中国上市公司内部控制指数的制定、分析与评价
| ||
| ||
|
□ 陈汉文 董 望 黄轩昊 杨道广
一、引言
我国高度重视内部控制，并持续推动内部控制发展。2008年6月《企业内部控制基本规范》发布，2010年《企业内部控制配套指引》发布，标志着我国“以防范风险和控制舞弊为中心、以控制标准和评价标准为主体，结构合理、层次分明、衔接有序、方法科学、体系完整”的企业内部控制规范体系建设目标基本实现。2020年以来，《关于进一步提高上市公司质量的意见》《关于进一步提升上市公司财务报告内部控制有效性的通知》《关于强化上市公司及拟上市企业内部控制建设 推进内部控制评价和审计的通知》等陆续出台，进一步强调内部控制在提升公司质量方面的重要意义。
根据《关于印发企业内部控制配套指引的通知》《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》，自2012年1月1日起主板上市公司开始分类分批实施内部控制规范体系。从2010年开始，我们借鉴国内外通用的评估方法，结合我国的实际情况，构建了一套系统的内部控制指数评价体系，旨在全面客观地评价我国上市公司的内部控制现状，为政府监管、企业完善内部控制以及决策者提供有用的参考。2023年，我们持续第14年跟踪我国上市公司内部控制发展状况，并对上市公司2022年度内部控制质量进行评价和分析，以期提升上市公司内部控制质量，助力企业行稳致远，促进经济的高质量发展。
二、内部控制评价方法及样本
首先，我们依据《企业内部控制基本规范》及其配套指引，综合考虑《深圳证券交易所上市公司内部控制指引》《上海证券交易所上市公司内部控制制度指引》《上市公司治理准则》《中华人民共和国公司法》《中华人民共和国证券法》《上市公司章程指引》等法律法规及相应文件，同时借鉴国内外已有的内部控制评价研究，确定了内部环境、风险评估、控制活动、信息与沟通、内部监督等5个一级评价指标、24个二级指标、43个三级指标、144个四级指标的四级指标体系。
其次，我们采用层次分析法（AHP）和变异系数法确定指标权重。
最后，我们对每项指标加权平均即得到内部控制评价指数，其五个要素（一级指标）得分分别构成内部环境指数、风险评估指数、控制活动指数、信息与沟通指数和内部监督指数。该指数采用百分制，分值在区间[90, 100]、[80, 90）、[70, 80）、[60, 70）、[50, 60）和[0, 50）分别对应CICI I、CICI II、CICI III、CICI IV、CICI V和CICI VI六个内控等级水平。
本研究对2022年我国主板、创业板和科创板上市公司内部控制水平进行评价。以上海证券交易所和深圳证券交易所披露2022年度报告的上市公司情况为基础，本课题组得到4956家上市公司样本。我们收集了上市公司截止于2023年4月30日的公开资料，包括公司年度报告、内部控制自我评价报告、社会责任报告等定期公告、临时公告、公司的规章制度以及处罚和重大事件等。依据的资料主要源自监管部门网站以及上市公司官方网站。
三、上市公司内部控制总体状况评价
1.上市公司内部控制总体状况
2022年，我国上市公司内部控制整体水平继续提升，促进上市公司高质量发展。2020年至2022年，内部控制指数均值分别为49.24分、53.51分和52.16分，连续两年均值突破50分。从内部控制构成要素来看，内部环境、风险评估、控制活动、信息沟通以及内部监督指数较2020年实现一定程度的增长或持平，体现了上市公司在高质量发展的时代背景下，加强内部信息疏通，改善企业信息质量。但值得注意的是，内部环境的绝对水平仍然处于较低位。
从内部控制指数来看，2022年内部控制质量处于V级水平的公司接近半数，处于VI级水平的公司数量较2020年明显下降，呈现了内部控制水平总体向好的态势。从五要素指数来看，内部环境仍然是上市公司内部控制最为薄弱的环节，2022年只有极少数公司内部环境指数达到III级水平，且VI级水平的公司比重相比其他四个要素明显更多，但处于VI级水平的公司比重较之往年有所下降，处于第V级水平的公司比重较往年有所提升。在风险评估方面，2022年上市公司风险评估水平有所提升，进入II级水平的公司比例明显提高，且VI级水平的公司比例较2020年有明显下降。在控制活动方面，I、II级水平公司继续上升，第V、VI级水平的公司占比连续两年降低；在信息沟通方面，相较2020年，第I级至第III级水平的公司占比均有不同程度的提升，且VI级水平的公司比重有所下降，上市公司信息沟通水平在近三年来有所提升；在内部监督方面，第I级至第V级水平的公司比重有所降低，第VI级水平的公司占比略有提高，但波动不大，且考虑到上市公司总数增加，基数增大，各水平层级的公司数量也是基本保持不变。
2.各省份上市公司内部控制整体状况
31个省份的经济社会环境存在较大差异，上市公司在各地分布不均衡，且大多数集中在经济发达的省份，从数量分布来看，广东806家、浙江649家、江苏612家，北京444家、上海412家，占据全国前五；而经济欠发达省份的上市公司刚刚进入两位数，如青海10家、宁夏14家、西藏22家。上市公司数量与各个省份经济发展水平较为一致。对全国各省份上市公司内部控制进行评价，结果显示，宁夏、内蒙古和北京内部控制水平位于前三，而辽宁、广西和西藏内部控制水平较低。值得注意的是：第一，由于各个地区上市公司数量差异极大，会对内部控制水平均值产生一定影响；第二，虽然上市公司数量与地区经济发展水平密切相关，但内部控制水平与经济发展水平之间并未发现明显关联，一定程度上表明往年内控水平东强西弱的格局正在逐渐弱化甚至消失。
3.各行业内部控制整体状况
按照中国证监会发布的《上市公司行业分类指引》，我们在样本中录得19个门类行业。内部控制水平在不同行业上市公司表现出了较大差异。金融业内部控制质量仍然远高于其他行业平均水平。金融业由于其自身的高风险特点，较早受到政府部门的监管。除金融业外，交通运输、仓储和邮政业，电力、热力、燃气及水生产和供应业等行业的内控指数均名列前茅，且排名稳定。文化、体育和娱乐业，教育业，农、林、牧、渔业，卫生和社会工作的内控指数排名靠后。居民服务、修理和其他服务业，住宿和餐饮业，租赁和商务服务业内部控制水平较2022年有所提升。整体而言，各个行业与金融业之间内部控制水平差距仍然非常明显。
四、分类数据分析
1.财务共享与内部控制分析
财务共享是基于企业财务数据资源共享发展而来的新模式，它的目标是尽力降低企业运营成本、提高产品和服务的质量、提高工作效率、更好地为客户服务、重新设计和规范财务工作，在资源整合管理方面展现出很大优势。设置财务共享中心公司的2022年内部控制指数均值高出未设置财务共享中心公司3.73分，且前者的内部环境指数、风险评估指数和控制活动指数相较后者均具有明显优势，表明设置财务共享中心有助于提高公司内部控制质量。
2.ESG水平与内部控制分析
随着中国经济转型升级和金融对外开放持续深化，强调环境（Environmental）、社会（Social）和公司治理（Governance）综合价值的ESG理念作为可持续发展理念在企业微观层面的反映，愈发受关注。“双碳”目标提出后，ESG更是成为落实可持续发展目标的重要抓手，也是评估企业综合水平的关键标准。ESG水平较高的公司，内部控制指数比ESG水平较低的公司高8.20分。值得注意的是，ESG水平较高的公司的内部环境指数比ESG水平较低的公司高出12.12分。这表明较好履行社会责任有助于提升内部控制质量，尤其有助于内部环境的改善。
3.风险管理部门设置与内部控制分析
风险评估是内部控制的核心要素之一，有助于企业及时识别、系统分析经营活动中与现实内部控制目标相关的风险，并合理确定风险应对策略。风险管理部门设置指公司成立专门负责风险管理的机构或部门，如风险管理委员会、风险管理部等。设置风险管理部门公司的2022年内部控制指数均值高出无风险管理部门公司3.46分，且前者的风险评估指数均值高出后者11.4分，表明设置风险管理部门有助于提高公司内部控制质量，特别是风险评估水平。
4.处罚与内部控制分析
内部控制目标包括合理保证企业经营管理合法合规、财务报告及相关信息真实完整。然而，公司及其董事、监事和高级管理人员可能由于以上两方面问题受到中国证监会、交易所、司法部门以及政府部门处罚。2022年，共有733家上市公司及其董监高受到监管部门处罚。受处罚公司的内部控制指数比未受处罚公司的低9.42分。表明董监高的行为对公司内部控制具有重要影响。受处罚公司与未受处罚公司的要素差异主要体现在内部环境，差异高达25.44分，表明公司董事、监事及高级管理人员价值观和行为直接影响整个公司的文化氛围和行为准则。
5.财务报告审计意见与内部控制分析
审计师是资本市场重要的参与者，凭借其专业能力开展第三方审计业务，能够降低委托代理问题，提升公司信息透明度。审计师根据财务报告出具审计意见，包括标准无保留意见和保留、否定、无法表示及带强调事项段的无保留意见。截至本报告统计时间，被出具非标准无保留审计意见的上市公司共计225家。审计报告意见类型分析结果表明，非标准无保留意见公司在内部控制五要素方面均低于收到标准无保留意见公司。
6.自我评价报告与内部控制分析
在我们的样本中，2022年4843家上市公司进行了内部控制自我评价，并披露了内部控制自我评价报告，占总样本的97.72%。披露内控自评报告公司的内部控制指数均值比未披露的公司高出4.19分。内部控制自我评价反映了内部监督的强弱，在五要素指数中，披露自评报告与未披露的公司在内部监督指数的差异达到16.15分。
7.内部控制审计报告与内部控制分析
2022年，4190家公司披露了内部控制审计报告或者鉴证报告，占总样本的比例为84.54%。出具内控审计报告或鉴证报告的公司，相较未出具公司的内部控制总体得分有微弱优势。
通过进一步分析显示，在出具了内部控制审计报告或者鉴证报告的公司样本中，有119家公司的内部控制审计报告或鉴证报告为非标准意见。按照意见类型将样本分为标准和非标准两类，收到标准意见的公司内部控制得分远高于收到非标准意见的公司，同时在所有要素维度均较大幅领先。值得注意的是，收到非标准意见的公司的内控指数均值甚至远低于未被出具内控审计或鉴证报告的公司。
8.科创板上市公司分析
本报告样本共包含395家科创板上市公司，2022年内部控制均分为49.71分，相较2020年有明显提升，但仍略低于其他板块上市公司。主要差异来自内部环境、风险评估及内部监督。科创板均为科技创新企业，其控制活动和信息沟通水平优于其他板块上市公司。科创板企业应持续优化内部环境，加强风险评估，提升内部监督，改善内部控制水平。
9.内部控制百强企业分析
我们根据内部控制指数，对4956家上市公司的内部控制进行排名，得出内部控制百强企业。我们比较分析百强企业和非百强企业内部控制水平，以期更进一步明确其他上市公司与标杆公司之间的差距。结果显示，2022年百强企业的内部控制指数均值相较去年基本持平，非百强企业与百强企业的差距仍然是全方位的。
五、研究结论
我们对2022年4956家上市公司的内部控制进行分析和评价。结果显示，2022年上市公司内部控制质量相较2020年有所提高，但从分析结果来看，我国上市公司内部控制总体水平仍然有待加强，进入第I、II级水平的公司数量相对较少。在五要素中，内部环境是上市公司最为薄弱的方面，亟待提升；风险评估、控制活动和信息沟通呈现进步趋势；内部监督水平实现较为明显的提升。只有五要素协同改善，上市公司内部控制才能取得全面有效的进步。
分类分析结果表明，设置风险管理部门、积极履行社会责任、进行内部控制自我评价的公司具有更高的内部控制水平，而受到处罚、收到非标审计意见的公司内部控制水平较低。科创板上市公司内部控制水平与其他板块相比仍有提升空间。此外，上市公司内部控制水平在地区和行业方面呈现出一定差异。
（陈汉文工作单位系南京审计大学；董望工作单位系浙江大学；黄轩昊工作单位系福州大学；杨道广工作单位系对外经济贸易大学）
设置风险管理部门公司与未设置风险管理部门
公司内部控制水平均值比较
年份 内部控制 内部环境 风险评估 控制活动 信息沟通 内部监督
有风险管理部门 2022 53.9 37 63.48 74.87 59.51 43.82
2021 55.27 36.72 65.16 73.68 60.15 51.77
2020 51.16 33.94 61.20 70.16 56.95 43.48
无风险管理部门 2022 50.44 34.14 52.08 73.37 58.17 42.71
2021 51.67 33.88 53.14 72.28 58.95 50.19
2020 47.75 31.32 49.29 68.86 55.21 42.87
披露自评报告公司与未披露自评报告
公司内部控制水平均值比较
年份 内部控制 内部环境 风险评估 控制活动 信息沟通 内部监督
披露自评报告 2022 52.26 35.59 57.82 74.10 58.95 43.64
2021 53.61 35.31 59.35 72.98 59.66 51.44
2020 49.34 32.53 54.58 69.43 55.99 43.51
未披露自评报告 2022 48.07 34.45 54.93 74.84 53.85 27.49
2021 49.38 36.12 56.02 73.55 55.45 31.25
2020 43.73 28.91 49.06 69.20 54.69 23.29
科创板上市公司内控水平分析
年份 内部控制 内部环境 风险评估 控制活动 信息沟通 内部监督
科创板上市公司 2022 49.71 30.3 48.91 74.77 68.05 36.87
2021 52.59 31.75 52.86 74.22 69.81 46.57
2020 44.20 24.46 49.36 69.69 58.09 29.91
其他板块上市公司 2022 51.19 35.05 56.63 71.75 57.29 43.93
2021 53.59 35.65 59.84 72.89 58.66 51.39
2020 49.55 32.96 54.80 69.41 55.83 43.96
内部控制总体情况分布表
CICI CICIⅠ CICIⅡ CICIⅢ CICIⅣ CICIⅤ CICIⅥ 总体
[90,100] [80,90) [70,80) [60,70) [50,60) [0,50)
内部控制指数 2020 0.00% 0.02% 0.83% 6.15% 42.09% 50.91% 4231
2021 0.00% 0.00% 0.84% 17.94% 52.84% 28.38% 4665
2022 0.00% 0.00% 0.77% 13.8% 49.06% 36.35% 4956
内部环境指数 2020 0.00% 0.00% 0.21% 0.99% 5.46% 93.33% 4231
2021 0.00% 0.00% 0.15% 1.26% 8.92% 89.67% 4665
2022 0.00% 0.00% 0.1% 1.21% 10.17% 88.5% 4956
风险评估指数 2020 0.00% 4.21% 12.86% 26.71% 17.96% 38.12% 4231
2021 0.00% 11.51% 12.07% 29.43% 16.23% 30.76% 4665
2022 0.00% 12.08% 10.39% 28.81% 15.82% 32.88% 4956
控制活动指数 2020 2.93% 18.20% 33.92% 24.53% 12.17% 8.25% 4231
2021 5.23% 23.39% 38.56% 18.52% 8.34% 5.96% 4665
2022 6.01% 27.05% 37.2% 16.87% 7.44% 5.41% 4956
信息与沟通指数 2020 0.09% 3.85% 18.93% 12.81% 33.73% 30.58% 4231
2021 0.28% 4.24% 23.82% 16.44% 30.63% 24.59% 4665
2022 0.2% 4.2% 20.6% 17.69% 30.24% 27.05% 4956
内部监督指数 2020 0.00% 0.28% 1.58% 4.77% 19.62% 73.74% 4231
2021 0.06% 1.09% 3.30% 14.17% 33.65% 47.72% 4665
2022 0.00% 0.18% 1.05% 3.33% 14.59% 80.84% 4956
行业内部控制指数排行榜
2022排名 2021排名 行业门类 2022内控指数均值 2021内控指数均值
1 1 金融业J 61.99 61.23
2 16 居民服务、修理和其他服务业O 56.17 50.98
3 2 交通运输、仓储和邮政业G 55.57 57.22
4 19 住宿和餐饮业H 54.12 48.99
5 3 电力、热力、燃气及水生产和供应业D 53.78 55.56
6 5 信息传输、软件和信息技术服务业I 53.56 54.43
7 4 采矿业B 53.06 54.45
8 8 科学研究和技术服务业M 52.62 53.97
9 7 批发和零售业F 51.88 54.19
10 15 综合S 51.83 51.01
11 9 制造业C 51.65 53.03
12 6 建筑业E 51.34 54.21
13 17 租赁和商务服务业L 51.03 50.93
14 13 房地产业K 50.57 51.57
15 12 水利、环境和公共设施管理业N 50.55 51.80
16 18 卫生和社会工作Q 50.23 50.03
17 14 农、林、牧、渔业A 50.21 51.31
18 10 教育P 50.04 52.93
19 11 文化、体育和娱乐业R 49.36 52.24
