作者：@马军生博士

    根据中注协5月14日发表的审计快报第12期，截至2013年4月30日，会计师事务所共为963家上市公司出具了内部控制审计报告，其中，标准内部控制审计报告941份，带强调事项段的无保留意见内部控制审计报告19份，否定意见的内部控制审计报告3份(北大荒（中瑞岳华）、天津磁卡（华寅五洲）、贵糖股份（致同）)，非标意见报告比例为2.28%。另外，创业板上市公司海联讯（代码300277）的《内控鉴证报告》 被天健会计师事务所出具否定意见。

虽然都是由会计师事务所对内控有效性发表意见，但内控鉴证报告与内控审计报告还是有区别的，所以中注协统计的内控审计报告并不包含内控鉴证报告。

 在此拟对这两个概念的差异作个探讨。

明确提出“内部控制审计报告”是在2010年4月五部委发布《内部控制基本规范》的配套指引之后。只有根据《内部控制审计指引》出具的报告才能称为“内部控制审计报告”。该报告鉴证内容较为广泛，除了关注企业整体内部控制、评价是否存在缺陷，重点关注与财务报告相关内控以外，还需要披露所关注到非财务报告内控方面的重大缺陷。（2008年5月发表《内控基本规范》，当时公布的配套意见征求意见稿，使用的“内部控制鉴证指引”，到2010年定稿时改为“内部控制审计指引”）

内控鉴证报告通常是按照《中国注册会计师其他鉴证业务准则第3101号—历史财务信息审计或审阅以外的鉴证业务》执行的（并参照《内部控制审核指导意见》（会协[2002]41号）的规定，仅对财务报表相关的内部控制发表意见，其规定相对较为宽松。

中国的内部控制审计指引是参照美国PCAOB制定的第五号审计准则制定的，与审计准则《中国注册会计师其他鉴证业务准则第3101号》是两个不同体系，审计指引要求注册会计师对财务报告内部控制发表意见,并对注意到的非财务报告内部控制重大缺陷作出披露。

两者审计对象不同，审核指导意见要求注册会计师对“被审核单位管理当局对特定日期与会计报表相关的内部控制有效性的认定进行审核，并发表审核意见。”属于间接报告，即对客户认定的审计报告；内部控制审计指引要求注册会计师对截至日期的财务报告内部控制的有效性发表意见，为直接报告。

内控鉴证业务，允许注册会计师出具保留意见，内控审计报告则没有保留意见，注册会计师只要发现财务报告内部控制重大缺陷就应当对被审计单位财务报告内部控制出具否定意见。

 从注册会计师的鉴证业务来说，通常可分为审计（合理保证）、审核（介于两者之间）、审阅（有限保证）三个层次，其保证程度由高到底，

在中注协的审计准则体系中，财务报表审阅参照《中国注册会计师审阅准则第2101号 ——财务报表审阅》，（财务报表审计和审阅以外）的其他业务主要参照《中国注册会计师其他鉴证业务准则第3101号—历史财务信息审计或审阅以外的鉴证业务》。

《审阅准则第2101号》：“由于实施审阅程序不能提供在财务报表审计中要求的所有证据，审阅业务对所审阅的财务报表不存在重大错报提供有限保证，注册会计师应当以消极方式提出结论。 ”

《其他鉴证业务准则第3101号》:“其他鉴证业务的保证程度分为合理保证和有限保证。

合理保证的其他鉴证业务的目标是注册会计师将鉴证业务风险降至该业务环境下可接受的低水平，以此作为以积极方式提出结论的基础。

有限保证的其他鉴证业务的目标是注册会计师将鉴证业务风险降至该业务环境下可接受的水平，以此作为以消极方式提出结论的基础。”

所以《内控鉴证报告》一般是使用“审核”，而且将公司管理层的认定意见附在后面，例如海联讯的鉴证报告:”我们审核了后附的深圳海联讯科技股份有限公司(以下简称海联讯公司)管理层按照《企业内部控制基本规范》及相关规定对 2012 年 12 月 31 日与财务报表相关的内部控制有效性作出的认定。”

而《内控审计报告》使用的是“审计”，且和内控自评报告是分开披露的。如：“按照企业内部控制指引 我们审计了天津磁卡2012年12月31日的财务报告内部控制有效性。”    
 
       从法规要求来说，五部委颁布的《内控基本规范》，2011年境内外同时上市公司首先执行，2012年起所有主板上市公司都要执行，但2012年下半年，证监会和财政部发布通知，非国有控股上市公司可延迟执行。

《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》指出，为稳步推进主板上市公司有效实施企业内部控制规范体系，防止出现走过场情况，财政部会同证监会决定，分类分批推进实施企业内部控制规范体系。

“所有主板上市公司都应当自2012年起着手开展内控体系建设。”通知要求，中央和地方国有控股上市公司，应于2012年全面实施企业内部控制规范体系，并在披露2012年公司年报的同时，披露董事会对公司内部控制的自我评价报告以及注册会计师出具的财务报告内部控制审计报告。

　　非国有控股主板上市公司，且于2011年12月31日公司总市值在50亿元以上，同时2009年至2011年平均净利润在3000万元以上的，应在披露2013年公司年报的同时，披露董事会对公司内部控制的自我评价报告以及注册会计师出具的财务报告内部控制审计报告。

其他主板上市公司，应在披露2014年公司年报的同时，披露董事会对公司内部控制的自我评价报告以及注册会计师出具的财务报告内部控制审计报告。”

 可见，主板已上市公司今后都要执行《内控基本规范》，披露内控审计报告，而对中小板上市公司和创业板公司，目前还未强制要求执行《内控基本规范》。

 根据《深圳证券交易所中小企业板上市公司规范运作指引》第七章：“7.8.4 上市公司在聘请会计师事务所进行年度审计的同时，应当至少每两年要求会计师事务所对内部控制设计与运行的有效性进行一次审计，出具内部控制审计报告。会计师事务所在内部控制审计报告中，应当对财务报告内部控制的有效性发表审计意见，并披露在内部控制审计过程中注意到的非财务报告内部控制的重大缺陷。本所另有规定的除外。”

《深圳证券交易所创业板上市公司规范运作指引》第七章：“7.7.18 上市公司在聘请会计师事务所进行年度审计的同时，应当至少每两年要求会计师事务所对公司与财务报告相关的内部控制有效性出具一次内部控制鉴证报告。本所另有规定的除外。”

可见，深交所对中小板公司和创业板公司在内控审计方面的规定是有差异的，都是每两年至少审一次，但中小板公司是出内控审计报告，创业板公司是出内控鉴证报告。

对准备上市的IPO公司，可参看证监会相关规定，都是要求出具内控鉴证报告。

《首次公开发行股票并上市管理办法 》（中国证券监督管理委员会令 第32号  2006年）的第二十四条：“发行人的内部控制制度健全且被有效执行，能够合理保证财务报告的可靠性、生产经营的合法性、营运的效率与效果。”；第二十九条：“发行人的内部控制在所有重大方面是有效的，并由注册会计师出具了无保留结论的内部控制鉴证报告”

《首次公开发行股票在创业板上市管理办法》（ 2009年）的第二十一条：“发行人内部控制制度健全且被有效执行，能够合理保证公司财务报告的可靠性、生产经营的合法性、营运的效率与效果，并由注册会计师出具无保留结论的内部控制鉴证报告。” 

引用和致谢：

本文参考了中国会计视野

http://bbs.esnai.com/thread-4729443-1-1.html  chenyiwei和ying0518的部分论述，谢谢！

附：2012年年报，上市公司非标内控审计意见的内控审计报告汇总。

资料来源：中注协网站的审计快报

 另：海联讯（300277）的《内控鉴证报告》，被天健会计师事务所出具否定意见。