高校內部控制信息化建設探索

陳秋云 田曉梅

（中山大學財務處 廣東廣州 510275）

一、引言

2015年財政部印發了《關于全面推進行政事業單位內部控制建設的指導意見》（財會［2015］24 號），要求行政事業單位全面建立、有效實施內部控制。為全面落實管理要求，2016 年教育部印發《教育部直屬高校經濟活動內部控制指南（試行）》，全國高校啟動了本單位的內部控制體系建設工作。高校內部控制建設經過近幾年的發展與完善，基本做到了重要經濟業務領域相關活動的覆蓋。各部屬高校形成了一套自己的內部控制體系，編報內部控制報告成為一項常規性的工作。但隨著近年來信息化技術的不斷發展和財務智能化的不斷推進，傳統的內部控制組織方式和方法已逐漸不能適應形勢的變化。

我國高校內部控制的建立、執行與評價借鑒了COSO內部控制整合框架，以《行政事業單位內部控制規范（試行）》為理論核心，并以“目標-風險-控制”為循環。內部控制建設以梳理各類業務流程、明確業務環節、建立健全各項內部管理制度并督促相關人員執行的方式開展。高校內部控制建設包括單位層面和業務層面，以各項經濟業務活動為切入點，覆蓋預決算管理、收支管理、采購管理、資產管理、建設項目管理、合同管理、科研管理等。

隨著信息化和財務智能化的發展，內部控制環境發生了較大變化，數據資源應時而生。《國際審計準則第15 號——電子數據處理環境下的審計》指出，“在電子數據處理環境下，計算機的使用改變了財務、信息的處理和存儲方式，并可能影響被審計單位為達到有效的內部控制而采用的組織結構和業務程序?！睌祿Y源作為一項新的生產要素，將從根本上改變高校內部控制建設的基礎，也將直接影響高校內部控制的建立與執行?；趩柧碚{查、人員訪談的風險收集方法，人為篩選、比對、排序確定風險等級的傳統內部控制組織方式也將得到根本性的升級轉變?；跇I務環節的風險識別、風險分析和風險控制，必將被以客觀數據集成為甄別點的控制手段所取代。風險識別、風險分析和風險控制的改變，將改變高校內部控制建設的組織方式和組織效率。

二、高校內部控制建設存在的問題

目前，我國高校的內部控制仍然存在諸多問題，影響和制約著高校財務治理水平和治理能力的進一步提升。信息化發展的推動，改變了高校的辦公模式、信息傳遞以及經濟運行的方式，內部控制體系也必須根據高校內外部環境的變化、經濟業務的調整及控制要求的變更而不斷改進。內部控制建設是一個長期的系統性工程，現有高校的內部管理及控制手段，已與信息化環境下的內部控制要求不相適應。

（一）不符合全面性原則，存在內部控制建設盲區。《行政事業單位內部控制規范（試行）》要求單位建立和實施內部控制時應當遵循全面性原則，“內部控制應當貫穿單位經濟活動的決策、執行和監督全過程，實現對經濟活動的全面控制。”現實中，由于高校辦學經費來源渠道廣泛、經濟業務種類繁多，很多高校的內部控制建設尚未實現經濟活動全覆蓋，特別是各類專項經費的使用，尚未建立相應的制度、流程，財務人員難以準確把握經濟開支紅線，科研人員更無法高效使用各項經費，甚至出現專項經費混用及各類經費間的擠占挪用等問題。

（二）內部控制建設缺乏系統性和整體性規劃。目前大部分高校內部控制已覆蓋財務管理、資產管理、采購管理、合同管理等重要業務領域，涉及財務、人事、基建、法務等多個部門，但各業務部門往往只關注于本部門的內部控制措施，導致業務層面的內部控制未能實現各部門間的有效協同，部門間信息溝通交流不暢。各業務部門的管理系統自成體系，信息化建設缺乏統一規劃，普遍存在“信息孤島”現象，系統間基本數據字段設置不匹配、數據采集標準不一、源數據質量較差、無法實現數據的互通互用。此外，預算系統、采購系統、資產系統和核算系統數據不匹配，無法實現有效的整合。預算部門無法掌握預算執行進度、不了解是否存在無預算支出或超預算支出問題，每年年終決算報告需花費大量時間對賬調賬。資產管理系統與核算系統無法對接，往往因設備銷售折扣等問題導致資產報增系統數據與財務支出數據不匹配，財務人員每月通過手工對賬在海量的數據中查找細微的差錯，造成人力資源的無效投入。

（三）內部控制重建設輕執行。高校內控建設是全員參與的一個過程，需要投入大量的人力物力財力，甚至聘請專業第三方中介機構為高校設計制度框架、流程指引及工作表單，依據不相容崗位分離、內部牽制和分級審批的原則改善經濟業務的控制環境，但其執行和實施效果卻不佳。主要原因在于內部控制制度缺乏有效的貫徹執行，制度建設部門與制度執行部門溝通不暢，導致制度流于形式，制度執行效果得不到有效反饋與修正。同時制度流程規范與實際業務執行存在差距，實際操作缺乏有效控制，并且絕大部分的經濟業務無法實現全生命周期的信息化管理，業務起始端與終止端無法實現有效的閉環控制。此外，線上流轉與線下審批同時進行，依靠手工操作的報賬行為和“手簽”的審批方式，無法避免“內部人控制”及偶然差錯等人為因素的影響，導致控制目標無法達成或與目標存在較大偏差。

（四）無法實現內部控制建設效果的自反饋。大部分高校的內部控制組織體系由內部控制領導小組、內部控制工作小組、內部控制實施單位及內部控制評價與監督部門組成，內部控制建設從單位層面到業務層面自上而下推進。內部控制建設部門、實施部門及評價部門間信息溝通不暢，每年內部控制建設成果由各單位自主報送，內部控制建設部門無法獲取內部控制實施效果的第一手資料?，F有的內部控制建設體系無法實現信息的實時交互共享，無法形成自下而上的風險歸集、數據集成和數據應用，導致內部控制建設效果無法實現有效的自反饋。

三、信息化背景下高校內部控制的建設路徑

目前我國高校的財務管理和內部控制還處于信息化向智能化邁進的階段。現階段，高校內部控制應基于信息化管理要求，將內部控制體系融入信息化系統中，進而提高效率、固化流程、全面提升內控水平。即信息化背景下，高校內部控制建設并不是對現有內部控制體系的推倒重建，也不是建立一個單獨的內部控制信息系統，而是結合信息化管理的要求，在現有內部控制和業務系統的基礎上進行補充和完善。內部控制信息化是將單位經濟活動及內部控制流程嵌入到單位信息系統中，以信息化的方式來實現內部控制的過程。但高校內部控制建設的路徑又不僅限于單純的信息系統建設，還包括內部控制組織體系和組織框架的重構。

（一）內部控制組織體系和組織框架的重構。

1.風險的梳理與重構。目前我國高校一般通過收集相關資料、調研訪談等方式收集初始風險信息，并進行必要的篩選、對比、分類、組合，以達到風險識別的目的。信息化背景下，控制環境發生了根本性變化，其風險表現也與傳統內部控制環境下有所不同。具體來說，一是數據信息的安全性風險，即高校財務信息、資產信息、檔案信息或師生員工的個人信息等信息的泄露或丟失風險，或因外界入侵導致系統癱瘓、無法執行相關操作等風險。二是數據處理的準確性風險，表現為數據處理不恰當、各類信息無法反映經濟業務的真實情況；成本歸集不準確，未能客觀反映各部門的成本支出，導致績效評價結果失效，不能有效調節各部門的資源投入；數據分析不充分，無法給高校帶來有效的決策支持，或導致高校決策失誤?？刂骗h境和風險表現不同必然會導致風險信息收集、風險識別、成因分析方法的重構。

在信息化和智能化的推動下，內部控制風險評估將由主觀的業務識別風險轉向客觀的數據歸集風險。基于數據信息的歸集應用，能夠更加精準、高效地發現、匹配和識別風險點，消除人為識別判斷風險的偏差，增加決策判斷的科學性。從業務數據中提取相關風險，進而達到風險預警、風險評估、分析診斷和風險報告自動化的目的。

2.業務流程的梳理與重構。信息化條件下，同樣的經濟業務其風險表現會與傳統環境下有所不同。信息化條件下的業務流程和業務環節應該與新的內部控制環境及風險相適應，才能達到內部控制的目的。將業務流程由線下控制轉向線上控制，并不意味著直接將現有的流程照搬到線上、直接嵌入信息系統中，而必須要進行業務流程的梳理與重構，否則將會建立一個類似于OA 流轉系統的內部控制信息系統，導致大量不符合成本效益原則的非必要控制，形成繁雜的流轉過程和大量的信息冗余。業務梳理與重構更重要的目的在于實現業務流、數據流和信息流的統一有序流動和有效整合。只有業務流、數據流和信息流“三流合一”，信息和風險的傳遞才是有效的，業務、數據及信息的記錄、獲取、處理和分析才是準確的，相關風險的提示預警及相關控制措施的觸發才是有效的。

以采購及付款業務為例，采購及付款業務通常涉及采購實施方、采購管理部門、合同管理部門及財務部門。在傳統的內控模式下，采購業務通常由實施方發起，采購管理部門組織采購，合同管理部門審批合同，財務部門根據合同付款條件進行付款，各部門信息獨立，上下游之間未形成一套互聯互通的數據信息鏈條，同時在付款環節，財務人員不僅需審核付款條件，還需要對其采購方式、合同簽訂等前置環節內容進行審核。信息化背景下，上下游之間構建互聯互通的信息鏈條，實施方一旦發起采購程序，提交采購管理部門組織實施采購，相關信息即可流轉至合同管理部門，由合同管理部門根據采購信息審核采購合同相關條款，合同擬定后，相關信息流轉至財務部門，財務部門根據合同的付款條件進行付款，各個環節均由實施方發起進行觸發，各環節信息暢通、相互勾稽，這樣可以實現業務流、數據流和信息流“三流合一”。在信息化背景下，固化全業務鏈的內控流程，各部門各自根據職責審核，對審核事項負責，明晰權責，可以更好地實施全業務鏈管理，防范采購風險。

3.制度及控制措施的重構。傳統的內部控制環境下，內部控制措施的觸發往往相對單一。例如單筆付款金額超過100萬元、沒達到500萬元的，由財務處科室主管、業務分管副處長或處長逐級審批。大額資金支付的分級授權審批內部控制，是按照經濟業務金額的上限來觸發。但在信息數據的獲取和采集更加多元、更加便捷的情況下，內部控制的措施觸發源可以更加豐富多元、更加直接，觸發機制也從人工觸發轉變為系統自動觸發。信息化背景下，內部控制的觸發將直接以數據表現為基礎，當數據形態達到系統設置的某一觸發值時，相關控制措施即可即刻觸發，阻斷經濟業務進入下一步操作，并預警提示相關風險。

另外，信息化的發展催生數據資產管理等相關崗位，各業務流程的崗位控制也從線下轉向了線上，與內部控制信息化建設與管理相關的制度及控制措施也將孕育而生。編制內部控制信息系統建設規范、內部控制信息系統操作指引、內部控制信息系統權限指引手冊、內部控制信息系統崗位職責手冊等，以規范信息系統的建設標準、數據參數、接口設計、系統操作規程，對信息系統的設計、開發、運維、應用，以及對信息系統崗位、系統安全加以控制成為必然要求。

（二）內部控制信息系統建設要點。信息化背景下的高校內部控制建設，根本落腳點在于信息系統的構建。內部控制信息系統建設的要點主要包括以下幾方面：

1.加強信息系統整合共享的統籌規劃。高校內部控制信息化應加強統籌規劃和頂層設計，制定統一技術標準，提高信息化建設的效率和質量。通過業務流程再造或升級改造高校的預算、資產、財務、人事等關鍵領域的信息系統，將重構過程中的整合共享作為管理信息系統建設的核心內容。遵循業務全生命周期管理原則，從全局的角度對各項經濟活動的信息化建設進行整體規劃，將系統協同納入建設范圍。通過各業務部門間的溝通，共同確定數據交互和業務系統的相關需求，以達到內部控制建設的標準。通過相關業務系統的重構或升級建設取消手工單據和線下審批，可以減少或杜絕人為操縱因素，提高辦事效率。

2.開展數據治理，建立數據交換與共享標準。為消除各信息系統的“信息孤島”現象，支持內部控制信息系統之間的互聯互通、信息共享和業務協同，高校可構建數據中心、統一數據標準、依托數據治理，實現各系統間的數據共享和交互使用。通過建立高校數據治理工作機制和管理架構，依托數據交換平臺和數據管理中心，圍繞教學、科研、采購、人事、公房等主題構建基礎信息庫和共享交換庫，為數據沉淀、數據統計、數據應用、數據呈現提供基礎，實現高校各個業務系統數據的融通，支撐多個跨部門專題應用場景，實現校務服務“一網通辦”（見圖1）。

圖1 基于數據管理中心的信息交換模式

3.加強業務協同，改變業務分塊管理的現象。貫徹集約化建設理念，將各項業務的內部控制措施在系統中實現。以預算管理系統為核心，構建“1+N”的內部控制管理平臺，實現預算、執行、決算相一致。對內與采購系統、核算系統、資產系統、設備系統、合同管理系統等互聯互通，對外與國庫集中支付系統、財政部資產系統對接，實現各業務流程的全面梳理重構，以及各系統間數據的有效整合（見上頁圖2）。將內部控制的制度、流程及控制手段整合嵌入業務流程，固化信息傳遞路徑，實現對權力運行的有效控制。同時推動高校公共平臺建設，構建統一門戶，實現由一個登錄入口進入多個業務系統的功能，促進跨部門業務間的協同。

圖2 高校內部控制信息化建設體系

四、結語

加強內部控制是完善高校內部治理結構、建立現代大學制度、加強廉政風險防控機制建設的必然要求，是促進高校依法辦學、依法治學的重要途徑，對規范人、財、物、權等方面具有重要意義。各高校應根據內部控制的環境變化不斷完善自身內部控制建設工作，努力適應信息化和大數據管理帶來的革命性變革，持續改進內部控制建設的思維和方式，充分運用信息化管理的相關手段，不斷提升主動甄別風險、防范風險和控制風險的能力，以滿足高校內外部監管要求、完善內部治理能力和治理能效。高校內部控制在信息化和智能化發展的推動下，也必然走向一個全新的階段。