治理格局下高校内部控制的构建：功能、体系和运行机制

戚国伟，雷雯

（北京大学 深圳研究生院，广东 深圳 518055）

习近平总书记多次强调要在各级治理中坚持底线思维，增强忧患意识，提高防控能力，着力防范化解重大风险。2019年10月，党的十九届四中全会对于坚持和完善中国特色社会主义制度、推进国家治理体系和治理能力现代化做出全面部署，明确了各领域推进形成更加成熟、更加稳定的制度和治理体系的时间表和路线图。国家和社会对高校完善自身治理、廉洁规范运行、防范和应对重大风险、担负立德树人使命有越来越高的要求和期盼。内部控制是保证合规效率、管控风险缺陷、促进目标实现的基础管理工具，高校应当以建立健全内部控制为重要依托，切实推进治理体系和治理能力现代化。

一、高校内部控制的背景和内外需求

“内部控制（Internal Control）”源起“内部牵制”的思想，历经会计控制和管理控制、内控结构、内控整体框架、风险管理等多个发展阶段，并逐渐成熟。1992年，美国COSO 委员会发布《内部控制-整合框架》（也称为COSO 框架）给出了关于内部控制较为权威的定义，“内部控制是由企业董事会、经理阶层以及其他员工实施的，旨在为营运的效率和效果、财务报告的可靠性、相关法律法规的遵循性等目标的实现提供合理保证的过程”，首次把“经营、报告和合规”三个目标和“控制环境、风险评估、控制活动、信息与沟通、监督”五个要素整合在该框架中。随着现代管理在实务和理念上的发展，内部控制从最初关注经济活动领域风险，逐渐拓展到其他类型社会组织以及全部业务活动和内部权力运行层面，逐步确立为企事业单位规范内部治理的基本工具。

一是国家战略有导向。十九届四中全会通过的《中共中央关于坚持和完善中国特色社会主义制度、推进国家治理体系和治理能力现代化若干重大问题的决定》对形成决策科学、执行坚决、监督有力的权力运行机制提出明确要求，提出要完善权力配置和运行制约机制，坚持权责法定，健全分事行权、分岗设权、分级授权、定期轮岗制度，明晰权力边界，规范工作流程，强化权力制约。这些要求中蕴含着内部控制的思想，对于高校理顺各方权责关系、推进依法依规治校，提供了重要的逻辑参考和现实指导。

二是外部监管有要求。近年来，行政事业单位内部控制管理开始引起财政等相关部门的重视，地方财政部门及内控部门也在贯彻落实相关要求，结合预算绩效评价，逐步加强对高校内部控制业务的管理和指导，要求高校通过加强内部控制规避风险提高效益。2012年以来，财政部先后颁布了《行政事业单位内部控制规范（试行）》（财会〔2012〕21 号）（简称《单位内控规范》）、《关于全面推进行政事业单位内部控制建设的指导意见》（财会〔2015〕24 号）（简称《单位内控指导意见》），对事业单位内部控制基本制度框架进行了明确，为事业单位内控建设提供了指引。2016年4月，教育部办公厅发布的《教育部直属高校经济活动内部控制指南（试行）》，明确了高校内部控制建设的原则目标、组织架构和重点任务，要求高校各校根据管理工作实际，参照该指南组织部署内部控制的建立和实施。

三是自身发展有需求。随着高校改革发展的推进，在大学内部治理中，财务管理、招投标、基础建设、干部人事以及招生等关键领域问题多发，滥用职权、权钱交易甚至贪污腐败现象时有发生，廉洁风险日益凸显，亟须通过内部控制这一有效工具加强风险管控，推进治理体系的完善。2014年以来，教育部推进现代大学管理制度，强调以大学章程为牵引，促进高校治理水平的提升。比如北京大学近年将深化治理体系改革作为重点抓手，推进以章程为核心的、决策权执行权监督权相互制约协调的治理体系。

不难看出，在当前推进治理体系和治理能力现代化的总体导向下，高校亟须通过建立健全内部控制体系，规范权力运行、改进业务管理、优化资源配置，推动内部机构和人员担当履职、防范风险、完善治理，从而服务目标战略，推进事业发展。可以说，加强内部控制建设，对高校有序推进综合改革，实现双一流建设目标具有重要和深远的意义。

二、高校内部控制的职能（功能价值）和职责

探讨一个组织或机构的运行机制，首先要厘清其职能定位和职责边界。在实践中，往往易把“职能”和“职责”混为一谈。二者实则辩证统一、各有侧重。职能侧重的是一个事物或机构应当负有的作用、功能及价值，具有抽象性和前提性，职能之范畴决定职责之边界；职责强调的是一个机构在实践其功能价值时所需承担的具体任务事项或者开展的具体工作内容，职责的表述是具象的，职责的有效履行才得以支撑功能价值的实现。

处于高校这一特殊场域中，内部控制既要契合“合规管理”“风险管理”“效能管理”的一般要求，也要关怀高校行业特点。首先，从法规文件追本溯源。在单位内部控制的目标指向和价值取向方面，《单位内控规范》从“合理保证”“有效防范”“提高效率”等方面给出了阐释；而在工作要求和工作机构等相关条款（如第七、十三、六十条等）中，侧重“组织实施”“组织协调”“分析风险”“督促执行”“监督检查”等职责表述。其次，以高校治理的逻辑考量。大学是由教师、学生、管理服务人员共同组成的、具有复杂系统特点的学术共同体，既要满足外在相关方（比如政府、社会、校友、捐赠者等）的期待，亦要妥善平衡内部不同利益主体的诉求，需要籍由自身治理体系的完善和治理能力的提升，引导和保障各方合理高效地履行权利义务，推动双一流建设和发展。基于上述分析，可将高校内部控制在职能定位和具体职责梳理为以下方面。

（一）功能定位：控风险、增效能、促善治

一是保证合法规范，奠定校园廉洁基础。高校应围绕立德树人的核心使命和自身战略目标，科学配置权力，实现权责法定，通过采取《单位内控规范》中提出的岗位分离、归口管理、授权审批、预算和会计控制、信息公开等各类控制方法，在高校资金配置、资源分配、程序合法、流程合规等方面提供有效保障。

二是防控风险隐患，强化法治底线思维。有效管理风险，是内部控制的理论精髓和基本要义。高校在快速发展变革中，面临日益复杂的外部期待和内部利益平衡的要求，在其决策、执行、监督各环节中，都强调要提高法治思维、底线思维和风险意识。

三是提升效率效能，激发师生活力潜力。效率源自规则，管理就是生产力。健全制度、优化流程，有助于推动“放管服”落地和管理重心有序下移，从而提高资源配置效率，保证高校人财物核心资源的合理配置，实现规则和效率的有机统一和高度协同。

四是推进治理改革，促进事业有序发展。内部控制体系贯通治理全过程，充分运用内部控制理论框架指导管理实践，有助于高校从底层逻辑上厘清瓶颈问题，系统性地提出破解之道和实践策略，完善制度体系，优化促进发展的体制机制。

（二）具体职责：督导、评价、建议

内部控制在高校内部治理序列中，可归属为广义的监督机构，但是与审计监督、纪检监察监督有不同的侧重。审计更加偏重事后监督和外部监督，纪检监察则更加侧重对干部担当履责的监督。内部控制虽然未被赋予像审计或纪检的追责权限，但是内部控制具有框架性、过程性和嵌入式的特点，可以对组织治理链条实现全程风险跟踪管控，这也是内部控制的优势所在。高校内部控制的主要履责内容，可归纳为“督导、评价、建议”等方面。

一是协调督导职责。组织协调学校内部控制建设，设计内部控制体系，督促督导关键重点领域和内设机构内部控制建设，编制并定期更新内部控制手册，组织编制内部控制报告等。

二是评价反馈职责。评价分析学校内部各系统各单位内部控制建设和实施情况，提出反馈意见建议并督促执行，组织建设并持续优化内部控制管理信息系统等。

三是风险监测职责。对单位组织管理层面和业务运行层面中的重要风险和内控缺陷，进行系统分析、评估、识别、管理与监控，定期督促梳理制度规则和各类业务流程，提出风险控制策略，提出控制措施建议。

四是咨询建议职责。根据需要对相关制度机制、业务流程设计等进行合规性把控，在权限范围内开展合规咨询，提出风险预警和改进建议。

三、高校内部控制的体系架构

参照《单位内控规范》，高校内控建设的体系架构分为两个维度，一是单位层面，二是业务层面（如图1所示）。单位层面内部控制映射的是COSO 框架中的“控制环境”“信息沟通”和“监督”三个要素，侧重战略目标的明确、治理结构的理顺、可资信息的有效传递沟通及必要的监督制衡。业务层面内部控制映射的是COSO 框架中的“风险评估”和“控制活动”两个要素，侧重制度体系的保证、业务流程的优化和风险控制策略的选择与应对。

图1 高校内部控制体系

单位层面内部控制侧重的主要目标是推动建立权责统一、决策科学、执行坚决、监督有效、运行顺畅的治理体系。具体应重点关注以下方面。一是明确战略目标，推动一切工作指向立德树人核心使命，解决“干什么”的问题；二是科学配置权责，分解任务目标，推动权责法定，解决“谁来干”的问题，既包括横向上各职能部门之间权责的划分与衔接，也包括纵向上校院两级权责关系的厘定与理顺，这是高校单位层面内部控制的基本建构支柱；三是完善制度体系，建立健全以大学章程为龙头的治理规则体系，解决“依据什么干”的问题；四是加强信息沟通，打造上下、左右、内外的沟通协同、信息公开等机制，解决“准备干什么/准备怎么干、干了什么/没干什么”的问题；五是强化监督机制，建立发现问题、矫正纠偏的工作机制，解决“保障干好”的问题。单位层面内控建设应当嵌入学校的治理体系，着眼长远、适度超前，紧扣发展战略，牵引治理提升、推进目标达成。

业务层面内部控制主要目标，是在明确组织战略和权责法定的基础上，以制度体系为抓手，改进业务流程，防范风险隐患，提升管理效能。一是由内控部门统筹编制内控建设指南，用于指导各业务部门工作；二是组织各相关单位和部门进一步梳理明确自身职能职责；三是梳理规章制度，组织分析业务流程；四是评估缺陷和冗余，制定风险防控措施；五是由内控部门在以上工作基础上统筹汇编内部控制手册。需指出的是，在内部控制建设实际工作中，既要遵循普遍要求，也要注意把握高校特点和办学实际，分层分类，稳妥推进。首先，可从预算、收支、采购、资产、工程、合同等领域着手，把控经济领域关键风险，做好规定动作；其次，关注学科建设、人事改革、教学科研、合作办学、招生等教育行业重点领域，查漏补缺，防范风险；最后，在积累经验基础上，逐步延伸到两办、党群、学工和纪检等综合管理领域，推动职能部门担当履职，提高双一流建设服务效能。

四、高校内部控制的建设机制和权衡要素

内控建设基础性强，涉及面广，是“一把手”工程，是完善高校治理的系统性工程。明确内部控制职能职责、目标方向、工作架构之后，最重要的是做好顶层设计，建立健全统筹协调、有序运行的工作机制，这是开展好内部控制工作的关键。

一要完善领导机构，强化组织保障。单位领导班子尤其是主要负责人的重视是做好内控工作的第一前提和先决条件，要把建立健全内部控制作为高校健全治理体系和提高治理能力建设的重要组成部分，列入学校长期规划，常抓不懈。应按要求成立以行政主要负责人/法定代表人为首的内控建设领导机构，设立内控专门机构或明确内控牵头部门，明确工作职责和权限，做好内控建设、实施、评价等环节顶层设计，建立自上而下、分级负责的工作格局。强化宣传引导，提升各部门依规履责、依章治校的理念，自觉提高风险防范和抵制权力滥用的意识。

二要立足发展实际，科学谋划推进。结合上级和外部监管要求，运用内控机制原理，与单位自身发展需求做好结合的工作。坚持问题导向需求导向，综合运用驻点、调研、穿测、走访等形式，了解现状和需求，摸清底细，为建立实施及持续优化内控体系奠定基础。例如北京大学某二级单位在内控调研阶段，采取查阅资料、观测业务、列席会议、访谈人员等四种方法，进行职责对照、制度检视、流程穿测、信息沟通等四项分析，从而发现管理中的冗余和不足、识别运行中的风险和缺陷、掌握内控的状态和需求、提出改进的措施和建议，形成“三个四”的蹲点调研工作法，对重点业务解剖麻雀、跟踪观察，把握业务部门内控现状，为内控建设奠定了基础。

三要充分整合资源，推进持续优化。高校坚持大学治学规律和传统，也要注重从现代组织管理中学习借鉴经验。在内控建设初期，可适时充分发挥第三方专业机构的咨询作用，协助高校打造守正创新的内控设计，要坚持共享共治的理念，注意调动师生参与治理和民主监督的积极性，以发展绩效、师生体验和外部反馈来检验内部控制的真正成效，推进内控体系与时俱进，持续优化。

四要强化队伍建设，提升履职能力。内控工作专业性强，对工作人员素质能力要求高，既要求有较强的专业素养，也要对高校办学规律有较为深入的把握。要加强岗位培训，强化审计学、会计学、管理学方面的知识储备，强化实践认识，熟识学校运行实际情况和风险隐患，成为“懂管理、知风险，懂规则、知漏洞，懂业务、知隐患”的行家里手。

需要指出的是，内部控制虽然是提高单位内部管理水平、保障组织权力规范运行的重要手段，但是内部控制也必然依赖所处的单位或组织而实现其功能，既不可能脱离内控环境而存在，也必然受到发展阶段、体制机制、组织文化以及人员因素的影响。高校内部控制建设应当遵循全面性、重点性、制衡性、适应性和成本和效益原则，做到于法周延、于事简便，确保实效。

其一是处理好实然和应然的关系。应清晰认识到，受制于内控环境客观条件和某些可能的历史原因，内控在不少情况下即使做足了很可能也只是“合理保证”而非绝对确保目标的达成，这是内控工作的特点和先天不足。这就要求在实际工作中尤其是涉及治理体系结构时，要把学校当前所处的历史阶段和治理现状作为重要的变量加以客观分析，既要着眼长远前瞻布局，也须立足当前符合实际，平衡好程序规则的“应然”和传统惯例的“实然”之间的关系，循序渐进、稳步推进。

其二是处理好实质和形式的关系。内控基本价值观是“简便高效”，而非简单追求系统完备而导致“复杂无效”，形式最终要为实质服务，适合的才是最好的，关键是要建立与发展需求相匹配的合理控制。这就要求在内控建设尤其是涉及具体业务时，要准确分析目标、基础和可行性条件，把内控建设的全面性原则、重点性和适应性原则辩证统一起来，注意把握秩序规则和效率效益之间的关系，平衡“形式”和“实质”，紧盯核心风险、重大隐患和关键控制，善抓主要矛盾，强化底线思维，兼顾规则和效率。

其三是处理好督导和主责的关系。一花独放不是春，百花齐放春满园。内控建设实质上是各部门各领域改进工作、提升服务的内在需要，是“众人拾柴火焰高”的工作，内控要想切实发挥应有的作用，需要各部门主动作为、积极参与。内控部门是协调督导内控建设的专责部门，但也绝不应包办替代或越俎代庖。如果该发现的风险没有发现，或者该提示的风险没有提示，是内控部门的失职，而至于这些风险是否应予考量或妥善应对，则应是具体的职能部门按其职权依规按程序慎重考虑并做出决定，这是职能部门的责任和义务。内控专责或牵头部门要善于履行组织协调、督促督导和评价建议等职责，引导各部门积极实施内控、主动作为，强化关键领域归口部门的风险意识和内控意识，从机制上明晰职能部门实施内控防范风险的主体责任。

其四是处理好分工协作关系。所有的管理服务，都要服务战略目标的实现，内控工作同样如此。推动完善治理促进发展是内控工作的初心，而不是“为内控而建设内控”。内部控制要嵌入治理体系整体布局，为改革者撑腰，为担当者盯梢。这就要求高校内控工作要始终坚持提高政治站位，着眼学校发展战略和使命，服务教学科研中心工作，将内部控制与职责三定、制度建设、流程再造等治理体系改革重点环节紧密结合，一起部署、一体推进，防止“两张皮”，善于统合审计、纪检、监察等其他监督力量，实现优势互补、有机贯通、相互协调，共同形成保障学校行稳致远的合力。