深圳市迪博企业风险管理技术有限公司
一、研究背景
继2008年5月22日发布《企业内部控制基本规范》之后，2010年4月26日财政部会同证监会、审计署、银监会、保监会又发布了《企业内部控制配套指引》，该配套指引包括了《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》。《企业内部控制基本规范》和《企业内部控制配套指引》的发布标志着中国企业内部控制规范体系基本建成。为加强上市公司的内部控制体系建设，财政部等五部委制定了企业内部控制规范体系的实施时间表：自2011年1月1日起首先在境内外同时上市的公司施行，自2012年1月1日起扩大到上海证券交易所、深圳证券交易所主板上市的公司施行；在此基础上，择机在中小板和创业板上市公司施行；同时，鼓励非上市大中型企业提前执行。
（一）前期研究成果
从2008年起，迪博便一直致力于研究上市公司的内部控制体系建设情况和构建上市公司内部控制指数。2008年6月24日，迪博将研究成果《中国上市公司2008年内部控制白皮书》发表在《中国证券报》；2009年7月16日，迪博又将研究成果《中国上市公司2009年内部控制白皮书》发表在《中国证券报》、《上海证券报》和《证券时报》。今年，迪博以《企业内部控制配套指引》发布为契机，以《企业内部控制基本规范》为基础，一如继往地对上市公司的内部控制建设情况进行实证研究，评价上市公司的内部控制整体水平。本研究旨在为上市公司建设企业内部控制规范体系提供指引，同时也为监管部门了解目前上市公司的内部控制体系建设情况提供实证依据。同时，本研究也是国家自然科学基金“上市公司内部控制与投资者保护”（项目批准号70972076）和教育部人文社科基金“内部控制、过度投资与财务危机”（项目批准号09YJA790199）的阶段性研究成果。
（二）样本与数据来源
本次研究涵盖了沪深证券交易所的1763家A股上市公司，其中上海证券交易所的上市公司861家，深圳主板的上市公司473家，中小板的上市公司370家，创业板的上市公司59家。其中，企业内部控制信息来源于上市公司年报中的“公司治理”、“重要事项”一节或者单独披露的“内部控制自我评估报告”。上市公司的基本资料来源于wind数据库和CCER数据库。由于本研究中的数据仅来源于上市公司公开披露的信息，无法复核信息的准确性和完整性，这可能对研究结论产生一定的影响。
（三）上市公司内部控制整体水平
根据企业内部控制基本规范的五大要素和具体细则，我们制定了包括内部环境、风险评估、控制活动、信息沟通和内部监督在内的五大一级指标以及下设63个二级指标。若公司披露了二级指标的相关内控信息，此项即为1；否则为0。总体评价满分为63分。我们将上市公司的内部控制水平分为高、中、低三个等级。高分组为得分大于等于42的公司，低分组为得分小于21的公司，其他公司则为中分组。高分组的公司仅为26家，占总样本数的1.47%；中分组和低分组分别为916家和821家，占总样本数的51.96%和46.57%。详细情况如图1所示。
■
图1 2009年上市公司内部控制整体水平
二、分类统计分析
（一）内部控制自我评价报告与内部控制的关系
披露了内部控制自我评价报告的上市公司和未披露该报告的上市公司的内部控制评分的均值比较如表1所示：2009年，披露了内部控制自我评价报告的上市公司的内部控制总评均值均高于未披露该报告的上市公司而且差距明显，内部控制五要素的均值也优于未披露该报告的上市公司，其中沪市和深市都是风险评估要素的均值差距最大。
表1 均值比较表
■
注：2009年沪市披露内部控制自我评价报告的样本数为217家，未披露的样本数为644家，深市披露内部控制自我评价报告的样本数为891家，未披露的样本数为11家。
（二）内部控制鉴证报告与内部控制的关系
出具了会计师事务所内部控制鉴证报告和未出具该报告的上市公司的内部控制评分的均值比较如表2所示：2009年，出具了内部控制鉴证报告的上市公司的内部控制总评均值显著高于未出具该报告的上市公司，内部控制五要素的均值也明显高于未出具该报告的上市公司，其中，风险评估要素的差距最大。
表2 均值比较表
■
注：2009年沪市出具内部控制鉴证报告的样本数为189家，未出具的样本数为672家；深市出具内部控制鉴证报告的样本数为438家，未出具的样本数为464家。
（三）内部审计部门与内部控制的关系
设立了内部审计部门的上市公司和未设立该部门的上市公司的内部控制评分的均值比较如表3所示：2009年，设立了内部审计部门的上市公司的内部控制总评均值高于未设立该部门的上市公司，说明设立了内部审计部门的上市公司内部控制水平优于未设立审计部门的上市公司，内部控制五要素的均值也都高于未设立该部门的上市公司。
表3 均值比较表
■
注：2009年沪市设立了内部审计部门的样本数为494 家，未设立的样本数为367 家；深市设立了内部审计部门的样本数为807 家，未设立的样本数为95家。
（四）ST股与内部控制的关系
ST股与非ST股的上市公司的内部控制水平的均值比较表如表4所示：2009年，沪深两市中非ST股上市公司的总评均值都显著高于ST股上市公司，沪市中两者之间的差距比深市两者之间的差距要大。
表4 均值比较表
■
注：2009年沪市ST股样本数为92家，非ST股样本数为769家，深市ST股样本数为83家，非ST股样本数为819家。
（五）违法违规处罚与内部控制的关系
未受监管机构处罚与遭受监管机构处罚的上市公司的内部控制评分的均值比较结果如表5所示：2009年，未遭受监管机构处罚的上市公司的内部控制总评均值显著高于遭受监管机构处罚的上市公司，其中，沪市中两者之间的差异大于深市中两者之间的差异。
表5 均值比较表
■
注：2009年沪市遭受处罚的样本数为29 家，未受处罚的样本数为832 家；深市遭受处罚的样本数为36家，未受处罚的样本数为866 家。
（六）指数成分股与内部控制的关系
2009年上证50指数成分股和深证成分指数样本股整体内部控制水平优于非成分股。对指数成分股与非指数成分股的上市公司内部控制均值比较如表6所示：2009年，沪深两市中指数成分股的内部控制总评均值略高于非指数成分股的总评均值，说明指数成分股的整体内部控制水平优于非指数成分股。
表6 均值比较表
■
注：2009上证50指数成分股样本数为50 家，非成分股样本数为811家，上交所决定于2010年调整上证50指数样本股，此处上证50指数成分股采用的是2010年7月1日调整前的样本。
（七）审计意见与内部控制的关系
2009年财务报告的审计意见类型为标准无保留意见的上市公司的内部控制整体水平最高，而无法表示意见的上市公司的内部控制整体水平最低。
1.上交所
按不同类型的审计意见对上交所的上市公司内部控制的总评均值和五要素的均值进行排序，如表7所示。审计意见类型为标准无保留意见的上市公司的内部控制总评和内部控制五要素的得分都是最高，无法表示意见的上市公司的内部控制总评和内部控制五要素的得分都是最低。
表7上交所不同类型审计意见的上市公司内部控制水平
■
注：2009年沪市上市公司的审计意见类型为标准无保留意见的样本数为802家，带强调事项段的无保留意见的样本数为40家，保留意见的样本数为9家，无法表示意见的样本数为10家。
2.深交所
按不同类型的审计意见对深交所的上市公司的内部控制总评均值和五要素的均值进行排序，如表8所示。审计意见类型为标准无保留意见的上市公司的内部控制总评和内部控制五要素的得分都是最高，无法表示意见的上市公司内部控制总评的得分最低。
表8 深交所不同类型审计意见的上市公司内部控制水平
■
注：2009年深市上市公司的审计意见类型为标准无保留意见的样本数为844家，带强调事项段的无保留意见的样本数为45家，保留意见的样本数为4家，无法表示意见的样本数为9家。
三、多元回归分析
（一）内部控制影响因素的多元回归分析
本项研究以上市公司内部控制总评分作为因变量，企业规模、上市时间、08年度是否亏损、前十大股东股权集中度和前三名董事会成员薪酬总额作为解释变量，以交易所、行业、实际控制人作为控制变量，从公司特质、公司治理等相应指标判断其对内部控制水平的影响。具体指标含义见 表9:
表9 变量含义及计量规则一览表
■
分析结果表明（表10）：（1）内控水平与上市公司规模不相关；（2）内控水平与上市时间显著负相关，即上市时间越短，内控水平越好；（3）内控水平与08年度是否亏损显著负相关，即08年度盈利的公司比08年度亏损的公司内控水平更好；（4）内控水平与前十大股东持股比例不相关；（5）内控水平与前三名董事会成员薪酬总额显著正相关，即前三名董事会成员薪酬越高，内控水平越好。
表10 上市公司内部控制影响因素的多元回归结果
■
从表11可以看出，与2008年相比，2009年内控水平与企业规模之间的相关性从正相关变为不相关，这可能是因为中小板块的上市公司加强了内部控制体系的建设，缩小了与大中型企业之间差异，从而使得企业规模不再影响内部控制水平。其他几项因素与内控水平之间的相关性没有发生变化。
表 11 内控水平与各影响因素之间的相关性
■
（二）内部控制与投入资本回报率的回归分析
本项研究以投入资本回报率（ROIC）为因变量，以内部控制的总评分为自变量进行回归分析。回归结果（表12）表明，投入资本回报率与内部控制水平之间呈显著的正相关关系，即内部控制越好的公司投入资本回报率越高，内部控制的加强有助于投入资本回报率的提高。
表12 内部控制与资本回报率的回归结果
■
四、结论
1.我国上市公司内部控制整体水平偏低。在1763家样本中，内部控制整体水平偏高的仅占样本总数的1.47%，内部控制整体水平中等的占51.96%，内部控制整体水平偏低的占46.57%。
2.2009年披露了内部控制自我评估报告的上市公司内整体内部控制水平优于未披露的上市公司。
3.2009年出具会计师事务所内部控制鉴证报告的上市公司整体内部控制水平优于未出具的上市公司。
4.2009年设立了内部审计部门的上市公司整体内部控制水平优于未设立的上市公司。
5.2009年非ST股上市公司内部控制整体水平优于ST股上市公司。
6.2009年未受违法违规处罚的上市公司整体内部控制水平优于遭受处罚的上市公司。
7.2009年上证50指数成分股和深证成分指数样本股整体内部控制水平优于非成分股。
8.2009年财务审计报告类型为标准无保留意见的内部控制整体水平最高，无法表示意见的内部控制整体水平最低。
9.内控水平与上市时间显著负相关，即上市时间越短，内控水平越好。
10.内控水平与08年度是否亏损显著负相关，即08年度盈利的公司比08年度亏损的公司内控水平更好。
11.内控水平与前三名董事薪酬总额显著正相关，即前三名董事会成员薪酬越高，内控水平越好。
12.投入资本回报率与内部控制水平之间呈显著的正相关关系，即内部控制越好的公司投入资本回报率越高。
五、建议
1、统一上市公司内部控制评价报告（上交所的《上海证券交易所上市公司内部控制指引》中称之为内部控制自我评估报告，深交所的《深圳证券交易所上市公司内部控制指引》中称之为内部控制自我评价报告，财政部等五部委出台的《内部控制评价指引》中称之为内部控制评价报告，本研究依据《内部控制评价指引》的规定，称之为内部控制评价报告。）的内容和格式。沪、深交易所对内部控制评价报告的内容和格式各有不同的规定，导致沪、深交易所上市公司披露的内控信息不具可比性，监管机构和投资者难以判断两地上市公司的内控水平。同时，上交所的《上海证券交易所上市公司内部控制指引》和深交所的《深圳证券交易所上市公司内部控制指引》与财政部等五部委出台的《内部控制评价指引》存在较大差异。因此，建议监管机构依据五部委出台的《企业内部控制基本规范》和《内部控制评价指引》的规定，统一沪、深交易所上市公司内部控制评价报告的内容和格式。
2、强化上市公司内部控制体系建设的监管力度。
《企业内部控制配套指引》的出台为上市公司内部控制体系建设提供了详细的框架，有利于完善内部控制体系建设。但本文研究发现，目前我国上市公司的内部控制整体水平还较低，为进一步促进上市公司的内部控制建设，为即将实施的企业内部控制规范体系做好准备，监管机构应加大对上市公司内部控制体系建设和监督检查力度，对于内部控制存在重大缺陷的上市公司，监管机构可对其并购重组、股权转让、再融资、股权激励等行为进行重点关注。
3、加强对ST公司内部控制制度建立健全工作的监督。
ST公司面临着巨大的利润扭亏为盈的压力，且公司治理结构相对不太完善，相比非ST公司，其在内部控制信息披露方面也会存在较多问题，如披露内容简单，缺乏实质性内容等。本研究通过实证研究证实非ST公司的内部控制水平显著高于ST公司，因此加强对ST公司内部控制制度建立健全工作，有利于保证ST公司信息披露的可靠和完整。
4、提高上市公司风险评估水平。
本文研究发现，上市公司在风险评估要素方面的整体水平最为薄弱。现代企业面临着更加激烈的市场竞争，提高企业的风险意识，强化风险评估水平不仅是增强企业经营能力的必要手段，更是促进企业可持续发展的必要措施。建议上市公司重视风险评估，不断提升风险评估的水平。