如何針對國情，分析借鑒美國的經驗，建立起一套嚴密的內部控制評價制度，并使之有效運行，是促使上市公司建立健全內部控制制度，規避經營風險，保證資產安全，提高經營效率和效果，進而保護投資人利益亟待解決的問題。
一、美國的內部控制評價制度及其影響
(一)美國的內部控制自我評價制度
隨著安然等財務欺詐案的頻頻曝光，2002年7月美國出臺了經典的《薩班斯－奧克斯利法案》(以下簡稱SOX法案)，結束了內部控制信息披露方式之爭，標志著內部控制評價進入了強制性階段。SOX法案404條款要求管理層對與財務報告相關的內部控制進行自我評估出具報告，并要求公司內部審計人員對管理層的評估進行認證和報告。
為了落實SOX法案，美國證券交易委員會(SEC)采取了行動，于2002年10月發布第33—8138號提案，并于2003年8月發布最終規則，規定除了投資公司之外的上市公司都應在年度報告中包括一份關于內部控制的報告，并規定了報告的內容和格式，同時要求在年報中披露“注冊會計師鑒證報告”。SEC規定與財務報告可靠性有關的內部控制信息必須強制性披露。
COSO于2004年9月在《內部控制一整體框架》的基礎上提出了《企業風險管理－整體框架》(Enter-prise Risk Management Framework，以下簡稱ERM)，進一步拓展了內部控制內涵，如引入風險的概念，并將內部控制目標中的“財務報告可靠性”擴展到了“報告可靠性”，增加了“戰略目標”，將內部控制評價要素從原來的“五要素”增加到“八要素”，這些突破更有力推動了內部控制評價的發展。COSO報告對內部控制框架研究已經比較成熟，是企業管理當局和注冊會計師對內部控制有效性評價的基礎，一直為企業界進行內部控制管理和內部控制建設提供借鑒。
可見，SOX法案就內部控制自我評價提出強制性要求、SEC就評價載體——自評報告內容與格式做出規定、COSO從概念界定人手界定了內部控制的外延并將評價要素擴展到八個，標志著美國的內部控制自我評價制度日趨完善。三者相互協調，密切配合，構建出操作性較強的內部控制自我評價體系。
(二)美國的內部控制核實評價制度
內部控制自我評價報告作為投資決策的依據必須經注冊會計師的鑒證。為維護投資人權益，美國注冊會計師協會(AICPA)于2003年3月18日發布財務報告內部控制審計征求意見稿，規定公眾公司審計包括財務報表審計和財務報告內部控制有效性審計兩個部分，獨立審計師需要對內部控制的設計有效性和執行有效性進行評價，并發表審計意見；如果公司內部控制存在未更正的重要控制弱點，注冊會計師不得發表財務報告內部控制有效的無保留意見。
作為響應，美國上市公司會計師監管委員會(PCAOB)于2004年發布《評價準則第2號——與財務報表評價協同進行的對財務報告內部控制的評價》，要求審計人員評估管理當局應用于評價主體內部控制的程序方法的可靠性，復核和使用一些管理當局和內審人員以及其他人員對內部控制評價過程取得的測試結果，或自己進行測試，以形成獨立意見。該準則為上市公司管理層對于財務報告內部控制有效性評估和注冊會計師師評價公司的財務報表制定了要求并提供指引。2007年，PCAOB又出具了新的要求：《評價準則第5號——與財務報表評價相整合的財務報告內部控制評價》，要求評價人員對內部控制評價采用風險導向的評價方法，將審計資源集中于可能導致重大錯報風險的領域。
可見，美國的核實評價制度與自我評價制度相呼應，僅限于與財務報表評價協同的財務報告內部控制評價。外延的特別限定可降低注冊會計師的風險，增加核實評價的可操作性。這為世界各國遏制信息披露舞弊，維護證券市場秩序和投資人權益行動指明了方向，因而引起廣泛的關注。
二、我國的內部控制評價制度及其問題
美國作為資本市場最發達的國家，因其資本市場規則的嚴謹而歷來被各國借鑒和效仿。SOX法案的出臺催生了我國內部控制強制性制度的產生，也促進了注冊會計師對內部控制自我評價進行核實鑒證規則的出臺。
(一)我國內部控制自我評價制度
1、證券交易所的規則。2006年以前，我國對于內部控制的評價制度源于《公開發行證券信息披露規則》、《公開發行證券的公司信息披露內容與格式準則》、《證券公司年度報告內容與格式準則》和《首次公開發行股票及上市管理辦法》，主要對證券、保險、商業銀行等金融行業的內部控制評價提出要求，大部分上市公司處于自愿性評價階段。隨著中國航油(新加坡)有限公司事件及其他證券市場舞弊和違規事件的發生，內部控制強制性評價要求日益強烈。上海證券交易所于2006年6月5日發布了《上海證券交易所上市公司內部控制指引》(以下簡稱《上交所內控指引》)，于2006年7月1日開始執行。其中，第三十二條規定：“公司董事會應在年度報告披露的同時，披露年度內部控制自我評估報告，并披露會計師事務所對內部控制自我評估報告的核實評價意見。”第三十三條規定：“公司內部控制自我評估報告至少應包括如下內容：內部控制制度是否建立健全；內部控制制度是否有效實施；內部控制檢查監督工作的情況；內部控制制度及其實施過程中出現的重大風險及其處理情況；對本年度內部控制檢查監督工作計劃完成情況的評價；完善內部控制制度的有關措施；下一年度內部控制有關工作計劃。”該指引明確要求上市公司在年報外單獨披露內部控制自評報告，比美國的SOX法案的規定還要嚴格。《上交所內控指引》雖規定了評價內容，但披露成本較高，操作性差。同年，深圳證券交易所也于9月28日發布了《深圳證券交易所上市公司內部控制指引》(以下簡稱《深交所內控指引》)，于2007年的7月1日執行。其中，第六十二條規定：“公司董事會應依據公司內部審計報告，對公司內部控制情況進行審議評估，形成內部控制自我評價報告。公司監事會和獨立董事應對此報告發表意見。自我評價報告至少應包括以下內容：對照本指引及有關規定，說明公司內部控制制度是否建立健全和有效運行，是否存在缺陷；說明本指引重點關注的控 制活動的自查和評估情況；說明內部控制缺陷和異常事項的改進措施；說明上一年度的內部控制缺陷及異常事項的改善進展情況。”該指引要求上市公司隨年度報告披露內部控制自評報告，并就自評報告內容做出規定，其披露項目及排列順序與《上交所內控指引》基本相同。
2、內部控制標準委員會的規定。為了統一我國的內部控制的建設并完善企業治理結構和內部約束機制，2006年7月15日財政部等五部委成立了內部控制標準委員會，于200§年6月聯合發布了《內部控制基本規范》以及《企業內部控制應用指引》、《企業內部控制評價指引》和《企業內部控制審計指引》征求意見稿(以下簡稱“配套指引”)。基本規范明確了內部控制目標、原則、要素等理論基礎，三個配套指引解決操作性問題。經過一年多的征求意見，2008年6月28日《企業內部控制基本規范》正式發布，于2009年7月1日在上市公司范圍內執行，現又推遲至2010年1月1日執行。該規范第四十六條規定：“企業應結合內部監督情況，定期對內部控制的有效性進行自我評價，出具內部控制自我評價報告。內部控制自我評價的方式、范圍、程序和頻率，由企業根據經營業務調整、經營環境變化、業務發展狀況、實際風險水平等自行確定。”為控制評價標準的建立奠定了基礎。
(二)我國內部控制核實評價制度
《上交所內控指引》第三十三條規定，“會計師事務所應參照主管部門有關規定對公司內部控制自我評估報告進行核實評價。”《深交所內控指引》第六十三條規定：“注冊會計師在對公司進行年度審計時，應參照有關主管部門的規定，就公司財務報告內部控制情況出具評價意見。”以上兩個指引提出了對內部控制自我評估報告出具核實評價報告的要求。 注冊會計師對內部控制出具核實意見的依據是2002年9月中國注冊會計師協會發布的《內部控制審核指導意見》(以下簡稱《指導意見》)。其第二條規定：“本意見所稱內部控制審核，是指注冊會計師接受委托，就被審核單位管理當局對特定日期與財務報表相關的內部控制有效性的認定進行審核，并發表審核意見。”第二十九條規定：“注冊會計師應當復核與評價審核證據，形成審核意見，出具審核報告。，，
財政部2006年頒布的《中國注冊會計師審計準則第1121號——了解被審計單位及其環境并評估重大錯報風險》(以下簡稱《第1121號準則》)，其中第四十五條規定：“注冊會計師應當了解與審計相關的內部控制以識別潛在錯報的類型，考慮導致重大錯報風險的因素，以及設計和實施進一步審計程序的性質、時間和范圍。”第四十六條規定：“內部控制是被審計單位為了合理保證財務報告的可靠性、經營的效率和效果以及對法律法規的遵守，由治理層、管理層和其他人員設計和執行的政策和程序。’’第四十七條規定：“內部控制包括下列要素：控制環境；風險評估過程；信息系統與溝通；控制活動；對控制的監督。”
《指導意見》就注冊會計師核實評價提出強制性要求；《第1121號準則》就評價內容做出規定，并界定了內部控制的概念及其要素。
(三)簡要評述
美國的證券市場成熟，制度健全，其內部控制評價經歷了從自愿性到強制性披露的過程，相關法規和制度已經很豐富和完善，各項制度協調一致，相互配合。SOX法案剛剛出臺，SEE、COSO、CICPA、PCAOB等部門都紛紛做出響應，支持SOX法案的落實，并在理論上與SOX法案保持一致。我國受美國內部控制評價制度發展的影響，出臺了強制性披露規則，開始了內部控制評價標準的建設，出臺了注冊會計師核實評價規則。但是，面對我國社會各界，如公司管理層、注冊會計師和投資人對內部控制認同度低；證券市場起步晚，時間短，整體規模小，結構不完善的現實，上述內部控制評價制度顯然站位過高，接軌過快，已經引發了內部控制評價和披露形式化，過于簡單，以及制度并未得到有效執行等問題。筆者認為原因如下：
1、評價標準滯后。美國的SOX法案出臺后，SEE立即制訂了配套的評價標準。我國兩個交易所內部控制指引出臺兩年后才頒布《內部控制基本規范》，三個配套指引尚在征求意見；就《內部控制基本規范》而言，原定2009年7月1日執行，現又推遲至2010年1月1日起執行。評價標準的缺失使上市公司元所適從。
2、評價制度之間不協調。首先，《內部控制基本規范》、《上交所內控指引》、《深交所內控指引》及《內部控制審核指導意見》對內部控制概念界定、評價主體、自評報告審核主體各有不同的規定；內部控制要素等的規定，《內部控制基本規范》、《上交所內控指引》和《深交所內控指引》也各不相同；《上交所內控指引》和《深交所內控指引》要求注冊會計師對內部控制自我評價報告進行鑒證，而《內部控制基本規范》卻沒有明確說明。其次，2006年《上交所內控指引》要求上市公司于2006年7月1日起執行強制披露內部控制評價報告，但是在2008年1月《關于做好上市公司2007年年度報告工作的通知》中，只是鼓勵有條件的上市公司同時披露董事會對公司內部控制的自我評估報告和審計機構對自我評估報告的核實評價意見，兩者前后矛盾。
3、注冊會計師核實評價范圍大，從業風險很難規避。美國的核實評價制度僅就與財務報告相關的內部控制做出核實評價，而我國在內部控制自我評價的相關制度中，把內部控制評價的范圍界定為廣義的視角：包括了公司戰略層面、經營層面、財務報告層面及遵守法律層面。而在注冊會計師內部控制核實評價制度規定上與內部控制自我評價制度相對應，范圍超越了財務報告內部控制范圍。如果根據成本效益原則，把關注的重點放在與財務報告相關的內部控制上，出具的鑒證報告將帶來審計合規性與核實評價完整性的質疑，風險在所難免。
三、完善我國內部控制評價制度的建議
針對上述問題，筆者認為應采取以下措施完善我國內部控制評價制度。
第一，盡快出臺并實施內部控制評價標準。目前上市公司內部控制自我評價報告披露形式多種多樣，評價依據也存在差異，信息使用者不能識別內部控制狀況的優劣，無法做出合理的判斷。因此，現已發布的《內部控制基本規范》的三個配套指引的征求意見稿應盡快完善出臺，規范自我評價報告，為投資者決策提供依據。
第二，應由證監會出臺統一的內部控制指引，與《內部控制基本規范》相配合，以統一內部控制相關概念界定、內部控制評價目標、內部控制評價要素等。這些制度的協調統一是完善內部控制制度并使之有效運行的基礎。在統一明確的制度指引下，上市公司能夠通過建立健全內部控制評價體系，合理規避經營風險，保證資產安全，提高經營效率和效果。
第三，完善核實評價制度，并加大監管力度。盡快統一內部控制自我評價制度和注冊會計師核實評價制度，降低注冊會計師執業風險，合理保證注冊會計師的利益。建議借鑒美國的經驗，將核實評價的范圍限定為與財務報告相關的內部控制評價。要使內部控制評價制度落在實處，必須加大監管力度。我國上市公司監管弱化已成不爭的事實。截止到目前為止，沒有上市公司因內部控制評價及信息披露違規受到處罰的，注冊會計師也很少出具非無保留意見的內部控制核實評價報告。核實評價是對自我評價的再監督，而證監會和證券交易所的監管是使整個評價制度有效執行，防止上市公司與會計師事務所合謀欺騙投資人的有力保證。建議監管部門加大處罰力度，保證評價制度的有效執行。
