摘 要：2008年金融危機的爆發，將全球目光吸引至金融機構的風險管理和內部控制上。銀行的內控機制是否完善不僅關乎其自身的生存發展，更關乎國家甚至全球的金融安全與穩定。我國對上市銀行內控的監管起步較晚，對于內控中“實質性漏洞”的披露要求甚少，而實質性漏洞有助于上市銀行管理層對內控缺陷的發現，完善內控，從而預防風險，也為利益相關者提供更可靠的信息。本文以中信銀行為例，對其上市以來的5份年報進行整理分析，根據其實質性漏洞披露的現狀，提出我國上市銀行內部控制實質性漏洞披露的完善建議。
關鍵詞：上市銀行，內部控制，實質性漏洞
PCAOB將實質性漏洞（Material Weakness）定義為會導致上市公司年度或中期財務報表出現重大錯報風險，并且這個風險難以被發覺及有效預防的一個或多個缺陷。Ge和McVay（2005）將實質性漏洞分為九類：賬戶式、人員培訓，期末報告與會計政策，收入確認，職責劃分與授權，對賬，子公司式，高管層和技術方面。以下中信銀行的案例分析參照此分類標準。
二、中信銀行內部控制實質性漏洞披露狀況
中信銀行于1987年建立，2007年實現A+H同步上市，已成長為一家具強大增長勢頭和競爭力的全國性商業銀行。
（一）中信銀行內部控制信息披露狀況
1.內部控制信息披露的分布
通過對中信銀行上市以來的5份年報、內控自我評估報告和內控審核報告進行整理分析，我們發現其公開披露的內控信息主要集中于年報中的監事會報告，公司治理報告、年終審計報告以及內控自評報告和內控審核報告里。監事會報告對內控的披露較簡單，主要是對內控自評報告的審閱意見，上市五年均無異議。公司治理報告主要是對本年度內控的建立健全情況和內控的自評情況進行披露，內容較詳盡。內控自評報告逐年有統一格式，包括本年度內控的基本情況，內控存在的不足、下年度的改善措施及內控自評。董事會報告和重要事項未對內控進行披露。
2.內部控制信息披露的連續性
中信銀行2007-2011年內控披露的位置是一致的，并且沒有間斷，這得益于我國在上市公司內部控制信息披露方面的監管制度逐漸完善，2006年頒布了有“中國薩班斯法案”之稱的《上市公司內部控制指引》（下稱《指引》），2007年頒布了《商業銀行信息披露辦法》（下稱《辦法》）。2007年上市的中信銀行，對相關監管制度的把握是較充分的。
（三）中信銀行實質性漏洞披露狀況
1.實質性漏洞披露的數量
2007年未披露實質性漏洞可能因為上市首年想給各利益相關者一個好印象，同時《指引》和《辦法》剛頒布不久，中信銀行可能還沒能力馬上建立完善的內控體系。如表三所示，中信銀行于2008和2009年各披露了4項和3項實質性漏洞，均披露于內控自評報告。2010和2011年未披露，這體現了其通過對實質性漏洞的識別、分析和彌補，建立起較完善的內控體系，相對有效的預防了風險。
表三 中信銀行2007-2011年間披露的實質性漏洞
2.實質性漏洞披露的類別
中信銀行披露的實質性漏洞類別各異，說明其面對的的內控問題是復雜和嚴峻的。其中出現較多的是高管層和職責劃分與授權兩類，也表明其管理層的風險控制能力還存在不足，同時操作不規范的情況還難以杜絕。
三、結論及建議
分析表明，中信銀行實質性漏洞的披露主要集中于內控自評報告，內控審核報告流于形式，未涉及公司內控的具體內容。對于實質性漏洞的披露，管理層不夠重視，沒有逐年披露也沒有分類別披露。
據此，本文對我國上市銀行完善其內控實質性漏洞的披露提出建議：第一，上市銀行董事會提高對實質性漏洞披露的重視。實質性漏洞的識別和披露不僅涉及上市銀行自身的持續發展，也涉及各利益相關者是否能取得可靠信息作出有效決策；第二，建立統一的實質性漏洞評價標準體系。目前我國對實質性漏洞的評價還缺乏一致的標準，使實質性漏洞的識別較難，建議有關部門盡快建立統一的評價標準體系。另外董事會在利用評價標準體系時，要與本行的具體控制環境結合，更準確的識別本行的實質性漏洞；第三，完善內控相關監管制度，加強處罰力度。對于內控的相關監管制度應增加與實質性漏洞披露相關的要求，對于信息披露方面的強制性要求，有關部門應加強對不遵循公司的處罰力度，并追究相關人員責任。
