拒绝虚假《上市公司内部控制自我评价报告》
2010年，证监会、财政部等五部委明确要求68家规定实施上市公司和216家自愿试点上市公司按照《企业内部控制基本规范》（简称：《规范》）和《企业内部控制配套指引》（简称：《配套指引》）的开展内部控制工作，全面做好财务报告内部控制的建设、自我评价和审计工作，并于2011年3月31日前做好内控披露工作。
与各公司年报同期公布的《2010年度内部控制自我评价报告》（简称：《报告》）成为检验各企业内部控制实施进展和成果的重要依据，截止3月8日已经公布的38份《报告》。
在所有38份《报告》中，披露重大缺陷的0份，披露重要缺陷的0份；披露一般缺陷的2份（其中一份披露的是2009年及以前的缺陷，2010年无缺陷）。由此计算，存在内部控制缺陷的上市公司只有5%，无任何重大、重要缺陷，如果严格按照2010年度实际情况计算，只有2.5%的上市公司内部控制存在缺陷。
如此良好的内部控制的几乎可以用“完美”来形容，即使在已经实施多年内部控制并且拥有“最严格”监管体系的当今美国，也不可能达到如此“完美”的内部控制水平，而且很可能美国永远都不能达到这种水平。
如果这38家上市公司能够代表全部上市公司，如果我们的上市公司内部控制如此“完美”，是否可以立刻要求所有上市公司披露2010年《报告》？既然上市公司内部控制如此完善，是否还有必要花大量成本进行内部控制？
这些《报告》能够代表我国上市公司的内部控制真实水平吗？让我们看一看国外的实际经验：
2002年起，美国开始实施严格的萨班斯-奥克斯利法案，在开始实施的第一年有约14%的企业被审计机构出具“实质性缺陷意见”，也就是我们的《配套指引》中的“重要缺陷”，约25%的企业披露内部控制存在缺陷也就是我们的《配套指引》中的“一般缺陷”，两者合计，近40%的上市公司存在内部控制缺陷，也就是少一半的上市公司存在明显的内部控制缺陷。即使如此，依然被认为是远远好于所有人的预期。
如果美国这些数据是真实的，如果我国上市公司的实际内部控制水平不可能
好于美国的上市公司，那就必须对这些《报告》进行严格的审核。
再看看现有38份《报告》的实际情况。这些《报告》非常令人失望，很像是为应付差事而交的“作业”：
几乎所有《报告》在涉及自身企业内部控制缺陷方面都采用避实就虚的
方法，例如：本公司根据公司在内部控制制度建设方面，部分制度尚未
完全符合相关规定的要求，须进一步完善和补充；
几乎所有报告都简单的参照规范或指引中的原文描述相关内容，而不是
阐述内部控制实际开展的重要控制活动（活动包括制度、技术、流程、
人员安排等），例如：公司已较合理地规划和设立了采购与付款业务的
机构和岗位，明确了存货的请购、审批、采购、验收程序，特别对委托
加工物资加强了管理。
抄袭《规范》或《配套指引》的条款，罗列内部控制相关制度、法规与
信息。无论是按照《规范》的内容罗列，还是按照《配套指引》的内容
罗列，内容、格式、甚至语言都完全抄袭。监管部门在《规范》和《配
套指引》里严格规范了《报告》的内容，但各企业的具体情况不同，不
能也不可能都完全按照《规范》和《配套指引》的格式和内容。
这38份《报告》中，如下信息是必须披露却没有披露的事件：
1、佛塑股份应披露的重要控制缺陷
2010年8月央视披露的“毒饭盒”事件中，佛塑股份的控股子公司佛山鸿华聚酯切片有限公司（持股70%）使用生产过程中产生的边角料生产一次性餐具。控股子公司出现这种事情，必然代表作为母公司的佛塑股份对子公司的内部控制存在缺陷，并且是重大内部控制缺陷。如此重大的内部控制缺陷，为什么没有披露？不仅应该披露，还要披露对子公司内部控制失效的原因，对该缺陷的处理办法和改进措施。
2、浪潮软件应披露的重要控制缺陷
2010年11月接到证监会山东监管局下达的《关于对山东浪潮齐鲁软件产业股份有限公司采取责令改正措施的决定》中“公司董事会审计委员会 3 人中，
2位为独立董事、1 位是内部董事王静莲，但王静莲同时兼任公司财务总监，其身份不符合内控制度相关要求。”整篇报告对这项重要控制缺陷，只字未提，更不会涉及对这项内部控制缺陷的改进措施。
3、西南合成应披露的一般控制缺陷
2010年4月28日西南合成宣布对监事黄成先生的处罚决定（黄成先生违反了中国证监会、深圳证券交易所及公司关于董事、监事、高级管理人员买卖公司股票的相关规定）。西南合成采取了正确的处理办法，应该披露并披露进一步完善内部控制的具体措施。
《报告》披露为什么会出现这样的结果？
一、披露意愿不足
1、同没有人愿意说自己不好的心态一样，没有企业愿意公开披露自己的管理缺陷和风险。在这一点上，我们传统文化中的“宁可死，也要面子”精神，依然在影响着上市公司的行为。这完全不值得赞赏，我们不能因为要面子而忘了孰轻孰重，全民利益、国有资产、中小股东的利益远比上市公司实际控制者和高管层的面子重要的多；
内部控制缺陷在将来给企业带来损失的概率几乎是百分之百，上市公司不能为面子隐瞒内部控制缺陷，这些缺陷通常都会在将来给企业带来损失，即：广大股民的损失；国有上市公司更不该容忍这种损失，国有企业的损失是人民利益、国有资产的损失；
2、很多公司担心披露缺陷或风险，会对企业商誉带来不利。这完全是不必要的，内部控制披露缺陷就必然披露改进的办法和执行情况，这样的报告才真实，符合监管要求，更能赢得股民的支持。在当今中国，监管机构和股民都不会相信有管理完美的公司存在。
3、更深入的内在原因在于，内部控制的缺陷很可能成为少数人（尤其是上市公司实际控制者）的利益来源，这些来自企业自身高层的阻力很可能造成内部控制工作形同虚设，企业无法深入检查自身的内部控制缺陷，自然也就没有缺陷可以披露。根除这种现象是监管机构要求实施内部控制的根本原因。
二、监管仍待完善
1、审计制度。内部控制的检查应该是由外部审计机构进行，但由于现有的内部控制制度没有要求必须进行内部控制审计，缺少必要的检查，企业内部控制自我评价报告的真实性、严谨性、规范性都会打折扣。
2、监管难度。监管涉及企业内部管理的方方面面，许多内部控制制度与状况必须深入企业调研才能获得，监管机构没有足够的人力和物力进行严格的检查。
3、惩戒机制。在内部控制实施初始阶段，没有制订严厉的惩罚制度，企业内部控制自我评价报告即使存在不足，企业也收不到什么惩罚，企业没有动力认真、深入的搞好内部控制，提交准确、严谨的内部控制报告。
三、企业自身能力不足
内部控制是一套复杂而完整的体系，几乎涉及企业日常经营、管理活动的全部内容，上市公司根据《规范》的内部控制原则和《配套指引》的十几项实际工作要求，梳理和建立适合企业自身的内部控制体系非常不容易。不仅包含非常庞大的工作量，还要求企业拥有先进管理技术与工具。
1、企业实现《配套指引》中的任何一项控制活动，都会涉及多个部门相互配合，根据要求的严格监管，理顺任何一项业务活动都不容易，例如：应收账款的管理工作需要财务、销售、物流、甚至法务部门的配合，实现有效的应收账款控制必须对各部门在权限、职责，甚至激励机制制订准确、细致的控制制度；
2、更困难的是，企业需要一套完善的标准使所有业务活动能够按照内部控制的要求有机融合在一起。例如：采购的内部控制要求在科学的市场预测基础上降低采购成本，但在原材料价格波动的剧烈的2010年，企业很难衡量批量采购降低的成本，与少量采购零库存节省的仓储成本相比，哪个能给企业带来更多的利润。解决这个困难需要对原材料价格波动的范围合理的预测，并对实际相应成本进行区分，并建立完善的原材料价格波动对冲办法（很可能是期货）。综合这三项应对办法，企业的内部控制规定应为原材料价格在一定时间内（例如：三个月）变化超过一定比例（例如：5%或10%），通过批量采购降低成本；变化低于这一比例，企业选择少量采购零库存。
怎样解决报告中出现的问题？
要解决以上这三大难题和八项困难，就必须解决三个问题：我们为什么要做内部控制？如何监督和检查内部控制？怎样建立完善的内部控制？
我国的内部控制与美国、日本、德国有显著的不同，在根本上，我们的内部控制的目的不仅是对所有股民、中小股东负责，更是通过内部控制对上市的国有企业进行有效监管，通过内部控制使所有上市的国有企业必须对国家和拥有国有企业的全国人民负责。
基于此，内部控制必须搞好，并且建立以四种力量为核心的完善内部控制监督机制。
1、自身的力量。上市公司实施严格的内部控制自我检查监督程序，公开内部控制细致准确的检查标准、评价方法，甚至重要的工作文件和底稿。也就是说，上市公司的《报告》必须能够自行证明已经采取了严格的内部控制，众所周知，自己证明自己的工作情况是一件非常困难的事情，只有这样，才能使上市公司真正重视内部控制；
2、外部机构的力量。对于上市公司的内部控制，专业审计机构必须严格检查，对所有工作文件和底稿进行检查，并提交相应的审计报告；
3、监管的力量。监管机构应规定更具体、严格的监管机构披露标准，有权对上市公司内部控制进行检查，有权对专业审计机构进行检查，并有权对《报告》披露的信息存在严重问题的上市公司及没有进行严格审计的审计机构进行处罚；
4、社会的力量。公众有权对上市公司《报告》披露的信息进行质疑，监管机构应建立一个的质疑信息收集通道，对重要和有依据的质疑，监管机构有责任要求上市公司做出回应，并想全社会披露。
从根本解决问题，自然需要上市公司实施更完善的内部控制，通过以下推荐的《报告》格式，能够对企业实施内部控制有所启发。推荐《报告》结构如下（更多报告可以查阅中国企业内部控制与风险管理网的《如何撰写：内部控制自我评价报告》手册）：
1、真实性声明。
2、内部情况与治理结构。内部控制实现的前提是拥有合理的治理结构，通过严格的治理结构，彻底根除少数人操纵公司的可能性。包括：董事会中外部董事超过三分之二，董事会中必须有一定比例企业员工，企业员工董事和外部董事
的任命应独立于控股股东并受到监管机构的监管；监事会成员完全独立于董事会，并有足够的时间在企业内部办公，审计委员会和主要内部审计负责人必须由外部董事或监事会任命，还包括审计委员会和主要审计负责人的薪酬；
3、内部控制工作范围声明与外部风险：应披露包括企业、控股子公司和参股公司，企业外部合作伙伴，企业经营的外部环境。其中，企业必须披露主要面临的外部环境风险，对上年度实际经营状况的影响；企业对主要外部合作伙伴的要求和外部合作伙伴可能带来的风险；企业控股、参股公司的监管主要内部控制要求；还需要披露企业实施内部控制的部门（职责范围）。
4、内部控制主要工作内容及参照依据：应单独披露的工作内容至少包括企业的战略、财务、人力资源、社会责任，可以综合也可以单独披露的内容包括采购、销售、工程、担保、合同监管等多项实际活动。参照依据既包括监管机构的文件也包括企业制订的各项具体管理制度，企业必须披露企业各项自身管理制度中与《规范》和《配套指引》相对应的关键制度细则；
5、内部控制评价方法：对以上披露的所有工作内容，企业必须披露所依据的监管要求和评价方法，包括主要控制手段（不相容职责分离等）、主要评价方法（有效控制的认定等）、对于风险的评价方法（敏感性分析等）
6、内部控制缺陷披露及改进进展：开展严格的内部控制后，企业发现的内部控制缺陷，并根据缺陷制订的改进方法，具体实施的进展情况，下一步工作计划等。
7、内部控制有效性论述与下年度工作计划：部分内部控制缺陷不代表整体内部控制无效，对内部控制的有效性进行准确的论述，根据以往的工作进展提出下一年度内部控制的主要内容（包括对下一年度各种潜在风险的预测和应对方案）
结合以上对《报告》内容的建议，企业实施内部控制工作需要一套整体的方法，具体内容包括：外部风险评价机制或模型、企业价值评价体系、治理结构体系、内部控制制度体系、内部控制流程体系、企业文化体系六大体系工具。
