《上市公司内部控制审计资料.doc》由会员分享，可在线阅读，更多相关《上市公司内部控制审计资料.doc（24页珍藏版）》请在金锄头文库上搜索。
1、上市公司内部控制审计:问题与改进来自2007年年报的证据袁敏【摘要】本文针对上市公司2007年度年报中披露的内部控制审计情况进行了分析，发现实务中存在意见名称不一致、意见表述方式有差别、审核依据不统一等诸多问题。在此基础上笔者提出应明确内部控制审计业务的性质、尽快推出内部控制规范应用指南和内部控制审计准则等相关建议。【关键词】上市公司 内部控制 财务报告 审计一、研究背景内部控制信息披露的要求由来已久。在美国，早在1977年颁布的反国外贿赂法案（the Foreign Corrupt Practices Act of 1977）就对内部控制的建立和维护提出了明确的要求。而内部控制审计则是在20
2、02年会计改革与投资者保护法案(SOX法案)颁布实施后才被提升到法制的高度。SOX法案404条款除了要求公众公司在年报中披露管理层对财务报告内部控制的评价结论外，还要求独立审计师对管理层提交的财务报告内部控制进行鉴证。法案实施以来，为提高会计信息的质量、重建投资者信心带来了显著成效，并日益受到世界各国的重视和关注(朱荣恩等，2003;周勤业等，2005)。在国际资本市场上内部控制信息披露也非新鲜事物。证监会国际组织(IOSCO)在2006年12月份发布的问卷报告显示，在43个接受问卷的证券监管部门中，有38个成员存在某种形式的特定内部控制要求，这些要求存在于法律、法规、上市规则和/或公司治理准
3、则中。有27个国家要求某种形式的公开报告，其中17个国家要求报告中包括有关公司内部控制有效性的声明，34个国家要求审计师向公司的管理层或治理层报告内部控制的缺陷(IOSCO，2006)。我国自20世纪80年代就对内部控制进行了理论探索，但近年来监管部门才对内部控制建立健全和信息披露提出明确要求，而内部控制的审核评价则更多是自愿性披露的内容。证监会、上交所、深交所均在2007年上市公司年度报告工作的通知中，明确要求上市公司在2007年年报中全面披露公司内部控制的建立健全情况，并鼓励上市公司在披露2007年年报的同时披露董事会对内部控制的自我评估报告和审计机构对自我评估报告的核实评价意见；2008
4、年6月颁布的内部控制基本规范进一步要求执行该规范的上市公司可聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计，这意味着内部控制的有效性审计将作为一种常态出现在上市公司的年报中。本文拟对2007年度年报中自愿披露内部控制审计情况的上市公司进行分析，以了解我国上市公司目前执行内部控制审核评价的现状，并针对揭示的问题提出建议以促进我国上市公司内部控制审计工作的改善。二、文献综述(一)国外内部控制信息披露及审计研究成果在SOX法案出台之前，国外对内部控制的研究文献相对较少，较具典型代表的理论成果都来自一些职业团体的理论框架或监管要求(如COSO报告、Turnbull报告等)。尽管实践
5、中诸如授权批准、职责分工等控制活动广泛存在于企业的经营管理过程中，但因缺乏强制性要求和明确的指南，很多企业并没有实际运用上述成果，上市公司内部控制信息披露内容有限，对内部控制进行的实证研究相对匮乏。2002年SOX法案出台之后，伴随着财务报告内部控制的强制性信息披露和鉴证要求的推广，上市公司对内部控制尤其是财务报告内部控制的信息披露日益增多，为学术界开展内控信息披露的研究提供了丰富的素材(杨玉凤，2007)。由于针对财务报告内部控制的审计意见大都根据上市公司披露的内控缺陷作出的，因此绝大部分的研究便将上市公司年报中披露的内控缺陷作为研究对象，典型的研究成果包括影响内控信息披露的因素、内控缺陷的
6、表现形式及公司特征等，如Leone(2007)对那些在年报中披露了内部控制缺陷的上市公司的研究发现，影响内控信息披露的因素包括组织结构的复杂性、存在重要的组织变化以及公司在内控系统方面的投资；而Ge和Mcvay(2005)则认为上市公司披露的实质性缺陷和公司经营的复杂性有关，但和公司规模、盈利能力的关系不大；Doyle等(2005)证实那些规模小、成立时间短、业务复杂、成长速度快、财务状况不佳的公司更有可能存在缺陷。还有研究对披露内控缺陷的经济后果进行了剖析，如Chan等(2005)发现那些按照SOX法案404条款披露内部控制实质性缺陷的公司相对于其他公司有更多的盈余质量管理和更低的投资回报。
7、也有一些专业出版物对上市公司财务报告内部控制审计的整体情况进行了描述性统计，例如联合出版公司(the Associated Press，2004)的研究发现，财政年度在2004年11月15日之后结束的、且在2005年l月28日至2005年5月4日之间提供年度报告的美国上市公司中，有353家(占上市公司总数的11.7%)披露了否定意见的内部控制鉴证意见，在列示的内控弱点中，财务报告结账程序、交易复核、公认会计原则运用、员工胜任能力及职责分离等占38%，此外与会计准则技术问题有关的控制弱点也很多，包含所得税、租赁会计、员工福利/养老金会计等等。另一份由美国的公司董事联合会(National Ass
8、ociation of Corporate Directors，2006)公布的统计资料显示，在2004年11月16日一2005年11月15日之间美国共有3900家公司报告了财务报告内部控制的有效性，其中16%的公司得出的结论是“财务报告内部控制无效”，而报告的重大控制弱点达到1500个，内容几乎覆盖所有的控制相关领域；在2005年11月15日一2006年4月25日之间，有3000家公司报告了他们的财务报告内部控制，有7%的公司认为财务报告内部控制无效，相关的重大控制弱点有400个。(二)国内内部控制信息披露及审计研究2006年以前，我国监管部门对内部控制审计缺乏强制性的规定，因此上市公司对内
9、部控制的评价意见披露较少，大量的研究集中在内部控制信息披露的分析上。早期对内部控制信息披露的研究主要集中在个案研究或特殊样本研究，如对单个公司的分析来建议上市公司建立健全内控体系(吴水澎、陈汉文和邵贤弟，2000；饶盛华，2001)；针对ST公司内部控制信息披露的统计分析来建议对ST公司强制披露标准的内部控制报告，并需要经过注册会计师的外部审核(张立民、钱华和黎敏仪，2003)；针对上市银行内控信息的披露现状，提出完善上市银行内部控制信息披露内容和格式的建议(李明辉和王学军，2004；黄秋敏，2008)。少数研究涉及到内部控制审计，也主要是针对内部控制信息披露中存在的问题提出审计建议，如张刚和
10、周云鹏(2004)提出为满足投资者需求，减少信息不对称风险，企业应委托注册会计师出具针对其内部控制整体框架的期间性内部控制审核报告;陈关亭和张少华(2003)提出应强制要求所有上市公司在年报中披露内部控制报告，并要求注册会计师对该报告发表审核意见。随着2006年上海证券交易所上市公司内部控制指引)、深圳证券交易所上市公司内部控制指引以及证监会关于做好上市公司年度报告工作的通知要求，有研究对上市公司的内部控制信息披露进行了描述性的统计，如杨有红和汪薇(2008)认为2006年沪市上市公司内部控制信息披露存在自愿性披露动机不足、公司的内部控制自我评估和会计师事务所的核实评价意见缺少统一标准等问题。
11、上述研究为我们了解上市公司内部控制信息披露现状提供了不同视角，但因缺乏足够的内部控制审计样本，专门针对上市公司内部控制审计情况的分析研究还不多见。三、我国上市公司内部控制审计：来自2007年年报的证据(一)内部控制审计的制度背景2006年以来，我国上市公司内部控制审计的制度背景发生了很大的变化，这主要体现在以下两个方面：1.内部控制审核的法定要求2006年5月发布的首次公开发行股票并上市管理办法第二十九条明确指出“发行人的内部控制在所有重大方面是有效的，并由注册会计师出具了无保留结论的内部控制鉴证报告”；同期颁布实施的上市公司证券发行管理办法第六条也明确指出：“上市公司的组织机构健全、运行良好
12、，符合下列规定：(二)公司内部控制制度健全，能够有效保证公司运行的效率、合法合规性和财务报告的可靠性;内部控制制度的完整性、合理性、有效性不存在重大缺陷”，与之配套的公开发行证券的公司信息披露内容与格式准则第10号上市公司公开发行证券申请文件附录列示了6一2“会计师事务所关于发行人内部控制制度的鉴证报告”，上述规定表明上市公司在首次公开发行股票或发行可分离交易转换债券等证券的过程中，提供内部控制鉴证报告己经成为法定要求。2.内部控制审核的自愿性披露除了发行证券过程中需要提供内部控制鉴证报告外，监管部门还通过年报披露等途径鼓励上市公司自愿披露内部控制的核实评价意见，例如证监会在证监公司字2007
13、235号文关于做好上市公司2007年年度报告及相关工作的通知的第三条“建立健全内部控制制度，强化对内部控制的检查和披露”中，明确提出“鼓励央企控股、金融类和其他有条件的上市公司在披露2007年年报的同时披露董事会对公司内部控制的自我评估报告和审计机构对自我评估报告的核实评价意见”。上交所在2008年1月2日的关于做好上市公司2007年年度报告工作的通知中除了要求“上市公司应当根据中国证监会和本所相关要求，结合公司内部控制制度的建设情况，在2007年年报全文的重要事项部分，说明公司内部控制制度、建立健全情况”之外，鼓励“有条件的上市公司同时披露董事会对公司内部控制的自我评估报告和审计机构对自我评
14、估报告的核实评价意见”；深交所于2007年12月28日发布的关于做好上市公司2007年年度报告工作的通知中更是明确要求“公司应当按照本所上市公司内部控制指引的要求，对公司内部控制的有效性进行审议评估，作出内部控制自我评价同时鼓励有条件的公司聘请审计机构就公司财务报告内部控制情况作出评价意见”。上述通知表明，上市公司自愿性地在年报中披露“内部控制自我评估和审计机构的核实评价”将受到鼓励。(二)数据来源本文以自愿披露内部控制审计意见的上市公司为研究对象，选取截至2008年4月30日在巨潮资讯网上公布年报的1328家上市公司作为样本总体，剔除报表无法阅读的公司()，实际可观测值为1327家公司，其中
15、深市480家、沪市847家。而在年报中披露会计师事务所对内部控制的审核意见或声称内控自我评估报告经过会计师事务所发表意见的上市公司有175家(所有有关内部控制的信息均由笔者手工整理)。(三)披露内部控制审核意见的上市公司概况笔者对披露内部控制审核意见的上市公司按证监会的行业分类进行了整理，结果发现在175家披露内控审核意见的上市公司中，制造业的披露家数最多，达91家；而传播和文化产业的披露家数最少，为0家；从披露内控审核意见的上市公司占所处行业上市公司总数的比例看，金融保险业表现突出，披露年报的28家上市公司中有10家(35.71%)同时披露了注册会计师对管理层内控评价报告的审计意见，具体情况
16、见表1。(四)内部控制审计意见中存在的问题由于本年度是否披露会计师事务所对内部控制自我评价报告的意见是上市公司自愿的行为，因此两市仅有175家上市公司披露了审计师对管理层自我评价报告的审核意见，因部分上市公司虽声称披露了审核意见，但无法找到具体的审核意见书，或者部分上市公司仅在年报的内部控制自我评估报告中简要说明了评估的意见，或仅仅声明“会计师事务所未表示异议”，因此我们对上述175家公司进行了筛选，实际得到样本为156家。从这156家审核意见披露相对详细的上市公司披露的格式和内容上看，各上市公司在下列方面存在差异：1.审核意见的名称不一致证监会和交易所鼓励上市公司披露“内部控制核实评价意见”，我们粗略地统计了一下意见的名称，发现实践中上市公司披露的意见名称有9种之多，其中最多的是采用“内部控制审核意见”来发表对内部控制自我评估报告的意见(占42.95%)，还有部分公司采用“鉴证报告”、“
