【作 者】
李冰轮，韦 婷
【作者单位】
（广西大学行健文理学院财会学部，南宁 530005）
【摘 要】
【摘要】本文通过对2011 ~ 2013年A股主板上市公司所披露的内控缺陷信息进行深入的挖掘分析，考察《企业内部控制基本规范》及其配套指引在强制实施初期的执行效果。研究结果表明：《企业内部控制基本规范》的强制实施明显有助于提高上市公司对控制缺陷信息的披露质量。不过，上市公司在执行该规范时仍存在不少问题，部分上市公司的内部控制自评结果与其他公开信息矛盾，大量公司倾向于只披露影响程度较轻的控制缺陷，与此同时，内控审计的执业质量也有待提高。
【关键词】内部控制缺陷；内部控制自我评价；内部控制审计
一、制度背景与研究动机
2008年，财政部等五部委联合发布了《企业内部控制基本规范》（简称《内控规范》），并于2010年发布了配套指引。这套规范从2011年开始首先在沪深两市的主板上市公司中分批强制实施。随着实施范围的不断扩大、实施年限的不断增加，《内控规范》是否取得预期效果、还存在哪些不足，成为监管部门、实务界和学术界非常关注的问题。
如果要考察《内控规范》的实施效果，最直接的做法应该是评价企业内部控制的执行有效性是否得到了改善。到现场对企业的内部控制执行情况进行实地考察是评价内控执行有效性最可靠的方法，不过这一方法的实施主体只限于政府监管部门和会计师事务所。因此，对于主要依赖上市公司公开信息进行研究的人员来说，构建内部控制评价指数才是常用的评价手段。从现有的研究来看，内部控制评价指数可以归纳为两类：
1. 根据内部控制五大要素的实施情况来构建。不过，在主板上市公司强制施行《内控规范》后，越来越多的公司采用（大致）相同的格式披露内控自我评价信息，这就使得所能收集的内控要素实施信息趋于一致，从而无法反映各上市公司在内控有效性上的差异。
2. 根据内部控制目标的实现程度来构建。这类评价指数适用于对样本公司作横向比较分析或者相关性分析、因果分析等，但如果用来评价内控有效性在年度间的变化则具有明显的局限性。这是因为这类指数往往是通过主成分分析法或各类标准化方法计算得到，指数得分的高低实际上反映的是各公司在样本总体中的相对位置，某家公司的指数得分在年度间降低只能说明该公司在保持和提高控制目标方面逊色于其他公司，而不能直接等同于该公司本身的内控有效性降低。
基于以上考虑，本文从研究上市公司对内部控制缺陷的披露行为入手，考察《内控规范》实施效果的连年变化。控制缺陷指的是内部控制的设计存在漏洞，不能有效防范错误和舞弊，或者内部控制在运行中存在弱点和偏差，不能够及时发现并纠正错误与舞弊的情形。对上市公司而言，能够识别控制缺陷是不断改进缺陷、提高内控有效性的必要前提。同时，在识别出缺陷的基础上披露控制缺陷，则能增大外部信息使用者对公司的监督力度，从而加大公司管理层完善内控的动力（或压力）。因此，上市公司披露控制缺陷是《内控规范》要求的一个重要组成部分，它既是保证《内控规范》实现预期效果的一项必要手段，又是对《内控规范》实现效果的一个反映。
二、样本选择与数据来源
本文以2011 ~ 2013年沪深两市主板所有行业的A股上市公司为样本，剔除数据不完整的公司，考察在这三年间样本公司的内控缺陷披露情况。数据主要来自国泰安CSMAR数据库，对于其中一些有疑义或者特殊的数据还通过阅读该公司的内控自评报告、内控审计报告等具体信息予以证实或修正。
为了直接比较样本公司在不同制度背景下的内控缺陷披露行为，本文把样本公司分为两大类：被监管部门要求实施《内控规范》的公司（“强制实施公司”）和未被要求实施《内控规范》的公司（“非强制实施公司”）。在非强制实施公司中，有部分公司自愿执行《内控规范》。当然，不同公司自愿执行的程度存在差异，有的公司既披露内控自评报告又聘请会计师事务所出具内控审计报告，而有些公司仅披露内控自评报告。 根据财政部会计司和证监会会计部联合发布的分析报告，在2011年共有65家境内外同时上市公司成为第一批强制实施公司。根据笔者手工统计的结果，在2012年，新增第二批强制实施公司838家，即包含第一批公司在内共有903家公司被要求实施《内控规范》。2013年，强制实施公司总数增加为1 031家，其中，有3家第二批实施公司在当年退市。非强制实施《内控规范》的公司在2011 ~ 2013年分别为1 327家、509家和385家。具体情况如表1所示：
三、上市公司内部控制缺陷披露情况分析
在上市公司披露的内部控制自我评价报告中，控制缺陷信息其实是一块试金石，是信息含量最高、最受使用者关注的内容。企业披露控制缺陷是三个因素共同作用的结果：一是存在缺陷的事实，二是具有识别出缺陷的能力，三是持有披露缺陷的意愿，三者缺一不可。强制实施的制度要求，一方面有助于企业主动识别控制缺陷并对缺陷进行整改，从而减少内控缺陷的存在；另一方面由于加强对企业披露行为的监管，从而增强了企业披露缺陷的意愿（即使这种意愿是出于对合规性的被动遵循和避免受到违规处罚）。《内控规范》的实施，从长期来讲，应该有助于减少企业所披露的控制缺陷，不过从短期来看，缺陷披露行为可能更复杂多样。
（一）缺陷披露总体情况分析
2011 ~ 2013年强制实施公司与非强制实施公司披露控制缺陷的情况如表2所示：
1. 强制实施公司与非强制实施公司缺陷披露的横向比较。在2011年第一批强制实施公司中，披露缺陷的公司有38家，占同类公司总数的58.5%。而非强制实施公司中有78家披露了缺陷，占同类公司总数的5.9%。从绝对数量上看，2011年披露缺陷的强制实施公司要少于非强制实施公司；但从相对占比来看，强制实施公司披露缺陷的比例明显高于非强制实施公司。第一批强制实施公司是在境内外同时上市的公司，这些公司受到的监管要比其他只在境内上市的公司严苛，所以我们没有理由认为这些公司存在内控缺陷的概率会明显大于其他公司。因此，缺陷披露占比的显著差异充分反映了《内控规范》的实施在很大程度上提高了公司识别缺陷的能力，尤其是增强了公司披露缺陷的意愿。
在2012年和2013年，强制实施公司中披露控制缺陷公司的相对占比同样远高于非强制实施公司。我们可以合理地推断，这一结果更多反映了前者优于后者的缺陷识别能力和披露意愿，而非缺陷本身的多寡。
2. 强制实施公司缺陷披露在各年间的纵向变化。2011 ~ 2013年，强制实施公司披露控制缺陷的比例逐年降低。这一方面可能是随着《内控规范》实施年限的增加，以前年度识别出来的控制缺陷在以后年度的评价基准日前已经完成整改，从而减少了存在的控制缺陷；另一方面也可能是随着强制实施公司总量的扩大，不同批次实施公司对控制缺陷的识别能力和披露意愿存在差异，因此需要在后文进一步结合缺陷披露质量进行分析。
（二）强制实施公司的缺陷披露类型分析
《企业内部控制评价指引》将控制缺陷按照影响的程度分为一般缺陷、重要缺陷和重大缺陷。笔者统计了强制实施公司所披露的内控缺陷类型，具体情况如表3所示：
从表3可以清楚地看出，2011 ~ 2013年，在强制实施公司披露的缺陷中一般缺陷占了绝大多数。一般缺陷其实是对企业控制目标的实现影响程度最小的缺陷。至于所披露的重大缺陷和重要缺陷，无论是绝对数量还是相对占比都非常小。
根据有关资料，美国上市公司披露重大缺陷的比例为14%。我们没有理由认为我国上市公司存在重大缺陷的概率会远小于美国的同行，所以，我国上市公司识别重大缺陷的能力和披露重大缺陷的意愿还有待增强。值得注意的是，在2013年，披露重要缺陷和重大缺陷的占比较前两年均有明显提高，这反映了强制实施制度的确有助于让更多的公司自觉披露程度严重的缺陷。
（三）非强制实施公司的缺陷披露类型分析
非强制实施公司在2011 ~ 2013年披露缺陷的情况如表4所示：
从表4可知，在非强制实施公司中，各年披露一般缺陷的公司数量占本年披露缺陷公司总量的比例很大。这一趋势与强制实施公司类似，即大部分公司倾向于披露程度较轻的一般缺陷，对重大缺陷和重要缺陷披露较少。
对于非强制实施公司来说，缺陷披露是自愿的，能有公司（虽然数量不多）自觉披露重大缺陷，其中的原因很值得我们深究。因此，笔者统计了2011 ~ 2013年披露重大缺陷的非强制实施公司的明细信息，具体情况如表5所示：
笔者把非强制实施公司披露重大缺陷的可能原因分为两类：
第一类是注册会计师已经出具非标准的内控审计报告。在这种情况下，公司就会希望通过披露缺陷情况向外界树立诚信的形象，从而减小非标准内控审计报告对公司造成的不良影响。
第二类是注册会计师出具了标准内控审计报告或者没有聘请注册会计师执行内控审计，但公司管理层认为自身的重大控制缺陷全部得到整改，因此，披露在相关年度曾经存在重大缺陷的信息既不影响内部控制在年末有效的自评结论，同时也表现出了敢于说真话的姿态（对有些公司而言，在当年已经有公开信息表明该公司存在重大控制缺陷，比如四海股份在2013年就受到了内蒙古证监局的处罚）。
从以上两类原因可以推知，高质量的内部控制审计能够促使公司充分披露恰当的自评信息，而充分的披露又能督促公司对控制缺陷进行积极的整改。
四、上市公司内部控制缺陷披露质量分析
所谓“内控缺陷披露质量”，本文认为应该反映公司是否充分披露了与事实相符的缺陷类型。也就是说，公司能否在披露缺陷时实话实说，既不少披露缺陷，也不从轻披露缺陷。
要判断公司是否如实披露控制缺陷，首先要了解公司存在控制缺陷的实情。由于我们不可能深入每家上市公司实地考察其内部控制，笔者根据公开信息进行判断。本文认为，公开信息反映上市公司内部控制存在重大缺陷的证明力从强到弱可以分为三个层次：
首先，如果注册会计师出具了非标准的内控审计报告，则能够证明该公司的内部控制存在重大缺陷。
其次，如果公司受到证监会的处罚或者注册会计师对其财务报告出具了非标准审计意见，则该公司很可能存在重大的控制缺陷。因为，内部控制的目标包含“合理保证企业经营合法合规”和“合理保证财务报告及其相关信息真实完整”，当一家公司的内部控制目标没有得到实现，就表明其在内部控制评价报告基准日很可能存在重大的控制缺陷（这一缺陷也可能在评价基准日已完成整改）。
再次，如果公司属于ST或∗ST公司（剔除由于受监管处罚或财务信息存在重大错报而被ST或∗ST的公司），则该公司有可能存在重大控制缺陷。内部控制的目标还包含了“合理保证企业资产安全，提高企业的经营效率和效果，实现战略发展”。这些被ST或∗ST的公司，往往经营业绩比较差、财务风险比较大，未能实现上述控制目标，因此笔者认为这类公司的内部控制有可能存在严重的漏洞和隐患。不过，上述问题的成因比较多样，有些并非由控制缺陷造成，比如自然灾害导致公司经营活动中止。同时，即使是经营出现困境也有可能是受到企业外部诸多因素的影响。所以，单从被ST或∗ST来判断公司是否存在重大控制缺陷，有一定合理的成分，但是证明力比较弱。
（一）被出具非标准内控审计报告公司的缺陷披露质量分析
1. 非标准内部控制审计报告情况分析。2011 ~ 2013年，样本公司被出具非标准内控审计报告的具体情况如表6所示。根据表6的数据计算可得，在强制实施公司中，收到非标内控审计报告的公司占比在2011 ~ 2013年分别为1.54%、1.66%和2.81%，呈逐年上升的趋势。我们认为这一现象出于样本公司的内控有效性随着《内控规范》实施年限的增加而变差的可能性很小，而可能性较大的原因主要有两个：一是后两批强制实施公司在实施《内控规范》之前存在较多、较严重的控制缺陷，导致在《内控规范》实施初期拉升了强制实施公司总体的非标内控审计报告比例。二是随着《内控规范》实施力度的不断加大，注册会计师对企业内控审计的标准实际把握的尺度也越来越严格，从而导致出具了更多的非标报告。
对于非强制实施公司来说，是否聘请会计师事务所出具内控审计报告完全出于自愿，因此，所统计的非标内控审计报告的数量并不能反映非强制实施公司总体的内控审计情况，故对其不作分析。
2. 缺陷披露总体情况分析。根据前面的分析，被出具非标准内控审计报告的公司应该在内控自评报告中披露自身存在的重大缺陷，否则，其自评报告未能充分披露缺陷情况，即披露的质量低。
我们首先来看收到非标内控审计报告的两类样本公司是否在自评报告中披露了控制缺陷。
根据表6统计的数据，在2011 ~ 2013年这三年中，强制实施公司共有45家（次）收到非标内控审计报告；再结合表7的数据，在这45家（次）公司中共有34家（次）披露自身存在控制缺陷，占比为75.6%。这一比例明显高于占比32%的非强制实施公司，反映了强制实施制度在整体上的确能够促使更多的上市公司自揭其短。
不过从各年来看，强制实施公司自评报告与非标内控审计报告相矛盾的比例却呈现逐年上升的趋势（即该披露而未披露控制缺陷的公司比例在上升）。正如前文所分析的，在2011 ~ 2013年这三年中，每年的强制实施公司总体都发生重大变化，不同批次的强制实施公司在《内控规范》实施前的内控有效性存在着差异，这一差异会在一定程度上影响《内控规范》实施初期的缺陷披露质量。
在2013年自愿执行内控规范的非强制实施公司中，有6家被出具非标内控审计报告，其中有5家在自评报告中披露控制缺陷，占比达到83.33%，高于当年强制实施公司的72.41%。这表明可能有（少）部分非强制实施公司的缺陷披露质量高于强制实施公司总体的平均水平。
3. 缺陷披露类型分析。内控缺陷披露的质量要求不仅仅是上市公司承认自己存在控制缺陷，还要承认缺陷的真实严重程度。因此，笔者统计了两类公司披露缺陷的类型，具体如表8、表9、表10所示：
从表8和表10可以看出，在收到非标内控审计报告同时又在自评报告中披露控制缺陷的强制实施公司中，除了2011年的个例，2012年和2013年披露重大缺陷的样本公司分别只占16.67%和42.86%，而只披露一般缺陷的样本公司则占75%和42.86%。事实上，既然注册会计师对上市公司的内部控制出具了非标准审计报告，就表明其内部控制存在严重的缺陷。因此，在这些披露了缺陷的公司中，如果仅仅披露程度较轻的一般缺陷（或重要缺陷），笔者认为公司是在以避重就轻的方式来敷衍其披露义务。不过，一个好的迹象是：通过披露一般缺陷来代替重大缺陷的公司比例在2013年比2012年有一定程度的降低。
结合表9和表10来看，在自愿执行内控规范的非强制实施公司中，既收到非标内控审计报告同时又在自评报告中披露控制缺陷的样本公司倾向于披露单一类型的缺陷。从2011年到2013年，这些样本公司越来越愿意披露程度更严重的控制缺陷，从这个角度来说，非强制实施公司实话实说的程度在逐年提高。
（二）违规或错报公司的缺陷披露质量分析
1. 违规或错报公司情况分析。正如前文所分析的，当一家公司被证监会处罚或者其财务报表被出具非标准的审计意见（以下简称“违规或错报公司”），该公司很可能存在重大的控制缺陷。笔者统计了2011 ~ 2013年违规或错报公司的数量，其中剔除了被出具非标内控审计报告的公司，具体情况如表11所示：
从样本总体来看，财务报表被出具非标准审计意见的公司数量在2011 ~ 2013年分别为103家、76家和68家，呈递减趋势。被证监会处罚的公司数量在2011年和2012年基本持平，但在2013年骤减为76家，这主要是因为本文收集的处罚公告信息截止到2013年12月31日，而2013年发生的违规行为很可能反映在以后年度的处罚公告中，这就造成此处统计的2013年违规公司数量不够完整，与前两年不具有可比性。
不过，值得我们关注的一个问题是：在表11中，违规或错报的强制实施公司被出具的是标准的内控审计报告。按照前面的分析，这可能是公司的重大控制缺陷在评价基准日已经完成整改，但也有可能是内控审计报告未能恰当地反映内控的实际情况，我国目前的内控审计质量还有待提高（虽然已经有所提高）。
2. 缺陷披露总体情况分析。违规或错报公司披露内控缺陷的总体情况如表12所示。根据表12，从横向比较来看，在违规或错报样本公司中，强制实施公司在内控自评报告中披露控制缺陷的比例每年都高于非强制实施公司。不过，从年度纵向变化来看，强制实施公司披露控制缺陷的比例在后两年降低不少。这些趋势与前面的分析相似：强制实施内控规范的制度安排提高了上市公司缺陷披露的质量。但是，在这一制度实施的初期，由于受到不同批次实施公司本身内控有效性差异的影响，强制实施公司总体的缺陷披露质量并没有逐年提高反而出现降低的情况。
同时，在非强制实施公司中，违规或错报样本公司自愿披露控制缺陷的比例在逐年增加，这一方面可能是公司为应对《内控规范》推行范围不断加大的监管变化而提前做准备，另一方面也可能是越来越多的公司认可了《内控规范》的实施意义从而提高了缺陷披露的主动性。
3. 缺陷披露类型分析。违规或错报的强制实施公司所披露的缺陷类型如表13所示：
由表13可见，在违规或错报并且披露控制缺陷的强制实施公司中，有相当高比例的公司没有披露重大缺陷（或重要缺陷），掩饰缺陷真实程度的倾向比较明显。不过，这一倾向在逐年减弱。表14反映出这些趋势同样存在于自愿执行内控规范的非强制实施公司中。（三）ST或∗ST公司的缺陷披露质量分析
根据前面的分析，ST或∗ST公司有可能存在重大控制缺陷。笔者统计了这类公司2011 ~ 2013年的数量，并且剔除前面已经分析的被出具非标内控审计报告的公司和违规或错报公司，具体如表15所示：
相较于被出具非标内控审计报告的公司和违规或错报公司，在剩余的ST或∗ST公司中，披露控制缺陷的公司比例较小，其中，强制实施公司披露控制缺陷的比例仍然明显高于非强制实施公司。具体数据如表16所示：
从表17和表18可以清楚地看到，在剩余的ST或∗ST公司中，无论是强制实施还是非强制实施公司，绝大多数公司都只披露了一般缺陷，尤其是没有任何一家公司披露自身存在的重大控制缺陷。
虽然ST或∗ST公司的形成不能简单地归责于内控的失效，但是，这类公司只披露一般缺陷的倾向是如此明显，令人无法不怀疑其淡化缺陷的意图。
五、小结
本文通过对2011 ~ 2013年主板上市公司所披露的内控缺陷信息进行深入的挖掘分析，主要结论如下：①多方面的证据表明《内控规范》的强制实施明显有助于提高上市公司对控制缺陷信息的披露质量，验证了这一制度安排的合理性。②部分上市公司对内部控制的自评结果与其他公开信息矛盾，同时，大量公司倾向于只披露影响程度较轻的控制缺陷，这反映出现阶段上市公司在执行《内控规范》时仍存在不少问题，需要相关监管部门持续加强对实施企业的指导、监督，采取必要的惩处措施。③从注册会计师所出具的内控审计报告来看，可能存在一些报告类型不恰当的情况，从而要求注册会计师继续提高内控审计的执业质量。
本文还存在一些不足之处，主要包括：①还有不少情况可能表明内控存在重大缺陷，比如上市公司进行财务重述，本文在这些指标的使用上不够全面。②不同的公司在自身条件和发展现状上存在差异，这些因素使得各上市公司即使实施同一内控规范也会出现不同的缺陷披露质量，本文对样本公司个案的分析不够深入。
主要参考文献
杨清香，俞麟，宋丽.内部控制信息披露与市场反应研究——来自中国沪市上市公司的经验证据［J］.南开管理评论，2012（1）.
