初创类上市公司财务报告内部控制透析——以瑞维安公司为例.pdf

12新会计（月刊）2 0 2 4年第2 期（总1 8 2 期）案例研究Casestudy初创类上市公司财务报告内部控制透析以瑞维安公司为例上海国家会计学院袁敏【摘要】财务报告内部控制的评价和审计是资本市场的基本制度安排，监管部门对初创类首次上市的公司提供程度不等的减轻或豁免披露要求。本文以美国电动汽车生产制造商瑞维安公司为例，讨论该公司在没有法定披露要求的前提下，持续披露该公司在信息技术总体控制中存在的财务报告内部控制重大缺陷，以及公司采取的相关补救措施、注册会计师的审计应对。本文认为瑞维安公司存在的内部控制问题在初创类上市公司中具有一定的普遍性，公司对信息技术总体控制的持续改善，加强对职责分工风险的评估和应对，强化对与财务报告编制相关的系统、应用及工具的持续评估和监控等措施，具有一定的借鉴意义。【关键词】初创公司信息系统总体控制瑞维安汽车公司一、引言自2 0 0 2 年美国颁布实施会计改革与投资者保护法案以来，上市公司在定期报告中披露财务报告内部控制及其审计师意见成为法定要求，全球资本市场也相应修订了相关规则，使得内部控制信息成为投资者广泛关注的焦点。通常情况下，财务报告内部控制一旦存在重大缺陷，轻则引起上市公司股价出现波动，重则会引起监管部门的关注。考虑到内部控制的实施成本高昂，不同资本市场中对新上市公司的内部控制信息披露提供一定的豁免，以减轻公司的负担。即便如此，很多上市公司仍然会主动披露内部控制方面的信息，以建立投资者的信任，实践中很少有公司在没有法定披露要求的前提下，主动披露自身财务报告内部控制存在重大缺陷，而美国的电动车生产厂商瑞维安（RivianAutomotive，I n c）成为其中的异类。本文以该公司上市前后所披露的财务报告内部控制重大缺陷为例，讨论初创类上市公司的内部控制问题，以期为类似公司开展内部控制建设提供借鉴。二、案例概述（一）公司简介瑞维安汽车公司初创于2 0 0 9 年，公司2 0 1 9 年因与美国电商巨头亚马逊（A）达成合作协议。协议约定，双方合作共同设计、开发、制造和供应厢式货车，以解决亚马逊物流配送运营问题。根据协议，亚马逊以其下属的全资子公司亚马逊NV投资控股有限公司（ANVInvestmentHoldingLLC）持有瑞维安的相关股份，并计划未来数年从瑞维安购买1 0 万辆电动货车；与此同时，瑞维安可以将某些符合条件的特定开发成本转嫁给亚马逊承担。（二）案例公司财务状况2021年1 1 月1 0 日，瑞维安在美国纳斯达克优选股市场完成首次公开发行（IPO）。根据相关信息披露，公司以7 8 美元股的价格发行了1.53 亿股的A类普通股。与此同时，包括摩根斯坦利在内的众多承销商，以同样价格购买了额外的2 2 9 5万股A类普通股，扣除1.8 5亿美元的发行折扣及佣金等费用，公司一次性筹集总额约1 3 5亿美元的现金，成为继特斯拉之后的美国第二大电动车生产厂商。作为大股东和重要客户，亚马逊持有约1.58 亿股的瑞维安A类普通股，占2 0 2 1 年1 2 月3 1 日瑞维安总股本的1 8%。由于瑞维安采用双重股权架构，其中A类普通股1 股代表1 份投票权，B类股1 股代表10票投票权，亚马逊所拥有的投票权约为1 6%。为体现重视及对瑞维安的显著影响，亚马逊安排了一位人员进入瑞维安的董事会，并从2 0 2 1 年开始首次接收少量的瑞维安交付的电动货车。与此同时，瑞维安也开始广泛接受消费者的预定，并在2 0 2 1 年实现了550 0 亿美元的销售收入。作为科创型公司，瑞维安的财务业绩并不突出，收人虽然增长显著，但亏损却呈现放大趋势，相关13新会计（月刊）2 0 2 4年第2 期（总1 8 2 期）Casestudy案例研究财务数据见表（1）。表（1）瑞维安上市前后的主要财务指标概览（单位：亿美元）项目202020212022销售收入00.5516.58净利润-10.18-46.88-67.62经营活动产生的净现金流-8.48-26.22-50.52累计净亏损-55.26-63.74-131.26资料来源：根据上市公司年报信息整理。上市公司在利润、现金流等关键指标表现不尽如人意，随之而来的是上市公司股价下跌。截至目前，公司流通在外的A类普通股股价相较2 0 2 1 年的发行价，已经跌去近8 0%。三、财务报告内部控制存在问题分析（一）相关制度要求根据瑞维安公司披露的上市文件，公司在发行股票之前，符合美国所谓的“处于成长阶段的初创公司”（emerginggrowth company，E G C）定义。时任总统奥巴马时任签署了引起市场参与者广泛关注和争议的促进创业企业融资法案（JumpstartOurBusiness Startups Act，JO BS法案）。根据该法案，符合条件的、年收人低于1 0 亿美元的EGC公司，可以在上市申请规则、信息披露要求等方面享受诸多豁免，以降低公司融资方面的障碍。瑞维安公司上市前尚未实现电动车的量产，没有销售收人，公司于上市的2 0 2 1 年度，全年收人符合JOBS法案所规定的EGC标准，可以享受诸多监管豁免要求，如可以向证监会秘密提交申报材料以保护公司的隐私，仅需要在路演前的2 1 天公布上市申报书即可。此外，还包括放宽管理层讨论与分析以及选择披露的财务数据等要求，同时豁免对公司管理层薪酬的披露要求等。其中较为引人注目的豁免要求之一，是不需要提交上市前一年财务报告内部控制的管理层评价报告，也不需要独立注册会计师对财务报告内部控制进行审计。（二）上市公司实践尽管按照上市规则，类似于瑞维安这样的初创公司可以不披露财务报告内部控制相关信息，但可能出于透明性的考虑，瑞维安在2 0 2 1 年1 1 月公布的招股说明书中，披露了上市公司存在财务报告内部控制重大缺陷。一是承认公司财务报告内部控制存在重大缺陷。根据相关制度，上市公司财务报告内部控制的缺陷可以分为一般缺陷、重要缺陷、重大缺陷。重大缺陷是指一个缺陷或多个缺陷的组合，这些缺陷存在于财务报告内部控制中，导致年度或中期财务报表，可能无法及时预防或发现潜在的重大错报。瑞维安坦承，公司在编制包含在招股说明书中的财务报表时，发现了财务报告内部控制存在重大缺陷。公司认为，其在解决财务相关职能的职责分工方面，以及针对企业资源计划（ERP）系统中，运用于财务报告的工具和应用方面的信息技术总体控制（ITGCs）存在重大缺陷，并认为该缺陷不会导致财务报表的重大错报。与此同时，公司还对该重大缺陷的原因作出了解释。招股说明书及相关年报信息披露显示，此前作为尚未上市的私人公司，瑞维安没有建立必要的业务流程、系统、人员，以及相关的必要内部控制，以满足上市公司的会计和财务报告要求。公司也承认，如果公司无法得出财务报告内部控制是有效的结论，或者将来独立的第三方会计师事务所针对财务报告内部控制得出了非标审计意见，则可能导致投资者丧失对公司财务报告准确、完整的信心，进而可能对公司股票价格产生负面影响，更严重的是可能会引起利益相关方提起法律诉讼或监管部门立案调查。因此，公司认为，有必要投人额外的财务及管理资源，以建立健全和维护有效的财务报告内部控制制度。二是采取了系列补救措施。公司在承认财务报告内部控制存在重大缺陷的同时，先后采取了多种措施加以改善。但截至2 0 2 2 年1 2 月3 1 日，该重大缺陷仍未得到有效弥补，认为在未来期间需要采取额外措施，以弥补财务报告内部控制的重大缺陷。根据年报披露的信息，公司采取的补救措施包括：执行相应的程序和控制，以更好地识别并管理公司在财务报告职能方面的职责分工风险；执行信息技术的总体控制，管理IT环境下相关登录和程序变更的活动，同时针对关键的应用控制以及关键报告开展评估、监控，以合理保证其持续有效性；针对部分应用于财务报告和经营流程的IT系统开展风险评估；设计、开发并应用改良后的ITGC框架，包括应用一系列的系统和工具，合理保证相关控制的有效性并得到一贯执行；招聘一些具有上市公司和内部控制经验的专业人员，担任关键岗位、敏感岗位的负责人，以更好地设计、执行并监控ITGC，关键及敏感岗位具体包括首席信息官（CIO）、首席14新会计（月刊）2 0 2 4年第2 期（总1 8 2 期）案例研究casestudy运营官（COO）、会计机构副总裁以及内控合规负责人等。除已经采取的这些补救措施外，公司还考虑结合流程的有效性，评估经营和技术变革对公司财务报告的影响，并继续增加投人聘请具有相应技术背景和知识结构的专业人士，更好地执行、监控并维系ITGC的有效性。这些已采取和拟采取的措施，将得到管理层的持续复核和审计委员会的监督。三是注册会计师将公司的财务报告内部控制重大缺陷，作为关键审计事项段予以披露。尽管按照相关制度规定，瑞维安公司不需要在年报中披露财务报告内部控制的审计报告，但公司存在的重大缺陷引起了注册会计师的关注。公司外部审计师毕马威（KPMGLLP）会计师事务所在审计报告中将公司的财务报告内部控制缺陷作为关键审计事项段予以披露。注册会计师认为，公司的风险评估程序无效。考虑到影响特定财务报告流程和相关信息系统的经营业务变更、员工配备及其他因素，以及相关控制措施的及时性不够，导致公司运用于财务报告的特定系统、应用、工具等相关信息技术总体控制无效，注册会计师无法依赖这些ITGCs的自动和手工程序，进行财务报告编制的内部控制。毕马威会计师事务所认为，将审计证据的充分性加以评估是关键审计事项，而评估审计证据是否充分主要依赖审计师的主观判断。前述财务报告内部控制重大缺陷的广泛性，导致审计证据的充分性受到很大挑战。注册会计师采取了有针对性的应对程序，并应用职业判断来确定针对财务报表账户余额所执行的审计程序的性质和范围。其采取的措施包括：首先，获取并审查公司已经采取的解决以前年度内部控制重大缺陷的补救计划。其次，增加样本的抽样数量。相较于内部控制的设计、运行有效的场景，在瑞维安公司ITGCs存在重大缺陷的前提下，审计师增加了实质性程序中需要抽样的样本数量，以合理保证审计证据的充分性。再次，从受到内部控制重大缺陷影响的信息系统中，选取相应的交易数据加以测试，为审计师已经开展的审计工作中所使用的信息提供支持。最后，从公司的手工及自动化日记分录中选择相应的样本，检查支撑文档及授权证据。（三）案例分析首先，瑞维安公司在财务报告内部控制的建设和实施过程中存在的问题具有一定的普遍性。作为处于初创阶段的公司，瑞维安将大量的精力放在新车型的开发和量产上，对内部控制的关注、管理及资源投人显著不足。随着公司的上市，尤其是需要编制招股说明书，瑞维安不得不面对公司的风险因素披露的现实问题，再加上公司量产爬坡、人员大量增加、办公场所扩张等一系列新的变化，原有的控制问题自然而然暴露在治理层和管理层的视野中。在此背景下，公司有必要在内部控制的意识、机制、能力建设上投人大量的管理资源，以逐步适应作为上市公司的管理需要。瑞维安公司敢于在招股说明书中披露财务报告内部控制存在重大缺陷，既是对现状的清醒认识，也为下一阶段的工作指明了方向。其次，瑞维安公司对财务报告内部控制存在的重大缺陷进行的整改，经历了很长的时间。仅仅认识到问题远远不够，对于内部控制基础相对薄弱、长时间没有收入来源的初创类公司而言，其要快速解决公司内部控制中的重大缺陷并不容易。瑞维安公司在2 0 2 1 年招股说明书、2 0 2 1 年和2 0 2 2 年两个财年的年报中，都明确指出内部控制重大缺陷的表现、原因以及采取的补救措施，与此同时坦承公司的财务报告内部控制重大缺陷尚未得到有效弥补，相关措施将在以后的年度继续落实，体现了公司管理层对重大缺陷的整改困难有清醒的认识。公司的营业收人从2 0 2 1 年至2 0 2 2 年1 年之内增长3 5倍，随之而来的是人员增加、办公场所扩张，与车辆交付相关的特定物流成本、促销成本，以及与财务报告编制相关的信息技术费用、与日常经营相关的差旅开支及杂项费用大幅增加，这对瑞维安公司的内部控制建设带来了很大挑战。针对已经识别的财务报告内部控制重大缺陷，公司在专业人员配备、信息技术总体控制的开发和实施方面，需要投人大量的资源，但显然在一些关键应用控制和关键报告的持续有效性方面，公司还无法达到预期的控制目标，需要在职责分工、IT环境下的系统登录和程序变更等方面持续进行优化和改进，以更好地支撑、监控这些关键控制持续有效。最后，注册会计师将财务报告内部控制存在的重大缺陷作为关键审计事项，增强了审计报告的沟通效果。根据我国注册会计师审计准则第1 50 4号一一在审计报告中沟通关键审计事项的规定，关键审计事项的确定涉及职业判断，通常是注册会计师在审计中关注到的最重要的事项。一旦被确定为关键审计事项，意味着是注册会计师在审计过程中重点关注到的，是最重要的事项，是注册会计师与治理层进行过较多次的互动事项，需要引起治理15新会计（月刊）2 0 2 4年第2 期（总1 8 2 期）Casestudy案例研究层和管理层的重点关注。关键审计事项的确定和披露，有助于市场参与者了解审计中所面临的较为困难和复杂的事项，表明注册会计师试图通过与治理层之间的多次互动沟通，增强对这些事项重视程度，同时构成注册会计师判断或管理层判断的对象。注册会计师在对瑞维安的年报审计中，没有将收入、研发开支、股份支付等常规的事项作为关键审计事项，而是将因财务报告内部控制存在重大缺陷导致的审计证据充分性，作为关键审计事项予以披露，突出了财务报告内部控制的重要性和影响的广泛性。在毕马威会计师事务所眼中，ITGCs存在的重大缺陷，直接影响到审计样本的抽样数量以及相关审计程序的性质和范围，也对审计证据的充分性构成了挑战，因此可以认为，注册会计师将财务报告内部控制的有效性，看作比收入、研发、股份支付等更重要的事项加以强调，以提醒投资者适当关注公司财务报告内部控制中的重大缺陷及其影响。四、思考与启示内部控制可为实现公司财务报告真实、可靠等目标提供保证。瑞维安公司的实践，为初创类上市公司开展财务报告内部控制建设提供了有益借鉴。首先，应充分认识财务报告内部控制的重要性。无论是海外的资本市场还是中国的上交所、深交所和北交所，相关监管部门都对上市公司内部控制的建设、实施和报告提出了明确的要求。以2 0 2 3 年上交所发布的上海证券交易所发行上市审核业务指南第2 号一一发行上市申请文件为例，在申请文件目录6-4中明确提出，会计师事务所关于发行日的内部控制鉴证报告内部控制审计报告，要求由总所出具，并由申报会计师签名盖章，加盖会计师事务所公章，申报会计师应盖标准私章。2 0 2 3 年修订的科创板上市公司自律监管指南第7 号一一年度报告相关事项中指出，上市公司应当在披露年度报告的同时，披露董事会对公司内部控制的评价报告以及注册会计师出具的财务报告内部控制审计报告。内部控制已经成为上市公司的法定要求，理应受到治理层和管理层的重视，并在风险评估、人员配备、资源投人等方面予以强化。为扶持成长型、初创型的公司，降低其成本负担，不同资本市场往往也会对新上市公司进行例外处理，减轻甚至豁免其内部控制的信息披露要求。如美国的JOBS法案不要求EGC提供上市前一年的财务报告内部控制管理层的评价报告和审计师的鉴证报告；我国的科创板上市公司自律监管指南第7 号年度报告相关事项也明确，对于新上市的公司而言，应当在上市当年开始建设内部控制体系，并在上市的下一年度披露内部控制评价和内部控制审计报告。但不作刚性要求，并不代表不需要做，瑞维安的实践告诉类似的初创企业，需要重视财务报告内部控制建设工作，并持续加大对内部控制建设的投人。其次，应适当关注中外上市公司对内部控制要求的差异性。这不仅体现在内部控制和财务报告内部控制的名称上，还体现在内部控制建设过程中所依据的理论基础或实践框架上，甚至在内部控制相关信息的披露上也存在显著差异。如按照我国的相关制度规定，内部控制评价报告与内部控制审计报告应当在指定网站上单独披露，而瑞维安的内部控制信息则混合在年报中予以披露。对存在重大缺陷的情形，上交所的科创板上市公司自律监管指南第7 号一一年度报告相关事项第六条规定，上市公司应在年度报告的指定部分“公司治理”章节中，披露报告期内发现内部控制存在重大缺陷的具体情况，包括缺陷发生的时间，对缺陷的具体描述、缺陷对财务报告的潜在影响，已实施或拟实施的整改措施、整改时间、整改责任人及整改效果等。而瑞维安的披露相对简单，没有披露缺陷对财务报告的潜在影响、整改责任人、整改效果等信息。除此之外，从上市公司披露的内部控制评价和审计报告看，我国上市公司在重大缺陷的披露更多关注一些细节信息，包括内部控制缺陷产生的具体领域，如资金、存货、关联方交易等。而美国公司则大多从内部控制的构成要素出发，更强调治理与文化、风险评估等方面的问题。再次，应理解财务报告内部控制与财务报告两者之间的关系。从理论上看，财务报告内部控制是“过程”，财务报告是“结果”，过程有问题并不代表结果一定有问题。在我国资本市场中，常见的现象是内部控制和财务报告同时被出具非标准审计意见。以中注协发布的2 0 2 2 年年报审计情况快报为例，截至2 0 2 3 年4月3 0 日，有49 家上市公司被出具否定或无法表示意见的内部控制报告，且这49 家公司大都是ST或*ST公司。但从财务报告审计意见看，这49家公司中仅有一家被出具了无保留意见，另外48家则有5家被出具带强调事项段、带持续经营事项段的无保留意见的财务报告审计意见，其余则被出具了保留意见或无法表示意见。这在某种程度上表16新会计（月刊）2 0 2 4年第2 期（总1 8 2 期）案例研究casestudy明，上市公司被出具非标准意见的可能性，与上市公司是否被“特殊处理”密切相关。且一旦某家上市公司被出具了非标准的内部控制意见，绝大部分可能被出具财务报告的非标准意见，上市公司的内部控制审计意见与财务报告审计意见高度相关。瑞维安公司的实践，则在某种程度上颠覆了这种相关性。首先，作为一家初步登陆纳斯达克市场的上市公司，瑞维安公司的业绩虽然很差但符合预期；其次，瑞维安公司在招股说明书、2 0 2 1 年年报、2022年年报三份重要的信息披露文件中，明确公司财务报告内部控制存在未经弥补或未经有效弥补的ITGCs重大缺陷，同时也宣称财务报告是合法、公允的。显然，财务报告内部控制与财务报告关系密切但并非因果关系，当财务报告内部控制存在重大缺陷时，并不必然导致财务报告的重大错报。最后，财务报告重大缺陷的弥补具有长期性的特征。瑞维安公司虽然一直在对财务报告内部控制中存在的重大缺陷进行弥补，但直到上市后的第二年，仍然未能完成缺陷的整改，显示缺陷整改的长期性和艰巨性。需要指出的是，对内部控制缺陷的分类，在实践中并没有统一标准。瑞维安公司披露的缺陷并非针对某个具体的交易、认定或账户，而是对整个财务报告公允列报存在普遍影响的信息技术问题，这对所有上市公司具有积极的借鉴意义。根据2 0 2 2 年财政部、证监会联合发布的关于进一步提升上市公司财务报告内部控制有效性的通知，上市公司应加强对与财务报告编制相关的信息系统风险评估和控制，包括实施有效的信息系统总体控制，确保信息系统操作的可追溯性，以及实施有效的信息系统应用控制。这包括对重要业务系统建立有效的访问权限管理、禁止不相容岗位用户账户的交叉操作，以及建立实施不同信息系统之间的接口配置、系统配置、校验等其他重要的应用控制。但在实践中，几乎没有上市公司披露有关信息系统总体控制的重大缺陷。瑞维安公司在超过2 年的时间内，一直披露公司资源计划（ERP）中与财务报告相关的系统、应用及工具存在重大缺陷，并承认在财务职能的相关职责分工方面存在风险，在某种程度上验证了我国财政部、证监会对此问题的关切。瑞维安在系统、应用、工具等方面的持续关注，以及在具有上市公司内部控制经验的关键人员上的投人，为类似公司提供了很好的启示与借鉴。随着公司经营业务的快速发展，研发、生产、交付、售后服务以及与客户服务相关的云基础设施建设、数据存储与分析等方面的拓展，必然会对内部控制建设与实施带来挑战。瑞维安公司对内部控制的建设从无意识到按照上市公司的标准展开，显然无法通过“补漏洞”的方式一而就，需要治理层、管理层的持续关注和资源投入，并在信息技术总体控制方面下功夫，尤其是应对IT环境下的用户登录和程序修改、将ERP系统与财务报告流程无缝连接、对不相容职务进行合理的分工等方面进行重点关注。五、结语作为初入资本市场初创类上市公司，瑞维安一贯地披露了公司ITGCs存在重大缺陷，体现了对财务报告内部控制的重要性及其本质特征的把握。初创类上市公司可从中得到有益启示：一方面，应认识到财务报告内部控制与财务报告是相关的，但并非因果关系。财务报告内部控制存在重大缺陷，并不意味着财务报告必然存在错报。承认财务报告内部控制存在重大缺陷并非错事，认识到问题所在，才能对症下药。另一方面，应充分认识财务报告内部控制建设的过程特征。瑞维安在2 0 2 1 年就意识到公司财务报告内部控制存在重大缺陷，但经过2 年的时间整改，却没有实现ITGCs的有效落实，且公开承认相关的财务报告内部控制重大缺陷将在2 0 2 3年继续存在，相关整改措施将持续、有序推进。认识缺陷仅是第一步，进行有效整改则需要付出更多的时间、精力和资源。瑞维安针对重大缺陷所开展的实践活动，包括充分披露与ITGCs相关的财务报告重大缺陷，持续采取补救措施以改善IT-GCs，聘请具有上市公司内部控制经验的专业人士，帮助设计、开发，并一贯应用ITGCs，对与财务报告编制相关的ITGC进行持续评估和监控，及时识别并有效应对职责分工方面存在的风险等，这些都是可资借鉴的经验。公司还应从内部控制要素着手，特别关注风险评估的重要性，充分认识公司快速扩张过程中人员、技术、流程变化所带来的风险，在影响整个财务报告编制的信息技术总体控制上下功夫，为公司财务报告编制提供坚实基础参考文献：1财政部证监会关于进一步提升上市公司财务报告内部控制有效性的通知 中华人民共和国财政部文告，2022(5):9-13.