2006年6月，上海证券交易所出台《上海证券交易所上市公司内部控制指引》（以下简称为《指引》），成为我国第一部指导上市公司建立健全内部控制制度的文件。《指引》的出台与有效实施有望提高我国上市公司的内部控制质量，强化上市公司内部治理，推动上市公司建立高效的内部控制体系，更好地体现和提升上市公司价值，增强上市公司的竞争能力。上市公司及有关机构、人员在实施《指引》的过程中，应注意从以下方面加强对《指引》内容的理解：

一、董事会应成为上市公司内部控制和公司治理的交叉点

公司治理与公司内部控制之间是相辅相成、相互促进的关系，良好的内部控制制度是上市公司实现公司治理目标的重要保证，但如果缺乏良好的公司治理，内部控制将成为无源之水、无本之木。《指引》的出台，使董事会成为上市公司内部控制和公司治理的交叉点，有利于促进我国上市公司治理结构的完善，强化上市公司内部控制建设，整体提高上市公司质量。

（一）董事会在内部控制中的作用 《指引》指出，在上市公司内部控制建立和实施中起核心作用的是董事会。具体表现在，董事会应对上市公司内部控制制度的建立、实施及其检查评价负责，董事会及其全体成员应保证内部控制相关信息披露的真实性、准确性和完整性；董事会应通过对内部控制制度的检查监督，发现内部控制制度是否存在缺陷，实施过程中是否存在问题，并及时予以改进，确保内部控制制度制度的有效实施；董事会应对内部控制检查监督工作予以指导，并审阅、检查监督部门提交的内部控制检查监督工作报告；上市公司在内部控制检查监督中如发现内部控制存在重大缺陷或重大风险，应及时向董事会报告，经上海证券交易所认定后，董事会应及时发布公告；董事会应根据内部控制检查监督工作报告及相关信息评价上市公司内部控制的建立和实施情况，形成内部控制自我评估报告；董事会应在披露年度财务报告的同时，披露年度内部控制自我评估报告和会计师事务所对内部控制自我评估报告的核实评价意见等。

（二）董事会在公司治理中的作用 公司治理是解决委托—代理问题的一整套制度安排。上市公司存在两层委托—代理关系，即股东大会与董事会之间的委托—代理关系、董事会与管理层之间的委托—代理关系。公司治理的目的是实现科学决策、高效经营和有效控制。企业的成功很大程度上取决于董事的能力和董事会的效率，上市公司治理应重视发挥董事会的功能与作用，使企业沿着正确的方向运行。内部控制是渗透企业各方面、各环节，融合企业人、财、物管理的系统工程，公司治理规范必须对内部控制的构建提出基本要求，从公司治理角度为董事会在公司内部控制中的核心地位提供保证。通过实施内部控制，完善治理结构，规范权力运行，强化监督约束，有力地提高上市公司会计信息质量、提升营运效率、保证资产安全、促进企业战略目标的实现。

二、内部审计在内部控制检查监督中的核心作用

《指引》对上市公司内部控制检查监督的规定主要包括：（1）应对内部控制制度的落实情况进行定期和不定期的检查。董事会及管理层应通过内部控制制度的检查监督，发现内部控制制度存在的缺陷，并及时采取改进措施，确保内部控制制度的有效实施。（2）应根据自身组织架构和行业特点设置专门的内部控制检查监督部门。内部控制检查监督部门负责人的任免由董事会决定，并直接向董事会报告工作，其他内部控制检查监督人员配备则根据相关规定以及公司的实际情况确定。（3）应制定内部控制检查监督办法。该办法至少包括如下内容：董事会或相关机构对内部控制检查监督的授权；公司各部门及下属机构对内部控制检查监督的配合义务；内部控制检查监督的项目、时间、程序及方法；内部控制检查监督工作报告的方式；内部控制检查监督工作相关责任的划分；内部控制检查监督工作的激励制度。（4）应根据自身经营特点制定年度内部控制检查监督计划，并作为评价内部控制运行情况的依据。应将收购和出售资产、关联交易、从事衍生品交易、提供财务资助、为他人提供担保、募集资金使用、委托理财等重大事项作为内部控制检查监督计划的必备事项。（5）检查监督部门应在年度和半年度结束后向董事会提交内部控制检查监督工作报告。公司董事会可根据公司经营特点，制定内部控制检查监督工作报告的内容与格式要求。（6）董事会应对内部控制检查监督工作进行指导，并审阅检查监督部门提交的内部控制检查监督工作报告。公司董事会下设审计委员会的，可由审计委员会具体负责上述工作。（7）检查监督工作人员对于检查中发现的内部控制缺陷及实施中存在的问题，应在内部控制检查监督工作报告中据实反映，并在向董事会报告后进行追踪，以及时采取适当的改进措施。公司可将所发现的内部控制缺陷及实施中存在的问题列为各部门绩效考核的重要项目。（8）检查监督部门的工作资料，包括内部控制检查监督工作报告、工作底稿及相关资料，保存时间应不少于10年。

内部控制检查监督的根本目的是帮助上市公司完善内部管理，具有很强的个性化特征，需要结合上市公司业务特点及组织结构特点确定内部控制检查部门的设置。内部控制检察监督部门的设置必须考虑经济性原则，同时还应体现内部控制检查监督工作的质量与效率。笔者建议，以内部审计部门作为专职内部控制检查监督部门，由内部审计人员担任专职内部控制检查监督工作，对内部控制的效率与效果作出评价，并对内部控制中存在的问题提出具体的改进建议，以减轻对企业的潜在威胁。

为了有效地开展工作，内部审计人员在工作过程中所必需的所有记录、信息将不受任何限制。根据我国《上市公司治理准则》，在董事会下设内部审计委员会、薪酬委员会等专业委员会，使董事会具备决策和监管所需要的精力和能力。内部审计部门隶属于内部审计委员会，直接向内部审计委员会报告。内部审计委员会对内部审计部门的工作计划、审计结果等进行复核，对内部审计部门的工作效率和效果进行评价。这有利于提高内部审计部门的独立性和权威性，使其工作范围不受管理当局的限制，并确保其审计结果受到足够的重视，充分发挥内部审计部门在内部控制检查监督中的核心作用。

三、注册会计师需提高其执业水平

《指引》鼓励上市公司聘请中介机构协助建立内部控制制度，要求董事会在披露年度内部控制自我评估报告的同时，应披露会计师事务所对其内部控制自我评估报告的核实评价意见。为了更好地发挥我国注册会计师在执行内部控制自我评估报告的核实评价中的作用，注册会计师需提高其执业水平。

（一）向客户提供内部控制建议应以不影响其独立性为原则 有观点认为，注册会计师必须与客户保持一定的距离，以保持其独立性。笔者认为，向客户提供有关决策方面的建议与为客户作出决策存在着清晰的不同。注册会计师能够也应该向其客户提供会计及内部控制方面的建议。1993年，美国审计准则委员会颁布的《鉴证业务准则第2号——与企业财务报告相关内部控制的报告》（GAAS No.2）也没有在注册会计师与客户之间竖起一道墙。因为拒绝向客户提供内部控制方面的建议，既不利于客户利益，也不利于公众利益。长期以来，注册会计师一直在为上市公司提供会计和内部控制方面的建议。

（二）应将财务报告审计和内部控制审计结合起来 内部控制报告审计最终将成为年度财务报告审计过程中的固定内容，注册会计师应将财务报告审计和内部控制审计结合起来，研究内部控制审计和财务报告审计相互支持的方法，降低审计成本，提高审计质量。例如，在确定财务报告审计程序的性质、审计范围和审计时间时，两种审计相互结合能够使注册会计师对内部控制测试结果更加信赖。

（三）适当运用职业判断对内部控制进行测试 内部控制报告审计对我国注册会计师来说是一项新业务，有些注册会计师不太愿意应用职业判断对内部控制进行测试，这会使审计计划与特定客户财务报告中独特的风险和问题失去联系，使注册会计师成为审计程序的奴隶，注册会计师会因为在对寻找重大缺陷没有实质性帮助的控制测试上花费过多的时间而增加审计成本。提高内部控制报告审计的效率与效果，要求注册会计师适当运用职业判断，而不是采用机械的方式。即内部控制报告审计以风险审计为基础，在实施财务报表内部控制报告审计过程中，注册会计师应有所侧重。注册会计师应合理运用职业判断来决定对内部控制的审计程度，应开展哪些必要的测试来确定上市公司内部控制的有效性，获取有关上市公司内部控制系统能合理确保财务报表不包含重大差错的证据。

四、政府有关部门应不断完善内部控制标准体系

自1996年起，我国政府有关部门陆续出台了一系列有关企业内部控制方面的法规。从法律法规所涉及的内容深度和广度来看，我国内部控制方面的法律法规正不断成熟完善。但从《指引》的具体实施来看，还需要实施细则来完善其可操作性。如《指引》指出，会计师事务所应参照主管部门有关规定，对上市公司内部控制自我评估报告进行核实评价。但迄今为止，我国还缺乏一套统一、公认的企业内部控制标准，使上市公司内部控制自我评估、注册会计师内部控制审计都缺乏明确的标准。

2006年7月15日，财政部发起成立企业内部控制标准委员会，该委员会于2007年3月出台《企业内部控制规范—基本规范》和17项具体规范（征求意见稿），内容主要涉及内部控制的基本规范、具体规范和应用指南。基本规范规定内部控制的基本目标、基本要素、基本原则和总体要求，是制定具体规范和应用指南的基本依据，在内部控制标准体系中起统驭作用。具体规范是从内部控制角度，根据基本规范对企业办理具体业务与事项的要求，作出的具体内部控制规定。具体规范分为以下三类：第一类是对与企业财务报表项目相关的、可能会对财务报告真实性、可靠性产生较大影响的经济业务事项提出具体要求的内部控制规范；第二类是与财务报表编报相关的内部控制规范，包括财务报告编制、公允价值、关联交易、信息披露等；第三类是为实现有效的财务报告内部控制所必需的事前、事中和事后制度支持的内部控制规范，包括预算控制、人力资源控制、计算机信息系统控制、审计监督控制等。应用指南是根据基本规范和相关具体规范制定的详细解释和说明，主要是为某些特殊行业、特殊企业、特定内部控制程序提供操作指引。笔者认为，应结合我国的实际情况，适当借鉴发达国家的有益经验和实际做法，分阶段、分步骤实现上述内部控制标准，并不断完善我国企业内部控制评价工作。

安然、世通等公司财务舞弊案件的发生对美国乃至国际资本市场的正常秩序产生了严重冲击，许多国家通过立法强化企业内部控制，将内部控制作为企业进入资本市场的“入门证”和“通行证”。为此，我国境外上市企业纷纷花巨资聘请海外机构设计内部控制制度，以适应上市地的监管要求。中国IT治理研究中心首席专家表示：为了不受美国《萨奥法案》的监管要求，我国内地企业现在更多地选择在上海、深圳、香港、新加坡、伦敦等地上市。问题是，在全球公司治理趋同的监管环境下，越来越严格的法规规范是全球化趋势，靠逃离严格监管是没有前途的。完善公司治理，完善内部控制，不仅是资本市场的要求，更是中国企业提高国际竞争力的重要要素之一。因此，中国上市公司最终也要适应这一游戏规则。几年的《萨奥法案》实践证明，投资者愿意花更多的钱购买内部控制完善的上市公司股票，上市公司愿意为《萨奥法案》买单。事实证明，《萨奥法案》没有导致美国股市下滑，而是更好地恢复了投资者的信心。