§§§第一节内部控制信息披露的基本概念
一、内部控制信息的性质
财务报告仅仅是信息使用者的信息源之一，会计界正在努力以扩大信息披露的范围来提升竞争优势，内部控制信息就是财务会计发展到一定阶段的产物。
（一）内部控制信息是一种非财务信息
财务信息是指那些符合可定义性、可计量性、相关性和可靠性的，能够通过确认、计量、记录和报告程序进入财务报表的信息，以及附注中的解释说明和由财务报表扩展而来的信息。非财务信息是指与财务信息相对应的，与企业生产经营活动相关的，与投资者等利益集团相关的，不受公认会计原则约束的信息。1997年，澳大利亚特许会计师协会在其发表的一份题为《报告非财务信息》的研究成果中指出，广义的非财务信息是指除财务报表和相关附注以外的所有信息，包括叙述性信息和量化的非财务信息。Meek（1995）认为，非财务信息主要包括公司背景、生产运作与公司治理等方面的信息。
李连华指出，内部控制是一门以制度建设为主要内容、以制度实施为管理手段的管理学科；而会计学则是一门以计量为主要特征的管理学科李连华.内部控制学［M］.厦门：厦门大学出版社，2007：27.。财务报告信息经过初次确认进入账簿，经过再次确认进入报表，很自然地形成严谨的信息逻辑体系。在正常情况下，其质量之高应当是其他任何信息所无法比拟的。但是，即便经过两次确认，财务报告信息仍可能产生盈余管理和利润平滑等问题。相比之下，内部控制信息是一种非财务信息，无法用货币单位进行计量。其信息质量受诸多因素的影响，致使投资者等信息使用者对其产生质疑，独立董事与注册会计师的意见在一定程度上可以增加内部控制信息的可靠性。但是，即便经过两次审核，内部控制信息仍可能产生不披露、选择性披露与虚假披露等问题。
此外，信息又可分为硬性信息与软性信息。所谓硬性信息，是指能够直接反映公司的财务状况和经营业绩的会计信息。所谓软性信息，是指不直接反映公司的财务状况和经营业绩，但直接反映公司管理层的管理质量和业务素质等方面的信息。从这一角度看，内部控制信息就属于软性信息。
（二）内部控制信息与财务报告信息的联系
打个比方，一堆凌乱的石头，只是物质，没有信息。但是，如果有人将这堆石头摆成了一幅画，那它就蕴含了信息。一堆财务数据，只能告诉你当前的财务状况或者已经取得的财务成果，没有告诉你“为什么会是这样”。但是，如果有人将这堆数据附上背景和过程，那它就蕴含了更加丰富的信息。
财务报告信息是历史信息，而内部控制信息具有历史性和前瞻性双重导向。历史性侧重于公司经营状况的阶段性总结，前瞻性集中在公司战略目标的制定与期待。在理论研究和实践观察的基础上，审计人员最终相信，内部控制与财务报告信息的可靠性之间存在着必然的联系李连华.内部控制学［M］.厦门：厦门大学出版社，2007：29.。内部控制信息披露可以提高财务报告的可靠性，在一定程度上减少舞弊的发生，从而降低审计成本；投资者可以通过分析公司披露的内部控制信息，判断其经营管理状况和财务报告是否可靠，以便做出正确的决策；上市公司也可以通过内部控制信息披露来加强自身管理。章永奎（2004）认为，表外披露信息目前已远远突破“补充和说明的作用”，呈现出与表内信息并驾齐驱的趋势，而表外披露的侧重点在于反映企业价值创造过程和风险情况。Kaplan和Norton在对平衡记分卡的论述中也提到，非财务信息是财务信息的先导，是阐述财务成果形成过程的信息，包括组织的学习与成长、经营与生产效率、顾客价值等信息。这样，内部控制信息是财务报表结果的本源，它能更加深入地反映公司的经营状况和运营能力。不同的是，财务报告信息是由会计人员编制，管理当局对其负责；内部控制信息则是由管理当局编制并对其负责。这就使得内部控制的设计、执行与信息披露均不再隶属于会计部门。对于内部控制信息披露与财务报告信息披露的结合，COSO报告给出了一个例子：一家化学药品制造企业必须应对大大超过一家典型的服务类公司所面临的环境风险，并且必须在它的财务报表披露中考虑废物处理问题除非特别注明，COSO报告仅指COSO1992报告。。
二、内部控制信息披露的涵义
COSO报告将“内部控制”定义为：一个由主体的董事会、管理层和其他人员实施的，旨在为实现经营的有效性和效率、财务报告的可靠性、符合适用的法律和法规等提供合理保证的过程需要指出的是，内部控制和内部控制制度二者之间是存在严格区别的。上市公司的内部控制是以内部控制制度为隐含前提的一个动态过程，而内部控制制度则更多是以一种静态的方式出现，是内部控制设计的起点和活动框架，而非内部控制本身。换句话说，内部控制制度是一种规则，旨在为内部控制主体（施控者）和内部控制客体（受控者）之间的交易提供一套行为规范，所以是静态的。内部控制可以看做一个动词——采取的行动或者控制的过程；内部控制也可以看做一个名词——取得的结果或者达到的状态。。与内部控制的概念相比，内部控制信息披露的概念出现较晚。内部控制信息披露的雏形可追溯到1978年Cohen委员会报告刘金星.从理论演进视角谈我国企业内部控制的改进［J］.商业时代，2009，（12）：40.。Cohen委员会建议，公司管理层在提交财务报表的同时，提交一份披露公司内部控制状况的报告以及审计师针对“管理层报告”的报告。COSO报告对“管理层内部控制报告”进行了界定，认为它是管理当局依据内部控制有效性的评价标准，对企业的内部控制设计和执行的有效性进行评估后将结果提供给外部使用者的报告。在此基础上，本著认为，内部控制信息披露是指上市公司管理当局通过一定的媒介向外部投资人和其他利益关系人发表或发布公司内部控制设计、执行和评价情况的信息，是上市公司内部控制体系中的一项重要内容。内部控制信息是公司报告的组成部分，如图2-1所示参考了American Institute of Certified Public Accountants （AICPA）.The Commission on Auditors" Responsibilities，Report，Conclusions，and Recommendations ［R］.1978：5. 在笔者《财务报告质量保障机制研究——内部控制及其信息披露视角》一书的基础上有所修正。。目前，美国和我国台湾地区均要求上市公司在年度报告中单独披露内部控制报告。而在我国大陆，大多数上市公司以附件形式单独披露“内部控制自我评价报告”，还有些公司在“公司治理结构”中合并披露“内部控制自我评价报告”，更有些公司同时进行了单独披露与合并披露。
三、内部控制信息披露的本质
本质和职能是一个事物的两个方面，本质是事物内在的东西，职能是本质外在的体现本著未特别指明职能，恐与会计的反映与控制职能相抵触，而将职能问题归入本质一并论述。。本质也好、职能也罢都是事物固有的，而作用则或多或少地受到外部环境和主观努力的影响，可能是促进作用，也可能是阻碍作用。刘峰等（2003）认为，多种力量的较量，使得信息披露成为一个夹在上市公司与委托人之间、维护各自利益的一种工具。杨世忠认为，会计信息既是利益相关者了解企业经营和财务状况以及财产物资增减变动情况的依据，也是利益相关者对企业经营过程加以监督和控制的手段。因此，会计信息的本质就是利益相关者知情权和话语权的体现杨世忠.企业会计信息供需博弈关系分析［J］.会计研究，2007，（4）：34.。内部控制信息披露何尝不是这样呢？在本质上，内部控制信息披露是公司管理层向投资者等利益相关者提供信息的一种工具“利益相关者”的概念是1963年斯坦福研究所最先提出的，之后，众多学者都对其进行了定义。其中，Mitchell、Agle和Wood等人将这些定义又归纳为三个层次：第一层次，泛指所有受公司经营活动影响或者影响公司经营活动的自然人或社会团体；第二层次，专指那些与公司有直接关系的自然人或社会团体；第三层次，特指与公司利益紧密相关（也就是对公司下了“赌注”）的自然人或社会团体。。换言之，它是一个信息系统，与会计信息呈报殊途同归20世纪著名会计学家利特尔顿（A.C.Littletom）认为：“会计一直主要是为企业管理服务的工具。会计的显著目的在于对一个企业的经济活动提供某种有意义的信息。”1966年美国会计学会（AAA）在其年会报告中指出：“在本质上，会计是一个信息系统。更准确地说，会计是一般信息理论在高效率经济营运问题上的应用。”在我国，葛家澍、刘峰等学者也认为，会计是一个经济信息系统，它运用专门的技术和方法，将一个经济主体（具体地说，就是各个公司、企业、单位等等）的经济活动，通过货币方式简明、扼要地加以表述，为那些关心各经济主体利益的人或集团做出合理的经济决策服务。同理，内部控制信息披露作为一个人造系统，也必然要体现其价值取向，即后面要探讨的保护投资者利益。。
所谓信息系统，是指对数据的收集、处理、存储、检索和传递的单元。会计就是这样一个单元，企业管理层通过财务报告（这是一个收集、处理、存储、检索和传递信息的过程）等形式向投资者、债权人以及其他信息使用者揭示企业的财务状况、经营成果和现金流量等信息。葛家澍、李翔华从会计的实践活动出发，论证了会计是一个经济信息系统葛家澍，李翔华.论会计是一个经济信息系统［J］.财经研究，1986，（10）：3～7.。裘宗舜从信息方法入手，把会计（或簿记）看作一个信息流通过程。会计信息流通过程，用系统的观念来理解，就是会计信息系统裘宗舜.财务会计基础理论［M］.大连：东北财经大学出版，2009：11.。内部控制信息披露也是这样一个单元，上市公司管理当局通过一定的媒介向外部投资人和其他利益关系人，发表或发布公司内部控制设计、执行和评价情况的信息（这也是一个收集、处理、存储、检索和传递信息的过程）。内部控制信息披露本质的界定解决了两个最基本的问题：谁是内部控制信息的（主要）使用者？他们需要哪些内部控制信息？对于第一个问题，我们将在第二、三章进行阐述；而对于第二个问题，我们将在第五章展开论证。
四、内部控制信息披露的作用
由内部控制信息披露的本质可知，其作用主要体现在以下几个方面：第一，内部控制信息披露能够帮助上市公司管理当局解除受托责任，加大其对内部控制的责任感，在一定程度上减少注册会计师的工作量。第二，内部控制信息披露能够促使上市公司向市场传递有效信息，讨论公司如何通过内部控制保护资源，达到战略目标。换句话说，内部控制信息披露是企业展示自我的方式之一。第三，内部控制信息披露能够保护投资者的知情权，投资者可以利用内部控制信息将所投资的公司与行业内其他企业进行比较，管理层也可以此证明他们的公司是属于投资者适宜投资的那类企业。从某种意义上讲，年报是有助于股东决定是否继续持有、增持或出售股票的一种评价工具，而披露内部控制信息的效果则促使投资者趋向持有和增持。正如Root所说的，这样的报告可以把公司和竞争者区分开来，从而可以吸引股东和潜在股东的投资。对于没有类似优势的公司来说，内部控制报告可以激发企业把内部控制提高到更有竞争力的水平Stephen J. Root.超越COSO：加强公司治理的内部控制［M］.付涛，卢远瞩，黄翠竹译.北京：清华大学出版社，2004：15.。
§§§第二节内部控制信息披露的理论基础
一、多重委托代理理论
内部控制信息立足于受托责任观，受托责任观有一个前提条件，即明确的委托代理关系。代理理论将复杂的层级组织简化为“契约”，而契约的本质就是信息。信息披露是缓解代理人和委托人之间矛盾的方式之一，同时也是委托人监督代理人的手段之一。Watts指出，最终传递给投资者的、已审计的财务报告体现着契约关系的平衡Watts.Corporate Financial Statements：A Product of The Market and Political Process［J］. Australian Journal of Management，1977（2）.。Mahoney认为，信息披露系统应视为代理成本模型下监控上市公司有效运作的一种方式32。Rogier Deumes（2000）认为，内部控制信息披露能使委托人更全面地了解企业的运营状况，更好地监督代理人，当代理成本较高时，企业倾向于披露较为详尽的内部控制信息。所以，从更深层次上讲，上市公司内部控制信息披露是一个涉及投资者、政府、规制机构（政府监管部门）、中介机构（社会监管部门）、上市公司及其内部成员之间有关各方的多重委托代理问题。
（一）投资者与政府/规制机构之间的委托代理
随着资本市场的逐步完善，投资者日臻成熟，他们“真正”需要对决策有用的会计信息，而这些信息的可靠性又需要内部控制信息来印证内部控制的目标之一就是合理保证公司报告尤其是财务报告的可靠性。。投资者需要内部控制信息，就会要求政府/规制机构立法，通过法律解决这一需求。同时，投资者需要高质量的内部控制信息，就会要求政府/规制机构有效执法，通过监管手段进行威慑。这时，投资者是委托人，政府/规制机构是代理人，政府的主要资源就是强制力，维系他们之间委托代理关系的桥梁是对内部控制信息的强制性披露和信息披露情况的监管，进而反映出投资者与政府/规制机构之间受托责任的履行情况。一句话，借助于管制之手，内部控制信息将从私人信息转化为公共信息。
（二）政府/规制机构与上市公司（被规制企业）之间的委托代理