2026年9月，资本市场内控处罚信号持续释放。9月18日，傲农生物等4家A股上市公司同日披露收到证监会《行政处罚决定书》；9月23日，ST龙大公告因内控审计被出具否定意见，面临退市风险警示；据新浪财经9月23日报道，年内已有103家上市公司及相关方被证监会立案调查，信息披露违规成为重灾区。

从单笔罚款到内控审计否定意见，从信息披露违规到资金管控缺陷，监管部门对上市公司内控问题的查处力度正在持续加大。这些案例背后，暴露的是上市公司内控建设中哪些共性短板？企业又应当从中汲取哪些警示？

01 案例扫描：近期内控处罚的典型样本

案例一：傲农生物，未披露重大诉讼与关联交易。据上海证券报2026年9月19日报道，福建傲农生物科技集团股份有限公司及相关当事人收到福建证监局《行政处罚决定书》。经查明，傲农生物涉嫌未按规定披露重大诉讼、仲裁及关联交易。福建证监局决定对傲农生物责令改正，给予警告，并处以250万元罚款；对公司实际控制人吴有林给予警告，并处以140万元罚款；对相关责任人彭江给予警告，并处以105万元罚款。

傲农生物的案例，暴露的是内控中"信息披露控制"的失效，重大诉讼、仲裁和关联交易本应在内控体系中有严格的识别、报告和披露流程，但企业却未能执行到位，最终导致信息披露违规。

案例二：ST龙大，内控审计被出具否定意见。据证券时报2026年9月23日报道，ST龙大（002726）公告称，由于2025年度内部控制被和信会计师事务所出具了否定意见的《内部控制审计报告》，若公司下一个年度的财务报告内部控制再被出具无法表示意见或者否定意见的审计报告，公司股票将被实施退市风险警示。

这一案例的警示意义在于：内控不再只是"内部管理问题"，而是直接关系到上市公司的"生死存亡"。内控审计否定意见，已经成为可能触发退市风险警示的重要因素。

案例三：卫宁健康，内控自我评价"报喜不报忧"。据上海证监局2026年6月15日披露，卫宁健康科技集团股份有限公司因相关年度内部控制自我评价报告未指出已存在的内部控制缺陷，相关信息披露不准确，被上海证监局采取出具警示函的行政监管措施。公司时任董事长周炜同时被出具警示函。

卫宁健康的案例，暴露的是内控自我评价环节的形式化问题，内控自我评价报告本应客观评价内控的有效性，但企业却"报喜不报忧"，没有如实披露已存在的内控缺陷。这种"自欺欺人"式的内控自我评价，比内控缺陷本身更危险。

案例四：曲江文旅，多领域内控缺陷并存。据陕西证监局2026年7月10日披露，西安曲江文化旅游股份有限公司在合同管理、资金管控、关联交易管理、内部监督、财务管理和会计核算、内部环境和信息沟通等多个方面存在内控缺陷，不符合《企业内部控制基本规范》的相关规定。陕西证监局对曲江文旅采取责令改正的行政监管措施，并对时任董事长等相关责任人出具警示函。

曲江文旅的案例，代表了一类典型情况：内控缺陷不是单一的，而是系统性的、多领域并存的。从合同管理到资金管控，从关联交易到内部监督，多个环节同时出问题，说明企业的内控体系在整体上就没有有效运转。

02 共性短板：内控缺陷集中在哪些领域

梳理近期的处罚案例，可以发现上市公司内控缺陷虽然表现形式各异，但往往集中在几个共性领域。

短板一：信息披露内控失效。这是最常见的内控缺陷类型。从傲农生物未披露重大诉讼和关联交易，到ST新华锦被罚455万元，再到103家被立案公司中"信披违规成重灾区"，信息披露内控失效是上市公司内控问题的"高发区"。信息披露内控的核心，是确保应当披露的信息能够被及时识别、准确记录、完整披露。但很多企业在这方面存在明显短板，重大事项没有及时报告给董秘和董事会，关联交易没有经过合规审查，定期报告中的数据没有经过严格核对。结果就是：该披露的没披露，该准确的不准确，最终被监管处罚。

短板二：资金管控存在漏洞。资金活动是内控的核心领域，也是最容易出问题的领域。陕西建设机械因"个别资金流转业务缺乏商业实质"被责令改正；华仁药业因"贸易业务内部控制机制不健全、内部制度执行不到位"被监管；曲江文旅在资金管控方面存在内控缺陷。这些案例的共同点是：资金支付审批不严格、资金业务缺乏商业实质、资金管控制度执行不到位。资金是企业的血液，资金管控出了问题，往往意味着内控体系的"主动脉"出了问题。

短板三：关联交易管控缺失。关联交易是上市公司内控的重点和难点。傲农生物因未披露关联交易被罚，曲江文旅在关联交易管理方面存在内控缺陷。关联交易管控的核心，是确保关联交易的必要性、公允性和合规性，交易是否真的需要、价格是否公允、审批是否合规、披露是否充分。但很多企业在这方面存在明显短板：关联方识别不完整、关联交易审批不严格、关联交易定价不公允、关联交易披露不及时。结果就是：关联交易从"正常商业行为"变成了"利益输送通道"。

短板四：内控自我评价形式化。卫宁健康的案例暴露的是内控自我评价的形式化问题。很多企业的内控自我评价，不是真正去检查内控有没有效，而是"走流程"，照着模板填一填、对着制度走一走，最后得出一个"内控有效"的结论。但实际上，内控缺陷早就存在了，只是自我评价没有发现，或者发现了也没有如实披露。这种形式化的内控自我评价，让内控评价制度失去了应有的监督作用。

短板五：对子公司管控不到位。银河电子因"对子公司管控不足"被江苏证监局出具警示函。很多上市公司的内控问题，不是出在总部，而是出在子公司，总部的内控制度很完善，但子公司并没有真正执行；总部对子公司的财务、业务、人员缺乏有效管控，子公司"各自为政"。结果就是：总部看起来内控很完善，但子公司的内控漏洞却一直在累积，最终爆发出来。

03 深层原因：为什么内控问题屡禁不止

为什么上市公司的内控问题屡禁不止？从表面看，是内控执行不到位；从深层看，是一些更根本的问题。

原因一："重业务、轻内控"的观念偏差。很多企业的管理层，把主要精力放在业务发展上，认为内控是"成本中心"、是"束缚业务手脚"的东西。在这种观念下，内控部门被边缘化，内控人员配备不足，内控预算被压缩。当业务发展和内控要求发生冲突时，往往是"业务让路"变成了"内控让路"。观念上不重视，制度上再完善也没用。

原因二：内控制度与实际业务"两张皮"。很多企业的内控制度，是照着模板抄出来的，和企业的实际业务并不匹配。制度写得很全、很规范，但实际业务流程根本不是那么回事。结果就是：制度是制度，业务是业务，"两张皮"，制度挂在墙上、写在本上，但业务运行完全不按制度来。这种"形式上有制度、实质上没执行"的内控，比没有内控好不了多少。

原因三：内控监督缺乏独立性和权威性。内控监督（内部审计）的有效性，取决于它的独立性和权威性。但很多企业的内审部门，要么是放在财务部下面，要么是直接向总经理汇报，缺乏对董事会和审计委员会的独立报告路径。这种体制下，内审发现的问题，往往被"内部消化"了，真正上报到董事会的不多。监督缺乏独立性，内控的"最后一道防线"就守不住。

原因四：违规成本相对偏低。从罚款金额看，傲农生物被罚250万元，ST新华锦被罚455万元，对于一家上市公司而言，这个金额并不算高。与可能获得的违规收益相比，违规成本确实偏低。这也是为什么有些企业宁愿"冒险违规"，被发现了罚点钱，没被发现就赚了。当然，近年来监管处罚的力度在不断加大，违规成本也在逐步提高，但与巨大的违规收益相比，仍有提升空间。

原因五：内控人员专业能力不足。内控是一项专业性很强的工作，需要内控人员既懂业务、又懂财务、又懂法律、又懂管理。但很多企业的内控人员，要么是从财务转过来的，缺乏对业务的深入理解；要么是刚毕业的新人，缺乏实际经验。专业能力不足，就发现不了真正的风险，内控工作就只能停留在"查发票、对流程"的浅层次。

04 监管趋势：内控监管正在趋严

从近期的处罚案例可以看出，监管部门对上市公司内控的要求正在变得越来越严格。这种"趋严"体现在几个方面。

趋势一：内控与退市风险挂钩。ST龙大的案例是一个标志性事件，内控审计否定意见，可能直接触发退市风险警示。这意味着，内控已经不再只是"内部管理问题"，而是关系到上市公司"生死存亡"的重大事项。未来，内控审计意见将成为监管关注的重点，内控不好的上市公司，面临的不仅是罚款，还有退市风险。

趋势二："关键少数"责任压实。从傲农生物的实际控制人被罚140万元，到卫宁健康的时任董事长被出具警示函，再到曲江文旅的时任董事长被追责，监管部门正在压实"关键少数"的内控责任。内控出了问题，不仅企业要被罚，董事长、实际控制人、董秘等"关键少数"也要被追责。这种"既罚公司、又罚个人"的监管思路，正在倒逼管理层真正重视内控。

趋势三："全链条"追责。监管对内控问题的追责，正在从"单点追责"走向"全链条追责"，不仅处罚上市公司，还处罚审计机构、保荐机构、董监高。中审亚太会计师事务所因审计不到位被没收业务收入并处以罚款；大华所因在内控审计程序执行不到位被处罚。中介机构"看门人"责任的压实，也在倒逼上市公司重视内控，因为审计机构不再是"走过场"，而是会真查、真出具非标意见。

趋势四：内控要求从"有没有"到"好不好"。早期的内控监管，更多是要求企业"有没有"内控制度，有没有建立内控体系、有没有设立内控部门、有没有开展内控评价。但现在，监管的要求正在从"有没有"转向"好不好"，内控体系是不是真的有效运行、内控评价是不是真的客观公正、内控缺陷是不是真的得到了整改。卫宁健康"内控自我评价未指出缺陷"被处罚，就是这个趋势的典型体现。

05 企业应对：如何补齐内控短板

面对越来越严的内控监管，企业应当如何补齐内控短板？结合上述案例暴露的问题，可以从以下几个方面着力。

第一，真正重视内控，不是"嘴上重视"而是"行动重视"。企业管理层要真正转变观念，认识到内控不是"成本中心"，而是"价值中心"，好的内控不仅能防风险，还能提效率、增价值。要在资源配置上向内控倾斜，配足内控人员、保障内控预算、提升内控部门的地位。更重要的是，管理层要以身作则，带头执行内控制度，不能"制度是给下面人定的，自己可以例外"。

第二，让内控制度与实际业务真正融合，不要"两张皮"。内控制度不是照着模板抄出来的，而是要从企业的实际业务中长出来的。企业应当：深入梳理核心业务流程，识别每个环节的风险点，针对性地设计控制措施；定期评估内控制度的适用性，当业务变化时，内控制度同步更新；让业务部门参与内控制度的制定，而不是内控部门"闭门造车"。只有当内控制度真正贴合业务实际，业务部门才会愿意执行，内控才不会变成"两张皮"。

第三，提升内控监督的独立性和权威性。企业应当：建立内审部门直接向董事会审计委员会汇报的机制，确保内审的独立性；赋予内审部门足够的权限，可以调阅任何资料、可以约谈任何人员、可以向董事会直接报告；建立问题整改的跟踪机制，内审发现的问题必须整改到位，不能"查完就完"。内控监督有了独立性和权威性，才能真正发挥"最后一道防线"的作用。

第四，做实内控自我评价，不要"走过场"。内控自我评价不是"走流程"，而是真正给自己做一次"内控体检"。企业应当：建立客观的内控评价标准，不搞"一刀切"的打分；引入外部专家参与内控评价，避免"自己评自己"的盲区；如实披露内控评价结果，有缺陷就说有缺陷，不要"报喜不报忧"。卫宁健康的教训就在眼前，自我评价"报喜不报忧"，本身就是新的违规。

第五，加强对子公司的内控管控。集团企业应当：将内控制度覆盖到所有子公司，不能"总部有制度、子公司没执行"；建立对子公司的内控检查和评价机制，定期检查子公司内控运行情况；加强对子公司关键岗位（财务负责人、风控负责人）的垂直管理，确保总部的内控要求能够在子公司落地。子公司不是"独立王国"，而是集团内控体系的有机组成部分。

这些案例传递的信号很明确：内控不是"软约束"，而是"硬要求"；内控不好，不仅会被罚款，还可能面临退市风险；内控出了问题，不仅企业要担责，"关键少数"也要被追责。

对于上市公司而言，补齐内控短板，不是应付监管的"权宜之计"，而是行稳致远的"必由之路"。真正重视内控、真正执行内控、真正发挥内控的作用，才能在越来越严的监管环境中行稳致远。

内控的价值，不在于"有没有制度"，而在于"制度有没有用"。从"纸上内控"到"实战内控"，这条路还有很长要走。