在上公司年报监管暨内控工作会议(2)

理啊，不缺，就像老外、前两年世界银行评估中国的会计准则一样，有的老外提出一个观点，说中国相当一部分企业没有建账，没有账。我为他们感到一点点悲哀。我心里想，不是他们没有建账，而是不给你看账，还有企业存在多少套账的问题，不存在没有账的问题。同样的观点，我们的内控，不是我们没有内控，没有规章，没有制度，而是多年来我们的规章制度是空纸、是废纸。我和工农中建联系比较多，工农中建平均的管理制度有1500-2000项，不可谓不多，但是在一定程度上金融领域是违法违规、内控失效的重灾区。美国也一样，美国曾搞过十大行业内控水平调研，就整体水平而言，金融行业还是不错的，但是就研究的几家个体而言，几家金融企业排在所有抽样企业倒数第二位。中国的内控也是从金融领域起步，最初的部门规章是《关于加强金融机构内控的若干规定》，但这么多年过去了，我们的很多问题仍然没有得到有效解决，所以说，执行力问题永远是个大问题。我们讲内控缺陷从缺陷形成原因来讲可分为设计缺陷、运行缺陷，也就是执行缺陷。怎么样评价我们的缺陷、指出来缺陷的严重程度，然后有针对性的去改进，这也是内控规范体系的一个重大变化，重大的制度安排。

第五，更加注重规范制度的统一协调。既包括与国际的协调，也包括几个监管部门的协调，甚至也包括两个交易所的协调。应当以内控规范与配套指引发布为契机，大家都统一到这套规范体系上来。这套体系尽管是五部委发的，但是经过国务院批准同意之后发的。严格意义上讲，具有行政法规的性质。发布之前专门给国务院作了报告，

6

国务院作了批示，然后五部委一起发的，应当成为大家实施内控的统一的基本准则。

第六，更加注重强制性审计。全球范围内的内控模式有三大模式，一是美国模式，基础是财务报告内控，说白了就是保证财务报告的真实、可靠为基础、为核心，要求管理者既有强制性的自我评价，又有强制性的外部审计。二是欧盟模式，制度基础是全面风险控制，不仅仅局限于财务报告，要求强制性自我评价、董事会披露，但不要求强制性的审计。三是中国模式，这是最严格的，制度基础是欧盟模式，但我们的制度安排和美国是一样的，既要求强制性的自我评价，又要求强制性的外部审计，注册会计师审计。这一制度安排的结果是在上市公司年报中必须增加两份报告：一是上市公司自身对内控有效性的自我评价报告，二是注册会计师对内控有效性的审计报告。这两个报告与财务报告是分开的。这两个报告的影响力可能远远大于财务报告。因为现阶段资本市场还处在机构投资者不强、散户投资者为主的时期，散户投资者只要不是文盲，基本能够读懂内控语言。 第三大问题，如何判断上市公司是在真正实施内控。即从监管部门角度看，如何判断上市公司是在真干还是假干。应至少抓住这几点：一是领导重视。一个感受，怎样体现领导重视，送大家两句话：大庆油田的标语——“单位好不好，关键看领导；班子行不行，首先看前两名”。这两句话对搞内控至关重要。主要领导董事长、总经理在内控建设当中是不是足够的重视、足够的支持，是不是亲自抓，很重要的判断。如其只是挂个名，最后抓的只是总会计师、财务总监的时候，

7

悬。董事会、经理办公会有多少时候在讨论内控、抓管理，定了多少办法。二是舍得资源投入。在机构设置、人员配备、培训教育、制度建设、流程梳理等方面究竟做了哪些工作。中石油专门设了内控部，中石化在财务部设了内控处，深万科在每个机构设了内控专员，等等，是不是有一套人马，不管是独立的还是合二为一的，合署办公的机构，有没有在经费上、工作上、教育培训上真正下功夫，投入了多少资源，这是一定要衡量。因为，他是管理语言。英语是通用的国际语言，会计是通用的商业语言，内控是通用的管理语言。这是我们管理的核心、基础，有没有投入资源去干，如果光是开开会，讲两句话，没用。三是方案设计究竟怎样。不能照搬照抄十八项配套指引。企业千差万别，监管部门不可能穷其所尽，不可能包罗万象，抽取了各行各业可能相对的共同点，共性的业务，作了一些要求、规范和指导，但是基本的要求、规范指引都反复强调各个企业要结合实际情况去抓落实，否则完全是自欺欺人。必须结合自己的特点、自己的高风险领域、自己的重要业务，按照基本规范的原则、理念、基本要求去完善。如果是机械性、书面性的庸俗化，没有任何作用。我和注册会计师讲这个观点，对企业不要轻信，要了解企业实际情况，如对它的高风险领域、核心业务都不清楚，看他的几本东西，完全没有用。必须结合企业经营特点、核心业务、关键环节、高风险领域去判断，否则都是形式主义，都是蒙人的。四是内审定位。公司究竟怎样确立其内审，很重要。企业重大缺陷的判定基项或标准也好，三大方面，其中一大方面就来自于内审。它的内部审计究竟做得怎样，独立性如何，审计队伍的专业

8

素养如何，工作开展如何。应当说这些年我们的内审整体上有了很大提高，但是不尽如人意。有的企业财务和审计还在一起，没有分开，独立性不行。董事会审计委员会作用发挥究竟如何，有学者研究得出两个三分之二的结论：一是三分之二的上市公司审计委员会在形式上都是不错的，像模像样；二是三分之二的审计委员会无效或基本无效。五是自我评价。企业在发布自我评价报告过程中包括发布报告之后，我们董事会对评价工作的参与、监督程度，董事会是不是亲自在抓，这是基本规范的要求。董事会对建立健全和有效实施内控负责。换句话说，内控的评价主体、责任主体是董事会，可不是总经理。董事会对内控评价报告的真实性、有效性负责。因此，董事会是不是真正在抓落实。其次，董事会批准日的评价和日常评价是不是有机结合，是不是我到年底找几个人突击一把，下基层晃一圈，弄个评价报告，与日常评价是不是相互支撑、呼应的，是一年就这一刷子，还是日常就一直在持续不断地在做监督、在做评价，基于日常评价的总结、概括。看看评价工作底稿一目了然。再如，改进状况如何。我们提出对重大缺陷至少要改进三个月，对改进情况要评估。有无整改到位，直接关系到我们评价意见的出具。

第四个问题，如何判断审计师是真审还是假审。美国做内控审计，核心两个方面：一是内控团队都是些什么人，内控审计和财务报告审计怎么结合，先做内控审计，摸底摸个遍，财务报告审计团队再进场。内控审计一定有一个IT团队、信息技术团队作支撑，在这一点中国还远远达不到。几个团队的支持很重要。二是作审计的诀窍最核心的

9

两点：第一项目经理的配备，一定要选一个熟悉企业经营情况、经营管理特点的项目经理。第二强调项目团队持续性培训。从美国模式借鉴，六点判断标准：一是独立性，是不是真正独立审计。内控审计与财务报告审计统筹考虑，没有问题，但是做内控审计一定要和做内控咨询、内控评价严格分开。自己设计的内控，自己评自己、自己审自己，能行吗？二是审计范围把握是否准确。按五部委最初定位，内控评价、内控审计最初的理念要求，都是全面风险控制。但是在实践当中，主要是证监会的同志有顾虑，顾虑内控审计两个方面有难度：第一上市公司完善全面风险控制有一个过程，如果一下搞全面风险控制，无论是成本、自身具体管理能力、实际情况，可能难以一步到位；第二审计师的特长更多的还是在财务控制领域，如果一下子全面风险控制审计，审计师的风险比较高，执业的压力比较大。最后两部委达成默契，从现在开始起步的内控评价一定要更加关注全面风险控制，但是审计在现阶段更多地强调以财务报告内控为基础的审计。这两个口径是不一样的，评价的口径范围更宽，审计的范围相对窄，但是审计指引也强调要对审计发现的非财务报告内控的缺陷也要进行披露。三是审计程序。从业务承接、审计计划、审计工作执行到缺陷评估、报告到归档的全过程，一定要有充分适当的审计证据，证明审计程序是到位的。四是缺陷认定。最终审计报告、审计评价里面最核心的是重大缺陷，但凡认定一项重大缺陷，审计报告、审计评价意见结论就是否定意见。要把握发现的缺陷是否属重大缺陷，缺陷的影响范围有多大。企业如果没有缺陷就不是企业，但是要防止重大缺陷的发

10

生。五是审计意见的协调性。内控重大缺陷不一定会带来财务报告的否定意见，但是财务报告审计中发现有重大问题一定可推导出内控有重大缺陷。财务报告内控有问题，不一定影响财务报告失真，如发现财务报告有缺陷，最后改了，把数据调整过来了，公布的时候按调整后的数据来公布，不能出否定意见。但是，如果我们的报表进行了重述，进行了重大更正，甚至财务报表就是否定意见，那我们的财务报告内控一定有重大缺陷。我们一定要观察内控审计和财务报告审计意见的协调性。六是审计收费。现在上市公司的审计收费太低。美国搞内控审计第一年收费平均440万美元，目前逐渐在下降，大概是280万美元左右，内控审计成本基本上是财务报告审计的1.5倍左右，这是美国的情况。美国的大中型企业平均的审计费用大概是每年350万美元，中国上市公司少的审计费用在10万元左右，还有若干家公司没有披露审计费用。审计行业收费是一个重大的瓶颈问题。低收费、恶性竞争一定保证不了审计质量，包括内控审计质量。如果哪家上市公司审计收费包括内控审计费用只有10-20万元的水平，你把他作为重点监管对象，没错。中石油搞内控审计的成本每年的大数是1.2亿元，中石化每年的大数是4500万元，都是给的四大。这有崇洋媚外的因素，反过来也说明我们的审计质量有问题。过低的审计收费一定有问题，只能是蒙人的。

11

百度搜索“77cn”或“免费范文网”即可找到本站免费阅读全部范文。收藏本站方便下次阅读，免费范文网，提供经典小说综合文库在上公司年报监管暨内控工作会议(2)在线全文阅读。