厦门大学内控指数课题组 主持人 陈汉文

一、引言

《萨班斯-奥克斯利法案》（Sarbanes-Oxley Act 2002 USA）的颁布引发了全球对内部控制与公司治理的管制热潮。我国中央五部委于2008年颁布了《企业内部控制基本规范》（以下简称“《基本规范》”），2010年颁布了《配套指引》，以加强和规范企业内部控制。上海证券交易和深圳证券交易所于2006年分别制定了《上海证券交易所上市公司内部控制指引》和《深圳证券交易所上市公司内部控制指引》并要求上市公司披露内部控制自我评价报告及注册会计核实评价意见。随着一系列内控规范性文件相继出台，企业内部控制强制披露成为趋势，内部控制相关议题的研究在我国蓬勃兴起。

不过，目前中国1671家上市公司的内部控制水平究竟如何？什么样的内部控制才是最佳实践？好的内部控制应当如何体现？企业应当如何建立完善自身的内部控制建设？目前尚无一致看法。这些问题的核心在于建立一套完整系统的内部控制评价体系。我们认为，建立一套适应我国国情的内部控制评价体系，意义在于：观察我国上市公司内部控制现状，助益上市公司管控水平的整体评价与利益相关者的投资及信贷决策；便于政府监管，促进资本市场的完善与发展；指导企业完善内部控制措施，倡导良好内部控制文化；为学界提供内部控制实证数据，提升内部控制研究水平。

二、现有内部控制评价方法

目前研究中使用的内部控制评价方法主要分为三种形式：一是直接根据披露的内部控制评价信息作为指标，如管理层披露的内部控制缺陷、审计师的审核意见等，现有研究大多采用这种方法。二是通过调查问卷的方式来评价内部控制质量。三是通过构造指数来评价内部控制质量。目前看来，现有的内部控制评价体系均有不完善之处，这制约了内部控制理论与实践的发展，因此设计科学合理的内控控制评价体系为当务之急。

三、内部控制评价体系的构建

（一）内部控制评价体系的构建原则

内部控制评价系统的建立是一个系统工程，根据我国上市公司内部控制实际情况，构建内部控制评价系统需坚持以下原则：1、全面性。内部控制评价系统既要全面反映被测评对象的总体内部控制状况，又要具体反映内部环境、风险评估、控制活动、信息与沟通和内部监督等具体内控要素的基本情况；既要反映企业的内部控制现状，也要反映企业内部控制变化趋势。2、系统性。内部控制评价系统的构建应当从整体上考虑指标之间的相互关系，使内部控制指数指标既不重复、也不遗漏；指数指标应当遵从一定的逻辑关系，对指标进行合理的分层设计。3、重要性。内部控制评价系统应当在全面评价的基础上，关注被测评公司的重要业务单位、重大业务事项和高风险领域。4、可比性。内部控制评价系统既要全面反映上市公司的内部控制情况，又要适合不同上市公司之间的对比；既要考虑到指标设计上的可比性，也要考虑到指标计算的可比性。5、定性与定量相结合。内部控制评价系统中，涉及到企业的内部控制运行情况的各个方面，既要考虑到内部控制评价的主观性，又要使内部控制评价具有客观性，评价系统构建时要将定性与定量两类指标充分结合，最终形成量化指标。

（二）内部控制评价体系的逻辑框架

目前世界上最为权威的内部控制标准体系是《内部控制—整合框架》（Internal Control Integrated Framework，COSO1992 ），其中提出内部控制包括5个相互关联的构成要素，即控制环境、风险评估、控制活动、信息与沟通和监控。五要素论优化了内部控制的结构与体系，整合了对内部控制的不同理解，构造了一个共识性的概念平台和框架，因此得到了SEC和PCAOB及国际机构等的广泛认可和应用。2008年5月22日及2010年4月26日财政部、证监会、审计署、银监会、保监会等五部委联合发布的《基本规范》及《配套指引》借鉴了COSO的内部控制五要素框架，并结合了中国国情进行了创新，提出了内部控制由内部环境、风险评估、控制活动、信息与沟通及内部监督构成。我们采用《基本规范》中确立的内部控制五要素作为整个内部控制评价系统的逻辑框架。

（三）内部控制评价体系的指标设计

根据内部控制评价系统设计原则，结合我国上市公司内部控制基本情况，我们以《基本规范》及其《配套指引》为指标设计主要依据，综合考虑《深圳证券交易所上市公司内部控制指引》、《上海证券交易所上市公司内部控制制度指引》、《上市公司治理准则》、《中华人民共和国公司法》、《中国人民共和国证券法》及《上市公司章程指引》等法律法规及相应文件，同时借鉴国内外已有的内部控制评价研究，确定了内部环境、风险评估、控制活动、信息与沟通、内部监督等5个一级评价指标，每一评价指标又由一系列细分的评价指标构成。最终我们的评价体系由四级指标构成，其中一级指标5个、二级指标24个、三级指标43个，四级指标144个。对于5项一级指标，内部环境包含公司治理、内部审计、人力资源、道德修养及胜任能力、社会责任、企业文化及法制观念等6个二级指标，二级指标进一步细化为14个三级指标和52个四级指标；风险评估包含目标设定、风险识别、风险分析和风险应对等4个二级指标，该二级指标进一步细化为7个三级指标和24个四级指标。控制活动包含不相容职责分离及授权审批控制、会计控制、财产安全控制、预算控制、运行分析控制、绩效控制、突发事件控制等7个二级指标，该二级指标对应7个三级指标，进一步细化为18个四级指标；信息与沟通包含信息收集、信息沟通（内部沟通、外部沟通、信息完整性、准确性和及时性）、信息系统、反舞弊等4个二级指标，该二级指标进一步细化为9个三级指标和26个四级指标；内部监督包含内部监督检查、内控缺陷、内部控制信息披露行为等3个二级指标，该指标进一步细化为6个三级指标和24个四级指标。

四、我国上市公司内部控制总体状况评价

（一）样本来源及选取

为了全面评价公司内部控制水平，并保证数据的完整性，本研究主要通过手工收集的方式，收集截止于2009年4月30日的上市公司公开资料，包括公司年度报告、内部控制自我评价报告、社会责任报告等定期公告、临时公告、公司的规章制度以及处罚和重大事件等。依据的资料主要来源于交易所网站、巨潮资讯网、中国证监会等监管部门网站以及公司主页。对于手工难以找到的数据，辅助查看WIND数据库、CSMAR数据库和CCER数据库。课题组最终收集了1671家样本公司数据。

（二）我国上市公司内部控制总体状况

表1为内部控制评价指数的总体情况分布表，描述了我国上市公司内部控制的总体状况。内部控制评价指数（■）表明，分别只有7家公司达到了III级水平、28家公司达到了IV级水平，而处于VI级水平的公司有1493家，占总样本的89.35%。总样本的内部控制评价指数平均数（中位数）也只有38.58分（38.49分），仍处于最低一级水平。这均说明，我国上市公司现今的内部控制仍比较薄弱。

从内部控制结构五要素进一步分析，控制活动和信息与沟通两个处于V级水平，相对其他三个要素质量高。上市公司风险评估最为薄弱，该指数平均值只有18.61分，这反映出我国公司整体的风险评估、防范意识还非常薄弱。内部环境和内部监督水平也较低，而内部环境是企业实施内部控制的基础，内部监督也是内部控制建立健全以及持续有效实施的必要保证条件，因此这方面也需要得到各个企业的重视。

表1：内部控制总体情况分布表

（三）我国各省份内部控制整体状况

我国31个省、直辖市和自治区（未包括香港、澳门特区和台湾省）的经济社会环境存在较大差异，上市公司在各地的分布不均衡，大多数集中在经济发达的省份，如表2所示，北京（120家）、广东（222家）、浙江（136家）、江苏（125家），经济欠发达省份的上市公司接近个位数，如宁夏（11家）、青海（10家）、西藏（9家）。表2反映出内部控制水平在各省份之间的差异。北京以44.63的平均分数位于省份内部控制水平排行榜首，西藏自治区以29.45分位列榜末。从全样本排名来看，在排名前十的省份中，东部省份占7个，而在排名末十位的省份中，西部有7个，由此东部省份上市公司内部控制水平明显优于西部，中部省份上市公司内部控制水平居于东西部之间。

表2：省份内部控制水平排行榜

（四）我国各行业内部控制整体状况

按照中国证监会(CSRC)(1999版)《上市公司行业分类指引》，我国上市公司分为13个行业。内部控制水平在不同行业上市公司表现出了较大差异。如表3所示，目前金融、保险业上市公司共有32家，该行业内部控制质量最高，达到了IV级水平，各个指标均远高于其他行业平均水平。这主要因为金融、保险业由于其自身的高风险的特点，较早受到政府部门的监管。除金融保险业外，其他行业内部控制水平均处于第VI水平，风险评估和内部监督尤为薄弱。采掘业和建筑业的内部控制水平位于二、三位，社会服务业、农、林、牧、渔业以及综合类位于后三位。

表3：行业内部控制水平排行榜

（五）不同控股方性质公司内部控制整体状况

根据CCER数据库，按照上市公司的最终实际控制人性质，上市公司分为7种类型，即国有控股、民营控股、外资控股、集体控股、社会团体控股、职工持股会控股、无实际控制人。如表4所示，我国目前外资控股公司内部控制水平高于国有控股公司，国有控股公司内部控制水平高于民营控股公司。具体来看，国有控股公司在风险评估和内部监督方面有待加强；外资控股公司的内部控制各要素指标均高于国有控股和民营控股；民营控股公司在信息沟通与内部监督方面高于国有控股公司。

表4：不同控股方性质公司内部控制水平排行榜

五、分类数据分析

（一）交叉上市与内部控制分析

此处交叉上市是指公司除在境内上市之外，还在境外上市（比如香港、美国，未包括B股）。交叉上市的公司既要遵守我国企业内部控制规范，也要遵守上市地相关内控法律法规，如在美上市公司遵守SOX法案，因此，相对于仅在境内上市，交叉上市公司的内部控制水平会存在差异。统计结果表明，交叉上市公司在内部控制水平、内部环境水平、风险评估水平、控制活动水平、信息与沟通水平以及内部监督水平方面均高于仅在境内上市的公司。

（二）风险管理部门设置与内部控制分析

在我们的样本中，有146家公司设置了风险管理部门，占总样本的8.74%，其风险评估指数均值（中位数）为42.20分（39.28分），未设置风险管理部门的公司风险评估指数均值（中位数）为16.36分（14.78分），仅为前者的1/3。可见，公司设置风险管理部门能够提高风险评估水平。

（三）社会责任与内部控制分析

2009年，有506家上市公司披露了社会责任报告，占到总样本的30.28%。我们比较了披露社会责任报告的公司与未披露的公司之间内部控制的差异，结果表明，披露社会责任报告的公司的所有内部控制指数均高于未披露社会责任报告的公司。

（四）处罚与内部控制分析

我们收集了2009年董事、监事和高级管理人员受到证监会、交易所、司法部门以及政府部门处罚的公司，共计72家。受到处罚的公司内部控制指数比未受处罚的公司略低9分，差异主要来自于内部环境、控制活动以及信息与沟通等三个要素，分别相差13.92分、10.70分和5.45分。这反映出公司董事、监事及高级管理人员对公司内部控制的建立和有效执行有重要影响作用。

（五）审计意见与内部控制分析

在全部样本中，有117家公司的财务报告被出具了非标准审计意见（含保留、否定、无法表示和带强调事项段的无保留意见），约占总样本的7%。研究发现，非标意见公司在内部控制五要素方面均劣于标准意见公司，其中内部环境和控制活动的差异占总差异的55.9%。这表明，被出具非标审计意见的公司在以上两个方面亟待加强。

（六）财务报表重述与内部控制分析

财务报表重述是指企业在发现并纠正前期财务报告的差错时，重新表述以前公布的财务报告。上市公司财务报表重述可能导致财务信息传递的扭曲，因此成为监管部门关注焦点之一。从全部样本看，约有11.9%的公司在2009年中发生了财务重述，从内部控制总体状况看，非财务重述样本整体优于财务重述样本，两者的差异主要体现在信息沟通方面，这反映出了财务重述公司的信息沟通是其内部控制的整改重点。

（七）自我评价报告与内部控制分析

内部控制自我评估报告是企业结合内部监督情况，定期对内部控制的有效性进行自我评价的报告。因此，是否出具内控自评报告反映了企业对于自身内部控制有效性的认定以及企业内部监督情况的好坏。从全样本来看，出具了自我评估报告的企业的内部控制总体情况优于未出具自我评估报告的企业。是否出具自评报告的公司的内部控制差异主要集中在控制活动和内部监督方面。

（八）内部控制鉴证报告与内部控制分析

内部控制鉴证反映了注册会计师对于企业财务报告相关的内部控制有效性认定的审核意见。从全样本看，约有34.4%的上市公司披露了内部控制鉴证报告。总体来看，出具了内部控制鉴证报告的公司的内部控制水平优于未出具内部控制鉴证报告的公司，两者的差异主要体现在内部环境、控制活动和内部监督方面。

（九）内部控制百强企业分析

根据内部控制综合指数，对1671家上市公司的内部控制进行排名，得出内部控制百强企业（见附录）。如表5所示，百强企业内部控制综合指数平均分为59.87分，处于V级水平，其中内部环境达到了IV水平，控制活动和信息沟通均达到了III级水平。对于非百强企业，内部控制综合指数平均分为37.23分。由此可见，百强企业的内部控制水平明显优于非百强企业。

表5：内部控制百强企业分析

注：表中各指数均为平均数值。

六、研究结论

从以上分析可以得出，我国上市公司内部控制整体水平尚不高，处于VI级水平，并且存在省份地区、行业和股权性质差异。从省份来看，东部地区明显优于西部地区，北京、福建、云南、浙江和广东位于前五，而内蒙古、甘肃、海南、黑龙江和西藏居于后五位。从行业来看，金融业内部控制质量居于首位，采掘业和建筑业分列二、三位，而社会服务业、农、林、牧、渔业以及综合类位于后三位。从股权性质来看，社会团体控制企业、无实际控制人和外资控股企业的内部控制水平位于前三，而国有企业、民营企业以及职工持股会控制的企业居后。不同特点的公司的内部控制水平也有差异，表现在：交叉上市公司的内部控制质量整体优于仅在境内上市的公司；设置风险管理部门的公司的内部控制水平高于未成立风险管理部门的公司；披露社会责任的公司的内部控制质量高未披露的公司；董事、监事和高级管理人员受处罚的公司整体内部控制水平较低；被出具非标准无保留意见的公司内部控制水平低于标准意见公司；出具内部控制自评报告的公司的内部控制水平高于未出具的公司；出现财务报告修订、重述的公司的内部控制质量低于未修订、重述的公司；内部控制百强企业的内部控制水平高于非百强企业。

附录：内部控制百强企业

（来源：上海证券报 2010年6月11日）