在全球金融危机愈演愈烈的背景下，上市公司面对的经营和投资风险日益加大，近期不断有公司与金融机构因巨额亏损而破产倒闭事件发生，例如：雷曼兄弟和贝尔斯登次贷投资巨亏破产、美国最大的保险公司AIG深陷次贷泥潭、房利美和房地美两大房贷巨头被美国政府接管、美国三大汽车商陷入经营困境、我国中信泰富等公司衍生金融产品投资巨亏等事件。众多的舞弊和经营失败在极大地打击投资者对资本市场的信心的同时，也让市场和监管部门意识到公司内部控制制度有效性的缺失将会带来巨大的灾难和损失，引发了市场和监管部门对公司内部控制制度的反思，从而推动了我国一系列公司内部控制监管制度的出台，使我国上市公司内部控制监管进入了一个新的发展阶段。
2007年是沪市上市公司执行上海证券交易所《上市公司内部控制指引》的第一年，这一指引有力地推动了沪市上市公司内部控制制度的建设和建立评价报告制度的进程。同时，由于我国上市公司内部控制基础较为薄弱和准备时间较短等原因，上市公司在执行《上市公司内部控制指引》并出具内部控制报告中出现了不少问题。本文通过对沪市全部上市公司2007年度内部控制报告进行统计分析，较为详尽地分析了沪市上市公司在2007年度内部控制报告中的问题和难点，以期为资本市场内部控制监管和公司改善内部控制建设和评价工作提供一些参考性的建议。
一、上市公司内部控制评价报告概述
(一)上市公司内部控制报告披露比例偏低
2007年作为沪市上市公司执行《上海证券交易所上市公司内部控制制度指引》的第一年，上市公司在年报中披露内部控制报告的比例偏低。沪市共有146家上市公司出具了公司内部控制报告，占沪市披露2007年年度报告上市公司总数的17%；同时，在出具公司内部控制报告的146家公司中有139家公司披露了会计师事务所对公司内控报告的审核意见，占沪市披露2007年年度报告上市公司总数的16%，详见下表1-1。
公司在披露内部控制报告的同时披露会计师事务所相关审核意见的比例高达95%的原因在于，上海证券交易所在《关于做好2007年年度报告工作的通知》中要求，上市公司披露公司内部控制报告的同时需披露会计师事务所对公司内部控制报告的审核意见。
我们认为，从总体上看上市公司披露内部控制报告及其审核意见的数量较少的主要原因在于，我国大部分上市公司既有的内部控制基础较为薄弱，内部控制建设才刚刚起步，在如何进行公司内部控制建设和评价报告方面缺乏系统的辅导和培训。
■
表1-1：沪市上市公司内部控制报告概况表
统计数据发现，同时披露公司内部控制报告和内部控制报告审核意见的139家公司总体上资质较好，集中在中央企业，存在规模较大、经营业绩较好和公司治理水平较高的特征。
1) 139家公司中，47家公司为上证180的公司，15家公司为上证50的公司，9家公司为上证红利指数公司，公司平均总资产高达1497亿元；
2) 139家公司中，107家公司提出利润分配方案，139家公司净利润总额达2987亿元，仅3家公司2007年发生亏损，算术平均净资产收益率为12.83%，算术平均每股收益为0.57元，算术平均扣除非经常性损益后每股收益为0.49元，高于沪市公司业绩的平均水平。
3) 139家公司中超过一半的公司（70家）属于“上证公司治理板块”成员，占上证公司治理板块公司总数的35%，如此高的比例说明这些公司的内部控制得到了社会各界的认可。
4) 139家公司中有50家公司属于中央企业，其中43家属于中央国资委控制企业(占央企总数的29%),4家公司属于财政部控制企业(占财政部控制企业的33%)，3家属于其他部委控制企业(占其他部委控制企业的12%)。
(二)公司内部控制责任主体不清晰
从公司内部控制责任主体认定上来看，披露内部控制报告的公司对于公司内部控制责任主体的认定不清晰，不同公司间存在较大差异。披露内部控制报告的公司中，72家公司(49%)将公司内部控制的责任主体认定为公司，66家公司(45%)认定为公司董事会，3家公司(2%)认定为管理层，1家公司(1%)认定为由董事会及管理层共同负责，还有4家公司(3%)在内部控制报告中没有明确具体的内部控制责任人，详见下图1-1：
■
图1-2：公司内部控制责任主体分布图
将公司作为内部控制的责任主体的公司占49%，同时，未提及公司内部控制责任主体的公司占3%。这两种情况下公司内部控制的责任主体并没有落实具体职位和人员，与五部委发布的《企业内部控制基本规范》及《上海证券交易所上市公司内部控制制度指引》要求不相符，不利于公司内部控制制度的建设和内部控制评价报告的出具。
(三)公司内部控制评价标准不统一
内部控制评价标准是公司确认关键控制点上是否存在控制缺陷的判断依据，是公司进行内部控制评价的一个基础。选择不同的内部控制评价标准将对公司内部控制评价的结论产生决定性的影响。在2007年年报披露期间内，上市公司内部控制的评价标准还较为不统一，缺乏一套统一的评价标准。五部委发布的《企业内部控制基本规范》及其配套的应用指引和评价指引的适时发布和修订，将为我国公司内部控制评价标准的确立提供较为科学的指导。
共有99家公司(68%)的内部控制报告中提到了公司内部控制评价的标准；在提到公司内部控制评价标准的上市公司中，有16家公司(11%)的评价标准是《内部会计控制规范—基本规范(试行)》，26家公司(18%)的评价标准是《上海证券交易所上市公司内部控制制度指引》，14家公司(10%)的评价标准是结合《内部会计控制规范- 基本规范(试行)》标准和《上海证券交易所上市公司内部控制制度指引》，4家金融业公司(3%)的评价标准是《商业银行内部控制指引》；38家公司(26%)的评价标准是，如《公司法》、《证券法》、《上市公司治理准则》等其他相关的法律法规，详见下图1-2：
■
图1-2：公司内控评价标准分布图
二、上市公司内部控制评价报告所披露信息分析
(一)内部控制制度还处于建设中
内部控制制度对于我国企业而言是一个比较新的概念。大部分企业内部控制制度的建设和评价都是基于《内部会计控制规范－基本规范（试行）》及《上海证券交易所上市公司内部控制制度指引》的要求进行的，因而，大部分公司的内部控制制度还处于初始建设阶段，尚不完善。如何有效地进行内部控制制度的建设和编制内部控制评价报告，将成为了我国上市公司近期的制度建设重心。
披露内部控制报告的146家公司中，有124家公司在内部控制报告中只说明本公司建立了内部控制制度，占披露内部控制报告公司总数的85%；只有22家公司的内部控制报告明确说明本公司建立了完善的内部控制制度，占披露内部控制报告公司总数的15%；详见下图2-1：
■
图2-1：公司内部控制制度建立情况图
(二)内部控制范围泛化
公司内部控制的范围一直是上市公司内部控制评价报告制度的争议点。与美国SOX法案只要求上市公司对公司财务报告内部控制进行评价不同，我国大部分上市公司内部控制报告披露出来的内部控制范围全面涵盖了财务报告、法规遵循和营运效率三重目标，披露范围较为泛化。
146家公司中，111家公司(77%)的企业内部控制报告的内控内容全面涵盖了财务报告、法规遵循及营运效率三个方面，21家公司(14%)的报告中的内控内容涉及财务报告和营运效率，7家公司的报告中的内控范围仅涉及财务报告、营运效率及法规遵循部分内容，还有7家公司的内控报告没提及企业内部控制范围，详见下图2-2：
■
图2-2：内部控制涵盖范围图
(三)内部控制制度有效性评价偏乐观
根据统计数据分析，129家公司(88%)在内部控制报告中认为内控在整体上是有效的，16家公司(11%)的内控报告中未说明内控是否有效，只有一家公司认为公司内部控制还未得到有效实施，这与早期的调研结果(潘秀丽，2000)相差甚远，同时也难以解释近年来我国上市公司违规和经营失败事件屡有发生的现实，详见下图2-3：
■
图2-3：公司内部控制有效性评价图
上述情况在一定程度上说明了沪市上市公司内部控制报告制度的执行还处于较为初级的阶段，公司对于内部控制的认识不够深入，内部控制报告制度比较形式化。主管部门有必要进一步加强对上市公司内部控制的监管，以充分发挥公司内部控制在保护中小投资者利益方面的作用。
(四)内部控制缺陷披露较少
内部控制重大缺陷是上市公司内部控制报告的核心内容，它一方面为投资者传递了公司内部控制中存在的问题，另一方面也督促公司管理层对内部控制重大缺陷进行持续性更正和改进，进而更好地开展业务并为股东创造价值。
146家公司的内部控制报告中内部控制缺陷披露得较少，只有24家(16%)的公司提到在内部控制中存在重大缺陷，这24家中有21家在提到存在缺陷的同时给出了内部控制缺陷的改进措施，详见下图2-4：
■
图2-4：公司内部控制重大缺陷图
通过对所有上市公司内部控制报告进行整理，可以将沪市上市公司披露的主要内部控制缺陷归纳为如下十类：
1) 公司内部控制制度不完善；
2) 公司内部控制制度设计不合理，难以执行；
3) 公司内部控制制度与业务开展难以有效融合；
4) 公司管理层与员工内部控制意识薄弱；
5) 公司对于内部控制制度的认识不足，缺少内部控制的相关培训和辅导；
6) 公司对外投资无法得到有效控制；
7) 集团公司的分支机构难以在业务、财务和资产上得到有效的控制；
8) 不相容职责未充分分离；
9) 内部审核人员配置不足、工作广度和深度不够，无法有效的执行监督职 能；
10) 衍生金融产品投资的风险管理能力较差。
(五)内部控制监督部门还在建设中
从内部控制监督部门建设的分布情况来看，146家公司的内部控制监督部门还处于建设中，超过一半的公司还未披露公司内部控制监督部门的建设情况，同时还有少数公司没有建立内部控制监督部门。
共有85家公司(56%)未在报告中说明是否建立了内部控制监督部门,只有61家公司(42%)报告说明建立了内部控制监督部门，同时有3家公司(2%)说明还未建立内部控制监督部门。已经披露建立内部控制监督部门的公司大部分将该部门职能集中于内部审计部门(38家，26%)；详见下图2-5：
■
图2-5：具体内部控制监督部门分布图
内部审计部门成为大部分公司内部控制监督的执行部门，很多是基于内部审计部门对公司内部控制业务相对比较熟悉考虑，一定程度上也说明上市公司对于内部控制的理解可能还停留在内部财务审计领域上，对于内部控制的认识还不全面。
(六)定期向董事会报告制度还未普及
定期向董事会提交内部控制评价报告，是内部控制制度有效实施的重要制度保证，也是公司治理中信息沟通的重要环节，是保证公司内部控制缺陷得以有效及时改进的重要制度安排。然而，大部分的上市公司还未形成定期向董事会提交内部控制评价报告的制度，这是上市公司内部控制监管需要重点关注的问题。
披露内部控制报告的146家公司，只有39家公司(27%)报告提到会定期向董事会提交内部控制报告，4家公司(3%)提到不定期提交内部控制报告，其他的103家公司(70%)均未说明监督部门是否定期向董事会提交监督报告，详见下图2-6：
■
图2-6：是否定期向董事会提交内部控制评价报告图
三、内部控制报告的审核意见分析
(一)内部控制报告审核意见类型单一
独立第三方对于上市公司内部控制报告的审核是保证上市公司内部控制报告制度有效执行的重要条件之一。在年报通知中，上海证券交易所要求上市公司在披露公司内部控制评价报告的同时应披露外部中介机构的审核意见。
139家公司披露的对公司内部控制报告的核实评价意见由45家会计师事务所出具，且都是无保留意见，审计意见类型单一。为公司进行内部控制报告审核和财务审计的事务所基本一致，有138家公司的内部控制审核和财务报表审核聘请的是同一家会计师事务所，仅长园新材的内控审核机构与财务审核机构不一致，财务审核报告由安永华明出具，而内控审核报告由北京兴华出具，详见下表3-1：
■
表3-1：内部控制报告审核意见表
(二)注册会计师鉴证态度不一致
由于没有具体审核准则的规范，注册会计师对上市公司内部控制报告的审核意见表达形式较为混乱，积极鉴证态度与消极鉴证态度参半。67家公司的内部控制报告审核报告(48%)采用的是消极鉴证态度，72家公司的审核报告(52%)采用的是积极鉴证态度，详见下图3-1：
■
图3-1：审核意见鉴证态度图
(三)会计师事务所的审核标准较为混乱
由于，我国会计师事务所开展的上市公司内部控制报告审核业务还没有独立的审计准则进行指导，注册会计师对公司内部控制报告的审计标准较为混乱。很多会计师事务所出具的审核报告是应用早期发布的与内部控制相关的准则或指引，如《内部控制审核指导意见》和《中国注册会计师其他鉴证业务准则第3101号》。然而，《内部控制审核指导意见》和《中国注册会计师其他鉴证业务准则第3101号》对于内部控制的关注点主要集中在财务报告相关的内部控制上，其对非财务内部控制问题涉及甚少，无法满足会计师事务所开展上市公司内部控制报告审核业务的需求。
139家公司的审核报告中，有50份审核报告(36%)的审核标准是《内部控制审核指导意见》，51份审核报告(37%)审核标准是《中国注册会计师其他鉴证业务准则第3101号——历史财务信息审计或审阅以外的鉴证业务》，10份审核报告(7%)的审核标准是《中国注册会计师其他鉴证业务准则第3101号》与《内部控制审核指导意见》，9份审核报告(6%)的审核标准是《中国注册会计师审计准则第1211号——了解被审计单位及其环境并评估重大错报风险》和《中国注册会计师审计准则第1231号——针对评估的重大错报风险实施的程序》，3份审核报告(2%)的审核标准是《上海证券交易所上市公司内部控制指引》，还有8份审核报告(6%)的审核标准是《中国注册会计师鉴证业务基本准则》，还有8份审核报告(6%)没有说明审核所依据的标准。
四、政策建议
(一)关于上市公司内部控制报告的监管建议
1、通过法规建设逐步推进上市公司建立内部控制制度
随着我国上市公司经营失败和公司舞弊指控的日益增加, 上市公司内部控制报告制度的重要性日益凸显, 上市公司内部控制制度建设和有效性评价的需求日益急迫。我们应借鉴国外成熟市场的经验, 通过法规制定和市场监管等手段循序渐进地推动我国上市公司内部控制制度的建设和评价业务的开展。2008年6月五部委发布了《企业内部控制基本规范》使得我国公司内部控制报告制度在法规上得到支持，然而，涉及公司内部控制具体操作的22项应用指引还停留在征求意见稿阶段，主管部门对于配套指引的制定工作进程应适当加快。
2、坚持公司内部控制制度建设中的中国特色
借鉴欧美国家资本市场内部控制制度建设的经验，对于我国公司内部控制制度建设的开展具有很大的意义，但如何借鉴欧美国家的经验是一个值得研究的问题。由于我国公司所处的市场和经营体制的特殊性，其内部控制制度建设存在着自身的侧重点和特殊需求，因而全面套用欧美国家已有的内部控制监管制度和制度建设方式是不合适的。我们需要在有选择地借鉴欧美国家制度建设的成功经验的基础上，根据我国公司的现实需求，寻求一条符合中国国情的公司内部控制制度建设路径。
3、尽快出台一套详尽的内部控制评价指引
由于五部委发布《企业内部控制基本规范》和交易所发布的《上市公司内部控制制度指引》仅对内部控制评价框架作出规定，并且原则导向较强，而我国公司内部控制基础薄弱，没有太多的内部控制制度执行经验，很多公司面对内部控制评价工作可能无所适从，因而，设计一套详尽的内部控制评价指南，为公司内部控制有效性评价提供指引迫在眉睫。
4、加快上市公司内部控制报告审核准则建设
未经审计的财务报告对于资本市场的价值是值得怀疑的，同样未经审核的上市公司内部控制报告的价值也将大打折扣。资本市场需要注册会计师的审核来合理保证上市公司内部控制报告的信息质量。
虽然，我国现行的审计准则中提及注册会计师对公司内部控制的测试问题，但其与专门的内部控制报告审核是不同的。我国现行还缺少一份对上市公司内部控制报告进行审核的准则，以有效指导注册会计师对上市公司内部控制报告进行审核。因而，制定公司内部控制评价的审核准则迫在眉睫。在制定我国内部控制报告的审核准则时，我们可以借鉴美国PCAOB颁布的第2号与第5号审计准则——公司内部控制评价的审核，以指导注册会计师的业务开展。
5、细化上市公司内部控制信息披露规则
从2007年沪市上市公司内部控制报告中可以发现，内部控制报告的信息披露还比较杂乱，各公司内部控制信息披露中存在巨大差异，不利于市场对公司内部控制信息的有效识别。因此，监管部门有必要进一步细化上市公司内部控制信息披露规则。
(二)关于上市公司内部控制建设与评价的建议
1、尽早进行内部控制项目的准备工作
上市公司内部控制建设和评价业务是一项繁重的工作，需要投入大量的时间和精力。我国大部分上市公司对于内部控制建设和评价业务比较陌生，如何在2009年7月1日应对五部委《企业内部控制基本规范》及其配套应用指引和评价指引的监管要求成为一大难题。因而，上市公司尽早进行内部控制建设和评价准备迫在眉睫。
2、建立公司内部控制委员会与工作小组
对于公司内部控制制度建设和评价报告的执行，应从两种情况来分析：首次执行和后续执行。
对于首次执行公司内部控制建设和评价的，在项目执行之前，公司应成立内部控制委员会，对公司内部控制的建设和评价进行统筹安排，并在委员会下确立专门的项目执行小组以保证公司内部控制建设和评价的有效执行。
而在后续公司内部控制评价中，鉴于公司内部控制的评价已经成为公司常规的工作，则可以考虑淡化公司内部控制委员会和项目小组的职能，将公司内部控制评价的工作安排由相关部门，如公司内部审计部门、风险管理部门或财务部门等负责具体执行。
3、明确内部控制项目中的职责分工
公司应确定一名内部控制评价项目的负责人，由其负责和协调整个评价工作，并组建一个评价工作小组。内部控制评价小组成员应来自于公司相关部门或单位，包括经营部门、财务部门、人力资源部门、信息系统、税务、法律以及内部审计等部门。
确立公司内部控制评价项目小组后，明确公司各岗位在执行内部控制评价过程的具体职责便极为重要，它是有效执行内部控制评价的基本保证。只有使得各岗位的管理层和职员清晰地认识到自身在内部控制评价中的职责，内部控制评价才能在整个公司中有效地开展。
4、进行充分的内部控制培训
内部控制制度的建设和评估对于我国上市公司是一个相对陌生的概念，因而在公司内部进行全面的内部控制培训是公司内部控制建设和评估的起点。只有先在公司内部推广和普及内部控制的理念和意识，公司的内部控制的建设和评价才有扎实的基础。
公司进行内部控制培训过程中，适当地借用专业中介机构的专业知识能够起到很好的作用。其可以帮助公司开展内部控制理念和制度的普及和推广工作，同时能够让公司内部控制制度建设和评价工作得到较好的辅导。
| 沪市上市公司 | 出具内部控制报告的公司 | 同时出具内部控制报告和审核意见的公司 | |
| 公司数 | 862 | 146 | 139 |
| 百分比 | 100% | 17% | 16% |
| 内部控制报告 审核意见 | 未披露 审核意见 | 标准 审核意见 | 非标准 审核意见 | 总数 |
| 数量 | 7 | 139 | 0 | 146 |
| 百分比 | 5% | 95% | 0 | 100% |