上市公司内部控制信息

【摘 要】 我国的《内部控制基本规范》和《内部控制配套指引》从2012年1月1日起开始在上交所和深交所主板上市公司施行。在此背景下，基于上市公司2012年之前的内部控制信息披露实践，文章分析了我国上市公司内部控制信息披露存在的主要问题和现状，并着重从监管者的角度分析现状背后存在的制度和法规方面问题，最后有针对性地提出完善内部控制信息披露的建议。

【关键词】 上市公司； 内部控制信息披露； 内部控制基本规范

2001年，美国发生了著名的安然事件，随后，又爆发了世通公司、美国在线时代华纳等一连串上市公司财务舞弊事件，这些事件都从侧面暴露出公司内部控制的薄弱和内控信息披露的不完善。2002年，美国总统签署《萨班斯—奥克斯利法案》，该法案首次以强硬的态度确立了美国上市公司内部控制信息强制性披露的制度。对比来看，中国内地近年发生的以中航油新加坡公司巨额亏损事件为代表的公司丑闻，也都一定程度上反映出我国上市公司内部控制形势的严峻。我国的相关监管部门对上市公司内部控制及信息披露的关注和监管从很早就已经开始，为什么上市公司的内部控制质量还是普遍不容乐观？内部控制信息披露制度的施行效果到底怎么样？本文接下来将聚焦上市公司的内部控制信息披露问题。

在相关学者研究成果的基础上，本文分析和综述了上市公司内部控制信息披露的意义和现状，反映出披露存在的主要问题。形成该现状有着诸多因素，比如既包括公司管理和内部控制缺陷，也包括资本市场上投资者以及社会普遍认识的不足，还包括外部制度和法律因素。在现阶段下，我国政府相关部门正积极完善相关监管制度，外部法律制度相比较其他因素更容易得到关注和改善，所以本文有针对性地主要就影响披露现状形成的制度和法律因素即相关监管部门出台的关于内部控制及信息披露的系列法律法规方面，分析其存在的问题，然后提出完善内部控制信息披露的建议。

一、内部控制信息披露的概述

《萨班斯—奥克斯利法案》的起草人之一、纳斯达克副董事长奥克斯利曾指出：“良好的公司治理取决于良好的控制机制和明确的标准”，内部控制对于公司的重要性不言而喻，内部控制也成为近年来研究的热点。然而在现代资本市场上，投资者和监管者在内部控制上更为关注和更能控制到的是上市公司对内部控制信息的反馈和披露。

内部控制信息披露是指企业管理当局依据一定的标准向外界披露本单位内部控制完整性、合理性和有效性评价的信息以及注册会计师对内部控制报告审核的信息。我国已要求公开发行证券的证券公司、商业银行、保险公司等对内部控制的合理性与有效性作出说明，并要求注册会计师对其内部控制进行评价、出具评价报告，其他上市公司也有相关的披露要求。

建立和完善内部控制信息披露有着重要的意义。现阶段内部控制制度的实施主体主要是上市公司，这样内部控制信息披露也就成为资本市场上重要的披露制度之一，有利于保护投资者和公司的利益相关者，增加资本市场的透明度和有效性。对于上市公司而言，真实的内部控制信息披露可以促使管理层关注内部控制的不足，控制公司风险，提高管理水平。同时，内部控制信息披露有利于公司治理的完善，内部控制信息的披露有利于股东了解管理层受托责任的履行状况和公司控制结构的漏洞，有利于进一步明确治理结构的不足。总之，建立和健全内部控制信息披露制度对于我国公司管理和资本市场等的发展和完善有着重要的意义。

二、上市公司的内部控制信息披露的现状和问题

学者们对于上市公司的披露实践进行了大量的理论和实证性研究。本文引用韩亚丽（2012）对2010年沪市样本的研究。在2010年沪市公开发行A股的900多家上市公司里面随机选取了60家作为调查样本进行研究，在公司治理结构、董事会报告和监事会报告中只要有一项披露内部控制信息就视为披露，共有51家（85%）披露了内部控制信息，如表1所示。

从表1可以看出，我国内部控制信息的披露主要在监事会报告中披露。在披露的公司中，70%的公司在监事会中有所披露，但是大多数只披露了“本公司建立了完善的内部控制制度”或类似的话。在董事会报告中自愿披露的公司只有两家而且均为上市银行、证券公司。在被调查的有效样本中，披露内部控制不足之处的几乎没有。在以上所引用的样本和实际状况基础上，对上市公司披露问题总结如下：

1.内部控制的披露规定基本上未得到有效执行。2006年之后，深交所和上交所都出台相关规定要求上市公司按照规定披露内部控制信息，但是从上面的统计中可以看出，大部分上市公司并未按规定予以披露。

2.披露流于形式，没有实质内容。在披露的公司中，大多数只披露了“本公司建立了完善的内部控制制度”或类似的话，没有关于内部控制制度建设、实行、评价等的实质性内容，内控披露流于形式。方红星（2007）利用2006年年报资料，对沪市非金融类上市公司内部控制信息披露行为进行研究，研究发现仅有4.9%的样本披露的较为详细，0.3%的样本披露提到了内部控制存在不足；绝大多数沪市上市公司未按照《上海证券交易所上市公司内部控制指引》的要求披露内部控制信息。

3.对内部控制不足之处披露极少，与实际情况明显不符。上市公司普遍避免内控不足之处的披露，披露报告难以反映实际内部控制质量。

4.缺乏自愿披露的动力。只有少数金融类公司自愿披露内部控制信息，上市公司对于披露缺乏明显的主动性和动力。

5.注册会计师的审核意见信息不规范。学者在对出具了注册会计师针对内部控制有效性审核意见的上市公司样本的研究中，发现绝大多数外部审核意见都是无保留的意见，评价内容没有明确的标准和实质性内容。在额外成本和审计风险，以及职业能力等多重压力下，作为内部控制信息披露中的重要一部分，注册会计师对于上市公司内部控制有效性报告的审计并没有发挥出应有的作用。

从以上分析可以看出，中国上市公司内部控制信息披露的实践有效性是明显不足的，不光在披露形式上缺乏统一的、严格的制度约束，在内容上也没有如实反映公司内部控制的真实水平。这种混乱的披露现状一定程度上反映了上市公司整体管理水平和内部控制水平低下的缺陷，既不利于改善上市公司的经营绩效、提高上市公司的风险应对水平，也损害了资本市场上广大投资者的利益。

三、制度因素分析：内部控制信息披露监管制度的制定

我国相关监管部门历来十分重视引导上市公司内部控制的完善和信息披露制度的建设，相继出台了一系列法律法规，这些规定基本搭建起我国上市公司内部控制信息披露的监管制度框架。本文中所讨论的上市公司，不包括证券、保险、银行等金融类上市公司，因为相关部门对这类上市公司的内部控制和信息披露另有较为严格的规定。本文先大致列出近年来关于上市公司内部控制信息披露的相关规定，在此基础上，分析披露制度及其问题。内部控制披露的相关规定见表2。

从表2可以看出，我国的信息披露制度基本由披露主体范围、披露要求和形式及内容、披露报告审核要求、内部控制责任主体、强制性披露还是自愿性披露等核心规定构成，总的来说我国上市公司内部控制信息披露的监管和相关制度经历了一个逐渐完善的过程，尤其是随着2010年配套指引的颁布，制度建设有了一个大的进步。但是从制度本身出发，还是存在以下问题：

1.内部控制规定长期缺乏统一的法律依据。从2001年开始，中国证监会就已经开始规定相关信息披露制度，随后上交所、深交所等许多监管部门都出台了相关法规。根据法律执行的相关原则和法律效力，这些行政法律、法规在一定时间和一定范围内都起到了规范和约束的作用，但是从表中可以看出2010年之前，针对上市公司的内部控制信息披露一直缺乏一个权威、标准的法规加以约束，证券交易所的相关指引毕竟没有上升到国家的法律和法规，对于非上市公司的指导意义也是有限的。

2.内部控制信息披露的形式和内容缺乏统一、具体的要求。制度的建立必须有一个统一的执行标准和具有可行性的要求。2010年以前，针对内部控制披露以及注册会计师鉴证披露的形式和内容的规定不同的法规有着不同的内容和形式要求，且规定较宽泛，执行起来自由度过大也就降低了可行性。这使得上市公司在披露内部控制信息时有较大的选择性和随意性，影响了信息披露的质量和不同上市公司之间的可比性。

3.强制性信息披露的犹豫和缺乏。在信息披露方式的选择上，一直存在着自愿披露和强制性披露的争议。我国从2001年开始实行的是自愿性披露，2006年开始规定强制性披露，但是强制性披露的实际执行时间一直被推迟，直到2012年才正式开始在两市主板上市公司施行。经过10年左右的内部控制的制度发展期，我们相信从内外部条件来说，施行强制性内部控制信息披露的时机已经成熟。2012年开始，相关监管部门应该在有关规定的基础上要求上市公司严格执行强制性披露的规定。

4.长期缺乏权威的内部控制评价标准。美国针对内部控制的评价标准提出COSO内部控制框架，并不断更新完善。中国在2010年之前一直缺乏一个明确的内部控制标准，外部注册会计师对于内部控制的审计也缺乏明确的职业准则，这显然不利于提高上市公司披露的有效性，也增加了注册会计师的职业风险，使得制度施行带有明显的不可操作性。

5.内部控制责任主体不明确。从表2中的规定可以看出，证监会2010年规定上市公司监事会有对内部控制发表独立意见的责任，但是又规定了免于披露的权利。之后，关于公司内部控制及披露的责任主体一直存在制度盲区，人们对这个问题存在着长期的争论。监事会、管理层、财务经理、审计委员会还是董事会，内部控制责任主体应该是哪一方？经过学术界和英美等国家的实践，争论尘埃落定，内部控制的责任主体只能归属于上市公司董事会。同时，由于中国上市公司独特的治理结构，董事会和管理层往往职权重叠，这样的责任主体安排有着特殊的意义。

通过以上分析，一直以来由于执行中缺乏严格的处罚措施和以上的问题的出现，总的来说，我国政府相关部门对于上市公司内部控制信息披露缺乏有力的监管，内部控制披露制度还不完善。令人欣喜的是，随着《内部控制基本规范》和《内部控制配套指引》的统一颁布和施行，在制度建设方面内部控制披露有了很大的改善。

四、完善内部控制信息披露制度、提高上市公司披露水平的建议

在上文分析的基础上，主要针对完善披露制度方面提出一些建议，同时结合对于上市公司披露现状的整体分析，也从公司等角度提出一些改善信息披露现状的思路。

1.监管部门着重完善和统一内部控制法规，建立长效的、可操作性的内部控制评价标准和审核（审计）标准，并能随着我国企业经营环境的变化作出及时的变化，监管和引导并举。同时，逐步规范信息披露的内容和形式，明确内部控制建设和披露的责任主体，完善强制性披露的信息制度，规范奖惩措施，真正将内部控制和信息披露制度纳入到资本市场上市公司监管的基本制度之中。借鉴自愿披露阶段学者们的研究成果，在自愿披露阶段学者们进行了大量关于披露现状和问题的研究，进入强制性披露之后，一些关于披露形式上的问题得到解决，比如必须按规定及时进行披露、披露的格式等有统一规范。但是在披露实质内容和有效性方面，强制性披露的办法并不能一劳永逸，比如要披露内部控制的不足。大量的实证研究表明，上市公司自愿披露的动力和有效性与公司业绩和治理结构都有着重要的关系。该类问题的解决有赖于自愿披露阶段学者们的研究成果。所以，相关监管部门应该在借鉴相关研究成果的基础上，吸收其建议中的政策意义，为强制性披露阶段的决策提供依据。结合中国当下实际，要严格执行《内部控制基本规范》和《内部控制配套指引》，统一内部控制监管制度。

2.作为内部控制实施的主体，上市公司和其他企业应该认识到在如今高风险的商业环境中建立一套有效的内部控制制度并及时完整地披露的重要性。总的来说，我国企业的内部控制基础较为薄弱，但是更应该在相关规范的指导下逐步有效地开展内部控制建设。其中，重要的一点是完善公司的治理结构，尤其是上市公司的治理结构，优化股权结构，改善经营和决策混乱、过分集权的现状，不断完善内控制度。在向投资者传递积极信号的激励下，完善内部控制信息的披露，非上市公司要增强自愿性披露的动力。

做好上市公司内部控制信息披露既非朝夕之功，也不能靠一方之力。它需要在不断总结内部控制实践的基础上，监管部门、上市公司、会计师事务所以及社会各界都做好自己的工作，相互配合，从而支撑这一制度的良性运作。《企业内部控制基本规范》和《企业内部控制配套指引》已经出台和施行。从2011年1月起，全国69家（截至2010年年底）境内外同时上市的公司正式执行中国企业内控规范体系；同时，205家A股公司也自愿参与实施内控规范体系的试点工作，首批执行和试点内控规范体系的公司总数达到274家。内部控制和信息披露正从一个资本市场的新鲜事物，逐渐为人们所认识和接受。

【参考文献】

[1] 方红星，戴捷敏.公司动机、审计师声誉和自愿性内部控制鉴证报告：基于A 股公司2008—2009 年年报的经验研究[J].会计研究，2012（2）：87-95.

[2] 李明辉，何海，马夕奎.我国上市公司内部控制信息披露状况的分析[J].审计研究，2003（1）：38-43.

[3] 左田芳.上市公司内部控制信息披露的问题研究[J].中国总会计师，2010（5）：91-95.

[4] 韩亚丽.上市公司内部控制信息披露问题研究[J].中国证券期货，2012（3）：33-34.