公立医院内部控制评价的实践与思考

葛继红 杨梦琳

摘要：为促进医院战略发展，不断提升医院公共服务的效率和效果，通过实施PDCA模式的内控评价管理活动，把握内控评价审计工作的质量，认识内控评价工作的局限性和实践意义，从而实现医院内控评价工作的价值增值效应。

关键词：PDCA；内控评价；适应性；战略发展；价值增值效应

2014年1月1日，财政部颁布的《行政事业单位内部控制规范（试行）》在全国执行，初步建立了我国公共部门内部控制制度基本框架，指导相关单位建立和实施内部控制体系。按照《财政部关于全面推进行政事业单位内部控制建设的指导意见》（财会[2015]24号）要求，行政事业单位应于2016年底完成内部控制的建立与实施工作。为进一步指导和促进各单位有效开展该工作，深圳市财政委员会下发《关于开展行政事业单位内部控制基础性评价工作的通知》（深财会[2016]45号）通知开展單位内部控制基础性评价工作。

内控评价的原则是全面性、重要性、制衡性、适应性，评价指标体系设计有相关性、系统性，可比性、定性和定量相结合的特点。

一、实施PDCA模式的内控评价活动

PDCA循环是由休哈特（ Walter A. Shewhat）在19 世纪30年代构想，随后被“现代质量管理之父”之称的戴明（W.Edwards Deming）采纳、宣传，获得普及，也叫戴明循环。由计划（Plan）、执行（Do）、检查（Check）、处理（Action）等具体阶段组成。PDCA 模式的基本原理体现了“实践—认识—再实践—再认识”的认识规律，适用于几乎所有管理领域。

内控评价是管理活动而不能仅成为衡量的工具，内控评价的目标是通过以评促建，持续改进，提升医院价值，内控制度建设和工作机制的建立都是围绕价值管理活动，而完善内控信息系统是内控有效实施的重要手段。

（一）Plan阶段主要是方针和目标的确定以及活动计划的制定。对于内控评价项目，其出发点和落脚点就是风险管理。其中，风险识别和风险分析是基于业务流程控制失败的可能性的分析。通过全面系统分析医院经济活动，根据医院业务特点梳理重要业务和关键流程，识别其风险，确立评价工作计划，组成评价项目组，编制评价方案，实施评价动员工作。

（二）Do阶段是按照计划组织实施评价方案。根据医院实际情况，分步骤、多层次确定评价范围，访谈相关岗位人员业务流程，收集相关评价资料，抽样取数、进行穿行测试，综合分析，对于业务流程和信息系统的一般性控制选择剩余风险管理。在这一阶段要确保评价项目组合理分工、任务明晰，项目进度按计划实现。

（三）Check阶段是对评价项目的分析和对评价结果的确认，并完成评价报告。首先，对于前期实施评价的工作底稿实行全面复核和重点核查，对项目进行系统性、关联性和多维的分析，对重点事项反复查证。其次，由于职能业务部门对归口管理的业务政策、信息掌握的更加全面、及时，判断更加到位，内控评价结果需征求被评价职能部门的意见，对于提出异议的内容，内审部门应该和业务部门一起分析，找准风险控制点和风险控制措施，最后，确认评价结果，评定风险，建立单位风险库，搭建单位风险管理及价值增值为一体的内控评价模式。经过多方反复确认评价结果，有效控制评价风险，提升内控评价质量。

（四）Action阶段是评价结果的运用。针对发现的问题和内控缺陷，完善内控制度，提升业务流程和内控信息系统，建立风险管理机制，标准化定义风险、细化风险控制措施，根据管理建议书，实施整改计划并完成预期效果。

内控评价活动是闭环管理，如果把全院评价的PDCA循环比作大循环，那么每个业务部门或单元均有各自的PDCA小循环，大循环驱动小循环运转，小循环协力大循环提速，这样就形成了一个良性的内控有机运转体系。此外，评价工作讲求效率，需要不断改进评价结果的有效性、适应性、可操作性；除了注重评价内控要素的协同性，主要是突出对重点业务和关键流程的风险管理。

二、内控评价审计工作的质量控制

（一）评价的信息公开和对结果确认的沟通

内部控制五要素之一就是信息与沟通，注重医院部门之间、员工之间的信息交流与沟通，取得理解和配合，获得可靠和充分的信息，可以提高工作效率，降低审计风险。内控评价报告提交上报之前，评价小组负责人应与各被评价部门进行讨论和交流，与被评价部门及医院管理层达成一致的见解，从而促进评价结果得到有效落实，实现医院价值管理的目标。

（二）评价人员的综合素质对评价结果具有重要意义

内控评价是一项系统的价值管理活动，需要具备内部控制理论知识和业务实操的分析判断能力，评价人员作为评价工作的主体，其综合素质如风险识别能力、综合分析能力，内控评价的适应性原则的运用等都会对评价结果产生直接影响。

（三）发挥外部评价机构的独立性，保障评价结果的客观性

外部机构实施内控评价，具有客观性和独立性，内控人员对医院所处行业和单位业务流程比较熟悉，对行业政策的把握和会计政策运用方面可以发挥协调作用，为保障评价工作质量，控制管理建议有关相关性或适当性的审计风险。内控审计风险的质量控制包括：信息公开、规范评价工作流程、力求过程文档以及阶段性成果的充分性、适用性、可靠性，对于内控评价报告的审定意见进行充分沟通和确认。

三、认识内控评价工作的局限性和实践意义

（一）缺少对内控环境中关于人力资源合理利用和开发情况的评价

控制环境是内控要素的基础，它内嵌于医院文化之中，源于员工实施控制的自觉意识，决定着其他控制要素作用的发挥。医院是知识密集型单位，是一个学习型内控组织，内控制度是全体员工自我约束和激励的管理制度，影响着单位人员的风险意识和态度。单靠对业务流程监督和控制反映过去业绩的财务指标，不引入竞争机制，科学管理水平提高的驱动力就会不足，因此实施对岗位胜任能力和岗位责任落实的评价也应该是内控价值管理活动的核心内容，是一项单位层面的内控建设任务。

（二）改善信息系统、优化业务流程的效率和效益，比管理一般常规流程更加重要

医院信息系统建设对流程效率起决定性作用。通过引入现代信息技术、优化业务流程、将业务流程固化到信息系统中等一系列措施是解决现有问题的必然选择。同时，开展信息化手段的内部控制和风险管理工作将满足“管理制度化、制度流程化、流程信息化”的要求，更具有现实的战略意义，有利于提高医院内部控制和风险管理业务水平。因此，以规范的流程设计强化内部控制和风险管理思路，对信息系统缺陷进行改造，提高业务流程效率和数据准确性是内控评价工作的一个不断追求的根本目标。

（三）合理运用内控评价的相关性、适应性原则

纵向来看内控评价体系的建立是动态的，横向比较也不能千篇一律，无论是体系建设和完善方面，或是信息化应用等方面，内部控制建设和风险管理的效率、效果都需要根据医院所处的行业特点和规模，单位文化，内控发展阶段，适当选择内控有效性评价标准；通过实施PDCA评价管理活动动态把握和更新内控有效性评价标准；具体确定和识别单位业务的重要风险和关键内控评价指标，以反映和发现新的管理缺陷或管理要求，明确评价内容的相关性。

（四）内控评价要具备实际的可操作性

评价指标应当概念清晰、方便操作、易于表述，以适应评价人员或被评价者对指标的理解能力和判断能力，便于实施评价工作；同时要突出重点，指标之间内容具有内在一致性，此外，指标的选取还要考虑单位信息系统的现实条件及经济性。

（五）有效落实内控评价结果的运用

内部控制评价的意义关键在于评价成果的运用。内控评价梳理出的管理建议，需要经过确认并反馈意见，反馈信息包括整改时间或期限、整改预期效果。对于内控缺陷实施分层分级管理，部门不能单独确认的内控缺陷统一整理并进行风险分析，召开内控工作会议，单位整体统筹安排多部门协同改进措施，为确保整改效果，针对问题发现所采取的纠正措施及改进效果进行内控评价的后续审计工作。

（六）内控评价和医院战略发展的关系问题

单位发展战略与内部控制制度是相互作用的，前者具有导向作用，发展战略影响风险评估的结果，风险评估的结果影响着控制活动的实施，激进的发展战略容易导致控制环境过于宽松，反之，过于严苛的控制环境对于关键价值创造的战略活动产生制衡，阻碍业务拓展，导致错失发展机遇。

政策风险和机制转化风险就是医院战略实施中需要面对的一个问题，这属于内控风险管理机制中的机会风险管理，和医院的价值创造活动至关重要，医院的竞争优势也正是需要通过特定的战略活动来形成。对医院战略发展新业务的绩效内控评价中，相对于片面追求内控评价的结果，更应该关注对项目绩效完成过程的评价，可以通过对项目实施过程中的资金管理、项目管理、项目实施的效率和效果或社会影响力等进行评价和内控风险管理，从而实现医院内控评价的价值增值效应。

四、结束语

内部控制是對医院资产安全，合规性的合理保障。内控评价的目标是促进医院战略发展，持续提升医院公共服务的效率和效果，提倡通过对岗位职责权限的合理界定，岗位职责和岗位胜任能力的要求，从人力资源成本的科学开发和利用的正向激励作用，创造单位发展中多赢的局面，内控评价工作的效果既要防止过度实施内部控制又要突出评价重点。

参考文献：

[1]杜永红.PDCA循环模式在预算项目绩效目标设定中的应用[J].经济研究导刊，2017 （22）.

[2]《财政部关于全面推进行政事业单位内部控制建设的指导意见》（财会[2015] 24号）.

[3]《关于开展行政事业单位内部控制基础性评价工作的通知》（深财会[2016]45号）.