我国上市公司内部控制缺陷

浅析我国上市公司内部控制缺陷摘要：上市公司的内外部治理分为公司治理与注册会计师审计两个方面，而正是这两个方面的协同作用对公司内部控制产生促进性的影响。然而目前的内部控制规范关于内部控制缺陷的认定存在制度空白，而且国内外也缺乏相关的系统研究。由此本文旨在对其进行深入的研究和探讨。

关键词：内部控制；缺陷；内控信息披露

内部控制是企业董事会、管理层和其他成员实施的为公司运营的效率效果、财务报告的可靠性、相关法令的遵循性等目标的达成而提供合理保证的过程。公司内部控制信息的披露能够确保管理当局发现其内部控制的缺陷改善内部控制管理机制，提高会计信息披露的信息。

一.内控信息披露的作用

（1）内控信息的披露是管理层展示其履行受托人职责的一种表现方式。

（2）内控信息可以强化管理当局的内部控制意识，从而提高对内控的管理。

（3）内控报告可以规范企业的财务报告，从而提升其可靠性，在一定程度上减少不必要的舞弊事件。

（4）内控报告可以给外部投资者提供一些额外的信息，以助其作出投资决策。

二.国内内控信息披露的规定的缺陷

（一）银行、证券和保险公司的内控信息披露

银行、证券和保险公司披露内容较为详细。其主要内容为其具体项目的内部控制。大致内容如下：（1）在监事会报告中披露公司建立了比较完善的内控制度。（2）年度报告中专设“本行内控制度的完整性和有效性说明”，内容如下：（a）公司基本情况；（b）内部控制简要说明；（c）董事会对内部控制制度有效性评价及认定；（3）会计师事务所出具的内部控制审计报告。

（二）一般性上市公司内部控制信息披露规定

（1）就上市公司而言，2001年证监会重新修订的《年度报告内容与格式》虽规定监事会应就公司内部控制制度是否完善发表独立意见，但该披露的要求仅仅限于“是否建立完善的内部控制制度”，而并没有要求公司内部控制的详细信息以及监事会的评价。

（2）对内控信息披露的格式与具体内容没有进行详细的规定。在披露内控信息的800多家上市公司中，大多只披露“本公司建立了完善的内控制度”或者类似的话，但是没有关于内控具体制度等。由此看来我国上市公司内控信息基本上是流于形式，而没有实质性的执行及执行效果。

（3）就披露内控信息的主体而言，主要是监事会的报告，并未对董事会就内控信息的责任方面进行相关的规定。然而，建立并维持有效地内控制度是管理层的一项重要责任。

（4）并未要求注册会计师对内控信息发表意见，这更加难以保证其公允性和客观性。

三.内控缺陷认定的困境

内部控制缺陷是指内部控制的设计存在漏洞、不能有效防范错误与舞弊现象的出现，或者内部控制的运行错在弱点和偏差、不能及时发现并纠正错误与舞弊的情形。

（1）制度困境：内控缺陷原则式认定与规则式认定的两难选择（2）理论困境：财务报告内控缺陷与公司内控缺陷的明确界定（3）操作困境：一般控制、重要控制、重大控制缺陷的界定就目前国内外的的划分标准来说，是按照“发生的可能性”及“导致后果的程度”来分的。控制缺陷是指内控的设计和运行使得管理层或员工在执行时不能及时阻止或发现错报。重要缺陷是指“一个或者多个控制缺陷的组合，对管理层按照工人会计准则可靠设立、授权、记录、处理或报告外部财务数据的能力产生负面影响，从而导致管理层不能阻止和发现财务错报的可能性较大”，重大缺陷是指“一个重要缺陷或多个重要缺陷的组合，存在一个合理可能性导致财务报表重大错报不能被阻止或发现”

四.内控缺陷认定困境的破解及框架

（1）内控缺陷规范采用规范式的制定思路

单纯采用原则式的内控缺陷规范思路可能引致如下问题：第一，企业自我选择问题。由于企业的趋利避害的本能就决定了在其自我

选择的规范下，由于没有具体详细的认定标准，很多确实存在重大缺陷的企业，并不愿意披露其缺陷。第二，企业操作难度及操作成本问题。原则式的认定思路会增加企业的操作难度及操作成本。第三，信息不一致问题。在原则式的内控缺陷认定框架中，相同内控缺陷的不同企业做出的结论可能不同，导致内控信息不一致。

（2）会计层面内部控制缺陷与公司层面内控缺陷应明确定义和区分

本文将会计层面的内控缺陷定义为“可以直接导致财务错报的内控缺陷，”包括账户核算类缺陷、账户核对类缺陷、原始凭证类缺陷、期末报告类缺陷和会计政策遵从类缺陷。公司层面内控缺陷的定义是“发生在会计层面之外的，影响公司经营和经济绩效以及简洁影响财务错报的内控缺陷”。公司层面的内控缺陷审计难度较大，与公司各个层面的管理人员息息相关，对公司的影响范围更深、更广。

（3）应通过定量化或者定型化标准对一般、重要和重大控制缺陷进行区分

对会计层面的内控缺陷应该用量化标准进行认定，即对某项内控缺陷造成财务错报的可能性和导致后果进行量化，从而判断是否为一般、重要或重大内控缺陷。对可能性的量化问题，目前国内外的相关规范制度并没有涉及。

五.上市公司内部控制信息披露的改进措施

（1）对上市公司内部控制信息的形式和内容作出统一和明确的强制性规定。

（2）加强内部控制理论的研究，形成我国独特的内控理论体系，这样做符合我国实际，又能够与国际接轨。

（3）我国企业内部控制体系的设计应包括构建风险管理机制、设定良性的控制活动、建立广泛的信息与交流等方面内容。

（4）指定内控鉴证职业规范，指导注会人员进行鉴证工作。

第一，建立逻辑统一的内部控制框架。目前我国内部控制鉴证业务准则和公司管理层采用的内部控制标准在目标、控制要素等基本概念存在众多不一致的地方。而管理层、注册会计师和报告的使用者之间在内部控制基本概念上达成“共识”是有效开展内部控制鉴证服务的前提。

第二，管理层应该提供能够“可审计的”内控制度。由于内部控制审核业务是注册会计师对管理层对内部控制评价报告进行进

一步的审核，为使审核工作顺利进行，管理层需要对某些具体流程重新设计，使相关内部控制具有“可审计性”。kpmg针对这一要求，提出了相关建议，具体包括：划定评价范围、制定评价计划；进行记录控制；对设计及运作的有效性进行评价，并沟通评价结果、弥补缺陷；指明、归集、评价内部控制设计和运作上的缺陷；准备财务报告相关内部控制有效性的书面声明报告等。

第三，理解内部控制在治理舞弊方面的局限性。良好的内部控