3463家上市公司2017年内控“体检”报告：内控质量保持平稳 亚健康者仍居多
本文对2017年3463家上市公司的内部控制进行分析和评价，2017年上市公司内部控制质量保持平稳。其中，风险评估和控制活动水平较2016年有所提升。从分析结果来看，我国上市公司内部控制总体水平仍然较低，仍未有公司能够进入第I、II级水平。在五要素中，内部环境是上市公司最为薄弱的方面，亟待提升；风险评估和控制活动呈现出积极的进步；信息沟通和内部监督同样需要不断加强、完善。只有五要素协同改善，上市公司内部控制才能取得全面、有效的进步。此外，我国上市公司内部控制水平在地区和行业方面呈现出一定差异。
□陈汉文 林勇峰 鲁威朝
提升企业内部控制，对于实现企业“高质量发展”，进而达成经济“高质量发展”具有重要意义。
2008年6月28日，财政部、证监会、审计署及原银监会、原保监会联合发布了《企业内部控制基本规范》。为了保证该规范的有效实施，财政部、证监会、审计署、银监会和保监会于2010年4月26日进一步发布《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》三个配套指引，分别从企业自身建立、评价内部控制以及审计师鉴证内部控制进行细化和规范。一个基本规范和三个配套指引的制定发布，标志着我国“以防范风险和控制舞弊为中心、以控制标准和评价标准为主体，结构合理、层次分明、衔接有序、防范科学、体系完备”的内部控制体系基本建成。
根据五部委联合颁布的《关于印发企业内部控制配套指引的通知》和财政部、证监会发布的《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》，自2012年1月1日起主板上市公司开始分类分批实施内部控制规范体系。从2010年开始，我们借鉴国内外通用的评估方法，结合我国的实际情况，构建了一套系统的内部控制指数评价体系，旨在全面客观地评价我国上市公司的内部控制现状，为政府监管、企业完善内部控制以及决策者提供有用的参考。今年，我们继续跟踪上市公司，并对其2017年度内部控制质量进行评价和分析，以期促进企业内部控制质量提升，推动企业和经济持续健康发展。
内部控制评价方法及样本
首先，我们依据《企业内部控制基本规范》及其《配套指引》，综合考虑《深圳证券交易所上市公司内部控制指引》、《上海证券交易所上市公司内部控制制度指引》、《上市公司治理准则》、《中华人民共和国公司法》、《中国人民共和国证券法》及《上市公司章程指引》等法律法规及相应文件，同时借鉴国内外已有的内部控制评价研究，确定了内部环境、风险评估、控制活动、信息与沟通、内部监督等5个一级评价指标、25个二级指标、35个三级指标、158个四级指标的四级指标体系。我国自2012年1月1日起主板上市公司开始分类分批实施内部控制规范体系。2014年1月，证监会与财政部联合制定了《公开发行证券的公司信息披露编报规则第21 号——年度内部控制评价报告的一般规定》，进一步加强了上市公司内部控制评价信息的披露规范要求。据此我们已经在2014年第一时间对四级指标进行了修订，并在中国上市公司内部控制指数（2013-2016）中采用，以期更好地结合相关政策法规要求，衡量上市公司的内部控制水平。
我们对指标的修订遵循两个原则；第一，修订后的指标要与修订前的指标具有继承性、可比性；第二，修订后的指标能在新的制度环境下更好地衡量内部控制水平。在这两个原则的指导下，今年我们沿用了2014年修订后的指标体系，得到158个四级指标。其次，我们采用层次分析法（AHP）和变异系数法确定指标权重。最后，对每项指标加权平均即得到内部控制评价指数，其五个要素（一级指标）得分分别构成内部环境指数、风险评估指数、控制活动指数、信息与沟通指数和内部监督指数。该指数采用百分制，分值在区间[90,100]、[80,90）、[70,80）、[60,70）、[50,60）和[0,50）分别对应 I、 II、 III、 IV、 V和 VI六个内控等级水平。
本研究对2017年我国主板、中小板和创业板上市公司内部控制水平进行评价。以上海证券交易所及深圳证券交易所截至2017年12月31日的公司上市情况为准，本课题组得到3463家上市公司样本。我们收集了上市公司截至2018年4月30日的公开资料，包括公司年度报告、内部控制自我评价报告、社会责任报告等定期公告、临时公告、公司的规章制度以及处罚和重大事件等。依据的资料主要来源于交易所网站、巨潮资讯网、中国证监会等监管部门网站以及上市公司官方网站。
我国上市公司内部控制总体状况评价
1.我国上市公司内部控制总体状况
2017年，我国上市公司内部控制整体水平较为稳定。如图所示，2015年至2017年间，内部控制指数均值分别为45.98、46.49及46.05分。从内部控制构成要素来看，内部环境、信息沟通及内部监督指数较2016年略降，而风险评估及控制活动指数则有所增长。尤其是风险评估指数，较2016年增长4.95分，表明我国上市公司进一步加强了风险评估水平，这不仅是监管层的要求，也是企业为应对错综复杂经济环境而采取的有效手段。
表1反映了内部控制整体质量分布状况。从内部控制指数来看，2017年，内部控制质量处于V级水平及VI级水平的公司仍占绝对比重。内部控制I级水平和II级水平仍未能够实现零的突破，进入III级水平的公司占比略高于2016年。但处于末段VI级水平的公司数量也有所增加。从五要素指数来看，内部环境仍然是上市公司内部控制最为薄弱的环节，2015年至2017年间，超过99%的企业其内部环境指数均处于末端两级。在风险评估方面，上市公司在2017年风险评估水平呈现出积极增长，进入II级至IV级水平的公司比例均有所回升。在控制活动方面，第III级水平的公司占比较2016年有所增加，末端VI级水平的公司数量有所下降，整体呈现出积极的态势；在信息沟通方面，第I级至IV级水平的公司占比均有不同程度下滑；在内部监督方面，2017年相较于2016年呈现出极端化的走势，进入第I、II、III级水平的公司均有所提升，与此同时末端VI级公司占比也大幅提升，平均而言，内部监督指数水平较2016年有所下降，但相较于2015年仍然有较为明显的提升。
2. 我国各省份内部控制整体状况
我国31个省、直辖市和自治区的经济社会环境存在较大差异，上市公司在各地分布不均衡，且大多数集中在经济发达的省份，如表2所示，从数量分布来看，广东569家、浙江414家、江苏379家，北京308家、上海274家，占据全国前五；而经济欠发达省份的上市公司刚刚进入两位数，如青海12家、宁夏13家、西藏15家。上市公司数量与各个省份经济发展水平较为一致。对全国各省份上市公司内部控制进行评价，结果显示（表2），云南、河北和贵州内部控制水平位于前三，而黑龙江、广西和宁夏内部控制水平较低。值得注意的是，虽然上市公司数量与地区经济发展水平关联密切，但内部控制水平与经济发展水平之间本年度并未发现明显关联，表明往年内控水平东强西弱的格局正在逐渐弱化甚至消失。
3.我国各行业内部控制整体状况
按照中国证监会（CSRC）（2012版）《上市公司行业分类指引》，我国上市公司分为18个门类行业。内部控制水平在不同行业上市公司表现出了较大差异。如表3所示，目前金融业内部控制质量远高于其他行业平均水平。金融业由于其自身的高风险特点，较早受到政府部门的监管。1997年5月，中国人民银行发布《加强金融机构内部控制的指导原则》，要求各金融机构必须建立科学完善的内部控制制度，同年12月又发布《关于进一步完善和加强金融机构内部控制建设的若干意见》，提出了抓紧整章建制、完善治理结构、建立风险评估和监测制度、做好对金融机构内部控制建设的指导和监督等具体措施。证监会2000年和2003年发布的《公开发行证券公司信息披露规则》、原银监会2004年颁布的《商业银行内部控制评价试行办法》以及2007年颁布的《商业银行内部控制指引》等相关法案，对金融、保险业公司的内部控制起到了积极的促进作用。除金融业外，房地产业、交通运输、仓储和邮政业和采矿业等行业的内控指数均名列前茅。卫生和社会工作业、教育业及科学研究和技术服务业内控指数位于行业末端。其中，由于教育类公司数量少，受个体因素影响大，因而可能不具代表性。总体而言，金融业因其行业特殊性，其内部控制水平在所有行业中独占鳌头。在其他行业中，传统行业相较于新兴行业的内部控制水平更高。
分类指标数据分析
1.风险管理部门设置与内部控制分析
风险评估是内部控制的核心要素之一，有助于“企业及时识别、系统分析经营活动中与现实内部控制目标相关的风险，并合理确定风险应对策略”（《企业内部控制基本规范》）。风险管理部门设置是指公司成立专门负责风险管理的机构或部门，如风险管理委员会、风险管理部等。设置风险管理部门公司的2017年内部控制指数均值高出无风险管理部门公司6.04分，且前者的风险评估指数均值高出后者18.23分，表明设置风险管理部门有助于提高公司内部控制质量，特别是风险评估水平。
2.社会责任与内部控制分析
《上市公司治理准则》第八十六条规定“上市公司在保持公司持续发展、实现股东利益最大化的同时，应关注所在社区的福利、环境保护、公益事业等问题，重视公司的社会责任。”财政部等五部委制定了《企业内部控制应用指引第4号——社会责任》，引导企业制定安全生产、产品质量、环境保护与资源节约、促进就业与员工权益保护相关制度，做到经济效益与社会效益、短期利益与长远利益、自身发展与社会发展相互协调，实现企业与员工、企业与社会、企业与环境的健康和谐发展。2017年，在我们收集的3463家样本公司中，共有904家公司披露了社会责任报告，占总样本的26.10%。披露社会责任报告的公司内部控制指数高于未披露社会责任报告的公司。值得注意的是，披露社会责任报告公司的内部环境指数比非披露公司高出9.56分，表明较好履行社会责任有助于提升内部控制质量，尤其有助于内部环境的改善。
3.处罚与内部控制分析
内部控制目标包括合理保证企业经营管理合法合规、财务报告及相关信息真实完整。然而，公司及其董事、监事和高级管理人员可能由于以上两方面问题受到证监会、交易所、司法部门以及政府部门处罚。2017年，共有402家上市公司及董监高受到处罚，较2016年减少17家。受处罚公司的内部控制指数比未受处罚公司的低4.75分，表明董监高的行为对公司内部控制具有重要影响。受处罚公司与未受处罚公司的要素差异主要体现在内部环境，差异高达16.15分，表明公司董事、监事及高级管理人员价值观和行为直接影响整个公司的文化氛围和行为准则。
4.财务报告审计意见与内部控制分析
审计师是资本市场重要的中介机构，凭借其专业能力开展第三方审计业务，能够降低委托代理问题，提升公司信息透明度。审计师根据财务报告出具审计意见，包括标准无保留意见和保留、否定、无法表示及带强调事项段的无保留意见。审计报告意见类型分析结果表明，非标准无保留意见公司在内部控制五要素方面均低于收到标准无保留意见公司，其中内部环境、控制活动和信息沟通的差异较大。这表明，被出具非标审计意见的公司在以上三个方面亟待加强。
5.财务报表重述与内部控制分析
财务报表重述是指企业在发现并纠正前期财务报告的差错时，重新表述以前公布的财务报告相关内容。上市公司财务报表重述可能导致财务信息传递扭曲，因此成为监管部门关注焦点之一。2017年，319家上市公司进行了财务报表重述，占整个样本的9.21%，该比例较2016年有所下降。从内部控制总体状况看，未进行重述样本内部控制整体优于重述样本，两者的差异主要体现在信息沟通方面，表明财务重述公司的信息沟通是其内部控制的整改重点。
6.自我评价报告与内部控制分析
在我们的样本中，2017年3168家上市公司进行了内部控制自我评价，并披露了内部控制自我评价报告，占总样本的91.48%。披露内控自评报告公司的内部控制指数均值比未披露的公司高出9.03分。内部控制自我评价反映了内部监督的强弱，在五要素指数中，披露自评报告与未披露的公司在内部监督指数的差异达到一倍。
7.内部控制审计报告与内部控制分析
2017年，2643家公司披露了内部控制审计报告或者鉴证报告，占总样本的比例为76.32%。出具内控审计报告或鉴证报告的公司比未出具公司的内部控制总体得分更高，且各个要素维度全面优于未出具公司。
在以上出具了内部控制审计报告或者鉴证报告的公司样本中，有64家公司的内部控制审计报告或鉴证报告为非标准意见。按照意见类型将样本分为标准和非标准两类，比较结果，收到标准意见的公司内部控制得分大幅度高于收到非标意见的公司，同时在所有要素维度均有较大幅度领先。值得注意的是，非标准意见公司的内控指数均值甚至远低于未被出具内控审计或鉴证报告的公司。
8.新上市公司分析
按照公司上市时间将总样本分成2017年新上市和非新上市两类。在本课题组统计的样本下，2017年新上市公司共计443家。比较分析发现，2017年新上市公司内部控制质量远低于非新上市公司内部控制水平，并且五要素各个维度均处于全面劣势。纵观三年的情况，新上市公司内控薄弱这一现象并没有任何显著改善。内部控制建设和提升需要不断投入和积累，而新上市公司上市年限较短，因而内部控制相较已经上市的公司存在较大的提升空间。
9.内部控制百强企业分析
我们根据内部控制指数，对2017年3463家上市公司的内部控制进行排名，得出内部控制百强企业。我们比较分析百强企业和非百强企业内部控制水平。结果显示，百强企业的内部控制指数均值相较上年略微上升，非百强企业与百强企业在内部环境、风险评估、控制活动、信息沟通以及内部监督方面均存在较大差距。由此表明，高质量内部控制需要在五要素质量全面提升。同时，从百强与非百强之间的差异走势来看，我国上市公司整体的内部控制水平并未走出两极化走势，但绝对差距仍然非常明显。
进一步对全国内部控制百强企业区域分布状况进行分析，结果表明，百强企业分布于24个省份中。其中，北京市、广东省、浙江省、江苏省和上海市的内控百强企业数量最多，分别为20、18、11、8和7家。这5个省份的百强企业占到全国的64%。该数据表明，大多数内部控制优秀的企业集中在经济发达的省市。结合内部控制指数排名分析，经济发达的省份具有较多内部控制质量高的公司，但是，其整体排名并不一定高。主要原因在于，经济发达省份公司数量多，管理优秀的企业多，但同时内部控制薄弱的企业也更多。
此外，我们还对百强企业行业分布进行分析，从行业分布来看，百强企业集中在制造业和金融业。2017年，制造业中百强企业减少9家，金融业中百强企业增加1家，这两个行业共达到61家。2017年，综合及文化、体育和娱乐业分别有一家公司进入百强，实现“从无到有”；而租赁和商务服务业以及农、林、牧、渔业则在2017年“从有到无”。而末尾四个行业在2016年及2017年均没有实现突破。虽然内部控制水平的行业分布差异可能与各个行业公司数量有关，但整体而言仍然呈现出高度的行业分布不均匀。
研究结论：我国上市公司内部控制质量保持平稳
我们对2017年3463家上市公司的内部控制进行分析和评价，2017年上市公司内部控制质量保持平稳。其中，风险评估和控制活动水平较2016年有所提升。从分析结果来看，我国上市公司内部控制总体水平仍然较低，仍未有公司能够进入第I、II级水平。在五要素中，内部环境是上市公司最为薄弱的方面，亟待提升；风险评估和控制活动呈现出积极的进步；信息沟通和内部监督同样需要不断加强、完善。只有五要素协同改善，上市公司内部控制才能取得全面、有效的进步。
分类分析结果表明，设置风险管理部门、积极履行社会责任、进行内部控制自我评价以及聘请注册会计师进行内部控制审计或鉴证的公司具有更高的内部控制水平，而受到处罚、财务重述以及收到非标审计意见的公司具有较低的内部控制水平。此外，我国上市公司内部控制水平在地区和行业方面呈现出一定差异。
（本文系国家自然科学基金重点项目“信息生态环境与企业内部控制有效性问题（批号：71332008）”研究课题组的研究成果之一）
