赵耿　王永超

【摘 要】 对企业内控规范体系实施后沪深A股上市公司2011年和2012年内部控制评价报告中披露的内部控制缺陷进行归类统计，揭露了《企业内部控制应用指引》规范的18项活动在内部控制方面存在的缺陷，发现内部控制缺陷主要集中于内部环境的组织架构、人力资源和控制活动中的销售采购业务、资金活动和资产管理等方面，且缺陷披露存在态度不严肃，披露不完整、不规范、无标准且缺乏可比性等问题，并从企业内部管理和外部监管两个层面提出了进一步改善内部控制缺陷披露质量的建议。

【关键词】 内部控制应用指引； 内部控制缺陷； 企业内部控制规范体系

中图分类号：F270 文献标识码：A 文章编号：1004-5937（2014）26-0040-03

一、背景

企业内控规范体系自2011年1月1日起在境内外同时上市的公司实施，2012年1月1日起扩大到在上交所、深交所主板上市的公司。按照企业内控规范体系的要求，上市公司需在内部控制自我评价报告中披露内部控制缺陷。那么，投资者等利益相关者比较关注的内部控制缺陷的披露现状如何呢？存在的问题又有哪些呢？本文拟以我国沪深A股上市公司披露2011年和2012年内部控制评价报告的公司为样本，以《企业内部控制应用指引》规范的18项主要活动的内部控制为切入点，分析上市公司披露的有关这18项应用指引存在的内部控制缺陷现状及其存在的问题，并在此基础上提出进一步改进内部控制缺陷披露的建议。

二、内部控制缺陷披露情况分析

本文试图研究新制度的实施是否有利于改善企业内部控制缺陷披露的现状，选取2011年和2012年披露内部控制评价报告的沪深A股上市公司为样本的原因在于，内控规范体系的实施是一个逐步过渡的阶段，对中小板和创业板公司并没有作出强制性规定，且主板发行的B股在业务性质等方面存在特殊性，所以本文选取的样本更有针对性且更具有研究意义。《企业内部控制基本规范》及其配套指引将内部控制缺陷划分为三大类①，若简单地选取某一类别缺陷来界定上市公司是否披露内部控制缺陷，则有失偏颇而不能全面地覆盖上市公司内部控制缺陷披露情况。《企业内部控制应用指引》规范了企业18项主要活动的内部控制，上市公司披露的内部控制缺陷也多是这18项主要活动的反映。为了更加直接、有针对性地反映上市公司在内部控制建设中存在的主要问题，本文拟运用语义分析法将上市公司披露的内部控制缺陷或内部控制存在的问题归类为18项应用指引存在的缺陷。对于在内部控制评价报告中将内部控制缺陷描述得模棱两可、语意不清的上市公司，本文认为这类公司没有披露内部控制缺陷。

2011年，沪深A股共有900家上市公司披露内部控制评价报告，有184家披露内部控制缺陷，占比20.44%。2012年，沪深A股共有1 158家上市公司披露内部控制评价报告，有275家披露内部控制缺陷，占比23.75%。可见，披露具体内部控制缺陷的公司绝对数有所增加，但占总体的比例没有明显提高，保持在20%的水平。经分析统计，上市公司2011年、2012年内部控制缺陷披露情况如下：

（一）组织结构类缺陷

组织结构类缺陷主要表现在治理结构、内部机构设置和子公司管控三个方面。2011年和2012年，披露治理结构存在缺陷的公司分别为22家和16家；披露内部机构设置存在缺陷的公司分别为18家和41家；披露在子公司管控方面存在缺陷的公司分别为41家和71家。治理结构缺陷主要表现在董事会、监事会和经理层的职责权限、任职条件、议事规则和工作程序不明确，缺少对“三重一大”的特殊考虑等。内部机构设置缺陷主要表现在岗位职责权限不明确，职能交叉、缺失，不相容职位未分离等。子公司管控方面存在的缺陷主要表现为：集团制定相关制度，子公司未严格执行；子公司具体业务层面控制活动存在缺陷，母公司监督不到位；公司人员业务素质薄弱，内控意识不强。

（二）发展战略类缺陷

2011年、2012年披露发展战略类缺陷的上市公司数量分别为5家和14家，其披露的缺陷主要表现在：董事会战略管理委员会未完全发挥其职能；战略管理制度未建立；公司无中长期发展战略或者发展战略并不明确；战略规划、实施和监控不到位等。

（三）人力资源类缺陷

除组织架构类缺陷外，人力资源类缺陷是内部环境类缺陷中披露数量最多的一项，披露此项缺陷的上市公司数量从2011年的44家上升到2012年的67家，主要表现如下：员工业务素质不够，员工自我学习与公司培训投入不足；人才培养机制不健全，队伍建设缺乏系统性；人才引进和储备不足；公司的薪酬与激励体制不完善；招聘、离岗、岗位回避、岗位保密、定期轮岗等制度存在不足或尚未建立等。

（四）社会责任类缺陷

2011年和2012年分别仅有6家和11家公司披露其存在社会责任类缺陷，且披露内容较宏观，具体化程度不够。其主要缺陷描述如下：公司对社会责任重视不足，未建立社会责任体制和运行机制；安全操作规程不符合生产实际情况，部分操作环节质量控制有难度；安全生产、产品质量、环境保护和资源节约意识淡薄，未制度化和具体化等。

（五）企业文化类缺陷

2011年、2012年披露此类缺陷的上市公司均保持在二十多家的水平，缺陷披露的重点无重大变化，主要集中在内控意识不强和风控教育不足等方面。其他缺陷表现形式如下：企业文化建设重视程度不足，未形成企业特有的价值观、经营理念和企业精神，员工缺乏积极性和主动性；公司在文化建设中缺乏制度支撑和评估标准；并购重组文化的整合工作不到位等。

（六）资金活动类缺陷

披露此缺陷的上市公司数量从2011年的18家增加到2012年的39家。缺陷主要表现如下：投资项目未按要求实施尽职调查、未进行可行性研究论证、未编制收购资产预案或股权投资议案，对项目的风险评估不足，建设运营过程的跟踪管理和评价力度亦不足；资金支付未按照规定程序履行审批手续，用途合规性和后续监控不足造成资金管理混乱；票据管理制度不完善，未统一规范库存现金限额，银行调节表编制和复核不符合规定等。

（七）采购业务类缺陷

采购业务类缺陷是控制活动类缺陷中表现较为集中的一类，2011年有18家公司披露其采购业务存在缺陷，2012年达44家。供应商选择、合同签订、验收入库和退货管理等环节各公司均存在表现不一、数量各异的缺陷。主要缺陷描述归纳总结如下：招标采购流程执行不到位，供应商选择和评价存在缺陷；采购验收管理存在缺陷，与供应商沟通不足导致延迟交货，验收入库不符合规范；没有严格执行采购价格管理，退货管理不明确，缺少对供应商的管控流程等。

（八）资产管理类缺陷

资产管理类缺陷是较为常见的控制活动缺陷，2011年和2012年分别有19家和46家上市公司披露了该类缺陷，其缺陷涵盖存货、固定资产以及无形资产的管理。其共同表现形式主要为未及时和完整地对各类资产进行盘点以及对盘点差异进行处理，或者盘点工作未留记录，公司对已出现减值迹象的资产未进行减值测试并计提相关的减值准备。另外，存货管理方面存在仓库安全管理不到位、未对进入仓库的人员办理进出登记手续、存货存放缺少必要标识等缺陷。固定资产管理主要存在未建立固定资产台账、内部转移流程未能有效执行、缺乏抵押管理相关制度等缺陷。

（九）销售业务类缺陷

销售业务包括出售商品和收取款项两项主要活动，2011年和2012年披露该项缺陷的上市公司分别为14家和20家。出售商品环节缺陷主要表现在市场数据分析不能有效支持销售决策，销售策略分析评估机制不能满足销售需求，客户数据不全面、更新不及时，信用额度管理需要加强，合同签订不及时，发货审批权限不明确，价格批示落后于发货时间；收款环节缺陷主要表现在应收账款管理不规范，催收不及时。另外，存在与客户往来款项核对执行不到位、营销人员考核标准片面等缺陷。

（十）研究与开发类缺陷

披露此类缺陷的上市公司数量2012年较2011年增加了约一倍，但是绝对数仍然较小，2012年也仅有11家公司披露研究开发类缺陷。该类缺陷主要表现如下：研发项目评估不全面，缺乏对产品市场变化的预见性；公司研发管控职能弱，研发费用缺乏过程监控；部分公司研发制度未完全建立等。

（十一）工程项目类缺陷

工程项目类缺陷的披露数量成倍增长，2011年有11家上市公司披露存在该项缺陷，2012年上升为24家。工程项目类缺陷主要表现在：工程项目预算管理和招投标管理存在缺陷；工程材料、设备采购、项目施工等相关制度不完善，项目完工评估机制不健全；工程项目未能按照完工百分比法确认收入和成本；项目竣工决算不及时，转增固定资产时衔接工作不到位等。

（十二）其他控制活动类缺陷

相较于以上控制活动，包括担保业务、业务外包和财务报告活动在内的其他控制活动的缺陷披露较少，2011年和2012年的披露数量没有显著变化，两年中各类缺陷披露的上市公司数量均不超过10家。其中，担保业务类缺陷披露主要表现为担保业务评估、审批和执行流程不符合规范，担保责任追究制度不完善。业务外包类缺陷主要表现为审批未经相关人员签字，发出商品和委托加工物资等未按照相关制度严格执行；外包制度和外包支付流程不够细化等。财务报告类缺陷主要表现为公司未对财务报告定期分析，分析缺乏深度且未提出针对性的调整意见等。

从以上统计分析可知，内部环境和控制活动类缺陷在披露数量上大体表现出一致的趋势，即披露这两类缺陷的上市公司数量2012年较2011年有所增加。一方面可能由于上市公司自身内部控制缺陷的逐渐显露，另一方面则可能由于内控规范体系的实施为上市公司的内部控制建设和评价提供了指导，使得上市公司在披露意识提高的同时，内控建设工作的可操作性和执行力也得到提升。

（十三）控制手段类缺陷

2011年和2012年分别有10家和35家公司披露预算缺陷，全面预算缺陷主要表现在制度不完善，编制与执行脱节，执行与考核流程不符合规范；披露合同管理类缺陷的公司由2011年的17家上升到2012年的47家，主要表现在合同档案未统一保管、未及时归档和分级整理，合同签订、审核和监督未按规定执行；2011年和2012年分别有42家和60家公司披露内部信息传递及信息系统缺陷，缺陷主要表现在组织内部信息沟通不畅通，信息披露不及时、不规范、不完整，信息传递的保密管理工作不到位，内部报告使用和保管不规范，信息系统建设缺乏规划，投入不足，运行、维护、安全管理不到位等。

三、内部控制缺陷披露存在的问题及改进建议

从上市公司2011年和2012年披露的内部控制缺陷情况来看，内部控制缺陷披露主要存在以下三个方面的问题：（1）内控缺陷披露不具体，缺乏信息含量。部分公司内部控制缺陷披露过于简单，对缺陷描述的细化程度不够。如某公司披露资产管理、采购业务和业务外包等方面存在缺陷，但未进一步说明缺陷的具体表现形式。这种披露形式缺乏信息含量，报告使用者无法据此判断公司存在缺陷的严重程度以及存在缺陷的关键流程和环节。（2）内控缺陷披露不完整、不规范。《企业内部控制评价指引》指出内部控制评价报告应当包括内部控制缺陷及其认定情况、内部控制缺陷的整改情况及重大缺陷拟采取的整改措施、内部控制是否有效的结论。但是，从实际的披露情况来看，上市公司往往仅披露存在缺陷的数量，缺乏缺陷的认定标准以及缺陷的整改情况等，尤其是缺陷的认定情况。（3）内控缺陷披露缺乏可比性。上市公司披露的缺陷数量差异极大，如某公司2011年和2012年分别披露存在1 017个和245个一般缺陷，而大部分公司仅披露其存在几个一般缺陷。上市公司对缺陷的具体描述也有所不同。如对于控制活动中存在的缺陷，部分公司按照《规范》中各项控制措施，如授权审批、绩效评价控制等来描述其缺陷；部分公司按照《指引》中的应用指引，如销售业务、采购业务等具体业务环节进行分类披露；只有极少公司能够按照先依据控制措施进行分类，然后细化到具体业务活动这一清晰的思路进行缺陷披露。

虽然内控缺陷披露在现阶段存在一些问题，但是从前面的分析可知，从2011年到2012年，内控缺陷披露的整体情况不论在数量上还是质量上均有所改善。为了进一步完善内控缺陷的披露机制，改善内控缺陷的披露质量，本文提出以下两方面的建议。一是上市公司应该加强对内部控制规范的学习，增强其人员的内控意识和认识深度，积极执行各项内控措施以及对内控的执行进行及时、真实和完整的评价。公司应当按照《规范》和《指引》的要求，严格执行内部控制评价工作，运用定性和定量的方法对内控重大缺陷、重要缺陷和一般缺陷，以及内部控制设计缺陷和运行缺陷进行科学合理的认定。在此基础上，上市公司应完整披露内控缺陷认定和整改情况，提升内控缺陷信息披露的信息含量。二是监管部门进一步完善内部控制规范体系系列标准。由于《指引》是从公司总体来引导内控建设，没有考虑到行业特殊性，因此相关指引和规则制定得过于宽泛，过多的自由裁量权必然导致各公司披露情况的参差不齐，缺乏可比性。相关部门应该进一步细化标准，增强可操作性。针对不同行业和企业的具体情况，结合现实的需求，研究行业业务运作的特点，制定发布分行业的内部控制操作指南；针对内部控制缺陷披露缺乏可比性和信息含量等问题，规范和统一内部控制缺陷认定和分类的标准，提高标准的可行性和可比性。●

【参考文献】

[1] 财政部会计司.企业内部控制规范讲解2010[M].北京：经济科学出版社，2010.

[2] 董卉娜，陈峥嵘，朱志雄.上市公司内部控制缺陷披露现状分析——基于2009—2010年深市主板A股的实证分析[J].证券市场导报，2012（8）：72-77.

[3] 南京大学会计与财务研究院课题组.论中国企业内部控制评价制度的现实模式——基于112个企业案例研究[J].会计研究，2010（6）：51-61.

[4] 刘玉廷.全面提升企业经营管理水平的重要举措——财政部会计司司长刘玉廷解读《企业内部控制配套指引》[J].安徽水利财会，2010（3）：3-18.

[5] 王永超.上市公司内部控制缺陷认定标准披露现状及其影响因素研究[D].暨南大学，2012.