本文以ST聆达集团股份有限公司（以下简称“ST聆达”）因连续两年被出具内部控制否定意见审计报告为案例，深入剖析其内部控制重大缺陷的具体表现、根本原因及严重后果。案例揭示了对子公司管控失效、高管越权、担保审批流程失控等核心问题，并从IT审计与内部控制优化角度提出系统性改进建议，为上市公司完善治理结构与风险防范机制提供警示与参考。
一、 案例背景：内控否定意见的触发与核心问题
2025年4月，ST聆达（证券代码：300125）披露的2024年年度报告及内部控制审计报告引发市场高度关注。致同会计师事务所对其内部控制出具了否定意见，这是该公司连续第二年收到此类严厉结论。更为严重的是，公司董事会秘书公开声明“内控失效，履职受限，无法发表意见”，多名董事亦对年报真实性表示无法保证或无法判断，凸显其内部控制环境与公司治理存在根本性缺陷。
审计报告揭示的核心问题集中于违规担保与子公司管理失控：
1. 重大违规担保：
- 2023年11月，公司全资子公司金寨嘉悦新能源科技有限公司（以下简称“金寨嘉悦”）在未履行任何内部审议程序及信息披露义务的情况下，为董事长兼总裁王明圣、副董事长兼首席执行官林志煌及投融资部副总监林春良三人的5000万元人民币个人借款提供了连带责任担保。
- 2024年1月，ST聆达及其三家子公司在同样缺乏必要审议与披露的情况下，为关联方金寨嘉悦正丰新能源有限公司的1600万元人民币商业保理业务提供了连带责任担保。
2. 子公司管理严重失效：
- 金寨嘉悦作为ST聆达的核心子公司（贡献公司90%以上主营业务收入），其运作严重脱离母公司管控。上述巨额违规担保即为其失控的直接表现。
- 该公司于2024年3月14日起临时停产，且预计无法在短期内恢复。至2025年3月31日，其核心的二期TOPCon电池生产项目宣告终止，直接导致ST聆达2024年营业收入同比暴跌92.71%，仅余0.61亿元。
二、 内控缺陷深度剖析：关键环节的系统性失灵
ST聆达的内控失效并非孤立事件，而是多个关键控制环节的系统性崩溃，具体表现在：
1. 授权审批控制失效：
- 公司《对外担保制度》明确规定，任何对外担保均需履行董事会或股东大会审议程序并进行信息披露。然而，涉及6600万元人民币的两项重大担保交易完全绕过了既定流程。
- IT审计视角： 担保审批流程的电子化控制系统未能发挥强制约束作用。关键审批节点缺失、权限设置不合理（如子公司高管拥有过大或不受监控的操作权限）或系统可被轻易规避，导致制度形同虚设。
2. 子公司管控机制缺失：
- 母公司对金寨嘉悦在财务、业务及高风险事项（如担保）上的监督严重缺位，未能建立有效的报告、监控与干预机制。
- IT审计视角： 缺乏对子公司核心业务系统（如合同管理系统、资金管理系统）的实时数据监控与对接。母公司无法及时获取子公司的重大交易信息（如担保签署）及关键运营数据（如停产状态），风险预警机制完全失效。
3. 信息披露控制失灵：
- 上述重大违规担保事项均未按规定进行临时公告披露，严重违反《上市公司信息披露管理办法》。
- IT审计视角： 信息披露流程管理系统未能与业务审批系统（如担保审批模块）或法务合同管理系统有效集成，无法自动触发重大事项的信息披露流程，依赖人工判断极易导致遗漏或隐瞒。
4. 内部监督职能瘫痪：
- 公司内部审计部门未能有效识别、报告并阻止违规担保行为，对子公司严重失控状态失察。
- 董事（包括部分曾任职子公司高管的董事）及高管（如董秘）公开表示无法保证财务报告真实性或履职受限，表明内部监督机制（如审计委员会）未能有效运作，独立性受到严重损害。
三、 严重后果：内控失效引发的连锁反应
内控的系统性失灵直接导致ST聆达陷入多重危机：
- 财务与经营恶化： 核心子公司停产导致营收断崖式下跌，2024年扣非净利润巨亏-8.56亿元，期末净资产为-5.38亿元。
- 监管处罚与风险警示：
- 2024年12月31日，公司因涉嫌信息披露违法违规被中国证监会立案调查。
- 因触及多项财务及规范类退市风险警示情形（包括连续三年亏损、净资产为负、审计报告含持续经营重大不确定性段落、内控审计否定意见、主要子公司停产、违规担保未解决等），公司股票自2025年4月25日起被实施“退市风险警示”（*ST）及其他风险警示（ST）。
- 公司治理信誉破产： 管理层公开分裂，董秘及董事对年报和内控的质疑严重损害投资者信心和市场声誉。
- 控股股东危机： 控股股东所持股份的87.33%已被司法冻结，控制权面临重大不确定性。
四、 IT审计与内部控制优化建议：重建防线
ST聆达的案例为上市公司敲响了内控警钟。为防范类似风险，亟需从IT审计与内部控制优化角度采取以下关键措施：
- 强化电子化流程控制，嵌入不可绕行的硬约束：
- IT审计重点： 评估关键业务流程（如担保、大额资金支付、关联交易）在信息系统中的控制设计有效性。重点测试：审批节点的强制串联、权限分离（如申请、审批、执行分离）、系统能否在缺少必要审批步骤时自动阻断交易、关键操作留痕与不可篡改性。
- 优化措施： 在OA、ERP或专项业务系统中固化高风险业务流程，设置多级电子会签与系统级互锁机制。例如，担保合同的电子签署必须关联经系统验证的董事会决议编号，否则无法生效。系统自动监控担保总额度，超限时冻结新增担保功能。
- 实现对子公司的穿透式数字化监控：
- IT审计重点： 审查母公司对子公司核心信息系统（财务、供应链、合同管理）的访问权限与数据接口。评估数据采集的实时性、完整性及异常交易自动预警规则的有效性。
- 优化措施：
- 系统直连与数据仓库： 建立母公司对子公司关键业务和财务系统的实时数据接口或统一数据平台，确保核心数据（如大额合同、担保记录、资金流水、生产状态）实时同步。
- 统一权限管理： 将子公司高管及关键岗位人员的系统权限纳入母公司统一管理框架，遵循最小授权原则并定期审计。
- 高风险交易监控平台： 部署智能风控系统，基于预设规则（如：子公司单笔担保超限、向特定关联方转账、营收/生产数据异常波动）进行实时监控与自动预警，信息直达母公司风控及审计部门。
- 重构信息披露的自动化触发与复核机制：
- IT审计重点： 测试信息披露管理系统与源头业务系统（如法务系统、董事会决议系统、重大合同库）的集成度，验证重大事项判定规则的逻辑完备性及信息传递的自动化水平。
- 优化措施： 建立“业务事件 -> 自动识别 -> 提示合规复核 -> 生成披露草稿”的自动化链路。例如，系统中录入“担保合同”或标记“关联交易”时，自动触发信息披露评估流程，提示合规人员介入并生成待披露事项列表。
- 提升内部审计的独立性与技术能力：
- IT审计重点： 评估内审部门的组织架构（是否直接向审计委员会报告）、资源配备（是否具备IT审计专才）及技术工具（如数据分析软件、CAATs应用）。
- 优化措施：
- 保障独立性： 明确内审部门直接向审计委员会汇报的机制，确保其不受经营管理层的不当干预。
- 加强IT审计能力： 引进或培养具备信息系统审计、数据分析能力的专业人才。运用大数据分析、持续监控工具对全集团（含子公司）的交易数据进行常态化扫描分析，主动识别异常模式。
- 建立缺陷整改跟踪系统： 利用IT系统对内控缺陷、审计发现进行登记、分配、整改跟踪与效果验证，形成管理闭环。
- 严格管控“特权用户”与高管行为：
- IT审计重点： 特别关注董事长、总经理等高管及其关联账户在系统中的操作权限、审批记录、权限变更日志及是否存在“特殊通道”。
- 优化措施： 对高管操作实施增强型日志记录与独立复核。建立高管及其关联方信息的系统化数据库，任何涉及关联方的交易在系统中自动标红并强制提交独立董事或审计委员会关注。
ST聆达因内控失效导致连续被出具否定意见、陷入退市危机，是一个代价高昂的典型案例。其根本问题在于：治理层监督缺位、管理层凌驾于控制之上、关键控制流程（尤其是IT控制）失效、内部监督机制形同虚设。
此案例深刻警示上市公司：
- 内部控制是公司稳健经营与合规管理的基石，绝非形式主义。 健全且有效执行的内控制度是防范风险、保障资产安全、确保财务报告可靠性的关键防线。
- 信息技术是内控有效落地的关键载体与保障。 必须将控制要求深度嵌入信息系统，通过技术手段实现硬约束，减少人为干预和规避空间。
- 对子公司的管控是集团内控的重中之重。 必须通过制度、流程与信息技术的结合，实现有效的“穿透式”管理。
- 内部审计的独立性与专业能力是内控有效性的重要监督保障。 应赋予其足够的权限和资源，并重视IT审计能力的建设。
重建有效的内部控制体系，不仅需要制度的完善，更依赖于治理层的高度重视、管理层的有效执行，以及将控制理念与要求通过信息技术深度融入日常运营的每一个环节。ST聆达的教训，值得所有上市公司引以为戒。