在全球经济日趋一体化的今天，上市公司面对的经营环境更加复杂，金融危机的爆发更进一步提高了公司对内部控制的认识。我国于2008年6月发布的《企业内部控制基本规范》（以下简称基本规范）对上市公司的内部控制提出了新的要求，将有力地推动上市公司内部控制的完善。笔者近期对我国1267家上市公司的内部控制进行了调查，本文拟结合此次调查，分析我国上市公司内部控制的现状，以期为上市公司实施基本规范和监管机构加强监管提供参考性建议。

上市公司内部控制现状分析

笔者利用上海证券交易所和深圳证券交易所的网络平台，对全部A股上市公司做了问卷调查，最终回收问卷1267份且全部为有效问卷。其中上交所711份、深交所中小板126份、深交所主板430份。从性质上看，国有控股的上市公司754家，占60%；民营上市公司397家，占31%；其他类型的上市公司116家，占9%。此次调查主要从上市公司对内部控制的认识、重视程度、内部控制中存在的不足、建立健全内部控制中遇到的主要问题和原因等方面进行了解。

1.上市公司对内部控制的认识。调查结果显示，大多数上市公司对内部控制的认识比较全面，没有局限于以前的三要素或简单的会计控制。92%的上市公司认同内部环境、风险评估、控制活动、信息与沟通和内部监督五要素的定义。这为基本规范和相关应用指引的实施奠定了良好的基础。但在相关应用指引（征求意见稿）发布近半年后，尚有101家上市公司（8%）对内部控制的理解仍局限于内部牵制、会计控制或三要素控制的阶段。

2.上市公司对内部控制的重视程度。调查结果显示，上市公司对内部控制普遍比较重视，认同其在防范风险中的重要作用。80%的上市公司选择完善公司治理、加强内部控制来应对金融危机。对于即将在上市公司率先施行的基本规范，大多数公司都已做了一定的准备，如有半数以上的公司组织学习了基本规范（63%），分析了公司现有制度和基本规范的差距（58%），仅有4%的公司没有做任何准备。

3.目前上市公司内部控制中存在的不足。

（1）风险意识较弱。调查结果显示，86%的上市公司对自身的内部控制水平表示满意，79%的上市公司认为“因内部控制失效导致的经营失败不会发生在本公司”，但95%的上市公司认为“因内部控制失效导致的经营失败会发生在其他公司”。这种对自身内部控制水平的“高估”和对其他公司内部控制水平的“低估”，充分反映了上市公司对内部控制的认识存在偏差。

（2）风险评估机制缺失。调查结果显示，实施风险信息收集、风险分析和风险应对等完整的风险评估过程的上市公司仅为25%，这意味着有75%的公司没有进行过完整的风险评估，其中11%的公司完全没有进行过风险评估。

（3）内部控制自我评价待加强。上交所鼓励上市公司在2007年年报中披露内部控制自我评价报告，深交所则强制要求主板上市公司披露内部控制自我评价报告，因此内部控制自我评价在上市公司已逐步推广。调查结果显示，75%的上市公司已开展过内部控制自我评价。但《中国上市公司2008年内部控制白皮书》和对沪、深交易所上市公司2007年内部控制自我评价报告的相关研究成果表明，上市公司内部控制自我评价尚存在评价结论过于乐观、披露的信息形式化、评价标准不统一等不足。

4.上市公司建立健全内部控制过程中遇到的主要问题及原因。

（1）内部控制执行效果没有达到预期（59%）。主要原因包括三方面：一是信息系统对内部控制的支持不够，未能与内部控制的要求相结合。虽然上市公司已有的信息系统如财务系统、OA系统和ERP系统等能实现一定程度的内部控制功能，但都比较分散，没有系统地与内部控制工作结合起来，不能提供企业内部控制的全貌。而且由于风险管理理念在我国企业普及的时间并不长，故上市公司的信息系统普遍缺乏风险评估功能，因此大部分上市公司已有的信息系统不能为梳理流程、控制风险和开展内部控制自我评价等内部控制工作提供支持。二是相关法规未能提供具有操作性的框架或模型，不利于企业实施。由于基本规范仅对内部控制的框架进行了相关要求，而且新的内部控制理念与原有的侧重于财务控制的内部控制体系存在较多差异，因而大多数企业管理人员还不能将新的内部控制理念和概念与企业的日常经营管理行为和语言之间建立直接的联系。这一问题在相关内部控制应用指引出台后有望解决。三是缺乏实施内部控制的专业技术人才。由于内部控制在近些年才逐渐受到重视，而人才的培养需要较长时间，所以难免出现人才紧缺的问题。在这种情况下，借用外部中介机构的专业知识可以起到很好的作用。中介机构既可以帮助企业完善内部控制体系，又可以通过专业培训和在项目实施过程中传递知识，帮助企业培养内部控制方面的人才。

（2）缺乏内部控制信息系统（48%）。调查结果显示，48%的上市公司缺乏与内部控制相关的信息系统，但96%的上市公司认为“在建立内部控制体系、进行内部控制评价时，有必要借助内部控制信息系统”，并且基本规范第七条也指出“企业应当运用信息技术加强内部控制，建立与经营管理相适应的信息系统，促进内部控制流程与信息系统的有机结合，实现对业务和事项的自动控制，减少或消除人为操纵因素”。内部控制信息系统缺乏的原因之一是由于我国内部控制信息系统的开发滞后于内部控制理念和相关规定的发展，既能帮助企业满足法规要求，又能提升内部控制效果的信息系统非常少；之二是由于上市公司一般都有财务、ERP、OA等信息系统，而安装内部控制信息系统会增加巨额实施成本，并且面临与已有信息系统的兼容等问题。

（3）内控制度执行不力（26%）。调查结果显示，执行不力的主要原因是：缺乏硬性的监督检查机制要求，没有与考核机制相关联（34%）；员工素质参差不齐（27%）和未能将内部控制的要求与日常运营工作相结合（22%）。另外，认为“管理层对内部控制重视不够，未能有力支持和倡导”的上市公司也占到了10%。虽然基本规范第十二条指出董事会负责内部控制的建立健全和有效实施，监事会对董事会建立与实施内部控制进行监督，经理层负责组织领导企业内部控制的日常运行，但基本规范没有责任追究的相关条款，使得该条款的威慑力不够。

关于上市公司内部控制的建议

调查结果显示，上市公司普遍希望监管机构对负责内部控制的高级管理人员进行相关培训（91%）和早日出台可操作性强的具体应用指引（90%），大多数公司也希望监管机构能组织调研（62%）和加强宣传（61%）。因此，笔者对上市公司内部控制建设和监管提出以下建议。

（一）关于上市公司内部控制建设的建议

1.加强对内部控制的宣传和培训力度。内部控制的建设离不开全员的参与，上市公司有必要组织全体员工学习基本规范和相关应用指引的各项要求，全面把握内部控制的基本理念和核心内容，提高风险意识，加快内部控制方面的人才培养。

2.积极采用合适的内部控制信息系统，为内部控制建设和内部控制自我评价提供必要的辅助工具。企业尤其是上市公司进行内部控制建设和自我评价需要耗费大量的人力和物力，而自动化的信息系统可以帮助企业及时获得信息，进行高效的沟通；通过各种风险管控模型量化与评估风险，获得整个企业的风险视图；记录风险管理过程中的大量文档与数据，进行集中控制与自动监控预警，帮助企业更快更好地把握市场机会。

3.建立对内部控制实施情况的考核机制。制度的核心在于执行。内部控制考核机制的缺失可能使内部控制流于形式，只有将内部控制落实到每个员工的日常工作，建立明确的职责分工和奖惩严明的考核机制，才能保障内部控制的有效实施。

（二）关于上市公司内部控制监管的建议

1.尽快出台操作性强的内部控制应用指引和评价指引。五部委发布的基本规范和沪、深证券交易所发布的《上市公司内部控制制度指引》仅对内部控制框架做出规定，原则导向较强，操作性较弱，大部分上市公司在落实基本规范的要求时存在难度，因此，有必要尽快出台操作性强的内部控制应用指引和评价指引，以指导上市公司内部控制的建设。同时，监管机构也有必要加大对基本规范和相关指引的宣传力度，并对企业内部控制负责人进行培训，使其掌握基本规范的实质，提高对加强内部控制建设重要性的认识，增强做好内部控制工作的责任感和紧迫感。

2.建立对上市公司内部控制的监督检查机制。由于基本规范中没有责任追究条款，监管机构有必要在相关规定中进一步明确董事会和管理层建立健全内部控制的责任，并制定对上市公司内部控制的监督检查机制，通过现场和非现场方式进行内部控制检查，将上市公司的内部控制体系建设情况记入上市公司及其高级管理人员的诚信记录数据库，而且对违反内部控制相关规定的上市公司限期整改，并在再融资和股权激励方面重点关注。

3.积极引导内部控制信息系统的开发和使用。监管机构应加强宣传和政策扶持，积极引导企业内部控制信息系统的开发和使用，这有利于促进我国内部控制信息系统的发展，提高上市公司对内部控制信息化的重视，减少内部控制中的人为因素，全面提升内部控制水平。

责任编辑 陈利花