本站原创摘 要 ：文章以沪深两市主板上市公司2010年度内部控制自我评价报告及鉴证报告为样本,调查我国上市公司内部控制报告披露的内容、格式、程序存在披露数量少、格式繁杂、信息不透明、依据不统一、程序不规范等问题.最后对上市公司、监管部分和注册会计师分别提出相关建议实务指导建议.
关 键 词 ：内部控制；内部控制自我评价报告；内部控制鉴证报告
一、 引言
内部控制自我评价报告及其鉴证报告是目前国际通行的两种了解与评估企业内部控制有效性的内部控制报告.这两份报告从2002年美国《会计改革与投资者保护法案》（SOX法案）404节强制要求上市公司披露而获得国内外学者的广泛关注.虽然在我国内部控制报告目前仍属于自愿披露范畴,但随着《首次公开发行股票并上市管理办法》,《企业内部控制基本规范》等诸多法规的颁布,内部控制报告的披露已是大势所趋,并将作为常态与上市公司年度财务报告共同出现.
国外对内部控制报告的研究主要集中于分析上市公司对内部控制的一般、重要和重大缺陷披露的影响因素,而我国学者更关注内部控制报告自愿披露的影响因素.蔡吉甫（2005）实证发现经营业绩好、财务报告质量高的上市公司倾向于披露内部控制信息；方红星等（2009）研究结果显示上市公司是否自愿披露内部控制信息与海外交叉上市、聘请"四大"、资产总规模、资产净利率、独立董事比例、审计意见类型相关；林斌和饶静（2009）发现内部控制资源充裕、快速成长、设置了内审部门的上市公司更愿意披露内部控制鉴证报告；张龙平等（2010）实证发现披露内部控制鉴证报告的公司会计盈余质量较高.上述研究较少关注报告内容、格式、程序的披露现状,极少将内部控制自我评价报告和鉴证报告联系起来,为此,本文将对内部控制报告的现状进行调查,并对上市公司、监管部门和审计师提出改进建议以期丰富内部控制相关理论和实务成果.
二、 内部控制报告现状调查
1. 研究设计.此次调查的目的是在从披露数量、格式与内容、鉴证程序三个维度对深沪两市2010年度内部控制报告披露情况及其联系进行研究,从而提出对管理层、事务所、监管部门的相关建议.调查对象为深市主板（485家）,沪市A股主板（880家）,共1 365家上市企业,调查截止日为2011年12月31日.2010年度制造业、房地产业、交通运输仓储业、批发零售贸易、金融保险业、采掘业、电力煤气水生产和供应业、信息技术业、社会服务业、农林牧渔业、传播与文化、建筑业、综合类内部控制自我评价报告披露情况分别为472家、59家、47家、59家、19家、26家、46家、49家、29家、18家、6家、20家和42家；内部控制鉴证报告披露情况分别为152家、31家、24家、21家、19家、18家、17家、15家、12家、9家、6家、5家和4家.制造业的内部控制报告的披露率最高,占52.91%,房地产行业次之,为6.61%.
2. 调查结果分析.
（1）报告数量.剔除资料不全的上市公司,调查有效样本数分别为883份内部控制自我评价报告及321份内部控制鉴证报告,披露率分别为64.69%和23.52%,总体披露情况并不理想.其中沪市披露率仅45.80%的上市公司披露内部控制自我评价报告,远低于深市98.97%.内部控制鉴证报告自愿披露比例深沪两市持平,均略超过20%.此外,本文统计表明2007年～2010年深市内部控制报告披露率较高.深市自评报告的披露率四年分别为92.42%、96.93%、100%、98.97%,沪市自评报告披露率虽然低于深市,但逐年提高,分别为16.71%、40.50%、45.25%、45.80%.内部控制鉴证报告深沪两市都呈现缓慢上升趋势,深市披露率分别为：9.31%、10.15%、19.79%、22.06%,沪市为12.80%、15.16%、20.57%、24.32%.由此可见,虽然上市公司为应对内部控制自我评价报告逐步强制的披露要求,加强了自我评价报告的披露,然而内部控制鉴证属于自愿报告范畴,出于成本与效益原则考虑,不少上市公司披露的动力仍显不足.
（2）报告格式与内容.
①内部控制自我评价报告.我国内部控制自我评价报告披露数量不断增多,但质量却有待提高.我国《企业内部控制评价指引》要求采用国际主流的COSO内部控制五要素框架进行披露,然而多少自我评价报告流于形式,仅简单披露五要素的定义及建议,及列举内部控制制度名称,披露内容过于简单且缺乏对关键问题的具体分析,如缺少对内部控制的一般、重要和重大缺陷的阐释.本文对沪市2010年406家调查对象的内控自我评价报告调查发现：沪市高达37.9%的自评报告未完整涵盖五要素,缺失率分别为：内部环境23%、风险评估33%、控制活动19%、信息与沟通31%、内部监督29%.风险评估要素缺失尤为严重.另外,深沪两市有百余家仅列示了董事会声明及审计意见,未披露五要素,其中不乏行业领军企业.由此可见,自我评价报告的内容和格式欠规范,披露质量有待进一步提高.
②内部控制鉴证报告.调查发现鉴证报告存在三大问题：（A）名称不统一.当前调查对象采用差异较大的内部控制鉴证报告名称,包括：“审计报告”,“鉴证报告”,“核实评价意见”,“专项说明”,“制度报告”等.一般而言,鉴证报告和审计报告的鉴证力度较大,鉴证报告比审计报告范围更广阔,而核实、说明的鉴证力度较小,不同名称下审计师履行的审计程序、审核的范围、以及报告的法律效度存在差异,名称不同难以保护使用者的权益.（B）鉴证依据不一致.鉴证依据不同将直接影响注册会计师执业和发表报告意见.统计表明,2010年度我国71.34%的审计师依据《中国注册会计师其他鉴证业务准则第3101号》,74.76%基于《企业内部控制基本规范》,部分参照《中国注册会计师审计准则》.财务报告审计中的内部控制测试与内部控制鉴证在测试内容、范围、准确度上的要求不同,内部控制鉴证对内控审查更为严格,审计程序较为复杂,收集的证据也更多,因此二者不能等同.此外,如中国石化（600028）、兖州煤业（600118）、昆明机床（600806）的审计师根据《美国上市公司会计监管委员会第5号审计准则》或《香港审计准则》发表了鉴证意见,未按中国的准则执业.（C）审计程序不合规.《内部控制审计指引》明确要求审计师在“实施审计工作的基础上,对财务报告内部控制的有效性发表审计意见”,由此要求审计师对内部控制单独发表审计意见,但仍有39个调查对象鉴证报告中声明“此业务是结合财务报表审计目的而进行的,其目的是对上述财务报表整体发表审计意见,而不是对内部控制的专门审核”,无实质性开展内部控制鉴证,直接影响鉴证效果,增加公司审计成本的同时还误导报告使用者,影响审计师公信力.