一、引言
內部控制是防范企業(yè)財務報告錯誤和舞弊行為的重要防線，也是保證企業(yè)財務報告真實、完整的內在機制。美國安然、世通財務舞弊事件發(fā)生后，各國監(jiān)管機構將監(jiān)管重心從單純注重財務報告本身的信息質量，轉向財務報告本身信息質量與建立健全財務報告信息質量保證體系并重。為此，美國于2002年通過了強制性要求內部控制信息披露的《薩班斯—奧克斯利法案》。我國資本市場起步較晚，發(fā)展較不完善，相關的內控政策出臺較遲。針對國際市場的內控變革，我國也出臺了一系列政策指引，對上市公司的內部控制信息披露進行規(guī)范。但是，考慮到條件不成熟，未對所有的上市公司強制性實施。個別上市公司出于向市場傳遞利好信號的考慮，以便將自己同其他上市公司區(qū)分開來，進而對投資者的投資決策產生影響，對內部控制信息進行了自愿披露。
相較于國外強制性披露的執(zhí)行效果，國內上市公司對于內部控制信息的披露質量參差不齊。無論是披露范圍，還是披露內容以及披露的方式都呈現出較大的隨意性。同時，在國內由于政策的側重點不同，不同行業(yè)的內部控制信息披露質量也存在較大的差異。國家對于上市銀行的內部控制信息披露要求更高，相關的政策指引更為細致。上市銀行內部控制信息的披露質量略高于其他公司。對于金融類上市公司的內控信息披露狀況，已有學者進行了案例研究，發(fā)現其內部控制信息的披露呈現出較為明顯的形式主義（瞿旭等，2009）。
二、內部控制政策法規(guī)及相關研究
本文在研究設計中將上市公司內控信息披露歷程劃分為自愿披露與強制性披露兩階段，自愿性內控信息披露階段是指2006年以前，強制性信息披露始于2006年，需要說明的是，這里所說的強制性僅僅指部分內控信息，例如，2006年以后上市公司至少需要在“重要事項”一節(jié)說明其內部控制建設情況。
?。ㄒ唬┳栽概峨A段的內部控制法規(guī)及相關研究
在近來的研究中，有關內部控制的法規(guī)文件一般追溯至2000年，證監(jiān)會要求商業(yè)銀行在年度報告對內部控制建設進行說明。繼而，2001年起，中國證監(jiān)會要求一般上市公司的監(jiān)事會對該公司是否建立了完善的內部控制制度發(fā)表獨立意見，若監(jiān)事會認為內部控制完善，可以不對外披露。2003年3月證監(jiān)會又針對上市銀行內部控制信息披露做出了規(guī)定，明確了董事會對于內部控制的責任。2005年中國證監(jiān)會要求上市公司定期對內部控制的完整性、合理性及實施的有效性進行檢查和評估，并開始要求上市公司通過外部審計對公司的內部控制制度以及公司的自我評估報告進行核實評價，該年度內銀監(jiān)會還發(fā)布了商業(yè)銀行內部控制評價辦法?？梢哉f，我國在2006年以前以及美國在2002年以前并未對內部控制信息披露做出強制性規(guī)定，內控信息披露系上市公司自選擇的行為。那么具體實施效果如何呢?
我國2001年上市公司內部控制信息披露在很大程度上流于形式、缺少實質性內容，披露主體主要為監(jiān)事會（李明輝等，2003）。張立民等（2003）研究表明，我國ST上市公司在2001年與2002年年報中披露的內部控制信息不少前后矛盾，且以說好話為主。2003年，上市公司大多披露了內部控制信息，但披露詞句模糊，證監(jiān)會的規(guī)定并沒有得到很好執(zhí)行（蔡吉甫，2005）。2003到2005年間，上交所上市公司內部控制信息有逐年增加的趨勢，但總體水平較差（方紅星等，2009）。
以上的研究主要是針對一般上市公司，那么對內部控制信息披露管制嚴格的金融類公司而言，其內部控制信息披露如何呢？上市銀行2001到2006年間，在年報中披露的內部控制信息存在諸多問題（黃秋敏，2008），類似的，倪慧萍（2006）通過對上市銀行年報的分析發(fā)現，上市銀行未嚴格遵循內部控制信息的披露要求。
通過以上研究可以看出，2001至2005年間，上市公司的內部控制信息披露存在較多問題，披露主體多元化，披露內容形式化。為完善上市公司的內部控制信息披露，提高披露的信息含量，相關的研究針對披露中存在的問題提出了眾多建設性的針對性極強的建議和意見。與此同時，2006年監(jiān)管機構出臺了相關的法規(guī)文件，對內部控制信息披露進行了更詳細嚴格的規(guī)定，2006年被認為是內部控制信息披露具有轉折性意義的一年。故眾多學者將2006年以后的內部控制信息披露視為強制性披露的始點。
（二）強制性信息披露階段的內部控制法規(guī)及相關研究
2006年，上交所與深交所分別于6月5日和9月28日發(fā)布了《上市公司內部控制指引》（以下簡稱《指引》），前者自2006年7月1日起生效，后者自2007年7月1日實施，兩者皆要求上市公司披露董事會編制的內部控制自我評估報告以及會計師事務所對內部控制報告的核實評價意見。考慮到實施的倉促性以及我國上市公司內部控制建設的現狀，上交所于2006年12月在《關于做好上市公司2006年年度報告的通知》中對《指引》做了補充，只要求上市公司在年報的“重要事項”部分披露內部控制信息，鼓勵有條件的上市公司遵守《指引》的規(guī)定。2007年，國務院法制辦公室、證監(jiān)會以及深交所發(fā)布了對上市公司年報工作的條例與通知，其中都特別提到了有關內部控制信息披露的要求。2008年1月2日，在上交所發(fā)布的關于2007年年報工作的通知中，也涉及了關于內部控制信息披露的內容。尤其應引起注意的是，2008年6月28日財政部等五部委頒布了《企業(yè)內部控制基本規(guī)范》，自2009年7月1日率先在中國境內上市的公司執(zhí)行。緊接著，2010年4月15日又出臺了《企業(yè)內部控制配套指引》，自2011年起要求部分上市公司執(zhí)行。
在相關的政策背景下，李享（2007）通過對上市公司2006年年報中披露的內部控制信息的分析發(fā)現，內部控制信息的披露并不理想，同時，2006年內部控制信息披露的強制性規(guī)定并未得到執(zhí)行，信息披露動機不足，上市公司的內部控制自我評價以及會計師事務所的核實評價缺少統(tǒng)一的標準（楊有紅等，2008）。2007年，總體來說，大約40%的上市公司披露了內部控制評價報告，然而，只有約12%的公司聘請了外部審計機構對公司的內部控制評價發(fā)表意見（張士強等，2009）。林斌等（2009）研究表明，其選取的2007年度滬深兩市的研究樣本中有約15%的上市公司自愿披露了鑒證報告，并且中央控股公司自愿披露鑒證報告的動機更強。在2006到2008年間，約有10%的上市公司首次執(zhí)行了內部控制鑒證（張龍平等，2010）。對于內部控制缺陷的披露而言，2007年樣本公司中有244份年報披露了公司的內部控制缺陷，占所有上市公司的比例約為18%；2008年樣本公司中披露內部控制缺陷的有98家，占所有上市公司的比例約為7%（劉亞莉等，2011）。方紅星和金玉娜（2011）研究發(fā)現，在其選取的2009年研究樣本中，有28.28%的公司自愿披露了內部控制鑒證報告，其中分別有89.93%和10.07%的公司披露了合理保證的內部控制鑒證報告與有限保證的內部控制鑒證報告。
可以看出，自2006年以來，內部控制信息披露發(fā)生了轉折性的變化。上市公司基本都能簡單按照相關規(guī)定披露內部控制信息，在未強制要求披露內部控制自我評估報告以及內部控制鑒證報告的背景下，已有相當一部分上市公司出于信號傳遞的考慮，主動披露了內部控制自我評估報告以及內部控制鑒證報告。在披露的內部控制信息中，開始有意識地披露內部控制中存在的缺陷。然而，對于內部控制缺陷重要性的劃分尚無具體的指導細則，在相關的研究中，很多學者將上市公司披露的內部控制問題一概歸入內部控制重大缺陷，存在不合理的以偏概全現象。
三、內部控制信息披露歷程的案例分析
?。ㄒ唬┌咐倪x取
沱牌曲酒（股票代碼：600702），于1996年在上海證券交易所上市，曾被評為“上海證券交易所治理樣本公司”，率先披露了內部控制評價報告與內部控制鑒證報告；深發(fā)展（股票代碼：000001），于1991年在深圳證券交易所上市，系早期上市以及金融類公司中較具代表性的上市公司；綠大地（股票代碼：002200），于2007年在深圳證券交易所上市，曾一度因為上市造假，而被認為是繼銀廣夏之后A股的一大污點。
本文所選取的樣本公司，皆具有鮮明的代表性。案例公司不僅分布于不同的行業(yè)，而且在不同的時間上市，其時間段涵蓋了股市的發(fā)展歷程，而且見證了內部控制信息披露的足跡。此外，所選取的案例公司有明顯的治理上的區(qū)別，尤其是作為上市公司典型代表的深發(fā)展，更是被給予政策厚望。本文試圖踏著政策法規(guī)的足跡，一探上市公司內部控制信息披露的虛實。
?。ǘ﹥炔靠刂菩畔⑴遁d體
1.自愿披露階段的內控信息載體
證監(jiān)會在2001年要求上市公司監(jiān)事會對公司的內部控制發(fā)表獨立意見，但未作強制性規(guī)定。繼而，在2003年又明確了董事會對內部控制的責任。2005年發(fā)布的法規(guī)文件開始對內部控制自我評估報告以及內部控制的核實評價報告作出要求，主要責任方依然是上市公司的董事會。
沱牌曲酒在2001年年報的“董事會報告”與“監(jiān)事會報告”部分，對相關項目的內部控制進行了說明。在此后的2001—2005年度內，內部控制信息的披露僅出現在監(jiān)事會報告中。
深發(fā)展在2001年與2002年在年報中的“監(jiān)事會報告”以及專設的“內部控制的完整性、合理性與有效性的說明”部分涉及了公司的內部控制制度的說明，其中后者還包括了會計師事務所的內部控制審核報告。公司在2003年“董事會報告”、“監(jiān)事會報告”以及“銀行業(yè)務數據摘要”部分披露了內部控制信息，而在2004與2005年僅僅在“銀行業(yè)務數據摘要”部分對公司內部控制制度進行了說明。
2.強制性披露階段的內控信息載體
2006年上海證券交易所發(fā)布通知，明確要求上市公司應在“重要事項”部分說明內部控制的建設，鼓勵有條件的上市公司同時披露內部控制評估報告以及會計師事務所對內部控制評價報告的核實評價意見。2008年，五部委頒布了《內部控制基本規(guī)范》，對內部控制的具體內涵做了詳細說明，但未明確指出內部控制信息的披露載體。
沱牌曲酒在2006年年報中的“監(jiān)事會報告”以及“重要事項”段提到了公司內部控制制度，2007年公司在“公司治理結構”段詳細披露了內部控制建設，其中包括內部控制自我評估報告以及內部控制鑒證報告。沱牌曲酒2008年年報在“公司治理結構”段對內部控制進行了詳細的描述，然而，該年度僅僅披露了內部控制自我評估報告，未聘請審計機構對公司的內部控制進行核實評價，2009年與2008年的差異在于又開始披露內部控制審核報告。沱牌曲酒2010年內控信息載體與往年的區(qū)別在于獨立于年報對外披露了內部控制鑒證報告。
深發(fā)展2006年年報中僅在“銀行業(yè)務數據摘要”段提到了內部控制制度，從2007年年報起，公司年報中增設“內部控制報告自我評估報告”一節(jié)，對內部控制進行了詳細的敘述，并在附件中公布了內部控制審核報告。深發(fā)展獨立于年報向外公布了2008年度內部控制自我評估報告，并在2008年年報“內部控制自我評價報告”段披露了相關的內部控制信息，該公司在2009年報“公司治理結構”一節(jié)中披露了內部控制自我評價并且獨立于年報進行了內部控制自我評估報告披露。深發(fā)展2010年內控信息載體與往年的不同之處在于該公司對外獨立公布了內部控制鑒證報告，而不是附屬于年報，而且在“管理層討論與分析”部分也提到了內部控制制度。
綠大地于2007年上市，由于其虛假上市行為而廣受關注與議論，同時深陷訴訟泥潭。該公司在2007年年報“公司治理結構”以及“監(jiān)事會報告”段對公司的內部控制進行了說明，此后，公司獨立于年報披露了2008年內部控制自我評價報告以及內部控制審核報告。2010年卻僅僅披露了2009年的內部控制自我評價報告，2011年該公司又開始對外披露2010年的內部控制鑒證報告，并在2010年年報中的多處提到了公司的內部控制制度，披露的內容同樣主要集中在“公司治理結構”一節(jié)。
綜上所述，可以看出，上市公司內部控制信息披露的載體包括年報中的監(jiān)事會報告、董事會報告、重要事項、管理層討論與分析、公司治理結構、業(yè)務數據摘要以及內部控制自我評價報告和內部控制審核報告。從最初的多元化的披露到后來內部控制報告中的集中披露，表明內部控制信息披露制度的不斷完善。
（三）內部控制信息披露的連續(xù)性
通過內部控制信息披露載體的分析可以看出，2004年沱牌曲酒沒有在年報中說明任何內部控制的信息。該公司在2007年同時披露了內部控制自我評估報告與審核報告，而在2008年卻僅僅披露了自評報告，2009年又復同時披露。
深發(fā)展在2003年中斷了內部控制自評報告與內部控制審核報告的披露，直至2007年方又開始披露。2008到2010年期間則又中斷了內部控制鑒證報告的披露。上市較晚的綠大地，其上市初期即比較重視對內部控制信息的披露，然而，仍然不能做到內部控制報告的連續(xù)披露，例如，該公司未披露2009年度的內部控制鑒證報告。
各上市公司恰恰在政策的拐點完整的按要求披露了內部控制信息，而后則消極對待。顯然，上市公司披露內部控制信息迎合監(jiān)管需求的意圖不言自明。
?。ㄋ模﹥炔靠刂菩畔⑴秲热?
2001年，沱牌曲酒在年報中指出了董事會對于各項資產計提及核銷資產減值準備的內部控制責任，直至2005年，公司關于內部控制的陳述各年度基本相同。在2006年年報中，公司指出開始啟動內部控制的相關工作，簡單說明了公司內部控制的建設情況，但并未披露具體信息。2007年起，該公司在內部控制自我評估報告中對企業(yè)內部控制進行了全面的梳理，在年報中占據了較大的篇幅，是內部控制信息披露具有轉折意義的一年。2008年，該公司根據《企業(yè)內部控制基本規(guī)范》的要求，較為詳實地披露了內部控制信息。2008到2010年間，內部控制信息披露實質內容差別不大。
深發(fā)展于2001年便開始在其披露的內部控制信息中對內部控制各方面進行全面的梳理，并且由會計師事務所出具了內部控制審核報告，2002年與2001年基本相似。2003年該公司在年報中指出“內部控制不夠完善，需要努力改善”，較往年信息量較少。2004到2006年期間，披露的內部控制信息僅為內部控制有效性的陳述。從2007年起，深發(fā)展內部控制信息披露的內容發(fā)生了轉折性的變化，披露的內部控制信息開始涵蓋企業(yè)的多方面。2008年在2007年基礎上增加了獨立董事等對內部控制的評價意見。2009年與2010年內部控制信息披露內容稍有完善，變化不大。
綠大地不僅在2007年年報中對內部控制進行了說明，披露的內容主要是對企業(yè)內部控制建設的簡要說明，同時，在披露的內部控制自我評價報告以及內部控制鑒證報告中，還提出了完善內部控制的措施，比較而言，該公司的內部控制信息披露狀況較好。2008年較2007年披露的內控信息更具體，只是含糊的提到內控問題。2009年該公司按照《企業(yè)內部控制基本規(guī)范》的框架披露了內部控制信息，但上年存在的問題仍未解決。2007—2009年的內控鑒證報告皆未提及存在的內控問題。2010年綠大地在其年度報告以及內部控制自我評估報告中都對內部控制存在的問題進行了說明，并且會計師事務所在內部控制鑒證報告中明確指出該公司內部控制存在重大缺陷。
總之，順著內控法規(guī)的征程，可以看到企業(yè)披露的內控信息日益詳實，有些上市公司還主動披露了存在的問題以及完善的措施，使投資者在連篇累牘的內控建設信息中，也可以嗅出潛在的危機。但總體而言，實質性的內控信息有限，多為一般性的陳述。
四、結論及啟示
循著內部控制政策法規(guī)的足跡，分析發(fā)現，伴隨著內部控制相關政策法規(guī)的出臺，上市公司內部控制信息的披露日益充分、完善，內部控制信息的載體日趨明確，內容基本符合相關規(guī)定。然而，在分析過程中可以看出，現階段內部控制信息披露的政策效應明顯，當政策發(fā)布時，上市公司會有針對性地做出反應，繼而會消極對待。此外，內部控制的信息多是對企業(yè)內部控制建設的披露，而乏對企業(yè)內部控制問題的陳述。內部控制自評報告以及內部控制鑒證報告主要是對內部控制有效性的聲明，只有在財務狀況被發(fā)現以后才會披露相關內部控制問題。
近年來，內部控制的諸多研究中，把是否披露或是否詳細披露相關內部控制信息作為內部控制質量的代理變量，通過案例分析可以發(fā)現，披露內部控制相關報告并不能完全代表內部控制質量的高低，首先，內部控制報告的披露不具有連續(xù)性，有的企業(yè)是為了表明自己對于內部控制政策法規(guī)的遵守，也許會在某一年度公布內部控制報告，在以后的年度出于成本或者其他的考慮便中斷了內部控制報告的披露。其次，有些企業(yè)會通過披露內部控制報告來掩蓋本企業(yè)內部控制存在的不足，相較于不披露內部控制帶來的市場負面反應的代價而言，完整的披露內部控制報告的成本要小得多。
