企业服务工作指南：医疗器械生产企业许可证过期，如何处理公司内部控制报告披露责任主体？<

>

【对话场景】

某财税咨询公司办公室，新手顾问小王（入职3个月）正紧张地翻阅客户资料，资深顾问李梅（从业13年）端着咖啡走过来。

小王：（抬头，一脸愁容）李老师，我遇到个事儿，您帮我看看？我们客户是家医疗器械生产企业，上周发现生产许可证过期了，还没续上。现在要出年度内部控制报告，这个事儿……到底要不要写进去啊？写了会不会显得公司管理特别乱，影响股价？

李梅：（笑着拉过椅子坐下）小王啊，你这个问题问得很实在，我刚入行时也跟你一样，遇到敏感问题就想藏着掖着。（呷了口咖啡）不过今天咱们得掰扯清楚——许可证过期这事儿，在内控报告里可不是要不要写的问题，是必须怎么写才能既合规又不砸自己招牌。

一、许可证过期，内控报告到底管不管这事儿？

小王：可是李老师，内控报告不是讲财务报告可靠性经营效率效果这些吗？生产许可证过期，好像跟财务关系不大吧？

李梅：（挑眉）哎？你这想法可就偏了。内控报告的地盘大着呢！《企业内部控制基本规范》里写得明明白白，内控要覆盖企业所有业务流程，包括合规性目标——说白了，就是公司做的事儿，是不是合法合规。医疗器械生产许可证，就是企业合法生产的身份证，过期了还生产，那就是无证驾驶，合规风险直接拉满，内控报告能不管吗？

小王：（恍然大悟）哦！就像人开车没，（监管部门）肯定要查，内控报告就是企业自己先跟坦白：我过期了，正在补，您别罚我太狠！

李梅：（拍拍小王肩膀）对头！你这个比喻还挺形象。而且啊，我当年就栽过这个跟头——刚做独立顾问时，有个客户许可证过期了，老板跟我说年报别提，内控报告更别写，我居然信了！结果年报披露后被证监会问询：为何未披露许可证过期风险？最后客户被罚了50万，我的口碑也差点砸了。（叹气）所以记住：合规问题没有小事，内控报告不披露，就是虚假陈述，比披露本身严重十倍！

二、内控报告里，谁来背锅？责任主体怎么定？

小王：（拿出笔记本快速记录）那……如果必须写，责任算谁的呢？是生产部门没续证，还是我们财务没提醒？

李梅：（靠在椅背上，手指轻轻敲桌子）这个问题问到了核心——内控报告的披露责任主体，可不是一个人或一个部门的事，得像剥洋葱一样，一层一层看。（比划着手势）

第一层：董事会（决策层）—— 船长的责任

医疗器械许可证续期这种大事，董事会肯定知道。他们没督促管理层提前规划，没建立风险预警机制，这就是治理缺陷。就像船出海前，船长没检查船有没有燃料，能说没责任吗？

第二层：管理层（经理层）—— 大副的责任

具体执行的是管理层啊！生产部门、行政部门该提前3个月申请续期吧？他们没做，管理层没监督，这就是运行缺陷。大副没管好水手加水，船跑半路没油了，大副得负责。

第三层：内控部门（监督层）—— 瞭望员的责任

内控部门的职责就是找漏洞！许可证有效期快到了，内控部门没发预警报告，没督促整改，这就是监督缺陷。瞭望员没发现前面有冰山，船长能不生气吗？

小王：（皱眉）那……我们财务部门呢？我们好像只管记账报销啊？

李梅：（笑出声）小王啊，财务部门可不是记账机器！《企业内部控制应用指引——财务报告》里要求，财务部门要监督经营活动合规性。许可证过期可能影响收入确认（比如没证不能生产，收入会下滑），财务部门没发现这个风险，也是监督不到位。不过啊，财务的责任通常比前几层轻一点，但也不能完全摘干净。

小王：（若有所思）内控报告里要写清楚董事会负总责，管理层负主要责任，内控和财务部门负监督责任？

李梅：（竖起大拇指）对！但光写谁负责还不够，得写怎么发现的怎么整改的。比如：2023年10月，内控部门在季度合规检查中发现许可证过期，立即上报管理层，董事会于11月召开专题会议，责成生产部门30日内完成续期，财务部门评估对收入的影响……这样写，既体现了责任划分，又展示了整改动作，监管看了才会觉得这家公司虽然出问题，但态度积极。

三、不披露会怎样？怎么披露才安全？

小王：（紧张地搓手）李老师，那如果不披露，或者写得轻描淡写，会怎么样啊？客户说怕影响融资……

李梅：（表情严肃）小王，咱们做企业服务，最怕的就是客户怕影响，我们就配合造假。（放下咖啡杯）不披露的后果，分三步走：

第一步：监管问询。年报或内控报告披露后，监管部门（药监局、证监会）肯定会问：许可证过期了，为啥不写？你们内控失效了吗？

第二步：行政处罚。根据《医疗器械监督管理条例》，无证生产最高处货值金额20倍罚款，企业会被列入黑名单；如果涉及财务造假，证监会还会按《证券法》处罚，罚款、市场禁入都有可能。

第三步：信用崩塌。银行、投资人看到企业隐瞒重大风险，直接抽贷、撤资，比罚款更致命。我有个客户去年没披露许可证过期，结果合作银行直接冻结了账户，差点资金链断裂——隐瞒的代价，永远比披露的代价高！

小王：那……怎么披露才能既合规又不吓跑投资人呢？

李梅：（眼睛一亮）这个问题问得好！披露不是坦白从宽，抗拒从严，是把丑话说在前面，把解决方案亮出来。我教你个三明治披露法：

第一层（上面包）：客观陈述事实。别用由于工作失误导致过期这种甩锅的话，用因行政审批流程延迟，许可证于2023年X月X日过期，目前续期申请已提交药监局，正在审批中。

第二层（中间馅）：分析影响与整改。重点写我们已经做了什么：比如续期材料已于X月X日提交，预计X月X日前完成；我们启动了应急预案，通过OEM代工保障X产品供应，预计对Q4收入影响不超过5%。

第三层（下面包）：展示长效机制。写为避免类似问题，我们建立了许可证‘红黄绿灯’预警系统：过期前6个月触发黄灯（提醒相关部门），过期前3个月触发红灯（上报管理层），并纳入绩效考核。

小王：（记笔记的手停不下来）这个三明治法太实用了！既说了问题，又给了方案，还画了大饼……啊不是，是展示了未来！

李梅：（笑）对！投资人最怕的不是有问题，是没担当。你把问题说透，把整改路径写清楚，他们反而会觉得这家公司管理规范，有风险控制能力。我有个客户去年用这个方法披露，不但没被投资人质疑，反而有机构说内控意识这么强，可以投。

四、新手避坑指南：这些潜规则得知道！

小王：李老师，您从业13年，肯定遇到过不少坑，给我讲讲呗？我好避雷！

李梅：（凑近小王，压低声音）行，给你说几个行业潜规则，记在小本本上：

潜规则1：别信客户说没事。很多老板会跟你说许可证快到期了，我找人打招呼，肯定能续，让你内控报告别写。记住：老板的关系可能靠不住，但法规的板子肯定靠得住！你按规矩写，出了事老板最多说你死板；你没写，出了事老板第一个甩锅都是财务没提醒！

潜规则2：整改证据要留痕。比如续期申请的回执、应急预案的会议纪要、预警系统的截图，都得扫描存档。我见过有客户写已整改，结果监管要证据，翻遍电脑找不到邮件记录，最后被认定为虚假整改，罚得更狠。

潜规则3：坏消息要早说。许可证过期这种事，越早披露越主动。比如10月过期，9月就写进内控报告；如果12月过期，1月年报才写，监管会觉得你们故意隐瞒。早披露是积极整改，晚披露是消极对抗，性质完全不同！

小王：（认真点头）记下了记下了！还有吗？

李梅：最后一个，也是最重要的——别怕得罪客户。咱们是顾问，不是应声虫。客户怕影响，咱们可以帮他想办法怎么软披露；但客户想硬造假，咱们必须拒绝。我刚入行时总怕客户流失，后来发现：你坚持原则，客户反而更信任你；你配合造假，客户只会把你当背锅侠。

结尾：别怕犯错，你在成为专家的路上

小王：（长舒一口气）李老师，今天听您一讲，我感觉思路清晰多了！原来许可证过期不是麻烦，是考验——考验公司的内控水平，也考验咱们顾问的专业度。

李梅：（拍拍小王的肩膀）小王啊，你看你现在能想到责任主体披露技巧，已经比很多新手强多了。我刚入行时，连内控报告和审计报告的区别都搞混，还把重大缺陷写成一般缺陷，被老师骂得狗血淋头。（笑）做企业服务就是这样，不怕问题多，就怕不敢问；不怕犯错，就怕不成长。

小王：（眼睛亮亮的）谢谢李老师！我回去就给客户写内控报告，用三明治法，把预警机制、整改证据都加上！

李梅：（笑着站起来）这就对了！记住，咱们做财税顾问，手里拿的不只是笔，更是企业的风险导航仪。遇到问题别慌，就像今天咱们这样，一步步拆解、一点点解决——你已经在成为靠谱专家的路上了，加油！

小王：（充满信心地点头）嗯！加油！