公立医院内部控制缺陷认定现状研究和展望

张瀚文 黄于恒 姚莉 王芳

在内控理论框架中，通过内控评价与监督来揭示内控缺陷并进行缺陷纠偏，是内部控制持续优化、不断提升其有效性以合理保证组织目标实现的重要途径。从安然、世通等系列财务丑闻爆发以来，内部控制开始越发受到关注与重视，在美国颁布法规强化内控治理与风险管理后，其他国家相继借鉴。我国同样开展了对内部控制理论的研究与运用，先后建立了企业和行政事业单位两个序列的内部控制规范体系。因后行建设的行政事业单位内部控制规范体系尚不完善，还未建立内部控制评价、内部控制审计方面的配套指引，所以包含公立医院在内的行政事业单位在内控评价与监督实践及研究中，尤其在内控缺陷的认定方面，往往是借用企业的已有经验。

内控缺陷的定义和相关制度背景

一、定义

美国COSO委员会（1992）将内控缺陷定义为一种已经察觉到的，或者潜在存在的，或者真實存在的缺点；通过强化措施可能将这种缺点转化为实现更大的目标的机会，为企业带来更大的发展。在2013COSO框架中，内部控制缺陷的定义得到更新，被定义为或许会导致主体偏离控制目标，与一个或多个要素、原则相关的缺陷。而在国内新的研究中，内控缺陷被认定为是内部控制的某项具体流程在设计或执行过程中存在的、导致该项流程不能合理地保证其所对应的控制目标实现的问题，属于或有事项；所以内控缺陷认定的本质是对或有事项进行确认，并做出科学判断（丁友刚、段然，2020）。

从内控缺陷定义看，识别和认定内控缺陷应基于目标导向，要从导致主体偏离控制目标的可能性和影响程度来判断，其目的是强化控制以提高目标实现的保证程度。

二、制度背景

美国资本市场的安然、世通等系列财务丑闻爆发，暴露了内部控制失效以及信息披露匮乏等问题，因此《萨班斯-奥克斯利法案》在2002年被迅速颁布，其中提出了多项对企业内部控制的相关要求。美国公众公司会计监督委员会在2004年发布和更新的审计准则将内控缺陷按照其导致财务报表发生错报的“可能性”分为控制缺陷、重要缺陷以及重大缺陷。国外学者也从这一时期开始大量关注内控缺陷问题，但对内控缺陷的具体认定标准有所忽略。

在国内，中国证监会联合财政部在2014年发布了《公开发行证券的公司信息披露编报规则第21号——年度内部控制评价报告的一般规定》，进一步规定公司应当分别披露重大缺陷、重要缺陷和一般缺陷的认定标准，并对财务报告内部控制和非财务报告内部控制进行区分。对企业而言，以上这些制度对企业开展内控评价与监督、认定内控缺陷提供了原则式的指引，但在如何制定内控缺陷认定标准方面缺乏更细化的具体规定。

反观后行建设的行政单位内部控制体系，主要制度是2012年发布的《行政事业单位内部控制规范（试行）》（以下简称《规范》），目前无配套指引。对包括公立医院在内的行政事业单位来说，并不能为其在开展内控评价时如何识别与认定内控缺陷提供原则式的指导思路。2020年发布的《公立医院内部控制管理办法》，也仅提出了“应确定主要风险、关键环节和关键控制点，并制定相应的控制措施，持续改进内部控制缺陷”的要求，对公立医院而言，如何制定内控缺陷认定标准、在内控评价与监督中如何认定内控缺陷依然缺乏明确指导。

内控缺陷认定及认定标准相关研究文献

查阅国内内控缺陷研究文献，主要集中在我国企业内控体系基本建成这一时期，且研究的主体主要集中于企业，较新的研究则聚焦于上市公司，这可能和上市公司内控信息公开披露、数据易于采集有关。部分学者是基于特定研究目的关注到内控缺陷识别与认定存在的难点问题，其中最大的挑战就是内控缺陷认定标准制定。

一、内控缺陷认定及其认定标准制定的重要性

杨有红、李宇立（2011）认为内部控制评价是持续改进企业内部控制的重要手段，而内控缺陷的认定则是评价内部控制是否有效的关键。丁友刚、段然（2020）进一步提出内控缺陷认定标准是内部控制评价和审计的核心依据，只有科学合理的内控缺陷认定标准才能有效保证内控缺陷认定结果的可靠性，因此高质量的内控缺陷认定标准有助于促进内控建设整体水平的提高。

二、国内研究现状

杨有红、李宇立（2011）从内控缺陷和内控自身的局限性切入，指出了内控缺陷认定中存在没有区分内控缺陷和内控局限性的普遍问题，这种混淆降低了内控缺陷识别评估结果的可靠性。二人明确了内控缺陷和内控局限性的异同点，并提出了通过测试和迹象科学识别内控缺陷的方法。

陈武朝（2012）认为国内上市公司可以将我国《企业内部控制审计指引》列出的表明内部控制可能存在重大缺陷的迹象作为指引，结合内部控制重大缺陷的定义来认定内控缺陷。

戴文捷（2015）讨论了原则式内控缺陷认定思路的缺陷，认为国内企业自身的能力以及执行内控评价的人员素质不足以充分发挥原则导向规范的优势，并提出了在原则式的基础上融合部分规则式制定内控缺陷认定标准的建议。

杨婧、郑石桥（2017）通过研究 2015年沪市上市公司，对内控缺陷认定标准的行业异质性以及行业特征进行了考察，发现内控缺陷认定标准根据上市公司的行业不同存在普遍差异，且内控缺陷认定标准在竞争程度高的行业中更加严格。

莫冬燕（2019）认为目前上市公司内控缺陷认定的定量标准缺乏可比性，定性标准存在合理性缺陷。

任丽娟、袁建华（2019）提出国内对上市公司内控缺陷认定只进行了原则性规定，给企业提供了很大的调整空间，且认定标准不同在一定程度上增加了企业内部控制评价规范建设的难度，导致内部控制缺陷披露信息不一致，不具可比性，内控信息披露流于形式。

在企业为主体的研究以外，杜剑（2015）通过分析公立医院货币资金舞弊典型案例，归因找到了公立医院共有的一些具体内部控制缺陷；亓莹（2022）与蒙圻（2019）关于公立医院高值耗材管理及现场管理模式下医院物资采购的内部控制缺陷研究也显示出一些存在共性的内部控制问题。

三、文献评述

国内的文献仍以对企业和上市公司的内控缺陷认定标准的研究为主，以指引以及内控缺陷定义为指导的原则式规范是目前国内企业内控缺陷认定标准的主流形式。原则式内控缺陷认定思路，为不同行业的企业提供了根据自身特点制定内控缺陷认定标准灵活性，同时，也给企业内控缺陷确认提供了过大的自由调整空间；因其缺乏明确具体的规则式规范，这对企业自身的能力以及执行内控评价的人员素质提出了更高的要求。针对国内上市公司内控缺陷认定标准的实证研究发现：不同行业的上市公司内控缺陷认定标准存在普遍差异、上市公司披露的内控缺陷的定量标准存在很大差异、上市公司对于非财务报告内控定量标准的重视程度不及对财务报告中内控缺陷定量标准的重视程度、不同公司的内部控制重大缺陷标准存在很大差异以及定性标准存在合理性缺陷等。且因内控缺陷认定标准不同，在一定程度上增加了企业内部控制评价规范建设的难度，导致内部控制缺陷披露信息流于形式、不具可比性等一系列问题。

问卷调查

为进一步了解公立医院内部控制评价、内控缺陷认定及标准制定的现状，借助医疗机构相关专业协会工作群等平台投放了匿名调查问卷。调查对象均为公立医院（每家医院填报问卷一份），问卷填写人为各医院财务或审计部门的负责人，对所在医院的内控工作开展情况有着深度了解和认知，填报的信息真实可靠。问卷设计的调查内容主要分为三个部分：第一部分设置8个问题确认参与单位的基本情况，第二部分设置6个问题进一步了解各单位的内部控制基本情况，第三部分设置24个问题收集各单位内部控制评价、内控缺陷认定及其标准制定情况的相关信息。最终回收有效问卷65份。

一、样本基本特征

样本属性均为公立医院，分布全国。问卷第一部分从预算管理级次、医院等级以及反映医院规模的基本数据（职工人数、床位数量、总资产、年度收入）来呈现样本基本特征（见表1所示）。从样本基本特征数据信息分析，本次调查的65家公立医院，是以三级大中型城市公立医院为主，其中三级甲等医院占比达到84.62%，这些都是国内或区域的优质医疗资源，这些公立医院的运营管理在国内或区域都是行业内的典范代表。

二、样本医院内部控制基本情况

问卷第二部分内容主要从组织保障、内设机构分工以及制度保障三个维度了解参与调查公立医院的内部控制基本情况。《规范》施行以来，公立医院对《规范》的遵从性较高。参与调查的65家医院，90%以上成立了内控领导小组和内控工作小组，且内控领导小组绝大部分由单位主要领导人负责；医院明确的内部控制建设牵头部门以财务部门为主，内控评价部门以内审部门为主。在内控制度建设方面，参与调查医院在上级制度要求以外，根据自身情况进一步丰富和完善了内部控制管理办法（见表2所示）。

该部分调查收集的数据反映出如下问题：1.部分医院内控环境有待改善，医院管理层对内控工作认识不足、重视不够。至今，《规范》发布有10年，正式施行已有9年，仍然存在未成立内部控制领导小组和内部控制工作小组、未明确内部控制建设牵头部门和内部控制评价部门的医院的情形。2.内控评价与监督相关的制度建设有待强化。只有刚过半的单位形成了内部控制评价工作办法，而制定了涉及内部控制评价核心工作所需内部控制缺陷认定标准以及评价结果运用最紧密相关的内部控制缺陷纠偏管理制度的医院仅仅有17家和13家，占比才达到26.15%和20.00%，大部分医院内控缺陷认定标准缺失、缺陷治理制度缺失，这将严重影响其内控评价工作质量和结果运用。

三、样本医疗机构内部控制基本情况

问卷第二部分内容主要从组织保障、内设机构分工以及制度保障三个维度了解参与调查公立医院的内部控制基本情况（见表2所示）。

样本医院内控评价及内控缺陷认定工作情况

一、问卷设计关键数据逻辑

内部控制缺陷认定是内控评价与监督的核心工作，开展内控评价与监督并认定内控缺陷需以内控缺陷认定标准为基础，是否建立内控缺陷认定标准以及制定的标准是否科学将是影响医院内控评价与监督信息质量的关键因素。基于内控评价、内控缺陷认定以及认定标准之间的关系，我们搭建了问卷设计关键数据逻辑图（见图1），把问卷第三部分关注的重点内容锁定，并在此基础上，进一步延伸、细化调查内容，如工作动机、面临困难、推动措施等，尽可能客观、准确地呈现参与调查医院相关工作开展的真实状况。

二、关键数据信息分析

按照问卷设计所搭建的关键数据逻辑（见图1），我们将调查获取的关键数据锁定（见图2），在参与调查的65家公立医院中，仅有17家（占比26.15%）醫院，其开展的内控评价、内控缺陷认定以及内控缺陷认定标准制定工作能与我们预设的逻辑基本一致，而其他医院的相关工作存在如下现象：

1.部分医院没有开展内控评价工作，未对内部控制的有效性给予关注；

2.部分医院开展内控评价，但其内控评价核心缺失，没有识别与认定内控缺陷，评价流于形式；

3.部分医院开展内控评价，虽然认定内控缺陷，但未对认定的内控缺陷进行等级划分（如重大缺陷、重要缺陷、一般缺陷等），缺失对内控缺陷导致医院偏离控制目标的可能性和影响程度的评估；另外，针对内控缺陷划分，本次调查还发现，在开展内控缺陷认定的44家医院中， 区分了财务报告内控相关缺陷和非财务报告内控相关缺陷的医院只有23家（占比最低，52.27%），将内控缺陷按成因和来源划分为设计缺陷和运行缺陷有38家（占比最高，86.36%）；

4.有部分医院对识别的内控缺陷做了等级划分，但未建立不同等级内控缺陷认定标准，即其内控缺陷识别与认定工作是在内控缺陷标准缺失的情形下开展的；

5.有部分医院建立不同等级内部控制缺陷认定标准时，只采用了定性方法，忽视定量标准。

三、其他信息

问卷还设计条目对公立医院目前开展内部控制评价、认定内控缺陷以及制定内控缺陷认定标准方面的影响因素，包括工作的动机、面临的困难、推动措施等进行进一步了解，调查结果显示：

公立医院开展内控评价既有医院自身的管理需求，也有应对外部强规以及监督检查的需求。调查排序前三动机依次为：形成内部控制建设闭环，促进单位业务部门重视内部控制建设；发现风险敞口，针对薄弱点完善内部控制设计；完成上级政策中要求的规定工作。90%以上的医院都认为完善内部管理制度是其内控评价结果的应用领域。目前面临的困难，首先是医院普遍缺少掌握内控评价方法的专业人员或专业人员人手不足，多数医院开展相关工作需要依赖第三方专业机构（即委托中介机构开展），这也是9家医院未开展内控评价的首要原因。其他影响因素还有：医院内部控制意识不足，领导层未认识到内部控制评价与其他监督检查的区别；内部控制评价牵头部门独立性不高，工作开拓性不足；上级未要求单独上报内部控制评价报告；等等。多数医院都认可《行政事业单位内部控制评价指引》的建立是最有助于推动内部控制评价工作开展的措施，认同度靠前的推动措施还有 “上级部门加强内部控制监督检查”“要求按年上报经会计师事务所审计的内部控制评价报告”。另外，有医院认为最有力的措施还包括：提高单位管理层的认识，发掘单位自身的内生动力；提升内部审计部门工作积极性和开拓性；提高评价结果的应用程度等。

针对内控缺陷认定，意见最集中的首先是内部控制缺陷对医院内控目标实现造成的影响较企业复杂，更难以衡量；其次是部分医院未形成良好的内部控制环境，院内各层级的内控意识不足，各业务部门在参与内部控制自评的过程中有避免暴露问题的考量。而对于建立内部控制缺陷等级认定标准，35家划分内控缺陷等级的医院均认为是有意义的，其意义按认同度依次为：“不同等级的缺陷对应不同层级的纠偏责任主体”“有利于在对外报告时清晰展示医院内部控制缺陷的等级分布情况”“不同等级的缺陷追责力度不同”；另外，还有医院认为缺陷划分的意义在于不同等级的缺陷与整改进度、是否必须完全整改到位（基于成本效益原则考量）、追责定性相关，与内控优化先后次序有关。目前内部控制缺陷等级认定标准制定的主要难点是财政部等上级部门未发布明确的内部控制评价指引，不知如何设定；此外，有医院认为内部控制缺陷等级认定标准难以统一，不同规模的医院，应使用不同的定量标准，建议内部控制缺陷等级的认定只需要建立大的原则，便于认定时灵活处理。

四、调查结果与局限

内部控制评价与监督过程中的核心问题在于对内部控制缺陷的认定，而其依据是内部控制缺陷认定标准。没有科学、合理的内部控制缺陷认定标准为前提，致使内控缺陷信息反馈缺失或不准确，进而会影响内部控制评价报告质量及其工作结果应用，最终会导致公立医院内部控制闭环管理的最后一环关闭不严、虚有形式。

本次调查对象不是随机抽样产生的样本，虽然调查样本能客观反映被调查公立医院内部控制缺陷的治理现状，但不能用其推断行业总体情况。基于公立医院内部控制评价报告及其内控缺陷认定标准和认定缺陷信息不对外披露的现实情况，在设计问卷调查条目时其细化程度和调查深度有很大的局限，尤其是缺失对内控缺陷认定标准指标、量化值和具体内控缺陷事件的调查内容，影响了研究深度。另外，受限于问卷的发布渠道，回收问卷的参与单位以规模较大的公立医院为主，中小型公立医院样本量较少，故本文未结合样本特征做比较分析，如果未来需要展开进一步研究，发布调查问卷时应寻找新的渠道，从而收集更多县级公立医院的信息，使研究结果更加全面。

公立医院内控缺陷治理对策

针对我国公立医院关于内控缺陷认定及认定标准制定的基本状况及影响因素，提出如下治理对策：

一、外部治理对策

1.借鉴企业内控规范体系建设经验，完善相关配套指引。制定出台《行政事业单位内部控制评价指引》《行政事业单位内部控制审计指引》等，通过更加细化的规范，进一步引导包括公立医院在内的行政事业单位做好做实内部控制评价、审计工作，并强化对内控评价、审计结果的运用。新指引制定要基于行政事业单位内控评价、审计工作现行的基础，理清制定行政事业单位内控缺陷认定及其标准制定相关规范的思路及未来可能的发展方向，有规划地分步推进相关制度的建设。同时，卫生行政主管部门要在《规范》及配套指引的基础上，结合公立医院的特征，制定更加细化的公立医院内控工作指导制度，以进一步提高现行规范体系的适应性，使同类型、同等级公立医院的内控信息具有一定的可比性。

2.完善和落实内控工作相关监督制度。基于公立医院等行政事业单位内部控制年度报告、评价报告及其内控缺陷认定标准和认定缺陷信息不对外披露的情况，监管部门要进一步完善和落实内控相关报告制度、监督检查制度、责任追究制度，以强制外力进一步推动公立医院等行政事业单位开展内部控制评价、内控缺陷认定和纠偏工作。

3.重视内部控制评价研究和内控缺陷认定标准的制定。监管部门可依托财政部现有行政事业单位年度内部控制报告平台以及行业主管部门相关信息平台，采集公立医院等行政事业单位内控信息（包括内控缺陷标准以及发现的缺陷事件等），建立公立医院等行政事业单位内控信息数据库，为未来建设规则式或原则式与规则式结合的行政事业单位内部控制规范体系累积研究数据。

4.增强公立医院管理层的内控意识。监管部门可分类分批对公立医院的主要负责人、内控建设牵头部门负责人、内控评价牵头部门负责人等实施集中培训，全面提升医院管理层对内控工作的理解与把握，切实解决公立医院管理层对内部控制认识不到位、执行不到位的难点问题。同时重视对医院内部内控评价、（下转第64页）（上接第61页）审计等相关工作结果的运用，对医院自评自查所认定的内控缺陷且已自行纠偏的，外部监督检查经复核确认后可不在相关报告中重复反映，为其开展内控相关工作创造良好的外部环境。

二、內部治理对策

1.改善医院内控环境，确保医院各项内控工作开展能见事见人见制度。完善医院内控组织架构，明晰内设机构职责以及重点岗位职责，健全内部控制各项工作制度。为保障内控评价工作的顺利实施以及评价结果的有效利用，医院应制定内控缺陷认定标准，建立内控缺陷认定程序，明确内控缺陷认定的分级授权以及纠偏责任落实机制。

2.组建内控专业队伍，加强公立医院主体能力提升。医院可结合自身实际情况，选拔一批业务骨干组建自己的专兼职内控员队伍，并组织多形式的灵活培训，完成医院内控专业队伍的知识储备，通过专兼职内控员队伍在医院各个层面、各业务板块进行内控知识与工作方法的传递，增强内控建设意识、内控自评意识、主动发现内控缺陷意识和主动纠偏的意识，切实激发医院各个层面、各业务板块、各类人员做好内控相关工作的内生动力，助力医院的高质量发展。

3.完善医院治理机制，充分发挥内部审计监督评价作用。建立现代医院管理制度，以决策、执行、监督三权制衡为框架，理顺医院内审机构领导体制，内审机构由医院主要负责人直接分管，重大事项直接向党委会汇报，强化医院内部监督。增强医院内审机构的独立性，由内部审计实施医院内部控制评价工作，保障信息真实、客观。内部审计应从全局出发，客观、独立地评价医院内部控制的有效性。［本文受四川省财政厅2022年度会计科研项目“公立医院内部控制缺陷认定标准制定探索研究”资助（项目编号：2022-sckjkt-007）。作者单位：1.四川大学华西医院财务部；2.四川大学华西医院审计处］