上市公司内部控制评价报告及鉴证报告披露分析

上市公司内部控制评价报告及鉴证报告披露分析

财政部、证监会、审计署、银监会、保监会联合发布了《企业内部控制基本规范》，标志着我国企业内部控制规范建设取得了重大突破，是我国企业内部控制建设的一个重要里程碑，可以说相当于中国的《SOX法案》。其基本规范自2009年7月1日起首先在上市公司范围内施行，同时鼓励非上市的其他大中型企业执行。《企业内部控制基本规范》要求执行本规范的上市公司，应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计。

一、我国上市公司内部控制信息披露的现状

1.2006-2009年内部控制信息披露的整体状况。

深沪交易所从2006年开始要求上市公司披露内部控制自我评价报告和鉴证报告，但可虑到实施的衔接性，深沪交易所规定上市公司２００６年年报也可在全文的”重要事项”部分披露内部控制信息。由于不是强制要求披露，而且是内部控制自我评价报告和鉴证报告披露的第一年，上市公司内部控制自我评价报告和鉴证报告披露的情况不多。如2006年，沪市只有77家上市公司披露了内部控制自我评价报告，占当年披露年报公司的9.1%，而内部控制鉴证报告只

有35家披露，占当年披露年报公司的4.1%。

从2007年开始，由于证监会和深沪交易所对内部控制自我评价报告和内部控制鉴证报告的披露要求越来越严，内部控制自我评价报告和鉴证报告披露的情况逐年向好。以上海市场为例：披露内部控制自我评价报告的上市公司从2006年77家上升到2009的354家，披露率上升了34.2个百分点；而披露内部控制鉴证报告的上市公司从2006年35家上升到217家，披露率上升了20.7个百分点。

2.上市公司2009年内部控制自我评价报告和鉴证报告披露状况。

2009年底正常在深沪正常交易的上市公司有1297家(深圳452家，上海845家)其中深市由于深圳证券交易所2009年对深市上市公司披露内部控制自我评价报告作了强制性规定，因此深市上市公司全部452家都披露了内部控制自我评价报告，而沪市仍属于自愿披露，有378家上市公司披露了内部控制自我评价报告，披露率为43.1%。而内部控制鉴证报告两市均属于自愿披露，深市共102家上市公司披露了内部控制鉴证报告，披露率为22.6%，沪市共217家上市公司披露了内部控制鉴证报告，披露率为25.7%，沪市略好于深市。

2009年在主板上市交易的金融企业共30家，全部披露了内部控制自我评价报告，其中有29家披露了内部控制鉴

证报告，只有1家没有披露，从此情况看出，由于监管政策对金融行业的特殊要求，金融行业披露内部控制信息的情况良好。

2009年披露内部控制鉴证报告企业按行业分类的情况。制造业、房地产业、金融业分别占据披露行业的前三位，分别占比45.14%、9.4%和9.09%。其余行业的披露情况见下表：在披露内部控制鉴证报告的公司中有8家ST公司也披露了内部控制鉴证报告，占比2.5%，正常状态的公司为311家，占比97.5%。

二、内部控制评价报告及鉴证报告中存在的问题

1.上市公司内部控制评价报告对内部控制缺陷信息的披露不充分。我国《企业内部控制基本规范》对内部控制缺陷、重大缺陷和实质性漏洞并没有作出具体的定义，直到2010年颁布的《企业内部控制评价指引》才对内部控制缺陷作出了具体定义。内部控制缺陷，按严重程度分为重大缺陷、重要缺陷和一般缺陷。重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。具体到财务报告内部控制上，就是内部控制中存在的、可能导致不能及时防止或发现并纠正财务报表重大错报的一个或多个控制缺陷的组合。重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。《企业内部控制评价指引》要求经认定的内部控

制缺陷必须在内部控制评价报告中予以披露，但由于《企业内部控制评价指引》2010年才颁布，因此我国上市公司内部控制自评价报告中对内部控制缺陷的识别、认定、披露基本处于探索阶段，上市公司内部控制评价报告对内部控制缺陷信息的披露很不充分，语焉不祥。有些上市公司的内部控制评价报告避重就轻，对公司存在的内部控制缺陷不主动披露，对上市公司受到的处罚也不在报告中披露。

2.内部控制鉴证报告存在两种不同的鉴证意见表达方式。一种是积极主动式，基本的表达方式是“我们认为, 在所有重大方面有效保持”如招商地产审计师事务所德勤华永会计师事务所签署的“我们认为，招商地产公司于2009 年12 月31 日在所有重大方面有效地保持了评估报告所述的按照财政部颁发的《企业内部控制基本规范》建立的与财务报表相关的内部控制。”。另一种是消极被动式，基本表达方式是“没有发现——存在重大差异”“未发现, _存在重大不一致”“未发现重大控制缺陷”等。如深万科的审计事务所毕马威华振会计师事务所签署的意见为“我们未发现，在所有重大方面，贵公司董事会编写的《内部控制自我评价报告》中与财务报表编制相关的内部控制评估内容与我们审计贵公司上述财务报表的审计发现存在不一致。”

3.是内部控制鉴证报告的名称不一致。如内部控制审计核实意见、内部控制核实评价意见、内部控制审核报告、内

部控制专项鉴证报告以及关于《内部控制自我评价报告》的专项说明等等。如航天科技内部控制鉴证报告叫内部控制制度报告，南天信息、锡业股份为内部控制审核报告，安泰科技为内部控制专项报告，华北高速、紫光股份为内部控制自我评价报告的审核评价意见，而深万科的则为关于《内部控制自我评价报告》的专项说明。

三、建议

1.统一内部控制评价报告披露内部控制缺陷的内容，将披露内容格式化。从上市公司披露的内部控制评价报告来看，披露内容着重于对内部控制基本情况和内部控制程序的描述，而对上市公司中存在的内部控制缺陷没有主动披露，或者避重就轻，轻描淡写一笔带过。应当制订内部控制评价报告披露内部控制缺陷的统一标准，规定哪些类型的内部控制缺陷应当予以披露。

2.尽快出台分类内部控制缺陷的操作细则，便于将内部控制缺陷分类工作具体化。2010年颁布的《企业内部控制评价指引》对内部控制缺陷作出了具体定义，但这种定义相当笼统，在实际工作中难以操作，因此应尽快出台评估内部控制缺陷的操作细则，以指导上市公司内部控制缺陷的评估与披露。

3.规范内部控制鉴证报告形式与名称。内部控制鉴证报告在表述方式、名称不一致，会使报告使用者对内部控制鉴