年度报告工作的通知(上市部函[2009]088号)》等均对上市公司内部控制信息披露进行了相关规范。
一、我国医药制造业企业内部控制信息披露的行业背景
Chee W. Chow(1987)研究认为，内部控制信息披露受到公司所在行业的影响。钱静(2007)指出，我国医药行业的高额租金一直是药价虚高的原因之一。Stephen和Steven（2005）通过分析《萨班斯——奥克斯利法案》（Sarbanes-Oxley Act），得出那些有实质性内部控制缺陷的公司其平均规模和业绩与他们所在行业应有的水平不匹配。林钟高、郑军(2009) 通过对2004—2006年沪深两市房地产业、医药行业及水电煤气业上市公司的内部控制情况研究发现，目前我国处于垄断行业和特殊行业的上市公司未按照指引和财政部的征求意见稿的相关要求来披露内部控制信息。
医药制造业企业生产特殊商品（药品、医疗器械、化学制剂、玻璃器皿等）、维护人类生命健康、关注生态环境等，商品种类繁多、业务量大、时效性强、销售模式特殊、国家管制较多、风险大。但是，医药行业监督审批存在漏洞、监管不利、药品质量下降、药价虚高、商业贿赂、环境污染等严重损害了广大人民群众的身心健康和经济利益。作为特殊行业，医药制造业的利润增长率一直远高于全国主要行业利润增长率，企业景气指数也远高于各行业平均值，引发了社会不公，因此，亟需解决特殊行业最终消费者的知情权和话语权。由于医药制造业企业生产经营的特殊性和复杂性，决定了该行业内控信息披露呈现出鲜明的行业特点，文章基于该行业进行研究。
二、医药制造业上市公司内部控制信息披露现状分析
文章基于《企业内部控制基本规范》实施前后两年——2008年和2009年的沪、深全部医药制造业上市公司年报及招股说明书，采用描述性统计方法进行分析。剔除年报缺失的公司后，2008年全部样本数71家，2009年全部样本数72家（包括ST、*ST或S*ST公司）。数据均来源于巨潮资讯网(.cn)和上市公司资讯网(http://yjkb.cnlist.com)。
（一）披露的总体情况
本文将内控信息披露分为五个层次：详细披露是指公司出具内部控制自评报告，并且披露的形式、内容、格式和程度完全按照沪深指引的规定执行；良好披露是指出具内部控制自评报告或者按照沪深指引的模块在公司治理结构中披露内控信息，但是，其披露的内容和程度稍差于详细披露；简单披露是指上市公司只简单说明公司建立、健全内控情况；无实质内容是指上市公司在披露内控信息时泛泛而谈，没有实质性内容；未披露是指上市公司在年报中未提及内部控制情况，也没有出具内控自评报告。沪深2008年和2009年全部制药企业内部控制信息披露总体情况如表1所示。
从表1可以看出，2008年我国制药企业内控信息披露不理想。沪、深两市《指引》等关于内控信息披露的规定并未得到有效执行。在71家公司中，良好披露和详细披露的公司占42%，其余近58%的公司披露不理想，如红日药业，甚至于有两家公司（ST 四 环，股票代码：SZ000605；华神集团，股票代码：SZ000790）在年报中只字未提其内部控制情况。2009年是“上市公司治理整改年”，接近78%的公司内部控制信息得到了详细披露或者良好披露，只有22%左右的公司简单披露或者披露内控信息时没有实质性内容。从披露的总体情况来看，2009年，《基本规范》得到了相对有效的执行，制药业上市公司内控信息披露得到了明显改善。
（二）信息披露的主体（见表2）
从2008年披露的信息来看，我国医药制造业企业有近92%的公司由董事会和管理层进行内控信息披露，而由审计委员会以及其他机构进行披露的公司很少。而从2009年年报可以看出，由董事会以及审计委员会或者审计部进行内控信息披露的公司显著增加，说明2009年7月1日开始实施的《企业内部控制基本规范》关于董事会、监事会以及经理层职责的规定开始在上市公司中得到有效的实施。
（三）信息披露的载体
从表3来看，2008年只有29家（40.85%）公司以附件形式提供了某种程度的内部控制自我评估报告，42家（59.15%）上市公司没有提供内部控制自评报告，只是在其年报的公司治理结构部分披露内部控制的建立、健全情况；2009年提供内部控制自我评估报告的公司比例虽然有所提高，但是改善不明显，说明我国医药制造业企业提供内部控制自评报告的动力不足，亟需改善。
（四）内部控制的鉴证情况
从表4可以看出，在2008年年报中，我国只有35.21%的医药制造业公司的内部控制信息披露经过注册会计师、监事会和独立董事或者保荐机构的鉴证，这些机构对于上市公司“是否建立完善的内部控制制度”发表核实评价意见。此外，还有46家（64.79%）上市公司内部控制信息披露未经任何形式的鉴证。2009年，内部控制信息披露未经任何鉴证的公司比例数降低到52.78%，比2008年有所改善，但是，从数据来看，依然有半数以上的公司内部控制没有经过任何形式的鉴证，其内部控制自评结论的可信性值得怀疑。
三、医药制造业上市公司内部控制披露中存在的问题
（一）内部控制披露的动机不足，披露内容欠详细
上市公司内部控制披露的动机不足，根据成本效益原则选择是否披露内控信息。如果内部控制披露的成本大于效益，有些公司会选择不披露或隐瞒内部控制信息；如果效益大于成本，上市公司则会选择性地披露对自己有利的信息。在内控披露内容上，部分公司披露过于简单，或者无实质性内容，如丰原药业（股票代码：SZ000153）在其2009年年报中认为：“公司对照深交所《上市公司内部控制指引》，遵循内部控制的基本原则，基本建立健全了内部控制制度等。”
（二）与国际公认的内部控制制度的理解偏颇
目前，国际公认的关于内部控制的理论研究成果COSO报告将内部控制分成五个部分：控制环境、风险评估、控制活动、信息与沟通、监控。COSO内部控制的目标“确保企业营运的效率、效果”、“确保可靠的财务报告”和“遵循相关法令”三位一体，强调“动态性”。我国上市公司由于对COSO内部控制制度理解偏颇，导致大部分医药企业披露的内控信息和国际公认的内部控制标准存在较大的差距，过分强调“确保可靠的财务报告”目标，忽视其他目标。因此，在实务中，将内部控制等同于内部会计控制，公司在披露内控信息时也过分重视对财务和会计信息的披露，轻视内控其他组成要素的披露，而将主要精力集中在对《会计法》、《企业会计准则》等财经法规的遵循和执行的披露上。
(三)鲜有公司披露内部控制缺陷，内部控制改进流于形式
目前，鲜有公司披露其内部控制的缺陷，如莱美药业（股票代码：SZ300006）、太极集团（股票代码：SH600129）、千金药业（股票代码：SH600479）等均只字未提其内部控制缺陷及改进情况。多数公司只是简单表述如下“截至报告期末，公司未发现存在内部控制设计或执行方面的重大缺陷。” 关于内部控制的改进披露更是流于形式，没有实质性措施，如太极集团（股票代码：SH600129）在其2009年的公司年报中披露“公司将根据相关法律法规的规定，对公司的各项内控制度进行持续修订完善”。
（四）忽略对风险的披露
综观2008年、2009年披露的医药企业年报，大多数公司忽略对风险的披露。有的公司简单披露，如上海辅仁（股票代码：SH600781）在披露风险时，只是“对于分、子公司的管理及风险防范也有相应的管控制度”；*ST天方（股票代码：SH600253）“保证公司在发展的情况下，符合国家法律法规的要求，有效的规避风险”。有些公司甚至于只字未提其面临的风险，如千金药业、三九医药、中国医药等。医药制造业企业风险显著高于其他行业，如医药产品被竞争者仿制是医药企业普遍面临的风险。此外，国家政策变动的风险，如国务院颁布的《2009—2011年深化医药卫生体制改革实施方案》及2009年4月发布的《关于深化医药卫生体制改革的意见》等关于对医药卫生体制改革的规定都将对整个行业产生深远影响。但是，从已公布的上市公司关于风险评估和控制的信息来看，鲜有公司重视风险的披露。
(五)自我评价不客观、缺乏可信性
从2008年、2009年上市公司披露的年报数据来看，自我评价不符合实际情况的现象比较严重。如在2009年的72份医药制造业公司年报中，有17家公司（占总样本的23.61％）表示本公司的内部控制“建立、健全、有效”或者“完整、合理、有效”等，有37家公司（占总样本的51.39％）表示本公司的内部控制“较为健全、较完善”，甚至于有多家ST公司也都宣称其内部控制“完整、有效、能够提供保证”等，让人不得不对其内部控制的自我评价产生怀疑。
四、改进医药制造业上市公司内部控制信息披露的政策建议
（一）完善资本市场环境，提高内部控制信息披露的自觉性
自愿披露内控信息的动力源于信号传递理论，为了缓解信息不对称，高质量的有信息优势的企业管理当局有动力进行充分披露，愿意向市场提供积极的信息。经济学家迈克尔·斯宾塞（A. Michael Spence）也认为，只有当市场有效或强势有效时，才能激发起上市公司披露内控信息的自觉性；在弱势有效的资本市场中，管理者缺乏动机充分披露内控信息。因此，为了提高内控信息披露的自觉性，必须完善资本市场环境、提高市场运行效率。现实中，当市场强势有效时，内控健全、有效，能够有效防范经营风险的企业往往愿意主动披露本公司的内控信息。
（二）制定统一的内部控制评价标准
尽管我国出台了内部控制《指引》、《基本规范》及《企业内部控制评价指引》等多部法律法规，但是，它们的内容相互联系却又不完全相同，因此，上市公司在执行时缺乏统一性。此外，也由于我国上市公司对内部控制的理解与国际标准有出入，加上医药制造业本身的特殊性等，我国制药企业在披露内部控制信息时选择性较大，侧重点不一。为了提高内部控制报告的可操作性和可比性，管理当局有统一的评价标准可循，有关部门应尽快出台内部控制专项准则，对披露的内容和形式作出统一、细化的规定，以减少上市公司在内部控制制定和实施及信息披露上存在的选择性和随意性。
（三）明确内部控制信息披露责任主体
我国关于内部控制信息披露责任主体的界定一直很模糊。沪、深《指引》明确了董事会为信息披露责任主体，但是对违反披露政策的法律后果缺少必要的惩罚机制。《基本规范》分别规定了董事会、监事会及经理层的职责，但是，依然没有对信息披露责任主体作出明确界定。《企业内部控制评价指引》对于内部控制评价主体也没有明确的规定。因此，我国法律亟需明确内部控制评价的责任主体，以便落实责任，建立内控信息披露问责机制。美国《萨班斯法案》和SEC将内控信息披露的责任归于公众公司管理当局。鉴于我国企业组织结构以及医药行业的特殊性和复杂性，建议由公司董事会、总经理和最高级别财务管理人共同负责内控披露， 监事会和注册会计师进行鉴证，从而真正实现对管理层建立和执行内部控制的监督。
（四）加强风险管理，提高上市公司抵御风险的能力
风险管理水平的提高有助于加强企业内部控制，提高企业内控信息披露水平。医药制造业是高风险行业，面临诸多风险，如新产品开发和审批风险、普遍面临的主导产品较为集中的系统性风险、医疗体制改革及国家对中西药注射剂质量管理趋严的政策性风险、原料药材质量控制以及价格波动风险、药品的不良反应风险、生产经营的季节性波动风险、核心技术可能泄密的风险、环境污染风险等。该行业的特殊性决定了其必须加强风险管理，提高公司抵御现实和潜在风险的能力，及早进行风险预测、风险评估、风险规避、风险转嫁，将风险管理贯穿于企业内部控制的全过程。
（五）加强对内部控制信息披露的法律监管
从已有的内控信息披露来看，我国上市公司在披露内部控制信息时问题各异，亟需加强法律监管。首先，应严格各项法律法规的执行，增强法规的执行力度，尤其应完善各项违规披露的惩罚机制；其次，应完善我国内部控制报告的审核准则。由于我国内控披露的鉴证机构涉及到监事会、独立董事、保荐机构以及注册会计师等多个部门，且由于这些机构本身的职业特点以及其他因素，导致他们执行的审核标准不一，审核结论不同，因此，亟需完善内部控制报告审核准则来统一规范内部控制鉴证业务。
【参考文献】
［1］ 杨有红，汪薇.2006年沪市公司内部控制信息披露研究［J］. 会计研究，2008（3）:35-42.
［2］ 张维迎.博弈论与信息经济学［M］.上海三联书店，2004.
［3］ 上海证券交易所.上海证券交易所上市公司内部控制指引［S］.2006（6）.
［4］ 深圳证券交易所.深圳证券交易所上市公司内部控制指引［S］.2006（9）.
［5］ 财政部，证监会，审计署，银监会，保监会.企业内部控制基本规范［S］. 2008（6）.
［6］ 钱静.垄断行业高薪侵蚀社会公平基石［J］.特区经济，2007（11）:162-163.
［7］ 林钟高，郑军，彭琳.内部控制信息强制性披露研究——来自沪深两市特殊行业和垄断行业的经验证据［J］.上海立信会计学院学报，2009（4）:36-48.
［8］ 2008年和2009年医药制造业上市公司年度财务报告， .cn
［9］ Committee of Sponsoring Organizations of the Treadway Commission.Internal Control-Integrated Framework. July 1994 Edition.