最近，2012年上市公司内部控制审计报告已进入集中披露期。

近日，中注协发布的2012年年报审计情况快报(第十二期)显示，截至4月22日，会计师事务所共为767家上市公司出具了内部控制审计报告。其中，标准内部控制审计报告755份，带强调事项段的无保留意见内部控制审计报告11份，否定意见内部控制审计报告1份。

非标意见少未能反映上市公司内控真实情况

本报记者查阅中注协发布的12期年报审计情况快报发现，被出具带强调事项段的无保留意见内部控制审计报告的11家上市公司的分别是马钢股份、江淮汽车、ST宜纸、上海机电、凤凰光学、恒源煤电、深天地A、大地传媒、南京医药、ST狮头、*ST长油。

据悉，上述被出具带强调事项段无保留意见内控审计报告中，被强调事项的严重程度不一。一些内控审计报告的强调事项是由于特定的客观原因造成，与上市公司本身的内控程序关系并不紧密，仅仅是审计师严格执行相关准则程序要求的结果。比如ST宜纸“被非标”的原因是该公司于2011年8月21日起全面停产并实施整体搬迁工作，未发生生产业务，无正常采购及销售业务，故注册会计师未对生产管理、原料采购以及销售管理内部控制活动的有效性进行测试；上海机电的原因是根据证监会相关文件规定，上海机电可豁免对2012年度被并购企业财务报告内部控制有效性进行评价，注册会计师未将该被并购企业纳入财务报告内部控制审计的范围。也有上市公司被出具内控非标意见与期后事项有关，还有上市公司被出具非标意见是出于某些环节的内部控制实质性缺位，如恒源煤电未设立内审部门，内审只是由控股股东皖北煤电集团审计部代为履行，这一做法显然不符合《企业内部控制基本规范》的相关规定。

唯一一家被出具否定意见内部控制审计意见的是此前被媒体曝出财务丑闻的贵糖股份，其“获罪”的原因是蔗渣、原煤等大宗原材料的成本核算基础薄弱，部分暂估入账的大宗原材料缺少原始凭证(如包括原材料数量、供应商名称等信息的入库单)，影响该存货的发出成本结转与期末计价的正确性，与此相关的财务报告内部控制运行失效。上述重大缺陷未包含在贵糖股份2012年内部控制评价报告中，且导致贵糖股份2012年度未审财务报表的本期数据和前期比较数据中“营业成本”、“应付账款”、“存货”等项目存在重大会计差错。

国富浩华会计师事务所合伙人胡勇接受本报记者采访时称，从2011年试点到2012年首次强制实施，内控审计迈出了大步伐，但是从内控审计的结果来看，仍然不够理想，不足2%的非标意见未能真实反映上市公司内控建设及其执行的真实情况。

在远光软件首席风险专家、咨询中心副总经理关晶奇看来，上市公司落实内控难的原因在于内控缺陷定位不明。关晶奇告诉本报记者：“因为内控评价指引中对于如何确认重大、重要、一般缺陷没有精确说明，内控审计指引中只是对于什么是财务报告领域的重大缺陷有一定认定标准，这样在具体操作中客观上导致很多上市公司如何界定自己的缺陷标准很难统一。

前不久，中注协在京约谈中勤万信会计师事务所负责人，就其承接的部分上市公司2012年年报审计和内控审计业务可能存在的风险进行提示。中注协相关负责人强调，如果上市公司在基准日前对存在的重大缺陷进行了整改，但新的内部控制尚未运行足够长的时间，应慎重考虑其对内部控制有效性评价的影响。

内控审计报告反映企业内控执行范围受限

国内某大型上市公司财务主管张先生认为，内控审计披露的问题大多与内控执行不规范有关。他对本报记者表示，执行内控规范不是像说说那么简单，多多少少会遇到一些问题，比如领导不重视，工作开展起来就比较麻烦。

对于上市公司在执行内控规范所遇到的具体问题，胡勇称，部分企业对于内控建设的重视程度不够，建设及其执行仍然流于形式。不过，胡勇强调，我国目前进行的内控审计处于初级阶段，存在诸多问题属于正常现象。

北京正为远达管理顾问有限公司合伙人钱进与上市公司有颇多接触，他向本报记者介绍，每家上市公司的特点不同，执行中遇到的问题多种多样。典型的包括：一是企业内审部门的独立性不够。董事会、审计委员会对内部控制运行的重视程度不够，内审部门对同级部门、经理层的有效监督不足。二是内控规范执行范围受限。由于实施时间紧张，一些企业在内控规范实施范围上覆盖范围不够、实施深度不够，有的是建立、更新了一些控制活动，但还没有足够的时间去实施、检验。三是内控评价工作不规范。从已披露的内控评价报告来看，格式不统一，详略程度相差很大，一些被出具了带强调事项段的无保留意见内部控制审计报告的企业，其内控评价报告里看不到有价值的信息披露。四是企业自身的内控人才资源不足。

“总体上，从当前已经披露的内控审计报告来看，多反映出企业内审部门独立性不够和内控执行范围受限，尤其值得一提的是，存在类似问题的企业显然不止几家。”钱进说。

关晶奇指出，很多上市公司的内控体系建设的目的，是根据要求在指定日期前向证监会及股民提交内控评价报告，但内控手册、内控报告完成监管要求后就束之高阁，没有真正与企业实际联系起来，使很多上市公司觉得只是为了做而去做，没有把内控真正嵌入企业的每一个业务和流程之中，迫切需要运用信息化的手段来将这些要求进行固化，使风险管理和内控的要求与日常运营有机融合。

内控审计决定内控建设

“内控建设开展的规范程度，与内控评价关联很大。上市公司必须对此予以重视，这对开展内控建设尤为关键。”张先生说。

那么，上市公司应如何做好内部控制呢？胡勇称，上市公司应该正确理解内控建设的重要性和积极的意义，内控建设不是增加企业负担，而是通过内控建设使得企业迈上良性循环轨道的一种方式。与此同时，在内控建设的过程中一定要结合企业自身的特点，在符合标准的前提下，有的放矢，使得内控建设更为满足企业发展的需要。此外，内控建设并非一劳永逸，要不断针对企业出现的新事项、新问题，不断加以矫正，经常“照照镜子、洗洗脸、整整衣冠”，确保企业的各项业务发展都能够置于内控之下。

钱进认为，上市公司应严肃、认真地执行内部控制工作，事务所也应本着严肃认真的态度执行内部控制审计与评价工作，以评价、审计工作推动内部控制体系进一步完善。另外，可在重要业务活动中加强信息系统的自动控制和定期自动检查功能，强化控制的刚性。

“上市公司还可将内部控制监督结果与考核挂钩，并占有一定的权重。”钱进补充说。

内控审计质量存在明显不足

2012年8月，财政部、证监会出台了《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》，明确规定了内控审计在主板上市公司分步实施的时间表：2013年，中央和地方国有控股上市公司需要披露2012年度的内控自我评价报告和审计报告；自2014年报起，所有主板上市公司都应该实施内控审计。

目前已实施内控审计的上市公司中，有一大批已经披露了其内控报告，就数量上而言，上市公司的内控审计报告数已较2011年翻了一番。有人认为这意味着内控审计已经逐步步入正轨。不过也有业内人士认为，数量的增长，并不意味着审计质量的提升。

“与年报审计相比，事务所在内控审计上仍然经验不足，还有待进一步提高，数量并不能够代表质量。”钱进指出。

胡勇也认为，就目前来讲，内控审计带有浓厚的包容色彩，会计师对于内控审计的方法、程序存在不足，还是拘泥于传统的查账审计模式，在认识上，依然把内控审计作为依附于财务报表审计的附加业务。另外，会计师对于内控审计的节点把关存在宽容。种种原因的存在，势必带来审计风险。

对于事务所在进行内控审计时应注意的风险点，钱进提到以下几点：年报审计结果与内控审计结果可能会有差异；有些企业的负面问题已被公众所熟悉，内控审计方面应如何处理；除控制活动外，公司层面的内部控制(如内部环境)非常重要，但有效审计难度较大。

钱进还建议说，内控审计方法上应逐渐规范，审计资源投入应有保障，审计师在执业过程中也应尽职严谨，执业监督上比较到位，这几个条件满足后才可以说内控审计步入正轨。

针对如何做好内控审计，关晶奇建议，将关注领域逐渐从财报相关内控向非财报领域扩展，由财报内控逐步向全面内控提升；将内控设计完整性和执行有效性纳入绩效考核范围；对于一线职能部门进行风险和内控的持续性培训；确保审计部的独立性，注重发挥内部审计与纪检监察等职能的协同；在定期自我评价的基础上，加强管理层的日常监督，建立自我评估机制。

另外，关晶奇还指出，财政部等五部委联合发布的《企业内部控制配套指引》适用于所有行业，对于具体业务中的风险和应对的建议比较模糊，但对企业价值更大的全面内控体系建设较难以落地。

“因此，不同行业的企业内控建设有较大的提升空间，亟需提出分行业的内控标准。”关晶奇说。

本报短评

内控审计实行的时间不长，按说我们不应该对目前的内控审计情况过分苛刻，我们应该允许内控审计有一个逐步完善的过程，诚如大家常说的“只要方向是对的，就不怕路远。”

不过，投资者却希望上市公司更加重视内控建设、事务所更重视内控审计质量的提升，而不是双方都“走走过场”，这需要上市公司和事务所都能端正态度，认真践行。