中国上市公司2015年内部控制白皮书

本篇文章6665字，读完约17分钟

2014年，获得有效内部控制评价结论的上市公司有2549家，占98.57%；整体无效的上市公司有37家，占1.43%。虽然2014年上市公司内部控制信息披露的数量和质量与往年相比稳步上升，但不可否认的是，仍然存在一些不容忽视的问题。为此，白皮书提出以下政策建议:一是统一内部控制监管标准，提高上市公司内部控制实施的规范性；二是完善内部控制缺陷信息披露，加强对上市公司内部控制缺陷整改的监管；三是加强对上市公司资产管理和资本活动信息披露的监管，防范资产和资本风险；第四，逐步在中小板和创业板上市公司实施内部控制标准体系，加强对投资者的保护；第五，加强对注册会计师内部控制审计实务的监管，提高其执业质量；第六，积极探索建立内部控制可交易指数，引导投资者回归价值投资；七、加强内部控制法制建设，加强对上市公司内部控制的监管。

一、样本选择和数据来源

本报告选取的样本是2015年4月30日前在沪深两市a股上市并披露2014年年报的上市公司，样本总量为2631家上市公司。本报告中的所有原始数据均已输入dib DIBO内部控制和风险管理数据库(www.ic-erm)。本报告是国家自然科学基金重点项目“基于中国国情的企业内部控制有效性研究”(项目批准号:71332004)的阶段性研究成果。

二、内部控制评价报告

(一)内部控制评价报告披露的数量

2014年，2586家上市公司披露了内部控制评价报告，总体披露率为98.29%。其中，上海主板、深圳主板、深圳中小板和深圳创业板的披露比例分别为96.12%、99.15%、99.73%和100.00%。

(二)内部控制评价报告格式规范

2014年，2088家上市公司披露了标准化格式的内部控制评价报告，占80.74%。其中，上海证券交易所、深圳证券交易所、深圳中小板和深圳创业板分别有94.09%、91.16%、73.85%和50.60%的上市公司披露了标准化格式的内部控制评价报告。

(三)内部控制评价结论

2014年，获得有效内部控制评价结论的上市公司有2549家，占98.57%；整体无效的上市公司有37家，占1.43%。在内部控制评价结论总体无效的上市公司中，9家财务报告内部控制有效，非财务报告内部控制无效，占0.35%；18份是无效的财务报告内部控制和有效的非财务报告内部控制，占0.70%；8项对内部控制整体无效，占0.31%；两个公司未能出具内部控制评价结论，占0.08%，如图1所示。

(四)内部控制评价的范围和方法

2014年，在披露内部控制评价报告的上市公司中，有2262家公司披露了内部控制评价的范围，占87.47%；274家上市公司披露了内部控制评价方法，占10.60%。其中，主板上市公司内部控制评价范围的披露比例明显高于深圳中小板和深圳创业板。

三、内部控制评价缺陷

(1)内部控制缺陷识别标准的披露

2014年，2141家上市公司披露了内部控制缺陷识别标准，445家上市公司未披露内部控制缺陷识别标准。根据不同的交易所，在上海证券交易所、深圳主板、深圳中小板和深圳创业板上市公司中，未披露内部控制缺陷识别标准的公司比例分别为2.38%、5.39%、24.93%和50.84%。在披露内部控制缺陷识别标准的上市公司中，1963家上市公司披露了完整的财务报告和非财务报告内部控制缺陷定性和定量识别标准，178家上市公司没有披露完整的内部控制缺陷识别标准。

(二)内部控制缺陷的披露

2014年，351家上市公司披露了内部控制缺陷。其中，343家公司披露了2014年的内部控制缺陷，其余8家公司仅披露了前一年的内部控制缺陷整改情况。

2014年，13.26%的a股上市公司披露了内部控制评价报告。其中，财务报告中披露内部控制缺陷的公司占6.38%，非财务报告中披露内部控制缺陷的公司占10.52%；披露内部控制重大缺陷的公司占1.62%，披露重大缺陷的公司占1.86%，披露一般缺陷的公司占10.17%，未区分缺陷等级的公司占0.15%。

2014年，343家上市公司披露了2345项内部控制缺陷。其中，重大缺陷96个，占4.09%；77个重要缺陷，占3.28%；一般缺陷2165处，占92.32%；未区分缺陷等级的内部控制缺陷有7个，占0.30%。如图2所示。

(三)内部控制评价缺陷

2014年，在披露内部控制缺陷的343家上市公司中，有312家公司披露了内部控制缺陷的具体内容，占90.96%；31家公司未披露缺陷，占9.04%。

2014年，在343家上市公司披露的2345项内部控制缺陷中，披露了838项具体内容的内部控制缺陷，占35.74%；未披露具体内容的内部控制缺陷有1507个，占64.26%。

本报告按照财务报告缺陷/非财务报告缺陷、缺陷等级、设计缺陷/操作缺陷、公司级缺陷/业务级缺陷/信息系统级缺陷和内部控制五个要素对2014年披露具体内容的内部控制缺陷进行分类，并统计各分类内部控制缺陷的数量和比例。其中，财务报告缺陷289个，占34.49%，非财务报告缺陷549个，占65.51%；设计缺陷144个，占17.18%，运行缺陷601个，占71.72%；公司级缺陷279个，占33.29%，业务级缺陷533个，占63.60%，信息系统级缺陷26个，占3.10%；内部环境缺陷255个，占30.43%，风险评估缺陷11个，控制活动缺陷493个，占58.83%，信息与沟通缺陷60个，占7.16%，内部监督缺陷19个，占2.27%。

2014年，在上市公司披露的93个主要内部控制缺陷中，根据缺陷涉及的业务活动/事件统计，前三位是财务活动、财务报告和组织结构。其中，财务活动存在22个缺陷，财务报告和组织结构存在13个缺陷。如图3所示。

(四)内部控制评价缺陷的整改

2014年，在披露的838项内部控制缺陷中，已整改的有594项，占70.88%。其中，内部控制缺陷得到有效整改的有314个，占37.47%；93项内部控制缺陷未得到纠正，占11.10%；187项内部控制缺陷未披露整改结果，占22.32%。未整改的内部控制缺陷有244个，占29.12%。

四.2011-2014年内部控制评价比较

自2011年1月1日第一批强制实施以来，2014年，强制实施内部控制的范围已扩展至主板所有上市公司。近四年来，上市公司内部控制评价报告的数量和质量稳步提高。从报告披露比例来看，2011年至2014年，上市公司内部控制披露比例较上年大幅上升，平均上升7.71%；从缺陷识别标准的披露情况来看，2011年至2014年，特别是2013年以来，上市公司内部控制缺陷识别标准的披露比例不断提高，增速大幅提高。与2012年相比，2013年内部控制缺陷识别标准的披露比例提高了130.77%；2011年至2014年，上市公司内部控制重大缺陷的披露比例也稳步上升，从2011年的0.16%上升至2014年的1.62%，从2011年的0.76%上升至1.86%。此外，从2011年到2014年，上市公司内部控制评价结论的非整体有效比例持续上升。还可以看出，近年来，随着监管标准的不断提高和监管机构的不断推进，对上市公司内部控制的认识变得更加理性和客观。

五、内部控制审计报告

(a)披露的内部控制审计报告的数量

2014年，2049家上市公司披露了内部控制审计报告，总体披露率为77.88%。其中，上海主板、深圳主板、深圳中小板和深圳创业板的披露比例分别为92.43%、96.79%、56.49%和59.67%。

(二)内部控制审计报告格式规范

根据审计依据和审计对象，本报告将内部控制审计报告分为标准化内部控制审计报告、内部控制验证报告、内部控制审计报告、中小板内部控制审计报告、特殊内部控制报告和其他类型的报告。2014年，1424家上市公司披露了标准化内部控制审计报告，占69.50%；625家公司未披露标准内部控制审计报告，占30.50%。其中，仅11.00%的深圳中小板公司披露了规范的内部控制审计报告，89.00%的公司披露了不规范的格式；深圳创业板只有3.20%的公司披露了标准化的内部控制审计报告，96.80%的公司披露了不规范的内部控制审计报告。

(3)内部控制审计意见

2014年，内部控制审计意见无保留的上市公司有1965家，占95.90%；上市公司内部控制审计意见为非标准意见的有84家，占4.10%。其中，内部控制审计意见为非标准意见的上市公司中，重点关注事项的无保留意见有58个，占2.83%；有2处保留，占0.10%；负面意见21条，占1.02%；共有3人无法表达意见，占0.15%。如图4所示。

(4)审计中发现的内部控制重大缺陷

2014年，导致负面意见的主要内部控制缺陷有53个。从涉及的业务活动/事项来看，首先是财务活动缺陷，共14项，占26.42%；其次是财务报告缺陷和资产管理缺陷，分别为7项和6项，分别占13.21%和11.32%。如图5所示。

在会计师事务所2014年发布的内部控制审计报告中，有13家上市公司被认定为非财务报告内部控制存在重大缺陷，共计14家。根据缺陷涉及的业务活动/事项，有9个组织结构缺陷，占64.29%；3 .信息披露缺陷，占21.43%；有2项社会责任缺陷，占14.29%。如图6所示。

(5)上市公司内部控制整合审计

2014年，采用内部控制整合审计的上市公司有2011家，占98.15%；独立审计的上市公司有38家，占1.85%。

(6)内部控制审计费用

2014年，在披露内部控制审计报告的2049家上市公司中，有1249家公司披露支付了内部控制审计费用，占60.96%。其中，1206家公司单独披露了内部控制审计费用的金额，43家公司没有披露内部控制审计费用的具体金额。

2014年，仅披露内部控制审计费用的上市公司就有1206家，总计54868.17万元，平均每家公司内部控制审计费用为45.5万元。根据各上市公司内部控制审计费用占审计费用总额的比例分析，内部控制审计费用占审计费用总额的平均比例为27.32%。

六.2011-2014年内部控制审计比较

2011年至2014年，上市公司内部控制审计也发生了重大变化。从审计报告的披露比例来看，2014年，上市公司内部控制审计报告的披露比例逐年稳步增长，平均增长24.76%；从内部控制审计费用的披露情况来看，上市公司内部控制审计费用的披露比例在过去四年中大幅上升，尤其是2012年以来，平均上升了220.18%。同时，从内部控制审计非标准意见的披露来看，2011-2014年，上市公司内部控制审计非标准意见的比例也呈现上升趋势，这在一定程度上反映了随着监管的不断加强和监管要求的日益规范，上市公司内部控制审计也变得越来越严格。

七、上市公司内部控制存在的问题及政策建议

(一)上市公司内部控制问题

一是内部控制评价报告和内部控制审计报告的披露格式不规范。例如，仍有19.26%的上市公司未按照《公开发行证券公司信息披露编报规则第21号——年度内部控制评价报告一般规定》(证监会公告[2014]1号)进行披露。其中，5.91%的上海主板公司和8.84%的深圳主板公司没有按照规范要求进行披露；21.95%和39.38%在深圳中小板和深圳创业板上市的公司未按规定要求披露。内部控制审计报告的披露也存在类似问题。

二是内部控制缺陷信息披露不完整，可用性差。2014年，32.10%的上市公司披露了内部控制缺陷和可用性差的不完整信息。

第三，内部控制评价和信息披露不够严格。2014年，17家上市公司的内部控制评价报告与注册会计师出具的内部控制审计报告存在重大不一致。此外，24家主板公司在其年度报告中表示，内部控制评价报告和内部控制审计报告已经披露，但通过聚超信息网、公司官方网站、中国证监会网站和交易所网站等多种渠道无法找到这些报告。

第四，对内部控制评价结论有效性判断标准的理解存在差异。2014年，1.43%的公司内部控制评价结论整体无效，1.62%的公司内部控制存在重大缺陷，且明显不一致。这主要是因为上市公司对监管规则中内部控制评价结论有效性的判定标准有不同的理解。

第五，上市公司在资产管理和资本活动控制方面存在集中问题。根据具体业务活动和缺陷涉及事项的分类统计，2014年，在上市公司披露的内部控制缺陷中，资产管理缺陷和资本活动缺陷最为突出，分别占13.25%和12.41%。同时，根据披露2014年上市公司具体内容的93项重大内部控制缺陷和导致内部控制审计负面意见的53项重大内部控制缺陷的分类统计，资本活动的重大缺陷最为突出，分别占内部控制评价和内部控制审计重大缺陷的23.66%和26.42%，显著高于其他重大缺陷，属于上市公司重大缺陷发生的重灾区。

第六，中小板和创业板上市公司内部控制规范化建设有待加强。与主板上市公司相比，中小板上市公司和创业板上市公司内部控制评价报告的披露比例略高，但其披露报告的规范性披露比例明显低于主板上市公司，非标准报告的披露比例分别为21.95%和39.38%，分别是主板上市公司的3.42倍和6.14倍。

第七，注册会计师内部控制审计的执业质量有待提高。剔除非财务报告内部控制缺陷等因素造成的不一致，2014年，54家上市公司的内部控制审计意见与财务报表审计意见存在显著差异。此外，仍有1.95%的上市公司内部控制审计报告只描述了导致非标准意见的事件过程，而没有说明重大缺陷的性质、原因、影响和整改情况；还有超过286家上市公司披露内部控制审计报告时没有会计师事务所或注册会计师的印章或签名。

(2)政策建议

虽然2014年上市公司内部控制信息披露的数量和质量较往年稳步提高，总体披露情况良好，但不可否认的是，上市公司内部控制信息披露和内部控制建设中仍存在一些不容忽视的问题。因此，白皮书提出以下政策建议，以促进上市公司进一步提高内部控制水平，提高风险防范能力，促进资本市场健康发展。

一是统一内部控制监管标准，提高上市公司内部控制实施的规范性。

目前，上市公司在内部控制评价和审计中可以遵循许多监管规则。由于不同监管标准之间的关系不明确，一些上市公司获得了选择性披露的机会。因此，建议监管机构尽快统一上市公司内部控制监管标准，明确不同标准之间的层级关系，及时废止旧的不适用的监管规则，提高上市公司内部控制实施的规范性。

二是完善内部控制缺陷信息披露，加强对上市公司内部控制缺陷整改的监管。建议上市公司严格按照内部控制评价报告的内容和格式要求，客观、全面地做好内部控制评价信息披露工作，全面、真实地披露内部控制缺陷信息，有效提高公司内部控制缺陷的披露质量，为报告使用者提供更加有效的内部控制信息。建议监管机构加强对上市公司内部控制缺陷整改的监管，督促上市公司积极实施缺陷整改和信息披露，提高内部控制水平。

第三，加强对上市公司资产管理和资本活动信息披露的监管，防范资产和资本风险。建议监管部门特别重视对上市公司资产管理和资本活动的信息披露监管，推动上市公司建立和完善资产管理和资本管理的控制度，有效防范上市公司资产和资本风险。

第四，逐步在中小板和创业板上市公司实施内部控制标准体系，加强对投资者的保护。建议中小板和创业板上市公司逐步实施内部控制标准体系，提高中小板和创业板上市公司的内部控制水平和信息披露质量，加强对中小板和创业板市场投资者的保护。

第五，加强对注册会计师内部控制审计实务的监管，提高其执业质量。建议监管部门加强对注册会计师内部控制审计业务的监管，要求注册会计师严格按照监管要求进行内部控制审计，惩罚注册会计师在内部控制审计过程中的失职行为，充分发挥注册会计师在上市公司内部控制建设中的监管作用。

第六，积极探索建立内部控制可交易指数，引导投资者回归价值投资。建议监管机构和第三方中介机构合作探索建立内部控制可交易指数，提高上市公司和投资者对内部控制的重视程度，引导投资者回归理性价值投资，推动上市公司积极实施内部控制制度，不断提高上市公司质量。

七、加强内部控制法制建设，加强对上市公司内部控制的监管。建议监管机构在修订《证券法》时增加内部控制的相关规定，明确董事会、监事会和管理层在实施上市公司内部控制中的主要职责，从法律层面加强对上市公司内部控制的监管。