上市公司内部控制信息披露:问题与思考
作者
【摘要】本文随机抽取100家在沪深主板上市的公司，从对其内部控制信息披露情况的研究入手，主要分析了目前上市公司内部控制信息披露中存在明显误区。而法律法规的完善则是减少以至消除这种误区的必要前提。
【关键词】内部控制 信息披露 上市公司
企业内部控制制度的建立健全、贯彻实施是在当今社会中一家企业安身立命，实现长久发展的必要条件之一。这一点已经被近几十年里中外无数案例所证明：1995年巴林银行交易员里森擅自使用公款投资金融产品，适逢日本地震，日经指数大跌，尼森因而遭受巨亏，迫使百年老店一夕破产；无独有偶，13年后法国兴业银行依然没有吸取教训，庞大精细的电子化内部控制措施形同虚设，银行交易员杰罗姆顺利进行了期货非法交易，造成71亿美元的巨大损失。如果说国外的教训并不足以令我们引起重视的话，那么近些年内中航油驻新加坡分公司、琼民源、银广夏、科龙电器等公司的例子就更加触目惊心。上市公司的内部控制信息不仅仅反映了企业的管理艺术，更加传递了其应对风险、处理问题的态度的信号，这种信息的重要性绝不亚于公司的财务报告，因此，我们有必要深入分析目前上市公司的内部控制信息披露情况如何，进而找出存在的问题和改进的路径。
一、上市公司内部控制信息披露情况统计分析
2006年5月和9月上交所及深交所相继颁布了《上海证券交易所上市公司内部控制指引》和《深圳交易所上市公司内部控制指引》，对上市公司的内部控制信息披露做出了强制要求：公司应在审计机构提供的内部审计报告的基础上形成内部控制自我评估或评价报告，在每年披露年报时同时披露内部控制自我评价报告和注册会计师的评价意见。2008年出台的《企业内部控制基本规范》更加确定了这一点。但是，在现实情况中，由于相应的问责机制并不完善，加之上述指引对内部控制自我评价报告的形式并没有作出规定，导致上市公司在进行信息披露时存在较大的随意性。目前我们主要可以从以下几种渠道中了解企业的内部控制情况：①公司年报中的相关陈述；②招股说明书中的相关表述；③注册会计师出具的内部控制评价或鉴证报告及结论性意见；④公司单独公布的内部控制自我评估报告。其中，公司年报、招股说明书中对于内部控制情况的介绍属于强制性披露，而相应的内部控制自我评价报告和鉴证报告属于鼓励性披露的范畴。笔者从沪市、深市主板上市公司中随机选择了100家作为样本，根据以上4种信息来源对其内部控制信息披露情况作一了解，见表1。其中，“详细说明”指公司2010年年报中对内部控制建立健全情况进行了比较细致、有序的描述；“简单披露”指年報中对相关信息仅仅以“已建立了比较完善的内部控制制度”等类似语句进行披露；而一般描述则介于二者之间。
从表1中我们可以看到，尽管样本基数不同，但总体来看无论是强制披露还是自愿披露的比例较2006年杨有红、汪薇对沪市主板的研究有较大改善，在笔者随机抽取的100家公司中，每一家都或多或少对其内部控制的建立健全情况做出了介绍，并且自愿披露内部控制评价报告的公司高达78%，这说明上市公司已经逐渐意识到披露内部控制信息的重要性，事实上内部控制信息的披露有助于投资者更好地了解投资对象，减少广大股民由于信息不对称而产生的不信任感。
但是，广大上市或即将上市的公司在披露内部控制信息时存在着严重的“报喜不报忧”问题，在笔者调查的100家上市公司中，仅有3家在内部控制评价报告中说明了其内部控制制度中存在或潜在的问题，大部分尽管按照规定进行了披露，所披露的内容却大多是一些“模式化”信息：公司已经在XX方面建立了完善的内控制度，具体包括……这种僵化死板的披露模式很难反映出企业真实的内部控制运转情况，当然难以获得投资者的认可。并且，从表1中我们还可以发现，尽管都是自愿披露，公布内部控制评价报告和鉴证报告的公司数量却相去甚远，而在已公布的32份鉴证报告中，注册会计师无一例外的出具了标准无保留意见。
二、我国上市公司内部控制信息披露的问题分析
对于上市公司的年报上应当披露怎样的内部控制信息，内部控制评价报告又究竟应当评价些什么，学术界一直以来都讨论不休。但是，基本观点应当是一致的：上市公司应当通过年报或其他报告如实描述其内部控制情况，以生动、准确的方式传达出公司的运作情况，既不过分强调优秀之处，也不极力隐瞒问题所在。通过以上的抽样调查情况我们对目前上市公司的内部控制信息披露情况有了基本的了解，但当我们对具体每家公司披露的年报、内部控制评价报告进行研究时，也不难发现其问题所在。
（一）企业披露的内部控制评价信息不具有严格的程序
以A公司2010年内部控制评价报告为例，与其说该公司是在对该公司的内部控制制度运营情况进行评价，不如说是公司建立在“已具有良好的内部控制制度”这一假设前提下想当然得出的结论。其董事会在报告中的评价语句可以用“公司已形成良好的内部控制体系……这为公司各项活动的展开提供了良好保证……公司不存在内部控制相关的重大缺陷”这样的逻辑结构概括。报告中只字未提制定工作方案、形成评价小组等评价程序。这显然违背了《企业内部控制基本规范——评价指引》中对内部控制评价程序的重视。内部控制评价程序不规范，其报告中得出的结论当然不具有可信度和说服力。而A公司这样的内部控制报告还并非个例。董美霞（2009）对2008年国内967家上市公司进行研究时，没有一家披露其内部控制评价程序。
（二）内部控制信息的评价依据各有不同
无论是上市公司本身，还是进行审计的注册会计师，在评价标准的选择上都有很大的随意性。根据规定，上市公司在披露相关内部控制评价信息时应当以《企业内部控制基本规范》以及本所指定的《上市公司内部控制指引》作为基本依据。但是，实际调查中发现，企业内部控制评价报告中的依据名目繁多：公司章程、《公司法》、《会计法》等。有的报告中甚至根本就没有提及依据的法律法规。这种随意的选择说明上市公司在披露信息时仅仅是“应付差事”、敷衍了事，并没有深入的了解内部控制评价标准。当然，我国相关法律法规在对评价标准的选择上还缺乏硬性规定也是重要原因之一。
（三）所披露内容具有极大的随意性和简单化特征
抛开以上两方面外在影响因素不谈，即使单纯就内部控制信息的披露内容来看，也存在很大问题。首先，相关规范和指引并没有对内部控制信息的披露形式和格式做出规定，从而导致不同公司的同种信息也缺乏可比性。这一点在年报中表现得尤为突出。公司一般是在年报的“公司治理结构”这一章集中叙述，而叙述的方式主要有3种：其一，以表格或类表格的形式介绍公司内部控制建设的总体方案、内部控制制度建立健全的工作计划及实施情况等7方面的信息；其二，从内部环境、控制活动、风险评估、信息与沟通、监督与评价等5要素出发，比较全面地描述内部控制制度体系；其三，简要介绍公司内部控制制度建立健全情况后对重点的控制活动予以描述，比如生产经营控制、财务管理控制、关联交易控制等。这些截然不同的披露形式使得投资者对这些信息进行研究时难免手忙脚乱，不具有可比性和相关性。
其次，上市公司在披露的内容上有规避缺陷的倾向，换句话说，企业在披露信息时缺乏主动性。在笔者调查的100家上市公司中，全部认为其内部控制是有效的，不存在重大缺陷。宋蔚蔚、王和友（2011）的研究表明，2010年度880家上市公司的内部控制自评估报告中，仅有1家指出其重要或重大缺陷，80%以上用“问题”代替“缺陷”一词，指出公司上存在一些需要改进的问题，但没有说明是哪一类缺陷。事实上，内部控制的缺陷认定采用原则认定的方式，这给公司本身留下了很大的选择余地。只有当公司出现的问题严重违背了内部控制的五大目标——报告目标、资源目标、合规目标、战略目标、经营目标时，才由公司自愿予以披露，一旦披露公司需要承担大量舆论质疑、股价大幅波动等高额的危机公关成本，但是不公开这些问题或者缺陷对公司来说却有益无害，这是由于《企业内部控制基本规范》及配套指引不具有法律效力，没有对违规行为做出相应惩处措施的规定。这样一来，基于这种不确定性，上市公司会与监管部门展开博弈，其得益矩阵见图1。
如图1所示，A、B分别表示上市公司和监管部门，a、b则分别表示它们的正常收益。监管部门进行监管的成本为c，上市公司内部控制出现问题被监管部门查出罚款为f，同时监管部门也要承担损失l。出现问题后上市公司隐瞒披露获得的异常收益为r，如实披露要承担的公关成本为p。就公司的角度来说，由于法律法规不够健全，公司出现问题后隐瞒披露很难受到监管部门的惩处，在这样一种预期下，虚假披露成为上市公司的必然选择。
三、对上市公司内部控制信息披露的建议
既然存在着这么多的问题，说明对于上市公司内部控制相关信息的披露机制上，还有很大的改进空间。对此，笔者有以下建议。
首先，完善相关法律法规，强化透露不实信息的问责机制。目前上市公司披露的内部控制信息之所以言之无物，严重缺乏“自曝其短”的能力，根本原因在于模棱两可的条文规定使得公司的披露成本太高，而隐瞒成本过低。鉴于此，政府有关部门应当加快修改内部控制相关法律法规，避免内部控制评价信息的披露流于形式。
其次，要想披露内容真正言之有物，不仅要依靠法律条文的严格规定，还要真正从源头上强化公司对于建立健全内部控制制度体系、公允披露相关信息的意识。比如，公司在公式化的介绍内部控制制度体系时，更应当紧紧围绕基于企业风险管理框架下的内部控制八要素以更加人性化、更生动的方式表达信息。换句话说，上市公司可以在披露内部控制信息时增加如企业文化、企业目标等个性化内容，给投资者留下更深刻的印象。再者，严格的评价程序也应当在报告中予以披露以增加公司的公信力。
最后，在内部控制信息披露的方式和平台这一问题上，还需要更多的讨论和改进。目前年报中披露的内部控制信息形式多样，不具有很强的可比性和相关性，因此，这些信息是使用纯文字描述，还是以表格形式更简练的表现出来，是随年度报告一起公布还是单独作为一项信息披露出来都值得讨论。
2008年《企业内部控制基本规范》正式施行以来，大大小小的问题依旧不少，我国企业的内部控制之路显然还有很长的一段路要走，但是相信在法律法规的不断完善下，我国公司治理结构终将完成由“人管人”到“制度管人的全面深入转变。
参考文献
[1]杨有红，汪薇.2006年沪市公司内部控制信息披露研究[J].会计研究，2008(03).
[2]董美霞.我国企业内部控制评价研究[M].山东大学出版社，2010.
[3]宋蔚蔚，王和友.内部控制信息披露现状分析与思考[J].商业会计，2011(22).
作者简介：郑圆（1992-），女，河南信阳人，本科，就职于西南财经大学会计学院，研究方向：财务管理。
（责任编辑：刘影）
作者 郑圆