内部控制信息披露

一、我国内部控制信息披露发展历程

在近来的研究中，有关内部控制的法规文件一般追溯至2000年。2000年12月中国证监会发布了《公开发行证券公司信息披露编报规则第7号—商业银行年度报告内容与格式特别规定》和《公开发行证券公司信息披露编报规则第8号—证券公司年度报告内容与格式特别规定》，要求商业银行、证券公司在年度报告中应对其内部控制制度的完整性、合理性和有效性做出说明，同时还应委托所聘请的会计师事务所对其内部控制制度，尤其是风险管理系统的完整性、合理性和有效性进行评价，提出改进建议，并出具评价报告。评价报告应随年度报告一并报送中国证监会和证券交易所。

2001年12月，中国证券监督管理委员会发布了《公开发行证券的公司信息披露内容与格式准则第2号<年度报告的内容与格式>》(2001 年修订稿)，其中第四十二条规定，在年度报告正文中，监事会应对“公司决策程序是否合法，是否建立完善的内部控制制度，公司董事、经理执行公司职务时有无违反法律、法规、公司章程或损害公司利益的行为”发表独立意见。该规则强制要求上市公司对其内部控制信息进行披露，但披露内容较为简单，仅是一笔带过。

2003年3月证监会又针对上市银行内部控制信息披露做出了规定，明确了董事会对于内部控制的责任。2005 年中国证监会要求上市公司定期对内部控制的完整性、合理性及实施的有效性进行检查和评估，并开始要求上市公司通过外部审计对公司的内部控制制度以及公司的自我评估报告进行核实评价，该年度内银监会还发布了商业银行部控制评价办法。可以说，我国在2006年以前以及美国在2002年以前并未对内部控制信息披露做出强制性规定，内控信息披露系上市公司自选择的行为。

2002 年美国国会通过的《萨班斯法案》关于内部控制信息强制性披露的要求对我国产生了较深的影响。2006年，上交所与深交所分别于6月5日和9月28日发布了《上市公司内部控制指引》（以下简称《指引》），前者自2006 年7月1日起生效，后者自2007年7月1日实施，两者皆要求上市公司披露董事会编制的内部控制自我评估报告以及会计师事务所对内部控制报告的核实评价意见。考虑到实施的仓促性以及我国上市公司内部控制建设的现状，上交所于2006年12月在《关于做好上市公司2006 年年度报告的通知》中对《指引》做了补充，只要求上市公司在年报的“重要事项”部分披露内部控制信息，鼓励有条件的上市公司遵守《指引》的规定。由于《内控指引》强制要求上市公司披露内部控制自我评估报告和注册会计师审核意见，因此两个指引的发布标志着我国内部控制信息进入强制性披露阶段，也称《内控指引》为内部控制信息强制性披露规则。

2007年证监会对《公开发行证券的公司信息披露内容与格式准则第2号<年度报告的内容与格式>》进行修订，其中公司治理结构部分第三十条规定，公司应该说明生产经营控制、财务管理控制、信息披露控制等内部控制制度的建立和健全情况，包括内部控制制度建立健全的工作计划及其实施情况、内部控制检查监督部门的设置情况、董事会对内部控制有关工作的安排、与财务核算相关的内部控制制度的完善情况。同时鼓励央企控股的、金融类及其它有条件的上市公司披露董事会出具的、经审计机构核实评价的公司内部控制自我评估报告。这部分与2001年修订稿相比较，有了很大的进步。

由于内部控制相关规定比较分散，权威性不足，为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，维护社会主义市场经济秩序和社会

公众利益，2008年6月28日财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制基本规范》，自2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。执行该规范的上市公司，应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计。

2010年4月26日，财政部、证监会、审计署、银监会、保监会等五部委刚刚联合并发布了《企业内部控制配套指引》。国际著名会计师事务所德勤表示，指引将有助于提升中国企业的财务报告质量，减少商业欺诈风险。该配套指引包括18项《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》，连同此前发布的《企业内部控制基本规范》，标志着适应我国企业实际情况、融合国际先进经验的中国企业内部控制规范体系基本建成。

为确保企业内控规范体系平稳顺利实施，财政部等五部门制定了实施时间表：自2011年1月1日起首先在境内外同时上市的公司施行，自2012年1月1日起扩大到在上海证券交易所、深圳证券交易所主板上市的公司施行；在此基础上，择机在中小板和创业板上市公司施行；同时，鼓励非上市大中型企业提前执行。

这一套控制规范被称为中国的“萨班斯法案”，自正式实施之日起，执行企业内控规范体系的企业，必须对本企业内部控制的有效性进行自我评价，披露年度自我评价报告，同时聘请具有证券期货业务资格的会计师事务所对其财务报告内部控制的有效性进行审计，出具审计报告。注册会计师发现在内部控制审计过程中注意到的企业非财务报告内部控制重大缺陷，应当提示投资者、债权人和其他利益相关者关注。

2014年1月3日证监会与财政部联合发布《公开发行证券的公司信息披露编报规则指引第21号—年度内部控制评价报告的一般规定》。该规定明确了内部控制评价报告构成要素，并针对核心构成要素，如重要声明、内部控制评价结论、内部控制评价工作情况等，逐一说明了需要披露的主要内容及相关要求。对于内部控制评价结论规定要求披露财务报告内部控制是否有效的结论，并披露是否发现非财务报告内部控制重大缺陷。对于内控评价工作情况，规定要求区分财务报告内部控制与非财务报告内部控制，分别披露重大、重要缺陷认定标准、缺陷认定和整改情况等。

二、案例

中国南方航空股份有限公司及其子公司主要从事提供国内、港澳台地区及国际航空客运、货运及邮运服务。该公司于1995年3月25日注册成立，1997年7月分别在香港联合交易所有限公司和美国纽约证券交易所上市， 2003年 7月在上海证券交易所上市。南方航空内控信息披露内容的变化反映了内部控制信息披露在我国的发展历程。

我国在2006年以前并未对内部控制信息披露做出强制性规定，内控信息披露系上市公司自选择的行为。南方航空在2006年以前并未披露有关公司内部控制的信息。

2006年上交所发布《上市公司内部控制指引》，自2006 年7月1日起生效，要求上市公司披露董事会编制的内部控制自我评估报告以及会计师事务所对内部控制报告的核实评价意见。考虑到实施的仓促性以及我国上市公司内部控制建设的现状，上交所于2006年12月对《指引》做了补充，只要求上市公司在年报