内部控制自我评价报告的制度演进及未来发展

（审计署审计科研所 北京100073）

内部控制评价这一概念起源于美国注册会计师协会，1929年经由联邦储备委员会审核发表的《财务报表》中首次提到：企业对内部控制系统的结果确定抽查范围，评价所在企业的内部控制有效性。最先采用内部控制自我评价的公司是加拿大的海湾石油公司，它将内部控制自我评价作为评价内部控制执行流程是否完善、效果是否明显、检验内部审计是否尽职的工具。内部控制自我评价是指企业董事会或其他权力机构对内部控制制度是否存在、设计是否合理和运行结果是否有效进行全面评价并最终形成评价结论，可以是定期或不定期的测试与分析，这是内部控制发展到一定阶段的必然需要。企业董事会或其他权力机构对评价过程的声明和评价结果的反馈就形成内部控制自我评价报告。

一、我国内部控制自我评价报告的发展

萨班斯法案发布后，世界上许多国家掀起强制性披露内控信息的热潮，此后我国也颁布一系列有关内部控制信息披露方面的规章，这其中既有证券交易所层面的相关规章，也有财政部等部委联合出台的制度。随着与国际的不断趋同，国际资本市场的监管要求促使我国企业不断完善内部控制体系。因此萨班斯法案的颁布对全球资本市场的监管都具有深远的影响。

（一）我国内部控制基本规范的发展历程

我国内部控制基本规范的发展经历四个阶段，内部控制规范经历从无到有、从粗到细、从宽到严、从简到繁的过程。具体来说，我国的内部控制规范是从上世纪90年代后期开始制定与建立，开始并没有专门的准则，而是在审计准则中加以要求，后中国人民银行、证监会、银监会等制定了针对专门行业（银行业）的内部控制规范，2006年上交所和深交所从证券交易所层面对内部控制出台具体的控制指引，为企业实施内部控制提供重要的借鉴和参考，我国内部控制体系的真正建立开始于2008年颁布的《企业内部控制基本规范》和2011年颁布的《企业内部控制配套指引》；内部控制基本规范演化的背后是内部控制要求的不断细化和明确，企业在执行内部控制过程中有更多、更加具体的指引进行参考。见表1。

（二）内部控制自我评价报告披露的有关要求

内部控制信息披露的载体包括年度报告、自我评价报告、鉴证报告等，而其中信息含量最大、格式最复杂、包含内容最多、制度要求最严的就是内部控制自我评价报告。下页表2对内部控制自我评价报告的有关披露要求进行了梳理，该表涵盖披露要求发布的时间、发布机构、规定名称、要求原则、要求内容和适用范围。

二、我国内部控制信息披露渐进式改革思路与未来发展

表1 我国内部控制基本规范的发展阶段

在发展中国家经济体制改革的过程中，有两种不同改革策略可供选择：一种是激进的，称作“休克疗法”，另一种是温和的，称作“渐进式改革”。在经济改革中，需要通过市场去发育和完善规则，而不可能完全设计好相关的规则和制度进行执行 （McMillan和Naughton，1992）。总结其他国家的既有经验和我国现有经验来看，渐进式的改革符合我国目前的国情和发展道路，首先，可以最大程度降低改革的风险，改革措施在执行过程中会面临各种不确定性，因此以小范围内进行试验的改革措施可以发现执行过程中遇到的问题，进而为扩大实施范围积累经验，避免大范围出现改革结果的不确定性；其次，从改革措施的收益来看，将局部试验与增量改革进行结合，可以提供改革收益最大化的信号；最后，渐进式改革是实现市场完善的过程，从初期制度的修订、补充到执行规则和基础环境的建设，为我国市场环境的逐步形成赢得时间和空间。

（一）明确监管机构职责权限

内部控制规范和指引是财政部、证监会、审计署、银监会和保监会五部委联合发布的，这也明确提出我国内部控制的监管是上述五部委共同的责任，同时以法律的形式确定各个部委在内控监管过程中的责任、目标和任务。证监会则是对内控自我评价报告披露的真实性和完整性进行具体监管的机构，包括对分支机构在辖区内监管工作的执行是否充分和有效执行，对监管不力、故意隐瞒违规行为披露、规避责任人逃脱处罚等行为进行监督，因此在监管机构的监督处罚过程中，应明细相关制度，减少空洞、不明确和指向不明的字眼，增加规章制度的可操作性。监督责任的落实不力是造成我国证券市场存在多年的“执法不严、违法不究”问题的根源，因此应将相关监管责任分别落实到具体部门、具体岗位、具体人员，增加壮大稽查人员队伍，提高追查跟踪效率，记录稽查工作日志，包括处理对策、过程、结果。

（二）加大违法行为的处罚力度

我国信息披露违规行为的违规成本较低，这是由于缺乏有效的信息披露违规责任的追究机制，使上市公司有理由存有侥幸心理进行博弈选择。具体来看不完备的违规责任追究机制表现在：一方面从处罚形式来看，对相关责任人的处罚缺少民事责任的界定，主要以行政处罚和刑事处罚为主，更不涉及对投资者的损失赔偿问题。虽然最高法院发布过相关司法解释，允许由虚假陈述引发的案件进入法院受理范围，但在实践过程中，从程序和实体法上进行民事赔偿案件的操作具有一定难度；另一方面从处罚力度来看，对相关责任人的处罚力度低、法律规定不明确，实际操作的可行性差。因此在处罚措施和规定完善过程中，应参考国外有关规定和原则进行丰富。例如在SOX法案中，对首席执行官和首席财务官提交承诺函时已明知违规事项，最多可处以10年监禁和百万美元罚款，对虚假承诺的故意行为，最多可处以20年监禁和五百万美元罚款……，上述规定的落实和执行肯定会提高对违规行为人的机会成本，而从我国目前的处罚力度来看显然是不够的，SOX法案中的内容值得我们学习和借鉴。

表2 内部控制自我评价报告披露的有关要求

（三）提高中介机构的独立性和监督作用

在内部控制自我评价报告披露过程中涉及的中介机构包括会计师事务所、律师事务所等，重点问题是如何确定中介机构在内控自我评价中的连带责任，落实和规避在内部控制自我评价过程中产生的风险，避免指引要求的中介机构作用流于形式。对中介机构在内部控制自我评价中的职责和进行再评价的具体要求，可以从以下四个方面完善：一是检查应用指引中风险点的范围是否得以执行和披露；二是内部控制自我评价报告的评价过程和程序是否按照指引进行；三是内部控制自我评价报告评价的范围是否健全和完备；四是培养注册会计师的专业业务能力，提高对内部控制审计的胜任能力。对中介机构的自身失职和连带失职分别按照不同的惩罚标准处以相应的职责处罚，但是从目前的情况看，不可能过多依赖中介机构的监督，因此处罚力度应始终坚持，才能体现政策效力和操作性。在上市公司内部控制信息披露过程中会受到中介机构本身效力的影响，包括国际“四大”、国内“十大”等因素，但是从整体来看选择中介机构的过程主要是自主选择。进一步完善市场和法制监管环境是提高中介机构职业能力和约束能力的重要步骤，加强会计师和律师的专业性、独立性和诚信则是实施的基础，对内部控制自我评价报告的披露具有重要影响和作用。