内部控制审计意见与重大缺陷迹象匹配程度分析

董卉娜 朱志雄

一、引言

《企业内部控制基本规范》和《企业内部控制配套指引》的颁布，标志着我国内部控制规范体系的建立。内部控制规范体系不仅指导了上市公司内部控制的应用和评价，也将内部控制强制审计推进公众视野。《企业内部控制审计指引》规定，为了保证董事会或类似权利机构对内部控制有效性的评价是真实、客观的，注册会计师需对企业内部控制有效性发表审计意见，出具审计报告。诸多研究表明，审计意见具有信息含量，能够为信息使用者提供重要的参考，所以，注册会计师遵循内部控制规范体系及相关执业准则，出具恰当意见的内部控制审计报告对信息使用者尤为重要。

《企业内部控制审计指引》自2012年起在沪深两市主板上市公司分类分批实施。从财政部发布的内部控制规范体系执行情况的相关报告来看，上市公司被出具非标准无保留意见的内部控制审计报告比例始终较低。该比例较低的原因，可能在于内部控制体系质量较好，注册会计师无需出具非标准无保留内部控制审计意见，也可能在于，注册会计师刻意回避出具非标准无保留意见内部控制审计报告。若是前一种原因，则说明我国内部控制规范体系执行效果良好，内部控制质量整体提升，内部控制审计报告总体可靠；若是后一种原因，则说明我国内部控制审计意见的恰当性受到质疑，内部控制审计未能充分发挥其外部监督效应。那么，究竟我国内部控制审计意见的恰当性如何，内部控制审计作用发挥得如何，目前很少有文献进行实证分析，尚未形成明确研究结论。鉴于此，本文以2012-2016年纳入内部控制规范体系实施范围的主板A股上市公司为研究样本，对比样本公司的内部控制重大缺陷迹象与注册会计师出具的内部控制审计意见类型，分析我国内部控制审计意见的恰当性及《企业内部控制审计指引》的执行效果。本文研究成果能够为监管机构、会计师事务所和上市公司内部控制实践提供有益参考。

二、文献回顾

SOX法案实施后，部分研究表明，内部控制审计能够发挥积极的监督效应。Elder 等（2009）研究发现存在内部控制缺陷的公司更可能被出具非标准审计意见。Bedard& Graham（2011）研究发现，审计师能够发现四分之三的内部控制缺陷，而且这些缺陷都比较严重且影响范围较大，客户通常会低估内部控制的严重性，但是审计师往往会推翻客户低估的缺陷类型。Kinney &Shepardson（2011）研究发现，小规模公司初次执行SOX法案404（b）条款，内部控制实质性缺陷披露比例显著提升，而且大约有30%至80%内部控制无效的小规模公司会被审计师识别出来。Lu 等（2011）研究发现，如果没有审计师内部控制测试，很多内部控制重大缺陷会被隐藏。Wu & Tuttle（2014）研究发现，内部控制审计能够促使管理层提升内部控制信息披露的准确度，如果管理层没有正确披露内部控制信息，外部审计师可能会出具非标准意见的内部控制审计报告。Ge 等（2017）研究指出，对小规模公司豁免执行SOX 404（b）条款，会导致公司内部控制错报（即公司内部控制是无效的但是却错误地报告为公司内部控制是有效的），豁免公司中存在内部控制错报的公司占9.3%，当豁免的公司变为非豁免公司，经过内部控制审计后，内部控制错报公司比例降至5.8%。

但是，也有研究认为，内部控制审计对内部控制缺陷识别和发现是不充分的。Rice & Weber（2012）和Rice et al.（2015）以发生财务重述的公司为样本，研究发现，这些财务重述的公司只有少部分公司在重述前内部控制审计报告披露内部控制缺陷，有一些公司在发布重述公告后才承认公司存在内部控制缺陷。Newton等（2016）采用Lennox（2000）的模型研究了公司内部控制审计意见购买行为，结果表明，由于披露内部控制缺陷的成本高于相应收益，客户有动机去影响审计师内部控制审计程序，从而实现成功购买到标准内部控制审计意见的目的。

在内部控制审计强制实施之前，我国很多上市公司进行了内部控制鉴证业务，相关研究表明，内部控制鉴证能够显著提高公司的盈利质量，相对于未披露内部控制鉴证报告的公司，披露内部控制鉴证报告的公司盈余管理程度更低（张龙平，2010；方红星等，2011；程小可等，2013）。内部控制审计强制实施之后，雷英等（2013）研究发现，披露内部控制审计报告公司的会计盈余质量要高于未披露内部控制审计报告的公司，首次披露内部控制审计报告的上市公司盈余质量显著高于上一年度，即内部控制审计能够提高公司会计盈余质量。许骞等（2014）研究发现，强制内部控制审计有效减少了应计盈余管理和真实活动盈余管理。郑伟等（2015）研究发现，内部控制审计能够降低上市公司发生财务重述的可能性，注册会计师为公司提供内部控制审计服务有助于提高其财务报表审计质量。在内部控制审计意见方面，张继勋等（2011）、张继勋和何亚南（2013）通过实验研究发现，不同审计意见类型影响了投资者对重大错报风险的感知及其投资可能性。吴溪等（2016）研究发现，我国股票市场投资者对“非清洁”内部控制审计意见的反应尚不充分。

表1 样本公司筛选过程及各年度分布状况

表2 样本公司内部控制审计意见总体状况

表3 样本公司内部控制重大缺陷迹象分布状况

综上所述，国外已有文献在检验内部控制审计有效性时主要关注了注册会计师出具的内部控制审计报告对公司内部控制缺陷的揭示问题，直接体现了内部控制审计报告的可靠程度。而我国现有文献在检验内部控制审计有效性时，更多地去关注内部控制审计对财务报表质量的作用，很少有文献直接关注内部控制审计意见出具的恰当性问题，审计意见的恰当性是内部控制审计有效性的最直接和最根本的体现。

三、样本选择及内部控制重大缺陷迹象认定

（一）样本选择

根据财政部等规定，自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司开始分类分批实施《企业内部控制基本规范》和《企业内部控制配套指引》。为体现内部控制规范体系的实施效果，本文选择2012-2016纳入内部控制规范体系实施范围的主板A股上市公司作为研究样本，并按照以下程序进行筛选：（1）剔除金融类公司；（2）剔除上市不足两年的公司；（3）剔除报告期末未同时披露内部控制评价报告和内部控制审计报告的公司；（4）剔除因豁免被合并公司内部控制评价而被出具带强调事项段无保留意见内部控制审计报告的公司；（5）剔除被出具无法表示意见内部控制审计报告的公司。经过上述处理，本文最终得到5547个观测值（见表1）。

（二）内部控制重大缺陷迹象认定

内部控制缺陷迹象的判断，本文主要借鉴《企业内部控制规范讲解2010》列示的内部控制重大缺陷的迹象，以及近年来研究文献（李万福等，2011；周守华等，2013；方红星等，2015）广泛采纳的迹象。这些迹象有的能够通过公开信息明确观察到，有的不能明确观察，考虑获取途径的可行性，本文将能够从合理途径明确观察到的迹象作为内部控制重大缺陷迹象，主要有四个方面：其一，年度财务报告被出具非标准无保留审计意见；其二，已公布的财务报告被更正或被发现存在重大会计差错；其三，公司重要业务缺乏内部控制或内部控制失效；其四，报告期存在比较严重的违法违规事项。若存在上述迹象之一，则认定公司存在内部控制重大缺陷迹象，若上述迹象都不存在，则认定公司不存在内部控制重大缺陷迹象。样本公司的上述缺陷迹象主要根据迪博（DIB）数据库中的外部审计库、财务重述库和CSMAR数据库中的违规信息总表和明细表等相关数据整理所得。

表4 内部控制审计意见与内部控制重大缺陷迹象对比分析

表5 内部控制审计意见与重大缺陷迹象的相关性

表6 存在和不存在重大缺陷迹象公司内部控制审计意见比较

四、内部控制审计意见与内部控制重大缺陷迹象总体匹配程度分析

表2列示了样本公司内部控制审计意见的总体状况。5547家样本公司，被出具标准无保留意见内部控制审计报告的公司5307家，占样本公司95.7%；被出具非标准无保留意见内部控制审计报告的公司240家，占比为4.3%。非标准无保留意见中，被出具带强调事项段无保留意见内部控制审计报告的公司176家，占总样本公司3.2%；被出具否定意见内部控制审计报告的公司五年累计为64家，仅占总样本公司1.1%。

表3列示了样本公司内部控制缺陷迹象分布状况。从表3看，存在内部控制重大缺陷迹象的公司有972家，占总样本公司的17.5%。四种缺陷迹象中，已公告财务报告被更正或被发现存在重大会计差错的公司最多，占有缺陷迹象样本公司的47.2%。位居第二位的缺陷迹象是公司重要业务缺乏内部控制或内部控制失效，占比为41.9%，此类迹象可以分为三类：（1）重要业务决策机制方面缺乏内部控制或内部控制失控，主要指公司重大关联方交易、非经营性资金占用、对外担保、对外投资等事项方面没有明确的决策机制，或者虽然制定了决策机制但是没有得到有效执行；（2）重要业务信息与沟通方面缺乏内部控制或内部控制失控，主要指公司在重大信息内部报告、内幕信息登记、重要事项（如关联交易、堤外担保、对外投资等）披露等方面没有控制制度，或者控制制度没有得到有效执行；（3）其他方面缺乏内部控制或内部控制失控，主要包括对子公司缺乏内部控制或内部控制失效、审计委员会或内部审计对内部控制监督失效、公司在存货管理、采购业务、合同管理等业务方面缺乏内部控制或内部控制失效。位居第三位的缺陷迹象是公司年度财务报告被出具非标准无保留审计意见，共计259家，占比为26.6%。位居第四位的缺陷迹象是公司存在被监管机构警告、罚款、没收违法所得等较严重的违法违规事项，共计141家，占比为14.5%。这些被处罚的事项主要指公司在信息披露、内幕交易、环境保护、安全生产、产品质量等方面有较严重的违法违规行为。

表7 存在重大缺陷迹象公司的内部控制审计意见分析

表4对比了样本公司内部控制审计意见与内部控制重大缺陷迹象。根据表4，内部控制为标准无保留审计意见的5307家公司中，有802家公司存在内部控制重大缺陷迹象；内部控制为带强调事项段无保留审计意见的176家公司中，有115家公司存在内部控制重大缺陷迹象。排除上述两种情形，可以合理推断，大约83.4%的样本公司内部控制审计意见与其内部控制实际状况是匹配的。

为进一步说明上市公司内部控制审计意见的总体可靠性，本文检验内部控制审计意见与内部控制重大缺陷迹象之间的相关性。将内部控制审计意见分为是否非标准无保留审计意见和是否否定意见两类分别检验，被出具非标准无保留审计意见或否定意见取1，否则取0；内部控制重大缺陷迹象方面，报告年度存在重大缺陷迹象赋值为1，未发现重大缺陷迹象为0。利用STATA软件分别进行检验后，结果如表5。从表5可知，样本公司内部控制非标准审计意见和否定审计意见与内部控制缺陷迹象的相关系数均显著为正。

表6进一步分析存在重大缺陷迹象和不存在重大缺陷迹象两组样本内部控制审计意见的均值与中位数差异。结果显示，无论被出具非标准无保留审计意见，还是被出具否定意见，存在重大缺陷迹象的样本公司的均值和中位数都显著高于不存在缺陷迹象的样本公司。表6进一步说明，整体来看，样本公司的内部控制审计意见能够反映内部控制的总体状况。

五、存在重大缺陷迹象公司的内部控制审计意见分析

虽然表5和表6表明，总体来看样本公司内部控制审计意见与内部控制缺陷迹象是匹配的，主要原因在于，内部控制规范体系实施以来，经过多年内部控制体系的建设和完善，样本公司内部控制质量总体较高，存在内部控制重大缺陷迹象的公司相对较少，因此，总体较高的内部控制质量对应了总体较多的标准无保留意见内部控制审计报告。但是，从表4同样可以看出，一些存在重大缺陷迹象的公司并没有被出具恰当的内部控制审计意见，对于此类公司，注册会计师存在明显规避非标准意见内部控制审计报告的倾向。为此，本文进一步分析了存在重大缺陷迹象公司的内部控制审计意见类型（见表7）。

财务报告被出具非标准无保留审计意见，不仅说明公司财务报告质量有问题，通常也表明公司财务报告内部控制存在重大缺陷。根据表7，财务报告被出具非标准无保留审计意见的259家公司，16%的公司被出具了否定意见内部控制审计报告，31%的公司被出具了带强调事项段的内部控制审计意见，而53%的公司被出具了标准无保留内部控制审计意见。进一步，相比带强调事项段无保留意见，财务报告被出具保留、否定、无法表示意见，通常意味着公司财务报告内部控制缺陷更加严重。根据表7，财务报告被出具保留、否定或无法表示意见的51家公司中，审计师出具否定意见内部控制审计报告的公司有29家，占比为57%，有13家公司被出具标准无保留意见内部控制审计报告。

与财务报告被出具非标准无保留审计意见类似，如果报告年度公布的财务报告在以后期间被更正或者被监管机构检查发现存在重大会计差错，也说明公司财务报告内部控制存在重大缺陷。但是根据表7，财务报告被更正或被检查存在重大会计差错的459家公司中，审计师在报告年度出具否定意见内部控制审计报告的仅有22家，占比不足5%，出具带强调事项段无保留意见内部控制审计报告的有33家，占比为7%，其余88%的公司，审计师为其出具了标准无保留意见内部控制审计报告。

对比上述两类缺陷迹象公司，同为财务报告存在严重问题，由于财务报告更正或被发现存在重大会计差错具有一定滞后性，并不能在报告期内立即表现出来，而财务报告非标准无保留审计意见在报告年度结束后立即可以表现出来，因此，两者相比，财务报告更正或被发现存在重大会计差错公司，在报告年度被出具非标准无保留内部控制审计意见的比例远远低于报告年度财务报告被出具非标准无保留审计意见的公司。

与前两种缺陷迹象相比，重要业务缺乏内部控制或内部控制失效、报告年度存在较严重违法违规事项两类迹象还体现出了非财务报告内部控制重大缺陷，不仅仅是财务报告内部控制重大缺陷。根据表7，存在重要业务缺乏内部控制或内部控制失效缺陷迹象的公司，审计师为其出具非标准无保留内部控制审计意见的比例也较低，其中否定意见的比例仅为7%，带强调事项段无保留意见的比例为9%，其余84%的公司都被出具了标准无保留内部控制审计意见。报告期存在较严重违法违规事项的公司中，审计师出具非标准无保留内部控制审计意见的比例为26%，其中，否定内部控制审计意见比例为13%。

根据表7，2012-2016年间仅存在一种重大缺陷迹象的733家公司中，被出具非标准内部控制审计意见的公司只有93家，其中否定内部控制审计意见的公司仅21家，占比不足3%。随着重大缺陷迹象的增加，被出具非标准内部控制审计意见的数目和占比有所上升，但是审计师对重大缺陷的认定还是很不充分。同时存在两种缺陷迹象的公司，审计师认定内部控制重大缺陷出具否定意见的比例不足10%。同时存在三种缺陷迹象的公司，审计师认定重大缺陷出具否定意见的比例认定不足30%，还有48%的此类公司被出具了标准无保留意见内部控制审计报告。同时存在四种重大缺陷迹象的8家公司中，还有2家公司未被出具否定内部控制审计意见。

表4对比了样本公司内部控制审计意见与内部控制重大缺陷迹象。根据表4，内部控制为标准无保留审计意见的5307家公司中，有802家公司存在内部控制重大缺陷迹象；内部控制为带强调事项段无保留审计意见的176家公司中，有115家公司存在内部控制重大缺陷迹象。排除上述两种情形，可以合理推断，大约83.4%的样本公司内部控制审计意见与其内部控制实际状况是匹配的。

六、研究结论

（一）非标准无保留意见的内部控制审计报告数量明显偏低

《企业内部控制审计指引》规定，如果财务报告内部控制存在一项或多项重大缺陷，除非审计范围受到限制，注册会计师应当对财务报告内部控制发表否定意见；如果财务报告内部控制虽不存在重大缺陷，但仍有一项或者多项重大事项需要提请内部控制审计报告使用者注意的，应当在内部控制审计报告中增加强调事项段予以说明；注册会计师在审计过程中注意到的非财务报告内部控制重大缺陷，应当在内部控制审计报告中增加描述段进行披露。根据上述要求，如果公司内部控制存在重大缺陷或需要说明的重大事项，注册会计师应该出具非标准无保留意见的内部控制审计报告，不应该出具标准无保留意见的内部控制审计报告。然而，结合前文分析可知，2012 -2016年，样本公司中存在内部控制重大缺陷迹象的公司占17.5%，但是被出具非标准无保留内部控制审计意见的仅占4.32%。排除带强调事项段的内部控制审计报告，否定意见的比例更低，仅为1.1%，比较各年度，比例最高的2014年，否定意见也仅占1.5%，即总体看来，各年度存在内部控制重大缺陷的公司是被出具否定内部控制审计报告公司的16-17倍。

《企业内部控制审计指引》要求注册会计师应重点关注财务报告内部控制重大缺陷。考虑到这一点，排除重要业务缺乏内部控制或内部控制失效、报告年度存在较严重违法违规事项两类迹象，存在财务报告更正或财务报告被出具非标准无保留审计意见的公司有669家，按照规定，这669家公司在报告年度都应被出具否定意见的内部控制审计报告，但是这些公司被出具否定意见内部控制报告的公司仅49家，占比7.3%。在这两类迹象公司中，有101家公司用带强调事项段的内部控制审计报告替代了否定意见审计报告，且这些强调事项段多强调了公司的持续经营性、被证监会立案调查情况、公司主业停产等问题，涉及到内部控制缺陷的描述非常少。更有甚者，同时存在财务报告直接相关两种缺陷迹象的公司共49家，也只有15家公司被出具了否定意见的内部控制审计报告，比例不足三分之一，还有23家此类公司收到了标准无保留内部控制审计意见。

此外，本文所述四种内部控制重大缺陷迹象中，除了财务报告被出具非标准无保留审计意见外，其他三类缺陷迹象都具有明显的滞后性。一般看来，如果缺陷存在期间注册会计师没有出具非标准内部控制审计报告，那么内部控制缺陷迹象被公布于众，迫于外界压力，在缺陷迹象公告期间，注册会计师应该有意愿出具非标准无保留意见内部控制审计报告。但是，根据统计，诸多存在重大缺陷迹象的公司在财务报告更正或被发现存在会计差错、监管机构检查发现公司重要业务内部控制缺失或失效，或者检查发现公司存在较严重违法违规事项的公告年度，依然被出具了标准无保留内部控制审计报告，而非否定意见的内部控制审计报告。

（二）强制内部控制审计未能充分发挥外部监督效应

自SOX法案颁布以来，许多国家都要求进行内部控制审计，我国2012年开始强制实施的内部控制审计顺应国际发展趋势，目的在于充分发挥外部审计的监督效应，提升上市公司信息披露质量。注册会计师充分发挥其外部监督效应的作用途径在于，其遵循内部控制制度规范体系及相关执业准则，在审计过程中做到客观、公正、独立，保持专业胜任能力和职业怀疑态度，合理安排控制测试程序，充分收集审计证据，发表恰当的内部控制审计意见。然而，从近几年内部控制审计意见类型来看，内部控制审计的外部监督效应并未得到充分发挥。

尽管从样本公司整体来看，内部控制审计意见与公司内部控制实际表现总体是匹配的，但是这种匹配其主要原因在于，随着企业内部控制规范体系的强制实施，纳入实施范围的公司内部控制质量逐渐提高，存在明显内部控制重大缺陷公司的数量并不多，无重大缺陷迹象公司和被出具标准无保留内部控制审计意见的公司高度匹配，从而呈现整体的匹配性。当进一步将存在内部控制重大缺陷迹象公司作为一个子样本进行分析，可以发现很多公司内部控制审计流于形式，许多非常明显的缺陷迹象都没有影响审计师出具标准无保留意见内部控制审计报告的倾向。这其中，虽然不乏有上市公司缺陷隐藏非常严密，审计固有限制导致审计师未能识别出公司内部控制重大缺陷，但是，还有原因可能在于，内部控制审计并未注重执行充分的审计程序去测试内部控制防范事故或损失发生的有效性，或者审计师发现了内部控制存在缺陷，但并未深入地开展评估以判断这些缺陷是否构成重大缺陷，抑或是审计师发现了内部控制缺陷，也意识到缺陷的严重程度，但是存在避重就轻，刻意调节和出具较好审计意见的倾向，甚至与上市公司合谋共同隐藏内部控制重大缺陷。