基于風險導向的公立醫院內部控制評價應用研究

王娟，鄭潔

(四川大學華西第二醫院，成都市 610041)

內控評價體系作為內部控制建設不可缺少的一環，為公立醫院內部控制的建立與完善提供重要的參考依據。目前，現有的法規政策等指導性文件僅對公立醫院的內控建設起到原則性的指導作用，卻未對內部控制評價做出具體的規定和指導[1]，且尚未形成公認的內部控制評價體系[2]。而醫療改革的深化要求醫院加強對風險的管控，風險管理具有與內部控制評價較為一致的目標，通過重點關注確認風險以及測試管理風險的方法[3]，可以建立科學、有效的內控評價標準，有針對性地對風險管控中的漏洞加以完善。

設備采購是醫院業務層面內部控制建設的重要組成部分，公立醫院越來越重視設備采購工作。但作為事業單位，自身缺乏內部控制建設的主觀能動性，設備采購業務又具有復雜性，公立醫院設備采購內部控制建設成效不盡如人意。公立醫院設備采購存在諸如內部管理制度不完善、執行力不強、預算編制粗糙等諸多問題[4]。故分析現有問題的形成原因，并提出有效的解決措施，從而改善醫院設備采購的內部控制環境，提高醫院識別與防范風險的能力就具有重要的意義。因此，本文嘗試構建風險導向下的內控評價應用體系，以H醫院設備采購主要風險點的識別和評估為基礎，介紹缺陷測試及認定流程，探究風險導向下內控評價模式的建立和實施，為公立醫院內部控制評價方法和標準提供借鑒和指導。

1 H醫院基本情況

H醫院是一家三甲醫院，是集醫療、教學、科研、預防保健和人才培養為一體的綜合醫院，有編制床位1 500余張，在職員工3 000多人，共有20余個臨床科室和醫技科室。

設備采購工作主要涉及的部門及職責包括：裝備部負責設備年度計劃的組織與執行，協調科室需求與廠商之間的配置響應，完成設備采買的前期論證及市場調研以及設備采購到貨后續管理工作；設備采購的招標、比選、商務談判等采購工作由采購部完成。

H醫院建立了醫院內部控制工作機制，內部控制建設領導小組是全院內部控制建設的決策議事機構，下設內部控制建設領導小組辦公室、內部控制建設監督檢查小組，分別負責內部控制建設工作的組織實施與監督檢查，形成決策、執行和監督相互分離、相互制約的內部管理體系。

2 基于風險導向的H醫院設備采購內控評價程序

2019年11月，H醫院啟動了風險評估與內部控制評價工作。在內審人員對風險予以識別與提示的基礎上，形成風險清單，由業務部門開展風險自評估，并根據風險評估結果明確關鍵控制活動。在此基礎上，由內審人員根據風險重要性水平，有針對性地開展內控評價工作。本文通過闡述H醫院設備采購內部控制評價的流程及方法，以期形成具有較高實用性、可操作性的評價標準，從而規范測試人員的評價程序，提升實施效率和工作效果。

2.1 業務整體風險評估

2.1.1 風險識別。風險是影響目標實現的不確定性因素，是不確定事件發生的概率及其影響結果的組合[5]。醫院在識別風險的過程不中僅需辨識潛在事件對目標的負面影響，也要關注實現目標過程中的機會。

H醫院從戰略風險、運營風險、法律風險及財務風險4個維度出發，實施H醫院設備采購風險評估工作。在收集設備采購相關基礎性資料、了解基本業務環節的基礎上，設計訪談問卷并與裝備部、采購部門等相關負責人進行溝通交流(見表1)。訪談提綱重點圍繞采購預算、采購計劃、采購執行和采購驗收及付款四個子流程展開，訪談內容重點關注業務關鍵流程及采購活動管理現狀。H醫院內審人員將收集到的信息進行比對、篩選、整理和分析，形成風險清單，以識別H醫院在采購業務各環節中自身所面臨的潛在風險。

表1 H醫院各部門(科室)負責人訪談問卷

2.1.2 風險分析與評估。風險分析與評估程序建立在前期風險識別的基礎上，采用定性和定量相結合的方式，分析和描述風險發生可能性的高低、風險發生的條件，確立風險重要性水平。H醫院評估人員根據前期訪談內容，梳理出設備采購流程中的主要風險11項，并分別明確風險歸屬。針對各項風險項，由風險控制主責部門基于對業務的了解，對風險水平予以自評估。風險發生可能性依據發生概率從低到高，對應分值0～5分。對于風險影響程度，根據風險的屬性和相關性選填風險可能影響的多個維度，包含日常運營、財務、醫院聲譽、法律法規以及員工，對應分值0～5分，并以五個維度中的最高項得分為風險影響的綜合得分。

根據裝備、采購、財務等部門風險自評的結果，對11項風險等級予以認定，評價結果見表2。風險評估結果將影響內部控制評價程序的資源配置及計劃安排，將重點放在對具有高風險性的控制活動進行有效性測試。

表2 風險等級評分結果

2.2 明確關鍵控制活動

關鍵控制點是對控制目標具有較大影響的關鍵控制環節，是在流程運行中保障業務按計劃要求貫徹執行、降低風險發生概率的主要措施。風險點是設置控制點的依據，對于關鍵控制活動的識別應以風險評估為基礎，將控制風險點的活動作為關鍵控制活動。H醫院在梳理出的設備采購主要風險點上，進一步細化風險項，并明確關鍵控制點，并形成風險控制矩陣(見表3)，為持續開展并不斷改進控制活動與控制測試策略提供依據。

表3 設備采購風險控制矩陣

2.3 對控制活動實施測試

對設備采購風險的控制措施，根據風險等級制定合理的控制活動測試方案，將更多的審計精力及資源放在風險等級較高的事項中，以在有限的測試中更多地識別重要的控制缺陷。

2.3.1 執行穿行測試。審計人員對現有的H醫院設備采購流程做內部控制穿行測試，隨機選取3項本年度的采購業務，追蹤交易從發生到終點的全過程，檢查流程控制節點中的文檔資料以及信息流，以對內部控制措施是否設計合理以及是否得到運行進行評估。對控制活動缺失或難以有效預防風險發生的內部控制認定為設計缺陷。

2.3.2 實施控制測試。穿行測試是了解內部控制的重要方式，在此基礎上，實施控制測試對控制活動的有效性進一步獲取證據。審計人員根據風險評估結果對內部控制測試范圍進行評估，風險重要性程度越高，控制測試范圍則越大。在此基礎上，挑選樣本進行抽樣測試，樣本量根據控制活動發生頻率來選擇，以分析內部控制是否運行有效，對未得到有效運行的內部控制認定為運行缺陷。以設備采購是否建立合理、有效的相關制度并經恰當審批為例，內控測試工作底稿見表4。

表4 內控測試工作底稿

在此基礎上，采取個別訪談、實地查驗、比較分析等其他適當方法，廣泛收集H醫院設備采購內部控制關鍵控制點設計和運行是否有效的證據，對關注領域的政策和程序進行文檔復核。根據測試結果，對設備采購內部控制缺陷等級予以認定，根據缺陷的重要程度分為重大缺陷、重要缺陷、一般缺陷。

2.4 形成內控評價結果

通過與H醫院的設備采購負責人及工作人員進行訪談，執行內部控制測試和評價等程序，共計發現缺陷18個，按缺陷類型分為設計缺陷3個，運行缺陷15個；按風險程度分為重大缺陷0個，重要缺陷3個，一般缺陷15個。綜合H醫院設備采購的制度流程、機構設置、崗位職責、執行情況等來看，設備采購內控缺陷主要體現在以下幾個方面：

一是采購計劃編制依據不充分，存在采購執行與采購計劃脫節。經抽查樣本檢查年度采購計劃、采購工作記錄等資料，并通過現場觀察、詢問訪談等程序，發現存在因采購計劃編制不盡合理，未充分考慮設備使用率、科室規劃、技術發展、學科定位等綜合因素，導致后期采購執行過程和采購計劃存在出入，影響采購計劃的剛性，容易造成預算執行進度緩慢。

二是設備采購預算管理機制不完善。如設備采購預算定期執行分析不到位，未完全按照預算管理制度要求，每月或每季度對醫院自有資金預算執行情況召集各部門(科室)進行匯總分析；預算缺乏考核評價，可能導致預算管理流于形式，造成H醫院的資金使用不可控。

三是醫院部分設備采購職能設置及授權、執行流程待改進。如設備采購中醫院授權管理體系不夠清晰，存在裝備部、采購部、審計部等部門在采購過程中職責交叉欠明確等問題。

2.5 出具內控缺陷整改建議

審計部門根據測試結果整理并匯總內部控制缺陷，將問題按照主責部門進行劃分形成問題清單，分別與相關部門進行溝通確認，并提出整改建議。

2.5.1 建立設備采購事前論證機制。在形成購置計劃前，對申購設備進行全方位調研，由部門(科室)建立項目庫，按照學科發展及科室建設分輕重緩急進行設備購置規劃；組織臨床科室有關人員和醫院相關部門進行論證與審核，為正確決策提供科學依據。論證的范圍包括設備效益評估、使用人員需求、安裝及空間評估、物價政策、社保調研、設備在國際、國內的技術水平和使用情況等內容。

2.5.2 完善醫院設備采購預算管理機制。一是預算歸口管理部門應當建立設備采購預算執行情況分析制度，定期通報預算執行情況。預算執行分析報告提交H醫院相關部門及領導審批后，作為H醫院未來決策及實施設備采購預算考核工作的依據。二是明確設備采購預算考核的項目及考核的指標，包括預算目標的完成率、預算項目的符合率、計劃資金使用誤差率、預算調整金額及次數等。預算管理部門定期組織預算執行情況考核，對考核結果予以反饋和運用。

2.5.3 明確授權管理體系，加強部門間溝通配合。明確各職能部門間的職責分工，加大設備采購全生命周期管理的合作溝通。采購前期，由裝備部門、采購人員與科室共同配合，加大設備采購，尤其是大型設備的采購前調研力度；在合同簽訂階段，嚴格按照招投標文件簽訂采購合同，根據采購合同簽訂會簽流程，發揮申購科室的確認職能、采購部門的復核職能、法務部門的審核職能，降低采購合同簽訂風險。合同簽訂后，進一步完善并明確采購到貨設備管理以及供應商評價等流程及職責分工。

3 結論與啟示

此次內部控制評價工作與風險評估程序相結合，在了解H醫院設備采購控制環境的基礎上，通過訪談問卷等形式進行風險識別、分析與評估，針對主要風險點的控制活動，通過實施穿行測試、控制測試等評價程序，對設備采購內部控制缺陷進行認定，并提出整改建議。本文雖只針對H醫院設備采購進行評價，其構建和實施過程對其他公立醫院開展內控評價工作仍具有一定啟示。

3.1 以風險管理理念為基礎

風險管理和內部控制的目標較為一致，都是為了確保醫院戰略目標的實現，內部控制的原動力來自醫院對風險的認識和管理，風險是內部控制的起點和開端，內部控制是風險管理的落腳點和邏輯歸屬。進行風險管理的最終目的在于完善公立醫院的內部控制體系，將風險和內控有機的結合起來，更能達到管理的效果。

3.2 以設定合理的風險評估標準為工具

本次評價為尚未建立風險控制矩陣的醫院開展風險評估與風險應對工作提供了思路。通過建立以風險影響程度、風險發生頻率為影響因素的風險重要性衡量模型，將風險等級予以量化，使不同風險之間的重要程度具有可比性，從而明確需著重關注的風險點，在此基礎上制定內部評價測試范圍及標準。由于不同醫院的內部控制體系具有不同特征，因此需摸索出適用于自身情況的內部控制評價體系，并形成具有較高實用性、可操作性的評價標準。通過統一、標準化的程序設計，能夠有效規范測試人員的工作程序，從而提升實施效率和工作效果。

3.3 以達到以評促建為評價目的

形成評價結果不是內控評價的最終目的。在確認內部控制缺陷的基礎上，提出操作性強、行之有效的管理優化建議，強化評價結果運用，通過督促整改工作落實從而完善內部控制建設，提升經濟活動各項業務管控的效率和效果，將風險防范意識及內部控制管理意識和日常工作相結合，形成以結果促進管理提升的循環模式。