中国上市公司2014内部控制白皮书(摘要)
一、前言
截止2014年4月30日，沪、深交易所A股上市公司共有2516家。其中，2013年12月31日前上市的公司2468家;2014年1月1日至2014年4月30日上市的公司48家。需要说明的是，由于*ST国恒、ST成城、博汇纸业、岭南园林4家公司在本报告数据收集截止日(本报告的数据截止日选取2014年5月12日。)尚未披露年报，因此在样本选取时被剔除。故本报告的总样本量为2512家沪、深交易所A股上市公司(风帆股份内部控制审计报告于2014年5月16日披露，但也纳入研究范围，原因如下：3月6日，风帆股份披露的年度报告已包含了内部控制审计结论。)。
本报告数据来源于上市公司公开披露的年报、内部控制评价报告、内部控制审计报告等。所有原始数据均已录入DIB迪博内部控制与风险管理数据库中(www.ic-erm.com)。
二、内部控制评价报告
(一)2014年内部控制评价报告总体披露情况
2014年，共有2336家上市公司披露了内部控制评价报告，占所有样本公司的比例为92.99%;176家未披露内部控制评价报告，占比7.01%。
2014年，1415家主板上市公司中，披露了内部控制评价报告的上市公司1241家，占比87.70%。上市公司在年度内部控制评价报告中应当分别披露对财务报告内部控制有效性的评价结论，以及是否发现非财务报告内部控制重大缺陷。据此本报告将内部控制评价结论划分为五种类型：内部控制整体有效;财报内控有效、非财报内控无效;财报内控无效、非财报内控有效;内部控制整体无效;未出具结论。
2014年，2336家披露了内部控制评价报告的上市公司中，2311家公司的内部控制评价结论为整体有效，占比98.93%;25家公司内部控制评价结论为其他，占比1.07%。
(二)2014年内部控制评价缺陷的披露情况
2014年，2336家披露了内部控制评价报告的上市公司中，1789家公司披露了内部控制缺陷认定标准，占比76.58%;547家(如果上市公司在内部控制缺陷认定标准一节中仅披露内部控制缺陷的定义，本报告将此种情形认定为未披露内部控制缺陷认定标准。)未披露内部控制缺陷认定标准，占比23.42%。
值得注意的是，由于《规定》要求上市公司分别就财报内控、非财报内控以及定性、定量的缺陷认定标准进行披露，今年的缺陷认定标准披露质量较去年有了明显提升。在披露了缺陷认定标准的上市公司中，92.62%(1657家)的公司均披露了完整的财报内控缺陷定性及定量认定标准、非财报内控缺陷定性及定量认定标准。
2014年，2336家披露了内部控制评价报告的上市公司中，319家(*ST超日内部控制评价结论描述有非财报重大缺陷，但在报告中披露的是非财报重要缺陷，本文将此缺陷按照重要缺陷分类。)公司披露了内部控制缺陷，占比13.66%;2017家公司未披露内部控制缺陷，占比86.34%。
319家公司披露的2259项内部控制缺陷中，含具体缺陷内容的共计760项(部分上市公司在披露内部控制缺陷时未将缺陷按照重大、重要、一般进行分类，本文按照该公司缺陷认定标准、《企业内部控制基本规范》等规范对缺陷进行分类。)，涉及上市公司273家。在已披露的760项内部控制缺陷中，499项内部控制缺陷已开始整改，占比65.66%;其他261项未开始整改且无整改计划，占比34.34%。
499项已经开始整改的内部控制缺陷中，整改之后经再次评价已经有效的为280项，占比56.11%;未完成整改的22项，占比4.41%;未披露具体整改情况的197项，占比39.48%。
(三)2012-2014年内部控制评价情况对比
2012-2014年，上市公司内部控制评价报告披露比例呈逐年增长趋势：2012年，上市公司内部控制评价报告披露比例仅为78.80%;2013年，该比例增长至90.04%;2014年持续增长，内部控制评价报告披露比例达92.99%。
2012-2014年，随着企业内部控制规范体系的推进实施，上市公司内部控制评价结论呈现出差异化的趋势，“非整体有效”结论的比例稍有上升。2012-2014年，上市公司内部控制评价缺陷认定标准披露比例增长极快：2012年为9.47%，2013年增长至33.02%，2014年已高达76.58%。
三、内部控制审计报告
(一)2014年内部控制审计报告的总体披露情况
2014年，1802家上市公司披露了内部控制审计报告，占比71.74%;710家上市公司未披露内部控制审计报告，占比28.26%。其中，1415家主板上市公司中，披露了内部控制审计报告的为1089家;未披露内部控制审计报告的326家。
2014年，1802家披露了内部控制审计报告的上市公司中，1118家披露了规范的内部控制审计报告，占比62.04%;449家披露的为内部控制鉴证报告，占比24.92%;137家披露的为内部控制审核报告，占比7.60%;68家披露的为中小板内部控制审计报告，占比3.77%;26家披露的为内部控制专项报告，占比1.44%;还有4家披露的为其他类型内部控制审计报告，占比0.22%。
(二)2014年内部控制审计意见
披露了内部控制审计报告的1802家上市公司中，内部控制审计结论为标准无保留意见的上市公司1748家，占比97.00%;非标意见共54家，其中带强调事项段的无保留意见为39家，占比2.16%，保留意见为2家，占比0.11%，否定意见为12家，占比0.67%，无法表示意见为1家，占比0.06%。(三)2014年内部控制审计意见与财务报表审计意见比较
2014年，上市公司内部控制审计意见与财务报表审计意见对比发现，62家上市公司的两种审计意见不一致，占出具内部控制审计报告上市公司总量的3.44%。
(四)2014年内部控制整合审计情况
2014年，采用内部控制整合审计的上市公司为1766家，占比98.00%;采用单独审计的上市公司36家，占比2.00%。
(五)2014年内部控制审计费用
2014年，1802家披露内部控制审计报告的上市公司中，954家公司披露其支付了内部控制审计费用，占比52.94%;其中920家公司单独披露了内部控制审计费用的数额，34家未披露具体的内部控制审计费用数额。
2014年，单独披露内部控制审计费用的920家上市公司，其披露的内部控制审计费用总额共计437,935,870元，平均每家公司花费的内部控制审计费用为476,017元。根据每家上市公司内部控制审计费用占审计费用总额(审计费用总额为财务报告审计费用和内部控制审计费用之和。)的比例分析显示，内部控制审计费用占比的平均值为27.49%。其中，出具规范的内部控制审计报告的上市公司，其内部控制审计费用的均值较高，为486,208元，占审计费用总额的27.81%。 (六)2012-2014年内部控制审计情况对比
2012-2014年，上市公司内部控制审计报告的披露比例呈现逐年上升趋势：2012年，仅40.21%的上市公司披露了内部控制审计报告;2013年，该比例增至60.92%;2014年，内部控制审计报告的披露比例增至71.74%。
2012-2014年，随着企业内部控制规范体系的推进实施，上市公司内部控制审计意见呈现出差异化的趋势，非标审计意见所占比例稍有上升。
2012-2014年，上市公司内部控制审计费用的披露比例逐年上升：2012年，披露了内部控制审计报告的上市公司中，仅6.64%的公司披露了内部控制审计费用;2013年，该比例上升至48.54%;2014年，披露比例进一步上升至52.94%。
2012-2014年，上市公司内部控制审计费用在审计费用总额中占比的平均值波动不大：2012年，上市公司内部控制审计费用占比的平均值为25.22%;2013年，该比例增长至28.71%;2014年，内部控制审计费用占比的平均值又降至27.49%。
四、上市公司内部控制实施情况对比分析
(一)主板与中小板、创业板上市公司内部控制实施情况对比分析
1、主板上市公司的内部控制评价报告规范性比中小板、创业板上市公司更强尽管主板上市公司内部控制评价报告的披露比例没有中小板和创业板高，然而分析发现，主板上市公司内部控制评价报告披露的规范性远高于中小板与创业板。主板上市公司内部控制评价报告采用“规范的格式”的比例达89.4%，远高于中小板和创业板公司;且主板中96.6%的公司都披露了内部控制评价范围，也远高于中小板及创业板;主板中92.3%的公司披露了内部控制缺陷认定标准，也比中小板和创业板高。
2、主板上市公司的内部控制评价结论与中小板、创业板相比更具有差异性
主板上市公司内部控制评价结论不是整体有效的比例高于中小板和创业板。分析发现，这一数据并不表明主板上市公司的内部控制水平较弱，而是由于主板上市公司按照规范文件的要求实施企业内部控制，内部控制信息披露也更规范，因此其内部控制评价结论呈现出明显的差异性。
同时，主板上市公司中，披露内部控制重大缺陷和重要缺陷的比例为3.82%,高于中小板(2.37%)和创业板(2.11%)。这也是由于主板上市公司按照规定的格式披露了内部控制重大缺陷及重要缺陷的原因。
3、主板上市公司内部控制审计报告的规范性比中小板、创业板更高
主板上市公司内部控制审计报告的规范性远高于中小板和创业板上市公司。4、主板上市公司内部控制审计意见与中小板、创业板相比更具有差异性
主板上市公司内部控制审计意见为非标审计意见的比例高于中小板与创业板。这是由于主板上市公司按照规定实施企业内部控制规范体系并按规定的格式披露，而不是主板上市公司的内部控制水平低于中小板和创业板公司。
(二)境内外同时上市公司与非境内外同时上市公司的内部控制实施情况对比
2014年，境内外同时上市公司共有85家。自2011年1月1日起开始实施企业内部控制规范体系，截至目前，境内外同时上市公司实施内控工作已有三年时间。数据可见：
(1)境内外同时上市公司内部控制评价报告和审计报告的披露比例(境内外同时上市公司中皖通高速和南京熊猫在年报中披露已进行内部控制审计并披露报告，但在巨潮网、上交所的网站都没有找到该报告，本报告将这两家公司视为未披露内部控制审计报告。)均远高于非境内外同时上市公司;
(2)境内外同时上市公司内部控制评价报告和审计报告的规范性也远高于非境内外同时上市的公司;
(3)境内外同时上市公司的内部控制评价结论都是整体有效的，内部控制审计意见也均为标准无保留意见。(三)主板国有控股上市公司与主板非国有控股上市公司的内部控制实施情况对比
自2012年1月1日起开始实施企业内部控制规范体系，主板国有控股上市公司实施内控工作已两年时间。数据可见：
(1)主板国有控股上市公司内部控制评价报告和审计报告的披露比例远高于主板非国有控股上市公司;
(2)主板国有控股上市公司内部控制评价报告和审计报告的规范性也高于主板非国有控股上市公司;
(3)主板国有控股上市公司内部控制评价结论为非整体有效的占比为1.44%，略低于主板非国有控股上市公司;内部控制审计意见为非标审计意见的占比为4.62%，高于主板非国有控股上市公司。
(四)主板上市公司按实际控制人分类的内部控制规范性对比
1、主板上市公司按实际控制人分类的内部控制评价报告规范性对比
实际控制人为地方国有企业、中央国家机关和中央国有企业的上市公司内部控制评价报告规范性最强，实际控制人为个人的上市公司内部控制评价报告规范性最差。
2、主板上市公司按实际控制人分类的内部控制审计报告规范性对比
实际控制人为地方国有企业、中央国家机关和国资委的上市公司内部控制审计报告规范性最强;实际控制人为个人、集体企业、职工持股会(工会)的上市公司内部控制审计报告披露比例最低。
五、存在的问题与政策建议
(一)存在的问题
1、内部控制信息披露格式不规范
2014年，尽管监管机构对上市公司内部控制信息披露提出了新的要求，但仍有24.57%的上市公司沿用《关于印发企业内部控制规范体系实施中相关问题解释第1号的通知》(财会[2012]3号)等其他格式。由于采用不同的披露格式，导致企业内部控制评价信息的可比性较差，也给投资者、监管机构、研究者等报告使用人带来阻碍。同时，在内部控制审计方面，上市公司披露的内部控制审计报告类型也各不统一，包括规范的内控审计报告、中小板内控审计报告、内控鉴证报告、内控专项报告、内控审核报告以及其他报告形式。由于不同类型报告的审计依据和保证程度都存在差异，一些审计报告类型不仅无法为企业内部控制提供合理保证，反而浪费企业资源，误导投资者。
2、内部控制信息披露的完整性和及时性有待加强
2014年，上市公司内部控制信息披露的完整性和及时性还存在问题：
(1)内部控制评价报告和审计报告披露不完整或不及时。虽然目前上市公司内部控制评价报告和审计报告的披露数量均在逐年增加，但仍有部分上市公司未披露或未及时披露内部控制评价报告和内部控制审计报告;(2)内部控制缺陷信息披露不完善。《规定》要求上市公司披露缺陷认定的具体标准及其变化情况，披露报告期内部控制重大缺陷和重要缺陷的认定结果及缺陷的性质、影响、整改情况、整改计划等内容。但仍有部分上市公司披露的内部控制缺陷信息含量不足、可用性差，或泛泛而谈并未触及实质的缺陷内容;或披露了缺陷的具体内容，但对缺陷等级避而不谈，未对重大、重要、一般缺陷进行区分;此外，还有不少公司在披露缺陷时，仅侧重于缺陷事件本身的披露，缺乏对缺陷产生原因、对控制目标的影响、缺陷整改计划及整改情况等信息的披露;
(3)内部控制审计费用相关信息披露较少。内部控制审计费用是衡量上市公司内部控制实施成本效益的一项重要参考指标。2014年仅52.94%的公司披露了内部控制审计费用，51.05%的公司单独披露了内部控制审计费用的具体金额，不利于监管机构、投资者、研究者客观、全面地衡量上市公司内部控制实施的成本效益;
(4)内部控制咨询机构信息披露较少。2014年，仅6.41%的公司披露其聘请了内部控制咨询机构，其中仅2.27%的公司披露了具体的内部控制咨询机构名称。导致内部控制咨询机构信息披露较少的主要原因是《规定》中没有要求上市公司披露其内部控制咨询机构聘请情况。然而，以往研究发现，部分上市公司聘请的内部控制咨询机构与内部控制审计机构之间存在着关联关系，可能影响内部控制审计机构的独立性。因此，若上市公司内部控制咨询机构的相关信息披露较少，将会导致监管机构、投资者以及其他外部相关人员无法判断内部控制审计机构的独立性。3、内部控制信息披露的准确性和严谨性不足
2014年，上市公司内部控制信息披露的准确性和严谨性不足主要表现在：
(1)内部控制缺陷等级分类不严谨，存在大事化了、小事化无的现象。如部分上市公司存在被监管机构处罚等重大事项，按照《企业内部控制基本规范》及配套指引的相关规定，此类缺陷应属于重大缺陷，但上市公司却将其归为重要或者一般缺陷;
(2)内部控制评价结论与审计意见存在显著差异。如果注册会计师对公司内部控制出具否定意见，则意味着公司内部控制存在重大缺陷，这种情况下，公司的内部控制评价报告也应该出具否定意见的内部控制评价结论。若两者出现不一致，则说明上市公司内部控制评价工作不够严谨;
(3)内部控制审计意见与财务报表审计意见存在不一致。内部控制审计意见与财务报表审计意见之间存在着关联的关系，如果出现两者不一致的情形，则说明公司存在着一定的问题。
此外，部分上市公司内部控制缺陷相关信息披露不准确。如*ST超日，其评价结论中描述自身存在非财报重大缺陷，但披露具体内容时却成了重要缺陷，存在明显的错误，可能会给报告使用人造成误导或迷惑。部分上市公司内部控制审计报告存在缺失现象。如多家公司在年报中说明内部控制审计报告已披露或已在中国注册会计师协会备案，但是通过各种渠道仍未找到其内部控制审计报告。4、内部控制缺陷整改情况须进一步完善
2014年，上市公司披露了具体内容的缺陷中，34.34%的缺陷未开始整改，且无整改计划。同时，在已整改的缺陷中，4.11%的缺陷未完成整改，39.48%的缺陷未披露具体的整改情况。
5、中小板、创业板内部控制规范建设有待加强
与主板上市公司相比，中小板、创业板上市公司内部控制规范建设还比较薄弱，内部控制信息披露的规范性、完整性和有效性还有待加强。统计发现，中小板、创业板上市公司发生违规事件的比率高达6.75%，比主板上市公司高出近1倍。可见该类公司在公司治理、规范化管理等方面还存在不少问题。此外，中小板、创业板上市公司内部控制评价报告、审计报告的规范性远低于主板公司，内部控制评价结论、审计意见的出具以及重大、重要缺陷的披露也都有待提升。
(二)政策建议
与2012年相比，2013年上市公司内部控制体系建设取得了一定进步，内部控制评价报告、内部控制审计报告的披露数量和披露比例都在不断增加;内部控制信息披露质量也在不断提升。然而，在取得这些进步的同时，上市公司在内部控制信息披露以及内部控制体系建设中依然面临着不少挑战。为此，本报告提出以下几项政策建议，以促进上市公司进一步提升内部控制水平，提高风险防范能力。1、严格执行规范的内部控制信息披露格式，提高内部控制信息披露的质量
证监会与财政部联合发布的《规定》统一了上市公司内部控制信息披露的内容与格式。但是，仍有24.57%的上市公司未按照规范格式执行，造成信息披露格式的混乱。建议监管机构加强执行力度，确保各上市公司进一步提高信息披露的质量。
同时，鉴于会计师事务所在审计上市公司内部控制的有效性时遵循的标准多样化，导致信息披露格式混乱，无法为报告使用者提供合理参考。因此，建议监管机构进一步研究修订内部控制审计报告内容与格式的可行性，规范内部控制审计报告披露格式，提高内部控制审计报告信息的有效性。
2、加强内部控制法制建设，强化上市公司内部控制监管力度
目前，美国、日本、韩国等国家都已将内部控制建设上升到了法律的高度，而我国的内部控制法制建设还处于部门规章层面，并未上升至法律法规层面。因此，为确保内部控制能够得以有效执行，内部控制信息披露能够真实准确，投资者的利益能够得到切实维护，建议监管机构进一步加强内部控制法制建设，并借鉴美国的《萨班斯法案》，强化对隐瞒内部控制缺陷、虚假披露内部控制有效性以及发生内部控制信息披露违规的相关管理人员的监管和处罚力度。
3、逐步在中小板、创业板上市公司实施内部控制规范体系，提升其内部控制整体水平目前，中小板、创业板上市公司尚未按照《企业内部控制基本规范》和配套指引执行企业内部控制规范体系。从本报告整理的数据来看，尽管中小板、创业板披露内部控制评价报告和内部控制审计报告的上市公司数量较多，但其报告所包含的信息质量普遍不高。因此，建议逐步在中小板、创业板上市公司执行企业内部控制规范体系，提升中小板、创业板上市公司内部控制信息披露质量，提高公司经营的合规性。
4、完善内部控制缺陷信息披露，加强内部控制缺陷整改的监管
内部控制缺陷是衡量上市公司内部控制有效性的负向指标。内部控制缺陷的模糊披露将不利于投资者、监管机构等报告使用人判定上市公司的内部控制有效性，从而影响其作出合理的投资或监管决策。因此，建议上市公司严格按照内部控制评价报告内容与格式要求，客观全面地做好内控评价信息披露工作，充分如实地披露内部控制缺陷信息，切实提高企业内控缺陷的披露质量，为报告使用者提供更多有效的内控信息。
同时，内部控制缺陷的整改情况是一项重要的信息，但上市公司关于缺陷整改情况的描述不完善，因此，建议监管机构加强对内部控制缺陷整改的监管，督促上市公司整改缺陷，从而提升内部控制水平。
5、加强关于内部控制咨询机构的信息披露，确保内部控制审计机构的独立性鉴于内部控制咨询机构与内部控制审计机构之间可能存在关联性，从而影响内部控制审计机构的独立性。因此，建议监管机构在《规定》中加入对上市公司聘请内部控制咨询机构信息的披露要求，并在报告中披露内部控制咨询机构与内部控制审计机构之间是否存在关联关系。
6、加强关于内部控制审计费用的信息披露，提高内部控制信息披露的全面性
上市公司内部控制审计费用信息披露较少，将不利于监管机构、投资者以及企业自身判定上市公司在内部控制体系建设过程支出的成本。因此，建议监管机构在《规定》中加入对上市公司内部控制审计费用披露的相关要求，不断完善内部控制信息披露的全面性和有效性。
