1、（原标题：中国上市公司 2017 年内部控制白皮书）一、样本选取与数据来源本报告选取 2017 年 4 月 30 日前在沪、深交易所 A 股上市并披露 2016年年度报告的 3117 家上市公司为研究对象，对上市公司内部控制披露情况进行分析。本报告的数据来源于上市公司公开披露的年报、内部控制评价报告、内部控制审计报告、财务重述报告、诉讼报告以及各监管机构对上市公司违法违规行为的处理公告等。本报告中所有数据都已收录至 DIB 内部控制与风险管理数据库（ ）。本报告是国家自然科学基金重点项目 “基于中国情境的企业内部控制有效性研究”（项目批准号 71332004）的阶段性研究成果。二、上市公司内部
2、控制评级总体情况为保证内部控制指数的客观、公正、准确和完整，迪博中国上市公司内部控制指数以 2016 年 1 月 1 日前上市的 A 股上市公司为样本， 2016 年度纳入迪博中国上市公司内部控制指数范围的样本数量为 2804 家上市公司。按照四级八档的分类标准，2016 年度中国上市公司内部控制整体水平为：内部控制评级为 AAA 的公司 2 家，占比 0.07%；评级为 AA 的公司 4 家，占比 0.14%；评级为 A 的公司 24 家，占比 0.86%；评级为 BBB 的公司 74 家，占比2.64%；评级为 BB 的公司 468 家，占比 16.69%；评级为 B 的公司 1704 家
3、，占比 60.77%；评级为 C 的公司 381 家，占比 13.59%；评级为 D 的公司 147家，占比 5.24%。如图 1 所示。对比上市公司近三年内部控制整体水平变化情况发现，2016 年度首次出现内部控制评级为 AAA 级的上市公司，且 2014 至 2016 年度，内部控制评级为AA、A 、BBB、BB 四级的上市公司占比总体呈现小幅下降趋势，而内部控制评级为 B 级的上市公司占比近三年大幅增长， C 级大幅下降而 D 级则呈逐年上升趋势，如图 2 所示。三、内部控制评价报告披露情况及缺陷分析（一） 内部控制评价报告披露情况2864 家上市公司披露了年度内部控制评价报告，占披露年
4、度报告的 A 股上市公司数量的 91.88%。其中，内部控制体系被认定为整体有效和非整体有效的上市公司分别为 2834 家、30 家，分别占比 90.92%、0.96%。如图 3 所示。（二） 内部控制评价缺陷分析512 家上市公司披露其存在内部控制缺陷，占披露了内部控制评价报告公司数量的 17.88%。依据不同缺陷分类方式统计的上市公司数量，如表 1 所示。512 家上市公司总计披露内部控制缺陷 4447 项。其中，重大缺陷 61 项，占比 1.37%；重要缺陷 54 项，占比 1.21%；一般缺陷 4332 项，占比97.41%。重大、重要缺陷全部披露了具体缺陷内容，一般缺陷中有 1121
5、 项披露了具体缺陷内容。按照缺陷等级、缺陷性质、缺陷所处层面、是否与财务报告相关对 1236 项缺陷具体内容进行分类统计。其中，披露了具体内容的 61 项重大缺陷主要集中在资金活动、财务报告、社会责任、工程项目、关联交易、信息披露、全面预算等领域，如图 4 所示。上市公司披露的内部控制重大缺陷与重要缺陷总计 115 项，64.35%的重大、重要缺陷区分了整改日期。其中，截止报告基准日有效整改的重大、重要缺陷占比 28.70%，截止报告发出日有效整改的重大、重要缺陷占比总计 43.48%。内部控制缺陷整改的具体情况如图 5 所示。四、内部控制审计报告披露情况及审计发现分析（一）内部控制审计报告披
6、露情况2253 家上市公司披露了其所聘会计师事务所出具的内部控制审计报告，占披露年度报告的 A 股上市公司数量的 72.28%。其中，2154 家上市公司的内部控制审计意见为标准无保留意见，占比 69.10%； 99 家上市公司的内部控制审计意见为非标意见，占比 3.18%，详细情况为：带强调事项段的无保留意见 74家，占比 2.37%；保留意见 3 家，占比 0.10%；否定意见 22 家，占比0.71%，如图 6 所示。（二）内部控制审计发现的重大缺陷导致否定意见的内部控制重大缺陷共计 48 项，缺陷涉及的业务领域如图7 所示；被认定存在非财务报告相关内部控制重大缺陷的上市公司 11 家，
7、共涉及 13 项非财务内部控制重大缺陷，缺陷涉及领域如图 8 所示。（三）内部控制审计方式与审计费用分析采用内部控制整合审计的上市公司 2229 家，占披露了内部控制审计报告公司数量的 98.93%；采用单独审计的公司 24 家，占比 1.07%。2253 家聘请会计师事务所出具内部控制审计报告的上市公司中，1452 家上市公司在年报中说明向会计师事务所支付了内部控制审计费用，占比 64.45%。其中，1370 家公司单独披露了内部控制审计费用数额，占比 60.81%；82 家公司未披露具体数额，占比 3.64%。针对上市公司单独披露的内部控制审计费用数据分析发现：1370 家上市公司总计支付
8、内部控制审计费用 6.32 亿元，每家公司平均支付 46.13 万元，上市公司内部控制审计费用占审计费用总额的比例平均为 26.11%。五、20082017 年中国上市公司内部控制信息披露情况对比分析（一）20082017 年内部控制评价信息对比1、内部控制评价报告及评价结论披露情况对比。20082015 年上市公司内部控制评价报告披露比例呈逐年上升趋势，近两年呈下降趋势；内部控制评价结论非整体有效比例在 20082013 年无显著变化， 20142015 年大幅增长，近两年略有回落，如图 9 所示。2、内部控制评价缺陷披露情况对比。2008-2016 年披露存在内部控制重大、重要缺陷的上市公
9、司比例呈整体上升趋势，2017 年略有回落；2008 2012 年披露存在一般缺陷的公司占比呈大幅下降趋势，20122014年有较大幅度的波动，2013 年大幅上升，2014 年又大幅下降， 20152017年呈整体上升趋势，如图 10 所示。（二）20082017 年内部控制审计信息对比内部控制审计报告及审计意见披露情况对比。20082016 年上市公司内部控制审计报告披露比例呈逐年增长趋势，2017 年略有下降；2008 2011 年内部控制审计意见非标比例大幅波动，但整体比例偏低，20122017 年呈逐年上升趋势，并于 2017 年达到历年最高，为 4.39%，如图 11 所示。六、上
10、市公司内部控制信息披露中存在的问题（一）内部控制报告披露的规范性有待提升1、报告披露不准确、不完整。部分上市公司内部控制报告披露内容自相矛盾，如“内部控制评价结论”段与“内部控制缺陷认定及整改情况”段中披露的信息前后明显不一致；个别上市公司内部控制评价报告存在补充修订，对内部控制评价结论、内部控制缺陷或内部控制审计意见等关键信息进行更正；另有个别上市公司报告内容披露不完整，缺少内部控制评价结论、内部控制缺陷认定或内部控制审计意见等核心内容。2、报告披露不及时。2016 年度，仍有 5.17%的（161 家）上市公司在年报中提及已实施内部控制评价或内部控制审计，但通过公开渠道未找到相应的报告。（
11、二）内部控制评价质量有待提高1、内部控制评价结论不能完全充分反映上市公司内部控制的真实情况。2016 年度，91.88% 的上市公司披露了年度内部控制评价报告，其中，内部控制体系被认定为整体有效的上市公司占比 90.92%，非整体有效的公司占比仅为 0.96%。然而， “迪博 中国上市公司内部控制指数”显示，2016 年度内部控制评级处于 C 级的上市公司占比 13.59%、D 级的上市公司占比 5.24%，合计占比高达 18.83%。但是，纳入内部控制指数评级范围的上市公司中，仅有1.39%的上市公司披露其存在内部控制重大缺陷，仅 1.07%的上市公司认定其内部控制为非整体有效，对比上述数据
12、发现相当部分公司的内部控制评价结论不能反映该公司内部控制的真实情况。2、内部控制评价结论与内部控制审计意见存在重大不一致。2016 年度，有 49 家上市公司的内部控制评价结论与内部控制审计意见存在重大不一致。其中，个别上市公司被出具否定意见的内部控制审计报告，认定存在内部控制重大缺陷，但内部控制评价报告仅将其作为一般缺陷，认为内部控制整体有效；个别上市公司内部控制审计意见为否定意见，存在财务报告重大缺陷，但评价报告中将其认定为非财务报告重大缺陷。（三）内部控制缺陷认定不当，重大、重要缺陷整改不及时1、内部控制缺陷认定不当。其一，部分上市公司将报告期内发生的重大损失、违法违规事项等本应属于重大
13、或重要缺陷的事项，在“其他内部控制相关重大事项说明”中披露，而未认定为内部控制缺陷；其二，部分公司内部控制缺陷认定标准执行不当，或将依据内部控制缺陷认定标准本应认定为重大或重要的缺陷认定为一般缺陷，或将财务报告相关缺陷认定为非财务报告缺陷，避重就轻的行为明显。2、重大、重要缺陷整改不及时。截止报告基准日，有高达 71.30%的内部控制重大、重要缺陷未能有效整改；截止报告发出日，仍有 55.65%的内部控制重大、重要缺陷未能有效整改，内部控制缺陷的整改落实亟待进一步加强。（四）内部控制审计质量有待提高1、内部控制审计结论的严谨性有待提升。存在个别注册会计师将财务报告内部控制重大缺陷认定为非财务报
14、告内部控制重大缺陷的情形，涉及募集资金管理、资产管理、关联交易等环节，极大地降低了内部控制审计报告的公信力。此外，不同会计师事务所对同一性质的事件发表的内部控制审计意见不一致，如对于上市公司存在内部控制审计范围豁免的，有的作为强调事项段披露，有的则作为标准无保留意见。2、强调事项段披露有待进一步规范。注册会计师出具了带强调事项段的内部控制审计报告中，有 14.86%的强调事项段披露的是非财务报告相关内部控制缺陷，涉及组织架构、人力资源、社会责任等环节，混淆了非财务报告内部控制缺陷描述与强调事项段内容；另有较多公司强调事项内容披露过于笼统，未明确强调事项中披露的重大事项产生原因、影响程度及整改情
15、况等信息。（五）内部控制信息披露监管规则有待进一步规范1、中小板、创业板上市公司内部控制报告披露规则有待规范。在内部控制评价报告披露方面，有 73.55%的中小板和创业板上市公司按照公开发行证券的公司信息披露编报规则第 21 号年度内部控制评价报告的一般规定的要求披露内部控制评价报告，另有 26.45%的上市公司依据关于印发企业内部控制规范体系实施中相关问题解释第 1 号的通知 等其他规定披露内部控制评价报告；在内部控制审计报告披露方面，注册会计师依据企业内部控制审计指引和中国注册会计师执业准则为中小板、创业板上市公司出具内部控制审计报告的比例仅为 8.98%，依据中国注册会计师其他鉴证业务准则第3101 号 历史财务信息审计或审阅以外的鉴证业务出具内部控制鉴证报告的比例高达 76.22%；另有 14.80%的公司依据内部控制审核指导意见等出具了内部控制审核报告等其他格式的报告。
