英美内部控制监管制度差异探缘及其启示

 摘要：文章对英美两国内部控制监管制度存在差异的原因进行探究，并分析为何英国内部控制监管政策越来越受到上市公司接受，接着结合我国内部控制监管政策的现状，分析指出其存在的不足，最后就进一步完善我国内部控制监管政策提出改进建议。 

　　关键词：内部控制；监管制度；英美 
中图分类号：F275　文献标识码：A　文章编号：1000-2154(2008)12-0058-05 
 
一、引言 
 
众所周知，美国颁布《萨班斯―奥克斯利法案》(简称SOX法案)的直接目的是要恢复和挽救投资者在安然等一系列事件中丧失的对资本市场和上市公司的信心，以增加美国资本市场对投资者的吸引力。然而美国风险投资协会发布的数据显示2005年美国首次公开发行(IPO)的数量下降了40％，仅这一年伦敦证券交易所就吸引了93家海外公司前来上市，而同期纽约证券交易所和纳斯达克交易所共吸引海外上市公司仅33家，对近期在伦敦证券交易所IPO的80家海外公司的调查表明SOX法案(尤其是404条款)是促使其从美国转向英国上市最主要的原因。美联储前主席格林斯潘2006年在出席亚洲金融中心会议时感言：“我敏锐地意识到IPO已经移出美国，且大部分转移到伦敦，这使我感到不安。美国看来有必要修改SOX法案。”上述调查及格氏的担忧至少蕴含两层含义：一是英美两国内部控制监管政策存在明显差异；二是英国内控监管政策对上市公司似乎更具吸引力。那么英美两国内控监管政策究竟存在哪些方面的差异，产生这些差异的深层原因又是什么?若英国内控监管政策果真对上市公司更有吸引力，原因又何在?这对中国当前正从上而下地推进内控制度建设的实践又有哪些借鉴和启发意义?关于上述问题，现有研究文献还鲜有涉及。 
李连华、聂海涛(2007)统计发现我国内部控制研究高峰出现在2001年至2004年，这些研究主要是围绕内部控制概念及控制理论框架展开，对内控制度实施效果的研究则主要是采用案例分析方法对内控实践中的某一领域或某一类问题进行剖析。上述研究是就内部控制本身进行的研究，而没有研究应采取什么样的方式对公司内部控制进行要求。自中国证监会于2001年开始要求上市公司披露内控信息，我国一些学者针对上市公司内控信息披露的现状研究后大多强烈建议应进一步严格我国内控信息披露制度，采取类似于SOX法案404条款的要求。上交所、深交所随后于2006年分别颁布《上市公司内部控制指引》，一时被媒体称作为“中国版SOX法案”。由此可见，SOX法案关于内部控制的要求似乎已成为我国研究者和媒体的“共同呼声”。这一方面表明SOX法案的强有力的影响，但另一方面也与现有研究文献极少介绍和比较其他发达国家内控政策不无关系。据笔者查寻仅有两篇这方面的文献，一篇比较和评析了英法两国在SOX法案后所采取的措施，另一篇初步比较了英美内控信息披露制度的差异，但其均未明确提出不同的内控监管模式概念，也未对就英美两国内控信息披露差异产生的原因做深层分析。任何一项新制度的制定都与本国法律制度环境密切相关，其也应与本国原有其他相关制度相衔接，因而我们认为有必要对英美内控监管制度差异产生的原因做进一步深入探究，以便为我国制定恰当的内控监管制度提供政策建议和依据，提高我国内控监管制度的实施效率和效果。 
 
二、英美内部控制监管政策差异及其原因探析 
 
从英美内部控制监管历史演进的回顾中我们可以知悉各国引发内部控制监管的导火索均为公司财务欺诈和舞弊，但面对公司财务欺诈和舞弊，两国采取了两种截然不同的做法，美国侧重于通过联邦法律及证券交易委员会(SEC)制定的相关政策对公司内部控制进行强制性要求，而英国则是通过公司治理准则对公司内部控制进行要求，其借助于伦敦证交所(LSE)的上市规则得以实施，属于引导性监管模式。正因为它们采用了不同的监管模式，因而其对公司内部控制要求所涵盖的范围和内容也就相应存在差异，前者始终限于财务报告内部控制(狭义)，否则管理当局及CPA的法律责任将难以界定；而后者则实现了从狭义内部控制到广义内部控制的转变，对CPA的要求也由原来强制转化为非强制。 
英美两国内控监管政策的上述差异，究其原因，我们认为可从以下几方面进行分析和探寻： 
 
(一)两国公司法关于公司管理层财务报告责任方面的差异 
英国公司法始于《1844年合股公司法》和《1855年有限责任法》，早期公司法中就明确规定：如果公司为了欺骗或引诱公众购买公司股票，明知陈述虚假但仍发布或以认同方式发布，则构成犯罪；怀着欺诈意图在公司账簿上虚列项目或故意遗漏项目，或者故意毁灭公司账簿的董事都要为其犯罪行为承担责任。一个半世纪以来，英国公司法虽历经多次修订，但不同版本公司法对董事关于公司会计记录和账簿的责任均有详细而严格的规定，董事的虚假陈述及其他欺诈是犯罪行为并需要承担刑事责任一直是英国不同时期公司法的核心内容之一。英国公司法中虽然没有明确提到“内部控制”术语，但其事实上蕴含了内部会计控制和财务报告方面的严格责任。因此，在公司财务舞弊发生时，英国政府并没有立即通过立法的方式予以解决，而是敦促公司、证券交易所、职业团体等“私”的部门采取自律措施，促进公司自我监管。因为其认识到若公司法中如此严格的会计及财务报告责任都无助于公司财务舞弊问题的解决，那么通过其他立法手段对公司内部财务控制进行强制要求无异于问题的循环和重复。 
但美国缺乏联邦层面统一的公司法对公司管理当局关于会计记录、账簿、财务报告等方面责任进行强制要求，而各州建立的公司法对会计的重要性认识又远不如同一时期的英国公司法。在长达一个多世纪的时间里，全美所有州立公司法中有关能够称之为统一会计制度的内容在事实上都处于空缺状态。美国公司法关于会计方面规范的先天不足使得民间组织(如FASB、AICPA等)与SEC共同担当起规范公司会计信息的重任，前者主要就会计的确认、计量、记录和报告提供准则指导，后者就财务报告的披露环节进行强制性监管，也就是说长期以来美国公司财务会计行为仅仅只有财务报告披露这一“最终环节”受到联邦层面的法律及监管政策的约束，而公司对于财务报告的“生产过程”则享有充分“自治权”。本文认为这正是在公司财务舞弊案件发生后美国政府要通过联邦立法对公司“内部会计控制”和“财务报告内部控制”(ICFR)进行强制要求的主要原因，其相当于是对公司法关于财务报告“生产过程”责任“缺失”的弥补。 
 
(二)两国公司治理准则的制订及其实施方式的差异 
自20世纪90年代以来，世界各国都开始关注公司治理问题，并陆续制定和颁布了公司治理准则，但各国颁布公司治理准则的方式及实施路径并不完全相同。如以英国为代表的一些欧盟国家及加拿大、澳大利亚等国颁布的公司治理准则，均受本国主要证券交易所的直接支持，在其上市规则中大多要求采用“遵循或者披露”的方式予以实施。其对公司内部控制的要求均嵌入公司治理准则之中，因而对公司内部控制的要 求也都得以上述方式实施，但美国对公司治理准则的制定和实施几乎处于“各自为政”的状态。自20世纪90年代以来，不同组织发布了一系列公司治理准则，而这些公司治理准则并没有统一的实施机制，公司是否遵循公司治理准则纯属自愿，这就使得对公司内部控制的要求难以通过嵌入公司治理准则的方式得以落实，因而只得借助于联邦立法及SEC的监管政策对公司内部控制进行强制要求。 
 
(三)两国证券市场监管模式的差异 
从全球范围看，各国证券市场的监管体制大体有三种类型：集中型、自律型及综合型监管模式。在集中型监管模式下，政府设立专门的全国性证券监管机构，制定和实施专门的证券市场管理法规，以实现对全国证券市场的统一管理，证券交易所、证券商协会等自律组织只在其中发挥辅助作用。美国是这种模式的典型代表；在自律型监管模式下，政府除了必要的立法之外，一般不设立专门的监管机构，主要通过证券交易所、证券商协会等自律机构对证券市场进行监管。英国是这种模式的典型代表。本文分析认为英美两国对公司内部控制监管采取不同方式正是与其历史上形成的不同证券市场监管模式相适应的结果。 
 
三、我国内部控制监管政策及其评析 
 
我国自1999年《会计法》首次以国家法律形式对单位内部会计监督提出要求，至2008年6月财政部会同证监会、审计署、银监会、保监会发布《企业内部控制基本规范》(下文简称《基本规范》)，期间我国不同部门颁布的与内部控制有关的主要监管政策及其相关要求汇总见表。 
 
从上表可以看到，虽然我国内部控制监管政策起步较晚，起点较低，但在短短9年左右时间内，各界对企业内控制度建设的要求已从最初的内部会计控制实现了向广义内部控制的转变，表明各界已突破了仅从会计或审计角度认识内部控制的传统禁锢。相比于美国和英国的内部控制监管制度，本文认为我国内部控制监管政策存在以下几方面的不足： 
首先，各内部控制监管政策之间缺乏相互衔接或协调。在《基本规范》出台之前，中央各部委对企业内部控制提出要求时，始终缺乏对“内部控制”的明确界定，以至于不仅不同层次的内控监管政策之间缺乏应有的衔接，而且同一层次的规范性文件对内部控制的界定和要求也不衔接。如对内部控制概念在不同监管政策中使用不一，也就意味着对内部控制要求涉及的内容或涵盖的范围存在差异；另外上述不同的监管政策中对公司内部控制自评主体的要求也不一致，有的是董事会，有的是董事长，有的是监事会，有的是法人代表，这使得企业在执行内控监管政策时感到无所适从。虽然《基本规范》的颁布在一定程度上有助于上述问题的解决，但这也得有待于上述内控监管政策的适时修订并在修订时与《基本规范》的衔接，否则仍难改变上述状况。在《基本规范》颁布之前，财政部于2001年曾颁布《内部会计控制基本规范》及其相关的具体规范，01年与08年的规范之间到底是什么样的关系?是同时并行存在，还是随着新规范的颁布，先前颁布的规范随之废止?这些在《基本规范》中均未明确指出，这无疑又会使得企业遵照执行时无所适从。 
其次，内部控制监管政策缺乏明确可行的实施机制。从上表可知，除《会计法》及财政部2001年颁布的《内部会计控制基本规范》对企业内部控制的要求明确指出限于内部会计控制以外，其他内控监管政策要么没有明确指出内部控制的外延，要么是基于广义内部控制。就我国法规体系而言，部门规章也具有“强制性”，只是强度略低于法律及行政法规，因而对于不遵循或达不到部门规章要求的也应有相应的惩处措施。但是我们应该认识到广义内部控制涉及到企业内部管理的方方面面，因而要对其遵循性情况进行到位的严格审查会存在相当的难度且需要很高的制度执行成本，也正因为如此，美国的强制性监管始终仅限于“财务报告内部控制”(ICFR)，而英国的引导性监管却可以拓展到“广义内部控制”。如果我国在制定内部控制监管政策时对此问题不予充分认识，将可能导致以下不良后果：制度制定与实施相脱离，重蹈“我国向来不缺制度，缺的是制度的实施”的覆辙。 
再次，对公司内部控制的要求未能嵌入相关法律或公司治理准则之中。内部控制已经越来越多地被认识到是管理当局履行受托责任的基础性制度，因而建立健全公司内部控制应成为公司治理层的主要职责，但我国2005年新修订《公司法》对此只字未提，也未提到管理当局应按《会计法》要求建立健全公司内部控制，这既没有体现对内部控制重视的高度，也没有体现法与法之间的相互衔接。此外，证监会至今为止对公司内部控制的要求仅在年报披露准则中提及，而在其2002年颁布的《上市公司治理准则》中也只字未提内部控制的要求，不能说不是一种缺憾，表明其对公司内部控制的要求并没有真正上升到公司治理要求的高度，这也不符合当前国际上通行的在公司治理准则中对公司广义内部控制进行要求的做法。 
 
四、结论和启示 
 
综上所述，英美两国内控监管制度差异的形成与两国公司法律制度、公司治理准则的实施及证券市场监管模式等方面存在差异密切相关，这表明恰当的内部控制监管政策必须与本国法律制度环境相适应才能较好地发挥其预期作用。从上述分析可知，当前伦敦资本市场对上市公司越来越具吸引力，并不是其对公司内部控制的要求比美国宽松，而在于其采取的内控监管方式能够以更符合成本效益的原则得以实施。因为英国公司法中对董事会应当承担的财务报告真实和公允的责任均已有严格而详细的规定，相当于已从法律层面对财务报告内部控制提出了明确要求。正是有了对狭义内部控制法定责任的严格规定，才使得其可以在公司治理准则中对广义内部控制进行要求，并采取不同于强制性监管方式的“遵循或者披露”方式执行，而且其对公司内部控制的要求以原则导向为主，具体细化操作由公司结合实际经营特点自己设计，这样有利于发挥企业积极主动性，关注内部控制在风险管理方面的实质有效性而非基于规则的形式有效性，也有利于降低监管部门的监督检查成本。针对我国内控监管政策当前存在的问题及对英美内控监管实践经验的借鉴，本文认为我国内部控制监管制度可从以下几方面予以完善和推进： 
1、要理顺内部控制准则与相关法律、法规之间的相互关系。我国刚刚颁布的《基本规范》为国内各界理解和讨论内部控制提供了统一的基础，其作用相当于我国内部控制基本准则。就英美及其他国家内控制度建设的实践来看，有的是先有相关法律法规或公司治理准则对公司内部控制提出要求，再有支持上述制度实施的内部控制准则(如英、法)；有的是先有内控准则，再有相关法律的要求(如美国)。但无论哪个先哪个后，关键是它们必须能相互协调和支持，否则，要么内控准则找不到得以实施的合法依据，要么法律法规中关于内控的条款缺乏内控准则的支撑而难以实施。《基本规范》第1条指出：“根据我国《公司法》、《证券法》、《会计法》及其他相关法律法规制定本规范”，可谓给《基本规范》提供了很高的法律“身份”，但是，我们发现除《会计法》提到“内部会计监督”要求以外，新近修订的《公司法》、《证券法》并没有直接提到董事会及管理层建立健全内部控制的责任和义务，《证券法》中虽有3处提到“内部控制”，但均是针对证券公司提出的要 求，并没有对发行证券的公司作类似要求。若在上述法律中不对董事会及管理层建立健全内部控制进行要求，无疑会增加《基本规范》推行和实施的难度，因为其事实上缺乏上述法律的支持。 
2、在不同层次的法律法规中要明确内部控制的目标或适用的外延。《基本规范》是我国理论界和实务界在充分借鉴国际已有先进内控框架并考虑中国企业面临的共同性问题后而研究出的成果，其采用的是“五目标”观(即合法合规、资产安全、财务报告及相关信息的真实完整、经营效率和效果、发展战略)，显然是广义的内部控制概念，这对引导企业如何建立健全内部控制无疑具有先进性和科学性。但若要通过法律法规对公司内部控制的五目标所有方面都进行要求并不合宜，因为法律责任追究需要有“明确界限”。因此，上述法律中运用的“内部控制”不宜直接引用《基本规范》中的外延和内涵，而应作适当界定，如要求公司建立健全的内部控制应能合理保证法律法规的遵循、公司资产的安全及对外报告信息的真实完整，这些可以看作是内部控制的最基本目标，也可以看作是本文定义的适宜于采取强制性监管政策要求的狭义内部控制，这比SOX法案界定的财务报告内部控制范围要广一些，也较符合中国企业的实际需求。至于内部控制的经营效率效果及发展战略目标，可以看作是内部控制的拓展性目标，也可以看作是本文定义的适宜于采取引导性监管方式进行要求的广义内部控制的另两个方面，如在公司治理准则或证交所颁布的内部控制指引中就可采用广义内部控制概念，因为这属于非法律层面的引导性监管，可以对执行不到位的公司采取公开披露、社会或中介评价等方式予以约束。通过上述有针对性地划分和界定，就可以较好地解决《基本规范》与相关法律法规制度之间的关系，使企业既可以按照《基本规范》对自身内控制度建设进行规范，又便于内控相关法律制度的执行及责任的追究。若要求CPA对公司内部控制进行法定审计，其范围也应当是限于上文界定的狭义内部控制。 
3、应结合行业特点制定《基本规范》的实施细则，有选择地重点推行。《基本规范》是框架性、原则性要求，如何把这些要求细化为各行各业的可操作性标准及做法正是目前迫切需要解决的。本文认为由于各行业可能的高风险领域及业务流程均存在差异，而且一些行业在内部控制和风险管理方面已经积累的丰富的实践经验，因而可以由行业监管部门或行业协会在《基本规范》框架下组织制定相关的内控实施细则或指引，并负责检查、监督执行。这样既可避免多头重复监督检查，也便于其对本行业成功的内部控制经验和做法予以总结和推广，并对本行业存在的新风险及需要控制的方面及时提供指导。在近期内应选择高风险行业的企业、关系到国民经济及证券市场安全的企业重点地推进内控制度建设，这样有助于政府监管部门集中有限的力量有针对性地检查和辅佐企业健全内部控制，以便能对其他企业逐渐形成带动和示范效应。 
 
责任编辑：傅凌燕