【摘要】开展内部控制自我评价，既是满足外部监管的需要，达到《行政事业单位内部控制规范(试行)》的要求，又是医院运营中风险防控、完善医院内部控制体系、提升管理效率的需要。本文就医院内部审计如何开展内部控制评价的内容、程序、方法等略作阐述。

　　【关键词】内部控制;内部审计;评价。

　　为了进一步加强企业内部控制，提高企业经营管理水平和风险防范能力，我国财政部、证监会、审计署、银监会、保监会于2008年5月联合下发了《企业内部控制基本规范》的通知，要求自2009年7月1日起在上市公司范围内施行，并鼓励非上市的大中型企业执行。通知明确要求企业应当对内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请会计师事务所对内部控制有效性进行审计。2010年4月上述五部委又根据《基本规范》印发了《企业内部控制配套指引》的通知，规定自2011年起在境内外同时上市的公司施行，自2012年起在国内主板上市公司施行，并择机在中小板和创业板上市公司施行，也鼓励非上市大中型企业提前执行。财政部于2012年11月颁布了《行政事业单位内部控制规范(试行)》(财会【2012】21号)，并规定于2014年1月1日实施。随着医改的深入推进，医院运营压力增加。为了贯彻执行文件要求，满足内部管理需要，防范医院运营中的风险。医院内部审计开展内控自我评价，全面完善、优化医院内部控制体系，以便达到立足合规、防控风险、提升效益的目标。

　　一、内部审计与内部控制的关系

　　内部控制是指一个单位为了实现其经营目标，保护资产的安全完整.保证会计信息资料的正确可靠，确保经营方针的贯彻执行，保证经营活动的经济性、效率性和效果性而在单位内部采取的自我调整、约束、规划、评价和控制的一系列方法、手续与措施的总称。

　　内部控制包括控制环境、风险评估、控制活动、信息与沟通、监控等五个相互联系的要素。

　　行政事业单位内部控制的目标是合理保证单位经济活动合法合规、资产安全和使用有效、财务信息真实完整、有效防范舞弊和预防腐败，提高公共服务的效率和效果。内部控制是一个实现内部控制目标的动态管理过程。

　　国际内部审计师协会(IIA)在2009年1月修订的《国际内部审计专业实务框架》将内部审计定义为：内部审计是一种独立、客观的确认和咨询活动，旨在增加价值和改善组织的运营。通过应用系统化、规范化的方法，评价和改善风险管理、控制和治理过程的效果，帮助组织实现其目标。中国内部审计协会新修订的《中国内部审计准则》将内部审计定义为：内部审计，是一种独立、客观的确认和咨询活动，它通过运用系统、规范的方法，审查和评价组织的业务活动、内部控制和风险管理的适当性和有效性，以促进组织完善治理、增加价值和实现其目标。

　　内部审计既是企业内部控制体系的一个组成部分，又是内部控制体系有效性的确认者。从内控组织来看，内部控制是总体控制，内部审计是内部控制的一个方面。从内部审计的作用来看，内部审计是对内部控制执行情况的一种监督，是对其他内部控制的再控制。参与单位内部控制体系建设，确保单位内部控制持续有效运行，既是医院内部审计的法定职责，也是医院内部审计的发展机会。

　　内部控制与内部审计，二者相辅相成,缺一不可。内部审计需要内部控制,内部控制素质比任何其他因素更能决定审计的形式。没有健全的内部控制制度作基础,审计就无法开展;没有良好的内部控制, 不仅会加重内部审计工作量,而且会加大内部审计的风险,从而制约了内部审计的发展。同理,内部控制需要内部审计,没有内部审计对内部控制设计的健全程度和运行的有效程度的评价和进一步完善强化内部控制的建议,内部控制也只能原地踏步,造成与现实不符,效果不佳,甚至形同虚设,或因内部控制的局限性,造成内部控制失控。

　　医院在外加推力、内增动力的环境下，开始转变以往的管理方式。在发展方式上，由扩张型转向质量效益型;在管理模式上，从粗放的行政化管理向精细的信息化管理。医院内部审计要实现转型升级，在推动医院内部控制建设、提高风险管理能力等方面发挥积极作用，开展内控评价，帮助医院实现目标。

　　二、医院内部控制评价的组织形式

　　按照《行政事业单位内部控制规范》第五章规定，单位内部控制评价与监督应由内部审计部门牵头实施。鉴于目前医院内部审计机构、人员的现状，可采用以下两种方式开展医院内部控制评价工作。

　　1、外包方式。通过招标、商务谈判等方式，聘请会计师事务所或专业管理咨询公司对医院内部控制进行评价。通过合同或协议，确定包括评价项目目标、范围与实施计划、时间安排、组成人员与责任确认、费用以及沟通管理机制与质量管理、项目成果等内容。医院内部审计全程参与专业公司的医院内控评价工作。通过第三方了解医院内控现状，学习专业公司的先进做法，为以后内审部门自己开展医院内控评价积累经验。

　　2、医院内部审计牵头实施内控评价工作。医院内部审计的独立性及医院内审人员能力、素质达到要求，由内审部门牵头开展医院内部控制评价工作。本文主要讲内审部门如何开展医院内控评价工作。

　　三、医院内部控制评价的内容

　　内部控制评价的工作目标就是通过测试评价发现内部控制缺陷，从而提出改进建议，达到揭示和防范风险的目的。通过个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较等方法来收集内部控制设计与运行是否有效的证据，并根据汇总结果和职业判断对内部控制的有效性进行全面评价、形成评价结论、出具评价报告。

　　按照《行政事业单位内部控制规范(试行)》的规定，主要对以下关键业务流程开展内部控制自我评价工作：

　　1.单位层面

　　2.预算业务

　　3.收支业务

　　4.采购业务

　　5.资产控制业务

　　6.建设项目

　　7.合同控制

　　8.信息管理

　　9.内部监督

　　四、医院内部控制评价的程序

　　(一)评价准备阶段

　　1、制定评价工作方案，成立评价工作小组。

　　(1)制定评价工作方案

　　内审部门应根据医院实际情况和管理要求，分析医院经济活动过程中的高风险领域和重要业务事项，制定科学合理的评价工作方案。评价工作方案包括评价目标、范围与实施计划、进度安排、组成人员、评价主要程序、方法等。评价方案一般应在全面评价的基础上，根据医院实际情况，逐年研究确定需重点评价的业务事项，以提高内部控制评价的效率和效果。

　　(2)成立评价工作组

　　评价工作组成员除了内部审计人员外，应当吸收医院内部相关机构熟悉情况的如纪委、监察、党办、院办、人事、计财等部门业务骨干参加(对本部门进行评价时实行回避制度)，必要时也可聘请外部专家参加。

　　2、召开启动会议，收集相关资料。

　　组织召开被评价单位、部门负责人及业务骨干会议，学习医院内控评价方案，开展内控知识培训。要求各单位、部门按照实事求是的原则，对各项制度、规定按业务流程分别进行梳理描述，将实际运行情况比照相应的制度、流程予以客观描述，于规定时间内(实施现场测试评价前)将电子文本及书面材料提交工作组。

　　(二)评价工作实施

　　评价工作组应根据各单位、部门提交的书面资料，运用个别访谈、实地观察、证据检查、重新执行、穿行测试、查阅、调查问卷、专题讨论等方法，对医院单位层面及8个业务层面内部控制总体情况进行初步评估。

　　1、调研医院内控基本现状

　　通过收集查阅资料，了解被评价对象基本情况，包括内部控制所涉及单位、部门的基本情况、内部控制文件和记录、业务流程等。实施问卷调查、个别访谈、实地观察等，了解记录医院内部控制设计及运行情况。

　　评价工作组应对需重点评价的业务事项设计相关的调查问卷表，并将调查表及时发放给相关部门人员填写，要求其在规定时间内提交。评价工作组应根据调查表的汇总结果确定下一步需测试和评价的重点环节，并通过个别访谈、专题讨论、检查记录、抽样、重新履行等方法进行具体的测试与评价。

　　设计调查问卷用以记录组织医院在各经济业务流程控制的具体执行情况与评价过程。调查问卷通常包含：控制要求;实际操作描述;规章制度索引;负责部门;控制设计缺陷。编制调查问卷填写指引，以明确调查问卷每项内容的填写要求，规范各部门填写调查问卷，保证填写的质量。仔细阅读各部门的回答，判断其内容是否一致、逻辑性是否清晰，提出问卷描述中不够详尽的地方，要求问卷填写人补充。归纳相关部门所涉及的问题，并据此准备谈话提纲以及相应的内部控制制度清单。在谈话过程中，根据访谈提纲，完整准确地记录谈话内容，避免内容的偏差。谈话后，及时整理内容，进行归纳总结。

　　通过上述方法，了解医院的各项经济业务流程，了解内部控制内容，把内控制度直接描述出来，编制业务流程图，初步评价内部控制健全性。

　　2、识别风险点

　　以医院的主要经济业务流程为主线，分析其中的控制点，评估控制风险，确定关键控制领域，检查在关键控制领域是否建立了内控制度，编制风险矩阵，识别针对风险点的控制，据此确定下一步是否进行符合性测试和实质性测试。

　　3、符合性测试阶段

　　对关键控制领域建立的内控制度实施符合性测试，即进一步检查其在实际经济活动中是否得到贯彻执行，以及执行程度如何及其中的缺陷和薄弱环节。可以通过穿行测试、绘制流程图以及现场观察等方法进行符合性测试，并据此编制符合性测试工作表。

　　4、实质性测试阶段

　　对风险评估中确定为关键控制领域却未建立内控制度或控制薄弱的业务系统或业务环节以及符合性测试认为不执行或执行不力的系统和环节，内部审计要实施实质性测试。根据测试对象的特征，可以选择检查、观察、查询及函证、监盘、计算和分析性复核等方法。

　　在实质性测试结束后，根据其测试结果，编制缺陷汇总表并与业务部门沟通确认，工作组讨论并拟定整改建议。

　　(三)评价报告编制

　　编写评价报告，一是肯定设置合理，执行有效方面的成绩;二是指出内控制度存在的问题或薄弱环节;三是分析内控制度失控点的性质及可能造成的后果，并提出具体、切实可行的整改建议。医院内部控制自我评价报告的主要内容包括：

　　1、内部控制评价的依据，即《行政事业单位内部控制规范》和医院相关内部管理制度。

　　2、评价的范围，即全面评价还是专项业务内控评价。

　　3、评价的程序和方法。

　　4、以前检查评价中发现的内控缺陷及其整改情况。

　　5、本次检查评价中发现的内控缺陷及整改建议。

　　6、内控建立和执行有效性的评价(总体评价、效果评价、缺陷评价)、结论及改进意见和建议。

　　五、内控评价后续事项

　　被评价单位如存在内部控制缺陷，应严格按照既定整改方案进行后续整改。整改方案一般包括整改目标、内容、步骤、措施、方法和期限等。整改期限超过一年的，还应在方案中明确近期目标和远期目标以及对应的整改工作任务等。被评价单位应定期将整改方案实施情况向内部审计部门或院领导报告，对于未按整改方案规定期限实施整改的应说明理由及下一步拟采取的措施。

　　对内控评价中缺陷为设计缺陷或执行中为重要缺陷的单位或部门，医院审计部门应重点关注，将后续跟踪监督检查。内部审计部门应在后续的常规审计、检查中关注被审计单位最近一次内控评价报告中所列缺陷的整改情况及效果。内部审计部门在实施下次内控自我评价时，应将上次已发现的内控缺陷整改情况列入重点检查范围，以实现内部控制评价的PDCA循环。

　　内部审计部门开展内部控制评价时应注重对发现问题的分析和反馈，提出建设性意见，注重从管理体制、机制上查找问题产生的原因，提出改善内控制度和管理体制、机制的意见和建议，从制度的源头上帮助医院领导寻找解决问题的办法和途径。促进医院不断完善内部控制制度，及时识别风险，确保内部控制制度执行的有效性。

　　开展内部控制自我评价项目，既是满足外部监管的需要，达到《行政事业单位内部控制规范(试行)》的要求，又是医院运营中风险防控、完善医院内部控制体系、提升管理效率的需要。随着内控评价项目的逐步开展，加强了医院管理部门员工的风险防范意识，提高了对内部控制的认识，人人参与整改。对优化管理业务流程，制定、完善有关制度，促进医院管理，提升医院经营管理效率起到很好的作用。内部控制自我评价项目的开展，还需要医院领导的大力支持，各部门的通力配合，医院各部门、医院内控小组充分沟通协调，才能取得良好的效果。同时，完善的内控制度，还需借助信息化落地加以实施，才能发挥更好的作用。

　　[作者简介]

　　操乐勤(1964、12- )，男，安徽人，高级会计师，国际注册内部审计师，全国建设工程造价员。研究方向：医院内部审计、财务管理。

　　[参考文献]

　　汤云为：内部控制评价刍议，新会计，2009年1期

　　许江波，2009：《企业内部控制检查与评价》，大连出版社;

　　陈佳俊，2009：《内部审计实现企业价值增值功能的途径》，中国审计

　　《企业内部控制基本规范》

　　《企业内部控制配套指引》

　　《行政事业单位内部控制规范(试行)》