审计视角下公立医院内部控制风险分析及应对措施

焦云萍

（北京怀柔医院，北京 101400）

引 言

近几年，我国逐步加强了对各机构内部控制工作的重视，并出台了一系列政策，为行政事业单位的内部控制工作构建了“四梁八柱”。其中，关于医疗领域的政策主要包括2006 年颁发的《医疗机构财务会计内部控制规定（试行）》（卫规财发〔2006〕227 号）、2017 年发布的《卫生计生系统内部审计工作规定》、2020 年印发的《公立医院内部控制管理办法》等，在一定程度上规范了公立医院内部控制工作的开展，提高了其风险防范水平。

一、内部审计及内部控制风险的概述

（一）内部审计的概述

内部审计主要是指医院在其内部建立的、为管理部门提供服务的、具备一定独立性的检查、监督及评价工作，其既能够监督、检查和评价内部各项管理制度实施的有效性，又能够提升各项会计数据信息合法性、真实性、完整性，保障医院内部各项资产的安全，全面监督和评价医院各项经营活动的合规性。

（二）内部控制风险的概述

内部控制风险主要是指能够对公立医院内部控制目标的实现，以及内部控制作用发挥造成影响的各类不确定风险因素，其主要可以从风险评估、内部环境、控制措施、信息沟通和监督等五大要素进行分析，如管理人员的管理模式是否符合公立医院的发展需求、监督机构是否合理、各科室的权责划分是否明确、管理人员是否能够准确识别就诊环节存在的风险因素等。公立医院要想确保其内部控制工作效果得到充分发挥，就必须加强对内部控制风险的防范[1]。

二、公立医院加强内部控制的意义

在当前社会经济水平不断提升的背景下，居民对公立医院的就医环境、服务水平等方面的要求越来越高，各公立医院应积极改变传统的思维观念，努力建设幸福美好的就医环境。近年来，很多公立医院都致力于扩大经营规模，引进高水平的医疗及管理方面的人才，不断创新内部医疗服务手段，购进先进的医疗设备，以达到提升医疗服务水平的目的。但这些内容都需要大量资金的支持，公立医院若未形成完善的内部控制管理制度，则极有可能会阻碍公立医院的发展。对此，我国出台了《公立医院内部控制管理办法》，推动公立医院进一步完善内部控制机制，顺应政府部门关于医疗机构内部控制的要求[2]。

三、审计视角下公立医院内部控制风险问题

（一）缺乏对关键环节的风险管控

1.缺少完善的医疗质量管控手段

医保是我国居民生活的基本保障制度，同时也是公立医院的一项重要收入来源。但近几年来，过度医疗现象出现，且部门对这类行为的控制手段相对单一。这种现象影响了公立医院的社会公众形象，阻碍医疗服务的正常运行。

2.医患信息不对称问题

医患信息不对称问题是医院存在医疗纠纷的重要原因。部分患者缺乏医疗相关知识，而部分医院未做好宣传工作，导致患者在就诊过程中发生排错队、挂错号的问题，影响其就医体验，甚至诱发医患纠纷。

3.未全面运用预算绩效管理

部分公立医院的预算管理较为粗放，无法充分发挥预算对医院运营的协调、控制及计划等方面的作用，预算的执行进度缓慢。部分医院科室人员未认识到医疗绩效的重要性，预算申报绩效管理质量不高，很难落实后续的绩效考核工作。

4.在管理内部资产时存在“重买轻管”的问题

部分公立医院在经营环节频繁更新固定资产，但购置完成后其实际的使用效率并不理想，再加上并未配备对应的管理措施，导致资产的最终使用效率较低，造成资产浪费。

（二）采购环节风险问题较多

采购环节的风险管控也是公立医院加强内部控制风险管控的一项重要内容。但目前，部分公立医院对采购环节的管理工作不够完善，存在各种各样的风险因素。例如：采购管理委员会的成员长期不变，部分成员由于不具备较高的职业规范，在工作中并未严格履行自身的工作职责，对采购申请的审批流程不规范；对采购立项的论证未严格审查，立项论证的质量参差不齐；无预算、超预算采购；以化整为零或其他方式规避公开招标采购，或采购方式不符合规定；隐匿、销毁、伪造、变造采购文件等；已购置的资产并未及时投入使用，存在资产闲置问题；未严格履行合同约定；在签订合同时存在未按约定时间支付，所签署的合同与采购和招标文件不一致；等等[3]。

（三）缺乏内部控制风险防范机制

内部控制风险防范机制缺失是当前大多数公立医院都需要面对的问题。一些公立医院管理人员及决策人员受其思想认知限制，虽然开展了内部控制工作，但对内部控制环节可能存在的风险问题缺乏关注，将工作重心更多地放在了医疗服务质量和水平提升方面，缺乏完善的内部控制风险防范机制，使得内部控制工作无法取得应有的效果。一些医院虽然具备内部控制风险防范意识，但采取的风险防范方式较为单一，无法深层次地挖掘数据信息背后隐藏的风险问题，也会导致公立医院整体内部控制风险防范水平难以提升。

（四）缺乏完善的信息沟通机制

公立医院要想推动内部各组织正常运转，必然离不开高效的信息沟通机制。由于信息化建设工作耗时较长，且前期的资金投入较大，一些公立医院受其预算资金限制，信息化建设工作并未及时完善，各科室之间缺乏良好的信息沟通机制，信息传递较为缓慢，容易引发信息不对称风险，“信息孤岛”问题较为严重。部分医院虽然建立了HIS 系统、医保授信系统、电子病历等信息系统，但系统间存在严重的信息壁垒，资产管理、预算、库房管理等系统与财务系统也未互联，致使医院经营环节产生的数据信息传递效率较低，削弱了信息的及时性和准确性[4]。

四、审计视角下内部控制风险的应对措施

（一）将审计理念应用于内部控制

一是要在内部控制建设的重点领域贯彻审计重要性的理念。公立医院应加强对内部各项重要业务流程如项目立项、招标采购、药品使用、费用报销等方面的管控，并设置风险控制的关键节点，加强管控。

二是在内部控制风险评估机制中引入风险导向理念。公立医院在向患者提供医疗服务的过程中，应全面识别和评估可能存在的风险因素，并根据内部控制风险防范工作的要求，不断改进和完善现有的内部控制建设。

三是在内部控制设计中引入审计风险模型。公立医院的审计风险主要有检查风险、控制风险和固有风险。首先，医院可以通过优化现有的监督和评价方法的方式，降低检查风险的发生概率，对内部控制体系进行优化设计。其次，公立医院在现有的内部控制工作中引进信息化建设，可以达到降低控制风险的目的，内部控制信息化建设工作虽然不能完全规避风险，但能够有效降低风险的发生概率。最后，固有风险是无法消除的[5]。

四是根据审计独立性的要求，严格落实不相容岗位相分离的制度。根据独立性的要求，公立医院的审计人员不得兼任基建、出纳、招采等方面的工作。不相容岗位相分离制度的构建主要是为了避免弄虚作假且对该行为进行掩盖等问题。通过在内部控制建设中应用审计独立性的理念，公立医院能够重新梳理各项内部控制环节，确保不相容岗位相分离的制度能够得到全面的落实。

五是在内部控制活动中引用“舞弊铁三角”的理念。舞弊铁三角主要是指机会、动力或压力、借口三项内容。通常情况下，内部控制很难规避舞弊的动机，但可以通过设计适当的控制活动，对舞弊的压力和机会加以控制。一方面，公立医院可以通过提高控制频率、提高内部控制人员的专业水平、采用多样化的控制方法、设置标准化的内部控制措施、利用信息技术等手段来减少舞弊的机会；另一方面，公立医院可以通过建立绩效考核机制，并将考核结果与内部控制人员的职称评级、职位晋升等内容相关联的方式，强调舞弊失败的后果，使相关人员“不敢腐”。

（二）加强对采购环节的管理

采购环节的管理主要包含采购前的风险管控、采购中的风险管控及采购后的风险管控三大项内容。

一是采购前的风险管控。这一阶段又可以分为三项内容。首先，公立医院应当设置由领导层人员、财务人员、采购部门人员等共同组成的专门的采购管理小组，负责对采购活动涉及的预算、资金、合同等内容进行管理。其次，要积极学习《政府采购需求管理办法》（财库〔2021〕22号）的相关内容，明确公立医院的采购意向，对各科室提出的采购申请全面审核，确保采购需求合理。根据《关于开展政府采购意向公开工作的通知》（财库〔2020〕10 号）文件中的要求，公立医院在采购时可以选择将具体的采购计划在采购活动开始前30 天在政府采购网及其他媒体进行同步公开，以接受社会公众的监督。最后，要在采购部门、预算编制部门及资产管理部门之间建立完善的信息协调和沟通机制，根据各科室的实际需求合理设置预算目标，确保预算方案的合理性。

二是采购中的风险管控。采购中的风险管控主要是指公立医院应根据我国采购方面的相关法律要求，规范化地编制招标文件，对需求、价格、评标规则等内容进行详细说明，并针对设备采购附赠的各项服务和物品等内容与销售方签订承诺函，保障公立医院的合法权益。

三是采购后的风险管控。这一阶段可以分为验收、资产控制及合同履约三个方面的内容。验收小组应根据政府采购合同的内容，对所购置的医疗设备或服务等在规定的时间内验收，并确保合同制定人员、采购人员与验收人员之间的职责分离。在资产控制方面，监督人员应定期核查所购入的医疗设备是否及时投入使用，若长期未使用，应查明其未投入使用的原因，并及时上报至有关部门，按照相关规定追责，以免同类问题再次发生。合同履约管理主要是指公立医院应当委派专门的人员负责合同管理工作，督促其在职责范围内对采购合同的执行情况及时记录，并定期整理经济合同数据，督促各科室人员及合作单位及时履约，及时发现合同中存在的问题，以维护公立医院的合法权益。

（三）健全风险评估机制

在评估公立医院内部控制的健全程度时，应综合考量关键控制要点、内部控制风险及内部控制体系的建设情况，确保内部控制工作具备较高的可信度。在决策环节，医院可以根据各项内部控制节点的重要程度设置一定的分值，若相关部门或科室未按规定开展相关工作，则不能得到该项分值。通过将总成绩与控制节点的评分进行对比，能够有效判断出公立医院内部控制是否存在风险问题。在判断内部控制的有效性时，可以将构成公立医院内部控制的关键节点作为评估主体，灵活运用多种评估方法，对内部控制工作中存在的风险问题进行评估。若医院的内部控制风险评价水平较高，可以适当地缩小检测规模，反之则需要扩大检测规模。此外，为了确保公立医院内部控制审计计划合理，在监测环节一旦发现某科室未严格按照内部控制体系的要求实施，则判断医院内部控制执行结果可能与计划目标存在一定的偏差，若不及时调整，长此以往极有可能会诱发不可预知的风险问题[6]。

（四）健全信息沟通机制

现阶段不断变动的市场经济形势，以及数字化建设的高速发展，都要求公立医院积极引进信息化建设，构建一体化的信息系统，推动业财融合工作快速开展，改善传统管理模式下“信息孤岛”的问题，提高信息共享效率。公立医院内部信息沟通最为理想的状态就是业务部门与财务部门之间能够形成高效的信息共享。为了更好地达到这一目的，公立医院要根据现阶段自身的实际经营状况，在各科室间建立完善的信息沟通机制，打破部门间的信息壁垒，并积极寻求多样化的信息共享模式。例如，医院可以通过设置考核指标，加强对科室间信息沟通质量的考核，并将考核结果与相关人员的薪资水平、职位晋升等内容相关联，激发各科室信息共享的积极性；可以利用QQ、企业微信等公共社交平台建立医院内部的信息沟通群聊，并将各科室的人员设置为管理员，确保各科室人员在遇到问题时能够及时反馈，由全体人员共同探讨有效的解决方法。

结 语

综上所述，医疗卫生行业，尤其是公立医院往往具备较为鲜明的行业特色，其在经营环节涉及的资金量较大，风险问题也就会相应增加，一旦出现风险问题，不可避免地会为公立医院带来较为严重的经济损失。因此，医院需要尽快加强内部控制建设，对内部业务及管理工作的运营进行合理管控，规避运营环节存在的不合规行为，提高内部控制监督质量，不断推动公立医院高质量发展。