摘要:上市公司内部控制的内部评价与外部评价相互联系,强调在完善上市公司内部控制的内部评价体系的基础上,也要着力构建其外部评价体系;使其通过有效的内外部评价约束机制,促进上市公司切实重视和加强内部控制,真正提高上司公司内部控制制度的执行效果。针对目前上市公司内部控制评价中普遍存在的问题,从内部控制评价的角度提出了一些对策。
　　关键词:上市公司;内部控制;内部评价;外部评价
　　中图分类号:F276.6　文献标识码:A
　　
　　一、问题的提出
　　
　　理论界和实务界已经对上市公司内部控制评价问题做了许多研究,但在众多的研究文献中,由于没有清楚区分上市公司内部控制的内部评价与外部评价,使政府监管部门和企业实务操作者产生了一些混淆,通过内部控制评价来提高内部控制水平的效果不尽如人意。
　　目前对内部控制评价的研究主要集中在公司管理层从管理的角度对内部控制制度的有效性进行的评价和注册会计师从审计的角度对内部控制制度的健全有效性进行的评价。而对如何通过有效的内部控制外部评价手段,促使上市公司切实重视和加强内部控制,尚没有引起人们的重视。美国2002年发布的《萨班斯一奥克斯利法案》,强化对上市公司内部控制及信息披露方面的管理,给我国上市公司内部控制实践以很大的启发,但由于内部控制环境的差异,“移植”美国模式必然失效,所谓“橘生于西为橘,橘生于东则为枳”。因为我国上市公司所出现的一些会计造假与美国的财务丑闻不是一个层面上的事,内部控制评价是与法律环境、市场经济完善程度、管理基础、文化等密切相关的一种监督管理活动,从这些因素来看,我国与西方国家尚有较大差异。因此,结合我国上市公司的实际情况,多管齐下,在加强我国上市公司内部控制制度建设与内部评价的同时,着力构建我国上市公司内部控制的外部评价体系。
　　
　　二、文献回顾与述评
　　
　　内部控制评价是对企业内部各组织机构内部控制执行的过程监控和结果评价。上市公司本身要对内部控制的情况进行评价,即所谓内部控制的内部评价,目的是对内部控制体系的健全性、有效性及经济性进行准确评价,以实现对内部控制体系的“再控制”,从本质上看,这种评价体系是内部控制的一种反馈机制。除此之外,上市公司的外部有关部门还会对企业内部控制进行外部评价,目的是保证会计信息的真实性,保护股东和债权人的利益,保证资本市场的有效运行。内部控制的内部评价和外部评价紧密相关,共同形成一个有效的评价约束机制,促进上市公司切实重视和加强其内部控制,真正提高上司公司内部控制制度的执行效果。
　　国外的内部控制理论与实务经历了内部牵制、内部控制制度、内部控制结构、内部控制整体框架、内部控制风险管理等几个不同阶段。长期以来,西方国家上市公司内部控制的评价是以内部评价为主导,内部审计人员首要关注的是控制制度的适用性和有效性,目前在评价方法上已经有了新突破,达到了内部控制自我评估阶段(CSA),体现了内部控制评价的新观念。而会计师事务所的外部评价主要是为会计报表审计服务的,外部审计师极其关注的是内部控制影响到他们对各种事务进行大量实质性测试的范围,外部评价的作用非常有限。美国在经历了一系列财务丑闻后,由总统签署了《萨班斯一奥克斯利法案》,该法案强制要求上市公司的管理当局对内部控制作出有关的保证,并提供经注册会计师验证的内部控制报告。从而,美国在经历了多年的自愿披露内部控制信息之后,已经强制要求上市公司提供内部控制报告,内部控制的外部评价也变得益发重要”]。美国的这一评价模式,将内部控制的内部评价与外部评价有机的结合起来,内部控制理论和实践的发展,无疑具有非常积极的意义。2004年,美国反虚假财务报告委员会又完成了《全面风险管理框架》,风险管理框架无论是从内容还是从范围来看,都体现了内部控制理论的又一次质的飞跃,为内部控制的评价提供了一个新的视角。
　　我国的内部控制研究起步较晚,进入21世纪后,政府加大了对内部控制的推动力度。2001年以来,财政部先后颁布了一系列内部会计控制规范,但在内部控制评价制度方面涉及较少。注册会计师协会制定了《内部控制审核指导意见》(2002)以规范注册会计师执行内部控制审核业务,但在审计业务中注册会计师更多的将评价作为一种保证审计质量的手段。中国银行业监督管理委员会发布了《商业银行内部控制评价试行办法》(2004),加强了对商业银行的监管力度。由此可见我国对内部控制评价的规范,主要是从金融业开始的,但却没有针对上市公司内部控制的评价规范可以参照,这就导致评价上市公司内部控制缺乏统一的依据。由于政府没有在上市公司管理层进行内部控制制度有效性评价方面提供实质性指导,也没有强制要求会计师事务所提供标准的内部控制审计报告,这就造成内外部评价标准的缺失,直接影响到上市公司内部控制的效果。在理论研究方面,大多数学者进行了定性研究,也有少数学者对此进行了定量研究,根据内部控制的评价指标建立评价模型,将定性指标定量化。这些研究大多是基于企业管理层的内部评价,服务于企业的经营管理,在外部评价研究方面显得不足。 　三、目前上市公司内部控制评价中存在的问题
　　
　　随着我国资本市场的发展和监管水平的不断完善,上市公司都已相继构建了基本的内部控制制度,如果对这些内部控制制度不加以客观公正的评价,就无法确定上市公司内部控制系统是否健全、有效,也无法发现内部控制中存在的薄弱环节并提出切实可行的改进意见和措施。然而,在实际工作中,重视内部控制制度建设,忽视内部控制评价的现象依然存在,导致了内部控制评价中出现了许多问题:
　　1　评价主体不够明确。人们一般认为,内部控制评价主体是指内部审计部门和外部会计师事务所,而且主要是指内部审计部门。我国内部审计部门的建立是在政府推动下建立和发展起来的,而不是企业出于自身的内在需要,因此内部审计机构的设置存在着严重的先天不足。目前的内部审计从机构设置、工作重点、审计内容的深度及广度、审计方式、规范管理等方面,还远未发挥出应有的加强内部管理的作用,内部控制评价也就得不到应有的重视,致使内部评价流于形式。外部会计师事务所的内部控制评价主要是从审计人员进行制度基础审计的角度提出,为财务报表审计服务的,尚不能对上市公司内部控制报告的有效性进行全面评价。笔者认为,内部控制评价主体既可以是公司股东大会委托的内部控制管理机构,即监事会、审计委员会、公司内部审计部门甚至是管理层和员工共同参与形成的组织(内部控制自我评估阶段),也可以是政府监管部门、会计师事务所、金融机构、普通投资者或其他利益相关者。
　　2　评价法规不完善。2001年以来,财政部出台了一系列的《内部会计控制规范》;证监会2001年制订并于2003年进行了修订的《证券公司内部控制指引》、 中国人民银行2002年制订的《商业银行内部控制指引》、上海证券交易所2005年发布的《上市公司内部控制制度指引》,这些法规的颁布实施无疑有利于加强各单位的内部控制水平,但这些法规是基于业务操作层面上的指南,本身不能作为内部控制的评价标准。中国注册会计师协会2002年制订的《内部控制审核指导意见》,其目的是为了规范注册会计师执行内部控制审核业务,明确工作要求,保证执业质量。为了加强对商业银行内部控制的监管,中国银监会于2004年制定发布了《商业银行内部控制评价试行办法》,建立了一套对商业银行内部控制评价的框架和方法,规范和加强了对商业银行内部控制的评价,应当说这是一个较具体的、可操作性较强的内部控制外部评价标准。但对绝大多数非金融行业的上市公司而言,尚缺乏一些操作性较强的内外部评价标准。
　　3　评价方式过于简单。内部控制是一个动态的管理过程,必须通过多样化的内部控制评价手段,不断提高内部控制水平。目前的内部控制评价主要是依靠内部控制调查表、内部控制流程图和叙述法等基于主观的定性评价方法,致使内部控制评价的效率较低,效果较差。有些上市公司虽然也借鉴了一些西方国家的内部控制评价方法,但由于管理基础的不同,企业文化的差异,没有树立评价是对事不对人的观念,什么都碍于情面,导致内部控制评价方法成了写在纸上,贴在墙上的摆设。制度的建立是一回事,执行呢又是另外一回事,执行效果较差。注册会计师受审计目标的影响和成本收益原则的制约,内部控制评价内容不全面,手段较为简单,对上市公司管理层的约束力不强。笔者认为,只有当内部控制评价真正成为上市公司管理层、社会中介和监管层的内在需要时,才会有内部控制评价方式的创新和丰富多彩。
　　4　评价目标不明确,评价结果不够具体,并且披露不充分。大多数上市公司没有把内部控制评价作为内部控制的有机组成部分,真正通过内部控制评价来改善经营管理水平,评价的目的不明确,在实践中弱化内部控制评价,搞形式主义。注册会计师审计的目的是对财务报表是否符合公认会计准则的规定发表意见,他们对内部控制的了解和评价是为了确定审计的范围和工作重点,是审计业务中派生出来的,也不能完全达到促进上市公司加强内部控制的作用。此外,随着资本市场的发展,对上市公司内部控制评价结果的披露要求越来越高。但就我国目前的情况看,尚没有强制要求所有上市公司披露内部控制信息,也没有统一的披露格式和要求,导致自愿披露其内部控制信息的上市公司比例较低,即使披露了,也是简单的几句话(李明辉等,2003)。
　　
　　四、完善我国上市公司内部控制评价体系的思考
　　
　　内部控制从其产生与发展来看,是与单位内部强化管理以及适应外部激烈竞争的需要相联系的,具有很强的内部性。因此,笔者认为,一般企业的内部评价是属于企业内部管理的范畴,政府不宜过多干预,已制订或即将出台的一些内部控制规范或指引已经达到了引导的目的,企业可以参照这些规范要求,结合本单位的实际情况制订本单位的内部控制评价制度。上市公司具有公共受托责任,对其内部控制评价意义重大。根据我国上市公司的内部控制评价存在的问题,笔者认为,有关部门除了可以为上市公司制定一个操作性较强的内部控制内部评价指南外,还可以借鉴中国银监会的做法,加快构建上市公司内部控制的外部评价体系,强化对上市公司内部控制的内外部约束机制。 　1　评价主体应该多元化。一般认为,社会中介机构应充当评价主体,但是,笔者认为上市公司内部控制体系的评价主体应包括政府主要是证券监管部门、投资者、经营者、社会中介机构、债权人以及其他利益相关者。由于信息不对称和成本收益方面的限制,投资者、经营者和会计师事务所必然还是最重要的评价主体,但其他评价主体的功能不能缺位。比如,证券监管部门可以通过抽查制度对上市公司内部控制信息披露与审计情况进行监督;提供贷款的银行可以较客观地对上市公司进行风险评估;来自不同岗位的职员代表可以对上市公司内部控制的实际执行力进行评价。只有评价主体多元化,才能从不同的方位对上市公司进行全面监督和约束,提高其加强内部控制建设的自觉性。特别是信息技术的发展为多个评价主体的共同参与提供了一个技术平台。当然,从操作层面上,如何确定各个评价主体的权重,如何有效实施仍是一些需要进一步探讨的问题。
　　2　评价内容应该深刻化。目前对上市公司的内部控制评价,更多的是针对其形式而非内容或实质,致使有些表面上内部控制制度规范,执行严格的企业,也出现了一些舞弊丑闻。因此,要扩大上市公司内部控制的评价范围,借鉴COSO报告的成果,从控制环境、风险评估、控制活动、信息沟通、监督五个方面分别进行具体评价,要通过评价指标体系的建立理清到底有哪些因素影响内部控制活动,内部控制评价指标之间应具有较强的关联性,并能科学的、合理的确定各个因素的权数。
　　3　评价方法应该将定性与定量结合起来,并以定量分析评价为主。定性评价方法主要是对上市公司内部控制制度的合法性、有效性、可操作性和经济合理性进行评价。定量评价方法需要建立定量评价标准,通过内部控制制度评价的数学分析模型来评价上市公司内部控制制度的健全性和有效性。由于定性评价易受评价人员主观判断的影响,往往缺乏客观性,定量评价则以其科学、精确、可比的特点为上市公司内部控制制度的实施效果作出较为恰当的评价。因此,上市公司内部控制的内外部评价应采用定性评价和定量评价相结合的方式,着重考虑扩大定量分析评价的范围。
　　4　评价结果应该公开化。可以借鉴《萨班斯一奥克斯利法案》的做法,要求上市公司管理层使用恰当的控制标准来评价其内部控制的有效性,同时签署一份管理当局的书面责任声明。会计师事务所和其他相关部门应结合上市公司年报审计,对全部上市公司内部控制进行审核,并通过规范的报告格式,向社会公众详细披露内部控制的具体内容,以加强对上市公司内部控制的监督和约束,保护利益相关者的权益。值得注意的是,不能只学习美国的内部控制评价结果披露形式,与此相关的完善的法律体系、能上能下的职业经理人市场、良好的诚信环境、合理的薪酬制度等,都会对评价结果的公开化产生重要影响。只有这些方面的改革措施到位,才能达到预期的目标。
　　5　正确处理好内部评价和外部评价的关系。上市公司内部控制的内部评价和外部评价既相互联系,又有所不同。由内审机构和公司员工定期对上市公司内部控制制度进行的内部评价,是组织内部的一个信息沟通与反馈系统,对于组织战略和目标的实施有着不可忽视的作用。它不仅可以了解企业内部控制的薄弱环节,监督各部门贯彻管理当局的意图,起到一定的制约作用,而且还能改善经营管理,实现经营目标,起到一定的促进作用,是企业管理的一个重要组成部分。由证券监管部门、会计师事务所等对上市公司内部控制进行的外部评价,是对上市公司内部控制情况的最后一道认定环节,它以内部评价为基础,具有较强的独立性,从本质上看外部评价主要起制约作用。对我国上市公司而言,加强内部控制的外部评价意义更加重大。
　　6　评价手段应该多样化。手工方式所适用的内控制度已不能完全适应信息化环境下数据处理的特点,也难以保证会计信息的质量,上市公司应根据信息化环境下内部控制的深刻变化、业务流程的重组及其相应的内部控制点的变化等,修正原有的内控制度。与此相适应,内部控制的内外部评价不仅要利用传统的技术和工具对内部控制体系的手工业务和信息化业务进行评价,还要利用信息技术手段对企业内部控制体系的全部业务和整个过程进行全方位的评价,逐步提高内部控制评价的效率与效果。
　　总之,上市公司内部控制制度的建立健全是一个渐进的过程,对其所进行的评价也是不断完善的。但是应相信,适当借鉴美国等发达国家的有益经验和实际做法,结合我国上市公司内部控制的实际情况,一定可以在不远的将来,建立符合我国国情的上市公司内部控制的内外部评价框架,通过对我国上市公司内部控制的有效评价,形成一个我国上市公司内部控制状况持续改进的一个重要信息反馈渠道。