美国内部控制实证研究回顾与启示

李享

【摘要】本文对美国近年来出现的内部控制实证研究文献进行了回顾，对涉及的研究主题及研究中形成的理论框架、经验证据和关键技术方法进行了归纳总结。此后，指出了这些研究对我国内部控制监管制定和内部控制实证研究发展的启示。 【关键词】内部控制 实证研究 内部控制缺陷 回顾

内部控制是现代企业极为重要的一项内部治理机制，担负着纠错防弊、保证组织健康发展的重职能。内部控制自古有之，但是随着现代公司制度的出现和组织结构的复杂化，其重要性日益凸现。2001年爆发的安然事件，更是引发了美国乃至全球对内控机制的极大重视，内部控制也由一项自发性的治理机制演化为一种监管强力推动的制度建设。作为监管的重要措施，内部控制信息的强制性披露被予以法制化，成为公司透明度建设的重要组成部分，典型的表现是2002年Sarbanes-Oxley法案(SOX)的颁布及其中强制要求上市公司披露内部控制信息的302、404节条款。强制性的内部控制信息披露不但极大地促进了企业内控制度的建设与完善，也催生了一大批以实证方法研究内部控制相关问题的文章，即本文所称的内部控制实证研究。这些研究所形成的分析框架、经验证据和研究方法，不但对传统的规范性内部控制理论形成了印证或拓展，也对世界各国内部控制监管的制定和内部控制理论研究的未来发展，具有重要的参考价值。本文在广泛搜集国际顶尖杂志上内部控制实证研究文献的基础上，对截至2008年9月美国内部控制实证研究的代表性成果进行了系统的回顾和总结，并以此为基础，深入阐释了它们对我国内部控制监管和实证研究发展具有重要的参考价值。虽然美国要求上市公司披露的主要是财务报告内部控制，即审计视角的内部控制，而不是广义的包含管理控制的内部控制，但是由于从实务上看，财务报告内部控制和管理控制彼此交融，难以绝然区分，故实证研究者在研究时一般也未做明确区分，即笼统地称内部控制。本文在回顾时也不做明确区分，但所指的内部控制主要偏向于财务报告内部控制。

一、美国内部控制实证研究的概况

美国内部控制实证研究的大量出现是在2002年SOX法案实施之后，在该法案出台之前仅有少量研究(如Bronson，2006;Krlshoan，2005)。SOX法案之前实证研究之所以出现，是因为有少数上市公司在定期报告中自愿性披露了管理层内部控制报告。另外，在上市公司发生审计师变更时，美国(SEC)要求公司披露由离任审计师指出的内部控制问题。但是，由于自愿性披露的内部控制报告中极少提到内部控制的有效性或内控缺陷，而审计师变更的样本又不多，故实证研究未能大量开展。在SOX法案实施后，由于其SOX302节和404节要求上市公司在定期报告中披露管理层内部控制报告和审计师的内部控制鉴证意见，其中包括具有实质性内容的(重大)内部控制缺陷的披露，这种法律强制下的制度化披露为开展实证研究提供了大量的公开数据，再加上内部控制在SOX法案以及SOX法案在整个公司治理领域中的重要地位，许多学者十分关注内部控制问题，并以实证方法开展研究，从而诞生了一大批有代表性的优秀成果。美国内部控制实证研究的主题可划分为三个大的方面：自愿性内部控制披露的影响因素、内部控制缺陷的决定因素和内部控制缺陷产生的经济后果。自愿性内部控制披露的内容分为管理层内部控制报告的披露和SOX302节生效后内部控制缺陷的披露，对自愿性披露影响因素的研究有助于人们认识公司主动披露背后的动机。内部控制缺陷决定因素的研究考察具有哪些特征的公司更有可能出现内部控制缺陷，从而有助于人们认识内部控制缺陷的产生机理，并预测可能具有内控缺陷的公司。研究内部控制缺陷产生的经济后果的文章特别多，这类选题角度发端于对内部控制缺陷不同的理解：把缺陷披露视为一种信息披露时，研究其信息含量；把缺陷存在视为(财务报告)内部控制有效性较差的标志时，则顺着内部控制的功能推理，研究其对财务信息质量的影响；把缺陷存在视为控制风险较高的标志，则顺着审计理论推理，研究其对审计收费、审计师变更和审计延迟的影响；把缺陷存在视为公司的一种风险，则研究其对权益资本成本的影响；把缺陷存在视为高管人员对内部控制责任的一种失职，则研究高管人员人力资本价值因此遭受的损失；把缺陷的发现视为公司治

理问题的一种暴露，则研究其是否会引起公司治理结构的后续改善。关于内部控制缺陷经济后果的研究为我们认识内部控制的重要性以及内控信息披露的经济后果，提供了重要的参考。

二、美国内部控制实证研究形成的理论框架与经验证据

理论框架是实证研究中假说推演所采用的分析框架，经验证据是实证检验的最终结论。理论框架是经验证据得以产生的推理过程，经验证据则是理论框架得以立足的事实基础。现有研究形成的理论框架与经验证据，对未来的研究和制定具有直接的参考作用。现将美国内部控制实证研究形成的理论框架与经验证据按研究主题归纳下。

(一)自愿性内部控制披露的影响因素

1.理论框架。内部控制披露本质上属于公司信息披露的一种，因此一般性信息披露分析框架也适用于对内部控制披露的分析。Gibbins等(1990) 提出了一个分析公司财务信息披露行为的框架，其中认为公司披露行为的立场(动机)有两个维度：机会主义(opportunism)和形式主义(ritualism)。Healy和Palepu(2001)则认为公司披露的需求来自于经理人员和外部投资者之间的信息不对称及代理成本。Hermanson(2000)的调查表明，财务报告使用者认为披露内部控制报告能促进公司完善内部控制系统，加强对内部控制系统的监督，为投资者提供决策有用信息。Bronson(2006)认为，由于管理层和公司有责任保证信息披露的真实性，而内部控制报告往往含有内部控制有效性的陈述，披露内部控制报告增加了管理层和公司的法律责任，但仍有公司自愿披露内部控制报告，是因为披露能减少财务报告使用者对公司财务报告质量的不确定性，自愿性披露该报告可以向外部使用者发送信号，使本公司的内部控制质量与其他公司区别开来。Ashbaugh-skaife等(2006)认为，内部控制缺陷的披露带有自愿性质，必须同时满足三个条件某项内部控制缺陷才会得以披露：一是内控缺陷存在，二是内控缺陷被管理层或审计师发现，三是管理层断定缺陷应当公开披露(有可能是征询审计师的意见后做出此判断)。

2.经验证据。Tanner(1992)借鉴Gibbins等(1990)提出的披露动机的两个维度理论，检验发现促使公司自愿性披露管理层内部控制报告的形式主义因素有高管人员是否为财务经理协会成员、审计师选择、行业类型及以前是否披露，机会主义因素则有内部控制强弱、增长速度、计划公开发行证券、较为适中的债务水平及与披露有关的立法事件。Bronson(2006)检验发现了影响管理层自愿披露内部控制报告的公司经济和治理特征影响因素，即公司规模越大、净利润增长越快、销售增长越慢、审计委员越勤勉、机构持股比例越高，越有可能自愿披露。Ashbaugh-skaife等(2006)按照自己提出的三条件框架，发现影响公司发现与报告内部控制缺陷的动机的因素有审计师的影响力、由于前期财务报表重述或SEC监管行动形成的对监管干预的敏感性、机构投资者的监督、行业诉讼风险。

(二)内部控制缺陷存在性的影响因素

1.理论框架。现有文献(Ashbaugh-Skaife等，2006;Franklin，2007)认为，研究内部控制缺陷的决定因素对公司管理层、审计师、监管部门和市场投资者都具有重要意义：公司管理层需要识别存在于本公司中的内部控制缺陷；审计师需要对管理层内部控制报告进行审核，并发表财务报告内部控制有效性的意见；监管部门应当识别重点监管对象以节约监管成本；市场投资者需要预测公司内部控制问题存在的概率。对于内部控制缺陷决定因素的分析，现有研究主要从四个方面展开：第一，公司业务的复杂性和组织结构的变动；第二，公司治理水平和内部控制监督力量；第三，用于内部控制制度建设的资源投入；第四，会计计量和编报的复杂性。Krishnan(2005)认为审计委员会是公司内部控制的监督主体之一，因此高质量的审计委员会将促使公司形成高质量的内部控制。Goh(2007)认为，在大公司中，代理问题来自于公司所有权和控制权的分离，审计委员会和董事会解决代理问题的一个方式是对公司内部控制进行审查和监督。Fralin(2007)认为，由于SOX404节的规定增加了审计费用，减缓了公司增长，减少了公司上市，所以应当像Altinan开发财务困境预警模型(ZETA模型)一样，开发出重大内部控制缺陷的预测模型；一旦可以根据预测模型识别重大内部控制缺陷存在可能性最高的公司，监管部门应当将SOX404的内部控制审核要求只限定于这些公司，以提高监管的针对性，降低其他公司的合规成本。

2.经验证据。在上述分析框架指导下，现有的实证研究取得了丰富的经验证据。Krishnan(2005)发现审计委员会的性越高，拥有财会专长的委员越多，公司存在内部控制缺陷的概率越小。Ge和McVay(2005)

则发现，披露重大内部控制缺陷的概率与公司业务复杂程度、会计师事务所规模正相关，而与公司规模和盈利能力负相关。Ashbaugh-skaife等(2006)发现业务比较复杂、近期组织结构发生变动、会计应用风险较大、审计师辞职较频繁及用于内部控制建设的资源较少的公司，存在内部控制缺陷的可能性较大。Doyle等(2007b)的经验结论则是，重大内部控制缺陷多存在于规模小、年轻、财务状况差、业务复杂、增长速度快或正在经历重组的公司；公司层面内控缺陷多存在于规模小、年轻和财务状况差的公司，而帐户层面内控缺陷多发生在业务复杂、经营多元化或经营正在快速变化的公司。Yan (2007)发现审计委员会成员越多、审计委员会中有财会专长的委员越多，在获得负面的内部控制审核意见(相当于存在重大内部控制缺陷)后第二年内部控制得到改善的概率越大；由于首席财务官(或首席执行官)对保持有效的内部控制负有个人责任，近期发生了首席财务官变更的公司，获得负面内部控制审核意见的概率越大。最后，Franklin(2007)的检验发现，存在重大内部控制缺陷的公司往往累计盈利能力较低，负债程度较高。

(三)重大内部控制缺陷披露的信息含量

1.理论框架。SOX 302和404节内部控制披露要求的主要目的是通过提高公司披露的准确性和可靠性来保护资本市场投资者(Donaldson，2005;U.S.Senate，2002)。该法案的支持者认为，SOX302和404节的实施成本是一种能带来长期利益的投资，是公司制度改革中迈出的正确一步。而高级经理人员和公司游说团体则批评内部控制披露规则的不平衡性和呆板性，认为该项立法的利益很难看到，而实施成本则远远超过预期，不仅包括现金资源的占用，还有生产效率的损失；还认为既然公司之间的行业、规模和业务复杂性诸方面差异很大，内部控制披露规则就不应该千篇一律地应用于所有公司(Irving，2006)。要全面评价SOX内部控制披露条款的有效性并不容易，而考察重大内部控制缺陷披露的信息含量(决策有用性)，则是评价两项条款所产生的利益的重要方面(Irving，2006;Hamersley等，2008)。

Hamersley等(2008)认为，投资者是否对内部控制缺陷的披露做出反应及如何反应是一个需要实证检验的问题，如果披露能带来显著的股价下滑，说明内部控制缺陷的披露能使投资者重新评价公司管理层对财务报告的监督质量，或者调整自己对公司会计信息系统质量的评估，这将进而促使投资者修正对公司未来盈利能力和公司风险的评估。Beneish等(2008)认为，如果内部控制缺陷披露前投资者已经认识到披露公司有较低的盈余质量，并且已经对公司股票价值进行了折价调整，内部控制缺陷的披露就不会具有增量的信息含量。相反，如果缺陷披露传递了增量的风险信息，或者披露前投资者没有将可获取的价值相关的信息完全反映在股价中，那么缺陷披露就会引起负面的市场反应。因此，内部控制缺陷披露是否具有信息含量取决于披露前公司的公开信息丰富与否。

1.经验证据。在实证研究中，Irving(2006)用未预期收益波动率和未预期交易量来度量信息含量；运用单变量比较发现首次披露重大缺陷的公司两项指标均显著大于临近的非披露期，也大于同期没有披露内部控制问题的公司；通过多元回归分析发现重大内部控制缺陷披露对两项指标均有显著的正向影响；另外，SOX404披露相对于原先的SOX302披露有增量的信息含量。研究结论说明，SOX内部控制披露能为投资者的资源配置决策提供有用的增量信息。Hamersley等(2008)用规模调整的收益率(size-adjusted; return)代表信息含量，研究发现内部控制缺陷披露能引起负面的市场反应，内部控制缺陷的严重性、管理层对内部控制有效性的结论、内部控制缺陷的可审度、披露的模糊性等缺陷特征都具有信息含量。研究结论说明，内部控制缺陷的披露及其特征将给市场投资者带来新的决策有用信息。Beneish等(2008)的研究则发现，SOX302内部控制缺陷披露带来负的股票异常收益，并引起分析师盈利预测的下调和权益资本成本异常上升，说明SOX302披露具有信息含量；SOX404内部控制缺陷披露对股票价格、分析师盈利预测和资本成本都没有明显影响，可能的原因有两点：一是该项研究所关注的较早执行SOX404的公司(aceelerated filers)披露前的公开信息就较为丰富，二是SOX404下审计师审核确定的内部控制缺陷相比SOX302下管理层确定的内部控制缺陷采用了更低的重要性水平(materiality thresholds)；大公司SOX302内部控制缺陷披露的负面股票报酬显著低于小公司，而一般来讲小公司的信息不确定性程度高于大公司，说明披露前信息不确定性高的公司，302披露所具有的信息含量更高。

(四)内部控制质量与财务信息质量

1.理论框架。美国立法机构(Donaldson，2005:u.s，senate，2002)认为，有效的内部控制产生的一个长

期利益是提高财务报告的准确性，从而为利益相关者提供高质量的财务信息。根据Doyl等(2007a)的分析，低质量的内部控制主要通过两条途径降低财务信息质量：(l)内部控制越弱，经理人越不能可靠地确定应计项目余额，这种无意的错误将导致财务信息噪音更多，可靠性更差(2)内部控制越弱的公司，经理人员越容易越过内部控制有意高估或低估应计项目余额，以达到机会主义的财务报告目的。

2.经验证据。Doyle等(2007a)采用应计项目质量(accrual quality)代表财务信息质量，用是否存在(用披露代表存在)(重大)内控缺陷代表公司内部控制质量的高低来进行二者关系的实证检验，两项研究的证据均支持内部控制越弱，公司应计项目质量越低的理论预测。此外，两项研究都有额外的发现：Doyle等(2007a)只关注重大内部控制缺陷，通过将重大缺陷划分为公司层面重大缺陷和帐户层面重大缺陷，发现上述关系主要对于公司层面重大缺陷成立，容易审计的帐户层面重大缺陷则不会导致应计项目的低质量，原因可能是存在帐户层面重大缺陷时审计师可以通过增加实质性测试来补救，另外，SOX404重大内部控制缺陷与应计项目质量并无显著联系(而SOX302重大缺陷有)。

(五)内部控制风险与审计费用、审计师变更和审计延迟

1.理论框架。现有文献认为，较高的内部控制风险既可能导致审计费用的增加，也可能导致审计师变更，还可能导致审计延迟。

(l)内部控制风险与审计费用。Raghunandan和Rama(2006)、Hogan和Wilkins(2008)均认为，较高的内部控制风险从两个方面导致较高的审计费用：第一，内部控制风险较高时审计师需要增加审计投入，因此会收取更高的审计费用；第二，内部控制风险的存在往往意味着公司整体风险水平较高，从而审计业务的诉讼风险也较高，审计师会因此对审计费用加收一部分风险溢价。根据Raghunandan和Rama(2006)的分析，内部控制风险较高时审计师额外的审计投入包括：(l)测试和改变审计程序；(2)合伙人花费时间与客户管理层讨论；(3)花费精力决定一项缺陷应划分为重大缺陷还是重要缺陷。而Hogan和Wilkins(2008)根据审计风险模型(总体审计风险=固有风险x控制风险x测试风险)推理，认为当固有风险或控制风险(内部控制风险)较高时，审计师可以通过增加实质性测试来降低测试风险，以保持一个期望的总体审计风险水平，因此较高内部控制风险条件下的额外审计投入主要是实质性测试。

(2)内部控制风险与审计师变更。Yan(2007)认为，较高的审计风险除了导致审计费用增加外，还可能导致审计师的变更，其具体机理有三种：一是内部控制风险较高的公司往往财务风险也较高，审计师可能主动抛弃这样的客户以规避审计风险；二是较高的内部控制风险将导致负面的内部控制审核意见，已经收到(或预期收到)负面审核意见后客户可能主动解聘与自己不合作的审计师；三是在预期会收到负面的内部控制审核意见时，客户可能通过更换审计师来购买审核意见。

(3)内部控制风险与审计延迟(audit delay)。Li(2007)认为，较弱的内部控制将增加会计错误存在的可能性及发现错误的难度，因此存在内部控制缺陷时审计师需要扩大他们的工作范围和实施额外的实质性测试以降低审计风险，从而导致更长时间的审计延迟。并且，由于总体性(公司层面)重大缺陷对财务报告系统的不利影响高于具体性重大缺陷，因此前者造成审计延迟的时间也会长于后者。

此外，现有研究认为即便没有发现内部控制缺陷，单纯实施SOX404内部控制审核也需要增加审计工作投入，从而增加审计费用延长审计延迟期。这两项理论预测分别得到了Raghunandan和Rama(2006)、Li(2007)的经验验证，在此不做赘述。

2.经验证据。在实证研究中，大都采用是否存在(用披露代表存在)内部控制缺陷代表内部控制风险的高低，研究结论支持较高的内部控制风险导致较高的审计费用(RaghUnandan和Rama，2006;HOgan和Wilkins，2008)、增加审计师变更频率(Yan，2007)和导致审计延迟期变长(Li，2007)的理论预测。

对于审计费用是否因内部控制缺陷的严重程度而异。Raghunandan和Rama(2006)、Hogan 和Wilkinns(2008)两项研究都作了考察：前者的研究只关注内部控制的重大缺陷，但把重大缺陷分为系统性缺陷和非系统性缺陷，研究发现审计费用与重大缺陷的关系不因两种缺陷类型而异；后者则把披露的全部内部控制缺陷按严重程度分为重大缺陷和非重大缺陷(指重要缺陷和控制弱点)，按缺陷的覆盖范围大小分为大范围缺陷和小范围缺陷，研究结论是存在的内部控制问题越严重(或越广泛)审计费用增量更多。两项研究的结论结合起来看，似乎意味着重大缺陷与重要缺陷的划分会产生审计费用增量的差异，而重大缺陷内系统

性缺陷与非系统性缺陷的划分不会导致审计费用增量的差异。Raghunandan和Rama(2006)的研究还发现，Sox404生效前公司自行披露(未经审计师审核)的重大内部控制缺陷并未导致更高的审计费用，可能是因为自行披露条件下审计师并未对内部控制进行广泛的测试，但这似乎意味着审计师没有仅仅因为较高的内部控制风险而对审计费用要求风险溢价。

YAN(2007)、Li(2007)则检验了重大内部控制缺陷与审计师变更之间的联系，检验发现：已经发现(或预期)存在重大内部控制缺陷的公司，更容易发生审计师主动辞职现象；己经收到(或预期收到)负面内部控制审核意见的公司更容易发生主动解聘审计师的现象；但主动解聘审计师的公司之后获得负面审核意见的可能性越大，说明公司无法通过更换审计师来实现审核意见购买；当前任审计师因为重大内部控制缺陷而辞职后，“四大”相比其他事务所更不可能成为其后任审计师。Li(2007)的研究还发现，重大内部控制缺陷的存在将导致更长时间的审计延迟，总体性重大缺陷造成的审计延迟长于具体性重大缺陷。

(六)内部控制缺陷与权益资本成本

1.理论框架。美国的监管机构认为，Sox404节的内部控制要求能产生高质量的财务报告(Donaldson，2005)，而高质量的财务信息又会降低资本市场融资成本。财务顾问们主张投资者对内部控制存在缺陷的公司融资时要求风险溢价，信用评级机构则把内部控制缺陷当成是评级过程中的一个重要考虑因素(Wilfert，2005，Moody's，InVestor serviee，2004; FitchRatings，2005)。按照这些观点，内部控制缺陷的存在会导致较高的权益资本成本。Ogneva等(2007)分析了这一关系的作用机理：第一，内部控制缺陷的存在将导致较低的会计信息质量，从而增加投资者的信息风险，较高的信息风险将导致较高的权益资本成本；第二，内部控制缺陷往往是公司总体管理控制较弱的征兆，较弱的管理控制将增加公司经营风险，从而导致较高的权益资本成本。

2.经验证据。不巧的是，Ogneva等(2007)的检验结果并不支持上述理论预测，即按照SOX404节披露的内部控制缺陷的存在并未导致较高的权益资本成本。Ogneva等(2007)对此给出的解释与Beneish等(2008)对SOX404内部控制缺陷披露不具有信息含量的解释相同，即有两种可能性：(l)审计师在界定SOX404重大缺陷时采用了较低的重要性水平；(2)他们研究的是对SOX404节执行较早的大公司，而对于大公司市场往往存在着的丰富信息，SOX404节重大内部控制缺陷披露并不具有增量信息含量。

(七)内部控制失败与高管人员的人力资本价值损失

1.理论框架。Goh(2007)认为研究内部控制失败与高管人员的人力资本价值损失的意义在于：如果内部控制失败能给高管人员带来人力资本价值损失，那么他们事前就有动机对内部控制实施有效的监督。内部控制失败引起高管人员人力资本价值损失的机理在于：第一，公司可能会更换负有责任的高管人员以挽回公司因内部控制失败而失去的声誉资本；第二，内部控制失败说明相关责任人对内部控制的监控能力较差，竞争性的人力资源市场将对这些人员实施进一步的声誉惩罚。

2.经验证据。与上述理论分析的预测相一致，Goh(2007)的实证研究结论是，重大内部控制缺陷发现以后，公司的高级经理人员、审计委员会成员和外部董事均遭受了明显的声誉损失；具体来讲，在发现重大内部控制缺陷以后，公司审计委员会成员及外部董事的变动率高于没有发现缺陷的公司；相比没有发现重大内部控制缺陷的公司而言，发现缺陷的公司审计委员会成员及外部董事丧失了更多在其他公司担任外部董事的机会；发现重大缺陷的公司的高级经理人员相比没有发现的更有可能离开该公司；发现的内部控制缺陷的严重程度越大，审计委员会成员、外部董事的变动率越高，他们丧失的外部董事机会越多。

(八)重大内部控制缺陷的发现与公司治理结构改善

1.理论框架。Goh(2007)认为，重大内部控制缺陷的发现可能促使公司改善治理结构，原因有三点：第一，仅仅用另一个可能无效的人员去替换现有的无效的经理人员或董事，并不能带来公司治理结构的总体提升，因此发现内部控制缺陷以后，公司很可能会着手改善公司治理结构；第二，发现缺陷的公司更容易遭受财务报告舞弊或错误，因此更受监管机构和投资大众的关注，因此有动力去改善公司治理结构，以重塑声誉资本，恢复投资者信心；第三，在SOX内部控制披露的实施成本高昂的情况下，改善公司治理结构也是存在缺陷的公司能给投资者带来的一项可以观察到的利益，因此能改善股票业绩。

2.经验证据。与上述理论预测相一致，Goh(2007)的检验结论是，发现重大内部控制缺陷以后，公司对

审计委员会性、财会专长、人数和董事会性的提高程度明显高于没有发现缺陷的公司；发现重大内部控制缺陷的公司审计委员会和董事会有效性的综合改善程度高于没有发现缺陷的公司；在发现重大内部控制缺陷的第二年，公司的审计委员会性、专长、人数及董事会性己经提升至与没有发现缺陷的公司无显著差异。

三、美国内部控制实证研究中采用的关键技术方法

由于内部控制信息属于定性信息，内部控制披露又有自愿披露和强制披露之分，前者涉及内部控制变量如何设计，后者关系到研究中是否需要考虑自选择问题，二者构成了内部控制实证研究中的两个关键技术难题。下面对美国内部控制实证研究中两项难题的处理方法进行总结，以期对未来实证研究的开展提供借鉴。

(一)内部控制信息的划分及内部控制变量设计

将定性的内部控制信息按照恰当标准进行类型划分是构造内部控制变量的重要基础。类型划分既要体现出经济内涵上的实质性差异，又要在观测值之间有足够的离散性。综观美国现有的研究，自愿性内部控制披露主要按是否披露来划分，强制性内部控制披露主要按是否披露(重大)内部控制缺陷及(重大)内部控制缺陷的特征来划分。与信息类型的划分相适应，内部控制变量主要设计为二元哑变量和多元离散型变量。如果内部控制变量用作回归模型的因变量，则相应地采用二项logit(或probit)回归或多项logit(或probit)回归(muitinomial logit model)。

将内部控制缺陷按照某种特征进行恰当的分类在稳健性测试中经常用到，但具有较强的技术性，现将一些典型的做法介绍如下。Bronson(2006)在研究自愿性内部控制报告披露的影响因素时，曾将内部控制报告披露分为两类设置三元离散型变量：当公司披露了管理层内部控制报告且其中包括对内部控制有效性的陈述时取2，当披露了管理层内部控制报告但是其中没有包括对内部控制有效性的陈述时取1，当没有披露内部控制报告时取0。Krishnan(2005)在研究审计委员会质量对内部控制质量的影响时，将审计师变更时披露的内部控制问题按照严重程度分为两类设置三元离散型变量：当公司存在重大内部控制缺陷时取2，存在应报告状况(reportable condition)时取l，不存在内部控制问题时取0。Doyle等(2007b)在研究重大内部控制缺陷的决定因素时，将重大缺陷按照严重程度分为两类：公司层面(company-level)重大缺陷和账户层面(account-specific)重大缺陷，又按照缺陷产生的原因分成三类：人事安排问题、业务复杂性问题和一般性问题，然后用不同类型的重大缺陷构成不同的样本分别作回归检验。Doyle等(2007a) 在研究重大内部控制缺陷对应计项目质量的影响时，将重大缺陷按严重程度分为公司层面重大缺陷和账户层面重大缺陷两类，并设计是否存在公司层面重大缺陷和是否存在账户层面重大缺陷两个二元哑变量同时纳入回归模型

Raghunandan和Rama(2006)在研究重大内部控制缺陷对审计费用的影响时，把重大缺陷划分为系统性重大缺陷和非系统性重大缺陷。Hogan和Willdns(2008)则将所有披露的内部控制缺陷按严重程度分为重大缺陷和非重大缺陷，又按覆盖范围的大小分为大范围缺陷和小范围缺陷。Hamersley等(2008)在研究内部控制缺陷的特征的市场反应时，将内部控制缺陷按严重程度分为重大缺陷(material weakness)、重要缺陷(significant defieieney)和控制弱点(control deficiency)；将管理层对内部控制系统有效性的评价分为有效、除了披露的缺陷外有效及无效三类；将内部控制缺陷的可审核性按照5分制量表赋值；将缺陷按照披露的清晰程度分为清晰和不清晰两类；将缺陷按照发现主体分为审计师发现的缺陷和非审计师发现的缺陷两类。

(二)内部控制披露中自选择问题的识别与处理

内部控制实证研究中，内部控制缺陷的披露与否能否等同于内部控制缺陷的存在与否，取决于披露的性质属于自愿性披露还是强制性披露。只有在强制性披露条件下，二者才能视为等同。自愿性披露条件下披露本身具有动机性，将二者等同会带有自选择偏误。而识别自选择问题需要通过对制度背景进行仔细的分析，对披露性质进行准确的判定。例如，在Ashbaugh-Skaife等(2006)认为SOX302内部控制缺陷披露带有自愿性质就是基于以下分析：在SOX302节生效后至SOX404节生效前，SEC没有指明可供管理层评价内部控制的具体程序，也没有要求审计师对内部控制的审核，发现的内部控制缺陷是否应该向外界披露SOX的规定并不明确，对内部控制缺陷的分类也缺少应用指南，因而管理层对内部控制缺陷的披露有较大的裁量权。

如果披露带有自愿性质，在研究内部控制缺陷的决定因素和经济后果时，必须考虑控制披露的自选择问题。现有研究处理自选择偏误的办法颇值得借鉴。Doyle等(2007a)采用两种办法控制自选择问题：一是采用Hecklman(1979)二阶段回归方法(two-stagere gression)，即用己有文献发现的内部控制缺陷的决定因素来预测内控缺陷的存在概率，再计算Inverse Mill’s Ratio代替根据披露构造的内部控制缺陷变量纳入回归模型；二是采用LaLonde(1986)的倾向分值匹配法(propensity seore matching)，即用己有文献发现的内部控制缺陷的决定因素来预测内控缺陷的存在概率，然后据此创造一套与重大缺陷具有相同概率的无缺陷控制样本纳入回归模型。Ashbaugh-skaife等(2008)避免自选择问题的方法是，采用审计师(而非管理层)识别的内部控制缺陷来代表真实存在的内部控制缺陷。Doyle等(Zoo7b)将sox302下披露的内部控制缺陷分为重大缺陷和非重大缺陷，通过对制度背景的分析，认为重大缺陷的披露可视为强制性披露。

四、美国内部控制实证研究对我国内部控制监管制定的启示

上述美国内部控制实证研究形成的一些基本结论是，内部控制信息的自愿披露背后有各种经济动机，内部控制缺陷的存在性受公司特征的影响，内部控制缺陷信息的披露具有信息含量、影响公司的权益资本成本，公司内控系统的有效性影响财务信息质量、影响审计师行为，公司内部控制失败会造成高管人员的人力资本损失，内部控制缺陷的发现会引起公司治理结构的后续改善。这些结论对我国内部控制监管的制定具有重要启示。

首先，内部控制作为组织的“免疫系统”，在公司内部治理中具有十分重要的地位。但是，由于内控制度建设在技术上的复杂性，以及现代公司制度中各种代理问题的存在，本该属于企业内在需求的内控制度并不能完全依靠市场的“无形之手”达到最优状态，各种内部控制缺陷在现实中大量存在，威胁到公司的长治久安和财务信息质量，降低了社会经济效率。在市场失灵的情况下，的“有形之手”应当适度介入，内部控制的监管问题因此出现。我国有关部门自20世纪90年代起开始推动企业的内控制度建设，具体措施有提出完善内控制度的要求、出台内控制度建设的技术规范、要求上市公司披露内部控制信息等，起到了一定的效果，但具体的监管策略仍需进一步完善。

其次，要实现对公司内控制度建设的监管，必须借助于内部控制信息披露制度。信息披露制度旨在解决公司内部人与外部人之间的信息不对称问题，没有信息披露，监管方就缺乏必要的信息渠道。例如，花费巨大精力出台内部控制规范，本当为公司内控制度建设提供范本，从而节约制度成本、提高社会经济效率，但是公司并不一定会遵照执行，没有了披露，便难以实施监督。信息披露也可以促使公司认识到自身的内控缺陷，从而采取必要的改进措施，因此是一种有效的自我纠错机制。信息披露还可以提高公司的透明度，为公司的利益相关者(投资者、债权人等)提供增量的决策支持信息，从而提高资本市场的资源配置效率。最后，信息披露揭示的内控缺陷信息也将给公司带来外部的市场压力，促使其加快自我完善。我国自2001年起要求监事会在年报中对上市公司内控制度的完善性发表意见，证交所自2006年起又要求上市公司进行更为详细具体的内控制度建立健全情况披露，这些都是实施内部控制监管的重要举措。但是，信息披露实际质量的低下，制约了其应有的协助监管和信息传递功能。

第三，要实现内部控制信息披露的应有作用，必须确保信息披露质量。要提高信息披露的质量，必须要求披露使用者真正关注的内部控制评价信息和内控缺陷信息，禁止公司以内部控制要素、具体内控程序等无关痛痒的冗余信息代替应当披露的信息。同时，部门要加强信息披露的事后检查，对不合格披露要进行惩处，保证披露要求落到实处。在确定内部控制信息披露时，也要考虑经济效率问题，对于财务报告内部控制，由于其直接关乎公司对外披露的财务信息质量，并且审计师有责任、有能力进行评估，因而应当强制要求披露审计师对它的鉴证意见，而对于其他的管理控制，本该属于公司内部管理的自我要求，不直接关乎财务信息质量，从而不会影响资本市场资源配置效率，审计师也没有专业胜任能力对其进行评价，因此公司只需自我评估即可，不应强制要求审计师鉴证。我国上交所于2006年、深交所于2007年开始要求上市公司披露详细的内部控制信息，对于促进公司的内控制度建设具有重要作用，但是由于披露要求不够合理，事后监管缺乏，有调查表明披露普遍流于形式。今后，有关部门要修订披露的具体要点，强制要求披露总体评价意见、有无内控缺陷、内控缺陷的类型、前期披露的内控缺陷是否得到纠正等具有实际意义的内容。同时，要加强披露的事后检查与惩处。

五、美国内部控制实证研究对我国内部控制实证研究的启示

近年来，得益于上市公司内部控制信息披露的增多，内部控制也成为了我国一个新的实证研究热点。研究主题涉及上市公司内部控制信息披露的影响因素(蔡吉甫，2005；方红星、孙篙，2007)、市场反应(陈共荣、刘燕，2007；冯建、蔡丛光，2008)、可靠性(吴国萍等，2008)等。另外，运用上市公司年报中披露的数据，林钟高、王书珍(2007)研究了内部控制对企业价值的影响，陈晓陵、王怀明(2008)研究了公司治理对内部控制有效性的影响，杨雄胜等(2007)研究了我国内部控制的社会认同度。总体上看，我国现有的内部控制实证研究涉及的研究主题比较零散，内部控制的考察角度主要为是否披露及披露程度，同时在研究设计上存在许多不足。

随着我国内部控制信息披露要求的逐年提高，进行内部控制实证研究的可行性也随之增强。由于美国内部控制实务走在世界前列，其学术研究也领先于其他国家。当前，美国内部控制实证研究己经形成了一个选题的基本框架，其他国家的学者难以完全跳出这些框架，恰当的做法主要是结合各国特定的制度背景，对相同主题的问题发现与美国不一样的结论。此外，我国在披露制度上与美国有所差异，可以产生少量中国特有的研究机会。例如，2006、2007两年沪市上市公司对管理层内部控制报告和审计师审核意见的披露还是鼓励自愿披露性质，在这种背景下，有部分公司披露了自评报告，而另一部分没有披露，这种选择行为背后的经济动因是什么，披露具有怎样的市场效应，即属于我国制度下可以研究的特殊问题，因为在美国现阶段，内部控制信息披露是强制性的，而SOX之前的完全自愿披露阶段，又没有人研究披露的市场效应。

在研究中，我国学者要充分借鉴美国学者进行实证检验的技术方法。第一，要构造具有实质性经济内涵的内部控制变量，例如是否披露(重大)内部控制缺陷、内部控制缺陷的类型、内部控制缺陷是否得到纠正等。我国现有的一些研究(如蔡吉甫，2005，陈共荣、刘燕，2007，方红星、孙篙，2007)主要关注公司是否披露内部控制信息及其披露程度，又以年报中是否提到“内部控制”代表是否披露、以披露文字的详细程度代表披露程度，内部控制变量设计的经济含义不明确，导致研究的理论与意义均受到较大局限。第二，要对公司披露的自选择问题给予足够重视。目前沪市上市公司、深市中小企业板公司虽然内部控制建立健全情况为强制性披露，但内部控制自评报告、审核意见的披露属于公司自愿的选择性行为，因此在以是否披露为关注角度研究问题时，必须恰当控制自选择偏误。第三，我国上市公司的内部控制信息一般在年报中披露，而与年报一同披露的信息非常庞杂，因此在研究内部控制信息披露的市场效应等问题时，必须对相关的干扰因素予以有效的控制。从国内现有的研究来看，上述技术工作还做得很不到位。

最后，相信随着我国上市公司信息披露质量的逐年提高，内部控制自评报告和审核报告的在未来的强制性披露，我国内部控制实证研究的高质量成果必将大量出现。