一、企业内部控制信息披露的发展
近年来，我国市场逐渐处于活跃发展时期，出现了很多的相关法律法规，很多公司发行股票或证券，并明确了其披露主体，在此状况下，我国的上海证券交易所和深圳证券交易所也于2006年出台了相应的内部控制指引，即《上海证券交易所上市公司内部控制指引》和《深圳证券交易所上市公司内部控制指引》，这两个内部控制指引已经明确地进行规定，在其交易所上市的公司必须提供对其内部控制的自评报告，并将自我评价与外部审核进行汇总，与年度报告同时对外披露。这两个指引是我国第一次出台的指导上市公司建立健全内控制度的文件，在对相关信息披露规范有效执行起到了非常重要的保证作用，同时也使上市公司自身强化对相关规范的重视和理解。
尤其在2008年6月28日我国财政部、证监会、审计署、银监会、保监会五部委联合发布了《企业内部控制基本规范》，并于2010年4月26日再次发布了相关配套的《企业内部控制配套指引》，由此共同构建了企业内部控制规范体系，是企业内部控制标准体系建设的里程碑。这部规范和指引体系标志着我国从企业内部控制信息披露的自愿性环节进入到了强制性环节，健全了企业内部控制的标准体系，对内部控制的健全和有效起到了根本性的保证。
二、企业内部控制信息披露存在的问题
（一）相关规范之间不统一。我国相继出台的各种内部控制信息披露的规范之间存在不统一的情况，严重妨碍上市公司对其的理解和运用，并随之引发上市公司在内部控制信息披露时的随意性或选择性。
1、关于内部控制信息披露的标准和要求不统一。我国证监会的规定与两大证券交易所之间的不统一：根据证监会颁布的《公开发行证券的公司信息披露内容与格式准则第2号—年度报告的内容和格式》，公司监事会应对公司决策程序是否合法，是否建立完善的内部控制制度发表意见，并予以披露在年度报告中。而从上交所的《上海证券交易所上市公司内部控制指引》来看，还增加了公司在内部控制出现重大风险时要以临时报告的形式加以披露，并于年度报告中披露内部控制的执行情况。此外，深交所推出的《深圳证券交易所上市公司内部控制指引》则规定，公司董事会应形成对内部控制的自我评估报告，监事会和独立董事对此发表意见，并与年度报告同时对外披露。
2、对于是否必须注册会计师审计的规定不统一。为了更好地对公司内部控制信息披露实施保障，相关法规和准则要求采用“公司自评报告加注册会计师审核意见”的披露形式，目前这种形式已经被广泛地采用并被上市公司广泛接受，但仍旧在某些细节上存在一些差异：证监会关于是否需要审计的规定主要针对特殊行业以及具有特殊目的的上市公司，即只对商业银行、保险公司、证券公司提出了硬性要求，要求由会计师事务所对其内部控制制度及风险管理系统的三性进行评价，并在此基础上出具内部控制评价报告；然而，上交所在这方面仅要求会计师事务所对内部控制自我评估报告出具核实意见即可；而深交所的要求则较为严格和广泛，涉及的披露主体不光局限于证监会规定的商业银行、保险公司、证券公司等，更加广泛到其所有主板上市公司（中小企业除外），而且要求CPA在对上市公司进行年度审计时，应就公司财务报告内部控制情况出具评价意见。
（二）内部控制评价标准的差距
1、对披露内容和格式缺少统一规定。在观察近年来我国上市公司内部控制信息披露的情况时，会发现公司虽然一般会按照规定进行披露，但披露的内容却显得比较简单和宽泛，可能只有“公司已建立了完善的内部控制制度”等，没有实质的内容和说明。针对这种情况的发生，最根本的原因是相关规范对披露的内容和格式缺少一个详细而统一的规定，不仅使大多数希望加强内部控制的公司不知道如何进行披露和评价，更加加重了少数公司钻空子的机会。
2、对披露主体及其职责界定不清。关于披露主体的界定都零散于各法规之中，主要是证监会发布的各项公开发行证券的公司信息披露内容与格式准则，根据目前我国出台的这些规范，上市公司内部控制信息披露中明确涉及的主体包括上市公司（由董事会代表）、监事会和注册会计师，但同时我们也看到，虽然有这些相应的描述，但很难找到具体的对相关披露主体的责任描述。在实践过程中，上市公司的投资者等，通常把董事会作为建设和完善内部控制的主体，监事会作为对内部控制建设和评价的监督，而注册会计师作为内部控制健全有效的外部核实，这种观点比较合理也已被广泛接受，然而很难在相关规范中进行明确。根据两市上市公司的实际披露情况可以看出，披露的主体的不统一，特别是一般性上市公司，由于没有硬性的规定，有些通过监事会披露，有些通过董事会披露，有些则两个都披露。由于董事会、监事会在公司的作用不同，会导致其评价也可能不同，这使得上市公司在披露的过程中不能从开始就做到统一标准。
3、对具体披露形式无统一规定。一般来讲，对于上市公司的信息披露可分为两种方式：强制披露和自愿披露。目前随着相关法案的颁布，对此信息采取的是强制披露方式，这种方式能在很大程度对上市公司定期向投资者和社会公众提供其内部控制方面的信息提供保证，对所有要求的披露事项进行说明，而不能有选择地提供，能尽可能地保护投资者和社会公众的权益不受损害。此外，涉及到具体的披露形式时，存在缺乏统一要求的情况，比如证监会要求发行人在招股说明书中披露公司内部控制的信息以及注册会计师的结论性意见，但对具体的披露形式却没有统一的要求，使得上市公司在进行披露时形成较大的随意性和选择性。
4、对监督主体缺少统一规定。正如之前所描述的上市公司内部控制信息披露责任主体一样，证监会并未明确内部控制的监督主体到底应由谁担任，按照目前正常的理解，认为董事会应该最了解公司的运作，被看作对建立健全公司内部控制制度承担主体责任，监事会对公司是否建立完善的内部控制发表独立意见，外部的注册会计师对公司的内部控制是否健全和有效进行核实，而没有一方在法规层面上被树立为监督主体。证监会只是指出，监事会应对本公司是否建立完善的内部控制发表独立意见。但是，不同的监督主体对内部控制的理解、侧重点都不尽相同，监督所执行的程序和参照的标准也会有所不同，甚至导致最终的结论出现差异，这必然影响到内部控制信息披露的质量与规范。
5、对评价标准缺乏明确界定。从最近几年的实际情况来看，各公司披露的程度也不尽相同，有些执行良好的公司对自己的内部控制制度本身、出现的问题、注册会计师提出的建议等方面都进行了较为详尽的说明，然而相对其他的公司只对此进行了笼统的答复，比如“已建立内部控制制度”，“无重大缺陷”等等。这种表现会很大程度地削弱内部控制信息披露的地位和公信力，形成了内部控制及其信息披露的一道阻碍。
三、企业内部控制相关信息披露的思考
（一）健全相关规范体系。从企业内部控制的发展来看，我国的企业内部控制相关法规一般是随着问题的出现而进行的新的增加或修改，在某种层面上看，并没有形成一种完整的内部控制意识。因此，针对此问题急需建立健全一套完善的、权威的、并适应我国经济发展的内部控制信息披露的规范体系。
1、明确内部控制及其信息披露的意义。明确内部控制及其信息披露的概念是我们执行一系列相关法规的起点，由于内部控制及其信息披露的内涵也不是一成不变的，而是随着经济发展的不断演变，因此对于内部控制的定义，不仅要严谨规范，更需要具有更高层次的指导意义，当内部控制的内涵发生演变时，使用者可以根据其理论精神，更有效地进行理解和执行。我国目前在明确内部控制概念方面还有一些不足，很多问题主要集中在不同层级之间的法规，或者相同层级之间的不同法规，在定义内部控制概念时参照的规定或者侧重点不完全相同，这样会给使用者造成一定的困惑。这种情况下，我国颁布了《内部控制相关规范》及其配套的三大指引，针对我国存在的现状进行了整体统一的规范。
2、完善规范体系与建立多法联动。我国目前针对内部控制信息披露的法规，是由五部委统一颁布的，这样的规范制定主体和程序，在某些方面可以保证这些规范的专业性和可操作性，更新也相对比较及时，给予使用者能够针对内部控制信息披露的一致性和衔接性进行理解和操作，更加有利于统一强化和规范公司内部控制信息披露的具体工作。
3、明确责任主体。要保证内部控制信息披露规范的严格执行，不能只靠制定出的法律进行规范，非常需要的一点是对内部控制信息披露的责任主体进行明确化，因为如果只是空泛地规定上市公司负有披露内部控制相关信息的义务，一方面不能引起足够重视，另一方面更可能会导致内部组织机构之间相互推诿等情况，从而使得内部控制信息披露工作没办法有效进行。鉴于此，在新颁布的规范中，明确董事会是进行自我评价报告的主体，并对提供的评价报告进行负责。
（二）企业自身。无论相关的法律法规制定的多么完善，要想在实践中充分发挥其作用，都需要使用者能够真正理解与配合。因此，必须加强上市公司对内部控制相关信息披露法规的理解，使其与公司的利益相结合，充分调动其自身的积极性，主动参与到完善内部控制信息披露的工作中来。
1、从成本效益角度加深认识。我国目前的内部控制信息披露进展还比较缓慢，其中一个重要的问题就是，上市公司缺乏披露的意愿，基本上是法规强制披露才“被迫”披露，而且披露得越简单越好，这个问题使得内部控制信息披露工作很难有实质性的提高，更难保证投资者和公众真正取得有用的信息。
针对此问题的发生，我们可以简单的看出上市公司对内部控制信息披露存在抵触情绪主要有两个原因：一个是内部控制及其信息披露会加大公司的成本，而又不能通过直接的获益进行配比；另一个是对公司内部情况的“保密”心理，担心资料的泄密。针对上市公司的这种心理，需要强化内部控制信息披露的意义以及可能给公司带来的巨大价值，既包括对内促进内部控制制度的完善和有效执行，有效促进公司长远战略的制定以及战略目标的实现，大幅提高公司生产经营的效率与效果；又包括对外树立公司内部控制良好的形象，加强投资者和社会公众对公司的信心和支持。公司想要实现这样的一些目标，不仅要通过许多相互配合的措施和规划，更要投入大量的精力与花费，而内部控制的信息披露可以帮助公司综合实现这些目标，相对于付出的内部控制信息披露的成本来看，公司将会获得超额的收益。企业更应该放远自己的眼光，内部控制信息披露对公司的帮助更多的体现在公司长期战略目标的实现方面，投资者和公众对公司的评价也是需要有一个逐渐发展的过程，因此上市公司不能只关注眼前的利益，应该综合地考虑问题。
2、明确管理当局责任。之前介绍过我国目前内部控制信息披露规范中有关披露责任主体的条款并没有进行明确界定，鉴于各机构在公司中的具体作用，笔者认为应该加强上市公司管理当局在内部控制信息披露中的地位和责任，要求其通过自测、自评等方式对内部控制信息进行披露。管理当局首先在建立健全公司内部控制制度方面占有优势的地位，他们了解公司业务，把握公司发展战略，可以宏观地了解和评价内部控制制度是否完善，以及是否得到有效执行。另外，如果发现了内部控制存在某些薄弱环节，也可以及时加以识别，从公司整体层面上研究改进方案，也可以防止舞弊的发生。
作者：沈磊
