截止2月3日，沪深两市上市公司披露内部控制自我评价报告企业17家，其中，13家企业公布了事务所对该报告出具的内控鉴证报告或内控审计报告，9家企业公布了券商对该报告的核查意见。可以明显发现深市企业更重视内控，所有公布年报的企业同时都公布了内控自评报告。17家企业中，永新股份为2011年内控试点单位。

均未披露控制缺陷

正如笔者去年评价内控报告时指出内控自评报告总是没有人说自己不好一样，这17份内控自评报告中，没有一份披露自身的重要控制缺陷或重大控制缺陷。

我们每个人都清楚国内上市公司目前的实际管理水平，既然美国实施内部控制时，40%的企业披露重要或重大控制缺陷。那么，如果我们真正实施内部控制的企业，披露重要或重大控制缺陷的比例少于50%，就只有两个可能。

第一，没有真正认真地开展内部控制自我评价工作。包括：没有科学严谨地界定内部控制的重点区域和内容、没有设计有效的内部控制评价方法、没有切实进行内部控制检查和梳理工作、审计机构不能有效监督和检查内部控制工作、对内部控制的监督和处罚力度不够。

第二，企业还需要一个较长的提高过程，以适应内部控制的监管要求。事实上，在国外开展内部控制只需要经过检查、改进控制、复查、完善控制、综合控制水平的提高5个阶段，这样的流程走下来少则1、2年，多则3、5年。

国内一些上市公司由于流程、制度体系的不完善，需要经过初查、建立控制、检查、改进控制、复查、完善控制、综合控制水平提高等7个阶段，时间周期更长。并且，在企业开展内部控制的前2个阶段，无法对重要和重大缺陷进行有效分析和准确界定。

悲中有喜

经过分析，这17份报告所反应出各公司的内控工作开展情况可以分为三大类：内控工作取得一些实质性进展、刚认真开展内控工作、内部控制工作还处于筹备和学习阶段。

其中，有实质性进展的企业有1家，即兴蓉投资。该公司不仅对内部控制缺陷及风险进行了详细地界定，还实际检查和梳理了一些重要管理流程，并公布检查结果。

刚认真开展内控工作的企业有3家，分别是永新股份、亚宝药业及恒丰纸业。它们都对企业内部控制的重点进行了缜密分析，对企业的主要风险进行了定性与定量的划分，但尚需进一步根据重点内容对内部控制的有效性进行检查和测试。

内部控制工作还处于筹备和学习阶段的企业13家，这其中又可以分成两种：一种是认真学习了各项文件，内部控制已经着手准备的企业，共3家，分别是太安堂、南洋科技、营口港；另一种还没有认真地学全各监管机构的全部要求，从内控自评报告的认真和严谨性角度来说，更像是来打酱油、凑热闹的，这样的企业共10家。

内控自评报告到底能看出什么

很多人都会好奇，内控自评报告到底能看出多少信息。事实上，对内行来说，能看出的东西非常多：从内控工作看，可以看出内控工作是否开展、开展进度、内控的目标以财务真实性为目标还是更多、内控的实施效果、内控的有效性结论是否合理。

比如：衡量内控工作的一个重要标准就是，是否开展了检查工作，如果还没有进行自身控制的检查和梳理，内控最多也就是还在学习和准备阶段。

进一步分析内控报告，还可以看出企业内控报告是否抄袭、是否可以代表企业内控的真实情况与水平、是否真正抓住企业的主要风险、是否能够有效地支持企业财务报告的真实性，甚至，可以看出是什么人写的这份报告。

说一件趣闻。去年内控报告披露后不久，笔者在走访一家上市公司时，向其主管副总直接指出其内控报告是一个基层员工所写。副总很不高兴地说：“哈哈，老王，这次你看错了，我们内控报告可是财务部经理撰写的。”我很坚定地说：“肯定是基层员工写的。”于是，就此打个赌，输者请大家晚饭，会议暂停10分钟，派专人调查此事。结果嘛，由于财务部年末过于忙碌，请人事部某基层员工代为撰写。我赚了顿丰盛的晚餐。

形同虚设的内控鉴证与审计报告

不出意料，所有内控审计或鉴证报告都披露该上市公司内控无重大缺陷。最有意思的是，有一份审计报告居然没有使用规定的标准语言表达方式。

我其实很想知道，如果一家上市公司连自己的重大和重要风险、控制缺陷都还没有效确定，那么事务所又怎么能知道这家公司是否存在重大缺陷呢？这就好像一个应聘者还没有说清楚自己的教育背景和工作经验，面试者就确定他能胜任应聘的工作。当然，我们可以说，由于面试者经验丰富，一眼就看穿了应聘者，即使这样，也需要应聘者准确表达自己的特长与特征啊。

现正值证监会严格监管之际，合财政部规范内控之力，杜绝上市公司虚假报表，提升上市公司管理水平正是最好时机。

愿上市公司的内控在各方努力中，稳步提高。愿这些点评，能为内控发展、杜绝上市公司造假、减少投资者损失尽绵薄之力。