上市公司内部控制自我评价报告

2008年5月,财政部、证监会、审计署、银监会、保监会联合《企业内部控制基本规范》,要求执行内部控制规范的上市公司，应当自2009年7月1日起对本公司内部控制的有效性进行自我评价，披露年度自我评价报告。自此上市公司内部控制自我评价报告情况引起了实务界和理论界的广泛重视。本文将以江西省国有上市公司为例，对上市公司内部控制自我评价报告披露概况、存在的问题进行分析，并拟提出相关的初浅建议。

一、江西省国有上市公司内部控制自我评价报告披露情况

本文以21家江西省国有上市公司为研究对象，内部控制评价报告披露情况涉及2008年～2010年。

1.内部控制自我评价报告的披露家数。

内部控制自我评价报告作为企业对自身内部控制有效性进行评价之后的最终结果，包含了企业内部控制方面的所有重要信息，是外部投资者了解企业内部治理情况的首选资料。2008年～2010年江西省国有上市公司披露内部控制自我评估报告的国有上市公司数量分别是：12家、14家、15家。这说明随着国家有关内部控制规范的实施，越来越多的上市公司认识到内部控制评价的重要性，愿意进行内部控制评价并披露自我评价报告的上市公司也越来越多。

2.内部控制自我评价报告披露的方式。

内部控制自我评价报告的披露方式主要有两种：一是作为公司年报的一部分随年报一同披露；二是作为独立的报告单独披露。在2008年披露了内部控制自我评价报告的12家公司中，有7家是单独披露的，剩下的5家是随年报一同披露。2009年则有9家单独披露的，其余5家是随年报一同披露。2010年增加到有12家是单独披露的，只有2家是随年报一同披露的。这说明上市公司的内部控制自我评价报告的披露正在逐步地走向规范化和正式化。

3.内部控制自我评价报告披露的内容。

（1）对重点业务控制活动信息的披露。

无论是上交所还是深交所，其《上市公司内部控制指引》都将公司的某些经营活动确认为重点关注的对象，如关联方交易、对外担保、募集资金使用、重大投资等。但由于各个公司所处的行业不同，其日常经营活动不一样，导致对内部控制活动的披露也是五花八门。最多的如仁和药业在2009年的内部控制自我评价报告中披露了包括关联方交易、对外担保在内的多达12项重点业务控制活动，而较少的则只披露了7项，有的公司甚至没有说明哪些是重点业务控制活动。披露最多的主要是《上市公司内部控制指引》中规定的项目，具体情况见表1。

表1 重点业务控制活动披露情况

从表2可以看出，披露这5项活动的公司数量在已披露内部控制自我评价报告的公司中都占到了2／3以上，说明这几项乃是公司内部控制需要重点监督和检查的环节。其中，披露对外担保活动的公司数量2007～2010年都较多，可见对外担保活动对大多数上市公司而言都是一个存在重大风险的环节，需要公司高度关注。

（2）对监事会、独立董事内部控制评价意见的披露。

从《企业内部控制基本规范》对内部控制的定义中可以发现，监事会是内部控制的实施主体之一，对股东大会负责，并对董事会建立于事实内部控制进行监督。《企业内部控制评价指引》提出由董事会负责实施内部控制评价并出具报告。对于独立董事而言，这项制度的设计最初是为了防止大股东和管理层的内部人控制，为了公司的整体利益，独立董事应当对内部控制的设计和运行发表意见，这才能体现独立董事制度在现代公司治理结构的重要性。另外，深交所的《上市公司内部控制指引》第六十二条明文规定：公司董事会应依据公司内部审计报告，对公司内部控制情况进行审议评估，形成内部控制自我评价报告；公司监事会和独立董事应对此报告发表意见。经笔者统计，在已披露内部控制自我评价报告的江西上市公司中，同时对监事会与独立董事意见进行披露的情况如表2所示。

表2 监事会与独立董事对内部控制自我评价报告意见的披露情况

通过表2可以发现，披露监事会于独立董事对内部控制自我评价报告意见的上市公司数量并不占多数，这说明大多数公司的监事会和独立董事对内部控制未尽全责。经笔者进一步分析发现，所有披露了监事会于独立董事对内部控制自我评价报告意见的公司都是在深交所上市的，而在上交所上市的公司均未披露。这可能是因为深交所有强制性披露的规定，而上交所没有。而《企业内部控制基本规范》及《企业内部控制评价指引》也未明确规定是否要披露，这就是导致了前面“一边倒”的局面，各上市公司选择执行其所在交易所的规定。

二、上市公司内部控制自我评价报告存在的问题

经过前面的统计和分析，我们可以大致了解江西国有上市公司内部控制自我评价报告的基本情况，总体情况还是非常良好。但由于我国内部控制规范还存在不足，导致内部控制自我评估报告还存在以下一些问题：

1.评价标准不统一，导致披露的内容和方式不一致。

我国有关内部控制的文件很多，如2001年的《内部会计控制规范》，2006年上交所和深交所的《上市公司内部控制指引》以及2008年的《企业内部控制基本规范》等。这些法规在内容上既有重合之处也有完全不同的地方，例如在内部控制自我评价报告的内容规定上，上交所规定至少包括其所列出的七项内容，深交所列出了思想，而《企业内部控制评价指引》则列出了八项。由于缺乏统一的标准，上市公司披露的内部控制自我评价报告在内容上各不相同，有的披露监事会意见，有的不披露，有的按内部控制五要素的顺序来披露，有的按照重点业务控制活动，这样不利于进行横向比较。

2.内部控制自我评价报告信息含量不高。

在已经披露内部控制自我评价报告的上市公司中，披露了内部控制缺陷的不多。即使是在这些披露了缺陷的报告中，我们也没有发现公司对重大缺陷的定义、查出重大缺陷所采用的方法以及披露造成缺陷或问题的责任人。从公司内部的角度来看，公司可能出于自身利益考虑将重大缺陷，而只是披露一些无关痛痒的小问题。从公司外部的角度来看，缺乏强制披露隐瞒不报的惩罚，导致披露的内部控制自我评价报告的信息含量不高。

3.对出具内部控制自我评价报告的责任主体的认识不足。

从调查统计的结果来看，对于出具内部控制自我评价报告的责任主体这个问题,上市公司的认识比较欠缺，存在“董事会”、“董事会审计委员会”、“xx公司”甚至没署明责任主体等多种形式。而且，绝大多数的上市公司所披露的年度自我评价报告没有负责人签字。上市公司对出具年度自我评价报告的责任主体认识不清，年度自我评价报告一旦出错，都不清楚该由谁负责，从而降低了公众对上市公司年度自我评价报告的可信赖程度，影响广大投资者对公司的信心。

三、提高内部控制自我评价报告质量的政策建议

1.统一报告披露的基本标准。

从《企业内部控制基本规定》的规定可以看到，虽然其要求企业披露自我评价报告，但是对披露的方式、范围、程序等没有做确切的规定。笔者认为，各家公司所处的行业虽有所不同，上市的交易所也不一样，但是在披露的内容上完全可以《企业内部控制评价指引》为主，以各交易所的《上市公司内部控制指引》为辅，前者有规定的按照前者执行，前者未规定而后者有规定的也要执行，即求同存异、主次分明。

2.提高内部控制自我评价报告的市场影响力。

众所周知，完全按照规定一丝不苟地完成一份自我评价报告的成本不低，而且收效甚微，即使做到了也不符合成本效益原则。只有让投资者多关注内部控制自我评价报告，让其市场影响力增强，上市公司才会意识到披露的重要性，自然就会进行自愿披露了。鉴于财务报告的市场地位，可以将自我评价报告作为财务报告的一部分列入审计师对年报可靠性发表意见的范围。

3.增强执行力。

再好的基本规范和评价指引，如果不能有效执行，也只是一纸空文。执行力是一套系统化的流程，包括对方法和目标的讨论、坚持以及对责任的具体落实。只有具有较强执行力的上市公司，才能将《企业内部控制基本规范》和《企业内部控制评价指引》中的一条条规定转化为实实在在的有利于完善公司内部控制和投资者决策的信息。这样就能解决当前自我评价报告中信息量不足的问题，在操作上则可以从战略、人员和运营上着手，增强对内部控制法规的执行力。

（作者单位：鄱阳县人民医院）