□迪博企业风险管理技术有限公司
1
研究背景
2011年，我国68家境内外同时上市的公司和216家内控试点上市公司依据《企业内部控制基本规范》和《企业内部控制配套指引》实施内部控制基本规范，2012年，上海证券交易所、深圳证券交易所主板上市公司按照上述要求全面实施内部控制基本规范。
迪博企业风险管理技术有限公司（以下简称迪博）是中国领先的内部控制与全面风险管理解决方案提供商，一直致力于研究中国上市公司内部控制体系的建设情况和构建上市公司内部控制指数，自2008年始已经连续四年研究并发布《中国上市公司内部控制白皮书》。
本研究旨在为上市公司实施内部控制规范体系提供指引，以及为监管部门了解目前上市公司的内部控制体系建设情况提供依据。本研究也是国家自然科学基金“上市公司内部控制与投资者保护”（项目批准号70972076）、教育部人文社科基金“内部控制、过度投资与财务危机”（项目批准号09YJA790199）与广东省人文社科重点研究基地项目“企业内部控制与价值创造——基于中国资本市场的实证研究”（项目批准号:11JDXM79004）的阶段性研究成果。
2
样本与数据来源
本研究涵盖沪、深证券交易所在2012年4月30日前A股上市公司中已披露2011年年报的2340家公司，其中主板上市公司1395家，中小板上市公司653家，创业板上市公司292家。
本研究中衡量的内部控制水平是基于上市公司披露的内部控制信息，其中，上市公司的内部控制信息来源于上市公司年报中的“公司治理”、“重要事项”一节或者单独披露的“内部控制评价报告”和“内部控制审计（鉴证）报告”。上市公司的基本资料来源于WIND数据库和CSMAR数据库。由于本研究中的数据来自于手工搜集，量化过程中不可避免地存在主观判断，这在一定程度上可能会影响研究结论的科学性。
3
上市公司的内部控制整体水平
依据《企业内部控制基本规范》和《企业内部控制配套指引》，我们制定了包括内部环境、风险评估、控制活动、信息沟通和内部监督在内的五大一级指标以及下设65个二级指标。若公司披露了二级指标的相关内控信息，此项即为1；否则为0，满分为65分。我们将上市公司的内部控制水平分为5个等级，得分在（52，65)之间的公司为5A级，得分在（39，52)之间的公司为4A级，得分在（26，39)之间的公司为3A级，得分在(13，26)之间的公司为2A级，得分在(0，13)之间的公司为1A级。
2011年，内部控制水平为5A级的上市公司有57家，占总样本的2.44%，内部控制水平为4A级的上市公司有527家，占总样本的22.52%，内部控制水平为3A级的上市公司有1039家，占总样本的44.40%，内部控制水平为2A级的上市公司有684家，占总样本的29.23%，内部控制水平为1A级的上市公司有33家，占总样本的1.41%。
随着我国关于内部控制的法律法规逐步完善，监管机构对上市公司实施内部控制体系的日益重视，以及上市公司积极地建立健全自身的内部控制体系，我国上市公司的内部控制水平呈逐年提升的趋势，2008年我国上市公司的内部控制总评的均值为20.23，2009年为21.25，2010年为26.01，2011年为31.30。
4
统计分析
（一）内部控制自我评价报告与内部控制水平
2011年，在沪、深交易所2340家上市公司中，1844家上市公司披露了内部控制自我评价报告，占总样本量的78.80%，496家上市公司未披露内部控制自我评价报告，占总样本量的21.20%。在披露内部控制自我评价报告的上市公司中，1841家上市公司认为自身的内部控制体系是有效的，不存在重大缺陷，占总样本量的99.84%；1家上市公司未出具结论，仅2家上市公司认为自身的内部控制体系未得到有效实施。
2011年披露了内部控制自我评价报告的上市公司的总评均值及内部控制五要素的得分都高于未披露该报告的上市公司。运用Stata11.0，按照是否披露内部控制自我评价报告对上市公司的内部控制水平进行T检验，结果显示，2011年披露了内部控制自我评价报告的上市公司的内部控制总评均值高于未披露该报告的上市公司，且两者之间的差异在1%的水平下显著。
对比2008-2011四年上市公司披露内部控制自我评价报告的状况，2008年上市公司披露内部控制自我评价报告的比例为67.17%，2009年披露的比例为62.85%，2010年披露的比例为76.86%，2011年披露的比例为78.80%。
2008年披露了内部控制自我评价报告的上市公司的内部控制总评均值为24.60，未披露的为11.32；2009年披露了内部控制自我评价报告的上市公司的内部控制总评均值为26.40，未披露的为13.32；2010年披露了内部控制自我评价报告的上市公司的内部控制总评均值为28.58，未披露的为17.47。
由以上数据可知，披露了内部控制自我评价报告的上市公司的内部控制总评均值呈现逐年上升的趋势，未披露内部控制自我评价报告的上市公司的内部控制总评均值也呈现逐年上升的趋势，且2011年两者之间的差异最大。
（二）内部控制审计报告与内部控制水平
2011年在沪深交易所2340家上市公司中，941家上市公司聘请会计师事务所出具了内部控制审计报告，占总样本量的40.21%，1399家上市公司未聘请会计师事务所出具内部控制审计报告，占总样本量的59.79%。
在聘请了会计师事务所出具内部控制审计报告的上市公司中，会计师事务所对其中936家上市公司的内部控制体系出具的为标准无保留意见，占总样本量的99.47%；4家上市公司被会计师事务所出具了带强调事项段的无保留意见，1家上市公司被会计师事务所出具否定意见。
2011年出具了内部控制审计报告的上市公司的内部控制总评均值高于未出具该报告的上市公司，内部控制中五要素的均值也高于未出具该报告的上市公司。运用Stata11.0，按照是否出具内部控制审计报告对上市公司的内部控制水平进行T检验，结果显示，2011年出具内部控制审计报告的上市公司的内部控制总评均值高于未出具该报告的上市公司，且两者之间的差异在1%的水平下显著。
对比2008-2011四年内部控制审计报告的出具状况，2008年上市公司聘请会计师事务所出具内部控制审计报告的比例为19.73%，2009年出具内部控制审计报告的比例为35.56%，2010年出具内部控制审计报告的比例为41.57%，2011年出具内部控制审计报告的比例为40.21%。
对比2008-2011四年聘请会计师事务所出具了内部控制审计报告的上市公司的内部控制总评均值与未出具该报告的上市公司的内部控制总评均值，2008年出具了内部控制审计报告的上市公司的总评均值为25.64，未出具的为18.91；2009年出具了内部控制审计报告的上市公司的总评均值为27.05，未出具的为18.16；2010年出具了内部控制审计报告的上市公司的总评均值为31.32，未出具的为22.23；2011年出具了内部控制审计报告的上市公司的总评均值为35.36，未出具的为28.56。
由以上数据可知，聘请会计师事务所出具内部控制审计报告的上市公司的内部控制总评均值呈现逐年上升的趋势；未聘请会计师事务所出具内部控制审计报告的上市公司的内部控制总评均值略有波动，但整体上呈上升的趋势。
（三）内部控制缺陷披露与内部控制水平
在2340家上市公司中，156家上市公司在内部控制自我评价报告中披露其存在内部控制缺陷，占比6.67%；2184家未披露内部控制缺陷，占比93.33%。披露内部控制缺陷的上市公司中，有3家披露了重大缺陷，有11家披露了重要缺陷，有149家披露了一般缺陷。
本研究将上市公司分为三类：一类为按规定实施类，即68家境内外同时上市公司；一类为自愿试点类公司，共216家，在216家公司中仅214家为A股上市公司，还有两家为B股上市公司，由于本研究仅以A股上市公司为研究样本，所以在本研究中的自愿试点类为214家；其他非境内外同时上市公司以及非自愿试点类的为一类。
境内外同时上市公司披露内部控制缺陷的比例最高，为26.47%；自愿试点单位披露内部控制缺陷的比例排在第二，为16.36%；非试点单位披露内部控制缺陷的比例最小，为5.00%。
剔除内部控制重大缺陷外，2011年披露了内部控制缺陷的上市公司的内部控制总评均值高于未披露内部控制缺陷的上市公司，内部控制中五要素的均值也高于未披露内部控制缺陷的上市公司。
未披露内部控制缺陷的上市公司的内部控制总评均值低于披露内部控制缺陷的上市公司，这是由于2011年强制实施内部控制规范体系的境内外同时上市公司和试点上市公司按照《企业内部控制基本规范》和《企业内部控制配套指引》，建立与运行了内部控制规范体系，并按规定将运行过程中发现的内部控制缺陷披露出来。在非试点上市公司中，自愿披露缺陷的也大多为内部控制水平较好的公司。
（四）是否试点上市公司与内部控制水平
2011年A股上市公司中，境内外同时上市公司68家，占比2.91%；自愿试点上市公司214家，占比9.15%；非试点上市公司2058家，占比87.95%。
境内外同时上市公司的内部控制总评均值为34.13，自愿试点上市公司的内部控制总评均值为34.43，非试点上市公司的内部控制总评均值为30.88。境内外同时上市的公司与自愿试点上市公司的内部控制水平高于非试点上市公司。
为分析强制实施内部控制体系对内部控制水平是否有提升，本研究选取68家境内外同时上市公司做为研究样本，对比其未强制实施时的内部控制水平（2010年）与强制实施时的内部控制水平（2011年）。2010年境内外同时上市公司的内部控制总评均值为29.64，2011年，这些公司的内部控制总评均值上升至34.13，增长比例达15.16%。
（五）ST股与内部控制水平
2011年沪、深交易所ST公司150家，占总样本量的6.41%。非ST股的上市公司的内部控制总评均值高于ST股的上市公司，内部控制中五要素的均值也高于ST股的上市公司。
运用Stata11.0，按照是否ST股对上市公司的内部控制水平进行T检验，实证结果显示，2011年非ST股的上市公司的内部控制总评均值高于ST股的上市公司，且两者之间的差异在1%的水平下显著。
2008-2011四年非ST股与ST股的内部控制总评均值相比，两者之间的差异2008年为4.78，2009年为6.28，2010年为7.69，2011年为8.45。由以上数据可知，非ST股、ST股的内部控制的总评均值呈现逐年上升的趋势；但非ST股与ST股之间的差异也呈逐年上升的趋势。
（六）违法违规与内部控制水平
2011年沪、深交易所2340家上市公司中，41家上市公司被处罚，占总样本量的1.75%。未违法违规的上市公司的内部控制总评均值高于违法违规的上市公司。
运用Stata11.0，按照是否违法违规对上市公司的内部控制水平进行T检验，结果显示，2011年未违法违规的上市公司内部控制总评均值高于违法违规的上市公司，且两者之间的差异在10%的水平下显著。
2008-2011四年未违法违规的上市公司与违法违规的上市公司的内部控制总评均值相比，2008年未违法违规的上市公司的总评均值为20.36，违法违规的上市公司的总评均值为15.55；2009年未违法违规的上市公司的总评均值为21.43，违法违规的上市公司的总评均值为17.52；2010年未违法违规的上市公司的总评均值为26.10；违法违规的上市公司的总评均值为22.20；2011年未违法违规的上市公司的总评均值为31.35；违法违规的上市公司的总评均值为28.46。
由以上数据可知，未违法违规的上市公司的内部控制的总评均值呈现逐年上升的趋势；违法违规的上市公司的内部控制的总评均值低于未违法违规的上市公司，但其总评均值也呈现逐年上升的趋势。
（七）股权激励与内部控制水平
2011年沪、深交易所2340家上市公司中，176家上市公司实施了股权激励，占总样本量的7.52%，未实施股权激励的上市公司为2164家，占总样本量的92.48%。
实施股权激励的上市公司和未实施股权激励的上市公司的内部控制评分的均值比较显示，实施股权激励的上市公司的内部控制总评均值高于未实施股权激励的上市公司，内部控制中五要素的均值也高于未实施股权激励的上市公司。
运用Stata11.0，按照是否实施股权激励对上市公司的内部控制水平进行T检验，结果表明，2011年实施股权激励的上市公司内部控制总评均值高于未实施股权激励的上市公司，且两者之间的差异在1%的水平下显著。
2008-2011四年，实施股权激励的上市公司与未实施股权激励的上市公司的内部控制总评均值相比：2008年实施股权激励的上市公司的总评均值为25.86，未实施股权激励的上市公司的总评均值为20.05；2009年实施股权激励的上市公司的总评均值为25.66，未实施股权激励上市公司的总评均值为21.16；2010年实施股权激励的上市公司的总评均值为28.95；未实施股权激励的上市公司的总评均值为25.84；2011年实施股权激励的上市公司的总评均值为34.87；未实施股权激励的上市公司的总评均值为31.01。
由以上数据可知，实施股权激励的上市公司的内部控制的总评均值呈现逐年上升的趋势；未实施股权激励的上市公司的内部控制的总评均值低于实施股权激励的上市公司，但其总评均值也呈现逐年上升的趋势。
5
多元回归分析
（一）内部控制影响因素的多元回归分析
本项研究以上市公司内部控制总评分作为因变量，企业规模、资产负债率、上市时间、2010年度是否亏损、前十大股东股权集中度和前三名董事会成员薪酬总额作为解释变量，以交易所、行业、实际控制人作为控制变量，从公司特质、公司治理等相应指标判断其对内部控制水平的影响。
分析结果表明：（1）内部控制水平与上市公司的规模正相关，两者之间的相关系数为1.051，并在1%的水平下显著；（2）内部控制水平与上市公司的资产负债率负相关，两者之间的相关系数为-3.238，并在1%的水平下显著。（3）内部控制水平与上市时间负相关，两者之间的相关系数为-0.299，并在1%的水平下显著；即上市时间越短，内部控制水平越好；（4）内部控制水平与2010年度是否亏损负相关，两者之间的相关系数为-2.777，并在1%的水平下显著；即2010年度盈利的公司比2010年度亏损的公司内部控制水平更好；（5）内部控制水平与前十大股东持股比例不相关；（6）内部控制水平与前三名董事会成员薪酬总额正相关，两者之间的相关系数为0.099，并在1%的水平下显著；即前三名董事会成员薪酬越高，内部控制水平越好。
2008-2011年，企业规模在2008、2009、和2011年都与内部控制正相关，仅2009年为负相关；上市时间在2008-2011四年期间都与内部控制负相关，前一年度是否亏损在2008-2011四年期间都与内部控制负相关，前十大股东股权集中度在2008-2011四年期间都与内部控制不相关，前三名董事会成员薪酬总额在2008-2011四年期间都与内部控制正相关。
（二）内部控制水平与投资资本回报率的回归分析
本项研究以投资资本回报率（ROIC）为因变量，以2011年上市公司的内部控制的总评分为自变量进行回归分析。结果表明，投资资本回报率与内部控制总评分之间呈正相关关系，两者之间的相关系数为0.001，并在1%的水平下显著。
2008-2011四年内部控制与投资资本回报率的关系的实证研究结论显示，2008年两者之间的相关系数为0.093，并在1%的水平下显著；2009年两者之间的相关系数为0.225，并在5%的水平下显著；2010年两者之间的相关系数为8.42，并在5%的水平下显著；2011年两者之间的相关系数为0.001，并在1%的水平下显著。四年的实证研究结论都表明，内部控制与投资资本回报率之间存在着正相关关系。
6
建议
（一）从国家战略的高度，扶持、培育一批高端专业技术公司，为实现我国企业“做优做强”的目标提供技术保障
政府监管部门颁布的内部控制规范文件为企业实施内部控制提供了政策指引，但内部控制作为一项新兴理论，在我国发展实施的时间较短，企业不仅缺乏专业的人才来推进内部控制体系建设，而且也缺少理论支撑与实践指导，因此在建立健全内部控制体系过程中阻碍重重，这可能会导致我国企业的内部控制体系建设流于形式或偏离重心，不能有效管控经营过程中的风险，不利于企业的可持续发展，甚至有悖于我国经济健康持续发展的国家战略目标。
因此，本研究建议从国家战略的高度，扶持、培育一批内控领域的本土高端专业技术公司，为我国的上市公司、国有企业以及其他类型的公司提供专业的内部控制咨询以及信息化服务，协助企业建立有效的内部控制体系，做优做强我国企业，为保障国家经济安全、促进国家经济平稳较发展提供有力支撑。
（二）由“财务报告的内部控制”的理念逐步转向为“基于企业价值的内部控制”理念
内部控制作为企业的一项重要管理活动，主要试图解决三方面的基本问题，即财务报告及相关信息的可靠性、资产的安全完整以及对法律法规的遵循；与此同时，帮助企业提高经营的效率效果，并促进企业实现发展战略。其中，财务报告内部控制主要关注重大错报风险，合理保证财务报告的真实性。而基于价值提升的内部控制是扎根于管理体系的全方面制度安排，运行该内控体系的最直接的体现是提高公司对外提供财务信息的真实性、可靠性及增加信息披露的透明度，而实质上它进一步优化了公司的经营管理机制、提高了公司整体的风险管控能力、提升了企业价值，促进公司可持续发展。
依据2008-2011四年《中国上市公司内部控制白皮书》的实证研究结论，内部控制与投资资本回报率之间存在着正相关关系，即有效的内部控制能够提升企业价值。因此，本研究建议监管机构及上市公司转变理念，从“财务报告的内部控制”逐步过渡至“基于企业价值的内部控制”，使企业的内部控制与日常经营管理有机结合，确保其内部控制体系的建立能够合理保证企业战略、经营、报告、合规、资产安全等企业目标的实现，让内部控制真正成为企业健康发展和价值创造的“助推器”。
（三）强化内部控制信息披露监管体系
尽管2011年上市公司披露内部控制缺陷的比例已有显著提升，但是我国当前上市公司内部控制缺陷自愿性披露仍处于起步阶段，内控缺陷的整体披露水平较低，内部控制缺陷的信息含量较差。
导致这一现象的主要原因在于：我国上市公司内控缺陷披露的动机主要来自于监管层的监管压力，其主动披露内部控制缺陷的动机较弱；而且注册会计师内部控制审计尚未发挥足够的外部治理作用。
因此，本研究建议相关监管部门应当进一步加强对上市公司内部控制评价范围、内容、评价标准、评价方法、评价结论的监管力度，避免内部控制评价流于形式，并强化内部控制信息监管体系，积极促进上市公司内部控制信息的披露，从而推动我国内部控制规范体系的逐步实施和完善。
（四）加强内部控制法制建设
美国于2001年出台《萨班斯法案》，在404条款中要求上市公司在年度报告中包括内部控制报告，其中包括：强调公司管理层建立和维护内部控制系统及相应控制程序充分有效的责任、发行人管理层最近财政年度末对内部控制体系及控制程序有效性的评价；并按照上述要求出具内部控制评价报告。《萨班斯法案》906条款要求上市公司的定期报告中的信息在所有重大方面都公允地反映了公司的财务状况和经营成果，如果上市公司财务报告的定期报告没有满足该要求，而上市公司又签署了证明报告真实有效证明的，相关责任人应被处罚最多500万美元的罚款，最多20年的监禁，或者两者并罚。由此可见，美国高度重视上市公司的内部控制，并且上市公司管理层如果在内部控制报告中隐瞒内部控制重大缺陷、虚假披露内部控制有效性，将有可能面临高额的罚款和严厉的刑事处罚。
而我国的内部控制法制建设还处于部门规章层面，并未上升至法律法规层面，且目前我国对上市公司管理层未按照规定披露的信息或者所披露的信息有虚假记载、误导性陈述或者重大遗漏的处罚较轻，仅对直接负责的主管人员和其他直接责任人员给予警告，并处以三万元以上三十万元以下的罚款。为确保内部控制得以有效执行，内部控制信息披露能够真实准确，投资者的利益得到切实维护，本研究建议监管机构加强内部控制的法制建设，并借鉴美国的《萨班斯法案》，强化对隐瞒内部控制缺陷、虚假披露内部控制有效性的相关管理人员的处罚力度。
（五）根据内部控制水平对上市公司进行分类监管
我国上市公司内部控制整体水平偏低，且存在明显差异。对此，为重点加强对内部控制水平较低的公司实施监管，本研究建议监管机构可依据各上市公司内部控制水平，进行分类监管。对于内部控制水平较好的上市公司，可以为其开通行政许可的绿色通道，比如在再融资、并购重组以及股权激励等事项上优先考虑。而对于内部控制水平较差的上市公司，则重点监管。
（六）加强对中介机构的监管力度
《企业内部控制基本规范》规定：为企业内部控制提供咨询的会计师事务所，不得同时为同一企业提供内部控制审计服务。《企业内部控制评价指引》也规定：企业可以委托中介机构实施内部控制评价，为企业提供内部控制审计服务的会计师事务所，不得同时为同一企业提供内部控制评价服务。但仍有上市公司存在将内控咨询或评价与内控审计业务直接或间接委托给某一会计事务所的现象，购买审计意见的行为明显。为此，本研究建议监管机构应当加强对中介机构的监管力度，防止和杜绝将内控咨询或评价与内控审计业务捆绑，避免内控审计流于形式。