第一篇：内部控制信息披露专题

一、我国内部控制信息披露发展历程

在近来的研究中，有关内部控制的法规文件一般追溯至202_年。202_年12月中国证监会发布了《公开发行证券公司信息披露编报规则第7号—商业银行年度报告内容与格式特别规定》和《公开发行证券公司信息披露编报规则第8号—证券公司年度报告内容与格式特别规定》，要求商业银行、证券公司在年度报告中应对其内部控制制度的完整性、合理性和有效性做出说明，同时还应委托所聘请的会计师事务所对其内部控制制度，尤其是风险管理系统的完整性、合理性和有效性进行评价，提出改进建议，并出具评价报告。评价报告应随年度报告一并报送中国证监会和证券交易所。

202_年12月，中国证券监督管理委员会发布了《公开发行证券的公司信息披露内容与格式准则第2号<年度报告的内容与格式>》(202_ 年修订稿)，其中第四十二条规定，在年度报告正文中，监事会应对“公司决策程序是否合法，是否建立完善的内部控制制度，公司董事、经理执行公司职务时有无违反法律、法规、公司章程或损害公司利益的行为”发表独立意见。该规则强制要求上市公司对其内部控制信息进行披露，但披露内容较为简单，仅是一笔带过。

202_年3月证监会又针对上市银行内部控制信息披露做出了规定，明确了董事会对于内部控制的责任。202_ 年中国证监会要求上市公司定期对内部控制的完整性、合理性及实施的有效性进行检查和评估，并开始要求上市公司通过外部审计对公司的内部控制制度以及公司的自我评估报告进行核实评价，该年度内银监会还发布了商业银行部控制评价办法。可以说，我国在202_年以前以及美国在202_年以前并未对内部控制信息披露做出强制性规定，内控信息披露系上市公司自选择的行为。

202_ 年美国国会通过的《萨班斯法案》关于内部控制信息强制性披露的要求对我国产生了较深的影响。202_年，上交所与深交所分别于6月5日和9月28日发布了《上市公司内部控制指引》（以下简称《指引》），前者自202_ 年7月1日起生效，后者自202_年7月1日实施，两者皆要求上市公司披露董事会编制的内部控制自我评估报告以及会计师事务所对内部控制报告的核实评价意见。考虑到实施的仓促性以及我国上市公司内部控制建设的现状，上交所于202_年12月在《关于做好上市公司202_ 年年度报告的通知》中对《指引》做了补充，只要求上市公司在年报的“重要事项”部分披露内部控制信息，鼓励有条件的上市公司遵守《指引》的规定。由于《内控指引》强制要求上市公司披露内部控制自我评估报告和注册会计师审核意见，因此两个指引的发布标志着我国内部控制信息进入强制性披露阶段，也称《内控指引》为内部控制信息强制性披露规则。

202_年证监会对《公开发行证券的公司信息披露内容与格式准则第2号<年度报告的内容与格式>》进行修订，其中公司治理结构部分第三十条规定，公司应该说明生产经营控制、财务管理控制、信息披露控制等内部控制制度的建立和健全情况，包括内部控制制度建立健全的工作计划及其实施情况、内部控制检查监督部门的设置情况、董事会对内部控制有关工作的安排、与财务核算相关的内部控制制度的完善情况。同时鼓励央企控股的、金融类及其它有条件的上市公司披露董事会出具的、经审计机构核实评价的公司内部控制自我评估报告。这部分与202_年修订稿相比较，有了很大的进步。

由于内部控制相关规定比较分散，权威性不足，为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，维护社会主义市场经济秩序和社会公众利益，202_年6月28日财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制基本规范》，自202_年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。执行该规范的上市公司，应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计。

202_年4月26日，财政部、证监会、审计署、银监会、保监会等五部委刚刚联合并发布了《企业内部控制配套指引》。国际著名会计师事务所德勤表示，指引将有助于提升中国企业的财务报告质量，减少商业欺诈风险。该配套指引包括18项《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》，连同此前发布的《企业内部控制基本规范》，标志着适应我国企业实际情况、融合国际先进经验的中国企业内部控制规范体系基本建成。

为确保企业内控规范体系平稳顺利实施，财政部等五部门制定了实施时间表：自202_年1月1日起首先在境内外同时上市的公司施行，自202_年1月1日起扩大到在上海证券交易所、深圳证券交易所主板上市的公司施行；在此基础上，择机在中小板和创业板上市公司施行；同时，鼓励非上市大中型企业提前执行。

这一套控制规范被称为中国的“萨班斯法案”，自正式实施之日起，执行企业内控规范体系的企业，必须对本企业内部控制的有效性进行自我评价，披露年度自我评价报告，同时聘请具有证券期货业务资格的会计师事务所对其财务报告内部控制的有效性进行审计，出具审计报告。注册会计师发现在内部控制审计过程中注意到的企业非财务报告内部控制重大缺陷，应当提示投资者、债权人和其他利益相关者关注。

202_年1月3日证监会与财政部联合发布《公开发行证券的公司信息披露编报规则指引第21号—年度内部控制评价报告的一般规定》。该规定明确了内部控制评价报告构成要素，并针对核心构成要素，如重要声明、内部控制评价结论、内部控制评价工作情况等，逐一说明了需要披露的主要内容及相关要求。对于内部控制评价结论规定要求披露财务报告内部控制是否有效的结论，并披露是否发现非财务报告内部控制重大缺陷。对于内控评价工作情况，规定要求区分财务报告内部控制与非财务报告内部控制，分别披露重大、重要缺陷认定标准、缺陷认定和整改情况等。

二、案例

中国南方航空股份有限公司及其子公司主要从事提供国内、港澳台地区及国际航空客运、货运及邮运服务。该公司于1995年3月25日注册成立，1997年7月分别在香港联合交易所有限公司和美国纽约证券交易所上市，202_年 7月在上海证券交易所上市。南方航空内控信息披露内容的变化反映了内部控制信息披露在我国的发展历程。

我国在202_年以前并未对内部控制信息披露做出强制性规定，内控信息披露系上市公司自选择的行为。南方航空在202_年以前并未披露有关公司内部控制的信息。

202_年上交所发布《上市公司内部控制指引》，自202_ 年7月1日起生效，要求上市公司披露董事会编制的内部控制自我评估报告以及会计师事务所对内部控制报告的核实评价意见。考虑到实施的仓促性以及我国上市公司内部控制建设的现状，上交所于202_年12月对《指引》做了补充，只要求上市公司在年报的“重要事项”部分披露内部控制信息，鼓励有条件的上市公司遵守《指引》的规定。南方航空在202_年年报的重要事项部分披露了公司内部控制制度的建设情况。（下面为截取的年报披露正文）

“根据《上海证券交易所上市公司内部控制指引》，以及上市地的相关规定，本公司逐步建立健全和有效实施内部控制制度，以提高上市公司系统风险管理，保护投资者的合法权益。

1、本公司已逐步建立健全了公司法人治理结构，股东大会、董事会、监事会、公司管理层能有效地对公司的经营管理实施控制。各级生产经营决策权限划分清晰，各项采购、对外协议、现金支付均可根据各级授权及管理权限，按照明确的规定履行必要的法定程序。公司管理层明确了具体的部门负责内控和风险管理工作，明确权责，以建立系统性风险管理体系。

2、建立了完善的金融衍生工具等风险管理机制，对申报程序、审批权限和奖惩有明确的规定。

3、本公司拥有健全的会计核算、财务管理系统，并借助 ORACLE 财务信息系统，对公司的会计核算和重大财务决策实行统一管理。

4、为满足本公司上市地有关法规监管的要求，本公司成立萨班斯法案内部控制项目小组和公司内部监控项目小组，完成了对销售、航材、飞机和发动机、其他固定资产、成本费用、资金和投资、人力资源、运行控制、财务报告和一般信息技术控制等业务主流程和相应业务子流程的记录、测试和缺陷整改工作，评估涵盖了与财务报告有关的所有重要业务流程。对于内部监控评估中发现的内控缺陷 和改善机会，公司管理层给予了充分的重视，并进行了积极地整改、重新记录和测试。公司管理层认为，202_ 年度本公司实行的内部控制制度已充分体现其效能。”

202_年证监会对《公开发行证券的公司信息披露内容与格式准则第2号<年度报告的内容与格式>》进行修订，其中公司治理结构部分第三十条规定，公司应该说明生产经营控制、财务管理控制、信息披露控制等内部控制制度的建立和健全情况。同时鼓励央企控股的、金融类及其它有条件的上市公司披露董事会出具的、经审计机构核实评价的公司内部控制自我评估报告。202_年6月28日财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制基本规范》。执行该规范的上市公司，应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计。在202_-202_年的年报中南方航空在监事会报告及公司治理部分披露了公司内部控制制度的建立健全情况，并发布了经审计机构核实评价的内部控制自我评价报告。此阶段的内部控制信息披露内容主要根据《企业内部控制基本规范》、《上海证券交易所上市公司内部控制制度指引》编制。会计师事务所对内部控制评价报告的评价是在审计财务报表的过程中按照审计准许中了解被审计单位内部控制的有关要求，了解与审计单位财务报表相关的内部控制。上述了解内部控制和控制测试并不是对内部控制的专门审核，也不是专为发现内部控制缺陷、欺诈及舞弊而进行的。

（以下为截取的监事会报告正文）

“在过去的一年中，公司决策程序合法，建立了较为完善的内部控制制度，运作规范，公司董事、总经理及其他高级管理人员尽职尽责，认真执行股东大会和董事会的决议，完成了公司年度生产经营目标。未发现上述人员在执行公司职务时有违反法律、法规和《公司章程》或损害公司利益和股东权益的行为。”

202_年12月，中国证券监督管理委员会发布了《公开发行证券的公司信息披露内容与格式准则第2号<年度报告的内容与格式>》(202_ 年修订稿)，其中第四十二条规定，在年度报告正文中，监事会应对“公司决策程序是否合法，是否建立完善的内部控制制度，公司董事、经理执行公司职务时有无违反法律、法规、公司章程或损害公司利益的行为”发表独立意见。南方航空202_-202_年年报中的监事会报告披露的内容显然是为了符合该准则的要求。

202_年年报中南方航空不仅在公司治理部分披露了公司内部控制制度的建立健全情况并发布经审计机构核实评价的内部控制自我评价报告，还首次披露了董事会对于内部控制责任的声明，以及监事会对内部控制自我评价报告的审阅情况。

202_年4月26日，财政部、证监会、审计署、银监会、保监会等五部委联合发布了《企业内部控制配套指引》。执行企业内控规范体系的企业，必须对本企业内部控制的有效性进行自我评价，披露年度自我评价报告，同时聘请具有证券期货业务资格的会计师事务所对其财务报告内部控制的有效性进行审计，出具审计报告。自202_年起南方航空开始公布独立的内部控制评价报告和内部控制审计报告。

202_年1月3日证监会与财政部联合发布《公开发行证券的公司信息披露编报规则指引第21号—年度内部控制评价报告的一般规定》。该规定明确了内部控制评价报告构成要素，并针对核心构成要素逐一说明了需要披露的主要内容及相关要求。南方航空按照《年度内部控制评价报告的一般规定》中年度内部控制评价报告披露参考格式披露了202_年、202_年的内部控制评价报告。但实际披露内容并未完全符合《一般规定》的要求。《一般规定》要求公司应当区分财务报告内部控制和非财务报告内部控制，按照重大缺陷、重要缺陷和一般缺陷分别描述公司内部控制缺陷认定的定量和定性标准。但南航在202_年内部控制评价报告缺陷认定的定性标准中仅含糊的写道：“定性标准指涉及业务性质的严重程度，根据其直接或潜在影响的性质、影响的范围，控制偏差的频率是否较高，产生该缺陷的成因（是否主要是人为，是否涉及管理层舞弊）等因素确定”，并没有说明具体的定性标准。202_年年末南航爆出腐败窝案，多名公司高管涉嫌职务犯罪被立案调查，其中更是包括已任职14年的公司财务总监。在202_年内部控制自我评价中，南航更改了定性标准的表述，删除“涉及管理层舞弊”这一影响因素，并再次做出了内部控制无重大缺陷、重要缺陷的认定。可见在目前的内部控制信息披露环境下，企业存在避重就轻，逃避披露自身内部控制缺陷的问题。

第二篇：上市商业银行内部控制信息披露分析

摘 要：内部控制信息披露报告主要是对内部控制有效性和执行情况的检测，同时也是利益相关者获得信息的载体。以沪深两市上市的16家商业银行近三年的内部控制自我评价报告为样本进行分析，可以发现上市商业银行内部控制信息披露存在的问题，并找到相应的解决措施。

关键词：上市商业银行；内部控制；信息披露；问题及对策

中图分类号：f83 文献标志码：a 文章编号：1673-291x（202_）08-0177-02

一、内部控制信息披露概述

（一）内部控制信息披露的内涵

美国coso将内部控制定义为由企业董事会、经理以及员工实施的，为保证经营的效率效果、财务报告的可靠性、遵守法律法规等目标的实现而提供合理保证的过程。内部控制5要素包括：（1）控制环境；（2）控制活动；（3）风险评估；（4）信息与沟通；（5）监督。内部控制信息披露报告主要是对内部控制有效性和执行情况的检测，同时也是利益相关者获得信息的载体。

（二）内部控制信息披露的制度安排

近年来，我国上市商业银行内部控制信息披露相关制度法规的建设工作取得了较大进展。202_年证监会发布的《企业内部控制基础规范》强制要求上市公司每年必须进行内部控制信息披露，同时对上市企业披露内部控制报告的具体内容进行了详细规定。202_年，为了进一步完善内部控制信息披露制度法规，财政部、证监会、审计署、银监会以及保监会等五部委联合颁布了《企业内部控制配套指引》。它融合了国际先进的经验以及近些年国内研究的成果，为构建完善的企业内控信息披露体系奠定了基础。这些准则的颁布类似于美国的萨班斯法案，为国内发展内部控制体系保驾护航。

二、上市商业银行内部控制信息披露分析

（一）上市商业银行内部控制信息披露的总体状况

截至202_年12月31日，沪深两市有上市公司202_多家，而其中上市商业银行仅有16家。深圳发展银行是国内上市最早的商业银行，21世纪初各大银行也陆续上市。由此可以看出，我国上市商业银行都很年轻，一套行之有效的内部控制信息披露制度法规就显得尤为重要。自五部委202_年颁发《企业内部控制配套指引》强制性规定上市企业必须披露内部控制自我评价信息以来，内部控制自我评价报告成为上市商业银行每年必须披露的报告之一。

经统计分析发现，16家上市商业银行在近三年都能够正式独立发布内部控制自我评价报告和专业机构审核意见。虽然，中国银行在202_年没有披露内控自我评价报告，但也披露了等同内控自我评价的内控报告，并披露了专业机构的审计意见。

（二）上市商业内部控制自我评价报告具体内容分析

本文以沪深两市16家上市商业银行为样本，选取其202_―202_年三年期间披露的内控自我评价报告合计48份进行分析。本文对样本公司披露的报告内容进行比较，披露的具体内容（如表1）。

1.责任主体、评价范围、评价依据、评价真实性声明等4个方面的披露。国内所有上市商业银行在近三年的披露中都确切表明内控自我评价报告的责任主体是董事会，董事会对报告真实性负连带责任。由于上市银行业务比较固定，其评价范围和评价依据方面在每年的披露内容中变化不大。

2.五要素也是上市商业银行的内部控制报告重要披露的内容。从统计分析结果可知，在202_、202_年所有银行都进行了五要素的披露。从报告中可发现，各大银行也在不断地完善五要素内容，从而使内控报告更加符合内控基本规范的要求。

3.内控评价程序和方法的披露。202_、202_年大部分的银行均披露具体的内控制评价程序和方法，但是在202_年披露的银行数剧减，仅仅只有6家，未披露的比例高达62.5%。由此可见，202_年4月内部控制评价指引的颁布促使各大银行开始尝试披露评价程序和方法，但是效果是非常短暂的。当然，也有一些具体内容披露的频率得到很大的提升，比如缺陷认证披露数，202_年只有14家银行详细披露，202_年以后所有银行都进行了披露。

4.整改措施的披露。披露数量由202_年的6家发展至到202_年的12家，虽然也得到了很大发展，但还有一部分银行未曾披露此方面信息。

总体来看，随着各大银行对内部控制越来越重视，各上市商业银行关于内部控制报告的披露内容也越来越详细。大多数上市商业银行内部控制报告内容基本上包括责任主体、评价依据、评价范围、评价程序和方法、缺陷认定、董事会声明、整改措施等内容。通过对比近三年的内控报告发现，虽然有些披露项目还需进一步的优化，但整体而言，大部分银行披露的内部控制报告正趋于完善。

三、上市商业银行内部控制信息披露存在的问题

（一）信息披露不完整，缺乏可比性

报告内容的完整性是内部控制信息披露体系有效性的前提，而202_年《内部控制评价指引》颁布的主要目的也是使内部控制信息披露报告格式统一、内容完整，具有可比性。根据统计分析而知，202_年有31.25%的银行未披露整改措施，而对于评价程序和方法在202_年披露的银行数仅仅占所有上市商业银行的37.5%。此外，各大银行虽然都披露内部控制五要素，但其内容的详细程度参差不齐，无可比性。

（二）自我评价报告缺乏实质性内容

目前，上市商业银行的内部控制自我评价报告主要披露银行内部控制现状以及执行效果。因此真实、有效的内部控制信息披露报告不仅可以加强银行的管理，而且更利于维护相关者的利益。从表2可知，202_年15家银行披露的内部控制评价报告中都得出了内部控制有效的结论，不存在重大和重要缺陷的结论，只有1家银行披露了内部控制缺陷。当然，也可能因为每个银行缺陷认证的标准不同，得到的结论不同。但无法否认的是，上市商业银行在披露报告的时候，会尽可能避免披露不利于企业的信息，很多内部控制报告流于形式，无实质性内容。

（三）缺陷认证和整改措施缺乏规范性

缺陷认证在内控信息披露报告中占有重要地位，虽然缺陷认证的标准直接决定了内部控制信息披露报告的结论，但目前我国没有明确的法律法规对此部分进行规定，银行可以自行认定，从根本上使得内部控制信息披露报告结论缺乏可比性。比如，202_年浦发银行和宁波银行把缺陷认证分为财务类和非财务类，在财务类认证中依据利润收入为基准判断；202_年建设银行以合并报表税前利润总和为依据认证财务类风险。

四、优化上市商业银行内部控制信息披露的对策

（一）监管部门加强监督检查力度

我国是一个以为数不多的机构监督庞大的金融市场的国家。一方面，监管部门需要完善相关制度法规，统一内部控制评价标准，建立一套符合我国资本市场实际情况的上市商业银行内部控制信息披露体系；另一方面，监管部门应该完善内部控制信息系统，建立有效的内控考核机制。

（二）借鉴国外先进的银行管理理念

由于我国资本市场的体制不够完善，我国金融行业在内部控制信息披露方面基础比较薄弱，因此，上市商业银行可借鉴国外先进的银行管理理念加强自身的管理和内控信息披露。在借鉴国外内部控制经验的同时，也加强了企业内部管理战略。在借鉴国外先进管理理念方面，我国银行业协会可以成立国际咨询委员会，为国内外银行业往来提供良好的交流环境和便利政策。

（三）规范缺陷认证及改进措施的披露

目前，在我国由上市商业银行自行制定内部控制缺陷认证的标准。对该部分的认证直接决定了内控报告结论以及所采取的整改措施。因此，统一缺陷认证标准，在一定程度上能提高银行业内部控制信息披露报告的可比性，提高经营者和管理者建设内部控制的积极性以及披露内部控制信息的自愿性，提升内部控制报告的严谨性与有效性。所以，规范缺陷认证是解决披露内部控制信息问题有效途径。我们可以从以下两方面规范缺陷认证。一方面，政府及有关部门应该根据市场调研细化缺陷认证，把缺陷认证分为财务类和非财务类，对于财务类项目进行量化处理，对于非财务类项目采取业务化质变分析。另一方面，提高外界对内部控制报告结果的关注。应该详细披露内部控制存在的缺陷以及整改措施所取得效果，还要详细披露内部控制固有的风险。只有不断规范缺陷认证以及改进措施的披露，上市商业银行内部控制信息披露才能逐步走向完善。

第三篇：上市商业银行内部控制信息披露状况分析

上市商业银行内部控制信息披露状况分析

摘 要：上市商业银行内部控制信息披露是验证其内部控制体系构建与运行有效性的常见方法。本文应用5级表衡量法，对202_―202_年中信银行的报告中各部分内部控制信息披露的进行分析，指出了中信银行内部控制信息披露存在披露内容、格式不规范和内部控制缺陷披露较少涉及的问题，并针对这些问题提出了相应的改进措施。

关键词：上市商业银行；中信银行；内部控制；信息披露

上市银行在维护国家金融安全与稳定、促进经济发展方面肩负重任，使得金融机构的风险管理成为广大投资者乃至社会大众关注的焦点，其内部控制更是人们关注的重点。上市商业银行作为高风险上市公司，其内部控制体系的完善程度以及执行情况与其发展状况紧密相关。因此，对上市商业银行内部控制信息披露的状况进行研究，具有重要的理论及现实意义。本文以中信银行为例，研究其内部控制信息披露的现状。

一、中信银行公司情况简介

中信银行（证券代码：601998）隶属于中国国际信托投资公司（中信公司），创立于1987年，是中国改革开放中最早成立的新兴商业银行之一。202_年4月19日，中信银行在上海、香港同步上市。

中信银行为中国大陆第七大银行，是香港中资金融股的六行三保之一。目前在国内设有近900家分支机构，在香港、澳门、美国、新加坡设有30多家分支机构。从成立至今，中信银行在中国金融、银行领域创造了多个第一，在202_年英国《银行家》世界银行排名中，一级资本排名48位，总资产排名53位，经营效益及资产质量均有良好表现。202_年，中信银行通过收购中信国金，初步建立国内中型银行中独特的“三位一体”国际化经营平台。202_年，中信银行圆满完成A+H股配股再融资，为进一步发展奠定了坚实的基础。

二、中信银行内部控制信息披露状况分析

本文对中信银行上市以来的202_年―202_年报告进行了分析。由于年报中的内部控制信息的披露分布比较零散，因此本文对中信银行年报的内部控制信息披露采取了手工统计的方式。

中信银行的年报分为以下几个部分：公司基本情况简介、财务概要、董事长致辞、行长致辞、荣誉榜、管理层讨论与分析（含经济金融和监管环境、财务报表分析、业务综述、风险管理、前景展望、社会责任管理）、股份变动和主要股东持股情况、董事、监事、高级管理人员和员工情况、公司治理报告、董事会报告、监事会报告、重要事项、审计报告及财务报告、财务报表补充资料、备查文件、股东参考资料、组织架构图、境内外分支机构名录、释义。本文主要对内部环境、公司治理报告、董事会报告、监事会报告、内部控制自评、内部控制审核、审计意见等部分披露内部控制信息的情况进行了分析。

1.内部控制信息披露的详略程度释义

杨有红和汪薇（202_）按上市公司内部控制信息披露的详细程度分为：详细说明、一般陈述、简单披露三个层次，对披露的内部控制信息进行研究。本文对以上8个部分的内部控制信息披露状况，按照5级量表进行衡量。具体含义见表1。

表1 5级量表释义表

2.中信银行内部控制信息披露状况分析

经过对中信银行202_年―202_年的报告各个相关部分的分析，根据5级量表衡量，中信银行自上市以来的内部控制信息披露状况如表2所示。

表2 中信银行内部控制信息披露状况

注：针对此公司报表，在此“内部环境”仅包含人力资源和社会责任。

“审计意见”：“1”表示标准无保留意见，“0”表示其他类型审计意见。

由表2可见：自中信银行上市起，公司年报中内部控制信息的披露主要集中在“内部环境”、“风险管理”、“公司治理结构”、“内部控制自评”、“内部控制审核”等部分。披露的情况呈由简单到详细的趋势。

（1）从202_年的年报可以看出，本的年报的主要内容仍然是财务报表的披露，而在内部控制的内部环境方面仅对社会责任以捐款数额的方式进行了体现。对人力资源信息并未体现。而自202_年起，至202_年止，公司对内部控制信息的披露给予了充分的重视，体现在年报的编排上发生了重大变化，将内部环境中的人力资源、社会责任等部分单独列示开来。

（2）“风险管理”：202_年公司刚刚上市，仅对信用风险、市场风险、和流动性风险的管理措施进行了披露，对公司的内部控制体系从体系结构方面进行了简单的介绍。自202_年起，年报中以组织结构图的形式对风险管理架构作出了立体的描述，同时详细介绍了本公司的风险管理体系和风险管理技术，特别介绍了本行的零售评级系统和巴塞尔新资本协议高级内部评级法。新增了公司贷款风险管理、小企业贷款风险管理、零售信贷风险管理、信用卡风险管理、资金业务风险管理、贷款监测及贷后管理等内容并详细的披露了相应风险管理的措施。

（3）“公司治理结构”：格式相对固定，主要介绍了股东大会、董事会和监事会的主要职责和各专门委员会的构成及本年工作情况。特别地，在本部分中，中信银行详细披露了在报告期内该行针对内部控制采取的主要措施――完善内部控制环境、完善风险识别及监控手段、强化内部控制措施、健全信息交流与沟通机制、夯实内部控制和合规管理基础等。根据统计，历年的主要措施虽有部分雷同，但仍根据当年内部控制体系的实际情况有所不同。

（4）“股东大会简介”：自上市以来没有披露过相关的内部控制信息。

（5）“董事会报告”：202_年之前，年报中“董事会报告”内容以利润及股息分配为主，辅以股本及公众持股量、优先认股权等股东相关权益内容。对内部控制信息并无列示。202_年起，“董事会报告”中新增了董事会对内部控制的声明和内幕信息管理两项内容，尤其对内幕信息的风险控制从管理制度和管理流程方面进行了详细说明。自202_年起，年报中取消了“董事会报告”板块，相关内控信息在新增的“内部控制”板块中略有体现。

第四篇：上交所202_内部控制披露情况分析

原标题为：沪市上市公司202_年内控自我评估报告披露情况分析

上海证券交易所一直非常重视对上市公司内控建设的推动工作，并在上市公司内控报告的内容与格式设计等方面引领着业界的发展方向。通过上交所不懈的推动和倡导，沪市上市公司内控建设取得长足进步。自202_到202_年，从披露数量来看，沪市上市公司内控报告从34份增加到427份；审计报告从34份增加到258份。从披露内容来看，绝大多数公司已经建立起符合自身特点的内控制度，体系建设取得显著成效，内控报告的可读性也有所提高。当然，内控信息的披露质量仍然存在不尽如人意之处，如冗余信息过多、内控缺陷标准不明、披露不足等问题，内控信息披露质量仍存在较大的改善空间。

一、上交所内控报告披露的历史沿革

上海证券交易所（以下简称“上交所”）一直非常重视对上市公司内控建设的推动工作，并在上市公司内控报告的内容与格式设计等方面引领着业界的发展方向。202_年，上交所率先颁布了《上市公司内部控制指引》（以下简称《指引》）。《指引》鼓励上市公司披露内控自我评估报告（以下简称“内控报告”），并要求披露内控报告的公司同时披露审计机构对公司内部控制的审计意见（以下简称“内控审计报告”）。《指引》以推动和指导上市公司建立内部控制制度为目的；借鉴了COSO委员会的《企业风险管理-总体框架》，构建了适合我国上市公司的风险管理框架；要求各公司根据自身特点，结合运作经验，建立各别的内部控制制度，强调“个性”、“适用”；明确了上交所主要通过信息披露监管来督促上市公司完善内部控制的监管思路。《指引》被业界誉为中国版《萨班斯法案》的雏形。

202_年6月，财政部、证监会、审计署、银监会、保监会等五部委（以下简称“五部委”）联合发布了《企业内部控制基本规范》（以下简称“基本规范”）。为提高内控报告的质量，上交所结合五部委《基本规范》的精神，在以往内控报告披露的实践基础上，研究逐步统一内控报告的格式。202_年底，上交所与部分中介机构以及8家上市公司共同研究制定了《内控报告格式指引》，并以第一号年报工作备忘录的形式对外发布。《内控报告格式指引》贯彻了“内容简洁、问题清晰、结论明确”的原则，重点要求披露内控缺陷和董事会对公司内控有效性的评价意见，意在减少冗长而无实质内容的内控制度描述。此外，为了帮助上市公司董事更好地对公司出具的内控报告进行审议，上交所编制了《董事内部控制评价工作底稿》，提醒上市公司董事在审议内控报告时应重点关注在内控评价过程中的重大财务违规、审计调整、会计差错更正、各类行政处罚、资产损失等问题。同时，允许上市公司根据自身实际对工作底稿的内容进行调整。《内控报告格式指引》与《董事内部控制评价工作底稿》互为补充，与前期发布的《指引》共同构成了上交所内控报告信息披露的基本框架。

二、上交所202_年内控报告披露要求 202_年是《基本规范》正式实施的第一年。根据证监会的统一安排，上交所在《关于做好上市公司202_年报告工作的通知》中规定：上交所上市的“上证公司治理板块”样本公司、境内外同时上市的公司及金融类公司，应在202_年年报披露的同时，按照上交所发布的相关格式指引的要求披露董事会对公司内部控制的自我评价报告；上交所鼓励拟申请加入“上证公司治理板块”等上市公司披露内控报告；境内外同时上市的公司，除应披露内控报告外，还应披露注册会计师出具的财务报告内部控制审计报告。

同时，上交所继续对内控报告的格式进行了修订，并以《年报备忘录第一号》的形式对外发布。

202_年内控报告主要包括十个部分内容：

1、公司董事会全体成员对内控报告真实性、完整性、准确性的声明。

2、公司董事会对于建立和维护充分的财务报告相关内部控制制度的责任。

3、财务报告内部控制的目标：保证财务报告信息真实完整和可靠、防范重大错报风险。

4、内控的固有局限性。

5、公司董事会对公司财务报告内控的评价依据：《企业内部控制基本规范》。

6、公司董事会对公司财务报告内控有效性的评估结论。

7、公司财务报告内控存在的重大缺陷及其整改措施（如有）。

8、相关豁免事项（如有）。

9、会计师事务所的审计意见（如有）。

10、公司董事会关注到的与非财务报告相关的内部控制缺陷情况（如有）。考虑到公司内控信息披露的个性化需求，结合《企业内部控制评价指引》的要求，上交所规定公司应以附件的形式披露格式指引规定以外的公司内部控制的相关情况，包括但不限于实施内部控制评价的总体情况、所采用的程序和方法等（评价小组的组成，评价所采用的程序和所花费的时间，借助中介机构或外部专家的情况，工作底稿的编制，收集被评价单位内部控制设计和有效运行证据的方法，重大缺陷、重要缺陷和一般缺陷认定的标准等）。

同时，上交所要求上市公司董事在审议内控报告时，须填写《董事内部控制评价工作底稿》，作为董事勤勉尽责的依据。

三、上市公司内控建设基本情况 根据XBRL数据，共有933家公司在年报“公司治理结构”章节中填报了公司内部控制建设的基本情况。

933家公司中，427家披露了董事会内控报告，较之202_年的417家在绝对数上增加了10家，但在比例上减少了约1.5个百分点，与202_年的披露比例大体相当；其中，131家公司为自愿披露，绝对数与202_年（130家）和202_年（127家）基本持平，占比亦略有下降。427家公司中，258家公司聘请审计机构进行了内控审计（其中审计153家、审核105家），较之202_年的229家略有上升，其中自愿披露审计（审核）报告的公司为195家。以上数据表明，内控报告披露数量基本保持稳定，而且自愿披露内控报告的公司数量和自愿聘请审计机构对公司内控进行了核实评价的公司数量也都基本保持稳定，甚至出现了略有下降的态势，显示出上市公司对内控报告的披露越发谨慎。

933家公司中，656家公司表示其已建立内部控制体系建设部门，占全部公司数量的70.3%，较之202_年增长近20个百分点。656家公司内部控制体系建设部门的名称差异较大，其中为“审计部”或类似部门的约占一半左右，共330家；其次为“内控部”或类似部门，共151家；其余为“综合管理部”、“战略规划部”、“证券部”、“投资管理部”、“法律合规部”、“纪检监察部”、“董事会办公室”、“财务部”等。说明上市公司对内控建设愈发重视，绝大多数公司都已建立负责内控体系建设的专门部门；同时，不同公司承担内控建设的部门仍差别较大。

对于“内部控制的缺陷及其整改情况”，所有公司均表明其财务报告内部控制不存在重大缺陷。有大约50%左右的公司称“报告期内，公司未发现在内部控制方面存在重大缺陷”；有大约25%左右的公司认为其内部控制不存在重大缺陷，但对照《基本规范》及《企业内部控制配套指引》(以下简称“配套指引”)仍有需要进一步改进的空间；此外，随着公司规模的进一步扩大以及公司所面临经营环境的不断变化，内控制度需要不断地改进和完善；有20%左右的公司未直接回应是否存在“内部控制的缺陷”，只是表示将按照《基本规范》及其《配套指引》的要求继续建立和完善公司内部控制制度；有大约5%左右的公司认为其内部控制制度并不完善并披露了具体的缺陷，涉及库存管理、人事管理、付款管理、财务核算、内部审计、资产管理、内控意识、审批授权等多个方面。内控缺陷与整改情况的披露与202_年年报的披露情况基本类似。

四、披露内控报告公司总体情况分析

（一）披露内控报告公司的202_年年报非标准无保留意见比例显著低于全部沪市公司

在披露内控报告的427家公司中，421家的202_年年报被出具标准无保留意见，非标准无保留意见比例为1.4%，大大低于全部公司的6.3%。其中，宁波富邦、ST祥龙、吉恩镍业、太工天成、中国中冶被出具带强调事项段的无保留意见，仅莲花味精被出具保留意见。非标意见中，多数为持续经营能力存在疑问，仅莲花味精是因为前期涉嫌会计造假而被证监会调查，并已对其202_年年报进行差错更正。

（二）披露内控报告公司的年报业绩水平高于全部沪市公司

披露内控报告的公司普遍业绩较好。其中亏损公司7家，占全部公司比例的1.6%左右，大大低于全部沪市公司8.3%的亏损比例。（202_年披露内控报告公司的亏损比例为0.7%，低于全部沪市公司的6.1%）

（三）分红水平高于总体水平

在自愿披露内控报告的131家公司中，进行现金分红的公司数为85家，占比为64.9%，高于202_年全部沪市公司的57.5%。（202_年自愿披露内控报告公司的现金分红比例为60.1%，高于全部沪市公司的54.9%)。

五、内控报告的内容及格式分析

根据上交所对于202_年的内控报告的内容和格式要求，多数公司均能在上交所年报备忘录的基础上，按照规定的格式进行披露。内控报告较之以前在格式的统一性和内容的可读性上均有所提高，主要进步和仍存在的问题具体表现在：

（一）内控报告可读性有所提高

本，已有公司开始在内控报告中根据所在行业的特点以及自身的实际情况披露个性化的风险类别及防范措施。如中信证券就在其内控报告中披露了所面临的市场风险、信用风险、流动性风险、操作风险、合规风险，并结合其业务类别详细介绍了风险控制的方法和手段。虽然这样的高质量内控报告在整个内控报告中仍属于少数，但仍让我们强烈地感受到沪市上市公司在内控报告披露方面的进步。

（二）多数公司未披露重大缺陷、重要缺陷和一般缺陷的具体标准

根据内控评价指引的规定，重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。而重大缺陷、重要缺陷和一般缺陷的具体认定标准，由企业根据上述要求自行确定。

由于内控报告要求公司对是否存在财务报告重大缺陷发表意见，因此何谓“重大缺陷”对于投资者阅读和使用内控报告至关重要。但是只有约70家左右的公司在内控报告的附件中披露了重大缺陷、重要缺陷和一般缺陷的具体标准，而大多数公司只是机械地照搬了评价指引中关于缺陷认定的原则性规定。

70家披露内控缺陷的公司将内控缺陷标准区分为定性标准和定量标准两类。定性标准大体包括：重要业务缺乏制度控制或者制度系统性失效；重要职权和岗位分工中没有体现不相容职务相分离的要求；企业战略、投资、募集资金等重大决策、重大事项、重大人事任免及大额资金的管理程序不科学并造成严重损失；董事、监事和高级管理人员存在或可能存在严重舞弊行为；外部审计发现当期财务报告存在重大错报，或者公司已经对外公布的财务报表由于存在重大错报而需要进行更正，在资本市场造成比较严重的负面影响；以前评价过程中曾经有过舞弊或错误导致重大错报的经历，公司没有在合理的时间内改正所发现的重大缺陷和重要缺陷；其他违犯国家法律、法规或监管层规范性文件对公司造成重大影响的情形等。

而定量标准一般都参照营业收入、净利润、总资产、净资产的某个比例确定（类似于审计中的重要性水平）。

（三）内控报告中仍存在较多的“无用”信息

部分公司出于展示良好形象和工作成果的考虑，仍按照以往披露的经验，对内控要素、内控建设的过程和成果进行了详细的描述。更有公司还在内控报告中加入企业的历史沿革、发展历程以及公司内部使用的常用语（如“五个一致”、“四个统一”等，但未对其进行具体说明）等信息。由于这些信息的披露基本无助投资者的投资决策，而且也大大损害了内控报告格式的统一性和内容的可比性，因而历年来都是格式指引希望简化披露的内容。

（四）内控报告中关于“缺陷”的披露情况仍有待改进

所有披露内控报告的沪市上市公司均认为其财务报告内部控制有效，不存在重大缺陷。有4家公司披露了其发现的非财务报告内部控制缺陷，具体缺陷包括：加快对内控文件及制度的整理与完善；加快对SAP系统的升级改造；重大决策机制未完全经过集体讨论决定；控股股东存在对上市公司的非经营性资金占用；企业文化建设存在不足；合同管理、固定资产管理存在薄弱环节等。

六、内控审计的基本情况分析

427家披露内控报告的公司中，258家公司披露了内控审计报告。

（一）258家公司由44家审计机构进行内控审计，承担内控审计的事务所较之202_年增加了10家，与202_年基本持平

其中，国际四大所承担了64家公司的内控审计，占实施内控审计公司总数的25%，数量和占比增加明显，说明大型优质公司的内控审计业务有向四大集中的趋势。国内所中，接受内控审计业务超过10家的会计师事务所分别为：立信23家、中瑞岳华17家、天健15家、大信12家、信永中和11家、京都天华11家、大华10家、天职国际10家、天健正信10家。

（二）审阅意见和审计意见各占一半

在所有披露内控审计报告的公司中，除去63家强制披露审计报告的公司，有90家公司自愿披露了内控审计报告，105家公司自愿披露了内控审阅（核）报告。根据审计理论，审计业务与审阅业务在鉴证业务目标、证据收集程序、所需证据的数量和质量、鉴证业务的风险、鉴证对象信息的可信性以及提出结论的方式等方面均存在显著差异。简言之，审计业务是一种合理保证，而审阅业务是一种有限保证，前者的效力要远远高于后者。半数以上上市公司采用审阅意见，一方面表明公司及会计师在内控审计方面较为谨慎，不愿（或不能）出具更高层次的鉴证意见，另一方面表明公司对于内控审计的成本控制较严（审计由于其工作量大大高于审阅，因此其收费也较高）。

七、关于内控及内控报告披露的几点思考

（一）内控不是解决企业所有诚信问题的“灵丹妙药”

内控在帮助企业提高经营管理水平、有效防范各类风险方面具有不可替代的作用，但是内控也并非是解决企业所有诚信问题的“灵丹妙药”。安然事件以后，美国出台了萨班斯法案，强化了上市公司与财务报告相关的内部控制。这使人们形成了一种误解，即单纯依靠内部控制就可以防范类似于安然之类的不诚信事件的发生。实际上，很多人忽略了萨班斯法案中对于发生财务报告舞弊公司高管的严厉的责任追究机制，这种责任追究甚至严厉到天文数字的民事赔偿和追究刑事责任的高度。因此，内控只是构建企业诚信的一个环节，仅仅依靠内控也无法完全解决企业不诚信的问题，更重要的是整个法律体系的构建，包括公司大股东、高管的责任追究机制、发生财务报告舞弊之后的民事赔偿机制、相关中介机构的责任追究机制等。而我们的企业也应该认识到，资本市场为企业提供了一个便捷的融资平台，借助这个平台企业可以低成本地获得其发展所需要的资金，迅速做优做强。但是如果企业不重视诚信问题，不尊重投资者，那么无论其是在A股市场、H股市场还是在美国市场，都最终会被市场和投资者所抛弃。在这个问题上，法制、观念和良知要比单纯内控层面的问题重要得多。

（二）需要进一步明确内控的“边界”与“内涵”

从披露内控报告的第一天起，企业内部控制的“边界”与“内涵”便一直是一个充满争议的话题。由于目前较为公认的对于内控的定义方式是一个间接而非直接的定义方式，造成了内控的具体内容与内控的目标休戚相关，而内控目标的不同又直接导致了内控具体内容的千差万别。仅就财务报告内部控制而言，虽然业界对其基本内容并无太大争议，但具体到技术细节，仍存在理解上的分歧。如一般内部控制和财务报告内部控制的具体边界究竟在哪里，不同行业、不同规模是否存在不同；如在202_年内控报告中，许多公司都将对关联交易的控制视为财报内控的一个方面，但关联交易究竟是一个内控问题还是更加偏向于公司治理的范畴仍有待讨论；又如内控中“期后事项”（财务报告的期后事项涉及到对于财务报告中会计估计的确认，因此其指向较为明确），也存在指向不够明确的问题等等。

（三）规范财务报告内部控制的建设和披露仍然任重道远

向投资者提供一份相对准确的能反映企业真实经营情况的财务报告，是上市公司内控建设的出发点和首要目标。但是，每年都会有公司在年报披露完成之后需要发布补充或更正公告，而补充或更正的内容往往是最为基础的会计数据，如每股收益、业绩变动比例的计算出现差错等，甚至发生过将数量单位“元”误写为“万元”的低级错误，这说明仍有一定数量的上市公司在最基本的会计控制方面都存在不尽完善之处。

除此之外，另一个常常被忽视的问题是关于会计估计形成过程的披露，如银行业的“拨备覆盖率”这个会计估计就会对其最终报告的业绩“数字”产生重大影响。202_年开始实施的新会计准则将“公允价值”列为会计的计量属性之一，这更进一步加大了会计估计对上市公司业绩的影响。但从目前的披露情况来看，上市公司对于会计估计和公允价值确定的内部控制过程的披露几乎还处在空白状态，这就给投资者阅读和理解公司的财务报告带来了很大的障碍。总体看来，财务报告内部控制的建设和披露仍然任重道远。

（四）建立和健全内控信息虚假披露的责任追究机制

信息披露的核心价值在于其决策有用性，而这同样也是内控信息披露的出发点和归宿。内控对于企业而言，其作用在于服务于企业战略目标，有效控制风险，从而为企业的生产经营保驾护航。但对于投资者而言，内控信息披露的意义首先在于告知投资者企业可能面临的各类风险、企业财务报告相对可靠的程度、企业应对各类风险时存在的缺陷以及未来的改进措施，从而使得不同风险偏好的投资者做出相应的投资决策。因此，内控信息披露的核心在于对内控目标的风险揭示。遗憾的是，从目前上市公司披露的内控报告来看，真正做到充分揭示风险的公司寥寥无几，这直接导致了目前上市公司披露的内控报告信息含量不足、市场反映不佳的尴尬。造成此种状况的原因，一方面可能是由于强制披露与自愿披露内控报告的公司本身质地较好，但另一方面也可能是由于风险揭示在某种意义上类似于“自报家丑”，因而公司不愿（或不能）进行如实披露。因此建立以交易所自律监管、证监会行政处罚和国家层面法律制度三者相结合的内控信息披露责任追究制度就愈发显示出其重要性和迫切性，以使虚假和不负责任的内控信息披露主体付出成本，直至被追究法律责任。唯此，才能使内控报告的披露符合信息披露真实、准确、完整的基本要求；才能发挥好资本市场实现资源配置的基本功能，不出现“好人吃亏”、扭曲市场机制的情形；才能为实现包括内控指标在内的上市公司分类监管打好基础；才能使内控情况较好和如实披露内控情况的上市公司在再融资、并购重组审核等方面得以享受政策优惠成为可能；也才能使内控得以“物尽其用”，真正发挥其在提高上市公司质量方面的作用。

（五）内控报告的披露要求应与资本市场的发展阶段与成熟度相协调

从历年内控报告的披露情况来看，总体上其所披露的内容可读性不强、信息含量不高、个性化不足、对于投资者的投资决策帮助较小。产生此种情况的原因既与上市公司自身有关，也与资本市场的整体状况紧密相连。从理论上讲，信息披露对于资本市场而言，一方面是解决上市公司与投资者之间的信息不对称，从而保护投资者的合法权利，另一方面在于上市公司通过信息披露向投资者传递自身的生产经营状况从而使得“好”的上市公司获得较低的融资成本，而这也是上市公司披露各类信息的内生动力。内控信息的披露也难逃俗臼，只有当资本市场能够给与内控较好的公司以“溢价”（当然首先要保证其所披露的内控信息真实准确），内控信息的披露才能从“要我披露”转化为“我要披露”。但显然，仅就目前而言，我国资本市场显然还不完全实现该功能。内控信息的披露，既有赖于上市公司本身的内控建设和诚信披露，又有赖于整个资本市场环境的改善，包括法律环境、投资者素质和市场监管的成熟度等。因此，内控信息的披露政策，应该适应资本市场的发展阶段，与投资者的成熟度相协调。重实际、不盲从，重鼓励、不强制,重效果、不求全。唯此，才能真正发挥内控应有的作用，提高上市公司质量，促进我国资本市场更快更好发展。

----此文为上海证券交易所资本市场研究所年报专题小组徐明磊执笔

第五篇：信息披露内部审批表

**** 股份有限公司

信息披露内部审批表

档案编号：

申请部门

拟稿人

申请日期

披露日期

披露内容

公告编号

刊登报刊

披露网站

总会计师 审核意见

董事会秘书 审核意见

相关负责人 审核意见

总经理 审核意见

董事长 意

见