内控评价的现状、问题及改进建议

       继2008年《企业内部控制基本规范》出台后，2010年4月，财政部等五部委发布了《企业内部控制评价指引》(以下简称指引)，要求企业对内部控制的有效性进行自我评价。并披露年度自我评价报告。那么，指引发布后的3年多来，我国在企业内部控制评价方面取得了哪些成果？存在怎样的不足？如何改进？本文对此进行了总结和探索。

       一、现状

       (一)评价主体方面

       1.执行部门

       依据抽样研究结果，上市公司执行内控评价的部门分布如表1所示。由表1可以看出，负责执行内控评价活动的部门主要有审计委员会、内审部门、内控评价小组等。除了以上3个部门外。还有一些企业授权法律监察部、运营管理部、风险管理部等负责内控评价的具体实施。

      

       由内审部门担当评价执行任务，从2010年的10％上升到2012年的40％，逐渐成为内控评价的主角；内控评价小组也发挥着重要作用，在2011年和2012年分别占到34％和28％的比例；其他部门作为补充角色，有不断扩大的趋势；而审计委员会的比重由2010年的14％降为2012年4％，有退出内控直接评价的趋势。

       2.管理层及评价人员

       企业内控评价的主体主要是管理层和内控专业人才，管理层的决策引领评价方向，专业人才决定着评价质量，他们对评价效果有着举足轻重的作用。

       根据德勤对中国企业内控调查分析报告的相关数据，笔者绘制了表2。由表2可见，认为管理层应提高重视程度的比例从2010年的38％提高到2012年的55％。这可能是随着企业内控实施的不断深化，人们越来越认识到管理层在内控实施中的突出地位及其领导作用，同时也反映出部分企业的管理层对内控评价的重要性认识不够、投入的精力不足等问题。另一方面，多数企业认为本企业缺乏专业人才。不过，这种观点已从2010年的68％下降到了2012年的54％，企业内控专业人才缺乏的状况正在得到改善。

      

       (二)内控评价报告和审计报告的披露数量

       从图1可以看出，2010～2012年，沪深两市披露内控评价报告和内控审计报告的上市公司数量不断增多，说明越来越多的公司开始重视内控建设及相关信息披露。同时，内控审计报告披露的比例一直低于内控评价报告，反映出没有监管机构的强制要求，大多数公司不愿意聘请第三方对自身内控进行评价。

      

       图1 2010～2012年上市公司内控评价报告和审计报告披露状况

       注：数据来自迪博2010～2013年《中国上市公司内部控制白皮书》。

       (三)内控评价报告的内容

       1.详细程度

       通过对150家样本公司的评价报告的分析，发现报告内容详略程度差别较大，如表3所示。

      

       通过表3可以看出，详细披露的公司比例不断增多，2010～2012年增幅为82.6％，未详细披露所占比重逐渐减少，最引人注目的是只有综述的“一页纸披露”模式由2010年的54％降至2012年的0，说明上市公司越来越重视内控评价，评价实务的能力也在不断增强。同时，笔者在整理分析过程中发现2010年详细披露的公司基本都是以内控5要素作为主要内容，且报告模式不尽相同，而2012年只有20％的公司主要披露5要素，更多的公司突出披露了主要控制活动、存在的问题及整改措施，报告模式也趋近统一，信息价值更大，可比性更强。

       相反，2012年中未详细披露的公司大都只是简单套用模板，针对自身内控建设具体情况的信息较少，缺乏有用性。

       2.内控缺陷认定标准披露

       指引要求企业在内控评价报告中根据自身情况，披露缺陷的认定标准。2010～2012年150家样本公司内控缺陷认定标准披露如表4所示。

      

       由表4可见，2010～2012年，披露内控缺陷认定标准的上市公司数量不断增多，缺陷认定标准越来越详细和科学，不过至今仍有1/3以上(“其他”和“未披露”的合计数)企业未详细披露或未披露认定标准，可能是不愿意披露或者没有具体标准。

       3.内控缺陷和整改措施披露

       内控缺陷及整改措施是内控评价报告的重要组成部分，客观合理地披露内控缺陷和整改措施可以增强投资者等利益相关者对公司内控的信心。上市公司2010～2012年共计150家样本公司披露内控缺陷和整改措施情况见表5。