论文部分内容阅读
【摘 要】 内部控制评价信息披露作为企业内部控制基本规范的一个重要的组成部分，受到了各界人士的积极关注与重视。本文通过对A股市场的67家上市公司2006年年报分析，揭示了目前我国企业内部控制评价信息披露存在的现实问题，对完善我国内部控制评价信息披露提出了相应的建议。
【关键词】 内部控制； 评价信息披露； 内控规范； 披露方式
2008年6月28日，财政部联合证监会、审计署、银监会和保监会联合发布了《企业内部控制基本规范》以及公布了《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制鉴证指引》的征求意见稿，对于此次基本规范的制定发布和若干配套指引的公开征求意见，财政部副部长王军指出，这是继我国企业会计准则、企业审计准则正式颁布和顺利实施之后，财政、审计、证券监管、银行监管、保险监管和国有资产管理部门以实际行动贯彻落实科学发展观、促进企业和资本市场又好又快发展的又一重大举措。然而，内部控制评价规范还有待于财政部会同有关部门贯彻与实施。其中，内部控制评价信息的披露问题理应进一步思考与探索。
一、我国政府关于内部控制评价信息披露的现行规定
中国证监会于2000年12月发布文件要求商业银行、证券公司在其年报中披露内控自评报告及CPA的审核报告①，2007年12月对非金融上市公司内控信息披露做出了规定②，但完全未提及可参照执行的内控披露和自评的依据。随后，上交所、深交所分别于2006年6月、9月颁布并分别于当年7月和次年7月实施的《上市公司内部控制指引》。内控指引均要求上市公司在披露年度报告时，披露董事会内控自评报告及CPA的评价意见，并结合中国企业的特殊情况分别提供需重点关注的控制活动，为我国上市公司全面正确理解内部控制提供新的理念。为了进一步考虑对信息系统有效性的评价，2008年6月在《企业内部控制评价指引》（征求意见稿）中规定“应用信息系统加强内部控制的企业，应当对信息系统的有效性进行评价，包括信息系统一般控制评价和信息系统应用控制评价”。同时，在《企业内部控制鉴证指引》（征求意见稿）中规定，“注册会计师应当按照《中国注册会计师审计准则第1211号——了解被审计单位及其环境并评估重大错报风险》的规定，考虑信息技术对内部控制及拟评估风险的影响”。为了考虑内部控制评价信息的披露，在《企业内部控制基本规范》中规定，企业应将针对内部控制缺陷提出的整改方案采取适当的形式及时向董事会、监事会或者经理层报告，并要求企业出具内部控制自我评价报告。《企业内部控制评价指引》（征求意见稿）明确要求企业结合年末控制缺陷的整改结果，编制年度内部控制评价报告。《企业内部控制鉴证指引》（征求意见稿）中也要求注册会计师在完成内部控制鉴证后，单独对内部控制出具鉴证报告。
二、我国内部控制评价信息披露现状及主要问题剖析
杨有红等（2008）通过描述性统计对2006年沪市年报内部控制信息披露的现状进行分析认为，2006年沪市公司内部控制信息披露的强制规定未得到有效执行、内部控制信息自愿性披露动机不足、公司的内部控制自我评估和会计师事务所的核实评价缺少统一的标准。在对沪市800多家上市公司的调查中，披露内部控制自我评估报告以及内部控制审核报告的公司很少，两者均不到5%；已经披露内部控制自我评估报告的公司中，只有6家公布了评估依据，披露大多依据《内部会计控制规范》，而大部分公司都未披露。笔者以A股市场的67家公司③2006年年报为例，分析了我国上市公司内部控制评价信息的披露情况。67家上市公司中，深市28家，沪市39家，按照披露内部控制信息的项目以及内部控制信息披露的详略程度进行统计分析，具体情况反映在表1和表2中：
通过对A股上市公司内部控制信息披露的分析，可以看出：第一，A股年报中有关内部控制的信息并没有集中地反映内部控制评价信息，而是分散在几个部分中。第二，在67家上市公司中，只有20家明确指出对内部控制进行评价的，占30%；只有5家上市公司明确指出内部控制制度存在不足，占7%。
总体来看，沪市上市公司的内部控制信息披露情况要优于深市上市公司。笔者认为，这除了因为各上市公司自身的重视程度不同外，与上海证券交易所和深圳证券交易所对上市公司的要求存在差别也不无关系。然而，值得注意的是，我国上市公司内部控制信息的披露情况不容乐观，大部分上市公司仅仅说明公司的内部控制制度基本建立健全，并得到有效实施，但却没有具体说明哪些方面存在着不足，应该如何改进等。尽管对内部控制信息予以详细披露的上市公司认识到内部控制评价的作用，但是绝大多数公司对内部控制进行评价是为满足证券交易所的要求，而且由于内部控制相关规范的制订刚刚起步或正在建设之中，所以上市公司对内部控制的评价和信息披露仍在摸索中，也没有转化为公司的主动意识和行为。
概括而言，笔者认为，目前我国内部控制评价信息披露存在的主要问题表现在以下几个方面：
一是从信息提供者的角度看，大多数上市公司管理层的内部控制评价没有遵循严格的程序，仅仅给出一个简单的结论，不具有实用性；注册会计师对内部控制的审核限定在与财务报表审计相关的内部控制，而且，出于规避审计风险的考虑，注册会计师出具的内部控制审核报告仅供财务报表审计等专门目的使用，对于外部投资者没有太大的参考价值。
二是从信息需求者的角度看，现阶段投资者尚没有认识到企业内部控制评价信息对于投资决策的意义；同时，企业内的各级员工没有认识到内部控制信息对于其改进工作流程、降低风险的意义，因此，缺乏内部控制评价信息的需求动力。另外，相关政府监管部门也没有对所需要的内部控制信息做出具体的规定。
三是缺乏统一的内部控制评价信息披露规范。除了管理层主观意识、投资者对此类信息需求意愿不强之外，还缺乏权威的、统一的、具有可操作性的内部控制评价信息披露规范。也就是说，只对自我评估报告的内容做原则性规定，却未规定自我评估的程序、方法和标准，并且也缺乏相应的处罚约束机制。大多数企业所披露的内部控制评价信息在许多情况下并不是评价之后的结果，而仅仅是因为企业建立了内部控制规章，从而在假设企业有效地建立和执行了相关内部控制制度的前提下所得出的结论，通过这种方式披露的企业内部控制信息不具有任何实际意义。
四是缺乏规范的内部控制评价信息披露方式。大多数内部控制评价信息散见于年度报告的相关部分中，信息分散使投资者利用起来比较困难；虽然只有少部分企业开始出具内部控制自我评价报告并由注册会计师出具审核报告，但内部控制自我评价报告中的信息含量仍然较低，因而分析和利用价值也偏低。
三、完善我国内部控制评价信息披露的若干建议
为了加强企业内部控制评价信息披露，一方面要在内部控制评价信息提供者方面加以规范；另一方面也要满足内部控制评价信息披露的信息需求者的要求。同时，要保证披露的信息有效且能及时为信息需求方所用，必须制定内部控制评价信息披露的规范并明确内部控制评价信息的披露方式。
（一）内部控制评价信息提供者的规范
信息提供者进行内部控制评价的目的是表明企业内部控制的有效性程度，进而提升自身的价值，其结果通过披露为信息需求者获得。价值趋向促使信息提供者披露内部控制评价信息。
1.企业管理层。企业管理层对建立健全有效的内部控制负有根本责任，其责任履行的结果如何，通过企业管理层向企业外部提供内部控制有效性信息，而且内部控制信息表明企业内部控制是“整体有效”或者“基本有效”，从而使投资者有信心向该企业投资，可以引导优势资源源源不断地流入企业，同时也可调动企业全员一起更好地健全、完善企业内部控制。
2.注册会计师。内部控制评价是注册会计师鉴证业务的一个组成部分，注册会计师如果能提供高质量的内部控制信息，企业就有动力聘用这种注册会计师。利用注册会计师的工作，一方面对企业内部控制有效性提供鉴证；另一方面可以帮助企业完善内部控制。同时，注册会计师的业务也可得到拓展。
3.相关政府监管部门。相关政府监管部门通过对企业内部控制的监管和抽查提供企业内部控制有效性的信息，可以对全社会企业内部控制的建设情况有一个总括的了解，从而对企业内部控制的建立和健全进行规范，并在今后对内部控制建设工作应该给予的指导做出判断。
（二）满足内部控制评价信息披露的信息需求者的要求
信息需求者对内部控制信息的需求为内部控制信息的披露提供了外部驱动力。利益趋向驱使信息需求者关注内部控制信息，同样驱使信息提供者自愿提供内部控制信息。
1.投资者。潘秀丽（2001）认为，“内部控制信息不一定是投资者需要的信息”。因为“现阶段投资者更关心的是企业运营的结果，即受托责任的履行情况，并非关心其过程”。但是随着内部控制合理保证企业“经营的效率和效果”作用的逐渐显现，内部控制信息在企业可持续发展中的作用也越来越明显。内部控制信息，特别是评价后的内部控制信息不但从某种程度上反映了受托责任的履行情况，而且披露的内部控制评价有效性结果也是企业经营管理好坏的结果。在相关研究中也逐渐发现内部控制信息披露与企业质量之间的依存关系。因此，随着企业经营管理的越来越规范以及全世界对内部控制越来越重视，投资者为了自身的利益，必然需要内部控制信息辅助进行投资决策。投资者是企业的资金源泉，投资者对企业的信心影响着企业的价值，投资者对内部控制信息的需求以利益驱动企业提供内部控制信息。
2.企业内部各层级人员。企业内部的各层级人员也是内部控制信息的主要需求者。其中，高级管理层利用内部控制评价信息可以了解企业现行内部控制中存在的问题，找出进一步健全内部控制的方向；中层管理者可根据内部控制信息了解自己在内部控制执行中存在的问题及需要改进的地方，并根据内部控制信息中提供的建议改进自己对内部控制的执行；同时也可了解下级员工和其他部门在内部控制执行中存在的问题，从而明确今后监控和评价的重点；下级员工和其他部门根据企业披露的内部控制信息，一方面了解企业对于内部控制的重视程度，企业内部的环境是否有利于内部控制的开展；另一方面明确自己职责范围内承担的风险，应该采取哪些控制活动，如何进行信息的沟通。通过分析、利用披露的内部控制信息能够保证企业内部各层级人员更好地履行职责。
3.相关政府监管部门。相关政府监管部门既是内部控制信息的提供者，同时也是内部控制信息的需求者。相关政府监管部门利用企业或注册会计师披露的内部控制信息或者通过审计或大检查所获得的内部控制信息判断整个社会企业内部控制的状况，明确今后监管的方向，从而引导社会资源的有效流动和配置。
（三）制定内部控制评价信息披露规范
要保证披露的信息有效且能及时为信息需求方所用，必须建立内部控制评价信息披露的规范。要求企业从防范风险入手提供相关、客观和适度的内部控制评价信息。同时，内部控制评价信息的生成，应遵循统一的具有可操作性的内部控制评价标准。对内部控制自我评估报告信息披露应采取分类规定：对已具备条件的企业，由管理层出具符合框架要求的内部控制自我评估报告予以披露；对尚不具备条件的企业，应披露财务报告内部控制自我评估报告以及披露健全内部控制的总体规划和分步实施方案，以及目前已建立的单项或多项内部控制子系统的运行情况，以防制度被束之高阁或流于形式，引导公司将内部控制构建作为自律要求，而非应付监管的措施。
（四）规范内部控制评价信息的披露方式
笔者认为，按照内部控制评价信息披露的用途不同，一般分为公开披露（对外披露）和仅向企业披露（对内披露）。内部控制的评价结论，对内可以内部管理报告的形式提供内部管理层，供其改善经营管理和对内部控制制度进行改进，不需要专门的制度予以规范。对外披露则需要专门的制度予以规范，应该明确内部控制评价信息应在什么时间、以什么方式、由谁披露，利益相关者利用披露信息产生不良后果应由谁承担，如何判定责任归属等。要解决这些问题，需要有关部门制定内部控制评价信息披露制度，企业据此制定自身的披露规范。
【参考文献】
[1] 栗立华.内部控制评价问题初探.江西财经大学硕士论文.2004，（4）.
[2] 美国Treadway委员会之赞助机构所组成之委员会，著.马秀如，译.内部控制——整体框架.财团法人中华民国会计研究发展基金会.民国八十七年六月.
[3]证监会发布.公开发行证券公司信息披露编报规则第7、8号.2000，（12）.公开发行证券的公司信息披露内容与格式准则第2号——年度报告的内容与格式.
[4] 周勤业，王啸.美国内部控制信息披露的发展及其借鉴.会计研究，2005，（2）：24~31.
[5] 朱荣恩，应唯，袁敏.美国财务报告内部控制评价的发展及对我国的启示.会计研究，2003，（8）.
[6] 杨有红，汪薇.2006年沪市公司内部控制信息披露研究.会计研究，2008，（3）.
[7] 企业内部控制基本规范.财会[2008]7号.www.mof.gov.cn，2008，（5）：12.
[8] 企业内部控制应用指引（征求意见稿）.财办会[2008]7号.www.mof.gov.cn，2008，（6）：12.
[9] 企业内部控制评价指引（征求意见稿）.财办会[2008]7号.www.mof.gov.cn，2008，（6）：12.
[10] 中国注册会计师协会.企业内部控制鉴证指引（征求意见稿）.www.cicpa.org.cn，2008，（7）：1.
[11] Six Years of the Sarbanes-Oxley Act：Are We Better Off? William J Dodwell. The CPA Journal. New York：Aug 2008. Vol. 78，Iss. 8；pg.38，6pgs.
【关键词】 内部控制； 评价信息披露； 内控规范； 披露方式
2008年6月28日，财政部联合证监会、审计署、银监会和保监会联合发布了《企业内部控制基本规范》以及公布了《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制鉴证指引》的征求意见稿，对于此次基本规范的制定发布和若干配套指引的公开征求意见，财政部副部长王军指出，这是继我国企业会计准则、企业审计准则正式颁布和顺利实施之后，财政、审计、证券监管、银行监管、保险监管和国有资产管理部门以实际行动贯彻落实科学发展观、促进企业和资本市场又好又快发展的又一重大举措。然而，内部控制评价规范还有待于财政部会同有关部门贯彻与实施。其中，内部控制评价信息的披露问题理应进一步思考与探索。
一、我国政府关于内部控制评价信息披露的现行规定
中国证监会于2000年12月发布文件要求商业银行、证券公司在其年报中披露内控自评报告及CPA的审核报告①，2007年12月对非金融上市公司内控信息披露做出了规定②，但完全未提及可参照执行的内控披露和自评的依据。随后，上交所、深交所分别于2006年6月、9月颁布并分别于当年7月和次年7月实施的《上市公司内部控制指引》。内控指引均要求上市公司在披露年度报告时，披露董事会内控自评报告及CPA的评价意见，并结合中国企业的特殊情况分别提供需重点关注的控制活动，为我国上市公司全面正确理解内部控制提供新的理念。为了进一步考虑对信息系统有效性的评价，2008年6月在《企业内部控制评价指引》（征求意见稿）中规定“应用信息系统加强内部控制的企业，应当对信息系统的有效性进行评价，包括信息系统一般控制评价和信息系统应用控制评价”。同时，在《企业内部控制鉴证指引》（征求意见稿）中规定，“注册会计师应当按照《中国注册会计师审计准则第1211号——了解被审计单位及其环境并评估重大错报风险》的规定，考虑信息技术对内部控制及拟评估风险的影响”。为了考虑内部控制评价信息的披露，在《企业内部控制基本规范》中规定，企业应将针对内部控制缺陷提出的整改方案采取适当的形式及时向董事会、监事会或者经理层报告，并要求企业出具内部控制自我评价报告。《企业内部控制评价指引》（征求意见稿）明确要求企业结合年末控制缺陷的整改结果，编制年度内部控制评价报告。《企业内部控制鉴证指引》（征求意见稿）中也要求注册会计师在完成内部控制鉴证后，单独对内部控制出具鉴证报告。
二、我国内部控制评价信息披露现状及主要问题剖析
杨有红等（2008）通过描述性统计对2006年沪市年报内部控制信息披露的现状进行分析认为，2006年沪市公司内部控制信息披露的强制规定未得到有效执行、内部控制信息自愿性披露动机不足、公司的内部控制自我评估和会计师事务所的核实评价缺少统一的标准。在对沪市800多家上市公司的调查中，披露内部控制自我评估报告以及内部控制审核报告的公司很少，两者均不到5%；已经披露内部控制自我评估报告的公司中，只有6家公布了评估依据，披露大多依据《内部会计控制规范》，而大部分公司都未披露。笔者以A股市场的67家公司③2006年年报为例，分析了我国上市公司内部控制评价信息的披露情况。67家上市公司中，深市28家，沪市39家，按照披露内部控制信息的项目以及内部控制信息披露的详略程度进行统计分析，具体情况反映在表1和表2中：
通过对A股上市公司内部控制信息披露的分析，可以看出：第一，A股年报中有关内部控制的信息并没有集中地反映内部控制评价信息，而是分散在几个部分中。第二，在67家上市公司中，只有20家明确指出对内部控制进行评价的，占30%；只有5家上市公司明确指出内部控制制度存在不足，占7%。
总体来看，沪市上市公司的内部控制信息披露情况要优于深市上市公司。笔者认为，这除了因为各上市公司自身的重视程度不同外，与上海证券交易所和深圳证券交易所对上市公司的要求存在差别也不无关系。然而，值得注意的是，我国上市公司内部控制信息的披露情况不容乐观，大部分上市公司仅仅说明公司的内部控制制度基本建立健全，并得到有效实施，但却没有具体说明哪些方面存在着不足，应该如何改进等。尽管对内部控制信息予以详细披露的上市公司认识到内部控制评价的作用，但是绝大多数公司对内部控制进行评价是为满足证券交易所的要求，而且由于内部控制相关规范的制订刚刚起步或正在建设之中，所以上市公司对内部控制的评价和信息披露仍在摸索中，也没有转化为公司的主动意识和行为。
概括而言，笔者认为，目前我国内部控制评价信息披露存在的主要问题表现在以下几个方面：
一是从信息提供者的角度看，大多数上市公司管理层的内部控制评价没有遵循严格的程序，仅仅给出一个简单的结论，不具有实用性；注册会计师对内部控制的审核限定在与财务报表审计相关的内部控制，而且，出于规避审计风险的考虑，注册会计师出具的内部控制审核报告仅供财务报表审计等专门目的使用，对于外部投资者没有太大的参考价值。
二是从信息需求者的角度看，现阶段投资者尚没有认识到企业内部控制评价信息对于投资决策的意义；同时，企业内的各级员工没有认识到内部控制信息对于其改进工作流程、降低风险的意义，因此，缺乏内部控制评价信息的需求动力。另外，相关政府监管部门也没有对所需要的内部控制信息做出具体的规定。
三是缺乏统一的内部控制评价信息披露规范。除了管理层主观意识、投资者对此类信息需求意愿不强之外，还缺乏权威的、统一的、具有可操作性的内部控制评价信息披露规范。也就是说，只对自我评估报告的内容做原则性规定，却未规定自我评估的程序、方法和标准，并且也缺乏相应的处罚约束机制。大多数企业所披露的内部控制评价信息在许多情况下并不是评价之后的结果，而仅仅是因为企业建立了内部控制规章，从而在假设企业有效地建立和执行了相关内部控制制度的前提下所得出的结论，通过这种方式披露的企业内部控制信息不具有任何实际意义。
四是缺乏规范的内部控制评价信息披露方式。大多数内部控制评价信息散见于年度报告的相关部分中，信息分散使投资者利用起来比较困难；虽然只有少部分企业开始出具内部控制自我评价报告并由注册会计师出具审核报告，但内部控制自我评价报告中的信息含量仍然较低，因而分析和利用价值也偏低。
三、完善我国内部控制评价信息披露的若干建议
为了加强企业内部控制评价信息披露，一方面要在内部控制评价信息提供者方面加以规范；另一方面也要满足内部控制评价信息披露的信息需求者的要求。同时，要保证披露的信息有效且能及时为信息需求方所用，必须制定内部控制评价信息披露的规范并明确内部控制评价信息的披露方式。
（一）内部控制评价信息提供者的规范
信息提供者进行内部控制评价的目的是表明企业内部控制的有效性程度，进而提升自身的价值，其结果通过披露为信息需求者获得。价值趋向促使信息提供者披露内部控制评价信息。
1.企业管理层。企业管理层对建立健全有效的内部控制负有根本责任，其责任履行的结果如何，通过企业管理层向企业外部提供内部控制有效性信息，而且内部控制信息表明企业内部控制是“整体有效”或者“基本有效”，从而使投资者有信心向该企业投资，可以引导优势资源源源不断地流入企业，同时也可调动企业全员一起更好地健全、完善企业内部控制。
2.注册会计师。内部控制评价是注册会计师鉴证业务的一个组成部分，注册会计师如果能提供高质量的内部控制信息，企业就有动力聘用这种注册会计师。利用注册会计师的工作，一方面对企业内部控制有效性提供鉴证；另一方面可以帮助企业完善内部控制。同时，注册会计师的业务也可得到拓展。
3.相关政府监管部门。相关政府监管部门通过对企业内部控制的监管和抽查提供企业内部控制有效性的信息，可以对全社会企业内部控制的建设情况有一个总括的了解，从而对企业内部控制的建立和健全进行规范，并在今后对内部控制建设工作应该给予的指导做出判断。
（二）满足内部控制评价信息披露的信息需求者的要求
信息需求者对内部控制信息的需求为内部控制信息的披露提供了外部驱动力。利益趋向驱使信息需求者关注内部控制信息，同样驱使信息提供者自愿提供内部控制信息。
1.投资者。潘秀丽（2001）认为，“内部控制信息不一定是投资者需要的信息”。因为“现阶段投资者更关心的是企业运营的结果，即受托责任的履行情况，并非关心其过程”。但是随着内部控制合理保证企业“经营的效率和效果”作用的逐渐显现，内部控制信息在企业可持续发展中的作用也越来越明显。内部控制信息，特别是评价后的内部控制信息不但从某种程度上反映了受托责任的履行情况，而且披露的内部控制评价有效性结果也是企业经营管理好坏的结果。在相关研究中也逐渐发现内部控制信息披露与企业质量之间的依存关系。因此，随着企业经营管理的越来越规范以及全世界对内部控制越来越重视，投资者为了自身的利益，必然需要内部控制信息辅助进行投资决策。投资者是企业的资金源泉，投资者对企业的信心影响着企业的价值，投资者对内部控制信息的需求以利益驱动企业提供内部控制信息。
2.企业内部各层级人员。企业内部的各层级人员也是内部控制信息的主要需求者。其中，高级管理层利用内部控制评价信息可以了解企业现行内部控制中存在的问题，找出进一步健全内部控制的方向；中层管理者可根据内部控制信息了解自己在内部控制执行中存在的问题及需要改进的地方，并根据内部控制信息中提供的建议改进自己对内部控制的执行；同时也可了解下级员工和其他部门在内部控制执行中存在的问题，从而明确今后监控和评价的重点；下级员工和其他部门根据企业披露的内部控制信息，一方面了解企业对于内部控制的重视程度，企业内部的环境是否有利于内部控制的开展；另一方面明确自己职责范围内承担的风险，应该采取哪些控制活动，如何进行信息的沟通。通过分析、利用披露的内部控制信息能够保证企业内部各层级人员更好地履行职责。
3.相关政府监管部门。相关政府监管部门既是内部控制信息的提供者，同时也是内部控制信息的需求者。相关政府监管部门利用企业或注册会计师披露的内部控制信息或者通过审计或大检查所获得的内部控制信息判断整个社会企业内部控制的状况，明确今后监管的方向，从而引导社会资源的有效流动和配置。
（三）制定内部控制评价信息披露规范
要保证披露的信息有效且能及时为信息需求方所用，必须建立内部控制评价信息披露的规范。要求企业从防范风险入手提供相关、客观和适度的内部控制评价信息。同时，内部控制评价信息的生成，应遵循统一的具有可操作性的内部控制评价标准。对内部控制自我评估报告信息披露应采取分类规定：对已具备条件的企业，由管理层出具符合框架要求的内部控制自我评估报告予以披露；对尚不具备条件的企业，应披露财务报告内部控制自我评估报告以及披露健全内部控制的总体规划和分步实施方案，以及目前已建立的单项或多项内部控制子系统的运行情况，以防制度被束之高阁或流于形式，引导公司将内部控制构建作为自律要求，而非应付监管的措施。
（四）规范内部控制评价信息的披露方式
笔者认为，按照内部控制评价信息披露的用途不同，一般分为公开披露（对外披露）和仅向企业披露（对内披露）。内部控制的评价结论，对内可以内部管理报告的形式提供内部管理层，供其改善经营管理和对内部控制制度进行改进，不需要专门的制度予以规范。对外披露则需要专门的制度予以规范，应该明确内部控制评价信息应在什么时间、以什么方式、由谁披露，利益相关者利用披露信息产生不良后果应由谁承担，如何判定责任归属等。要解决这些问题，需要有关部门制定内部控制评价信息披露制度，企业据此制定自身的披露规范。
【参考文献】
[1] 栗立华.内部控制评价问题初探.江西财经大学硕士论文.2004，（4）.
[2] 美国Treadway委员会之赞助机构所组成之委员会，著.马秀如，译.内部控制——整体框架.财团法人中华民国会计研究发展基金会.民国八十七年六月.
[3]证监会发布.公开发行证券公司信息披露编报规则第7、8号.2000，（12）.公开发行证券的公司信息披露内容与格式准则第2号——年度报告的内容与格式.
[4] 周勤业，王啸.美国内部控制信息披露的发展及其借鉴.会计研究，2005，（2）：24~31.
[5] 朱荣恩，应唯，袁敏.美国财务报告内部控制评价的发展及对我国的启示.会计研究，2003，（8）.
[6] 杨有红，汪薇.2006年沪市公司内部控制信息披露研究.会计研究，2008，（3）.
[7] 企业内部控制基本规范.财会[2008]7号.www.mof.gov.cn，2008，（5）：12.
[8] 企业内部控制应用指引（征求意见稿）.财办会[2008]7号.www.mof.gov.cn，2008，（6）：12.
[9] 企业内部控制评价指引（征求意见稿）.财办会[2008]7号.www.mof.gov.cn，2008，（6）：12.
[10] 中国注册会计师协会.企业内部控制鉴证指引（征求意见稿）.www.cicpa.org.cn，2008，（7）：1.
[11] Six Years of the Sarbanes-Oxley Act：Are We Better Off? William J Dodwell. The CPA Journal. New York：Aug 2008. Vol. 78，Iss. 8；pg.38，6pgs.