摘 要：文章從強制披露內部控制信息的必要性入手，分析我國上市公司財務報告中內部控制信息披露現狀和原因，提出一些完善內部控制信息披露的建議。
關鍵詞：內部控制；披露；財務報告
2006年上海證券交易所和深圳證券交易所先后制定發布了《上市公司內部控制指引》，明確要求上市公司董事會應在年度報告披露的同時，披露企業年度內部控制自我評估報告和會計師事務所對內部控制自我評估報告的核實評價意見。從此，我國對內部控制信息的披露由自愿披露過渡到了強制披露階段。
一、披露內部控制信息的必要性
（一）對于投資者、債權人及其他外部信息使用者來說，內部控制信息披露可以提供附加信息
近年來，我國上市公司一系列財務丑聞的披露反映出我國上市公司會計信息失真問題比較嚴重，以致投資者對上市公司的信息披露缺乏信心。單純的財務報告已不能滿足投資者的需要，內部控制信息的披露可以幫助投資者更好地了解上市公司的實際情況。
（二）對于上市公司自身來說，內部控制信息披露可以提高企業管理當局內部控制的意識
通過對內部控制的自我評估，管理當局可以在導致重大后果以前發現內控中存在的缺陷，及時改進企業管理、減少舞弊。同時，內部控制信息披露也是管理當局解除受托責任的一種方式，委托者可以通過披露的內部控制信息來判斷受托者是否盡心盡職履行受托義務。
二、我國上市公司財務報告中內部控制信息披露現狀和原因分析
2006年7月1日開始施行的《上市公司內部控制指引》（以下簡稱《指引》）要求隨年報一同披露的內部控制評估報告中應包含以下內容：內控制度是否建立健全；內控制度是否得到有效實施；內部控制檢查監督工作的情況；內控制度及其實施過程中出現的重大風險和處理情況；對本年度內部控制檢查監督工作計劃完成情況的評價；完善內控制度的有關措施以及下一年度內部控制有關工作計劃。而且要求注冊會計師在對公司進行年度審計時，應參照有關主管部門的規定，就公司財務報告內部控制情況出具評價意見。
查閱上交所上市公司2006年年度報告可以發現，大部分上市公司僅在年度報告第十部分重大事項中公司內部控制制度建設一項或詳或略地披露了公司內控的相關信息，多是流于形式，有的公司甚至僅以“公司現有內部控制制度基本涵蓋了公司經營管理中的各個業務環節，保證了公司經營管理活動的正常運行”等空洞的語言一筆帶過，即使是披露較為詳細的公司，也未能完全包含《指引》中所要求披露的內容，并且幾乎所有公司都沒有披露聘請注冊會計師就公司財務報告內部控制情況出具評價意見的信息。
由此可見，大部分上市公司在年報中披露的內控信息均未達到《指引》的相關要求，上市公司普遍缺乏對內部控制信息詳細披露的動力。造成這一現象的原因是多方面的。
（一）從內部控制信息供求角度分析
作為信息的需求方，目前我國資本市場中，股市投機性強，投資者的專業性較差，對數據的理解分析能力以及綜合素質較弱，對高質量會計信息需求不足。
而作為信息的供給方，上市公司內控信息披露的成本—效益問題是造成這一現象根本原因。只有信息產生的效益大于信息的成本，信息的生產才具備經濟上的合理性。上海證券交易所等單位對我國上市公司信息披露的成本效益進行問卷調查（周勤業，2003）表明：上市公司信息披露負擔日益加重，集中于在指定報紙刊登信息披露文件的費用和定期報告的審計費用，上市公司認為信息披露對產品銷售、品牌宣傳有一定的促進作用，但作用不是太大，對改進企業法人治理結構的意義也尚未體現出來。
（二）從內部控制信息披露的制度角度分析
首先，《指引》對披露內容的規定不完善，沒有說明上市公司評價內部控制建立和實施情況的標準，使內部控制自我評估報告的信息含量下降，可操作性差。我國對于內部控制的完整性、合理性及有效性缺乏一個統一、權威的標準體系。除證券公司、商業銀行以外的上市公司一般是參照2001年財政部發布的《內部會計控制規范──基本規范(試行)》，該規范是目前我國內部控制領域比較權威的標準，也是上市公司進行內部控制建設所依據的標準，但其將內部控制定位于內部會計控制，兼顧與會計相關的控制，立足點還是從內部會計控制的角度進行規范，已遠遠不能適應當前市場環境對企業內部控制的要求。在這種缺乏內部控制評估標準情況下，不同企業對內部控制發表的自我評估結論很難具有可比性，注冊會計師對企業的內部控制進行評價應采取哪些程序、遵循哪些標準沒有規范可依，其執業風險大小不好衡量。
其次，披露要求中缺乏董事會對內部控制信息披露責任的相關表述。董事會在內部控制報告中表明企業對內部控制的責任，可以增強其內部控制意識，通過管理層改善控制環境，提高財務報告的可靠性。提供內部控制信息實際上也是董事會解脫受托責任的一種方式。
另外，《上市公司內部控制指引》沒有對違反該規定的行為進行相關處罰的條款，《深圳證券交易所上市公司內部控制指引》中指出對公司及其有關人員違反該指引規定的行為參照《上市規則》有關規定給予處分。總的來說，處罰力度太輕，這也從客觀上導致了《指引》在上市公司2006年年報未能被嚴格執行。
三、改進我國上市公司財務報告中內部控制信息披露的建議
（一）加強引導，使管理當局認識到披露內部控制信息的作用
披露內部控制信息是加強企業自身管理的重要措施，對公司來說是有好處的。
一方面，它能夠使股東和其它投資者更加了解公司的管理現狀和財務狀況，從而引起更多投資者的興趣；另一方面，公司可以通過內部控制改善經營管理，達到戰略目標。
（二）盡快出臺內部控制的標準和評價規范
只有制定出類似于美國COSO報告（2003年COSO的《企業風險管理框架》拓展了內部控制的框架，指出企業風險管理的包括內部環境、目標設定、事項識別、風險評估、風險應對、控制活動、信息與溝通和監控八大要素，《指引》采用了此觀點。）比較統一、權威的企業內部控制標準體系以后，內控信息的披露才具有操作性和可比性，注冊會計師也才有了判斷企業內控完整、合理、有效的標準。
2006年7月，經國務院批準，由財政部牽頭發起，證監會、國資委共同參與的我國“企業內部控制標準委員會”正式在北京成立，并于2007年3月發布了《內部會計控制規范──基本規范(試行)》和17項具體規范（征求意見稿），該意見稿借鑒了美國COSO報告的已有成果，這表明我國已開始積極規劃出臺既吸收了國外先進內部控制理念，又符合我國企業實際情況的內控建設和評價的相關制度和規范，使財務報告中內部控制評價有統一權威的標準可以參照。
（三）進一步規范披露內容和形式
證監會應當對內部控制信息披露的主體內容和格式做出更加詳細的規定。除現有規定外，內部控制報告應增加以下四個方面的內容：1、內部控制報告應表明董事會和管理當局對內部控制的責任。建立、實施和維護企業的內部控制制度是管理當局的責任，內部控制的目標在于合理保證財務報告的可靠性、經營的效率和效果、法律和法規的遵循性。2、內部控制報告還應說明所依據的內部控制的標準或規則框架。內部控制標準是用來指導公司設計和執行相關內部控制的基本依據，也是評價內部控制有效性的標準。3、內部控制報告應聲明企業的內部控制有效性（或除已表述的重大缺陷以外的內部控制有效性）不存在對企業財務報告的可靠性和對企業資產的安全和完整有重大不利影響的情況。4、有必要在報告中說明內部控制存在固有缺陷，有效的內部控制也只能對經營、財務、法規遵循三大目標的實現提供合理保證，而且，隨著環境和情況的變化其有效性可能會發生改變。
（四）制定會計師事務所出具內部控制自我評估報告核實評價意見的標準
目前注冊會計師內部控制審核業務是依據中國注冊會計師協會發布的《內部控制審核指導》和中國證監會的有關規定（中國證監會在股份公司首次公開發行股票以及上市公司發行新股和發行可轉換債券時，要求擬發行證券的公司和上市公司披露公司管理層對內部控制制度的完整性、合理性及有效性做出自我評估意見，同時要求注冊會計師指出“三性”是否存在重大缺陷。）進行的。該指導意見規定了內部控制評價的范圍、程序、方法和報告等一般性要求，卻沒有涉及評價內部控制的操作性工具，因此不能明確注冊會計師應該對上市公司的哪些控制內容和要點進行測試，以及測試標準和對應的評價意見類型。建議可以借鑒美國COSO報告所提出的評價工具，設計我國上市公司的內部控制評價工具，將內部環境、目標設定、事項識別、風險評估、風險應對、控制活動、信息與溝通和監控作為內部控制評價工具的框架，從而服務于經營、財務報告以及法規遵循這三大內部控制評價的目標。
（五）明確界定公司管理層對內部控制的法律責任，加大處罰力度
引入問責機制，細化對各種違法違規編制和提供財務報告以及內部控制報告行為的處罰條款，對違法的單位和個人要嚴格追究當事人個人及其所在企業的民事及行政責任，情節嚴重的追究其刑事責任，這樣有利于從根本上遏制管理層舞弊的動機。
