《沪市上市公司2007年内部控制报告分析》由会员分享，可在线阅读，更多相关《沪市上市公司2007年内部控制报告分析（13页珍藏版）》请在金锄头文库上搜索。
1、沪市上市公司 2007 年内部控制报告分析2008 年 12 月 01 日 来源：上海证券报 作者：上海证券交易所 周勤业 复旦大学管理学院 吴益兵上海证券交易所 周勤业 复旦大学管理学院 吴益兵 在全球金融危机愈演愈烈的背景下，上市公司面对的经营和投资风险日益加大，近期不断有公司与金融机构因巨额亏损而破产倒闭事件发生，例如：雷曼兄弟和贝尔斯登次贷投资巨亏破产、美国最大的保险公司 AIG 深陷次贷泥潭、房利美和房地美两大房贷巨头被美国政府接管、美国三大汽车商陷入经营困境、我国中信泰富等公司衍生金融产品投资巨亏等事件。众多的舞弊和经营失败在极大地打击投资者对资本市场的信心的同时，也让市场和监管部
2、门意识到公司内部控制制度有效性的缺失将会带来巨大的灾难和损失，引发了市场和监管部门对公司内部控制制度的反思，从而推动了我国一系列公司内部控制监管制度的出台，使我国上市公司内部控制监管进入了一个新的发展阶段。2007 年是沪市上市公司执行上海证券交易所上市公司内部控制指引的第一年，这一指引有力地推动了沪市上市公司内部控制制度的建设和建立评价报告制度的进程。同时，由于我国上市公司内部控制基础较为薄弱和准备时间较短等原因，上市公司在执行上市公司内部控制指引并出具内部控制报告中出现了不少问题。本文通过对沪市全部上市公司2007 年度内部控制报告进行统计分析，较为详尽地分析了沪市上市公司在 2007 年
3、度内部控制报告中的问题和难点，以期为资本市场内部控制监管和公司改善内部控制建设和评价工作提供一些参考性的建议。一、上市公司内部控制评价报告概述(一)上市公司内部控制报告披露比例偏低2007 年作为沪市上市公司执行上海证券交易所上市公司内部控制制度指引的第一年，上市公司在年报中披露内部控制报告的比例偏低。沪市共有 146 家上市公司出具了公司内部控制报告，占沪市披露 2007 年年度报告上市公司总数的 17%；同时，在出具公司内部控制报告的 146 家公司中有 139 家公司披露了会计师事务所对公司内控报告的审核意见，占沪市披露 2007 年年度报告上市公司总数的 16%，详见下表 1-1。公司
4、在披露内部控制报告的同时披露会计师事务所相关审核意见的比例高达 95%的原因在于，上海证券交易所在关于做好 2007 年年度报告工作的通知中要求，上市公司披露公司内部控制报告的同时需披露会计师事务所对公司内部控制报告的审核意见。我们认为，从总体上看上市公司披露内部控制报告及其审核意见的数量较少的主要原因在于，我国大部分上市公司既有的内部控制基础较为薄弱，内部控制建设才刚刚起步，在如何进行公司内部控制建设和评价报告方面缺乏系统的辅导和培训。表 1-1：沪市上市公司内部控制报告概况表统计数据发现，同时披露公司内部控制报告和内部控制报告审核意见的 139 家公司总体上资质较好，集中在中央企业，存在规
5、模较大、经营业绩较好和公司治理水平较高的特征。1) 139 家公司中，47 家公司为上证 180 的公司，15 家公司为上证 50 的公司，9 家公司为上证红利指数公司，公司平均总资产高达 1497 亿元；2) 139 家公司中，107 家公司提出利润分配方案，139 家公司净利润总额达 2987 亿元，仅3 家公司 2007 年发生亏损，算术平均净资产收益率为 12.83%，算术平均每股收益为 0.57元，算术平均扣除非经常性损益后每股收益为 0.49 元，高于沪市公司业绩的平均水平。3) 139 家公司中超过一半的公司（70 家）属于“上证公司治理板块”成员，占上证公司治理板块公司总数的
6、35%，如此高的比例说明这些公司的内部控制得到了社会各界的认可。4) 139 家公司中有 50 家公司属于中央企业，其中 43 家属于中央国资委控制企业(占央企总数的 29%),4 家公司属于财政部控制企业(占财政部控制企业的 33%)，3 家属于其他部委控制企业(占其他部委控制企业的 12%)。(二)公司内部控制责任主体不清晰从公司内部控制责任主体认定上来看，披露内部控制报告的公司对于公司内部控制责任主体的认定不清晰，不同公司间存在较大差异。披露内部控制报告的公司中，72 家公司(49%)将公司内部控制的责任主体认定为公司，66 家公司(45%)认定为公司董事会，3 家公司(2%)认定为管理
7、层，1 家公司(1%)认定为由董事会及管理层共同负责，还有 4 家公司(3%)在内部控制报告中没有明确具体的内部控制责任人，详见下图 1-1：图 1-2：公司内部控制责任主体分布图将公司作为内部控制的责任主体的公司占 49%，同时，未提及公司内部控制责任主体的公司占 3%。这两种情况下公司内部控制的责任主体并没有落实具体职位和人员，与五部委发布的企业内部控制基本规范及上海证券交易所上市公司内部控制制度指引要求不相符，不利于公司内部控制制度的建设和内部控制评价报告的出具。(三)公司内部控制评价标准不统一内部控制评价标准是公司确认关键控制点上是否存在控制缺陷的判断依据，是公司进行内部控制评价的一个
8、基础。选择不同的内部控制评价标准将对公司内部控制评价的结论产生决定性的影响。在 2007 年年报披露期间内，上市公司内部控制的评价标准还较为不统一，缺乏一套统一的评价标准。五部委发布的企业内部控制基本规范及其配套的应用指引和评价指引的适时发布和修订，将为我国公司内部控制评价标准的确立提供较为科学的指导。共有 99 家公司(68%)的内部控制报告中提到了公司内部控制评价的标准；在提到公司内部控制评价标准的上市公司中，有 16 家公司(11%)的评价标准是内部会计控制规范基本规范(试行)，26 家公司(18%)的评价标准是上海证券交易所上市公司内部控制制度指引，14 家公司(10%)的评价标准是结
9、合内部会计控制规范- 基本规范(试行)标准和上海证券交易所上市公司内部控制制度指引，4 家金融业公司(3%)的评价标准是商业银行内部控制指引；38 家公司(26%)的评价标准是，如公司法、证券法、上市公司治理准则等其他相关的法律法规，详见下图 1-2：图 1-2：公司内控评价标准分布图二、上市公司内部控制评价报告所披露信息分析(一)内部控制制度还处于建设中内部控制制度对于我国企业而言是一个比较新的概念。大部分企业内部控制制度的建设和评价都是基于内部会计控制规范基本规范（试行）及上海证券交易所上市公司内部控制制度指引的要求进行的，因而，大部分公司的内部控制制度还处于初始建设阶段，尚不完善。如何有
10、效地进行内部控制制度的建设和编制内部控制评价报告，将成为了我国上市公司近期的制度建设重心。披露内部控制报告的 146 家公司中，有 124 家公司在内部控制报告中只说明本公司建立了内部控制制度，占披露内部控制报告公司总数的 85%；只有 22 家公司的内部控制报告明确说明本公司建立了完善的内部控制制度，占披露内部控制报告公司总数的 15%；详见下图2-1：图 2-1：公司内部控制制度建立情况图(二)内部控制范围泛化公司内部控制的范围一直是上市公司内部控制评价报告制度的争议点。与美国 SOX 法案只要求上市公司对公司财务报告内部控制进行评价不同，我国大部分上市公司内部控制报告披露出来的内部控制范
11、围全面涵盖了财务报告、法规遵循和营运效率三重目标，披露范围较为泛化。146 家公司中，111 家公司(77%)的企业内部控制报告的内控内容全面涵盖了财务报告、法规遵循及营运效率三个方面，21 家公司(14%)的报告中的内控内容涉及财务报告和营运效率，7 家公司的报告中的内控范围仅涉及财务报告、营运效率及法规遵循部分内容，还有7 家公司的内控报告没提及企业内部控制范围，详见下图 2-2：图 2-2：内部控制涵盖范围图(三)内部控制制度有效性评价偏乐观根据统计数据分析，129 家公司(88%)在内部控制报告中认为内控在整体上是有效的，16 家公司(11%)的内控报告中未说明内控是否有效，只有一家公
12、司认为公司内部控制还未得到有效实施，这与早期的调研结果(潘秀丽，2000)相差甚远，同时也难以解释近年来我国上市公司违规和经营失败事件屡有发生的现实，详见下图 2-3：图 2-3：公司内部控制有效性评价图上述情况在一定程度上说明了沪市上市公司内部控制报告制度的执行还处于较为初级的阶段，公司对于内部控制的认识不够深入，内部控制报告制度比较形式化。主管部门有必要进一步加强对上市公司内部控制的监管，以充分发挥公司内部控制在保护中小投资者利益方面的作用。(四)内部控制缺陷披露较少内部控制重大缺陷是上市公司内部控制报告的核心内容，它一方面为投资者传递了公司内部控制中存在的问题，另一方面也督促公司管理层对
13、内部控制重大缺陷进行持续性更正和改进，进而更好地开展业务并为股东创造价值。146 家公司的内部控制报告中内部控制缺陷披露得较少，只有 24 家(16%)的公司提到在内部控制中存在重大缺陷，这 24 家中有 21 家在提到存在缺陷的同时给出了内部控制缺陷的改进措施，详见下图 2-4：图 2-4：公司内部控制重大缺陷图通过对所有上市公司内部控制报告进行整理，可以将沪市上市公司披露的主要内部控制缺陷归纳为如下十类：1) 公司内部控制制度不完善；2) 公司内部控制制度设计不合理，难以执行；3) 公司内部控制制度与业务开展难以有效融合；4) 公司管理层与员工内部控制意识薄弱；5) 公司对于内部控制制度的
14、认识不足，缺少内部控制的相关培训和辅导；6) 公司对外投资无法得到有效控制；7) 集团公司的分支机构难以在业务、财务和资产上得到有效的控制；8) 不相容职责未充分分离；9) 内部审核人员配置不足、工作广度和深度不够，无法有效的执行监督职 能；10) 衍生金融产品投资的风险管理能力较差。(五)内部控制监督部门还在建设中从内部控制监督部门建设的分布情况来看，146 家公司的内部控制监督部门还处于建设中，超过一半的公司还未披露公司内部控制监督部门的建设情况，同时还有少数公司没有建立内部控制监督部门。共有 85 家公司(56%)未在报告中说明是否建立了内部控制监督部门,只有 61 家公司(42%)报告
15、说明建立了内部控制监督部门，同时有 3 家公司(2%)说明还未建立内部控制监督部门。已经披露建立内部控制监督部门的公司大部分将该部门职能集中于内部审计部门(38 家，26%)；详见下图 2-5：图 2-5：具体内部控制监督部门分布图内部审计部门成为大部分公司内部控制监督的执行部门，很多是基于内部审计部门对公司内部控制业务相对比较熟悉考虑，一定程度上也说明上市公司对于内部控制的理解可能还停留在内部财务审计领域上，对于内部控制的认识还不全面。(六)定期向董事会报告制度还未普及定期向董事会提交内部控制评价报告，是内部控制制度有效实施的重要制度保证，也是公司治理中信息沟通的重要环节，是保证公司内部控制
16、缺陷得以有效及时改进的重要制度安排。然而，大部分的上市公司还未形成定期向董事会提交内部控制评价报告的制度，这是上市公司内部控制监管需要重点关注的问题。披露内部控制报告的 146 家公司，只有 39 家公司(27%)报告提到会定期向董事会提交内部控制报告，4 家公司(3%)提到不定期提交内部控制报告，其他的 103 家公司(70%)均未说明监督部门是否定期向董事会提交监督报告，详见下图 2-6：图 2-6：是否定期向董事会提交内部控制评价报告图三、内部控制报告的审核意见分析(一)内部控制报告审核意见类型单一独立第三方对于上市公司内部控制报告的审核是保证上市公司内部控制报告制度有效执行的重要条件之一。在年报通知中，上海证券交易所要求上市公司在披露公司内部控制评价报告的同时应披露外部中介机构的审核意见。139 家公司披露的对公司内部控制报告的核实评价意见由 45 家会计师事务所出具，且都是无保留意见，审计意见类型单一。为公司进行内部控制报告审核和财务审计的事务所基本一致，有 13
