上市公司将引入内控体系中小板创业板择机施行&企业内控试验报告

　　4月26日，财政部、证监会、审计署、银监会、保监会联合发布，自2011年1月1日起，企业内控规范体系首先在境内外同时上市的公司施行，2012年1月1日起扩大到在上海证券交易所、深圳证券交易所主板上市的公司施行。

　　五部委表示，在此基础上，择机在中小板和创业板上市公司施行；同时，鼓励非上市大中型企业提前执行。

　　《企业内部控制基本规范》被称为中国的“萨班斯法案”(即美国公众公司会计改革与投资者保护法案)，2008年6月28日，由五部委联合发布，目的在于加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，促进企业可持续发展。当时规定，基本规范自2009年7月1日起先在上市公司范围内施行，但后被搁置。

　　昨日，五部委还联合发布了《企业内部控制配套指引》。该配套指引包括18项《企业内部控制应用指引》等。

　　财政部副部长王军表示，企业内部控制配套指引的制定发布，标志着“以防范风险和控制舞弊为中心、以控制标准和评价标准为主体，结构合理、层次分明、衔接有序、方法科学、体系完备”的企业内部控制规范体系建设目标基本建成。

　　德勤企业风险管理服务华北区主管合伙人赵善强昨日表示，基本规范出台之初，当时就有配套指引草稿出来征求意见，针对目前情况这套指引是完备的。

　　德勤在2008年到2010年连续三年对国内公司的内部控制实施状况进行了调查并发布报告。

　　针对主板上市公司是否会感到压力，赵善强表示，实际上，不少上市公司去年年报披露已经建立内控体系，所以这个时间表应该会加速整体的施行。

　　从2008年6月《企业内部控制基本规范》(以下简称《规范》)的高调亮相，到2009年7月的延期实施，再到2010年1月1日这个坊间盛传的最终时限，企业和CFO们并没有看到内控制度的正式来临。但是，国内部分企业却自发“先干了这件将来必须要干的事”。

　　如果以部分企业自主先行的内控试验，来比较仍在研究之中的内控制度，最终会有哪些反馈呢？为此，本刊记者走访了一直研究企业内控实践的德勤企业风险管理合伙人谢安、高级经理况成功。

　　实施暴露三大问题

　　从2009年7月部分公司施行以来，《规范》在制定和执行中存在的各种不足也陆续地暴露出来。德勤依据既有的经验，将问题大致分为三种类型：

　　1内部控制关注领域失衡。公司内控通常分为公司治理和具体流程两个层面，一个是宏观的，一个是具体的。大多数企业在运作中更注重流程上的具体业务，而忽视了公司治理层面存在的问题。而公司治理层面恰恰是企业内控建设的基石，它通常包括控制环境的营造、风险评估和监督的有效性，以及信息沟通的充分性，这些都是企业迫切需要加强的。

　　2内控的尺度缺乏明确界定。企业的内控究竟做到什么程度才是合适的，什么样的内控是有效的，在这一问题上，缺乏一个清晰的判断尺度，往往令企业颇为困惑。

　　3无法持续执行。很多企业在运作前期不惜重金聘请了咨询机构，帮忙建立了一套内控体系。但是在后续的执行过程中，这个体系并没有按照原来预定的方式推进和执行，在内控体系的贯彻上缺乏连续性。

　　“有些问题出现的根本原因还是在于对内控的认识问题，即如何看待内控的内涵、作用和效果。企业甚至监管方本身，往往只是关注于合规要求这些表面的形式，而忽略了内控的实质内容和作用，”谢安表示。当然，不容忽视的一点是，《规范》出台的相关背景和美国的萨班斯法案大不相同。美国是在接连曝出安然、世通等公司丑闻后才开始强力推行萨班斯法案的，而中国则是在经济形势整体向好的背景下出台的，企业居安思危意识的培养尚需一定的时间和努力。

　　自愿还是强制

　　依照《规范》的要求，基础良好的上市公司应该最先适用相关规定，其他非上市的大中型企业甚至小企业则被鼓励遵照执行，政策的推广范围呈逐步扩大的趋势。况成功表示，作为对《规范》实施的补充和指导，国内有关部门正在酝酿在上市公司中划分类别，分批次操作和运行。“比如那些在海内外同步上市的比较优质的上市公司，可以考虑率先实施内控规范，其他普通的A股公司随后施行，这种进展节奏跟美国刚开始推行萨班斯法案是一样的”。

　　那么，按照《规范》的要求，应该率先运作的企业表现得如何呢？德勤在2009年选择了部分上市公司，针对“企业自评估”行为的实施状况，做了一次问卷调查。结果显示，大多数上市公司能够依据上交所和深交所提出的相应要求完成自我评价，已经部分地执行了《规范》的相关要求。“但是与基本规范的要求还有差距”，谢安表示。由于调查只涉及了部分上市公司，考虑到其他上市公司和规模庞大的非上市公司的实际状况，差距还可能更大。毫无疑问，“还有更多的公司需要做更多的工作”。

　　如何督促更多的企业完成“自评估”行为？监管方在寻求解决办法的时候，恐怕还要更多地考虑到规范定性的问题：这是企业的规定动作还是自选动作？“《规范》中在措辞上用的是‘应当’，这意味着企业的自评估行为，从法律效力的角度来看，应该是具有强制性的。但是针对审计的措辞则用的是‘可以’，也就是说，公司做自评估是必须的，但是是否请人来审计是自愿的。所以我们能看到在这中间还是存在着差距的。可以想见，如果没有第三方独立担保，对于督促企业运作和完善相应监管都会产生很大的影响。”谢安说。

　　因此，在探讨《规范》究竟是自愿实行还是强制实行时，问题又不可避免地回到了法律效力层面。很显然，目前《规范》所处的这种模糊状态，与其行政指令的性质是直接关联的，因为没有一个单独的部委有权利来强制企业实施，只有上升到了人大立法层面，具有了真正的法律效力才行。

　　另一方面，从企业的内部运作来看，也有相当多的财务人员希望出台更加明确的规定，保障相关规范条款在企业中有效落实。

　　成本与收益

　　内控的成本问题仍然是绕不过去的坎。

　　2006年，美国知名的Foley & Lardner律师事务所通过对700多家全美上市公司的调查和分析，认定从萨班斯法案(Sarbanes-Oxley)实施以来，年收入在10亿美金以下的企业，平均上市成本暴增了223%，约有21%的企业曾经考虑过退市。

　　“前两年确实听过这方面的传言，但是最近越来越少了，我们所看到的是中国的高科技企业依然青睐到美国去上市”，况成功表示，虽然美国在萨班斯法案实施初期也走了一些弯路，但现在已经回到了正轨。比如AS2(Auditing Standard 2)的出台，还有后来的AS5(Auditing Standard 5)，都为管理层如何做自评估给出了明确的指引。这些准则具有很高的灵活性，甚至要求审计师提高审计效率，杜绝将额外的成本转嫁给上市公司。正是由于这些努力，美国上市公司的成本被控制在了合理的范围内，审计师的成本也得到了有效的控制—这些都对萨班斯法案的持续实施起到了不可小觑的推动作用。

　　“中国注册会计师协会的《征求意见稿》，也参照了美国的模式，更加强调风险导向及自上而下的运作方式，力争将有限的审计资源投入到高风险领域”，况成功说。中国内控规范的推行也具有相当大的灵活性，具体实施中的成本，企业完全可以自己把控。

　　成本效益原则是最终的决策基础，这点在政策的制定中已经给予了充分的考虑。企业基于风险的内控不是大而全的面面俱到，而是可以在综合衡量收益之后，理性地决定其投入水平。虽然由于行业背景、规模大小、现状与预期目标等各方面因素差异较大，企业实施内控的成本数额无法简单匡算，特别是在与事务所合作的过程中，很难清晰地划分出内部和外部费用。但是，况成功指出，如果企业自身情况良好，又具有相关的知识储备，实际上它对内部费用的投入，就是对外部费用有力的替代。

　　究竟该如何看待《规范》施行所带来的成本与收益，谢安认为，从对资本市场的影响来看，我们应该学会用长远的眼光来看问题。毕竟一个资本市场的健康发展离不开优质的企业，而如何塑造优质的企业，正是《规范》出台背后的根本旨义。

　　法律效力与执行力

　　企业自主先行的实践，最终都反馈到被冠以“中国的萨班斯法案”的制度层面。

　　“‘中国萨班斯法案’的这种叫法有待商榷，因为它与美国萨班斯法案的差距还很大”，谢安直截了当地给出了自己的判断，而他判断的主要依据来自法律效力层面。美国的萨班斯法案由国会审核通过，并由总统签发，遵照法律的制定流程运作并生效，具有强制力与相应的刑事惩罚条款。而《规范》并未由人大审议，不具有严格意义上的法律效力，五部委出面发起则带有了更多的行政色彩。

　　法律效力的缺失无疑会使执行力大打折扣。实施日期从2009年7月1日推迟到2010年1月1日，半年的空档期也引发了诸多的疑惑与猜测。当多家媒体大力宣传新的实施期限时，谢安却表示：其实直到现在，官方也没有任何文件正式确认实施的日期，2009年7月也好，2010年1月也罢，这些日期更多地表现出大家的一种默认。“由于若干配套措施没有出台，这个实施的时点也会有不同的解读”。

　　不过，相关部门一直有意向推动《规范》的运作，只是种种困难横亘在面前，在这段时间内，《规范》就必然处在缓慢前进的状态。从政策的制定来看，单有《规范》是不够的，需要配套出台应用指引、审计指引和评价指引，而这些指引的出具难度很大，需要考虑到行业的差别，企业的发展周期等诸多因素；从企业和事务所的运作来看，在手段、措施与工具上都没有做好相应的准备，比如配合新规范的推出，培训工作必不可少，但由官方出面组织的培训很难在短期内一蹴而就；从宏观经济因素的角度看，整个经济环境，包括金融危机的发生都或多或少地影响了政策的推行。

　　当然，对执行力影响最大的因素就是政府监管措施的缺失。《规范》及指引更多的是偏向技术运作层面，重在告诉企业应该如何做，可这些归根结底是企业自身的行为。而如何监管企业有效的落实，防止由于认识不足引发的流于形式，则是摆在监管部门面前的难题。“中国要做监管不难，难在各个监管机构的协调”，谢安认为，在当前法律效力不足的前提下，多个部委如何协调，如何营造出有利于规范实施的环境，才是解决问题的关键。“其实办法有很多，就看有没有决心做”。

　　《规范》颁布一年多来，业内还是看到了一定的努力与成绩，处在监管一线的交易所，在2009年对企业的披露要求越来越严格了。不过《上市公司监督管理条例征求意见稿》至今还没有出台，既有的惩罚手段多是沿用谴责、通报批评等行政手段，对于这些监控措施的实施效果，况成功表示担忧，资本市场如此发达的美国尚需运用法律手段严格规范，更何况资本市场还处于成长阶段的中国。