内控评价的现状、问题及改进建议，本文主要内容关键词为：内控论文,现状论文,评价论文,建议论文，此文献不代表本站观点，内容供学术参考，文章仅供参考阅读下载。
继2008年《企业内部控制基本规范》出台后，2010年4月，财政部等五部委发布了《企业内部控制评价指引》(以下简称指引)，要求企业对内部控制的有效性进行自我评价。并披露年度自我评价报告。那么，指引发布后的3年多来，我国在企业内部控制评价方面取得了哪些成果？存在怎样的不足？如何改进？本文对此进行了总结和探索。
一、现状
(一)评价主体方面
1.执行部门
依据抽样研究结果，上市公司执行内控评价的部门分布如表1所示。由表1可以看出，负责执行内控评价活动的部门主要有审计委员会、内审部门、内控评价小组等。除了以上3个部门外。还有一些企业授权法律监察部、运营管理部、风险管理部等负责内控评价的具体实施。
由内审部门担当评价执行任务，从2010年的10％上升到2012年的40％，逐渐成为内控评价的主角；内控评价小组也发挥着重要作用，在2011年和2012年分别占到34％和28％的比例；其他部门作为补充角色，有不断扩大的趋势；而审计委员会的比重由2010年的14％降为2012年4％，有退出内控直接评价的趋势。
2.管理层及评价人员
企业内控评价的主体主要是管理层和内控专业人才，管理层的决策引领评价方向，专业人才决定着评价质量，他们对评价效果有着举足轻重的作用。
根据德勤对中国企业内控调查分析报告的相关数据，笔者绘制了表2。由表2可见，认为管理层应提高重视程度的比例从2010年的38％提高到2012年的55％。这可能是随着企业内控实施的不断深化，人们越来越认识到管理层在内控实施中的突出地位及其领导作用，同时也反映出部分企业的管理层对内控评价的重要性认识不够、投入的精力不足等问题。另一方面，多数企业认为本企业缺乏专业人才。不过，这种观点已从2010年的68％下降到了2012年的54％，企业内控专业人才缺乏的状况正在得到改善。
(二)内控评价报告和审计报告的披露数量
从图1可以看出，2010～2012年，沪深两市披露内控评价报告和内控审计报告的上市公司数量不断增多，说明越来越多的公司开始重视内控建设及相关信息披露。同时，内控审计报告披露的比例一直低于内控评价报告，反映出没有监管机构的强制要求，大多数公司不愿意聘请第三方对自身内控进行评价。
图1 2010～2012年上市公司内控评价报告和审计报告披露状况
注：数据来自迪博2010～2013年《中国上市公司内部控制白皮书》。
(三)内控评价报告的内容
1.详细程度
通过对150家样本公司的评价报告的分析，发现报告内容详略程度差别较大，如表3所示。
通过表3可以看出，详细披露的公司比例不断增多，2010～2012年增幅为82.6％，未详细披露所占比重逐渐减少，最引人注目的是只有综述的“一页纸披露”模式由2010年的54％降至2012年的0，说明上市公司越来越重视内控评价，评价实务的能力也在不断增强。同时，笔者在整理分析过程中发现2010年详细披露的公司基本都是以内控5要素作为主要内容，且报告模式不尽相同，而2012年只有20％的公司主要披露5要素，更多的公司突出披露了主要控制活动、存在的问题及整改措施，报告模式也趋近统一，信息价值更大，可比性更强。
相反，2012年中未详细披露的公司大都只是简单套用模板，针对自身内控建设具体情况的信息较少，缺乏有用性。
2.内控缺陷认定标准披露
指引要求企业在内控评价报告中根据自身情况，披露缺陷的认定标准。2010～2012年150家样本公司内控缺陷认定标准披露如表4所示。
由表4可见，2010～2012年，披露内控缺陷认定标准的上市公司数量不断增多，缺陷认定标准越来越详细和科学，不过至今仍有1/3以上(“其他”和“未披露”的合计数)企业未详细披露或未披露认定标准，可能是不愿意披露或者没有具体标准。
3.内控缺陷和整改措施披露
内控缺陷及整改措施是内控评价报告的重要组成部分，客观合理地披露内控缺陷和整改措施可以增强投资者等利益相关者对公司内控的信心。上市公司2010～2012年共计150家样本公司披露内控缺陷和整改措施情况见表5。
由表5可见，2010年只有30％的公司披露了内控缺陷及整改措施，有很多公司只是泛泛而谈，也有的仅说明不存在重大和重要缺陷，而没有证据支持，有的丝毫没有涉及内控缺陷问题。2012年，披露情况有了较大改善，完全未提及内控缺陷和整改措施的公司数量仅为24％。这一方面说明上市公司内控评价意识在不断增强，另一方面也表明监管措施发挥了有效的作用。
二、问题
(一)管理层轻视
有相当数量企业的“一把手”不重视内控，或者认为实施内控的成本过高，于是仅仅为了满足监管要求，将内控交给财务部门或其他相关部门负责，导致企业内控实施进程较为缓慢。如德勤《2012中国企业内控分析报告》指出，有更多受访者(由2011年的48％提升至2012年的55％)对管理层在内部控制工作的意识不到位持“完全同意”和“部分同意”的看法。同时，也有33％的受访者认为内控工作花费成本过高。这样，即使企业建立了有形的制度，无形的道德基础文化氛围也难以形成。
(二)专业人才不足
调查表明，内控专业人才的缺乏是内控在实施过程中的实质性障碍之一。
对内部控制进行评价，首先要求评价人员具有全面的业务知识，居于全局的角度，对整个企业进行深入、科学的把握。而现实中，很多专业人员都是“半路出家”，从别的岗位中转到内控评价工作中，边摸索边学习，经验和专业知识不足，采用的方法和策略难免不科学；其次，企业对内控评价人才重视不够，必要的培训敷衍了事，有的甚至“赶鸭子上架”；最后，我国的高等教育与企业实务脱节，学生对内控评价一知半解，不能适应企业内部控制建设快速发展的需要。
(三)评价机构不统一，最终责任者模糊不清
指引中规定董事会或类似权力机构负责企业内控评价，但实务中董事会很少直接执行内控评价，一般都是授权相关部门具体负责评价活动。审计委员会直接进行内控评价的企业越来越少，内审部门等机构执行评价的比重日趋增大。由于内审部门独立性和权威性的局限，在缺乏公司董事会有力支持的情况下，难以做到评价的全面深入；内控评价小组虽然汇集了各个部门的专业人员，但它是一个临时性的机构，评价活动结束后一般会解散，可能存在不独立、不深入、缺乏持续性和长远性的问题。
评价机构的不统一，也导致内控评价最终责任者模糊不清。基本规范规定“董事会负责内部控制的建立健全和有效实施。监事会对董事会建立与实施内部控制进行监督。”同时又规定“审计委员会负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况。”而现实情况是监事会和审计委员会很少直接参与内控的评价，甚至也没有发挥领导和指导监督的作用。
(四)认知模糊及理论研究的缺位
据德勤报告，25％的受访者表示不能完全理解全面内部控制与财务报告内部控制的区别与联系。“公司建立了内控制度，但与原来的基础管理制度相比，孰大？公司的所有制度都是内控制度，还是说经过梳理的对关键风险点进行控制的制度才是内控制度？”道出了上市公司高管的困惑。还有，基本规范规定“经理层负责组织领导企业内部控制的日常运行”，那么，治理层出了问题，是属于内控层面的问题？还是属于公司治理层面的问题？所有这些问题都影响内控评价的科学合理性和可行性，最终影响到内控的威慑力和效力。
(五)评价标准不统一
在实务中，内控的尺度缺乏明确界定，企业的内控究竟做到什么程度才是合适的？什么样的内控是有效的？缺乏清晰的判断尺度，企业无所适从。另外，不同企业的内部控制差异较大，即使是制定了评价办法，很多也都是“摸着石头过河”。据财政部2012年调查报告，有602家企业制定了内部控制自我评价办法，占比约74％；170家企业并未制定内部控制自我评价办法，占比约21％；另外还有41家企业表示并不清楚，占比约15％。
(六)评价方法落后
很多企业仍然沿用传统的评价方法，主要包括个别访谈法、调查问卷法、比较分析法、标杆法、穿行测试法、抽样法、实地查验法、重新执行法、专题讨论会法等，缺乏必要的重要性分析和风险评估，缺乏对缺陷认定、补偿性控制及其影响的综合性分析。
(七)内控缺陷认定无章可循
“何谓重大缺陷？是否可以量化？”上汽的做法是在既定标准基础上发生总量超过20％的即认定为重大缺陷。据财政部2012年调查报告，在内部控制缺陷的认定方面，能够明确提出缺陷标准的企业只有47家，占总数的5.8％，大部分企业未明确回答缺陷标准。在回答较好的企业当中仍以财务缺陷为主，其他标准均为定性判断。这表明缺陷标准认定是企业的薄弱环节。
(八)内控报告披露“走过场”
通过对2012年上市公司内控评价报告的分析可见，几乎所有的公司都是按照财政部《企业内部控制规范体系实施中相关问题解释第1号》中所给模板进行了披露，内容结构比较单一，读后难以得到实质意义的信息。虽然披露了要求披露的所有大的项目，但没有详述其具体内容，比如“内控评价的范围”项，很多公司只是披露了纳入评价范围的子公司，或者只列举了重点控制活动，没有控制活动的具体内容。也有些公司披露一些无关痛痒、与财务报告关系不大的内控缺陷。还有一些公司在披露时说一些套话、空话，看起来语言表达很准确、很全面、很工整，甚至很优美，但阅读者看不出公司内控的特点及其缺陷。
(九)主动披露缺陷费力不讨好
2012年，财政部会计司和证监会会计部联合公布《我国境内外同时上市公司2011年执行企业内控规范体系情况分析报告》，披露了67家境内外同时上市企业的内控实施情况及存在的突出性问题，其中15家企业披露的内控缺陷被以附表形式罗列。一时间，这15家公司成了负面报道的典型，并被媒体广泛传播。
因自身主动披露反而成为负面典型，让企业感觉很“受伤”，引发了企业对“要不要披露自身内控缺陷”的困惑，也使很多企业普遍担心披露内控缺陷，会使形象变差，进而影响发展。
三、建议
(一)进一步提升企业领导的重视程度
领导层要转变理念，拥有长远和大局的眼光，把内控建设和内控评价放在工作的重要位置，积极配备人力、物力，定目标，分任务，明确责权。同时，领导层要更新自己的知识结构，准确解读内控评价指引，将最先进的适合企业的内控评价理念应用于企业，逐步优化企业内控。
(二)提高人员素质
目前，我国内控评价存在问题的重要原因之一是缺乏高素质的专业人才。为此，企业要实行先进的人力资源政策，任人唯贤，聘用经验多、业务能力强的人员执行内控评价；要加强培训，努力提升员工的业务素质和道德水平；制定有效的奖惩机制，对评价人员的理论水平、实务水平和道德水平进行综合考核。另一方面，各高等院校要根据实际需要，适当调整人才培养模式，让更多的学生有机会了解和接触内控实务，增强实践经验，以便进入社会后尽快适应企业需要。
(三)确立监事会负责、审计委员会配合的评价主体模式
内部控制的自我评价，实质上是自我监督。但是，“任何人都不能监督自己的工作，因此必须将实施工作与监督责任相分离。”由此看来，由独立于董事会的监事会负责企业内控的自我评价最为理想，并由审计委员会进行专业配合，以弥补监事会专业能力的不足。同时，还可将内部控制监督结果与考核挂钩，有奖有罚、责任明确。
(四)明确理论研究重点，制定具体评价办法
美国要求的内部控制自我评估仅是与财务报告相关的内部控制，旨在对财务报告可靠性的过程提供保证。而我国要求的内控评价范围相对更广、更全面，这虽有利于企业全面实现内部控制目标，但企业也面临着很大的挑战，也对规范及指引提出了更高的要求。
对此，理论界应对实务界存在困惑的概念、范围界定，以及存在争议的观点进行梳理与分析，发动专家学者给予深入研究和释疑。监管部门应对内控评价标准、评价方法、内控缺陷的认定等深入调研，萃取各企业成功经验，制定分行业甚至分别不同企业规模的具体评价指引。
(五)揭露和处罚评价报告披露“走过场”的企业
如果评价机构的独立性、权威性不足，或者制定的内部控制制度与实际执行出现“两张皮”，或者企业自我评价结果与内控审计结果之间有较大差异，那么企业内控报告披露就有“走过场”的可能。对“走过场”企业，媒体、专家学者要给予揭露，监管部门要制定处罚细则并切实执行。
(六)引导和鼓励企业主动披露内控缺陷
证监会、财政部等部门要继续完善内控缺陷的披露机制，加强内部控制法制建设，营造敢说话、说真话的良好氛围，使全社会理解并鼓励企业主动披露内控缺陷，强化对隐瞒内部控制缺陷、虚假披露内部控制有效性的企业及其责任人的处罚力度。同时进一步发挥中介机构作用，使内控审计成为自我评价信息披露质量的试金石和助推器。
标签：内部控制论文; 企业内部控制评价指引论文; 内控体系建设论文; 内部控制缺陷论文; 审计委员会论文; 风险内控论文;