基于风险导向的公立医院内部控制评价应用研究

2021-07-13王娟郑洁

现代医院管理 2021年3期

王娟，郑洁

(四川大学华西第二医院，成都市 610041)

内控评价体系作为内部控制建设不可缺少的一环，为公立医院内部控制的建立与完善提供重要的参考依据。目前，现有的法规政策等指导性文件仅对公立医院的内控建设起到原则性的指导作用，却未对内部控制评价做出具体的规定和指导[1]，且尚未形成公认的内部控制评价体系[2]。而医疗改革的深化要求医院加强对风险的管控，风险管理具有与内部控制评价较为一致的目标，通过重点关注确认风险以及测试管理风险的方法[3]，可以建立科学、有效的内控评价标准，有针对性地对风险管控中的漏洞加以完善。

设备采购是医院业务层面内部控制建设的重要组成部分，公立医院越来越重视设备采购工作。但作为事业单位，自身缺乏内部控制建设的主观能动性，设备采购业务又具有复杂性，公立医院设备采购内部控制建设成效不尽如人意。公立医院设备采购存在诸如内部管理制度不完善、执行力不强、预算编制粗糙等诸多问题[4]。故分析现有问题的形成原因，并提出有效的解决措施，从而改善医院设备采购的内部控制环境，提高医院识别与防范风险的能力就具有重要的意义。因此，本文尝试构建风险导向下的内控评价应用体系，以H医院设备采购主要风险点的识别和评估为基础，介绍缺陷测试及认定流程，探究风险导向下内控评价模式的建立和实施，为公立医院内部控制评价方法和标准提供借鉴和指导。

1 H医院基本情况

H医院是一家三甲医院，是集医疗、教学、科研、预防保健和人才培养为一体的综合医院，有编制床位1 500余张，在职员工3 000多人，共有20余个临床科室和医技科室。

设备采购工作主要涉及的部门及职责包括：装备部负责设备年度计划的组织与执行，协调科室需求与厂商之间的配置响应，完成设备采买的前期论证及市场调研以及设备采购到货后续管理工作；设备采购的招标、比选、商务谈判等采购工作由采购部完成。

H医院建立了医院内部控制工作机制，内部控制建设领导小组是全院内部控制建设的决策议事机构，下设内部控制建设领导小组办公室、内部控制建设监督检查小组，分别负责内部控制建设工作的组织实施与监督检查，形成决策、执行和监督相互分离、相互制约的内部管理体系。

2 基于风险导向的H医院设备采购内控评价程序

2019年11月，H医院启动了风险评估与内部控制评价工作。在内审人员对风险予以识别与提示的基础上，形成风险清单，由业务部门开展风险自评估，并根据风险评估结果明确关键控制活动。在此基础上，由内审人员根据风险重要性水平，有针对性地开展内控评价工作。本文通过阐述H医院设备采购内部控制评价的流程及方法，以期形成具有较高实用性、可操作性的评价标准，从而规范测试人员的评价程序，提升实施效率和工作效果。

2.1 业务整体风险评估

2.1.1 风险识别。风险是影响目标实现的不确定性因素，是不确定事件发生的概率及其影响结果的组合[5]。医院在识别风险的过程不中仅需辨识潜在事件对目标的负面影响，也要关注实现目标过程中的机会。

H医院从战略风险、运营风险、法律风险及财务风险4个维度出发，实施H医院设备采购风险评估工作。在收集设备采购相关基础性资料、了解基本业务环节的基础上，设计访谈问卷并与装备部、采购部门等相关负责人进行沟通交流(见表1)。访谈提纲重点围绕采购预算、采购计划、采购执行和采购验收及付款四个子流程展开，访谈内容重点关注业务关键流程及采购活动管理现状。H医院内审人员将收集到的信息进行比对、筛选、整理和分析，形成风险清单，以识别H医院在采购业务各环节中自身所面临的潜在风险。

表1 H医院各部门(科室)负责人访谈问卷

2.1.2 风险分析与评估。风险分析与评估程序建立在前期风险识别的基础上，采用定性和定量相结合的方式，分析和描述风险发生可能性的高低、风险发生的条件，确立风险重要性水平。H医院评估人员根据前期访谈内容，梳理出设备采购流程中的主要风险11项，并分别明确风险归属。针对各项风险项，由风险控制主责部门基于对业务的了解，对风险水平予以自评估。风险发生可能性依据发生概率从低到高，对应分值0～5分。对于风险影响程度，根据风险的属性和相关性选填风险可能影响的多个维度，包含日常运营、财务、医院声誉、法律法规以及员工，对应分值0～5分，并以五个维度中的最高项得分为风险影响的综合得分。

根据装备、采购、财务等部门风险自评的结果，对11项风险等级予以认定，评价结果见表2。风险评估结果将影响内部控制评价程序的资源配置及计划安排，将重点放在对具有高风险性的控制活动进行有效性测试。

表2 风险等级评分结果

2.2 明确关键控制活动

关键控制点是对控制目标具有较大影响的关键控制环节，是在流程运行中保障业务按计划要求贯彻执行、降低风险发生概率的主要措施。风险点是设置控制点的依据，对于关键控制活动的识别应以风险评估为基础，将控制风险点的活动作为关键控制活动。H医院在梳理出的设备采购主要风险点上，进一步细化风险项，并明确关键控制点，并形成风险控制矩阵(见表3)，为持续开展并不断改进控制活动与控制测试策略提供依据。

表3 设备采购风险控制矩阵

2.3 对控制活动实施测试

对设备采购风险的控制措施，根据风险等级制定合理的控制活动测试方案，将更多的审计精力及资源放在风险等级较高的事项中，以在有限的测试中更多地识别重要的控制缺陷。

2.3.1 执行穿行测试。审计人员对现有的H医院设备采购流程做内部控制穿行测试，随机选取3项本年度的采购业务，追踪交易从发生到终点的全过程，检查流程控制节点中的文档资料以及信息流，以对内部控制措施是否设计合理以及是否得到运行进行评估。对控制活动缺失或难以有效预防风险发生的内部控制认定为设计缺陷。

2.3.2 实施控制测试。穿行测试是了解内部控制的重要方式，在此基础上，实施控制测试对控制活动的有效性进一步获取证据。审计人员根据风险评估结果对内部控制测试范围进行评估，风险重要性程度越高，控制测试范围则越大。在此基础上，挑选样本进行抽样测试，样本量根据控制活动发生频率来选择，以分析内部控制是否运行有效，对未得到有效运行的内部控制认定为运行缺陷。以设备采购是否建立合理、有效的相关制度并经恰当审批为例，内控测试工作底稿见表4。

表4 内控测试工作底稿

在此基础上，采取个别访谈、实地查验、比较分析等其他适当方法，广泛收集H医院设备采购内部控制关键控制点设计和运行是否有效的证据，对关注领域的政策和程序进行文档复核。根据测试结果，对设备采购内部控制缺陷等级予以认定，根据缺陷的重要程度分为重大缺陷、重要缺陷、一般缺陷。

2.4 形成内控评价结果

通过与H医院的设备采购负责人及工作人员进行访谈，执行内部控制测试和评价等程序，共计发现缺陷18个，按缺陷类型分为设计缺陷3个，运行缺陷15个；按风险程度分为重大缺陷0个，重要缺陷3个，一般缺陷15个。综合H医院设备采购的制度流程、机构设置、岗位职责、执行情况等来看，设备采购内控缺陷主要体现在以下几个方面：

一是采购计划编制依据不充分，存在采购执行与采购计划脱节。经抽查样本检查年度采购计划、采购工作记录等资料，并通过现场观察、询问访谈等程序，发现存在因采购计划编制不尽合理，未充分考虑设备使用率、科室规划、技术发展、学科定位等综合因素，导致后期采购执行过程和采购计划存在出入，影响采购计划的刚性，容易造成预算执行进度缓慢。

二是设备采购预算管理机制不完善。如设备采购预算定期执行分析不到位，未完全按照预算管理制度要求，每月或每季度对医院自有资金预算执行情况召集各部门(科室)进行汇总分析；预算缺乏考核评价，可能导致预算管理流于形式，造成H医院的资金使用不可控。

三是医院部分设备采购职能设置及授权、执行流程待改进。如设备采购中医院授权管理体系不够清晰，存在装备部、采购部、审计部等部门在采购过程中职责交叉欠明确等问题。

2.5 出具内控缺陷整改建议

审计部门根据测试结果整理并汇总内部控制缺陷，将问题按照主责部门进行划分形成问题清单，分别与相关部门进行沟通确认，并提出整改建议。

2.5.1 建立设备采购事前论证机制。在形成购置计划前，对申购设备进行全方位调研，由部门(科室)建立项目库，按照学科发展及科室建设分轻重缓急进行设备购置规划；组织临床科室有关人员和医院相关部门进行论证与审核，为正确决策提供科学依据。论证的范围包括设备效益评估、使用人员需求、安装及空间评估、物价政策、社保调研、设备在国际、国内的技术水平和使用情况等内容。

2.5.2 完善医院设备采购预算管理机制。一是预算归口管理部门应当建立设备采购预算执行情况分析制度，定期通报预算执行情况。预算执行分析报告提交H医院相关部门及领导审批后，作为H医院未来决策及实施设备采购预算考核工作的依据。二是明确设备采购预算考核的项目及考核的指标，包括预算目标的完成率、预算项目的符合率、计划资金使用误差率、预算调整金额及次数等。预算管理部门定期组织预算执行情况考核，对考核结果予以反馈和运用。

2.5.3 明确授权管理体系，加强部门间沟通配合。明确各职能部门间的职责分工，加大设备采购全生命周期管理的合作沟通。采购前期，由装备部门、采购人员与科室共同配合，加大设备采购，尤其是大型设备的采购前调研力度；在合同签订阶段，严格按照招投标文件签订采购合同，根据采购合同签订会签流程，发挥申购科室的确认职能、采购部门的复核职能、法务部门的审核职能，降低采购合同签订风险。合同签订后，进一步完善并明确采购到货设备管理以及供应商评价等流程及职责分工。

3 结论与启示

此次内部控制评价工作与风险评估程序相结合，在了解H医院设备采购控制环境的基础上，通过访谈问卷等形式进行风险识别、分析与评估，针对主要风险点的控制活动，通过实施穿行测试、控制测试等评价程序，对设备采购内部控制缺陷进行认定，并提出整改建议。本文虽只针对H医院设备采购进行评价，其构建和实施过程对其他公立医院开展内控评价工作仍具有一定启示。

3.1 以风险管理理念为基础

风险管理和内部控制的目标较为一致，都是为了确保医院战略目标的实现，内部控制的原动力来自医院对风险的认识和管理，风险是内部控制的起点和开端，内部控制是风险管理的落脚点和逻辑归属。进行风险管理的最终目的在于完善公立医院的内部控制体系，将风险和内控有机的结合起来，更能达到管理的效果。

3.2 以设定合理的风险评估标准为工具

本次评价为尚未建立风险控制矩阵的医院开展风险评估与风险应对工作提供了思路。通过建立以风险影响程度、风险发生频率为影响因素的风险重要性衡量模型，将风险等级予以量化，使不同风险之间的重要程度具有可比性，从而明确需着重关注的风险点，在此基础上制定内部评价测试范围及标准。由于不同医院的内部控制体系具有不同特征，因此需摸索出适用于自身情况的内部控制评价体系，并形成具有较高实用性、可操作性的评价标准。通过统一、标准化的程序设计，能够有效规范测试人员的工作程序，从而提升实施效率和工作效果。