我国上市公司财务报告内部控制（ICOFR）评价与对策研究

□（江西理工大学 江西南昌 330013）

一、引言

2002年7月美国颁布了 《萨班斯—奥克斯利法案》（The Sarbanes Oxley Act，简称 SOX 法案），该法案第一次对财务报告内部控制进行了阐述，将财务报告内部控制（Internal control over financial reporting，以下简称ICOFR）定义为：由企业管理当局设计，由企业董事会、管理层和其他员工实施的，旨在为企业财务报告的可靠性提供合理保证的控制程序。SOX法案第404节中，对公司内部报告信息做出了强制性披露要求，即公司管理层不但要出具ICOFR的自我评价报告，而且注册会计师还要对上市公司ICOFR的自我评价报告出具审计意见。之后美国上市公司会计监管委员会（PCAOB）发布了第二号和第五号评价准则作为其实施要求和指南。上市公司ICOFR的重要目标就是保证财务报告的可靠性和有效性。应该说SOX法案的公布，促进了美国财务报告内部控制审计的发展，同时也为国际社会开展ICOFR审计提供了借鉴依据。2006年7月我国“企业内部控制标准委员会”成立，2008年5月，我国财政部等五部委联合发布了 《企业内部控制基本规范》，该规范从2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。2010年4月又联合发布了《企业内部控制配套指引》，基本规范和配套指引明确要求我国企业必须建立内部控制审计制度，执行内部控制规范体系的企业必须对本企业内部控制的有效性进行自我评价和披露年度自我评价报告，同时聘请有证券期货业务资格的会计师事务所对其内控的有效性进行审计。内部控制审计与财务报告审计一样，成为上市公司的一项法定责任。这一系列的制度的制定和实施标志着我国企业内部控制规范体系基本建成。ICOFR评价是企业董事会或类似权力机构对ICOFR设计的合理性、健全性和运行的有效性进行全面评价，形成评价结论，出具评价报告的过程。

国外对ICOFR评价的研究起步较晚，早期主要作为附带问题进行探讨，直到20世纪90年代随着财务造假案的增加，以及人们对财务报告信息质量的期望升高，ICOFR的研究才开始引起学者们的注意。美国学者的研究主要涉及ICOFR评价的成本效益（Bill Dner，2003）、ICOFR 的评价内容（Lehde 和 Wllis，2000）和评价标准（Raghunandan 和 Rama，1994）等几方面的问题。

美国安然事件爆发后，我国对ICOFR评价的研究才得以展开，主要学者有朱荣恩、袁敏、吴水澎、陈汉文、陈关亭、张少华、张龙平、毛敏、仇莹等。不过，目前国内学者对ICOFR评价的研究多在于对国外经验的借鉴，尤其是对美国SOX法案以及PCAOC NO.2和PCAOC NO.5的学习和借鉴。借鉴内容主要包括ICOFR评价的内容、范围以及评价报告等，但研究不够深入和系统，故内部控制建设还是停留在机械的模仿上。近年来，以张宜霞、田高良为代表对ICOFR审计收费和缺陷披露等进行了实证研究。目前我国对ICOFR评价缺乏有效的标准，内部控制的各种评价形式没有得到有机整合与协调，评价方法不合理（陈汉文和张宜霞，2008）。

总之，ICOFR评价的提出是概念上的创新，更是审计理念上的一次飞跃。做好ICOFR评价，可以增强公司管理人员的控制意识，改善管理层的控制环境，提高财务报告的可靠性。由于我国开展ICOFR评价和审计时间很短，这项工作虽然取得了一些成绩，积累了一些经验，但也存在不少问题，本文以我国近年实施的 《企业内部控制基本规范》和三项配套指引的数据经验为背景，在分析我国目前开展ICOFR评价存在的问题后，提出了完善我国ICOFR评价的政策建议，以期今后我国上市公司ICOFR评价体系的进一步完善和管理水平的提升。

二、我国上市公司开展ICOFR评价的现状分析

（一）ICOFR评价成本过高

实施ICOFR评价的成本包括直接成本、间接成本和社会成本。公司在实施评价的初期效益难以单独计算而发生的成本却是巨大的，它对公司的经营业绩会产生强大的冲击。美国对ICOFR相关法规实施过程也不是一帆风顺的，曾造成了来自美国大公司和小公司利益集团的空前反对。他们认为执行SOX法案的302节和404节会造成大量的执行成本。有关研究表明，平均销售收入为50亿美元的公司，发生的额外费用超过财务报表费用的57%，还有的分析师用“每获得10亿美元的收入就要支付100万美元的费用”来形容执行第302节和第404节所需的花费成本。就我国上市公司的盈利水平，该项评价和审计支出也是难以承受的。故我国上市公司很少会自愿要求对ICOFR评价。从这几年的实践来看，虽然大多数公司能按照要求对内控信息进行一定的披露，但大都泛泛而谈，缺乏实质内容，对保证财务报告的可靠性作用甚微。

（二）内部控制评价意识淡薄

内部控制评价和审计的目的在于发现公司内控缺陷，以优化内部控制体系，提升公司的管理水平，这项工作理应是公司的内生需要，而非公司外界压力所迫。2011年，我国首次在上市公司执行内部控制审计，并要求企业同时披露内控自我评价报告。2011年共有217家上市公司参加或参与了内控评价和审计（其中68家境内外同时上市的公司，参与试点的有149家境内上市的公司）。从2011年执行内控自我评价的情况看，不少企业对内控评价重要性认识不足，仅停留在“合规”和“交差”的层面上，公司缺乏优化内控体系的积极性和动力。另外，不少企业将内控评价看作是阶段性任务，未将其当作一项长期的任务来抓。以上种种不重视内控评价的表现，影响了内控评价工作的正常开展。

（三）ICOFR评价方法不当

我国内控基本规范和配套指引是根据制造业企业生产经营特点制定，内控评价指引中有关ICOFR评价程序和方法，都是属于一般性规定，缺少对各公司评价的针对性，很多规定不具体，同时评价指引赋予公司较大的自由裁量权。在对具体业务流程进行评价时，如果不结合企业自身特点，而只是简单依照内控应用指引的要求展开，其评价的结果必定不能起到优化内控体系的作用。另外不同行业不同类型的企业之间差异较大，各企业对内控的理解及重视程度也不同，企业实施内控评价的出发点以及参与评价人员的素质也存在较大差异，因此上市公司在评价方法的选择上存在较大差异，影响了评价结果的有效性。

（四）ICOFR评价缺失

由于上市公司内部控制与ICOFR是两个不同的概念，它们在具体内涵和目标上有很大的不同。内部控制是公司治理层的控制，关注的是公司层面的风险评估及监督问题，目标是站在管理层角度帮助其提高经营效果和经济效益；ICOFR是财务报告层面的控制，关注的是业务或交易层面的控制，目标是站在投资者的角度试图通过内控提高管理层财务呈报的可靠性。而目前我国进行ICOFR评价遵循的是《内控基本规范》和三个配套指引。内部控制审计只要求对ICOFR的有效性发表意见，对于非ICOFR的有效性不发表意见，只在审计报告中增加强调段进行披露起提醒作用。在内控评价审计执业时遵循的是《内控基本规范》和三项配套指引，却没有专门的ICOFR评价指引可供遵循，在内控评价和审计的实践中，这显然是不妥的，会导致ICOFR评价缺失，同时也大大增加了评价和审计难度、范围和成本。

（五）内部控制缺陷认定不准

内部控制缺陷认定不准会导致内控评价报告不真实的表达。近年来的实践表明，导致内部控制缺陷认定的原因主要有三方面：一是内控缺陷与内控局限性认定不清。内控缺陷与内控局限性二者既有联系又有区别，但又容易混淆。如果把内控缺陷当成内控局限性认定那就会得出ICOFR有效的错误结论。二是ICOFR缺陷与公司内控缺陷认定不明。站在注册会计师角度，注册会计师要对ICOFR有效性发表意见；站在公司的角度，公司管理层要对ICOFR缺陷和非ICOFR缺陷认定纳入评价的范围。在企业自我评价报告中并未要求企业将ICOFR与非ICOFR缺陷分开披露。很明显，公司与注册会计师进行评价发表意见的对象不一致，二者的报告形式也有区别。三是内部缺陷程度不容易区分。内控缺陷分为重大缺陷、重要缺陷和一般缺陷，相关指引中只有对其进行定性模糊描述。目前注册会计师只能根据经验和职业能力对内控缺陷进行判断和分类，因此很可能将重大缺陷划分为重要或一般缺陷，从而得出ICOFR有效的错误结论。

三、完善我国上市公司ICOFR评价的对策

根据我国上市公司内部控制评价存在的问题，可以从以下几方面去完善上市公司ICOFR评价制度。

（一）切实提高认识水平

针对我国部分企业对内部控制的认识仅只停留在“合规”和“交差”的层次和缺乏优化内控体系的积极性和动力的现状，公司要注重内部文化培养和建设，要切实提高公司全体员工对内控的理解和认识。领导要起推动作用，不断提高自身对内控评价的认识程度，从“合规”和“交差”的出发点转变为通过评价和审计来提升管理水平的最终目的，从制定制度的 “应付心理”转变到“重在执行”的管理实践，从阶段性的内控建设转变成一项长期的、持续改进的内控优化工作，身体力行推动内控的建设和评价工作。通过制定激励和考核机制，转变各中层领导的权力观念，降低对内控建设的抵触情绪。要加大对基层员工的宣传教育，鼓励其参与到内控建设和评价的实践中，形成全员参与、人人负责的良性互动。

（二）将ICOFR评价与财务报告审计整合

这主要基于三方面的考虑：第一，ICOFR评价与财务报告审计二者业务类型相同，都同属为责任方认定提供合理保证业务。第二，二者实现的目的相同，都是为外部利益相关者提供高质量和可靠性强的财务报告信息。第三，二者都强调风险导向思路，它们一定程度上关联并相互补充，因此将二者融合，可以相互印证审计证据，相互利用审计成果，达到既降低审计成本，又提高ICOFR评价以及财务报告审计的质量和效率。美国第5号审计准则也明确指出，上市公司的审计人员需要在财务报告审计的同时进行ICOFR的审计，并提出了融合审计的理念。在对内部控制评价与审计时注册会计师应有效协同地计划和执行审计工作，以快速和有效实现二者的目的。

（三）建立内控评价人才培养的长效机制

专业人才的缺乏是内控建设和评价的瓶颈。ICOFR在我国尚处于起步探索阶段，相关专业人才缺乏，为了能够顺利实施《企业内部控制基本规范》和配套指引，提高我国ICOFR评价和审计报告的质量，就必须提高相关人员的能力。一是要进行ICOFR评价的学习，深入理解其理论体系和相关概念，二是有关人员要积极参加由财政部、证监会和中国注册会计师协会等权威部门组织的ICOFR评价与审计的业务培训，加强对《企业内部控制基本规范》和配套指引的理解。三是会计师事务所要投入必要的人财物，及时对注册会计师进行业务指导和胜任能力的测试，完善ICOFR审计的质量控制体系。总之，企业和会计师事务所要积极探索建立长期、科学和有效的内控专业人才的培养机制。

（四）准确识别和认定内部控制缺陷

内部控制缺陷的识别和认定是新鲜事物，针对目前我国内部控制缺陷界定、分类和认定没有统一、明确的标准的现状，我们认为可以从两方面入手解决：一是按原则性和规范式相结合的思路从理论层面明确内部控制缺陷的界定，区分内控缺陷与内控局限，以及财务报告缺陷和非财务报告缺陷，这样才能更有利于内控建设、评价和审计。二是采用定性和定量结合的方法从操作层面具体化ICOFR缺陷和非ICOFR缺陷。ICOFR缺陷可采用定量方法界定，用“可能性”和“导致后果”的严重程度来划分缺陷类别。严重程度可量化进行，不要简单地划分一般缺陷、重要缺陷和重大缺陷。对“可能性”的量化可借鉴我国《或有事项会计准则》的规定，比如，“很可能”发生的概率是大于50%但小于或等于95%等。对“导致后果”具体量化方法可根据缺陷造成的错报金额占财务报告相关项目，如资产总额、营业收入等的百分比来确定。总之，内部控制缺陷的识别和认定是内部控制评价和审计鉴证过程中非常重要的一环。

（五）尽快制定和出台ICOFR评价指引

针对目前我国在ICOFR评价时没有专门ICOFR评价指引可供遵循给ICOFR带来的评价缺失、评价难度、范围和成本增加的现状，建议我国应尽快制定和出台ICOFR评价指引。该指引要具有明晰性和操作性，能为ICOFR的评价和披露提供评价标准。指引内容要包括ICOFR的目标、评价范围、内部控制缺陷的识别、披露和改进措施以及财务报告错报的风险识别等。为突出重点，避免披露时面面俱到执行时却流于形式，建议在该指引中明确评价对象是公司的ICOFR，且只对ICOFR的有效性进行评价等内容。