2025年是上市公司内控规范体系全面实施后常态化覆盖的第二年，内控体系建设重心正从“合规达标”向“实质有效”加速转型。近日发布的《中国上市公司内部控制白皮书（2026年）》（下称《白皮书》）表示，内控质量不仅是合规要求，更是影响企业盈利能力与股东价值的实质性因素。
《白皮书》建议，构建整改闭环、夯实治理基础、应对新型挑战、推动审计提质，方能实现内控从“合规覆盖”到“实质有效”、再向“价值创造”的跃升——内控不仅是防范风险的底线，更应成为业务稳健运行的保障和战略决策的支撑，这是下一阶段内控体系建设的方向。
《白皮书》由深圳市迪博技术有限公司（下称“迪博公司”）编制。此次是该系列报告连续第19年发布。截至2026年4月30日，上市公司内控评价报告披露率99.38%，科创板与创业板连续实现100%全覆盖，内控审计报告披露率99.91%，科创板与北交所100%全覆盖。
《白皮书》指出，自评有效性总体良好，审计非标意见率有所反弹，从内控审计视角看，关联方资金占用、违规担保、财务报告失真、治理层失效、子公司失控是缺陷的主要来源。
当前上市公司内控建设正处于从“合规覆盖”向“实质有效”转型的关键期，《白皮书》表示，上市公司内控评价报告披露率较高，但信息披露的合规性与透明度仍存在缺口。首先，32家上市公司未披露内控评价报告，其中26家“声称已披露但实际未披露”。其次，在已披露的公司中，审计端54.33%的缺陷未明确等级。
另外，部分公司治理层缺陷，《白皮书》表示，治理层缺陷是内控失效的源头。个别上市公司董事会秘书、财务总监等关键职务相继离职后未及时改选，导致董事会人数低于法定要求；董事长同时兼任财务总监，公章证照管理混乱。还有个别上市公司ToB平台、复杂贸易、EPC项目等新业务内控建设滞后，商誉减值测试依据不足。
针对上述问题，《白皮书》建议，首先，建立自评与审计差异强制说明机制，要求存在重大差异的公司逐项说明具体情形、双方判断依据及分歧焦点，禁用“理解不同”等模糊表述。填补非标意见中缺陷等级披露的制度性缺口，明确要求审计机构对每一项缺陷认定等级并说明理由。建立内控差异披露数据库，借助市场定价功能形成软约束。
其次，建立“一项一编号”整改台账，重大缺陷每季度披露进展、重要缺陷每半年披露，确保缺陷整改全流程可追溯。建立“整改责任部门自验内审部门独立验证审计委员会审议”三级验证机制，重大缺陷须经审计机构复核，未通过验证的不得认定为整改完成。
第三，对董事会运作不规范、关键岗位长期空缺、董事长兼任财务总监等治理层缺陷建立预警与督促整改机制。如明确董监高空缺超过三个月未启动补选的，可采取监管措施并记入诚信档案等。
第四，推动出台数字化内控建设指引，将信息化安全、新业务合规、ESG管理、复杂会计估计等新兴风险纳入内控体系，建立适应技术迭代与商业模式创新的动态调整机制。
第五，推行审计质量分级监管，以差异化促进行业提质。建立聚焦内控审计的质量评级体系，在现有百强排名基础上补上“质量评级”的短板，评级可按区域分层实施，兼顾不同地区事务所的发展差异，评级结果向社会公开，供上市公司选聘时参考。
