已上市公司的内控有效性：持续监管的要求

内控有效性的证明方式很朴素：同样的事，换个人做，结果一样。把容易忘的部分固定成清单，比记在脑子里可靠。

一、规则的出处与效力

把依据按层级排一遍，会发现很多争议不在条文，而在条文没写的那部分。

第一层，法律与行政法规。发行人应建立健全内部控制制度，并由注册会计师出具无保留结论的内部控制鉴证报告。这一层定的是权利与义务的边界，一般不因企业规模或行业而变。

第二层落到部门规章和规范性文件。这一层最实用，因为它写清了动作：内部控制应覆盖公司层面、业务流程层面与信息系统层面。具体到已上市公司，就是对内控缺陷建立整改台账并跟踪运行。

第三层是执行口径。同一份文件，不同主管机关的把握可能不同。申报期内应保持内控制度执行的一致性，不得为申报临时增设审批环节。这家企业同时面临的另一个问题是控股股东质押比例偏高。这类问题，通常就卡在这一层。

申报文件的一致性比完美更重要，两处写得不一样比两处都写得普通更致命。

二、被问到最多的四处

把常见问题逐条答一遍，比讲一遍原理更省时间。

问：需要准备到什么程度才算完整？答：申报期内应保持内控制度执行的一致性，不得为申报临时增设审批环节。判断标准不是资料有多少，而是能不能支撑结论。

问：内控有效性对已上市公司是不是必须执行？答：发行人应建立健全内部控制制度，并由注册会计师出具无保留结论的内部控制鉴证报告。只要业务落入这个范围，就是必须，不存在「规模小可以不执行」的说法。

问：如果已经做错了，怎么处理？答：对内控缺陷建立整改台账并跟踪运行。先固定事实，再评估影响，最后决定是更正还是补充说明。顺序不能反。

问：能不能先按简单的方式处理，以后再改？答：关键岗位长期由同一人担任，无轮岗与监督。先简化再补正，通常要连带调整以前期间，代价高于一次做对。

另一处需要一并考虑的变量是「控股股东质押比例偏高」。这个问题能不能解决，取决于前四个答案有没有落到纸面上。

三、能被复核的材料长什么样

已上市公司的资料通常不缺，缺的是能对上号的那一部分。内控有效性对材料的要求，恰恰在「对上号」这三个字上。

关键岗位长期由同一人担任，无轮岗与监督。这一类问题在复核时最容易被提出来，因为它是「有没有做」和「做得对不对」的分界。

背景上还有一个事实：募集资金变更用途的程序。这个问题如果没有材料支撑，解释起来会非常被动。

四、出错之后代价有多大

内控有效性出问题的地方高度集中，反复出现的就那么几处。

三处的共性是同一个：都不是知识问题，而是执行时省了一步。应重点关注资金管理、采购与付款、销售与收款、存货与成本、关联交易等关键循环。这一步省掉，前面做得再规范也会被追问。

如果只能改一处，改第一处——它通常是最早发生、也最容易补救的那个环节。

五、自查表：逐项过一遍

下面这张表可以直接用。逐项打勾，打不出来的就是缺口。

带★的两项是必查项。第一项决定「做不做」，第五项决定「能不能证明做了」——后者在检查时权重更高。

自查做完，已上市公司通常会发现缺口集中在证据而不是判断上。这其实是好消息：补证据比改判断便宜得多。

六、说到底就这几件事

说到底，这件事只有三个层次需要记住。

第一，规则是确定的。发行人应建立健全内部控制制度，并由注册会计师出具无保留结论的内部控制鉴证报告。这一条不会因为企业大小、行业差异而改变，能改变的只有企业自己的做法。

第二，越早越便宜。对内控缺陷建立整改台账并跟踪运行。晚做的代价不是多花钱，而是少了很多可选的方案。

第三，证据决定结果。按业务循环做穿行测试，留存测试底稿。复核时不看解释，只看能不能对上。

值得留意的是，控股股东质押比例偏高。把这一层考虑进去，前面三句话的落点会更具体。

清单用起来，才知道哪一条该改。如果只做一件事，就先把台账建起来——它是后面所有动作的起点。