上市公司内部控制规范实施与监管情况--201709

上市公司内部控制实施监管与问题分析主要内容•上市公司对内部控制的需求与现状•上市公司实施内控规范总体情况•内控实施监管理念•上市公司内控信息披露存在的主要问题•问题探讨内部控制的定义与目标•定义：内部控制是指由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。•目标：合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。2企业内部控制及其目标3COSO内控框架控制环境风险评估控制活动信息和沟通监控业务部门业务功能整体监督不断评估内部控制系统的表现。整合实时和独立的报告。管理层和监督活动。内部审计工作。信息和沟通及时地获取、确定并交流相关的信息。从内部和外部获取信息。使得形成从职责方面的指示到管理层有关管理行动的发现总结等各方面各类型内部控制成功的措施的信息流。控制环境营造单位气氛-让公司员工建立内部控制。因素包括正直，道德价值，能力，权威和责任。是其他内部控制组成部分的基础。控制活动确保管理活动付诸实施的政策/流程措施包括审批、授权、确认、建议、业绩考核、资产安全和职责分离。风险评估风险评估是为了达到企业目标而确认和分析相关的风险-形成内部控制活动的基础。上市公司内控需求与现状上市公司内控需求与现状企业风险管理是受企业董事会、管理层和其他员工影响的，用于识别那些可能影响企业的潜在事件并管理风险，使之在企业的风险偏好之内，为企业目标的达成而提供合理保证的过程。这个过程从企业战略制定一直贯穿到企业的各项活动中。（COSO委员会，2003年）控制环境目标设定事项识别风险评估风险应对控制活动信息与沟通监控子公司业务单位分支机构企业整体层次上市公司内控需求与现状大多数上市公司均认识到内控的重要性95.62%的主板上市公司94.86%的中小板和创业板公司随着管理层级的提升，管理人员对内控的需求程度呈现上升趋势财务总监92.06%，总经理96.61%，董事长97.11%上市公司内控需求与现状大多数上市公司设置内控部门和内控专职人员95.28%的上市公司设置内控部门内控专职人员平均人数为6.44人内控部门机构设置形式董事会下设内控领导小组成立单独的风险管理部，整合内控、安全、全面风险管理等在内部审计下设内控部门上市公司内控需求与现状上市公司内控建设经费投入情况内控咨询费用：54.06%的上市公司聘请内控咨询机构，三年平均咨询费用为29.86万元内控信息化建设费用：主板公司平均50万元，中小板、创业板公司平均为41.86万元上市公司内控需求与现状内部控制目标的重要性排序保证财务报告及相关信息真实完整保证经营管理合法合规保证资产安全提高经营效率和效果促进企业实现发展战略上市公司内控需求与现状上市公司对内控的需求分析内生需求满足监管要求上市公司对内控监管要求存在分歧部分上市公司希望监管部门根据行业、规模等多维度特点出台可操作的内控指引，统一要求，通过针对性的行业指引或最佳时间案例指导上市公司建立健全内部控制体系内控监管政策不宜过细，以原则为导向加强内控监管10我国企业内部控制标准体系，由《企业内部控制基本规范》和企业内部控制配套指引构成。配套指引包括18项应用指引和评价指引、审计指引。系企业内部控制基本规范企业内部控制评价指引企业内部控制审计指引企业内部控制应用指引内控环境类组织架构发展战略人力资源社会责任企业文化控制活动类资金活动采购业务资产管理销售业务研究与开发工程项目担保业务业务外包财务报告控制手段类全面预算合同管理内部信息传递信息系统企业内部控制规范体系石油石化、电力行业内部控制应用指引监管理念：以信息披露为核心•内部控制有效性本身缺乏一个统一、明确的客观标准，更多基于企业和审计师的主观评价和判断。•监管机构制定统一的信息披露规范体系。•企业按照规范体系及时披露评价报告和相关信息。•审计师按照规范体系发表审计意见。上市公司内控信息披露的要求•《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》（30号文）规定：上市公司在发布年报的同时披露董事会审议通过的内部控制自我评价报告，以及注册会计师出具的财务报告内部控制审计报告•内部控制评价报告：21号文–区分财务报告内控与非财务报告内控–详式报告：内控缺陷标准及认定情况、整改情况等•内部控制审计报告：内控审计指引–简式报告：财务报告内控的有效性•年报格式准则对内部控制信息披露的要求中小板上市公司内控信息披露的要求•《深圳证券交易所中小企业板上市公司规范运作指引》要求中小板上市公司按照《企业内部控制基本规范》建立健全内部控制制度，并鼓励中小板上市公司执行《企业内部控制配套指引》•上市公司内部审计部门应当对与财务报告和信息披露事务相关的内部控制设计的合理性和实施的有效性进行评价，并至少每年向董事会或者其专门委员会提交一次内部控制评价报告。•董事会或者其专门委员会认为公司内部控制存在重大缺陷或者重大风险的，董事会应当及时向本所报告并予以披露。上市公司应当在公告中披露内部控制存在的重大缺陷或者重大风险、已经或者可能导致的后果，以及已采取或者拟采取的措施。13中小板上市公司内控信息披露的要求•上市公司内部审计部门应当至少每年向董事会或者其专门委员会提交一次内部控制评价报告。•上市公司在聘请会计师事务所进行年度审计的同时，应当至少每两年要求会计师事务所对内部控制设计与运行的有效性进行一次审计或者鉴证，出具内部控制审计报告或者鉴证报告。•会计师事务所在内部控制审计报告、内部控制鉴证报告中，应当对财务报告内部控制的有效性发表审计意见或者鉴证意见，并披露在内部控制审计或者鉴证过程中注意到的非财务报告内部控制的重大缺陷。•如会计师事务所对上市公司内部控制有效性出具非标准审计报告、保留结论或者否定结论的鉴证报告，或者指出公司非财务报告内部控制存在重大缺陷的，公司董事会、监事会应当针对所涉及事项作出专项说明。14中小板上市公司内控信息披露的要求•中小板上市公司内部控制实施和披露上具有如下特点：没有强制要求执行《企业内部控制配套指引》；自我评价的范围限于与财务报告和信息披露事务相关的内部控制制度的建立和实施情况；强化了董事会对的内部控制重大缺陷或者存在的重大风险的实时披露义务；未强制要求上市公司的自我评价报告需要满足证监会《公开发行证券的公司信息披露编报规则第21号——年度内部控制评价报告的一般规定》的要求；要求上市公司至少每两年需要对内部控制设计与运行的有效性进行一次审计或者鉴证，但未强制要求必须以内部控制审计的形式。15创业板上市公司内控信息披露的要求•《深圳证券交易所创业板上市公司规范运作指引》中对创业板上市公司内部控制的实施和披露要求，在中小板的基础上又进行了进一步简化，主要差异包括：创业板上市公司应当完善公司内部控制制度，但没有强调对《企业内部控制基本规范》和《企业内部控制配套指引》的遵循要求；重点关注对货币资金内部控制的监督，要求内部审计部门每季度至少应当对货币资金的内控制度检查一次；未对上市公司内部控制的审计或鉴证作出明确要求162016年度内控评价情况2016年度，在2917家披露了内部控制评价报告的上市公司中，2882家内部控制评价结论为整体有效，占披露了内部控制评价报告上市公司的98.8%，35家内部控制评价结论为非整体有效，占披露了内部控制评价报告上市公司的1.2%。内部控制有效性整体有效非财务报告内部控制无效、财务报告内部控制有效财务报告内部控制无效、非财务报告内部控制有效整体无效总计公司数量2882131842917占比98.80%0.44%0.62%0.14%100%2016年度内控审计情况 2016年，3050家上市公司中，共有2310家上市公司聘请会计师事务所对内部控制的有效性进行审计或者鉴证，占75.74%。其中，2278家上市公司披露了内部控制审计或鉴证报告，占上市公司总数的74.69%；32家上市公司披露内部控制审计或鉴证意见，但未披露内部控制审计或鉴证报告，5家上市公司在年报中明确列示进行了内部控制审计，但未披露内部控制审计意见及内部控制审计报告2016年度主板上市公司内控评价情况2016年度，纳入实施范围的上市公司中内部控制评价结论为整体有效的上市公司共1497家，占纳入实施范围且披露了内部控制评价报告上市公司的98.16%。内部控制评价结论为非整体有效的上市公司共28家，占纳入实施范围且披露了内部控制评价报告上市公司的1.84%。2016年主板上市公司内控审计情况2016年，内部控制审计且列示了审计意见的1544家公司中，标准无保留意见1543家，占比94.11%；非标准意见91家，占比5.89%，其中，带强调事项段无保留意见61家，非财务报告重大缺陷的无保留意见10家，否定意见20家亚星化学（600319）被出具带“强调事项段无保留+非财务报告重大缺陷”意见。 2016年度内控审计强调事项段的分布2016年度内控审计否定意见的分布内控信息披露存在的主要问题——内部控制评价报告•评价格式不统一，信息可比性存在缺陷；内控评价报告存在明显的不愿“暴丑”倾向，评价结论的客观性存疑–审计意见与评价意见不一致，公司与审计师“各抒己见”–采用消极保证方式披露“未发现重大缺陷”，模糊内控评价结论–缺陷披露泛泛而谈，披露的缺陷偏重制度完善，对控制运行少有涉及–缺陷性质披露不清，偏重“事件”披露，而非控制本身或对控制目标的影响–报告期内发生重大会计差错更正，但未作为重大缺陷迹象评价认定内控信息披露存在的主要问题——内部控制评价报告•内控评价范围披露不充分、评价范围不当–评价范围披露不充分，未按规定披露纳入范围的单位比例或以X、Y等符号代替–评价范围不足，遗漏重要子公司或业务板块–采取轮换测试方法恰当性存疑，影响评价范围充分性–遗漏主要业务/事项和高风险领域的披露，或按照规范体系内容机械罗列•未发现上市公司对外包服务公司的内部控制进行评价的相关描述内控信息披露存在的主要问题——内部控制评价报告•未披露上年度重大缺陷整改情况•未按要求披露缺陷整改情况及评价基准日仍存在的缺陷–只披露期末尚未整改缺陷情况，未披露本期已整改缺陷情况–内控缺陷整改措施披露不具体，只是概括提及采取的整改措施，如已责成相关职能部门整改落实、将加强内部培训学习等–内控缺陷整改措施多数就事论事，对缺陷背后隐含的控制环境、信息与沟通、监督等要素没有落实整改内控信息披露存在的主要问题——内部控制审计报告•内控审计报告的客观性存疑问–审计费用披露不规范，审计收费持续走低–存在以无法表示意见代替否定意见的嫌疑–否定意见报告数量增加，占比下降，客观性存疑–强调事项段被滥用嫌疑•被监管机构立案调查作为强调事项或出具标准无保留意见，恰当性存疑•持续经营问题作为强调事项，恰当性存疑•审计范围问题强调的必要性存疑•存在将财务报告内控重大缺陷作为强调事项披露嫌疑•非财务报告内部控制缺陷作为强调事项披露恰当性•存在以强调事项代替否定意见的嫌疑–财务审计报告为保留意见的，内控审计报告出具标准无保留意见内控信息披露存在的主要问题——内部控制审计报告•内控审计报告对缺陷性质的披露的不清晰，对缺陷影响程度及对财务报表审计的影响披露不充分–未按要求披露缺陷对财务报告内控影响程度–未按照要求披露重大缺陷对财务报表审计意见的影响–未按照要求披露非财务报告重大缺陷的性质及实现控制目标的影响内控信息披露存在的主要问题——内部控制审计报告•内控审计报告相关披露与事实不符，或相关披露不充分–审计报告的披露与事实不一致：审计师披露重大缺陷已包括在公司内控评价报告中，实际公司评价报告并未披露该缺陷–审计师对重大缺陷的认定结论与公司内控评价报告的结论不一致，但审计师未在审计报告中指出该重大差异•信息披露工作不严谨–通过巨潮资讯网、公司官网、中国证监会网站及交易所网站等各种渠道都无法找到相关应披露报告内控信息披露存在的主要问题——内部缺陷标准及认定•缺陷认定标准披露不充分、认定标