摘要：基于投资者保护的视角，对内部控制有效性的作用机制进行了分析，提出了内部控制对投资者保护的两大实现路径：直接路径和间接路径。一方面，内部控制通过内部控制运行、信息披露和外部监督三个层面直接实现对投资者的保护；另一方面，内部控制通过保障会计信息质量，间接实现对投资者的保护。
关键词：内部控制；投资者保护
中图分类号：F275.1 文献标志码：A 文章编号：1009-6116(2012)01―0070―07
一、引言
内部控制产生的本源是委托代理问题，信息不对称是内部控制要解决的关键问题。代理问题及由之引起的信息不对称正是投资者保护的核心所在，因此，内部控制在投资者保护方面具有天然的优势。
由于投资者保护目标的实现最终要依赖内部治理机制和外部治理机制的协同效应，而现有内部控制的研究忽视了内部控制与外在治理机制动态关系(替代或是补充)，从而未能构建内部控制对投资者保护的框架体系。目前国内关于内部控制的研究主要侧重于静态研究，无论是关于内部控制本质的探讨(林钟高、郑军，2007；李志斌，2009)，还是内部控制评价的研究(张颖、郑洪涛，2010)，都将内部控制研究的重心置于内部控制本身，而忽略了内部控制与外部治理机制相互作用的关系。即使部分学者在研究内部控制信息披露时，分析了内部控制信息披露与内部控制运行质量的关系(蔡吉甫，2005；殷枫，2006)，也仅限于静态的局部相关性分析，未能将内部控制运行纳入外部治理框架进行分析。
内部控制投资者保护路径的研究拓展了内部控制研究的思路，将内部控制的外部治理机制纳入内部控制路径研究框架中，动态地体现了内部控制对投资者保护的过程。本文拟在分析内部控制投资者保护实现路径的基础上，完成内部控制投资者保护框架体系的构建。
二、内部控制的有效性分析及投资者保护的实现路径
内部控制对投资者保护的实现路径研究，实质上是基于投资者保护的视角，对内部控制有效性的作用机制进行分析。
(一)内部控制的有效性
现有内部控制有效性多基于其目标的实现来进行评价。1992年，美国科索委员会(COSO)发布《内部控制――整体框架》(Internal Control―Integrated Framework)将内部控制定义为：内部控制是由企业董事会、管理层和其他员工实施的，为营运的效率效果、财务报告的可靠性、相关法律法规的遵循性等目标的实现而提供合理保证的过程。可见，COSO框架认为内部控制的有效性源于内部控制目标的实现。所以，有效性不同的内部控制可以提供不同程度的保证，其变动范围应当是从0到100％(陈汉文、张宜霞，2008)。国内现有的研究也多是从内部控制的目标出发去构建指标，作为内部控制有效性的代理变量(张颖、郑洪涛，2010)。该类研究的局限主要有以下三点。
第一，COSO框架本身不是严格理论研究的结果，更多的是实践做法感悟的一种总结(杨雄胜，2011)。COSO框架概括了内部控制涵盖的范围，但却没有赋予内部控制明确的边界。COSO框架所总结的内部控制目标究竟在何种程度上能够反映内部控制的本质和内涵尚未有明确的理论与经验研究证据。
第二，COSO框架所定义的内部控制有着隐含的利益冲突。企业董事会、管理层和其他员工是内部控制制度的供给者及执行者，但受益者则是企业(或隐含的利益相关方)。制度的供给者、执行者及受益者之间存在着天然利益冲突，没有外部机制的介入，很难设想目标实现的可能性。所以，在评价内部控制有效性时，应将外部机制纳入有效性评价框架，而不仅仅是将目标的实现归功于公司内部控制运行本身。
第三，即使我们认可COSO框架所界定的关于内部控制的目标，但由于内部控制对这些目标仅是合理保证，而非绝对保证，所以，内部控制有效并不代表目标一定实现，目标实现也并不意味着内部控制一定有效。以目标的实现程度去评价内部控制的有效性存在逻辑与计量上的偏差。
综合上述分析，在分析内部控制有效性的作用机制时，需要关注以下三点。
第一，明确内部控制有效性的受益主体。当分别基于投资者或债权人，抑或是现有投资者或潜在投资者的视角去研究内部控制有效性时，得出的结论可能是有所不同的。例如，债权人关注内部控制对投入资源安全性的保护。投资者同时关注内部控制对投入资源的安全性和收益性的保护。潜在投资者可能并不在乎内部控制是不是有缺陷，他们关注的是如果内部控制有缺陷，是否可以及时、可靠地获知这一信息。本研究基于资本市场的视角，将投资者界定为现有投资者与潜在投资者。
第二，在研究内部控制有效性的作用机制时，应将外部治理机制(内部控制信息披露与外部监督)与内部控制运行本身一并纳入内部控制有效性分析框架。
第三，内部控制的有效性体现在其降低代理成本和信息不对称的过程中，所以对其有效性的评价是一个期间而非时点的概念，过程评价也更加契合内部控制的本质。内部控制对投资者保护的路径研究就是对内部控制保护投资者的整个过程进行研究。
(二)内部控制对投资者保护的实现路径
委托代理问题的存在，产生了对内部控制最原始与最根本的需求。投资者保护受到越来越多的关注，也是源于代理问题的存在，致使投资者与经营者之间出现了信息不对称。信息不对称(包括逆向选择和道德风险)正是内部控制要解决的核心问题(谢志华，2009)。所以，内部控制具有保护投资者的天然优势。
投资者保护主要是对投资者知情权、决策权和收益权的保护。知情权是投资者最基本的权利，所谓决策权包括投资者通过股东大会行使的表决权和买卖股票的抉择权两方面内容。投资者保护的最终目标是保障投资者收益权的实现，但投资者收益权的实现，要以投资者的知情权和决策权为基础。虽然对投资者收益权的保护是投资者保护的终极目标，但由于投资者收益权的实现受到诸多因素的影响，所以内部控制对投资者的保护更侧重于对投资者知情权与决策权的保护。
基于内部控制是直接还是间接作用于投资者保护目标，内部控制对投资者的保护被划分为直接和间接两大实现路径，如图1所示。路径“a―c”是内部控制对投资者保护的直接实现路径，这是因为内部控制对投资者保护的效应是直接的，没有通过任何中介变量；路径“a_b―c”之所以是间接实现路径，是因为内部控制通过影响会计质量，进而作用于投资者保护目标的实现，其对投资者保护的效应是间接的。
内部控制通过“内部控制运行一内部控制信息披露一内部控制外部监督”三个层面直接实现对投资者的保护。直接路径“a―c”体现了内部控制对投资者的过程保护。内部控制融会贯通于企业运营过程中，过程保护也更加契合内部控制特点。
内部控制通过保障会计信息的真实可靠性及盈余质量，使会计实现治理和定价功能，间接实现 对投资者的保护。间接路径“a-b―c”体现了内部控制对投资者的结果保护：一方面，财务报告的可靠性是内部控制要实现的重要目标之一；另一方面，会计信息质量及盈余质量是内部控制及其他运营体系、制度体系综合运行的成果体现。所以，内部控制可以通过提高会计质量水平，改进投资者保护水平，实现对投资者的间接保护。
三、内部控制对投资者保护的直接路径
内部控制以投资者保护目标为导向，基于内部控制运行、内部控制信息披露、内部控制外部监督三个层面，构建投资者保护的直接路径体系。内部控制与投资者保护三个层面的核心目标都在于保障投资者知情权、决策权和收益权的实现，但又各有侧重。
(一)直接路径构建基础――内部控制治理功能的实现
内部控制是基于公司内部治理的视角去实现投资者保护，法律等则是基于外部治理的视角实现投资者保护。市场机制、法律体系和管制制度都是在证券市场发展中发挥了作用的投资者保护制度。只有公司治理(内部治理和外部治理)的功能均得以有效实现，投资者的权益才能得到真正保护。所以，内部控制对投资者保护的直接路径必须基于治理功能的实现而进行构建。
如图2所示，内部控制运行属于内部治理机制，对内部控制的外部监督属于外部治理机制。内部控制信息披露，无论是自愿披露还是强制披露，均是内部治理机制和外部治理机制共同控制的结果。
一方面，内部控制治理功能的有效实现是投资者保护的根本所在。外部治理制度的外生性，决定了其最终要依靠内部控制制度的安排才能切实实现对投资者的过程保护。因为如果公司内部人无视外部法律等制度安排，侵吞投资者利益，见外部制度安排的事前震慑作用无效，只能依靠事后的惩罚，而此时投资者的利益已经受到侵犯。事后的惩罚不仅滞后，而且会消耗大量的社会成本，诸如诉讼、信息甄别成本等。所以，相比于外部治理机制而言，内部控制治理效率相对较高。另一方面，内部控制制度投资者保护作用的发挥，也会受到外部制度安排的影响和制约。由于公司内部治理与外部治理的作用难以截然分开，所以。在构建内部控制对投资者保护框架时，应将内部控制的信息披露与外部监督纳入框架内去分析和评价。
此外，需要注意的是，内部控制信息披露是内部治理机制和外部治理机制共同博弈的结果。内部控制信息披露包括披露行为的选择及披露内容的确定。在强制披露的情形下，披露行为是外部法律法规的要求，但法律法规本身就是内部和外部利益相关方博弈的成果。自愿披露的信息，其披露行为虽然不受外部法律法规约束，但是如果这一信息不能为市场所识别，则公司不会选择披露，所以披露行为虽由企业内部治理机制决定，但却受外部治理机制(例如，市场参与者认知程度等)的制约。同时，自愿披露也会受到法律法规指导性意见或预期的影响。内部控制信息披露的内容是公司治理机制(内部控制和外部监督)共同作用的结果。在自愿披露的制度环境下，虽然披露内容主要由公司内部治理机制决定，但是外部治理机制的存在，使得公司在确定哪些内容可以披露时更加审慎。即使在强制披露的制度环境下，公司内部治理机制仍然拥有较大程度的自由裁量权。这主要是因为由于内部控制信息的复杂性，法规关于披露相关规定基本是原则导向，而非规则导向，所以公司在披露信息时就具有较大的自由度；同时，公司与监管机构的信息不对称仍然存在，管理层掌握的大量信息不为监管机构所知，这部分信息的披露决策取决于公司内部治理机制对管理层决策的影响。
(二)直接路径实现机制
内部控制运行是内部控制信息披露和内部控制外部监督的基础，没有内部控制运行，就没有信息披露和监督。内部控制信息披露和内部控制外部监督是对内部控制运行的外在制约和监督机制。外在制约和监督机制的存在，可以保障内部控制运行的良好有序。内部控制对投资者保护的直接路径分析。
路径“e―o”、“f―o”、“g―o”分别体现了内部控制运行、内部控制信息披露、内部控制外部监督各自对投资者保护的过程。内部控制运行主要通过合理授权，实现企业内部权力的制衡与监督(谢志华，2009)，保障股东拥有与其投入企业资源相对称的决策权及收益权；内部控制信息披露主要通过对内部控制信息的披露，保障股东有充分的知情权，并可利用其进行决策；内部控制外部监督主要通过会计师事务所、政府部门等机构的监督，增进信息披露的可靠性，重点在于保障股东知情权的可靠行使。
路径“e―f―g―o”、“e―f―o”、“e―g―o”和“f―g―o”描述了内部控制运行、内部控制信息披露、内部控制外部监督三个层面逐级顺序完成内部控制对投资者保护运行的整个过程。内部控制的运行会影响内部控制信息披露的质量(路径“e―f―o”)。例如，杨德明等(2009)认为不健全的内控-系统往往与不充分的披露存在必然的联系。内部控制的运行也会影响到外部监督的需求与选择(路径“e g―o”)，例如，拥有股权的董事会成员-和较强势的少数股东为了保护自己的投资利益会寻求更严格的外部监督，如更严格的外部审计。内部控制信息披露(尤其是在强制披露的情形下)也会影响到外部监督机构对于内部控制的评价(路径“f g―o”)。对于投资者而言，可以通过验证内部控制信息披露与内部控制监督之间的一致性来增强(或减弱)关于内部控制的信赖程度。
路径“g―f―e―o”、“g―f―o”、“g―e―o”和“f―e―o”描述了内部控制外部监督反馈影响内部控制的运行和信息披露，内部控制信息披露亦会影响内部控制在企业内部的运行机制的整个过程。内部控制运行、内部控制信息披露和内部控制外部监督对于投资者保护的作用是互相促进的关系。后一环节又对前一环节起到事前制约和事后监督的作用。外部监督会影响内部控制信息的披露(路径“g―f―o”)，例如，很多研究认为产品市场的竞争会影响自愿披露(Berger等，2011)。外部监督会影响内部控制的运行(路径“g―e―o”)，例如，收到会计师事务所不利内部控制报告意见的公司，更倾向于解雇审计人员，雇佣质量更高的会计师事务所，这被视作公司改进财务报告质量的努力(Ettredge等，2011)。内部控制审计不仅能发现公司未能发现和披露的内部控制缺陷，而且还可以在一定程度上降低内部控制运行过程中存在的缺陷对应计项目质量的影响(Lu等，2011)，还可以降低市场对内部控制缺陷披露的不良反应(Beneish等，2008)。内部控制信息披露亦可以将内部控制运行的优劣区分开来(路径“f―e―o”)，例如，Wang等(2010)认为在SOX下的内部控制信息披露可把好的CFO和不好的CF0区分开来。由于Berger et al_(2011)认为强制披露对某一行为的计量与披露会改变这一行为，所以我们认为内部控制信息的强制披露可以 改变内部控制运行本身(路径“f―e―o”)。
(三)直接路径研究对于制度选择的现实意义
SOX法案在内部控制自我评价报告制度选择上，采取了强制披露的方式。但是，关于内部控制审计，Dodd-Frank Wall Street Reform(2010)最终免除了规模较小的公司提供内部控制审计报告的责任。SOX法案在强制与自愿的选择及制度遵循进程上，以企业规模大小作为所遵循制度的选择标准，这是否科学?我国《企业内部控制基本规范》及配套指引的颁布，要求在境内外同时上市的公司自2011年1月1日起披露内部控制自我评价报告和内部控制审计报告，在上海证券交易所和深圳证券交易所主板上市的公司则于2012年1月1日执行该规定。可见，我国是以上市地点作为是否遵循及何时遵循制度的标准。SOX法案提供内部控制自我评价报告及内部控制审计的高昂成本使得是否强制要求和对谁强制要求成为制度选择时至关重要的问题。但是，即使在SOX法案颁布执行将近十年之后，这些问题仍未有完美答案。
内部控制的直接路径研究可以为内部控制制度的选择提供理论依据。例如，如果通过直接路径研究证明内部控制信息披露与内部控制审计彼此之间的替代效果显著，则在强制内部控制信息披露与强制提供内部控制审计报告之间，二者择一即可。至于制度规定是强制披露内部控制信息还是强制内部控制审计，则要均衡二者的成本与收益。如果替代效果具有显著的行业(规模)或其他特征，则只对具备这些显著特征的企业适用如上制度规定。但是，如果通过路径研究证明内部控制信息披露与内部控制审计之间是互补关系，则只有在互补效果显著时，强制内部控制信息披露的同时强制要求提供内部控制审计报告才有必要。同样，如果互补效果具有显著的行业(规模)或其他特征，制度的适用范围也仅限于具备这些显著特征的企业。
同时，直接路径也拓展了对上市公司内部控制评价的思路。在对上市公司内部控制进行评价，构建内部控制指数时，由于内部控制运行、内部控制信息披露与内部控制外部监督的相互作用与不可分割性，应将三者一并纳入内部控制评价框架，构建评价指标体系。
四、内部控制对投资者保护的间接路径
内部控制通过保障会计信息质量，使会计实现治理和定价功能，间接实现对投资者的保护。
(一)间接路径运行机制分析
内部控制对会计质量的影响主要表现在以下三个方面。
第一，内部控制会影响法律法规对会计质量的作用。例如，内部控制环境会影响企业对会计准则等相关法律法规的理解。Goh et a1，(2011)认为公司较好的内部控制环境使之更能理解会计谨慎性原则降低代理冲突的作用，从而倾向于选择谨慎性政策。
第二，良好的内部控制可以为会计核算处理过程提供更可靠的信息，反之亦然。例如，Goh etal_(2011)认为良好的内部控制可以为会计谨慎原则应用提供更可靠的信息。
第三，内部控制质量水平可以影响市场对会计信息的反应。例如，Asare(2011)认为投资者对财务报表审计报告的信心由他们对基于财务报告的内部控制评价报告所传递信息一致性的评价所决定。即使审计人员对财务报表发表了元保留审计意见，但如果基于财务报告的内部控制审计意见是有保留的，报告使用者的信心也会受到损害。所以，报表使用者会用基于财务报告的内部控制评价报告的信息去评价财务报表存在错报的潜在的可能和审计人员审计实质性缺陷的能力。
(二)间接路径的局限性
虽然直接路径和间接路径都能最终实现对投资者的保护，但是，内部控制投资者保护机理的研究基于直接路径，而非间接路径，原因在于以间接路径实现剖析内部控制投资者保护机理的局限性有如下表现。
首先，无论是我国发布的《企业内部控制规范》还是美国的SOX法案，均将财务报告目标作为内部控制要实现的目标之一。除了财务报告目标之外，内部控制还应合理保证企业经营管理合法合规、资产安全、提高经营效率与效果，从而促进企业实现发展战略。因此，如果单纯从财务报告和会计盈余质量的角度去阐述内部控制对投资者的保护，无疑弱化了内部控制对投资者保护的力度，缩小了内部控制对投资者保护的范围。
其次，会计信息质量与内部控制对投资者保护是相辅相成的关系，会计信息质量与内部控制质量彼此验证，互为前提。如果简单地将会计质量作为研究内部控制投资者保护的路径，则弱化了二者在投资者保护过程中的异质性和互补关系。
二者的异质性在于内部控制侧重于对投资者的过程保护，而会计信息由于是对企业运营活动的结果反映，从而更加侧重于对投资者的结果保护。而且，内部控制的质量反映的是公司整体运营的质量，内部控制的信息会反映公司整个信息生产系统的质量，其信息含量不仅比财务报告质量更丰富，而且直接决定和影响着财务报告质量。
二者的互补性在于内部控制与会计不是孤立存在的，而是彼此影响、互相作用的，主要表现在以下两方面。
一方面，内部控制质量会影响会计信息质量。一般而言，内部控制质量越高，会计信息质量越高。比如，内部控制质量越高，公司的盈余质量越高。例如，Doyle等(2007)和Ashbaugh-Skaife等(2008)认为内部控制质量与盈余质量正相关，他们将应计项目转为现金流量的程度作为盈余质量的代理变量。Gob等(2011)发现，未披露缺陷的公司相对披露缺陷的公司会计政策更加保守和谨慎。需要注意的是，内部控制质量与会计信息质量的关系会受到很多因素的影响，并不总是简单的正向关系。内部控制会改变企业盈余管理的方式，例如Bartov和Cohen(2011)发现在SOX法案颁布后，真正的盈余管理操纵增加了。
另一方面，会计信息质量及盈余质量也在某种程度上影响内部控制质量水平。例如，一般认为，公司财务状况越好，内部控制质量水平越高(Ashbaugh等，2007；Doyle等，2007)。这可能是因为公司盈利水平越高，对内部控制的资源投入就会更多，从而促进了内部控制质量水平的提高。再如，会计信息质量也会影响内部控制缺陷的披露。审计准则第2号(PCAOB 2004)认为财务报告的重述是内部控制缺陷存在的重要信号。Ge等(2005)也认为以往财务报告重述的存在会影响本期内部控制缺陷的披露。Leone(2007)选取2002年9月至2004年11月的128家报表重述样本进行研究后，发现在报表重述后，114(89％)家报告了内部控制缺陷，14(11％)家样本没有报告内部控制缺陷。
(三)间接路径研究对于制度选择的现实意义
如前所述，通过间接路径研究内部控制对投资者保护具有一定的局限性，但是间接路径的研究仍然具有一定的现实意义。
在缺少内部控制信息披露时，尤其在我国目前内部控制信息披露信息含量不高的情况下，会 计信息质量是反映内部控制质量水平的一个重要信号。即使在内部控制信息强制披露的情况下，由于内部控制信息可能会蕴涵公司运营管理、产品竞争等需要相对保密的信息，所以公司在披露内部控制信息及自我评价报告时，必然更加审慎和保守，这无疑也会降低内部控制信息披露的含量。会计信息与内部控制信息互补作用可以帮助提高内部信息披露对投资者的信息含量。
更为重要的是，会计信息相比于内部控制信息披露，具有增量成本低及社会认同度高的优势。内部控制自我评价报告披露及内部控制审计的成本之高，已为国外诸多实证研究所证实。会计信息和内部控制信息的异质性，决定了二者的不可替代性。但是，如果会计信息质量水平可以反应内部控制的缺陷信号，那么内部控制信息的强制披露与审计可能就不是必需的。另外，在权衡成本收益的情形下，可否考虑对一些会计质量较高水平的公司免除强制进行内部控制自我评价报告披露及内部控制审计的责任，也是一个值得研究的问题。
五、研究前景展望
内部控制投资者保护路径研究的现实意义在于：首先，基于直接路径研究，构建了内部控制投资者保护整体框架，从而拓展了内部控制有效性研究的思路；其次，通过路径研究，厘清内部控制运行、信息披露及外部监督关系的关系(替代或是补充)，从而为制度选择提供理论依据。
内部控制路径研究思路的提出，不仅拓展了现有内部控制理论研究的视野，也进一步拓展了国内内部控制实证研究的前景与方向。今后的实证研究可以围绕以下两方面展开。
第一，基于直接路径，将内部控制审计与内部控制运行纳入内部控制信息披露框架，研究内部控制自我评价报告的自愿披露动因。
第二，将直接路径与间接路径纳入投资者保护框架，实证检验内部控制直接路径及间接路径对投资者保护的贡献度。如果结果表明间接路径的贡献系数大于直接路径，则会计信息质量对于投资者保护已经具备相应的信息含量，可以不必强制内部控制信息披露及审计。反之亦然。
此外，鉴于国外SOX法案302条和404条的执行，已经证实了强制内部控制信息披露与审计的成本巨大，如果能有其他成本相对较低的预测模型或信号能够反映内部控制的质量水平，则无疑也可以降低企业的制度遵循成本。
参考文献：
[1]蔡吉甫，我国上市公司内部控制信息披露的实证研究[J]，审计与经济研究，2005(3)：85―88.
[2]陈汉文，张宜霞，企业内部控制的有效性及其评价方法[J]，审计研究，2008(3)：48―54.
[3]林钟高，郑军，C-I-契约视角的企业内部控制研究[J]，会计研究，2007(10)：53―61.
[4]李志斌，内部控制的规则属性及其执行机制研究――来自组织社会学规则理论的解释[J]，会计研究，2009(2)：39―43.
[5]谢志华，内部控制：本质与结构[J]，会计研究，2009(12)：70―75.