本报告选取2017年4月30日前在沪、深交易所a股上市并披露2016年年度报告的3117家为研究对象，对上市公司披露情况进行分析。本报告的数据来源于上市公司公开披露的年报、内部控制评价报告、内部控制报告、财务重述报告、诉讼报告以及各监管机构对上市公司违法违规行为的处理公告等。本报告中所有数据都已收录至dib内部控制与风险管理数据库（www.dibdata.cn）。本报告是国家自然科学基金重点项目“基于中国情境的企业内部控制有效性研究”（项目批准号71332004）的阶段性研究成果。
上市公司内部控制评级总体情况
为保证内部控制指数的客观、公正、准确和完整，迪博·中国上市公司内部控制指数以2016年1月1日前上市的a股上市公司为样本，2016年度纳入迪博·中国上市公司内部控制指数范围的样本数量为2804家上市公司。按照四级八档的分类标准，2016年度中国上市公司内部控制整体水平为：内部控制评级为aaa的公司2家，占比0.07%；评级为aa的公司4家，占比0.14%；评级为a的公司24家，占比0.86%；评级为bbb的公司74家，占比2.64%；评级为bb的公司468家，占比16.69%；评级为b的公司1704家，占比60.77%；评级为c的公司381家，占比13.59%；评级为d的公司147家，占比5.24%。
对比上市公司近三年内部控制整体水平变化情况发现，2016年度首次出现内部控制评级为aaa级的上市公司，且2014年至2016年度，内部控制评级为aa、a、bbb、bb四级的上市公司占比总体呈现小幅下降趋势，而内部控制评级为b级的上市公司占比近三年大幅增长，c级大幅下降而d级则呈逐年上升趋势。
内部控制评价报告披露情况及缺陷分析
（一）内部控制评价报告披露情况
2864家上市公司披露了年度内部控制评价报告，占披露年度报告的a股上市公司数量的91.88%。其中，内部控制体系被认定为整体有效和非整体有效的上市公司分别为2834家、30家，分别占比90.92%、0.96%。
（二）内部控制评价缺陷分析
512家上市公司披露其存在内部控制缺陷，占披露了内部控制评价报告公司数量的17.88%。
512家上市公司总计披露内部控制缺陷4447项。其中，重大缺陷61项，占比1.37%；重要缺陷54项，占比1.21%；一般缺陷4332项，占比97.41%。重大、重要缺陷全部披露了具体缺陷内容，一般缺陷中有1121项披露了具体缺陷内容。按照缺陷等级、缺陷性质、缺陷所处层面、是否与相关对1236项缺陷具体内容进行分类统计。
其中，披露了具体内容的61项重大缺陷主要集中在资金活动、财务报告、社会责任、工程项目、关联交易、信息披露、全面预算等领域。
上市公司披露的内部控制重大缺陷与重要缺陷总计115项，64.35%的重大、重要缺陷区分了整改日期。其中，截止报告基准日有效整改的重大、重要缺陷占比28.70%，截止报告发出日有效整改的重大、重要缺陷占比总计43.48%。
内部控制审计报告披露情况及审计发现分析
（一）内部控制审计报告披露情况
2253家上市公司披露了其所聘师事务所出具的内部控制审计报告，占披露年度报告的a股上市公司数量的72.28%。其中，2154家上市公司的内部控制审计意见为标准无保留意见，占比69.10%；99家上市公司的内部控制审计意见为非标意见，占比3.18%，详细情况为：带强调事项段的无保留意见74家，占比2.37%；保留意见3家，占比0.10%；否定意见22家，占比0.71%。
（二）内部控制审计发现的重大缺陷
导致否定意见的内部控制重大缺陷共计48项；被认定存在非财务报告相关内部控制重大缺陷的上市公司11家，共涉及13项非财务内部控制重大缺陷。
（三）内部控制审计方式与审计费用分析
采用内部控制整合审计的上市公司2229家，占披露了内部控制审计报告公司数量的98.93%；采用单独审计的公司24家，占比1.07%。
在2253家聘请出具内部控制审计报告的上市公司中，有1452家上市公司在年报中说明向会计师事务所支付了内部控制审计费用，占比64.45%。其中，有1370家公司单独披露了内部控制审计费用数额，占比60.81%；82家公司未披露具体数额，占比3.64%。
针对上市公司单独披露的内部控制审计费用数据分析发现：1370家上市公司总计支付内部控制审计费用6.32亿元，每家公司平均支付46.13万元，上市公司内部控制审计费用占审计费用总额的比例平均为26.11%。
2008-2017年中国上市公司内部控制信息披露情况对比分析
（一）2008-2017年内部控制评价信息对比
1、内部控制评价报告及评价结论披露情况对比。2008-2015年上市公司内部控制评价报告披露比例呈逐年上升趋势，近两年呈下降趋势；内部控制评价结论非整体有效比例在2008-2013年无显著变化，2014-2015年大幅增长，近两年略有回落。
2、内部控制评价缺陷披露情况对比。2008-2016年披露存在内部控制重大、重要缺陷的上市公司比例呈整体上升趋势，2017年略有回落；2008-2012年披露存在一般缺陷的公司占比呈大幅下降趋势，2012-2014年有较大幅度的波动，2013年大幅上升，2014年又大幅下降，2015-2017年呈整体上升趋势。
（二）2008-2017年内部控制审计信息对比
内部控制审计报告及审计意见披露情况对比。2008-2016年上市公司内部控制审计报告披露比例呈逐年增长趋势，2017年略有下降；2008-2011年内部控制审计意见非标比例大幅波动，但整体比例偏低，2012-2017年呈逐年上升趋势，并于2017年达到历年最高，为4.39%。
上市公司内部控制信息披露中存在的问题
（一）内部控制报告披露的规范性有待提升
1、报告披露不准确、不完整。部分上市公司内部控制报告披露内容自相矛盾，如“内部控制评价结论”段与“内部控制缺陷认定及整改情况”段中披露的信息前后明显不一致；个别上市公司内部控制评价报告存在补充修订，对内部控制评价结论、内部控制缺陷或内部控制审计意见等关键信息进行更正；另有个别上市公司报告内容披露不完整，缺少内部控制评价结论、内部控制缺陷认定或内部控制审计意见等核心内容。
2、报告披露不及时。2016年度，仍有5.17%的（161家）上市公司在年报中提及已实施内部控制评价或内部控制审计，但通过公开渠道未找到相应的报告。
（二）内部控制评价质量有待提高
1、内部控制评价结论不能完全充分反映上市公司内部控制的真实情况。2016年度，有91.88%的上市公司披露了年度内部控制评价报告，其中，内部控制体系被认定为整体有效的上市公司占比90.92%，非整体有效的公司占比仅为0.96%。然而，“迪博·中国上市公司内部控制指数”显示，2016年度内部控制评级处于c级的上市公司占比13.59%、d级的上市公司占比5.24%，合计占比高达18.83%。但是，纳入内部控制指数评级范围的上市公司中，仅有1.39%的上市公司披露其存在内部控制重大缺陷，仅1.07%的上市公司认定其内部控制为非整体有效，对比上述数据发现相当部分公司的内部控制评价结论不能反映该公司内部控制的真实情况。
2、内部控制评价结论与内部控制审计意见存在重大不一致。2016年度，有49家上市公司的内部控制评价结论与内部控制审计意见存在重大不一致。其中，个别上市公司被出具否定意见的内部控制审计报告，认定存在内部控制重大缺陷，但内部控制评价报告仅将其作为一般缺陷，认为内部控制整体有效；个别上市公司内部控制审计意见为否定意见，存在财务报告重大缺陷，但评价报告中将其认定为非财务报告重大缺陷。
（三）内部控制缺陷认定不当，重大、重要缺陷整改不及时
1、内部控制缺陷认定不当。其一，部分上市公司将报告期内发生的重大损失、违法违规事项等本应属于重大或重要缺陷的事项，在“其他内部控制相关重大事项说明”中披露，而未认定为内部控制缺陷；其二，部分公司内部控制缺陷认定标准执行不当，或将依据内部控制缺陷认定标准本应认定为重大或重要的缺陷认定为一般缺陷，或将财务报告相关缺陷认定为非财务报告缺陷，避重就轻的行为明显。
2、重大、重要缺陷整改不及时。截至报告基准日，有高达71.30%的内部控制重大、重要缺陷未能有效整改；截至报告发出日，仍有55.65%的内部控制重大、重要缺陷未能有效整改，内部控制缺陷的整改落实亟待进一步加强。
（四）内部控制审计质量有待提高
1、内部控制审计结论的严谨性有待提升。存在个别将财务报告内部控制重大缺陷认定为非财务报告内部控制重大缺陷的情形，涉及募集资金管理、资产管理、关联交易等环节，极大地降低了内部控制审计报告的公信力。此外，不同会计师事务所对同一性质的事件发表的内部控制审计意见不一致，如对于上市公司存在内部控制审计范围豁免的，有的作为强调事项段披露，有的则作为标准无保留意见。
2、强调事项段披露有待进一步规范。注册会计师出具了带强调事项段的内部控制审计报告中，有14.86%的强调事项段披露的是非财务报告相关内部控制缺陷，涉及组织架构、、社会责任等环节，混淆了非财务报告内部控制缺陷描述与强调事项段内容；另有较多公司强调事项内容披露过于笼统，未明确强调事项中披露的重大事项产生原因、影响程度及整改情况等信息。
（五）内部控制信息披露监管规则有待进一步规范
1、中小板、创业板上市公司内部控制报告披露规则有待规范。在内部控制评价报告披露方面，有73.55%的中小板和创业板上市公司按照《公开发行证券的公司信息披露编报规则第21号——年度内部控制评价报告的一般规定》的要求披露内部控制评价报告，另有26.45%的上市公司依据《关于印发企业内部控制规范体系实施中相关问题解释第1号的通知》等其他规定披露内部控制评价报告；在内部控制审计报告披露方面，注册会计师依据《企业内部控制审计指引》和中国注册会计师执业准则为中小板、创业板上市公司出具内部控制审计报告的比例仅为8.98%，依据《中国注册会计师其他鉴证业务准则第3101号——历史财务信息审计或审阅以外的鉴证业务》出具内部控制鉴证报告的比例高达76.22%；另有14.80%的公司依据《内部控制审核指导意见》等出具了内部控制审核报告等其他格式的报告。
2、内部控制有效性认定标准有待统一。一是内部控制评价结论有效性认定的标准不一致。《公开发行证券的公司信息披露编报规则第21号——年度内部控制评价报告的一般规定》和《关于印发企业内部控制规范体系实施中相关问题解释第1号的通知》对以截止报告基准日是否存在未完成整改的重大缺陷还是以报告期内是否存在内部控制重大缺陷作为依据来判定内部控制有效性的标准不统一。二是内部控制审计意见类型存在显著差异。会计师事务所依据不同监管规定出具的内部控制审计意见存在重大不一致：《中国注册会计师其他鉴证业务准则第3101号—历史财务信息审计或审阅以外的鉴证业务》和《内部控制审核指导意见》允许注册会计师出具“保留意见”的内部控制审计报告，而《企业内部控制审计指引》中没有“保留意见”这一内部控制审计意见类型。
（六）资金活动、资产管理等关键环节内部控制管控亟待加强
对内部控制评价缺陷和内部控制审计发现的问题进行分析发现，高达45.08%的内部控制缺陷发生在资金活动、资产管理、销售业务、采购业务、合同管理等资金密集、资源富集的领域。其中，资金管控中，43.56%的内部控制缺陷发生在管理、应收账款管理、票据与印章管理环节；资产管控中，约44.52%的内部控制缺陷发生在存货管理环节。
政策建议
（一）整合、统一内部控制信息披露监管标准，提高信息披露质量
当前不同内部控制信息披露监管规则的要求不尽统一，不同板块上市公司遵循的信息披露标准也不尽一致，导致内部控制信息披露质量大打折扣。建议监管机构进一步统一内部控制评价信息披露的监管标准，明确不同标准间的层级，明确内部控制评价结论有效性与报告基准日或报告期内的内部控制重大缺陷整改的关系；进一步修订和规范内部控制审计信息披露要求，统一内部控制审计意见类型，细化内部控制审计标准，提升内部控制审计信息的有效性；进一步规范中小板、创业板上市公司内部控制信息披露要求，逐步在中小板、创业板上市公司中推行内部控制规范体系，提高内部控制信息披露整体水平。
（二）提升内部控制信息披露重视程度，确保信息披露的实质有效性
一方面，上市公司应进一步强化内部监管，加强对内部控制信息披露的监督和问责，增强责任意识，严守监管要求，从内部控制信息披露的形式合规性向实质有效性转变，如实反映上市公司内部控制真实情况，为投资者提供全面、充分、及时、准确的信息。另一方面，注册会计师应进一步加强专业胜任力，保持独立性，勤勉尽责，提高内部控制审计结论的审慎性，做好内部控制信息披露“看门人”角色。与此同时，监管机构应进一步加大监管力度，加强对上市公司内部控制信息的日常监督检查，强化内部控制审计执业质量检查，提升内部控制信息的真实性与准确性。
（三）加大内部控制缺陷整改力度，推动内部控制体系的持续优化
内部控制评价的目的在于通过评估发现内部控制体系存在的问题及不足，进而整改落实、持续改进，确保内部控制体系有效运行。若仅为评价而评价、只评不改或整改不到位，内部控制监督评价将失去其应有之意。建议上市公司进一步加大内部控制缺陷整改力度，对于评价过程中发现的问题和缺陷，制定确实可行的整改方案，明确整改责任，确保相关职能部门和业务单位各尽其能、各司其职；同时，加强对内部控制整改效果的跟踪考核，对整改不及时、不到位的，分析原因，并严格追究相关责任人和责任部门的责任。建议监管机构将上市公司内部控制重大、重要缺陷整改情况作为监督检查的重点，督促上市公司对内部控制存在的问题及时有效整改。
（四）加强对资金活动、资产管理的监督管控，提升资金和资产管理效能
资金活动和资产管理是上市公司内部控制的重要环节，也是内部控制缺陷的高发领域，需高度重视，加强监督管控。建议上市公司加强日常监督与专项监督，将资金活动、资产管理等事项作为监督重点，明确监管责任，提高资金使用效益和资产管理使用效能。重点关注资金活动薄弱环节的控制，健全和完善投资管理机制，加强对印章与票据的保管和有效使用，强化对应收应付账款的稽核与审查力度，规范募集资金使用；健全资产管控措施，尤其要规范存货管理流程，对存货验收入库、仓储保管、领用发生、盘点处置等全过程风险进行有效控制。