四 公司治理的法律规制

（一）公司治理第一层面的法律规制

公司治理第一层面的法律规制包含三到四个层级。其中，单独适用于公众公司的部分，私公司不适用。

（1）法律——效力等级最高。包括《公司法》，广泛适用于私公司和公众公司、国有企业；《证券法》，仅适用于公众公司；以及最高人民法院关于《公司法》《证券法》法律适用的司法解释［公司法司法解释（一）、（二）、（三）、（四）附后］。

（2）国务院颁布的行政法规——效力等级次之。如《国务院批转证监会关于提高上市公司债务意见的通知》《国务院关于进一步促进资本市场发展的若干意见》《国务院关于开展优先股试点的指导意见》《国务院关于全国中小企业股份转让系统有关问题的决定》《国务院办公厅关于进一步完善国有企业法人治理结构的指导意见》等。

（3）证监会颁布的部门规章，以证监会令和公告形式发布，仅适用于公众公司。如《上市公司章程指引》《上市公司收购管理办法》《上市公司重大资产重组管理办法》《上市公司信息披露管理办法》《上市公司股东大会规则》等。为鼓励上市公司建立健全法人治理结构，2002年1月7日，中国证监会会同国家经贸委联合发布《上市公司治理准则》（证监发〔2002〕1号），并于同日实施。

2018年9月30日，中国证监会发布修订后的《上市公司治理准则》（证监会公告〔2018〕第29号）并同时废止上述证监发〔2002〕1号文。修订后的《上市公司治理准则》共十章九十八条，主要修改内容如下。①紧扣新时代主题，体现中国特色公司治理新要求：一是将新发展理念等根本要求贯彻到公司治理中，二是增加上市公司党建要求，三是服务保障“三大攻坚战”。②立足投资者结构特点，强化中小投资者合法权益保护：一是突出中小投资者作为股东享有的权利保障，二是加强对控股股东、实际控制人及其关联方的约束，三是发挥中小投资者保护机构的作用。③借鉴国际经验，体现公司治理最新发展趋势：一是增加机构投资者参与公司治理有关规定，二是重视中介机构在公司治理中的积极作用，三是强化董事会审计委员会的职责，四是确立了环境、社会责任和公司治理（ESG）信息披露的基本框架。④结合实践发展，对新情况、新问题做出规范：一是规范上市公司控制权变动中公司治理相关问题，二是对独立董事强化职权并规范要求，三是健全上市公司评价与激励机制，四是完善信息披露要求，增加上市公司透明度。

（4）沪/深证券交易所以及股转公司发布的适用于公众公司的规范性文件和要求。如《上海证券交易所股票上市规则》《深圳证券交易所股票上市规则》《上海证券交易所交易规则》《深圳证券交易所交易规则》《上市公司规范运作指引》《控股股东、实际控制人行为指南》《全国中小企业股份转让系统业务规则》以及信息披露指引等。交易所的上述规则虽然没有法律上的效力，但交易规则、信息披露等是公众公司必须遵守的行为准则，指引类规则对公司有倡导意义，对于规范公众公司法人治理和提高治理水平有着积极的意义。

上述公司治理第一层面的规制，部分是强制性的，部分是倡导性的，允许公司和股东意思自治。

（二）公司治理第二层面内容的规制

1.《企业内部控制基本规范》

2008年5月22日，财政部依据《公司法》、《证券法》和《会计法》制定《企业内部控制基本规范》（财会〔2008〕7号），自2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。执行该规范的上市公司，应当对公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计。

该文件第三条明确指出大中型企业的内部控制是由企业董事会、监事会、经理层和全体员工共同实施，旨在实现控制目标的过程。内部控制的目标一是合理保证企业经营管理合法合规，二是资产安全，三是财务报告及相关信息真实完整，四是提高经营效率和效果，五是促进企业实现发展战略。

该文件指出，企业建立与实施内部控制应当遵循的基本原则是全面性、重要性、制衡性、适用性和成本效益。

企业建立与实施有效的内部控制，应当包括下列要素。

（一）内部环境。内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置与权责分配、内部审计、人力资源政策、企业文化等。

（二）风险评估。风险评估是指企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。

（三）控制活动。控制活动是指企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。

（四）信息与沟通。信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。

（五）内部监督。内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。

2.《企业内部控制应用指引》

2010年4月15日，财政部、证监会、银监会、审计署和保监会依据《企业内部控制基本规范》联合发布了《企业内部控制应用指引》（共18项内容，又称“内控18条”），适用于大中型企业和上市公司。“内控18条”具体包括组织架构、发展战略、人力资源、社会责任、企业文化、资金活动、采购业务、销售业务、研究与开发、资产管理、工程内容、担保业务、业务外包、财务报告、全面预算、合同管理、内部信息传递、信息系统18项具体内容。

3.《小企业内部控制基本规范》（试行）

2017年6月29日，财政部依据《公司法》《会计法》《企业内部控制基本规范》制定了《小企业内部控制基本规范》（试行）（财会〔2017〕21号），自2018年1月1日起实施。该文件适用于在中华人民共和国境内依法设立的、尚不具备执行《企业内部控制基本规范》及其配套指引条件的小企业。

小企业一般为私公司，且规模小、所有权与经营权没有完全分离，因此，在内控目标、内控原则、基本要求以及保证内控目标实现的责任人方面均与大中型企业具有差异：该文件第三条指出小企业的内部控制是指由小企业负责人及全体员工共同实施的、旨在实现控制目标的过程。小企业内部控制的目标有三：一是合理保证小企业经营管理合法合规，二是资金资产安全，三是财务报告信息真实完整可靠。

小企业建立与实施内部控制，应当遵循的基本原则是风险导向原则、适用性原则、实质重于形式原则和成本效益原则。

小企业建立与实施内部控制应当遵循的总体要求如下。

（一）树立依法经营、诚实守信的意识，制定并实施长远发展目标和战略规划，为内部控制的持续有效运行提供良好环境。

（二）及时识别、评估与实现控制目标相关的内外部风险，并合理确定风险应对策略。

（三）根据风险评估结果，开展相应的控制活动，将风险控制在可承受范围之内。

（四）及时、准确地收集、传递与内部控制相关的信息，并确保其在企业内部、企业与外部之间的有效沟通。

（五）对内部控制的建立与实施情况进行监督检查，识别内部控制存在的问题并及时督促改进。

（六）形成建立、实施、监督及改进内部控制的管理闭环，并使其持续有效运行。

上述公司治理第二层面的规制都是倡导性的，允许公司和股东意思自治。