上市公司内部控制信息披露存在的问题及改进措施
国《SOX法案》的出台开启了全世界重视内部控制信息披露的时代。内部控制信息披露作为上市公司信息披露的重要组成部分，是董事会和审计委员会依照相关法律法规和标准的要求，对上市公司内部控制设计的合理性、运行的有效性、存在的不足及完善建议等进行评价，并对外公布内部控制评价报告。完善的内部控制制度作为上市公司健康运行的基础条件之一，可以协助上市公司确保经营活动遵守相关法律法规和政策，及时发现和有效控制发布虚假信息和伪造交易事项等扰乱市场事件的发生，规范上市公司的会计行为，防范财务报告中无意或有意的错误和舞弊，有助于保证财务报告和相关信息的真实完整，增加外界财务报告使用者对披露信息的信赖程度，提高经营的效率和效果，促进上市公司实现发展战略和组织增值。我国内部控制信息披露制度起步较发达国家晚，对于目前上市公司内部控制信息披露质量不高的现状，深入分析存在的主要问题并探讨解决问题的措施，对我国资本市场的健康运行和上市公司自身来讲都有重要的现实意义。
一、上市公司内部控制信息披露存在的问题
（一）内部控制信息披露缺乏详细一致的披露标准
虽然我国财政部等六部委推出的《上市公司内部控制配套指引》中规定了上市公司应当披露的内部控制项目，但没有详细说明披露的形式、范围、内容等，比如财政部虽然明确指出上市公司监事会应当对其内部控制制度是否完善进行评价，但该披露要求仅限于“是否建立完善的内部控制制度”，并没有要求披露上市公司内部控制的具体信息和监事会的评价；我国证券监督委员会要求上市公司在招股说明书中披露其内部控制信息和会计师事务所的审计结论，但对内部控制披露的内容未作出一致的标准，造成上市公司披露内部控制信息时可选择空间很大，导致上市公司在披露重要信息时含糊其辞。
我国证监会、深交所和上交所分别颁布了《上市公司内部控制指引》，由于上交所上市的股票多为大盘股，深交所上市的股票多为中小上市公司股票，导致他们对本交易所上市公司内部控制信息披露要求和标准有所不同，致使上市公司在披露时无所适从。如证监会在《公开发行证券的上市公司信息披露内容与格式准则第2号――年度报告的内容和格式》中规定，上市公司监事会应该在财务报告中对上市公司决策程序的系统性和内部控制制度的完整性作出评价。《上交所内部控制指引》规定，上市公司财务年报应当披露其内部控制的执行情况，若上市公司内部控制存在高风险应当用临时报告尽快披露。《深交所内部控制指引》规定，上市公司董事会对其内部控制情况发表意见，形成内部控制自我评价报告，由监事会和独立董事对此进行评价，并在财务年报里一一披露。由于证监会、深交所和上交所对上市公司披露标准和要求的不统一，在不同交易所挂牌的上市公司披露内部控制信息各异，致使上市公司披露内部控制制度时缺乏统一的标准。
（二）上市公司披露内部控制信息积极性不强
根据信号传递理论，如果上市公司内部控制制度完整且运行有效，有利于吸引投资者，大部分上市公司愿意披露其健全的内部控制信息。反之，内部控制制度不健全或运行状况不佳的上市公司会选择不披露或者有意隐瞒一些不良信息，防止因披露内部控制信息引发股价下跌等负面影响，对上市公司造成损失。国内多数上市公司对于强制性披露项目只是简单叙述上市公司的内部控制框架，并未披露其实质性内容，对于自愿性信息披露采取尽量少披露甚至不披露的政策。部分上市公司的内部控制制度只建立却不执行，内部控制部门不能发挥其真正作用。究其原因一是上市公司执行内部控制制度会增加上市公司的运营成本，如提供内部控制信息发生的人力物力财力等成本，披露内部控制信息尤其是自愿性披露信息的成本很大，多数上市公司认为会损害上市公司自身利益，不符合成本效益原则，因此采用不披露或少披露内部控制信息的方式来节省成本；二是上市公司担心披露不良的内部控制信息会逐渐失去投资者的信任，披露重要的信息会使得竞争者模仿超越，从而降低自身市场竞争力，未能充分认识到披露内部控制信息的必要性。披露的内部控制信息更多是出于敷衍政府和监管机构的要求，自身积极性不强。
（三）缺少内部控制法律惩罚条款
美国《SOX法案》里规定，对于披露虚假内部控制信息的上市公司和会计师事务所最高处罚金500万美金，对于涉案相关责任人和上市公司法人判处最多长达20年监禁。我国虽然颁布了《上市公司内部控制基本规范》和《上市公司内部控制配套指引》，要求上市公司对其内部控制信息进行披露，但在法律层面没有关于内部控制信息披露的专门文件对上市公司和会计师事务所进行约束，尚无法律条文规定上市公司和会计师事务所披露不实内部控制信息时应当承担的法律责任和处罚金额。由于不追究法律责任且违规成本很小，为上市公司披露不实信息提供了有利的法律环境，再加上主管机构监管不力，致使上市公司和会计师事务所选择对其最有利的方式进行信息披露，导致我国上市公司披露的内部控制信息失真问题日益严重。
二、上市公司内部控制信息披露的完善措施
（一）建立详细具体的内部控制信息披露标准体系
首先，制定详细的内部控制评价标准。我国《上市公司内部控制评价指引》虽然对上市公司内部控制评价内容、评价程序、缺陷识别等方面制定了比较具体的标准，但这些标准趋于原则导向，实践性不足。因此政府及监管部门应明确具体的内部控制评价标准，主要包括：一是内部控制五要素的评价标准，包括内部控制环境评价标准、风险评估评价标准、内部控制活动评价标准、信息与沟通评价标准、监督评价标准，就内部控制环境而言其评价标准可从员工的职业道德层次、治理层运行的效率效果、董事会的诚信水平等方面评价；二是内部控制活动评价标准，包括上市公司投资评价标准、融资评价标准、成本费用评价标准等。此外，鼓励上市公司应用模糊综合评价法、AHP法等评价技术方法对上市公司内部控制情况做出评价。 其次，要规定具体的内部控制信息披露的内容。为保障上市公司内部控制信息披露质量，详细披露内容应该包括：（1）上市公司董事会责任声明，包括对上市公司内部控制制度的健全性和有效性承担指导和监督责任，保证上市公司年报的真实性和可靠性。（2）上市公司内部控制自我评价声明，说明上市公司已根据规定对其内部控制制度制定和运转的完整性和有效性做出评价。（3）对内部控制评价中提出的内容与披露范围进行简要概述。（4）指出内部控制评价中应用的评价程序和方法。（5）上市公司内部控制是否存在缺陷的声明，若存在重大缺陷应具体指出采用的控制措施和方法。（6）若在上市公司报告期间内部控制制度制定与运行发生重大改变，应做出该重大改变详细情况和后果的声明。（7）内部控制及其评价固有缺陷声明。
再次，我国财政部等六部委、深交所和上交所对内部控制信息披露的标准有所差别，因此应该尽快制定统一的内部控制披露标准，来规范上市公司内部控制信息披露行为，加强上市公司的可操作性，使得在同一个证券交易所的不同上市公司、不同证券交易所的上市公司之间的内部控制信息具有可比性。
最后，要建立易于信息使用者获取内部控制信息的渠道。即在上市公司官网、证券交易所网站、新闻媒体等渠道上披露。在披露时间方面应该采用及时披露的方式，可以保证内部控制信息披露的时效性。
（二）激发上市公司自愿披露信息的积极性
对自愿披露其内部控制信息且披露信息真实详细可靠的上市公司，政府和监管部门应进行实质性奖励，如在信用评级、贷款、税收等方面给予政策支持或优惠，以鼓励上市公司自愿披露其内部控制信息，提高其内部控制信息披露的质量。在证监会和证券交易所网站上对其予以表扬，协助该上市公司树立优质的上市公司形象，以增加财务报表、内部控制评价报告的公信力。对于自愿披露信息动力不足的上市公司，政府和监管机构应对其实施严格监督，对“简单披露”或“虚假披露”的上市公司给予警告、批评甚至退市等不同程度的惩罚。这样会增加上市公司对内部控制信息披露的主动认识，激发其自愿披露内部控制信息的积极性。
（三）明确内部控制信息披露责任主体
上市公司管理层应承担建立运行内部控制制度的主要责任。为了反映上市公司内部控制实施情况，应在内部控制自我评估报告中披露评价结果，因此上市公司管理层应该成为内部控制信息披露的责任主体。这样做一方面可以促使管理层更加注重内部控制的建立和运行，另一方面可以督促相关责任人履行对上市公司内部控制的职责，加强责任主体对信息披露的重视程度，提高内部控制信息披露的质量。
（四）构建上市公司的声誉机制
信息使用者根据上市公司披露的信息了解其内部控制情况。根据信息不对称理论，上市公司是生产内部控制信息的工厂，因此与资本市场中内部控制信息的使用者存在严重的信息不对称。根据契约理论，契约双方基于相互信任履行各自职责，长期的相互信任就形成了声誉。在市场化、全球化的今天，声誉已经成为上市公司重要的“无形资产”，它会直接影响上市公司的经济利益。所以上市公司全体员工都应具有积极披露真实完整的内部控制信息的意识，帮助上市公司在资本市场建立优良的上市公司形象，为上市公司的发展带来巨大的附加价值，间接加强其获利能力。
（五）加大内部控制信息披露的法律监管和监督力度
第一，完善《会计法》《公司法》《证?环ā分杏肽诓靠刂葡喙氐墓娑ǎ?如在《公司法》中规定由董事会和监事会直接领导上市公司的内部审计部门，避免由总经理管理内审部门的情况发生，以此加强内审部门的独立性；在《证?环ā分懈秤杓喙懿棵哦陨鲜泄?司在证券市场中存在的重大违法行为起诉相关责任人的权利，以加强上市公司的自律意识。
第二，参考《刑法》第一百六十一条“提供虚假财会报告罪”，制定法律条款，对上市公司和会计师事务所披露虚假或隐瞒重要内部控制信息、出具不实内部控制评价报告和审计报告的行为，根据情节严重程度明确其应承担的法律责任并予以严惩，增加上市公司和会计师事务所的违规成本。
第三，可由各地政府牵头建立行业监督委员会，监管部门和当地行业监督委员会应联合起来定期对上市公司内部控制评价报告和财务报告的真实性、可靠性和健全性进行检查，强化各个责任主体的风险意识，强化监督部门的监督职能。
