我国上市公司2016年执行企业内部控制规范体系情况分析报告

   为了全面、深入了解我国上市公司执行企业内部控制规范体系情况，财政部、证监会联合山东财经大学，跟踪分析了沪深证券交易所上市公司公开披露的2016年年度内部控制评价报告、内部控制审计报告、年度报告等公开资料，结合我国上市公司2011年至2015年执行企业内部控制规范体系情况，以及财政部和证监会在推动企业内部控制规范体系实施和日常监管工作中掌握的有关情况，形成了《我国上市公司2016年执行企业内部控制规范体系情况分析报告》（以下简称“本报告”）。
一、2016年我国上市公司执行企业内部控制规范体系基本情况
（一）总体情况
本报告首先介绍了我国上市公司执行企业内部控制规范体系的总体情况，然后分别介绍了纳入实施范围和未纳入实施范围的上市公司执行企业内部控制规范体系的情况。考虑到我国金融行业在加强风险管控背景下暴露出的一些内部控制问题以及ST类上市公司内部控制方面存在的突出问题，本报告还专门对上述两类上市公司执行企业内部控制规范体系的情况进行了分析。
1．内部控制评价报告披露情况
截至2016年12月31日，沪、深证券交易所共有上市公司3050家（不包括2017年1月退市因此未披露内部控制报告的2家上市公司），其中，沪市上市公司1181家，深市上市公司1869家。
2016年，2930家上市公司披露了内部控制评价报告，占全部上市公司的96.07%。其中，沪市主板、深市主板、深市中小板和深市创业板分别有1067家、471家、822家和570家上市公司披露了内部控制评价报告，分别占各板块上市公司的90.35%、98.74%、100%和100%。120家上市公司未披露内部控制评价报告，占全部上市公司的3.93%。其中，有80家因首年上市豁免披露，有19家因重大资产重组豁免披露，其余21家未在指定网站公开披露。
2．内部控制评价报告的结论
2016年，在2930家披露了内部控制评价报告的上市公司中，2898家内部控制评价结论为整体有效，占比98.91%，32家内部控制评价结论为非整体有效，占比1.09%。如表1所示，在内部控制评价结论为非整体有效的上市公司中，10家为非财务报告内部控制无效、财务报告内部控制有效，18家为财务报告内部控制无效、非财务报告内部控制有效，4家为财务报告内部控制和非财务报告内部控制均无效。
表1 内部控制有效性结论披露情况

内部控制有效性	整体 有效	非财务报告内部 控制无效、财务报告 内部控制有效	财务报告内部 控制无效、非财务报告 内部控制有效	整体 无效	总计
公司数量	2898	10	18	4	2930
占比	98.91%	0.34%	0.61%	0.14%	100%

3．内部控制缺陷的认定标准
2016年，在2930家披露内部控制评价报告的上市公司中，2874家披露了内部控制缺陷认定标准，其中，2868家分别披露了财务报告和非财务报告内部控制缺陷认定标准，占比97.89%，比2015年下降了0.35%；仅有6家未区分财务报告和非财务报告披露内部控制缺陷认定标准，占比0.20%，比2015年下降了0.06%。56家未披露内部控制缺陷认定标准，占比1.91%，比2015年上升0.41%。如表2所示，2013-2016年披露内部控制缺陷认定标准的上市公司的数量和占比不断上升，绝大多数披露内部控制评价报告的上市公司都能披露内部控制缺陷认定标准。
表2 2013-2016年内部控制缺陷认定标准披露情况

分类	2016年		2015年		2014年		2013年
	家数	占比	家数	占比	家数	占比	家数	占比
区分财报和非财报披露	2868	97.89%	2631	98.24%	2113	82.19%	1739	75.35%
未区分财报和非财报披露	6	0.20%	7	0.26%	36	1.40%	40	1.73%
未披露	56	1.91%	40	1.50%	422	16.41%	529	22.92%
合计	2930	100.00%	2678	100.00%	2571	100.00%	2308	100.00%

4．内部控制缺陷的数量及内容
除2930家上市公司披露内部控制评价报告外，还有1家上市公司虽然没有披露内部控制评价报告，但是在年报中披露了内部控制缺陷的数量及内容。在2931家披露内部控制是否存在缺陷的上市公司中，942家披露内部控制存在缺陷，占比32.14%，其中42家披露内部控制存在重大缺陷，40家披露内部控制存在重要缺陷，895家披露内部控制存在一般缺陷；1989家披露内部控制未存在缺陷，占比67.86%。
（1）关于财务报告内部控制的重大缺陷和重要缺陷。24家上市公司披露了44个财务报告内部控制重大缺陷，15家上市公司披露了18个财务报告内部控制重要缺陷。
从财务报告内部控制重大缺陷和重要缺陷的内容上看，会计系统方面的缺陷有23个，占比37.10%，主要表现在收入的确认和成本的结转不准确、特殊业务的会计处理不准确等。资金活动方面的缺陷有8个，占比12.90%，主要表现在货币资金管理被相关人员盗用、募集资金未按照恰当用途使用等。关联方交易方面的缺陷有8个，占比12.90%，主要表现在未能准确识别关联方，发生关联交易未履行相关手续、未及时披露等。子公司控制方面的缺陷有6个，占比9.68%，主要表现在对子公司缺乏必要的控制。投资管理方面的缺陷有4个，占比6.45%，主要表现在对外投资前未进行充分的调研，投资后账务不清晰等。
（2）关于非财务报告内部控制的重大缺陷和重要缺陷。22家上市公司披露了28个非财务报告内部控制重大缺陷，1家上市公司披露存在非财务报告内部控制重大缺陷但未披露内容，30家上市公司披露了37个非财务报告内部控制重要缺陷。
从非财务报告内部控制重大缺陷和重要缺陷的内容上看，社会责任方面的缺陷有10个，占比15.38%，主要表现在因安全生产管理不善导致发生重大安全生产事故，排放超标废水被处罚，产品存在质量问题，未及时发放工资和缴纳社保等。信息披露方面的缺陷有7个，占比10.77%，主要表现在重大事项未披露或者未及时披露。资金活动方面的缺陷有6个，占比9.23%，主要表现在募集资金未按照恰当用途使用，融资事项未经审批和未及时披露等。关联方交易方面的缺陷有6个，占比9.23%，主要表现在关联交易未履行审批义务，关联方交易规模超过公告预计规模，关联方占用资金等。投资管理方面的缺陷有5个，占比7.69%，主要表现在投资未履行审批义务，投资前对风险的估计不充分导致无法实现预期效益等。销售方面的缺陷有5个，占比7.69%，主要表现在销售合同未经审批，销售单据不真实，应收款催收不力等。
5．内部控制审计报告
2016年，2308家上市公司聘请会计师事务所对内部控制的有效性进行了审计或者鉴证，占全部上市公司的75.67%。沪市主板、深市主板、深市中小板和深市创业板分别有1077家、470家、475家和286家上市公司对内部控制的有效性进行审计或者鉴证，分别占各板块上市公司的91.19%、98.53%、57.79%和50.18%。2295家上市公司披露了内部控制审计或鉴证报告，占全部上市公司的75.25%；13家上市公司只披露了内部控制审计或鉴证意见，但未在指定网站公开披露审计或鉴证报告。
在2308家披露了审计或鉴证意见的上市公司中，2195家标准无保留意见，占比95.10%；113家非标准无保留意见，占比4.90%，其中，79家带强调事项段无保留意见，1家非财务报告重要缺陷无保留意见，8家非财务报告重大缺陷无保留意见，2家保留意见，23家否定意见。内部控制审计或鉴证意见类型的比例如图1所示。


图1 内部控制审计意见分布图
（二）纳入实施范围上市公司内部控制规范体系实施情况
根据财政部、证监会《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》（财办会〔2012〕30号）要求，所有主板上市公司应自2014年起，在披露年报的同时披露董事会的内部控制评价报告和注册会计师出具的内部控制审计报告。
截至2016年12月31日，我国主板上市公司共有1658家，全部应纳入实施范围，其中，沪市主板上市公司1181家，深市主板上市公司477家。
1．内部控制评价报告披露情况
2016年，纳入实施范围上市公司中有1538家披露了内部控制评价报告，占比92.76%。其中，沪市主板和深市主板分别有1067家和471家上市公司披露了内部控制评价报告，分别占各板块上市公司的90.35%和98.74%。纳入实施范围上市公司中有120家未披露内部控制评价报告，占比7.24%。其中，因首年上市豁免披露的有80家，因重大资产重组豁免披露的有19家，其余21家上市公司未在指定网站公开披露。
2．内部控制评价报告的结论
2016年，在1538家披露内部控制评价报告的上市公司中，1512家的内部控制评价结论为整体有效，占比98.31%。26家内部控制评价结论为非整体有效，占比1.69%。如表3所示，在内部控制评价结论为非整体有效的上市公司中，9家为非财务报告内部控制无效、财务报告内部控制有效，14家为财务报告内部控制无效、非财务报告内部控制有效，3家为财务报告内部控制和非财务报告内部控制均无效。
表3 纳入实施范围上市公司内部控制有效性结论披露情况

内部控制 有效性	整体 有效	非财务报告内部 控制无效、财务报告内部控制有效	财务报告内部控制 无效、非财务报告内部控制有效	整体 无效	总计
公司数量	1512	9	14	3	1538
占比	98.31%	0.59%	0.91%	0.19%	100%

3．内部控制缺陷的认定标准
2016年，在1538家披露内部控制评价报告的上市公司中，1534家披露内部控制缺陷认定标准。其中，1531家分别披露财务报告和非财务报告内部控制缺陷认定标准，3家未区分财务报告和非财务报告披露内部控制缺陷认定标准，4家未披露内部控制缺陷认定标准。如表4所示，自2015年以来，绝大多数（99%以上）披露内部控制评价报告的主板上市公司都能按照《公开发行证券的公司信息披露编报规则第21号——年度内部控制评价报告的一般规定》（以下简称“21号文”）的要求披露内部控制缺陷认定标准。
表4 2013-2015年纳入实施范围上市公司内部控制缺陷认定标准披露情况

分类	2016年		2015年		2014年		2013年
	家数	占比	家数	占比	家数	占比	家数	占比
区分财报和非财报披露	1531	99.54%	1405	99.65%	1374	95.22%	987	93.82%
未区分财报和非财报披露	3	0.20%	4	0.28%	24	1.66%	25	2.38%
未披露	4	0.26%	1	0.07%	45	3.12%	40	3.80%
合计	1538	100.00%	1410	100.00%	1443	100.00%	1052	100.00%

4．内部控制缺陷的数量及内容
除1538家上市公司披露内部控制评价报告外，还有1家上市公司虽然没有披露内部控制评价报告，但是在年报中披露了内部控制缺陷的数量及内容。在1539家披露内部控制是否存在缺陷的上市公司中，754家披露内部控制存在缺陷，占比48.99%，其中33家披露内部控制存在重大缺陷，33家披露内部控制存在重要缺陷，718家披露内部控制存在一般缺陷；785家披露内部控制未存在缺陷，占比51.01%。
（1）关于财务报告内部控制的重大缺陷和重要缺陷，18家上市公司披露37个财务报告内部控制重大缺陷，14家上市公司披露17个财务报告内部控制重要缺陷。
（2）关于非财务报告内部控制的重大缺陷和重要缺陷，18家上市公司披露24个非财务报告内部控制重大缺陷，1家上市公司披露存在非财务报告内部控制重大缺陷但未披露内容，23家上市公司披露28个非财务报告内部控制重要缺陷。
5．内部控制审计报告
2016年，在纳入实施范围的1658家上市公司中，有1547家上市公司进行了内部控制审计或鉴证业务，占比93.31%，111家上市公司未开展内部控制审计或鉴证业务，占比6.69%；其中，91家因首年上市豁免，20家因重大资产重组豁免。进行内部控制审计或鉴证业务的1547家上市公司中，1534家上市公司披露了内部控制审计或鉴证报告，13家上市公司披露了内部控制审计意见但未在指定网站公开披露内部控制审计报告。在披露了内部控制审计或鉴证意见的1547家上市公司中，1447家标准无保留意见，占比93.54%。100家非标准无保留意见，占比6.46%，其中，70家带强调事项段无保留意见，1家非财务报告重要缺陷的无保留意见，8家非财务报告重大缺陷的无保留意见，21家否定意见。内部控制审计或鉴证意见类型的比例如图2所示。


图2 纳入实施范围上市公司内部控制审计意见分布图
2016年，共有40家具有证券期货业务资格的会计师事务所为纳入实施范围的上市公司提供了内部控制审计或鉴证服务。其中，前十大会计师事务所服务的上市公司家数占总家数的66.39%。
在进行内部控制审计或鉴证业务的1547家上市公司中，1523家采用整合审计的方式开展内部控制审计和财务报表审计，占比98.45%；24家单独实施内部控制审计，占比1.55%。
在进行内部控制审计或鉴证业务的1547家上市公司中，142家的内部控制审计机构发生了变更，占比9.18%，其中，128家基于整合审计的考虑，同步变更内部控制审计机构和财务报表审计机构。
在纳入实施范围上市公司中，内部控制审计意见类型与财务报表审计意见类型基本保持一致，具体情况如表5所示。财务报表被出具非标准意见、内部控制被出具非标准意见的上市公司有40家。
表5 纳入实施范围上市公司内部控制审计意见与财务报表审计意见分布情况
在进行内部控制审计或鉴证业务的1547家上市公司中，年报说明中单独披露内部控制审计费用的上市公司有1361家，占比87.98%。内部控制审计费用均值为46.38万元，中位数为30万元；最低审计费用为3万元，最高审计费用为1400万元。在同时披露财务报表审计费用和内部控制审计费用的公司中，财务报表审计费用与内部控制审计费用比值的均值为3.24，中位数为2.75，最大值为39。
（三）未纳入实施范围上市公司内部控制规范体系实施情况
1．内部控制评价报告披露情况
2016年，未纳入实施范围的上市公司共1392家，其中，深市中小板上市公司822家，深市创业板上市公司570家，全部披露了内部控制评价报告。
2．内部控制评价报告的结论
2016年，在未纳入实施范围的1392家上市公司中，1386家内部控制评价结论为整体有效，占比99.57%。6家内部控制评价结论为非整体有效，占比0.43%。如表6所示，在内部控制评价结论为非整体有效的上市公司中，1家为财务报告内部控制有效、非财务报告内部控制无效，4家为财务报告内部控制无效、非财务报告内部控制有效，1家为财务报告内部控制和非财务报告内部控制均无效。
表6 未纳入实施范围上市公司内部控制有效性结论披露情况

内部控制有效性	整体 有效	财务报告内部控制 有效、非财务报告内部控制无效	财务报告内部控制 无效、非财务报告内部 控制有效	整体 无效	总计
公司数量	1386	1	4	1	1392
占比	99.57%	0.07%	0.29%	0.07%	100%

3．内部控制缺陷的认定标准
2016年，在未纳入实施范围的1392家上市公司中，1337家分别披露财务报告和非财务报告内部控制缺陷认定标准，3家未区分财务报告和非财务报告披露内部控制缺陷认定标准，52家未披露内部控制缺陷认定标准。如表7所示，2015年和2016年中小板和创业板中未披露内部控制缺陷认定标准的公司占比（分别为3.74%和3.08%）比2014年（33.43%）下降了30%左右，由此可见，2015年之后，中小板和创业板上市公司内部控制缺陷认定标准的披露较稳定。此外，2016年未披露内部控制缺陷认定标准的创业板上市公司比例仍明显高于中小板上市公司的比例，创业板上市公司内部控制缺陷认定标准的披露水平有待于进一步提高。
表7 2014-2016年中小板和创业板内部控制缺陷认定标准披露比较

分类	中小板			创业板			合计
	2016	2015	2014	2016	2015	2014	2016	2015	2014
	占比	占比	占比	占比	占比	占比	占比	占比	占比
区分财报和非财报披露	98.42%	97.94%	74.28%	92.63%	94.72%	49.63%	96.04%	96.68%	65.51%
未区分财报和非财报披露	0.36%	0.26%	1.51%	0.00%	0.20%	0.25%	0.22%	0.24%	1.06%
未披露	1.22%	1.80%	24.21%	7.37%	5.08%	50.12%	3.74%	3.08%	33.43%

从表4和表7可以看出，2015、2016年中小板和创业板中未披露内部控制缺陷认定标准的公司比例（3.08%和3.74%）比主板上市公司的比例（0.07%和0.26%）仅高3个多百分点；2014年中小板和创业板中未披露内部控制缺陷认定标准的公司比例（33.43%）比主板上市公司的比例（3.12%）高出30.31个百分点。由此可见，中小板和创业板上市公司披露内部控制缺陷认定标准的情况与主板上市公司的差距明显缩小。
4．内部控制缺陷的数量及内容
在未纳入实施范围的1392家上市公司中，188家披露内部控制存在缺陷，占比13.51%。其中，9家披露内部控制存在重大缺陷，7家披露内部控制存在重要缺陷，177家披露内部控制存在一般缺陷；1204家披露内部控制未存在缺陷，占比86.49%。
（1）关于财务报告内部控制的重大缺陷和重要缺陷，6家上市公司披露7个财务报告内部控制重大缺陷，1家上市公司披露1个财务报告内部控制重要缺陷。
（2）关于非财务报告内部控制的重大缺陷和重要缺陷，4家上市公司披露4个非财务报告内部控制重大缺陷，7家上市公司披露9个非财务报告内部控制重要缺陷。
5．内部控制审计报告
2016年，在未纳入实施范围的1392家上市公司中，有761家进行了内部控制审计或鉴证并披露了内部控制审计或鉴证意见，占比54.67%。其中，深市中小板上市公司475家，深市创业板上市公司286家。在披露了内部控制审计或鉴证意见的761家上市公司中，748家标准无保留意见，9家带强调事项段无保留意见，2家保留意见，2家否定意见。内部控制审计类型的比例如图3所示。


图3 未纳入实施范围上市公司内部控制审计意见分布图
在披露内部控制审计或鉴证意见的761家上市公司中，未披露内部控制审计或内部控制鉴证费用有709家，单独披露了内部控制审计或内部控制鉴证费用有52家，内部控制审计或内部控制鉴证费用的均值为33.66万元，中位数为20万元，最低为2万元，最高为300万元。同时披露财务报表审计费用和内部控制审计或鉴证费用的公司中，财务报表审计费用与内部控制审计或鉴证费用比值的均值为4.88，中位数为3.5，最小值为1，最大值为19。
（四）金融业上市公司内部控制情况分析
截止2016年12月31日，沪、深证券交易所金融行业上市公司共有66家，其中，深市主板11家、中小板6家，沪市主板49家；保险业上市公司6家，货币金融服务业上市公司24家，资本市场服务业上市公司29家，其他金融业上市公司7家。
1．内部控制评价报告披露情况
2016年，62家金融行业上市公司披露了内部控制评价报告，占全部金融行业上市公司的93.94%。其中，深市主板和中小板的17家金融行业上市公司全部披露了内部控制评价报告，45家沪市主板上市公司披露了内部控制评价报告，4家货币金融服务业上市公司首年上市豁免披露；62家金融行业上市公司内部控制评价结论全部为内部控制整体有效。
2．内部控制缺陷的认定标准
在62家披露内部控制评价报告的金融行业上市公司中，财务报告缺陷认定标准方面，62家区分定量和定性标准，61家区分重大和重要缺陷，51家定性认定标准详细；非财务报告缺陷认定标准方面，60家区分定量和定性标准，62家区分重大和重要缺陷，56家定性认定标准详细。
表8 金融行业细分缺陷认定情况对比

分类		保险业			货币金融服务业			资本市场服务业			其他金融业
		定量和定性认定标准	重大和重要	认定标准详细	定量和定性认定标准	重大和重要	认定标准详细	定量和定性认定标准	重大和重要	认定标准详细	定量和定性认定标准	重大和重要	认定标准详细
财务 报告	数量	6	6	4	20	19	14	29	29	27	7	7	6
	占比	100%	100%	66.67%	100%	95%	70%	100%	100%	93.10%	100%	100%	85.71%
非财务 报告	数量	6	6	5	18	20	17	29	29	27	7	7	7
	占比	100%	100%	83.33%	90%	100%	85%	100%	100%	93.10%	100%	100%	100%

从表8可以看出，62家披露内部控制评价报告的金融行业上市公司中，除2家货币金融服务业上市公司未区分非财务报告定性和定量认定标准，其他类型金融行业上市公司全部区分财务报告和非财务报告定量和定性认定标准；除1家货币金融服务业上市公司未区分财务报告重大和重要缺陷，其他类型金融行业上市公司全部区分财务报告和非财务报告重大和重要缺陷；认定标准详细的金融行业上市公司平均53.5家，占比86.29%，财务报告认定标准详细平均占比82.26%低于非财务报告认定标准详细平均占比90.32%。
3．内部控制缺陷的数量及内容
在62家披露内部控制评价报告的金融行业上市公司中，41家披露内部控制存在缺陷，占比66.13%，显著高于整体水平；21家披露内部控制未存在缺陷，占比33.87%。将金融行业类别进行细分，保险业上市公司，3家上市公司存在缺陷，占比50%。其中，缺陷均为一般缺陷，但未披露内容，无重大或重要缺陷；货币金融服务业上市公司，15家上市公司存在缺陷，占比75%。其中，1家披露存在重要缺陷，主要表现在票据管理不当。15家披露存在一般缺陷，均未披露内容。无重大缺陷；其他金融业上市公司，3家上市公司存在缺陷，占比42.86%。其中，缺陷均为一般缺陷，但未披露内容。无重大或重要缺陷；资本市场服务业上市公司，20家上市公司存在缺陷，占比68.97%。其中，1家披露存在重大缺陷，主要表现在保荐不当被证监会处罚。1家披露存在重要缺陷，主要表现在部分经纪人涉嫌为客户提供融资便利。18家披露存在一般缺陷，主要表现在研究报告、股转系统管理等方面。
4．内部控制审计报告
在66家金融行业上市公司中，60家进行了内部控制审计或鉴证，占比90.91%，其中，深市主板11家，深市中小板6家，沪市主板43家。6家上市公司因首年上市豁免开展内部控制审计业务。进行内部控制审计或鉴证的60家公司中，56家标准无保留意见，占比93.33%；4家带强调事项段无保留意见，占比6.67%。将金融行业类别进行细分，保险业上市公司，标准无保留意见有6家，占比100%；货币金融服务业上市公司，标准无保留意见有19家，占比100%；资本市场服务业上市公司，标准无保留意见有25家，带强调事项段无保留意见有4家，占比分别为86.21%和13.79%；其他金融业上市公司，标准无保留意见有7家，占比100%。
2016年度，共有17家具有证券期货业务资格的会计师事务所为金融行业上市公司提供了内部控制审计业务。其中，前五家事务所执行内部控制审计业务的上市公司家数占金融行业上市公司总家数的63.34%，内部控制审计业务市场集中度比较高。17家会计师事务均采用整合审计的方式为60家金融行业上市公司开展内部控制审计和财务报表审计。
在进行了内部控制审计的60家上市公司中，年报说明中单独披露内部控制审计费用的上市公司有47家，占78.33%。内部控制审计费用均值为161.26万元，中位数为45万元。最低审计费用为8万元，最高审计费用为1400万元。如图4所示，金融行业上市公司内部控制审计费用在上市公司中最高，此外，金融行业上市公司内部控制审计费用的最低值、中位数、均值均高于全部上市公司。同时披露财务报表审计费用和内部控制审计费用的金融行业上市公司中，财务报表审计费用与内部控制审计费用比值的均值为3.78，中位数为2.24，最小值为0.87，最大值为12.47。将金融行业类别进行细分，保险业上市公司，内部控制审计费用的均值为259.16万元，中位数为115万元，最低为8万元，最高为1110万元；货币金融服务业上市公司，内部控制审计费用的均值为361.92万元，中位数为160万元，最小为42万元，最大为1400万元；资本市场服务业上市公司，内部控制审计费用的均值为50.19万元，中位数为37.5万元，最低为10万元，最高为350万元；其他金融业上市公司，内部控制审计费用的均值为35.83万元，中位数为35万元，最低为10万元，最高为60万元。


图4 全部上市公司与金融行业上市公司内部控制审计费用对比
（五）ST类上市公司内部控制情况分析
截止2016年12月31日，沪、深证券交易所ST类上市公司共有70家，其中，深市主板28家，深市中小板11家，沪市主板31家。
1．内部控制评价报告披露情况
64家ST类上市公司披露了内部控制评价报告，占全部ST类上市公司的91.43%。其中，深市中小板的ST类上市公司全部披露了内部控制评价报告，26家深市主板ST类上市公司和27家沪市主板ST类上市公司披露了内部控制评价报告，2家深市主板ST类上市公司和4家沪市主板ST类上市公司因重大资产重组豁免披露内部控制评价报告。
在披露内部控制评价报告的64家ST类上市公司中，58家公司为内部控制整体有效，占比为90.63%，显著低于整体水平；6家公司为内部控制非整体有效，其中，2家公司为非财务报告内部控制有效、财务报告内部控制无效，1家公司为财务报告内部控制有效、非财务报告内部控制无效，3家公司为内部控制整体无效。
2．内部控制缺陷的认定标准
在披露内部控制评价报告的64家ST类上市公司中，财务报告认定标准方面，62家公司区分定量和定性标准，58家公司区分重大和重要缺陷，58家公司定性认定标准详细；非财务报告认定标准方面，61家公司区分定量和定性标准，61家公司区分重大和重要缺陷，53家公司定性认定标准详细。
3．内部控制缺陷的数量及内容
在披露了内部控制评价报告的64家ST类上市公司中，28家公司披露内部控制存在缺陷，占比43.75%，显著高于整体水平；36家公司披露内部控制未存在缺陷，占比56.25%。在披露内部控制存在缺陷的ST类上市公司中，6家公司披露了8个财务报告内部控制重大缺陷和2个财务报告内部控制重要缺陷，其中，会计系统方面的缺陷有4个，主要表现在重大事项的处理不准确、成本结转不准确、未计提存货减值准备、财务报表存在重述等；关联方交易方面的缺陷有2个，主要表现在未能准确识别关联方，发生关联交易未履行内部审批和披露义务。在披露内部控制存在缺陷的ST类上市公司中，6家公司披露了9个非财务报告内部控制重大缺陷和3个非财务报告内部控制重要缺陷，，其中，信息披露方面的缺陷有2个，主要表现在信息披露违规；对外投资方面的缺陷有2个，主要表现在对外投资未履行相关手续；资金管理方面的缺陷有2个，主要表现在融资未履行相关手续。
4．内部控制审计报告
在70家ST类上市公司中，59家公司进行了内部控制审计或鉴证，6家公司因重大资产重组豁免未开展内部控制审计业务，5家中小板公司未开展内部控制审计业务。进行内部控制审计或鉴证的59家ST类上市公司中，45家公司被出具标准无保留意见，占比76.27%；8家公司被出具带强调事项段无保留意见，占比13.56%；6家公司被出具否定意见，占比10.17%。


图5 全部上市公司与ST类上市公司内部控制审计意见类型对比
如图5所示，ST类上市公司中标准无保留意见的比例低于全部上市公司，除非财务报告重要（大）缺陷无保留意见和保留意见外，各种非标准无保留意见的比例均高于全部公司。
如表9所示，10家ST类上市公司的内部控制和财务报告同时被出具非标准无保留意见。
表9 ST类上市公司内部控制审计意见与财务报表审计意见分布情况
在内部控制审计或鉴证的59家ST类上市公司中，年报说明中单独披露内部控制审计费用的公司有41家，占比69.49%。内部控制审计费用均值为29.35万元，中位数为30万元，最小为8万元，最大为70万元。如图6所示，ST类上市公司内部控制审计费用的最大值、均值均低于全部上市公司。在同时披露财务报表审计费用和内部控制审计费用的ST类公司中，财务报表审计费用与内部控制审计费用比值的均值为2.81，中位数为2.42，最小值为1，最大值为5.75。


图6 全部上市公司与ST类上市公司内部控制审计费用对比
二、企业内部控制规范体系实施中存在的主要问题
（一）内部控制评价报告披露存在的问题
1．部分上市公司对披露内部控制评价报告重视程度不够。
（1）部分上市公司提示已披露但找不到内部控制评价报告。21家上市公司在年报中提示披露了内部控制评价报告，但实际并未在指定网站公开披露。
（2）部分上市公司内部控制评价报告不及时。2家上市公司延迟了不到一个月披露内部控制评价报告，2家上市公司延迟了超过1个月但不超过2个月披露内部控制评价报告，还有91家上市公司延迟了2个多月才披露内部控制评价报告，占2930家披露内部控制评价报告上市公司的3.11%。
（3）内部控制评价报告的格式不规范。96.15%的纳入实施范围的上市公司能够按照21号文的要求披露内部控制评价报告，比去年略有下降。最常见的问题是部分上市公司披露的内部控制评价报告要素缺失，如缺少内部控制评价报告的收件人、内部控制评价基准日、纳入评价范围的单位的资产总额占比与营业收入占比、重要声明、非财务报告内部控制缺陷的结论、评价范围、缺陷认定标准、内部控制评价报告的出具日、公司名章、相关重大事项说明段落等。
（4）部分上市公司披露内部控制评价报告后又进行了修订。例如，某上市公司在2017年3月7日披露了内部控制评价报告，在2017年3月20日又披露了内部控制评价补充更正报告，补充了内部控制一般缺陷定量与定性的认定标准和纳入评价范围资产总额、营业收入合计占公司财务报告资产总额、营业收入总额的比例，并对财务报告内部控制重大缺陷和重要缺陷定量标准进行了完善，只保留了财务报告重大缺陷和重要缺陷的绝对数认定标准。某上市公司在2017年2月28日披露了内部控制评价报告，在2017年3月9日进行了更新，增加了非财务报告缺陷的定量标准。某上市公司在2017年3月24日披露内部控制评价报告，当天就进行修订，增加了内部控制缺陷的认定标准、认定结果及整改情况。
（5）部分上市公司披露的内部控制报告前后矛盾。某上市公司在内部控制评价报告的第二部分“内部控制评价结论”中披露“根据公司非财务报告内部控制重大缺陷认定情况，于内部控制评价报告基准日，公司未发现非财务报告内部控制重大缺陷。”，而在第三部分的“内部控制缺陷认定及整改情况”中披露“根据上述非财务报告内部控制缺陷的认定标准，报告期内公司发现非财务报告内部控制重大缺陷，数量1个，且在报告发出日未完成整改。”
2．内部控制缺陷认定标准不够科学。如表10所示，2016年，仍有部分上市公司未区分财务报告内部控制缺陷和非财务报告內部控制缺陷，未分别制定定量和定性內部控制缺陷标准以及重大、重要和一般內部控制缺陷标准。此外，相当数量的上市公司内部控制缺陷定性认定标准仅详细列出了重大缺陷认定标准，并未区分重要缺陷和一般缺陷，只是提到按其他情形的影响程度分别确定，不利于内部控制评价结果的认定。
表10 2014-2016年主板与中小板和创业板上市公司内部控制缺陷认定标准披露情况比较

分类	主板						中小板+创业板
	2016年		2015年		2014年		2016年		2015年		2014年
	家数	占比	家数	占比	家数	占比	家数	占比	家数	占比	家数	占比
财报未区分定量和定性	10	0.66%	9	0.64%	41	2.98%	2	0.15%	4	0.33%	18	2.44%
非财报未区分定量和定性	31	2.02%	29	2.06%	102	7.42%	11	0.82%	17	1.39%	41	5.55%
财报未区分重大和重要	31	2.02%	16	1.14%	53	3.86%	25	1.87%	23	1.88%	8	1.08%
非财报未区分重大和重要	27	1.83%	16	1.14%	60	4.37%	23	1.72%	30	2.45%	8	1.08%
财报定性标准不够详细	134	8.75%	101	7.19%	120	8.73%	56	4.19%	45	3.67%	30	4.06%
非财报定性标准不够详细	169	11.04%	137	9.75%	134	9.75%	348	26.03%	310	25.29%	216	29.23%

3．不同行业上市公司内部控制缺陷定性认定标准差异不大。从表10可以看出，2016年与2014、2015年相比，财务报告和非财务报告内部控制缺陷定性认定标准不够详细的上市公司数量仍较多，这些上市公司内部控制缺陷定性标准仅是直接引用《企业内部控制评价指引》和21号文中内部控制缺陷定性标准定义，并未根据企业风险偏好、风险承受度以及经营管理目标等因素制定符合企业实际的内部控制缺陷定性标准，可能导致上市公司对内部控制缺陷的影响和风险认识不足，上市公司之间披露的内部控制缺陷定性标准可比性不强，不同行业、不同规模上市公司认定的内部控制缺陷定性标准差异不大。
4．内部控制缺陷内容的披露不够规范。对于存在的内部控制重大和重要缺陷，绝大多数上市公司都披露了数量及具体内容，但1家上市公司披露存在非财务报告内部控制重大缺陷但不披露数量和内容。
5．重大及重要缺陷的整改不力，部分上市公司的缺陷没有得到有效整改。在披露存在重大和重要内部控制缺陷的上市公司中，88.89%的上市公司披露了详细的整改措施，但是只有40.63%的缺陷全部整改完毕。另外，11家上市公司自2014年起连续三年披露存在重大或重要缺陷，27家上市公司自2015年起连续两年披露存在重大或重要缺陷。
（二）内部控制审计报告披露存在的问题
1．审计费用披露不规范，审计收费持续走低。在年报中单独披露内部控制审计费用的上市公司中，3家上市公司以费用区间的形式披露内部控制审计费用，例如，内部控制审计费用<=188万，或者内部控制审计费用不足30万元；由于货币单位选择不当，21家上市公司披露的内部控制审计费用低于100元。纳入实施范围的上市公司中，12.02%的上市公司未单独披露内部控制审计费用。不规范地披露内部控制审计费用或不单独披露内部控制审计费用，上市公司利益相关者将无法全面了解上市公司的审计业务提供情况和内部控制审计成本。
全部上市公司中，内部控制审计费用占总体审计费用的比值，最小值仅为0.025，在一定程度上说明，内部控制审计收费较低。ST类上市公司中，内部控制审计费用占总体审计费用的比值情况，最小值仅为0.14，均值为0.28。另外，从近年内部控制审计费用情况来看，2016年、2015年、2014年内部控制审计收费最低值顺次为3万元、3万元和5万元。根据现有数据，内部控制审计收费有逐年持续走低的疑虑，说明仍然存在内部控制审计低价竞争的现象。部分会计师事务所的内部控制审计业务收费过低，可能影响内部控制审计业务程序执行的充分性和适当性。
2．内部控制审计报告披露存在的问题
（1）内部控制审计非标准审计意见比例仍较低。如图11所示，尽管内部控制审计结论中的非标准意见比例有逐年提高的趋势，但整体水平仍偏低，特别是未纳入实施范围上市公司内部控制审计非标准审计意见比例远低于纳入实施范围上市公司。部分注册会计师仍存在刻意调节、出具较好审计意见的倾向，人为地降低了非标准审计意见的比例。
表11 2014-2016年内部控制审计非标准审计意见比较

分类	2016	2015	2014
全部上市公司	4.90%	4.57%	4.07%
纳入实施范围上市公司	6.46%	6.29%	5.41%
未纳入实施范围上市公司	1.71%	1.47%	1.20%

（2）内部控制审计报告强调事项段使用不规范。例如，内部控制审计报告强调事项段仅披露上市公司被立案稽查，未明确该事项对上市公司内部控制以及内部控制审计意见的实际影响；营业收入、营业成本数据不准确等财务报告重大缺陷在内部控制审计报告强调事项中列示，但未在审计报告缺陷中披露。
（3）内部控制评价结论与内部控制审计结论不一致。
内部控制评价结论为有效的上市公司中，2家公司被审计师出具否定内部控制审计意见，2家公司被审计师出具保留内部控制审计意见，3家公司被审计师出具带非财务报告重大缺陷无保留内部控制审计意见。
（4）少数主板上市公司以内部控制鉴证报告代替内部控制审计报告。少数纳入实施范围的主板上市公司未能按照财政部、证监会《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》（财办会〔2012〕30号）要求，披露由注册会计师出具的内部控制审计报告，而是以内部控制鉴证报告代替内部控制审计报告。此外，在披露的内部控制鉴证报告中，部分鉴证报告未能按照《中国注册会计师其他鉴证业务准则第 3101号—历史财务信息审计或审阅以外的鉴证业务》的规定，对财务报告内部控制的有效性发表鉴证意见，并披露在内部控制鉴证过程中注意到的非财务报告内部控制的重大缺陷。例如，某公司的内部控制鉴证报告中说明“内控鉴证目的是对财务报表整体发表审计意见，而不是对内部控制的专门审核……”。
（5）部分公司存在频繁更换审计机构的现象。例如，某ST上市公司由于审计机构意见与公司存在分歧，一年三次更换会计师事务所；某ST上市公司2016年年报被审计机构出具“非标”意见后，临时违规更换审计师，重新聘任负责对交易所问询函进行核实并发表专项意见的会计师事务所经查不具备证券期货相关业务资格。
三、有关建议
在对2016年我国上市公司内部控制规范体系实施情况进行深入分析的基础上，本报告从政府、企业、审计及咨询机构等层面提出相关建议，以更好地推动我国企业内部控制规范体系建设与实施工作。
（一）政府层面
1．加强内部控制相关法制建设。法制建设是内部控制发展的重要保障。为了推动我国内部控制规范的有效实施，应加快推动修订《会计法》《证券法》等相关法律法规，明确要求企业建立健全内部控制，明确董事会、监事会和经理层在企业內部控制建设方面和审计机构在内部控制审计方面的责任，并逐步强化对內部控制失败、隐瞒內部控制缺陷、虚假披露內部控制信息的有关企业、个人及审计机构的处罚力度。
2．改进中小板、创业板上市公司内部控制信息披露质量。2015年、2016年中小板和创业板上市公司虽然全部披露内部控制评价报告，但仍存在格式不规范、内容不完整、报送不及时等问题。与主板上市公司相比，中小板、创业板上市公司内部控制建设还比较薄弱，内部控制信息披露的规范性、完整性和有效性有待加强，需进一步强化中小板、创业板上市公司内部控制体系建设，改进中小板、创业板上市公司内部控制信息披露质量。
3．加大对上市公司，包括金融行业上市公司和ST类上市公司内部控制的监管力度。近年来，防控金融风险、治理ST类上市公司成为中央政府和监管部门高度关注的问题。为此，监管部门应该加大对上市公司内部控制实施情况的监督力度，并对金融行业上市公司、ST类上市公司等对我国经济影响重大或存在问题较多的公司重点监控，切实发挥内部控制在控制风险方面的作用。
4．加强对内部控制审计机构的监管和问责。一方面，监管机构应加强对上市公司内部控制审计的监督检查，重点关注内部控制的审计过程、审计质量、审计报告披露格式、审计意见类型决策及对应说明段、事项段等内容；另一方面，督促上市公司单独披露内部控制审计费用，通过审计费用的信息公开化，推动内部控制审计收费的合理化，增强审计师的独立性。
（二）企业层面
1．强化企业治理层在内部控制体系中的作用。充分发挥企业治理层对内部控制的建立与实施情况的监督作用，及时掌握内部控制重大缺陷或其他相关的重要信息，督促管理层完成缺陷整改工作。审计委员会应严格履行其审查企业内部控制、监督内部控制的有效实施和内部控制的评价情况的职能，企业应从选聘、履职和问题追责等方面全方位支持并保障审计委员会工作的正常开展。特别是金融行业上市公司，要贯彻落实习近平总书记在全国金融工作会议上关于“完善金融机构法人治理结构，推动金融机构提高风险内控标准、增强抵御风险能力”的指示精神，完善法人治理机构，强化董事会在内部控制中的作用，明确董事会的內部控制主体责任，加强内部控制建设，积极防控金融风险。
2．提高对内部控制评价工作的重视程度。一方面，企业的高层管理者要深刻认识到开展内部控制评价对于完善内部控制、降低企业风险的重要意义，积极主动地对内部控制评价工作进行统一领导和协调，推动内部控制功效的有效发挥。另一方面，要加强对内部控制文化、内部控制评价内容和方法的培训，提高相关人员内部控制意识和相关理论知识，并建立配套的问责和考核机制，将内部控制评价结果与管理者的绩效考评和授权挂钩，使内部控制制度建设切实成为价值创造和风险防范的重要力量。
3．加强缺陷的整改落实，规范内部控制缺陷披露。一方面，对于上市公司在内部控制评价和注册会计师在内部控制审计过程中发现的内部控制重大、重要缺陷，企业应当提高重视程度、及时加以整改，并对整改后的控制措施实施严格的测试，保障内部控制的有效实施。另一方面，上市公司应当提高内部控制缺陷披露的规范性，在披露前参考21号文的要求进行审核，并就内部控制重大和重要缺陷加强与外部审计师的沟通协调，避免内部控制评价报告结论与内部控制审计报告结论不一致。
（三）中介机构
1．提升服务质量，积极引导上市公司的内部控制建设和内部控制评价的披露工作。中介机构要重视对上市公司内部控制建设和内部控制披露工作的督导工作，培养合格的内部控制专业人才，努力提高服务质量。
2．增强专业胜任能力，提高执业过程中应有关注程度。中介机构应强化内部控制审计的业务培训，将专业知识和技能始终保持在应有的水平之上，提供具有专业水准的服务。注册会计师在执业中应当严格按照《中国注册会计师执业准则》《企业内部控制审计指引》开展内部控制审计，获取和评价审计证据过程中，保持职业怀疑态度，避免在缺乏足够的证据支持的情况下，假定在某些交易或环节都执行了相似的制度和程序，从而导致对这些领域财务报告内部控制审计工作的不足。