2006年美国爆发的次贷危机对全球经济的发展造成了重大的影响,在本轮的金融危机中,金融机构的风险管理成为了人们关注的焦点。上市银行掌握着国家的金融命脉,在维护国家的金融安全与稳定、促进经济的持续、快速发展等方面发挥了重要作用,它的内部控制与风险管理更是人们关注的重点。Caprio和Klingebiel (2003)的统计表明,1970年以来,在发展中国家和发达国家总共发生了117次系统性的银行危机和51次非系统性的银行危机。这些危机造成的经济损失平均超过了年GDP的10%,因此,提高银行体系的效率、保持银行体系的稳定性具有重要的意义(类承曜,2007)。巴塞尔银行业监督管理委员会指出：良好的银行公司治理不仅是银行监管有效性的前提,也是维护银行体系稳定的基础。但银行内控体系如果存在“实质性漏洞”(material weakness),则其公司治理与外部监管的有效性将难以保证。何谓实质性漏洞?我国上市银行内部控制实质性漏洞信息的披露状况如何呢?对于以上问题的回答有利于我们认清其内部控制的真实状况,进而评价其风险及质量状况并做出相应的决策。近年来,英国巴林银行、法国兴业银行以及我国的农业银行等上市银行令人触目惊心的舞弊案例,无不与其内部控制制度失效有关。但目前无论是监管政策还是相关研究都集中于内控的“缺陷”与内控的“完整性、合理性、有效性”方面,未能明确提出实质性漏洞这一概念。在金融危机影响日益扩大的背景下,对代表国内银行业主流的上市银行的内部控制尤其是实质性漏洞进行研究具有重大的理论及现实意义。本文共分为五个部分：第一章,引言。引言中介绍了本文的研究背景和意义、对本文涉及的核心概念给予了界定,针对本文的研究目标确定了本文的研究内容和结构安排。第二章,文献回顾。本文从国内外两个部分介绍了相关的政策指引以及前人的研究成果。国外部分本章重点阐述了与上市银行内部控制有关的政策法规、介绍了PCAOB关于实质性漏洞的定义,然后对实质性漏洞存在的影响因素、披露的影响因素等文献进行了述评,最后本章回顾了国外关于银行信息披露的作用及影响因素、银行信息披露的成本与收益方面的研究。关于实质性漏洞的定义以及银行信息的披露政策,国外已有相应的政策指引和监管要求,相关的理论研究已对其进行了细分和深入研究,但实质性漏洞信息的研究对象主要限于一般的公司,对具有高风险聚集性、强大信息外部性、社会影响巨大性这些特殊特征的银行,并未做出特别描述。国内部分主要介绍了商业银行内部控制信息披露方面的政策指引、实质性漏洞信息披露的现状及差距、上市银行信息披露的作用、上市银行信息披露的监管以及上市银行信息披露的特质方面的研究,国内关于上市银行内部控制信息披露的研究都集中于内控的“缺陷”与内控的“完整性、合理性、有效性”方面,未能明确提出实质性漏洞这一概念,更谈不上把上市银行内部控制中的实质性漏洞作为专门的对象进行研究了。第三章,上市银行实质性漏洞信息披露的理论基础。首先,本章从银行业具有的强大外部性作用、高风险聚集性、资产结构上的高负债比、极低的信息透明度及信息不对称特征等方面分析了上市银行公司治理的特殊性,并认为上市银行公司治理主体之间的矛盾非常复杂,股东、债权人、经营者、监管者两两之间,甚至三者之间都存在着一定程度的矛盾冲突,其中债权人利益保护的凸显是银行业有别于其他行业的最显著特征；其次,本章探讨了委托代理理论、信息不对称理论以及金融监管机构的介入等对上市银行内部控制实质性漏洞信息的披露产生的影响。本文认为管理层和公司有责任披露实质性漏洞方面的信息,以缓解委托代理冲突、减少信息不对称问题。但是由于此类信息具有高度敏感性和专业性,容易导致投资者产生误解,因此上市银行在进行此类信息的披露时尤其要注意披露方式、披露内容、披露边界、披露时机等问题,必要时可以向金融监管当局进行定向披露。第四章,案例分析。首先,本章根据PCAOB关于实质性漏洞的定义,借鉴了Ge, McVay (2005)的思路并结合上市银行的特点,将内部控制实质性漏洞划分为九大类型：账户特定式、培训、期末报告与会计政策、收入确认、职责划分与授权、对账、子公司特定式、高级管理层及技术问题。其次,本章选取中国民生银行股份有限公司为案例,对其年报中公开披露的内部控制及实质性漏洞信息展开了研究。本章从信息披露的详略程度、信息披露的分布状况、以及信息披露的连续性三个方面对民生银行披露内部控制信息进行了分析,认为随着相关法规的出台其内部控制信息披露的状况有所改善,董事会发挥了其信息披露主体的作用,但是由于我国现有的法规缺乏严格的处罚机制,致使民生银行在内部控制信息披露方面存在较大的主观性和随意性。最后,本章从披露的数量、披露的载体、披露的类型等三个方面探讨了其实质性漏洞的披露情况,并对实质性漏洞的存在与员工舞弊方面的问题展开了分析。本章发现其实质性漏洞的披露整体上呈现出上升的趋势,但2008年有所好转,事务所的审核报告并没有太多实质性的内容、存在着形式主义嫌疑,实质性漏洞的存在给某些居心叵测的人从事违规或违法行为提供了可趁之机。第五章,结论及政策建议。本文发现民生银行对内部控制的描述主要集中于“内控自评报告”和“内控审核报告”中,监事会在对内部控制的评价中表现出了较为明显的形式主义；年报中各部分披露的内部控制信息含量差异较大,受政策监管力度的影响,存在特定年度突然增多或减少的现象；内部控制自我评价报告和内部控制审核报告缺少统一的评价审核依据；内部控制中的实质性漏洞倾向于同职责划分的缺失和不恰当的授权、培训的缺乏、会计政策中的缺陷、不适当的对账以及技术问题有关,最常见的账户特定式实质性漏洞主要与风险资产的管理不当有关。根据前文的分析,本文建议应该从以下几个方面完善我国上市银行内部控制实质性漏洞信息的披露：首先,建立完善的实质性漏洞信息披露机制,披露机制应该包括实质性漏洞的概念界定、评价主体、评价方式、披露报告形式、披露方式、披露频率等主要要素,此外还应当包括相应的法规制度,激励与约束机制即相应的奖惩措施等；其次,进一步明确上市银行内部控制中实质性漏洞信息披露相关主体的职责,董事会、监事会、管理当局包括财务负责人应该表明各自对财务报告内部控制制度的责任,并保证所陈述信息的真实性、准确性和完整性；最后,加强内部控制中实质性漏洞信息披露的监管,建立健全相关的处罚机制,对违反强制性信息披露规定的企业,要加大处罚力度,并追究相关责任人的责任。本文的贡献主要体现在以下两个方面：一、本文从完善公司治理及加强银行监管的角度,首次把上市银行内部控制中的实质性漏洞作为专门的对象进行研究,并取得了一些有益的结论。本文在分析了上市银行公司治理的特殊性问题后,认为债权人利益保护的凸显是其公司治理需要解决的核心问题,为了保护广大分散中小债权人的利益,金融监管部门的介入成为了必然。信息披露是进行有效监管的基础,然而实质性漏洞信息具有高度的敏感性和专业性,容易导致投资者产生误解。因此,上市银行在披露此类信息时尤其要注意披露方式、披露边界、披露时机等问题,必要时可以向金融监管当局进行定向披露。二、本文对加强上市银行内部控制实质性漏洞信息的披露监管和构建其披露框架进行了有益的尝试。本文建议可以通过建立完善的实质性漏洞信息披露机制、进一步明确上市银行内部控制中实质性漏洞信息披露相关主体的职责、加强内部控制中实质性漏洞信息披露的监管以及建立健全相关的处罚机制等措施,改善上市银行内部控制实质性漏洞信息的披露现状。本文认为上市银行实质性漏洞信息的披露机制应该包括以下主要内容：实质性漏洞的概念界定、评价主体、评价方式、披露报告形式、披露方式、披露频率等,此外还应当包括相应的法规制度,激励与约束机制即相应的奖惩措施等。