【摘要】我国上市公司内部控制信息披露较简单，缺乏自愿披露的动力，这既有外部原因也有内部机制问题。应建立由管理当局强制上市公司披露内部控制报告的机制，以加强证券市场信息披露的透明度，促使上市公司注重内部控制管理，进而保护广大投资者的利益。

　　近年来，我国证券市场上出现了一系列上市公司财务舞弊案。违法事件的屡屡发生，其中一个很重要的原因是上市公司内部控制的严重缺位或失灵。内部控制是影响公司经营状况和会计信息可靠性的重要因素，愈演愈烈的造假丑闻使我国监管机构已经意识到上市公司内部控制信息披露的重要性。

　　一、我国上市公司内部控制信息披露的现状

　　为了解我国上市公司内部控制信息披露的状况，笔者对上市公司年度报告中内部控制信息的披露状况进行了调查，调查不涉及招股说明书中的内部控制信息披露的情况。鉴于证券监管部门对上市商业银行、证券公司年度报告中内部控制信息披露的规定高于一般性上市公司，笔者就商业银行、证券公司年度报告中内部控制信息的披露状况进行分析，同时随机抽取了沪市、深市上市公司（非商业银行、证券公司）各100家作为研究对象。

　　（一）内部控制信息披露的总体情况

　　调查的207家上市公司中，共有192家公司（92.75%）披露了内部控制信息，15家公司（7.25%）未披露相关信息。200家一般性上市公司中，有185家公司披露了内部控制信息，但都是简单的一句话，类似“本公司建立了较完善的内部控制”的语句。7家商业银行和证券公司都披露了内部控制信息，披露的内容含量比一般性上市公司较多。

　　（二）内部控制信息披露的主体

　　在披露了内部控制信息的192家公司中，有173家（90.11%）公司是通过监事会来披露内部控制信息，只有2家公司通过董事会来披露，另外有3家公司既通过董事会、监事会来披露内部控制信息，又通过会计师事务所来披露内部控制信息。

　　由于证监会要求会计师事务所对商业银行、证券公司的内部控制进行评价，因此由会计师事务所披露内部控制信息的5家公司均是商业银行和证券公司。207家公司中由董事会披露信息的有19家，其中7家是证券公司和银行，一般性上市公司的董事会自愿披露的只有12家，这和证监会没有对一般性上市公司的董事会有强制性披露要求有关。这表明，我国上市公司尚缺乏自愿披露内部控制信息的动力。

　　（三）内部控制信息披露的内容

　　前面已经分析了一般性上市公司的信息披露状况较差，仅仅由公司监事会披露简单的内部控制信息，而商业银行、证券公司因有特殊披露要求，披露的内容较为详细。

　　证监会对商业银行、证券公司的具体披露内容没有做出相关规定，这就造成商业银行和证券公司的董事会虽然都对本公司的内部控制情况进行了披露，但是他们在披露的内容方面却存在较大的差异。

　　1.内部控制制度描述的侧重点不同

　　被分析的公司中，有57％的公司对内部控制制度的描述只是泛泛而谈，其余43％的公司对内部控制制度进行了较详细的描述，但是披露的侧重点不同。

　　2.内部控制存在的固有缺陷未披露

　　多家公司都没有承认内部控制存在固有缺陷。内部控制的有效性可能会随着环境、情况的改变而发生改变，如果在董事会报告中仅仅声明内部控制有效，可能会使信息使用者产生某种误解，认为内部控制可以绝对防止舞弊，并持续有效。

　　3.内部控制的不足及改进措施较少披露

　　只有少数公司在董事会报告中披露了发现的内部控制问题及其对经营活动产生的影响，而其他公司的董事会均认为本公司的内部控制体现出了较好的完整性、合理性和有效性。并且，多家公司都没有提出进一步改进内部控制的措施，只有简单一句表达不断完善内部控制的决心。

　　4.会计师事务所结论性意见的表达方式不同

　　由于证监会没有规定会计师事务所的评价报告需对外披露，因此笔者翻阅的年度报告全文中只披露了会计师事务所关于内部控制评价的结论性意见。在分析的几家公司中，只有少数公司披露了会计师事务所对内部控制评价的结论性意见。这几家会计师事务所都对被审计单位的内部控制制度的完整性、合理性和有效性发表了肯定的意见，但具体到表达方式上却又各不相同。

　　二、我国上市公司内部控制信息披露现状的原因分析

　　通过对我国上市公司内部控制信息披露的情况调查，笔者发现我国上市公司内部控制信息披露的形式化严重。一般性上市公司缺乏自愿披露的动机，披露往往只有简单的一句话，而上市商业银行、证券公司披露的内容之间不具有可比性。笔者认为导致这种现象的原因可以从外部和内部两个方面来分析。

　　（一）我国上市公司内部控制信息披露现状的外部原因

　　1.缺乏各界认可的内部控制规范

　　近几年，为严格监督公司建立和加强内部控制，我国各主管部门发布了一系列的内部控制规范，但是，这些规范对内部控制的认识和理解并不统一，相互之间并不衔接甚至存在冲突。比如：财政部2001年发布的《内部会计控制———基本规范（试行）》将内部控制定位于内部会计控制，上市公司如果根据此规范来建立内部控制，主要从各业务循环活动的情况（如：采购与付款、销售与收款、对外投资、筹资等业务循环）来披露内部控制信息。而证券公司如果按照证监会2003年发布的《证券公司内部控制指引》来建立内部控制，则主要从控制环境、风险识别与评估、控制活动与措施、信息沟通与反馈、监督与评价几个方面来评价内部控制，并披露相关的内容。而中国注册会计师协会2004年发布的《独立审计具体准则第29号——了解被审计单位及其环境并评价重大错报风险（征求意见稿）》只是从审计的角度发布了内部控制规范，无法作为指导上市公司建立和评价内部控制的直接依据。由于缺乏各界认可的内部控制规范来指导上市公司建立和评价内部控制，导致上市公司在建立和评价内部控制时缺乏统一的标准，披露的内容不具有可比性。

　　2.缺乏较完善的内部控制信息披露规定

　　我国监管机构对内部控制信息披露的规定主要是出于改善公司内部控制现状、完善信息披露、保护投资者合法权益以及保证证券市场有效运行的考虑。但是由于这些规定没有明示披露的范围、内容、方式以及时间等问题，使得上市公司在内部控制信息披露上存在较大的选择性和随意性，造成各个上市公司披露的内部控制信息形式化严重，降低了投资决策的有用性。现行规定对所有上市公司年度报告的规定都缺乏内部控制信息披露格式和具体内容的详细规定与统一要求。除此之外，尽管证监会在公开发行证券公司的年度报告内容和格式规定中，对商业银行和证券公司的内部控制信息披露规定较为严格，要求也高于一般性上市公司，但是并没有具体指出内部控制信息披露的责任主体，当不披露或披露不实的内部控制信息需要上市公司承担相应责任时，公司内部容易出现互相推卸责任的现象。对于其他上市公司的年度报告，现行规定要求上市公司的监事会仅就“是否建立完善的内部控制制度”发表独立意见，并没有要求对内部控制的执行情况发表意见，信息披露的规定过于简单，并且，现行规定依赖于监事会作为内部控制信息披露的主体。笔者认为，监事会并非内部控制信息披露的主体，建立并维持有效的内部控制是管理当局的责任，监事会发表意见仅仅是对管理当局建立和执行内部控制的一种监督。这些规定容易造成上市公司信息披露的形式化，一定程度上为减少公司相关信息的披露和管理当局逃避责任提供了机会。另外规定也没有要求注册会计师对上市公司的内部控制信息披露发表意见，因此难以保证公司披露信息的可靠性。证监会对招股说明书中内部控制信息披露的规定仍然缺乏格式和内容的详细规定，不利于信息使用者获取信息。

　　3.缺乏注册会计师内部控制评价的具体操作方法

　　现有规范要求注册会计师对上市公司内部控制制度的完整性、合理性和有效性进行评价，因此注册会计师应当有具体的执业标准来指导其进行内部控制的评价。《独立审计具体准则第9号——内部控制与审计风险》和《独立审计具体准则第29号——了解被审计单位及其环境并评估重大错报风险（征求意见稿）》是中注协对注册会计师财务报表审计中内部控制测试的规定。内部控制测试与内部控制评价根本不是一回事，前者是通过对与财务报表相关的内部控制的了解、测试来评估控制风险，并根据风险评估结果来确定实质性测试的性质、时间、范围，进而对财务报表发表审计意见，而后者是注册会计师直接对内部控制是否完整、合理、有效进行评价。因此，这些规范都不能作为注册会计师进行内部控制评价的依据。此外，虽然中注协于2002年发布了《内部控制审核指导意见》，但是该指导意见只是说明了内部控制审核的依据，规定了内部控制审核报告的内容和格式，但是并没有涉及内部控制评价的具体操作方法，因此不能回答注册会计师应该对上市公司的哪些控制内容和要点进行测试，以及根据什么确定测试结果对应的评价意见类型。在这种情况下，注册会计师在评价上市公司内部控制时往往无所适从。

　　4.缺乏内部控制信息披露的法律监督

　　当前我国上市公司所出现的内部控制信息披露问题一方面是因为内部控制信息披露规定本身存在问题，另一方面是因为我国还缺乏内部控制信息披露的法律监督。管理当局应披露而不披露或者披露了不符合实际的内部控制评价意见时，管理当局应承担什么样的法律责任；注册会计师如果提供了不符合上市公司内部控制实际情况的评价意见时，注册会计师应承担什么样的法律责任，我国在这些方面的规定尚处于空白阶段。不遵循规定却没有相应的法律监督规范进行惩处，会造成公司继续不披露、少披露或披露不实的内部控制信息，对投资者的决策不起任何作用。

　　（二）我国上市公司内部控制信息披露现状的内部原因

　　1.上市公司管理当局对内部控制信息披露的作用认识不足

　　我国证券市场还很不完善，绝大多数上市公司都是国有企业改制而来，公司治理问题还没有得到有效的解决，体制的弊端造成上市公司高级管理人员的聘用还没有完全市场化，加之现有的高级管理人员知识结构不合理，知识、观念的更新速度较慢，对内部控制信息披露的作用还认识不足。不少上市公司只是形式上建立了内部控制制度，而内部控制的执行情况较差，因此，公司自愿披露内部控制信息的积极性当然不高，大多数情况下的披露都是以满足证监会和交易所方面的要求为己任。

　　2.上市公司管理当局对内部控制信息披露成本的考虑

　　上市公司管理当局在披露内部控制信息时，往往会有成本因素的考虑。内部控制信息的披露必然会涉及成本的支出。一般提供内部控制信息会增加两类成本，一是上市公司直接承担为提供内部控制信息而发生的一切支出，比如评价、报告的成本等，这与评价、报告的范围、频率有关；二是同行业竞争公司的模仿给披露内部控制信息的公司所带来的成本，比如丧失竞争优势等。因此，出于成本的考虑，上市公司即使在强制披露的情况下，也往往选择以最少的成本进行披露。当以较少的成本进行披露时，上市公司披露的信息往往没有实质性的内容。而在自愿披露的情况下，上市公司宁愿选择不披露内部控制信息，以节约披露成本。

　　三、结论

　　通过以上分析，笔者提出由管理当局出具内部控制报告的构想。

　　通过对内部控制信息披露原因的分析，我们可以看到我国上市公司内部控制信息披露的规定没有得到切实有效地执行，一方面是由于相关的内部控制信息披露规定本身还存在不完善的地方，另一方面还在于上市公司自愿披露内部控制信息的动力不足。内控警钟的频频敲响显示出我国上市公司内部控制的薄弱。我国目前的状况是监管机构如果不对内部控制信息做出强制性披露的要求，多数上市公司没有自愿披露的积极性。鉴于内部控制信息的重要性日益显现，笔者建议监管机构应强制上市公司披露内部控制信息，使公司的内部控制情况置于公众监督之下，加强信息向公众披露的质量和透明度。这样一方面促使上市公司加强内部控制，改善经营管理；另一方面使投资者获取更多与决策有关的信息，保护投资者的利益。目前，内部控制的信息可以由注册会计师对内部控制评价后负责披露，也可以由上市公司管理当局对内部控制进行自我评价后负责披露。从我国的现实情况来分析，笔者赞同由上市公司管理当局通过自测、自评来披露内部控制信息。这主要是因为完善公司的内部控制并不能过分依赖于注册会计师对内部控制的评价，更多的责任仍在于公司管理当局建立健全内部控制并有效执行。监管机构强制内部控制信息的披露，可以增强管理当局内部控制的意识和责任，使其意识到建立并保证内部控制的有效执行是管理当局责无旁贷的义务。管理当局对公司整个内部控制系统的运作情况进行评价，可以了解公司是否建立健全内部控制，是否有效执行内部控制。如果在评价的过程中发现内部控制系统存在薄弱环节，管理当局可以从公司自身的情况出发，提出适当的改进建议并予以实施，防止舞弊的产生。那么管理当局应以何种方式来进行内部控制信息披露呢？内部控制信息的披露方式，可以包含在董事会报告或监事会报告中，也可以单独提供，即所谓的内部控制报告。为提高上市公司内部控制信息披露的可比性，便于投资者识别上市公司内部控制的情况，我国监管机构可以强制上市公司以报告的形式来披露内部控制信息，同时监管机构还应当制定内部控制报告的遵循标准，比如内部控制报告的范围、责任主体、时间和内容等等，以规范上市公司的披露行为。各个上市公司内部控制的设计、执行及监督各有特色，如果不对内部控制报告的相关内容和格式进行规定，那么上市公司披露的内容之间不具有可比性，同时也不排除有些公司在不能说假话的情况下采取对内部控制的某些问题不予披露的政策。因此，为提高信息披露的完整性，便于投资者识别公司内部控制的实际情况，监管部门应当制定内部控制报告的遵循标准。

　　内部控制报告的建立和健全是一个长期的工作，不是一蹴而就的。虽然内部控制报告的提出会增加上市公司的成本，包括时间、人力和财力的投入，但是从战略的角度来看，好的遵从管理意味着经营得更好，内部控制报告所带来的改善经营效率和保护投资者利益的作用远远超越它本身。内部控制报告作为完善我国上市公司内部控制信息披露的一种方式，不仅仅是概念上的改变，更是一种从公司内部控制的角度来提高财务报告质量的新理念。