引言
我国在 2008 年颁布了《内部控制基本规范》后，为提高内部控制执行的有效性，于2010 年颁布了《企业内部控制配套指引》，该规范体系要求 2011 年境内外同时上市的公司披露内部控制自我评价报告与内部控制审计报告，2012 年 1 月 1 日起在上交所、深交所主板上市的公司逐步展开实施。
据统计资料显示，2013 年有 1504 家上市公司出具了内部控制审计报告，审计结论为标准无保留意见的上市公司 1479 家，占比98.34%；非标意见共 25 家，占比 1.67%。可见，在内部控制审计条件下，发现内部控制缺陷并出具非标的审计意见的企业占比较少。此时，内部控制缺陷的披露更成为人们的关注焦点，本文根据财务报表审计意见与内部控制审计意见类型是否一样，将被出具非标的内部控制审计意见的企业分为两类，简要评述在内部控制审计的实施下，内部控制缺陷披露的情况。
一、内部控制审计模式现状
美国是内部控制审计的先驱，其采纳的是内部控制整合审计模式，要求由同一会计师事务所同时执行同一企业的财务报表审计业务和财务报告内部控制审计业务。而我国没有做出整合审计的强制规定，可以由企业自主选择，在理论界，有学者从多方面对整合审计的可行性加以评述，以此来呼吁整合审计的实施。根据统计数据显示，2013 年内部控制整合审计的上市公司为 1482 家，占比98.54% ；单独审计的上市公司为 22 家，占比1.46%。由此可见，整合审计在实务中处于主流地位。
本文以 2013 年上交所 A 股上市公司公开披露的审计报告信息为研究对象，资料来自wind 咨询数据库，相关内部控制审计资料从上海证券交易所网站手工搜集。去除金融保险业、ST 企业以及没有规范内部控制审计报告的企业，得到如下样本数据 ：
资料的搜集中发现，以上披露内部控制审计报告的企业中，有 19 家企业内部控制审计的会计师事务所与财务报表审计的会计师事务所不同，可见，整合审计仍就是实务中的主要模式。本文以内部控制审计意见为非标的情形，简要分析现阶段在强制进行内部控制审计的要求下，内部控制缺陷披露的情况。在出具非标的内部控制审计意见的企业中都是采用整合审计的模式，因此以下的分析均建立在此基础上。
二、内部控制缺陷披露的情形
本文将出具非标的内部控制审计意见的公司划分为两类，一类是财务报表审计意见也是非标的企业 ；另一类则是财务报表审计意见是标准的，内部控制审计意见是非标的情形。本文首先对搜集到的第一类企业的内部控制审计报告披露情况归类如下 ：
在带有强调事项的 3 家企业中，均是由于受到过证监会监管，其强调的事项分别为 ：企业正在稽查过程中 ；公司尚未取得以前年度稽查结果 ；被审计单位已公布了相关缺陷的整改报告，以此提醒报表使用者注意相关的信息。
对于上表中无法表示意见的企业主要是由于其内部控制规章制度刚形成不久，未能得到充分的运行时间 ；同时其虽无法表示审计意见，但是由于企业之前关联方的披露问题受到证监会的调查，在审计报告中也披露了企业相关的内部控制重大缺陷。而在披露财务报告内部控制重大缺陷的三家企业中，主要是由于以下情形导致 ：未披露相关的关联交易，有虚增利润的动机 ；有账外账，未准确界定会计核算主体的范围 ；以往来款项的名义掩盖投资行为，相关现金授权审批制度未能有效地实施运用。同时，这三家企业也均因信息披露的违法违规而受到证券监管部门的监管。
此类企业内部控制重大缺陷的披露比例为57%。在披露的非标的财务报表审计意见中，其相关事项段的说明与内部控制审计缺陷的披露是一致的。
在整合审计的模式下，财务报表审计意见与内部控制审计意见均是非标的情形时，其缺陷的披露易于被报表使用者理解。但是当财务报表是标准的审计意见时，非标的审计意见所带来的缺陷披露又是如何呢？
本文主要对第二类 15 家目标企业非标的内部控制审计报告披露进行了归类 ：
其中把非财务报告内部控制重大缺陷也归类为非标的情形，虽然注册会计师无需对非财务报告的内部控制发表意见或提供保证，但是根据要求，对发现的非财务报告缺陷仍需进行披露，以提醒报表使用者。非财务报告内部控制缺陷不影响审计意见，但是也是内部控制缺陷的一方面，因此本文将其归纳为非标的情形。从以上数据显示 ：内部控制缺陷的披露主要集中在带强调事项的无保留意见的审计报告之中。
对非财务报告内部控制重大缺陷主要是由于违反了相关的安全规章而使企业引发事故，导致企业遭受损失，以此提醒报表使用者企业发生的财务损失，同时有助于企业提高防范意识，增进管理效率。
在带有强调事项的内部控制审计报告中，主要是由于相关事务的操作不符合一般规定而对企业可能产生影响。其中有两家国有企业由于一套人马两块牌子的经营模式，未能保持较高的独立性而被出具了此类非标的审计意见。以上缺陷的披露主要是提醒报表使用者，企业内部控制某方面的不足以及可能存在的潜在风险，但对当前的财务状况未造成重大影响。
值得注意的是因内部控制重大缺陷被出具否定意见的 3 家企业，其中有 2 家企业审计年度内受到证监会立案调查。这 3 家企业主要涉及的缺陷分别是 ：收入的确认不符条件 ；关联交易披露不及时以及授权审批制度实施无效。根据内部控制缺陷认定的定量与定性要求，此类重大缺陷的认定一方面是涉及金额的大小，另一方面是所涉及的财务报表前期差错追溯调整。据此可以认为，企业内部控制未能发现已存在的错报和内控失效环节，其带来的影响是重大的，在相关项目确认与计量方面存在重大的不确定性。
从此类企业的内控缺陷的披露来看，重大缺陷的披露占披露缺陷的比率为 25%，与第一类目标企业相比，此比例有所下降。可见内部控制审计意见类型与财务报表审计意见类型在某种程度趋于一致，这也符合内部控制审计的意义，即进一步提高企业披露财务信息的真实可靠性。
我们注意到上述企业的财务报表审计意见均是标准的审计意见。据此本文认为，在整合审计的模式下，当发现内部控制存在缺陷时，注册会计师在审计财务报表时，会降低对控制测试结果的依赖程度，对审计的性质、时间、范围做调整，以保证财务报表的审计质量。
在进行了内部控制审计后，可以针对内部控制缺陷展开财务报表审计程序，对涉及到的相关财务报表项目提高职业谨慎，追加程序，以获取合理的保证。由此我们可以看到，在进行了内部控制审计后，可以提高财务报表审计效率与信息披露的质量。同时，由于披露了相关的内部控制缺陷，为报表使用者提供了更多的公开信息。
以下结合内部控制审计目标的要求，分析归纳内部控制缺陷的披露情况。根据《内部控制基本规范》的内容，内部控制主要是合理地保证组织实现以下目标 ：第一，遵守国家有关法律法规和组织内部规章制度 ；第二，信息的真实、可靠；第三，资产的安全、完整 ；第四，经济有效地使用资源 ；第五，提高经营效率和效果。借鉴以上目标要求，对上述 22 家非标的内部控制审计报告与目标主要不相符的情况进行了归类，其中排除了 3家由于当期兼并收购行为，按照证监会要求可以将并入企业不纳入当期内部控制审计范围而带有强调事项的内部控制审计报告。现归纳情况如下表 ：
从违反内部控制目标的角度来看，在非标的内部控制审计意见中，企业内部控制的实施主要还是未能按照法律法规的要求进行，进而导致信息披露不完整，甚至失真，不仅对企业经营的效率与效果带来不利的影响，同时也会影响报表使用者的决策判断。由此我们可以看到内部控制缺陷的披露主要还是围绕内部控制审计的目标，因此企业需加强对内部控制规范的实施程度，从而完善内部控制建设，增强报告信息披露的质量。
综合以上信息 ：我们发现在出具非标的内部控制审计意见类型的企业中，有 8 家企业在 2013 年度受到过证监会的调查，占披露非标的内部控制审计意见公司的 42%，其中披露重大缺陷的有 5 家，占披露重大缺陷企业总数的 71%。可见，受到监管的企业更可能披露内部控制重大缺陷。这与美国学者（HollisAshbaugh-Skaife，et al）在研究内部控制缺陷披露的情况时发现的结果相吻合，即在强制进行内部控制审计前，公司如果受到证监会制裁，财务信息有负面报道，公司更可能披露内部控制缺陷。
从会计师事务所角度分析发现，在以上非标的内部控制审计报告中，有 9 家是由全国前十大会计师事务所审计的，其中第一类企业中只有一家。在内部控制与财务报表均是由同一家会计师事务所审计的情况下，财务报表是标准的审计意见，而内部控制是非标的审计意见，前十大会计师事务所在出具此类审计意见的比重较高。对于第二类企业来说，在仅有的三家披露财务报告重大缺陷企业的内部控制审计报告中，其均是由前十大会计师事务所审计的。正如之前所述，内部控制审计发现的缺陷，可以在一定程度提高报表审计的质量。这也说明了，具有声誉的品牌会计师事务所其固有的审计风险意识，审计程序的操作等都比较成熟，更易发现相关财务报告的内部控制缺陷。在固有程序的条件下，进行内部控制审计前后，其财务报表审计质量的提高是否比较明显，有待后续进一步的研究探讨。
综上所述 ：财务报告内部控制重大缺陷的披露主要还是涉及关联交易披露，相关往来账项的事务处理以及企业授权审批制度实施有效性的检验。
三、思考与建议
1. 从内部控制实施者的角度
企业是内部控制的实施者，为保证良好的运营环境，企业一方面要按照相关法律法规构建适合本企业的内部控制规范，同时增强对内部控制缺陷的防范，在内部控制缺陷披露的认定上尽可能的量化核心控制指标，以便更好地指导内部控制缺陷的发现。现阶段，内部控制缺陷披露程度相对较低，正如杨有红在其一篇文章中指出，披露自身的内部控制缺陷是需要勇气的。因此企业也要注重培养内部控制文化建设，增强内部控制缺陷发现与披露意识，在内部控制自我评价报告的基础上，尽早发现缺陷，为企业创造较好的经营环境。
2. 从内部控制审计执行者的角度
从以上样本数据分析显示，现阶段内部控制审计被出具非标的审计意见的企业所占比重仍较少，在缺陷披露方面，对财务报表重大缺陷的披露也较少，很大程度上是由于企业受到外界的监管所迫。但是，与此同时本文也发现，前十大会计师事务所在发现与披露财务报告内部控制重大缺陷的可能性要比其它事务所高。由此注册会计师在进行审计时，结合审计对象的特征，提高职业怀疑态度，有针对性地展开审计程序，以更好地发现内部控制缺陷。因此注册会计师本身需不断提高职业操守与技能，增强审计风险意识，为发表适当的审计意见提供基础。
虽然此前我国颁布了《企业内部控制审计指引》，但是其具体操作流程与方法都是在不断地探索与实践中 ；加之内部控制审计实施不久，相关部门要做好培训指导工作，从而更好地指导实务界的操作，增进信息披露的可靠性、真实性。
在加强内部控制缺陷披露的同时，相关部门也要做好监督管理工作，在发现问题的基础上，责令整改。如果只是为了发现问题而进行内部控制缺陷的披露，那么则达不到内部控制审计应有的效果。所以一方面要提高内部控制缺陷披露的质量，另一方面在披露了内部控制缺陷后，需要有整改措施与整改报告，根据缺陷的严重程度，要予以适当的惩罚，已达到维护资本市场信息真实可靠的目的。相信在各方的努力下，企业内部控制规范的实施会更加合理，内部控制的监管会更加完善，从而改善企业信息披露的质量，为报表使用者提供更加可靠的信息。
参考文献
［1］谢晓燕等 . 我国上市公司整合审计研究 [J] . 会计研究，2009（9）：88-94.
［2］迪博上市公司风险管理技术有限公司 . 中国上市公司 2013 年内部控制白皮书 [N]. 上海证券报，2013-6-26.
［3］Hollis Ashbaugh-Skaifea，Daniel W. Collinsb，William R. Kinney Jr. The discovery and reporting of internalcontrol de?ciencies prior to SOX-mandated audits[J].Journal ofAccounting and Economics 44（2007）166–192.
［4］袁敏 . 合规性目标与内部控制缺陷—以卡帕公司为例 [J]. 财务与会计，2014（4）：16-18.
［5］兰佳玥等 . 上市公司内部控制评价信息披露演进 [J]. 财会通讯 ? 综合，2014（4）（上）：35-36.
［6］胡秋玲 . 我国上市公司内部控制自我评价探析 [J]. 会计之友，2014（11）：88-90.
［7］杨有红，李宇立 . 内部控制缺陷的识别、认定与报告 [J]. 会计研究，2011（3）：76-80.
