内部控制缺陷认定标准研究

施 赟（博士），蒋华林，徐玉琳

一、引言

内部控制缺陷认定标准的制定是判断内部控制缺陷存在性，进而评价企业内部控制有效性的关键环节。认定标准可以帮助企业追踪内部控制风险的具体路径并指明内部控制持续改进的方向，同时也有助于外部信息使用者了解内部控制缺陷信息产生的过程，引导利益相关者做出合理的判断和决策。

自2002年美国SOX 法案颁布以来，世界各国高度重视内部控制相关制度的建立和完善，我国的内部控制规范建设也取得了较大的进展。但是，国外的相关内部控制规范主要是对内部控制缺陷的概念性定义和等级分类提出要求，对于不同程度内部控制缺陷的具体认定标准并没有出台单独的评价规范。相比之下，2011年，监管规则首次强调在内部控制自我评价工作计划中制订内部控制缺陷的定量认定标准。随后，2012年财政部发文，从试点企业开始，制定适合本企业内部控制重大缺陷、重要缺陷和一般缺陷的定性和定量标准，并从2014年开始在上市公司中全面执行。当内部控制缺陷的划分标准模糊时，企业对缺陷的认定和披露有较大的选择权，鉴于内部控制缺陷的披露会向投资者传递消极的信息，部分上市公司会选择“披露好消息”“隐藏坏消息”，少报、不报，或者把原来应归为重大缺陷的问题降级为重要缺陷或一般缺陷，导致披露出来的内部控制缺陷信息缺乏可靠性。

内部控制缺陷定量认定标准的强制披露，体现了董事会及管理层对财务和非财务风险发生的可能性及其影响程度的识别和控制，为评价企业是否存在内部控制缺陷以及缺陷的严重程度提供了明确的可操作的“度量尺”。定量认定标准迫使有内部控制缺陷的企业“自揭其短”，缩小其“自由裁定”的空间，同时为外部使用者的内部控制评价提供了清晰的依据，这对突破现行内部控制规范的执行困境、提高企业内部控制信息披露质量、保障内部控制制度的有效执行发挥了积极的作用。因此，针对内部控制缺陷认定标准相关问题的探讨显得尤为迫切和重要。

本文基于我国上市公司的情景，在梳理内部控制缺陷认定标准相关制度规范的基础上，总结各阶段关于认定标准制定和披露的要点。同时，根据2009～2015年我国上市公司内部控制缺陷和认定标准的披露信息，统计分析内部控制缺陷认定标准的披露现状及其存在的问题。最后，从文献的角度梳理与内部控制缺陷认定标准相关的研究成果，并提出相关的政策建议和未来的研究展望。本文的研究丰富了关于内部控制缺陷认定标准披露现状和评价的相关文献，同时也希望对完善内部控制缺陷认定标准的制定、改进内部控制缺陷披露机制和提升内部控制缺陷监管水平提供思路与建议。

二、内部控制缺陷认定标准的相关制度规范

与内部控制缺陷认定标准相关的制度规范在2008年出台的《企业内部控制基本规范》中才被明确提出，上述规范指出：①企业应当制定内部控制缺陷认定标准。②针对发现的内部控制重大缺陷，应当明确缺陷的严重性和产生的原因，并进行修正。对缺陷的具体情况要及时向董事会、监事会或者经理层报告，并在内部控制自评报告中披露。但是，2008版的《企业内部控制基本规范》只强调了制定内部控制缺陷认定标准的必要性，并未对内部控制缺陷认定标准的相关内容做出详细规定。同时，根据2008年有关年度报告工作的通知，上市公司内部控制的工作重点在于对存在的内部控制缺陷进行评价、描述、情况说明并提出相应的整改措施。显然，企业对内部控制缺陷的认定仅提出了原则性的要求，具体操作仍停留在非量化评定标准的阶段。

2010年五部委联合发布企业内部控制配套指引，作为其中之一的《企业内部控制评价指引》对内部控制缺陷的认定与评价主要规范了以下四项基本内容：①企业内部控制缺陷按照运行和设计以及影响程度的分类和定义，规定具体的认定标准由企业自行确定；②内部控制缺陷认定的权限和程序（初步认定、编制内部控制缺陷认定汇总表、提出认定意见、报告），重大缺陷应当由董事会予以最终认定；③建立评价质量交叉复核制度；④企业对于认定的重大缺陷的应对策略及责任追究。但是，2010版的《企业内部控制评价指引》仍然侧重于定性评价，没有关于财务报告内部控制缺陷量化认定标准的规定。

2011年证监会发布《关于做好上市公司内部控制规范试点有关工作的通知》和《上市公司实施企业内部控制规范体系监管问题解答》，对财务报告内部控制和非财务报告内部控制进行了界定，首次强调在内部控制自我评价工作计划中要确定内部控制缺陷的定量和定性认定标准。2012年2月23日，财政部发布《企业内部控制规范体系实施中相关问题解释第1号》，要求试点企业从定性和定量的角度综合考虑，确定适合本企业三种缺陷的具体认定标准。根据《2012年主板上市公司分类分批实施企业内部控制规范体系的通知》的要求，上市公司对内部控制缺陷标准的具体认定在试点企业中率先实施，并于2014年逐步过渡到全面推行。2014年证监会会同财政部颁布《公开发行证券的公司信息披露编报规则第21 号——年度内部控制评价报告的一般规定》，要求区分财务报告和非财务报告内部控制，分别披露重大缺陷、重要缺陷和一般缺陷的认定标准，以及认定结果和缺陷的性质、影响、整改情况、整改计划等内容。至此，财务和非财务报告的内部控制缺陷量化认定标准才得以普遍推行。

三、财务报告内部控制缺陷认定标准披露现状

1.基于认定标准、内部控制缺陷和内外部评价的对比。内部控制缺陷披露规则的变迁过程表明，内部控制缺陷定量认定标准直到2011年才部分地被要求披露和执行。作为内部控制监督和评价的标准，上市公司内部控制自评报告以及审计师的内部控制鉴证报告均应以其制定的内部控制缺陷认定标准为依据。本文将2009～2015年我国A 股上市公司披露的财务报告内部控制缺陷认定标准、内部控制缺陷和内部控制的内外部评价等进行了对比分析，如表1～表3所示，结果表明：

（1）如表1Panel A 所示，2011年以前，在内部控制缺陷认定标准没有出台具体披露规范的阶段，没有上市公司主动披露其内部控制缺陷的认定方法。2011～2015年，随着相关政策法规的推进，上市公司对财务报告内部控制缺陷认定标准的描述和三种缺陷类型的划分日趋具体和详尽，认定标准的披露质量逐步提高。尤其自2013年开始，与2012年度相比，内部控制缺陷定量认定标准披露比例有了大幅度增加。截止到2015年12月31日，2808家A股上市公司中，有2664家披露了内部控制自评报告，其中201家公司未披露内部控制缺陷认定标准，占7.5%；53 家仅披露内部控制缺陷定性标准，占2%；2410 家披露了完整清晰的财务报告内部控制缺陷定性及定量认定标准，占90.5%。

（2）如表1Panel B 所示，2009～2015年，上市公司中披露存在内部控制缺陷的公司平均占比为16.2%，披露有财务报告内部控制缺陷的占比为4.4%。在披露财务报告内部控制缺陷的公司中，约40%的公司没有披露详细的内部控制缺陷定量标准。出具内部控制整体或财务报告内部控制无效结论的公司中，部分没有披露详细的内部控制缺陷定量标准。上述对比分析说明，部分公司在内部控制缺陷的认定和内部控制有效性的判断中并没有依据明确的内部控制缺陷定量标准。

（3）内部控制自我评价与审计师内部控制鉴证报告评价存在差异，反映出双方的评价标准存在不一致。2009～2015年审计师出具内部控制审计（鉴证）报告的数量呈上升趋势，其中，标准无保留意见的比例维持在97%以上，非标准审计意见占比较低，具体如表2、表3所示。

一方面，内部控制自评整体或部分无效上市公司数（7年共103家）远低于审计师出具非标准审计意见的上市公司数（7年共273家）；另一方面，审计师出具非标准内部控制审计意见的公司与其内部控制自评结论也存在差异。2009～2015年273 家出具非标准内部控制审计意见的上市公司中只有70 家内部控制自评整体或部分无效。自评报告与非标准内部控制审计意见对缺陷认定存在的差异主要包括：两份报告对内部控制缺陷的描述不一致、内部控制审计报告发现公司未披露的内部控制问题、公司和审计师认定的缺陷类型不同等。同时，据统计，内部控制自评报告整体或部分无效但未出具非标准内部控制审计意见的公司有34家，主要是因为上市公司未披露内部控制审计报告、上市公司存在非财务报告内部控制重大缺陷以及上市公司存在的财务报告重大缺陷已经整改。

表2 审计师内部控制审计（鉴证）报告意见汇总

表3 内部控制非标准审计意见与其内部控制自评结论的比较

2.财务报告内部控制缺陷定量认定标准的设定情况。为进一步考察上市公司财务报告内部控制缺陷定量标准的设定情况，本文对样本公司定量标准的使用比例和内部控制缺陷重要性水平标准的设定方式进行了统计分析。定量标准是指根据内部控制缺陷造成财务错报的“重要性”和“可能性”的大小进行缺陷严重程度的量化界定。从上市公司内部控制缺陷重要性水平的设定方式上来看，定量标准大体可以分为以下三类：

（1）基准指标百分比法。这类方法在上市公司中使用得最为普遍，通常的做法是将利润、经营收入、总资产等财务指标中的一个或几个作为基准指标，同时设定基准指标的一定百分比来确定重要性水平，然后根据内部控制缺陷导致的财务报告错报、漏报或损失金额与重要性水平之间的关系来划分缺陷等级。如中粮地产（000031）2013年的财务报告内部控制缺陷认定标准设定为：会计信息错报与漏报的金额达到年度合并财务报表税前利润的5%时确认为重大缺陷；小于年度合并财务报表税前利润的5%，大于等于3.75%时认定为重要缺陷；小于3.75%时认定为一般缺陷。

据统计，上市公司使用基准指标百分比法时采用的财务指标按其性质和内容可大致划分为八大类，分别是利润类（如利润总额、净利润、毛利、营业利润等）、收入类（如经营收入、主营业务收入、收入总额）、资产类（总资产）、所有者权益类（所有者权益）、负债类（总负债）、成本费用类（如费用、成本、主营业务成本）、现金流量类（如经营活动净现金流量、经营活动现金流入、现金流量总额）和其他类（损失等）。据笔者统计，2011～2015年上市公司八大类财务指标的使用情况中，利润类、收入类、资产类和权益类指标5年的平均使用比例分别达到62.8%、57.4%、63.2%和25.5%，是上市公司进行财务报告内部控制缺陷评价最常用的指标，负债类、成本费用类、现金流量类和其他类的使用频率较低（上市公司在选择财务指标类别时，存在选择一个或多个指标的情形；占比是指每类财务指标的使用频数除以披露内部控制缺陷定量标准的公司数）。另外，从各年的变化趋势来看，上市公司对财务指标的设定也逐步从单一指标转变为多重指标，指标的覆盖面有所增加。各类指标百分比的阈值设置显示：在重大缺陷方面，利润类、收入类、资产类和权益类指标的阈值众数分别为5%、1%、1%和1%；在重要缺陷方面，利润类、收入类、资产类和权益类指标的阈值众数分别为3%、0.5%、0.5%和0.5%。

（2）绝对金额法。这类方法通常是为重大缺陷、重要缺陷和一般缺陷设置具体的金额临界值。比如，海南高速（000886）2012年的财务报告内部控制缺陷认定标准设定为：当公司合并报表的错报大于等于净资产总额500 万元，直接财产损失金额大于等于100万元时，认定为重大缺陷；当公司合并报表的错报大于等于净资产总额200万元且小于500万元，直接财产损失金额大于等于50 万元且小于100 万元时，认定为重要缺陷；净资产总额小于200万元，直接财产损失金额小于50万元的错报认定为一般缺陷。

（3）同时使用百分比法和绝对金额法。比如，南玻A（000012）2015年的财务报告内部控制缺陷认定标准设定为：按合并报表口径，错报影响净利润的金额大于等于净利润的3%且绝对金额不低于3000 万元、错报影响资产负债的金额大于等于资产的1%的，认定为重大缺陷；错报影响净利润的金额大于等于净利润的2%且绝对金额不低于2000 万元、错报影响资产负债的金额大于等于资产的0.5%但小于1%的，认定为重要缺陷；其他的认定为一般缺陷。

3.财务报告内部控制缺陷认定和缺陷披露中存在的问题。从上市公司内部控制缺陷认定标准的制定和内部控制缺陷的披露现状来看，近年来在监管规范的不断完善和监管机构的不断推动下，上市公司对内部控制的认识更趋理性和客观，内部控制信息披露的数量和质量呈现逐年稳步提升的趋势。但不可否认，上市公司在财务报告内部控制缺陷认定和缺陷披露中依然存在一些不可忽视的问题。

（1）财务报告内部控制缺陷定量认定标准的设定缺乏严谨性和可比性。如内部控制缺陷重要性水平在公司间的差异较大，且选择的对照期并不统一，运用百分比指标和绝对数指标相结合的公司经换算后两类指标的数值无法对应。从定性认定标准的设定来看，则存在三种缺陷的分级标准照搬定义、缺陷事件描述含糊、缺陷的认定依据不统一等问题。

（2）内部控制缺陷信息披露不完整，总体内部控制重大缺陷披露数量不足。例如，与国外上市公司披露内部控制重大缺陷的统计结果相比，2008年美国公司披露内部控制重大缺陷的比例为16.9%，日本公司为2.1%，而我国上市公司内部控制重大缺陷的披露比例在2009～2015年平均不到1%。部分上市公司披露的内部控制缺陷信息模糊、可读性差；或是只笼统地指出存在内部控制缺陷，但对缺陷等级避而不谈，对明显应当被确认的重大缺陷降级处理；部分公司在披露内部控制缺陷时，仅仅侧重于披露缺陷事件本身，对导致缺陷的原因、缺陷严重程度的分级以及未来的整改计划等关键问题则没有详细提及。

四、内部控制缺陷认定标准的国内研究现状

近年来，在国内相关制度规范的推动下，中国情景下有关内部控制缺陷认定标准的相关研究成为热点。部分学者统计分析了我国内部控制缺陷认定标准的披露情况，发现我国上市公司内部控制缺陷认定标准的披露比例和披露质量较低[1]，公司自行披露的内部控制缺陷定量标准差异较大[2]，内部控制缺陷认定标准的制定具有一定的行业特征，且认定标准变更后趋向于使用更低的比率阈值[3]。

在实证研究方面，较多文献聚焦于分析内部控制缺陷认定标准异质性的影响因素。从董事会的职能履行来看，良好的董事会治理可有效提高内部控制缺陷定量认定标准。即董事会监督职能越强，企业制定的财务报告内部控制缺陷定量认定标准越严格；董事会的咨询职能在后续采用定量标准的样本中作用明显[4]。此外，认定标准制定和变更也会受到管理层私利动机的负面影响。在管理层机会主义的动机下，管理层的盈余管理程度会负向影响内部控制缺陷认定标准的透明度[5]。管理层权力越大，内部控制缺陷认定标准的披露质量越低[6]。在管理层卸责动机下，新任管理层在首个完整任职年份将内部控制缺陷定量标准调整得更加宽松，进而实现降低内部控制缺陷严重程度的目的[7]。

从外部约束机制来看，尹律等[8]对内部控制缺陷认定标准的披露质量进行了分析，发现产品市场竞争对提升内部控制缺陷认定标准的披露质量有积极作用；且环境敏感性越高，上述正相关关系越强。杨婧、郑石桥[9]从行业性质的角度展开研究，发现不同行业门类间的上市公司内部控制缺陷认定标准具有异质性，竞争程度越高的行业，内部控制缺陷认定标准越严格。

从经济后果来看，谢凡等[10]发现内部控制缺陷定量认定标准制定越严格，越能降低股东和管理层之间的代理成本。同时，高质量的外部审计和更高的市场化进程与严格的认定标准之间存在互补作用。张俊民等[11]以信号传递理论为依托，考察了认定标准与审计定价的关系，发现认定标准的宽严程度与内部控制审计定价显著正相关，但与反映内部控制审计投入的审计延迟的关系则不明显。他们进一步对定量标准的指标设置类型进行细分，发现与资产类、利润类和收入类认定标准相比，审计师对严格的权益类认定标准会更为敏感。

从上述研究结论可知，内部控制认定标准的披露质量和指标设置重要性水平的高低受内部公司治理机制和外部约束机制的共同影响。而认定标准由谁制定、参照标准如何、由谁执行，以及对认定标准的实施效果等的研究，仍然值得学者继续深入探讨。

五、政策建议与研究展望

1.政策建议。如前所述，本文提出如下建议：

（1）增强同行业、同规模企业财务报告内部控制缺陷认定标准的可比性。目前，我国上市公司在内部控制缺陷严重程度判断中具有自由裁量权。企业自行确定认定标准可能具有随意性，使得公司间的认定标准不可比，导致类似缺陷在某些公司中被认定为重大缺陷，而在另一些公司中被认定为重要缺陷，甚至是一般缺陷。本文认为，为了使目前执行的定量标准更具说服力和科学性，相关规定可以进一步要求企业内部控制评价人员对量化的依据和缺陷评价的结论予以详细说明。此外，提高内部控制缺陷定量认定标准在公司间的可比性，如在同行业、同规模的企业中设置类似的重要性水平，统一定量标准的指标选择和基期设定，减少企业操纵定量标准的空间，这是内部控制监管需进一步考虑的问题。

（2）建立隐瞒内部控制缺陷的处罚机制。新制度经济学指出，推动制度有效执行的背后需要相应的惩罚机制支撑。目前我国尚未建立隐瞒内部控制缺陷的惩罚机制，而且我国经理人市场还相当不成熟，经理人的声誉机制尚未建立，这都导致了我国上市公司的管理层有动机隐藏缺陷[1]。因此，建立相应的隐藏内部控制缺陷的惩罚机制，要求管理层严格按照董事会制定的内部控制缺陷认定标准对可能存在的内部控制缺陷进行识别、认定并及时披露，十分必要。一旦上市公司未按规定评价内部控制、隐藏内部控制缺陷信息时，就应当追究董事会和高管等相关负责人的责任，制定严厉的惩罚措施。

（3）促进企业和审计师采用统一的内部控制缺陷认定标准。目前，《企业内部控制审计指引》第22条规定了审计师判定企业内部控制可能存在重大缺陷的四种迹象。实务中，我国《注册会计师审计准则第1221号——计划和执行审计工作时的重要性》对重要性也提出了量化的参考标准：如对以营利为目的的企业，重要性量化参考标准为经营性业务的税前利润或税后净利润的5%，或总收入的0.5%；对非营利组织，为费用总额或总收入的0.5%。当企业和审计师采用的内部控制缺陷认定标准不同时，很可能导致评价结果和信息披露不一致，投资者在解读信息时容易产生误解。因此，相关规范应当促使企业和审计师采用同样的认定标准，提高内部控制自评报告和内部控制审计（鉴证）报告信息的可比性。

2.研究展望。未来，针对内部控制缺陷认定标准的研究仍有广泛的空间，本文认为：

（1）财务报告内部控制缺陷定量认定标准的研究值得深入扩展。现有的研究主要集中在内部控制缺陷认定标准异质性的影响因素分析上。认定标准异质性可能产生的经济后果（如更严格的定量认定标准，或是更高的认定标准披露质量）是否有助于提高会计信息质量、降低管理层在职消费等？对经济后果的拓展有助于进一步形成对定量认定标准更为完整的综合评价。此外，针对财务报告内部控制重要缺陷和一般缺陷定量认定标准的研究也值得关注。

（2）应当重视非财务报告内部控制缺陷的认定问题。与美国关注财务报告内部控制制度不同，我国的内部控制制度对财务和非财务报告的内部控制进行了划分。根据本文对上市公司披露的内部控制自评报告的查阅情况来看，仅有部分公司同时披露了非财务报告内部控制缺陷的定量和定性认定标准，大部分公司仍以定性描述为主。现有研究指出，非财务报告内部控制缺陷的认定是一项重大的挑战，但是投资者未来对非财务信息的关注会日益增加。因此，未来可以系统地研究制定非财务报告内部控制缺陷认定标准的影响因素和经济后果。

（3）关注政府内部控制标准体系的构建和实施问题。2012年以来，一系列针对建立健全行政事业单位内部控制的相关制度规范陆续出台，建立一套符合我国国情的政府内部控制标准体系及其实施机制，对于在国家治理机制中形成与激励体系相呼应的制衡约束机制、规范政府内部的权力运行并提高治理水平，具有重要的意义。