论文部分内容阅读
一、概述
内部控制信息包含了公司流程和管理控制方面的内容，内部控制信息的披露有助于管理当局发现内部控制缺陷，增强内部控制意识，提高财务报告可靠性，从而在一定程度上减少舞弊的发生。2002年美国颁布《萨班斯—奥克斯利法案》，法案302、404条款对内部控制信息披露作了严格要求，稍后美国证监会（SEC）、公众公司会计监管委员会（PCAOB）以及COSO委员会分别发布相关规则，在实践层面为萨班斯法案的执行保驾护航。一系列规则的出台确实使美国内部控制披露状况得以完善。
我国上市公司中内部控制信息披露存在着重大隐患，由于没有统一的企业内部控制披露规范，当前一些上市公司内部控制信息披露流于形式，自愿披露动机不强，内控监督不力等问题比较突出。本文在分析我国内部控制信息披露制度建设及执行效果的基础上，探究美国萨班斯法案对我国内部控制信息披露的借鉴意义，以寻求提高我国内部控制信息披露质量，完善我国内部控制信息披露法规体系的方法和途径。
二、对萨班斯法案内部控制信息披露的评述
在美国，萨班斯法案是规范内部控制信息披露的最高法规，法案302、404条款对公司内部控制建设和信息披露作出了严格要求，并指定SEC颁布配套的信息披露规则。萨班斯法案、SEC发布的《最终规则》、PCAOB发布的内部控制规范和COSO内控框架解决了内部控制信息披露中需建设的法律基础、内控标准、审计标准、自我评估标准等各环节的技术问题，构成了美国的内部控制信息披露体系。
萨班斯法案自2007年执行以来，美国的内部控制信息披露得以规范，内部控制状况确实得以改善。这得益于SEC和PCAOB为保障萨班斯法案有效执行所作的努力。首先，萨班斯具有法律强制性并对公司和个人责任追究进行了严厉规定。其次，萨班斯针对不同企业特征制定了与之相适应的政策。最后，SEC和PCAOB颁布相关规则从而构建了完善的相互配套的规范体系，解决了内部控制建设的法律基础和内部控制标准、审计标准、自我评估标准等各环节的技术问题，提高了萨班斯法案的可执行型。
值得注意的是，萨班斯法案高昂的执行成本一直是备受争议的焦点问题。尤其是对于中小企业而言，这些企业由于内部资源匮乏、专业技术有限，其执行萨班斯法案的成本相对于其收入而言，已经不成比例地高于大型上市公司的执行成本，特别是在执行404条款的内部控制报告以及相关审计费用方面。
三、内部控制信息披露现状
2000年11月后我国开始出台相应规定规范我国内部控制信息的披露，包括《公开发行证券公司信息披露编报规则第7号、第8号》、《上海证券交易所上市公司内部控制指引》《深圳证券交易所上市公司内部控制指引》和《企业内部控制基本规范》，其中2008年6月我国财政部会同四部委制定的《企业内部控制基本规范》，被媒体称为“中国版萨班斯法案”。形式上，它借鉴了COSO报告的五要素框架。内容上，它体现了风险管理8要素框架的实质。与萨班斯法案相比它没有象萨班斯法案规定得详细具体，而是先做原则性的规定，再出台相应的操作细则，使企业有足够的回旋余地。它鼓励除上市公司以外的大中型企业加强企业内控管理。但它没有强制实施的措施，也没有相应具体的处罚措施，这使其在执行层面上是否能得到落实仍还值得期待。
由于上市公司目前的内部现状使得执行《企业内部控制基本规范》难度比较大，基本规范的执行被迫推迟到2010年1月1日，出具内控自我评价报告则可以推迟到2010年年底。介于此，本文主要探讨沪深两市上市公司分别对《内部控制指引》的执行状况。
总体上，对深市A股主板上市公司2008年内部控制信息披露描述性统计发现其披露情况总体良好，有435家公司按照有关要求披露了内部控制，占研究对象总体的比例高达91.58%。上海证券交易所上市的A股公司2006年数据也表明绝大多数上市公司按照要求披露了内部控制信息。
内部控制信息披露内容上，强制性披露方面，杨有红等（2008）通过描述性统计对2006年沪市年报内部控制信息披露现状分析，研究发现沪市848家上市公司中72.3%的公司按强制性披露要求在“一般陈述”中披露了公司内部控制建立健全方面的信息且所披露的内部控制情况比较笼统，流于形式。方红星、孙篙（2007）研究发现绝大多数沪市上市公司未按内部控制指引要求披露内部控制信息，详细披露内部控制信息的公司较少。内部控制信息参差不齐，详细程度差异较大。自愿性披露方面，沪市上市公司披露内部控制自我评估报告以及内部控制审核报告的公司很少，两者均不到5%。深市A股475家公司的内部控制披露情况，能够详细披露且经注册会计师评价的公司只有35家，占总数的7.37%，这说明内部控制披露完全合规的公司寥寥无几，上市公司自愿披露内部控制的动机不强，上市公司自愿选择是否披露、披露多少内部控制信息的弹性较大。
内部控制信息披露形式上，沪深两市上市公司通常选择在公司治理结构、股东大会简介、董事会报告、监事会报告、重大事项、报表附注等位置披露内部控制信息。内部控制信息披露的依据主要是沪深交易所发布的《内部控制指引》，但在年报不同位置对内部控制进行信息披露所依据的政策法规不尽一致。
内部控制信息披露的监管上，部分公司披露了会计师事务所对内部控制自我评估报告的核实评价意见。很多企业在观念上对独立第三方的行业监督、公正职能没有予以充分重视。而且我国董事会成员和管理层人员的职位重叠、独立董事的名不符实造成了董事会在内控体系中的效力的减弱。这在结构上造成中国企业内控信息披露中的监督部分很大程度上只能停留于表面，不能发挥其效用。
四、内部控制信息披露改进对策
第一，增强内部控制信息披露的可操作性，避免形式主义。目前我国大多数公司的信息披露流于形式，还没真正揭露出上市公司内部控制的缺陷。我国内部控制指引和规范中，并没有强制要求披露内部控制缺陷，没有内部控制缺陷和内部控制有效性的认定标准，而且对后续处罚并没有明确，所以公司和事务所可能采取机会主义行为，从形式上做到多方满意，违背政府立法初衷。本质上说，缺乏内部控制有效性的认定标准和内部控制信息披露中责、权、利关系不清晰是内控披露流于形式的主要原因。
内部控制信息披露水平的高低与内部控制评价标准直接相关。美国SEC的《最终规则》规定了有效内部控制框架的评价标准，同时萨班斯法案明确了内部控制信息披露执行人员的责、权、利关系。规定信息披露一旦出现问题，首席执行官和财务总监个人将对公司财务报表承担民事甚至刑事责任。
为避免我国内部控制信息披露流于形式，保证较高质量的披露水平。可以从以下两方面完善内部控制信息披露：一方面制定具体的内部控制缺陷和有效性的认定标准，其中要包括内部控制是否有效的结论性意见。如果认为企业的内部控制在某些方面存在重大缺陷，应披露该重大缺陷，并专项说明拟采取的纠正措施。同时要认识到构建内部控制体系时必须要考虑企业所面临的外部环境和具备的内部条件，机械地套用内部控制规范的要素和内容构建企业内部控制体系不一定有效。另一方面明晰责、权、利关系，保证其恰当履行其在内部控制披露过程中的监督和执行责任。我国相关指引和规定大都停留在明晰职责分工层面，应该在这基础上进一步改进，借鉴萨班斯法案第302条款的要求，明确签字人员承担多大风险，负担多少处罚成本。
第二，从成本效益原则出发，缩减执行成本，提高上市公司自愿性披露动机。与萨班斯高昂的执行成本一样，我国内部控制信息披露同样需要耗费企业大量的直接成本和间接成本，包括公司内部的成本费用、公司聘请的三方中介机构协助完成信息披露的成本和审计费用。高昂的执行成本是导致公司管理层自愿披露内部控制信息动机不强的主要原因。美国为缩减萨班斯法案执行成本，又发布一系列的方法如高层直接参与、弥补性控制措施、事后监督等，同时强调有效内部控制可能为公司带来的效益，从而鼓励披露内控信息。
那么从我国的现状出发提高自愿性披露动机可以从以下几方面着手：首先，在公司内部推广内部控制理念并提高员工素质，以降低内部控制管理成本和内部控制信息披露成本；其次，由于信息需求主体的多元化及其差异性，在成本效益原则下，不可能考虑全部信息使用者的所有需求，那么目前就只能侧重考虑主要信息使用者的需求；最后，采取有效措施提高内部控制与企业价值的相关度，使内部控制成为企业价值增值的一种手段，从而激励其对内部控制信息进行披露。
第三，统一内部控制信息披露形式。内部控制信息披露形式上，萨班斯法案以CEO和CFO递交给SEC的10K表格（Form 10K）的形式进行了统一。我国除了规范内部控制信息披露的范围和内容外，证监会还需对内部控制信息披露的形式做出规定，以利于信息使用者进行搜集、分析和比较，同时减少使用成本。上市公司平时应采取哪种披露形式可由证监会以《公开发行证券公司信息披露编报规则》或《公开发行证券公司信息披露规范解答》的形式统一规定。
第四，加强内外部监督。为实施萨班斯法案，美国增设了受SEC指导监督、专司监管上市公司财务管理问题的公众公司会计监督委员会。信息披露委员会的存在和有效运行，将会在评价主体内部控制有效性的工作范围和工作性质方面产生重要影响。
我国在实际执行过程中将采用什么方式对上市公司内控制度实施监管是在实际操作前要认真考虑的问题。一方面，企业应设置内部审计机构和建立内部控制自我评估系统。内部审计的作用不断加强，在保证内部审计的独立性和权威性的同时，使内部审计的主要职能从差错防弊转变为对公司的经营管理做出分析、评价和提出管理建议上来。内部控制自我评估系统，可以直接为内部控制信息的披露提供资料来源，同时也能够及时发现内部控制实际运行过程中的漏洞和隐患，使之得以及时修正和改进。另一方面，应该加强外部监督，包括政府监督和社会监督。充分发挥行业监管的作用，提升市场自律组织和专业服务机构的独立性。特别是需要密切关注在披露过程中发现的违法违规现象，通过强有力的经济制裁来最大限度地防止不披露内部控制信息、披露虚假的信息或隐瞒内部控制信息的现象。
参考文献：
［1］胡蕾、祝焰：《中美上市公司内部控制信息披露比较研究》，《武汉理工大学学报》2010年第10期。
［2］陈汉文、吴益兵、李荣、徐臻真：《萨班斯法案404条款：后续进展》，《会计研究》2005年第2期。（编辑向玉章）
内部控制信息包含了公司流程和管理控制方面的内容，内部控制信息的披露有助于管理当局发现内部控制缺陷，增强内部控制意识，提高财务报告可靠性，从而在一定程度上减少舞弊的发生。2002年美国颁布《萨班斯—奥克斯利法案》，法案302、404条款对内部控制信息披露作了严格要求，稍后美国证监会（SEC）、公众公司会计监管委员会（PCAOB）以及COSO委员会分别发布相关规则，在实践层面为萨班斯法案的执行保驾护航。一系列规则的出台确实使美国内部控制披露状况得以完善。
我国上市公司中内部控制信息披露存在着重大隐患，由于没有统一的企业内部控制披露规范，当前一些上市公司内部控制信息披露流于形式，自愿披露动机不强，内控监督不力等问题比较突出。本文在分析我国内部控制信息披露制度建设及执行效果的基础上，探究美国萨班斯法案对我国内部控制信息披露的借鉴意义，以寻求提高我国内部控制信息披露质量，完善我国内部控制信息披露法规体系的方法和途径。
二、对萨班斯法案内部控制信息披露的评述
在美国，萨班斯法案是规范内部控制信息披露的最高法规，法案302、404条款对公司内部控制建设和信息披露作出了严格要求，并指定SEC颁布配套的信息披露规则。萨班斯法案、SEC发布的《最终规则》、PCAOB发布的内部控制规范和COSO内控框架解决了内部控制信息披露中需建设的法律基础、内控标准、审计标准、自我评估标准等各环节的技术问题，构成了美国的内部控制信息披露体系。
萨班斯法案自2007年执行以来，美国的内部控制信息披露得以规范，内部控制状况确实得以改善。这得益于SEC和PCAOB为保障萨班斯法案有效执行所作的努力。首先，萨班斯具有法律强制性并对公司和个人责任追究进行了严厉规定。其次，萨班斯针对不同企业特征制定了与之相适应的政策。最后，SEC和PCAOB颁布相关规则从而构建了完善的相互配套的规范体系，解决了内部控制建设的法律基础和内部控制标准、审计标准、自我评估标准等各环节的技术问题，提高了萨班斯法案的可执行型。
值得注意的是，萨班斯法案高昂的执行成本一直是备受争议的焦点问题。尤其是对于中小企业而言，这些企业由于内部资源匮乏、专业技术有限，其执行萨班斯法案的成本相对于其收入而言，已经不成比例地高于大型上市公司的执行成本，特别是在执行404条款的内部控制报告以及相关审计费用方面。
三、内部控制信息披露现状
2000年11月后我国开始出台相应规定规范我国内部控制信息的披露，包括《公开发行证券公司信息披露编报规则第7号、第8号》、《上海证券交易所上市公司内部控制指引》《深圳证券交易所上市公司内部控制指引》和《企业内部控制基本规范》，其中2008年6月我国财政部会同四部委制定的《企业内部控制基本规范》，被媒体称为“中国版萨班斯法案”。形式上，它借鉴了COSO报告的五要素框架。内容上，它体现了风险管理8要素框架的实质。与萨班斯法案相比它没有象萨班斯法案规定得详细具体，而是先做原则性的规定，再出台相应的操作细则，使企业有足够的回旋余地。它鼓励除上市公司以外的大中型企业加强企业内控管理。但它没有强制实施的措施，也没有相应具体的处罚措施，这使其在执行层面上是否能得到落实仍还值得期待。
由于上市公司目前的内部现状使得执行《企业内部控制基本规范》难度比较大，基本规范的执行被迫推迟到2010年1月1日，出具内控自我评价报告则可以推迟到2010年年底。介于此，本文主要探讨沪深两市上市公司分别对《内部控制指引》的执行状况。
总体上，对深市A股主板上市公司2008年内部控制信息披露描述性统计发现其披露情况总体良好，有435家公司按照有关要求披露了内部控制，占研究对象总体的比例高达91.58%。上海证券交易所上市的A股公司2006年数据也表明绝大多数上市公司按照要求披露了内部控制信息。
内部控制信息披露内容上，强制性披露方面，杨有红等（2008）通过描述性统计对2006年沪市年报内部控制信息披露现状分析，研究发现沪市848家上市公司中72.3%的公司按强制性披露要求在“一般陈述”中披露了公司内部控制建立健全方面的信息且所披露的内部控制情况比较笼统，流于形式。方红星、孙篙（2007）研究发现绝大多数沪市上市公司未按内部控制指引要求披露内部控制信息，详细披露内部控制信息的公司较少。内部控制信息参差不齐，详细程度差异较大。自愿性披露方面，沪市上市公司披露内部控制自我评估报告以及内部控制审核报告的公司很少，两者均不到5%。深市A股475家公司的内部控制披露情况，能够详细披露且经注册会计师评价的公司只有35家，占总数的7.37%，这说明内部控制披露完全合规的公司寥寥无几，上市公司自愿披露内部控制的动机不强，上市公司自愿选择是否披露、披露多少内部控制信息的弹性较大。
内部控制信息披露形式上，沪深两市上市公司通常选择在公司治理结构、股东大会简介、董事会报告、监事会报告、重大事项、报表附注等位置披露内部控制信息。内部控制信息披露的依据主要是沪深交易所发布的《内部控制指引》，但在年报不同位置对内部控制进行信息披露所依据的政策法规不尽一致。
内部控制信息披露的监管上，部分公司披露了会计师事务所对内部控制自我评估报告的核实评价意见。很多企业在观念上对独立第三方的行业监督、公正职能没有予以充分重视。而且我国董事会成员和管理层人员的职位重叠、独立董事的名不符实造成了董事会在内控体系中的效力的减弱。这在结构上造成中国企业内控信息披露中的监督部分很大程度上只能停留于表面，不能发挥其效用。
四、内部控制信息披露改进对策
第一，增强内部控制信息披露的可操作性，避免形式主义。目前我国大多数公司的信息披露流于形式，还没真正揭露出上市公司内部控制的缺陷。我国内部控制指引和规范中，并没有强制要求披露内部控制缺陷，没有内部控制缺陷和内部控制有效性的认定标准，而且对后续处罚并没有明确，所以公司和事务所可能采取机会主义行为，从形式上做到多方满意，违背政府立法初衷。本质上说，缺乏内部控制有效性的认定标准和内部控制信息披露中责、权、利关系不清晰是内控披露流于形式的主要原因。
内部控制信息披露水平的高低与内部控制评价标准直接相关。美国SEC的《最终规则》规定了有效内部控制框架的评价标准，同时萨班斯法案明确了内部控制信息披露执行人员的责、权、利关系。规定信息披露一旦出现问题，首席执行官和财务总监个人将对公司财务报表承担民事甚至刑事责任。
为避免我国内部控制信息披露流于形式，保证较高质量的披露水平。可以从以下两方面完善内部控制信息披露：一方面制定具体的内部控制缺陷和有效性的认定标准，其中要包括内部控制是否有效的结论性意见。如果认为企业的内部控制在某些方面存在重大缺陷，应披露该重大缺陷，并专项说明拟采取的纠正措施。同时要认识到构建内部控制体系时必须要考虑企业所面临的外部环境和具备的内部条件，机械地套用内部控制规范的要素和内容构建企业内部控制体系不一定有效。另一方面明晰责、权、利关系，保证其恰当履行其在内部控制披露过程中的监督和执行责任。我国相关指引和规定大都停留在明晰职责分工层面，应该在这基础上进一步改进，借鉴萨班斯法案第302条款的要求，明确签字人员承担多大风险，负担多少处罚成本。
第二，从成本效益原则出发，缩减执行成本，提高上市公司自愿性披露动机。与萨班斯高昂的执行成本一样，我国内部控制信息披露同样需要耗费企业大量的直接成本和间接成本，包括公司内部的成本费用、公司聘请的三方中介机构协助完成信息披露的成本和审计费用。高昂的执行成本是导致公司管理层自愿披露内部控制信息动机不强的主要原因。美国为缩减萨班斯法案执行成本，又发布一系列的方法如高层直接参与、弥补性控制措施、事后监督等，同时强调有效内部控制可能为公司带来的效益，从而鼓励披露内控信息。
那么从我国的现状出发提高自愿性披露动机可以从以下几方面着手：首先，在公司内部推广内部控制理念并提高员工素质，以降低内部控制管理成本和内部控制信息披露成本；其次，由于信息需求主体的多元化及其差异性，在成本效益原则下，不可能考虑全部信息使用者的所有需求，那么目前就只能侧重考虑主要信息使用者的需求；最后，采取有效措施提高内部控制与企业价值的相关度，使内部控制成为企业价值增值的一种手段，从而激励其对内部控制信息进行披露。
第三，统一内部控制信息披露形式。内部控制信息披露形式上，萨班斯法案以CEO和CFO递交给SEC的10K表格（Form 10K）的形式进行了统一。我国除了规范内部控制信息披露的范围和内容外，证监会还需对内部控制信息披露的形式做出规定，以利于信息使用者进行搜集、分析和比较，同时减少使用成本。上市公司平时应采取哪种披露形式可由证监会以《公开发行证券公司信息披露编报规则》或《公开发行证券公司信息披露规范解答》的形式统一规定。
第四，加强内外部监督。为实施萨班斯法案，美国增设了受SEC指导监督、专司监管上市公司财务管理问题的公众公司会计监督委员会。信息披露委员会的存在和有效运行，将会在评价主体内部控制有效性的工作范围和工作性质方面产生重要影响。
我国在实际执行过程中将采用什么方式对上市公司内控制度实施监管是在实际操作前要认真考虑的问题。一方面，企业应设置内部审计机构和建立内部控制自我评估系统。内部审计的作用不断加强，在保证内部审计的独立性和权威性的同时，使内部审计的主要职能从差错防弊转变为对公司的经营管理做出分析、评价和提出管理建议上来。内部控制自我评估系统，可以直接为内部控制信息的披露提供资料来源，同时也能够及时发现内部控制实际运行过程中的漏洞和隐患，使之得以及时修正和改进。另一方面，应该加强外部监督，包括政府监督和社会监督。充分发挥行业监管的作用，提升市场自律组织和专业服务机构的独立性。特别是需要密切关注在披露过程中发现的违法违规现象，通过强有力的经济制裁来最大限度地防止不披露内部控制信息、披露虚假的信息或隐瞒内部控制信息的现象。
参考文献：
［1］胡蕾、祝焰：《中美上市公司内部控制信息披露比较研究》，《武汉理工大学学报》2010年第10期。
［2］陈汉文、吴益兵、李荣、徐臻真：《萨班斯法案404条款：后续进展》，《会计研究》2005年第2期。（编辑向玉章）