我国上市银行内部控制信息披露研究
一、引言
商业银行是金融领域的重要组成部分，在整个社会经济体系中占据特殊地位。从世界各地曾发生的金融危机带来的严重后果可以看出，金融领域的危机会给整个国家的经济秩序带来影响。同时，越来越多的投资者也意识到，商业银行企业价值的衡量不仅要考虑经营情况与发展前景，还必须考虑内部控制制度的完善性和执行情况。内部控制信息披露情况反映了该公司财务报告的真实性，直接影响到财务报告的有用性，从而影响上市银行与利益相关者之间的关系。
从2000年沪深交易所的内控指引和《企业内部控制配套指引》到2010年财政部的《企业内部控制配套指引》，我国关于企业内部控制的相关政策不断建立并逐步完善。这些政策不仅体现了国家对内控信息披露质量的关注，也使内控披露质量的提升成为了上市公司与监管部门需要思考的重大课题。
二、上市银行内部控制信息披露的特殊性及现状
内部控制信息披露是指上市公司为保护投资者、债权人等的利益，依照法律要求，通过自我评价与注册会计师评价的方式，定期对企业内部控制的完整性、有效性、合理性进行评价，并将评价结果以报告形式披露给外部使用者。
（一）上市银行内部控制的特殊性
银行作为货币经营类企业，其业务与其他企业相比具备特殊性。首先，银行资金负债比例远高于其他行业，流动性风险和利率风险明显较高，这就导致了银行的披露重点更加侧重于流动性。同时，由于银行的债权人多来自普通民众或者中小企业，债权人的监督力度明显不足。其次，银行业的披露政策较为严格，由于银行业在国民经济体系中的特殊地位，监管部门对银行内控信息的要求也较其他行业严格。最后，在内部控制信息披露的选择上，由于银行业务的特殊性，其要求的保密性较强，所以在披露的内部控制的信息上，银行往往因慎重选择而影响了披露的信息量。
（二）上市银行内部控制的主体及内控信息披露的载体
上市银行内部控制主体包括董事会、监事会、管理层和外部审计机构四个方面。
董事会和管理层负责内部控制的建立与健全，董事会的披露载体是董事会报告和内部控制自我评价报告，管理层的披露载体是公司治理报告。而监事会主要是对内部控制进行补充，对内控情况进行独立评价，其披露载体是监事会报告。会计师事务所负责对银行的内部控制进行独立评价并评定内部审计的有效性，其披露载体是会计师事务所审核报告。银监会作为监管机构，在银行没有建立良好的内部控制体系或内控没有得到贯彻执行时，银监会将采取介入措施。
本文研究的上市银行内部控制信息披露是指银行内部控制中的四大主体在公司年报中对内部控制的信息披露。上市银行年报中的五个披露载体从不同方面披露内部控制的制定和执行情况，说明内部控制的健全程度，帮助投资者获取信息并做出正确的投资决策。
（三）我国上市银行内部控制的现状
――基于年度报告的分析
本文查阅了2010～2012年上市银行年报中内部控制披露情况并汇总为表1。从表1中可以看出，上市银行内部控制信息披露的总体情况较为完整，但单看每种披露载体可以发现，上市银行明显倾向于采用内部控制自我评价报告和会计师事务所审核报告的形式披露内部控制情况，披露的内容基本上也是说明内控制度的完整性、有效性、合理性情况。
1. 董事会报告：上市银行在董事会报告中披露内部控制的相关信息在2010年只有8家，而到2012年增长到11家。虽然有较多的银行选择在董事会报告中披露内部控制情况，但相对来说，该报告中披露内部控制信息量较少，一般都是在内部控制制度及制度建设情况一节中提到内部控制建设情况，通过事务所对该银行的缺陷认定情况来说明内部控制的有效性。
2. 公司治理结构：2010年，只有两家上市银行没有在公司治理结构披露内部控制相关信息，其他银行均在公司治理一章披露了内部控制的建立健全和执行情况，描述银行内部控制本身和内部控制监督的情况。到2012年，没有在公司治理结构中说明内部情况的上市银行上涨到了8家，有些银行是因为在2012年年报中单独设置内部控制一章，详细介绍了内部控制的相关情况，包含了之前在公司治理结构中披露的内容。但有部分银行虽然增加了内部控制一章，但总体的披露信息量却没有增加，甚至有所减少。
3. 监事会报告：相比来说，上市银行更倾向于在监事会报告中披露内部控制的相关信息。2010年，只有浦发银行没有在监事会报告中披露内部控制信息。到2012年，未在监事会披露内部控制信息的银行虽然增长到了5家，但有几家是在内部控制单独章节提到监事会对内部控制的声明。在披露方式上也比较相似，一般都是通过在 “监事会就有关事项发表独立意见”中设置“内部控制情况”一节披露对内控信息的意见，而意见通常是肯定的。
4. 内部控制自我评价报告：内部控制自我评价报告是上市银行运用最广泛的的披露方式，也是相关信息量最大的披露载体。自从国家政策规定上市银行披露内部自我评价报告后，基本上所有的上市银行都披露了内部控制自我评价报告，但有个别银行并没有附录在年报中。上市银行的内部控制制度自我评价报告的形式基本相似，包括内部控制目标的设定、内部控制体系或组织结构，然后从内部控制环境、控制活动分别描述其控制情况。
5. 内控审核报告：内控审核报告是会计师事务所审核报告披露对内部控制的评价审核意见。结合2010～2012的年报可以看出，事务所报告多是以注册会计师审计准则作为审核依据，很少采用《内部控制审核指导意见》，这就导致了报告的内容和格式有较大区别。而审计意见一般也都是对内部控制情况的消极保证。 从上述分析中可以看出，内部控制自我评价报告和事务所审核报告披露的内部控制信息较多，而在董事会和监事会中关于内部控制评价的内容却比较少，基本上只有寥寥数语，表现出来较为明显的形式主义。而由于政策监管力度的影响，2010～2012年内部控制披露总的信息量呈上升趋势。在评价依据上，内部控制自我评报告及审核报告缺少统一的评价审核依据，各银行审核披露信息各异；从披露主体对内部控制信息的评价内容来看，正面评价占绝对多数。可见，我国上市银行的内部控制信息披露体现了较明显的原则化，缺少实质性的披露，报告使用者难以通过上市银行披露的内控信息来判定其内控制度的建立健全程度，也难以揭示内部控制缺陷。
三、上市银行内部控制信息披露存在的问题
随着我国对银行业内部控制信息披露的规定越来越多，以及法律法规的逐渐完善，近年来银行业的信息披露情况大有好转，但与发达国家相比，在法规制定和政策执行上都有所欠缺，具体表现如下。
（一）上市银行并不是自愿地披露内控信息，表现为较明显的形式主义
银行都倾向于披露好消息，隐瞒坏消息，信息量只是满足监管的最低要求，披露信息分散混乱。银行不愿意主动披露内部控制的详细信息，主要还是因为公司担心坏消息会影响银行声誉进而影响股价。但银行应该认识到，信息披露的真实性与数量反映了其诚信程度，披露的信息多对于投资者来说可能更容易相信报告的真实性。同时，银行还可以以此为契机，完善内部控制的各项制度，加强风险管理，增强经营的稳定性。银行状况的好转直接反映在披露的信息中，这样就可以吸引大量投资者，获得稳定的资金流，增加企业价值。
（二）内部控制信息披露缺乏统一标准
从各银行的年报可以看出，银行间的年报结构各不相同。比如在管理层的讨论与分析的设置上，有的单独在一级项目中设立管理层讨论与分析，有的就叫讨论与分析，还有的叫管理层分析与讨论。各银行年报的结构大相径庭，导致了难以形成规范的内控信息的披露载体。同时，近几年出台的政策法规对内部控制自我评估的规定较为简单，造成了上市银行内部控制信息披露的位置不固定，分布广泛。
（三）内部控制信息质量：量足质缺
从2010～2012年上市商业银行“内部控制自我评估报告”中可以看出，上市商业银行大部分能够按照“内部控制整体框架”的五要素进行描述，但内部控制信息质量并不高，基本上仅限于对内部控制制度的描述，而对内部控制实施情况却并未给出有实用价值的结论。此外，内部控制信息披露不具有连续性，如农业银行在2010年内部控制自我评估中披露了在内部控制自我评价过程中关注到的与非财务报告相关的内部控制缺陷情况，但在农业银行2011年内部控制自评报告中却并没有找到关于2010年内部控制缺陷整改情况的说明，2010年的内部控制缺陷是否解决也无从知晓，2011年内部控制自评报告结论是“未发现本行在内部控制设计或执行方面存在重大缺陷，其他缺陷可能导致的风险均在可控范围之内”，空洞地说明内控问题，真实性值得怀疑。
四、完善上市银行内部控制信息披露的建议
从上述对上市银行内部控制信息披露的分析可以看出，由于监管力度增强和银行自身认识的提高，近三年我国银行业内控信息披露的数量和质量整体呈上升趋势，但与国际水平相比还是有很大差距。对此，本文提出以下建议。
（一）完善现有的基本法律规范
首先，统一上市银行内部控制评价和审核标准。我国内部控制审计存在依据不一致、披露格式和内容不统一等诸多问题，这就需要相关部门尽快制定相关准则，使内控信息披露有据可依。其次，鼓励自愿性披露，但必要时可采取相应的强制手段。最后，加大监管力度，银行的监督机构较多，为使各监督机构充分发挥其监督作用，需要各监管机构的通力配合，增加被监管方的违约成本，形成较为完善的奖惩制度。
（二）建立和健全内控信息虚假披露的责任追究制度，降低风险
内部控制的作用主要是向投资者揭示风险，但是从目前上市商业银行内部控制信息披露情况看，绝大多数上市银行不愿揭示自己的内控缺陷和内控风险。因此，如何提高内部控制信息的真实性，是有关部门必须考虑的一个严峻的问题。相关部门必须建立和健全内部控制信息虚假披露的责任追究制度，当发现内部控制信息是虚假时应进行严厉惩处，增加发布虚假信息的成本，使内控报告的披露符合信息披露真实、准确、完整的基本要求。
（三）加快资本市场发展，提高内控信息披露的动力
内部控制的发展和完善与资本市场的发展和完善是协同的，内控信息的披露既依赖于上市公司本身的内控建设和诚信披露，又有赖于整个资本市场环境的改善。因此，要加快资本市场的发展，向成熟的资本市场靠拢，为内部控制发展营造良好的法律环境、市场环境，给予真实准确披露内部控制信息的公司更多的“溢价”，使上市公司自愿进行内部控制信息披露，更好地发挥内部控制的作用。
