基于COSO的企业内部控制缺陷分析

朱琳燕

内部控制的首要任务不是找出舞弊的原因，而是发现并阻止进一步的舞弊行为，以确保所有部门正常运营。内控缺陷主存在于期末会计程序、收入的确认、会计调整和职责分配等方面，只有内部控制与其他控制合作，积极运用防止舞弊的新方法和新技术，才能真正有效控制风险。2008年，财政部等制定了《企业内部控制基本规范》，2010年五部委联合并发布了《企业内部控制配套指引》，此外，国资委《中央颁布《企业内部控制建设指导意见》。一系列政策法规紧锣密鼓的出台，标志着在中国上市的企业也全面进入风险与内控体系建设阶段。

一、我国上市公司内部控制现状

首先，从内部控制评价报告缺陷披露来看，2016年，有2834家上市公司披露了内控评价报告，占A股上市企业总数的91.88%。同时，500多家企业明确表示其内部控制尚有缺陷，在披露的4447项缺陷中，重大、一般与重要缺陷分别占1.37%、97.41%、1.21%。其中，预算、信息披露以及关联交易、财务报告、资金和工程项目等方面为重大缺陷的集中爆发区。其次，从内部控制审计报告披露情况来看，2016年72.28%的上市企业披露了内控审计报告，其中，49家企业其审计意见与自身的内控评价不符。第三，从上市公司的行政处罚记录来看，2016年达到了139起，较2015年增长46.3%。2008-2016年，年平均增长率达到16.6%。实际与披露数据之间的差距表明上市企业整体管理状况与内控状况不容乐观。

二、我国上市公司内部控制存在问题与原因分析

（一）存在的问题

1.信息披露不准确。根据当前国内上市企业对内控评价与审计两项报告的实际披露情况发现，上市企业对于自评报告持有积极的披露态度，但审计报告的覆盖率不高。49家企业在内控评价与审计报告之间存在着显著差异。因为企业财务报表与内部审计两个方面的意见存在极强的关联性，所以当两种意见存在明显差异时即可确定其内控信息披露存在错误。

2.审计结论不严谨。当前针对关联交易、资金募集与资产管理等方面，仍然存在内部控制审计结论的错误判断，导致企业内控报告的公信力被严重削弱。此外，针对性质相同的一个财务事件，不同的会计事务所判断的条件和依据不同，因此审计意见的结论也不尽相同。

3.缺陷认定不恰当。首先，上市企业在对其内控情况进行披露时，某些企业会将其严重的违规行为、经营过程中的严重损失等重大缺陷列入企业内控其他重大事项中，起到掩盖问题的作用；其次，某些上市企业避重就轻，即将原本属于重要或重大内控缺陷的事件定性为一般性内控缺陷等等。调查显示，企业对于内控缺陷的整改行为需要进行加强，超过55%的重要与重大类缺陷直至报告发布时仍未得以解决。

（二）原因分析

1.内因。首先，从管理阶层控制来看，CEO权力过大，公司治理结构的设计不够科学，内部控制失效就不可避免。其次，从内部监督机制来看，监事会、独立董事、职工对企业管理层的监督不力，再加上缺乏有效的问责制度和处罚措施，内部控制成效不强。第三，从风险防范机制来看，目前仍有较多企业没有建立科学有效的风险防范机制，无法全面、及时的对风险进行识别、分析与处置，增加了企业违规的可能性。

2.外因。从证监会监管来看。目前，虽然宏观与中观的监督已经逐渐完善，但微观层面的监督体系还不够完善。此外，当前证监会针对上市企业的违规行为惩罚过轻，企业违法成本较低，对上市公司管理层的约束力和威慑性不强。从外部监督来看。政府监督和社会监督自成一体，没有形成合力，没能及时发现和报告公司内部控制问题。目前事务所受条件限制对企业内控调查不深，增加了违规及漏洞发现的难度，且存在事务所出于经济利益参与公司造假，严重影响了审计结论和披露信息的真实性。

三、基于COSO的獐子岛集团公司内部控制分析

（一）企业背景

獐子岛公司成立于1958年，2006年9月份在深圳上市。该企业不仅创造了我国上市农企首次突破百元的股价记录，还一度是我国农业化领域的重点型企业。2014年度企业第三季度的经营报告显示共亏损8.13亿，其因为是2011和2012两年撒下的扇贝等幼苗因为受异常天气的影响导致绝产。但是巨额亏损事件的出现在一定程度体现企业内部控制存在的问题。

（二）獐子岛内部控制报告的内容

1.内部控制评价结论。2014年度该企业财务报告并未存在重大缺陷，董事会表示该企业对于财务报告的内部控制满足相关规定与体系的要求。同时，企业经过专业认定后表示与报告基准日之前，企业并未于非财务性报告的内部发现明显的重大型内控缺陷。自报告基准日起至发出企业内部评价报告时期间，该企业未出现对其内控评价结果产生影响的相关因素。

2.内部控制缺陷认定。按照我国针对非财务报告制定的内控缺陷制定标准，该公司主要有以下重要缺陷：首先，决策程序的规范性差。该企业自2009年起，所有扇贝虾夷苗种的底播计划均由总裁办公室审阅批准，其后将其列入“总裁工作报告”并提交给董事会，使得董事会的正常审批权利无法有效发挥。其次，内控执行过程的有效性差。办公会议重要记录不够详尽、重大投资缺少可行性分析及全面性论证、资金使用中授权与签批程序不够规范。

（三）基于COSO五要素分析内部控制缺陷

1.控制环境恶化。2014年獐子岛在它内部控制报告中切实表明，公司已经按照要求建设和完善了治理结构和组织结构，并且决策、执行和监督机制运行有效，确保公司达成各项经管目标。但是，獐子岛政企不分，一股独大，治理结构混乱，董事、监事和经理的权利不平衡，监管不到位。2013年起，执行总裁蔡建军辞职，随后，主要高管王云、唐艳、冯玉明、冯志刚等先后调整和解职，短短4年间，换了6任CEO，主要事业部的高管走的走，散的散，企业的整个运营进入的前所未有的混乱，导致企业管理失控，连年亏损。

2.风险评估缺失。风险评估需要完善的风险预测、分析、评价与处置机制，涵盖了风险的事前、事中和事后的系统化、动态化的管理与控制。獐子岛自上市以来，海域面积及播种数量迅速增长，从2006年的65.6万亩快速上升到2013年的338万亩，巨额的投资支出，造成资金短缺，难以维持日常的经营活动。獐子岛选择的底播范围十分接近北黄海冷水团区域，但公司没有对这些经营风险进行专业评估。同时，该企业也未对深海底播与浮筏养殖等相关领域展开针对性模拟实验与论证；缺乏采购虾夷扇贝种苗的质量体系，采购的招投标也没做出任何评估和披露。

3.控制活动不力。该公司虽然有专业的内控体系，但是正常经营过程中却往往忽视内部控制，没严格的执行与监督制度，导致内部控制流于形式。在虾夷扇贝的收购播撒上，獐子岛没有对这类消耗性生物资产的质量数量实施监测，播撒种苗时也没有管理及第三方机构在场，职责缺失，管理失控，从原材料的进到产成品的出都没有一个有效的执行与监督过程，造成企业大量的非经营性损失。

4.信息沟通不畅。有效地沟通机制将促进企业运营的绩效。2014年10月的黄海“冷水团”事件后，獐子岛对投资者没有做出任何解释，内部主要管理层和业务层对事件的了解程度不一，再加上相互推脱责任，内部沟通失效，结果该事件没有得到有效控制，引起投资人的恐慌。此外，养殖海域面积的扩大、深海底播的作业等信息只掌握在少数人手里，没有采取有效的监控手段，更谈不上具体的沟通措施。

5.内部监督失效。由于养殖业的独特性，审计时工作人员无法进行下水检查，所以水产养殖的存货数量往往难以明确。内部采购与销售系统的混乱，再加上内部审计的失职，根本无法有效监督其生产和运营情况。当地的国资委对企业的监管更多的是对账面和报告的监督，根本无法了解企业真实的财务及经营状况。

四、完善上市公司内部控制机制的对策

1.组织结构与企业文化并重。上市公司应根据公司目标和影响因素合理建设组织结构，充分发挥各机构相互制约与监督的作用，以提高企业运营绩效。职权设置要明确，权责并重，尤其要注重董事会、监督会、股东大会等机构的职责与权限。做到两职分离，加大对董事会成员兼任高层的约束。上市公司应该建立严格规范的财务、人事活动的审批和公示制度，发挥内部牵制手段的作用，改革奖惩制度，降低个人决策失误给公司和投资者带来损失。

2.风险预测与风险控制并举。内控风险的评价主体是评价系统设计与应用的基础。首先，企业业务部门针对日常业务内部控制情况展开的评估，这是第一道防线。其次，内部审计机构对内控制度的确立、运行等情况展开监督与控制，纠正存在的主要缺陷和问题，这是第二道防线。第三，由企业的风险管理委员会对企业重大的生产经营项目进行论证与评价，防止决策与投资失误，这是第三道防线。此外，会计师事务所要对企业整个经营期间的内部情况、内控缺陷及整改结果、缺陷认定标准等进行审核与评价，并及时进行披露。

3.会计控制与审计监督并行。监督是内部控制的核心，其基本形式包括内部会计控制和内部审计控制。内部会计控制是内控制度的核心，主要包括明确岗位的权限和职责、不相容职务分离、事项的预算及考核、授权与审批等。内部审计控制作为内部控制的一种特殊形式，既要注重独立评价，又要注重自我监督，既要事前监督，又要事后评价。主要涵盖公司治理、风险控制、业务运营等各个方面的监督。内部监督的有效性直接关系到企业运营的绩效，因此，嵌入式、实时性的内部审计监督才能对违规、违纪行为的干预前置化，才能保证企业正常和高效地运营。

内部控制是企业为实现发展目标，保护资产安全完整，保证遵循国家法律法规，提高组织运营的效率及效果而采取的各种政策和程序的组合，是一个组织赖以生存和发展的前提和基础。企业管理方必须深刻认识到内控的重要性，通过建立基于COSO的内部监督与控制体系，实现组织的自我约束与自我完善，创造更好的企业发展条件和环境。