行政事業單位內部控制風險評估問題及對策

防范運行風險，內部控制風險評估是一個重要手段。作為國家行政事業單位，在促進單位提供公共服務的效率和效果以及不斷提高內部治理水平的要求下，如何減少因內部管理流程設計不當、人為錯誤等原因產生的運行風險，內部控制風險評估是一個重要手段。當前，部分行政事業單位內部控制風險評估還存在工作浮于表面，形式大于實質、重視程度不夠、評估作用不明顯等問題，通過回顧當前行政事業單位內部控制風險評估的進程，分析現狀，找問題，提出對策，對發揮內部控制風險評估作用具有較強的現實意義。

一、內部控制風險評估進程

2012年，財政部出臺《行政事業單位內部控制規范（試行）》（以下稱《規范》），明確內部控制風險評估作為內控控制的重要環節，要求建立風險評估機構、形成定期風險評估機制。

2017年，財政部下發《執行行政事業單位內部控制報告管理制度》，其年度內控報告中要求提交風險評估材料，其中不乏以黨風廉政風險責任清單等形式代替內部控制風險評估報告的情況。2021年所屬自然資源部通過通報上年內控年報問題清單方式，強調風險評估報告的必要性。內部控制風險評估工作逐步被重視起來。風險評估報告從無到有，評估報告中有些形式簡單、內容籠統，實質的內容較少，對完善內部控制的作用比較有限。

2023年，自然資源部印發《部門內控應用指引一內部控制風險評估實務操作》（以下稱《指引》），對單位內部控制風險評估工作進一步規范。該《指引》有效指導部屬單位開展內部控制風險評估工作，當年部門行政事業單位的評估報告內容明顯豐富、統一、規范。然而在風險評估工作中，仍存在著一些問題：如風險評估工作普遍沒有得到重視，評估工作人才尚有缺失、評估的人員和范圍尚未全覆蓋、評估事項不完整等。

二、形成問題分析

（一）風險評估重視不夠

進行風險評估是整個內部控制制度的基礎和關鍵，而在行政事業單位內部控制管理實踐中，還存在風險意識不強，對風險評估工作的重視程度不夠，風險評估機制尚不完善，工作流于形式，評估效果差強人意。雖然行政事業單位有全額或部分財政經費支持，運營風險相對較小，但同樣存在諸如預算管理風險、收支管理風險、資產管理風險、合同管理風險等。如果缺乏有效的風險評估機制，無視潛在的風險，這些風險一旦轉為現實，就會給單位帶來意想不到的損失。

（二）評估專業性不夠

評估人員沒有足夠的專業勝任能力，缺乏對內控制度的深入分析研究，無法充分理解和評估風險?；驅I知識不熟悉、內部控制理論不足，缺乏參與內部控制和風險評估的實踐經驗，對所屬行業的特殊風險和控制措施了解不充分等難以有效識別和評估風險隱患因素；或是只熟悉本專業的業務，缺乏對全局性問題和外部環境了解，難以客觀評估風險；缺乏數據分析和處理的技能，不能有效利用數據進行風險識別，對風險理解不足，導致內部控制評估報告的質量不高。

（三）評估時間偏晚

內控工作的主要內容之一是編報內部控制年報，總結上年度的內部控制工作，報告中要求填列評估報告發現問題的數量和已完成整改的數量，如未完成整改需寫說明原因。

《指引》要求“風險評估至少每年進行一次，一般應在年初組織開展對本年度的內部控制風險評估工作。”但實踐中風險評估可能開展較晚，這樣發現問題可能就無法在報告年度內完成整改。基于此，評估報告也不會提出太尖銳的、有建設性的問題。

（四）評估方法不當

對風險類型和業務環境的理解不充分，導致選擇的評估方法不當；沒有建立清晰的評估標準或缺乏科學的量化指標，評估過程中使用的標準和指標不明確，導致評估結果主觀性強。內部控制風險評估涉及多個方面和復雜的業務環境，單一評估方法往往無法全面、準確地識別和評估所有風險。評估方法不當，可能就不能識別出潛在的重大風險，導致企業在風險防控方面存在漏洞。

（五）信息不夠準確、完整

獲取的數據缺乏有效的驗證和審核機制，收集到的數據存在錯誤或不一致，導致數據質量問題未能及時發現和糾正；因數據收集范圍不足，部分數據缺失或記錄不全，未涵蓋所有相關領域，關鍵數據和信息未能被全面收集，導致評估信息不完整。在內部控制風險評估中，評估信息不夠準確、完整會嚴重影響評估結果的可靠性和有效性。

三、解決問題的幾點對策

（一）提高風險評估意識

《規范》要求單位領導擔任內部控制風險評估工作小組的組長。這不僅說明風險評估工作的重要性，同時也說明風險評估需要熟悉單位管理層運作的人員指導、參與才能確保風險評估工作有效開展。

行政事業單位負責人對內部控制風險評估的態度一般有以下幾種。

1.積極參與：積極參與，提供必要的支持和資源。

2.重視支持：充分認識到內部控制風險評估對單位的重要性，能投入足夠的資源和精力。

3.表面應付：為了應付監管要求或滿足外部壓力，而進行形式上的評估工作。

4.漠視忽視：認為內部控制風險評估缺乏實際意義和價值，甚至將其視為一種負擔。

負責人對內部控制風險評估的態度受到其對風險管理的認識、組織文化和內部控制意識等因素的影響。對行政事業單位而言，有效的內部控制風險評估是保障其良好運轉、提升管理水平的關鍵一環，單位“一把手”的積極態度和參與至關重要。提高了對內部控制風險評估意識，就會在更高層面考慮內部控制，就會主動發現問題，強化問題意識，對風險評估工作多一份重視和支持，也會帶頭嚴格執行內部控制制度。

樹立風險評估意識，離不開全體職工的參與，應建立“全員懂內控，全員防風險”的風險管理文化。對全體職工進行內控制度及風險培訓，使一般職工也充分認識到內部控制對單位長足發展的重要性。增強了風險意識，就能積極配合內部控制牽頭部門主動開展風險評估，對發現的問題積極進行整改，提高對執行各項內控制度的自覺性，形成良好的內部控制環境。

（二）專業的評估隊伍

選擇專業性強的評估人員，并賦予一定的職責和權利，推動評估更科學有效地工作。采用多方參與的方式，吸引不同部門和層級的職工參加評估過程，以獲得更全面和準確的信息。通過多方加人，可以發現和識別更多的潛在風險，并減少主觀偏見的影響。

單位應加強內部控制相關政策培訓，保障參與內部控制評估人員知悉相關法規制度要求，不斷提升其政策水平、業務技能和綜合素質。

注重風險評估人才培養，尤其抓好關鍵崗位職業技能提升。通過輪崗和參與多種類型的內部控制風險評估項目，組織或參加行業內的交流活動，與同行分享和學習最佳實踐，增加評估人員的實踐經驗。鼓勵評估人員開展行業研究，了解所在行業的特殊風險和控制措施，提升評估人員的專業能力，確保內部控制風險評估的效能。

（三）評估時間控制

《指引》要求，一般應在年初組織開展對本年度的內部控制風險評估工作。

選擇最佳評估時間對于確保評估的有效性和及時性至關重要，確定最佳評估時間的需要考慮一些關鍵因素，如重大業務活動前后，年度評估和動態評估及外部審計前后。同時，風險評估作為年度內部控制管理“規定動作”，也要考慮內部控制風險評估牽頭部門一一財務部門的整體工作安排。

每年3月，年度部門決算告一段落；4月，年度內控報告基本完成；5月，綜合反映單位年度財務狀況的政府財務報告基本結束。通過填報上一年的年度內控報告，進一步理清單位經濟活動的業務流程，明確業務環節，對單位內部控制的各層面都較為熟悉，了解單位的強項與短板，同時也了解上級對內部控制的新要求。開展內部控制風險評估，時間安排在5月或6月，好似趁熱打鐵，帶著問題和改進的新動力，收集資料，評估分析，就更加有的放矢，事半功倍了。

此時，上年度的企業所得稅匯算、績效評價、經濟統計等工作基本結束，工作壓力相對較小，評估過程的干擾因素減少，便于安心投入評估工作，提高評估工作的質量。

確定內部控制風險評估的最佳時間，有利于保證評估工作及時有效識別和控制風險，提高內部控制風險評估的整體水平。

（四）評估方法選擇

方法對了，事半功倍，方法錯了，事倍功半。評估方法的選擇對內控風險評估效能至關重要。風險評估方法包括風險識別和風險分析兩個方面。具體包括：個別訪談法、問卷調查法、專家評估法、實地查驗法、穿行測試法、統計分析法、風險矩陣法等方法并介紹幾種方法的含義。

1.個別訪談法：根據內部控制評估的需要，對被評估部門負責人或具體經辦或非經辦人員進行單獨訪談，以獲得內部控制制度的建立、執行和監督等情況。

2.問卷調查法：通過向相關人員發放問卷，了解他們對內部控制的認知和評價，從而評估內部控制的風險。調查問卷的題目盡量簡單易答（如只需選“是”“否”“有”“沒有”或給出相關具體選項等）。此方法可以采用書面方式，也可采用電子方式；可以是表格式，也可用現代技術手段，如微信小程序等方式，更為方便快捷，提高風險評估的接受度和參與度。

3.專家評估法：聘請熟悉政策制度、行業特點、單位管理的專家，對內部控制進行評估，確定內部控制的風險程度。

4.實地查驗法：主要針對業務層面控制，通過使用統一的測試工作表，與實際的業務、財務、單證進行核對的方法進行控制測試。如實地盤點某種固定資產。

5.穿行測試法：穿行測試是集詢問、觀察、檢查的綜合方法。通過對一筆或若干具體業務的全流程試驗，可以比較直觀、有效的反映某業務的內部控制設計及執行情況。比如評估設備采購的內部控制情況，選取一筆或幾筆設備采購，從采購申請一訂貨一驗收入庫一發票一付款一記賬的整個流程進行詳細檢查，確定設備采購各個環節的執行與制度所描述或了解的內部控制保持一致。

6.統計分析法：針對歷史數據進行多維統計分析，確定內部控制的風險，如比較分析、動態分析、圖表分析、頻率分析、趨勢分析等。

7.風險矩陣法：將內部控制風險按照發生的概率和對控制目標影響程度進行分類，形成一個矩陣，根據風險的等級來確定應采取的控制措施。

內控風險發生概率可以從單位日常運行中可能發生的潛在風險、重大突發事件風險兩個層面進行分析。采用風險發生的概率或一定時期內發生的次數的定量方法來確定風險發生可能性。

風險事件造成的影響可以從經濟損失金額、對業務控制的影響兩個方面分析。對經濟損失采用定量方法，以造成的損失金額大小確定風險影響程度的級別。對業務控制的影響采用定性方法，確定風險影響程度的級別。

這種方法的難點在于準確量化每個風險的可能性和影響，尤其是在缺乏歷史數據或定量指標時。解決方法之一讓更多的人參與、更多的數據加入概率和影響評分系統，將定性描述轉化為定量數據。

內部控制風險評估在在復雜業務環境下，單一評估方法往往無法全面、準確地識別和評估所有風險，通過綜合使用多種評估方法，從不同的角度和層面來識別和評估風險，多種評估方法可以互相補充提高風險評估的科學性、全面性、準確性和適用性，提高風險評估結果的準確性和可信度。

（五）收集信息準確完整

收集和分析信息是內部控制風險評估的關鍵環節，精確的數據是風險評估可靠的保證。確保評估所依賴的信息來源可靠、準確和完整，可以通過多方核實來提高信息的可靠性。手工操作容易產生數據輸入錯誤或遺漏，利用已有的財務核算系統、預算一體化系統、銀行支付系統、內部控制報賬系統等信息化手段，無疑有利于高效收集數據和證據；通過微信共享文件、微信小程序等方式，進行問卷調查，方便獲取，提高收集信息的效率和處理信息、風險識別和風險分析的效率；信息化手段的風險評估也可以減少人為操縱的風險。

四、結語

面對復雜的國內外經濟環境，各單位應營造重視內控風險評估的良好氛圍，培養風險評估人才，選擇恰當的評估方法，利用信息化等手段，收集精確、完整數據，全面、系統、客觀、高效地評估經濟活動存在的風險，提高風險評估的效率和效果，對提高行政事業單位內部管理水平和風險防范能力，扎實推進單位高質量、持續健康發展提供有力保障。

（作者單位：自然資源部陜西測繪產品質量監督檢驗站自然資源部大地測量數據處理中心）