□厦门大学内控指数课题组 主持人 陈汉文
一、引言
2010年4月26日，我国中央五部委联合发布了《企业内部控制配套指引》，连同2008年发布的《企业内部控制基本规范》，“标志着适应我国企业实际情况、融合国际先进经验的中国企业内部控制规范体系基本建成”注1。该体系是我国企业建立和评价内部控制的指引和依据。根据五部委联合印发的《关于印发企业内部控制配套指引的通知》和财政部、证监会发布的《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》，自2012年1月1日起主板上市公司开始分类分批实施内部控制规范体系。从2010年开始，我们借鉴国内外通用的评估方法，结合我国的实际情况，构建了一套系统的内部控制指数评价体系，旨在全面客观地评价我国上市公司的内部控制现状，为政府监管、企业完善内部控制以及决策者提供有用的参考。
2014年，我们发布了2013年我国上市公司内部控制指数，该指数表明我国上市公司内部控制整体水平尚不高，并且存在省份地区、行业等差异。今年，我们继续跟踪上市公司，对其2014年的内部控制进行评价，研究表明2014年我国上市公司内部控制总体水平得到了进一步的提升。
二、内部控制评价方法及样本
首先，我们依据《企业内部控制基本规范》及其《配套指引》，综合考虑《深圳证券交易所上市公司内部控制指引》、《上海证券交易所上市公司内部控制制度指引》、《上市公司治理准则》、《中华人民共和国公司法》、《中国人民共和国证券法》及《上市公司章程指引》等法律法规及相应文件，同时借鉴国内外已有的内部控制评价研究，确定了内部环境、风险评估、控制活动、信息与沟通、内部监督等5个一级评价指标、25个二级指标、35个三级指标、158个四级指标的四级指标体系。我国自2012年1月1日起主板上市公司开始分类分批实施内部控制规范体系；2014年1月，证监会与财政部联合制定了《公开发行证券的公司信息披露编报规则第21 号——年度内部控制评价报告的一般规定》，进一步加强了上市公司内部控制评价信息的披露规范要求，据此我们已经于去年第一时间对四级指标进行了修订，并在中国上市公司内部控制指数（2013）中采用，以期更好地结合相关政策法规要求，衡量上市公司的内部控制水平。我们对指标的修订遵循两个原则，第一，修订后的指标要与修订前的指标具有继承性、可比性；第二，修订后的指标能在新的制度环境下更好的衡量内部控制水平。在这两个原则的指导下，今年我们沿用了最新修订后的指标体系，得到158个四级指标。其次，我们采用层次分析法（AHP）和变异系数法确定指标权重。最后，对每项指标加权平均即得到内部控制评价指数，其五个要素（一级指标）得分分别构成内部环境指数、风险评估指数、控制活动指数、信息与沟通指数和内部监督指数。该指数采用百分制，分值在区间[90,100]、[80,90）、[70,80）、[60,70）、[50,60）和[0,50）分别对应■I、■II、■III、■IV、■V和■VI六个内控等级水平注2。
本研究对2014年我国主板和中小板上市公司内部控制水平进行评价。我们收集了上市公司截止于2015年4月30日的公开资料，包括公司年度报告、内部控制自我评价报告、社会责任报告等定期公告、临时公告、公司的规章制度以及处罚和重大事件等。依据的资料主要来源于交易所网站、巨潮资讯网、中国证监会等监管部门网站以及公司主页。对于手工难以找到的数据，辅助查看WIND数据库、CSMAR数据库和CCER数据库。课题组最终得到2185家样本公司数据。
三、我国上市公司内部控制总体状况评价
（一）、我国上市公司内部控制总体状况
2014年，我国上市公司内部控制整体水平进一步提高。图1描述了我国近三年内部控制水平。各个指数以数据条的形式呈现，从左至右分别表示2012至2014年指数均值。该图表明，在这三年中，内部控制整体水平整体呈上升趋势。2012和2013年内部控制指数均值分别为44.78分和45.87分，2014年指数均值为46.92分，相比2013年提高了1.05分。控制活动指数均值在2013年大幅提高的基础上，2014年略有降低，下降1.43分；内部环境和信息沟通指数与2013年基本持平，分别微降0.42分和0.01分。风险评估水平在去年略微上升的情况下，2014年进一步大幅度提升，增长了9.93分。总体而言，2014年，中国上市公司在内部控制水平整体上升的情况下，内部环境、控制活动、信息沟通、内部监督的水平基本与2013年持平，而风险评估水平在2014年得到了大幅度的提升。说明中国上市公司进一步加强了对风险的评估和防范。
表1列示了上市公司内部控制等级分布状况。从内部控制指数来看，2014年，没有一家公司进入I级水平和II级水平，进入III级水平的公司也由2013年的12家下降为4家，IV级水平的公司数量与往年基本持平；但由VI级水平进入V级水平的公司则显著增加，达108家，从而可以看出内部控制水平低的公司在内控规范体系实施的过程中内部控制提升较快。从五要素指数来看，内部环境成为了上市公司内部控制的薄弱环节，共有2085家公司处于最低层级，第 IV、V级水平的公司数量也有不同程度的减少。在控制活动方面，2014年上市公司共146家进入I级水平，较上年减少了31家，除第I、III级水平的公司数量下滑外，其他各级水平的公司数量都有不同程度的增加，整体分布情况与往年基本一致。在信息与沟通方面，也呈现出与控制活动相同的情况，进入I、III、IV、VI级水平的公司数量有所增加，其中处在I级水平的公司数量由往年的12家增至18家。在风险评估方面，虽然处在I级水平的公司数量较2013年相比仍然没有实现0的突破，但处在II、III、IV、V各个等级的公司数量均有较大幅度的增加，同时处在最低一个等级的公司数量也从1900家锐减至1630家。
图1：近三年内部控制水平比较
■
表1：内部控制总体情况分布表（附后）
（二）、我国各省份内部控制整体状况
表2反映了我国各个省份的内部控制水平。从2013与2014年内部控制指数均值来看，我国31个省、直辖市和自治区的内部控制水平，除云南、贵州、广东、山西、天津、广西、吉林七个省、市或自治区有所下降以外，其他地区总体均有所提升。北京以50.86分蝉联第一，福建、云南、贵州、广东仍居前5，与2012年和2013年均保持一致。青海、宁夏、海南分别以43.86、41.79和41.6分位列后三位。从区位来看，中部省份注3仅安徽进入前十，位列第六名。前十省份中东部占据半壁江山，西部占4位，中部仅1位。后十的省份中，西部省份、自治区多达6位，东部和西部各占2位。整体而言，目前中国上市公司内部控制水平东西部之间仍然存在较大差距，中部地区上市公司的整体内控水平居于全国的中段。
表2：省份内部控制指数均值排行榜
■
（三）、我国各行业内部控制整体状况
从表3内部控制指数行业均值来看，除金融业、批发和零售业、社会服务业以及文化、体育和娱乐业降低外，其他行业在2014年内部控制指数均上升。金融业的降幅为3.32分，但是受监管严格的金融业仍居于所有行业之首，并且远高于第二位建筑业。第二位至第五位分别为建筑业、交通运输、仓储和邮政业、采矿业以及电力、热力、燃气及水生产和供应业，四个行业之间的内控水平整体差异较低。2014年，前六位的行业与往年保持一致，文化、体育和娱乐业2014年度内部控制指数均值下降1.27分，排位由第7位下滑至第13位。同时，社会服务业也由第10位下滑至第12位。综合类由第12位上升至第9位。农、林、牧、渔业也上升两位至第11位。
表3：行业内部控制指数排行榜
■
四、分类数据分析
（一）、内部控制规范实施及试点公司分析
2011年，有部分公司先行试点实施内部控制规范体系。2012年后，内部控制规范体系开始大规模在主板国有上市公司间展开实施，2013年实施内部控制规范体系的范围进一步扩大，由于试点公司可以发挥示范效应，同时也存在先发优势，所以我们今年仍然统计了试点公司和非试点公司在内部控制水平上的差异。表4中我们的统计结果表明，试点公司的内部控制指数以及五要素指数均值均高于非试点上市公司。
表4：内部控制规范内部控制水平均值比较
■
（二）、风险管理部门设置与内部控制分析
风险管理是公司的重中之重，在我们收集的2185家样本公司中，有387家公司成立了专门负责风险管理的机构或部门（例如：风险管理委员会和风险管理部等），而2013年为252家，增加了135家，占总样本的17.71%。表5结果表明，设置风险管理部门公司的2014年内部控制指数均值高出无风险管理部门的公司7.72分，且前者的风险评估指数均值高出后者20.77分，表明设置风险管理部门有助于提高公司内部控制质量，特别是风险评估水平。
表5：设置风险管理部门公司与未设置风险管理部门公司内部控制水平均值比较
■
（三）、社会责任与内部控制分析
2014年，主板和中小板上市公司中共663家披露了社会责任报告，比2013年的678家减少了15家，占总样本的30.34%。表6显示，披露社会责任报告的公司内部控制水平高于不披露社会责任报告的公司，内部控制指数均值高出7.93分。表明较好履行社会责任有助于内部控制质量的提升。
表6：披露社会责任报告公司与未披露公司内部控制水平均值比较
■
（四）、处罚与内部控制分析
公司董事、监事及高级管理人员（简称董监高）价值观和行为直接影响整个公司的文化氛围和行为准则。2014年，共有149家上市公司及董监高受到处罚，较2013年多出46家。如表7所示，这类公司的内部控制水平低于未受处罚的公司，这表明董监高的行为对公司内部控制具有重要影响作用。受处罚公司与未受处罚公司相差最大的内部环境部分，分差达到18.49分，总体内部控制的分值差也达到7.77分。
表7：受处罚公司与未受处罚公司内部控制水平均值比较
■
（五）、财务报告审计意见与内部控制分析
2014年，79家上市公司年报被出具了非标准审计意见，被出具标准意见公司的内部控制水平高出被出具非标意见的公司12.43分（见表8），表明内部控制差的企业更容易被出具非标审计意见。两类公司在内部环境、风险评估、控制活动、信息与沟通和内部监督五个方面皆有较大差异。
表8：被出具标准意见与非标准意见内部控制水平均值比较
■
（六）、财务报表重述与内部控制分析
2014年，143家上市公司进行了财务重述，占整个样本的6.54%，该比例较2013的9.53%进一步降低。如表9所示，财务重述公司内部控制指数平均比未财务重述公司的低3.75分。2014年，发生财务重述和未重述公司内部控制指数均值较上年未重述公司指数均值均有所上升。
表9：财务报表重述公司与未重述公司内部控制水平均值比较
■
（七）、自我评价报告与内部控制分析
在我们的样本中，2014年2152家上市公司进行了内部控制自我评价，并披露了内部控制自评报告，占总样本的98.49%。从表10可以看出，出具内控自评报告的公司内部控制指数均值比未披露的公司高出约10.06分。内部控制自我评价反映了内部监督的强弱，在五要素指数中，出具自评报告与未出具的公司在内部监督指数差异达到12.17分。相比于2013年，未出具自评报告的公司内部控制水平有所提升，出具自评报告的公司内控水平与2013年基本持平。
表10：出具自评报告公司与未出具自评报告公司内部控制水平均值比较
■
（八）、内部控制审计报告与内部控制分析
2014年，样本中共有1823家公司出具了内部控制审计报告或者鉴证报告，较上年增加了279家，占总样本的83.43%，其中45份审计报告或者鉴证报告发表的是非标准意见。我们对出具内部控制审计或鉴证报告与否的公司的内部控制指数均值差异进行了统计分析，结果表明（表11），出具了内部控制审计或鉴证报告的公司内部控制指数均值高于未出具的公司，两者指数均值差异3.42分。两者内部监督指数的差异为6.21分。
表11：出具内控审计或者鉴证报告公司与未出具审计或鉴证报告公司内控水平均值比较
■
我们把2014年内部控制审计或者鉴证报告意见类型分类标准和非标准两类，分析结果如表12所示，标准意见公司内控指数均值高于非标准意见公司，分差19.92分。值得注意的是，非标准意见公司的内控指数各项均值低于未出具内控审计或者鉴证报告的公司。
表12：标准与非标准内控审计或者鉴证意见类型公司内控水平均值比较
■
（九）、新上市企业分析
2014年，证监会重新启动了新股发行审核，全年新上市公司128家，在审核制向注册制转变的背景下，未来新上市公司将进一步增加，因此我们认为应对新上市公司给予充分关注。在我们的研究样本中，共有77家新上市公司。我们将2185个样本分为新上市公司和非新上市公司，并对二者进行了统计分析，分析结果如表13所示，非新上市公司的内控指数均值高于新上市公司，分差达11.73分。从内部控制五要素来看，非新上市公司各要素的均值均优于新上市公司。我们认为，新上市公司上市年限较短，内部控制相较于已经上市的公司仍然存在较大的提升空间。
表12：2014年新上市公司与非新上市公司内控水平均值比较
■
（十）、内部控制百强企业分析
我们根据内部控制指数，对2185家上市公司的内部控制进行排名，得出内部控制百强企业（见附录）。如表14所示，非百强企业的内部控制指数均值相较去年有所升高，而百强企业的内部控制指数均值较去年则有所降低。2014年百强企业内部控制指数均值高出非百强企业17.56分。
表14：内部控制百强企业内部控制水平均值分析
■
我们进一步对百强企业分布进行分析，如表15所示，从行业分布来看，63%的百强企业分布在制造业和金融业。在我们的样本中，36家制造业公司、27家金融业公司进入百强。从地区分布来看，广东、北京、江苏和上海的上市公司进入百强的企业最多，共61家。东部省份百强公司比例达到77%，而中部和西部省份百强公司比例分别为13%和10%。可见，百强企业在行业和地区分布很不均衡。
表15：内部控制百强企业分布分析
■
五、研究结论
我们评价了2185家上市公司的2014年度内部控制水平，从各项指标来看，内部环境、控制活动、信息沟通、内部监督水平基本与去年持平，整体内控指数和风险评估指数显著提高，表明我国2014年内部控制水平得到改善。但是，我国大多数上市公司内部控制整体水平仍然处于最低一级VI水平，有待加强。在内部控制规范体系实施过程中，风险评估水平提升尤为明显。我们的研究表明，提升董监高诚信和道德价值观、积极履行社会责任、设置风险管理部门、持续进行内部控制自我评价以及聘请会计师事务所进行内部控制审计均有助于改善内部控制。
此外，我们的研究结果还表明，我国内部控制水平在行业和地区上仍存在较大差异。从行业上看，金融业、建筑业、交通运输、仓储和邮政业仍然占据前三，而社会服务业及文化、体育和娱乐业则处于最后两位。百强企业集中在制造业和金融业，这两个行业囊括了63%的百强企业。77%的百强企业分布在东部省份，中部和西北各占13%和10%。此外，内部控制控制薄弱的公司更容易被出具非标审计意见以及发生财务重述。同时，新上市公司的内部控制水平相对于已经上市多年的公司来讲，仍然存在较大的提升空间。
附录：内部控制百强企业
■
注1：http://www.mof.gov.cn/zhengwuxinxi/
caizhengxinwen/201004/t20100426_289147.html
注2： 关于内部控制评价指数的详细介绍请参见2010年6月11日刊登于中国证券报、上海证券报的《中国上市公司内部控制指数（2009）：制定、分析与评价》以及同日刊登于证券时报的《建立适合我国国情的内部控制评价体系》。
注3：我国划分为东部、中部和西部三个地区，其中：东部地区包括北京、天津、河北、辽宁、上海、江苏、浙江、福建、山东、广东和海南11个省份；中部地区包括山西、吉林、黑龙江、安徽、江西、河南、湖北、湖南8个省份；西部地区包括四川、重庆、贵州、云南、西藏、陕西、甘肃、青海、宁夏、新疆、广西和内蒙古12个省份。
内部控制总体情况分布表
| ■ | ■I | ■II | ■III | ■IV | ■V | ■VI | 总体 |
| 内部控制指数 | 2012 | 0 | 1 | 20 | 106 | 495 | 1492 | 2114 |
| 2013 | 0 | 0 | 12 | 99 | 552 | 1447 | 2110 | |
| 2014 | 0 | 0 | 4 | 96 | 660 | 1425 | 2185 | |
| 内部环境指数 | 2012 | 0 | 1 | 10 | 62 | 184 | 1857 | 2114 |
| 2013 | 0 | 0 | 0 | 10 | 130 | 1970 | 2110 | |
| 2014 | 0 | 0 | 0 | 5 | 95 | 2085 | 2185 | |
| 风险评估指数 | 2012 | 7 | 10 | 29 | 65 | 86 | 1917 | 2114 |
| 2013 | 0 | 12 | 24 | 73 | 101 | 1900 | 2110 | |
| 2014 | 0 | 19 | 59 | 258 | 219 | 1630 | 2185 | |
| 控制活动指数 | 2012 | 70 | 286 | 665 | 454 | 320 | 319 | 2114 |
| 2013 | 177 | 418 | 759 | 374 | 229 | 153 | 2110 | |
| 2014 | 146 | 444 | 678 | 426 | 286 | 205 | 2185 | |
| 信息与沟通指数 | 2012 | 10 | 54 | 158 | 316 | 391 | 1185 | 2114 |
| 2013 | 12 | 74 | 190 | 360 | 467 | 1007 | 2110 | |
| 2014 | 18 | 69 | 226 | 400 | 410 | 1062 | 2185 | |
| 内部监督指数 | 2012 | 8 | 103 | 253 | 374 | 307 | 1069 | 2114 |
| 2013 | 0 | 15 | 89 | 260 | 437 | 1309 | 2110 | |
| 2014 | 0 | 3 | 20 | 138 | 347 | 1677 | 2185 |