上证所的《上市公司内部控制指引》引入了中介机构对内控制度的外部审核。根据《指引》规定，会计师事务所应参照主管部门有关规定对公司内部控制自我评估报告进行核实评价；公司董事会应在年度报告披露的同时，披露年度内部控制自我评估报告，并披露会计师事务所对内部控制自我评估报告的核实评价意见。
引入外部审核制度的依据是，2005年11月颁布的《国务院批转证监会的通知》对上市公司内部控制提出了新的要求，提出“要通过外部审计对公司的内部控制制度以及公司的自我评估报告进行核实评价，并披露相关信息”的要求。
《指引》从今年7月1日起即开始实施，因此，从2006年年度报告起上市公司就应披露内部控制自我评估报告和会计师事务所对自我评估报告的核实评价意见。有关专业人士表示，内控制度的完善将大大提高上市公司的治理水平和风险防范能力，在给会计师事务所带来新的业务空间的同时，也提出了很大的挑战。
《指引》体现国际最新标准
几乎每一位接受采访的专业人士都强调了《指引》与美国《萨班斯-奥克斯利法案》的关系。上海国家会计学院副院长谢荣表示，上证所的《指引》与《萨-奥法案》的要求相吻合。《萨-奥法案》404条款规定，上市公司在披露年报时，不仅要对内控制度进行自我评价，说明其对公司财务报表可能的影响，如果有缺陷的话应提出如何弥补，同时也要求会计师在进行审计时，对内控制度的完善性，管理层对内部控制的自我评价的客观性和合理性，做出独立的审核和评价。上海新世纪资信评估投资服务公司总裁朱荣恩介绍说，《萨-奥法案》实施后，注册会计师除了要对公司年报进行审计外，还要对上市公司的内部控制以及公司管理层的内部控制自我评价进行审核和评价，其审计范围在财务报告基础上大大扩展了，增加了大量非财务领域的审计内容，可以给公众投资者以更多的信息。
但上述两位专家同时都强调，上证所出台《指引》，不仅是对国际先进制度的借鉴，也是国内自身相关法律法规体系的延续。朱荣恩表示，早在三年前中国证监会关于上市公司首次发行新股的相关管理办法中已经提出了关于内控制度的要求。不仅拟发行公司要提交有关内部控制的自我评价报告，而且也要求注册会计师对此报告要做评估。当然，这一要求当时还局限于首发公司。中注协当时也出台了相应的准则，规定了对内部控制报告的审核意见的四种类型，即无保留意见、保留意见、不发表意见和否定意见。所以《指引》也是我们原有做法的扩展和强化，原先我们在执行范围、力度和宣传上都还不够。
朱荣恩指出，目前的财务审计程序也关注到内部控制问题，按现在的规定，在财报审计中如发现问题和薄弱环节，会计师可以给管理层提出管理建议书，但这个建议书不对外披露，而且不具有强制性，可做可不做。《指引》规定的审核报告一是要公开披露，二是具强制性，因此对公司和会计师都具有更的约束力。
谢荣则指出，上证所《指引》在某种程度上，比《萨-奥法案》404条款的要求更高。404条款主要针对对财务报表产生影响的内部控制制度健全与否，《指引》则对公司内控制度提出全方位的要求，比如战略制定实施、管理的风险等。目标涵盖提高公司经营效果效率、时增强信息披露的可靠性以及公司行为的合法合规三个方面。另一点重大的区别是，《萨-奥法案》是2002年通过的法案，要求遵循的标准是COSO（美国《反欺诈法案》发起组织委员会）1992年制定的内部控制制度，控制要素共五项。《指引》则是根据COSO2004年制定的企业风险管理的整体框架，内控要素发展到8要素。
是机遇也是挑战
据介绍，《萨-奥法案》404条款在美国从2004年开始实施。在美国上市的十几家中国大型集团公司原被要求去年年报审计时就开始实施，但由于工作量太大，美国SEC同意中国公司延迟到今年底实施。最近这些公司一方面在请中介机构帮助完善公司的内控机制，一方面在今年审计委托书中，增加对内控报告的审核。
普华永道中天一位刚刚参与了某纽约上市大型国企的内控制度建设的资深合伙人表示，美国的财务审计本来就对内控制度有一定的关注。《萨-奥法案》进一步要求公司年报和季报都要披露内控制度自我评价和审核评价。实际上，审计会计师要出三个报告，一是普通的财务报表审计，一是对公司管理层内控自我评价报告的自查过程、程序、范围是否合理的审核报告，另外会计师事务所还要为公司单独再做一次内控制度的评价报告。因此工作量极其繁重，需要投入较大的人力成本和资金成本，专业要求也很高，审核范围远大于传统的报表审计。鉴于此，《指引》对中国的上市公司和会计师来说，也是一项挑战。
朱荣恩认为，《指引》的实施，给中介机构特别是注册会计师带来了新的市场空间。在这个过程中，企业需要中介机构提供帮助。在纽交所上市的中国企业，现在都在聘请“四大”做专业咨询、设计和培训。
谢荣强调，《指引》从今年年报就开始实施，这个要求和在美国上市的中国企业的要求一致，时间要求是极高的，对上市公司和会计师事务所来讲有相当的难度。一旦提出了正式的自我评价报告和审核报告，公司管理层和注册会计师就要对其承担法律责任。因此，这个工作具有很强的挑战性。
前述普华永道的合伙人同时还提出，《指引》的相关表述是“会计师事务所应参照主管部门有关规定对公司内部控制自我评估报告进行核实评价”，这一规定似嫌模糊，还不够具体细致。希望能够进一步细化，提高可操作性，以便会计师在审核时有章可循。(上海证券报 王璐 2006-6-8)