中國上市公司內部控制指數(2009):制定,分析與評價

一、引言

《薩班斯-奧克斯利法案》（Sarbanes-OxleyAct2002USA）的頒布引發了全球對內部控制與公司治理的管制熱潮。我國中央五部委于2008年頒布了《企業內部控制基本規范》（以下簡稱“《基本規范》”），2010年頒布了《配套指引》，以加強和規范企業內部控制。上海證券交易和深圳證券交易所于2006年分別制定了《上海證券交易所上市公司內部控制指引》和《深圳證券交易所上市公司內部控制指引》并要求上市公司披露內部控制自我評價報告及注冊會計核實評價意見。隨著一系列內控規范性文件相繼出臺，企業內部控制強制披露成為趨勢，內部控制相關議題的研究在我國蓬勃興起。

不過，目前中國1671家上市公司的內部控制水平究竟如何？什么樣的內部控制才是最佳實踐？好的內部控制應當如何體現？企業應當如何建立完善自身的內部控制建設？目前尚無一致看法。這些問題的核心在于建立一套完整系統的內部控制評價體系。我們認為，建立一套適應我國國情的內部控制評價體系，意義在于：觀察我國上市公司內部控制現狀，助益上市公司管控水平的整體評價與利益相關者的投資及信貸決策；便于政府監管，促進資本市場的完善與發展；指導企業完善內部控制措施，倡導良好內部控制文化；為學界提供內部控制實證數據，提升內部控制研究水平。

二、現有內部控制評價方法

目前研究中使用的內部控制評價方法主要分為三種形式：一是直接根據披露的內部控制評價信息作為指標，如管理層披露的內部控制缺陷、審計師的審核意見等，現有研究大多采用這種方法。二是通過調查問卷的方式來評價內部控制質量。三是通過構造指數來評價內部控制質量。目前看來，現有的內部控制評價體系均有不完善之處，這制約了內部控制理論與實踐的發展，因此設計科學合理的內控控制評價體系為當務之急。

三、內部控制評價體系的構建

（一）內部控制評價體系的構建原則

內部控制評價系統的建立是一個系統工程，根據我國上市公司內部控制實際情況，構建內部控制評價系統需堅持以下原則：1、全面性。內部控制評價系統既要全面反映被測評對象的總體內部控制狀況，又要具體反映內部環境、風險評估、控制活動、信息與溝通和內部監督等具體內控要素的基本情況；既要反映企業的內部控制現狀，也要反映企業內部控制變化趨勢。2、系統性。內部控制評價系統的構建應當從整體上考慮指標之間的相互關系，使內部控制指數指標既不重復、也不遺漏；指數指標應當遵從一定的邏輯關系，對指標進行合理的分層設計。3、重要性。內部控制評價系統應當在全面評價的基礎上，關注被測評公司的重要業務單位、重大業務事項和高風險領域。4、可比性。內部控制評價系統既要全面反映上市公司的內部控制情況，又要適合不同上市公司之間的對比；既要考慮到指標設計上的可比性，也要考慮到指標計算的可比性。5、定性與定量相結合。內部控制評價系統中，涉及到企業的內部控制運行情況的各個方面，既要考慮到內部控制評價的主觀性，又要使內部控制評價具有客觀性，評價系統構建時要將定性與定量兩類指標充分結合，最終形成量化指標。

（二）內部控制評價體系的邏輯框架

目前世界上最為權威的內部控制標準體系是《內部控制—整合框架》（InternalControlIntegratedFramework，COSO1992），其中提出內部控制包括5個相互關聯的構成要素，即控制環境、風險評估、控制活動、信息與溝通和監控。五要素論優化了內部控制的結構與體系，整合了對內部控制的不同理解，構造了一個共識性的概念平臺和框架，因此得到了SEC和PCAOB及國際機構等的廣泛認可和應用。2008年5月22日及2010年4月26日財政部、證監會、審計署、銀監會、保監會等五部委聯合發布的《基本規范》及《配套指引》借鑒了COSO的內部控制五要素框架，并結合了中國國情進行了創新，提出了內部控制由內部環境、風險評估、控制活動、信息與溝通及內部監督構成。我們采用《基本規范》中確立的內部控制五要素作為整個內部控制評價系統的邏輯框架。

（三）內部控制評價體系的指標設計

根據內部控制評價系統設計原則，結合我國上市公司內部控制基本情況，我們以《基本規范》及其《配套指引》為指標設計主要依據，綜合考慮《深圳證券交易所上市公司內部控制指引》、《上海證券交易所上市公司內部控制制度指引》、《上市公司治理準則》、《中華人民共和國公司法》、《中國人民共和國證券法》及《上市公司章程指引》等法律法規及相應文件，同時借鑒國內外已有的內部控制評價研究，確定了內部環境、風險評估、控制活動、信息與溝通、內部監督等5個一級評價指標，每一評價指標又由一系列細分的評價指標構成。最終我們的評價體系由四級指標構成，其中一級指標5個、二級指標24個、三級指標43個，四級指標144個。對于5項一級指標，內部環境包含公司治理、內部審計、人力資源、道德修養及勝任能力、社會責任、企業文化及法制觀念等6個二級指標，二級指標進一步細化為14個三級指標和52個四級指標；風險評估包含目標設定、風險識別、風險分析和風險應對等4個二級指標，該二級指標進一步細化為7個三級指標和24個四級指標。控制活動包含不相容職責分離及授權審批控制、會計控制、財產安全控制、預算控制、運行分析控制、績效控制、突發事件控制等7個二級指標，該二級指標對應7個三級指標，進一步細化為18個四級指標；信息與溝通包含信息收集、信息溝通（內部溝通、外部溝通、信息完整性、準確性和及時性）、信息系統、反舞弊等4個二級指標，該二級指標進一步細化為9個三級指標和26個四級指標；內部監督包含內部監督檢查、內控缺陷、內部控制信息披露行為等3個二級指標，該指標進一步細化為6個三級指標和24個四級指標。

四、我國上市公司內部控制總體狀況評價

（一）、樣本來源及選取

為了全面評價公司內部控制水平，并保證數據的完整性，本研究主要通過手工收集的方式，收集截止于2009年4月30日的上市公司公開資料，包括公司年度報告、內部控制自我評價報告、社會責任報告等定期公告、臨時公告、公司的規章制度以及處罰和重大事件等。依據的資料主要來源于交易所網站、巨潮資訊網、中國證監會等監管部門網站以及公司主頁。對于手工難以找到的數據，輔助查看WIND數據庫、CSMAR數據庫和CCER數據庫。課題組最終收集了1671家樣本公司數據。

（二）、我國上市公司內部控制總體狀況

表1為內部控制評價指數的總體情況分布表，描述了我國上市公司內部控制的總體狀況。內部控制評價指數（■）表明，分別只有7家公司達到了III級水平、28家公司達到了IV級水平，而處于VI級水平的公司有1493家，占總樣本的89.35%。總樣本的內部控制評價指數平均數（中位數）也只有38.58分（38.49分），仍處于最低一級水平。這均說明，我國上市公司現今的內部控制仍比較薄弱。

從內部控制結構五要素進一步分析，控制活動和信息與溝通兩個處于V級水平，相對其他三個要素質量高。上市公司風險評估最為薄弱，該指數平均值只有18.61分，這反映出我國公司整體的風險評估、防范意識還非常薄弱。內部環境和內部監督水平也較低，而內部環境是企業實施內部控制的基礎，內部監督也是內部控制建立健全以及持續有效實施的必要保證條件，因此這方面也需要得到各個企業的重視。

（三）、我國各省份內部控制整體狀況

我國31個省、直轄市和自治區（未包括香港、澳門特區和臺灣省）的經濟社會環境存在較大差異，上市公司在各地的分布不均衡，大多數集中在經濟發達的省份，如表2所示，北京（120家）、廣東（222家）、浙江（136家）、江蘇（125家），經濟欠發達省份的上市公司接近個位數，如寧夏（11家）、青海（10家）、西藏（9家）。表2反映出內部控制水平在各省份之間的差異。北京以44.63的平均分數位于省份內部控制水平排行榜首，西藏自治區以29.45分位列榜末。從全樣本排名來看，在排名前十的省份中，東部省份占7個，而在排名末十位的省份中，西部有7個，由此東部省份上市公司內部控制水平明顯優于西部，中部省份上市公司內部控制水平居于東西部之間。

（四）、我國各行業內部控制整體狀況

按照中國證監會(CSRC)(1999版)《上市公司行業分類指引》，我國上市公司分為13個行業。內部控制水平在不同行業上市公司表現出了較大差異。如表3所示，目前金融、保險業上市公司共有32家，該行業內部控制質量最高，達到了IV級水平，各個指標均遠高于其他行業平均水平。這主要因為金融、保險業由于其自身的高風險的特點，較早受到政府部門的監管。除金融保險業外，其他行業內部控制水平均處于第VI水平，風險評估和內部監督尤為薄弱。采掘業和建筑業的內部控制水平位于二、三位，社會服務業、農、林、牧、漁業以及綜合類位于后三位。

（五）、不同控股方性質公司內部控制整體狀況

根據CCER數據庫，按照上市公司的最終實際控制人性質，上市公司分為7種類型，即國有控股、民營控股、外資控股、集體控股、社會團體控股、職工持股會控股、無實際控制人。如表4所示，我國目前外資控股公司內部控制水平高于國有控股公司，國有控股公司內部控制水平高于民營控股公司。具體來看，國有控股公司在風險評估和內部監督方面有待加強；外資控股公司的內部控制各要素指標均高于國有控股和民營控股；民營控股公司在信息溝通與內部監督方面高于國有控股公司。

五、分類數據分析

（一）、交叉上市與內部控制分析

此處交叉上市是指公司除在境內上市之外，還在境外上市（比如香港、美國，未包括B股）。交叉上市的公司既要遵守我國企業內部控制規范，也要遵守上市地相關內控法律法規，如在美上市公司遵守SOX法案，因此，相對于僅在境內上市，交叉上市公司的內部控制水平會存在差異。統計結果表明，交叉上市公司在內部控制水平、內部環境水平、風險評估水平、控制活動水平、信息與溝通水平以及內部監督水平方面均高于僅在境內上市的公司。

（二）、風險管理部門設置與內部控制分析

在我們的樣本中，有146家公司設置了風險管理部門，占總樣本的8.74%，其風險評估指數均值（中位數）為42.20分（39.28分），未設置風險管理部門的公司風險評估指數均值（中位數）為16.36分（14.78分），僅為前者的1/3。可見，公司設置風險管理部門能夠提高風險評估水平。

（三）、社會責任與內部控制分析

2009年，有506家上市公司披露了社會責任報告，占到總樣本的30.28%。我們比較了披露社會責任報告的公司與未披露的公司之間內部控制的差異，結果表明，披露社會責任報告的公司的所有內部控制指數均高于未披露社會責任報告的公司。

（四）、處罰與內部控制分析

我們收集了2009年董事、監事和高級管理人員受到證監會、交易所、司法部門以及政府部門處罰的公司，共計72家。受到處罰的公司內部控制指數比未受處罰的公司略低9分，差異主要來自于內部環境、控制活動以及信息與溝通等三個要素，分別相差13.92分、10.70分和5.45分。這反映出公司董事、監事及高級管理人員對公司內部控制的建立和有效執行有重要影響作用。

（五）、審計意見與內部控制分析

在全部樣本中，有117家公司的財務報告被出具了非標準審計意見（含保留、否定、無法表示和帶強調事項段的無保留意見），約占總樣本的7%。研究發現，非標意見公司在內部控制五要素方面均劣于標準意見公司，其中內部環境和控制活動的差異占總差異的55.9%。這表明，被出具非標審計意見的公司在以上兩個方面亟待加強。

（六）、財務報表重述與內部控制分析

財務報表重述是指企業在發現并糾正前期財務報告的差錯時，重新表述以前公布的財務報告。上市公司財務報表重述可能導致財務信息傳遞的扭曲，因此成為監管部門關注焦點之一。從全部樣本看，約有11.9%的公司在2009年中發生了財務重述，從內部控制總體狀況看，非財務重述樣本整體優于財務重述樣本，兩者的差異主要體現在信息溝通方面，這反映出了財務重述公司的信息溝通是其內部控制的整改重點。

（七）、自我評價報告與內部控制分析

內部控制自我評估報告是企業結合內部監督情況，定期對內部控制的有效性進行自我評價的報告。因此，是否出具內控自評報告反映了企業對于自身內部控制有效性的認定以及企業內部監督情況的好壞。從全樣本來看，出具了自我評估報告的企業的內部控制總體情況優于未出具自我評估報告的企業。是否出具自評報告的公司的內部控制差異主要集中在控制活動和內部監督方面。

（八）、內部控制鑒證報告與內部控制分析

內部控制鑒證反映了注冊會計師對于企業財務報告相關的內部控制有效性認定的審核意見。從全樣本看，約有34.4%的上市公司披露了內部控制鑒證報告。總體來看，出具了內部控制鑒證報告的公司的內部控制水平優于未出具內部控制鑒證報告的公司，兩者的差異主要體現在內部環境、控制活動和內部監督方面。

（九）、內部控制百強企業分析

根據內部控制綜合指數，對1671家上市公司的內部控制進行排名，得出內部控制百強企業（見附錄）。如表5所示，百強企業內部控制綜合指數平均分為59.87分，處于V級水平，其中內部環境達到了IV水平，控制活動和信息溝通均達到了III級水平。對于非百強企業，內部控制綜合指數平均分為37.23分。由此可見，百強企業的內部控制水平明顯優于非百強企業。

六、研究結論

從以上分析可以得出，我國上市公司內部控制整體水平尚不高，處于VI級水平，并且存在省份地區、行業和股權性質差異。從省份來看，東部地區明顯優于西部地區，北京、福建、云南、浙江和廣東位于前五，而內蒙古、甘肅、海南、黑龍江和西藏居于后五位。從行業來看，金融業內部控制質量居于首位，采掘業和建筑業分列二、三位，而社會服務業、農、林、牧、漁業以及綜合類位于后三位。從股權性質來看，社會團體控制企業、無實際控制人和外資控股企業的內部控制水平位于前三，而國有企業、民營企業以及職工持股會控制的企業居后。不同特點的公司的內部控制水平也有差異，表現在：交叉上市公司的內部控制質量整體優于僅在境內上市的公司；設置風險管理部門的公司的內部控制水平高于未成立風險管理部門的公司；披露社會責任的公司的內部控制質量高未披露的公司；董事、監事和高級管理人員受處罰的公司整體內部控制水平較低；被出具非標準無保留意見的公司內部控制水平低于標準意見公司；出具內部控制自評報告的公司的內部控制水平高于未出具的公司；出現財務報告修訂、重述的公司的內部控制質量低于未修訂、重述的公司；內部控制百強企業的內部控制水平高于非百強企業。