一、中美企業內部控制法律規范的立法形式比較
(一)美國的立法形式美國聯邦法律《SOX》(2002)中第302條(公司的財務報告責任)和404條(管理層的內部控制評價)中規定企業內部控制制度，《SOX》對美國《1934年證券交易法》作出了重大修改。美國證監會(sEC)為指導財務報告內部控制(ICFR)制定了若干“規則”，公眾公司會計監察委員會(PCAOB)也制定了若干《審計標準》。根據SEC制定的13a-15(f)規則或PCAOB第5號標準，財務報告內部控制被定義為：由發行人(公司)的主要執行官及財務官或履行相似職責的其他人設計或監督，并由發行人(公司)的董事會、經營者和其他職員實施的，旨在對符合一般公認會計原則的財務報告的可靠性以及供對外使用的財務報表的編制提供合理保證的一個流程。《SOX》是在安然、世界通訊等相繼發生財務欺詐丑聞后，美國國會為挽救投資者信心而制訂的，是對美國商業行為作出的最深遠的變革”。
(二)中國的立法形式規定公司內部控制制度的主要是財政部會同證監會等部門制訂的部門規章《企業內部控制基本規范》(2008)。此外，也有規范文件對內部控制作出規定，如《上市公司證券發行管理辦法》、《上海證券交易所上市公司內部控制指引》、《首次公開發行股票并上市管理辦法》等，但這些文件或者不是專門的內部控制規范，或者效力等級不如《規范》。根據《規范》，內部控制被定義為“由企業董事會、監事會、經理層和全體員工實施的、旨在實現控制目標的過程”。我國《證券法》沒有直接規定內部控制制度的條款。
二、中美企業內部控制法律規范的法律內容比較
(一)中美企業法律內容相同點一是為上市公司提供審計服務的注冊會計師事務所不得同時提供非審計服務；二是在董事會下成立審計委員會；三是對舉報人進行保護等。
(二)中美企業法律內容不同點一是在規定內部控制制度的目標方面有很大區別。《規范》規定的目標很全面，它參照了美國反欺騙性財務報告委員會(cOSO)的“內部控制—綜合框架報告”(1992)的觀點。該報告將公司內部控制的目標分為三類：經營的效果和效率、財務報告的可靠性以及遵守可適用的法律和規章。該報告還認為內部控制應包括五個要素：控制環境、風險評估、控制活動、信息和溝通、監控(Ferola，2006)。《規范》相應地將內部控制的目標規定為“是合理保證企業經營管理合法合規、資產安全、財務報告及相關信息真實完整，提高經營效率和效果，促進企業實現發展戰略”。《SOX》規定的目標則很單一。在SEC工作人員聲明中，ICFR總體的目標確定為“促進可靠的財務報表的編制”，并指出可靠的財務報表必須相當準確。該目標著重強調了財務報告的可靠性目標，而沒有包括經營的效果和效率等目標，這與《sOX》的出臺直接根源于安然等公司的財務欺詐丑聞有關。二是在規定財務報告的可靠性方面存有重大區別。《規范》側重于企業經營水平的提高和企業資產的保護。具體到財務報告的可靠性，雖提到“財務報告及相關信息真實完整”，卻沒有規定更具體的實施規則，反而著重規定內部控制的五個要素。與之相反，《sOX》對財務報告的信息披露進行了具體規定。因此，筆者認為，《規范》本身的出臺并不能夠改善我國對上市公司財務欺詐的監管力度。盡管《sOX》將內部控制的目標局限在財務報告的可靠性方面也引起學者的質疑，但鑒于我國上市公司財務欺詐丑聞不斷的事實，即便我國認可內部控制的目標不應囿于財務報告的可靠性方面，但也應集中體現財務報告的可靠性方面。《規范》沒有明確規定經理層在內部控制制度的制定與實施中的義務或責任，而《SOX》在著名的第302及404條中對經理層核證財務報告的義務進行了具體規定，并且在第906條規定了有關經理層的財務報告方面的嚴格法律責任，而財務報告的報備應該是內部控制的關鍵環節，只有明確經理層在這個環節的法律義務及責任，才更有可能使投資者獲得真實地反映公司財務狀況和經營成果的信息，以有效解決他們與經理層之間的信息不對稱問題。
三、我國企業內部控制法律規范的完善
(一)市場、制度及政府之間的關系分析市場、制度、政府之間存在一定的邏輯依賴關系：稀缺的社會資源需要優化配置才可能達到政府所追求的社會經濟績效的最大化目標；市場是資源優化配置的手段；制度則能夠為市場的運作提供保障。要有效論證經理層在財務報告方面的法律義務與法律責任，就需要對三者的內在屬性進行分析。一是市場發生作用可以提升社會經濟績效。市場，是人與人之間交往的場所，也是人與人之間產權交換或轉移的場所；企業，是市場的重要參與者，稀缺性社會資源，如勞動力、資本、土地等生產要素均通過各自相應的要素市場在企業間進行分配，這些企業通過消耗資源而生產的產品或服務被用來滿足消費者的需求。因此，生產要素在企業間的分配狀況就會直接影響到用以滿足消費者需求的產品／服務的產出。假如市場是完全競爭的，所有生產要素、產品、服務都可以從市場上得到，那么邊際社會收益就會等于邊際社會成本，整個經濟系統就能達到帕累托最優狀態，最大化經濟績效。二是制度可以保障市場發生作用。制度，是規范一個社會中人與人之間交往的規則。制度“由正式規則(法律、憲法、規則)、非正式規則(習慣、道德、行為準則)及其實施效果構成”，而市場則是個天然的規則集，沒有規則就沒有市場，“市場的有效性直接決定于制度框架”。“制度決定著經濟績效，是新制度經濟學為經濟學家所給出的重要結論”(科斯，2003)。三是政府可以保障制度發生作用。政府，根據“大不列顛百科全書(學術版)”的定義，是管理和調控一個國家或政治共同體的政治體系，本文中“政府”指廣義上的政府，涵蓋立法、司法、行政等職能部門。政府可以對制度施加影響：一方面，非正式規則的有效運作離不開政府的支持，如國際貿易方面的許多國際慣例得到了各國的尊重；另一方面，政府可以直接制定憲法、法律等正式規則，并且通過司法、行政等法律執行手段來保障制度的實施。
(二)制度與政府在解決市場失靈中不完全信息問題的作用分析一是投資者與經理層之間存在信息不對稱問題。在上市公司中投資者(委托人)與經理層(代理人)之間存在典型的委托一代理關系。雖然同為上市公司的重要主體，兩者的目標卻相互沖突，“一個人的成本是另一個人的收益：所支付的工資是代理人的收益，并且是委托人的成本，而代理人的努力有利于委托人，卻是代理人付出的成本”。人們不懈地追求個人利益的最大化，當他們與擁有相似目標的企業結合時更是如此，在這種法則下，經理層的欺詐、投機與權力濫用就在所難免。但由于經理層擁有投資者未知的私人信息，導致兩者存在信息不對稱。根據信息經濟學理論，這將帶來兩個問題：第一是逆向選擇問題。在委托人與代理人簽訂合同之前，如果代理人擁有私人信息就產生逆向選擇問題。該問題的存在 導致委托人尋找不到最優的代理人。因為委托人缺乏完全信息來評估代理人，因而不愿承擔風險去選擇要價最高的代理人，寧愿采取保守策略選擇要價中等的，結果會致使劣幣驅逐良幣，高端代理人不得不離開這個市場。第二是道德風險問題。在委托人與代理人簽訂委托合同后，如果代理人擁有委托人沒有擁有的信息就產生道德風險問題。該問題的存在導致委托人不能有效觀察或控制代理人的行動，因此，委托人就無法有效判斷經理層是否按最符合委托人利益的方式行事。在簽約前，代理人為了解決信息不對稱會積極進行信號傳遞，一旦簽約后，代理人就會在傳遞信號之前進行成本與收益的比較。同理，如果信號是有成本的，而且如果信號傳遞行動不能抵消這一成本的話，那么代理人也就不會希望去傳遞信息。在這種情況下，委托人就會對代理人的行動處于不知情狀態，最終委托人或者承擔更高的代理成本，或者承受代理人欺詐行為的風險，或者兼而有之。但一個理性的投資者不會不計成本的獲取信息，這里存在一個臨界點。一旦達到這個臨界點，投資者將會放棄投資于證券市場，這就給社會經濟績效帶來負面影響。因此，如何有效應對代理人道德風險問題就成為公司治理理論的一個重要課題。
二是投資者與經理層之間信息不對稱問題的解決途徑。對于代理人道德風險問題的解決，新制度經濟學家認為一個重要的途徑就是委托人給代理人提供有效的激勵，具體而言，委托人需要“設計一個激勵合同以誘使代理人從自身利益出發選擇對委托人最有利的行動”(莫里斯，1997)，如采取獎金、股票期權等貨幣型手段作為激勵，使代理人認識到私人信息的公開能帶來更大收益，從而得到足夠動力去披露私人信息。通常這種激勵是有效的，但要使代理人一直地忠實履行受托責任，僅靠委托人提供的貨幣型激勵還不夠，還需要有政府所提供的由正式規則構成的制度型激勵。制度型激勵主要指以法律規則這種制度形式提供的激勵。制度型激勵對貨幣型激勵起到良好的補充作用：貨幣型激勵通過道德權威發生作用，對于道德水平高的善良代理人而言，這種激勵才能生效；而制度型激勵通過法律權威發生作用，對于道德水平低的無良代理人而言，利益的驅使使得道德變得無足輕重，貨幣型激勵往往難以有效發生作用，只能借助于法律的威懾與懲治功能來加大他們為欺詐行為的成本。因此，法律規則的存在是必需的，“通過責任的分配和賠償一懲罰規則的實施，法律將個人行為的外部成本內部化，誘導個人選擇社會最優的行動”(張維迎，2005)。隨著法律規則完善程度的提高，代理人的道德水平也將成比例地提高。具體而言，由法律規則提供的制度性激勵具體又可細分為兩種：管理責任型激勵，主要指公司施加給經理層的諸如解聘、降職等形式的責任。這種管理責任由法律明確規定，公司不會因此類措施的采取而處于勞動法或合同法上的不利地位。結合企業內部控制制度來說，就是在法律規則中明確規定經理層承擔關于該制度的制定方面的管理義務，如果經理層沒有適當履行這方面的管理義務，就要承擔管理責任。法律責任型激勵，主要指司法或行政機關施加給經理層的諸如罰款、罰金、監禁等形式的責任。結合企業內部控制制度來說，即在法律規則中明確規定經理層承擔關于該制度的實施方面的法律義務，如果經理層沒有適當履行這方面的法律義務，違反該制度框架下財務報告的報備或其他信息披露義務，就需承擔法律責任。因此，在解決委托人與代理人之間的信息不對稱問題上，政府的作用必不可少。然而，《規范》并未明確經理層在內部控制制度的制定方面的管理責任，也未明確規定管理層在內部控制制度的實施方面的法律責任。因此，筆者建議《規范》或修訂的相關證券法律應在借鑒《S0X》302及906條款的基礎上，完善經理層在與內部控制制度的制定與實施相關具體的管理責任和法律責任。
由于經理層與投資者之間存在信息不對稱，投資者無法有效觀察或控制經理層的行動，因此難以避免經理層的機會主義與道德風險問題的出現。給經理層提供適當的激勵可以有效解決信息不對稱。這些激勵除了投資者提供的獎金、股票期權等貨幣型激勵外，還需要制度尤其是法律等正式規則的制定或完善所提供給經理層的制度型激勵。結合內部控制制度而言，可由政府提供的制度性激勵包括由法律規則明確經理層在企業內部控制制度的制定方面的管理義務而提供的管理責任型激勵，以及經理層在企業內部控制制度的實施方面的法律義務而提供的法律責任型激勵兩種。目前，中、美兩國都出臺了相關法律規范，要求企業加強內部控制制度的制定或實施。與美國相比，我國在信息披露方面的規定還不完善，無法對投資者尤其是私人投資者的利益提供有效的制度性保障。因此，我國應在借鑒美國先進經驗的基礎上進一步完善現有的規范制度，從而使我國企業內部控制法律規范制度得以成熟發展。
