經過幾年的努力，上市公司在內部控制方面已經取得了顯著性的突破，但是由于內部控制規范體系的建設尚不完善，企業內部控制機制仍然存在許多亟待解決的問題。另外，考慮到《企業內部控制基本規范》已在我國上市公司施行，深入分析現有內部控制規范在我國上市公司的實施狀況以及存在的問題，對完善我國內部控制應用指引的制定和發布具有重要的指導作用。
一、上市公司內部控制實施現狀
（一）內部控制環境 根據COSO報告對內部控制環境的描述，內部控制環境主要指企業的核心人員以及這些人的個別屬性和所處的工作環境，包括個人誠信正直、道德價值觀與所具備的完成組織承諾的能力、董事會與稽核委員會、管理階層的經營理念與營運風格、組織結構、職責劃分和人力資源的政策與程序。本文重點從股權結構、董事會構成、高管激勵方面反映上市公司內部環境狀況。
（1）股權結構。根據《社科院——2009年中國上市公司100強公司治理評價》數據.2008年度百強上市公司的股權集中程度較高，77%的公司前五大股東合計持股比例在50%以上，并且國有股占絕對優勢，86%的公司第一大股東為國有性質，第二大股東和第三大股東中國有股東也分別達到了樣本公司總數的32%和33%，并且持股數量也有明顯上升。
（2）董事會構成。在我國百強上市公司中，董事會的規模平均為11人，董事會中獨立董事的比例約為34%，維持在比監管規則要求的最低限度（三分之一）略高的水平上。因此，從整體水平來看，上市公司董事會中獨立董事的比例低于三分之一。
表1 董事會構成
2008年度
2007年度
平均（人）
占%
平均（人）
占%
董事會人數
11.15
100
11.45
100
獨立董事
3.87
34.7
3.90
34.1
數據來源：《社科院---2009年中國上市公司100強公司治理評價》。
（3）高管激勵。中國百強上市公司高管報酬，繼上年度的大幅度上升之后，本年度進一步呈現超大幅度的躍升趨勢。在全體高管人數增長18.63%的情況下，全體高管成員的報酬總額增長幅度卻高達111.23%。全體高管成員、董事會成員、執行董事、非執行董事和獨立董事的人均報酬水平都出現很高幅度的增長，其中增長幅度最大的是執行董事。但是除獨立董事外的高管人均報酬水平在不同行業、不同企業之間的差異在不斷擴大，獨立董事之間的人均報酬水平差距卻在縮小，甚至是明顯的趨同。
（二）風險評估 據德勤公司2009年統計數據顯示，2008年度大部分企業在金融危機的經濟形勢下更加重視企業自身內部控制體系的建設工作，其中約82.35%的企業組織了內部控制的梳理活動，但僅有5.88%的企業進行風險評估，并建立了相應的風險應對措施。
《中國上市公司2009年內部控制白皮書》中相關數據表明，我國上市公司的內部控制水平在行業、地區上存在明顯的差距，尤其在風險評估環節存在的差距最大。
（三）控制活動 2006年，上交所、深交所都分別根據《公司法》、《證券法》、《國務院批轉證監會<關于提高上市公司質量意見>的通知》，發布深圳證券交易所（上海證券交易所）上市公司內部控制指引（以下簡稱：內控指引），《內控指引》要求上市公司應重點關注控股子公司、關聯交易、對外擔保、募集資金使用、重大投資及信息披露的內部控制。目前，僅就深市的上市公司而言，80%以上的上市公司注重了以上六大方面的控制活動。在滬市的上市公司中，也有許多公司從銷售、生產、資產、采購、財務等方面完善了制度，加強了各種控制活動。然而滬深兩市分別僅有少數的幾家上市公司在董事會下分設執行委員會，以監督和指導各種控制政策和決策的順利實施。經過德勤公司的統計調查，約有41.18%的企業認為，內部控制制度的執行不力是企業內部控制存在的主要問題。
（四）信息溝通 《內控指引》中明確規定：公司應建立信息披露管理制度和重大信息內部報告制度，明確重大信息的范圍和內容。幾乎所有的上市公司在2008年度都按照此規定制定并修改了信息披露管理制度，這有利于上市公司信息披露質量的提高。據統計，2008年度我國上市公司中共有353家企業披露了內部控制自我評估報告，占上交所上市公司總數的41%，其中，51%的企業披露了內控審計意見。在沒有披露內部控制評價報告的上市公司中，仍有部分上市公司在年報中披露了內部控制建立健全情況，只是披露情況較為簡單或者沒有明確的內容。
披露了內控自我評估報告的企業中有73.33%的企業在編制內控自我評估報告前，對企業內部控制進行了全面自查并保存了檢查的證據或工作底稿，但是仍有26.67%的企業在編制前并未對企業自身的內部控制進行全面自查并保存檢查的證據或工作底稿，部分企業內部控制自我評估報告的編制僅依賴于各部門或各子公司上報的內部控制自評報告。
（五）內部監督 內部審計機構和監事會是內部控制的兩大監督機構。但是，目前我國大多數上市公司對內部控制的有效性的評價缺乏獨立性。據統計，2008年約64.71%的企業由內部審計部門牽頭，對企業的內部控制有效性進行評價，由財務部門、董事會辦公室或其他部門牽頭的企業為11.76%。監事會對內部控制的意見，多數只是“內部控制已經健全”。
二、上市公司內部控制存在問題
（一）內部控制環境薄弱 具體如下：
（1）股權集中程度較高，國有股占絕對優勢。股權結構對公司治理具有直接影響，股權集中度過高不僅帶來大股東欺壓小股東的風險，而且可能導致其他公司治理機制的失效，從而使企業內部控制治理機制失效。控股股東利用其控制力干預企業經營決策，以犧牲其他股東的利益為代價來謀求自身利益，從事“隧道行為”，從而產生大股東和中小股東之間的委托代理問題。
國有股所特有的所有權缺位和經營權越位等現象也容易造成“內部控制與會計信息失真”，對管理層缺乏有效監督和控制，直接導致公司治理結構殘缺，進而影響內控制度的實施。
（2）董事會結構不合理。中國引入獨立外部董事制度，目的是為了提高董事的獨立性，從而更好地對公司經營進行監督。根據證監會《關于我國上市公司實施獨立董事制度的指導意見》，獨立董事的人數至少占董事會總人數的三分之一。但是目前我國上市公司中，獨立董事比例仍低于1/3。Yermack發現，董事會規模越小，公司的市場價值也就越高。Jensen也認為，當董事會超過7位或者8位成員時，他們就不可能有效運作，并且對CEO來說會更容易控制。在我國百強上市公司中，董事會規模平均為11人且規模在逐年的增加。
（3）高管激勵制度不完善。日益膨脹的高管薪酬，尤其是那些與企業經營業績明顯失調的超高薪酬，已經成為社會公眾關注的焦點之一。有學者認為，我國目前經理人的報酬水平與公司經營業績之間的關系非常的微弱。中國公司的高管報酬，在公司業績根本沒有起色、股東毫無回報的情況下，脫離了傳統行政控制機制的約束，出現了成倍的增長現象。其主要原因在于目前我國資本市場機制的不完善，對中小股東保護力度提高不大、資本市場有效性不足、有效的市場監控機制沒有建立起來。
（二）風險評估環節薄弱 風險評估在企業實施內部控制的過程中是非常重要的一個環節。風險評估能夠及時的識別、科學的分析影響企業內部控制目標實現的各種不確定因素，然后采取應對措施，保證企業的內部控制能夠順利的實施。對于我國的上市公司而言，雖然大部分的企業都進行了內部控制體系建設，但是在風險評估方面投入的力度明顯的薄弱，僅有5.88%的企業進行了風險評估并采取了風險應對措施。統計資料表明，企業內部控制水平高低的差距主要體現在風險評估環節。目前我國的內部控制大多是停留在“表面文章”的水平上，尤其對于風險評估而言，其中很大一部分原因來自于評估程序相對較為復雜，需要花費大量的人力、物力、財力，對人員的專業知識要求也較高，所以大多數的企業對風險評估沒有給予足夠的重視。
（三）內部控制制度執行不力 控制活動的完善與否和是否得到有效實施，在一定程度上反映了內部控制執行方面可能存在的問題。通過對上市公司內部控制現狀的描述可以看出，僅有少數幾家上市公司在董事會下成立了執行委員會，約有41.18%的企業認為內部控制制度執行不力是企業內部控制存在的主要問題。這表明了我國上市公司對內部控制制度的執行重視不夠，存在“表面文章”現象，內部控制大多流于形式。
（四）內控信息披露不規范 大多數的上市公司都進行了內控信息的披露，但僅有41%的公司披露了內部控制自我評估報告，在沒有披露自我評估報告的上市公司中，披露的程度不盡相同，甚至有些僅僅用一句話概括，這就使得我國上市公司內控披露標準不一致、不規范，甚至在一定程度上存在混亂現象。
（五）忽視對內部控制實施情況監督 目前我國的監事會對內部控制的實施情況的獨立監督作用沒有得到充分的發揮，大多數的監事對內部控制實施情況的評價，只局限于短短的幾個字，從而忽視了監事會對內部控制實施情況的監督。這在一定程度上說明了上市公司監事會的監控作用還有待于加強。
另外，內部控制的評價應盡可能的獨立客觀。一般來說，由于內部審計部門在企業中處于相對獨立的地位，由其負責組織和實施內部控制評價工作比較合適。但據統計，目前約有35.29%的企業的內部控制評價由其他的部門牽頭實施。這難免存在一些問題，如評價者不獨立，難以產生客觀的評價結果；評價者能力有限，導致評價結果缺乏說明力或評價工作流于形式，使得監督部門不能更好的發揮監督作用。
三、完善上市公司內部控制建設建議
（一）重視內部環境建設 主要包括以下幾個方面的內容：
首先，我國的上市公司應適當推進的股權分散和股東類型的多元化，形成有效的制衡機制，從而確保公司利益不受侵害。
其次，控制董事會的規模，增加獨立董事所占的比例，加強獨立董事的獨立性，充分發揮其獨立監督的作用。
再次，應設計、實施具有短期激勵效應的收入分配激勵與具有長期激勵效應的財產分配激勵相結合的激勵方案，加大高管舞弊成本約束的力度，以便為內部控制的實施營造良好的環境。另外，為確保獨立董事的獨立監督地位，其工資應該完全的與業績脫鉤，由證監會統一制定發放。
（二）提高風險評估水平 首先，應該加強企業管理層對風險評估重要性的認識，給予風險評估足夠的重視，加大風險評估的投入力度；其次，合理運用定性定量風險評估技術，提高風險評估的水平。
（三）建立內部控制程序 控制活動的重點是加強公司業務循環的內部控制，因為內部控制許多方式是體現在業務層次上的，從業務層次中入手設計內部控制有利于加速提高企業內部控制整體水平。因此，通過業務循環程序建立和完善的控制活動，有利于我國上市公司內部控制水準的提高，保證內部控制制度的貫徹執行。另外，董事會下設執行委員會監督內部控制制度的執行，不失為一個好的途徑。
（四）規范內控信息披露制度 首先，應明確內部控制信息披露的格式，以降低上市公司在內部控制信息披露方面的選擇性和隨意性；其次，應加強內部控制自我評估報告的編制基礎，制定內部控制自我評估報告的統一標準，實現上市公司內控自我評估報告從格式到內容的統一，并且企業應該保留編制自我評估報告前對企業自身的內部控制進行全面自查的證據或工作底稿，以保證企業自我評估報告的可靠性。
（五）完善內部控制監督 企業應該明確劃分獨立董事和監事會的職責與關系，確保監事會的知情權，完善監事會制度，發揮監事會的作用。企業應將內部控制實施的效果納入考核體系，在持續的考核與監控中逐步完善內部控制體系，提高執行力。考核評價的牽頭部門應該是內部審計部門，增強內部審計的獨立性，進一步擴張以風險為導向的內部審計功能。
綜上所述，我國上市公司的內部控制建設在企業環境，風險評估、控制活動、信息溝通和內部監督五個方面仍然存在著不足，內部控制制度仍然不完善，執行力度較弱，存在較為嚴重的失效問題。因此，進一步加強內部控制的環境建設、提高風險管理水平、完善控制活動和信息溝通、加大監控力度，是我國上市公司在以后的內部控制建設中應該努力的方向。
參考文獻：
[1]劉靜、李竹梅：《內部控制環境的探討》，《會計研究》2005年第2期。
[2]深圳市迪博企業風險管理技術有限公司：《中國上市公司2009年內部控制白皮書》，《中國證券報》2009年7月16日。
[3]毛新述、楊有紅：《內部控制與風險管理——中國會計學會2009內部控制專題學術研討會綜述》，《會計研究》2009年第5期。
[4]張士強、張暖暖：《我國上市公司內部控制現狀與存在問題分析》，《審計與經濟研究》2009年第3期。
[5]陳漢文、張宜霞：《企業內部控制的有效性及其評價方法》，《審計研究》2008年第3期。
[6]繆艷娟：《英美上市公司內控信息披露制度對我國的啟示》，《會計研究》2007年第9期。
[7]周勤業、王嘯：《美國內部控制信息披露的發展及其借鑒》，《會計研究》2005年第2期。
