自我评价的信息，因为企业的内部控制都是完善且有效的，内部控制自我评价与披露也可以成为公司主动自愿的行为，企业能够理直气壮的在报告中说企业内部控制健全，执行有效，更能够为企业节约一些不必要的“包装费用”，保证信息的可靠性。

2.改变企业所有者和经营管理者的思维模式。虽然完善的内部控制制度可以在一定程度上缓解内部控制自我评价与披露工作中存在的问题，但由人制定的制度避免不了存在瑕疵和缺陷，对这些信息是否进行真实的披露，取决于企业所有者和经营者的思维模式。在企业经营之中，企业的经营管理者需要向企业所有者负责，同时企业的所有者也会评价他们的工作。他们会害怕如果公开了公司所存在的问题可能会影响公众对企业的信心，影响到公司的业绩，出于对自身利益的考虑，管理者会偏向不公布内部控制自我评价信息或者是选择披露好的信息。这时候企业的所有者或者说是公司的股东董事们应该要起到带头作用，鼓励管理层对外披露内部控制信息，让公司的内部控制处在公众的监督之下，让公众判断公司是否适合投资；同时也应该鼓励管理层不断地完善企业的治理环境，保证内部控制的有效实施，也应该做到不以一时的利益得失来作为管理者的评价标准。管理层则应该排除后顾之忧，实事求是地反映内部控制的真实情况，不要因为一时的私利而影响到公司全局，敢于做实事，说实话。

3.重视重要性宣传与公司文化建设。目前很多公司不愿意进行内部控制信息的披露，一方面是害怕披露了缺点会影响公司的形象，从而造成不好的结果，另一方面则是认为内部控制自我评价与披露是一件成本与效益不符的行为。每年的内部控制自我评价与披露会支出一部分的费用，但是却看不到实实在在的利益。再加之公司很多员工都认为内部控制自我评价与披露这项工作是管理人员的责任，导致员工的参与积极性并不高。这就要求公司加大对内部控制自我评价与披露重要性的宣传，让每一位员工能够意识到这项成本是一次性支出，并不是会经常发生的，而且它是企业的一项长远投资，不管对企业还是对个人都有重要的作用，其长远效益更是不可估量。同时也可以通过企业文化的建设，通过潜移默化的影响，让员工树立起“执行完善内部控制，披露内部控制信息，人人有责”的思想意识，使他们能够积极主动地参与到内部控制的设计和自我评价的工作中来，帮助企业的管理者改进内部控制中存在的缺陷，完善企业的内部控制。

4.健全内部审计监督体系。现在我国有部分上市公司在进行内部控制自我评价时往往是临时组建评价小组，而不是将内控评价的工作安排到日常的流程中。这会造成评价的时间短，评价工作匆忙，而且在临时组建的小组中并不全都由专业的人士构成，也会影响到最后所披露的内部控制自我评价报告的准确性。

一个完善的内部控制制度理应包括一个专业的内部控制自我评价团队，没有相应的内评组织在一定程度上也就说明企业的内部控制本身就存在着重大的缺陷。组建内部控制专业评价小组，建立内部控制自我评价制度，不但可以提高内部评价的监督力度，而且由专业的团队负责内部控制自我评价工作可以保证内部控制的规定能够落到实处，也能够使内部控制自我评价的工作更具有科学性。同时也应该保证内部控制自我评价小组的客观性，使内评工作不受任何外来因素的影响以确保最后内部控制自我评价报告中内部评价结果的准确性。

另一方面应提高董事审议内部控制自我评价报告的能力。在内部控制自我评价报告正式公布之前，会先提交给董事会进行审议，同时要求董事会填写相关的工作底稿，作为董事审议了内部控制自我评价报告的依据。但是由于专业知识的限制，很多董事并不能很好地理解工作底稿中的内容，也不知道怎么填写表格，这样就很难保证内部控制自我评价的客观性和准确性，也不能及时地发现管理层或者是内部审计团队的造假行为。公司应安排董事进行一些内部控制审计的知识培训，使他们了解如何进行内部控制的评价，所采用的方法有哪些，具体要怎么操作，甚至在董事了解相关的知识后安排他们参与内部控制的自我评价工作，以保证内部控制自我评价报告的真实可靠。endprint

（二）制度层面。尽管在美国或者是其他国家，也都还没有对内部控制自我评价报告的内容做出统一的规定，但是出于对我国上市公司实际情况的考虑，出台切实可行的披露框架势在必行。

1.充实内部控制自我评价报告的内容。前面总结出我国内部控制自我评价报告中所披露的内容不完善，无用信息过多，这是因为我国对内部控制自我评价报告的内容没有做出具体统一的规定。笔者认为相关部门应该在相关使用者中进行调查，了解他们需要哪些信息，包括投资者、政府部门和其他的利益相关者，将所收集的信息进行整理并结合上市公司的具体实际，以法律或者是法规的形式规定出内部控制自我评价报告的具体的、统一的内容，特别应该注意内部控制缺陷和整改意见的内容规定，这部分必须作为报告的重点。具体的内容规定可以防止企业所披露的报告大量充斥无用的信息，从而保证报告所披露的内容是有效的，能够真正为人们所用。

2.统一内部控制自我评价报告的格式。目前各个公司的内部控制自我评价报告所采用的格式五花八门，使用者阅读不便，难于理解。通过对比各个公司的自评报告，总结各自的优缺点后，笔者认为内部控制自我评价报告大体可以采用如下框架格式：①董事会声明；②内部控制自我评价的总体工作安排；③内部控制评价的依据；④内部控制的评价范围；⑤内部控制缺陷及其认定；⑥内部控制活动中存在的问题及整改计划；⑦内部控制有效性的结论。在内部控制自我评价的总体安排中应着重介绍内部控制评价的程序与方法。在内部控制的评价范围一章中则以内部控制的五个基本要素为框架，在基本要素下再分业务介绍公司的内部控制制度，同时要求附上公司的内部控制流程，以帮助读者进行理解，但是这部分内容不应该也不允许企业作为重点的内容，对其的披露要做一个相应的篇幅限制。报告的重点应该放在缺陷的披露和整改，企业必须要在这部分披露实质性的内容，不能敷衍了事。具体的格式企业应该结合需要披露的内容做进一步调整。除规定格式以外还应统一规定报告的披露形式，以方便需求者获取和使用。

3.制定操作性强的内部控制缺陷认定标准。如前所述，很多公司的报告中几乎没有披露出重大的内部控制缺陷，这一方面是因为上市公司出于利益保护的考虑，另一方面也是因为每个上市公司的重大缺陷评价标准是不统一的，而且是由公司自行设定。按照公司自身设定的评价标准难以发现自身内部控制中存在的不足，更不用说是进行披露，甚至可能存在发现了重大的内部控制缺陷，但是通过修改评价标准，缺陷也变成是正常的情况。针对这一情况，相关的监管部门必须加紧出台统一的内部控制缺陷评价标准，用以指导企业进行内部控制重大缺陷的认定，同时也为公司间的相互借鉴提供条件。

4.明确内部控制自我评价的责任追究机制。现在大量无用的甚至是虚假的内部控制自我评价报告得以公布，是因为企业所需承担的造假成本低，也意味着我国目前的监管体系仍不完善，甚至还存在漏洞。这就要求有关部门要加强对内控信息披露的监管，可以从以下几个方面入手：

（1）加强注册会计师的独立性，提高注册会计师专业审计能力。在企业公布内部控制自我评价报告之前都会要求注册会计师就内部控制进行审计并给出相应的审计意见，但是大多数的注册会计师出于现实的考虑，在内部控制审计报告所给出的审计意见大都是“内部控制健全”。如果可以加强注册会计师审计工作的独立性，减少公司与注册会计师之间的利益纠葛，不仅可以督促企业管理者不断的改善内部控制制度，也可以保证所披露的内部控制信息的真实可靠。注册会计师的专业知识储备及业务能力也会影响到最后评价结果的准确性，所以注册会计师应该不断加强专业胜任能力，保证能够提供真实有效的信息。相信通过内部审计制度的完善再加上外部审计的辅助，公司内部控制的建设与评价工作必然可以更加顺利的开展。

（2）有关部门要加强对内部控制信息披露的监管。因为很多投资者将内部控制的相关情况作为其是否进行投资的重要参考依据，大量虚假无用的内部控制自我评价报告可能会损害到投资者的利益。监管部门应完善审计和监管程序，对于那些在内部控制自我评价与信息披露过程中违反有关规定，故意遗漏，甚至造假的上市公司，要给予严厉的处罚。同时也应该建立起一个投资者监督反馈渠道，让投资者及时地反映上市公司披露过程中所存在的问题，对所收到的投诉也要认真对待。对于那些由于虚假的信息而使利益受到损害的投资者，要建立起民事赔偿诉讼机制，加大上市公司及其有关人员的违规成本，从根本上杜绝虚假的内部控制自我评价报告。

5.建立激励机制，鼓励上市公司披露内控信息。有关机构还要加强对上市公司内部控制自我评价报告的事后监督，可以采用抽查的方法，对于检查不合格的企业给予惩戒，对于表现良好的企业予以奖励，具体的奖励措施包括：

（1）通过政府网站、报纸，或者是通过上交所和深交所的网站对表现良好的企业进行表扬和宣传，帮助企业树立良好的形象，增强投资者对该企业的信心，也有利于企业开展相关的经营活动。

（2）建立信用评级制度。对于披露工作做的较好，对在检查后确认能够真实如实地反映内部控制信息的企业在信用评级中给予好评，对于受到好评的企业在银行贷款、政策扶持、税收等方面都给予适当的优惠。

（3）建立类似免检产品的制度，可以评选出类似的免检公司。对于在检查中发现已建立比较完善的内部控制制度，同时在内部控制自我评价报告中真实地反映内部控制实施情况的企业可以适当地减少检查的次数，减少检查的内容，并可以给予适当的奖励，从而起到鼓励带动其他企业的目的。

（三）信息需求者层面。当前，投资者和债权人仍是内控信息的主要需求者，但是随着经济的不断发展，证劵交易市场的不断规范，内部控制信息的使用者必然越来越多。我们在不断的要求企业提供真实可靠的内部控制信息，但是这些信息对于使用者的价值到底有多少还是要看个人的，每个人获取信息的能力不同，分析能力也存在差别。如果使用者意识不到内部控制自我评价报告的价值，不能很好地利用内部控制自我评价报告，那么再好再可靠的内评报告也只是一堆废纸。我们只有让使用者认识到内评报告的重要性并不断地提高使用者的信息获取和分析能力，使使用者能够判断内部控制信息是否真实有效，并且积极主动地配合相关的部门监督上市公司的内控信息披露，发现所存在的不足，从而通过不断增加的有效的信息需求去督促企业负责任地发布内控信息。S

参考文献：

1.杨胜宇.内部控制信息披露研究[J].现代商贸工业，2010，（19）.

2.李荣锦，曾景伟.上市公司内部控制评价相关问题的探析[J].商业会计，2012，（7）.

3.董美霞.我国企业内部控制评价研究[D].大连：东北财经大学，2009.

4.朱琳琳.内部控制缺陷信息披露浅析[J].会计师，2010，（4）.

5.李成云.上市公司内部控制自我评价规范比较研究[J].财会通讯，2012，（9）.

6.宫玉惠.企业内部控制自我评价的涵义与方法[J].辽宁经济，2009，（3）.

7.李想.企业内部控制评价中存在的问题及对策[J].当代经济，2012，（8）.

8.张文敏，李莉.关于我国上市公司内部控制的现状与思考[J].科技与企业，2012，（16）.

作者简介：

李明，男，浙江建龙控股集团有限公司财务部经理，中国注册税务师（非执业），会计硕士（Mpacc）。研究方向：会计理论与实务。endprint