一、引言
內部控制作為公司治理的關鍵環節和經營管理的重要舉措，在企業發展壯大中具有舉足輕重的作用。但從現實情況看，許多企業管理松弛、內控弱化、風險頻發，資產流失、營私舞弊、損失浪費等問題還比較突出；從2010年企業隨年報披露的內部控制信息來看，有些企業沒有披露其內部控制自我評價報告，有少數企業甚至對其內部控制信息沒有以任何形式進行披露，而披露了內部控制信息的企業也存在披露的內控的內容不統一，評價的標準不統一，其內部控制自我評價報告的格式、評價的對象、評價結論的表述、評價結論的時效性等方面也存在不一致。鑒于此，本文從《上海證券交易所上市公司內部控制指引》（以下簡稱“滬指引”）、《深圳證券交易所上市公司內部控制指引》（以下簡稱“深指引”）、《企業內部控制基本規范》（以下簡稱“基本規范”）及其由《企業內部控制評價指引》、《企業內部控制應用指引》和《企業內部控制審計指引》組成的《企業內部控制配套指引》入手，比較、分析了三方內部控制評價標準所規范的內部控制內涵、設計及施行、檢查與監督及自我評價的披露等幾個方面，從而為我國企業完善內部控制的制定和實施實踐提供依據，也為我國監管機構進一步完善內部控制法律法規、提高外部監管的效果和效率提供參考?！皽敢睆?006年7月1日施行，適用于在上海證券交易所上市的公司；“深指引”于2007年7月1日起施行，適用于深圳證券交易所主板上市的公司，但不含中小企業板上市公司；“基本規范”于2009年7月1日施行，適用于中華人民共和國境內設立的大中型企業，但是小企業和其他單位可以參照本規范建立與實施內部控制?；疽幏兜呐涮字敢?011年1月1日起在境內外同時上市的公司施行，自2012年1月1日起在上海證券交易所、深圳證券交易所主板上市公司施行，在此基礎上，擇機在中小板和創業板上市公司施行，并鼓勵非上市大中型企業提前執行。從中可以看出，“基本規范”及其配套指引雖然施行時間最晚，但適用范圍最廣，而“滬指引”和“深指引”都僅適用于上市公司。
二、內部控制內涵比較研究
?。?一 ）內部控制的定義 “滬指引”所稱內部控制是指，“上市公司為了保證公司戰略目標的實現，而對公司戰略制定和經營活動中存在的風險予以管理的相關制度安排，是由公司董事會、管理層及全體員工共同參與的一項活動?！薄吧钪敢彼竷炔靠刂茷椋吧鲜泄径聲⒈O事會、高級管理人員及其他有關人員為實現下列目標而提供合理保證的過程： 遵守國家法律、法規、規章及其他相關規定；提高公司經營的效益及效率；保障公司資產的安全；確保公司信息披露的真實、準確、完整和公平?！薄盎疽幏丁闭J為，內部控制是由企業董事會、監事會、經理層和全體員工實施的、旨在實現合理保證企業經營管理合法合規、資產安全、財務報告及相關信息真實完整，提高經營效率和效果，促進企業實現發展戰略等控制目標的過程。比較三方對內部控制的定義不難看出：（1）目的不一致?！皽敢笔菫榱吮ＷC公司戰略目標的實現；“深指引”和“基本規范”是為了實現特定目標而提供的合理保證，但是兩者所指的特定目標卻存在些許差異，“深指引”是為了提高公司經營的效益及效率、確保公司信息披露的真實、準確、完整和公平，而基本規范卻認為是提高經營效率和效果、合理保證財務報告及相關信息真實完整、促進企業實現發展戰略。（2）性質不同?！皽敢闭J為內部控制既是一項活動也是一種制度安排，而“深指引”和“基本規范”卻認為內部控制是一個過程。（3）參與人的不同。“滬指引”和“基本規范”認為是全員參與，而“深指引”卻認為只是“董事會、監事會、高級管理人員及其他有關人員”參與，范圍明顯不同。
?。?二 ）內部控制的責任人 “滬指引”和“深指引”都明確指出公司董事會應對公司內部控制制度的制定和有效執行負責，“滬指引”更是認為“董事會及其全體成員應保證內部控制相關信息披露內容的真實、準確、完整?！彪m然“基本規范”一直只稱“企業”，沒有指明具體的責任人，但在《企業內部控制評價指引》中有提到“企業董事會應當對內部控制評價報告的真實性負責”，在《企業內部控制審計指引》中也明確指出“建立健全和有效實施內部控制，評價內部控制的有效性是企業董事會的責任”。
三、內部控制自我評價規范比較研究
?。?一 ）建立內部控制自我評價規范應考慮的因素 “深指引”基本上完全借鑒了COSO全面風險管理8要素框架的思想，僅只是把COSO中的“風險應對”調整為“風險對策”，但是就此具體的解釋而言，兩者差別不大。“滬指引”也借鑒了COSO8要素框架的思想，但是卻認為是“風險確認和風險管理策略選擇”，而不是“事項識別和風險應對”?！帮L險確認”僅指考慮了風險，而“事件”識別不僅要識別“風險”也要識別“機會”； “風險對策”是一種風險控制措施，而“風險管理策略選擇”卻是一種風險管理策略，這有著較為本質的區別，“控制措施”顯得較為被動，“管理策略”是主動行為。在對8項要素的解釋上，“深指引”和“滬指引”都只是解釋了要素的涵義，沒有對該要素所包含的具體內容進行說明。“基本規范”在雖然在形式上借鑒了COSO 報告5要素框架，但卻在內容上體現了風險管理8要素框架的實質。把原COSO 報告5要素框架中的“控制環境”修正為“內部環境”，卻包含了8要素中“目標設定和內部環境” 的內容，其中的“風險評估”實際上包含了“風險識別、風險評估及風險應對”的內容。此外，“基本規范”還對各要素所包含的具體內容給出了較為詳細的說明。不管是具體內容，還是內部控制體系，“基本規范”都進行了本質的創新。因此，三方規范對建立和實施內控制度時應考慮的因素本質上并沒有不同，只是規范的詳細程度不同。
?。?二 ）上市公司內部控制經營活動 “滬指引”認為上市公司內部控制通常應涵蓋的主要經營活動環節有：銷售及收款、采購和付款、生產環節、研發環節固定資產管理、資金管理（包括投資融資管理）、擔保環節、研發環節、關聯交易人力資源管理和信息系統管理等，并依次對所有環節涉及的具體經濟業務活動進行了簡要說明。該指引沒有直接對重要控制活動給出分析，但是卻以“專項風險的內部控制” 對控股子公司管理控制的內容及金融衍生品交易的控制活動應遵循的要求進行了詳細闡述。“深指引”在公司內部控制通常應涵蓋的主要經營活動環節上與“滬指引”沒有大的區別，只是“滬指引”考慮了生產環節、研發環節和擔保環節，“深指引”考慮了存貨管理、財務報告、信息披露環節。與“滬指引”不同，“深指引”并沒有對各項經營活動環節的具體內容進行說明，而是以“重點關注的控制活動”的形式對控股子公司的管理控制、關聯交易、對外擔保、募集資金的使用、重大投資、信息披露等控制活動，從遵循的原則、所涉及的各項具體控制活動等方面進行了詳細的規范說明。此外，“滬指引”和“深指引”對除涵蓋經營活動各環節的控制外的貫穿于經營活動各環節之中的各項管理制度，所指內容相同，表述上卻存在差異。《內部控制應用指引》把公司內部控制通常應涵蓋的主要經營活動環節和重要控制活動沒有嚴格區分，一并按照企業內部控制原則和“五要素”框架，通過《內部控制應用指引》第6號到第14號規范了企業涉及的9項具體業務活動實施的控制，即資金活動、采購業務、資產管理、銷售業務、研究與開發、工程項目、擔保業務、業務外包、財務報告。9項應用指引分別從各項業務活動的內涵、所要達到的目標、每項業務活動各環節的經濟業務活動及相應的控制點，從事各項經濟業務活動所面臨的風險及應采取的應對措施等方面進行了詳細的規范。實際上，企業重要控制活動應貫穿于企業主要經營活動環節中，兩者有著本質的不同，但卻不能將兩者嚴格割裂開來?！皽敢焙喴U述了企業內部控制應涵蓋的主要經營活動環節，但卻沒有指出其中所面臨的風險及采取的應對策略；“深指引”除了提到企業內部控制應涵蓋的主要經營活動環節外，更是從遵循的原則及應達到的目標量方面分別詳細闡述了6項企業應重點關注的控制活動，但是卻沒有指出其內涵和各業務活動各環節的經濟業務活動及相應的控制點，更沒有指出該項經濟活動所面臨的風險及應采取的應對措施；而9項內部控制指引卻彌補了前面兩者的不足，更在其中處處體現了內部控制“五要素”框架的思想。
?。?三 ）內部控制自我評價規范控制手段 控制手段是企業在實施內部控制的過程中為實現控制目標所采取的各項方法和措施的總和。一般來講，內部控制的控制手段或措施有兩類：一類是針對某項單一的控制活動或控制點，保證其有效性而一貫應采取的控制手段，如：不相容職務分離控制、授權審批控制、會計系統控制、財產保護控制、預算控制、運營分析控制和績效考評控制等；另一類往往針對的是企業整體業務或管理活動的控制，可以采用的控制手段有全面預算、合同管理、內部信息傳遞和信息系統等?！盎疽幏丁苯Y合各項控制手段的要求和企業在該項控制措施下應采取的具體控制措施，對前類控制措施進行了詳細說明；《企業內部控制應用指引》的第15號至18對第二類指引從控制措施的適用范圍、條件、目的、實施過程中各環節面臨的風險及應采取的應對措施進行了詳細的規范。“滬指引”沒有單獨就此進行明確規范，只是在“專項風險的內部控制”部分，結合具體內容給出了具體的控制措施?！吧钪敢背嗽凇爸攸c控制活動”部分結合具體內容給出了具體的控制措施外，還明確指出“……建立相應的授權、檢查和逐級問責制度，確保其在授權范圍內履行職能；設立完善的控制架構，并制定各層級之間的控制程序，保證董事會及高級管理人員下達的指令能夠被嚴格執行?！?
?。?四 ）內部控制自我評價規范風險管理 “滬指引”僅指在“專項風險的內部控制”部分就控股子公司、金融衍生品交易的風險管理作了較為詳細的界定，其他風險的內部控制只是一筆帶過?！吧钪敢睆恼w上籠統進行了說明，“公司應建立完整的風險評估體系，對經營風險、財務風險、市場風險、政策法規風險和道德風險等進行持續監控，及時發現、評估公司面臨的各類風險，并采取必要的控制措施?！薄盎疽幏丁辈粌H從整體上針對企業所面臨的內部和外部風險的識別、分析和規避等方面進行了提綱挈領的說明，更是把風險管理的思想嵌入到9項控制活動類應用指引的每項控制活動的每個控制點，更符合實際，體現了全面風險管理的理念。
?。?五 ）內部控制自我評價規范監督 檢查監督作為內部控制要素之一，是企業自行檢查內部控制運行情況的重要舉措。但是，“滬指引”、“深指引”及“基本規范”卻對檢查監督的目的、主體、方法、頻率等方面進行了不同的規范。檢查監督的目的?！皽敢?發現內控制度是否存在缺陷和實施中是否存在問題，并及時予以改進；“深指引” 發現內部控制缺陷和異常事項，評估其執行的效果和效率，并及時提出改進建議；“基本規范”下分為日常監督和專項監督，日常監督是對企業建立與實施內部控制的情況進行常規、持續的監督檢查，專項監督是對企業發展戰略、組織結構、經營活動、業務流程、關鍵崗位員工等發生較大調整或變化的情況下，對內部控制的某一或者某些方面進行有針對性的監督檢查。檢查監督的主體?！皽敢毕鹿緫_定專門職能部門負責日常檢查監督，配備專門的檢查監督人員，并且公司董事會應對內部控制的檢查監督工作提供指導及審閱內部控制檢查監督工作報告；“深指引” 認為應設立專門負責監督檢查的內部審計部門；“基本規范” 下內部審計機構或經授權的其他監督機構都可以。檢查監督的方法?！皽敢彼J為的內部控制檢查監督的方法實際上是包含了檢查監督程序及方法的一整套規章制度?！吧钪敢睕]有涉及到檢查監督的方法問題。“基本規范”也沒有對監督檢查的方法進行規范，但“企業內部控制評價指引”中明確指出，內部控制評價程序一般包括：制定評價方案、組成評價工作組、實施現場測試、認定控制缺陷、匯總評價結果、編報評價報告等環節，具體在對被評價單位進行現場測試時，可以綜合運用個別訪談、調查問卷、專題討論、穿行測試、實地查驗、抽樣和比較分析等方法。
四、內部控制信息披露研究比較研究
（ 一 ）不定期內部控制信息披露 “滬指引”規定，公司在內部控制檢查監督中發現內部控制存在重大缺陷或存在重大風險時，應及時向董事會報告，董事會應及時向上海證券交易所報告，經交易所認定，董事會應及時對外發布公告，披露說明內部控制出現缺陷的環節、后果、相關責任追究以及擬采取的補救措施。“深指引” 要求：“公司內部審計部門如發現公司存在重大異常情況，可能或已經遭受重大損失時，應立即報告公司董事會并抄報監事會。公司董事會應提出切實可行的解決措施，必要時應及時報告本所并公告?！薄盎局敢敝辉凇靶畔⑴c溝通”部分籠統地談到，沒有說明是否對外披露以及披露的內容或以何種方式進行披露或報告的問題。
（ 二 ）定期內部控制信息披露 定期內部控制信息披露一般與年度財務報告的披露相聯系，且以內部控制評價報告的形式進行披露。在此基礎上，“滬指引”要求披露會計師事務所對內部控制自我評估報告的核實評價意見；“深指引”規定：“注冊會計師在對公司進行年度審計時，應就公司財務報告內部控制情況出具評價意見，公司應于每個會計年度結束后四個月內將內部控制自我評價報告和注冊會計師評價意見報送本所，與公司年度報告同時對外披露?！倍盎疽幏丁币螅髽I的內部控制審計報告應與內部控制評價報告同時對外披露或報送，且企業內部控制審計報告也應當同時對外披露或報送。。雖然如此，但三方規范卻對內部控制披露信息內容上存在一些不同，而且所披露內部控制評價報告的格式、內容及披露時間等有不同的規定。內部控制評價報告的格式?！皽敢焙汀吧钪敢本鶝]有對內部控制自我評價報告的格式進行規范。只有“企業內部控制評價指引”以參考格式的形式對此進行了規范，認為內部控制評價報告應包括以下要素：標題、管理當局聲明、收件人、評價依據、披露內容、評價結論、報告人單位及簽名、報告日期等。內部控制評價報告的內容。“滬指引”規定的內容包括：內部控制的制定和運行情況；檢查監督工作情況；內控制度及其實施過程中出現的重大風險及其處理情況；對本年度內部控制檢查監督工作計劃完成情況的評價；完善內控制度的有關措施；下一年度內部控制有關工作計劃。“深指引”下的內容為：內部控制的制定和運行情況，是否存在缺陷；本指引重點關注的控制活動的自查和評估情況；內部控制缺陷和異常事項的改進措施（如適用）；上一年度的內部控制缺陷及異常事項的改善進展情況（如適用）；公司董事會和監事會針對注冊會計師在進行年度審計時對內部控制有效性表示異議涉及的事項做出專項說明（如適用）。《企業內部控制評價指引》下，應分別內部環境、風險評估、控制活動、信息與溝通、內部監督等要素，對內部控制評價過程、缺陷認定、整改情況、有效性結論等相關內容作出披露。此外，如果內部控制評價報告基準日至內部控制評價報告發出日之間發生了影響內部控制有效性的因素，內部控制評價部門應根據其性質和影響程度對評價結論進行相應調整。顯然，三者在內部控制自我評價的內容上存在相同點，但也有所不同。內部控制評價報告對外報出的時間?！皽敢睕]有對內部控制評價報告的對外報出時間作出明確規定。“深指引”規定，應于每個會計年度結束后四個月內將內部控制自我評價報告報送本所，并對外披露。《企業內部控制評價指引》規定，以12月31日作為基準日，年度內部控制評價報告應于基準日后4個月內報出，這與“深指引”的規定本質上相同的。從上面的分析比較中，我們不難看出，《企業內部控制基本規范》及其配套指引無論是制度要求的口徑和范圍，還是具體要素和業務活動的內容及相互關系，較《上交所上市公司內部控制指引》、《深交所上市公司內部控制指引》都有了較大的改進。但是，上述規范都是基于現時條件下對內部控制執行有效性作出的評價，也沒有對內部控制評價應采用何種方法作出系統規范的說明，而且，除了本文比較分析的規范外，因內部控制體系涉及內容廣，如《內部會計控制規范――基本規范》（試行）、《關于加強上市公司治理專項活動有關事項的通知》、《深圳證券交易所主板上市公司規范運作指引》及《關于做好上市公司××年年度報告披露工作的通知》等也涉及到了對內部控制體系中某一方面內容的規范，容易形成評價和監管的多種標準。這些法規的執行范圍相互交叉， 法規的內容相互聯系但又不完全相同， 同一個公司可能同時適用不只一個內部控制規范。在對公司內部控制進行評價時缺乏統一的評價依據，不僅會影響企業內部控制的設計，也會影響運行效果和效率，自然其評價結論也會不具有比較性，這會影響外部投資者的決策，造成不同的經濟后果。這樣的現實，不僅降低了法規的實務操作性，也勢必會轉換為執行過程中的阻力。
