高校內部控制體系建設實踐研究
——以廣東某高校為例

□陳彩勤 何 粟

近年在國家有關內部控制（以下簡稱內控）政策導向下，各高校都在起步摸索建設內部控制體系，但全面化、專門化、系統化建設并形成常態化長效機制的還不多。本文通過梳理和分析廣東某高校內控體系建設實踐經驗及困難，旨在為高校提供可借鑒的實用經驗和建議。各校規模、區域、文化和治理等內外環境基礎各異，本文所講路徑并不適于所有學校。因此各校首先應分析自身環境，基礎欠缺的則應先進行環境建設。

一、案例企業及內部環境基礎

廣東某高校是一所全日制普通高校，內設部門逾40個，教職工逾2000人，在校學生約3萬人。該高校發展規劃較明確、組織架構較科學、規章制度較全面、運行機制較完善、風險防控較嚴密、管理體系較完善。各管理模塊都有亮點，但也存在相對孤立等局面。從全局看內控無需“推倒重來”，但需“穿針引線”“穿衣戴帽”，需在現有管理基礎上將風險控制思想嵌入各個環節，打造管理升級。

二、總體思路和經驗

（一）頂層掌舵，群策群力

內控不只是某部門或某人的事，而涵蓋到各層面和環節，必須把好大方向。案例高校首先成立領導小組作為部署決策機構，由黨政一把手任組長，分管財務副校長任常務副組長，成員覆蓋面廣、重點突出，含黨委、黨政辦、規劃辦、計財處等15個重點部門負責人，提供了集思廣益、民主開放的環境。

（二）經濟主線，財務牽頭

“群龍無首”難以有序開展建設工作。案例高校分設了建設和監督兩個辦公室，以計財處牽頭，一是因內控以經濟為主線；二是從教育部規定的高校15個內控業務模塊看，預決算等約80%屬財務職能，資產等與財務密不可分；三是考慮了牽頭人應具有的內控理論和實踐資歷。

（三）重點目標，明確詳實

將規劃轉為行動計劃和目標并全員聚焦才能落實。案例高校將“推進內控體系建設”納入了全校和計財處年度重點工作，并從工作內容、措施、進度、人員等方面進行了細化。

（四）外力助推，客觀專業

內部是動力，外部是推手。案例高校充分發揮內外優勢，聘請了專業第三方提供設計、建設、指導、咨詢和評價等系統性服務，使建設更加思路清晰化、角度客觀化、部署有序化、技術專業化、成果系統化。

（五）巧架橋梁，全員參與

如何確保全員有效參與是一大難題。案例高校嘗試了多途徑：一是聯絡員模式。各部門指定至少一名總聯絡人，建立雙向“直通車”，避免信息中轉繁瑣造成效率低下。二是輻射關鍵最大化。宣傳培訓覆蓋全體校領導和中層干部、各教授委員會、教研室和實訓室主任、財務助理，資產、采購、財務、科研、招就等關鍵崗位。三是渠道多元現代化。充分利用電郵、短信、QQ和微信群及時通知、咨詢和答疑。

（六）緊扣行業，拓展模塊

案例高校結合實際優化規定的業務模塊，并增設教研、資助、食堂、工會、黨費、校企合作等模塊，以1+6+N（單位層面+財政部六大核心+行業特色）模式建設19個模塊。覆蓋面擴大，內容充實，緊扣行業，體系完整。

（七）科學部署，有序實施

案例高校啟動時便確定了實施路線和技術手段，逐步按“制度建設—檢查優化—嵌入信息化—落地運行—修正完善”的閉環路線。細化為幾個主要階段：前期調研、擬定方案和宣傳培訓；現狀梳理、風險評估和內控診斷；管控優化和成果固化；信息化嵌入；試運行；監督評價；持續修正。

（八）周報機制，協調推進

及時總結匯報便于實時掌控進度和困難，及時糾偏和清除阻力。建設小組每周書面匯報進展、阻力、求助及下周計劃等，例如訪談進度緩慢、風險調查和信息反饋延滯等，通過及時督辦得以大力推進。

（九）成果全面，系統規范

案例高校形成了建設方案、風險評估報告及數據庫、管理建議、流程框架、優化表單、權限指引、不相容職務矩陣、制度匯編、信息化方案、內控評價手冊等系列全面規范的成果并予以固化。

三、重點環節與特色拓展

（一）風險評估

風險評估是通過識別不利事件對目標影響程度和發生可能性，選擇合適應對措施，對制度和流程必要修正，并通過一定手段降低和控制風險，即有所為有所不為。風險并非缺陷，風險值只是反映從學校整體視角對風險關注程度，表示各層級的風險態度及管理重心。案例高校基于良好環境基礎，本次建設主要以風險和問題為導向。

1.程序與方法

風險評估主要有風險識別、分析、評價和應對四個階段。（1）風險識別包括資料分析、現場訪談和整理分類等。案例高校開展了共66個關鍵崗位的訪談和風險調查，識別和優化風險分類框架，形成共576個風險點。（2）風險分析含動因和影響分析等。對風險逐條分析，并按統一語言描述，形成形式統一、語言規范的風險清單，建立數據庫。（3）風險評價含問卷調查、數據統計、等級劃分等。調查面向校領導、科以上干部、業務骨干等。從風險發生可能性和影響度兩個維度，確定極低、低、中、高、極高五級評分標準，按調查對象層級確定其評分權重，如校領導50%、中層干部30%、關鍵崗位20%。以發生可能性為橫軸、影響度為縱軸形成風險等級評價矩陣（如表1）。風險等級評分=風險發生可能性評分×風險發生影響程度評分。按風險評分確定風險等級并排序，總結風險等級分布狀況，找出重大風險。（4）風險應對即分析論證風險，選擇最優解決方案并實施，主要有規避、降低、分擔和承受等策略。

2.結果分析與應對

案例高校經識別分析，形成一級風險2類，二級風險19類，三級風險65類，風險點576個。梳理風險現狀及管理水平，確定對優化管理最重要及應持續關注的風險。經計算風險等級評分，有33個重要和543個一般風險。對風險值排序，形成風險點分類統計表、分布圖和風險雷達并提出應對措施。業務層面風險點分布圖（如圖1）顯示風險較多的在工程、科研教研、資產、學生資助、食堂、信息化、工會等方面，展示了風險防控全貌和重點。風險雷達（如圖2）指針清晰地指向工程管理，突顯了案例高校目前防控重頭。

圖1 業務層面風險點分布圖

表1 風險等級評價矩陣

圖2 風險雷達

概言之，風險評估是持續反復過程。通過風險識別發現風險；分析挖掘成因和推斷影響；評價即打分排序評級；結果分析了解高風險領域，為風險應對提供依據。通過風險評估可提高全員風險意識，加強風控文化氛圍，突出內控重點。

（二）管控優化

首先通過內控自查和風險識別、深入訪談、查閱資料、全面梳理和分析、內控設計及執行有效性評估等厘清問題來源，梳理缺陷并按重要性級別、設計類和運行類等多維度分類，針對性提出改進方案。案例高校經內控測試，梳理出了若干問題，其中部分問題在我國高校具有一定共性，按模塊分類主要有以下關注點。

一是單位層面。單位層面是基礎環境也是模塊之一，主要關注領導重視度、組織建設、宣傳培訓、內控績效考核體系、信息化等。

二是核心活動。重點關注收支、票據、合同、貨幣資金等管理制度是否健全和制度間充分銜接；表單是否規范統一；采購及資產等管理歸口是否缺失或冗余；供應商等合同相對方準入和后評價機制、資產績效評價機制等是否建全；資產是否重購置輕管理；資產采購和管理等崗位是否有效分離；無形資產等盲點是否納入管理；合同等臺賬是否健全等。

三是行業拓展。學校還應梳理行業或特色模塊待改進問題。（1）教科研管理。①是否建立合作方信息庫。若未系統統計和跟蹤管理，可能會因對方變更或注銷等而不能有效履約，影響穩定研究。合作方信息庫可含經營范圍、納稅情況、合作歷史、企業聲譽等重要信息，為后續合作提供參考。②項目跟蹤管理是否到位，尤其是橫向項目，是否建立臺賬和實時監控匯報機制對重要節點進行提示和管控。③研究生及博士后基地管理是否完善，是否建立培養對象臺賬、跟蹤管理和出站機制，如成果審核、驗收和交接等；業務和財務部門信息是否共享對稱，如研究生補貼發放等。（2）校企合作管理。①是否建立統管機構，職能劃分是否清晰，是否無人或多頭管理，協調機制是否失衡。②是否建立統一制度，跨部門協作是否順暢，項目運轉是否困難。③合作利益分配機制是否存在分歧從而降低人員積極性。④是否建立違約應急機制。（3）食堂管理。①是否制定收費標準。②采購詢價評議是否有教師和學生代表參與，比價是否充分，若詢價過程不科學，可能得不到質優價廉的原材料供應。可采用“目標定價”，根據上一時間段價格，在現行市場價格基礎上，確定最優價格和質量方案，編制月或季度成本分析報告，為后期詢價提供依據。③供應商后評價小組成員覆蓋面是否全面、評價指標是否可量化、評價頻率是否合理等。④采購付款是否按期執行。⑤往來賬款是否有賬齡分析，是否按掛賬時長和服務質量列示結算優先等級。否則可能存在食堂收費和采購不合理、不透明，用餐人員滿意度下降，供應商服務質量較低，資金占用嚴重等風險。（4）教育基金會管理。教育基金會是高校的新生事物，機構性質和具體運作尚不明確。主要關注是否建立捐贈方管理制度和必要的聯系機制；是否制定信息披露制度；是否制定資金投資制度，捐贈資金是否有效盤活；是否存在受贈種類單一、渠道不順、用途狹窄等；對捐贈方權益保護是否充分；議事規則是否科學；支出審批程序是否區分公益和非公益性質等。（5）工會管理。校工會在財務上獨立核算且遵循與學校不同的《工會會計制度》，有的學校并沒有關注其獨立性。主要關注點是：①是否建立專門預算制度。②會計核算與稽核、資產賬卡物管理崗位等是否有效分離。③資產盤點清查頻率是否科學。④校領導是否定期查看工會財務賬表等。

（三）流程優化

案例高校的流程梳理、優化和固化過程提供了可參考的路徑。首先收集了19個模塊校內外制度約370個，并將校內外制度逐條對標，評估校內制度有效性，梳理待優化問題。按業務模塊、流程級次和責任部門搭建各模塊內控流程框架，建立了末級流程118個，流程體系更完善，為后續建設提供了總體思路。明確各流程主責部門、起始節點、流轉程序、所涉文檔、審核關鍵點、重要控制點等，形成流程圖及描述等。優化了供應商準入表、合格供應商庫、合同臺賬等表單。厘清權限并形成權限指引表、不相容崗位職務矩陣等。對三公經費、會議費等重點經費編制專門支出指南，明確標準、審批權限及報銷程序等。從評價思路、標準、程序、結果運用等方面形成評價手冊。

四、存在問題與建議

（一）牽頭部門難確定

目前各校牽頭人各異，基本都在校辦、審計、財務部門中選擇。由于《行政事業單位內部控制規范》由財政部門發布，所以多數把此任務歸為“財務口”，但是否合適值得商榷。一是從性質和內容上，內控只是以經濟為主線，但不局限于財務范疇，而是著眼全局，延伸到所有部門、崗位和業務環節。牽頭部門必然需要有權限、有能力調集全校之力。財務部門不一定具有該權力和人力物力條件。二是財務部門本身也是內控核心對象之一，讓其牽頭必然陷于既是“運行員”又是“裁判員”的矛盾地位。因此協調能力更強的綜合管理部門或更具獨立地位的紀檢或內審部門牽頭相對更便于實際工作開展。

（二）觀念意識難統一

真正了解內控的教職員工還很少，甚至有的部門領導、內控專員及部分配合過訪談的關鍵崗位人員對內控也仍是一知半解。比如很多人誤認為風險就等于缺陷而否認風險的存在。所以需要宣傳力度最大化，方式多樣化，內容系統化、專業化和具體化。此外也建議相關政府部門建立基于互聯網的內控知識共享平臺，在平臺上統籌管理行業或地區的內控建設事務，提供政策信息、工作要求、方法論、標桿案例等。在平臺建立線上內控社區，共享知識、經驗和資源，助于理念普及推廣和學習材料共享。高校也可建立適應的校內內控平臺。

（三）內生動力難激發

各部門內控建設的內生動力很不足，多數只是被動地任務式配合，加上各崗位本職工作繁雜，故訪談調研、風險調查和成果反饋等進度緩慢。各部門不了解內控現實意義，認為只是紙上談兵。這還需通過潛移默化、典型實例等讓其認識內控實效從而激發內生動力。例如用數字“說話”，將某流程在內控建設前后的運行情況作對比，比如工作出錯率、舞弊發生率、效率提高度、損失增減率、公私利益影響度等。

（四）整合優化難兼顧

在兼顧現有管理體系正常運行前提下整合優化，難度較大。現有管理體系已是一環扣一環，往往牽一發而動全身。因此整合力度和范圍較難精準把握，“動作”太小不起作用，“動作”太大“傷筋動骨”。必須尊重歷史、注重基礎，平衡傳承與創新。引入風控思想，巧妙嵌入各環節并相互兼容，否則可能會破壞現有管理體系導致新的缺陷。

（五）信息系統難實現

由于內控信息化技術性強，尤其是在高校現有信息化基礎上再整合優化復雜程度更大，涉及因素較多。因此一是要對學校現有信息化情況梳理和研究論證，評判是整合優化，還是從頭新建。二是借助專技力量，選擇成熟服務商。三是充分發揮校內信息技術力量，作為重點項目給予人、財、物等支持。

（六）內控落地難保障

內控價值有目共睹，但內控體系管理閉環（建設、運行、監督、評價、維護和更新）的持續建設和維護在實踐中卻有諸多困難。除了領導重視和強化培訓外，只有建立專業和權威的內控績效考核體系，內控目標、標準和獎懲措施等得以明確，內控成果得到衡量和評價，才是內控真正落地的機制保障。

五、后續思考

案例高校實踐表明高校內控體系建設過程艱難、意義深遠。改革初期思想、技術等都不成熟，尚需在實踐摸索前行。案例高校的實踐經驗和成果，為高校提供了典型范例，增長了建設信心。但同時也須避免幾點誤區：一是學校須明確自身內控需求，不能為了控制而控制，不能為了完成任務而被動建設。二是控制須科學有度，避免過度控制，否則會適得其反。例如所有支出都需十幾個崗位簽批，審批權限不區分重要性和額度級次，流程庸長，效率低下。三是須注意適應性，避免盲目照搬國家條文和復制他校經驗。各校環境基礎不一，業務模塊、風險、缺陷及流程等各異，建設模式并非千篇一律，須進行控制環境分析，選擇適宜本校的建設階段、模式、路徑和進度等。如果走進這些誤區，形成一摞內控制度文本則只是一堆空文，不能適應學校實際需求，僅用于應付上級工作檢查而已，無法實施落地和起到真正改善學校管理水平的目的。