谈谈内部控制信息的披露
来源： 李秀强
2004-06-14
普通
一、内部控制报告应由谁提供
在我国目前资本市场还不够成熟的情况下，投资者不仅需要了解经注册会计师审计的几张传统会计报表，还需了解投资公司更多的信息，特别是以内部控制报告为载体的公司内部控制的信息。这是由内部控制和会计报表的关系决定的，因为会计报表披露的信息是否真实、正确决定于内部控制的有无和强弱。目前对内部控制报告应由谁提供有两种观点：一种观点认为应由注册会计师在提供会计报表审计报告的同时提供内部控制评估报告；另有人认为应由企业管理当局对外披露内部控制报告。笔者认为，内部控制报告应由企业管理当局提供。
第一，会计师事务所对上市公司会计报表进行审计，他们所关心的仅仅是与会计报表项目有关的控制，或者说仅仅关心公司内部会计控制，不太关心公司内部管理控制。就目前会计报表审计而言，注册会计师尽管关心公司内部会计控制，但他们也仅为对会计报表项目进行实质性测试做好准备，没有出具公司内部控制的评审报告。再者，由于审计成本、审计时间等多方面限制，注册会计师不可能在对公司的全部内部控制进行评审后，再出具公司内部控制的评审报告。
第二，内部控制评审报告如果由注册会计师出具，从某种意义上讲，也不符合内部控制原理。注册会计师在对会计报表审计的全过程中，他们仅仅把对内部控制的了解、调查、评价作为一种手段，一种方法来运用，其目的在于确定会计报表实质性测试审查的重点、范围和方法，如果注册会计师在出具会计报表审计报告的同时，再出具内部控制评审报告，就存在着违反职责分离的内部控制原则，即违反处理某一事项不能由某一单位或某一人从始至终包办到底的原则。因此，公司内部控制评审报告，应由会计师事务所以外的组织出具，可将该报告与会计报表审计报告同时向社会公布。
第三，投资者和潜在投资者在阅读经注册会计师审计后的会计报表时，非常关心会计报表中有关指标，尤其注意每股收益。而每股收益是否真实、正确，仅与内部会计控制有关。每股收益的多少，如何提高每股收益水平，则不仅是内部会计控制的问题，而是有关公司整个内部控制的问题。就目前情况看，这些问题是注册会计师所不能解决的。要解决这个问题，只有靠上市公司自己健全、完善和有效执行内部控制，每股收益水平才会满足投资者要求。因此，注册会计师对公司的内部控制，仅能对会计控制进行调查、了解，而对管理控制进行调查了解，则存在一定困难。而解决这个问题的最好方法是由上市公司的内部审计机构对其公司整个内部控制进行评价，并出具内部控制评审报告。
二、内部控制报告应披露的内容
上市公司的管理当局在对其内部控制进行自我评价后，则可出具报告，向投资者宣布其内部控制不存在重大缺陷或除某些方面外，不存在重大缺陷。内部控制报告应包括：
1、表明管理当局对内部控制的责任。管理当局应在内部控制报告中明确声明建立、健全、实施和维护企业的内部控制制度是管理当局的责任，内部控制的目标在于合理保证财务报告的可靠性、经营的效果和效率，符合适用的法律、法规。
2、企业已经确定内部控制的设计和实施是否有效的标准，并按照标准设计并颁布实施内部控制制度。如宣布“本公司已根据《内部控制基本规范》规定的原则、标准，制定并颁布实施内部控制制度”。内部控制可分为会计控制和管理控制，前者的目的是保护企业资产，检查会计数据的准确性和可靠性，后者的目的是提高经营效率，促使有关人员遵守既定的管理方针。我国目前只制定了内部会计控制规范。但是，由于内部会计控制和内部管理控制很难绝对地划清界限，所以，内部控制报告的范围不能仅仅局限于内部会计控制，还应包括内部管理控制。因此，在内部控制报告中不仅应指出建立内部会计控制制度，还应包括有无有效的内部管理控制制度，但这应建立在成本效益和重要性原则之上。
3、声明本公司已按有关标准、程序对本企业的内部控制的设计和执行的有效性进行了评估，发现无重大缺陷。如果发现重大缺陷，应指出该缺陷。
4、声明公司内部控制有效，不会发生对公司财务报告的可靠性和对公司财产的安全、完整有重大不利影响的情况。如发现某些缺陷，应指出这些缺陷，并声明，相信除上述情况外，公司内部控制有效。
5、承认内部控制具有固有限制。存在由于错误或舞弊而导致错报发生和未被发现的可能性，因此，只能对财务报告的编制及企业资产的安全和完整提供合理保证。并且，随着环境和情况的变化内部控制制度的有效性可能发生变化，对内部控制制度的遵循程度可能会降低。根据内部控制制度评价结果推测未来内部控制有效性具有一定风险。
6、管理层签名，包括董事长、总经理、财务总监等，以表示对内部控制和控制报告负责。
三、内部控制报告的作用
1、内部控制报告可以提高管理当局内部控制的意识，从而重视企业内部控制。内部控制报告必须由总经理和财务总监签名。总经理签名将提高其对财务报告和内部控制的责任感，类似地，财务总监的签名将强调他们对财务报告的作用和责任。
2、内部控制报告表明了企业高级管理人员对内部控制的义务，从而传递出企业控制环境的信号。控制环境是内部控制的一项重要要素，对财务报告的可靠性有着极其重大影响。是否提供内部控制报告在一定程度上反映了管理当局对内部控制的重视程度，也反映了其管理哲学。
3、内部控制报告是管理当局解脱受托责任的一种方式。内部控制报告的目的在于表明企业的内部控制是否有效。资源提供者将资源提供给企业，交由经理人员进行经营管理。管理当局必须尽心尽责地完成受托责任，保护资产安全完整，并向资源提供者提供财务报告以反映受托责任的履行情况。管理当局应对内部控制负责，如果企业没有健全的内部控制制度或内部控制制度失败，导致财务报告虚假而对投资者形成误导，将承担责任。因此，建立完善的内部控制制度并保证其有效执行，是管理当局的责任。通过对内部控制制度的评估并将结果报告给投资者，实际上是向投资者表明已经履行管理职责。
4、内部控制报告可以向外部使用者提供单纯的财务报告所不能提供的信息，从而帮助用户作出决策。通过内部控制报告，用户可在一定程度上了解企业管理控制是否有效。如果企业有着良好的控制制度，则企业的经营有序而有效，能够防范经营活动中的风险。巴林银行就是因缺乏有效的内部控制制度而因一个交易员的失误倒闭。
5、可以提高企业财务报告的可靠性，在一定程度上减少舞弊的发生。一方面，在内部控制报告中，管理当局应对内部控制的设计和执行是否有效作出评价，并表明其对财务报告和资产的安全完整无重大不利影响，这实际上表明了管理当局的一种合理保证，因此，可在一定程度上减少舞弊的可能性。另一方面，通过自我评估，可发现企业内部控制中存在的问题，因此可改善企业的内部控制。
在我国目前资本市场还不够成熟的情况下，投资者不仅需要了解经注册会计师审计的几张传统会计报表，还需了解投资公司更多的信息，特别是以内部控制报告为载体的公司内部控制的信息。这是由内部控制和会计报表的关系决定的，因为会计报表披露的信息是否真实、正确决定于内部控制的有无和强弱。目前对内部控制报告应由谁提供有两种观点：一种观点认为应由注册会计师在提供会计报表审计报告的同时提供内部控制评估报告；另有人认为应由企业管理当局对外披露内部控制报告。笔者认为，内部控制报告应由企业管理当局提供。
第一，会计师事务所对上市公司会计报表进行审计，他们所关心的仅仅是与会计报表项目有关的控制，或者说仅仅关心公司内部会计控制，不太关心公司内部管理控制。就目前会计报表审计而言，注册会计师尽管关心公司内部会计控制，但他们也仅为对会计报表项目进行实质性测试做好准备，没有出具公司内部控制的评审报告。再者，由于审计成本、审计时间等多方面限制，注册会计师不可能在对公司的全部内部控制进行评审后，再出具公司内部控制的评审报告。
第二，内部控制评审报告如果由注册会计师出具，从某种意义上讲，也不符合内部控制原理。注册会计师在对会计报表审计的全过程中，他们仅仅把对内部控制的了解、调查、评价作为一种手段，一种方法来运用，其目的在于确定会计报表实质性测试审查的重点、范围和方法，如果注册会计师在出具会计报表审计报告的同时，再出具内部控制评审报告，就存在着违反职责分离的内部控制原则，即违反处理某一事项不能由某一单位或某一人从始至终包办到底的原则。因此，公司内部控制评审报告，应由会计师事务所以外的组织出具，可将该报告与会计报表审计报告同时向社会公布。
第三，投资者和潜在投资者在阅读经注册会计师审计后的会计报表时，非常关心会计报表中有关指标，尤其注意每股收益。而每股收益是否真实、正确，仅与内部会计控制有关。每股收益的多少，如何提高每股收益水平，则不仅是内部会计控制的问题，而是有关公司整个内部控制的问题。就目前情况看，这些问题是注册会计师所不能解决的。要解决这个问题，只有靠上市公司自己健全、完善和有效执行内部控制，每股收益水平才会满足投资者要求。因此，注册会计师对公司的内部控制，仅能对会计控制进行调查、了解，而对管理控制进行调查了解，则存在一定困难。而解决这个问题的最好方法是由上市公司的内部审计机构对其公司整个内部控制进行评价，并出具内部控制评审报告。
二、内部控制报告应披露的内容
上市公司的管理当局在对其内部控制进行自我评价后，则可出具报告，向投资者宣布其内部控制不存在重大缺陷或除某些方面外，不存在重大缺陷。内部控制报告应包括：
1、表明管理当局对内部控制的责任。管理当局应在内部控制报告中明确声明建立、健全、实施和维护企业的内部控制制度是管理当局的责任，内部控制的目标在于合理保证财务报告的可靠性、经营的效果和效率，符合适用的法律、法规。
2、企业已经确定内部控制的设计和实施是否有效的标准，并按照标准设计并颁布实施内部控制制度。如宣布“本公司已根据《内部控制基本规范》规定的原则、标准，制定并颁布实施内部控制制度”。内部控制可分为会计控制和管理控制，前者的目的是保护企业资产，检查会计数据的准确性和可靠性，后者的目的是提高经营效率，促使有关人员遵守既定的管理方针。我国目前只制定了内部会计控制规范。但是，由于内部会计控制和内部管理控制很难绝对地划清界限，所以，内部控制报告的范围不能仅仅局限于内部会计控制，还应包括内部管理控制。因此，在内部控制报告中不仅应指出建立内部会计控制制度，还应包括有无有效的内部管理控制制度，但这应建立在成本效益和重要性原则之上。
3、声明本公司已按有关标准、程序对本企业的内部控制的设计和执行的有效性进行了评估，发现无重大缺陷。如果发现重大缺陷，应指出该缺陷。
4、声明公司内部控制有效，不会发生对公司财务报告的可靠性和对公司财产的安全、完整有重大不利影响的情况。如发现某些缺陷，应指出这些缺陷，并声明，相信除上述情况外，公司内部控制有效。
5、承认内部控制具有固有限制。存在由于错误或舞弊而导致错报发生和未被发现的可能性，因此，只能对财务报告的编制及企业资产的安全和完整提供合理保证。并且，随着环境和情况的变化内部控制制度的有效性可能发生变化，对内部控制制度的遵循程度可能会降低。根据内部控制制度评价结果推测未来内部控制有效性具有一定风险。
6、管理层签名，包括董事长、总经理、财务总监等，以表示对内部控制和控制报告负责。
三、内部控制报告的作用
1、内部控制报告可以提高管理当局内部控制的意识，从而重视企业内部控制。内部控制报告必须由总经理和财务总监签名。总经理签名将提高其对财务报告和内部控制的责任感，类似地，财务总监的签名将强调他们对财务报告的作用和责任。
2、内部控制报告表明了企业高级管理人员对内部控制的义务，从而传递出企业控制环境的信号。控制环境是内部控制的一项重要要素，对财务报告的可靠性有着极其重大影响。是否提供内部控制报告在一定程度上反映了管理当局对内部控制的重视程度，也反映了其管理哲学。
3、内部控制报告是管理当局解脱受托责任的一种方式。内部控制报告的目的在于表明企业的内部控制是否有效。资源提供者将资源提供给企业，交由经理人员进行经营管理。管理当局必须尽心尽责地完成受托责任，保护资产安全完整，并向资源提供者提供财务报告以反映受托责任的履行情况。管理当局应对内部控制负责，如果企业没有健全的内部控制制度或内部控制制度失败，导致财务报告虚假而对投资者形成误导，将承担责任。因此，建立完善的内部控制制度并保证其有效执行，是管理当局的责任。通过对内部控制制度的评估并将结果报告给投资者，实际上是向投资者表明已经履行管理职责。
4、内部控制报告可以向外部使用者提供单纯的财务报告所不能提供的信息，从而帮助用户作出决策。通过内部控制报告，用户可在一定程度上了解企业管理控制是否有效。如果企业有着良好的控制制度，则企业的经营有序而有效，能够防范经营活动中的风险。巴林银行就是因缺乏有效的内部控制制度而因一个交易员的失误倒闭。
5、可以提高企业财务报告的可靠性，在一定程度上减少舞弊的发生。一方面，在内部控制报告中，管理当局应对内部控制的设计和执行是否有效作出评价，并表明其对财务报告和资产的安全完整无重大不利影响，这实际上表明了管理当局的一种合理保证，因此，可在一定程度上减少舞弊的可能性。另一方面，通过自我评估，可发现企业内部控制中存在的问题，因此可改善企业的内部控制。
