2017年度上市公司内部控制审计报告非标意见研究

林 岚

内部控制审计是当代审计发展的一个新领域，2010年4月财政部等五部委联合发布《企业内部控制配套指引》，内部控制审计制度开始在我国正式建立并得到强化。审计报告的概念由传统的单一的财务报表审计报告，扩展成为财务报表审计报告和内部控制审计报告并存，增加了公司的审计成本，但是却提高了公司信息透明度与信息可靠性，有利于信息使用者判断信息，做出决策。

本文试图通过对2017年上市公司的非标报告进行细致的分析，希望通过这些报告的内容挖掘出对今后企业自身管理水平的提高、会计师事务所内部控制审计质量提高以及相关法规的完善有价值的信息。

一、非标准内部控制审计报告反映出的现状

（一）研究方法和样本选取

1.研究方法

本文研究的是2017年的96份上市公司非标准内控审计报告，由于样本量相对较小，本文运用描述性统计分析的方法，对2017年上市公司被出具的非标准内部控制审计报告从报告的规范性和报告的内容两方面进行研究。

2.样本选取

根据中注协的《上市公司2017年年报审计情况分析报告》统计结果来看，截止2018年8月31日，2017年被出具非标准内部控制审计报告的共有86家，其中否定意见的审计报告39份，带强调事项段的无保留意见内部控制审计报告46份，无法表示意见的审计报告1份。但当笔者在巨潮资讯网网站上查找各个公司的非标报告原文时，发现否定意见的审计报告为38份，带强调事项段的无保留意见内部控制审计报告为57份，无法表示意见的审计报告1份。笔者通过巨潮资讯网搜集了这96份内部控制审计报告，以及必要的财务报告，按不同的角度和分类进行统计分析。

（二）非标准内部控制审计报告披露情况概述

2017年共有1771家上市公司出具了内部控制审计报告，其中非标准审计意见96份（带强调事项段的无保留意见57份，否定意见38份，无法表示意见1份），占5.42%。

笔者按照内部控制五要素的维度对这96份非标报告所反映的内部控制缺陷进行了统计。

二、上市公司内部控制和内部控制审计存在的问题及原因分析

（一）内部控制存在的问题

1.控制活动有待完善

从下表的统计结果我们可以看到，在内部控制的五大要素中，上市公司的缺陷所占比例最大的是控制活动，96份非标准内部控制审计报告中有57份披露的缺陷涉及控制活动，占59.38%.那么，究竟是哪些具体的控制活动出了问题呢？从57份报告所指出的导致CPA出具非标准审计意见的事项来看，问题较为集中的控制活动主要在以下几个方面：

（1）授权审批控制

授权与审批制度不仅仅是控制措施的一种，也是保证企业内部信息畅通的措施，按照缺陷类型划分，一种是公司根本就没有制定恰当完善的授权审批制度，即设计缺陷；另一种是公司虽然制定了授权审批的制度规定，但在实际执行中却大打折扣甚至毫不遵循。例如：

合肥百货对外发行单用途预付卡（储值卡），根据商务部《单用途预付卡管理办法（试行）》制定了《百大储值卡管理办法》及相应的运行手册，对百大储值卡的管理机构、制作、销售、消费等行为做出统一规范。《百大储值卡管理办法》要求储值卡的发售、检查应按照不相容职责分离的原则由不同部门人员分别行使，其设计是合理的。但实际执行中，存在制度和运行不一致现象，公司全资子公司淮南百大商厦有限公司原财务总监彭浩利用职务便利，以监管者的身份行违法之事，违规发售储值卡，导致淮南百大储值卡发售金额与实际收款出现重大差异8，522.35万元，给公司造成了重大损失。

富控互动及原下属子公司在2017年度与10家公司存在大额资金往来，富控互动在协议签订与付款管理上未实施有效的控制，存在2家未签订协议即支付大额款项，对于资金拆解业务，亦未建立相关的具体制度。同时，存在资产负债表日后发生大额划款，富控互动未能对部分银行存款实施有效管控。

2017年非标准内部控制审计报告缺陷内容统计

?

加加食品则是在开具商业承兑汇票和对外提供担保的过程中，均未按照公司的内部控制制度所规定的流程履行完整的授权审批程序。

（2）财产保护控制

财产保护控制包括两个层面，《企业内部控制基本规范》一是要求企业建立日常管理机制，另一方面是要求企业制定定期清查的制度。然而，依然有不少企业在财产保护方面存在漏洞，例如：

皇台酒业存货管理制度规定存货应每月盘点一次和每半年至少全面盘点一次，但公司并没有完全执行该规定。皇台酒业在货物调拨时依据经相关负责人签字批准的调拨单或书面申请由仓储部门发货，而货物发出后财务部门并未对货物发出情况及时进行核算和反映，造成公司成品酒亏空。

因美公司对应收账款管理不力，导致2017年末1年以上账龄的应收账款增幅较大，截至2017年12月31日，账面已计提应收账款坏账准备44，476.68万元。

（3）会计系统控制

企业的会计系统控制贯穿了从各种事项发生到最后反映在财务报表中的整个过程，完善的会计系统，可以保证企业严格按照会计准则来处理各项业务，因此也就可以保证最后财务报表的真实性与合规性。会计系统控制存在缺陷，将很可能导致报表对应科目的差错。

风华高科2017年被出具否定意见的报告，主要是财务核算存在重大缺陷，导致前期重大会计差错更正。风华高科公司2017年期初债权6，319.06万元需在2016年度全额计提坏账准备。2016年追溯调整前风华高科公司审定后的归母净利润13，890.61万元，追溯调整后归母净利润为8，611.06万元，追溯调整调减净利润占调整后归母净利润的61.31%。风华高科公司内部控制在运行过程中未能发现该项重大会计错报。

天业股份在编制财务报告时，未能按照借款合同足额计提借款费用21，264.22万元，这就严重影响了财务报表的真实性。

2.内部环境有待提高

除了控制活动外，其次就是内部环境存在缺陷的影响较大，高管凌驾于公司管理制度之上、收入连续造假、管理层陆续离职，都对公司的内部控制造成了重大影响。

例如保千里原董事长庄敏主导公司多项对外投资、签署业务合同并支付相关款项、私自使用公司及相关子公司公章违规代表公司签订对外担保协议等行为，实际凌驾于公司内部控制之上，致使职责分工和制衡机制失效，目前公司生产经营停滞，组织机构不能正常运行。

3.对子公司内部监督较差

统计分析发现，例如新日恒力、黄河旋风、湖北宜化等公司都存在对子公司监督不力，甚至失控，最终导致了损失或埋下了风险隐患。

4.国有企业内部控制不容乐观

统计分析发现，被出具非标准审计意见的企业中，国有企业比重占到35.42%，至于国有企业为什么内部控制相对较差以及该如何解决也将在后面进行探讨。

（二）内部控制审计存在的问题

1.内部控制审计报告的披露方式和格式不统一

96份报告的披露方式主要由以下两种形式：内部控制审计报告和内部控制自我评价报告放在一起进行披露、内部控制审计报告采取单独出具一份报告进行披露。而《审计指引》规定，我国内部控制审计报告采取单独出具一份报告的披露形式。

在阅读这96份审计报告的过程中笔者发现，内部控制审计报告也存在格式不统一的现象。如晨鸣纸业的审计报告，应该是有强调事项的描述，却没有强调事项段，把强调事项放在了审计意见中。说明内控审计业务的执行标准和最后审核不严格。

2.存在注册会计师妥协企业形成不恰当审计意见的情况

《审计准则》规定“CPA认为财务报告内部控制存在一项或多项重大缺陷的，除非审计范围受到限制，应当对财务报告内部控制发表否定意见”。因此，如果注册会计师认为他所发现的缺陷属于重大缺陷，那么就应该出具否定意见而非只用强调事项段加以强调。CPA在强调事项段中明确使用了“重大缺陷”这个概念来界定发现的缺陷，很可能是注册会计师认为公司存在重大缺陷，但是经过与管理层的沟通，最后决定让步妥协，将否定意见改为强调事项段进行披露。由此说明，以往在财务报表审计总存在的CPA妥协被审计单位的情况，如今在内部控制审计中依然存在。

（三）原因分析

1.从会计师事务所的角度

（1）内部控制审计报告复核存在漏洞

现阶段，大多数事务所对财务报表审计报告都已经建立了完善的复核制度，并已经成常态。但是对于尚处于初期阶段的内控审计报告却没有建立完善的复核制度。

内控审计报告复核制度的漏洞，反映在统计分析中就是CPA出具了不恰当的审计意见，所出具的报告的披露方式不同等问题。

（2）内部控制审计业务中独立性缺失

会计师事务所存在着审计人员既参与内部控制的自我评价工作，又参与了内部控制审计工作；审计人员从事企业内部控制的咨询和体系建设工作，又参与了内部控制审计工作等现象。这些现象的存在都可能会造成审计人员在内控审计业务中独立性缺失，那么其所做出的判断也可能不是客观甚至是违反规定。

（3）审计人员专业胜任能力不够

内部控制审计业务对于大多数事务所来说还是比较新的领域，以往审计人员一直做的都是单纯的财务报表审计，事务所并没有为实施内控审计而专门聘用更擅长这方面的人，而是直接指派以前的员工，因此，这难免会导致审计过程不够深入，某些缺陷不能被发现的后果。

2.从公司的角度

（1）管理层风险意识淡薄

管理层对内部控制重要性认识不够。高层的态度对于整个企业的文化和内部环境至关重要，如果从管理层开始就没有意识到内部控制的重要性和必要性，那么整个企业上下都会缺乏风险意识，那么就会导致在工作中的各个高风险环节缺乏控制，内部控制存在这样或那样的缺陷，最终很可能造成不可挽回的损失。

（2）内部审计机制不完善

一方面，有些企业中存在内审部门和财务部门没有完全分离的情况，甚至存在由其他部门代为执行实际工作的情况，因此，内部审计人员的独立性大大的受到了限制，在监督的过程中往往掺杂个人情感，在向管理层汇报的过程中可能会有所隐瞒。另一方面，内部审计人员配备不足和专业胜任能力不够，也会影响企业自身对内部控制制度执行情况的检查和监督。

（3）制度制定后成“摆设”

在指引的要求下，上市公司纷纷开始制定本公司的内控制度，但是有些公司更多的是为了制定而制定，当审计人员来审计时，也用来证明确实是按照指引的要求制定了内控制度，但是到底制度的落实程度有多少就未可知了。有些企业制度制定完后，并没有下发到每一位员工的手中，或者以纸质版或者以电子邮件的形式下发，但是并没有要求每一位员工重视并熟悉与自己岗位相关的控制规定，因此，制度制定之后大家还是按照以前的习惯在工作，每位员工依然没有明确地知道自己的岗位职责与规范的业务流程。

（4）国有企业治理结构的特殊性

国有企业国有股一股独大，往往存在国资委越权管理，所有事情都要一一亲自管理，企业处于“被管多了”的状态。这样也导致企业本身机制弱化，并不是靠制定制度来实现控制，而是“大股东”亲自管理，这样也不利于内部控制制度的完善。此外，国有企业还往往容易被某级政府所“绑架”，更多的是为了追求GDP、产值等，导致国有企业将盲目的扩大规模为经营目标，而偏离了创造价值这个最根本的经营目的，因此也不会为了更好的创造价值而想方设法提高内控水平。

3.从监管机构的角度

（l）缺乏对内部控制审计报告合规性的监督和惩罚

笔者认为，监管机构在内控报告披露后的合规性反馈缺乏监督和复核，注册会计师是否出具了恰当的审计意见？如果出具的意见类型不恰当该如何处理？对于出具了不恰当审计意见的事务所是否有处罚措施？这些问题尚未有明确的规定予以解决，从而使得企业和会计师事务所违规成本很小。

（2）缺乏对缺陷评判的具体标准

《企业内部控制审计指引》中要求注册会计师对重大缺陷、重要缺陷和一般缺陷给予披露，但是并没有具体量化的评判标准。因此在实务中认定缺陷类型时，缺乏一定的可操作性，并且必定会伴随注册会计师本人的职业判断，具有一定的主观性，这样，反映在统计分析的结果中，就是很少有披露非财务报告的内部控制缺陷。

三、对策与建议

（一）从会计师事务所的角度

1.加大对内部控制审计人员的培训力度

要加大对内部控制审计人员的培训力度，借鉴财务报表审计培训的成功经验，继续将传统的富有成效的师傅带徒弟“一对一辅导”的培训方式加强运用到内控审计中来，制定针对不同级别人员的具体的培训计划，同时要注意定期进行考核以督促其学习。

2.建立合理的内部控制审计人员团队

由于对事务所来说，内控审计是新的业务，那么必将招聘一批新的人才。招聘时，应该注意同时考查应聘者的“德”，以保证审计人员更好的维持独立性。另外，由于事务所人员流动较大，因此，在建设团队时应该考虑合理建立内控审计人员的梯队，为后续扩大内控审计规模的储备优秀的人才。

3.加强审计人员的独立性

审计人员的职业道德和独立性对审计结果的客观公正是至关重要的。

一方面，对于同一家客户，要定期更换项目组成员，这样有助于审计人员保持独立性，防止后期由于和被审单位接触频繁后出现掺杂个人情感的情况。

另一方面，加强审计人员职业道德教育，鼓励其尽量不要出现与管理层沟通后进行妥协的情况，同时也可以培训审计人员的沟通技巧，便于其在与被审单位沟通时掌握主动权，最后如实披露缺陷情况。

4.对缺陷较为集中的领域做重点关注

对于授权与审批、财产保护以及会计系统控制等缺陷较为集中的领域更要给予特别的关注，认真设计审计步骤，尽量在成本允许的情况下扩大审计范围，增加样本量。

5.适当的借鉴财务报表审计工作的结果

内部控制存在固有局限性，且由于抽样的偶然性，很可能会造成某些缺陷不被发现，但是当这些缺陷恰好属于重大缺陷时，审计报告就失去了为报告使用者传递信息的功能。因此，既然内控审计是要对财务报告相关的内部控制发表意见，那么如果可以适当的借助财务报表审计的成果和结论，由发现的财务报表差错结果出发，设计有针对性的审计步骤，寻找差错背后的内控缺陷，就可以提高审计效率同时节约成本。

6.加强内部控制审计的指导和复核力度

大量的审计证据的搜集几乎都是在现场阶段完成的，但是，该项工作往往都是刚入职不久的新人在做，尤其是内控审计又是新业务，这种情况下他们就更需要得到正确有效的指导，因此，领导在安排工作时，为了提高审计质量，应该按照工作者的专业胜任能力来安排，并且要对其进行详细的指导。

应该借鉴财务报表的复核制度，尽快建立事务所对内控审计报告的复核体系。

（二）从公司的角度

1.正确认识内部控制缺陷的披露

注册会计师对企业的内控缺陷进行披露，虽然在短期内也许会对企业造成暂时的负面影响，但是从长远来看，这会督促企业不断完善自身的内部控制制度，搭建良好的内部环境，提高企业上下的风险意识等，都起到了正面的作用，长久看来，其实是有助于企业提高价值创造能力的。

2.积极配合会计师事务所做好内部控制审计工作

企业真实的内部控制情况会反映到内部控制审计报告中，对于促进企业的内部控制建设具有重要的意义。企业应该具有长远眼光，会计师事务所在执行内部控制审计工作时，上市公司应当积极配合。内部审计人员应该积极提高自身的专业能力和工作质量，提高自己的客观性，以便工作成果被注册会计师使用。

3.继续加大自身内部控制规范体系的建设

完善的内部控制规范体系是注册会计师出具标准审计意见的前提。

首先要提高员工和管理者对内部控制的重视。企业的内部控制不仅仅只针对财务部，企业上上下下各个部门各个流程都包括在内，企业的内部环境关系到每一位员工，提高所有员工的内控意识，有助于使内控落实到每一个小的流程中去；提高管理者的内控意识，有助于提高他们的管理素质。

其次，企业要结合实际制定适用于本企业的内控制度，不可照搬同行业先进公司已经制定完成的制度。应该考虑本企业的成本效益，很多制度制定了却成了摆设，得不到实施，是因为在实际生产经营过程中的执行成本过高，收益并不足以弥补，因此干脆就不遵守。所以，在制定的同时也要考虑成本效益原则。

最后，制度制定完成后，一定要监督制度的落实。要提醒每一位员工认真学习与自己岗位相关的制度规定。例如，可以规定部门负责人带领本部门员工共同学习本部门的各岗位职责和相关业务规范流程，并以每个部门画出自己部门业务流程图和其中的关键风险点等方式来检验落实情况。

4.对缺陷较为集中的领域着重监督

对于这96份非标意见所反映出的缺陷集中领域，各个企业应予以重点关注，对照自己企业查找是否也存在该领域的隐患，如果有类似的薄弱环节，那就应该及时修补；如果暂时没有，就应该提高警惕避免以后出现同样的漏洞。

5.加快混合所有制改革

对于国企内部控制与国企的地位不相符这一现象，希望可以进一步加快对国有企业的混合所有制改革，引进更多的股东，加强制衡，使企业回归以价值创造为目的的本源，做到真正为股东服务，而不是更多的为了某一级政府的政绩服务。

（三）从监管机构的角度

1.加强惩治体系建设

内部控制信息对于信息使用者而言是一项决策依据，对于上市公司不按照规定披露内部控制审计报告的，财政部、证监会、审计署、证券交易所应当联合研究合适的方式方法进行监督规范甚至惩处。

2.提高权威平台对外披露信息的质量和严谨性

由于笔者在查找和统计非标报告过程中发现，部分公司被出具了带强调事项段的无保留意见审计报告，而中注协并未将其统计在内，想必其他关注中注协年审快报所披露的信息的使用者，如果没有像笔者这样一个个去找的话，就很难发现这一统计信息的错误，因此，希望权威的平台在披露信息时能够更加谨慎和仔细。

3.尽快制定缺陷评判的具体标准

只有有了具体可操作的缺陷评判标准，在实务中才有章可循，而且对于报告使用者来说，标准的统一也便于对不同的公司进行横向比较。

4.增加保留意见的报告类型

通过阅读这96份报告，笔者发现，虽然同样都是强调事项段的无保留意见，但是强调事项的性质及影响却有所差别，大致可以分为两类：一类强调事项段所述内容并非是指出被审企业内部控制存在缺陷；而另一类强调事项则是详细叙述存在的缺陷以及缺陷的影响。

对于后者，笔者认为被审单位内部控制确实是存在缺陷的，但是带强调事项段的无保留意见却是以肯定内部控制有效为基础的，这似乎存在矛盾。此外，如果将这些缺陷放在强调事项中，可能起不到提醒报告使用者的目的，而且也不能很好区分上述两种强调事项的性质区别。因此，建议和财务报表审计报告一样，增加保留意见的内部控制审计报告，以便更清晰准确的向报告使用者传递被审单位的内控现状，从而有助于报告使用者做出正确的决策。