●南开大学会计系 梅 丹 南京大学会计系 徐 颖

信息披露是维系资本市场健康、有效运行的核心制度安排之一。内部控制信息披露是对财务信息披露的重要补充。上市公司披露内部控制信息，可以向资本市场传递有关公司内控建设和公司治理结构的重要信号，可以促进公司管理层不断建立健全良好的内部控制制度，并有利于监管部门、投资者和债权人加强对上市公司的外部监督，提高资本市场的透明度和投资效率，这对完善我国资本市场和现代公司制度都具有深远意义。

一、我国上市公司内部控制信息披露背景

我国上市公司内部控制信息披露发展历史较短。随着2006年上交所和深交所颁布内控指引，以及2010—2012年我国企业内部控制基本规范及配套指引的发布，我国已经基本建成企业内部控制规范体系，同时内控信息披露逐渐由自愿披露转为强制披露。

内部控制信息披露主要包括两方面内容：一是公司董事会、管理层对外公布内部控建设、运行情况及是否存在内控缺陷与不足，具体形式包括内部控制自我评估报告、落实情况审核报告、实施工作方案等；二是公司披露的内外部对内部控制的监督意见。主要包括注册会计师出具的内部控制审计或鉴证报告，及公司监事会和独立董事对内部控制自我评价的审核意见。

2014年证监会《公开发行证券的公司信息披露编报规则第21号——年度内部控制评价报告的一般规定》进一步明确了内部控制评价报告的内容和结构①。若股份有限公司在我国境内公开发行证券，并在证券交易所上市，则应当充分披露对投资者投资决策有重大影响的内部控制信息。此外，规定还明确了内部控制评价报告的构成要素，要求上述公司出具有关财务报告内控有效性的结论，与财务报告相关内控和非财务报告相关内控的区别，并分别披露重大和重要的内控缺陷及针对缺陷的整改情况等。

二、上市公司内部控制信息披露研究的样本选择

制造业是当前国民经济的主体。制造业上市公司数量占我国上市公司数量的一多半，是我国上市公司的主力军，影响着我国上市公司整体的竞争力。本文选择2012年制造业上市公司的内部控制信息披露作为研究对象。

2012年，所有进行了内部控制信息披露的制造业上市公司共计1582 家，从中按行业具体门类抽取了150 家公司作为样本。具体抽样方法和程序是：先采用分层抽样法确定制造业29个门类中各个门类应当抽取的公司数量；再利用Excel中的随机函数对每一分层进行随机抽取，确定制造业各门类中的具体公司。这种随机抽样方式能保证样本的代表性和说服力。

本文相关数据主要来自深交所、上交所、巨潮咨询网等网站公布的上市公司年报和其他公开披露文件。

三、制造业上市公司内部控制信息披露现状分析

伴随着内控基本规范和内控指引的出台，上市公司内控信息披露逐渐走上标准化和规范化道路，但就2012年制造业上市公司内控信息披露的统计分析结果来看，仍存在以下问题。

（一）内控相关信息披露的总体情况

1.内部控制的相关信息披露不一。样本公司中，与内部控制信息披露的相关文件及其披露状况如表1 所示。

表1 与内部控制信息相关的文件及其披露情况

总体来说，相比于财务报告的审计和披露，我国制造业上市公司内控信息的披露程度和规范性欠缺。虽然150 家制造业上市样本公司都通过各种方式披露了内部控制相关情况，但只有137 家公司（占比91.33%）出具了单独的内部控制评价报告。在内部控制的建设方面，只有56 家公司（占比37.33%）制定并且披露了《内部控制实施工作方案》，48 家公司（占比32%）对内部控制制度落实情况进行自查并出具了《内部控制落实情况自查表》。

在内部控制的内部监督方面，出具独立董事或者监事会关于内部控制评价报告审核意见的公司仅有21 家，合计占比14%。在内部控制外部监督方面，150 家制造业上市样本公司都聘请了注册会计师审计财务报告并发表审计意见，但只有69 家公司（占比46%）出具了关于内控的审计报告或鉴证报告。另外，有73 家公司（占比48.67%）出具了第三方证券公司关于《内部控制自我评价报告》和《内部控制规则落实自查表》的核查意见。这两项均不足一半的比例，显示了我国制造业上市公司缺乏内部控制的外部监督。

除了以上文件，还有少数样本公司出具过：关于内控缺陷整改方案和报告，内控评价管理制度，内控专项报告，内控缺陷认定标准，内控自我评价制度，关于实施《公司内部控制基本规范》进展情况的报告，2012年度内控规范实施阶段性工作总结，独立董事关于聘请内部控制审计机构的独立意见，以及中国证券监督管理委员会xx证监局现场检查相关问题的整改方案等。这些形式各异的报告和总结丰富了内部控制信息披露的形式和内容，应当予以鼓励，同时加强规范。

2.内控信息披露缺乏统一的依据。150 家样本公司关于内部控制建设与评价及信息披露的依据标准并不相同，如表2 所示。

表2 内部控制建设和内控信息披露依据标准

相比于COSO 内部控制框架对内部控制评价标准的具体规定，很长时间我国一直缺乏统一和权威的内部控制评价标准。我国2010年出台的企业内控基本规范，其条款的操作性不是很强，并在内部控制评价标准方面没有做出统一而又规范的规定。其后出台的内控评价指引虽规范了内部控制评价的报告形式、程序方法、范围内容等，但要求企业根据自己的情况制定具体评价标准，具有较大随意性，给了企业更多选择空间。这使得我国上市公司的内部控制评价具体标准也五花八门，且披露详略不一。如，虽说大多数样本公司均明确声明了本公司所依据的内部控制评价标准，但仍有少数公司并未对此做出明确说明。

占比96%的样本公司在内部控制建设与评价和信息披露中都以内控基本规范和配套指引为依据，同时参考了其他相关法规等。但有9 家公司（占比6%）是以上交所内部控制指引为参考，26 家公司（17.33%）是以深交所内部控制指引为参考。大量深交所样本上市公司会参考深交所的中小板指引、内审工作指引、创业板规范运作指引和股票上市规则、上市公司治理准则以及深交所关于做好上市公司2012年年报工作的通知，来建立和健全内部控制体系。还有少量公司在内控信息披露中提及参考萨班斯法案和地方监管机构针对辖区内的上市公司所发布的做好实施和开展内控规范相关工作的通知。依据的标准各有差异，可能会降低制造业行业上市公司内部控制信息的可比性。

（二）内部控制自我评价报告信息披露

1.内部控制自我评价报告披露总体缺乏主动性和自觉性。作为上市公司内控信息披露的主要也是最重要形式，是否披露内控自我评价报告成为衡量公司内控信息披露状况的重要指标。样本公司披露内部控制自我评价报告情况如表3。

表3 内部控制自我评价报告披露情况

有137 家制造业公司（占比91.33%）单独披露了2012年的内部控制自我评价报告。其中有99 家是深市上市公司，38家是沪市上市公司。因而，在单独披露内控自我评价报告方面，深市公司优于沪市公司。原因可能在于深市的内部控制法规比沪市严格，执行力度也更强。尽管沪市内控指引要求上市公司披露内控自我评估报告及会计师事务所对内控自我评价的核实评价意见，但仍有1/4 左右的沪市样本公司没有单独披露内控自我评价报告，可能反映沪市的内控法规落实不够，沪市有必要加强内控信息披露法规的落实和执行力度。但需要指出和肯定的是，与前几年相比，沪市公司披露内部控制信息的比例已大大提升，且这部分未公布内控信息的公司中，有相当一部分正在进行内控制度建设，正在或者已经制定并公布了详细的内控实施方案，拟披露或已公布了后续年度的内部控制评价报告。

另有13 家公司（占比8.67%）只在年报中对内部控制建设情况进行了说明，全部为沪市主板公司。这13 家公司中有11 家公司是在年报中单独设立了“内部控制”章节进行信息披露，还有2 家公司仅是在年报中分散位置提及“内部控制”。在年报中的披露通常偏简单，没有详细披露内部控制制度执行情况、内控缺陷以及整改措施等。

此外，样本中个别公司并非以内控自我评价报告作为与内控有关的单独信息披露的文件标题。如大北农公司（股票代码002385）是以《关于内部控制有关事项的说明》作为内控自我评价的披露形式。这在一定程度上易与其他文件混淆，给投资者查找信息带来诸多不便。

在我国当前内部控制强制性披露规则约束下，仍有少部分制造业上市公司未按规定单独披露内控自我评价报告，缺乏内部控制信息披露的主动性和自觉性。究其原因，可以用成本效益原则来解释。公司如果认为建立健全内部控制制度、对内部控制进行评价、聘请注册会计师审计内控有效性，所发生的成本大于由此而获得的收益，不符合经济效益原则，公司就缺乏完善内控的动力。由于内控建设是一项系统而长期的工程，经济效益的回收期相对实体投资项目可能更长，因此对于一些规模较小、流动资金不充裕的公司来说，也确实缺乏评价和完善内部控制强有力的物质支持，自然也就没有内控信息披露的积极性和主动性。

2.内部控制自我评价报告中信息披露的详略程度。强制性内控披露规定下，各公司内控信息披露的详略程度不同。以本文单独披露了内部控制自我评价报告的137 家样本公司为分析对象，将其内控披露情况由简到详大概分为4个层次：（1）“说明”层次。仅仅说明“本公司建立了合理的内部控制制度，不存在影响财务报告真实性和可靠性的重大缺陷”，或者“未能按照内部控制基本规范和相关指引保持有效的财务报告内部控制”，但没有详细披露问题所在。这个层次有2家公司（占比1.46%）。（2）“简单披露”层次。简单披露了董事会声明，内部控制的目标、原则、依据、范围及主要领域的内部控制评价。这个层次有44 家公司（占比32.12%）。（3）“一般披露”层次，除（2）中的内容外，还说明了内部控制体系的持续完善措施和2013年的内部控制建设计划。这个层次有34家公司（占比24.82%）。（4）“详细披露”层次。较详细地披露了董事会关于内部控制有效性的声明，公司治理结构，内部控制评价总体情况、依据、范围、程序方法，内部控制缺陷的分类认定标准和整改方案实施情况，及内部控制政策推广深化的工作方案等。这个层次有57 家（占比41.61%）。在这57 家相对详细的披露中，有4 家公司还具体披露了内控缺陷的个数。

虽然表3 显示，深市中单独披露内控自我评价报告的公司比例远高于沪市，但从表4 内控信息披露的详略程度来看，沪市制造业公司详细披露内部控制信息的比重（占比68.42%）远高于深市（占比31.31%）。

表4 内部控制信息披露详略程度

按照我国内控评价指引的要求，上市公司内控信息披露应该包括诸如内控的目标、依据标准、董事会是否进行有效性评价、监事会是否发表了审核意见等八个方面。但实际中，上市公司披露内控信息内容参差不齐，有很大的选择性和随意性。总体来看披露内容都是偏简单，只是大致介绍公司治理结构、内部控制体系和内部控制评价所依据的原则和程序。以内部控制缺陷的披露为例，即使是属于“详细披露”层次的公司中，也仅有53 家公司披露了内部控制缺陷的认定标准和整改情况，且这部分公司所披露的内控缺陷认定标准事实上几乎都是理论上和普遍化的缺陷认定标准，而非结合本公司内部控制建设和运行实际情况，制定具体和有针对性的认定标准。涉及到整改情况时，也往往只是几句话的概括，很少详细披露整改具体计划和过程。少数（4 家）样本公司披露了本年度内部控制缺陷的具体个数，且披露的缺陷均为一般缺陷，多与财务报告相关，相对而言此类缺陷对内控执行有效性的影响甚微。

我国上市公司这种内控信息披露的模式化、形式化和表面化现象可以用信号传递理论来理解。只有经营业绩好的公司才有动力去披露有关公司经营的高品质信号，诸如良好的内部控制与经营业绩和较强的风险防范能力，以期增强投资者信心，降低资本成本，提升公司价值；而经营业绩差、风险防范能力低的公司更倾向隐瞒其在内控方面的不足。我国现代公司制度建立时间短，大多数制造业上市公司出于稳健因素考量，为避免信息披露可能带来的不利影响，选择尽量少披露，或有选择地披露对本公司有利的内控信息而隐瞒那些不想被公众知晓的内控信息，整体呈现一种缺乏披露动力的状态。

（三）内部控制的内部和外部监督意见披露

1.内部控制的内部监督意见披露。内部控制的内部监督意见主要指董事会、独立董事、监事会对内控自我评价的审核意见。本文150 家制造业样本公司都以董事会作为内部控制责任主体，由董事会发布内控自我评价报告。所不同的是在于是否单独出具独立董事和监事会对于内控自我评价报告的核实意见。

在当前公司治理结构与内部控制的关系中，董事会是内部控制建设、执行和自查的主体，同时监事会和独立董事应发挥有效的监督作用，具体体现为对内控自我评价报告发表的审核意见。上交所内控指引没有明确和强制要求监事会或者独立董事发表关于内控自我评价报告的独立意见，而深交所则有此项要求。因此51 家沪市样本公司中只有1 家单独披露有独立董事对内部控制自我评价的意见。而99 家深市样本公司中有6 家公司披露了独立董事对内部控制自我评价的意见，有14 家公司披露了监事会对内部控制自我评价的意见，其中有4 家公司同时披露了独立董事和监事会对内控自我评价报告的意见，如表5 所示。深交所公司披露比例并不高，可能反映深交所要求的落实问题。对自觉出具独董和监事会意见的深市公司，其意见中披露的内容也偏于形式化，大多只是简单描述公司内控建设情况，并认为内部控制自我评价符合公司内部控制的实际情况，缺失实质性的建设意见。

表5 单独出具独立董事和监事会对内控自我评价的审核意见

其原因可能还在于我国监事会制度和独立董事制度不完善。监事会缺乏独立性，缺少必要的监督权力和监督能力，受制于管理层，不能切实履行实际的监督责任。而独立董事规模较小，大多由第一大股东提名，其选举也会受到制约，基本上代表某些股东的利益，难以在重大决策上保持独立性。当监事会和独立董事的设置流于形式，甚至沦为一种摆设，也就难以发挥对内部控制的监督作用。

2.内部控制的外部监督意见披露。内部控制的外部监督意见主要指由外部独立的第三方——注册会计师对内部控制有效性出具的内部控制审计报告或鉴证报告。两者都是上市公司内控信息披露的重要渠道，但两者在深度和广度上有较大区别：①从依据上看，只有依据内控基本规范出具的才可被称为内控审计报告；而内控鉴证报告的依据为其他鉴证业务准则和内控审核指导意见，其要求相对宽松。前者的规范性和标准性更强。②从内容上看，内控审计报告不仅要对与财务报告相关的内控有效性发表审计意见，还要对与非财务报告相关的重要控制活动中的重大缺陷发表审计意见，涵盖公司治理结构、内部控制体系建设情况、缺陷评价标准和认定等内容，详细程度高，范围广；而内控鉴证报告只要求对与财务报告相关的内控建设与运行情况发表意见，详细程度相对低，范围相对窄。③从注册会计师的意见来看，不允许保留意见的内控审计报告，只要存在与财务报告内控相关的重大缺陷，审计意见就应当是否定的；而内控鉴证报告则没有这项规定，可以被出具保留意见。本样本中仅大北农的内控审计报告被出具否定意见。

内控基本规范要求上市的主板公司披露内控审计报告，对中小板和创业板公司则无此要求。而深交所内控指引要求中小板公司每两年出具一次内控审计报告，创业板公司每两年出具一次内控鉴证报告。如表6 所示，样本中主板公司披露的都是内部控制审计报告，而创业板公司在无硬性要求情况下，披露的都是程序相对简单的内控鉴证报告。

表6 不同板块制造业上市公司披露内部控制审计报告和内部控制鉴证报告情况

合计只有69 家公司（占比46%）披露了内部控制审计或鉴证报告。作为外部监督的重要方式，注册会计师所出具的内控审计和鉴证报告是保证内控信息真实性的重要依据，但目前我国部分上市公司还缺乏充分动力去聘请注册会计师对内控有效性进行审计。这一方面与制度有关，非强制性规定或缺乏规范的内部控制审计要求使得公司选择不审计或简化的内控审计流程；另一方面与公司对此项工作的不重视有关。

四、完善我国制造业上市公司内部控制信息披露的建议

（一）加强内部控制信息披露的制度建设

1.进一步落实强制披露内部控制信息的政策。虽然我国内部控制指引强制要求境内上市公司披露内控评价信息，但现实情况不容乐观，不披露的现象仍然存在。因此，相关部门应进一步落实强制要求所有境内上市公司披露内部控制信息的政策。政府部门、证监会、交易所应加强合作，统计没有披露内控信息的公司，分析没有披露的原因，为那些正处于内控建设期的公司给予政策指导，督促其在财务报告年度内尽快按要求完成内控建设并信息披露；对于仅在年报中简单说明内控情况的公司，督促其披露内控自我评价报告，尤其是沪市应当加强相应的监督整改措施。

2.规范内部控制自我评价报告的披露内容、格式与标准。基本规范仅对上市公司内部控制信息披露提出了强制要求，却没有对披露的内容和格式做出详细规范和统一标准。虽然上交所、深交所和证监会、财政部都先后出台了一系列通知、公告来解释内部控制自我评价中应遵循的原则和注意事项，但这些规定较零散地分布在各地、各交易所及某一专项文件中，缺乏统一和明确的约束力。在信息披露的名称、内容和格式方面不够统一和规范，也会使得上市公司按照自己的利益偏好来进行选择性披露。这不利于投资者查找获取内控信息，也使得当前本来就缺乏实质性内容的内控信息更加杂乱，不利于行业公司间比较分析。有关部门应进一步统一内控信息披露的内容，出台更加完善、操作性更强的内控评价指标体系和缺陷认定标准，从内控评价的目标、原则、依据、范围、程序、方法、缺陷情况及整改方案等各方面来规范内部控制自我评价，使外部信息使用者能更准确判断公司是否存在内控缺陷及缺陷的重大程度，也便于外部监管机构对上市公司的财务信息和非财务信息的监管。

3.明确董事会、监事会、独立董事在内部控制自我评价和监督中的责任。我国企业内控基本规范和配套指引中并没有规范内控评价的主体和其他相关责任方。建议相关部门应明确内部控制信息披露的责任主体，同时规定独立董事和监事会在内控规划、建设、完善、自我评价及信息披露方面应当承担的建议监督责任，不断强化各方积极主动履责的意识。这也有赖于不断完善监事会和独立董事制度，增强监事会和独立董事的独立性和监督意识。

（二）建立健全内部控制信息披露的监管体系

1.建立健全内部控制信息披露的内部监管体系。建立健全内控信息披露的内部监管体系能从源头上改善内控信息披露的质量，这包括健全公司治理结构以及加强内部审计。

良好的公司治理结构是建立完善内控的基础和前提。建立公司治理和内部控制间的良性关系，不仅能优化公司治理结构，还能提高内部控制的效率效果。这包括建立“三权分立”的内部制衡机制，保证经营权、控制权和所有权相互监督、相互制衡；保证监事会的话语权和监督权；完善独立董事制度，发挥独立董事的建言献策和监督作用。

健全的内部审计制度能够监督内控的设计与执行，相应提升内控信息披露质量。应当理顺内部审计的领导体制，明确内审的职责、定位、服务对象和作用，保证内审的独立性、专业性和合规性；建立相关的内审人员激励责任机制，从物质和人力上给内审工作强有力支持。

2.建立健全内部控制信息披露的外部监管体系。公司的盈利性目标和内部结构的复杂性往往导致内部监督达不到预期效果，此时，来自于政府部门、交易所以及社会的有效外部监督可以起到一定弥补作用。

（1）加强政府部门对上市公司内部控制信息披露的监管。我国上市公司内控信息披露的实际落实情况不尽如人意，一个很重要原因在于缺乏对规定落实情况的有效监督，没有明确违规主体应承担的责任。建议相关部门加强对上市公司内控信息披露的监管，制定明确的惩罚措施。

（2）加强交易所对上市公司内部控制披露的监管。市场经济下，政府对市场的监管也不能也不必面面俱到。上交所和深交所就需要承担起对上市公司的日常监管责任。两家交易所应以证监会的统一监管措施为指导，根据本交易所上市公司特点细化和明确监管措施，并时时关注公司的内控建设进展和信息披露情况，适当给予指导意见，对违法违规行为进行惩处。

（3）加强社会第三方对上市公司内部控制披露的监管。社会监督是内控信息披露监督的最后一道防线，要充分发挥注册会计师、授权的证券公司、新闻媒体乃至投资者对上市公司内部控制信息披露的监督作用。

注册会计师出具的内控审计报告或鉴证报告能在一定程度上保障内控信息披露的可靠性。除了将内部控制审计规范化和常态化，也需规范内部控制审计报告的格式和形式，加强对注册会计师的职业技能培训、职业道德教育和行业监督，确保其能遵守审计准则等相关规定并切实履行内部控制审计责任。

授权的证券公司对上市公司内控自我评价报告及内控落实情况自查表的核查意见能在一定程度上反映内部控制的有效性。应规范这类机构的监督行为，规定核实意见的内容和格式，明确受聘核查内部控制的机构应承担的责任。

新闻媒体能对上市公司内控信息披露进行舆论监督，给违法违规公司施加舆论压力，从无形中督促上市公司完善内部控制。应确立有利于新闻媒体监督的法律环境，同时明确新闻媒体在内控信息披露监督方面应承担的道德和法律责任，确保新闻媒体能实事求是报道，发挥良好的舆论导向作用。

（本文系天津市2012年度哲学社会科学规划课题“内部控制缺陷信息披露的经济后果研究”〈TJGL 12 -004〉、中央高校基本科研业务费专项资金项目〈NKZXB1244〉阶段性研究成果。）

注释：

①中国证券监督管理委员会.证监会和财政部联合发布《公开发行证券的公司信息披露编报规则第21号——年度内部控制评价报告的一般规定》[EB/OL].中国证券监督管理委员会，2014[2014-04]。

1.陈龙.2013.主板与中小板上市公司内部控制信息披露差异性分析[J].财会研究，2: 68-70。

2.陈国辉、王文杰.2011.关于提高上市公司内部控制信息披露质量的建议[J].财务与会计，5:28。

3.惠全红.2008.我国上市公司内部控制信息披露的思考[J].会计之友，7:36-37。

4.晋晓琴.2011.我国企业内部控制应用指引的发展评点[J].财会月刊，3: 67-68。

5.杨慧文、顾镇同.2013.上市公司内部控制信息披露及自我评价的现状研究[J].会计之友，12:70。

6.张倪玮.2011.监事会制度与独立董事制度的职能分权探析[J].会计之友，22:93-94。

7.张妙凌.2012.我国上市公司内部控制信息披露问题研究[J].财会研究，15:56-59。