刍议COSO框架下高校内控制度的实施及完善

●刘新华

一、高校内部控制制度建设的背景

在复杂严峻的内外部环境下，无论是以盈利为主要目标的企业，还是面向公共服务的政府部门与高校，都面临着更加复杂多变的风险。这些风险一旦发生，不仅关乎直接的经济损失，更关乎企业的声誉，近年来不少上市公司因经营管理不善而破产倒闭已是司空见惯的现象。基于此，不论是国外的监管机构，还是国内的监管机构，都积极吸取经验教训，从顶层设计与监管的层面来加强内控制度建设，并发布了一系列的指导文件。

在此背景下，加强高校内部控制建设有其现实重要性与客观必要性。基于内部管理而言，构建完善的高效内控体系，有利于从整体上有效进行风险管理，确保企业安全运行；从外部监管视角来看，积极完善完善单位内部控制制度，能满足上级主管部门的监管要求。目前我国高校内部控制建设尚处于初步发展阶段，缺乏成熟的实践经验，而且高校具有自身独特性，不能直接照搬企业的内控建设方式，因此，加强高校内控制度建设的创新研究具有较高的意义与价值。基于此，本文从高校内部控制的特点、效果、存在的问题与待改进方面着手研究，以期为高校内控建设提供参考。

从内部控制的产生、发展沿革的整体视角来看，内部控制的主体经历了从企业、政府部门到高校的拓展；而在我国高校内控指引的建设上，也正在逐步深化之中。为了加强财务报告反舞弊工作，美国经济学界于上世纪开始着手研究企业内部控制，并联合成立了反虚假财务报告委员会，该委员会两年后发起组织COSO委员会，专门研究和探索企业的内部控制建设。2002年，美国颁布了《萨班斯—奥克斯利法案》，要求上市公司加强企业风险管控，其中第404节规定，公司管理层需为公司建立和维持足够的、与财务报告相关的内部控制负有充分有效的责任。

随着我国经济的迅速发展，企事业单位经济活动业务的复杂性不断深化，潜在的系统性风险随之增加，加强内部控制建设的重要性日益凸显。基于此背景，我国财政部先后出台了《企业内部控制基本规范》《企业内部控制配套指引》等内部控制相关文件，以加强企事业单位内部控制建设，为规范内控制度建设提供指引。2012年以来，我国行政事业单位内控建设得到进一步发展与完善。2012年，财政部制订引发了《行政事业单位内部控制规范（试行）》（以下简称《内控规范》），明确行政事业单位负责人对本单位内控建设的建立健全程度和有效性负责，并明确了单位层面及业务层面内控建设的要求。

高等院校是行政事业单位的重要组成单位，在加强内部控制建设中责无旁贷。逐步推动和健全完善高校内控建设对于完善高校治理结构、规避高校运行风险等方面都具有重要意义。2013年12月，教育部印发《关于做好〈行政事业单位内部控制规范（试行）〉实施工作的通知》，要求各教育行政事业单位认真贯彻落实内部控制规范的各项要求，高校层面的内部控制建设自此拉开序幕。为推动部属各高校不断完善内部控制，提高内部治理水平，2016年4月，教育部发布了《教育部直属高校经济活动内部控制指南（试行）》（以下简称《指南》），由《实施指南》《应用指南》及《评价指南》三大部分组成，其中《应用指南》结合高校特点，对高等院校的各项经济活动相关的内部控制制度作出了具体的规范。2021年8月，财政部印发《中央部门项目支出核心绩效目标和指标设置及取值指引（试行）》，旨在提升部门项目支出绩效目标编制质量，推动加强和改进绩效自评工作。其中，绩效指标设计思路包括确定项目绩效目标、分解细化指标、设置指标值，以及加强指标衔接；同时，绩效指标的设置应本着高度关联、重点突出、量化易评定原则。笔者认为，该指引为完善高校内控制度提供了绩效方向的思路，也为建设更加健全的高校内控制度提供了指引方向。

二、COSO框架维度下的高校内控建设分析

1992年，美国COSO委员会在《COSO内部控制整合框架》中首次提出了COSO内部控制框架，明确内部控制由控制环境、风险评估、控制活动、信息与沟通和监督五要素，以及运营的效率、报告的可靠、相应的法律性三个目标，共同搭建起立体的内部控制框架结构，有利于利益各方从不同的维度去分析判断单位内部控制的各个方面。COSO框架因其全面性、系统性在内控管理实践中得到了广泛应用。对于我国的高校而言，COSO框架下的内控系统也具有极强的指导意义。事实上，从COSO五个要素可以考察高校内控的主要特点及其效果。

（一）控制环境

治理结构、机构设置及权责分配、学校文化等共同构成了高校内部控制的控制环境，内控基调和态度是学校道德规范和文化环境建设的基础。一方面，高校作为行政事业单位，决策机制除了要受内部制度的约束，还要服从上级主管部门（如财政部、教育部）的监管要求；另一方面，高校作为一种文化结构与知识教育组织的结合体，传承文化知识和开展人才培养是高校的核心价值所在，因此在高校内控建设中不能一味地考虑效率和经济利益，而应更多兼顾人才培养和文化建设，培育积极向上的价值观和责任感、倡导诚实守信、开拓创新和团队协作精神，营造良好的精神文化氛围和内部控制环境。

（二）风险评估

企业面临的风险主要包括投资风险、市场风险、财务风险、政策风险和法律风险等方面的风险。相对而言，由于高校的主要业务活动集中在教学、实验等特有的非经济业务上，因此除常见的财务风险外，高校还存在着一定的非经济业务风险。

1、教学运行风险。教学运行工作是高校内控管理的重中之重，其风险具体体现在教学事务决策机制、教学资源管理、考务管理和学生培养等方方面面。以研究生培养环节风险为例，近年来学术造假、导学矛盾的新闻屡见不鲜，类似因学术不端被撤销博士学位、学生因与导师存在长期矛盾引发悲剧等事件对学校的声誉产生了巨大的负面影响，也凸显了研究生导学关系的引导、培养的质量控制程序的重要性。为此，高校应当建立健全院系的学术、教学运行工作机制，详细记录教学培养相关事务的讨论决策过程；进一步完善本科生和研究生的培养方案，时刻关注学生心理健康、思想培育，引导学生正确处理导学关系；学校及院系还应当制定考务、学习成绩和学籍等管理制度，建立健全教学责任事故上报、处理机制，严格执行学位授予全方位全流程管理，避免出现学术不端、教学质量下滑等教学相关事故。

2、学生资助体系风险。勤工俭学是各高校提供给学生个人从事的有酬劳动，用以助学，提高学生福利的制度安排。对于提升学生的社会实践能力、缓解贫困学生的经济压力、培养学生吃苦耐劳的能力等发挥着重要的作用。然而，部分高校存在教师套取本应发放给学生的勤工俭学费用，为个人谋取私利的现象，在社会上造成了极其恶劣的影响。针对这种情况，在专项检查中发现高校勤工俭学费用发放中存在明显的漏洞，如发放人员职责不分离，一位工作人员同时负责考勤、管理和工资发放，容易诱发腐败，不仅损害学生和学校的利益，也让徘徊于法律边缘的职工落入犯罪深渊。因此，规范的内部控制管理机制，不仅能有效维护学校和学生的利益，也为在校职工构建起了一层安全防护网。

3、实验室安全风险。实验室是高校师生开展科学研究的重要场所，但近年来因实验室管理不善引发安全事故的现象时有发生。实验人员不按规范开展实验活动，购买违规实验品、危险化学品存储地点不合规定等，都有可能引发实验室安全隐患。2019年6月，教育部引发了《关于加强高校实验室安全工作的意见》，明确高校应当健全实验室安全责任体系、完善实验室安全管理制度、狠抓安全教育宣传培训、加强安全工作能力建设、建立安全工作奖惩机制。

（三）控制活动

有效的控制活动是确保高校必要的控制措施得以实施和执行的保障，通过开展一系列的控制活动，以期达到控制管理风险，实现高校健康运行的目标。由于高校业务活动复杂，涉及面相对较广，除了资产、合同、财务收支管理等经济业务活动外，还涉及人才培养、科学研究和实验室安全等非经济活动，此外，高校通常还需满足完整的居住社区功能，无形中增加了高校内部控制的复杂度与管理难度。

（四）信息与沟通

有效、及时的信息沟通机制可以保证信息在横向与纵向的传达中得到准确传递，高校通过信息与沟通达到传播知识、培养人才、塑造价值的直接目的。因此，在进行内控建设时，高校应充分利用考虑信息沟通的有效性和效率性，加强信息规划与建设，避免各部门、各管理环节成为“信息孤岛”，通过更加先进、完备的信息化机制，更好地实现服务师生的目标。

目前我国高校的内控信息化建设水平参差不齐，有些高校已经实现科研、资产、教务等系统与财务系统的融合，并通过信息系统控制以上业务的大部分流程节点；信息化建设程度中等的高校基本实现了公文流转、教务信息、财务信息等业务的信息控制，实现了高校基本管理的信息化；信息化建设程度较低的高校，财务系统仅实现了从手工操作到电脑操作的过渡，系统兼容性较低，未能实现对财务信息的系统审核与控制，同时缺少与其他业务板块的衔接，难以承接通过信息化建设落实内部控制管控的需求。此外，大部分高校仍存在大量业务流程与审批节点通过纸质文件传递与签批；集体决策制度与汇报制度采用非正式沟通的方式进行，并未留存书面文件予以记录，从而导致沟通效率低、误差大，不利于确立标准的业务流程规范。

（五）内部监督

高校内部控制建设是一个循环往复、不断提升的过程，其有效运行离不开完善的监督和检查体系。加强监督检查工作，加大考评问责力度，是全面推进行政事业单位内部控制建设的主要任务之一。内部监督主要是针对内部控制建设与实施情况进行监督检查、评价其有效性、发现缺陷并及时改正，有效的监督是确保内控得以有效实施和落地的重要抓手。为此，高校应积极建立健全内控监督检查和自我评价制度，通过内部监督即使发现内控制度实施中存在的突出问题、管理漏洞和薄弱环节，以更好地优化完善高校内控体系。

三、高校内控建设与实施中存在的问题

（一）对内控建设的重要性认识不够

部分高校未充分认识到内控建设的重要意义和现实需求，其出发点是迫于上级部门的要求，仅仅是为了完成任务，导致内控制度的建设走形式化。还有一些管理部门对内控建设存在认识上的误区，认为内控工作仅仅是从资金方面来评估并管理风险，与审计工作具有较大的重合性，没有必要单独设置内控管理的职能部门；甚至个别高校领导认为，开展内部控制建设就是束缚了自己的手脚，对于日常工作造成掣肘，且日常运行中审计通常与“问题”联系在一起，大部分管理者会认为“学校最近没有出过事儿”“我们管得很好”，内控可能用处不大。此外，高校绩效考核机制不健全，未将内控体系建设纳入干部绩效考核指标设计体系中，使得内控建设缺少了重要的推动力。

（二）内控建设过程中缺乏具体的可操作性方法

目前高校内控制度中仍存在着诸多不完善之处，具体体现在：一方面，部分高校尚未完全领会《内控规范》的精神实质，对《内控规范》的了解不够细致和深入，在内控体系建设中缺乏明确的目标与规划，因而在实施过程中存在一定程度的盲目性；另一方面，部分高校将内控建设看成是个别部门，尤其是财务部门、审计部门或者极少数人的事情，仅通过传统的纪检、审计等手段对于高校运行中出现的问题进行事后的调查，缺乏机制化、体系化、持续性、预防性的内控优化措施；加之对内控的误解，认为单位领导严格就可以很好地实现内部控制，并未从制度建设、机制运行、执行监督等方面体系化地审视内部控制建设，无法真正有效地提升内部控制环境，从而导致内部控制建设目标难以实现。

（三）内控人才缺乏，队伍建设不牢

专业化的内控队伍是高校内部控制体系得以健康发展的基础。一方面，相对于传统的管控方式，内部控制属于新兴事物，但由于缺乏足够的时间积累和沉淀，在内控人才的培养与储备上还显得不够充分；另一方面，高校内控建设属于一项综合性较强的系统工作，涉及领域多、工作面广，需要既熟悉财务管理、科研管理、采购管理、工程项目建设、固定资产等经济业务领域，又了解教学运行、学生活动、实验室安全管理等非教学业务领域的复合型人才，因此，其对内控人才的能力要求较高。基于这些特点，虽然各高校已逐渐意识到内控的重要性，一些领先的高校也已经开始储备专业化的人才队伍，但从总体效果来看，现有高校人员结构中内部控制相关人员仍难以满足越来越艰巨的高校风险防控任务。

四、完善高校内控制度建设的对策与建议

党的十九大提出，“要加强对权力运行的制约和监督，让人民监督权力，让权力在阳光下运行，把权力关进制度的笼子。”作为权力和制衡的抓手，建立和完善高校内部控制体系再次被重视。COSO内部控制框架中将内部控制的效果解读为内控将为组织提供以下三类运行目标的合理保证：符合法律法规的合规性要求、提高报表的可靠性和提升组织运行的有效性。结合这三方面的要求，本文提出完善高校内控建设的相关对策与建议。

（一）符合法律法规要求

合规性是建立并实施内部控制活动的最基本目标。内部控制体系的建立，为组织提供了一个满足适用法律和法规的最低行为准则。近年来，教育部、财政部等部门针对高校特点下发了多个合规性制度文件，要求各高校按照《指南》要求，组织部署相关工作，确保各高校建立并实施内部控制制度。当前一系列制度要求中，试行的《教育部直属高校经济活动内部控制指南》为内部控制活动的执行提供了具有较强操作性的指引。《指南》特别对高校的组织层面、运行机制、人事管理、信息系统、资产管理、收支管理、合同管理、采购管理、工程管理和科研项目管理等方面提出了要求，并对业务流程的重点风险进行了提示。高校依据《指南》要求，对照关注的业务流程，系统梳理并识别风险，进而分析风险成因及影响，以此建立完善的内部控制制度体系，满足相关部门对高校内部管理水平的基本要求，综合提升高校应对风险的能力。同时，参考财政部印发的《行政事业单位内部控制规范（试行）》中提出的适用于各行政事业单位内部控制的一般控制方法，优化各业务流程，进一步提升内控管理水平。

（二）提高报表的可靠性

会计报表是对单位财务运行情况的整体反映，新政府会计制度要求编制真实、完整的财务会计报表和预算会计报表。完善的内控制度是高校财务运行的有力保障，而真实完整的会计报表是高校财务运行情况的整体反映，两者为促进学校财务高效运转，提升学校治理水平提供支持。在完善高校内控体系过程中，要进一步提高报表的可靠性，减少虚假报销、跨期报销、资产损失等事项，以真实、完整、准确地提供会计信息。通过制定完善的内控制度、细化业务操作流程、设计具体控制措施，来进一步强化会计报表的事前和事中过程监控，确保学校按照政府会计准则编制更具可信度和效度的财务报表。

（三）提升组织运行的有效性

随着我国社会经济环境的不断变化，高校内控建设面临的形势也日趋复杂。特别是国有资产被非法占有，学术造假、导学矛盾问题屡屡发生，高校学生资助工作乱象丛生，针对这些现象，应建立从经济业务领域到非经济业务领域全方位的内部控制体系，健全内控制度体系，从源头堵住漏洞，从而彻底消除隐患，切实降低高校运行的风险，确保高校内部组织健康、有效的运行。

1、全员行动强化内控。内部控制体系建设不是一个部门的工作，而是一项系统工程，需要全员参与进来。首先，高校领导层应高度重视，进一步提高风险防范意识，从根本上认识内部控制对提高学校自身治理能力的重要意义；其次，加强顶层建设，配备内控相关管理人员，并落实内控建设的相关责任；第三，将内控体系建设与高校文化建设有机结合，使之融入学校的文化理念之中；最后，针对学校不同层次人群有的放矢、精准施策，分类开展内控培训，对全覆盖对象进行差异化培训，全面提升对内控的认识。

2、加强内控人才建设。人才是内控实施的关键，专业化的人才亦是开展专项工作的基础，高校应结合外部引进和内部培养的方式，加强内控人才队伍建设；同时，借助校企合作平台，从各职能部处引进熟悉高校环境、业务流程的人才，积极借鉴企业内控管理经验。加强内控人员培训，不断提升其专业技术能力，为内控建设与执行奠定坚实的人才基础。

3、逐步将内控建设纳入高校各单位考核的绩效指标。任何一项工作，如果缺乏相应的监督与考核，就会使其流于形式，无法起到切实的作用，发挥实际的效果。结合财政部印发的《中央部门项目支出核心绩效目标和指标设置及取值指引（试行）》，明确各单位内控绩效指标，定期执行内控绩效监督，将责任落实在单位运行的各环节，调动各责任人员的积极性，真正形成“全员参与内控，全员建设内控”的格局。