内部控制信息披露

我国上市公司内部控制信息披露的现状分析 基于 2005-2007 年金融类和非金融类上市公司年度报告的调查 辽宁职业学院国际贸易系：闫春竹 摘要：本文对近三年我国金融类上市公司和非金融类上市公司内部控制信 息披露状况进行统计分析,找出我国上市公司内部控制信息披露存在的问题及原 因，提出了完善我国上市公司内部控制信息披露的一些建议和思路。 关键词：内部控制信息披露 内部控制报告 为了解我国上市公司内部控制信息披露的状况，笔者对上市公司年度报告 中的内部控制信息披露状况进行了调查，不涉及招股说明书中的内部控制信息 披露。本文抽取 20052007 年金融类上市公司中的 13 家上市商业银行和 120 家沪市非金融类上市公司的年度报告，对上市公司的内部控制信息披露状况进 行分析。数据主要来自巨潮咨询网站（）和上海证券交易所 网站（） 。 之所以选取金融类和非金融类两类上市公司进行分析，一方面因为我国对 金融类上市公司内部控制信息披露的规定最早，也最为严格，证监会发布文件 要求商业银行、证券公司在年度报告中对内部控制制度的完整性、合理性与有 效性做出说明，并且要委托所聘请的会计师事务所对其内部控制制度的完整性、 合理性与有效性进行评价，提出改进意见，出具评价报告，监事会要对公司是 否建立完善的内部控制制度发表独立意见等，这属于强制性披露。上海、深圳 两个证交所于 2006 年、2007 年相继颁发了上市公司内部控制指引 ，要求所 有的上市公司都要在年度报告中披露内部控制信息，并披露年度内部控制自我 评估报告及会计师事务所对内部控制自我评估报告的核实评价意见。对于非金 融类上市公司的内部控制信息披露才从自愿性披露向强制性披露转变。对金融 类和非金融类两类上市公司内部控制信息披露的状况进行对比分析，可以看出 不同的披露方式下，内部控制信息披露的差异。另一方面，这样可以更加全面 的了解我国上市公司内部控制信息披露的现状。因此，选取了金融类和非金融 类上市公司进行分析。 一、样本选取与描述 截至 2007 底，我国一共有 13 家银行在境内上市，包括深圳发展银行股份 有限公司（深发展 000001）、上海浦东发展银行股份有限公司（浦发银行 600000）、华夏银行股份有限公司（华夏银行 600015）、中国民生银行股份有 限公司（民生银行 600016）、招商银行股份有限公司（招商银行 600036）、南 京银行股份有限公司（南京银行 601009）、兴业银行股份有限公司（兴业银行 601166）、北京银行股份有限公司（北京银行 601169）、交通银行股份有限公 司（交通银行 601328）、中国工商银行股份有限公司（工商银行 601398）、中 国建设银行股份有限公司（建设银行 601939）、中国银行股份有限公司（中国 银行 601988）、中信银行股份有限公司（中信银行 601998）。本文选取 20052007 年的 26 份年度报告作为研究样本（工商银行和中国银行在 2006 年 上市，兴业银行 2007 年 2 月上市，只选取 2006、2007 两年的年度报告；北京 银行、交通银行、建设银行、中信银行和南京银行在 2007 年上市，只选取 2007 年年度报告），对年度报告中内部控制的披露情况进行分析。 本文还随机选取 20052007 年的 120 家沪市非金融类上市公司年度报告中 披露的内部控制信息进行分析。因为上交所内控指引是从 2006 年 7 月开始实施， 而深交所内控指引实施期从 2007 年 7 月开始，如果同时选取沪深两地的上市公 司作为样本，就会失去可比性，因此，选择沪市的非金融类上市公司进行研究。 样本公司涵盖电信、医药、制造、物流运输、能源、零售、房地产等行业。 二、样本分析 （一）内部控制信息披露总体情况 从表 1 和表 2 中数据可以看出： 金融类上市公司： 05、06、07 三个年度，所有的上市银行都在年度报告中披露了内部控制信 息。 非金融类上市公司： 披露内部控制信息的公司大幅度的增加，到 2007 年所有样本公司都披露了 内部控制信息，比 2005 年披露的比例高出 24.4%。 表 1 20052007 年上市银行内部控制信息披露总体情况 披露 未披露 年度 上市银行数 量 数量 百分比 数量 百分比 2005 5 5 100% 0 0 2006 8 8 100% 0 0 2007 13 13 100% 0 0 表 2 20052007 年非金融类上市公司内部控制信息披露总体情况 披露 未披露 年度 公司数 百分比 公司数 百分比 2005 89 74.2% 31 25.8% 2006 118 98.3% 2 1.7% 2007 120 100% 0 0 （二）内部控制信息披露载体 从表 3 和表 4 可以看出： 1、董事会报告。 金融类上市公司： 05、06 年度，董事会是上市银行披露内部控制信息的主要载体，披露时基 本都是先简单介绍上市银行内部控制制度建设情况，然后说明报告期内自身内 部控制情况。 非金融类上市公司： 20052007 年，董事会报告不是非金类融类上市公司内部控制信息披露的 主要载体，而且在董事会报告中披露内部控制信息的非金融类上市公司在逐年 递减。 2、公司治理报告（结构） 。 金融类上市公司： 07 年度部分上市银行内部控制信息披露载体变为公司治理报告，上市银行 如果没有在“董事会报告”中披露有关内部控制信息，就会选择在“公司治理 报告”中予以披露，如浦发、招商、工商等。披露的方式多是先介绍银行内部 控制制度建设情况，然后通过说明报告期内为加强内部控制管理开展的工作， 以此证明银行内部控制制度的完整性、合理性和有效性。但也有例外，中国银 行和交通银行在单独设置的“管理层讨论与分析”中披露内部控制信息。 非金融类上市公司： 越来越多的非金融类上市公司选择在公司治理结构部分披露内部控制的信 息，在公司治理结构中披露内部控制信息的公司 2007 年比 2005 年增加了 71.7%。 目前，公司治理结构成为非金融类上市公司内部控制信息披露的主要载体。 3、监事会报告。 金融类上市公司： 上市银行基本上都是在监事会报告的“监事会就有关事项发表独立意见” 中专设“内部控制制度情况”披露对内部控制制度信息的意见，通常是：“报 告期内，公司制度了较为完善、合理、有效的内部控制制度。 ”但也有例外：深 发展 05 年度、中国银行和北京银行 06 及 07 年度、建设银行和交通银行 07 年 度在“公司依法运作情况”中发表“进一步加强内部控制”或类似意见。而深 发展 06 和 07 年度、招商银行 07 年度、工商银行 07 年度、南京银行 07 年度的 监事会报告中均未提及对银行内部控制制度的评价。 非金融类上市公司： 监事会报告一直是非金融类上市公司披露内部控制信息的主要载体，这与 监管部门的相关规定，尤其是公开发行证券公司信息披露内容格式准则第 2 号年度报告的内容和格式的强制性要求密切相关。但是，到了 2007 年，仍 有 16.7%的公司未在监事会报告中就公司内部控制发表独立意见。 4、附件、内部控制自评报告和审计机构审核报告。 金融类上市公司： 05 年度，没有上市银行在附件中披露公司的内部控制信息；06 年度，民生 银行在附件中披露了董事会出具的内部控制自评报告和会计师事务所的内部控 制审核报告；07 年度，在附件中披露自评报告和审核报告的上市银行增加到了 6 家。 非金融类上市公司： 05 年度，没有一家上市公司披露本公司的内部控制自评报告和会计师事务 所的内部控制审核报告；06、07 年度，披露这两个报告的上市公司的数量有所 增加，但增加幅度不大；07 年度，只有不到一半的上市公司披露内部控制自评 报告和审核报告。内部控制自评报告和审核报告的上市公司大多是在附件中披 露，也有公司在公司治理结构部分披露两个报告。 表 3 20052007 年上市银行内部控制信息披露载体 年 度 披露载体 深 发 展 浦 发 银 行 华 夏 银 行 民 生 银 行 招 商 银 行 工 商 银 行 中 国 银 行 兴 业 银 行 北 京 银 行 交 通 银 行 建 设 银 行 中 信 银 行 南 京 银 行 公司治理报告 董事会报告 监事会报告 附件 0 5 年 度 审计机构审核报告 公司治理报告 董事会报告 监事会报告 附件 0 6 年 度 审计机构审核报告 公司治理报告 董事会报告 监事会报告 附件 0 7 年 度 审计机构审核报告 注：为进行了披露，为未进行披露 表 4 20052007 年非金融类上市公司内部控制信息披露载体 公司数 百分比 披露载体 2005 2006 2007 2005 2006 2007 公司治理结构 22 23 108 18.3% 19.2% 90% 董事会报告 13 5 2 10.8% 4.2% 1.7% 监事会报告 82 80 100 68.3% 66.7% 83.3% 重要事项 10 102 2 8.3% 85% 1.7% 公司内部控制自评报告 0 13 44 0 10.8% 36.7% 事务所内部控制审核报告 0 4 40 0 3.3% 33.3% （三）内部控制信息披露量 金融类上市公司： 从样本时间顺序来看，同一家银行内部控制披露的信息量基本稳定，较少 出现大的波动，随着时间的推移，各家银行内部控制信息披露量有增多的趋势； 各银行之间比较来看，不同银行内部控制信息披露量由很大的差别，如深发展、 交通银行披露较少，民生银行、工商银行等披露较多。 非金融类上市公司： 从纵向来看，0507 年，上市公司内部控制信息披露量逐渐增加；横向看 来，各上市公司内部控制信息披露量由很大了差别。 （四）内部控制信息披露内容 金融类上市公司： 从表 5 可以看出，所有的银行在年度报告中都对内部控制的基本构架进行 了描述，对本公司的内部控制的评价都是正面的，没有银行披露本公司内部控 制的缺陷；多数银行的监事会报告中对内部控制的“三性”进行了评价；几乎 没有公司对内部控制评价标准进行披露，只有民生银行 07 年度报告中提到： “按照 COSO 内部控制框架设计和过程性考核与结果性考核分开的原则，按季 对分支机构和事业部的内部控制状况进行综合评价。 ”；05 年度报告中没有银行 提出进一步改进内部控制的措施，06、07 年度报告中部分公司提出了相应的改 进措施，如浦发银行、民生银行。 表 5 20052007 年上市银行内部控制信息披露内容 年 度 披露内容 深 发 展 浦 发 银 行 华 夏 银 行 民 生 银 行 招 商 银 行 工 商 银 行 中 国 银 行 兴 业 银 行 北 京 银 行 交 通 银 行 建 设 银 行 中 信 银 行 南 京 银 行 对内部控制的描述 监事会对内部控制“三性” 的评价 董事会和监事会对内部控 制评价详细标准是否披露 0 5 年 度 内部控制存在的缺陷 及影响 进一步改进内部控制 的措施 对内部控制的描述 监事会对内部控制 “三性”的评价 董事会和监事会对内部控 制评价详细标准是否披露 内部控制存在的缺陷 及影响 0 6 年 度 进一步改进内部控制 的措施 对内部控制的描述 监事会对内部控制 “三性”的评价 董事会和监事会对内部控 制评价详细标准是否披露 内部控制存在的缺陷 及影响 0 7 年 度 进一步改进内部控制的 措施 注：为进行了披露，为未进行披露 非金融类上市公司： 2005 年度，在披露内部控制信息的一般上市公司中，大多数只披露了“本 公司已建立了完善的内部控制制度”或类似的话，而没有关于内部控制具体制 度及程序的内容；仅有 3 家披露了内部控制不足的情况（东方热电、三爱富、 丽珠医药） 。 2006 年度，大部分一般性上市公司对内控各方面的信息，披露的都是描述 性语言，极少数公司的披露具有实质性内容，如上海电力、北京首创等；少数 公司对内部控制进行评价；内控指引中要求监事会对公司的内部控制发表独立 意见，但是有进半数的公司没有披露；几乎没有公司指出内部控制存在缺陷； 极少数公司说明下一年内部控制计划。 2007 年度，内部控制信息披露的内容较以前年度有所增加，但是，披露实 质性内容的公司还是少数；监事会对内部控制发表独立意见的公司也有所增加； 几乎没有公司指出内部控制存在的缺陷；说明下一年内部控制计划的公司还是 少数。 （五）对内部控制的评价情况 金融类上市公司和非金融类上市公司： 董事会报告中以“通过事务所的审查，未发现内部控制存在重大的缺陷” 的消极保证方式直接表明公司的内部控制状况；监事会报告通常表示为：“报 告期内内部控制制度完整、合理、有效。 ”；会计师事务所通过内部控制审核报 告的方式直接表明未发现内部控制在完整性、合理性和有效性方面存在重大缺 陷。 三、分析结论 年度报告中金融类上市公司的内部控制信息披露要好于非金融类上市公司， 主要是因为对金融类上市公司内部控制信息披露的时间较早、要求较高。但是， 通过对 20052007 年三年年报中披露的内部控制信息比较分析后，我们可以看 出，无论是金融类上市公司还是非金融类上市公司，在内部控制信息披露方面 都存在很大的问题。 1、年度报告中内部控制信息披露的位置不统一，不便于投资者进行分析和 比较。 2、年度报告中内部控制信息披露的内容不一致，投资者进行横向比较的难 度较大。上市公司披露内部控制信息的含量相差很大，部分公司会按照规定详 细披露内部控制的内容，但仍有部分公司流于形式，特别是邯郸钢铁股份有限 公司在内部控制制度建立健全情况的描述中，根本没有提到内部控制，都是对 公司治理结构的描述，文不对题。 3、上市公司年度报告中，监事会必须对公司是否建立完善的内部控制制度 发表意见，但是仍有部分公司没有披露。在有内部控制信息披露的公司监事会 发表的独立意见中，基本上只有“公司建立了完善的内部控制制度”之类简单 的一句话。 4、绝大多数上市公司董事会的内部控制自评报告中没有描述内部控制的缺 陷以及内部控制实施过程中存在的问题和相应的改进措施，不利于投资者对公 司的内部控制制度的实际情况进行分析。对下一年度的内部控制工作也很少有 公司提到。 5、自愿披露内部控制报告的上市公司还占少数，会计师事务所的内部控制 审核报告，评价意见过于形式化，不能给投资者提供做出正确投资决策的依据。 四、我国上市公司内部控制信息披露现状的原因分析 （一）外部原因 1、相关法律规范不健全 上海和深圳两个证交所的内部控制指引均规定了对重大内部控制缺陷 进行临时公告, 并披露年度内部控制评价报告( 包括董事会自评报告及注册会 计师核实评价意见) 。但两者披露的要求有几点区别: 上交所的注册会计师 核实评价意见针对广义的内部控制( 包括财务报告内部控制和管理控制), 而深 交所的则只针对财务报告内部控制。深交所要求监事会及独立董事对内部控 制自评报告发表意见,并规定注册会计师对内部控制有效性表示异议的, 公司董 事会、监事会应对有异议事项做出专项说明, 并规定了内容要点，而上交所则 缺少此项规定。两个证交所内部控制指引规定的内部控制自评报告的内 容要点不同。深交所的内部控制指引缺少对临时公告披露要点的规定。 可见，这两个指引在内控信息披露方面的要求还不太一致。 在两个内部控制指引中，都没有明确规定内部控制信息披露的具体形式， 这给上市公司披露内控信息提供了可乘之机，使得上市公司在内部控制信息披 露的形式上不规范，虽然都对内部控制信息进行了披露，但是一些上市公司应 付了事, 不披露详细的信息，真正提供有价值信息的还是少数。而且，两个证 交所的内部控制指引只是给出了上市公司的内部控制制度框架, 缺少必要 的技术指导。我国相关法规制定机构应该尽快出具统一格式，做出具体详细的 规定，提高内控信息披露的质量。 另外，我国内部控制信息披露规范的制定，是以政府有关管理职能部门为 主导的，程序上市先征求意见而后修订定稿。应该说，我国内部控制信息披露 规范的制定程序是和我国现阶段的经济发展水平和国家的管理体制向适应的。 我认为，我国存在的主要问题是，实务界的参与程度不够，而且尤其缺乏既精 通内部控制理论又具有丰富的内部控制管理经验的专门人才。 2、内部控制信息披露的监管不力 两个证交所的内部控制指引的实施，表面上看是把我国内部控制信息 披露从自愿披露转为强制披露, 但实质上是一种半强制状态。这是因为：到 目前为止，内部控制信息披露还只是按证监会及证交所的文件要求披露，公 司法、证券法等法律中都没有对内部控制信息披露的规定,与美国国会通 过的萨班斯-奥克斯莱法案中所规定做法的法律效力相距甚远。对违反披 露政策的法律后果缺少必要的规定。上交所的内部控制指引中完全没有提 及违反规定的法律后果； 而深交所的内部控制指引也只是含糊地规定, 对 违反规定的参照相关上市规则的有关规定给予处分。这导致政策的实际执行质 量很差, 内部控制信息披露的相关规定根本没有得到执行或者执行流于形式。 3、社会公众对内部控制信息关注不够 现阶段的投资者更关心的是企业运营的结果，即受托责任的履行情况，并 不关心其中的过程。从企业持续、长远的发展来看，需要有良好的内部控制制 度，投资者也应该会越来越关心这一方面的信息，但现时没有这一方面的明显 需求。投资者对企业内部控制的理解和接受能力也较差。 （二）内部原因 1、对内部控制信息披露的认识不足 我国证券市场还不完善,公司治理问题也没有得到有效的解决。部分上市公 司现有的高级管理人员知识结构不合理, 知识、观念陈旧，更新速度较慢。对 内部控制信息披露的认识还不足。因此, 公司自愿披露内部控制信息的积极性 不高, 大多数情况下的披露都是以满足证监会和交易所方面的要求为己任。 2、对内部控制信息披露成本的考虑 内部控制信息的披露是有成本的，并且该成本会随着内部信息披露数量的 增加而增加。上市公司委托会计师事务所对其内部控制制度的完整性、合理性 和有效性做出评价，提出改进意见，并以内部控制评价报告的形式对外披露， 这将是一笔很大的费用支出。另外，详细的披露可能会泄露公司的商业秘密， 同行业竞争公司的模仿会给披露内部控制信息的公司带来一定的成本。出于成 本的考虑,即使在强制披露的情况下,上市公司也会选择以最少的成本来进行披 露,但是，以较少的成本进行披露时, 上市公司披露的内部控制信息往往没有实 质性的内容。那么，在自愿披露的情况下, 上市公司就会选择不披露内部控制 信息, 以节约披露成本。 五、完善我国上市公司内部控制信息披露的建议 （一）完善上市公司内部控制信息披露规范，统一披露标准与要求 1、完善上市公司内部控制信息披露规范 2006年上海证券交易所、深圳证券交易所发布了内部控制指引 ，都要求 上市公司披露内部控制信息，但是由于证券交易所在证券监管体系中处于自律 监管的地位，颁布的指引没有法律约束力，对上市公司只能发挥指导性和参照 性的作用，因此，在年度报告中，很多公司都没有按照规定披露内部控制信息。 2008年发布了企业内部控制基本规范 ，该规范统一了不同部门和单位在实务 中对内部控制定义混乱的状态，具有很大的积极意义，但是，该规范在具体操 作层面却仍然缺乏指导意义。因此，有必要在公司法或者其他的法规中， 强制要求所以上市公司董事会在年度报告中披露内部控制的有关信息，同时要 求监事会和独立董事或由独立董事组成的审计委员会发表对内部控制进行评价 的意见。我国法律还应细化对各种违法违规编制和提供内部控制报告行为的处 罚条款，并加大处罚力度，增加上市公司的违规成本。 2、统一披露标准与要求 在财务信息披露领域，无论是资产负债表还是利润表，都有详细的内容规 定及各个指标的计算方法。内部控制由于涉及范围比较广泛，更加需要详细的 信息披露指南，如果让企业自行决定披露内容时必将导致相互之间的巨大差异。 证监会应对内部控制信息披露的范围、内容和形式作出详细的规定，统一披露 标准与要求，这样既便于上市公司明确的知道应该披露哪些内容、如何披露， 提高披露的完整性，也便于投资者了解、评价公司的内部控制。证监部门可以 制定法定披露条款和自选披露条款，给出一个模板或多个模板，让企业参考进 行内部控制信息披露，对解决目前的内部控制信息披露问题能起到立竿见影的 效果。 美国SOX法案将内部控制信息披露的范围限定在与财务报告有关的内部控 制中，建议我国内部控制披露范围也限于财务报告内部控制。 借鉴美国SOX法案，本文建议我国上市公司内部控制报告应至少包括以下 内容：董事会对内部控制建设的责任、内部控制有效性的声明；所依据的 内部控制评价标准；内部控制存在固有缺陷的说明；按内部控制的五个构 成要素内部环境、风险评估、控制活动、信息沟通和内部监督对公司的内部 控制分别进行评价；内部控制有效实施过程；内部控制有效性的结论，如 果认为企业的内部控制在某些方面存在重大缺陷，应披露有关的重大缺陷，并 说明拟采取的纠正措施，并保证除了已披露的缺陷，不存在其他重大缺陷。 应统一内部控制信息披露的披露形式，建议统一在“公司治理结构”处说 明内部控制建立健全情况，在附件中披露内部控制自评报告和内控审核报告， 以方便信息使用者使用、分析、比较。 （二）加强上市公司内部控制建设与内部监督 1、加强上市公司内部控制建设 企业内部控制标准的执行，是企业内部控制和内部管理的灵魂。从我国内 部控制近年的实践可以看出，凡发生大案要案的企业实际上都有内部控制规范 与标准，关键是都未能得到有效执行。因此，要建立有效的内部控制规范实施 机制，切实保障各项内部控制制度能得到有效实施。 我国颁布了新的企业内部控制规范 ，该基本规范将于 2009 年 7 月 1 日 起首先在上市公司范围内施行,并鼓励非上市的其他大中型企业执行。可见，我 国现在对于内部控制的评价已经有了统一的标准。目前，最为重要的就是上市 公司相关人员要认真学习企业内部控制规范 ，加强对内部控制的理解，提高 其进行自我评价的效果，规范实务中认识上的混乱和做法上的差异，严格按照 规范来建设、完善公司的内部控制制度，并按照这个标准披露公司的内部控制 信息。 2、加强上市公司内部控制监督 上市公司还应加强对内部控制的检查监督，对内控制度的落实情况进行定 期和不定期的检查。董事会及管理层应通过内控制度的检查监督，发现内控制 度是否存在缺陷和实施中是否存在问题，并及时予以改进，确保内控制度的有 效实施。应建立审计委员会，专门负责审查公司的内部控制制度。目前，我国 多数上市公司建立了审计委员会，但它的职能并没有很好的发挥出来，至今审 计委员会的工作职责不起，缺乏运作指南，以致有的审计委员会完全成了一种 摆设，丧失了审计监督功能。为此，应明确审计委员会对内部控制制度的监督 职能，以保证审计委员会独立发挥监督作用。 （三）加强上市公司内部控制信息披露的外部监管 内部控制标准体系建立之后，企业能否建立并切实执行内部控制制度还需 要外部力量的监督。从企业外部加强对上市公司内部控制信息披露的监管主要 包括完善注册会计师对内部控制审核鉴证、加强监管部门的监管力度等。 完善注册会计师对内部控制审核鉴证。萨班斯法案第103款要求，注册会计 师在审计报告中描述对内部控制结构和程序进行测试的范围，并在审计报告中 或者单独出具一份报告，陈述以下内容：(1)内部控制测试所发现的情况。(2) 对以下方面的评价：即内部控制是否合理保持了具体会计记录，以保证公允反 映资产的交易和处置情况；内部控制是否合理保证交易得以完整记录，以保证 财务报表的编报符合公认会计原则，以及公司一切收支活动均在管理层和董事 会的授权下进行。(3)对内部控制测试中发现的内部控制重大缺陷和任何违规行 为的描述。我们应该借鉴美国的做法，规范我国会计师对上市公司内部控制的 评价。 对上市公司的内部控制报告、注册会计师的审核或鉴证报告,监管部门要进 行定期或不定期的监督检查。企业能否建立并切实实施完善的内部控制制度， 还需要外部力量予以保证。“没有法律惩戒的威慑，道德自律的约束，往往会 屈服于巨利。 ”一位曾在前安达信上海事务所工作过的注册会计师表示，监管不 严、惩戒不力，的确助长了中介机构造假风的蔓延。你不造假，别人抢着来补 位，负责任的反遭排挤。结果是“逆向淘汰”主导市场。因此，对于不披露或 不按规定披露内部控制信息、披露虚假内控信息或隐瞒内部控制重大缺陷的上 市公司以及出具虚假内部控制审核意见的会计师事务所，证监会和证交所应予 以严惩，加大上市公司及注册会计师的违规成本，防范内部控制信息披露中的 弄虚作假。 （