企业IPO前后的内部控制风险及应对
科技的快速发展和新技术的广泛应用，孕育了许多创新型企业。市场对于这些企业呈现出高度的热情，投资活动也愈发频繁，一大批公司纷纷希望能够进入资本市场进行IPO上市。然而，在发行人准备登陆美股、A股和港股上市之际，市场上各种疑虑和担忧也开始凸显出来。
发行企业的困惑：为了加快上市进程，公司需要完成哪些准备工作？为了达到理想的定价，公司如何传递自身的价值信息？
投资机构的难题：在众多耀眼的公司中，如何确定真正的“明星/潜力”股票？面对繁杂的数据，投资者如何获取有效信息，以了解公司的真实风险和价值？
保荐机构的担忧：专业领域有专业人士，保荐机构如何借助专业机构的力量，确保信息披露得当，为市场选出“优质公司”？
监管机构的顾虑：如何准确监管发行机构，使优质公司能够迅速进入市场？在信息披露方面，如何确保审核出真实的公司，切实保护投资者利益？科创板备受期待，如何建立长期有效的机制，以确保市场的健康发展，并使其成为全球下一个纳斯达克？
由此我们可以发现，企业IPO前后的风险巨多，而内部控制贯彻整个企业发展的阶段同时还存在较大的风险，需要重点关注并应对。
目录：
1、内部控制合规规定
①美股IPO：关于萨班斯-奥克斯利（SOX）法规
美国萨班斯-奥克利斯法案于2002年形成正式法规，对内部控制进行了总体表述，随后美国证监会（SEC）以及美国公众公司会计监督委员会（PCAOB）发布的文件和准则为该法案提供了进一步的实施细则。
萨班斯奥克斯利法案404条款要求：
- a条款：管理层必须每年对于该公司财务报告相关内部控制的有效性出具书面意见（书面意见必须根据相关的控制测试结果得出）；
- b条款：审计师必须对被审计单位财务报告相关内部控制的有效性出具审计意见。
尽管Jobs法案发布后给予了一些公司豁免权，但为了增强企业的公众信心，越来越多的公司在豁免期内自愿进行与SOX相关的工作；还有一些公司在上市准备期间提前进行SOX准备服务。同时，由于5年豁免不包括404(a)条款，管理层仍需在第二年发布财务报告时对财务报告相关的内部控制发表声明。
针对以上法规和市场需求，具体的应对有：
| 具体情形 | 应对措施 | 目的所在 |
|---|---|---|
| 准备赴美上市的公司、已上市但豁免404(b)的公司 | SOX提前准备 | 帮助公司尽早识别内控缺口，完成整改 |
| 已美股上市公司、已上市但豁免404(b)的公司 | SOX内控评价 | 帮助管理层进行自评，为内控自评意见提供基础 |
| 已美股上市公司 | SOX审计 | 发表SOX审计意见 |
| 有赴美上市意图的公司、上市过程中的公司、已上市的公司 | 内控培训 | 帮助提升员工的内控意识及知识储备 |
②A股IPO：企业内部控制基本规范相关服务（C-SOX）
2008年，财政部、证监会、审计署、银监会、保监会（“五部委”）联合发布了《企业内部控制基本规范》，明确了企业建立健全内部控制应遵循的基本原则和要求。随后，五部委在2010年又发布了企业内部控制的配套指引，其中包括应用指引、评价指引和审计指引，为企业实施内部控制规范体系提供了具体的操作指南。自2011年1月1日起，要求境内外同时上市的公司进行内控评价并接受内部控制审计，而自2012年1月1日起，这一要求还扩大到上海证券交易所和深圳证券交易所的主板上市公司。《企业内部控制基本规范》实际上成为了准备上市公司的重要参考。
| 具体情形 | 应对措施 | 目的所在 |
|---|---|---|
| 准备赴A股上市的公司 | 基本规范提前准备 | 帮助公司尽早识别缺口，完成整改 |
| 已A股上市公司 | 基本规范评价 | 帮助管理层进行自评，为内控自评意见提供基础 |
| 已A股上市公司 | 基本规范审计 | 发表基本规范审计意见 |
| 有赴A股上市意图的公司、上市过程中的公司、已上市的公司 | 内控培训 | 帮助提升员工的内控意识及知识储备 |
③港股IPO：“PN21”
香港联交所的《上市规则》第21项应用指引（简称“PN21”）要求保荐人对首次上市的申请进行内部控制尽职审查，并发表相关声明。这一声明是申请公司获得联交所上市批准的必要条件之一。保荐人必须根据《上市规则》第3A.15(5)条的要求出具内部控制声明。
该法规要求拟香港上市的公司必须进行内部控制的尽职调查。根据以往市场经验，许多公司在上市前的内控情况较为薄弱。因此，这项工作最晚在启动IPO时同时展开，以给公司足够的整改时间。
因此企业IPO时，发行人获取风险控制服务的机构要与保荐人合作，为企业提供与财务报告相关的内部控制审阅服务（即“PN21内控审阅”），以确保企业的内部控制系统符合香港上市规则对上市申请人内部控制的要求。
2、内控控制优化及提升
背景及挑战：
企业的快速发展和变化导致了业务先行、管理后上的普遍现象。由于内控问题导致的破坏事件屡次发生，最近银行职员将1.1亿人民币占为己有的事件就是利用了内控漏洞，是典型的企业风险事件。频发的事件让越来越多的企业高管隐约意识到在业务发展和快速扩张的背景下存在各种潜在风险，但由于各种限制而无法准确识别风险和避开雷区。同时，业务的迭代转换和存在大量复杂且不合理的流程，不仅浪费了企业资源，还降低了效率。
应对：
企业或者辅助机构可以基于“识别流程—明确目标—评估风险—评估控制—完善控制—跟踪评价”的工作思路，帮助企业实现内部控制有效持续运行及改进。
基于丰富的行业数据库及专业背景，运用COSO2013内控模型，根据企业实际情况进行全面内控诊断和专项内控定向诊断优化服务：
- 提供全面的内控诊断和优化服务，覆盖企业核心流程的体系化评估和提升工作。这项工作有助于企业全面、系统地评估其风险和应对体系，协调各方资源以提升内控水平。
- 提供专项的内控诊断和流程优化服务，针对已具备一定基础的企业，或者因特定事件触发风险预警而需要针对特定流程或领域进行专项工作的情况。我们可以帮助企业快速解决紧急高风险问题，例如采购销售流程专项、信息技术及控制等高风险领域的内控服务。
3、IPO前后的内控风险及应对
企业在进行IPO前后应当关注以下内控的重点风险，并采取相应的应对措施：
- 财务报告风险：确保财务报告的准确性和可靠性，防止虚假陈述和重大错误。企业应加强内部控制审计，建立健全的财务报告制度和流程，并进行独立的财务审计。
- 资产管理风险：确保资产的安全和有效管理，防止资产流失和滥用。企业应建立完善的资产管理制度，包括资产登记、使用和处置的规范流程，并加强对资产的监控和审计。
- 内部欺诈风险：预防内部员工或管理层的欺诈行为，防止财务失误和违规操作。企业应建立严格的内部控制和审计机制，加强对员工的培训和监督，同时设置举报渠道和监察机构。
- 数据安全风险：保护企业的重要数据和信息资产，防止数据泄露和黑客攻击。企业应加强网络安全和数据保护措施，包括建立防火墙、加密通信、访问权限控制等，并定期进行安全漏洞测试和风险评估。
- 法律合规风险：确保企业的经营活动符合法律法规和上市规则的要求，防止违法违规行为。企业应建立合规管理制度，加强法律风险的识别和评估，定期进行合规审查和培训，确保企业运作的合法性和规范性。
通过关注以上内控的重点风险，并采取相应的应对措施，企业可以提高其内部控制水平，降低风险，增强投资者的信心，为成功上市奠定基础。具体的应对措施有：
- 建立健全内部控制制度：包括财务管理制度、内部审计制度、合规制度等，确保业务操作合规、风险可控。
- 加强内部监督和培训：提高员工的风险意识和合规意识，加强内部审计和风险管理。
- 定期进行内部审计和财务尽职调查：及时发现和纠正潜在的财务风险，确保财务报表的真实性和准确性。
- 加强法律合规管理：建立法律合规制度，加强合同管理、知识产权保护、反腐败合规等方面的管理和培训。
- 做好市场分析和风险评估：了解行业竞争态势和市场趋势，制定相应的市场策略和风险应对措施。
4、总结
综上所述，我们再一次认识到企业在上市的前中后期，监管部门等对内部控制的关注，对内部控制风险的警觉，以及对于各项应对举措的重视。同样，由于内部控制制度完善以及精确执行对企业的重要性以及内部控制风险的多样性，企业更要时刻保持关注，配合上市辅导机构等对其自身的内部控制结构和流程等进行及时的更新和维护，以保证其上市之路的“风调雨顺”。
