白酒上市公司内部控制自我评价报告研究——基于泸州老窖股份有限公司的数据分析

周黎晨，尹 波，刘梅芬

（西南民族大学管理学院，四川成都610041）

2010年中国证监会四川证监局对泸州老窖公司例行巡检出具的《监管意见函》提出，公司内部控制存在高层兼职、财务问题和制度设计等问题。2014年10月，泸州老窖发生了1.5亿存款离奇失踪的事件。无独有偶，2014年1月，酒鬼酒也发生子公司银行账户内1亿元存款涉嫌被盗事件。一些白酒上市公司频频出现巨额“丢钱”事件，暴露出企业内控环节存在问题。那么当前白酒上市公司内部控制实施现状如何？如何进一步完善成为亟需解决的问题。

目前，关于白酒上市公司内部控制研究很少。按照中国证监会要求，上市公司均要求披露其内部控制自我评价报告和审计报告，为公众了解白酒上市公司内部控制现状提供窗口。泸州老窖公司是行业领军企业，从2008年至2016年，泸州老窖共发布内部控制自我评价报告8份，自2009年起，内部控制自我评价报告经四川华信会计师事务所审计，均出具标准无保留意见。且自2005年以来，泸州老窖连续多年获得深圳证交所颁发的“信息披露优秀单位”殊荣，表明公司披露的信息具有一定可信度，适宜作为分析的基础。有鉴于此，本文以泸州老窖内部控制自我评价报告为资料来源，通过对泸州老窖自我评价报告内容和格式的综合分析，从外部审计视角提出公司内部控制进一步完善的意见和建议，填补白酒上市公司内部控制研究的空缺，为其他白酒上市企业完善其内部控制体系提供借鉴和参考。

1 文献综述

1.1 内部控制历史沿革

从20世纪30—80年代，内部控制经历了企业管理在需求的内部控制变成了外部监管者加诸在企业上的一项监管技术、措施、制度、政策或程序的控制过程。从1992颁布IC-IF到现在，内部经营与外部环境都发生了巨大的变化，如运营模式的改变、科学技术的进步、互联网的广泛使用以及全球一体化等。特别是金融危机爆发以后，股东和其他主要利益相关者越来越关注风险以及如何控制风险，认为不充分的风险管理是导致金融危机的重要原因。利益相关者更多地参与治理过程，寻求更透明和更负责的内控体系来支持决策和组织的治理，这些因素都加速了IC-IF的修订步伐，使它更好适应环境进行调整。

为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，促进企业可持续发展，2002年美国颁布了《萨班斯-奥克斯利》（SOX）法案，在美国上市公司均按照SOX法案要求披露公司内部自我评价报告及审计报告。2008年5月，为了促进企业的发展和维护市场经济秩序和社会公众利益，财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制基本规范》（下简称《基本规范》）。该规范在2009年7月1日正式实施，适用于中华人民共和国境内设立的上市企业和大中型企业，意在促进和规范企业内部控制设计和实施。《基本规范》实施以来，内部控制内容有了统一的评价要素，内部控制缺陷的披露有了相关的标准。内容披露的随意性减小了，同行业各公司间的内容可比性增强了。截至2015年末，披露内部控制自我评价报告的上市公司增加到了2670家，占上市公司总数的94.45%。其中，白酒行业有20家，披露内部控制自我评价报告的上市公司19家。上市企业的内部控制报告逐渐从不披露、笼统应付和形式化到日益增多，完善有益。

1.2 内部控制概念和要素

1972年，美国审计准则委员会（ASB）所做的《审计准则公告》，对内部控制做了如下定义：“内部控制是在一定的环境下，单位为了提高经营效率、充分有效地获得和使用各种资源，达到既定管理目标，而在单位内部实施的各种制约和调节的组织、计划、程序和方法。”在我国，杨雄胜根据逻辑学原理，综合运用了多门学科知识归总认为“内部控制是运用专门手段工具及方法，防范与遏制非我与损我，保护与促进自我与益我的系统化制度”。

上市公司内部控制的建立、评价及审计中，内部控制的效度和信度都是最基础的问题。我国《内部控制基本规范》规定了企业建立与实施有效的内部控制，应当包括下列要素：①内部环境。内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等；②风险评估。风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略；③控制活动。控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内；④信息与沟通。信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通；⑤内部监督。内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。

1.3 内部控制缺陷识别和认定

目前的内部控制规范对于内部控制缺陷认定也存在诸多亟待完善之处，如内控缺陷的概念和内涵界定模糊、重大缺陷缺乏认定标准、有关内控缺陷的规范缺乏细化指导规则等。所有这些直接导致了上市公司内部控制缺陷认定的困境和内控信息披露质量低等问题。

谢力发现了内部控制自我评价报告中的概念误区：①对内部控制评价基准日理解不准确；②不理解如何计算和选取纳入评价范围的两个比例；③以上年合并报表数为基数计算纳入评价范围比例和定量标准；④混淆财务报告内部控制与非财务报告内部控制的认定标准；⑤混淆内部控制缺陷的定量标准与定性标准；⑥不理解财务报告内部控制缺陷与重要性水平之间的关系；⑦混淆报告期缺陷、已整改缺陷、已整改有效缺陷和评价基准日缺陷等；⑧无法有效区分财务报告内部控制缺陷和非财务报告内部控制缺陷；⑨对内部控制有效性认定的保证方式认识有误。

丁友刚和王永超通过研究上市公司发现，上市公司内控缺陷认定标准在制定方面存在着诸多影响内控缺陷信息质量的问题，比如事件描述不够完整、事件描述不够清楚、认定标准缺乏一致性、认定标准缺乏科学性等。王惠芳提出了：①可以采用原则式与规则式相结合的制定思路，明确内控缺陷的种类，特别是财务报告内控缺陷与公司内控缺陷的区别；②明确一般缺陷、重要缺陷和重大缺陷的认定标准，以及有效性结论的依据；③明确内控缺陷的披露格式，可以采取详细披露和摘要披露两种形式相结合。使得我们对内部控制缺陷的判定标准和认为有了新的认识与灵感。

Beneish等在《内部控制缺陷与信息不确定性》一文中认为，投资者要求为公司财务报告质量的不确定性获得补偿，如果内部控制缺陷的披露为投资者提供了增量的信息含量，那么就在一定程度上降低财务报告质量的不确定性，从而使投资者调整其对公司的预期;其次，由于非加速申报者规模相对较小，而且信息系统相对更不完善，分析师的跟踪也较少，作者认为非加速申报者比加速申报者有更高的信息不确定性。李翔、树成琳、陈丽花等对《内部控制缺陷与信息不确定性》一文进行解读，结合文章结论推论出信息不确定性对内部控制缺陷披露的信息含量有影响，即缺陷披露对披露前信息高度不确定的公司更具有信息含量。内部控制的信息含量和决策相关性是检验内部控制监管规则有用性和有效性的重要标准。

而杨有红和李宇立认为，缺陷识别和严重性评估主要属于技术层面的问题，但缺陷认定则属于管理层面的问题。企业应该建立内部控制缺陷分级授权认定制度以及纠偏责任落实制度，并将其嵌入内部控制评价组织体系之中。综合相关研究，对缺陷的应对措施见表1。

1.4 内部控制信息披露

韩晓梅、朱国泓和徐相伟针对内控信息化决策的模型求解表明：内部控制与信息化存在时间序列上的多重均衡，不同均衡水平的内控信息化将以跳跃的突变形态呈现；当信息化的先进性容忍或落后性容忍落在可容忍区间时，内控信息化保持原状；反之，内控信息化必须从原有均衡迈向新的均衡。

李明辉等对我国年上市公司年报中的内部控制信息披露状况进行了分析，认为我国上市公司内部控制信息很大程度上流于形式，没有实质性内容，并且上市公司自愿性信息披露的动机也不够强。因此对内部控制信息披露提出具体的可操作建议，如加强注册会计师对内部控制信息披露的审核力度等。

林斌、刘春丽等以2011年披露内部控制自我评估报告的上市公司为研究样本，发现：第一，我国上市公司内部控制重大缺陷的披露比例远远低于美国上市公司内部控制重大缺陷的披露比例；第二，内部控制质量、内部控制试点、内控审计投入、上市年限是影响企业内部控制缺陷披露的重要因素。具体表现为：内部控制质量较差、强制执行内部控制规范体系、披露内部控制审计报告、上市年限较长的上市公司更可能披露内部控制缺陷。

表1 内部控制缺陷程度、判定标准、认定和应对

在Lambert等的框架中，会计信息质量及产生此类信息的系统通过两种方式影响公司的资本成本：(1)直接影响：内部控制缺陷会导致较低的会计信息质量，从而增加投资者的信息风险，进而导致较高的权益资本成本；(2)间接影响：内部控制的缺陷会影响公司内部的真实决策，预示着较弱的管理控制能力，这将增加公司的经营风险，从而导致较高的权益资本成本。

杨有红、陈凌云分析了企业内部控制自我评价对于实现内部控制3个基本目标：财务报告及相关信息真实完整目标、资产安全目标、合法合规目标的效果和存在的问题。发现管理层对内部控制的自我评价能够释放企业内部控制有效性的信息,有助于企业外部相关利益者的决策。

2 泸州老窖内控自我评价报告分析

截至2016年9月，白酒上市企业共计19家，传统名酒企业泸州老窖、贵州茅台和宜宾五粮液等先后上市。1994年5月9日，当时简称“川老窖A”的公司股票在深圳证券交易所挂牌交易（深交所股票代码000568），20多年来，在建立现代企业制度的征途上，泸州老窖不断学习，不断进步，从法人治理结构的形似到逐渐神似，从内控体系的初创到逐步成型。从上市前年销售收入不足3亿元，净利润不到0.6亿元的传统企业，发展成年销售收入超过100亿元，净利润超过34亿元，涉足食品、证券、金融等多个行业的现代化大型企业。白酒上市公司在推动企业现代化制度建设，引领行业技术进步和促进区域经济社会发展等方面做出了积极贡献。

本文在对泸州老窖历年的内部控制自我评价报告进行内容和形式分析时，参考《内部控制基本规范》的有关规定，对内部控制自我评价报告中的内容进行界定。《基本规范》指出，企业建立与实施内部控制应当包括内部环境、风险评估、控制活动、信息与沟通以及内部监督等要素，并且界定了五要素的定义。使得企业能够正确理解并按照要求进行披露进而使得所披露的内容能够帮助利益相关者进行相关的决策。

2.1 内部控制要素披露内容

经过手工数据搜集和统计，从控制环境、风险评估、控制活动、信息与沟通、内部监控5个要素总结泸州老窖公司的披露情况，见表2至表6。

基于文本分析，发现以下几点情况：（1）内部环境中人力资源政策和企业文化披露不明确；（2）风险评估几乎没有披露；（3）控制活动披露具体，但不是根据风险评估提出的措施，与风险评估无关；（4）信息与沟通完全没有披露，在内部信息收集与沟通中公司存在较大缺失；（5）内部监督披露的内容较多，但没有实质性的披露；（6）表中各部分披露的内部控制信息含量差异较大并且存在特定年度突然增多或减少的现象。

内部控制是抑制管理层机会主义行为的重要制度设计，提高企业的风险防范能力是内部控制的主要目的之一，管理者对风险更为敏感，在内部控制实施过程中越容易选择更为严格的风险管控措施，而这种风险观也可能使公司员工在整体上具有较强的风险意识，从而具有较强的风险管理能力。因此，泸州老窖对风险评估的不明确，在一定程度上影响了内部控制的质量。泸州老窖管理者对企业信息与沟通要素和内部环境要素中的人力资源政策披露的不重视，使得内部控制内容有所缺失，不利于外界了解泸州老窖股份有限公司的上层与下层之间信息的传递。

综上所述，泸州老窖股份有限公司应该明确风险评估要素的披露和更关注信息与沟通的内容披露。内容披露不仅要注重形式，要更具体和具有可参考度。披露公司内部信息的传递与沟通，抑制管理层权力可能诱致的腐败，增加透明度和信任度。

2.2 内部控制缺陷披露情况

上市公司一般并不乐意披露自身的内部控制缺陷，而披露内部控制缺陷的公司一定存在内部控制缺陷。泸州老窖内部控制缺陷的认定标准符合《内部控制鉴证指引》。

表2 内部控制要素-内部环境

表3 内部控制要素-风险评估

在2010年披露了高管兼职问题。《上市公司治理准则》第23条有“上市公司人员应独立于控股股东。上市公司的经理人员……在控股股东单位不得担任除董事以外的其他职务”的规定，董事长兼任总经理不仅有可能逾越职权范围导致内控失效，还会对内部监督形成一种威胁，一些大的财务舞弊事件可以证实该观点。两职合一的公司内部控制和监管效率会受到影响，此类的报告内部控制缺陷公司的公司治理特征非常明显。

2012年的内控报告中披露了公司在报告期内发现了一些内控缺陷，为确保整改实施进度及整改效果，公司对发现的内控缺陷及时采取了相应的整改措施，将整改责任落实至具体岗位，并明确整改措施和整改期限。使得2012年泸州老窖股份公司内部控制制度有效运行，公司内部控制的重点控制活动中不存在对公司治理、经营管理及发展产生影响的重大缺陷或异常情况。

2014年的财务报告重大缺陷主要指1.5亿存款失踪之谜。泸州老窖公司在内部控制报告中仅以公司在与银行存款相关的制度设计的问题作为给广大消费者的交代。其异地存款行为与直接向法院诉讼行为，有理由怀疑泸州老窖使用业内通行已久的所谓“存款卖酒”模式（酒企给银行存款、银行则承诺协助卖酒）。公告当日泸州老窖二级市场微跌，10月15日收盘，上证综指上涨0.60%，食品饮料指数上涨0.38%，而泸州老窖下跌近2%。

表4 内部控制要素-控制活动

表5 内部控制要素-信息与沟通

泸州老窖股份有限公司内部控制缺陷有规定的标准，披露的信息真实且完整。在内部控制缺陷的披露方面做得较好。而缺陷的披露引起的股价波动，也体现了利益相关者对公司内部控制的关心，可以有效的减少权力滥用。所以我呼吁国家也要更加重视企业的内部控制自我评价报告的披露。

2.3 内部控制披露形式

自2009年7月1日起在上市公司范围内施行《企业内部控制基本规范》，鼓励公司对内部控制的有效性进行自我评价，披露年度自我评价报告。2010年的泸州老窖自我评价报告从内部控制情况、内部控制评价、内部控制体系、内部控制活动、重点控制活动、内部控制问题披露、内控总体情况评价等角度，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，符合全面性原则和重要性原则，进一步规范了格式。2010年4月26日，财政部、证监会、审计署、银监会、保监会五部委联合发布了《企业内部控制配套指引》，包括《企业内部控制评价指引》和《企业内部控制审计指引》等，标志着符合国情的我国企业内部控制规范体系基本建立。自2011年起，泸州老窖的内部控制报告更加具体化和规范化。按照内部控制评价办法规定的程序，公司内部控制缺陷及其认定制定了标准，使缺陷认定更加详细。开展了内控试点工作，完善了内部控制的制度，内部控制活动也已涵盖了公司的所有营运环节。2012—2015年泸州老窖内部控制自我评价报告的内容披露结构相对完善，在内控报告中披露的相关信息不再重复，表明内部控制自我评价报告趋于完整，但还应该更关注风险评估和信息沟通等方面。

本研究以内部环境、风险评估、控制活动、信息与沟通以及内部监督五要素作为评价内部控制自我评价报告内容的替代变量，对其进行赋值并进行统计分析。主要步骤如下：①以《基本规范》对各要素的界定将五要素内容的完整度评分，满分分别是5，2，1，1，4（评分标准参考文献综述中的[1]—[5]）；②只要企业在内部控制自我评价报告里面披露了各要素的具体内容，相对应的赋值1；③然后除以各自的满分（即5，2，1，1，4）；④最后得出内部控制自我评价报告内容披露指数，其值介于0～1之间。这个披露指数展示出各要素的披露程度，而五要素的汇总又展现出内部控制内容的整体披露情况，根据历年的指标观察出内部控制自我评价报告披露形式的变化。图1列举了对泸州老窖内部控制自我评价报告的内容评分后，历年分布情况。

表6 内部控制要素-内部监督

综上可以初步得出结论，泸州老窖的内部控制报告格式较完善与规范。杨有红等发现的内控自评报告能释放出企业的内控信息，有利于外部利益相关者做出决策。这对于提高企业内控意识，推动企业内部控制建立与实施，提高企业内部控制质量具有重要启示意义。

3 研究结论与管理意见

3.1 研究结论

在搜索数据以及分析数据的过程中，笔者发现，泸州老窖所披露的内部控制自我评价报告存在以下问题：

表7 2008—2015年内部控制缺陷披露情况

（1）形式大于实质。泸州老窖的内部控制自我评价报告在完整、具体、规范、美化的形式下隐藏着许多问题。在Lambert等的框架中，会计信息质量及产生此类信息的系统通过两种方式影响公司的资本成本：(1)直接影响：内部控制缺陷会导致较低的会计信息质量，从而增加投资者的信息风险，进而导致较高的权益资本成本；(2)间接影响：内部控制的缺陷会影响公司内部的真实决策，预示着较弱的管理控制能力，这将增加公司的经营风险，从而导致较高的权益资本成本。所以披露内部缺陷的公司一般都会有更高的审计及专业费用，披露内部控制缺陷的公司更可能面临权益资本成本提高的风险。所以在内部控制自我评价报告内容的信度上难免偏低，更注重报告的形式而非实质。

（2）报告编制人员对五要素的内涵理解有偏差。例如内部控制要素，自我评价报告中往往只披露了组织架构、制度建立、审计部门等方面内容，而对企业文化、人力资源政策等披露较少。并且，在自我评价报告中的例如风险控制要素内容，以一句话带过，“内部控制评价过程中关注的风险主要包括：行业政策风险、战略风险、市场风险……”，而并未做出详细说明。

（3）内部控制缺陷信息含量不足，可读性差。财政部会计司司长刘玉廷博士指出：“内部控制缺陷的认定，特别是非财务报告内部控制缺陷的认定，是企业内部控制评价工作中面临的重大挑战之一”。披露缺陷都属于层次较高的、空洞的、泛泛而谈的内容，并未触及到实质性的缺陷，如某公司承认其内控存在“内控制度盲区或制度建设问题或内控制度的执行不到位”等缺陷。这些都严重影响了内控缺陷披露的可读性和信息含量。

（4）内部监督的不完善。企业应当制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分析缺陷的性质和产生的原因，提出整改方案。而泸州老窖在重大缺陷披露的整改方案中只提出了有效整改，而没有实际行为的披露。泸州老窖的内部控制审计委员会等也存在缺失。

3.2 管理意见

（1）加强内部控制自我评价报告中实际内容的披露，而非加工和美化形式。提高内容的质量与决策的相关性。

（2）补充内部控制缺陷信息含量，增加其可读性。

（3）提高有关人员的专业水平。落实相关人员对法规政策的理解与阐述，从而提高自我评价报告的质量和决策的有用性。

（4）自愿设立的审计委员会对加强上市公司内部控制有重要影响，因此管理层在引导上市公司完善公司治理机制方面，应重点加强审计委员会的作用及其功能的发挥，特别关注董事长与总经理两职合一的公司可能存在的内部控制缺陷问题。还可以聘请注册会计师对内部控制有效性出具鉴证报告，增加可信度。

图1 泸州老窖2008—2015年内部控制报告内容披露指数

（5）积极发挥证券市场对内部控制有效信息的识别作用，促进企业自愿进行内部控制信息披露。

[1]池国华,杨金,邹威.高管背景特征对内部控制质量的影响研究——来自中国A股上市公司的经验证据[J].会计研究,2014(11)：67-74.

[2]李翔,树成琳,陈丽花,等.内部控制缺陷与信息不确定性——西方内部控制研究文献导读及中国制度背景下的展望(二)[J].会计研究,2015(7)：84-91.

[3]林斌,刘春丽,舒伟,等.中国上市公司内部控制缺陷披露研究——数据分析与政策建议[J].会计之友,2012(25)：9-16.

[4]林斌,舒伟,李万福.COSO框架的新发展及其评述——基于IC-IF征求意见稿的讨论[J].会计研究,2012(11)：64-73.

[5]刘焱.内部控制重大缺陷和重要缺陷的披露现状研究——基于2011年上市公司的数据分析[J].中国注册会计师,2013(4)：38-43.

[6]瞿旭,李明,杨明.上市银行内部控制实质性漏洞披露现状研究——基于民生银行的案例[J].会计研究,2009(4)：48-98.

[7]杨有红,陈凌云.2007年沪市公司内部控制自我评价研究——数据分析与政策建议[J].会计研究,2009(6)：58-64.

[8]张继德,纪佃波,孙永波.企业内部控制有效性影响因素实证研究[J].管理世界,2013(8)：179-180.

[9]DOYLE J,GE W,MCVAY S.Determinants of weaknesses in internal control over financial reporting[J].Journal of accounting&economics,2007,44(2)：193-223.

[10]DOYLE J,GE W,MCVAY S.Accruals quality and internal control over financial reporting[J].Accounting review,2011,82(5)：1141-1170.