一、国内关于内部控制缺陷的研究
我国学者和机构对内部控制的研究起步较晚，关于内部控制缺陷的研究主要在近几年才有所进展。1．内部控制缺陷的内涵与分类。杨有红等(2011)指出正确识别内部控制缺陷，要将其与内部控制局限性进行区分，可分三个步骤认定内部控制缺陷，并提出了缺陷级别认定的标准。［8］王惠芳(2011)认为应将内部控制缺陷分为财务报告内控缺陷和公司内控缺陷，其中财务报告内控缺陷分为账户核算类、账户核对类、原始凭证类、期末报告类和会计政策遵循类五类;公司内控缺陷分为控制环境类、风险评估类、信息与沟通类、控制活动类和内部监督类五类。［9］鲁清仿(2009)将存在补充和修订财务报告行为以及在研究当期发生注册会计师变更两种情况的上市公司划归为存在重大缺陷的公司。［10］单华军(2010)在对深市主板上市公司内部控制自我评价报告的研究过程中，将内部控制缺陷分为了11类。［11］南京大学会计与财务研究院课题组(2010)借鉴COSO对内部控制五个组成要素的理论框架，分别对应得出针对五类要素的五类内部控制重大缺陷，并将这五类缺陷又具体细化为28个小类。［12］2．内部控制缺陷披露的影响因素。田高良等(2010)对2008年深市494家上市公司披露的内部控制评价报告进行了研究，通过Logit回归验证了影响内部控制缺陷披露的因素，研究表明，发生审计师变更和财务报告重述的公司更可能披露内部控制缺陷。［13］田勇(2011)研究了深市445家上市公司数据，发现公司规模、盈利能力都会显著影响内部控制缺陷，并且呈负相关关系;正在进行或已经经历过重大资产重组的公司存在内部控制缺陷的可能性更大。他也对审计委员会规模、审计委员会中独立董事的比例和审计师变更进行了分析，但没有发现这三个因素对内部控制缺陷构成显著影响。［14］通过梳理文献笔者发现，已有的关于内部控制信息披露方面的研究成果主要是以某一年或者连续两年的披露状况作为研究对象，对于2008年《基本规范》实施至今五年多的情况目前还没有学者进行研究;同时，大部分研究集中于内部控制缺陷的识别以及内部控制缺陷披露的影响因素两方面，至于披露的内部控制缺陷信息是否可靠目前尚无学者涉猎。本文主要对《基本规范》实施后内部控制信息连续五年的披露状况进行研究。
二、内部控制信息披露现状
自2007年7月1日起深交所主板上市公司已按《深交所内控指引》①连续六年披露内部控制自评报告，本文选取了2008～2012年深市主板A股上市公司②，对其内部控制自评报告③、内部控制审计报告及内部控制缺陷信息的披露状况进行了详细的分析。
(一)内部控制自评报告披露现状
2008年深市主板A股475家上市公司中有460家披露了内部控制自评报告，达到96．84%，2009～2011年连续三年全部披露了内部控制自评报告，2012年也仅有5家上市公司没有披露内部控制自评报告，与前几年只有少数上市公司披露内部控制自评报告相比，我国上市公司内部控制自评报告披露情况已经得到大幅度的改善。深交所内部控制自评报告的披露状况明显较好，原因在于《深交所内控指引》要求上市公司披露内部控制自评报告，自2007年7月1日起施行;深交所2008～2012年颁布的《关于做好上市公司年度报告工作的通知》也要求所有上市公司单独披露年度内部控制自我评价报告，两项规则2008年都已经开始施行，所以从2008年起大部分公司都披露了内部控制自评报告。而《基本规范》从2009年7月1日起开始施行，其法律效力高于深交所颁布的业务规则，所以自2009年起更是达到了100%的披露，《深交所内控指引》和《基本规范》都得到了较好的执行。《深交所内控指引》指定公司内部审计部门定期检查内部控制缺陷，评估其执行的效率和效果，并明确要求上市公司在自评报告中必须说明存在的内部控制缺陷以及异常事项的改进措施。《基本规范》也规定由内部审计机构对内部控制的有效性进行监督检查。那么，深市上市公司内部控制缺陷的披露情况如何?经笔者统计，深市2008～2012年披露内部控制自评报告的公司中分别有269家、236家、200家、187家和270家公司披露了内部控制缺陷，其比例分别为58．48%、49．89%、42．28%、39．62%和58．06%。可以看出，2008～2011年披露内部控制缺陷的公司数量逐渐减少，而2012年又有所上升。这可能是《基本规范》配套指引自2012年在主板上市公司全面实施，上市公司要聘请会计师事务所对董事会出具的内部控制自评报告进行审计，激发了上市公司主动披露的动力，所以披露内部控制缺陷的公司数量激增。
(二)内部控制审计报告披露现状
1．2008年460家披露内部控制自评报告的公司中仅有42家聘请了会计师事务所对其进行审计，只占9．33%;2009年和2010年473家披露内部控制自评报告的公司中分别有87家和98家聘请了会计师事务所单独对内部控制进行审计，比2008年翻了一番，但相对数量还是不高，也仅占18．51%和20．85%，且两年差距不大，2010只比2009年多了11家而已。《基本规范》虽然要求上司公司对其内部控制有效性进行评价，出具年度内部控制自评报告，但对于聘请会计师事务所对其进行审计并没有强制要求，只是提到可以聘请。同样，虽然深交所的《内控指引》要求注册会计师就公司财务报告内部控制出具核实评价意见，然而其2008年的《年报工作通知》中并没有强制要求上市公司聘请会计师事务所单独对内部控制进行审计，只是鼓励公司聘请审计机构就公司财务报告内部控制情况出具鉴证报告。2009年和2010年的《通知》中也只是提到如果聘请了会计师事务所对内部控制的有效性进行审计，可以披露其出具的内部控制审计报告。也就是说，这三年聘请会计师事务所对内部控制进行审计是自愿的，并非强制性要求，因此上市公司的主动性不强，从而出现了上述情形。到了2011年，聘请会计师事务所对内部控制进行审计的公司数量有所上升，达到了138家。这是因为《审计指引》中明确要求注册会计师对上市公司内部控制的有效性进行审计并出具审计报告。然而《审计指引》自2011年1月1日起首先在68家境内外同时上市公司和216家内控试点公司施行，所以当年出具内部控制审计报告的公司数量较少。而到了2012年，465家披露内部控制自评报告的公司中有295家聘请了会计师事务所对其进行审计，超过了50%，较2011年有了大幅度的提升，原因在于《审计指引》自2012年1月1日起在沪深交易所主板上市公司全面实施，大部分公司都遵循了这一规定。虽然聘请会计师事务所对内部控制的有效性进行审计是强制性要求，然而2012年仍有36．56%的上市公司并没有这样做，可能是《审计指引》中指出注册会计师可以单独对内部控制进行审计，也可以将内部控制审计与财务报表审计整合进行(简称整合审计)，很多公司考虑到单独进行审计成本较高，依据成本效益原则，选择了整合审计。为了更直观地体现深市内部控制自评报告和审计报告的披露情况，笔者将两者近五年的变化趋势绘制在同一张图上，如图1所示。从图1中可以看出，五年来，深市主板上市公司较好地执行了《基本规范》及配套指引和《深交所内控指引》，几乎100%披露了内部控制自评报告。而2008～2011年，沪、深交易所A股上市公司中披露内部控制自评报告的公司比例分别为67．17%、62．85%、76．86%和78．08%。［15］根据表1，2008～2011年深市主板A股上市公司披露内部控制自评报告的比例分别为96．84%、100%、100%和100%，均高于整体情况。2008～2011年深市主板A股披露内部控制自评报告的上市公司中依次有9．33%、18．51%、20．85%和29．36%的公司披露了会计师事务所出具的内部控制审计报告，呈逐年上升趋势，且近两年来有了大幅度的提升，这主要得益于《审计指引》的颁布。然而，从图1中可以明显看出，出具审计报告的比例远低于披露自评报告的比例，同时低于沪深两市A股上市公司的19．73%、35．56%、41．57%和40．21%。［15］可见，深交所还需继续加大力度，强制要求上市公司执行《基本规范》及其配套指引，聘请会计师事务所单独对内部控制的有效性进行审计并出具审计报告。2．内部控制审计意见出具情况。图1显示出深市聘请会计师事务所对内部控制有效性进行审计的上市公司数量呈逐年上升趋势。那么，会计师事务所出具的审计报告是否可信呢?如表3所示，2008年会计师事务所出具的内部控制审计报告均为标准无保留意见，2009～2012年聘请会计师事务所对内部控制进行审计的上市公司分别有3、1、2和6家被出具了非标准审计意见，分别占3．45%、1．02%、1．45%和2．03%，无论是绝对数量还是相对数量都少之又少。而这其中又分别有2、1、2、5家被出具的是带强调事项段的无保留意见，即被出具内部控制审计报告上市公司中财务报告内部控制获得了其所聘请的注册会计师无保留意见的比例接近100%。针对这一现状，笔者提出质疑，上市公司财务报告内部控制制度是否真如注册会计师所描述的那般有效?针对这一疑问，笔者从深圳证券交易所网站统计到2009～2012年分别有48、59、55和43家上市公司对当年的财务报告进行了重述，重述率分别达10．15%、12．47%、11．65%和9．15%。其中，2011年被注册会计师出具无保留意见内部控制审计报告的136家上市公司中有11家上市公司对财务报告进行了重述，重述率高达8．09%。针对这一统计结果可知，我国还有相当一部分上市公司的财务报告内部控制存在缺陷，即使是被注册会计师出具标准意见的上市公司财务报告内部控制也可能存在着某种程度的缺陷。
三、结论与建议
本文以2008～2012年深市主板A股上市公司为研究样本，调查分析了我国上市公司内部控制自评报告、内部控制审计报告的披露情况。调查结果显示，深市主板上市公司几乎全部披露了内部控制自评报告，披露情况较好;同时，聘请会计师事务所对内部控制进行审计的公司数量也逐渐增加，说明配套指引发挥了作用。但也存在一定的问题，如部分上市公司披露的自我评价报告虽然在形式上与基本规范和评价指引相适应，但内容比较空洞;部分上市公司虽然对其内部控制缺陷进行了正面描述，但没有按照评价指引的要求对内部控制缺陷严重程度进行区分，且不能与企业自身实际情况相结合，对缺陷的描述也仅仅停留在简单的表层描述上，缺乏对缺陷产生原因的分析和解决办法的阐述。另外，根据前述内容，会计师事务所出具的审计报告的可信度也让人有所怀疑。针对这一现象，笔者建议:
(一)加大对内部控制缺陷披露行为的监管力度
内部控制缺陷信息的披露不同于其他内部控制信息的披露，其对上市公司而言是“坏消息”的披露，而这也决定了上市公司披露内部控制缺陷的积极性不高，披露内容空洞，大都流于形式。对于上市公司不按照相关规定披露内部控制缺陷的情况，包括不披露内部控制缺陷信息、隐瞒内部控制缺陷的真实情况、披露虚假信息等，监管部门应完善惩罚制度，加大对违规披露的上市公司的处罚，从而增加其违规成本，促使上市公司不断完善自身内部控制，减少内部控制缺陷，更好地实现其长远发展目标。
(二)完善公司内部监督机制的建设
要从根本上改善我国上市公司内部控制制度建设情况，完善的内部监督机制是关键。首先，增强审计委员会的独立性。审计委员会的独立性主要通过独立董事来体现，因此，要提高审计委员会的独立性，必须保证独立董事能够保持应有的客观性。其次，充分发挥监事会的监督作用。我国上市公司均按照规定设立了由股东代表及职工代表构成的监事会，但由于种种原因，监事会难以发挥应有的监督作用。这可能源于我国法律仅赋予了监事会有限的监督权力，其并不能制约董事会的行为。因此，上市公司应该完善监事会的职权，使其职权具有更强的可操作性。
作者：王琴 黄丹 杨爱伦 单位：东北师范大学商学院 华为技术有限公司账务管理部 吉林大学中日联谊医院资产管理部
