内部控制自我评价报告中的概念误区——基于2014年度上市公司年报分析
谢力
摘要：
基于内部控制有效性运作是一个全员参与的系统工程，本文采用WSR系统工程方法论分别在三个层面（W、S、R）剖析了影响内部控制有效性的风险因素并提出相应层面的风险管理措施，这种新的研究视角为我国内部控制体系在上市公司中有效开展提供了一种实践意义上的理论指导。
关键词：内部控制 风险 WSR系统方法论
通过对2014年度300多家主板上市公司内部控制相关披露信息分析发现，部分上市公司仍然对内部控制的基础性和关键概念理解不清、认识不足，这直接导致企业的内部控制评价报告流于表面，可读性不强，并不能向报告使用者提供内部控制的有效信息。本文基于2014年度上市公司年报，分析如下。
一、 对内部控制评价基准日理解不准确
内部控制自我评价报告需要对公司于内部控制评价报告基准日的内部控制有效性作出评价。部分上市公司混淆了评价基准日和评价期间的区别，如某上市公司评价报告披露“我们对公司截至2014 年12 月31 日（内部控制评价报告基准日）的内部上市公司执行会计准则情况分析报告控制有效性进行了评价”，将评价基准日视同评价期间；又如某上市公司评价报告披露“自2014 年1 月1 日起至2014 年12 月31 日止，根据公司财务报告内部控制重大缺陷的认定情况，不存在财务报告内部控制重大缺陷”，对2014 年度的内部控制有效性发表了意见。
二、 不理解如何计算和选取纳入评价范围的两个比例
个别上市公司在计算纳入评价范围的资产总额占合并报表中资产总额比例时，没有冲抵母子公司之间的长期股权投资等资产，导致披露的上述资产比例超过100%；个别上市公司在计算纳入评价范围的营业收入占合并报表中营业收入比例时，没有抵消内部交易的影响，导致披露的营业收入比例超过100%；少数上市公司纳入评价范围的比例显著偏低，覆盖率不足，如某上市公司披露的资产和营业收入比例分别仅为31.95% 和22.6%。评价范围披露有误导致报告使用者无法确定评价范围是否恰当； 而过低的评价覆盖率导致评价结果缺乏参考性。
三、 以上年合并报表数为基数计算纳入评价范围比例和定量标准
个别上市公司在计算纳入评价范围比例的资产和营业收入比例时，以上年合并报表数为基数，如某上市公司评价报告披露“纳入评价的各单位资产占本行上年末合并财务报告资产总额的79%，营业收入占本行上年末合并财务报告营业收入总额的77%”，在企业经营规模不断增长的情况下，以上年合并报表数为基础计算纳入合并范围的比例，可能导致评价范围的覆盖率不足。
部分上市公司的内部控制缺陷定量标准是以上年合并报表数为基数的，如某上市公司以“该等缺陷可能导致的潜在错报金额占本公司上年度经审计的年度合并财务报告中资产总额0.25%、销售收入0.5% 或税前利润5% 及以上”作为财务报告内部控制重大缺陷的标准；又如某上市公司将“财务损失（占上年税前利润的百分比）”作为非财务报告内部控制定量标准的指标。在企业经营规模不断变化的情况下，以上年合并报表数为基础计算内部控制缺陷的定量标准，可能导致对发现的内部控制缺陷的性质认定不准确，如在销售显著下跌时，可能将重大缺陷认定为重要缺陷。
四、 混淆财务报告内部控制与非财务报告内部控制的认定标准
财务报告内部控制的缺陷，是指不能及时防止或发现并纠正财务报告错报的内部控制缺陷，因此财务报告内部控制缺陷常常以潜在错报的大小与财务报告的重要性水平作比较。部分上市公司对财务报告内部控制缺陷理解有误，如某公司确定的财务报告内部控制缺陷评价的定量标准如下：“内部控制缺陷可能导致或导致的损失与利润表相关的，以税前利润指标衡量。如果该缺陷单独或连同其他缺陷可能导致的财务报告错报金额……超过税前利润10% 则认定为重大缺陷”，其中既有财产损失的概念，又有潜在财产损失和潜在错报的概念，无法明白企业到底想表达什么意思。
此外，还有部分上市公司以错报金额、实际影响金额、非客观因素导致科目波动幅度等指标作为财务报告内控缺陷的认定标准，没有理解财务报告内部控制缺陷应当是以潜在错报为评判基础的。
非财务报告内部控制缺陷的定量标准，既可以根据造成直接财产损失绝对金额制定，也可以根据其直接损失占本企业资产、销售收入及利润等的比率确定；定性标准则可根据其直接或潜在负面影响的性质、影响的范围等因素确定。部分上市公司在披露非财务报告内部控制缺陷标准时，直接引用财务报告内部控制缺陷标准，如某上市公司评价报告披露“非财务报告内部控制缺陷定量认定标准参照财务报告内部控制缺陷的定量认定标准”，将两种缺陷等同视之；部分上市公司将潜在错报、错报和年度经营目标的达成率等作为非财务报告内部控制缺陷认定标准，如某上市公司评价报告披露“非财务报告内部控制重大缺陷为导致错报的可能性大于利润总额的5%（含）”。
五、 混淆内部控制缺陷的定量标准与定性标准
非财务报告内部控制缺陷的定性标准，即涉及业务性质的严重程度，可根据其直接或潜在负面影响的性质、影响的范围等因素确定。部分上市公司在财务报告内部控制缺陷中将负面影响作为定量指标进行披露，如某上市公司评价报告披露“通过直接财产净损失和负面影响两方面，制定非财务报告内控缺陷定量标准”，将不可量化的负面影响确定为定量标准；部分上市公司则将可以量化的指标作为定性指标披露，如某上市公司将安全事故死亡人数、核心技术人员和管理人员的离职率等定量指标都归入了定性指标类。
六、 不理解财务报告内部控制缺陷与重要性水平之间的关系
根据《企业内部控制审计问题解答》（会协〔2015〕7 号）规定，内部控制审计与财务报告审计运用的重要性水平应当相同。内部控制评价中重大错报中的“重大”，涉及企业管理层确定的财务报告的重要性水平。
原则上，管理层确定的重要性水平应该不高于财务报告审计中的重要性水平。部分上市公司管理层设定的重要性水平显著高于常规的财务报告审计重要性水平，如以总资产的5% 为重大缺陷的定量指标，标准设置不当；部分管理层对重要性水平设置又过于谨慎，如以营业收入的0.1% 为重大缺陷的定量指标，从成本效益原则分析，在实务中真正能落实的难度很大，更大的可能是管理层并不真正理解重要性水平的概念。
过高或过低的重大缺陷认定标准，可能也意味着企业管理层并没有真正理解财务报告内部控制缺陷与重要性水平之间的关系。
七、 混淆报告期缺陷、已整改缺陷、已整改有效缺陷和评价基准日缺陷等概念
报告期缺陷包括上年度评价基准日存在的缺陷和本年度新发现的缺陷。已整改缺陷，是指已经采取了整改措施的缺陷。已整改有效缺陷，是指不但已经采取了整改措施，而且整改措施运行了足够时间，且经过抽样已经确认整改措施是有效的。评价基准日缺陷包括尚未整改的缺陷和已整改但运行时间尚不足够或者经抽样发现整改无效的缺陷。对于报告期缺陷，企业应在评价报告中详细披露；而内部控制有效性是基于评价基准日而言的，因此，如果报告期有缺陷，但已整改有效的，也可以认定为内部控制有效。
2013 年共有9 家上市公司被出具内部控制否定意见。2014 年度，4 家公司没有在评价报告中披露上年度评价基准日存在的重大缺陷在本年度的整改情况，没有理解报告期缺陷的含义；其中一家上市公司评价报告披露“2014 年度公司已完善相关控制，根据上述财务报告内部控制缺陷的认定标准，报告期内公司不存在财务报告内部控制重大缺陷、重要缺陷”，没有理解报告期缺陷和已整改有效缺陷的区别；另一家上市公司2015 年1 月10 日公告存在存款合同纠纷，但其评价报告却披露“报告期内公司发现与财务报告相关内控重大缺陷一项，在报告期内已得到有效整改”，将缺陷已整改视为缺陷已整改有效。
八、 无法有效区分财务报告内部控制缺陷和非财务报告内部控制缺陷
部分上市公司不能有效区分财务报告内部控制缺陷和非财务报告内部控制缺陷，在评价中对两者的认定发生错位，将财务报告内部控制认定为非财务报告内部控制，或者将非财务报告内部控制认定为财务报告内部控制。
例如，某上市公司评价报告披露存在非财务报告重要缺陷，即“重要设计缺陷：缺少存货退库管理的控制活动”。缺少存货的退库管理必将影响到存货的核算准确性，因此，应当认定为财务报告重要缺陷。又如，某上市公司评价报告披露存在3 项非财务报告重要缺陷，即“银行账户的网银密钥保管不规范；财务印鉴使用管理存在缺陷；外省银行账户的对账管理控制薄弱”，以上3 个事项很明显也都是财务报告内部控制缺陷。
某上市公司评价报告披露存在1 项财务报告内部控制重要缺陷，即“公司及控股子公司发生的诉讼、仲裁事项累计计提坏账准备15,623.18 万元。”因诉讼和仲裁事项导致巨额财产损失，公司只要已经在财务报告中充分计提了减值准备，并进行了披露，就不影响财务报告的准确性，因此，应当认定为非财务报告内部控制缺陷，而不是财务报告内部控制缺陷。
九、 对内部控制有效性认定的保证方式认识有误
《企业内部控制评价指引》规定，年度内部控制评价报告内部控制评价结论应当分别披露对财务报告内部控制有效性的评价结论，以及是否发现非财务报告内部控制重大缺陷，即要求对财务报告内部控制采用“积极保证”，而对非财务报告内部控制采用“消极保证”。
部分上市公司对财务报告内部控制采用了消极保证，如某上市公司评价报告披露“根据公司财务报告内部控制重大缺陷的认定情况，于内部控制评价报告基准日，公司未发现存在财务报告内部控制重大缺陷”。《企业内部控制评价指引》明确要求应对财务报告内部控制是否有效作出结论，因此，消极保证无法满足《企业内部控制评价指引》的要求。
部分上市公司对非财务报告内部控制作出了积极保证，如某公司评价报告披露“根据公司非财务报告内部控制重大缺陷认定情况，于内部控制评价报告基准日， 公司不存在非财务报告内部控制重大缺陷”。非财务报告内部控制缺陷认定具有涉及面广、认定难度大的特点，特别是战略目标和经营目标的实现往往受到企业不可控的诸多外部因素的影响，如果采用积极保证方式对非财务报告内部控制作出认定， 会过度扩大企业管理层在非财务报告内控上的责任。《企业内部控制评价指引》只要求对已发现的非财务报告内部控制缺陷进行披露，而不要求管理层保证“不存在”非财务报告内部控制缺陷。
部分上市公司没有对内部控制有效性作出正面的认定，如某上市公司评价报告披露“董事会认为，公司对纳入评价范围的业务与事项均已建立了内部控制，并得以有效执行，达到了公司内部控制的目标”；又如，某上市公司评价报告披露“公司的内控制度符合国家有关法律、法规的要求，能够适应当前公司发展的需要，对公司营运管理和风险管理具有控制与防范作用”，都没有区分财务报告和非财务报告内部控制分别作出认定，且均只笼统说达到了内部控制目标或符合法律法规的要求，而没有从正面作出内部控制是否有效的认定。
主板上市公司从2012年起分批分步实施内部控制并按要求进行自我评价和审计，截止2014年已经实施了3年时间，但部分上市公司对内部控制的学习和掌握仍有很大欠缺。上市公司董事会应当切实履行内部控制的建立健全和有效实施的责任，督促管理层加强内部控制的学习和掌握，加强对内部控制相关披露信息的内部审核工作。
虽然内部控制审计并非是对企业内部控制评价报告发表审计意见，但中注协会协〔2011〕66 号《企业内部控制审计指引实施意见》“关于内部控制审计报告→强调事项”章节中明确要求：如果确定企业内部控制评价报告对要素的列报不完整或不恰当，注册会计师应当说明这一情况并解释得出该结论的理由。注册会计师对于内部控制审计过程中发现的上述概念理解误区，应当积极通过审计沟通督促被审计单位完善内部控制评价报告。如果企业拒不完善内部控制评价报告的，应当通过内部控制审计报告的强调事项段对上述不恰当的列报进行说明。 作者单位：信永中和会计师事务所（特殊普通合伙）