推进内控可借鉴--上交所２０１１内控披露情况分析

jessiesun

上海证券交易所一直非常重视对上市公司内控建设的推动工作，并在上市公司内控报告的内容与格式设计等方面引领着业界的发展方向。通过上交所不懈的推动和倡导，沪市上市公司内控建设取得长足进步。自2006到2011年，从披露数量来看，沪市上市公司内控报告从34份增加到427份；审计报告从34份增加到258份。从披露内容来看，绝大多数公司已经建立起符合自身特点的内控制度，体系建设取得显着成效，内控报告的可读性也有所提高。当然，内控信息的披露质量仍然存在不尽如人意之处，如冗余信息过多、内控缺陷标准不明、披露不足等问题，内控信息披露质量仍存在较大的改善空间。

内控报告的内容及格式分析

根据上交所对于2011年的内控报告的内容和格式要求，多数公司均能在上交所年报备忘录的基础上，按照规定的格式进行披露。内控报告较之以前年度在格式的统一性和内容的可读性上均有所提高，主要进步和仍存在的问题具体表现在：

（一）内控报告可读性有所提高

本年度，已有公司开始在内控报告中根据所在行业的特点以及自身的实际情况披露个性化的风险类别及防范措施。如中信证券就在其内控报告中披露了所面临的市场风险、信用风险、流动性风险、操作风险、合规风险，并结合其业务类别详细介绍了风险控制的方法和手段。虽然这样的高质量内控报告在整个内控报告中仍属于少数，但仍让我们强烈地感受到沪市上市公司在内控报告披露方面的进步。

（二）多数公司未披露重大缺陷、重要缺陷和一般缺陷的具体标准

根据内控评价指引的规定，重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。而重大缺陷、重要缺陷和一般缺陷的具体认定标准，由企业根据上述要求自行确定。

由于内控报告要求公司对是否存在财务报告重大缺陷发表意见，因此何谓“重大缺陷”对于投资者阅读和使用内控报告至关重要。但是只有约70家左右的公司在内控报告的附件中披露了重大缺陷、重要缺陷和一般缺陷的具体标准，而大多数公司只是机械地照搬了评价指引中关于缺陷认定的原则性规定。

70家披露内控缺陷的公司将内控缺陷标准区分为定性标准和定量标准两类。

定性标准大体包括：重要业务缺乏制度控制或者制度系统性失效；重要职权和岗位分工中没有体现不相容职务相分离的要求；企业战略、投资、募集资金等重大决策、重大事项、重大人事任免及大额资金的管理程序不科学并造成严重损失；董事、监事和高级管理人员存在或可能存在严重舞弊行为；外部审计发现当期财务报告存在重大错报，或者公司已经对外公布的财务报表由于存在重大错报而需要进行更正，在资本市场造成比较严重的负面影响；以前年度评价过程中曾经有过舞弊或错误导致重大错报的经历，公司没有在合理的时间内改正所发现的重大缺陷和重要缺陷；其他违犯国家法律、法规或监管层规范性文件对公司造成重大影响的情形等。

而定量标准一般都参照营业收入、净利润、总资产、净资产的某个比例确定（类似于审计中的重要性水平）。

（三）内控报告中仍存在较多的“无用”信息

部分公司出于展示良好形象和工作成果的考虑，仍按照以往披露的经验，对内控要素、内控建设的过程和成果进行了详细的描述。更有公司还在内控报告中加入企业的历史沿革、发展历程以及公司内部使用的常用语（如“五个一致”、“四个统一”等，但未对其进行具体说明）等信息。由于这些信息的披露基本无助投资者的投资决策，而且也大大损害了内控报告格式的统一性和内容的可比性，因而历年来都是格式指引希望简化披露的内容。

（四）内控报告中关于“缺陷”的披露情况仍有待改进

所有披露内控报告的沪市上市公司均认为其财务报告内部控制有效，不存在重大缺陷。有4家公司披露了其发现的非财务报告内部控制缺陷，具体缺陷包括：加快对内控文件及制度的整理与完善；加快对SAP系统的升级改造；重大决策机制未完全经过集体讨论决定；控股股东存在对上市公司的非经营性资金占用；企业文化建设存在不足；合同管理、固定资产管理存在薄弱环节等。

----------------------------------------------------------------------------------------------------------------------------------------------

上交所内控报告披露的历史沿革

上海证券交易所（以下简称“上交所”）一直非常重视对上市公司内控建设的推动工作，并在上市公司内控报告的内容与格式设计等方面引领着业界的发展方向。

2006年，上交所率先颁布了《上市公司内部控制指引》（以下简称《指引》）。《指引》鼓励上市公司披露内控自我评估报告（以下简称“内控报告”），并要求披露内控报告的公司同时披露审计机构对公司内部控制的审计意见（以下简称“内控审计报告”）。《指引》以推动和指导上市公司建立内部控制制度为目的；借鉴了COSO委员会的《企业风险管理-总体框架》，构建了适合我国上市公司的风险管理框架；要求各公司根据自身特点，结合运作经验，建立各别的内部控制制度，强调“个性”、“适用”；明确了上交所主要通过信息披露监管来督促上市公司完善内部控制的监管思路。《指引》被业界誉为中国版《萨班斯法案》的雏形。

2008年6月，财政部、证监会、审计署、银监会、保监会等五部委（以下简称“五部委”）联合发布了《企业内部控制基本规范》（以下简称“基本规范”）。为提高内控报告的质量，上交所结合五部委《基本规范》的精神，在以往内控报告披露的实践基础上，研究逐步统一内控报告的格式。2008年底，上交所与部分中介机构以及8家上市公司共同研究制定了《内控报告格式指引》，并以第一号年报工作备忘录的形式对外发布。《内控报告格式指引》贯彻了“内容简洁、问题清晰、结论明确”的原则，重点要求披露内控缺陷和董事会对公司内控有效性的评价意见，意在减少冗长而无实质内容的内控制度描述。此外，为了帮助上市公司董事更好地对公司出具的内控报告进行审议，上交所编制了《董事内部控制评价工作底稿》，提醒上市公司董事在审议内控报告时应重点关注在内控评价过程中的重大财务违规、审计调整、会计差错更正、各类行政处罚、资产损失等问题。同时，允许上市公司根据自身实际对工作底稿的内容进行调整。

《内控报告格式指引》与《董事内部控制评价工作底稿》互为补充，与前期发布的《指引》共同构成了上交所内控报告信息披露的基本框架。