论文部分内容阅读
【摘 要】 内部控制审计是最近几年才开始普及的一项审计服务活动。文章认为萨班斯法案404条款直接促生了内部控制审计，以尽可能降低管理层对内部控制保证的风险，并以上海家化内部控制审计为例，说明内部控制审计作用的有限性。
【关键词】 内部控制审计； 萨班斯法案； 上海家化
【中图分类号】 F239.4 【文献标识码】 A 【文章编号】 1004-5937（2016）18-0118-04
自从2002年美国萨班斯法案要求对内部控制进行审计、董事长要签字承担责任以来，内部控制再度成为一个热点问题，政府相关管制机构与政策制定部门高度关注，如我国财政部、证监会、银监会等五部委联合发布关于内部控制的制度规范，并要求所有企业分步执行。美国是一个相对崇尚市场经济和小政府的自由社会，但是，美国证监会、纽约证券交易所也先后发布相关的指引，要求企业加强内部控制；甚至美国国会还通过立法，强化内部控制，即著名的萨班斯法案404条款。按照404条款的要求，上市公司需要对其内部控制的有效性作出保证，这直接促发了内部控制审计的产生。
那么，内部控制审计是否能够发挥人们所期望的作用？或者，在实务中，内部控制审计究竟能够发挥什么作用？是发挥了制度设计的初衷，强化内部控制与监督，还是作用有限，甚至成为公司控制权争夺的工具？下面，笔者结合上海家化的案例作一讨论。
一、内部控制与内部控制审计
内部控制是由“内部”加“控制”所组成，是指在一个组织/企业内部建立的机制或制度，约束、引导组织/内部所有活动，最大限度地限制并期望杜绝各种舞弊行为，保证组织/企业财产的安全完整、财务报告及相关信息真实完整，由此来提高主体的经营效率。
目前所讨论的内部控制是从内部牵制演变而来的，内部牵制的核心思想就是不相容职责分离。早期的现金出纳与现金记账岗位分离就是最常见的内部牵制。随着经济的发展，特别是企业规模不断增大，同时，社会经济活动更加复杂，企业舞弊事件的社会影响也更加广泛。因此，内部控制也在不断改进，出现1992年COSO委员会所提出的内部控制框架体系，把企业一切经营活动都置于内部控制之下，或者说，内部控制不再仅仅是一种对活动的控制（如现金收支），它也是一种目标导向（内部控制要与企业经营目标相结合）、过程控制（从目标到计划到行动）等等。
20世纪90年代，内部控制成为企业实践中非常重要的内容。但是，2001和2002年所发生的安然、世界通讯在内的系列舞弊事件，一定程度上表明企业的内部控制并未能发挥预期的作用，因此，美国国会所通过的《萨班斯法案》中，对内部控制着墨甚多。其中，第404条要求，上市公司管理层必须要明确说明，他/她了解公司的内部控制，并保证内部控制是完整、有效的。正是这一规定，直接导致内部控制审计制度的产生。目前，美国资本市场上公开上市的公司都需要聘请审计师，对内部控制制度进行审计并发表意见。
2008年，财政部、证监会、审计署等五部委联合发布《企业内部控制基本规范》；之后，又陆续发布《企业内部控制配套指引》、《企业内部控制应用指引》、《企业内部控制评价指引》、《企业内部控制审计指引》等，要求上市公司披露董事会对公司内部控制的自我评价报告以及会计师出具的审计报告，并分批自2011年起执行。到2014年，所有主板上市的公司都需要在年报披露的同时，披露内部控制审计报告。
内部控制审计产生的初衷，在笔者看来主要是为了满足404条款中管理层对内部控制评价、保证而提供的一个额外保证。由于内部控制本身只能提供合理保证，效用有限，且存在失效的可能，法律要求公司管理层保证其内部控制完整、有效，一旦事后发生了舞弊等表明内部控制失效的事件，管理层就需要承担相应的法律责任。审计师作为独立第三方所出具的内部控制审计报告，可以作为管理层最大限度免责的依据。
审计职业在一定程度上是与声誉紧密相关的。审计师提供内部控制审计，在提高了审计市场份额的同时，也增加了审计风险。为了尽可能规避自身的风险，美国资本市场上内部控制审计的非标意见比例要远高于财务报表审计。据Audit Analytics网站数据，2008—2013年间，审计师提供内部控制无效的审计报告数量，最低的662家（2013年），最高的1 712家（2011年），占当年上市公司总数的16%～20%。与之相比，我国深圳、上海两个交易市场2013年底共有2 489家上市公司，提供内部控制报告的公司有2 312家，9家被出具财务报告内控有效、非财务报告内控无效，8家被出具财务报告内控无效、非财务报告内控有效，6家被出具财务报告和非财务报告内控均无效，总计23家公司，占全部提供内部控制审计上市公司总数的1%不到[ 1 ]。也就是说，按照内部控制审计报告来判断，我国99%的上市公司内部控制是有效的。假定内部控制的审计标准是相同或相近的，一个有趣的推论是：我国资本市场上的公开上市公司，内部控制有效性要远远高于美国。
另外，我国资本市场上每年都会爆出多起公司舞弊等事件，且大部分都不在上述内部控制报告失效的名单中。且审计师通常会因为财务报表审计失败而承担责任，鲜有因为内部控制审计失败被市场关注并承担责任的。
从这一角度来看，在我国的审计市场上，内部控制审计的作用是有限的；同时，审计师也不需要刻意提高内部控制审计报告非标意见来规避自身的风险。
二、上海家化：内部控制审计“变脸”[ 2-3 ]
上海家化是以原上海家化（集团）有限公司为主体改组而成的，2001年在上海证券交易所发行上市，代码600315。公司并列第一大股东上海家化（集团）和上实日用化学品控股都是上海市国有企业，它们共持有上海家化56.30%股份，因此，上海家化属于国有控股。
2011年，平安信托以51.09亿元取得上海家化的第一大股东家化集团的全部股权，也相应成为上海家化的控股股东。上海家化已经借此顺利地改变身份，成为非国有企业①。 2013年、2014年两年，共出具33份否定意见报告和无法表示意见报告。公开检索显示，除了上海家化外，没有发现其他公司管理层因为内部控制失败而被问责、免职的报道。
如果从公司控制权争夺的视角来看，上海家化的否定意见内部控制审计报告就显得有点特别了。上海家化借助更换审计师、出具否定意见审计报告，为董事会免去原管理层提供了正当理由。
按照上海家化董事会的声明，因为被出具否定意见的内部控制审计报告公司形象受损。但有趣的是，审计报告公布当天，上海家化股票价格不跌反涨。一个可能的推断是：资本市场投资者并不认为上海家化的内部控制“失败”，并对公司经营产生重大影响[ 3 ]。
按照笔者的理解，内部控制审计是作为对萨班斯法案404条款的一种补充——最大限度地降低公司管理层的内控保证责任而产生的，对内部控制审计的作用需要结合其产生背景以及相应的法律制度环境来讨论。在一个管理层法律风险不高的制度环境下，内部控制审计可能发挥的作用必然有限。甚至，在特殊的情境下，内部控制审计会成为管理权争夺的工具。这时，内部控制审计意见更应该谨慎对待。
五、小结
作为一种人为设计的制度，内部控制的应用已经有上千年的历史，它也应该会持续应用下去，这一点毋庸置疑。但是，我们应该充分认识到内部控制的局限性，特别是对核心员工和高管的约束、控制上常常“捉襟见肘”。
内部控制审计，特别是根据法律要求、提供标准格式的内部控制审计报告，是因为萨班斯法案404条款直接促生的，它的主要作用还是为管理层对内部控制的责任提供一种谨慎、有限保证。当然，可以借助每年一次的内部控制审计，提醒公司管理层和全体员工内部控制的存在性，帮助厘清内部控制程序是否完备、是否存在缺陷。
如果制度环境对管理层的内部控制风险约束不高，管理层对内部控制可能带来的风险意识不到，那么内部控制审计报告的作用相对有限。过高地看待内部控制审计报告会诱发新的信任危机。
尽管本文只是一个案例讨论，但是，它的直接文献意义体现在两个方面：第一，对内部控制审计的有用性研究，需要重新审视研究的制度基础。与财务报表审计自发产生不同，内部控制审计是一种强制性制度安排，研究者有必要检讨内部控制审计产生的制度背景、内部控制审计报告传递与使用、审计师在内部控制审计报告中的可能风险等。第二，内部控制审计是否被用于控制权争夺，也是一个未来可检验的命题。此外，内部控制审计是否还在其他方面发挥作用，同样值得进一步研究。
【参考文献】
[1] 财政部会计司，等.我国上市公司2013年实施企业内部控制规范体系情况分析报告[R/OL].（2014-
10-10）. http： // kjs.mof.gov.cn / zhengwuxinxi / diao
chayanjiu/201410/t20141009_1147429.html.
[2] 刘华.内部控制审计否定意见案例研究：基于上海家化的分析[J].新会计，2014（9）：33-35.
[3] 刘国珍.否定意见“蹊跷”，上海家化大涨[N].南方都市报，2014-03-14.
【关键词】 内部控制审计； 萨班斯法案； 上海家化
【中图分类号】 F239.4 【文献标识码】 A 【文章编号】 1004-5937（2016）18-0118-04
自从2002年美国萨班斯法案要求对内部控制进行审计、董事长要签字承担责任以来，内部控制再度成为一个热点问题，政府相关管制机构与政策制定部门高度关注，如我国财政部、证监会、银监会等五部委联合发布关于内部控制的制度规范，并要求所有企业分步执行。美国是一个相对崇尚市场经济和小政府的自由社会，但是，美国证监会、纽约证券交易所也先后发布相关的指引，要求企业加强内部控制；甚至美国国会还通过立法，强化内部控制，即著名的萨班斯法案404条款。按照404条款的要求，上市公司需要对其内部控制的有效性作出保证，这直接促发了内部控制审计的产生。
那么，内部控制审计是否能够发挥人们所期望的作用？或者，在实务中，内部控制审计究竟能够发挥什么作用？是发挥了制度设计的初衷，强化内部控制与监督，还是作用有限，甚至成为公司控制权争夺的工具？下面，笔者结合上海家化的案例作一讨论。
一、内部控制与内部控制审计
内部控制是由“内部”加“控制”所组成，是指在一个组织/企业内部建立的机制或制度，约束、引导组织/内部所有活动，最大限度地限制并期望杜绝各种舞弊行为，保证组织/企业财产的安全完整、财务报告及相关信息真实完整，由此来提高主体的经营效率。
目前所讨论的内部控制是从内部牵制演变而来的，内部牵制的核心思想就是不相容职责分离。早期的现金出纳与现金记账岗位分离就是最常见的内部牵制。随着经济的发展，特别是企业规模不断增大，同时，社会经济活动更加复杂，企业舞弊事件的社会影响也更加广泛。因此，内部控制也在不断改进，出现1992年COSO委员会所提出的内部控制框架体系，把企业一切经营活动都置于内部控制之下，或者说，内部控制不再仅仅是一种对活动的控制（如现金收支），它也是一种目标导向（内部控制要与企业经营目标相结合）、过程控制（从目标到计划到行动）等等。
20世纪90年代，内部控制成为企业实践中非常重要的内容。但是，2001和2002年所发生的安然、世界通讯在内的系列舞弊事件，一定程度上表明企业的内部控制并未能发挥预期的作用，因此，美国国会所通过的《萨班斯法案》中，对内部控制着墨甚多。其中，第404条要求，上市公司管理层必须要明确说明，他/她了解公司的内部控制，并保证内部控制是完整、有效的。正是这一规定，直接导致内部控制审计制度的产生。目前，美国资本市场上公开上市的公司都需要聘请审计师，对内部控制制度进行审计并发表意见。
2008年，财政部、证监会、审计署等五部委联合发布《企业内部控制基本规范》；之后，又陆续发布《企业内部控制配套指引》、《企业内部控制应用指引》、《企业内部控制评价指引》、《企业内部控制审计指引》等，要求上市公司披露董事会对公司内部控制的自我评价报告以及会计师出具的审计报告，并分批自2011年起执行。到2014年，所有主板上市的公司都需要在年报披露的同时，披露内部控制审计报告。
内部控制审计产生的初衷，在笔者看来主要是为了满足404条款中管理层对内部控制评价、保证而提供的一个额外保证。由于内部控制本身只能提供合理保证，效用有限，且存在失效的可能，法律要求公司管理层保证其内部控制完整、有效，一旦事后发生了舞弊等表明内部控制失效的事件，管理层就需要承担相应的法律责任。审计师作为独立第三方所出具的内部控制审计报告，可以作为管理层最大限度免责的依据。
审计职业在一定程度上是与声誉紧密相关的。审计师提供内部控制审计，在提高了审计市场份额的同时，也增加了审计风险。为了尽可能规避自身的风险，美国资本市场上内部控制审计的非标意见比例要远高于财务报表审计。据Audit Analytics网站数据，2008—2013年间，审计师提供内部控制无效的审计报告数量，最低的662家（2013年），最高的1 712家（2011年），占当年上市公司总数的16%～20%。与之相比，我国深圳、上海两个交易市场2013年底共有2 489家上市公司，提供内部控制报告的公司有2 312家，9家被出具财务报告内控有效、非财务报告内控无效，8家被出具财务报告内控无效、非财务报告内控有效，6家被出具财务报告和非财务报告内控均无效，总计23家公司，占全部提供内部控制审计上市公司总数的1%不到[ 1 ]。也就是说，按照内部控制审计报告来判断，我国99%的上市公司内部控制是有效的。假定内部控制的审计标准是相同或相近的，一个有趣的推论是：我国资本市场上的公开上市公司，内部控制有效性要远远高于美国。
另外，我国资本市场上每年都会爆出多起公司舞弊等事件，且大部分都不在上述内部控制报告失效的名单中。且审计师通常会因为财务报表审计失败而承担责任，鲜有因为内部控制审计失败被市场关注并承担责任的。
从这一角度来看，在我国的审计市场上，内部控制审计的作用是有限的；同时，审计师也不需要刻意提高内部控制审计报告非标意见来规避自身的风险。
二、上海家化：内部控制审计“变脸”[ 2-3 ]
上海家化是以原上海家化（集团）有限公司为主体改组而成的，2001年在上海证券交易所发行上市，代码600315。公司并列第一大股东上海家化（集团）和上实日用化学品控股都是上海市国有企业，它们共持有上海家化56.30%股份，因此，上海家化属于国有控股。
2011年，平安信托以51.09亿元取得上海家化的第一大股东家化集团的全部股权，也相应成为上海家化的控股股东。上海家化已经借此顺利地改变身份，成为非国有企业①。 2013年、2014年两年，共出具33份否定意见报告和无法表示意见报告。公开检索显示，除了上海家化外，没有发现其他公司管理层因为内部控制失败而被问责、免职的报道。
如果从公司控制权争夺的视角来看，上海家化的否定意见内部控制审计报告就显得有点特别了。上海家化借助更换审计师、出具否定意见审计报告，为董事会免去原管理层提供了正当理由。
按照上海家化董事会的声明，因为被出具否定意见的内部控制审计报告公司形象受损。但有趣的是，审计报告公布当天，上海家化股票价格不跌反涨。一个可能的推断是：资本市场投资者并不认为上海家化的内部控制“失败”，并对公司经营产生重大影响[ 3 ]。
按照笔者的理解，内部控制审计是作为对萨班斯法案404条款的一种补充——最大限度地降低公司管理层的内控保证责任而产生的，对内部控制审计的作用需要结合其产生背景以及相应的法律制度环境来讨论。在一个管理层法律风险不高的制度环境下，内部控制审计可能发挥的作用必然有限。甚至，在特殊的情境下，内部控制审计会成为管理权争夺的工具。这时，内部控制审计意见更应该谨慎对待。
五、小结
作为一种人为设计的制度，内部控制的应用已经有上千年的历史，它也应该会持续应用下去，这一点毋庸置疑。但是，我们应该充分认识到内部控制的局限性，特别是对核心员工和高管的约束、控制上常常“捉襟见肘”。
内部控制审计，特别是根据法律要求、提供标准格式的内部控制审计报告，是因为萨班斯法案404条款直接促生的，它的主要作用还是为管理层对内部控制的责任提供一种谨慎、有限保证。当然，可以借助每年一次的内部控制审计，提醒公司管理层和全体员工内部控制的存在性，帮助厘清内部控制程序是否完备、是否存在缺陷。
如果制度环境对管理层的内部控制风险约束不高，管理层对内部控制可能带来的风险意识不到，那么内部控制审计报告的作用相对有限。过高地看待内部控制审计报告会诱发新的信任危机。
尽管本文只是一个案例讨论，但是，它的直接文献意义体现在两个方面：第一，对内部控制审计的有用性研究，需要重新审视研究的制度基础。与财务报表审计自发产生不同，内部控制审计是一种强制性制度安排，研究者有必要检讨内部控制审计产生的制度背景、内部控制审计报告传递与使用、审计师在内部控制审计报告中的可能风险等。第二，内部控制审计是否被用于控制权争夺，也是一个未来可检验的命题。此外，内部控制审计是否还在其他方面发挥作用，同样值得进一步研究。
【参考文献】
[1] 财政部会计司，等.我国上市公司2013年实施企业内部控制规范体系情况分析报告[R/OL].（2014-
10-10）. http： // kjs.mof.gov.cn / zhengwuxinxi / diao
chayanjiu/201410/t20141009_1147429.html.
[2] 刘华.内部控制审计否定意见案例研究：基于上海家化的分析[J].新会计，2014（9）：33-35.
[3] 刘国珍.否定意见“蹊跷”，上海家化大涨[N].南方都市报，2014-03-14.