第三章 研究方法
第三節 內部控制缺失之判斷及樣本選取
國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
第三節 內部控制缺失之判斷及樣本選取
1一、內部控制缺失之判斷
自SOX法302及304條款生效後，美國對於內部控制缺失之研究多從企業自行 發布之內部控制聲明書著手。2006年，上海證交所與深圳證交易所發布《上市公 司內部控制指引》，2008年財政部、證監會等五部委聯合發布《企業內部控制基 本規範》，中國上市公司應對內部控制控制的有效性進行自我評價，並揭露於年 度自我評價報告。與美國SOX法不同之處為中國要求企業揭露的內部控制自評報 告內容不侷限於與財務報導相關的內部控制，亦包含非財務相關的內部控制，且 明確規範管理階層在內部控制建設負有全面性的責任。
惟《企業內部控制基本規範》中僅規定企業須定期對內部控制的有效性進行 自我評價，並出具內部控制自我評價報告，未對自評報告的內容及格式統一且具 體的規定，只在《企業內部控制評價指引》第22條以原則性規定要求內部控制評 價報告應包含之基本內容，也敘明應考量企業特性等不同情況出具適合於該企業 之評價報告。因細部規則難以規定完全，因此報告內容與其呈現存在模糊空間，
故上市公司內部控制資訊揭露的品質會因公司對內部控制的態度而有所不同。
不同於COSO所訂的四大內控目標，中國因國內公司的特性考量將資產安全 獨立為一項內控目標，故內部控制評價報告之揭露範圍包含：合理保證企業經營、
管理合法合規、資產安全、財務報告及相關資訊真實完整、提高經營效果和效率，
促進企業實現發展戰略。內部控制自評報告之揭露主體為董事會，負責內部控制 的建立健全和有效實施，監事會對董事會建立與實施內部控制進行監督，至於經 理層則負責組織領導企業內部控制的日常運行。
中國之《企業內部控制評價指引》對公司之內部控制評價報告有至少應揭露 內容之規範，以下就中國寶安集團股份有限公司 2012 年內控自評報告為例加以 說明：
1本節內容為政治大學會計系碩士班莊璧滋、邱佩柔及許琬琪共同蒐集資料、彙總整理而成。
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
1. 董事會對內部控制報告真實性的聲明：
公司董事會及全體董事須保證報告內容不存在任何虛假記載、誤導性陳 述或重大遺漏，並對報告內容的真實性、準確性和完整性承擔個別及連帶責 任。
2. 內部控制評價工作的總體情況：
由公司董事會負責內部控制評價的組織、領導和監督，審定內控重大缺 失、重要缺失及整改意見；與審計委員會共同領導內部控制評價工作；公司 董事會授權審計部負責內部控制評價的具體組織實施工作，對集團總部及納 入評價範圍的下屬公司開展內部控制規範實施及評價工作。
3. 內部控制評價的依據：
評價報告依據《企業內部控制基本規範》及《企業內部控制評價指引》
的要求，結合公司內部控制制度，在內部控制日常檢查和專項監督的基礎上，
對公司截至當年底的內部控制設計與運行的有效性進行評價。
4. 內部控制評價的範圍：
納入評價範圍的業務和事項包括組織架構、發展戰略、人力資源、社會 責任、企業文化、資金活動、採購業務、資產管理、銷售業務、存貨與成本 管理、工程項目、財務報告、合同管理、全面預算、關聯交易、資訊揭露、
對子公司的控制等內容。
5. 內部控制評價的程序和方法：
內部控制評價工作遵循基本規範、評價指引及公司內部控制評價辦法規 定的程序執行評價工作。採用個別訪談、調查問題、專題討論、穿行測試、
實地查驗、抽樣和比較分析等方法，廣泛收集公司內部控制設計和運行是否 有效的證據，分析、識別內部控制缺失，對需要完善的方面和重要業務活動 多次覆核並提出了整改建議。經審計委員會審議通過後提交董事會。
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
6. 內部控制缺失及其認定情況：
根據內部控制基本規範、企業內部控制評價指引對重大缺失、重要缺失 和一般缺失的認定要求，結合公司規模、行業特徵、風險偏好和風險承受度 等因素，訂定適用該公司的具體認定標準。內部控制缺失評價方法採取定量、
定性二者相結合的評價方法。
7. 內部控制缺失的整改情況及重大缺失擬採取的整改情況：
記述報告期內發現的內部控制缺失（含上一期間未完成整改的內部控制 缺失），公司採取的相應整改措施。
8. 內部控制有效性結論：
公司是否建立合適的內部控制制度，以建立的內控制度是否得以有效執 行，達到了公司內部控制的目標，是否不存在重大缺失。以對公司的內部控 制提供合理保證。
本研究之資料來源：財務資料取自CCER資料庫之一般產業財務數據庫、一 般產業財務指標分數數據庫、上市公司治理結構數據庫； TEJ資料庫之中國公 司治理分析模組。內部控制缺失之資料則主要取自中國2006年至2012年證券監督 委員會所公佈之行政裁罰決定書、滬深兩證交所對上市公司之通報批評和公開譴 責之處分意見、中國上市公司公告之內部控制自我評價報告，逐一判讀各公司是 否發生內部控制缺失，並以發生於2007年至2011年的事件為樣本，彙總分類各項 違規類型。
根據上述資訊，並參考中國《企業內部控制基本規範》及相關配套指引，
逐一判斷公司內部控制缺失之情況惟一般缺失或是重大缺失，有無違反策略性目 標、營運效率及效果、保障資產安全、財務報導及法令遵循五大目標，有無涉及 控制環境、風險評估、控制活動、資訊溝通、監督五大要素，並輔以COSO報告 及企業風險管理（ERM）整合架構的內容協助判斷，將內部控制缺失所涉及的 目標、要素和缺失類型予以分類。
‧
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
科技未就上述事項履行相關決策程序且未履行臨時揭露義務。在2009年8月31日 發布的《2009年半年度報告》中亦未揭露上述資金佔用事項，且獨立董事在該報 告中發表了：「華東科技報告期內，未有控股股東及其他關聯方佔用上市公司資 金情況」的意見。可看出該公司之董事及獨立董事並未盡到督促及監督企業的公 司治理機制和內部控制制度的責任。
2. 資訊公告
依據《企業內部控制應用指引》規定，企業應當依照法律法規和國家統一的 會計準則制度的規定，及時對外提供財務報告。關於上市公司平時應公告申報之 重大財務業務事項主要規定於：
(1) 《中華人民共和國證券法》第三章證券交易之第三節－持續資訊公開（第63 條至72條）；
(2) 《上市公司資訊揭露管理辦法》為規範發行人、上市公司及其他資訊揭露義 務人的資訊揭露行為、加強資訊揭露事務管理、保護投資者合法權益，根據
《公司法》、《證券法》等法律、行政法規制定之法規。
此分類尚包括財務報導不實及財務預測重大差異，因其均屬向外部資訊使用 者隱瞞真實資訊。此類缺失主要關係公告申報、發布資訊之控制作業及對外部利 害關係人（如消費者、主管機關）溝通要素失效，導致法令遵循目標無法達成。
此類缺失由於個案狀況不相同，本研究依據個案之嚴重程度逐一判斷缺失要 素及涉及目標。
3. 董監及經理人失職
控制環境為內部控制之基礎，如無有效的內部控制環境，則不論其他四項組 成要素之品質如何，均不可能獲致有效的內部控制。控制環境深受董事會及經營 階層認知與態度之影響，上位者若沒有良好的操守與價值觀、以身作則的經營態 度，再完善之制度也很可能流於形式。
本研究蒐集此分類資料大多為公司重大決策未經董事會或股東會同意，例如：
江蘇瓊花高科技股份有限公司（002002）自2006年3月起，江蘇瓊花實際控制人、
原董事長、現任董事于在青利用公司及控股子公司威亨塑膠公章，以公司及威亨
‧ 國
立 政 治 大 學
‧
N a tio na
l C h engchi U ni ve rs it y
塑膠名義違規為其本人、公司控股股東江蘇瓊花集團有限公司等關聯方多次提供 擔保。截至2009年2月3日，於在青以江蘇瓊花及威亨塑膠名義累計違規提供擔保 13,792.5萬元，占公司2008年6月30日經審計淨資產的53.63%。此案件違反決策過 程，顯示董事會無法發揮效用，控制環境、監督要素失效，導致公司策略性目標、
營運效率及效果、保障資產安全、法令遵循目標無法達成。
受影響之內部控制目標：策略性目標、營運效率及效果、保障資產安全、
法令遵循；受影響之內部控制要素：控制環境、監督。
4. 風險管控系統
任何類型的企業，其組織內不同層級皆會遭遇來自於內部或外部的風險，經 營企業本身即是創造風險，然而企業透過風險評估，識別與實現控制目標相關的 風險，確定相應的風險承受度。企業亦應當結合不同發展階段和業務拓展情況，
持續收集與風險變化相關的資訊，進行風險識別和風險分析，及時調整風險應對 策略。
此類型的缺失主要集中在風險管控系統的建立與評估以及各層級人員缺乏 對風險控制的意識，如：天健集團股份有限公司（000090）公司在其2010年內部 控制評價報告中指出：雖然公司設有風險管理部門，但尚未形成完整的風險評估 體系。由於風險評估體系不完整，難以對風險水準得出全面綜合的結論，導致工 程業務持續虧損狀況雖在報告期內得到遏制，但並未停止虧損，表明公司施工業
此類型的缺失主要集中在風險管控系統的建立與評估以及各層級人員缺乏 對風險控制的意識，如：天健集團股份有限公司（000090）公司在其2010年內部 控制評價報告中指出：雖然公司設有風險管理部門，但尚未形成完整的風險評估 體系。由於風險評估體系不完整，難以對風險水準得出全面綜合的結論，導致工 程業務持續虧損狀況雖在報告期內得到遏制，但並未停止虧損，表明公司施工業