2012年中国上市公司内部控制研究，本文主要内容关键词为：内部控制论文,年中论文,上市公司论文，此文献不代表本站观点，内容供学术参考，文章仅供参考阅读下载。
一、引言
2012年是中国内部控制规范体系实施的承上启下的一年，为了加强和规范企业内部控制，财政部、审计署、证监会、银监会、保监会五部委先后于2008年和2010年发布了《企业内部控制基本规范》和《企业内部控制配套指引》，初步构建了我国企业内部控制规范体系。2011年，68家境内外同时上市公司和216家内控规范试点公司开始强制实施企业内部控制规范体系。2012年，财政部和证监会联合发布公告，将内部控制规范体系的强制实施范围进一步扩大到主板国有控股上市公司，从而标志着我国上市公司正式进入内部控制规范体系的分类分批实施阶段。
在美国，萨班斯法案(以下简称SOX法案)实施的成本和收益一直是学术界和实务界争论的热点话题。而我国，随着2012年强制实施内控规范的上市公司数量急剧增多，实施内部控制规范的收益和问题也更加明显地表现出来。实施内部控制规范体系是否提升了内部控制信息的披露质量？内控规范的实施存在哪些问题和不足？其影响因素是什么？以及如何及时地调整政策以避免这些问题和不足？这些是我国监管层、上市公司和投资者密切关注的问题，也是学术界需探究的重要问题。因此，对当前内部控制规范实施现状和存在的问题进行全面的统计、描述和分析，对上述重要问题的解决无疑是重要的。鉴于此，本文将采用统计分析的方法，对2012年度上市公司内部控制情况进行全面而详细的统计研究，从而描述上市公司内部控制建设和披露的现状和问题。具体地，本文将依据上市公司公开披露的内部控制信息，从内部控制评价报告、内部控制评价缺陷、内部控制审计报告、内部控制审计意见、审计费用和内部控制咨询等角度对2012年上市公司内部控制情况进行统计分析，揭示上市公司内部控制披露和建设中存在的问题，并针对发现的问题提出相应的政策建议。
本文对中国内部控制现状进行全景式介绍和分析，力图有利于学术界和实务界对上市公司内部控制现状的理解、发掘新的学术研究问题，并希望能对内部控制政策制定和监管改进提供一些借鉴。
二、文献综述
近几年，内部控制成为学术界研究的热门话题。在国外，SOX法案实施之后，关于内部控制的研究成果层出不穷。据我们统计，截至2013年6月，已有76篇内部控制领域论文被会计学国际TOP5①的学术期刊发表或录用。国外研究基本上用内部控制缺陷来衡量上市公司的内部控制质量。Ashbaugh－Skaife et al.(2007)和Doyle et al.(2007)率先研究了哪些企业更可能存在内部控制缺陷，发现经营业务复杂、近期组织结构发生变动、财务风险较高、财务状况较差、内部控制可投入资源较少的企业更有可能存在内部控制缺陷。然而相比内部控制影响因素，学术界更加关注内部控制的经济后果。现有文章已经发现，高质量的内部控制可以提升应计质量(Doyle et al.,2007; Ashbaugh－Skaife et al.,2008等)、降低盈余管理水平(Carter et al.,2009等)、提升财务报告稳健性(Goh and Li,2011等)、降低融资成本(Kim et al.,2011等)、降低审计费用(Hogan and Wilkins,2008)、减少企业冒险行为(Bargeron et al.,2010)等。
但是在美国，对于SOX法案的强制执行，也存在反对的声音。比如Engel et al.(2007)发现在SOX法案通过后，每个季度公司私有化交易的频率加快了。Leuz et al.(2008)则认为SOX法案增加了报告成本，特别是加重了小企业的成本负担，使得更多的小企业转向次级市场。
近年来，国内也涌现了一批内部控制实证研究成果。林斌和饶静(2009)基于信号传递理论，发现内部控制资源充裕、快速成长、设置了内审部门的上市公司更愿意披露内部控制鉴证报告；而上市年限长、财务状况差、组织变革程度高及发生违规的公司更不愿意披露鉴证报告。与国外研究类似，更多的国内文献关注内部控制的经济后果。虽然我国与美国的制度背景存在重大差异，但是国内研究也依然发现内部控制可以提升应计质量(董望和陈汉文，2011等)、抑制盈余管理(方红星和金玉娜，2011等)、降低审计收费(张旺峰等，2011等)、增加管理层薪酬业绩的敏感度(卢锐等，2011等)、提高投资效率(李万福等，2011等)等。
与国外不同的是，由于我国缺乏高质量的内部控制缺陷披露数据，因此大部分文章通过构建内部控制指数来衡量上市公司的内部控制质量，从而形成了相当一批研究内部控制指数构建的文献(中国上市公司内部控制指数研究课题组，2011等)。胡为民(2012)基于内部控制战略、经营、报告、合规和资产安全五大目标的实现程度设计内部控制基本指数，并将内部控制重大缺陷作为修正指标，对内部控制基本指数进行补充与修正，构建了内部控制综合指数，接着作者利用构建的指数进行实证研究发现，与不披露的上市公司相比，披露内部控制评价报告或内部控制审计报告的上市公司的内部控制水平更高。
但迄今为止，国内几乎没有文献关注我国内部控制规范体系执行成本的问题，而且也少有文献对我国内部控制规范体系的执行情况和存在问题进行全面的描述和分析。杨有红和汪薇(2008)、杨有红和陈凌云(2009)分别对2006年和2007年沪市公司内部控制信息披露情况进行介绍和描述分析。但是由于2006年和2007年我国内部控制规范体系尚未建立，因此这两篇文章只能描述内部控制规范体系建立之前内部控制信息的披露情况。鉴于此，本文拟对2012年上市公司内部控制情况进行统计分析，全面分析当前内部控制规范体系的执行现状和存在问题，进而为相关政策的制定和监管的改进提出相应的建议。
三、样本选取与数据来源
截止2012年12月31日，沪、深交易所A股上市的公司共有2472家，剔除3家已经退市的公司，本文的总样本包括2469家A股上市公司。
本文的数据(包括所引用的DIB迪博内部控制与风险管理数据库的数据)来源于上市公司公开披露的年报、内部控制评价报告、内部控制审计报告、财务重述报告、诉讼报告等。其中上市公司内部控制评价报告、内部控制审计报告的披露情况，以能否在沪、深交易所和巨潮资讯网上查找到单独披露的内部控制评价报告或内部控制审计报告为准，如果公司在年报中注明有在沪、深交易所或巨潮资讯网中披露该报告，但实际上在沪、深交易所以及巨潮资讯网中未披露该报告，本文将默认为未披露。本文的数据截止日为2013年4月30日。
四、管理层内部控制评价披露情况
(一)内部控制评价报告披露情况
1.内部控制评价报告总体披露情况
根据本文的统计，2469家上市公司中，有2223家上市公司在2013年4月30日前披露了内部控制评价报告②，披露比例为90.04％；246家未披露内部控制评价报告，占比9.96％。
在2223家披露内部控制评价报告的上市公司中，2219家上市公司的内部控制评价结论为有效，占比99.82％；4家上市公司的内部控制评价结论为无效，占比0.18％。评价结论无效的四家上市公司分别为：北大荒(600598)、长春经开(600215)③、万福生科(300268)、海联讯(300277)。
2.按是否强制实施分类的内部控制评价报告披露情况
2012年，纳入强制实施范围的上市公司④共853家，其中有14家为B股上市公司，本文仅关注纳入强制实施范围的839家A股上市公司。统计发现，这839家上市公司中，有833家上市公司在2013年4月30日之前披露了内部控制评价报告，披露比例为99.28％。而非强制实施的上市公司披露比例仅为85.28％。强制实施的披露比例比非强制实施的披露比例高出14.00％。
3.按上市板块和交易所分类的内部控制评价报告披露情况
本文按上市板块对上市公司进行分类统计，发现主板1413家上市公司中，1168家披露了内部控制评价报告，披露比例为82.66％；中小板701家上市公司中，700家披露了内部控制评价报告，披露比例99.86％；创业板355家上市公司全部披露了内部控制评价报告，披露比例为100％。
接着，本文按交易所进行分类，发现上交所944家上市公司中，705家披露了内部控制评价报告，披露比例为74.68％；深交所1525家上市公司中，1518家披露了内部控制评价报告，披露比例为99.54％。
4.按行业分类的内部控制评价报告披露情况
根据证监会2012年发布的第31号公告《上市公司行业分类指引》，本文将上市公司分类为18个行业，具体如表1所示。不难发现，金融业、住宿和餐饮业、教育业的上市公司内部控制评价报告披露比例最高，均为100％；而批发和零售业、卫生和社会工作业、综合业的上市公司内部控制评价报告披露比例较低，分别为79.08％、77.27％和66.67％。
(二)内部控制评价缺陷的披露情况
1.内部控制评价缺陷认定标准的披露情况
在2223家披露了内部控制评价报告的上市公司中，734家披露了内部控制缺陷认定标准，占比33.02％，1489家⑤未披露内部控制缺陷认定标准，占比66.98％。其中，纳入强制实施范围且披露了内部控制评价报告的833家上市公司中，559家披露了内部控制缺陷认定标准，占比67.11％；未纳入强制实施范围但披露了内部控制评价报告的1390家上市公司中，仅有175家披露了内部控制缺陷认定标准，占比12.59％，披露比例远低于纳入强制实施范围的上市公司。
2.披露内部控制评价缺陷的上市公司数量
在2223家披露了内部控制评价报告的上市公司中，503家上市公司披露自身存在内部控制缺陷，占比22.63％。其中，4家上市公司仅披露了内部控制重大缺陷，1家公司披露了内部控制重大缺陷和重要缺陷，3家公司披露了内部控制重大缺陷和一般缺陷，8家公司仅披露内部控制重要缺陷，27家公司披露了内部控制重要缺陷和一般缺陷，460家公司仅披露内部控制一般缺陷。如表2所示。
3.上市公司内部控制评价缺陷的数量和内容
披露存在内部控制缺陷的503家上市公司共披露内控缺陷4281个，其中重大缺陷20个，占比0.47％；重要缺陷340个，占比7.94％；一般缺陷3921个，占比91.59％。
另外，有424家上市公司披露了具体的内部控制缺陷内容。其中8家上市公司披露了内部控制重大缺陷，共披露20项内部控制重大缺陷内容；20家上市公司披露了内部控制重要缺陷，共披露39项内部控制重要缺陷内容；409家⑥上市公司披露了内部控制一般缺陷，共披露1216项内部控制一般缺陷内容。如表3所示。
归纳总结8家上市公司披露的内部控制重大缺陷，本文分析发现，重大缺陷主要集中发生在如下领域：(1)关联交易：关联交易未正确履行审批程序以及上市公司未及时准确地披露关联交易的信息；(2)控股股东：控股股东违规占用上市公司的资金；(3)对子公司的管控：与子公司的信息沟通存在问题、未能对子公司实施有效的管控；(4)财务报表核算：财务报表核算过程中出现差错，与财务报表准确性相关的内部控制执行存在重大缺陷；(5)发展战略：缺乏明确的发展战略；(6)信息披露：上市公司未及时履行信息披露义务或披露的信息不准确。除此之外，上市公司在合同管理、票据管理、内部信息沟通、预算、组织架构等方面也容易出现重大缺陷。
五、内部控制审计披露情况
(一)内部控制审计报告披露情况
1.内部控制审计报告的总体披露情况
根据统计，有1504家上市公司在2013年4月30日前披露了内部控制审计报告⑦，占全部A股上市公司的60.92％。其中，进行内部控制整合审计的上市公司为1482家，占比98.54％；单独审计的上市公司为22家，占比1.46％。
2.按报告类型分类的内部控制审计报告披露情况
不同上市公司披露的内部控制审计报告的格式以及内容存在重大差异，总体可以归为以下几类：
(1)规范的内部控制审计报告：指会计师事务所依据《企业内部控制基本规范》和《企业内部控制审计指引》出具的《内部控制审计报告》。
(2)中小板的内部控制审计报告：此类内部控制审计报告依据深圳证券交易所《中小企业板上市公司规范运作指引》而出。会计师事务所的审计依据为《中国注册会计师其他鉴证业务准则第3101号——历史财务信息审计或审阅以外的鉴证业务》。
(3)内部控制鉴证报告：会计师事务所出具该报告的审计依据为《中国注册会计师其他鉴证业务准则第3101号——历史财务信息审计或审阅以外的鉴证业务》。会计师事务所审计仅针对“上市公司是否按照《企业内部控制基本规范》和《企业内部控制配套指引》等相关规定在所有重大方面保持了与财务报表相关的内部控制”发表意见，即内部控制鉴证报告仅对财务报表相关的内部控制发表意见。
(4)内部控制专项报告：内部控制专项报告的会计师事务所的审计依据为《中国注册会计师审计准则》。审计师重点关注上市公司在《关于内部控制有关事项的说明》中所述的与财务报表编制相关的内部控制情况是否与会计师事务所在财务报表审计中发现的情况存在重大不一致。
(5)内部控制审核报告：会计师事务所出具该报告的审计依据为《中国注册会计师其他鉴证业务准则第3101号——历史财务信息审计或审阅以外的鉴证业务》或《内部控制审核指导意见》。审计的对象是上市公司是否按照财政部《内部会计控制规范——基本规范(试行)》及相关具体规范标准，在所有重大方面保持了与会计报表相关的有效的内部控制。
根据本文统计，1504家披露了内部控制审计报告的上市公司中，935家披露了规范的内部控制审计报告，占比62.17％；485家披露了内部控制鉴证报告，占比32.25％；39家披露了中小板内部控制审计报告，占比2.59％；23家披露了内部控制专项报告，占比1.53％；22家披露了内部控制审核报告，占比1.46％。
3.按是否强制实施分类的内部控制审计报告披露情况
纳入强制实施范围的839家A股上市公司中，有825家上市公司在2013年4月30日之前披露了内部控制审计报告，披露比例为98.33％；非强制实施的1630家上市公司中，只有679家在2013年4月30日前披露了内部控制审计报告，披露比例仅为41.66％，远低于强制实施的上市公司。
4.按板块和交易所分类的内部控制审计报告披露情况
本文根据上市板块对上市公司进行分类，统计发现，主板上市公司中933家披露了内部控制审计报告，披露比例为66.03％；中小板上市公司359家披露了内部控制审计报告，披露比例为51.21％；创业板上市公司212家披露了内部控制审计报告，披露比例为59.72％。接着，本文按交易所分类发现，上交所627家上市公司披露了内部控制审计报告，披露比例为66.42％；深交所877家上市公司披露了内部控制审计报告，披露比例为57.51％。
5.按行业分类的内部控制审计报告披露情况
2012年，按行业分类的上市公司内部控制审计报告披露情况如表4，除教育业(仅有一家上市公司)外，金融业的内部控制审计报告披露比例最高，为97.62％；科学研究和技术服务业的内部控制审计报告披露比例最低，仅为41.67％。
(二)内部控制审计意见、审计费用披露情况
1.内部控制审计意见披露情况
出具内部控制审计报告的1504家上市公司中，内部控制审计结论为标准无保留意见的上市公司共1479家，占比98.34％；非标意见共25家，其中带强调事项段的无保留意见为21家，占比1.40％，否定意见为4家，占比0.27％。
具体来看，有4家上市公司被出具了内部控制否定意见，其中3家为主板上市公司(贵糖股份，000833；北大荒，600598；天津磁卡，600800)，且其内部控制审计报告类型均为规范的内部控制审计报告；另外1家公司(海联讯，300277)为创业板上市公司，其审计报告类型为内部控制鉴证报告，不属于强制实施范围。
另外，还有21家上市公司的内部控制审计结论为带强调事项段的无保留意见，其中20家的内部控制审计报告类型为规范的内部控制审计报告，有18家为强制实施内部控制规范的公司。
本文将所有A股上市公司的内部控制评价结论以及审计意见进行对比，结果发现：贵糖股份(000833)和天津磁卡(600800)的内部控制审计意见为否定意见，但其内部控制评价结论为有效。
本文又将上市公司的内部控制审计意见与财务报表审计意见进行对比，结果如表5所示：44家上市公司的财务报告审计意见与内部控制审计意见存在不一致，占出具内部控制审计报告上市公司总数量的2.93％。
2.内部控制审计费用披露情况
2012年，在1504家出具内部控制审计报告的上市公司中，730家在年报中披露其支付了内部控制审计费用，占比48.54％；在这730家上市公司中，697家单独披露了内部控制审计费用的金额，33家未披露具体的内部控制审计费用金额。
单独披露内部控制审计费用的697家上市公司的审计费用总额为336,108,362元，均值为482,221元。其中，规范的内部控制审计报告的内部控制审计费用的均值较高，为486,059元，远高于出具其他类型内部控制审计报告所需的审计费用。如表6所示。
六、内部控制咨询机构聘用情况
本文统计发现，有570家上市公司聘请了内部控制咨询机构帮助其建立内部控制体系或进行内部控制评价，占全部上市公司的23.09％。另外本文发现，部分上市公司聘请的内部控制咨询机构与为其提供内部控制审计的会计师事务所是一致的，或是两者之间存在着关联关系。考虑到《企业内部控制基本规范》第一章总则第十条规定：“为企业内部控制提供咨询的会计师事务所，不得同时为同一企业提供内部控制审计服务”，因此这些企业均在一定程度上违反了《企业内部控制基本规范》的规定。
七、内部控制质量与盈利能力
(一)内部控制缺陷与盈利能力
根据《企业内部控制基本规范》，内部控制的目标和作用包括“提高经营效率和效果，促进企业实现发展战略”。因此，本文预期，内部控制较好的公司，经营业绩较好，盈利能力较强。本文以是否存在内部控制缺陷衡量企业内部控制质量，以每股收益衡量企业的盈利能力，运用stata11.0对内部控制缺陷与盈利能力的关系进行T检验。实证结果表明，不存在内部控制缺陷的上市公司的每股收益的均值显著高于存在缺陷的上市公司，且两者之间的差异在10％的水平下显著。这一结果说明存在内部控制缺陷的上市公司盈利能力总体上弱于不存在内部控制缺陷的上市公司。如表7所示。
(二)内部控制审计报告与盈利能力
根据信号理论，内部控制较好的公司为了与其他公司区分，有动机向投资者展示其较高的内部控制质量，从而更有可能选择披露规范的内部控制审计报告。因此，本文以非强制实施范围内的自愿披露内部控制审计报告的上市公司为样本，以内部控制审计报告的规范性衡量内部控制质量，并以净资产收益率衡量公司盈利能力，进而检验披露规范的内部控制审计报告与上市公司的盈利能力之间是否存在相关关系。实证结果表明，出具规范的内部控制审计报告的上市公司的净资产收益率显著高于未出具规范的内部控制审计报告的上市公司，且两者之间的差异在1％的水平下显著。该检验从另一个角度进一步验证了内部控制质量与企业盈利水平存在正相关关系。如表8所示。
八、存在的问题与政策建议
(一)存在问题
综合前面的分析，本文认为，内部控制是一项可以提升企业经营效率的重要机制，但是我国内部控制信息披露和体系建设仍存在不少的问题。具体包括以下几个方面：
1.上市公司内部控制信息披露中存在的问题
(1)信息披露的格式不统一。
目前，各上市公司的内部控制评价报告和内部控制审计报告的格式以及报告中的内容存在重大差异。首先，内部控制评价报告名称和内部控制评价依据纷繁复杂。其中内部控制评价报告被称为：内部控制评价报告、内部控制自我评价报告、内部控制自我评估报告、董事会关于内部控制的自我评价报告、董事会关于内部控制有效性的自我评价报告、董事会关于内部控制及其有效性认定的自我评价报告、与财务报表相关的内部控制自评报告、关于内部控制有关事项的说明等。而上市公司内部控制评价依据的相关规范有：《企业内部控制基本规范》、《企业内部控制评价指引》、《企业内部控制配套指引》、《主板上市公司规范运作指引》、《上市公司规范运作指引》、《深圳证券交易所上市公司内部控制指引》、《中小企业板上市公司规范运作指引》、《创业板上市公司规范运作指引》、《内部会计控制规范——基本规范(试行)》等。上市公司根据不同评价依据所形成的内部控制评价报告中的评价内容也不一致，这大大降低了企业披露信息的可比性。
其次，内部控制审计报告的格式以及内容也存在重大差异。正如前文所述，2012年上市公司披露的内部控制审计报告类型包括：规范的内部控制审计报告、中小板的内部控制审计报告、内部控制鉴证报告、内部控制专项报告和内部控制审核报告。不同报告类型的审计依据和保证程度都存在差异。一些审计报告类型不仅无法为企业内部控制提供合理保证，反而浪费企业资源，容易误导投资者。
(2)信息披露的及时性和准确性问题。
2012年，纳入强制实施范围的上市公司中，4家上市公司在2013年4月30日之后才披露内部控制评价报告，13家上市公司在2013年4月30日之后才披露内部控制审计报告。还有3家上市公司未披露内部控制评价报告，1家公司未披露内部控制审计报告。这些公司未能及时地向投资者披露内部控制信息，履行规定的内部控制信息披露义务。
同时，上市公司的内部控制信息披露还存在着以下三个相互矛盾的地方：第一，22家上市公司的内部控制评价报告的有效性结论与内部控制审计意见存在不一致；第二，44家上市公司的内部控制审计意见与财务报表审计意见存在不一致；第三，上市公司年报中内部控制一节中的有效性结论与内部控制评价报告中的结论存在不一致，如北大荒(600598)。这些矛盾反映了上市公司的内部控制信息披露准确性仍存在较大问题。
(3)内部控制缺陷认定标准的披露比例与披露质量较低。
2012年，在披露内部控制评价报告的上市公司中，仅33.02％的上市公司披露内部控制缺陷认定标准。且在这些公司中，仅247家上市公司披露了详细的内部控制定性与定量的缺陷认定标准，重大、重要和一般缺陷的认定标准，以及财报与非财报的缺陷认定标准。认定标准的模糊不清将直接影响内部控制缺陷信息的准确性和有效性。
(4)内部控制审计费用的披露需进一步加强。
多数上市公司并未披露内部控制审计费用：774家上市公司聘请了会计师事务出具内部控制审计报告，但并未披露内部控制审计费用；33家上市公司在年报中说明有支付给会计师事务所内部控制审计费用，但并未单独披露具体的数额。内部控制审计费用信息是衡量内部控制审计质量和内部控制执行成本的重要指标，其有效披露可为报表使用者带来更多的增量信息。
2.上市公司内部控制体系建设中存在的问题
(1)聘请的会计师事务所的独立性问题。
本文研究发现，部分上市公司聘请的内部控制咨询机构与为其提供内部控制审计的会计师事务所是一致的，或是两者之间存在着关联关系，这一行为违反《企业内部控制基本规范》的规定。这种关联关系的存在损害了会计师事务所的独立性，阻碍内部控制审计发挥应有的保证作用。
(2)上市公司对子公司的管控以及分、子公司的内部控制体系建设问题。
2012年，两家上市公司*ST长油(600087)和北大荒(600598)在内部控制自我评价中都发现子公司的管控方面存在着重大缺陷，并对上市公司内部控制目标的实现产生重大不利影响。因此，对于上市公司而言，不仅需要建立健全母公司的内部控制体系，同时也须加强分、子公司的内部控制体系建设。
(3)风险评估工作需要进一步加强。
财政部发布的《企业内部控制评价报告模板》要求内部控制评价的范围涵盖公司及其所属单位的各种业务和事项，重点关注高风险领域，并列示根据风险评价结果确定的前“十大”风险。然而，2012年，上市公司在内部控制评价报告中总共仅披露了749项风险，且其中114项未制定相应的应对措施。可见，上市公司风险评估工作仍处于起步阶段，大部分上市公司尚未有效执行相关规定。
(4)内部控制评价范围的问题。
目前，绝大部分上市公司主要依据《企业内部控制应用指引》中十八项指引构建与评价内部控制体系，但本文统计2012年上市公司披露的内部控制缺陷发现，上市公司在关联交易、控股股东、子公司管控、信息披露、担保、权限管理、对外投资等几个方面也容易出现内部控制重大缺陷和重要缺陷，但这些易发生缺陷的业务却没有在指引中得到应有的重视和强调。
(5)内部控制信息化有待于进一步加强。
本文发现，上市公司在实施内部控制体系建设及评价过程中，信息化程度不高，信息化产品的采纳和应用水平较低。企业在内部控制建设和评价中过度依赖手工操作，这将对内部控制的效率产生不利影响。
(二)政策建议
与2011年相比，2012年上市公司内部控制体系建设取得了不小的进步，内部控制评价报告、内部控制审计报告的披露数量和披露比例都在增加，内部控制的信息披露质量也在提升。然而，在取得这些进步的同时，上市公司的内部控制信息披露以及内部控制体系建设依然面临着不少挑战，为此，本文提出以下几项政策建议，以提升上市公司的内部控制水平，提高风险防范能力。
1.梳理内部控制的相关规范，统一内部控制的信息披露格式
目前上市公司在内部控制体系建设和评价过程中以及会计师事务所在审计上市公司内部控制有效性时，遵循的标准多样化。这些标准的多样化导致上市公司实施内部控制体系时存在困惑，也是导致目前内部控制评价报告和内部控制审计报告披露格式混乱的主要原因。因此，监管机构应梳理现有的内部控制规范，明确废止部分已经过时且不再适用的规范，为上市公司全面实施企业内部控制规范体系奠定标准一致的制度基础。
2.加强内部控制法制建设，提高上市公司内部控制水平
美国、日本、韩国等国家都已将内部控制的建设上升到法律的高度，而我国的内部控制法制建设还处于部门规章层面，并未上升至法律层面。为确保内部控制得以有效执行，内部控制信息披露能够真实准确，投资者的利益得到切实维护，监管机构应加强内部控制的法制建设，并借鉴美国的SOX法案，加大对隐瞒内部控制缺陷、虚假披露内部控制有效性的相关管理人员的处罚力度。
3.完善内部控制缺陷的披露机制，提高内部控制缺陷披露质量
2012年，尽管披露内部控制缺陷的上市公司数量增多，但在内部控制缺陷披露过程中仍存在着缺陷认定标准不明确、内部控制缺陷未划分等级、未披露内部控制缺陷整改措施等诸多问题。内部控制缺陷是衡量上市公司内部控制有效性的重要指标，内部控制缺陷的模糊披露不利于投资者、监管机构等报告使用人判断上市公司的内部控制有效性，因此，有必要继续完善内部控制缺陷的披露机制，提高内部控制缺陷披露质量。
4.强化内部审计、审计委员会的内部控制责任，提升内部控制评价质量
内部审计和审计委员会的内部控制监督作用是企业内部控制有效性的保障，是企业内部控制工作的重要组成部分。目前执行内部控制基本规范的上市公司所暴露出来的内部控制问题，在很大程度上与企业内部审计工作不力，审计委员会监督不严密切相关。我国企业内部控制实践普遍存在重建设、轻执行和监督的现象，内部控制评价走过场、审计委员会审核走形式。因此，加强内部审计部门对内部控制的评价工作，强化审计委员会对内部控制的监管责任，是提高上市公司的内部控制有效性的当务之急。
5.加强对中介机构独立性的监管，提高内部控制审计质量
有相当一部分上市公司存在将内控咨询或评价与内控审计业务直接或间接委托给某一中介机构的现象，购买审计意见的行为明显。有部分中介机构成立咨询公司，并隐瞒其关联关系，承接其内部控制审计客户的内部控制咨询业务，严重违反了《企业内部控制基本规范》等相关规定对于中介机构独立性的要求。为此，监管机构应当加强对中介机构的监管力度，防止和杜绝将内控咨询或评价业务与内控审计业务捆绑，避免内控审计流于形式。
6.拓宽企业内部控制体系建设的范围，合理保证内部控制目标的实现
上市公司不仅应关注自身内部控制体系的建设，同时也应重视分、子公司的内部控制体系建设工作，在充分考虑分、子公司业务特征的基础之上，督促其建立完善的内部控制制度，合理保证整体内部控制目标的实现。
7.推进内部控制信息系统建设工作，提升上市公司信息化水平
上市公司应推进内部控制信息系统建设，加大内部控制信息化产品的采纳和应用程度，有效促进内部控制信息化落地，提升内部控制工作效率，降低内部控制实施成本，全面提升内部控制信息化水平。
8.加强内部控制的实地调查和实证研究，促进理论与实践的融合
目前内部控制研究虽已有不少，但大部分研究要么是概念性的分析、讨论，要么是模仿国外的实证研究，缺乏高质量的、立足于中国本土情境的、既有理论创新又能有效地指导我国企业内部控制实践工作的成果。未来应当深入调研、细致求证，从企业内部控制现状出发，运用科学严谨的方法来研究我国上市公司内部控制问题，促进理论研究与企业实践的融合，使研究成果能“顶天立地”。
注释：
①TOP 5包括The Accounting Review,Journal of Accounting Research,Journal of Accounting and Economics,Contemporary Accounting Research和Review of Accounting Studies。
②本文中的内部控制评价报告包含：内部控制评价报告、内部控制自我评价报告、内部控制自我评估报告、董事会关于内部控制的自我评价报告、董事会关于内部控制有效性的自我评价报告、董事会关于内部控制及其有效性认定的自我评价报告、与财务报表相关的内部控制自评报告、关于内部控制有关事项的说明等。
③长春经开的内部控制评价报告和内部控制审计报告中都披露其存在未整改的非财务报告内部控制重大缺陷，因此将其内部控制评价结论归为无效。
④纳入强制实施范围的上市公司是指依据财政部和证监会联合颁布的《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》(财办会［2012］30号)按规定须强制实施企业内部控制规范体系的上市公司，共853家上市公司，其中国有控股777家，境内外同时上市公司76家。
⑤如果上市公司在内部控制缺陷认定标准一节中仅披露内部控制缺陷的定义，本报告将此种情形认定为未披露内部控制缺陷认定标准。
⑥部分上市公司在披露内部控制缺陷时未给缺陷按重大、重要、一般缺陷进行分类，未分类的缺陷暂都归为一般缺陷。
⑦本文中内部控制审计报告包含：规范的内部控制审计报告、中小板的内部控制审计报告、内部控制鉴证报告、内部控制专项报告、内部控制审核报告。
⑧由于纳入强制实施范围的上市公司按规定都需要披露规范的内部控制审计报告。因此，本文在样本选取时剔除了这部分上市公司。
标签：内部控制论文; 企业内部控制评价指引论文; 内部控制缺陷论文; 审计报告论文; 审计质量论文; 缺陷管理论文; 审计方法论文; 审计准则论文; 审计范围论文; 审计目标论文; 审计意见论文;