公立医院内部控制建设的成效与不足——基于某市18家公立医院的调研分析

董 波 伍洁洁 周金灿 马 杰 洪学智

内部控制是保障组织权力规范有序、科学高效运行的有效手段，也是实现组织目标的长效保障机制[1]。2012年财政部发布的《行政事业单位内部控制规范》(财会〔2012〕21)(以下简称《内部控制规范》作为行政事业单位开展内部控制工作的“母法”，初步建立了我国公共部门内部控制制度的基本框架，指导相关单位建立和实施内部控制体系[2]，拉开了行政事业单位内部控制建设与评价的序幕。公立医院作为特殊类型的行政事业单位，一方面其内部控制体系有着独立的特殊性；另一方面随着公立医院改革的不断深化，内部控制不仅在医院风险识别与防范中的可发挥重要作用，在医院管理系统中也具有举足轻重的作用[3]。但总体来看，公立医院内部控制建设起步较晚,其在建设过程中存在着不足[4-5]。为评价公立医院内部控制的成效，本研究以某市18家公立医院的《2017年度行政事业单位内部控制报告》(以下简称内部控制报告)为依据，分析公立医院内部控制的现状，针对内控体系薄弱环节提出完善对策，为改善公立医院内部控制体系提供依据。

1 数据来源

本研究基于某市(北方某直辖市，其医疗资源集中，医院内部管理水平具有较强的代表性)18家公立医院自行填写上报的《2017年度行政事业单位内部控制报告》(为掌握全国各级各类行政事业单位内部控制建立与实施情况，根据《财政部关于全面推进行政事业单位内部控制建设的指导意见》(财会〔2015〕24号)和《行政事业单位内部控制报告管理制度(试行)》(财会〔2017〕1号)的有关要求，财政部每年度会开展行政事业单位内部控制报告的编报工作)，对公立医院的内部控制建设与完善情况进行分析。该报告主体分为两部分：①从单位层面与业务层面对公立医院的内部控制建设与执行情况进行评价；②分析公立医院内部控制中存在的问题和改进建议。18家公立医院包括5医院、13家社区卫生服务中心，医院等级包括一级、二级、三级，可较为全面地反映公立医院的内部控制现状。

2 结果与分析

2.1 内部控制总体运行情况评价

根据《内部控制报告》中单位内部控制情况总体评价结果可知，18家公立医院内部控制情况总体评价集中在良和中，其中56%的公立医院评价结果为良，44%的医院评价结果为中；18家医院均以按照《内部控制规范》的要求建立了内部控制手册和开展了风险评估。表明公立医院的内部控制建设虽取得一定成效，但部分医院的内部控制体系仍有较大的改进空间。

2.2 单位层面内部控制情况

2.2.1 院领导对内部控制的重视意识增强 分析结果显示，18家公立医院均成立了以单位一把手(法人)作为负责人的内部控制领导小组，12家(66.6%)公立医院的年度内部控制领导小组会议次数超过2次，13家(72.2%)医院的主要负责人参加年度内部控制会议的次数为2次以上，12家(66.67%)医院的内部控制工作小组会议次数为2次以上，13家(72.2%)医院年度开展内部控制专题培训次数大于2次，说明随着公立医院内部控制的建立与完善，医院领导对内部控制的重视也在逐渐增强，这与黄坚等[6]的研究结果基本一致。这一方面可能是由于相关政策规范的推动，另一方面是因为内部控制作为有效管理风险的工具，在风险防控中可发挥重要作用。特别是公立医院，其内部业务活动较为复杂，且其运营要受到外部相关政策的影响，这都决定了在医院内部业务活动中可能存在管理薄弱环节，而内部控制在加强内部管理方面具有重要作用。

2.2.2 内部控制人员的专业性不足 调查结果显示，部分公立医院尚未按照《内部控制规范》的要求，设置独立的内审人员，承担内部控制的建立、评价等职责。在内控人员的专业背景中，具有财务背景的内审人员占比较小，部分内审人员由管理、临床等专业背景的人员兼任，这与易阿发[7]的研究结果一致。相比较其他事业单位，公立医院的经济业务活动较为复杂，其对于内部控制相关人员的专业性要求较高，具有专业背景的内审人员有利于识别医院内部控制体系中存在的风险点，并及时制定措施应对风险，降低这些管理薄弱点可能对医院带来的影响。

2.2.3 内部控制部门的独立性有待增强 在内控理念中，内部控制作为医院内部管理的手段，应独立于其他部门且直接对医院“一把手”负责。这是因为内部控制的范围涉及医院管理的各项业务，较高的独立性及“一把手”负责制有助于全面协调业务活动和推动内控问题的整改。由分析结果可知，14家(77.8%)公立医院的内部控制牵头部门为财务部门，4家(22.2%)医院的牵头部门为其他行政科室(如办公室、人事)，这与已有的研究结论一致，即事业单位部分部门认为内部控制是财务部门的事[8]。在内部控制评价与监督方面，只有6家(33.3%)医院的评价与监督部门为内审部门，超过60%公立医院的内部控制评价与监督部门为其他部门(如人事部门、党委部门)，更有3家医院的评价与监督部门和内部控制牵头部门一致，均为财务部门。财务部门与内部控制部门的职责边界有交叉，财务部门的主要职责是财务确认与核算，内部控制的主要职责是内部控制的建立、监督与评价，由财务部门作为内控建设的实施部门，不仅不利于内控的独立性，同时也不利于内部控制中各部门之间的沟通。内控独立性不足的原因可能是一方面公立医院的内部控制建设起步较晚，其内部控制体系的完善需要一个过程；另一方面，部分医院的人员配备不足，在业务活动中存在一人身兼数职的现象，内部控制的职责也有其他职能部门履行。

2.2.4 内部控制的开展相对滞后 在内部控制开展进度方面，17家(94.44%)公立医院的内部控制处于实施阶段，1家(5.56%)医院的内部控制为建立阶段，说明随着事业单位内部控制的建立与实施，大部分医院初步建立了其内控体系；在内部控制建设方式上，17家(94.44%)医院为外部协助，只有1家(5.56%)医院为自建，说明虽然大部分医院的内部控制处于实施阶段，但其内控体系的建设过多依靠外部，其自身内部的内部控制能力与水平仍存在不足，内部控制体系可能有待进一步完善；外部第三方协助的方式也表明医院的内控水平及其内控体系与医院实际情况的适应程度可能存在差异，因为外部单位可能对医院的内部管理认识不足、不能及时识别内控活动中的风险点。

2.3 业务层面内部控制情况

2.3.1 内部控制流程与制度建立较为完善 内控流程与制度作为业务活动开展的基本遵循，其将各项业务的执行程序予以固化，有利于减少业务开展过程中的不确定性因素，降低内部管理过程中风险出现的可能性。分析结果显示，18家公立医院均已在各业务领域建立了内控流程与制度，这是由于一方面内控流程与制度作为医院内控控制建设的重要部分，二者的建立可为其他内控业务的展开提供依据，且建立了内控流程与制度可较为全面的满足《内部控制规范》的要求；另一方面内控流程与制度的建立均为第三方协助，在医院内控水平与能力不足的情况下，外部机构的专业知识可较快的建立起内部控制的基本架构。

2.3.2 内部控制信息化水平较低 在内部控制信息化建设方面，18家公立医院均未将预算管理、收入管理、支出管理、采购管理、资产管理、建设项目管理、合同管理等业务层面的主要业务流程嵌入信息化管理,内部控制信息化建设未涵盖各主要业务环节，信息化建设水平有待改进。通过调研分析具体原因为大部分医院认为其内部控制建设起步较晚，其内部控制体系仍有待完善，采用内部控制信息化管理系统可能与单位实际不相符，且系统的建设费用相对较高，系统的实施更新也存在难度。内部控制体系最终的落地实施依赖于信息化建设，信息化建设程度不够直接造成医院部分管理制度不能较好执行，内部控制效率也会降低[5]。

2.3.3 内部控制执行环节存在的问题 对制度管理来说，制度体系的建设与完善只是完成了第一步，要想使各项管理制度中发挥作用，还应强调制度体系运行中的监控[9]。通过分析《内部控制报告》的结果，18家公立医院各业务模块(《内部控制规范》规定行政事业单位业务层面内部控制包括预算管理、收支管理、采购管理、资产管理、基建管理、合同管理)内部控制执行环节存在的问题见表1。

表1 18家公立医院各项业务内部控制执行环节存在的问题

由内控环节存在的问题可看出，在业务层面执行过程中，公立医院的问题主要集中在预算、收支与采购等业务类型较为复杂的环节，这就决定了其风险发生的可能性与管控难度相对较大；合同管理作为医院一项传统的业务管理活动，通过调研其存在风险点的原因为部分医院仍坚持传统的合同管理模式，合同按照业务类型由各科室自行负责，未实现归口管理；在合同订立时也未按照已有的流程履行审批程序。

3 完善公立医院内部控制的对策与建议

3.1 提高内部控制部门的独立性

医院内部控制部门作为内部控制建设、执行与评价的具体实践者，其自身的专业性、独立性直接影响着内部控制的效果,同时公立医院业务活动的复杂性也决定了其内部控制对于人员与内控部门的要求较高。由分析结果可知，大部分公立医院未设置独立的内控职能部门，内部控制的相关职责由其他科室兼任，这与已有的研究结果一致，如王璇[10]的研究指出医院现有的内部审计人员大多为财务人员转行，知识结构较为单一，只了解财务或审计的相关知识，欠缺风险管理、内部控制等方面的知识。出现这种现象的主要原因为大部分公立医院的人员配置不足、岗位设置不合理，建议医院可通过定期轮岗机制，合理安排具有专业知识的人员担任内审人员，专职负责单位内控工作的协调；同时完善单位内部控制关键岗位的设置，明确岗位的职责权限。在这个过程中可通过定期开展内部控制建设与完善相关的培训,提高对相关人员的综合业务水平，为医院内部控制体系的建设与完善创造良好的发展环境[11]，同时也应完善医院的沟通机制，畅通内审人员对单位“一把手”的汇报渠道。

3.2 多种途径促进医院内控“自生力”的提升

《内部控制报告》分析结果显示，18家公立医院中有17家医院的内部控制建设方式为外部协助，1家医院为自建，但这家医院并未进行年度风险评估，同时其内部控制也存在较多的问题，说明目前公立医院自身的内部控制能力与水平仍存在不足。可能的原因为:首先相比于企业内部控制而言，行政事业单位的内部建设起步较晚；其次内部控制是一个系统、动态的过程,包括设计、执行、评价和改进等环节[12]，内部控制体系的完善需要结合单位内部管理活动与外部的变化及时优化调整，这就决定了医院需逐步提升其内部控制的能力。最后，医院内部控制相关资源不完善也影响了其内部控制的水平。医院可通过聘请第三方专业机构定期对内控人员进行培训、加强各职能部门之间的沟通、调动全员参与内控建设的积极性等途径提升医院内控“自生力”，这样不仅有利于及时发现医院内控中的薄弱点，也有利于更合理全面的评估医院的内部控制状况，进而促进医院内控体系的改善。

3.3 关注重点业务环节的关键管控风险点

公立医院内部经济业务活动复杂，关注重点业务环节的关键风险点，可降低主要问题对于医院产生的影响，节约有限的内部控制资源，使单位用耗费较少的资源达到较为有效的防控效果，进而将业务环节中的各项不确定性控制在其可接受范围内的过程[13]。内部控制关键管控点是在各项业务环节中风险发生可能性较高的控制节点，这些管控点存在的风险是各项业务活动中的主要风险，其对单位的影响较大，需采取对策重点防控，只有抓住控制的重大环节、关键点, 才能从根本上发挥内部控制机制的作用[14]。针对18家公立医院内部控制存在的主要问题，在单位层面应进一步健全不相容职务间的岗位分离机制，利用关键岗位的相互牵制降低问题出现的可能性；业务层面可通过明确支出审批权限、严格审批流程，加强对资金支出的管控；同时通过明确采购相关岗位职责、合理设置岗位机制、严格合同订立审核的会签与审批机制等强化对采购、合同等环节的内控管理。

3.4 强化医院内部控制信息化能力建设

内部控制信息化可将各项业务环节中的关键控制节点纳入信息化管理，将执行制度固化为管控流程，实现“人控”向“机控”的转变，进而有利于减少疏忽、错误及舞弊行为,并能有效防范和规避风险[15]；同时也可以实时反映单位内部控制的执行情况，实现对经济活动的自动控制，降低人为因素的影响，进而促进单位内控的有效运行[16]。医院内部控制信息化能力的提升可结合单位的内部控制现状，针对各项业务活动中存在的主要风险，对比分析已有的业务控制流程，发现流程中的各个管控环节存在的薄弱点，特别是完善对于防控重大业务风险点的关键业务流程，将主要业务活动的流程及其控制措施嵌入信息系统中，进而逐步实现内控信息系统的全流程管理。由于信息系统的专业性，单位可借助外部第三方机构的支持，构建适合本单位业务特点的系统，从而促进单位内部控制的有效实施，为公立医院各项业务构建一个有明确执行程序和防控重点的内部控制信息体系。

良好、有效的内部控制有利于及时发现单位经济业务活动中的管理漏洞与薄弱环节，预防风险的发生，降低风险发生的可能性；反之，低效、不健全的内部控制则不利于风险的防控。随着行政事业单位内部控制建设的推进，公立医院的内部控制建设也取得了一定的成效，但其内部控制的完善仍需一定的过程。同时公立医院有其特殊性，如何建立能够适应其内部管理环境的内部控制体系，特别是在目前医改的大环境下，如何更有效地促进公立医院内部控制的完善，发挥内部控制在完善医院内部管理、强化风险防控中的作用，进而促进医院内部控制运行机制持续而有效地运行也是需要进一步解决的问题[17]。