基于风险管理的高职院校内部控制建设与优化策略研究①

渤海船舶职业学院 贾建国

1 风险管理与内部控制

内部控制和风险管理的理论框架源于美国反虚假财务报告委员会下属的发起人机构分别在1992年和2004年提出的《内部控制的完整框架》和《企业风险管理整合框架》。内部控制被阐述为受企业董事会、管理层和其他人员影响，为经营的效率效果、财务报告的可靠性、相关法规的遵循性等目标的实现而提供合理保证的过程。而企业风险管理是一个过程，它由一个主体的董事会、管理层和其他人员实施，应用于战略制定并贯穿于企业之中，旨在识别可能会影响企业的潜在事件，并通过管理风险使不利因素控制在该企业的可承受范围之内，并为企业目标的实现提供合理保证。

二者最早被应用于企业管理，随着内部控制在我国行政事业单位的逐步推动，风险管理也逐渐融入单位管理。与内部控制相比，风险管理所应对的是单位的所有风险，内部控制通常控制的是单位内部可控的风险。从这个意义讲，内部控制是风险管理的一个部分。单位内部控制建设应充分吸收全面风险管理的理念和方法，强调内部控制与风险管理的整合与统一。

2 高职院校内部控制建设现状

从目前来看，学术界研究高校内部控制建设的较多，高职院校虽然属于高校的一部分，但它较本科类及综合性大学而言，在学校规模、办学特点、资金体量、制度建设等诸多方面又有很大的不同之处。高职类院校对内部控制规范整体宣传贯彻还不到位，参与程度不够，没有广泛得到单位领导的高度重视，许多单位的领导干部甚至还不知道内部控制是什么，更别提建设工作。部分学校对内部控制的认识仅限于要建设内部制度，或者认为内部控制只是财务部门的事，至于为什么要建设内控，建成什么，如何建设，建设效果评价等问题存在认识盲区，导致不知道如何着手开展建设，从领导到基层人员都没有认识到内部控制本身对学校管理水平提升的意义。

3 风险管理对高职院内部控制建设的积极意义

3.1 风险管理促进全面梳理风险点

风险管理是分析单位面对的不确定性，识别一旦发生将会影响单位的潜在事件，并把不利因素控制在可以承受的范围内，它是一个正在进行并贯穿整个单位的过程。通过风险管理，对学校的预算、收支、采购、资产、基建、合同等重要业务的流程逐一进行梳理，发现主要风险点及关键控制节点，通过制定和实施制度、程序帮助管理层对所选择的风险应对措施得以有效实施。

3.2 风险管理能够提供对多重风险的整体应对

学校面临着影响其不同部分的无数风险，对管理层而言，不仅需要了解个别风险，还需要了解其相互关联的影响。学校运转过程会带来许多固有的风险，而风险管理能够为管理这些风险提供整体解决方案。同时，通过考虑潜在事件的各个方面，管理层能够识别代表机会的事件，提高决策水平，降低不确定性的程度。

3.3 风险管理有助于内部控制目标的实现

风险管理能够促进学校落实风险管理责任，加强对重大风险因素的识别及评估、提供对决策有价值的信息。从内控目标实现的角度，有助于合理保证学校经济活动合法合规，资产安全和使用有效，财务信息真实完整，有效防范舞弊和预防腐败，提高公共服务的效率效果。

4 基于风险管理的高职院校内部控制建设优化策略

4.1 做好前期宣传，全面启动内控建设

意识决定行动，决定成败。应通过专题培训对单位广大领导干部进行正确的宣传和引导，树立内控意识，确保培训工作做到全覆盖和无盲区。具体来说，单位层面人员的宣传培训，应要求本单位各部门一把手必须参加，培训侧重于使他们了解国家全面推行内部控制建设的必要性和紧迫性，掌握内部控制的基本理念，明白为什么要开展内控建设，并使单位主要负责人明白自己承担内控建设与实施的重大责任，尤其要从思想上重视内控建设。对于业务层面的培训，可侧重于技术培训，同时加强继续教育的培训学习。包括内控知识、能力培训、对新准则新制度及规范的培训等，是业务层面的成员对内控有清晰的认识和预期，并具备推动内控的意识和主动性，从而形成了自上而下的整体氛围。

4.2 搭建组织保障体系，落实资源配置

内部控制的工作组织是内控建设与实施的重要组织保障，有效的工作组织有利于内部控制建设最终顺利完成。根据《行政事业单位内部控制规范(试行)》，单位负责人对本单位内部控制的建立健全和有效实施负责。因此，为更好地落实内部控制建设各项具体工作，应从内部控制领导小组、内部控制工作小组、内部控制配合部门三个层面搭建内部控制工作组织。内部控制领导小组由单位负责人、分管领导组成；内部控制工作小组由部门负责人、内部控制牵头部门(一般是财务部门)人员及外部专家组成；内部控制配合部门是内部控制所涵盖的单位层面及业务层面的各部门。内部控制建设是一项系统工程，必须在建设准备阶段做好充分规划，确保人员、硬件、建设经费三个方面的资源配置。

4.3 调研分析内部控制现状

内部控制现状调研分析是对单位内部控制基础情况的摸底，了解本单位内部控制现状，找到主要风险及问题，然后才能更有重点、有针对性地开展内部控制建设。高职院校的经济活动主要包括预算业务、收支业务、政府采购业务、资产、建设项目、合同管理等六大业务，一般可综合运用检查、访谈、调查问卷、数据分析、业务流程分析等方法开展内部控制现状调研及分析。

以CB学院为例，本阶段内部控制建设项目组完成访谈81人次(学院职能部门负责人41人，其他人员40人)，补充访谈5人次，合计访谈86人次；研究了包括学院基本信息、组织架构资料、制度流程类等相关资料。

4.4 开展风险评估

风险评估应当在对单位内部控制基本情况进行全面调研分析的基础上，重点关注重要业务事项和高风险领域，特别是涉及内部权利集中的重点领域和关键岗位，着力防范可能产生的重大风险。根据风险管理框架，本阶段应按照目标设定、风险识别、风险评估、风险应对四步骤完成。

目标设定，即根据业务实际需要设定经济活动相关目标，明确各项业务的控制目标。该阶段可通过收集单位层面及具体业务层面的各类初始信息，包括预算业务、收支业务、政府采购业务、资产、建设项目、合同管理主要业务，涉及从计划编制、业务执行过程以及总结评估等的资料信息，在此基础上设定各项业务的控制目标。需要注意的是每个控制对象的控制目标总体上是与内部控制的整体目标一致的，但是每一个控制对象的控制目标又各有其侧重点，如货币资金的控制目标重点是保证货币资金的安全完整。

风险识别，是在前期对内部控制现状的调研分析基础上，对单位面临的各种不确定因素进行梳理，汇总，形成风险点清单。如CB学院，梳理形成的风险点清单如表1所示。

表1 风险点清单

风险分析，主要应从风险事项发生的可能性和风险事项产生的影响两大核心内容着手。风险可能性分析可以运用定量和定性的方法进行综合评价，各学校可根据本单位的具体情况制作风险发生的可能性评估标准，如CB学院风险发生的可能性评估标准，如表2所示。

表2 风险发生的可能性评估标准

风险的影响程度分析是指风险事件的发生对单位所造成影响的深度和广度，各单位也可以根据自身情况，通过制定风险影响程度评估标准来完成。与风险发生的可能性评估标准类似，可以根据风险可能造成的财务损失的金额作为定量标准，将风险可能对日常管理造成的影响或违反法律法规的程度作为定性标准，衡量风险影响程度的等级。如CB学院，将财务损失小于0.5万元，定为风险影响程度极低；0.5～1万元，为低风险影响程度；1～5万元为中等风险影响程度；5～30万元为高风险影响程度；超过30万元为极高风险影响程度。

风险应对，是在风险分析的基础上，综合运用风险规避、风险降低、风险转移和风险承受等应对策略，其目的在于将剩余风险控制在承受度以内。一般来说，极低和低风险区可采取风险承受策略；极高和高风险区可采取风险规避或风险转移策略；中风险区可采取风险降低策略。

在内部控制调研分析及风险评估的基础上，编制风险评估报告，提请单位领导关注重要风险，并设计有针对性的控制措施。如CB学院，在完成上述阶段后形成了《内部控制风险与管理建议汇总表(部分)》，如表3所示。

表3 内部控制风险与管理建议汇总表

4.5 落实风险整改，分模块设计内部控制体系

一般高校内部控制体系建设分单位和具体业务两个层面开展，我们可以将两个层面的内控建设工作通过模块化进一步分解。如CB学院分为以下5个模块开展具体建设工作，如图1所示。

图1

组织架构是单位内部各层级机构设置、职责权限、人员编制、工作程序和相关的制度安排，根据学校自身实际情况，通过梳理职能部门职能、岗位职责，在现有学院编制的基础上构建组织架构。梳理重要业务的管理权限，编制权限指引。描述业务是根据《内控规范》要求对单位层面、业务层面的管理流程进行全面梳理优化，对每个流程做到定顺序、定职责、定节点、定内容、定要求、定依据、定时限、定记录；绘制业务流程图，做好流程节点说明，对关键节点应明确控制措施。根据梳理优化后的业务流程、关键控制点、控制措施，建立健全相关内部控制制度。内部控制手册框架是根据《行政事业单位单位内控规范》《财政部关于全面推进行政事业单位内部控制建设的指导意见》等法规文件和学校自身业务性质、业务范围、权力运行及管理要求等形成。包括内控手册概述、风险评估、单位层面内部控制、业务层面内部控制和监督与评价五个部分。