中国企业内控十年回顾和展望

 如需此份报告电子版，请关注中国注册风险管理师协会官方微信号，并回复此微信留下您的私人邮箱，写清楚您需要的材料名称，我们会在三个工作日内通过协会邮箱发送。

从 2004 年中国境外上市公司基于萨班斯奥克斯利法案启动内控建设，到2014 年，内部控制在中国企业已经走过了十年光阴。十年，可以让一个牙牙学语的儿童成长为一个朝气蓬勃的少年，也可以让一个初创的企业成长为一个行业领袖。十年让中国企业经历了内控体系化管理的从无到有，从起步到相对成熟。如果说过去的十年是中国企业的“内控1.0 时代”，未来的十年中国企业将向着“内控2.0 时代”迈进。我们要总结“内控1.0 时代”的成绩、危机与困局，对中国经济体制下的企业内控有效性进行深度探索，在即将到来的“内控2.0 时代”，我们将不再为内部控制工作的定位而困惑，而是思考内部控制如何真正帮助中国企业完善治理结构，提升管理有效性、创新能力和资源配置效率，使内部控制成为一种真正为企业创造价值的持续改进机制。

 时代的脉络

如果我们以内部控制的实施范围为标尺，会发现中国企业的“内控1.0 时代”走过了三个阶段：

启动探索：在美上市的国内公司

2002 年7月26日，针对安然、世通等财务欺诈事件，美国国会出台了《2002 年公众公司会计改革和投资者保护法案》，该法案又被称作《萨班斯—奥克斯利法案》（简称“萨班斯法案”）。法案对美国《1933 年证券法》和《1934 年证券交易法》作了不少修订，在会计职业监管、公司治理、证券市场监管等方面作出了许多新的规定。根据该法案302 条款的规定，公司的CEO和CFO 负责建立、维护和评价“与财务报告相关的内部控制和程序”；根据该法案404 条款的规定，公司管理层每年除提交年度报告外，还需提交一份内部控制报告，且外部审计师必须就管理层对公司财务报告内部控制的评估进行测试和评价，并出具评价报告。

为满足萨班斯法案的要求，从2004 年开始，以中石油、中移动、华能国际为代表的、在美国上市的国有企业纷纷聘请专业咨询机构，开启了内部控制建设与评价的有益探索；同时，伴随着互联网时代浪潮，在美国上市的搜狐、新浪、百度等互联网企业以及新东方等教育类及其他新兴行业企业也聘请专业咨询机构，开启了内部控制建设与评价的探索之路。当然，这其中也包括像IBM、微软等在美国上市的跨国公司的中国分支机构。

全面开展：国内上市公司及拟上市公司

萨班斯法案对不同公司规定了阶梯性的实施时间表，对于在美国上市的中国公司，最早需要披露管理层内控自评估报告的时间是2006 年7 月15 日之后的第一个财务年度末。中国财政部选择在这个时点成立了“企业内部控制标准委员会”，标志着中国内部控制规范建设正式启动。2008 年5 月22 日，财政部、证监会、审计署、银监会、保监会联合发布的《企业内部控制基本规范》（简称“基本规范”）和2010 年发布的《企业内部控制配套指引》（简称“配套指引”），标志中国企业内部控制规范基本建成。

根据配套指引的要求，自2011 年1 月1 日起，首先在境内外同时上市的公司实施，并逐步推广到其他上交所和深交所的上市公司，并鼓励非上市大中型企业执行。基本规范和配套指引的出台，标志着中国企业内控建设的全面开展。从2010 年开始，国内上市公司陆续开始进行内控建设和评价工作。截至2012 年4 月，67 家公司境内外同时上市的公司全部披露了2011 年度内控评价报告和内控审计报告。2012 年，853 家实施范围内的上市公司全部披露了内控评价报告和内控审计报告。部分拟上市公司为满足IPO 的要求，更早一些开展了内部控制建设工作，并提交了内控评价报告和内控审计报告。

纵深推进：中央企业、民营企业及其他企业

2012 年，国资委为推动中央企业扎实开展管理提升活动，加强内部控制，夯实基础管理，推动企业做强做优，发布《关于加快构建中央企业内部控制体系有关事项的通知》（简称68 号文），要求从2012 年起，中央企业全面启动内部控制建设与实施工作，并在2013 年5 月31 日前向国资委报送内部控制评价报告。由此，内控建设进一步推向集团型中央企业。

在上市公司和中央企业实施内部控制的带动下，国内众多企业包括民营企业也开始在企业内部推行内控管理，强化管理的规范化，增强抗风险能力，促进精细化管理，伴随着市场对于内部控制理解的日益深入，华为、海尔、联想、万科、双汇、三一、美的、新希望等遍布各行各业的民企管理层意识到了内部控制的重要性，开启了民营企业内部控制的建设和实施。