【作 者】
吴 勋（副教授），王雨晨
【作者单位】
（西安石油大学经济管理学院，西安 710065）
【摘 要】
【摘要】内部控制信息披露对于提高利益相关者对于企业发展能力的认识程度具有参考价值，也能够发挥向外部利益相关者传递企业可持续发展信息的信号传递作用。本文以银行、证券、保险类上市金融企业为代表，以2011 ~ 2013年年度报告与内部控制自我评价报告为数据来源，围绕信息披露依据、位置与内容对上市金融企业内部控制信息披露现状做出评价，进而提出内部控制信息披露完善建议。
【关键词】内部控制；信息披露；上市金融企业
一、引言
2015年以来，变幻莫测依旧是国内外经济金融态势的主要特点，经济增速逐渐趋于平稳，经济结构调整速度加快，市场化改革同样处于深化推进的状态。在金融领域，不仅存在着同业竞争，跨行业竞争也呈现出日趋激烈的白热化状态，深化金融改革的步伐正大力推进，同时监管政策也趋严叠加，内部控制有效性对于金融行业可持续发展具有重要意义。内部控制信息披露对于提高利益相关者对于企业发展能力的认识程度具有参考价值，也能够发挥向外部利益相关者传递企业可持续发展信息的信号传递作用。鉴于此，本文以银行、证券、保险业为代表，选择证监会上市公司行业分类的39家上市金融企业（包含商业银行16家、证券公司19家、保险公司4家）为样本，以2011 ~ 2013年年度报告与内部控制自我评价报告为数据来源，围绕信息披露依据、位置与内容对上市金融企业内部控制信息披露现状进行评价，并提出内部控制信息披露完善建议。
二、上市金融企业内部控制信息披露依据
内部控制信息披露依据是指企业依照国家法律以及监管要求设立了内部控制制度，由此作为建立企业内部控制依据的规范性文件。2011 ~ 2013年上市金融企业内部控制信息披露依据如表1所示。
不难看出，上市金融企业内部控制信息的披露依据不尽相同，缺乏固定的披露依据。但39家样本企业在2011 ~ 2013年均能将《企业内部控制基本规范》作为内部控制信息披露依据。
三、上市金融企业内部控制信息披露位置
内部控制信息的基本披露位置包括年报内部控制章节、内部控制自我评价报告和会计师事务所出具的审计报告、公司治理报告、董事会报告、监事会报告等。2011 ~ 2013年上市金融企业内部控制信息披露位置如表2所示。
金融企业在进行内部控制信息披露时，对披露位置的选择缺乏统一的规范及标准，可比性不足，呈现出多元化的特点。2011年，金融企业对内部控制信息基本上在董事会报告、监事会报告、公司治理报告中进行披露。但在2012年及2013年，之前分散披露的内容逐渐被整合在内部控制章节和内部控制自我评价报告中进行披露，使得不同章节中的相关信息汇集起来。具体表现为2011年39家上市金融企业只有12家（银行业7家、证券业4家、保险业1家）在年报中单独列示了内部控制这一章节，但在2012年及2013年，单独列示了内部控制这一章节的上市金融企业上升为34家（商业银行14家、证券公司18家、保险公司2家）。
以证券业为例，2011年，只有国元证券、宏源证券、山西证券、西南证券4家证券公司在年报中单独增设了“内部控制”这一章节，其余15家证券公司的内部控制情况部分被涵盖在公司治理结构中，部分分布在董事会报告中。然而到了2012年，除中信证券以外，其余18家证券公司都在年报中单列“内部控制”章节对内部控制信息进行了披露。
此外， 2013年39家金融企业均对内部控制自我评价报告做出了披露。由此可见，金融行业内部控制信息披露情况正逐步改善。
四、上市金融企业内部控制信息披露内容
1. 内部控制责任主体与治理层意见。在内部控制责任主体方面，2011年、2012年分别有32家、36家上市金融企业在年报中表明了以董事会为内部控制评价的责任主体，直至 2013年39家样本公司中共有38家公司明确指出了以董事会为责任主体；关于内部控制声明，2011 ~ 2013年，以证券公司的披露情况较为可观，19家上市证券公司均对董事会关于内部控制的声明做出相应表述。由此可见，上市金融企业对于内部控制的责任主体与治理层意见的披露情况较为理想。具体情况如表3所示：
2. 内部控制要素。内部控制要素披露情况如表4所示。根据对39家样本上市金融企业的统计，2011 ~ 2013年完整披露了五要素的金融企业数分别为30家、31家和33家。有关五要素方面的披露情况，证券业略优于银行业与保险业。2013年，已有13家商业银行、17家证券公司、3家保险公司对内部控制五要素进行了完整说明。不难看出，金融行业七成以上的上市公司均能够明确评价重点，完整地披露内部控制五要素，主要从运营环节着手。总体而言，内部控制披露的具体内容对于五要素的体现，越来越趋向于统一的基本范式。
3. 内部控制主要措施与下年计划。近三年来上市金融企业在内部控制本年度主要措施方面的披露情况相对有所改善，2011 ~ 2013年披露了内部控制本年度主要措施的上市金融企业数分别为28家、24家和22家，但对下一年度内部控制计划的披露情况还不够理想，披露数量较少，且信息含量不高，流于形式。具体情况如表5所示：
从披露比例上看，关于本年主要内部控制措施和下年内部控制计划，商业银行和证券公司的披露情况明显优于保险公司，商业银行和证券公司对此方面进行披露的数量均已超过样本的半数。关于下一年度内部控制计划的披露情况，银行业和保险业并不理想，证券业虽披露数量较之前两者有所改善，但只是泛泛而谈，缺乏对计划的详尽描述，有待进一步改善。
4. 内部控制风险管理与监督。风险管理主要集中在对风险的识别、评估和控制上。一旦风险被确认，管理层就要考虑其重要性、发生的可能性及如何进行管理。总体而言，上市金融企业在重大风险处理情况的披露说明方面并不理想，绝大多数企业根本未提及。具体情况如表6所示：
39家样本企业中，2011年披露重大风险处理情况的企业仅有8家（商业银行3家、证券公司4家、保险公司1家），2012和2013年披露重大风险处理情况的企业均仅有7家，2012和2013年保险业关于重大风险情况的披露比例略高于银行业及证券业。通过对上市金融企业近三年来内部控制监督检查情况进行统计，可以看出上市金融企业内部控制监督检查的信息披露情况正逐渐改善并呈现出稳步上升的趋势，由2011年的15家、2012年的18家，提升至2013年的25家，披露范围也更加宽泛。
5. 内部控制缺陷及整改措施。在内部控制缺陷及整改措施方面，上市金融企业39家样本公司2011年和2012年均仅有17家披露各项缺陷认定情况及整改措施，未达半数，2013年大幅度增加至30家，虽然其披露比例逐年上升，但仍有多数公司未对整改措施进行披露说明。具体情况如表7所示。
近年来金融企业对内部控制缺陷认定的内容正逐步改善，披露数量也逐年增加，但具体的内部控制缺陷分析及对应的未来整改措施等方面的披露还亟待改善。
2011 ~ 2013年，以上方面的披露情况都不尽人意，缺乏实质性分析，尤其是关于重大内部控制缺陷的分析和改进意见，除浦发银行在2011年年报中对内部控制设计层面发现的问题和改进措施进行了详尽披露外，其他各样本公司对于内部控制存在的不足与缺陷以及改进措施，均是简要概述、一带而过，未做完善的说明。
6. 监事会及独立董事发表意见。尽管近三年来几乎所有金融企业均披露了监事会意见，然而一般仅有概述性的一个句子“监事会审阅了公司内部控制自我评价报告，对该报告无异议”。这种表述过于形式化，其信息量含量有限。独立董事对于内部控制发表意见的情况不够理想，近三年来证券业上市公司独立董事对内部控制发表意见的不足半数，银行业和保险业的独立董事对内部控制发表意见的更是寥寥无几。具体情况如表8所示：
7. 内部控制鉴证报告。由于证监会颁布实施了强制性规定，2013年39家金融企业均对内部控制自我评价报告进行了披露。由此可见，在内部控制制度体系正逐步完善的情况下，尤其是在《企业内部控制配套指引》颁布实施之后，进行自我评价的同时披露评价报告的企业数量正在逐年稳步增加。具体情况如表9所示：
大部分上市金融企业能够自觉披露专业机构对公司内部控制的审核意见报告。以证券业19家样本企业为例，2011年，除国海证券和招商证券两家证券公司未披露专业机构对公司内部控制的审核意见报告外，其余样本企业均对此进行了披露。2012年，除山西证券之外的其他18家证券业样本企业，全部出具了由专业机构对内部控制进行评价的审核意见报告。2013年，19家上市证券公司均出具了会计师事务所的审计报告。然而绝大多数专业机构提交的审核意见报告却未对被审计单位内部控制情况做出详细的阐释，仅简单提出审计意见“该公司在所有重大方面保持了有效的内部控制”。
五、上市金融企业内部控制信息披露缺陷与建议
（一）上市金融企业内部控制信息披露缺陷
1. 内部控制信息披露的位置不统一。上市金融企业内部控制信息披露位置众多且不一致，披露格式、披露的具体内容等都缺乏统一性，部分单列为一章即“内部控制”，部分被涵盖在公司治理报告中，部分位于董事会报告中，还有少数企业甚至缺失该方面的信息。内部控制自我评价报告的格式也缺乏统一的标准，略显混乱。内部控制信息披露位置不统一，可能导致所披露的信息缺乏系统性，从而影响其信息可比性，引起评价结论的差异。
2. 内部控制信息披露内容形式化问题严重。上市金融企业有关内部控制的建设性内容极为匮乏，注重形式而非实质。如监事会意见通常表述为“监事会审阅了公司内部控制自我评价报告，对该报告无异议”。内容空泛，信息含量有限。由会计师事务所出具的审计报告也缺乏实质披露，仅仅简单表述为“在所有重大方面保持有效的内部控制”。与此同时，部分金融企业近几年来关于内部控制的披露内容完全相同，与实际情况明显不符，缺乏详尽且具体的分析。
3. 内部控制缺陷信息披露不足。大多数上市金融企业对于内部控制情况都用“健全”、“有效”等词语描述，以正面评价为主，而对于内部控制存在的不足与缺陷以及改进措施，均是一笔带过。只是说明了内部控制存在一定缺陷和不足，却没有详细和具体地说明问题具体存在于哪个环节；只提到“针对重要缺陷和一般缺陷，公司将进一步整改”，但并未提及具体的整改手段与措施。
（二）上市金融企业内部控制信息披露建议
1. 规范内部控制信息披露标准。规范内部控制信息披露标准，旨在增强上市金融企业内部控制信息披露可比性，建议有关监管部门尽快出台统一的内部控制信息披露标准和指南，包括信息披露具体位置、范围和内容等方面。加强企业对内部控制信息披露的认识和理解，细化内部控制信息的披露方式、量化披露指标，进一步深化内部控制信息披露评价指标体系的建立。
2. 明确内部控制信息披露责任主体。内部控制信息披露责任主体必须落实到公司治理层。董事会对内部控制制度的建立健全情况和自我评价报告的对外披露承担主要责任，监事会不仅负责对企业内部控制的流程发布审查监督意见，同时还应对内部控制信息披露的充分性进行督导。董事长作为对所披露信息负责的第一责任人，应明确本公司从董事会到监事会、高级管理层、独立董事、企业所设分管不同项目的委员会等对公司内部控制领域与信息披露有关的责任。通过明确治理层所应负的责任，使治理层各司其职，重视内部控制信息披露，从而提高信息披露质量。
3. 倡导自愿性内部控制信息披露。作为强制性信息披露的补充，自愿性内部控制信息披露能够提高内部控制信息披露质量，同时具备及时性和相关性等固有优势，能够在资本市场中发挥良好的信号传递作用，向外部利益相关者表明企业内部控制健全性和有效性信息，提高企业声誉。
主要参考文献
胡慧娟.上市公司内部控制评价信息披露研究［M］.北京：中国市场出版社，2013.
刘刚，孙安其，张新星.上市公司内部控制信息披露的现状和制度研究［J］.会计之友，2013（13）.
魏文君.公司内部控制机制有效运行的几点建议［J］.会计之友，2010（2）.
杨雪，胡超群.信息服务业上市公司内部控制信息披露评价研究［J］.税务与经济，2014（6）.
【基金项目】陕西省教育厅人文社科重点研究基地科研计划项目“上市公司碳信息披露质量评价与影响因素研究”（项目编号：14JZ033）
