三、存在的问题

    总体上看，67家公司2011年执行企业内控规范体系情况良好。这些公司在内控建设过程中，在组织机构的设立、资源的保障、内控建设路径的选择、内控建设的方式方法等方面均为国内主板上市公司和其他企业的内控建设提供了宝贵的经验。但也应注意到，从现在看来，多数境内外同时上市公司的内控建设成果不是完全依靠2011年一年来实现的，其中相当一部分公司为适应境外资本市场的监管要求，几年前即已着手进行内部控制建设，内控建设经历了一个逐步摸索、从量变到质变的过程；另一方面，境内外同时上市公司的管理基础、运行方式与国内主板公司和其他企业也有一定程度的不同，相比之下，前者的管理基础更为完善、内部运行更为规范，其推进内控建设的难度也更小一些。国内主板上市公司和其他企业在借鉴这些先行企业所取得经验的同时，应充分考虑到这些差别。

    结合境内外同时上市公司上述内控评价报告和内控审计报告分析结果，以及财政部、证监会在日常监管工作中了解到的一些实施试点企业内控规范体系的企业的情况，企业内控规范体系在实施过程中仍然存在一些问题。

    （一）企业内控规范体系实施过程中存在的问题

    1.企业内部对内部控制的认识有待提升企业内部控制规范体系的推动实施，更多地应源自企业的内生需求，外部的监管要求只是起到推动作用。从了解的情况看，部分公司对内部控制的认识仍停留在查漏补缺、应对监管的层面，没有意识到建立健全内控体系对防范风险、促进管理可能起到的有益作用，因而在内控建设过程中缺乏动力，导致企业内各层级人员在内控建设中局限于满足“合规”要求，不求完善；有些公司虽然成立了内部控制小组或委派内审部、内控部或财务部牵头负责内部控制相关工作，但是在内控建设初期对应投入的资源及相关保障仍缺乏有效认知；还有一些公司将内部控制体系建设和评价工作作为一项阶段性运动，控制要求形式化，未树立将内部控制要求与日常管理工作相结合的理念，对内控的认识和理解程度有待提升。

    2.内控专业人才缺乏成为制约企业内控建设的瓶颈内部控制建设是一项系统性工程，需要既了解所处行业特点、公司的整体运营情况及面临的风险，又熟悉内控建设的基本方式方法、信息技术及财务报告基本概念等方面情况的综合性人才。从部分公司的内控建设实践来看，人才缺乏已成为制约推进内控建设的瓶颈。很多内控部门负责人及实际工作人员是在“边建边学边摸索”，虽然在推进内控建设的过程逐步积累起一定的经验，但常会因此而走许多弯路。一些企业虽然建立了很好的在企业内部培养内控人才的机制，但毕竟人才的培养需要一个过程。这一问题随着2012年沪深交易所主板公司全面实施企业内部控制规范体系会愈加突出。

    3.企业内部控制建设及评价仍需要方法上的指导内控基本规范及18项应用指引针对内控建设的重要领域作出了原则性的规定，但公司在建设内控过程中仍面临一些困惑：一方面部分公司对以风险评估为基础的内控建设方法还较为陌生；另一方面应用指引是根据制造型企业特点总结提炼出的一般性指引，并没有兼顾不同行业特点，公司在建立内控过程中需要找到自身生产经营活动与应用指引的契合点。另外，对大部分公司来说，内部控制的自我评价也是一项全新的过程。评价指引针对内控评价的基本原则和程序提出了要求，但并未提供一套完整的方法体系。上述因素的存在导致不同公司建立内控的方式方法差异较大，深入程度及侧重点也各不相同，一定程度上影响了实施的效果。

    4.内控评价报告信息有效性有待提升67家公司披露的2011年内控评价报告中，已有公司开始根据所在行业特点及自身实际情况披露个性化的风险类别及防范措施。如有的银行类上市公司披露了所面临的市场风险、信用风险、流动性风险、操作风险、合规风险，并结合业务类别详细介绍了风险控制的方法和手段。但仍有部分公司在评价报告中披露的信息与自身生产经营特点和业务运行模式结合不足，公式化倾向较为明显，部分公司出于展示良好形象和工作成果的考虑，对内控要素、内控建设过程和成果进行了详细描述，而对于投资者真正希望了解的信息如存在的缺陷、未来的改进措施等则着墨较少，内控评价报告及相关信息披露传达的信息有效性有待提升。

    （二）中介机构在内控咨询及审计过程中存在的问题

    1.内控咨询中存在的问题（1）咨询机构人员素质、服务质量参差不齐

    目前，提供内控咨询业务的机构包括会计师事务所、管理咨询机构、信息技术企业和其他类型机构四类。一些大型会计师事务所在执行在美上市公司内控咨询过程中积累了较为丰富的内控咨询服务经验。除会计师事务所以外，其他一些综合性管理咨询机构、信息技术企业等也为上市公司提供内控咨询服务，但因侧重点、执业经验及优势领域的不同，某些情况下与监管要求有一定的差距。一些专业性不强、胜任能力不够、服务不到位和低价咨询机构的存在，影响了内控咨询服务市场的健康发展，并对企业内控建设工作产生不良影响。

    （2）咨询服务针对性不强，与企业管理结合度不够

    企业在内控建设过程中聘请咨询中介机构，其目的主要是获取方法上的指导和与所处行业相符合的实践经验。从实际情况看，一些咨询服务机构大都提供标准化内控建设模板，很少能够提供真正反映企业所处行业和管理特点的契合性服务。另外，有些咨询机构在项目执行过程中派出人员数量不足，核心负责人投入精力有限，业务团队对公司管理细节的了解不够深入，难以保证协助公司建设完成符合实际管理需要的内控体系。

    2.内控审计中存在的问题

    （1）对内控审计业务重视程度有待提升，技术标准及培训需进一步加强

    2011年是企业内控规范体系开始实施的第一年，会计师事务所面临着如何尽快掌握内控审计技术方法、以风险为导向做好内控审计工作的问题。从对部分内控审计项目的调研情况看，不同会计师事务所在内控审计执业能力方面存在较大差别。部分事务所在组织机构、内控技术方法、内控审计人才储备等方面做了很多努力，能够较好地适应内控审计业务带来的挑战，但也有些会计师事务所对内控审计业务重视程度不够，技术准备不充分，存在“等”、“靠”思想，在开拓内控审计业务、钻研内控审计技术方法方面缺乏主动性。加之内控审计技术标准出台时间较晚，一些事务所在结合审计标准制定内部内控审计技术规范时较为仓促，其执业规范的完备程度、内控审计质量复核体系及对员工的培训方面均有待进一步加强。

    （2）内控审计团队人员结构有待完善，信息系统审计力量不足

    从部分审计项目情况看，一些会计师事务所信息系统审计团队建设还处于起步阶段，信息系统审计力量不足，内部控制审计中信息系统审计程序实施不够充分。相对比的是，绝大部分上市公司及其他企业有着较高程度的管理信息化水平。内控审计中，实施充分的信息系统控制审计是形成有效内控审计结论的重要组成部分。随着主板公司今年开始全面实施企业内部控制体系所带来的审计需求的扩大，会计师事务所在进一步加强内控审计能力建设的过程中，调整和完善审计团队结构，对包括信息系统在内的一些重要控制领域进行审计是当务之急。