杜晓艳

摘要：在当今市场竞争日趋激烈的经济社会中，上市公司所面临的经营风险和财务风险也相应提高，内部控制做为控制风险的有效手段，作用也越发显得重要。《企业内部控制基本规范》及其配套指引的颁布也逐渐要求上市公司出具与其发展相匹配的内部控制自我评价报告信息，这一举措强制披露上市公司内部控制信息，要求上市公司强化对内部控制有效性工作的建设，但是这并不意味着我国公司內部控制建设均达到了一个高水平，因此本文针对上市公司内部控制缺陷认定的现状进行了定量以及定性的研究，提出了完善上市公司内部控制缺陷认定框架的建议，完善内部控制缺陷认定的规范标准，建立内部控制缺陷认定及其披露的监管机构。

关键词：内部控制缺陷认定自我评价上市公司

我国国内已经于2008年颁布了《企业内部控制基本规范》及其配套指引，这一举措标志着我国内部控制体系已经得到了初步的建立，2011 年，证监会上市部发布的031号函中，要求我国境内外上市公司需要从会计师事务所聘请注册会计师对本公司的内部控制情况进行合理有效的审计，并出具审计报告，同时，要求上市公司发布本公司内部控制自我评价报告信息，这一举动意味着我国内部控制信息披露从最初的自愿披露阶段向强制性披露阶段逐渐转移。强制披露上市公司内部控制信息，要求上市公司必须强化对内部控制有效性工作的建设，在当年68家已强制披露的上市公司内部控制信息中，仅有一家公司存在重大缺陷并且被进行审计的注册会计师出具了内部控制否定意见的审计报告，这一举措是否意味着我国公司内部控制建设已经达到了一个较高的水平，但是事实却并非如此。

如何认识内部控制，如何识别内部控制缺陷，如何建立内部控制缺陷认定标准体系，如何认定内部控制缺陷严重程度，成为了注册会计师和上市公司相关人员工作的核心成分。本文相对应的提出了上市公司应该建立合理有效的内部控制缺陷认定标准体系，在最大的程度上识别和纠正内部控制缺陷，确保内部控制的设计和工作运作的有效性。财政部、证监会等监管部门也应该大力推动强制披露内部控制情况的的进程，尽快将强制披露内部控制信息范围拓展到我国的每家上市公司。当然，作为市场中的信息使用者应该合理看待内部控制缺陷信息披露，通过分析上市公司所报告的信息，做出合理有远见的投资。

我国国内已经于2008年颁布了《企业内部控制基本规范》及其配套指引，这一举措标志着我国内部控制体系已经得到了初步的建立，2011 年，证监会上市部发布的031号函中，要求我国境内外上市公司需要从会计师事务所聘请注册会计师对本公司的内部控制情况进行合理有效的审计，并出具审计报告，同时，要求上市公司发布本公司内部控制自我评价报告信息，这一举动意味着我国内部控制信息披露从最初的自愿披露阶段向强制性披露阶段逐渐转移。强制披露上市公司内部控制信息，要求上市公司必须强化对内部控制有效性工作的建设，在当年68 家已强制披露的上市公司内部控制信息中，仅有一家公司存在重大缺陷并且被进行审计的注册会计师出具了内部控制否定意见的审计报告，这一举措是否意味着我国公司内部控制建设已经达到了一个较高的水平，但是事实却并非如此。

如何认识内部控制，如何识别内部控制缺陷，如何建立内部控制缺陷认定标准体系，如何认定内部控制缺陷严重程度，成为了注册会计师和上市公司相关人员工作的核心成分。本文相对应的提出了针对内部控制缺陷认定标准的政策性建议，上市公司应该建立合理有效的内部控制缺陷认定标准体系，在最大的程度上识别和纠正内部控制缺陷，确保内部控制的设计和工作运作的有效性。财政部、证监会等监管部门也应该大力推动强制披露内部控制情况的的进程，尽快将强制披露内部控制信息范围拓展到我国的每家上市公司。当然，作为市场中的信息使用者应该合理看待内部控制缺陷信息披露，通过分析上市公司所报告的信息，做出合理有远见的投资。

对会计层面的内部控制缺陷应该用量化标准认定，即对某项内部控制缺陷造成财务错报的“可能性”和“导致后果”进行量化，从而判断是否为一般、重要或重大内部控制缺陷。

对“可能性”的量化问题，目前国内外的相关规范制度并没有涉及。本文认为，可以适当借鉴其他准则制度的经验及做法，如我国《或有事项会计准则》规定，对一项或有事项是否确认为预计负债主要考虑其发生可能性，其中“很可能”为发生概率大于50%但小于或等于95%；“可能”为大于5%但小于或等于50%；“极小可能”为大于0但小于或等于5%。会计层面内部控制缺陷的三个层次，也可以据此确定，其中重大缺陷是指一项控制缺陷导致财务错报的可能性大于50%，依次类推。

为了使此量化标准更具说服力和科学性，要求企业内部控制评价人员对量化结论的作出予以详细说明。对“导致后果”的量化相对容易些，国内外均有借鉴的依据，如日本2007年推出的《财务报告相关内部控制的评估及审计制度》（又称日本萨班斯法案）规定，如果一项会计（业务）控制缺陷或多项控制缺陷造成公司合并税前收益错报率大于 5%，就认定为重大缺陷。

我国《注册会计师审计准则第1221号——重要性》对重要性的量化指标为：（1）对以营利为目的的企业，来自经营性业务的税前利润或税后净利润的5%，或总收入的0.5%；（2）对非营利组织，费用总额或总收入的0.5%；（3）对共同基金公司，净资产的0.5%。审计实务中用来判定重要性水平的数据为：税前净利润的5%—10%，资产总额的0.5%—1%，营业收入的0.5%—1%。这些都可作为会计层面内部控制缺陷所导致结果的量化标准，如一项会计控制缺陷造成公司合并税前利润错报率大于5%的为重大内部控制缺陷，小于5%但大于1%的为重要内部控制缺陷，小于1%的为一般内部控制缺陷。

建议用定性化标准去认定，如关键控制点认定法，即明确各种关键业务，如果这些业务出现缺陷，就可以认定为重大内部控制缺陷。我国《企业内部控制基本规范》中认定的关键控制点有：重要的对外投资、购买和出售资产、对外担保、关联交易、募集资金使用和信息披露事务、对控股子公司管控等六方面。

除了关键控制点认定法，公司层面内部控制缺陷程度还可以采用公司特征认定法，如Jeffrey Doyle等人（2006）认为，具有以下特征的公司可能存在重大的公司层面内部控制缺陷：（1）存在盈余管理或盈余质量较低；（2）财务错报和报表重述；（3）信息披露质量低；（4）公司规模较小；（5）公司成立时间短；（6）公司财务能力弱，或亏损；（7）公司正在经历重大的组织变化如正经历重整；（8）公司业务构成较复杂，如分部较多，海外业务较多等；（9）公司增长较快；（10）企业董事、监事和高级管理人员舞弊。

自2012年起，我国内部控制评审已全面步入强制性披露的阶段，但是从实施结果来看，由于我国尚未建立关于内部控制缺陷的认定标准，对于重大缺陷的认定存在许多操作上的困难，导致上市公司的重大缺陷披露程度较低。在此背景下，内部控制信息质量的提高需要有一个完善的标准为内部控制的评审提供指引，以解决目前内部控制缺陷认定的执行困境，使会计师和被审计单位在内部控制评审中都有规可循，以增强信息披露的有效性，给信息需求者提供有用的信息，同时还可以督促上市公司加快完善内部控制的建设使其在公司运营中能够有效的发挥实质作用而不是形同虚设，最终保障公司的稳定运行。