2006年6月上海证券交易所出台《上海证券交易所上市公司内部控制指引》（以下简称为《指引》）。《指引》是我国第一部指导上市公司建立健全内控制度的文件。该《指引》出台与有效实施有望提高我国上市公司的内部控制质量和强化公司治理，推动上市公司建立有效透明的监督体制，更好地体现和提升上市公司价值，增强我国上市公司的竞争能力。但这需要一个过程，在实施《指引》过程中，有关机构、部门和人员应对以下内容进行关注。

一、董事会应成为上市公司内部控制和公司治理的“交叉点”

《指引》指出，在内部控制建立和有效实施中起核心作用的是董事会。具体表现在，公司董事会对上市公司内控制度的建立健全、有效实施及其检查监督负责，董事会及其全体成员应保证内部控制相关信息披露内容的真实、准确、完整。董事会应通过对内控制度的检查监督，发现内控制度是否存在缺陷和实施中是否存在问题，并及时予以改进，确保内控制度的有效实施；董事会对内部控制检查监督工作进行指导，并审阅检查监督部门提交的内部控制检查监督工作报告；公司在内部控制的检查监督中如发现内部控制存在重大缺陷或存在重大风险，应及时向董事会报告，经上海证券交易所认定，董事会应及时发布公告；董事会应根据内部控制检查监督工作报告及相关信息，评价公司内部控制的建立和实施情况，形成内部控制自我评估报告；董事会应在年度报告披露的同时，披露年度内部控制自我评估报告，并披露会计师事务所对内部控制自我评估报告的核实评价意见，等等。

公司治理被认为是解决委托、代理问题的一整套制度安排，它存在两层委托代理关系，即股东大会和董事会之间的委托代理关系及董事会和管理层之间的委托代理关系。公司治理的目的是实现科学决策、高效经营和有效控制。公司治理与公司内部控制之间是相辅相成、相互促进的关系。进一步讲，良好的内部控制制度是实现公司治理目标的重要保证，而缺乏良好的公司治理，内部控制就成为无源之水，无本之木。公司治理应重视发挥董事会的功能与作用，董事会能使企业向正确的方向良好的运转，每个企业的成功很大程度上取决于董事的能力和董事会的效率。因此，公司治理规范必须对内部控制的构建提出基本要求；从公司治理机制构建的角度为董事会在内控中的核心地位提供保证。内部控制是渗透企业各个领域、覆盖企业各个方面、融合企业人、财、物管理的系统工程。通过实施内部控制，完善治理结构，规范权力运行，强化监督约束，有力地促进企业实现战略目标、提升营运效率、提高信息质量、保证资产安全。《指引》的出台，使得董事会负责成为上市公司内部控制和公司治理的“交叉点”，有利于促进我国现行公司治理规则体系更加完整，加强上市公司建立健全内部控制制度，提高上市公司质量。

二、注册会计师应理性看待上市公司内部控制自我评估报告的核实评价

《指引》鼓励上市公司聘请中介机构协助建立内控制度；董事会在披露年度内部控制自我评估报告的同时，应披露会计师事务所对内部控制自我评估报告的核实评价意见。为了更好地发挥我国注册会计师在执行内部控制自我评估报告的核实评价中的作用，笔者认为，注册会计师执业中应注意以下方面的问题：

（一）向客户提供控制建议不影响其进行内部控制审计。有些人认为，注册会计师必须和客户保持一定的距离，假如注册会计师向他们的客户提供会计或控制方面的建议，他们会被指控执行管理功能和审查他们自己的工作。笔者认为，这种观点是错误的。注册会计师能够也应该向他们的客户提出会计及控制方面的建议。AS No.2 ‘与财务报表审计相关的针对财务报告的内部控制的审计’没有在注册会计师与客户之间竖起一道墙，没有排除那种建议和讨论，因为拒绝提供建议既不为客户的利益服务，也不为公众的利益服务。长久以来，注册会计师已经为公众公司在会计和内部控制方面提供建议。需要明确的是向客户提供建议、以便管理层能够作出决策和给客户作出决策存在着清晰的不同。

（二）财务报表审计和内部控制审计应结合起来。内部控制报告审计最终将成为年度报表审计过程中根深蒂固的日常部分，财务报表审计和内部控制审计应结合起来，应研究内部控制和财务报表审计能够互相支持的方法，减少两者的成本，提高两者的质量。AS No.2设想一个结合的整体的审计，即内部控制审计和财务报表审计能够相互支持，这样将减少两种审计的成本和提高它们的质量。例如，在确定财务报表审计程序的性质、范围和时间时，两种审计相互结合的方法能够使注册会计师把更大的信赖放在内部控制测试的结果上。

（三）应用职业判断对内部控制进行测试，保证内部控制审计质量。鉴证财务报表内部控制报告对于注册会计师来讲是一项新的并不熟悉的责任，因此，有些注册会计师可能不太愿意应用职业判断，这时注册会计师便成为审计程序的奴隶，使得所有的审计计划与特定客户的财务报告过程中独特的风险和问题不存在什么关系，这样会因为在对寻找重大缺陷没有什么意义的控制测试上花费了很多的时间而增加审计费用。财务报表内部控制报告审计的效率与效果要求注册会计师应该应用职业判断，而不应该采用机械的方式。即注册会计师会运用合理的职业判断来决定对内部控制的审计程度，并开展那些必要的测试来确定公司内部控制的有效性，获取有关公司的内部控制系统能合理地确保财务报表不包含重大错报的证据。在实施财务报表内部控制报告审计过程中，注册会计师不应该均衡地对待所有控制，财务报表内部控制报告的审计是内在的以风险为基础的过程。

三、发挥内部审计在内部控制检查监督中的核心作用

《指引》对内部控制检查监督做出了规定，主要包括：公司应对内控制度的落实情况进行定期和不定期的检查，董事会及管理层应通过内控制度的检查监督，发现内控制度是否存在缺陷和实施中是否存在问题，并及时予以改进，确保内控制度的有效实施；公司应确定专门职能部门负责内部控制的日常检查监督工作，并根据相关规定以及公司的实际情况配备专门的内部控制检查监督人员；公司应制定内部控制检查监督办法；检查监督部门应在年度和半年度结束后向董事会提交内部控制检查监督工作报告；董事会对内部控制检查监督工作进行指导，并审阅检查监督部门提交的内部控制检查监督工作报告，公司董事会下设审计委员会的，可由审计委员会进行上述工作；检查监督工作人员对于检查中发现的内部控制缺陷及实施中存在的问题，应在内部控制检查监督工作报告中据实反映，并在向董事会报告后进行追踪，以确定相关部门已及时采取适当的改进措施；等等。

内部控制检查监督的根本目的是服务于上市公司本身，体现出很强的个性化特征，表现在需要结合公司的自身业务特点及组织结构设计的特点，来确定内部控制检查部门的确定。任何部门的设置都必须考虑经济性原则，也应更加体现出公司内部控制检查监督中的质量与效率。笔者建议，内部审计部门作为专职的内部控制检查监督部门，内部审计人员是专门的内部控制检查监督人员。内部控制是内部审计的实务的中心。内部审计人员评价控制的效率与效果，建议是否采用适当的控制减轻对企业有威胁或对企业有潜在的威胁的风险。为了有效地开展工作，内部审计在进行工作时所必需的所有记录、信息将不受任何限制。根据我国《上市公司治理准则》，在董事会下设立如审计委员会、薪酬委员会等专业委员会，使董事会具备决策和监管所需要的精力和能力。审计委员会设立以后，内部审计隶属于审计委员会，它直接向审计委员会报告。审计委员会对内部审计部门的组织章程、工作计划、审计结果等进行复核，评价内部审计部门的工作。这种模式提高了内部审计部门的独立性和权威性，使其工作范围不受管理当局的限制，并确保其审计结果受到足够的重视，提高内部审计部门的效率。这样，通过审计委员会和内部审计的共同努力，发挥其在内部控制的检查监督中的核心作用。

四、政府有关部门应不断完善内部控制标准体系

1996年财政部颁布的《独立审计具体准则第9号—内部控制和审计风险》，其作用也仅局限于对注册会计师从事审计业务提供具体指引。从2001年开始，财政部陆续出台了一系列的内部会计控制规范，包括《基本规范》、《货币资金》、《采购与付款》等等，其内容主要是以单位的内部会计控制为主，同时兼顾与会计有关的控制。随着市场经济的发展和企业环境的变化，单纯依赖会计控制已难以应对企业面对的市场风险，会计控制必须向风险控制发展。2006年5月我国证监会发布《首次公开发行股票并上市管理办法》，其中第29条规定“发行人的内部控制在所有重大方面是有效的，并由注册会计师出具无保留结论的内部控制鉴证报告”。这是我国首次对上市公司内部控制提出具体的要求。2006年6月上海证券交易所出台了《上海证券交易所上市公司内部控制指引》。这些法规表的出台对于规范我国上市公司内部控制的规定在不断完善。但从《指引》的具体实施来看，还需要细则来完善它的操作性。同时在法规的层次上，可以如《萨奥法案》上升到法律的高度。《指引》指出会计师事务所应参照主管部门有关规定对公司内部控制自我评估报告进行核实评价。但迄今为止，我国还缺乏一套具有统一性、公认性、科学性的企业内部控制标准，使上市公司进行内部控制自我评估、注册会计师进行内控审计缺乏明确标准。2006年7月15日财政部发起成立了企业内部控制标准委员会，该委员会在2007年3月出台了《企业内部控制规范—基本规范》和17项具体规范（征求意见稿），并指出我国内部控制标准体系主要包括基本规范、具体规范和应用指南。基本规范规定内部控制的基本目标、基本要素、基本原则和总体要求，是制定具体规范和应用指南的基本依据，在内控标准体系中起统驭作用。具体规范是根据基本规范，对企业办理具体业务与事项从内部控制角度作出的具体规定。分为以下三类：第一类是对与企业财务报表项目相关的、可能会对财务报告真实可靠性产生较大影响的经济业务事项提出具体要求的控制规范；第二类是与财务报表编报相关的控制规范，包括财务报告编制、公允价值、关联交易、信息披露等；第三类是为实现有效的财务报告内部控制所必需的事前、事中和事后制度支持的控制规范，包括预算控制、人力资源控制、计算机信息系统控制、审计监督控制等。应用指南是根据基本规范和相关具体规范制定的详细解释和说明，主要是为某些特殊行业、特殊企业、特定内控程序提供操作性强的指引。笔者认为，应结合我国的实际情况，适当地借鉴发达国家的有益经验和实际做法，采用分阶段、分步骤地实现上述内部控制标准体系，并不断完善我国的内部控制评价工作。

安然、世通等财务舞弊案件的发生，严重冲击了美国乃至国际资本市场的正常秩序。许多国家通过立法强化企业内部控制，内部控制日益成为企业进入资本市场的“入门证”和“通行证”。为此，我国境外上市企业纷纷花巨资聘请海外机构设计内部控制制度，以适应上市地的监管要求。中国IT治理研究中心首席专家表示：“为了不受美国《萨奥法案》的监管要求，我国内地企业现在更多地选择在上海、深圳、香港、新加坡、伦敦等地上市。问题是在全球公司治理趋同的监管环境下，越来越严格的法规规范是全球化趋势，靠逃离严格监管是没有前途的，完善公司治理，完善内部控制不仅是资本市场的要求，更是中国企业国际竞争力的重要要素之一。因此，中国上市公司最终也要适应这一游戏规则。几年的《萨奥法案》实践证明，投资者愿意为内部控制完善的公司花更多的钱购买其股票，上市公司愿意为《萨奥法案》买单。事实证明，《萨奥法案》不会导致美国股市下滑，而是更好地恢复了投资者的信心。”