公立医院内部控制体系构建的风险管理

余文敏 德阳市第二人民医院

引言

公立医院高质量发展已成为新时期医院管理发展的必然要求，公立医院作为医疗服务主要提供者，能够识别及防范风险，对风险全面评估，进行医院内部控制建设，不仅是政府和社会公众对公立医院的监管要求，也是公立医院保证安全、稳定、高效地提供医疗服务的有力保障。

一、背景及意义

（一）行业背景

随着我国医疗卫生体制改革的逐步深化，伴随着人民对健康管理的需求增加，公立医院高质量发展已成为医院管理发展的主旋律。《行政事业单位内部控制规范（试行）》系统的为行政事业单位提出了内部控制建设指引，2020年12月30日印发的《关于印发公立医院内部控制管理办法的通知》对我国公立医院内部控制建设与实施提供了详尽的规范意见。目前，公立医院内部控制的缺失已成为阻碍公立医院发展的瓶颈，医疗机构是否有效运行与人民群众息息相关，来自政策环境、运行压力等多方面风险因素也让公立医院面临新的挑战和压力，我国的公立医院需要从风险管理的角度来构建内部控制体系。

（二）风险管理理论

首要工作是识别风险进而实现风险的有效应对。关于风险的定义是指在特定环境下发生损失的可能性，即说明了风险发生的不确定性，风险引起的损失的不确定性。风险管理则是在组织或者项目中通过对风险的认识和分析，通过积极地参与以最有效的方式主动地控制降低风险，以保证组织或者项目目标的实现。风险管理对组织的健康有序的发展十分重要，需要在有风险管理的环境中将风险可能造成的不良影响降至最低的行动。首先，风险管理必须设定目标，只有目标明确才能起到积极的作用。对风险目标的确定要与组织的总体战略目标一致，设定目标才能为下一步的风险识别和风险应对提供方向。其次，需要识别风险。风险识别是通过找出各种存在的隐性的和显性的因素及其损失，是进行风险管理的基础。再次，风险管理的关键在于风险控制，通过对风险的识别进而采取积极的措施来有力的避免和控制风险，缩小风险发生带来的损失程度。最后，风险管理最终是要实现规避风险，减低损失发生的概率及损失程度。

二、公立医院内部控制体系构建的风险分析

（一）公立医院面临的主要风险

公立医院在执行内部控制的时候，对于存在的风险主要从医院内部及外部的多因素进行分析。在外部风险上来看，政策风险是指因行业政策的变化产生的可能对医院经济管理活动影响的不确定性。比如卫生行业性政策制度的日新月异，执行政府采购法严格要求加强预算管理、医保付费制度的重大变革等的规定对公立医院的发展方向和运行机制发展提出了新的要求。技术风险是指因医疗技术治疗手段进步而导致的原有技术、资产、管理模式等变动的不确定性。往来款信用风险和患者道德风险也是医院经济运行的重大影响因素。医院最大的债权债务就是医疗保险资金和供应商的应付款项，随着群众对医疗卫生日益旺盛的需求，许多地方的医保资金吃紧，增加了医院资金运行的压力，为医保患者垫支的医疗费用无法及时全额收回。为保护中小企业的权益，医院应付供应商的药品材料设备款项最长付款期不超过90天，改变了以往医院主动方的地位，无法按期付款则会面临法律风险。患者道德风险是指患者无法支付医疗费用引发坏账损失，医院面临着患者的道德风险，在医院提供公益性的医疗服务后患者会发生拒付和有意拖欠医疗费用的现象。内部风险是指由公立医院的内部因素所导致的风险，内部风险细分为单位层面风险和具体业务层面风险。单位层面的风险主要为组织架构设计不科学、权责分配不合理、部门管理及业务流程缺乏有效的制衡和监督、关键岗位及关键人员管理不规范、会计核算基础差及信息系统安全管理问题等；业务层面的风险则存在于预算、收支、采购、资产管理、合同管理、科研教学、互联网医疗等各项业务活动。

未全面执行预算管理，实际水平与预算水平的偏差率太高，支出不在预算控制的指标范围内，与预算不符存在超预算风险；收支业务不合理、不合规，收费未按医疗服务项目物价标准收取，存在拆分、重复收费等情况；设备购置市场论证不充分，重资产购置轻资产管理，新设备购置未能发挥较好的经济社会效益，导致国有资产大量闲置；在招投标过程中，财务、审计监督不力，造成国有资产大量流失和廉政风险。

（二）公立医院内部控制体系风险管理目标

一是保证医院经济活动合法合规。公立医院各项经济活动都必须遵循国家法律法规和相关规章制度等要求，确保一切经济活动在法纪中运行。二是保证医院资产安全和有效使用。医院必须落实资产管理责任，合理保证资产安全完整，将资产管理与预算管理、采购管理相结合，提高资产有效使用效率。三是保证医院财务信息真实完整。加强医院会计核算、预算、决算等环节的内部控制，确保经营活动的信息能够准确及时地反映在财务报表中，财务信息真实完整。四是提高医疗服务的效率和效果，加强内部控制降低医疗服务成本，提升医院管理效率，实现医院的公益性。

（三）公立医院内部控制体系风险管理原则

第一，全面性原则。公立医院的内部控制建设是医院经济管理活动的必然要求，应作为一个管理的全面有效的抓手渗透至医院经济管理和业务活动的全过程。在全面覆盖的基础上，全员共同参与，业务范围全面涵盖了医院运行的各种业务环节，主要从预算管理、收支管理、采购管理、资产管理、基建管理、合同管理等方面抓内控；在内容的设计上内控建设应兼顾宏观和微观层面，使之覆盖所有的风险控制点。

第二，重要性原则。在医疗卫生体制改革进入深水区之时，政策环境的复杂多变推陈出新要求公立医院在保障基本运行上突出重点，对影响医院发展的主要风险点和关键岗位及事件采取严格的有针对性的控制措施。控制关键节点，识别控制主要风险点，杜绝发生舞弊和腐败，将风险降到医院能承受的最低水平。

事前预防和事中控制相结合的原则。在内部经济运行中最大限度地将风险管理关口前移，建立相互制衡运行机制和组织结构，形成相互制衡的约束及监督机制，保证从设计上杜绝风险的发生。

三、公立医院内部控制体系构建的风险管理

（一）构建风险管理的组织架构

根据公立医院组织内部的分工特点及有关规章制度要求，内部控制工作作为院长一把手工程，院长为统抓医疗业务和经济业务的主要负责人。由副院长分管不同的业务范畴，从医院管理层的角色对医院业务的风险管理分头督导落实，有效地保证了内控建设的有效性。同时实行的党委领导下院长负责制，由院长、书记双组长制的内部控制领导小组对单位层面及业务层面的风险及内控进行全面管理，有效发挥纪检监察的有力作用，很大程度厘清内控风险类型，增强整体的风险管理工作水平，对内控风险管理形成强有力的合力。同时建立外部审计监督机制，对内控风险进行评价与监督。

（二）公立医院内部控制体系构建中的风险识别

根据《医疗机构内部控制实施办法》的相关规定，组织开展对全院各部门各流程的风险评估活动。风险评估在内部控制领导小组的带领下，由医院办公室、监察室、财务部等部门负责具体实施。各科室对部门内部及部门之间的医疗活动、业务活动等经济事项组建相关人员作为评估成员，采取综合分析法、问卷调查、实地走访调查等方法，较真实地获得了该医院经济管理运行中的风险情况，可发现在单位层面和业务层面存在的风险因素。

在单位层面，组织结构设置不合理、职能运行不到位。职能科室设置过多，存在部门职责模糊、权限不明的情况。分管业务的副院长的工作职责或多或少存在关键职能缺位现象。未能按照国家有关要求规范设置总会计师，整体财务活动受到限制。

重要岗位缺失。未建立轮岗制度，个别关键重要岗位长期未进行轮岗，导致岗位人员熟悉工作关系和工作内容后易产生倦怠，存在较大的廉政风险。轮岗制度未建立并得以有效实施导致医院无法发现管理中的问题和风险。

会计核算基础薄弱。会计系统力量比较薄弱，财务科人手不足，与医院的业务量不相适应。随着会计制度的改革，对会计工作的质量要求越来越高，财务人员素质还有待提升。医院领导对会计工作的重视程度不足。

在业务层面，医院领导层对预算管理工作的认识不足，在预算编制、执行、调整、分析及考核环节执行不规范。预算实际执行与年初编制的预算差距很大，预算调整项目较多，且随意性强。预算编制基础薄弱，未能执行自下而上的编制流程，存在预算编制不准确、执行困难较大的风险。

会计核算不规范，医疗收入账面与业务系统存在差异。岗位设置不合理，记账人员对执行规范理解不足，易出现账务处理错误的情况，缺乏稽核检查岗位，导致会计错误不易被发现。票据管理不完善，票据申领、使用、登记及核销不健全。会计凭证缺乏完整的原始单据；电子发票存在重复报销的风险。内部财务支出手续不健全，部分支出业务缺乏主管领导审核签字，存在未经授权的分管领导签批的支出情况。

采购工作推进缓慢，采购时效性较差。由于对医疗设备或软件购置前论证不充分，市场调研缺乏客观准确性，导致后期的使用维护保养成本较高。政府采购批复执行时间较晚，存在采购部与业务需求主管部门沟通较差，权责不清的现象，采购业务从前置手续到签订采购合同往往需要较长时间，执行效率较低。资产日常管理混乱，相关部门责任未达到明确划分，出现资产闲置和高成本运行的现象。

（三）公立医院内部控制体系构建中的风险量化

内部控制风险点的重要程度取决于医院负责人对风险的容忍度。结合医院的实际情况及三重一大议事决策机制规定，内控小组对内部控制风险点的重要程度进行了界定。从风险发生的可能性和影响程度两个维度，对风险进行量化。一是对风险发生的可能性评级，根据风险发生的概率，分为少有可能发生、有可能发生及非常可能发生三个等级；二是对风险损失的影响程度评级。确定 2 万元为一般损失，2 万到 10 万元为重要损失，10万元以上为重大损失。综合上述两个维度，将现有内部控制的108个流程中对风险进行了分类，不大可能发生且影响程度较小的一般风险确定为76个；非常可能发生且对医院经济活动产生重大影响的重大风险确定为32个。

（四）公立医院内部控制体系构建中的风险控制措施

内部控制建设具体分为单位层面和业务流程层面。单位层面内部主要包括：组织架构、人力资源、会计系统、信息系统等方面；业务流程层面主要包括：预算、收支、采购、资产管理、合同、医疗、教学、信息系统等12个方面。

在医院决策机构、执行机构、监督机构三者之间的权责进行分配，有效保证各项业务活动都能有序且规范的展开。合理规范人力资源配置，合理设置岗位及岗位准入条件，加强关键重要岗位人员培训以适应医院运营变化的要求。在信息大数据化时代，财务要加强数据质量的管控，同时信息部门做好数据支持，推行预算、财务、物资、资产、成本、薪酬考核、合同等一体化的综合运营管理信息系统建设。预算业务贯穿整个内控体系的构建，严格制定和审查各个部门的预算。将预算进行归口管理，明确预算业务部门及职责，将预算编制调整执行监督流程化，实现医院整体预算管理有效运行。对门诊及住院收入流程进行重新梳理，制定数个ABC级别风险点，分别实施不同层级的管控。

（五）公立医院内部控制体系构建中风险沟通

以内部控制领导小组召开相关科室会议，从组织上、意识上理解内控建设中风险的把控问题，提高全员风险防范意识。通过组织专题培训和聘请内控制度建设专家对全院进行宣传和引导。内部控制牵头部门要加大宣传力度，指导各个部门该工作实施的背景和意义，增强全体员工认同感和责任感。各相关科室需充分理解掌握内部控制的基本要求，提高内控管理控风险意识，从行为上逐步梳理抓好控制点找到控制措施，提高内控风险防控重视度，让职工主动参与到内控建设中。

结语

为更好地实现医院未来的发展规划任务目标，实现医院的可持续发展，在行业政策的压力下持续加强内部风险管理工作具有重要建设性指导意义。医院需借助内部控制建立执行的具体举措以及相关实践，促使医院提升对运行风险控制的敏感性，并在顺应医改新的要求形势下，建立风险管理基本路径和防控措施，提高医院整体管理能力和高质量发展水平。