内控百问百答(20):IPO企业内控建设以什么为标准

背景说明：

2016年财政部颁布第83号令，废止了部分规章和规范性文件。其中就包括财会〔2001〕41号及其配套的财会〔2002〕21号、财会〔2003〕30号和财会〔2004〕6号。（以下统称为41号文）

在此之前，实务界都以此文件作为IPO企业内控建设的标准。此文废止后，实务界存在一种困惑，此后IPO企业的内控建设到底应该以什么为标准。

我的建议：

根据证监会令第122号《首次公开发行股票并上市管理办法》要求：

第十七条 发行人的内部控制制度健全且被有效执行，能够合理保证财务报告的可靠性、生产经营的合法性、营运的效率与效果。

第二十二条 发行人的内部控制在所有重大方面是有效的，并由注册会计师出具了无保留结论的内部控制鉴证报告。

122号文规定，IPO企业需要建立内部控制制度，并取得标准的内控鉴证报告，但没有明确内控建设的标准。需要注意的是，第十七条，对IPO企业的内控目标与基本规范相比，是有弱化的：没有战略目标。

在41号文没有被明确废止前，实务中大多数以41号文为标准，来规范IPO企业的内控体系。

那么，在41号文被废止之后，IPO企业的内控建设应该以什么为标准呢？之所以会产生这个适用标准的困惑，是大家都希望能够依据IPO企业的管理基础，有个比基本规范略降低要求的标准来建设IPO企业的内部控制。不然，直接拿基本规范用即可，没必要困惑。

关于这个问题的解答，我想从系统梳理现行监管文件开始：

一、监管文件要求

1、财会〔2010〕11号《关于印发企业内部控制配套指引的通知》

为了促进企业建立、实施和评价内部控制，规范会计师事务所内部控制审计行为，根据国家有关法律法规和《企业内部控制基本规范》（财会〔2008〕7号），财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制应用指引第1号——组织架构》等18项应用指引、《企业内部控制评价指引》和《企业内部控制审计指引》（以下简称企业内部控制配套指引），现予印发，自2011年1月1日起在境内外同时上市的公司施行，自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司施行；在此基础上，择机在中小板和创业板上市公司施行。

解读：11号文明确了主板上市公司的内控建设标准，但未明确中小板和创业板公司的适用标准。

2、深证上〔2015〕65号《深圳证券交易所中小企业板上市公司规范运作指引》

8.1.2上市公司应当建立健全内部控制制度，执行《企业内部控制基本规范》（财会〔2008〕7号）。本所鼓励公司执行财政部等部委于2010年联合发布的《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》（财会〔2010〕11号）等企业内部控制配套指引。

解读：深交所对中小板上市公司的要求是执行基本规范，但没有强制要求执行配套指引，规定比主板公司要弱。

3、深证上〔2015〕65号《深圳证券交易所创业板上市公司规范运作指引》

8.1.1上市公司应当完善公司内部控制制度，确保董事会、监事会和股东大会等机构合法运作和科学决策，建立有效的激励约束机制，树立风险防范意识，培育良好的企业精神和内部控制文化，创造全体职工充分了解并履行职责的环境。

公司董事会应当对公司内部控制制度的制定和有效执行负责。

解读：深交所对创业板上市公司的要求只是建立内控制度，但没有提示建立的标准（甚至没有提到基本规范），其规定比中小板企业的要求更弱化。

4、财会〔2017〕21号《关于印发〈小企业内部控制规范（试行）〉的通知》

第三十六条 符合《中小企业划型标准规定》所规定的微型企业标准的企业参照执行本规范。

解读：IPO企业一般都不符合微型企业的标准，因此，不适用21号文。

5、财办会〔2012〕30号《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》

二是新上市的主板上市公司应于上市当年开始建设内控体系，并在上市的下一年度年报披露的同时，披露内部控制自我评价报告和审计报告，且不早于参照上述（一）至（三）原则确定的披露时间。

在上述规定时间范围内，鼓励公司在自愿的基础上提前执行企业内部控制规范体系的披露要求。

解读：30号文对新上市的主板公司有豁免规定。因此，按立法意图解读，可以合理推论：主板IPO企业的内控建设在申报阶段可以适当简化。集合上文对122号令的解读（没有战略目标），可以合理推论：IPO企业不需要完全遵循基本规范的要求。

6、财会〔2010〕11号《企业内部控制审计指引》

第四条 注册会计师执行内部控制审计工作，应当获取充分、适当的证据，为发表内部控制审计意见提供合理保证。

注册会计师应当对财务报告内部控制的有效性发表审计意见，并对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷，在内部控制审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露。

第三十二条 注册会计师对在审计过程中注意到的非财务报告内部控制缺陷，应当区别具体情况予以处理：

（一）注册会计师认为非财务报告内部控制缺陷为一般缺陷的，应当与企业进行沟通，提醒企业加以改进，但无需在内部控制审计报告中说明。

（二）注册会计师认为非财务报告内部控制缺陷为重要缺陷的，应当以书面形式与企业董事会和经理层沟通，提醒企业加以改进，但无需在内部控制审计报告中说明。

（三）注册会计师认为非财务报告内部控制缺陷为重大缺陷的，应当以书面形式与企业董事会和经理层沟通，提醒企业加以改进；同时应当在内部控制审计报告中增加非财务报告内部控制重大缺陷描述段，对重大缺陷的性质及其对实现相关控制目标的影响程度进行披露，提示内部控制审计报告使用者注意相关风险。

解读：按照11号文，注册会计师对财务报告相关内控具有积极保证的义务，而对非财务报告内部控制的缺陷仅具有消极保证义务。也就是说，审计师没有义务针对非财务报告内部控制执行专门的审计程序。

PS.术语解释（来源：财政部会计司、中注协解读《企业内部控制审计指引》）

财务报告内部控制，是指企业为了合理保证财务报告及相关信息真实完整而设计和运行的内部控制，以及用于保护资产安全的内部控制中与财务报告可靠性目标相关的控制。

非财务报告内部控制，是指除财务报告内部控制之外的其他控制，通常是指为了合理保证经营的效率效果、遵守法律法规、实现发展战略而设计和运行的控制，以及用于保护资产安全的内部控制中与财务报告可靠性目标无关的控制。

综合上述监管文件，我们可以得出几个结论：

1、已上市公司内控建设要求是逐级降低的：主板＞中小板＞创业板。

2、IPO企业的内控建设标准≤已上市企业的内控建设标准。（从监管要求看，为平衡各类企业的普遍情况，是“小于”；但是对于管理基础比较好，或管理层希望一步到位的，可以“等于”。）

3、IPO企业内控审计（鉴证）的重点是财务报告相关内部控制。

4、IPO企业内控建设的法定要求是财务报告相关内部控制，符合基本规范的重要性原则、适应性原则和成本效益原则。

二、监管实务倾向——IPO审核意见总结

从历年IPO因内控而被否决的案例看，否决的主要领域是财务报告相关内控，重灾区是收入确认，成本核算，资金管理，关联交易等领域。（参考：原创｜因内控导致IPO不予核准的案例）

另外还有少部分企业被否是因为合规目标相关内控，例如，2014年的来伊份因质量问题的内控被否。2017年的震裕科技因海关处罚问题的内控被否。

合规问题之所以被关注，也可以从财务报告内控角度去解释：即凡是涉及合规问题，都可能存在大额预计负债没有入账的问题，进而导致财务报告的公允性存在瑕疵。

三、IPO企业内控建设探讨

从监管规定和监管实务两个维度看，IPO企业内控建设首先需要满足财务报告相关内部控制的要求；其次，需要关注合规问题，特别是税务、社保、海关、环保等领域，以及具有显明行政监管的行业和合规性问题，比如食品企业的质量安全问题。

坦率说，由于IPO企业往往一股独大，治理层与大股东和管理层高度重叠，公司治理水平存在天然瑕疵。而且，合规问题往往是管理层故意为之，比如不足额缴纳职工社保（但实务中也有这类公司成功过会的案例），具有很大的隐蔽性。这类问题靠常规的内控流程很难有效发现或纠正，审计师通过常规审计程序也常常无法有效甄别。

因此，从建设内容上，IPO企业内控建设内容上应以财务报告相关内控为主；同时，兼顾合规性问题。针对合规性问题，可以更深入分析，部分可以通过制度进行禁止性的规定，如公司章程可以约定不得对外提供担保；部分则可以内化为业务流程，比如，通过加强合格供应商管理流程，来强化质量管理。

至于，IPO企业内控建设的标准，在没有更明确的监管文件出台之前，个人建议有以下几个标准可供参考：

1、首选仍是41号文。虽然文件被废止了，但其中的控制点是经过监管机构协同专家学者深入研究过的，具有很强的实务参考意义。而且41号文篇幅普遍大于应用指引，如41号文的采购部分为约2500字，应用指引为约2200字。就财务报告相关内控而言，41号文的内容在某些地方可能优于应用指引。仁者见仁智者见智，大家如有疑问，可以仔细比对两套文件。

2、其次，可以选择基本规范及其配套指引中有关财务报告相关的部分。万变不离其中，对基本规范有深刻理解的，自然可以运用到各种业务流程中去。

3、第三，对国货不放心的，可以直接参考SO的《财务报告内部控制——较小型公众公司指南（2006）》。但其中有些内容是适合西方文化、经济和社会背景的，使用时要会甄别和选择。

以上仅为个人建议，仅供参考！