安永远东区风险管理咨询服务主管合伙人谢明发表示，新颁发的内部控制配套指引分为评价指引和应用指引，为企业落实建设、实施和评价内部控制体系提出了明确的指引，而审计指引也为会计师事务所对企业内部控制审计提出了专业准则，因此标志着中国内部控制体系的形成。

 

　　中国企业，特别是上市公司的内部控制体系的建设和监管走过了很长的一段路程。2002年财政部就发布了《企业会计内部控制基本规范》，以会计核算为重点提出了内部控制的要求。在2004年美国萨班斯法案出台后，中国在美上市公司经历了海外资本市场合规要求的挑战。而中国的资本市场和监管机构也不断推出内部控制和风险管理方面的合规要求，如上海证券交易所要求部分上市公司在2008年和2009年年报中披露内部自我评估报告。但是，由于缺乏一套完整、全面并被广泛接受的内部控制体系，不同的企业对于内部控制的建设、评价和披露报告也存在一定的差异。

 

　　安永分析了截止到2010年5月6日的上市公司年报中内部控制评估的披露情况。在收集到的对内部控制进行了披露的266家企业中，对于内部控制基本要素的定义不尽相同：按照《企业内部控制基本规范》所规定的内部控制要素的企业占76.7%，而按照其他标准或非标准内控要素披露的占23.3%。

 

　　在内部控制评价范围方面，97%的企业披露了针对全面内部控制的自我评估报告，而9家企业（3%）将内部控制自我评估的范围限定在财务报告内部控制方面。

 

　　企业对于内部控制有效性的结论也采用了不同的语言。55%的企业在自我评估报告中做出了内部控制有效的结论，而45%的企业采用了“基本有效”的提法或未对内部控制是否有效做出结论。

 

　　在注册会计师的内部控制鉴证方面也存在着一定的差异，52%的企业（139家）披露了内部控制鉴证报告，其中130家针对财务报告内部控制进行了鉴证，9家对全面的内部控制进行了鉴证，而仅有102家（73%）给予了明确的内部控制是否有效的鉴证意见。更为重要的是，由于缺乏统一的内部控制审计指引，不同的注册会计师对于内部控制鉴证所依据的相关专业准则各不相同。

 

　　谢明发认为，“这些差异使得上市公司内部控制的报告与披露在很大程度上缺乏可对比性和可参照性。随着企业内部控制配套指引的正式发布，企业在内部控制的建设、评估和报告披露方面有了更清晰的指引和标准。”

 

　　虽然境内外同时上市的公司内部控制报告披露的时间是2011年底，而境内主板上市公司的报告披露时间是2012年底，但是，安永中国风险管理咨询服务合伙人王海瑛强调，目前很多上市公司所面临的挑战是能否在规定时间内完成相关工作，出具一份内部控制有效的报告。

 

　　她解释说，“企业不仅要在内控报告披露前完成内部控制文档的建设工作，而且还要完成内部控制缺陷，并留出足够的时间进行内部控制运行有效性的自我评估和审计师测试工作。”

 

　　王海瑛进一步表示，根据安永对美国公司就萨班斯法案遵循情况的调研，即便是非常成熟的大型美国公司也需要一年到两年的准备时间。而中国内部控制基本规范的适用范围已经超出了萨班斯法案所要求的财务报告内部控制范围，涵盖战略、运营、合法合规及战略实现等内容。因此，中国上市公司需要充分认识到内部控制工作的挑战。

 

　　根据安永在国内外为众多企业提供内部控制咨询和审计服务的经验，王海瑛提出中国企业需要从三个方面来应对内部控制工作所带来的挑战与机遇：（一）立即开展内部控制体系建设的整体规划工作，明确时间表；（二）在企业内部强调内部控制建设工作的重要性，确定内部控制工作的团队，必要时引入专业人员予以协助；及（三）充分考虑企业内部控制体系与现有管理体系的对接，实现成本效益相结合。

 

　　《企业内部控制基本规范》在对企业提出挑战的同时，也为企业在加强管理和提升管控水平等方面带来了政善机遇。王海瑛指出，很多企业开展内控工作最初只是为了合规，但最后发现最大的回报不是在合规本身，而是通过对内部控制的梳理，加强了企业管控力度，推进了流程的标准化以及提高了企业管理者的信心。