6月，上海证券交易所正式发布《上市公司内部控制指引》（简称指引），该指引从7月1日起生效。虽然指引为非强制性要求，但在上交所上市的所有公司必须定期披露内控自我评估报告。这一具强制性的披露要求将促使830多家上市公司建立、健全和完善内控。

　　2005年4月，上交所推出了该指引的征求意见稿。“这一年多我们的主要工作包括：为内控指引寻找准确定位，听取和研究上市公司、中介机构及学术界专家对征求意见稿的反馈意见，等待来自法律法规层面的支持。”上交所上市公司部参与制定指引的一位人士如是说。

　　这位人士所说的前两项工作的结果，主要体现在指引与原征求意见稿的一处显著不同上——内控的监督检查。在原征求意见稿中，这部分内容与信息披露放在同一章节内，所用措辞也是更具强制性的“稽核”、“应当”等，而指引则改用了“监督检查”和“可以”。“我们原先认为，每家公司都有内控的监督检查，它是共性的东西，应当具有强制性。但后来我们发现，虽然监督检查比其他内控环节更具共性，它仍然属于内控活动，它和内控目标、原则和框架这些共性的东西不是同一层面的，因此也是非强制性的。”上述上交所人士说道。

　　原征求意见稿要求公司设立专门的稽核部门，而根据指引，上市公司可以建立新部门来履行内控监督检查职责，也可以指定现有部门来完成这一任务。原征求意见稿要求公司董事会下属审计委员会对内控稽核工作进行指导，而指引将这一责任放到了董事会身上。“这也是采纳了上市公司的反馈意见并考虑到了上市公司的实际情况，”上述上交所人士说，“因为并非所有上市公司的董事会都下设有审计委员会。”当然，有审计委员会的公司可由该委员会完成指导工作。

　　而在等待法律法规支持方面，上交所可能需要继续耐心地等下去。上述的上交所人士表示，从美国的萨奥法案开始，国际上已开始推行内控的法律责任，虽然程度各有不同；而我国现有的规定对于内控责任并未作出清楚的界定和强制性的要求。“我们希望立法——公司法、证券法或证监会起草、国务院发布的《上市公司监管条例》等能对内控责任和规范作出明确规定。”他说。

　　不过，上交所还是等到了一个具有法规效应的文件——2005年10月由国务院发布、被称为“26条意见”的《国务院批转证监会关于提高上市公司质量若干意见的通知》。该通知要求上市公司“对内部控制制度的完整性、合理性及其实施的有效性进行定期检查和评估，同时要通过外部审计对公司的内部控制制度以及公司的自我评估报告进行核实评价，并披露相关信息”。“这个文件对指引已是很大的支撑了。”该上交所人士说。

　　也正是基于文件中的这一条，指引要求上市公司对内控进行信息披露。“披露是强制性要求，分为临时和定期两部分。指引对内控临时披露作出了细化规定，企业在内控检查过程中发现内控存在重大遗漏和缺陷的，应及时披露。定期披露就是内控自我评估报告，这借鉴了萨奥法案的要求，也是‘26条意见’所明确要求的。”上交所人士说。

　　在目前相关法律法规尚不健全的情况下，指引的作用可能只是一种推动，推动上市公司重视、建立并执行内控。“虽然只是推动，我们也是有‘手段’的，那就是披露。”上交所人士表示。他还表示，指引是非强制性的，上市公司可以不做内控，也可以在定期披露的自我评估报告中披露没有内控，“上交所不会因此谴责你，但市场和投资者会看着你”。