随着企业内控规范体系的贯彻实施和上市公司内部控制评价报告的披露，内控缺陷认定及认定标准问题引起了监管部门和学术界的关注和重视。通过梳理现有相关内部控制缺陷的国内外文献以及监管规则，笔者发现，现有监管规则对内部控制缺陷的划分仅做出了原则性的规定，对内部控制缺陷认定标准的内涵、如何划分缺陷等级和重要程度、谁来制定内部控制缺陷认定标准以及内部控制缺陷认定标准的披露内容等问题则有较大的空白，本文拟从内部控制缺陷认定标准本身出发，探讨内部控制缺陷认定标准及其制定和披露问题。

一、内部控制缺陷认定标准

内部控制缺陷是指内部控制的设计存在漏洞，不能有效防范错误与舞弊，或者内部控制的运行存在弱点和偏差，不能及时发现并纠正错误与舞弊的情况（企业内控规范体系，2008）。可见，内部控制缺陷是指内部控制存在的漏洞、不足和弱点，会降低企业目标实现的可能性。内部控制缺陷认定标准，是指为使内部控制缺陷认定更加科学合理有效和内部控制缺陷更加真实可靠，经协商一致制定并由公认机构批准，共同使用和重复使用的、关于内部控制缺陷认定这一活动的规则的规范性文件。内部控制缺陷认定标准是对内部控制认定过程中出现的重复性事物、概念和判断所做的统一规定，它是内部控制缺陷认定活动开展的前提、参照的依据，应该着重规范和解决以下问题：

1.内部控制缺陷的分类标准。我国企业内控规范体系将内部控制缺陷划分为三类：按成因和来源划分为设计缺陷和运行缺陷；按照影响企业内控目标实现的严重程度划分为重大缺陷、重要缺陷和一般缺陷；按照影响内控目标的具体表现形式划分为财务报告内控相关缺陷和非财务报告内控相关缺陷。一般来说，设计缺陷和运行缺陷、财务报告内控相关缺陷和非财务报告内控相关缺陷具有明确的界限，根据其定义即可加以认定。但对于将内部控制缺陷按缺陷严重程度进行分类，却由于没有标准可循而存在很大的操纵空间。当前，监管部门尚无关于内部控制缺陷按严重程度划分的分类标准，如何区分一般缺陷和重要缺陷、重要缺陷和重大缺陷，上市公司已经在内部控制评价报告中给出了不同的答案。笔者研究发现，当前上市公司按缺陷严重程度对内部控制缺陷的划分在标准存在很大的分歧。如何制定可供参考的内部控制缺陷严重程度分类标准显然还值得讨论。

2.内部控制缺陷分类方法。采用何种方法划分内部控制缺陷，更准确地说，是采用定性方法还是定量方法抑或定性和定量相结合的方法也是一个标准问题。由于内部控制缺陷的不同分类，若将内控缺陷按成因和来源划分时，一般应该采用定性方法；若将内控缺陷按严重程度划分时，一般应该采用定性和定量相结合的方法；若将内控缺陷按表现形式划分，上市公司给出了不同的答案，表1即为2011年披露内部控制缺陷认定标准的上市公司在认定财务报告内控缺陷和非财务报告内控缺陷采用的方法分类。

4.内部控制整体有效性判断标准。当上市公司存在内部控制重大缺陷时，上市公司的内部控制即为无效，这会导致许多企业在缺乏认定标准的情况下将内部控制重大缺陷划分为重要缺陷。然而，仅仅规范上市公司存在重大缺陷即认为内部控制无效是否足够？笔者认为，在判断企业内部控制缺陷时，需要考虑影响整体控制目标实现的多个一般缺陷或重要缺陷的组合是否构成重大缺陷。因此，上市公司应该披露内部控制整体有效性判断标准，当存在多个内部控制重要缺陷时，需要考虑多个重要缺陷的组合对内部控制目标的影响。

二、内部控制缺陷认定标准的制定

1.内部控制缺陷认定标准制定归属权。内部控制缺陷认定标准为企业发现和认定内部控制缺陷提供了规范和指引，有利于企业无偏地评估企业的内部控制缺陷，能够显示企业在提供内部控制缺陷信息不同环节上进行方式、方法选择的“路径”，有助于信息的使用者了解内部控制缺陷信息产生的过程以及由于内部控制缺陷的存在而给投资者带来的有关企业的风险提示，是利益相关者据以做出决策的重要依据。因此，从这个意义上来说，确保内部控制缺陷认定标准科学、合理和有效，其制定权归属尤为重要。

2010年4月，财政部等五部委发布的《企业内部控制评价指引》第十七条指出，“重大缺陷、重要缺陷和一般缺陷的具体认定标准，由企业根据上述要求自行确定。”解释第1号对企业应该如何确定内控缺陷的认定标准做出解释：“企业可以根据《企业内部控制基本规范》及其配套指引，结合企业规模、行业特征、风险水平等因素，研究确定适合本企业的内部控制重大缺陷、重要缺陷和一般缺陷的具体认定标准。企业确定的内部控制缺陷标准应当从定性和定量的角度综合考虑，并保持相对稳定。”可见，监管部门鼓励上市公司自主制定内部控制缺陷认定标准。同时，注册会计师接受委托对企业内部控制进行审计并出具内部控制审计报告时，也面临内部控制缺陷的认定问题，因此内部控制缺陷认定标准的制定涉及政府监管部门、上市公司以及注册会计师。当前，由于缺乏统一的可供参考的内部控制缺陷认定标准，上市公司披露的内部控制缺陷认定标准表现出较大的不同。笔者认为，应该尽快由监管部门制定相关缺陷认定标准。

2.内部控制缺陷认定标准制定：原则式还是规则式。借鉴会计准则制定的发展历程，内部控制缺陷认定标准的制定也面临原则式与规范式之争。所谓原则式，即通过内部控制缺陷可能对内部控制目标的偏离或者内部控制缺陷可能造成的后果来进行认定，如内部控制缺陷可能导致公司无法实现战略目标、导致公司遭受诉讼风险等。所谓规则式，即通过梳理企业业务流程和关键控制可能存在的缺陷种类，建立内部控制缺陷数据库以便企业在内部控制认定时对比查看。

不管是原则式还是规则式，均有优缺点。原则式的内部控制缺陷认定标准制定兼顾了不同行业不同上市公司在内部控制缺陷认定过程中的不同特点，使得上市公司的内部控制缺陷认定结果比较具有可比性，然而其也给上市公司进行“自我选择”提供了很大的空间，上市公司可能会操纵内部控制缺陷认定过程进而操纵内部控制缺陷认定结果。规则式的内部控制缺陷认定标准虽然能够比较明确且比较利于内部控制缺陷信息使用者了解缺陷类型和特点，但是由于内部控制缺陷广泛存在于企业的各种业务及流程之中，穷举所有缺陷并对其严重性程度进行划分显然会因行业、环境的不同而不太容易实现。实现原则式与规则式相结合的内部控制缺陷认定标准或许是当前规范内部控制缺陷认定的一种比较有效的手段。一方面，原则式的认定标准为企业开展内部控制缺陷认定工作指明了方向，对规范企业的内部控制缺陷认定工作具有一定的指导意义；另一方面，规则式的认定标准对当前企业在内部控制建设中可能存在的共性问题和突出问题做出规范，也有利于上市公司在内部控制缺陷认定中将主要精力和资源分配在这些方面。

原则式的内部控制缺陷认定标准可以基于目标导向。我国企业内部控制规范体系将内部控制的总体目标设定为“合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略”。设定目标导向的内部控制缺陷认定标准具有一定的科学性和合理性，这主要是因为内部控制缺陷都是对企业目标的偏离，基于目标导向认定内部控制缺陷能够更加有利于采取针对性的整改措施。

规则式的内部控制缺陷认定标准目前已经初步运用于上市公司的内部控制评价和内部控制缺陷认定。例如，《内部控制审计指引》中提到了4种表明内部控制存在重大缺陷的迹象，出现这些迹象通常表明公司内部控制可能存在重大缺陷，但仍应从内部控制能否预防、发现并纠正财务报告重大错报的角度具体分析，上述迹象是否与内部控制重大缺陷具有因果关系仍需要结合缺陷发生的环境、特定情形进行具体分析。

三、内部控制缺陷认定标准的披露

内部控制缺陷认定标准作为上市公司内部控制缺陷认定的依据，揭示了上市公司在内部控制缺陷认定过程中遵循的依据和准则、采用的方法以及认定的结果和对结果的评价等问题。因此，上市公司应该完整披露内部控制缺陷认定标准以及内部控制缺陷认定结果。投资者等利益相关者通过上市公司披露的内部控制缺陷认定标准可以获取上市公司在内部控制缺陷认定方面做的工作进而了解上市公司的内部控制建设情况；通过上市公司披露的内部控制缺陷可以评价上市公司的内部控制建设成效。对于内部控制缺陷认定结果的披露，仍有一些问题值得探讨。

1.内部控制缺陷披露形式。按照要求，上市公司应披露内控评价发现的报告期存在的缺陷总数量、重大和重要缺陷的数量及性质。但从披露现状来看，存在几个突出的问题：一是仅披露缺陷数量，未对缺陷进行具体描述；二是不少上市公司仅笼统地表述公司存在缺陷，回避对缺陷严重程度的分类，或者披露存在重大、重要缺陷，未对财务报告内控缺陷还是非财务报告内控缺陷进行区分，也未具体指出每一个缺陷对应的缺陷严重程度分类。根据上市公司的披露，信息使用者无法判断内部控制缺陷的性质及其对内部控制的影响程度，必将影响其投资决策。因此，为了提供的内部控制缺陷信息更加真实有效，上市公司应该提供缺陷的数量，并根据缺陷认定标准对缺陷进行详细分类说明、披露缺陷的严重程度。

2.内部控制一般缺陷是否有必要披露。解释第1号指出，上市公司在内部控制评价报告中应该披露存在的重大缺陷和重要缺陷的数量，并对重大缺陷进行描述，说明其对控制目标的影响程度。但以2011年披露内部控制评价报告的896家公司为例，仅有33家公司披露公司存在内控缺陷，且绝大部分公司披露其存在的缺陷为一般缺陷，仅1家公司披露其存在重大缺陷，6家公司披露其存在重要缺陷。是上市公司不存在重大缺陷或重要缺陷还是上市公司“避重就轻”将重大缺陷和重要缺陷划分为一般缺陷？上市公司为什么主动披露一般缺陷？杨有红等（2011）认为，并不是所有的内部控制缺陷都必须对外披露，只有较大可能偏离目标且危害严重程度较严重的缺陷才有必要对外披露。因此，上市公司应该严格按照要求提供具有决策有用性的信息。

（本文系暨南大学管理学院重点学科建设育题基金项目的阶段性研究成果）

责任编辑 张璐怡