作為準備進入證券市場的擬上市企業，成為上市公司前后最大的區別是規范性，包括公司治理結構、生產經營、財務管理、內部控制、信息披露等，因為企業上市后必須要在陽光下經營，置公司行為于大庭廣眾之下，接受證劵機構的監管和其他各方的監督，規范運作成為強制性的要求。在企業上市過程中，規范性是上市審核的重點問題之一，尤其是財務規范性，是擬上市企業成否順利邁入證券市場大門的“入場券”。

企業上市前，財務不規范的情形往往具有普遍性，而中小板、創業板等處于成長階段的企業，不規范程度可能更為突出。企業財務不規范，既有主觀方面的原因，也有客觀因素影響。主觀原因包括：具有強烈的避稅意愿，對規范經營的重要性認識不足、管理及內部控制意識薄弱等。客觀因素主要包括：企業在創業初期資金實力較為薄弱，生存環境惡劣、財務人員素質較低等。

不論是經營不規范，還是財務不規范，以及二者綜合反映的原始財務報表與申報財務報表的差異情況，“罪魁禍首”是企業內部控制存在缺陷。會計審計準則、企業內部控制、政府監督，是促進資本市場健康發展的三大支柱。可見財務會計問題在企業上市過程中的重要性，三大支柱中兩大支柱為財務問題。在美國注冊會計師協會成立 50 周年之際，羅斯福總統曾經發去賀電說：“會計工作是世界上最受信賴、最重要的工作之一。有效的會計（內部控制）制度， 能夠發現一個企業的弊端，可以為投資者節省巨額美元，它甚至能挽救一個企業。”

證券市場對上市公司內部控制向來十分重視，尤其是自從安然事件后，美國出臺《2002 年公眾公司會計改革和投資者保護法案》，又稱“薩班斯法案”，即 SOX 法案，其中 404 條款提出了近乎苛刻的規定：在美上市企業，要建立內部控制體系，其中包括控制環境、風險評估、控制活動、信息溝通以及監督 5 個部分。內部控制活動的記錄不僅要細化到像產品付款時間這樣的細節，而且對重大缺陷都要予以披露。它明確規定了管理層應承擔設立和維持一個應有的內部控制結構的職責，要求公司年報中包括一份“內部控制報告”，該報告要明確指出公司管理層對建立和保持一套完整的、與財務報告相關的內部控制系統和程序所負有的責任，并要包含管理層在財務年度期末，對公司財務報告相關內部控制體系及程序的有效性的評估。一方面， 很多公司要建立新的控制、形成文件并向審計人員證實，而這些工作在以往并不全是必需的； 另一方面，很多以前可以自行完成的事務，不得不由外部的專業人士來進行（一般是聘用咨詢師），或者雇用新的員工，如修訂審計委員會章程、形成新檔案的工作、修改財務披露的方法和指引等。

404 條款涵蓋企業運營的各個領域，一旦投入實施，必將引起整個企業控管流程的改變。《薩班斯法案》的實施將導致審計及咨詢成本的增加。404 條款要求發行人必須編制年度內部控制報告，內部控制報告必須要指明公司管理層建立和維護內部控制系統及相應控制程序充分有效的責任，和包括發行人管理層最近財政年度末對內部控制體系及控制程序有效性的評價。擔任公司年報審計的會計公司應當對其進行測試和評價，并出具評價報告。

我國對上市公司內部控制的要求起步于 2000 年前后，最初是從銀行、證券等金融類上市公司提出應當加強內部控制建設，開展自我評估，出具評價報告。2002 年中國注冊會計師協會出臺《內部控制審核指導意見》，上市公司的自評報告逐步納入注冊會計師的審核范圍，以增強企業內控自評報告的可信度。2006 年證券市場 IPO 重啟后，《首發辦法》規定：“發行人內部控制制度健全且被有效執行，能夠合理保證公司財務報告的可靠性、生產經營的合法性、營運的效率與效果，并由注冊會計師出具無保留結論的內部控制鑒證報告”。這意義著擬上市企業內部控制存在重要缺陷將不符合發行上市條件。

能正確進行會計處理。“綠大地”IPO 及上市后的財務造假案中，總指揮為董事長何學葵、策劃并執行者財務總監將凱西為何學葵親信、負責資金調度的出納主管趙海麗為何學葵親戚、負責偽造合同的客戶部負責人趙海艷為趙海麗姐姐，共同導演了一出企業上市的欺詐大案。這樣的內部環境，根本無法確保財務報告的可靠性。

三是內部控制執行力較弱。內部控制側重于執行的有效性，雖然多數企業建立了相當多的 內控制度，包括資金活動、采購業務、資產管理、銷售業務、研究與開發、工程項目、擔保業務、業務外包、財務報告等，但很多規定是用于“應付”（上市），而不是真正用于“應用”， 內控執行流于形式比較嚴重，不能有效實現內控目標。例如，《內部控制應用指引》明確規定： 企業合同簽署管理應當履行相應的決策程序，要對合同對方主體資格、合同內容是否存在重大 疏漏和欺詐進行研判，對于影響重大、涉及較高專業技術或法律關系復雜的合同，應當組織法律、技術、財會等專業人員參與談判，必要時可聘請外部專業人員參與相關工作，以防止企業合法權益受到侵害。2011 年 8 月 17 日，發審委在審核青島亨達股份有限公司首發上市申請材 料時，因該公司存在以下情形而未能通過上市審核：公司的內部控制制度存在缺陷或者未能得 到有效執行，例如公司在申報期存在未簽署《房屋買賣合同》即向自然人預付購房款的情形。截至 2011 年 6 月底，該公司向自然人所購房產全部處于出租狀態，公司尚未取得房產租賃人放棄在同等條件下優先購買所租房產的書面聲明。公司能否取得該等房產的權屬存在不確定性， 該等情形將可能導致公司的經營計劃調整。

中國人處事善于“變通”，內部控制的嚴格要求，可能會因為“變通”而走樣，甚至面目全非。 因此，內控執行力問題或許是中國多數企業的共性，《內部控制基本規范》能否順利推行，還需要拭目以待。但無論如何，作為中國優秀企業代表的（擬）上市公司群體，應當為其他更多的企業做出表率，真正將內部控制作為促進企業經營管理上水平的有力武器。

四是內部控制手段較落后。制定合理的內部控制制度，是提高內控有效性的重要手段，如利用計算機和通信技術，對內部控制進行集成、轉化和提升所形成的信息化管理平臺，通過信息系統強化內部控制，有利于減少人為因素，提高控制的效率和效果。但這需要支付較高的成本，如大型美國公司僅在第一年建立內部控制系統的平均成本就高達 430 萬美元，美國通用電氣公司為達成 404 條款而完善內部控制系統的花費為 3000 萬美元。我國企業規模小，投入不夠，也有的企業也不愿意投入，使得內部控制的實施手段較為落后，擬上市的中小企業，建立ERP 系統的屈指可數。

內部控制是防范企業財務報告錯誤和舞弊行為的第一道防線，也是保證企業財務報告真實、完整的內在機制。監管機構在審核企業上市時，日益關注企業的內控是否存在缺陷。比如，以下情形通常會被認為內控薄弱，上市審核存在較大的風險：

1、重大的會計問題處理不當，將被認為與財務報告相關的內部控制存在重大缺陷。例如， 千禧之星珠寶珠寶股份有限公司在招股說明書（申報稿）中詳細披露了加盟店管理的各項內容，并認為“經過多年發展，針對自營店和加盟店制定了一系列的制度和流程，并在實際管理中嚴格執行”。該公司和保薦機構在反饋意見回復中對申報期的收入構成進行了調整，將前次申報材料中的部分加盟店收入調整至批發收入。其中，2008 年至2010 年的加盟店收入分別調減2.45億元、2.24 億元和 2.59 億元，相應金額調整至批發收入。該公司和保薦機構解釋原因時稱， 系部分加盟店未使用公司品牌開展經營或者同時經營其他品牌。發審委認為上述重大調整和解釋說明導致無法判斷該公司加盟店的內部控制制度在報告期內是否得以有效執行。

2、原始財務報表與申報財務報表差異反映營業收入、凈利潤及其他重要項目差異較大，，無論是何理由，均反映出企業財務基礎工作較差，財務報告的可靠性存在問題。

3、現金確認收入的內部控制是審核重點。大量采用現金結算的行業，如農業、餐飲業、服務業等，現金管理、收入確認相關的內部控制非常重要，主要對于收入及成本確認的完整性難以判斷，容易操縱業績，如果無法解釋財務指標的異常波動，可能會被認定為內控有缺陷。因此，對于現金結算較大的擬上市企業，在不影響客戶關系和業務發展的情況下，盡可能改變結算方式。

4、非法票據融資等違規行為也可能被定義為內部控制薄弱。內控制度要求企業必須合規經營，申報期間內存在《首發辦法》中明令禁止的違反相關法規的行為，從另一視角看是控制失效。

5、違反安全生產、環境保護等非財務方面的內控也可能失去上市機會。例如，安徽廣信農化股份有限公司在 2010 年 1 月 9 日，公司甲基硫菌靈車間反應釜發生底閥堵料故障，因處置不當導致 3 名人員死亡；安徽省環保廳出具的《污染環境問題調查處理情況》中提到公司的東川嶺、蔡家山廠區曾不同程度存在環境管理制度不完善、衛生防護距離內尚有部分居民未搬離等環境問題。因此，在 11 月 2 日上市審核中被認定為“無法判斷公司在安全生產管理和環境保護方面的內部控制制度是否健全并且有效執行”遭到否決。

6、其他內控問題。如關聯交易的決策程序不規范，超過規定金額的關聯交易未履行獨立董事、董事會或股東大會等決策程序。

既然內部控制對于擬上市企業而言如此重要，那就必須真抓實干，將內控的建設和執行落到實處。擬上市企業貫徹實施內控制度，應當樹立正確的內控觀：

1、內控有何作用？內控的目標是合理保證企業經營管理合法合規、資產安全、財務報告及相關信息真實完整，提高經營效率和效果，促進企業實現發展戰略。即是一種有利于企業發展壯大的制度安排，并非捆住企業手腳的“鎖鏈”。

2、誰需要內控？這存在較大爭議，內控的責任主體首先是治理層還是管理層？作為上市公司而言，應當是股東需要內部控制，而董事會是股東的代言人，因此首先是董事會需要內部控制。但是，由于董事會人數有限，他需要將責任進行分解，分解到經理層，經理層進一步將內部內控責任分解到各部門。因此，內部控制實際上是責任（權利）分解的過程，企業的每個員工都是內控的一個環節。在這個過程中，如果能夠將責任和權利對等起來，是完美的，如果將責權利掛鉤則更加完美。缺乏內控，責權利不對等，內部控制執行力就差。內控應當是擬上市公司“我自己要做，并不是監管機構強迫才做，會計師事務所審計時說什么并不重要”，要把內部控制當做擬上市企業的“家規、家法”。

3、內控從誰做起？內控從領導做起，從頂層做起，尤其是首先從“一把手”做起。內部控制最核心的是控制“人”，就是對人的不信任，那么控制哪些人？內部控制一定要強調公司董事會被控制，首先是董事會成員被控，尤其是“一把手”要被控，否則內部控制很難執行， 因為大家都不想被控制。

4、內控與日常管理的關系？內部控制不能代替內部管理，內控是讓管理更加有效，內控應當嵌入管理制度，確保管理暢通無阻地執行。內控應當成為管理的“抓手”。

5、內控與風險管理的關系？風險管理是內部控制的延伸，內控是風險管理的基礎。不能把兩者看成是兩個東西。現在的內控并非局限于財務方面，而是以全面風險管理為導向的內控， 因此不局限于與財務相關。

擬上市企業內控是否有效，必須要經過注冊會計師的審計。只有注冊會計師出具了標準無保留意見的內控審計報告，才能提出上市申請。《企業內部控制基本規范》、《企業內部控制審計指引》和《企業內部控制審計指引實施意見》等企業內部控制制度，確立了我國企業內部控制審計制度，要求執行內部控制規范體系的企業，必須聘請會計師事務所對其財務報告內部控制有效性進行審計。注冊會計師對企業內部控制有效性進行客觀、獨立的鑒證，不僅能夠監督、推動企業將內部控制規范落到實處，促進企業加強內部控制規范建設，提升財務報告風險防范能力，同時也能夠進一步提升企業信息披露的透明度，增強投資者對企業財務信息可靠性的信心，對保護投資者權益和社會公眾利益具有重要作用。擬上市企業雖然暫時不全面實施內控制度及審計，但這僅是時間問題。

內控審計，也對注冊會計師提出了新的挑戰。對于注冊會計師而言，這是一項新的法定業務。內控審計是獨立于財務審計的業務，既存在聯系，也存在顯著的區別。內部控制審計和財務報告審計的聯系，主要體現在以下五個方面：

一是兩者的最終目的一致，雖然二者各有側重，但最終目的均為提高財務信息質量，提高財務報告的可靠性，為利益相關者提供高質量的信息。

二是兩者都采取風險導向審計模式，注冊會計師首先實施風險評估程序，識別和評估重大缺陷（或錯報）存在的風險。在此基礎上，有針對性地采取應對措施，實施相應的審計程序。

三是兩者都要了解和測試內部控制，并且對內部控制有效性的定義和評價方法相同，都可能用到詢問、檢查、觀察、穿行測試、重新執行等方法和程序。

四是兩者均要識別重點賬戶、重要交易類別等重點審計領域。注冊會計師在財務報告審計中，需要評價這些重點賬戶和重要交易類別是否存在重大錯報；在內部控制審計中，需要評價這些賬戶和交易是否被內部控制所覆蓋。

五是兩者確定的重要性水平相同。注冊會計師在財務報告審計中確定重要性水平，旨在檢查財務報告中是否存在重大錯報；在財務報告內部控制審計中確定重要性水平，旨在檢查財務報告內部控制是否存在重大缺陷。由于審計對象、判斷標準相同，因此二者在審計中確定的重要性水平亦相同。

雖然內控審計與財務報告審計存在著多方面的聯系，但財務報告審計是為了提高財務報告的可信賴程度，重在審計“結果”；而內部控制審計是對保證企業財務報告質量的內在機制的審計，重在審計“過程”。審計對象、重點等的不同，使得二者存在實質性差異，內部控制審計獨立于財務報告審計。二者差異主要體現在五個方面：

首先，對內部控制了解和測試的目的不同。注冊會計師在財務報告審計中評價內部控制的目的，是為了判斷是否可以相應減少實質性程序的工作量，以及支持財務報告的審計意見類型； 在內部控制審計中評價內部控制的目的，則是為了對內部控制本身的有效性發表審計意見。

第二，內部控制測試范圍存在區別。注冊會計師在財務報告審計中，根據成本效益原則可能采取不同的審計策略，對于某些審計領域，可以繞過內部控制測試程序進行審計。而在內部控制審計中，注冊會計師則不能繞過內部控制測試程序進行審計，注冊會計師應當針對每一審計領域獲取控制有效性的證據，以便對內部控制整體的有效性發表意見。

第三，內部控制測試結果所要達到的可靠程度不完全相同。在財務報告審計中，對控制測試的可靠性要求相對較低，注冊會計師測試的樣本量也有一定的彈性。在內部控制審計中，注冊會計師則需要獲取內部控制有效性的高度保證，因此對控制測試的可靠性要求較嚴，樣本量選擇相對彈性較小。

第四，兩者對控制缺陷的評價要求不同。在財務報告審計中，注冊會計師僅需將審計過程中識別出的內部控制缺陷區分為值得關注的內部控制缺陷和一般缺陷。而在內部控制審計中， 注冊會計師需要對內部控制缺陷進行嚴格的評估，將值得關注的內部控制缺陷進一步區分為重大缺陷和重要缺陷。重大缺陷將影響到審計意見的類型。

第五，審計報告的內容不同。在財務報告審計中，注冊會計師一般不對外報告內部控制的情況，除非內部控制影響到對財務報告發表的審計意見。在內部控制審計中，注冊會計師應報告內部控制的有效性。

從以上五個方面可以看出，兩者差異主要是具體目標、保證程度、評價要求、報告類型等屬性上的實質性差異，這些決定了內部控制審計獨立于財務報告審計。但在技術層面和實務工作中，兩者審計模式、程序、方法等存在著相同之處，風險識別、評估、應對等大量工作內容相近，有很多的基礎工作可以共享，在一項審計中發現的問題還可以為另一項審計提供線索和思路。因此，這兩項審計工作完全可以整合進行，而由同一家事務所進行整合審計，不僅有利于提高審計效果和效率，降低審計成本，減少重復勞動，而且可以避免審計判斷出現不一致的情形，降低企業聘請不同事務所實施審計的負擔。

目前，美國《薩班斯—奧克斯利法案》和日本《金融商品交易法》均要求由出具財務報告審計報告的會計師事務所對企業財務報告內部控制進行審計，將企業內部控制審計定位在整合審計。美國的一項調查也顯示，企業執行《薩班斯—奧克斯利法案》404 條款第二年的成本比第一年下降 46%，將兩項審計工作更好地整合起來則是其中的一個主要原因。為此，我國《企業內部控制審計指引》也提倡將二者整合進行。