中国上市公司内部控制指数（2016）：制定、分析与评价
■ 国家自然科学基金重点项目课题组 陈汉文 林勇峰 董望 刘思义
引言
长期以来，我国坚持发展是硬道理，发展必须是科学发展的理念，顽强拼搏、开拓创新，在“十二五”时期，我国经济社会发展取得了辉煌成就。《十三五规划纲要》指出，“十三五”时期，必须坚持以经济建设为中心，实现更高质量、更有效率、更加公平、更可持续的发展。2016年我国经济社会保持平稳健康发展，GDP达到74.41万亿元，比2015年增长6.7%。企业是经济发展的主体，为了提高经济发展的质量和效益，实现可持续发展，企业的健康发展至关重要。为了提高企业的管理和风险控制水平，促进企业健康可持续发展，我国政府由多部门协作，试图建立一套“适应我国企业实际情况、融合国际先进经验的中国企业内部控制规范体系”。
2008年6月28日，财政部、证监会、审计署、银监会、保监会联合发布了《企业内部控制基本规范》。为了保证该规范的有效实施，财政部、证监会、审计署、银监会、保监会于2010年4月26日进一步发布《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》这三个配套指引，分别从企业自身建立、评价内部控制以及审计师鉴证内部控制进行细化和规范。由此，一个基本规范和三个配套指引的制定发布，标志着我国“以防范风险和控制舞弊为中心、以控制标准和评价标准为主体，结构合理、层次分明、衔接有序、防范科学、体系完备”的内部控制体系基本建成。
根据五部委联合印发的《关于印发企业内部控制配套指引的通知》和财政部、证监会发布的《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》，自2012年1月1日起主板上市公司开始分类分批实施内部控制规范体系。从2010年开始，我们借鉴国内外通用的评估方法，结合我国的实际情况，构建了一套系统的内部控制指数评价体系，旨在全面客观地评价我国上市公司的内部控制现状，为政府监管、企业完善内部控制以及决策者提供有用的参考。今年，我们继续跟踪上市公司，并对其2016年的内部控制质量进行评价和分析，以期促进企业内部控制质量提升，促进企业和经济持续健康发展。
内部控制评价方法及样本
首先，我们依据《企业内部控制基本规范》及其配套指引，综合考虑《深圳证券交易所上市公司内部控制指引》、《上海证券交易所上市公司内部控制指引》、《上市公司治理准则》、《中华人民共和国公司法》、《中国人民共和国证券法》及《上市公司章程指引》等法律法规及相应文件，同时借鉴国内外已有的内部控制评价研究，确定了内部环境、风险评估、控制活动、信息与沟通、内部监督等5个一级评价指标、25个二级指标、35个三级指标、158个四级指标的四级指标体系。我国自2012年1月1日起主板上市公司开始分类分批实施内部控制规范体系；2014年1月，证监会与财政部联合制定了《公开发行证券的公司信息披露编报规则第21 号——年度内部控制评价报告的一般规定》，进一步加强了上市公司内部控制评价信息的披露规范要求，据此我们已经于2014年第一时间对四级指标进行了修订，并在中国上市公司内部控制指数（2013）中采用，以期更好地结合相关政策法规要求，衡量上市公司的内部控制水平。我们对指标的修订遵循两个原则：第一，修订后的指标要与修订前的指标具有继承性、可比性；第二，修订后的指标能在新的制度环境下更好地衡量内部控制水平。在这两个原则的指导下，今年我们沿用了2014年修订后的指标体系，得到158个四级指标。其次，我们采用层次分析法（AHP）和变异系数法确定指标权重。最后，对每项指标加权平均即得到内部控制评价指数，其五个要素（一级指标）得分分别构成内部环境指数、风险评估指数、控制活动指数、信息与沟通指数和内部监督指数。该指数采用百分制，分值在区间[90,100]、[80,90）、[70,80）、[60,70）、[50,60）和[0,50）分别对应■六个内控等级水平。（关于内部控制评价指数的详细介绍请参见2010年6月11日刊登于中国证券报、上海证券报的《中国上市公司内部控制指数（2009）：制定、分析与评价》以及同日刊登于证券时报的《建立适合我国国情的内部控制评价体系》）
本研究对2016年我国主板、中小板和创业板上市公司内部控制水平进行评价。以上海证券交易所及深圳证券交易所截止于2016年12月31日的公司上市情况数据为准，本课题组得到3032家上市公司样本。我们收集了上市公司截止于2017年4月30日的公开资料，包括公司年度报告、内部控制自我评价报告、社会责任报告等定期公告、临时公告、公司的规章制度以及处罚和重大事件等。依据的资料主要来源于交易所网站、巨潮资讯网、中国证监会等监管部门网站以及上市公司官方网站。
我国上市公司内部控制总体状况评价
（一）我国上市公司内部控制总体状况
2016年，我国上市公司内部控制整体水平稳中有升。如图1所示，2014-2016三年间，内部控制指数相对比较稳定。2016年内部控制指数均值为46.49，比2015年上升0.51分。其中，内部环境指数、信息沟通指数以及内部监督指数相对2015年均有所上升，而风险评估指数和控制活动指数相比2015年略有下降。“十三五”时期，国内外发展环境更加错综复杂，经济仍然受到金融危机的持续影响，世界经济复苏乏力，中国上市公司更应该加强风险管控，为可持续发展提供有力保障。
表1反映了内部控制整体质量分布状况。从内部控制指数来看，2016年，内部控制质量处于IV级水平及V级水平的公司仍占绝对比重。但是，占比8.82%公司的内部控制质量从V级水平提升至更高水平。内部控制I级水平和II级水平仍未能够实现零的突破，进入III级水平的公司占比略低于2015年。从五要素指数来看，内部环境仍然是上市公司内部控制最为薄弱的环节，没有公司进入III级及以上水平。在风险评估方面，上市公司在2016年风险评估水平有所下滑，进入II级-IV级水平的公司比例均降低。主要原因为国内外宏观经济形势错综复杂，金融市场动荡，国际贸易低迷等，企业面临的风险不断加大。在控制活动方面，第I、II、III级水平的公司占比进一步下降；在信息沟通方面，第I、II、III级水平的公司占比相较于2015年均有所提升，VI级水平公司占比则比2015年下降；在内部监督方面，进入第I、II、III级水平的公司占比较2015年均有所下降，同时VI级公司占比大幅下降，从而使得内部监督指数水平总体上升。
图1：近三年内部控制水平比较
■
表1：内部控制总体情况分布表
■
（二）我国各省份内部控制整体状况
我国31个省、自治区和直辖市（未包括香港、澳门和台湾）的经济社会环境存在较大差异，上市公司在各地的分布不均衡，大多数集中在经济发达的省份，如表2所示，广东471家、浙江328家、江苏316家，北京282家，而经济欠发达省份的上市公司刚刚进入两位数，如宁夏12家、青海12家、西藏14家。上市公司数量与各个省市经济发展水平较为一致。对全国各省市上市公司内部控制进行评价，结果显示（表2），2016年，福建、北京和天津内部控制水平位于前三，而广西、江西和宁夏内部控制水平较低。整体而言，目前中国上市公司内部控制水平仍然呈现出较明显的区位差异，东部地区上市公司的整体内控水平仍居于全国前列，而西部地区内部控制水平较为落后，亟待提高。
表2：全国各省市内部控制指数排名
■
（三）我国各行业内部控制整体状况
按照中国证监会(CSRC)(2012版)《上市公司行业分类指引》，我国上市公司分为14个大类行业。内部控制水平在不同行业上市公司表现出了较大差异。如表3所示，目前金融业内部控制质量远高于其他行业平均水平。金融业由于其自身的高风险特点，较早受到政府部门的监管。1997年5月，中国人民银行发布《加强金融机构内部控制的指导原则》，要求各金融机构必须建立科学完善的内部控制制度，同年12月又发布《关于进一步完善和加强金融机构内部控制建设的若干意见》，提出了抓紧整章建制、完善治理结构、建立风险评估和监测制度、做好对金融机构内部控制建设的知道和监督等具体措施。证监会2000年、2003年发布《公开发行证券公司信息披露规则》、银监会2004年颁布的《商业银行内部控制评价试行办法》以及2007年颁布的《商业银行内部控制指引》等相关法案，对金融、保险业公司的内部控制起到了积极的促进作用。除金融业外，交通运输、仓储和邮政业的内部控制水平位于二位，卫生和社会工作业的内部控制水平排第三，综合、教育业和住宿和餐饮业类则位于后三位。其中，由于教育类公司数量少，受单个公司的影响大，因而排名变动较大。
表3：行业内部控制指数排行榜
■
分类数据分析
（一）风险管理部门设置与内部控制分析
风险评估是内部控制的重要要素之一，有助于“企业及时识别、系统分析经营活动中与现实内部控制目标相关的风险，并合理确定风险应对策略”（《企业内部控制基本规范》）。风险管理部门设置是指公司成立专门负责风险管理的机构或部门，如风险管理委员会、风险管理部等。在我们收集的3032家样本公司中，有605家公司成立了专门负责风险管理的机构或部门，占总样本的19.95%。表4结果表明，设置风险管理部门公司的2016年内部控制指数均值高出无风险管理部门公司4.28分，且前者的风险评估指数均值高出后者15.50分，表明设置风险管理部门有助于提高公司内部控制质量，特别是风险评估水平。
表4：设置风险管理部门公司与未设置风险管理部门公司内部控制水平均值比较
■
（二）社会责任与内部控制分析
《上市公司治理准则》第八十六条规定：“上市公司在保持公司持续发展、实现股东利益最大化的同时，应关注所在社区的福利、环境保护、公益事业等问题，重视公司的社会责任。”财政部等五部委制定了《企业内部控制应用指引第4号——社会责任》，引导企业制定安全生产、产品质量、环境保护与资源节约、促进就业与员工权益保护相关制度，做到经济效益与社会效益、短期利益与长远利益、自身发展与社会发展相互协调，实现企业与员工、企业与社会、企业与环境的健康和谐发展。2016年，在我们收集的3032家样本公司中，共有879家公司披露了社会责任报告，占总样本的28.99%。从表5可知，披露社会责任报告的公司的内部控制指数高于未披露社会责任报告的公司。值得注意的是，披露社会责任报告公司的内部环境指数比非披露公司高10分。表明较好履行社会责任有助于内部控制质量，尤其是内部环境质量的提升。
表5：披露社会责任报告公司与未披露公司内部控制水平均值比较
■
（三）处罚与内部控制分析
内部控制目标包括合理保证企业经营管理合法合规、财务报告及相关信息真实完整。然而，较多公司及其董事、监事和高级管理人员由于以上两方面问题受到证监会、交易所、司法部门以及政府部门处罚的公司。2016年，共有419家上市公司及董监高受到处罚，较2015年多出112家。如表6所示，受处罚公司的内部控制指数比未受处罚公司的低6.02分，表明董监高的行为对公司内部控制具有重要影响。受处罚公司的内部环境指数与未受处罚公司的差距扩大到18.85分，表明公司董事、监事及高级管理人员价值观和行为直接影响整个公司的文化氛围和行为准则。
表6：受处罚公司与未受处罚公司内部控制水平均值比较
■
（四）财务报告审计意见与内部控制分析
审计师是资本市场重要的中介机构，凭借其专业能力开展第三方审计业务，能够降低委托代理问题，提升公司信息透明度。审计师根据财务报告质量出具审计意见，包括标准无保留意见和保留、否定、无法表示和带强调事项段的无保留意见。审计报告意见类型分析结果表明，非标准无保留意见公司在内部控制五要素方面均低于收到标准无保留意见公司，其中内部环境、控制活动和信息沟通的差异较大。这表明，被出具非标审计意见的公司在以上三个方面亟待加强。
表7：被出具标准意见与非标准意见内部控制水平均值比较
■
（五）财务报表重述与内部控制分析
财务报表重述是指企业在发现并纠正前期财务报告的差错时，重新表述以前公布的财务报告。上市公司财务报表重述可能导致财务信息传递的扭曲，因此成为监管部门关注焦点之一。2016年，394家上市公司进行了财务报表重述，占整个样本的12.99%，该比例较2015年上升。如表8所示，从内部控制总体状况看，未财务重述样本整体优于财务重述样本，两者的差异主要体现在信息沟通方面，这反映出了财务重述公司的信息沟通是其内部控制的整改重点。
表8：财务报表重述公司与未重述公司内部控制水平均值比较
■
（六）自我评价报告与内部控制分析
在我们的样本中，2016年2822家上市公司进行了内部控制自我评价，并披露了内部控制自我评价报告，占总样本的93.07%。从表9可以看出，披露内控自评报告公司的内部控制指数均值比未披露的公司高出5.58分。内部控制自我评价反映了内部监督的强弱，在五要素指数中，披露自评报告与未披露的公司在内部监督指数的差异达到9.52分。
表9：披露自评报告公司与未披露自评报告公司内部控制水平均值比较
■
（七）内部控制审计报告与内部控制分析
2016年， 2297家公司披露了内部控制审计报告或者鉴证报告，较上年减少19家，占总样本的比例为75.76%。出具内控审计报告或鉴证报告的公司比未出具公司的内部控制总体质量高，此外，在风险评估、控制活动、内部监督方面也更好。
(下转10版)
(上接9版)
表10：出具内控审计或鉴证报告公司与未出具公司内控水平均值比较
■
在以上出具了内部控制审计报告或者鉴证报告的公司样本中，有111家公司的内部控制审计报告或鉴证报告为非标准意见。按照意见类型将样本分为标准和非标准两类，比较结果如表11所示，收到标准意见的公司在内部环境、风险评估、控制活动和内部监督方面的质量均高于被出具非标准意见的公司。因此，前者的内部控制总体水平也高于后者。
表11：标准与非标准内控审计或鉴证意见类型公司内控水平均值比较
■
（八）新上市公司分析
按照公司上市时间将总样本分成新上市和非新上市两类。2016年新上市公司共计227家。比较分析发现（如表12所示），2016年新上市公司内部控制质量远低于非新上市公司内部控制水平，并且其内部环境、风险评估、控制活动、信息沟通和内部监督质量均低于非新上市公司。内部控制建设和提升需要不断投入和积累，而新上市公司上市年限较短，因而内部控制相较已经上市的公司存在较大的提升空间。
表12：2015年新上市公司与非新上市公司内控水平均值比较
■
（九）内部控制百强企业分析
我们根据内部控制指数，对3032家上市公司的内部控制进行排名，得出内部控制百强企业。我们比较分析百强企业和非百强企业内部控制水平。结果如表13所示，百强企业的内部控制指数均值相较去年略微上升，非百强企业与百强企业在内部环境、风险评估、控制活动、信息沟通以及内部监督方面均存在较大差距。由此表明，高质量内部控制需要在五要素质量全面提升。
表13：内部控制百强企业内部控制水平均值分析
■
进一步对全国内部控制百强企业区域分布状况进行分析，结果表明，百强企业分布于23个省市中。其中，广东省、北京市、上海市、浙江省和江苏省的内控百强企业数据最多，广东省和北京市有19家，上海市10家，浙江省和江苏省8家。这五个省份的百强企业占到全国的64%。该数据表明，大多数内部控制优秀的企业集中在经济发达的省市。结合内部控制指数排名分析，经济发达的省份具有较多内部控制质量高的公司，但是，其整体排名并不一定高。主要原因在于，经济发达省市公司数量多，管理优秀的企业多，但同时，内部控制薄弱的企业也更多。
表14：全国各省市内部控制百强企业区域分布
■
此外，我们还对百强企业行业分布进行分析，如表15所示，从行业分布来看，百强企业集中在制造业和金融业，并且2016年较2015年更为集中。2016年，制造业中百强企业增加5家，金融业中百强企业增加3家，这两个行业共达到69家。2016年，租赁和商务服务业以及农、林、牧、渔业分别有2家、1家企业跻身百强企业行列。结合表3来看，制造业内控整体水平居于行业第十一位，但在百强中以绝对优势居于第一位，这一定程度上表明制造业企业内部控制水平分布并不均匀，存在极端化现象。
表15：内部控制百强企业行业分布分析
■
研究结论
我们对2016年3032家上市公司的内部控制进行分析和评价，2016年上市公司内部控制质量稳中有升。其中，内部环境、信息沟通和内部监督水平较2015年有所提升，而风险评估和控制活动水平略有下降。从分析结果来看，我国上市公司内部控制总体水平仍然较低，仍未有公司能够进入第I、II级水平，但是最低一级水平公司的比例降低。在五要素中，内部环境是上市公司最为薄弱的方面，这方面亟待提升。此外，面对错综复杂的经济形势，我国企业面临的风险不断增加，企业应该更加重视风险管理，并提升控制活动。
分类分析结果表明，设置风险管理部门、积极履行社会责任、进行内部控制自我评价以及聘期注册会计师进行内部控制审计或鉴证的公司具有更高的内部控制水平，而受到处罚、财务重述以及收到非标审计意见的公司具有较低的内部控制质量。此外，我国上市公司内部控制水平在地区和行业方面呈现出明显的差异。
附录：内部控制百强企业
■
