短板快速补齐 上市公司内控水平继续上升——中国上市公司内部控制指数（2019）制定、分析与评价

短板快速补齐 上市公司内控水平继续上升

——中国上市公司内部控制指数（2019）制定、分析与评价

□ 陈汉文 林勇峰 鲁威朝 黄轩昊

■

改革开放以来，我国经济持续高速增长，取得瞩目成就。进入新时期，为了更好适应经济发展新常态、贯彻新发展理念、适应社会主要矛盾变化，以期更好建设现代化经济体系，2018年政府工作报告要求围绕“高质量发展”推进各项工作。“高质量发展”不仅要求经济发展要注重速度，更要着力解决质的问题，兼顾量变与质变，保持经济持续健康发展。企业是经济发展的主体，也是“高质量发展”的重要载体。作为企业目标实现的有力保障，内部控制旨在提升企业合法合规性和经营效率效果，并促进企业战略实施。我国政府多部门协作、致力于建立一套完整内部控制规范体系的重要目标之一也是促进企业可持续发展，维护社会主义市场经济秩序。由此而言，提升企业内部控制，对于实现企业“高质量发展”，进而达成经济“高质量发展”具有重要意义。

2008年6月28日，财政部、证监会、审计署、原银监会、原保监会联合发布了《企业内部控制基本规范》。为了保证该规范的有效实施，财政部、证监会、审计署、原银监会、原保监会于2010年4月26日进一步发布《企业内部控制应用指引》《企业内部控制评价指引》和《企业内部控制审计指引》三个配套指引，分别从企业自身建立、评价内部控制以及审计师鉴证内部控制进行细化和规范。一个基本规范和三个配套指引的制定发布，标志着我国“以防范风险和控制舞弊为中心、以控制标准和评价标准为主体，结构合理、层次分明、衔接有序、防范科学、体系完备”的内部控制体系基本建成。

根据五部门联合颁布的《关于印发企业内部控制配套指引的通知》和财政部、证监会发布的《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》，自2012年1月1日起主板上市公司开始分类分批实施内部控制规范体系。从2010年开始，我们借鉴国内外通用的评估方法，结合我国的实际情况，构建了一套系统的内部控制指数评价体系，旨在全面客观地评价我国上市公司的内部控制现状，为政府监管、企业完善内部控制以及决策者提供有用的参考。今年，我们继续跟踪上市公司，并对其2019年度内部控制质量进行评价和分析，以期促进企业内部控制质量提升，推动企业和经济持续健康发展。

■

首先，我们依据《企业内部控制基本规范》及其《配套指引》，综合考虑《深圳证券交易所上市公司内部控制指引》《上海证券交易所上市公司内部控制制度指引》《上市公司治理准则》《中华人民共和国公司法》《中国人民共和国证券法》及《上市公司章程指引》等法律法规及相应文件，同时借鉴国内外已有的内部控制评价研究，确定了内部环境、风险评估、控制活动、信息与沟通、内部监督等5个一级评价指标、25个二级指标、35个三级指标、158个四级指标的四级指标体系。我们采用层次分析法（AHP）和变异系数法确定指标权重。最后，对每项指标加权平均即得到内部控制评价指数，其五个要素（一级指标）得分分别构成内部环境指数、风险评估指数、控制活动指数、信息与沟通指数和内部监督指数。该指数采用百分制，分值在区间[90,100]、[80,90）、[70,80）、[60,70）、[50,60）和[0,50）分别对应CICI I、CICI II、CICI III、CICI IV、CICI V和CICI VI六个内控等级水平。

本研究对2019年我国主板、中小板、创业板和科创板上市公司内部控制水平进行评价。以披露2019年度报告的公司为基础，本课题组得到3792家上市公司样本。考虑到新冠肺炎疫情的影响，我们收集了上市公司截至2019年6月30日的公开资料，包括公司年度报告、内部控制自我评价报告、社会责任报告等定期公告、临时公告、公司的规章制度以及处罚和重大事件等。依据的资料主要来源于交易所网站、巨潮资讯网、中国证监会等监管部门网站以及上市公司官方网站。

■

（一）我国上市公司内部控制总体状况

2019年，我国上市公司内部控制整体水平较2018年有所提升，助力上市公司质量进一步提高。从2017年至2019年的三年间，内部控制指数均值分别为46.05、46.22和47.59分。从内部控制构成要素来看，内部环境和内部监督指数较2017年略降，而风险评估、控制活动及信息沟通指数有所增长。尤其是风险评估指数，延续了增长势头，较2018年提升8.08分，上市公司长期以来的内部控制短板快速补齐，更好地适应了资本市场新时代的发展要求。但值得注意的是，内部环境的绝对水平仍然处于较低位，内部监督水平也未呈现出理想的改善情况。

从内部控制指数来看，2019年，内部控制质量处于V级水平及VI级水平的公司仍占绝对比重。内部控制达到I级水平和II级水平的公司仍未能够实现零的突破，但进入III级水平和IV级水平的公司有所增加。从五要素指数来看，内部环境仍然是上市公司内部控制最为薄弱的环节，从2017年至2019年的三年间，内部环境指数均处于末端三级，总体均值降低的同时，高分段公司数量也在增加，上市公司内部环境出现了分化的情况。在风险评估方面，2019年上市公司风险评估水平持续增长，进入II级和III级水平的公司比例大幅提升。在控制活动方面，I、II级水平公司占比回升，第III级水平的公司占比相较2018年略降，但相较于2017年仍有较大幅度增加；在信息沟通方面，第II级至V级水平的公司占比均有不同程度提升，上市公司信息沟通水平整体提升；在内部监督方面，不同层面呈现出下滑趋势，应当予以关注。

（二）各省份上市公司内部控制整体状况

我国上市公司在各地分布不均衡，且大多数集中在经济发达的省份。从数量分布来看，广东624家、浙江462家、江苏428家，北京346家、上海303家，占据全国前五。而经济欠发达省份的上市公司刚刚进入两位数，如青海12家、宁夏14家、西藏19家。上市公司数量与各个省份经济发展水平较为一致。对全国各省份上市公司内部控制进行评价，结果显示，北京、云南和河北内部控制水平位于前三，而黑龙江、海南和青海内部控制水平较低。值得注意的是，第一，由于各个地区上市公司数量差异极大，会对内部控制水平均值产生一定影响；第二，虽然上市公司数量与地区经济发展水平具有密切关联，但内部控制水平与经济发展水平之间并未发现明显关联，一定程度上表明往年内控水平东强西弱的格局正在逐渐弱化甚至消失。

（三）各行业上市公司内部控制整体状况

按照中国证监会(CSRC)(2012版)《上市公司行业分类指引》，我们在样本中录得19个门类行业。内部控制水平在不同行业上市公司表现出了较大差异。目前金融业内部控制质量远高于其他行业平均水平。金融业由于其自身的高风险特点，较早受到政府部门的监管。1997年5月，中国人民银行发布《加强金融机构内部控制的指导原则》，要求各金融机构必须建立科学完善的内部控制制度，同年12月又发布《关于进一步完善和加强金融机构内部控制建设的若干意见》，提出了抓紧整章建制、完善治理结构、建立风险评估和监测制度、做好对金融机构内部控制建设的指导和监督等具体措施。证监会2000年、2003年发布的《公开发行证券公司信息披露规则》、原银监会2004年颁布的《商业银行内部控制评价试行办法》以及2007年颁布的《商业银行内部控制指引》等相关法案，对金融、保险业公司的内部控制起到了积极的促进作用。除金融业外，交通运输、仓储和邮政业、信息传输、软件和信息技术服务业等行业的内控指数均名列前茅，且排名稳定；农、林、牧、渔业、文化、体育和娱乐业、综合、居民服务、修理和其他服务业内控指数位于行业末端；卫生和社会工作、科学研究和技术服务业、教育业以及租赁和商务服务业内部控制水平有所提升。整体而言，各个行业与金融业之间内部控制水平差距仍然非常明显。

■

（一）风险管理部门设置与内部控制分析

风险评估是内部控制的核心要素之一，有助于企业及时识别、系统分析经营活动中与现实内部控制目标相关的风险，并合理确定风险应对策略。风险管理部门设置是指公司成立专门负责风险管理的机构或部门，如风险管理委员会、风险管理部等。分析结果表明，设置风险管理部门公司的2019年内部控制指数均值高出无风险管理部门公司3.49分，且前者的风险评估指数均值高出后者11.75分，表明设置风险管理部门有助于提高公司内部控制质量，特别是风险评估水平。

（二）社会责任与内部控制分析

《上市公司治理准则》第八十六条规定，上市公司在保持公司持续发展、实现股东利益最大化的同时，应关注所在社区的福利、环境保护、公益事业等问题，重视公司的社会责任。财政部等五部委制定了《企业内部控制应用指引第4号——社会责任》，引导企业制定安全生产、产品质量、环境保护与资源节约、促进就业与员工权益保护相关制度，做到经济效益与社会效益、短期利益与长远利益、自身发展与社会发展相互协调，实现企业与员工、企业与社会、企业与环境的健康和谐发展。分析结果显示，披露社会责任报告公司的内部控制指数，远高于未披露社会责任报告的公司。值得注意的是，披露社会责任报告公司的内部环境指数比未披露公司高出11.94分。这表明较好履行社会责任有助于提升内部控制质量，尤其有助于内部环境的改善。

（三）处罚与内部控制分析

内部控制目标包括合理保证企业经营管理合法合规、财务报告及相关信息真实完整。然而，公司及其董事、监事和高级管理人员可能由于以上两方面问题受到证监会、交易所、司法部门以及政府部门处罚。2019年，共有785家上市公司及其董监高受到监管部门处罚，受处罚公司的内部控制指数比未受处罚公司的低7.15分。这表明董监高的行为对公司内部控制具有重要影响。受处罚公司与未受处罚公司的要素差异主要体现在内部环境，差异高达16.18分。表明公司董事、监事及高级管理人员价值观和行为直接影响整个公司的文化氛围和行为准则。

（四）财务报告审计意见与内部控制分析

审计师是资本市场重要的参与者，凭借其专业能力开展第三方审计业务，能够降低委托代理问题，提升公司信息透明度。审计师根据财务报告出具审计意见，包括标准无保留意见和保留、否定、无法表示及带强调事项段的无保留意见。截止到本报告统计时间，被出具非标准无保留审计意见的上市公司共计267家。审计报告意见类型分析结果表明，非标准无保留意见公司在内部控制五要素方面均低于收到标准无保留意见公司。

（五）财务报表重述与内部控制分析

财务报表重述是指企业在发现并纠正前期财务报告的差错时，重新表述以前公布的财务报告相关内容。上市公司财务报表重述可能导致财务信息传递扭曲，因此成为监管部门关注焦点之一。2019年，有427家上市公司进行了财务报表重述，占整个样本的11.26%，较2018年有所提升。从内部控制总体情况看，未进行重述样本内部控制整体优于重述样本，差异主要体现在信息沟通方面，表明财务重述公司的信息沟通是其内部控制的整改重点。

（六）自我评价报告与内部控制分析

在我们的样本中，在2019年，有3728家上市公司进行了内部控制自我评价，并披露了内部控制自我评价报告，占总样本的98.31%。分析结果显示，披露内控自评报告公司的内部控制指数均值比未披露的公司高出4.72分。内部控制自我评价反映了内部监督的强弱，在五要素指数中，披露自评报告与未披露的公司在内部监督指数的差异达到16.72分。

（七）内部控制审计报告与内部控制分析

2019年，有2935家公司披露了内部控制审计报告或者鉴证报告，占总样本的比例为77.4%。出具内控审计报告或鉴证报告的公司比未出具公司的内部控制总体得分更高。

在出具了内部控制审计报告或者鉴证报告的公司样本中，有156家公司的内部控制审计报告或鉴证报告为非标准意见。按照意见类型将样本分为标准和非标准两类，比较结果显示，收到标准意见的公司内部控制得分大幅度高于收到非标意见的公司，同时在所有要素维度均有较大幅度领先。值得注意的是，非标准意见公司的内控指数均值甚至远低于未被出具内控审计或鉴证报告的公司。

（八）新上市公司分析

按照公司上市时间将总样本分成2019年新上市和非新上市两类。在本课题组统计的样本下，2019年新上市公司共计244家。比较分析发现，2019年新上市公司内部控制质量低于非新上市公司。但纵观近三年的情况，新上市公司内控薄弱这一现象已经有较为明显改善。

（九）科创板上市公司分析

2019年7月22日，科创板首批25家公司挂牌上市交易。科创板市场主要服务于符合国家战略、突破关键核心技术、市场认可度高的科技创新企业。至本报告发布，科创板运行已超过一年。本报告样本中共包含92家科创板上市公司，在2019年年度，其内部控制均分为42.72分，低于其他板块上市公司，主要差异来自于内部环境及内部监督。科创板均为科技创新企业，其信息沟通水平远超过其他板块上市公司。科创板企业应持续优化内部环境，加强内部监督，提升内部控制水平。

（十）内部控制百强企业分析

我们根据内部控制指数，对3792家上市公司的内部控制进行排名，得出内部控制百强企业。我们比较分析百强企业和非百强企业内部控制水平，以期更进一步明确其他上市公司与标杆公司之间的差距。分析结果显示，百强企业的内部控制指数均值相较上年略微上升，非百强企业与百强企业的差距是全方位的，这一差距没有呈现出明显的扩大化或缩小趋势，高质量内部控制需要在五要素质量全面提升。

■

我们对2019年3792家上市公司的内部控制进行分析和评价，2019年上市公司内部控制质量进一步提高。其中，风险评估、控制活动和信息沟通水平较2018年有所提升。从分析结果来看，我国上市公司内部控制总体水平仍然较低，仍未有公司能够进入第I、II级水平。在五要素中，内部环境是上市公司最为薄弱的方面，亟待提升；风险评估和控制活动呈现出积极的进步；信息沟通水平有所回升；内部监督需要不断加强、完善。只有五要素协同改善，上市公司内部控制才能取得全面、有效的进步。

分类分析结果表明，设置风险管理部门、积极履行社会责任、进行内部控制自我评价以及聘请注册会计师进行内部控制审计或鉴证的公司具有更高的内部控制水平，而受到处罚、财务重述以及收到非标审计意见的公司具有较低的内部控制水平。科创板上市公司内部控制水平较其他板块仍有提升空间。此外，我国上市公司内部控制水平在地区和行业方面呈现出一定差异。

（作者系国家自然科学基金重点项目（71932003）

课题组成员）

CICI CICI I CICI II CICI III CICI IV CICI V CICI VI 总体

[90,100] [80,90） [70,80） [60,70） [50,60） [0,50）

内部控制指数 2017 0 0 0.20% 3.15% 28.39% 68.26% 3463

2018 0.00% 0.00% 0.28% 4.21% 24.47% 71.03% 3559

2019 0.00% 0.00% 0.37% 4.38% 34.44% 60.81% 3792

内部环境指数 2017 0.00% 0.00% 0.00% 0.17% 2.54% 97.29% 3463

2018 0.00% 0.00% 0.00% 0.11% 2.73% 97.16% 3559

2019 0.00% 0.00% 0.00% 0.34% 3.03% 96.62% 3792

风险评估指数 2017 0.00% 0.46% 3.90% 19.78% 15.02% 60.84% 3463

2018 0.00% 1.01% 4.21% 16.58% 14.19% 64.01% 3559

2019 0.00% 5.49% 9.99% 26.82% 16.61% 41.09% 3792

控制活动指数 2017 2.05% 14.38% 26.08% 22.55% 18.02% 16.92% 3463

2018 1.74% 10.54% 39.00% 25.54% 12.87% 10.31% 3559

2019 2.48% 14.21% 37.50% 22.49% 13.26% 10.05% 3792

信息与沟通指数 2017 0.26% 1.62% 8.32% 15.25% 21.60% 52.96% 3463

2018 0.17% 1.49% 7.19% 13.52% 19.87% 57.77% 3559

2019 0.05% 2.90% 10.86% 17.19% 24.87% 44.12% 3792

内部监督指数 2017 0.14% 1.56% 4.10% 9.01% 18.25% 66.94% 3463

2018 0.22% 1.07% 2.02% 3.88% 19.02% 73.78% 3559

2019 0.03% 0.76% 1.98% 2.53% 16.80% 77.90% 3792

2019年3792家上市公司的内部控制分析和评价结果显示，上市公司内部控制整体水平较2018年有所提升，从2017年至2019年的三年间，内部控制指数均值分别为46.05、46.22和47.59分。从内部控制构成要素来看，内部环境和内部监督指数较2017年略降，而风险评估、控制活动及信息沟通指数有所增长。

目前金融业内部控制质量远高于其他行业平均水平。除金融行业外，交通运输、仓储和邮政业、信息传输、软件和信息技术服务业等行业的内控指数均名列前茅，且排名稳定；卫生和社会工作、科学研究和技术服务业、教育业以及租赁和商务服务业内部控制水平有所提升。

设置风险管理部门、积极履行社会责任、进行内部控制自我评价以及聘请注册会计师进行内部控制审计或鉴证的公司具有更高的内部控制水平，而受到处罚、财务重述以及收到非标审计意见的公司具有较低的内部控制水平。

近三年内部控制水平比较

内部控制总体情况分布表