内部控制自评报告范文
时间：2023-03-18 08:26:20
导语：如何才能写好一篇内部控制自评报告，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。
篇1
中图分类号：F83 文献标识码：A 文章编号：16723198（2012）18009003
近年来，人们对上市公司的数据真实性，可靠性、风险性产生很大疑问。上市银行属于高风险企业，通过风险取得报酬。上市银行所承担的风险，以及银行内部自身对风险的识别、衡量、监控对上市银行的经营和安全至关重要。上市银行披露内控信息有利于提高财务报告、年报以及企业自身的真实性和可靠性，也有利于银行外部的信息使用者了解银行的内控状况，通过内控的有效性评价上市银行的质量，并且做出相关决策。
1 关于我国上市银行内控自评报告内容的研究综述
1.1 披露载体的研究
韩晓杰、段洪波、梁静（2011）认为在我国主要存在四种形式的披露载体：董事会报告、监事会报告、年报正文及附件、会计市事务所的审核报告。从七家上市银行38份年报披露的内控信息情况看，信息披露主体有公司董事会、监事会、管理当局和注册会计师，披露的载体主要是董事会报告、监事会报告、年报正文及附件和会计师事务所的审核报告。
许莉，朱睿，王芳（2010）指出我国上市银行内控的披露载体众多，不统一，缺乏可比性。他们从11家上市银行的2008 年年报中发现，不同银行的内控信息在年报的不同位置披露，缺乏规范性，有的银行甚至在董事会报告、监事会报告、公司治理报告中同时披露内控信息。
1.2 披露主体的研究
李伟和施家芳（2007）以表格的形式分析了各个银行的披露主体。主要主体就是董事会、监事会和管理当局，不同主题披露的侧重不同，董事会报告中披露内控主要情况，监事会报告中披露内控制度的“三性”，如华夏银行、浦发银行、民生银行和招商银行。
韩晓杰，段洪波，梁静（2011）认为所有上市银行的年度报告中都在对内部控制的基本构架进行描述，但是对内部控制的责任主体却没有明确指出，一旦发生损失，承担直接责任方存在缺失。
1.3 自评报告披露量的现状
我国上市银行在2003年以前大多采用多形式大量披露策略，而在2003年及以后年度则渐渐采用固定形式少量披露策略。
倪慧萍（2006）提出不同银行信息披露量差异较大。纵向看，同一家银行不同年度的披露量差异大，如深圳发展银行、民生银行以及招商银行3家银行3年内控信息披露量都是“先多后降”之后持续减少；2002年3家均提供管理当局、事务所披露的内控说明和内控审核（或评审）报告；2003年和2004年则没有披露事务所审核(或评价) 报告而只披露事务所内控审查结果。横向看，不同银行之间披露差异更大。从韩晓杰、段洪波、梁静（2011）抽取的样本来看，中国银行和工商银行信息披露量较多较全面，深圳发展银行和招商银行信息披露量相对较少。主要采取的是形式固定少量披露的模式。
1.4 内控自评报告的规范制度
许莉、朱睿、王芳（2010）认为我国证监会的各项政策规定都在强调上市银行要充分披露在报告期内的业务、风险和内控情况。比如2000年11月14日的《公开发行证券公司信息披露编报规则》和2000年12月21日的《商业银行年度报告内容与格式特别规定》。2006年上海证券交易所提出上市公司在年报中要进行内部控制评价，2007年深圳交易所也提出该项政策。2008年财政部等五部委制定了有中国版“萨班斯法案”之称的《企业内部控制基本规范》，于2010 年1月1日起实施。目的在于加强和规范企业内部控制，提高企业风险防范能力，促进企业可持续发展。这些法律法规，规范制度从不同层面完善了我国上市银行内部控制制度。
1.5 实质性漏洞的披露现状
实质性漏洞是指如果一项或若干项缺陷有能致使年度或中期财务报表存在重大错报而不能有效预防或及时察觉的合理可能时，该缺陷构成实质性漏洞，而那些严重程度低于实质性漏洞的一项或若干项缺陷，仅仅是重要到值得负责监管公司财务报告人的注意，那么该缺陷为重大缺陷。
瞿旭、李明、杨丹 叶建明（2009）提到由于我国目前在理论和实践中对于“实质性漏洞”概念的缺失，使得我国上市银行尽管面临严格的监管，但相关内控体系中的“漏洞”信息却不为市场和监管机构所知。
瞿旭、应旭婧、王娟（2011）阐明上市银行内部控制实质性漏洞披露是衡量高质量上市公司的主要标准，银行业掌握着国家的金融命脉，在维护国家的金融安全与稳定、促进经济的持续、稳健发展等方面起着重要作用。正是如此，上市银行内部控制实质性漏洞信息披露是传递出上市银行拥有良好内部控制体系的信号，也是作为资本市场健康运行的重要指标。
2 关于我国上市银行内控自评存在问题的研究综述
2.1 法律规范不完备
篇2
一是按照财务部下达的三个内控风险点认真填写《岗位风险责任一览表》，把风险点与每位员工的具体岗位一一对应。通过此项工作，我部门员工对内控有了进一步的了解，也更清晰地认识到自己将在今后的工作中应控制好哪些风险点。二是通过省分公司的内部控制自我测评工作底稿对我公司我部门的工作底稿进行了修订，并对应到个人及具体岗位。
在自我测评工作中，我部门在以往的三个风险点（维系目标客户投诉、营业窗口客户投诉处理、重大（要）客户流程）的基础上，结合部门实际工作又新加了三个风险点（客户服务中心客户投诉处理、用户二次投诉处理、内部/关联单位成本费用-与1001结算）
通过几个月的自我测评，发现存在以下主要问题，现一一进行阐述：
一、我们对照流程对三个主要岗位（营业、10010客服中心、维系中心）进行了检查。
1、新增的客户服务中心客户投诉处理风险点中，10010客服中心经测评发现对实施的步骤无问题，但工单的详细描述及规范按照个人理解层面的不同在受理用户投诉时可能会出现不同程度的偏差。
2、在内部/关联单位成本费用-与1001结算的风险点中，我们对3及4月的利用率上报的数据进行了核查，最后结果与上报数据无偏差。经测试发现对控制实施步骤无问题，但为了更好的控制风险点，需要加强内部各项指标的管理。
3、维系中心和营业厅经测评发现存在投诉处理记录不完整或根本就没有《用户投诉处理日志》也未形成电子工单。
二、改进措施：版权所有
1、严格执行“三不放过”制度：“不搞清客户投诉的原因不放过、不改进投诉处理流程不放过、不统一解释口径不放过”；
2、加大培训和质检的力度，增大发现问题的机率，减小风险，及时发现问题及时解决并归类培训，对已解决的难点及时与大家沟通，总结经验；
篇3
我国学者和机构对内部控制的研究起步较晚，关于内部控制缺陷的研究主要在近几年才有所进展。1．内部控制缺陷的内涵与分类。杨有红等(2011)指出正确识别内部控制缺陷，要将其与内部控制局限性进行区分，可分三个步骤认定内部控制缺陷，并提出了缺陷级别认定的标准。［8］王惠芳(2011)认为应将内部控制缺陷分为财务报告内控缺陷和公司内控缺陷，其中财务报告内控缺陷分为账户核算类、账户核对类、原始凭证类、期末报告类和会计政策遵循类五类;公司内控缺陷分为控制环境类、风险评估类、信息与沟通类、控制活动类和内部监督类五类。［9］鲁清仿(2009)将存在补充和修订财务报告行为以及在研究当期发生注册会计师变更两种情况的上市公司划归为存在重大缺陷的公司。［10］单华军(2010)在对深市主板上市公司内部控制自我评价报告的研究过程中，将内部控制缺陷分为了11类。［11］南京大学会计与财务研究院课题组(2010)借鉴COSO对内部控制五个组成要素的理论框架，分别对应得出针对五类要素的五类内部控制重大缺陷，并将这五类缺陷又具体细化为28个小类。［12］2．内部控制缺陷披露的影响因素。田高良等(2010)对2008年深市494家上市公司披露的内部控制评价报告进行了研究，通过Logit回归验证了影响内部控制缺陷披露的因素，研究表明，发生审计师变更和财务报告重述的公司更可能披露内部控制缺陷。［13］田勇(2011)研究了深市445家上市公司数据，发现公司规模、盈利能力都会显著影响内部控制缺陷，并且呈负相关关系;正在进行或已经经历过重大资产重组的公司存在内部控制缺陷的可能性更大。他也对审计委员会规模、审计委员会中独立董事的比例和审计师变更进行了分析，但没有发现这三个因素对内部控制缺陷构成显著影响。［14］通过梳理文献笔者发现，已有的关于内部控制信息披露方面的研究成果主要是以某一年或者连续两年的披露状况作为研究对象，对于2008年《基本规范》实施至今五年多的情况目前还没有学者进行研究;同时，大部分研究集中于内部控制缺陷的识别以及内部控制缺陷披露的影响因素两方面，至于披露的内部控制缺陷信息是否可靠目前尚无学者涉猎。本文主要对《基本规范》实施后内部控制信息连续五年的披露状况进行研究。
二、内部控制信息披露现状
自2007年7月1日起深交所主板上市公司已按《深交所内控指引》①连续六年披露内部控制自评报告，本文选取了2008～2012年深市主板A股上市公司②，对其内部控制自评报告③、内部控制审计报告及内部控制缺陷信息的披露状况进行了详细的分析。
(一)内部控制自评报告披露现状
2008年深市主板A股475家上市公司中有460家披露了内部控制自评报告，达到96．84%，2009～2011年连续三年全部披露了内部控制自评报告，2012年也仅有5家上市公司没有披露内部控制自评报告，与前几年只有少数上市公司披露内部控制自评报告相比，我国上市公司内部控制自评报告披露情况已经得到大幅度的改善。深交所内部控制自评报告的披露状况明显较好，原因在于《深交所内控指引》要求上市公司披露内部控制自评报告，自2007年7月1日起施行;深交所2008～2012年颁布的《关于做好上市公司年度报告工作的通知》也要求所有上市公司单独披露年度内部控制自我评价报告，两项规则2008年都已经开始施行，所以从2008年起大部分公司都披露了内部控制自评报告。而《基本规范》从2009年7月1日起开始施行，其法律效力高于深交所颁布的业务规则，所以自2009年起更是达到了100%的披露，《深交所内控指引》和《基本规范》都得到了较好的执行。《深交所内控指引》指定公司内部审计部门定期检查内部控制缺陷，评估其执行的效率和效果，并明确要求上市公司在自评报告中必须说明存在的内部控制缺陷以及异常事项的改进措施。《基本规范》也规定由内部审计机构对内部控制的有效性进行监督检查。那么，深市上市公司内部控制缺陷的披露情况如何?经笔者统计，深市2008～2012年披露内部控制自评报告的公司中分别有269家、236家、200家、187家和270家公司披露了内部控制缺陷，其比例分别为58．48%、49．89%、42．28%、39．62%和58．06%。可以看出，2008～2011年披露内部控制缺陷的公司数量逐渐减少，而2012年又有所上升。这可能是《基本规范》配套指引自2012年在主板上市公司全面实施，上市公司要聘请会计师事务所对董事会出具的内部控制自评报告进行审计，激发了上市公司主动披露的动力，所以披露内部控制缺陷的公司数量激增。
(二)内部控制审计报告披露现状
1．2008年460家披露内部控制自评报告的公司中仅有42家聘请了会计师事务所对其进行审计，只占9．33%;2009年和2010年473家披露内部控制自评报告的公司中分别有87家和98家聘请了会计师事务所单独对内部控制进行审计，比2008年翻了一番，但相对数量还是不高，也仅占18．51%和20．85%，且两年差距不大，2010只比2009年多了11家而已。《基本规范》虽然要求上司公司对其内部控制有效性进行评价，出具年度内部控制自评报告，但对于聘请会计师事务所对其进行审计并没有强制要求，只是提到可以聘请。同样，虽然深交所的《内控指引》要求注册会计师就公司财务报告内部控制出具核实评价意见，然而其2008年的《年报工作通知》中并没有强制要求上市公司聘请会计师事务所单独对内部控制进行审计，只是鼓励公司聘请审计机构就公司财务报告内部控制情况出具鉴证报告。2009年和2010年的《通知》中也只是提到如果聘请了会计师事务所对内部控制的有效性进行审计，可以披露其出具的内部控制审计报告。也就是说，这三年聘请会计师事务所对内部控制进行审计是自愿的，并非强制性要求，因此上市公司的主动性不强，从而出现了上述情形。到了2011年，聘请会计师事务所对内部控制进行审计的公司数量有所上升，达到了138家。这是因为《审计指引》中明确要求注册会计师对上市公司内部控制的有效性进行审计并出具审计报告。然而《审计指引》自2011年1月1日起首先在68家境内外同时上市公司和216家内控试点公司施行，所以当年出具内部控制审计报告的公司数量较少。而到了2012年，465家披露内部控制自评报告的公司中有295家聘请了会计师事务所对其进行审计，超过了50%，较2011年有了大幅度的提升，原因在于《审计指引》自2012年1月1日起在沪深交易所主板上市公司全面实施，大部分公司都遵循了这一规定。虽然聘请会计师事务所对内部控制的有效性进行审计是强制性要求，然而2012年仍有36．56%的上市公司并没有这样做，可能是《审计指引》中指出注册会计师可以单独对内部控制进行审计，也可以将内部控制审计与财务报表审计整合进行(简称整合审计)，很多公司考虑到单独进行审计成本较高，依据成本效益原则，选择了整合审计。为了更直观地体现深市内部控制自评报告和审计报告的披露情况，笔者将两者近五年的变化趋势绘制在同一张图上，如图1所示。从图1中可以看出，五年来，深市主板上市公司较好地执行了《基本规范》及配套指引和《深交所内控指引》，几乎100%披露了内部控制自评报告。而2008～2011年，沪、深交易所A股上市公司中披露内部控制自评报告的公司比例分别为67．17%、62．85%、76．86%和78．08%。［15］根据表1，2008～2011年深市主板A股上市公司披露内部控制自评报告的比例分别为96．84%、100%、100%和100%，均高于整体情况。2008～2011年深市主板A股披露内部控制自评报告的上市公司中依次有9．33%、18．51%、20．85%和29．36%的公司披露了会计师事务所出具的内部控制审计报告，呈逐年上升趋势，且近两年来有了大幅度的提升，这主要得益于《审计指引》的颁布。然而，从图1中可以明显看出，出具审计报告的比例远低于披露自评报告的比例，同时低于沪深两市A股上市公司的19．73%、35．56%、41．57%和40．21%。［15］可见，深交所还需继续加大力度，强制要求上市公司执行《基本规范》及其配套指引，聘请会计师事务所单独对内部控制的有效性进行审计并出具审计报告。2．内部控制审计意见出具情况。图1显示出深市聘请会计师事务所对内部控制有效性进行审计的上市公司数量呈逐年上升趋势。那么，会计师事务所出具的审计报告是否可信呢?如表3所示，2008年会计师事务所出具的内部控制审计报告均为标准无保留意见，2009～2012年聘请会计师事务所对内部控制进行审计的上市公司分别有3、1、2和6家被出具了非标准审计意见，分别占3．45%、1．02%、1．45%和2．03%，无论是绝对数量还是相对数量都少之又少。而这其中又分别有2、1、2、5家被出具的是带强调事项段的无保留意见，即被出具内部控制审计报告上市公司中财务报告内部控制获得了其所聘请的注册会计师无保留意见的比例接近100%。针对这一现状，笔者提出质疑，上市公司财务报告内部控制制度是否真如注册会计师所描述的那般有效?针对这一疑问，笔者从深圳证券交易所网站统计到2009～2012年分别有48、59、55和43家上市公司对当年的财务报告进行了重述，重述率分别达10．15%、12．47%、11．65%和9．15%。其中，2011年被注册会计师出具无保留意见内部控制审计报告的136家上市公司中有11家上市公司对财务报告进行了重述，重述率高达8．09%。针对这一统计结果可知，我国还有相当一部分上市公司的财务报告内部控制存在缺陷，即使是被注册会计师出具标准意见的上市公司财务报告内部控制也可能存在着某种程度的缺陷。
三、结论与建议
本文以2008～2012年深市主板A股上市公司为研究样本，调查分析了我国上市公司内部控制自评报告、内部控制审计报告的披露情况。调查结果显示，深市主板上市公司几乎全部披露了内部控制自评报告，披露情况较好;同时，聘请会计师事务所对内部控制进行审计的公司数量也逐渐增加，说明配套指引发挥了作用。但也存在一定的问题，如部分上市公司披露的自我评价报告虽然在形式上与基本规范和评价指引相适应，但内容比较空洞;部分上市公司虽然对其内部控制缺陷进行了正面描述，但没有按照评价指引的要求对内部控制缺陷严重程度进行区分，且不能与企业自身实际情况相结合，对缺陷的描述也仅仅停留在简单的表层描述上，缺乏对缺陷产生原因的分析和解决办法的阐述。另外，根据前述内容，会计师事务所出具的审计报告的可信度也让人有所怀疑。针对这一现象，笔者建议:
(一)加大对内部控制缺陷披露行为的监管力度
内部控制缺陷信息的披露不同于其他内部控制信息的披露，其对上市公司而言是“坏消息”的披露，而这也决定了上市公司披露内部控制缺陷的积极性不高，披露内容空洞，大都流于形式。对于上市公司不按照相关规定披露内部控制缺陷的情况，包括不披露内部控制缺陷信息、隐瞒内部控制缺陷的真实情况、披露虚假信息等，监管部门应完善惩罚制度，加大对违规披露的上市公司的处罚，从而增加其违规成本，促使上市公司不断完善自身内部控制，减少内部控制缺陷，更好地实现其长远发展目标。
(二)完善公司内部监督机制的建设
篇4
关键词：内部控制缺陷；信息披露；A股上市公司
中图分类号：F276.6 文献标志码：A 文章编号：1673-291X（2013）23-0185-04
信息披露有助于提高资本市场有效性，降低委托成本和信息不对称，是维系资本市场健康、有效运行的核心制度安排之一。内部控制信息披露不仅是上市公司评价内控设计与运行、提高内控质量并向外界传递内控信息的重要途径，也是投资者进行风险评估与决策，和监管当局对上市公司进行有效监管的重要依据和手段。《企业内部控制基本规范》（以下简称《基本规范》）和《企业内部控制配套指引》的先后颁布，使中国的内控信息逐步从自愿性披露步入强制性披露阶段，并引起学术界关注。
内部控制缺陷是内控过程存在的缺点或不足。内控有效性评价的关键正是判定是否存在内控缺陷、内控缺陷的类型与严重程度及拟采取的措施。国外研究大多集中于内控缺陷披露的影响因素和经济后果。影响因素主要包括财务特征、审计特征和公司治理特征。经济后果方面关注缺陷披露的市场反应，以及内控缺陷对会计信息质量、管理层预测有效性、权益资本成本、债务契约的影响等。国内近年来内控研究虽不断深入，但已有文献主要通过构建内控指数、采用间接替代变量等方式，对内控缺陷披露的关注较少。据笔者统计，目前专门从事内控缺陷信息的实证性研究的只有蔡丛光（2010）、田高良等（2010，2011）、刘亚莉等（2011）和盛常艳（2012）等。这可能源于过去几年，中国上市公司内控信息披露处于无规范约束状态，内控缺陷缺乏统一标准，缺陷披露的随意性较大，可比性和质量较差时。
近年来，中国上市公司内部控制缺陷披露数量和披露规范程度有明显改进。鉴于此，本文以2009—2011年沪深A股上市公司为初始样本，对其内控自评报告及内控缺陷披露情况进行描述统计分析，以认清上市公司内控建设、内控信息披露和内控缺陷现状，为后续相关研究提供基础。
一、上市公司内部控制自我评价报告披露
在以企业为纽带的博弈各方中，内部控制自我评价和审计师对内控的鉴证能够释放企业内部控制有效性的信息，使投资者得以对管理层内部控制行动和自身的投资风险做出判断。
（一）内控自评报告披露的市场和行业分布
本文初始样本包括2009—2011年2 647家沪市A股和1 415家深市A股上市公司。其单独内部控制自我评价报告的披露情况如表1所示。
2009—2011各年度，深市公司的内控自评报告披露率均在99%以上，远高于沪市公司。但沪市公司的披露率逐年上升，到2011年已超过50%。这可能是根据上交所《关于做好上市公司2010年年度报告工作的通知》的要求。2010年，沪市公司披露内控自评报告的主要为“上证公司治理板块”样本公司、发行境外上市外资股公司及金融类公司，并鼓励其他有条件公司（拟申请加入“上证公司治理板块”的）披露。而深交所的相应年报工作通知要求，深市公司都应根据《基本规范》披露内控自评报告。
从行业分布来看，公司披露内控自评报告的比例较高的行业主要集中在：行业I（金融、保险业），披露比例为75.2%；①行业F（交通运输、仓储业），披露比例为65.3%；行业J（房地产业），披露比例为63.6%；行业K（社会服务业），披露比例为61.8%。
（二）内控自评报告披露的详略程度
本文依据披露的详略程度，将内控自评报告分为简式报告和详式报告。其中，简式报告篇幅一般不超过3页，仅简单表述公司对内控的责任、内控目标、是否开展内控评价工作及评价结论、有无聘请注册会计师进行审计等；详式报告往往详细介绍内控评价工作开展情况、内控制度的建立健全、重点控制活动、内控有效性的结论及改进计划等。详式报告进一步依据其表述方式分为两类，其中，全部或部分按照《基本规范》的内控要素来叙述的归类为框架式报告，其余为叙述式报告。本文2 298份自评报告中有113份简式报告（占比4.9%）、1 057 份叙述式报告（占比46.0%）和 1 128份框架式报告（占比49.1%）。简式报告全部在上交所披露。在上交所披露的详式报告中80%为框架式报告（617份）。而在深交所披露的详式报告中76.9%为叙述式报告（880份）。
从披露内容看，深交所披露的重点控制活动集中在控股子公司管理、关联交易、对外担保、募集资金使用、重大投资、信息披露方面；而上交所披露的重点控制活动集中在附属公司、金融衍生品交易方面。这与沪深两个交易所2007年的内部控制指引和相关年报工作通知中规定的差别有关。
（三）内控自评报告与内控鉴证（审核/审计）报告
样本年度中，沪深两市共845份内部控制鉴证（审核/审计）报告（或注册会计师对内部控制的评价意见或者专项说明，下同），其中，深市326份，沪市519份。
该845份内部控制鉴证（审核/审计）报告中，有767份是针对内控自评的报告。即深市有326家公司同时披露内控自评报告和内部控制鉴证（审核/审计）报告，而沪市是有441家。
在这845份内部控制鉴证（审核/审计）报告中，非标准无保留意见报告共9份，占仅1.1%。其中，2009和2010年各有2份带强调事项段的无保留意见报告；2011年有4份带强调事项段的无保留意见报告，1份否定意见报告。内部控制鉴证（审核/审计）报告与内控自评报告的结论基本都一致，多为专门基于内部控制鉴证（审核/审计）而出具，极少部分是基于财务报表审计中对内部控制的评价和测试而出具。极低比率的非标准无保留意见，原因可能是目前中国内部控制审计正处于起步阶段，监管力度不足，难以发挥其应有保证作用。
二、上市公司内部控制缺陷信息披露
中国目前对上市公司内控缺陷披露的具体形式、内容和范围都没有明确规定。实际中，内控缺陷信息多以内控信息披露为载体。主要来源包括：年度报告公司治理部分中“公司内部控制制度建立健全情况”一栏；管理当局的单独内部控制自我评估报告；内部控制自我评价报告鉴证（审核/审计）报告。本文将内控缺陷界定为以上来源中所披露的内控缺陷类型、产生原因及改进措施的情况，以及上述部分中虽未明确使用“缺陷”字眼，但存在对内部控制的否定评价，典型的表述为“存在以下薄弱环节”、“有以下不足”，诸如公司治理机制缺乏对公司决策层关键人员的有效制约能力、独立董事履责不到位、债务重组损益处理有误等。对仅提及需进一步完善或改进的内容，如尚需完善内控制度、内审职能、公司治理水平、内控环境建设，内控执行力有待加强等，本文不将其认定为存在内控缺陷。
（一）上市公司内部控制缺陷披露概况
在本文初始样本2009—2011年的4 602家沪深A股上市公司中，有539家公司披露内部控制缺陷信息（占比11.7%）。其中，简单说明有不足或提及要整改的有107家；具体说明不足有哪些或具体说明如何整改或有整改计划的有475家；明确使用“缺陷”字眼具体说明有何种缺陷的有64家。
上表说明，深市公司披露内控缺陷的较多；内控缺陷多通过内控自评报告披露；大部分自愿披露内控缺陷的公司虽然有较强的披露缺陷动机，却缺少单独披露内控自评价报告和内控鉴证（审核/审计）报告的动机，这可能是出于成本因素考虑。
（二）披露内部控制缺陷公司的行业分布
将539家披露内控缺陷的上市公司按行业分类，发现其中265家披露内部控制缺陷的公司属于制造业企业，占总数的49.17%。进一步将这 265 家公司按制造业二级行业分类。披露内控缺陷公司的行业分布情况如表3 所示。
从大行业来看，行业M（综合类）、J（房地产业）、K（社会服务业）的上市公司披露内控缺陷比例较高。而从制造业二级行业来看，C99（其他）、C5（电子）、C4（石油、化学、塑胶、塑料）的上市公司披露内控缺陷比例较高。这些行业受社会关注较高，社会关注度高可能提升了公司的内控缺陷披露概率。
（三）上市公司内部控制缺陷披露内容
从披露信息的内容和表述来看，公司披露的缺陷信息集中在制度完善、制度执行、内控监督评估以及子公司管理控制等方面，但大部分内容空泛、同质化。多数自评报告流于形式，说明内部控制存在固有局限性，不存在重大缺陷，也没有具体描述存在的一般性缺陷；①在年度报告“公司治理结构”中披露的缺陷也不具体，通常提及公司制度建设不完善、监督力量薄弱，其次是职责划分不清晰和由于子公司数目增多和业务范围扩大所带来的经营风险，再就是控制活动不合理、关联交易不合法和高级管理者凌驾等缺陷行为。部分公司仅说明有缺陷而没有具体说明缺陷内容。据统计，2009—2011年该539家披露内部控制缺陷的公司共披露8 247项内控缺陷，其中有5 771项缺陷已经得到整改，占披露缺陷总数的70%；另有2 476项缺陷尚未得到整改，占比30%。
1.按缺陷影响程度分类
本文539家上市公司披露的8 247项内控缺陷中，43项为重大缺陷，②占总数的0.52%；220项为重要缺陷，占总数的2.67%；其余8 155项为一般缺陷，占总数的98.88%。大部分公司披露的是影响程度较低的一般缺陷，仅极少数公司披露重大和重要缺陷。这一方面是因为上市公司缺乏披露重要和重大缺陷的动机，不得已披露缺陷就避重就轻；另一方面也与《企业内部控制评价指引》没有规定重大缺陷、重要缺陷和一般缺陷的具体认定标准有关。若由上市公司根据这几种缺陷的定义自行确定，可能导致一些重大缺陷无法被认定并披露。
2.按缺陷性质分类
参考Ge & McVay（2005），将内控缺陷分为会计层面内控缺陷和公司层面内控缺陷。前者涉及会计核算，包括合同管理、授权审批、资金管理、资产管理、财务核算信息系统、印章管理、会计账务处理等；后者指其他缺陷，包括内控制度不完善或尚未得到有效执行，风险控制、预算编制考核、企业信息系统、供应商与客户管理、企业机构和规章不完善，内部审计职能薄弱，员工素质低等。2009—2011年，样本公司共详细披露749项内部控制缺陷的具体内容。其中有120项属于会计层次内控缺陷，占比16.02%；另外629项缺陷属于公司层次内控缺陷，占比83.98%。
三、总结与建议
本文通过对2009—2011年度A股上市公司内部控制信息披露情况的统计分析，发现：
在内控自评报告披露方面，深市公司的披露比率高于沪市公司；行业I、F、J、K公司的披露比例较其他行业公司高；沪市公司披露的报告相对简略，大部分为框架式报告，而深市公司披露的报告大部分为叙述式报告。
在内控缺陷信息披露方面，披露缺陷的公司相对少；行业M、J、K公司的披露比例较高；重大和重要缺陷的披露比例低；披露的缺陷大多已整改；大多属于公司层次内控缺陷，会计层面内控缺陷披露相对较少。
总体而言，近年来，特别是2011年以来，上市公司披露内控缺陷比例显著提升。但中国当前内控缺陷信息披露仍处于起步阶段，整体披露水平较低，信息含量较差。其可能原因在于：上市公司内控缺陷披露的动机主要来自于监管层的监管压力，其主动披露缺陷的动机较弱；而注册会计师内部控制审计尚未发挥足够的外部治理作用。
建议相关部门出台更具指导性的披露规则，构建有效的内控信息披露监管体系，加强对内控缺陷披露违规行为的监管力度和惩罚机制；积极发挥证券市场对内控有效信息的识别及定价机制作用，引导投资者理性解读内控缺陷信息，保护和鼓励企业自愿进行内控信息披露。加强对内部控制审计的监督，提升内控审计质量，促进注册会计师外部治理功能的实现。
参考文献：
[1] Ge，S.McVay.The Disclosure of Material Weakness in Internal Control after the Sarbanes—oxley Act.Accounting Horizons，2005，
（19）：137-158.
[2] Ashbaugh-Skaife H.，Collins D.W.，Kinney Jr W.R..The Discovery and Reporting of Internal Control Deficiencies Prior to SOX-man-dated
Audits.Journal of Accounting and Economics，2007，（44）：166-192.
[3] 蔡丛光.内部控制缺陷信息披露的影响因素分析[J].财会研究，2010，（4）：33-38.
[4] 田高良，齐保垒，李留闯.基于财务报告的内部控制缺陷披露影响因素研究[J].南开管理评论，2010，（4）：134-141.
[5] 田高良，齐保垒，程瑶.内部控制缺陷对会计信息价值相关性的影响——针对中国股票市场的经验研究[J].西安交通大学学报；
社会科学版，2011，（5）：27-31.
篇5
关键词：内部控制；披露；信号价值；市场反应
一、 引言
证监会于本世纪初最早对金融类及IPO公司提出单独性内控信息披露的要求，自2007年开始，这一要求开始全面化实施。监管者促进内控信息披露的初衷，在于规范上市公司治理行为，向投资者传递相关信息并提升投资者保护。就实际实施效果而言，内控信息披露的形式意义要大于其实质意义。也就是说，上市公司披露内部控制报告的目的不是说明其存在的缺陷，而是表明其质量优良。由于缺乏实质性的信息，投资者是否认为这种"形式上的内控信息披露"具有信息价值，就需要基于市场交易的角度加以检验。
实际上，不同自愿性内控信息披露所蕴含的价值很有可能是不同的。例如，众多研究都表明国有企业与非国有企业之间存在制度及行为差异，而且内控自评报告与鉴证报告在成本及保证程度上也有着根本的区别，因而在理论上披露行为所彰显的信号价值就存在区别。如果这种理论上的区别能够在实践中被投资者甄别并认可，则不但证明理论上的分析是有意义的，最重要的是，投资者的反应可以为各披露主体提供反馈与借鉴。
二、 假设提出及研究设计
1 文献回顾及假设提出。就已有研究而言，检验内控信息披露市场反应的研究较少且不全面。杨清香等（2012）分析了沪市2006年～2009年披露内控信息后的市场CAR值情况，其控制部分年报信息的多元回归结论表明，内控信息披露较好的公司其窗口期的CAR值也更高。陈宋生等（2011）采用配对研究的方式，以打分的形式将2007年沪市年报中自愿性内控信息披露差别化，其结论也认同披露质量与CAR值成正比，而且强制披露公司的CAR值更高。陈共荣（2007）则分析了2006年沪市披露程度与超额回报之间的相关性，与上述研究结论一致，详细披露与CAR值具有一定的正向关系。
但以上的研究也有其不足之处：首先，以上这些研究并非专门针对内部控制评估报告；其次，这些研究并非专门针对自愿性信息披露，研究样本同时包含了强制披露的公司。
按照信号理论，自愿信息披露作为信号传递的基础前提在于其成本收益的权衡。其收益包括权益及融资资本成本的降低，股价的提升等，成本则既包括公司对内部各控制流程的、评价成本，又包括因披露问题遭受的处罚成本。但现实中我国的监管部门未细致要求内控信息披露的内容及程度，多数企业仅按照内控五要素做简单的介绍；另一方面我国投资者法制保护的建设也比较滞后，尚未有上市公司因自愿内控信息披露问题而遭受处罚，这就导致了我国内控披露成本总体上普遍过低。既然披露可以带来收益而不需要太多成本，则可以预期的是，信号好及信号差的公司都有可能选择披露，从而导致信号显示作用被噪音干扰。
其次，在我国资本市场的构成中，国有企业占了较大的部分。国有企业更为严重的双重问题、内部人控制问题等都表明了国有与非国有企业的巨大制度差异。此外，国有企业经营者出于升迁以及国有资产增值保值的考虑，更可能投入充足资金建设完善的内部控制。民营企业中大部分是家族式企业（李新春，2003），其家族控制模式在很大程度上已经替代了内部控制的作用，故而高质量的内控需求较弱。
在披露成本低廉可能导致噪音出现的前提下，考虑以上因素，国有企业随意跟风披露的可能就不会太大或者说披露动机信号被削弱的程度比较低。而民营企业自身内控建设需求本身就较低，这样披露动机就很可能收到噪音的抑制。
如果自愿性内部信息披露，能够引起资本市场的股价反应，而且投资者也能够对上述不同主体不同报告类型的信号价值加以区分，则以下研究假设将会成立：
假设H1：总体而言，自愿披露内控自评报告与窗口期CAR值正相关；
假设H1a：对国有企业而言，自愿披露内控自评报告的公司其CAR值更高；
假设H1b：非国有企业而言，自愿披露内控自评报告的公司，CAR值不显著；
假设H2：总体而言，自愿披露内控鉴证报告与窗口期CAR值正相关；
假设H2a：对国有企业而言，自愿披露内控自评报告的公司其CAR值更高；
假设H2b：非国有企业而言，自愿披露内控自评报告的公司其CAR值更高。
2. 研究设计。本文以2007年～2009年A股上市公司为研究样本。选择以2007年为起点，是因为我国两市对全体上市公司单独披露内控自评报告的要求正式开始于该年，选择2009年为截止，一方面是因为本文涉及大量的手工搜集数据，另一方面是因为不少研究都认同政策实施以来我国内控的披露情况并未获得质的改变（方红星等，2008；崔志娟，2011），前3年的结论具有代表意义。
样本的具体筛选过程如下：首先，本文剔除金融类以及IPO公司，剔除2008年、2009年的深市公司，以及2008年、2009年上交所的治理样本股公司。因为这些公司都属于强制披露的范畴。此外，样本剔除交易窗口期交易状态为ST类的公司（327家），以及年报披露日无股票交易的公司（591家）。
再次，研究剔除了年报披露日前后十天发生了重大事件（诉讼、违规、重组、一季度季报）的公司（503家）；最后2008年上市公司普遍亏损严重，为此本文进一步剔除了剩余的2008年的样本公司（248家）。经过筛选之后，获得2007年及2009年的非平衡面板数据894家。
本文以上市公司年报披露日作为事件日（t=0），选取[-10，2]作为研究窗口期。本处将窗口期起点向前推至年报披露前10天，是因为年报信息在披露之前被泄露是一个普遍存在的现象，故而在事件日以前市场股价就已经产生波动。
本文使用的多元回归模型基变量如下：
CAR=？琢+？茁1Evalu/Evalu_Au+？茁2Bonus+？茁3Growth+？茁4Opinion+？茁5Age+？茁6Lev+？茁7Size+？茁8Roe+？撞？茁iIndu+？着
其中被解释变量为超额累计回报率CAR。Ball和Brown（1968）介绍了使用异常回报率来衡量资本市场对事件信息的反应的方法。本文借鉴Ball和Brown的研究，以窗口期的超额累积回报率（CAR）来衡量投资者对信息的反应。
本文采取市场指数模型来估计个股的异常收益率（AR），市场指数模型下CAR值的具体计算方法如下：
首先，计算个股i在交易日t的实际回报率。此处使用的是考虑现金红利在投资的日个股回报率，其计算较为复杂，但结果更为精确：
rn，t=■-1
上式中，Pn，t和Pn，t-1表示证券价格n在第t日和t-1日的收盘价；Dn，t表示股票n在t日为除权日的每股现金分红；Fn，t表示股票n在t日为除权日的每股红股数；Sn，t表示股票n在t日位处全体的每股配股数；Kn，t表示股票n在t日为除权日的每股配股价；Cn，t表示股票n在t日为处全体的每股拆细数。
其次，计算个股在t日的预期回报率：
rm，t=■-1
其中，rm，t表示对应市场的市场指数回报率；Pm，t和Pm，t-1表示t日和t-1日的该市场指数收盘价。因本文样本涉及上交所和深交所A股公司，为使得AR的计算更为精确，本文在计算指数回报率时，分别计算了对应时刻上交所和深交所的行业指数回报。
由此，个股n在交易日t的异常回报率即为：
ARn，t=rn，t-rm，t
最后，个股n在窗口期[t1，t2]的异常累积回报率即为：
CAR=■ARn，t
待检验解释变量为Evalu和Evalu_Au，分别表示上市公司披露内控自评报告和鉴证报告行为（出具报告赋值为1，否则为0）。
由于内部控制报告随年报而披露，而年报引起的市场股价反应更为强烈，故而本文采用了尽可能多的控制变量，以控制能引起股价波动的相关年报信息，包括：
（1）是否在年报中宣告发放现金股利（Bonus，发放赋值为1，否则为0）。因为宣告股利发放的公司更容易获得投资者的认同，从而获得较高的超额回报率。
（2）上市年龄（Age，截止年度末该公司上市年数）。上市公司经营年限的不同，其经营质量也会存在差异。以往研究研究表明，上市年龄越大，公司违规的可能越高，整体经营质量信号也较差。基于此，投资者对公司年报信息的反应也会存在差异。
（3）增长能力（Growth，公司本年主营收入比之去年的增长率）。公司增长能力越强，其未来获得的现金流量预期就越高，因而股价会明显上升，则市场给予的超额回报就可能更高。
（4）审计意见（Opinion，审计意见为标准无保留意见，则赋值为1，否则为0）。审计意见直接决定了年报信息含量的真实与否。如果审计意见为非标准意见，则投资者给予的市场反应较为负向。
（5）财务状况（Lev，该公司年末的资产负债率）。年报中披露的财务状况信息，会直接影响投资者贵公司股价的判断。本处使用资产负债率作为财务状况的替代。
（6）公司规模（Size，总资产规模取自然对数）。就投资者而言，其对于大公司和小公司的未来预期是截然不同。大公司由于实力雄厚，发展能力强，抗风险能力高等原因，投资者给予的评价往往也较高。故而其获得的超额累计回报率也可能更高。
（7）盈利状况（Roa，该年末的总资产回报率）。如果公司当年获得收益较高，则市场给予的超额回报率自然也更高。
（8）所在行业类别（Indu，样本公司所在的行业类别，二值变量）。不同行业类别的公司，其盈利能力不同，未来发展的机会和风险也会存在差异，故而市场给予的超额回报率也有所不同。
三、 描述性统计及回归结果
1. 描述性统计。图1描绘了窗口期国有企业自评组、鉴证组以及未自评组的AR值和CAR值变化趋势图。就AR趋势图来看，在事件日前，鉴证组的异常回报最高，其次是自评组，最后是未自评组。这与本文的研究假设是一致的，说明内部控制自评报告及鉴证报告具有一定的信息含量。事件日及事件日之后，AR值波动较为剧烈，一个可能的原因是对越好的公司，投资者之前的预期越高，而预期越高，年报披露日股价下跌的幅度就越大。
从CAR值变化趋势图中则可以明显看出：鉴证组公司的超额累积回报率高于自评组，而自评组有明显高于未自评的公司，这与预期假设一致。
图2描绘了非国有企业自评组、鉴证组以及未自评组的AR值和CAR值变化趋势图。AR变动的趋势不如国有企业AR趋势图明显，但基本上鉴证组仍高于自评组，自评组高于未自评组。CAR趋势图则表明，鉴证组的样本公司，其CAR值明显更高，但自评组与非自评组则无显著区别。从而表明，在市场投资者看来，披露自评报告的非国有企业，与未自评的非国有企业并无显著差异。
由于内部控制自评以及鉴证报告是随年报而披露，故而年报中的信息会对AR及CAR值的变动趋势造成显著的干扰。为此直观地比较组别间的AR及CAR值并不能说明内控鉴证及自评报告对CAR值的影响。
本文进一步按照自评与鉴证行为，比较了相关变量与未自评或未鉴证公司之间的差别。其中，自评组比之于未自评组，其CAR值更高，发放股利的可能更大，而且公司上市的年龄也比较小。此外，此类公司的规模也更大，盈利能力也更高。鉴证组与未鉴证组的比较则表明，除以上显著的差异之外，鉴证组的审计意见也往往更好。最后，本文的Person相关系数检验表明，本文不存在变量之间严重的相关性，故而可以直接进行多元回归。
2. 回归结果。下表1归纳了本文多元回归的结果。就总体而言，披露内部控制自评报告和鉴证报告行为具有信息含量，此类公司在窗口期获得的超额累积报酬率也更高，本文假设H1和H2得到了验证。
分组检验的结果表明，对于自评报告而言，国有企业的自评报告具有信息含量，变量evalu的系数为正，而且在5%的水平上显著；而非国有企业的自评报告行为并未在市场上获得显著评价，从而表明，在投资者看来，非国有企业的内部控制自评报告行为并不能彰显公司真实的相关价值。就鉴证报告来看，披露鉴证报告的国有企业和非国有企业都会获得较高的CAR值，从而表明鉴证行为具有信息含量，投资者能够识别鉴证组与非鉴证组之间的差异。
3. 稳健性测试。最后，本文进行了以下稳健性测试：首先，将所有的连续变量在1%的水平上进行缩尾处理，研究结论没有变化。其次本文进一步缩短年报披露后的时间窗口，只保留披露后2个交易日的交易信息，研究结论没有变化，控制变量的解释能力则进一步提高。此外，针对Growth变量波动较大的特点，本文进一步在5%的水平上进行了缩尾处理，再次回归的结论并没有改变，而且部分研究结论变得更加显著。总体而言，本文的上述研究结论是稳健的。
四、 研究结论
本文基于投资者反应的角度，按照Ball和Brown（1968）的研究思路，以CAR值捕捉市场对于事件信息的评价，采用多元回归分析的方式检验了市场对于不同类型公司自愿性内控信息披露的反应。按照本文的假设，不同类型的公司因其制度不同，以及报告的披露载体不同，其内控信息披露之后的投资者市场反应是不一致的，这种不一致背后的本质则是报告能否真实的彰显公司的价值。
本文的多元回归验证了本文的研究假设，回归表明对于国有企业而言自评报告具有信息含量，而非国有企业的自评报告则难以成为彰显价值信号的载体，缺乏信息价值。造成这一现象的原因，在于非国有企业缺乏内控建设的需求，其自评行为存在跟风披露的可能，从而使得自评报告的信号作用消失。而鉴证报告由于存在显著的成本，因而具有较好的区分上市公司质量的信号效用，使得市场给及鉴证公司的CAR值明显更高。
参考文献：
1. 陈共荣，刘燕.内部控制信息披露的市场反应. 系统工程，2007，（10）：40-45.
2. 陈宋生，郭京晶.内部控制信息披露的市场反应——来自沪深股市的经验证据.上海立信会计学院学报，2011，（2）：14-24.
3. 傅琼轩.内部控制鉴证报告披露的市场反应研究——来自深市2006年～2008年经验数据.财会通讯，2010，（5）：36-38.
4. 黄寿昌，李芸达，陈圣飞.内部控制报告自愿披露的市场效应——机遇股票交易量及股票收益波动率的实证研究.审计研究，2010，（4）：44-51.
5. 林斌，李万福，王林坚，舒伟.内部控制的影响因素及经济后果研究——国外内部控制实证文献述评. 井冈山大学学报，2010，（31）：46-31.
篇6
一、熟悉法规，依法依规执行内部控制自我评价工作
首先，内部控制是一项全员参与的工作，风控体系要成功发挥作用，不仅要依靠企业的风控人员，还要全体员工都具备高度的内控意识与风险防范知识。因此上市公司从建设内部控制和风险管理伊始，就必须重视对相关法律法规的熟悉。
二、目标明确，建立专业和尽职的内控团队
上市公司特别是两地上市的公司要满足国内外不同监管机构的合规要求。《企业内部控制基本规范》中内部控制的目标是保护资产的安全完整，保证会计信息资料的正确可靠，确保经营方针的贯彻执行，保证经营活动的经济性、效率性和效果性。对于专业能力不足或专业人才不够的上市公司可以考虑一方面，借助专业咨询机构的知识，协助下属企业执行首年度的风控体系建设工作；另一方面，注重培养企业自身的风控人员，建立组织保障，成立内控领导小组和内控工作小组，强调咨询机构的知识转移，因此，下属企业在开展风控工作的次年可以依托自身的风控力量完成以后年度的风控工作。通过风控建设，公司及下属企业要建立起一套统一完整且具有企业特色的风险与内控管理体系以及评价体系，推进企业管理制度的不断健全，促进企业经营效率和效果的提升，有效提高企业的内控与风险防范意识，并打造一支自身的风控队伍。
三、榜样示范，推广集团投资企业统一执行内控规范工作
上市工作在搭建内部管控体系之初，可以订立一体化理念，将内部控制体系与风险管理体系融为一体，打造公司的风控体系。风控体系的建立与评价工作，最初从集团主要业务板块中各选出有一两家有代表性的企业，分别建立适合集团行业或经营范围等不同板块的风控体系，然后逐年推向各板块更多的下属企业，不断优化风控体系，逐步提高风控工作的覆盖范围。在推广过程中，要注意设计覆盖内控体系建设全方位的工作模板，使内控工作模板化、标准化，促进集团和投资企业统一执行内控规范工作。
四、组织保障，将内部控制规范工作纳入绩效考核体系
企业内部控制基本规范规定了董事会负责实施内部控制评价并出具内部控制自评报告，财政部随后的相关发文也明确规定企业需要为内控自评工作提供组织保障。为推进公司内控规范工作的顺利实施，全面、准确地执行好《企业内部控制基本规范》及其配套指引，上市公司可以成立内控领导小组、内控工作小组。监事会是内部控制的实施主体之一，对股东大会负责，并对董事会建立与事实内部控制进行监督。公司董事长作为内控建设第一责任人，总经理为内控实施负责人，分管审计部的高级管理人员负责内控实施指导和协调，从组织上保证内控实施规范的落实和执行。
五、结合风险管理进行内部控制自我评价工作
篇7
【关键词】 上市公司；内部控制；信息披露；医药制造业；现状与改进
内部控制信息披露是指企业管理当局依据一定的标准向外界披露本单位内部控制的完整性、合理性和有效性评价的信息以及注册会计师对内部控制报告审核的信息。按照信息经济学的理论，在非对称性信息市场中，信息的不完备性(Imperfect information)和非对称性(Asymmetric information)必将导致道德风险和逆向选择行为。目前，国内外学者普遍关注信息披露理论，美国颁布了《萨班斯――奥克斯利法案》（Sarbanes-Oxley Act）。
关于上市公司内部控制信息披露问题，我国财政部、证监会、审计署以及人民银行等部门颁布了多部法律法规并先后在某些上市公司内部施行。2006年，沪深证券交易所分别了《上海证券交易所上市公司内部控制指引》、《深圳证券交易所上市公司内部控制指引》（以下简称指引），并分别自2006年7月、2007年7月起实施。沪深《指引》均规定上市公司应当对公司内部控制的有效性进行自我评价，披露年度内部控制自我评价报告。2008年6月，财政部、证监会、审计署、银监会和保监会联合2009年7月1日开始实施的《企业内部控制基本规范》（以下简称基本规范），要求上市公司提交并披露内部控制自我评估报告。2009年1月，财政部的《企业内部控制评价指引》（征求意见稿）、《中国证券监督管理委员会公告》([2009]34号)以及证监会《关于做好上市公司2009年年度报告工作的通知(上市部函[2009]088号)》等均对上市公司内部控制信息披露进行了相关规范。
一、我国医药制造业企业内部控制信息披露的行业背景
Chee W.省略info.省略)和上市公司资讯网(省略)。
（一）披露的总体情况
本文将内控信息披露分为五个层次：详细披露是指公司出具内部控制自评报告，并且披露的形式、内容、格式和程度完全按照沪深指引的规定执行；良好披露是指出具内部控制自评报告或者按照沪深指引的模块在公司治理结构中披露内控信息，但是，其披露的内容和程度稍差于详细披露；简单披露是指上市公司只简单说明公司建立、健全内控情况；无实质内容是指上市公司在披露内控信息时泛泛而谈，没有实质性内容；未披露是指上市公司在年报中未提及内部控制情况，也没有出具内控自评报告。沪深2008年和2009年全部制药企业内部控制信息披露总体情况如表1所示。
从表1可以看出，2008年我国制药企业内控信息披露不理想。沪、深两市《指引》等关于内控信息披露的规定并未得到有效执行。在71家公司中，良好披露和详细披露的公司占42%，其余近58%的公司披露不理想，如红日药业，甚至于有两家公司（ST 四 环，股票代码：SZ000605；华神集团，股票代码：SZ000790）在年报中只字未提其内部控制情况。2009年是“上市公司治理整改年”，接近78%的公司内部控制信息得到了详细披露或者良好披露，只有22%左右的公司简单披露或者披露内控信息时没有实质性内容。从披露的总体情况来看，2009年，《基本规范》得到了相对有效的执行，制药业上市公司内控信息披露得到了明显改善。
（二）信息披露的主体（见表2）
从2008年披露的信息来看，我国医药制造业企业有近92%的公司由董事会和管理层进行内控信息披露，而由审计委员会以及其他机构进行披露的公司很少。而从2009年年报可以看出，由董事会以及审计委员会或者审计部进行内控信息披露的公司显著增加，说明2009年7月1日开始实施的《企业内部控制基本规范》关于董事会、监事会以及经理层职责的规定开始在上市公司中得到有效的实施。
（三）信息披露的载体
从表3来看，2008年只有29家（40.85%）公司以附件形式提供了某种程度的内部控制自我评估报告，42家（59.15%）上市公司没有提供内部控制自评报告，只是在其年报的公司治理结构部分披露内部控制的建立、健全情况；2009年提供内部控制自我评估报告的公司比例虽然有所提高，但是改善不明显，说明我国医药制造业企业提供内部控制自评报告的动力不足，亟需改善。
（四）内部控制的鉴证情况
从表4可以看出，在2008年年报中，我国只有35.21%的医药制造业公司的内部控制信息披露经过注册会计师、监事会和独立董事或者保荐机构的鉴证，这些机构对于上市公司“是否建立完善的内部控制制度”发表核实评价意见。此外，还有46家（64.79%）上市公司内部控制信息披露未经任何形式的鉴证。2009年，内部控制信息披露未经任何鉴证的公司比例数降低到52.78%，比2008年有所改善，但是，从数据来看，依然有半数以上的公司内部控制没有经过任何形式的鉴证，其内部控制自评结论的可信性值得怀疑。
三、医药制造业上市公司内部控制披露中存在的问题
（一）内部控制披露的动机不足，披露内容欠详细
上市公司内部控制披露的动机不足，根据成本效益原则选择是否披露内控信息。如果内部控制披露的成本大于效益，有些公司会选择不披露或隐瞒内部控制信息；如果效益大于成本，上市公司则会选择性地披露对自己有利的信息。在内控披露内容上，部分公司披露过于简单，或者无实质性内容，如丰原药业（股票代码：SZ000153）在其2009年年报中认为：“公司对照深交所《上市公司内部控制指引》，遵循内部控制的基本原则，基本建立健全了内部控制制度等。”
（二）与国际公认的内部控制制度的理解偏颇
目前，国际公认的关于内部控制的理论研究成果COSO报告将内部控制分成五个部分：控制环境、风险评估、控制活动、信息与沟通、监控。COSO内部控制的目标“确保企业营运的效率、效果”、“确保可靠的财务报告”和“遵循相关法令”三位一体，强调“动态性”。我国上市公司由于对COSO内部控制制度理解偏颇，导致大部分医药企业披露的内控信息和国际公认的内部控制标准存在较大的差距，过分强调“确保可靠的财务报告”目标，忽视其他目标。因此，在实务中，将内部控制等同于内部会计控制，公司在披露内控信息时也过分重视对财务和会计信息的披露，轻视内控其他组成要素的披露，而将主要精力集中在对《会计法》、《企业会计准则》等财经法规的遵循和执行的披露上。
(三)鲜有公司披露内部控制缺陷，内部控制改进流于形式
目前，鲜有公司披露其内部控制的缺陷，如莱美药业（股票代码：SZ300006）、太极集团（股票代码：SH600129）、千金药业（股票代码：SH600479）等均只字未提其内部控制缺陷及改进情况。多数公司只是简单表述如下“截至报告期末，公司未发现存在内部控制设计或执行方面的重大缺陷。” 关于内部控制的改进披露更是流于形式，没有实质性措施，如太极集团（股票代码：SH600129）在其2009年的公司年报中披露“公司将根据相关法律法规的规定，对公司的各项内控制度进行持续修订完善”。
（四）忽略对风险的披露
综观2008年、2009年披露的医药企业年报，大多数公司忽略对风险的披露。有的公司简单披露，如上海辅仁（股票代码：SH600781）在披露风险时，只是“对于分、子公司的管理及风险防范也有相应的管控制度”；*ST天方（股票代码：SH600253）“保证公司在发展的情况下，符合国家法律法规的要求，有效的规避风险”。有些公司甚至于只字未提其面临的风险，如千金药业、三九医药、中国医药等。医药制造业企业风险显著高于其他行业，如医药产品被竞争者仿制是医药企业普遍面临的风险。此外，国家政策变动的风险，如国务院颁布的《2009―2011年深化医药卫生体制改革实施方案》及2009年4月的《关于深化医药卫生体制改革的意见》等关于对医药卫生体制改革的规定都将对整个行业产生深远影响。但是，从已公布的上市公司关于风险评估和控制的信息来看，鲜有公司重视风险的披露。
(五)自我评价不客观、缺乏可信性
从2008年、2009年上市公司披露的年报数据来看，自我评价不符合实际情况的现象比较严重。如在2009年的72份医药制造业公司年报中，有17家公司（占总样本的23.61％）表示本公司的内部控制“建立、健全、有效”或者“完整、合理、有效”等，有37家公司（占总样本的51.39％）表示本公司的内部控制“较为健全、较完善”，甚至于有多家ST公司也都宣称其内部控制“完整、有效、能够提供保证”等，让人不得不对其内部控制的自我评价产生怀疑。
四、改进医药制造业上市公司内部控制信息披露的政策建议
（一）完善资本市场环境，提高内部控制信息披露的自觉性
自愿披露内控信息的动力源于信号传递理论，为了缓解信息不对称，高质量的有信息优势的企业管理当局有动力进行充分披露，愿意向市场提供积极的信息。经济学家迈克尔・斯宾塞（A. Michael Spence）也认为，只有当市场有效或强势有效时，才能激发起上市公司披露内控信息的自觉性；在弱势有效的资本市场中，管理者缺乏动机充分披露内控信息。因此，为了提高内控信息披露的自觉性，必须完善资本市场环境、提高市场运行效率。现实中，当市场强势有效时，内控健全、有效，能够有效防范经营风险的企业往往愿意主动披露本公司的内控信息。
（二）制定统一的内部控制评价标准
尽管我国出台了内部控制《指引》、《基本规范》及《企业内部控制评价指引》等多部法律法规，但是，它们的内容相互联系却又不完全相同，因此，上市公司在执行时缺乏统一性。此外，也由于我国上市公司对内部控制的理解与国际标准有出入，加上医药制造业本身的特殊性等，我国制药企业在披露内部控制信息时选择性较大，侧重点不一。为了提高内部控制报告的可操作性和可比性，管理当局有统一的评价标准可循，有关部门应尽快出台内部控制专项准则，对披露的内容和形式作出统一、细化的规定，以减少上市公司在内部控制制定和实施及信息披露上存在的选择性和随意性。
（三）明确内部控制信息披露责任主体
我国关于内部控制信息披露责任主体的界定一直很模糊。沪、深《指引》明确了董事会为信息披露责任主体，但是对违反披露政策的法律后果缺少必要的惩罚机制。《基本规范》分别规定了董事会、监事会及经理层的职责，但是，依然没有对信息披露责任主体作出明确界定。《企业内部控制评价指引》对于内部控制评价主体也没有明确的规定。因此，我国法律亟需明确内部控制评价的责任主体，以便落实责任，建立内控信息披露问责机制。美国《萨班斯法案》和SEC将内控信息披露的责任归于公众公司管理当局。鉴于我国企业组织结构以及医药行业的特殊性和复杂性，建议由公司董事会、总经理和最高级别财务管理人共同负责内控披露， 监事会和注册会计师进行鉴证，从而真正实现对管理层建立和执行内部控制的监督。
（四）加强风险管理，提高上市公司抵御风险的能力
风险管理水平的提高有助于加强企业内部控制，提高企业内控信息披露水平。医药制造业是高风险行业，面临诸多风险，如新产品开发和审批风险、普遍面临的主导产品较为集中的系统性风险、医疗体制改革及国家对中西药注射剂质量管理趋严的政策性风险、原料药材质量控制以及价格波动风险、药品的不良反应风险、生产经营的季节性波动风险、核心技术可能泄密的风险、环境污染风险等。该行业的特殊性决定了其必须加强风险管理，提高公司抵御现实和潜在风险的能力，及早进行风险预测、风险评估、风险规避、风险转嫁，将风险管理贯穿于企业内部控制的全过程。
（五）加强对内部控制信息披露的法律监管
从已有的内控信息披露来看，我国上市公司在披露内部控制信息时问题各异，亟需加强法律监管。首先，应严格各项法律法规的执行，增强法规的执行力度，尤其应完善各项违规披露的惩罚机制；其次，应完善我国内部控制报告的审核准则。由于我国内控披露的鉴证机构涉及到监事会、独立董事、保荐机构以及注册会计师等多个部门，且由于这些机构本身的职业特点以及其他因素，导致他们执行的审核标准不一，审核结论不同，因此，亟需完善内部控制报告审核准则来统一规范内部控制鉴证业务。
【参考文献】
［1］ 杨有红，汪薇.2006年沪市公司内部控制信息披露研究［J］. 会计研究，2008（3）:35-42.
［2］ 张维迎.博弈论与信息经济学［M］.上海三联书店，2004.
［3］ 上海证券交易所.上海证券交易所上市公司内部控制指引［S］.2006（6）.
［4］ 深圳证券交易所.深圳证券交易所上市公司内部控制指引［S］.2006（9）.
［5］ 财政部，证监会，审计署，银监会，保监会.企业内部控制基本规范［S］. 2008（6）.
［6］ 钱静.垄断行业高薪侵蚀社会公平基石［J］.特区经济，2007（11）:162-163.
篇8
内控信息披露就是各企业以定期或不定期的书面材料或网络资讯为载体，通常遵照规定的格式或评价尺度对企业内控的内外部各个方面进行考量后，向公众公开披露企业内部经营情况的的一种行为。
二、我国制造业上市公司内部控制信息披露现状分析
本文根据CSRC行业分类（制造业 行业代码 C），对我国沪市主板A股上市公司2013年内控信息的披露情况进行了对比分析，更加直观的展示我国制造业上市公司内控信息披露的情况。内控披露的总体情况中，我国制造业企业内控信息披露在2013年的披露总体情况并不尽如人意。内控披露的主体情况中，我国制造业上市公司内控信息披露的主体主要是集中在公司董事会这一层面，其次是审计部门。总体来说，我国内控信息披露情况发生改变，越来越向好的方向发展且效果显著。内控披露的载体情况中，我国内控信息披露还需要再接再厉。
三、我国制造业上市公司内部控制信息披露存在的问题
（一）对内控披露认识不到位
长期以来，由于我国制造业发展模式比较固定，产业升级改造能力比较低下，从而使制造业内部控制的主观能动性不强。另外，部分公司管理人员由于自身认识不够全面，在对内部控制相关的问题上存在误区，从而影响到管理人员的利益。
（二）内控信息披露主体不明确
目前，我国制造业上市公司内控信息披露主体权责分配不合理，容易造成各主体之间权责划分不清晰，责任相互推卸，利益相互争抢。而且，由于相关披露主体制度的制定方式还比较粗放、比较原始，不能对公司的运营进行更加全面的管理和提高。
（三）内控自我评价不完善
内控自评报告作为内控信息披露情况的一种书面材料呈献给各个相关人员，其重要性不言而喻，然而大多数企业出具的内控自我评价报告并没有完整真实的反应企业内部控制体系的情况。且各企业内控自我评价报告中范围的全面性覆盖不够广，可比性较差。
四、提高我国制造业上市公司内部控制信息披露质量的建议
（一）加强关于内部控制的学习
积极提高工作人员和管理人员对内部控制信息披露的正确认知还需定期举行学习活动，使每个工作人员真正深刻理解内部控制信息体系，从而把理论和实践更好地结合起来。完善学习后的反馈机制，通过在实际运用中及时反馈，找出差距，查出错误。
（二）加强企业内部控制体系建设
在实际工作中，各部门首先在日常经济业务的处理过程中严格按照标准的业务体系进行业务处理，不能逾越某个环节或遗漏某个环节。其次，公司在披露财务报表、自评报告等文件时应严格按照程序进行，对于财务报表中所披露的财务信息要有理有据、有根有源、真实准确、公允可靠。
（三）完善关于内部控制信息披露制度的法律基础
首先，国家要重视制定内部控制相关法律，把范围扩大。其次，在法律法规操作的过程中，要对公司所披露的内部控制信息全面、详细、彻底地比较。这样有助于提高企业的运营效率。
篇9
关键词：内控 经营管理 绩效
一、内部控制评价概念
内部控制评价是指企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。通过内部控制评价工作，充分揭示内部控制的设计缺陷和运行缺陷，管理层及时获悉缺陷情况和整改进度，相关部门跟踪落实缺陷整改，实现内部控制闭环管理，与风险管理工作形成合力，共同推动持续改进。
二、主要做法
供电公司以重大风险防控作为内控评价重点，全面整合风险评估与内控评价工作，通过业务部门“三参与”（参与风险评估、参与内控评价、参与缺陷认定），强化缺陷整改分析，常态化稽核监控等措施，深度推进内控评价工作，促进各项管理的进一步规范化、系统化，实现内控评价闭环管理。
（一）充分梳理风险，内控评价有的放矢
1、梳理风险信息
依据内控评价相关要求，辨识与电力交易结算、核算等经营类业务相关的风险，梳理出本单位可能存在的业务风险，编制形成公司规范统一的风险信息库。
2、识别重大风险
召开风险评估推进会，由风险评估与自评价工作组召集各业务部门参与风险识别。各业务部门通过总结重大风险防范措施执行情况，认真分析内外部因素，并依照梳理形成的本单位风险信息库，识别确定各专业的重大风险。
（二）加强专业协同，全面推进内控评价
1、准备阶段――细化方案，优化分工
内控自评价工作组细化评价工作方案，明确评价工作的时间安排、评价工作的目的、范围及涉及部门，详细列示评价工作前期准备材料清单，按专业组建若干个工作小组，确定各小组所需借调的专业人员，通知各业务部门积极主动参与现场内控自评价工作。根据风险评估阶段确定的重大风险，重点对电网基建、招投标采购、资金支付及费用报销等业务领域进行检查评价。
2、评价测试阶段――专业协作，全程监督
工作小组进驻现场按照各自分工开展评价工作：
（1）询问相关业务人员岗位工作流程，并与岗位职责文件相比较，以发现实际流程是否与相关制度要求相符；观察业务人员的流程操作，判断实际流程是否与手册记录的流程相符。评价控制程序是否被有效且一贯执行。
（2）对线下流程进行穿行测试，并在穿行测试的基础上，进行控制测试，采用随机抽样方法，按照样本发生频率选取适当数量样本，对控制点是否依照内部控制手册和控制矩阵的规定持续有效的执行情况进行检查；收集流程中关键控制点的纸质文档材料，检查纸质文档是否完整清晰，是否经过相关有权限人员审核批准。
（3）对线上（IT）流程进行穿行测试，并在穿行测试的基础上，进行控制测试，具体方法同线下流程抽样测试；收集线上流程中关键控制点的电子文档材料和电脑截屏，检查电子文档是否完整清晰，是否经过相关有权限人员审核批准。
3、汇总分析阶段――系统辅助，记录差异
工作小组记录评价工作中发现的所有差异以及新风险、新流程、新控制点未及时在内控流程文档中进行更新的情况，并在风控信息系统中填写评价工作底稿，上报内控自评价工作组。
（三）注重缺陷分析，促进管理优化提升
1、业务部门参与缺陷认定
自评价工作组汇总各工作小组的评价记录，组织相关业务部门召开内控缺陷认定及整改会议。对于发现的差异，与被检查部门讨论沟通，根据内部控制缺陷的评定标准，判断出缺陷的类型，同时判断缺陷属于设计缺陷还是执行缺陷，提出内部控制缺陷的整改意见。
2、深度分析内控缺陷，细化内控流程矩阵
公司内控办在自评价基础上，充分利用内控评价成果，深度总结分析内控缺陷成因，细化内控流程矩阵，进一步完善公司内部控制体系。
三、主要成效
（一）进一步深化公司风险意识和内控理念
内控评价开展以来，公司按照国网下发的风险信息库梳理了139个地市公司层级可能存在的风险信息，编制形成适合地市层级公司规范的风险信息库。发现流程差异23个，认定内控缺陷10个，已全部按要求整改到位。
（二）进一步提升公司业务精益化管理水平
通过实施横向到边、纵向到底的全面、系统的内控评价，发现自身在公司整体和各个领域中存在的制度设计及制度执行缺陷，调整和完善业务间管理界面、信息标准、管控要求，有效打通了管理壁垒。促进内控标准、流程标准和岗位标准落地，将控制责任细化到岗位，规范了工作程序、审批手续，有效控制各项经营活动顺利开展，防止出现偏差，及时纠正失误。促进公司各项管理的进一步规范化、系统化，各项业务有规可依。
（三）进一步降低公司经营管控类业务风险
在内控流程标准实施过程，通过内控评价检查等监督手段，明确了内控流程的风险点和关键控制点，配套制定风险防范措施和有效性评价程序，严控风险环节，推动业务合规，推动业务标准信息有效流转，实现内部控制对欺诈、舞弊和非法行为的事前防止、事中发现和事后纠正，充分体现了源头控制和主动控制的理念，不断推进内部控制与日常管理的有机融合，推动公司从事后监督向过程监督转变，有效防范了经营管控类业务风险。
参考文献：
[1]梁雯.内控视角下事业单位预算绩效管理体系探究[J].行政事业资产与财务.2016（01）
篇10
关键词：内部控制审计 内部控制评价 内部控制评审
内部控制在防范财务信息失真，预防重大的会计舞弊方面发挥着重要的作用。但是，任何一个好的制度都需要强有力的监督才能发挥积极有效的作用，才能对由此产生的财务信息的质量进行合理保证。所以利用注册会计师，对企业内部控制进行外部审计，出具合理保证的审计报告，已经成为全世界的共识。随着美国SOX法案（《萨班斯—奥克斯利法案》）的颁布，绝大部分国家都意识到了内部控制审计的重要性。我国在2008年5月由财政部、证监会、审计署、银监会、保监会联合《企业内部控制基本规范》，2010年4月，上述5部门又颁布了《企业内部控制审计指引》。
《企业内部控制审计指引》指出，内部控制审计是指会计师事务所接受委托，对特定基准日内部控制设计与运行的有效性进行审计。注册会计师在执行内部控制审计工作中，应当获取充分、适当的证据，为发表内部控制审计意见提供合理保证。对财务报告内部控制的有效性发表审计意见，并对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷，在内部控制审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露。
内部控制审计与内部控制评价、财务报表审计中的内部控制评审等工作既有密切联系，又有本质区别。弄清它们之间的关系，对于充分认识内部控制审计的独特作用，切实推进内部控制审计工作的开展，具有重要意义。
内部控制审计与内部控制评价之间的关系
内部控制评价是指由企业董事会或类似权利机构对企业内部控制有效性进行评价，形成评价结论，出具评价报告的过程。董事会或类似权利机构通常指定内部审计部门为内部控制评价部门，围绕控制环境、风险评估、控制活动、信息与沟通、内部监督等控制要素的设计与运行情况进行全面评价，并指出控制缺陷包括设计缺陷和运行缺陷，形成内部控制自我评价报告。
企业董事会对内部控制自我评价报告的真实性和合法性负责，内部控制自我评估报告的真实性，是指内部控制自我评估报告是否如实反映了企业内部控制设计和执行的有效性；内部控制自我评估报告的合法性，是指内部控制自我评估报告的编制是否符合国家有关法律、规章的要求（吴秋生，2010）。
（一）内部控制审计与内部控制评价的区别
1.范围不同。内部控制审计以财务报告内部控制为主。内部控制审计的范围，直接决定着审计的质量、成本和责任，决定着审计的可行性。为了遏制内部控制的各种可能的缺陷滋生，为财务报表使用者提供尽可能多的相关信息，促进被审计单位全面加强内部控制建设，内部控制审计应当以整个内部控制为审计范围。但是，以整个内部控制作为内部控制审计的范围，既不明确，也不好把握，容易产生审计风险，审计的可行性会有问题。所以，目前内部控制审计只能突出重点，重点解决内部控制弱化可能产生输出虚假财务信息的问题，内部控制审计范围应当限于与财务报告有关的内部控制（杨瑞平，2010）。
按照《企业内部控制评价指引》，内部控制评价围绕控制环境、风险评估、控制活动、信息与沟通、内部监督等控制要素确定内部控制评价的具体内容，建立内部控制评价的核心指标体系，对内部控制设计与运行情况进行全面评价。
2.性质不同。内部控制审计是企业外部对企业的内部控制审计，是会计师事务所对企业内部控制的有效性进行的审计，是一种独立的鉴证业务。内部控制评价是企业内部管理层对企业的内部控制评价，通常情况，授权内部审计机构对企业内部控制进行评价，是一种相对独立的服务业务。
3.目的不同。内部控制审计目标是对被审计单位内部控制自我评估报告的真实性和合法性发表审计意见，为内部控制自评报告的真实性和合法性提供合理保证。内部控制评价是管理层通过内部控制自我评估报告对企业内部控制进行的一种自我评价，一方面，在评价的过程中可以发现企业内部控制缺陷，及时改善企业内部控制情况，进而提高企业经济效益；另一方面，投资者、社会公众等企业利益相关者根据内部控制评价报告可以了解企业内部控制水平，评估企业抗风险能力和持续经营能力，从而为投资决策和正确行使相关权利提供资料依据。
4.责任主体不同。《企业内部控制审计指引》规定建立健全和有效实施内部控制，评价内部控制的有效性是企业董事会的责任。按照该指引的要求，在实施审计工作的基础上对内部控制的有效性发表审计意见，是注册会计师的责任。企业内部控制责任是由企业承担的，而内部控制审计责任是由注册会计师承担的。两种责任的分离决定了企业和注册会计师在分别实施内控自评和内控审计时必须按照不同的规则独立完成，两者之间不能够相互替代和免除（金灵，2011）。
5.评价依据不同。内部审计评价依据《企业内部控制评价指引》进行评价，而内部控制审计依据《企业内部控制审计指引》进行审计。
（二）内部控制审计与内部控制评价的联系
1.评价对象相同。内部控制评价与内部控制审计都是对企业内部控制的有效性进行评价，只不过两者对于内部控制的范围各自有所侧重。这两种评价必然存在内在的关联性，所以往往也依赖同样的证据，遵循类似的测试方法并使用同一基准日。
2.内部控制评价滋生了内部控制审计工作。对于执行内部控制基本规范的上市公司或其他中小企业，按照《内部控制基本规范》及配套指引的要求，企业内部控制必须委托会计师事务所开展内部控制审计，内部控制评价报告与内部控制审计报告同时对外披露或报送。由此，内部控制自我评价报告催生了内部控制审计的产生。
3.内控审计的实施过程中可以适当利用企业内控自评工作。内部控制审计执行审计工作时，注册会计师应当对企业内部控制自我评价工作进行评估，判断是否利用企业内部控制评价相关的工作以及可利用的程度，相应减少可能本应由注册会计师执行的工作。
综上所述，内部控制审计和内部控制评价既有本质的区别又有相应的联系。需要强调的是，注册会计师虽然可以利用企业内部控制评价所形成的结论，但需对其本身发表的审计意见独立承担责任，该责任不因企业内部控制评价人员和其他相关人员的工作而减轻（王晓丽，2011）。
内部控制审计与财务报表审计中的内部控制评审之间的关系
财务报表审计中的内部控制评审，是指为编制审计计划能够准确确定审计重点和抽样规模提供可靠依据，进而进一步确定实施实质性程序的范围、性质，注册会计师在进行财务报表审计时应当首先了解审计单位内部控制，且出现下列两种情况时注册会计师应当对内部控制实施控制测试：
在评估认定层次重大错报风险时，预期控制的运行是有效的；仅实施实质性程序不足以提供认定层次充分、适当的审计证据。
（一）内部控制审计与财务报表审计中的内部控制评审的区别
1.直接目的不同。内部控制审计是出于管理方面的需求，从公司层面对企业整个内部控制系统尤其是财务报告内部控制进行全面的评价，以促进企业经营管理措施的实施及目标的实现，表现形式为对被审计单位内部控制自我评估报告的真实性和合法性发表审计意见。而财务报表审计中的内部控制评审是为了满足审计方面的需要，评价那些可能对财务报表可靠性有重要影响的内部控制，判断其可依赖程度，从而合理确定审计程序，保证审计质量，提高审计效率。
2.性质不同。内部控制审计是一项独立的鉴证业务。而财务报表审计中的内部控制评审是财务报表审计工作中的一部分，一个重要的环节，而非单独的一项业务。
（二）内部控制审计与财务报表审计中的内部控制评审的联系
1.审计对象相同。内部控制审计与财务报表审计中的内部控制评审都要对与财务报告相关的内部控制进行审查，审查财务报告相关的内部控制设计的合理性，执行的有效性。
2.审计方法相似。针对相同的审计对象，内部控制审计与财务报表审计中的内部控制评审在审计方法上相似，都需要运用检查书面文件和记录、询问有关人员、穿行测试等方法。
正因为两者的相似点，现阶段内部控制审计与财务报表审计就内部控制的有效性的评价可以开展整合审计，即由同一会计师事务所的不同项目组执行同一委托单位的内部控制审计和财务报表审计，整合有利于注册会计师之间的沟通，方便协调各自的工作进度，互相借助对方的工作成果，可以大大加速审计时间，节约审计费用，降低审计成本，有利于促进内部控制审计顺利开展。当然在整合审计过程中，应同时实现如下的目标：获取充分、适当的证据，支持其在内部控制审计中对内部控制有效性发表的意见；获取充分、适当的证据，支持其在财务报表审计中对控制风险的评估结果。
一方面，注册会计师在进行财务报表审计中的内部控制评审时可以直接利用内部控制审计报告中对内部控制有效性的结论作为对控制风险的评估，最终确定实质性程序的性质、时间和范围。因为在财务报告内部控制审计中，注册会计师要对财务报告内部控制的有效性发表意见并承担法律责任，关于内部控制审计报告的结论是较为精确和可靠的，因此在财务报表审计中可以利用财务报告的内部控制审计结果来评价控制风险。
另一方面，注册会计师提出内部控制有效性审计结论时，应考虑财务报表审计控制测试的结果，若财务报表审计的结果表明相关认定中存在重大错报，而内部控制不能防止或发现并纠正重大错报，则通常表明内部控制存在重大缺陷。注册会计师要充分利用财务报表审计中的内部控制评审结论，再进行补充和扩大内部控制测试范围，以收集更充分的有关财务报告内部控制有效性方面的证据，最终对财务报告内部控制的有效性作出合理评价。
结论
综上所述，无论是内部控制审计还是内部控制评价及财务报表审计的内部控制评审，均是针对企业内部控制所做的评价。按照评价主体的不同，可以分为外部评价和内部评价。内部控制审计与财务报表审计的内部控制评审是外部审计，通常由企业以外的注册会计师完成；内部控制评价是是典型的内部审计，一般由企业内部审计人员对内部控制做具体评价，管理层审批生成内部控制自我评估。虽然不同主体对内部控制的评价在目标、范围、内容和程序等方面存在差异，但是他们有一个共同性，评价对象是企业的内部控制。
由此看来，内部控制对于企业而言是非常重要的，它直接影响企业生存的质量、长久生存的耐力及扩张力，合理设计并有效运行内部控制是现代企业的生存之道。由此，自然滋生出对内部控制设计是否合理、有无执行及执行是否有效内部控制评价系统。其中内部控制审计作为外部监督系统，对企业内部控制执行的合法性和有效性发表审计意见，提供合理的鉴证，对于企业外部信息使用者作出合理的判断和决策起到了非常重要的作用。
参考文献：
1.谢晓燕，张龙平，李晓红.我国上市公司整合审计研究[J].会计研究，2009(9)
2.杨志国.关于《企业内部控制审计指引》制定和实施中的几个问题[J].财务与会计，2010(10)
3.吴葳.内部控制审计研究[D].南京大学，2011
4.李锦.财务报告内部控制审计[D].浙江工商大学，2010
5.芦雅婷.财务报告内部控制审计研究[D].石家庄经济学院，2010
6.陈燕.萨班斯法案、内部控制与公司治理效率-基于中国赴美上市公司的实证检验报价[M].首都经济贸易大学出版社，2010
