内部控制最权威的定义来自于美国COSO委员会制定的1992版《内部控制——整合框架》。依据《整合框架》，内部控制是指一系列由员工参与与执行的、以合理保证为前提的程序，它由五大要素构成，分别是控制环境、信息与沟通、内控活动、风险评估以及监督，其目标是确保经营管理的效率和效果、法律制度的遵从性以及财务报告的真实可靠性。值得注意的是，COSO的《整合框架》并不是唯一的内部控制框架，其他具有代表性的框架是1995年加拿大COCO委员会制定的《控制指南》。与《整合框架》不同，《控制指南》重点强调了集合体的概念，即内部控制的实质是将各种要素（如计划、任务、资源、文化等）有机结合，以帮助企业经营与管理的有序展开。我国监管部门对内部控制的界定主要借鉴COSO的《内部控制——整合框架》，在2008版的《企业内部控制基本规范》中，内部控制被定义为全体员工（包括董事会、监事会与管理层在内）共同参与的、以达成五大控制目标为目的过程，其中内部控制包含五大要素和五大目标，要素分别是风险评估、控制活动、内部环境、信息与沟通以及内部监督，目标分别是经营的效率与效果、资产的安全性、经营管理的合法合规性、财务报告的真实完整性、发展战略的可达成性。据此，本书总结了全球主要国家内部控制定义、要素和目标，详见表1-4。

表1-4　全球主要国家内部控制定义、要素和目标归纳表

国外资本市场最具代表性的内部控制制度是美国的SOX法案，该法案主要由SOX 302条款和SOX 404条款构成。其中SOX 302条款主要包含两条规定：①所有在SEC注册并提交财务报告的上市公司，其管理层必须对建立、执行与维护与财务报告相关的内部控制负责，且CEO和CFO必须对内部控制有效性发表声明，以确保企业遵照SOX 302条款的要求；②上市公司必须披露相关内部控制信息，披露的内容为：内部控制有效性结论、内部控制及其影响因素是否发生变化、内部控制重大缺陷和重要缺陷的修正措施。SOX 404条款也包含两条规定：①管理层应强制披露内部控制设计与运行的评价报告；②管理层必须聘请会计事务所进行内部控制审计，并出具相应的审计报告。

SOX法案在执行过程中曾经历过多次调整，其中影响最为广泛的两次调整是：第一次发生在SOX 404颁布后，大批上市公司对强制性内部控制审计制度提出了异议，认为SOX 404给企业带来了沉重的审计成本负担，为减轻成本，不少企业甚至采取自愿退市的方式进行规避。因此，为解决执行成本过高的问题，美国政府于2010年颁布了《多德-弗兰克法案》，给予市值小于7500万美元的小规模企业内部控制审计豁免权；第二次发生在2008年经济危机后，为了给中小企业创造良好的资本环境，美国政府于2012年颁布了《乔布斯法案》，以降低年报总收入少于10亿美金的“新兴成长型企业”（Emerging Growth Companies，EGC）的信息披露标准，这里豁免的信息披露内容就包括SOX 404要求的内部控制审计报告。从以上两次调整可知，虽然SOX法案规定所有上市公司应强制执行内部控制制度，但考虑执行成本问题，小规模企业和EGC企业可以豁免SOX 404条款。此外，本书还对全球主要国家及地区上市公司内部控制制度进行了归纳总结，详见表1-5。

表1-5　全球主要国家上市公司内部控制制度归纳表(www.daowen.com)

由图1-8可见我国内部控制制度的大致演进过程。虽然我国的内部控制制度早在2010年就已初步成型，但与美国SOX法案不同，我国的内部控制制度在实施模式上属于鼓励上市公司自愿实施。由于上市公司缺乏自愿实施动机（林钟高和丁茂桓，2017），深受信息披露“形式主义”的影响（孟焰和张军，2010），且相关法律法规监管尚处于完善之中，导致好的内控制度很难真正发挥实效。为解决内部控制制度执行难问题，根本性的制度变革措施是借助政府干预手段，打破旧的自愿实施模式，以打通自上而下改革的传导通道，林毅夫（1994）将这一制度变革措施称之为“诱致性制度向强制性制度变迁”。据此，我们可以认为，我国的内部控制制度经历了自愿性向强制性的制度过程变迁，在《企业内部控制基本规范》颁布至《分类分批实施通知》颁布的这段时间里，上市公司可自愿实施内部控制制度，故2009—2011年这段时间被定义为内部控制制度的自愿实施阶段，在《分类分批实施通知》颁布后，依据政策的时间安排，2014年12月31日是强制性内部控制制度的完成期，故2012—2014年这段时间被定义为内部控制制度的分类分批强制实施阶段。

图1-8　我国的内部控制制度演进图

2012年8月14日，两部委出台的《分类分批实施通知》对新一轮的内控改革进行了全面部署，并规定所有主板上市公司应自2012年起分类分批强制开展内部控制规范体系建设和内部控制审计。至此，我国的内部控制制度已进入强制执行阶段。依据该文件制定的时间安排，主板市场的1475家上市公司应全部纳入了强制实施范围，且截至2014年底，全部主板上市公司应完成强制性内部控制制度的落实工作。