上市公司内部控制审计资料(共25页).doc

1、上市公司内部控制审计:问题与改进来自2007年年报的证据袁敏【摘要】本文针对上市公司2007年度年报中披露的内部控制审计情况进行了分析，发现实务中存在意见名称不一致、意见表述方式有差别、审核依据不统一等诸多问题。在此基础上笔者提出应明确内部控制审计业务的性质、尽快推出内部控制规范应用指南和内部控制审计准则等相关建议。【关键词】上市公司 内部控制 财务报告 审计一、研究背景内部控制信息披露的要求由来已久。在美国，早在1977年颁布的反国外贿赂法案（the Foreign Corrupt Practices Act of 1977）就对内部控制的建立和维护提出了明确的要求。而内部控制审计则是在20

2、02年会计改革与投资者保护法案(SOX法案)颁布实施后才被提升到法制的高度。SOX法案404条款除了要求公众公司在年报中披露管理层对财务报告内部控制的评价结论外，还要求独立审计师对管理层提交的财务报告内部控制进行鉴证。法案实施以来，为提高会计信息的质量、重建投资者信心带来了显著成效，并日益受到世界各国的重视和关注(朱荣恩等，2003;周勤业等，2005)。在国际资本市场上内部控制信息披露也非新鲜事物。证监会国际组织(IOSCO)在2006年12月份发布的问卷报告显示，在43个接受问卷的证券监管部门中，有38个成员存在某种形式的特定内部控制要求，这些要求存在于法律、法规、上市规则和/或公司治理准

3、则中。有27个国家要求某种形式的公开报告，其中17个国家要求报告中包括有关公司内部控制有效性的声明，34个国家要求审计师向公司的管理层或治理层报告内部控制的缺陷(IOSCO，2006)。我国自20世纪80年代就对内部控制进行了理论探索，但近年来监管部门才对内部控制建立健全和信息披露提出明确要求，而内部控制的审核评价则更多是自愿性披露的内容。证监会、上交所、深交所均在2007年上市公司年度报告工作的通知中，明确要求上市公司在2007年年报中全面披露公司内部控制的建立健全情况，并鼓励上市公司在披露2007年年报的同时披露董事会对内部控制的自我评估报告和审计机构对自我评估报告的核实评价意见；2008

4、年6月颁布的内部控制基本规范进一步要求执行该规范的上市公司可聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计，这意味着内部控制的有效性审计将作为一种常态出现在上市公司的年报中。本文拟对2007年度年报中自愿披露内部控制审计情况的上市公司进行分析，以了解我国上市公司目前执行内部控制审核评价的现状，并针对揭示的问题提出建议以促进我国上市公司内部控制审计工作的改善。二、文献综述(一)国外内部控制信息披露及审计研究成果在SOX法案出台之前，国外对内部控制的研究文献相对较少，较具典型代表的理论成果都来自一些职业团体的理论框架或监管要求(如COSO报告、Turnbull报告等)。尽管实践

5、中诸如授权批准、职责分工等控制活动广泛存在于企业的经营管理过程中，但因缺乏强制性要求和明确的指南，很多企业并没有实际运用上述成果，上市公司内部控制信息披露内容有限，对内部控制进行的实证研究相对匮乏。2002年SOX法案出台之后，伴随着财务报告内部控制的强制性信息披露和鉴证要求的推广，上市公司对内部控制尤其是财务报告内部控制的信息披露日益增多，为学术界开展内控信息披露的研究提供了丰富的素材(杨玉凤，2007)。由于针对财务报告内部控制的审计意见大都根据上市公司披露的内控缺陷作出的，因此绝大部分的研究便将上市公司年报中披露的内控缺陷作为研究对象，典型的研究成果包括影响内控信息披露的因素、内控缺陷的

6、表现形式及公司特征等，如Leone(2007)对那些在年报中披露了内部控制缺陷的上市公司的研究发现，影响内控信息披露的因素包括组织结构的复杂性、存在重要的组织变化以及公司在内控系统方面的投资；而Ge和Mcvay(2005)则认为上市公司披露的实质性缺陷和公司经营的复杂性有关，但和公司规模、盈利能力的关系不大；Doyle等(2005)证实那些规模小、成立时间短、业务复杂、成长速度快、财务状况不佳的公司更有可能存在缺陷。还有研究对披露内控缺陷的经济后果进行了剖析，如Chan等(2005)发现那些按照SOX法案404条款披露内部控制实质性缺陷的公司相对于其他公司有更多的盈余质量管理和更低的投资回报。

7、也有一些专业出版物对上市公司财务报告内部控制审计的整体情况进行了描述性统计，例如联合出版公司(the Associated Press，2004)的研究发现，财政年度在2004年11月15日之后结束的、且在2005年l月28日至2005年5月4日之间提供年度报告的美国上市公司中，有353家(占上市公司总数的11.7%)披露了否定意见的内部控制鉴证意见，在列示的内控弱点中，财务报告结账程序、交易复核、公认会计原则运用、员工胜任能力及职责分离等占38%，此外与会计准则技术问题有关的控制弱点也很多，包含所得税、租赁会计、员工福利/养老金会计等等。另一份由美国的公司董事联合会(National Ass

8、ociation of Corporate Directors，2006)公布的统计资料显示，在2004年11月16日一2005年11月15日之间美国共有3900家公司报告了财务报告内部控制的有效性，其中16%的公司得出的结论是“财务报告内部控制无效”，而报告的重大控制弱点达到1500个，内容几乎覆盖所有的控制相关领域；在2005年11月15日一2006年4月25日之间，有3000家公司报告了他们的财务报告内部控制，有7%的公司认为财务报告内部控制无效，相关的重大控制弱点有400个。(二)国内内部控制信息披露及审计研究2006年以前，我国监管部门对内部控制审计缺乏强制性的规定，因此上市公司对内

9、部控制的评价意见披露较少，大量的研究集中在内部控制信息披露的分析上。早期对内部控制信息披露的研究主要集中在个案研究或特殊样本研究，如对单个公司的分析来建议上市公司建立健全内控体系(吴水澎、陈汉文和邵贤弟，2000；饶盛华，2001)；针对ST公司内部控制信息披露的统计分析来建议对ST公司强制披露标准的内部控制报告，并需要经过注册会计师的外部审核(张立民、钱华和黎敏仪，2003)；针对上市银行内控信息的披露现状，提出完善上市银行内部控制信息披露内容和格式的建议(李明辉和王学军，2004；黄秋敏，2008)。少数研究涉及到内部控制审计，也主要是针对内部控制信息披露中存在的问题提出审计建议，如张刚和

10、周云鹏(2004)提出为满足投资者需求，减少信息不对称风险，企业应委托注册会计师出具针对其内部控制整体框架的期间性内部控制审核报告;陈关亭和张少华(2003)提出应强制要求所有上市公司在年报中披露内部控制报告，并要求注册会计师对该报告发表审核意见。随着2006年上海证券交易所上市公司内部控制指引)、深圳证券交易所上市公司内部控制指引以及证监会关于做好上市公司年度报告工作的通知要求，有研究对上市公司的内部控制信息披露进行了描述性的统计，如杨有红和汪薇(2008)认为2006年沪市上市公司内部控制信息披露存在自愿性披露动机不足、公司的内部控制自我评估和会计师事务所的核实评价意见缺少统一标准等问题。

11、上述研究为我们了解上市公司内部控制信息披露现状提供了不同视角，但因缺乏足够的内部控制审计样本，专门针对上市公司内部控制审计情况的分析研究还不多见。三、我国上市公司内部控制审计：来自2007年年报的证据(一)内部控制审计的制度背景2006年以来，我国上市公司内部控制审计的制度背景发生了很大的变化，这主要体现在以下两个方面：1.内部控制审核的法定要求2006年5月发布的首次公开发行股票并上市管理办法第二十九条明确指出“发行人的内部控制在所有重大方面是有效的，并由注册会计师出具了无保留结论的内部控制鉴证报告”；同期颁布实施的上市公司证券发行管理办法第六条也明确指出：“上市公司的组织机构健全、运行良好

12、，符合下列规定：(二)公司内部控制制度健全，能够有效保证公司运行的效率、合法合规性和财务报告的可靠性;内部控制制度的完整性、合理性、有效性不存在重大缺陷”，与之配套的公开发行证券的公司信息披露内容与格式准则第10号上市公司公开发行证券申请文件附录列示了6一2“会计师事务所关于发行人内部控制制度的鉴证报告”，上述规定表明上市公司在首次公开发行股票或发行可分离交易转换债券等证券的过程中，提供内部控制鉴证报告己经成为法定要求。2.内部控制审核的自愿性披露除了发行证券过程中需要提供内部控制鉴证报告外，监管部门还通过年报披露等途径鼓励上市公司自愿披露内部控制的核实评价意见，例如证监会在证监公司字2007

13、235号文关于做好上市公司2007年年度报告及相关工作的通知的第三条“建立健全内部控制制度，强化对内部控制的检查和披露”中，明确提出“鼓励央企控股、金融类和其他有条件的上市公司在披露2007年年报的同时披露董事会对公司内部控制的自我评估报告和审计机构对自我评估报告的核实评价意见”。上交所在2008年1月2日的关于做好上市公司2007年年度报告工作的通知中除了要求“上市公司应当根据中国证监会和本所相关要求，结合公司内部控制制度的建设情况，在2007年年报全文的重要事项部分，说明公司内部控制制度、建立健全情况”之外，鼓励“有条件的上市公司同时披露董事会对公司内部控制的自我评估报告和审计机构对自我评

14、估报告的核实评价意见”；深交所于2007年12月28日发布的关于做好上市公司2007年年度报告工作的通知中更是明确要求“公司应当按照本所上市公司内部控制指引的要求，对公司内部控制的有效性进行审议评估，作出内部控制自我评价同时鼓励有条件的公司聘请审计机构就公司财务报告内部控制情况作出评价意见”。上述通知表明，上市公司自愿性地在年报中披露“内部控制自我评估和审计机构的核实评价”将受到鼓励。(二)数据来源本文以自愿披露内部控制审计意见的上市公司为研究对象，选取截至2008年4月30日在巨潮资讯网上公布年报的1328家上市公司作为样本总体，剔除报表无法阅读的公司(600203)，实际可观测值为1327

15、家公司，其中深市480家、沪市847家。而在年报中披露会计师事务所对内部控制的审核意见或声称内控自我评估报告经过会计师事务所发表意见的上市公司有175家(所有有关内部控制的信息均由笔者手工整理)。(三)披露内部控制审核意见的上市公司概况笔者对披露内部控制审核意见的上市公司按证监会的行业分类进行了整理，结果发现在175家披露内控审核意见的上市公司中，制造业的披露家数最多，达91家；而传播和文化产业的披露家数最少，为0家；从披露内控审核意见的上市公司占所处行业上市公司总数的比例看，金融保险业表现突出，披露年报的28家上市公司中有10家(35.71%)同时披露了注册会计师对管理层内控评价报告的审计意

16、见，具体情况见表1。(四)内部控制审计意见中存在的问题由于本年度是否披露会计师事务所对内部控制自我评价报告的意见是上市公司自愿的行为，因此两市仅有175家上市公司披露了审计师对管理层自我评价报告的审核意见，因部分上市公司虽声称披露了审核意见，但无法找到具体的审核意见书，或者部分上市公司仅在年报的内部控制自我评估报告中简要说明了评估的意见，或仅仅声明“会计师事务所未表示异议”，因此我们对上述175家公司进行了筛选，实际得到样本为156家。从这156家审核意见披露相对详细的上市公司披露的格式和内容上看，各上市公司在下列方面存在差异：1.审核意见的名称不一致证监会和交易所鼓励上市公司披露“内部控制核

17、实评价意见”，我们粗略地统计了一下意见的名称，发现实践中上市公司披露的意见名称有9种之多，其中最多的是采用“内部控制审核意见”来发表对内部控制自我评估报告的意见(占42.95%)，还有部分公司采用“鉴证报告”、“核实评价意见”、“专项报告”等不同的名称(具体名称情况见表2)。显然，采用不同的名称，直接影响到审核报告的措辞、审核依据、审核意见的表述方式等内容。2.审核依据不同通常情况下审计师是根据业务性质的不同(如鉴证业务、非鉴证业务)选择不同的审计依据发表审计意见。由于目前监管部门还没有对内部控制审计业务的性质作出明确的规定，因此在156家披露内控审核意见的上市公司中，有事务所依据中注协200

18、2年发布的内部控制审核指导意见来出具意见的；也有按照2006年发布的注册会计师其它鉴证业务准则第3101号历史财务信息审计或审阅意外的鉴证业务开展工作的;甚至有个别公司的审计意见居然是根据已经废止的独立审计具体准则第九号内部控制与审计风险发表内控审核意见(安泰集团，600408)。具体情况见表3。3.意见发表方式有差异在审计鉴证业务中，有历史财务报表审计和审阅两种代表性业务，其区别在于前者是以积极的方式来表达注册会计师的意见，而后者是以消极的方式表达意见。这种差异也在2007年的内部控制审核意见中得到了体现。从统计情况看，绝大部分的上市公司采用积极的表述方式来发表意见(占样本总体的91.67%

19、)，但仍然有13家上市公司采用了消极的意见表述方式，如S上石化(600688)的审核意见段采用“未发现自我评估报告中与财务报告编制相关的内控评价内容与我们审计贵公司上述财务报表的审计发现存在重大不一致”的消极表述方式；一汽四环(600742)用“未发现报告中的自我评价在所有重大方面存在不一致的情况”来作为意见的结束语。(相关情况见表4)4.审计意见的类型不同尽管中注协在2002年发布的内部控制审核指导意见中列示了发表无保留意见、保留意见、否定意见、拒绝表示意见的条件和报告格式，但实务中已发表的内控审计意见绝大部分是无保留意见。2007年年报中公布的156份审核意见中也仅出现了一份类似保留意见的

20、报告，即新五峰(6000975)。其公布的审核意见中采用了如下的意见表述方式：“审核过程中，我们发现新五丰公司07年度将募集资金用于新股申购，未严格执行新五丰公司募集资金使用管理办法的规定。新五丰公司对此类行为，己实施了整改，用于新股申购的募集资金已于07年12月19日全部回笼。我们认为除上述影响外，新五丰公司按照财政部有关内部控制的规定所设定的标准于07年12月31日在所有重大方面保持了与财务报表相关的有效的内部控制”。对于审计中发现的控制缺陷在报表日已经发生整改的情况，是否还作为重大控制缺陷、是否应该在审计报告中予以披露、如何披露，显然应引起注意。5.发表意见的对象不统一由于证券监管部门要

21、求上市公司披露的是内部控制建立健全的信息及董事会的自我评价报告，因此注册会计师发表的审核意见对象也出现了较大的差异，既有针对内部控制情况的，也有针对董事会的自我评估报告的，还有更多地事务所是根据证监会的通知要求，针对“财务报告内部控制”的其中针对“财务报表内部控制”和“自我评估报告”的意见居多，分别占样本总体的62.82%和31.41%(见表5)。此外，是针对“2007年度”这一期间的内部控制还是针对“2007年12月31日”这一时点的内部控制发表意见，实践中也有不同的做法。在156家上市公司中有16家上市公司在内部控制审核意见中对“2007年度与财务/会计报表相关的内部控制”发表意见，其余大

22、都是针对2007年12月31日这一时点的。但其中出现了“截至2007年12月31日止”、“于2007年12月31日”两种表述方式，同样存在异议，因为前者是针对截至2007年末的所有时段的，而后者仅针对2007年12月31日这一天发表意见。值得注意的是，还有个别公司是针对2007年度中间某一时点的，如中华企业(600075)的审计结论是“公司于2007年6月30日在所有重大方面保持了与会计报表相关的内部控制的有效性”；青岛啤酒(600600)的审计结论则是“本公司及控股子公司于2007年9月30日在所有重大方面保持了按照财政部颁发的内部控制控制规范基本规范(试行)及相关具体规范标准建立的与财务报

23、表相关的有效的内部控制。”这表明有个别上市公司将其他用途的内控审核报告用作年报披露使用(如青岛啤酒就是发行可分离交易可转债时报送资料出具的内控审核报告)。6.用途限制与否有别在发表审计机构对内部控制的核实评价意见中，有33家上市公司的审核意见中对报告的使用作了限制性的规定，这可以理解为注册会计师的职业谨慎，也可以理解为注册会计师对内部控制审核意见的心中没底(33家公司限制使用的情况参见表6)。四、几点建议从上述审核意见的分析结果看，实践中注册会计师发表内部控制审核意见的实际做法千差万别，在审核意见的内容、措辞、依据、结论等方面存在不同的看法。因此要规范上市公司的内部控制信息披露，尤其是注册会计

24、师的核实评价意见，首先应该考虑格式和内容的规范。首先，应尽快对内部控制核实评价意见的性质作出规定。显然，鉴证业务与非鉴证业务在发表意见的方式、所做工作的细致程度和深度等方面都存在很大的差异。从美国的实践看，针对财务报告内部控制的审计意见属于鉴证业务，是由公众公司会计监管委员会(PCAOB)所发布的审计准则来加以规范的。笔者认为，我国的上市公司内部控制核实评价过程中采用内部控制审核指导意见，或中国注册会计师其他鉴证业务准则第3101号历史财务信息审计或审阅以外的鉴证业务体现了实务界对该项业务性质的分歧，因此有必要对其性质做出明确的规定。其次，应尽快推出针对该项业务的审计准则及指南。从美国推行财务

25、报告内部控制的经验看，早期之所以推迟公众公司实施404条款的时间，重要原因就是实务中缺少指导注册会计师发表意见的审计准则。2004年PCAOB发布了第二号审计准则协同财务报表进行财务报告内部控制审计(AS2)，为审计师执行财务报告内部控制鉴证业务提供了良好的指导。在实施的过程中，从业人员发现了原有准则存在的诸多复杂不便之处，并与美国证监会(SEC)的有关规则相抵触，因此PCAOB在2007年5月24日发布了AS5，在简化有关程序和要求的同时，与SEC的解释指南、最终规则等要求很好地衔接起来。从我国上市公司2007年年报的披露情况看，内部控制审核意见无论是格式还是内容上都存在诸多差异，甚至连发表

26、意见的对象、发表意见的时间还是时点等关键问题都存在很大争议，因此尽快推出针对内部控制核实评价的审计准则及指南迫在眉睫，而将实践中出现的分歧进行充分的研究显然是监管部门需要认真考虑的问题。最后，尽快推出与我国内部控制基本规范相配套的应用指南。从美国实施404条款的经验看，无论是证监会发布的最终规则和管理层实施指南，还是PCAOB拟定的审计师鉴证业务准则，无不体现了一项制度得以有效实施所必需的配套措施。事实上在对上市公司2007年度内部控制信息披露情况进行分析的过程中，笔者很大的一个感受是内控披露框架的复杂性和差异性。我国在2006年先后由上交所、深交所发布了上市公司内部控制指引，同期发布的还有国

27、资委的中央企业全面风险管理指引，这些规则本身就存在诸多差异之处，因此给上市公司建立健全内部控制带来了一定的困惑。要真正实现对上市公司内部控制信息披露的规范，提高其信息披露的质量，在理论上有一个统一的框架和指南必不可少。令人可喜的是2006年财政部组织了内部控制标准专家委员会并于2008年6月颁布了内部控制基本规范，这必将对我国企业实施内部控制提供强有力的助力。然而如何将基本规范中的原则、要素、框架有效地加以运用，适时推出与基本规范相配套的应用指南，是规范上市公司内部控制信息披露的必要前提，也是提高内部控制审计质量的基本依据所在。五、结语在证监会、证交所的鼓励和推动下，2007年自愿披露内部控制

28、审核意见的上市公司家数己上升至175家，这是一个积极的信号。财政部2008年发布的内部控制基本规范，对加强和规范企业内部控制、提高企业经营管理水平和风险防范能力将起到积极的作用。基本规范中明确要求接受委托从事内部控制审计的会计师事务所，应当根据基本规范及其配套办法和相关执业准则，对企业内部控制的有效性进行审计，出具审计报告。而从我国上市公司的实践看，内部控制审计中面临的一系列问题，包括审计准则的匾乏、控制缺陷的定义和报告、审计对象的确定和审计意见的表述等问题都需要监管层和实务界加以正视并予以解决。明确内部控制审计的业务性质，尽快制定一系列的应用指引，研究并发布有关内部控制的评价和审计准则，对更

29、好地贯彻内部控制基本规范、提高审计师对内部控制审计的严肃性和执业质量有积极意义。主要参考文献：陈关亭，张少华，2003，“论上市公司内部控制的披露及其审核”，审计研究第5期黄秋敏，2008，“上市银行内部控制信息披露状况分析以2001一2006年度报告为研究对象”，审计研究第1期李明辉，王学军，2004，“上市商业银行内部控制信息披露研究”，金融研究，第5期饶盛华，2001，“加强企业内部控制是当务之急ST郑百文的警示”，中国注册会计师第2期吴水澎，陈汉文，邵贤弟，2000，“论改进我国企业内部控制由亚细亚失败引发的思考”，会计研究第9期张刚、周云鹏，2004，“内部控制审核报告分析”，广东经济管理学院学报第6期张立民，钱华，黎敏仪，2003，“内部控制信息披露的现状与改进来自我国ST上市公司的数据分析”，审计研究第5期杨有红，汪薇，2008，“2006年沪市公司内部控制信息披露研究”，会计研究第3期杨玉凤，2007，“内部控制信息披露:国内外文献综述”，审计研究第4期周勤业，王啸，2005，“美国内部控制信息披露的发展及其借鉴”，会计研究，第2期朱荣恩，应唯，袁敏，2003，“美国财务报告内部控制评价的发展及对我国的启示”，会计研究第8期，中国证监会2006第32号令，首次公开发行股票并上市管理办法中国证监会、上交所、深交所，关于做好上