企业内部控制缺陷认定与披露研究

于博

摘要：作为企业管理活动的重要组成部分，企业内控缺陷认定与披露不仅关系着企业的发展，更关乎投资者的回报预期。然而，当前国内企业内控缺陷认定与披露普遍存在认定标准模糊、信息披露操作空间大等问题。因此，文章分别从完善内控缺陷认定标准、健全企业内部治理机制、建立第三方责任追究制、提高监管与处罚力度等四方面出发，探讨了企业内控缺陷认定与披露的优化策略，以期为企业经营管理水平的提升建言献策。

关键词：企业；内部控制；缺陷；认定；披露

21世纪初期，安然、世通等多家公司纷纷爆发了会计丑闻事件，不仅引发了全球各国对企业内控问题的极大关注，还直接催生了美国《SOX法案》《企业风险管理—整合框架》及中国《企业内部控制基本规范》《企业内部控制配套指引》等的出台，国内两大“法案”的颁布为国内企业内控体系的建设提供了科学标准与基本遵循，对于规范企业经营管理行为意义深远。内控缺陷是内部控制的重中之重，但当前国内企业所披露的内控审计报告却千篇一律地近乎“完美”，这并不代表企业内控体系的健全性，反而暴露了当前国内企业内控缺陷认定与披露中普遍存在的问题，如内控缺陷认定标准模糊、信息披露存在操作空间等。值得思考的是，国内关于内控缺陷认定与披露的理论研究无论数量还是质量均与国外有着不小的差距，且研究多聚焦于概念、分类、认定框架设计等方面，针对企业内控缺陷认定与披露的综合研究寥寥无几，因此，本文立足内控缺陷认定与披露的相关理论概述，探讨了企业内控缺陷认定与披露存在的问题及成因，并提出了有针对性的优化策略，旨在为企业规范化管理提供借鉴。

一、内部控制缺陷认定与披露的相关理论概述

所谓的内部控制，是企业管理层与全体员工联合实施的，旨在为实现运营、报告与合规目标提供合理保障，继而达成控制目标的过程。而控制目标主要以如下五方面为导向：一是保障企业运营管理合法合规，二是确保企业资产安全可靠，三是保证财务报告及有关信息真实完整，四是持续提升企业经营效益，五是实现企业发展战略目标。可见，企业的内部控制是一项全面贯穿企业运营、管理全过程的控制活动，离不开自上而下的全员参与和协作，是确保交易实体双方高效运营的关键手段。从职能角度来看，运营管理的合法合规与财务报告的真实完整是内控的基本职能，这与会计反映与监督的核心功能精准契合，因此，从很大程度而言，企业内控水平主要体现在財务的管控能力方面。

内部控制缺陷，是指企业内控系统或运行中存在的缺点或不足，这种缺陷会导致财务错报问题无法被及时发现并处理，并阻碍企业控制目标的实现。内控缺陷种类较多，从缺陷与财务报告之间的关系来看，可将其分为财务报告内控缺陷与非财务报告内控缺陷；从缺陷影响度来看，可分为重大、重要与一般缺陷；从缺陷产生环节来看，可分为设计缺陷与运行缺陷两大类。内控缺陷是企业内控系统有效性评价的重要指标，企业进行内控评价的基本工作之一即识别并认定企业的内控缺陷，为内控自我监督机制的改进提供依据。

企业内控缺陷的识别与认定是指发现缺陷并依循程度展开等级划分的过程，其一般程序涉及风险偏好及容忍度确定、风险容忍度的分配与调整、风险敞口与承受度对比等过程，缺陷认定多采取定量分析、定性分析或两者相结合的方法。内控缺陷披露是将企业经营活动中的重要信息对外公布，以便管理者及时掌握信息并做出科学决策。内控缺陷信息包含在企业单独披露的内控评价报告或第三方所出具的内控审计报告中，这一定程度上提高了企业管理者对内部控制的重视度，也为管理者和投资者据此推测公司经济效益、做出科学决策提供了更多的参考依据。

二、企业内部控制缺陷认定与披露存在的问题

当前，国内企业内控缺陷认定与披露普遍存在认定标准模糊、信息披露操作空间大的问题，现分别阐述如下：

（一）内控缺陷认定标准模糊

内控缺陷认定与披露是企业内控缺陷信息披露的核心内容，也是企业治理层制定内控制度需要着重解决的问题，然而，内控缺陷认定标准的模糊甚至缺失在企业经营实践中普遍存在，根据财政部与证监会发布的《2021年企业内控规范体系情况分析报告》不难发现，内控缺陷认定标准模糊是企业内控制度实施过程中的主要掣肘，同样的问题在2020、2019年报告中亦有提及，但有关内容的改进却不甚显著。在内控缺陷认定过程中，控评人员需要结合缺陷认定标准，根据自身职业判断，对缺陷严重程度进行等级划分。由于不同企业所处的领域、经营规模、管理水平、风险抵御能力等各不相同，因而需要企业结合实际情况制定最适宜自身的内控缺陷认定标准，然而，有调研显示，国内多数企业并未依据相关要求制定并披露内控缺陷认定标准，部分企业虽制定了标准，但存在明显不合理之处，还有相当数量的企业缺陷认定标准不详细，仅仅对可能引发重大缺陷的事件进行了列举，并未明确重要、一般缺陷的相关事件，也未进行区分，这种模糊的界定不利于企业内部控制的科学评价。此外，由于财务指标的差异性，很多企业对一般、重要和重大缺陷的划分不甚相同，这导致内控缺陷定量标准缺乏足够的可比性，加上定性标准针对性的缺失，致使国内企业内控缺陷认定不甚科学。

（二）信息披露存在操作空间

企业信息披露是投资者等外部利益相关者知悉企业经营与财务信息的重要途径之一，信息披露涉及财务信息、企业基本信息、因资本市场压力及内部决策需求而自觉披露信息、因监管要求或律法强制规范而披露信息等内容。国内早期的披露行为多依赖于自由市场理论，但这仅适用于理想情况下的资本市场中，而客观真实市场的复杂性引发了信息供给与需求强度的不确定性与难以预测性，从而导致信息披露遭受多方力量、多重因素的影响。因此，早期信息披露难以对资本市场中企业的行为给出科学解释。现阶段，国内企业大多更倾向于详细地披露影响程度较低的一般缺陷，还有些甚至将一般缺陷与重要缺陷混淆，以“本公司存在如下一般缺陷、重要缺陷”等方式予以披露，部分甚至在内控评价报告中以“本司在内控执行中存在重大缺陷”等方式一笔带过，并未就重大缺陷展开详尽实质性描述，更未提及整改对策。还有部分企业存在严重的执行缺陷，且以“内控制度不完善，需进一步改进”等毫无意义的形式披露缺陷，但多数均不披露跟踪反馈及持续整改的细节，致使内控缺陷披露沦为形式主义。此外，内控缺陷披露不及时、不充分、重内容轻实质等问题普遍存在，暴露了企业在内控缺陷披露上存在较大的操作空间。

三、企业内部控制缺陷认定与披露问题的成因

探究国内企业内控缺陷認定与披露存在问题原因，主要是由于文件规定趋于笼统、企业内部治理缺陷、第三方审计有失公允、有关部门监管惩处不力所导致。

（一）文件对内控缺陷认定标准的规定趋于笼统

作为企业内部控制缺陷划分与认定的基本依据，《内部控制评价指引》可谓企业内部控制的重要规范性文件。然而，该文件仅仅指出“当企业内部控制不能让员工完成日常工作，也达不到预期效果，无法促进主体目标实现，及时避免或发现差错，则表明企业存在内控缺陷”，这种否定式的定义并未就内控缺陷的识别划定精确的标准，显然，内控缺陷会引发内控失效，但并非所有失效都是因内控缺陷造成的，加上文件也未就内控缺陷识别可能遭遇的问题给出明确说明，这直接导致了操作实务中内控缺陷识别与认定困难。此外，文件虽然将内控缺陷的三大等级划分进行了规定，如重大缺陷是某个或多个控制缺陷的结合，极易使企业控制目标发生偏离；重要缺陷则是多个控制缺陷的结合，但引发的后果较重大缺陷而言轻一些；一般缺陷则是指重要或重大缺陷以外的缺陷，但并未就何种缺陷划分为重大缺陷、何种划分为重要或一般缺陷给出清晰具体的标准以及细节上的规定，只是要求企业针对自身具体情况制定对应的内控缺陷认定标准，对于标准的披露也未进行强制性要求，这难免导致内控缺陷认定标准的模糊化及企业内控缺陷披露的形式化。

（二）企业对内控缺陷认定与信息披露流于形式

根据现代治理理论，行业竞争被视为一种有效约束企业治理层行为的外部机制，较控制权市场及机构监督而言，行业竞争能够有效缓解企业代理问题，然而，当竞争形势严峻，为了保持企业竞争地位，管理层会以最大化企业价值的决策发挥隐性激励效应，而信息披露无疑是影响企业价值的重要决策之一，为了保持竞争地位，企业会选择隐瞒不利信息或主动披露有利信息的方式，以此提高企业绩效。因此，管理层在内控缺陷披露方面存在极强的干预动机。不仅如此，有文献对内控缺陷认定标准的宽严变量进行研究时发现，股权的高度集中会使得董监会职能弱化，难以有效行使监管职责，大股东出于利益追求会制定更为宽松的内控缺陷认定标准，以掩盖缺陷，并对缺陷披露进行限制。此外，很多企业管理层对于内控缺陷披露并未给予足够的重视，也未全面推进内控制度建设，受趋利避害本能的影响，多数企业没有在连续期内及时披露内控评价报告，即使少数企业披露出重大缺陷，但鲜少予以整改，加上内控方式单一，事前、事中内控部署不善，致使企业内控缺陷披露很难满足现实需求。

（三）外部审计机构对企业的内控评价有失公允

外部会计师事务所负责对企业年报及内部控制出具无保留意见审计报告，用以披露企业内控缺陷。然而，当前多数会计师事务所与企业“互为勾结”，表现出严重缺乏独立性等情况。按照审计准则要求，事务所审计项目组深入企业现场开展审计工作时需要在期中与期末获取审计证据，在时间安排方面要确保内控测试覆盖足够长的时间，并对所获取的审计证据进行判别与鉴定，确定其能否合理地延伸至期末，然而，实际审计工作中，很多事务所在时间安排方面明显没有达到要求，使得很多企业审批权限、资金审批权限、审计部人力方面存在的缺陷难以识别和披露。不仅如此，很多会计师事务所为了与企业保持长期合作，已然失却了自身的独立性，虽也有审计人员多次参与审计的实质性行为，却并未充分发挥外部治理监督功能，所披露的内控评价报告漏洞百出，甚至帮助企业隐瞒内控缺陷，出具的审计意见有失公允，更有甚者，给予大股东熟客便利，使之利用内控缺陷侵占企业资金，对中小股东的合法利益造成严重侵犯。

（四）有关部门对披露违规行为监管与处罚不足

与内控信息披露不同，内控缺陷披露于企业而言属于“坏消息”，这直接影响了企业对内控缺陷披露的积极性与主动性，致使所披露内容流于形式，因此，还需有关部门参与监督，制定必要的惩处措施，对企业内控环节存在的问题进行方向指引，以此规避企业可能存在的违规行为。然而，根据《中国上市公司2018年内部控制白皮书》，当前国内关于企业内控信息披露的监管规则及要求不尽相同，层级关系也不甚明晰，这使得不同地区甚至相同地区企业所适用的监管规则各式各样，内控信息披露格式、内容不尽相同，为披露违规行为的监管与规制带来了极大的难度。不仅如此，出于对本地企业的保护，多数地区监管部门虽会指出企业的违规情况，但所给出惩处措施多为督促整改、警告批评等意见，不痛不痒的处罚犹如对其违规行为亮起绿灯，难免使得部分企业管理者滋生投机心理。此外，国内有关部门在对企业内控缺陷披露违规行为进行调查时，往往忽视群众案件反馈信息，加上调查期限较长，为企业财务造假提供了可能性。

四、企业内部控制缺陷认定与披露的优化策略

基于问题和原因分析，本文从完善内控缺陷认定标准、健全企业内部治理机制、建立第三方责任追究制、提高监管与处罚力度等四方面出发，提出企业内控缺陷认定与披露的优化策略。

（一）细化要求，完善内控缺陷认定标准

针对文件中内控缺陷认定标准的规定趋于笼统等情况，关键是要细化要求，进一步明确内控缺陷认定细则。具体而言，一方面，学术领域要持续加强企业内控缺陷认定的理论研究与实践探索，为国家及有关部门出台标准细则提供有力的支持，同时，国家要加快出台与内控评价相关的制度文件，建立一套内容全面、科学合理的内控缺陷认定标准，标准既要涉及内控评价目的及责任人，还要确立评级内容及其参考标准、评价程序及选用方法、内控缺陷认定标准、重大缺陷成因及对应整改计划等，如此方可有效限制企业内控缺陷的自主裁定权，保障所披露的信息的真实性；另一方面，针对企业间认定标准不可比问题，可要求内控评价员对量化依据、缺陷评价进行详尽说明，并通过在同行业、同规模企业中设置相似的重要性水平、统一的定量标准等，减少企业认定标准的随意性及操作空间的同时，提高不同企业之间内控缺陷定量认定标准的可比性；此外，对于企业自身而言，要充分认识到内控缺陷认定与披露的重要性与必要性，严格遵守国家政策要求设置多层面、多维度、具体有价值的内控认定标准指标，将内控缺陷可能造成财务报表重大错报的可能性进行具体估量，将营业收入总额、资产与利润总额、所有者权益总额视为内控缺陷定量标准，将超出4大维度1%的错报认定为重大缺陷、0.5%～1%之间的视为重要缺陷、低于0.5%的视为一般缺陷，根据这一标准将内控缺陷真实、完整地披露在内控评价报告中。

（二）明确责任，健全企业内部治理机制

针对企业对内控缺陷认定与披露重视度不足、信息披露流于形式等问题，关键是要提高企业的内控意识，明确各方责任，建立健全内部治理机制。具体而言，一方面，要提高企业股东、董事、监事及管理层人员的内控意识，使之定期参与内控培训，全面理解内控相关法律法规，并定期组织内部员工开展会议，提高全体员工的规范内控理念，持续改善内部控制环境，以此吸引广大投资者的目光；另一方面，企业要结合《企业内控基本规范》的相关要求，完善企业内部治理结构，明确董事会、监事会、经理层三方在内控缺陷披露中的责任与职能，其中，董事会作为内控缺陷披露的责任主体，负责保证内控自评报告的真实性；监事会主要负责对内控缺陷认定与披露过程及结果进行监督；经理层则要保障内控制度有条不紊地施行，严格贯彻和落实《信息披露管理制度》，通过充分发挥董事会与监事会的审计监督治理作用，优化高管权利配置结构，建立起股东大会、董事会、监事会与经理层之间的互为制衡关系，以此科学制约管理层的权利，保障企业内部控制的高效实施；此外，企业要加快完善内部治理机制，既要组织一支专业、高效的内控队伍，及时发现并上报内控缺陷，又要建立完善的人才培养与激励机制，定期组织内审部与相关人员的培训学习，提高其业务素质。

（三）加强审计，建立第三方责任追究制

针对外部审计机构对企业的内控评价有失公允等情况，关键是要严格把控好其审计职业质量，建立第三方责任追究制。具体而言，一方面，企业要对内部控制审计工作给予充分的认识，选择执业质量较高的会计师事务所作为合作方，充分发挥事务所鉴证、监督的职责，同时要确保合伙人与注册会计师的独立性，一旦面临外界压力，要以信誉为重，避免注册会计师或合伙人因私人动机可能做出的违背职业道德的行为；另一方面，要成立审计项目质量控制复核小组，选择责任意识强、精神独立的人员担任小组成员，避免出现签字注册会计师意图瞒报或舞弊时复核人主观评价等问题；此外，有关部门要加快建立针对会计师事务所的责任追究制，针对事务所因利益考量而帮助企业瞒报内控缺陷、不采取正规审计程序、出具虚假审计报告意见等行为，不应仅仅以警告、罚款了事，而要严厉追究其责任，提高其违规成本，并在一定程度上予以威慑，如此方可确保事务所真实披露企业内控缺陷，同时要定期考察企业与第三方的合作年限，以此规避一切串通的可能性。

（四）强化监管，提高信息披露违规成本

针对有关部门对披露违规行为监管与处罚不足等问题，关键是要强化监管力度，提高企业内控缺陷披露违规成本。一方面，有关部门要加快构建具有普适性的内控缺陷认定框架，结合国内外研究成果及优秀经验，加强与风险管理公司及高校专家合作，利用风险管理公司掌握企业数据，与专家联手制定内控缺陷认定框架，还要加快推进内控审计的标准化，统一审计口径、规范审计程序，细化信息披露要求，转变既有监管规则及制度的粗放性；另一方面，有关部门要借助大数据、人工智能等高新技术，强制要求企业共享风险信息，减少企业隐瞒内控缺陷的可能性，同时要加大信息披露违规行为的惩处力度，从立法上明确认定标准，制定处罚条例，要求企业管理层严格依循内控缺陷认定标准进行缺陷识别、认定与披露，一旦发现未按规定及时披露、企图隐瞒缺陷信息等违规行为，要严厉追究负责人的责任；此外，要针对内控披露违规行为严格处罚标准，一旦查证出重大违规行为要对企业处以强制退市处罚，给予投机取巧的企业以强大震慑，同时要缩短立案调查的时限，做到快、准、狠，不给企业任何试图蒙蔽视听的机会。

五、结语

综上所述，自全面施行强制内控自我评价与审计制后，内部控制一跃成为企业治理领域的焦点，作为企业内控规范体系的重要内容之一，内控缺陷认定与披露不仅关系着企业的良性运转，更关乎投资决策的科学性与相关部门的监管效率。然而，当前国内企业内部控制缺陷认定与信息披露并不理想，这不仅体现在披露公司数量少、规模小等方面，还体现在内控缺陷认定标准模糊、信息披露质量不高、披露内容操作空间大等多个方面，究其原因，主要是由于文件规定过于笼统、企业内控机制不善、第三方审计机构有失公允、监管部门管控不力导致的。因此，还需从细化内控缺陷认定标准、健全企业内部治理机制、建立第三方责任追究制、提高监管与惩罚力度等多维视角出发，探索企业内控缺陷认定与披露的优化路径，以此提升资本市场的信心，强化企业的发展后劲，促进企业核心竞争力的持续提升。

参考文献：

[1]杨婧，郑石桥.内部控制缺陷认定标准形成机理的博弈研究[J].财会通讯，2021（14）：121-124.

[2]杨程程.企业内部控制缺陷选择性披露的影响因素与披露成本[D].北京：北京交通大学，2016.

[3]杨婧，许晨曦.产品市场竞争、内部治理与内部控制缺陷认定标准[J].会计研究，2020（06）：158- 170.

[4]卜小也.上市公司内部控制缺陷认定标准及披露研究[D].合肥：安徽财经大学，2020.

[5]郭军.企业内部控制缺陷影响因素研究[D].天津：天津大学，2016.

[6]芦雅婷.上市公司内部控制缺陷认定的“制度同形”效应研究[D].天津：天津财经大学，2019.

[7]程腊梅，刘帅.浅析内部控制缺陷认定标准及其披露[J].现代经济信息，2019（15）：91.

[8]周建姣.H公司内部控制缺陷认定及披露问题研究[D].天津：天津科技大学，2019.

[9]原盼盼.关于企业内部控制缺陷认定问题的理性思考[J].现代国企研究，2015（04）：26-27.

[10]戴昱昊，金晓楠.企业内部控制缺陷评价模型研究[J].会计师，2019（07）：51-52.

[11]施赟，蔣华林，徐玉琳.内部控制缺陷认定标准研究[J].财会月刊，2019（07）：38-43.

[12]芦雅婷，王竚.企业内部控制缺陷认定标准披露现状与行为特征研究[J].会计之友，2019（07）： 33-36.

[13]任丽娟，袁建华.企业内部控制缺陷的识别与认定研究[J].经济论坛，2019（03）：144-149.

[14]葛静，蒋泽娟.我国上市公司内部控制缺陷认定的困境和解决对策研究[J].河北企业，2018 （10）：17-18.

[15]龙凤姣.上市公司内部控制缺陷披露质量研究[J].中国农业会计，2017（07）：24-26.

[16]闾雨.上市公司内部控制缺陷认定与披露研究[D].昆明：云南财经大学，2017.

[17]刘泽海.企业内部控制缺陷认定和披露——基于我国汽车制造行业的研究[J].江苏第二师范学院学报，2016，32（10）：87-93.

[18]骆秋韵.目标偏离视角下A企业内部控制缺陷智能判别研究[D].重庆：重庆理工大学，2021.

（作者单位：黑龙江省交通投资集团有限公司）