上市公司的年度报告里有两份关于内控的文件：董事会出具的内控自我评价报告，和会计师事务所出具的内控审计报告（部分企业为内控鉴证报告）。两者结论应当一致，但实务中经常出现分歧。
分歧本身不可怕，可怕的是企业不知道怎么处理，结果被监管问询或者被出具非标意见。
一、两份报告的区别
内控评价报告由董事会编制，是企业对自身内控的自我评估，依据是《企业内部控制基本规范》及配套指引。结论通常是“有效”“基本有效”“无效”三种。
内控审计报告由会计师事务所出具，是对内控有效性的独立鉴证，依据是《企业内部控制审计指引》。意见类型分四种：标准无保留、带强调事项段的无保留、否定意见、无法表示意见。
两者评价的是同一件事，但立场不同：一个是自我评价，一个是独立判断。分歧的本质是“企业内部认为没问题，外部认为有问题”。
二、不一致的四种成因
成因一：缺陷认定标准不同。企业把某项缺陷定为一般，审计师定为重大。这是最常见的情形，根源在定量标准的设计（基准选利润还是选收入）。
成因二：测试范围不同。企业自评覆盖总部，审计师覆盖总部加子公司；或者企业抽 20 个样本，审计师抽 60 个样本，发现问题更多。
成因三：对“整改完成”的判断不同。企业认为已经整改（出台了制度），审计师认为制度未运行足够长时间，不能认定整改完成。
成因四：信息不对称。审计师通过其他审计程序发现了企业自评未发现的问题（比如资金占用），而这个问题同时构成内控缺陷。
三、处理顺序
正确的处理顺序是四步：
第一步，先解决事实分歧。双方把缺陷的事实核对清楚：是什么控制、在什么时间、失效到什么程度、影响多少金额。事实清楚了，定级分歧才好谈。
第二步，讨论定级标准。如果分歧在定级，回到制度里的标准。标准是年初定的，双方都应遵守。如果标准本身不合理（比如只按利润的 5% 定），可以修改标准并说明理由，但要追溯适用。
第三步，评估整改状态。整改中的缺陷，要说明补偿性控制是否有效。有效的补偿性控制可以降低缺陷等级，但不能把重大缺陷降为一般。
第四步，确定披露口径。如果最终无法达成一致，以内控审计报告的结论为准，同时在评价报告中说明差异及原因。
四、披露要求
三种情形对应三种披露：
- 自评“有效”、审计“标准无保留”：正常披露，无需特别说明。
- 自评“有效”、审计“带强调事项段”：要在评价报告中说明强调事项的内容及影响，并披露整改计划。
- 自评“有效”、审计“否定意见”：这是最严重的情形。企业必须修改自评结论，或者说明为何坚持自评结论；同时要披露重大缺陷的具体情形、影响、整改措施与时限。监管通常会问询。
反向情形（自评发现重大缺陷、审计出具标准无保留）很少见，但如果发生，审计师会被质疑未勤勉尽责。
五、一个被出具否定意见的案例
某新材料上市公司 2022 年年报，董事会的内控评价报告结论为“内部控制有效，发现一般缺陷 5 项”。
会计师事务所出具了否定意见的内控审计报告，理由是存在两项重大缺陷：
一是关联方识别与披露控制失效。公司通过三家由实际控制人亲属持股的供应商采购原材料，2022 年交易金额 1.4 亿元，占采购总额 18%，未识别为关联交易，未履行审批与披露程序。
二是资金支付审批控制失效。公司向上述三家供应商预付货款 6800 万元，预付比例 100%，远超合同约定的 30%，且无特殊审批记录。
企业最初坚持自评结论，理由是该三家供应商“股权上与实际控制人无直接关系”。审计师提供了股权穿透图与访谈记录，证明实际控制人的侄子持有其中两家的股份。
最终企业修改了自评报告，结论改为“内部控制存在重大缺陷”，并披露整改措施：解除与三家供应商的合作、追回预付款、修订关联方管理制度、对财务负责人予以免职。
后果：公司被交易所问询，股价下跌 23%，一笔 5 亿元的定增被中止。整改耗时 8 个月。
六、企业端的准备工作
- 年初就与审计师沟通缺陷认定标准，形成书面共识；
- 自评测试的样本量、覆盖范围与审计师保持一致，避免范围差异；
- 对发现的缺陷，及时告知审计师，不要等到年末；
- 整改要留痕：制度文件、培训记录、执行记录、复核记录；
- 整改后运行至少 3 个月，再申请复核；
- 对无法在年内整改完成的缺陷，设计补偿性控制并测试其有效性；
- 关联方名单每季度更新，由董秘牵头，财务、法务、业务部门共同确认；
- 自评报告与审计报告的结论差异，提前准备说明材料；
- 重大缺陷的披露要具体，不要用“个别环节存在不足”这类模糊表述；
- 整改完成后，在下一年度的评价报告中说明整改效果。
内控评价不是写给监管看的作文，是企业对自己身体的一次体检。体检报告和医生的诊断不一致时，该信医生的。
