作者：王雷，雷洋昆
原文出处：《中国内部审计》(京)2016年第20169期 第4-7页
自1992年COSO首次提出内部控制框架后，历经20多年发展，其理论结构不断完善，实务操作不断深化，应用范围不断拓展。作为实现组织业务目标并持续优化绩效的重要工具，已渗透至企业经营管理的各个领域，且获得普遍认可。相比之下，我国行政事业单位推进内部控制建设起步较晚，从理论研究到政策法规、行业标准制定再到实务操作均处于探索阶段。因此，在此背景下，探讨高校如何有效实施内部控制建设与评审，不仅是促进完善高校治理的重要举措，也对深化内部控制理论和实践具有重要意义。
一、高校内部控制建设与评审的内外动力
（一）“放管结合”是推进高校内部控制建设与评审的外在动力
1.“放管结合”要求高校加强内部控制建设和评审。新一届政府推进国家治理体系和治理能力现代化，一方面强化对权力运行的制约和监督，另一方面简政放权、放管结合。权力制约和制衡要求对权力进行有效约束，简政放权要求各高校能接住权、管好权、用好权。内部控制作为保障组织权力规范有序、科学高效运行的有效手段，作为组织目标实现的长效保障机制，是贯彻落实国家治理理念强有力的支撑。
2.国家审计战略新变化要求高校加强内部控制建设和评审。为适应新常态、践行新理念，国家审计战略发生了新变化。在审计全覆盖的基础上，审计内容从对钱的审计转向对事的审计，审计方式从事后检查转向过程监管，审计目的从合规审计转向绩效审计。伴随从预算执行审计向政策执行审计扩展、从资源审计向战略审计深化，审计将更加注重实质，有重点、有深度、有成效地开展，这必然要求审计围绕业务，以内部控制为核心，提升内部控制评审效果。只有围绕业务及其管控机制，才能从抓重点开始、深化过程、有效完成；只有深入到业务领域，把握业务发展规律和政策方向，才能更有效地应对风险、持续监控。
（二）高校改革发展是推进其内部控制建设与评审的内在动力
1.内部控制建设与评审是高校治理体系的重要组成部分。近年来，为落实依法办学、自主管理、民主监督、社会参与的现代大学制度，教育主管部门不断完善高校治理结构，扩大高校办学自主权，围绕高校章程、高校内部治理结构、管办评分离出台了一系列规章制度，高校内部控制成为整个高校治理体系的重要组成部分。
2.高校资源聚集、问题凸显对推进内部控制建设与评审提出迫切需求。随着科教兴国战略的实施，高校总体规模扩大，资金、资产、资源总量大幅提升。除拥有大量物力、财力资源外，高校还拥有丰富的科技资源、人力资源。高校资源总量不断扩大，经济活动日益复杂，暴露出来的问题也越来越多。部分问题性质严重，如在基建、采购、校办企业、科研、合作办学等领域，出现了违法犯罪案件，不仅损害了高校名誉，也损害了高校干部和教师队伍。究其原因，高校尚未建立一个与教育事业快速发展相适应、健全完善的内部控制体系是导致众多问题的首要因素。目前，大部分高校内部控制体系尚未规范化、系统化，业务部门对业务活动的控制、财务部门对业务活动的控制、审计部门对控制活动的监管等还未有效形成，要解决这些问题，必然要加强内部控制建设与评审，推进高校内部控制有效落地。
二、高校内部控制建设与评审存在的主要问题
（一）对内部控制建设与评审有关理念认识不到位
1.对内部控制框架存在认识误区。目前，一些高校仍然认为内部控制是基于财务报表的内部控制或内部会计制度，在梳理单位内部控制时，主要围绕财务开展对收款循环、付款循环、存货循环、工薪循环、投资与筹资循环等环节的内部控制建设。而内部控制实质是面向学校所有资源和业务的控制，涉及学校人才培养、科学研究、社会服务、人事、财务、资产、信息系统等方方面面，并不仅仅局限于财务控制。因此，完整的内部控制框架应该覆盖高校全部业务活动并贯穿内部权力运行的决策、执行和监督全过程。
2.对内部控制建设、评审存在认识误区。一是制度建设是内部控制建设的基础。部分高校将内部控制建设等同于制度建设，而内部控制建设不仅是制度建设，还包括制度的有效执行。内部控制是一个过程、一个系统，也是一种文化。如何让制度执行不走样也是内部控制建设中要解决的一个重要问题。二是内部控制建设不是从无到有的过程，而是系统化、规范化的过程。部分高校认为内部控制建设和评审是先后关系，认为要先建设内部控制，然后才能评审内部控制。实际上，内部控制在过去也是存在的，虽然可能不够健全完善。内部控制建设并不是一个从无到有的过程，而是对原本存在的内部控制进行系统化、规范化的过程。因此内部控制建设和评审没有先后之分，可以“以评促建，评建并举”。
（二）对高校业务及其内部控制的特点认识不足、分析不够
内部控制是对业务的控制，嵌入各业务环节和流程中。因此，熟悉业务发展规律是把握内部控制特征的前提和关键。一些高校在推进内部控制建设与评审时，未对高校本身业务运行模式进行深入研究，未对高校教育内在发展规律进行深入分析，简单套用书本上适用于制造业企业的内控模式，从而无法取得良好的效果。
高校四大基本业务包括人才培养、科学研究、社会服务、文化传承。所有这些业务工作的“原材料”都是知识。知识因细化聚集成不同的知识群，进而形成高校内部各学科专业、各院系。不同的知识群拥有不同的思想体系、研究方式和目标方向，因此，围绕各学科专业而开展的教学、科研等业务的作业方式也千差万别，形成高校独特的业务运行模式，决定高校内部控制与众不同的特征。
1.目标多样性且难以衡量。首先，人才培养、科学研究、社会服务、文化传承四大业务目标迥异，如人才培养目标是传播知识、培养人才，科学研究目标是创造知识。其次，不同学科专业的教学、科研目标也不同，如应用性学科的教学目标是培养应用型人才，基础性学科的目标是培养研究型人才。随着知识不断细化和学校功能不断扩展，高校的目标不仅没有朝着统一的方向发展，还在不断分化、不断扩充，甚至相互矛盾。因此，目标的多样性决定了绩效目标的多元化，再加上教学、科研绩效难以量化衡量投入产出，使高校内部控制建设的标准、评审的标准都较为复杂多样。
2.业务多元化。高校除四大基本业务外，还配套附属直属单位、后勤服务单位、校办企业等，涉及多个行业，业务多元且复杂，决定了高校内部控制建设与评审的内容同样复杂，难以统一。
3.责任主体多元化。高校是个松散结合体，权力分散在学校、院系、教师各个层面。因此，资源管理主体不仅包括校长、院长，还有各项目负责人。如校长支配的是校级综合预算部分，项目负责人支配着专项和科研经费。资源管理主体多元化决定责任主体多元化。因此，高校在内部控制建设与评审过程中，对加强内部权力制衡和规范内部权力运行，要充分考虑责任主体的多元化特征。
（三）高校内部控制建设与评审的业务方向、组织方式不够合理
1.突出重点控制、核心控制不够。目前，高校内部控制建设与评审工作主要是按照业务模块、业务环节和流程及其控制机制思路来开展的。比如，科研管理业务包括科研项目管理、科研机构管理模块等，其中科研项目管理业务包括项目申请、审批立项、过程监控、结题验收、成果运用等业务流程。但在对业务流程及其控制进行全面细致梳理的基础上，缺乏有效的风险评估，未有效突出重点控制、核心控制。内部控制是在考虑成本效益原则的基础上，管住要点、重点，这就意味着梳理出来的控制要点越多，内部控制就越显无效。
2.持续优化不够。一些高校对内部控制建设与评审仅当作应付制度要求的一个事项来实施，做完了就搁浅了，尚未对其进行持续跟进、持续优化。内部控制建设与评审是一个动态持续发展过程，高校应定期对其进行优化。
3.组织方式不够合理。一些高校主要以聘请中介机构的方式开展内部控制建设与评审工作。因中介机构对学校业务缺乏深入了解，最后形成的结果报告往往无法满足组织目标需求。内部控制建设与评审是一项基于对组织目标、组织业务高度熟悉而开展的工作，过度依赖外部中介机构，不仅无法解决问题，还会形成被动局面，不利于高校内部控制建设与评审的长期开展、持续优化。
（四）高校内部控制建设与评审的基础条件存在不足
1.高校内部控制建设与评审起步较晚，目前普遍缺乏专业队伍。一方面内部各单位内部控制意识不强，无法积极主动有效地参与建设；另一方面牵头建设与评审单位的工作人员对内部控制、内部审计理念把握不够，无法有效提供专业化服务。
2.高校管理信息系统建设整合不够。目前高校部分业务管理信息系统尚未建立，各管理信息系统之间尚未有效衔接和整合，这对推进内部控制建设与评审提出很大挑战。
三、高校内部控制建设业务模式探讨
结合COSO内部控制框架和行政事业单位内部控制建设的制度要求，根据高校业务特点，建立科学、完整、规范的高校内部控制应把握以下几个方面。
（一）合理确定组织方式是有效推进高校内部控制建设的前提
有效的组织方式是建设科学、完整、规范的内部控制的前提，能起到事半功倍的作用。目前，高校内部控制建设的组织方式包括单独成立内部控制部门负责组织、由财务部门牵头组织、由审计部门牵头组织等方式。除单独设置内部控制部门外（以金融企业为主），很多企业和国外高校的内部控制是和内部审计放在一个部门的。各高校应结合本校实际情况，探索适合自身管理环境、管理方式的组织方式。
（二）突出核心控制是构建高校面向业务和风险的内部控制框架的关键
1.内部控制框架应全面覆盖高校所有业务活动。构建高校内部控制框架应涵盖高校所有资源管理活动，覆盖单位业务活动的全部范围，贯穿内部权力运行的决策、执行和监督全过程。按照高校业务运行模式和各业务发展规律，可以将高校业务划分为实体系统和信息系统两大部分，实体系统包括业务系统和管理系统。实体系统简况见表1。
2.内部控制建设关键是突出核心控制、重点控制。内部控制的关键不是对所有工作进行控制，而是在考虑成本效益的基础上，基于对各业务活动的梳理，实施有效风险评估分析后，突出重点、突出核心、突出关键。对于大部分部门而言，少数几个关键控制往往能防范大部分风险。只有准确提炼出核心控制、关键控制，高校内部控制建设才能切实有效。
（三）加快管理信息系统整合是有效推进内部控制建设的保障
制度规范和信息系统是内部控制建设的重要依托。为有效推进内部控制建设，应力争将业务活动及其内部控制流程嵌入单位信息系统中，减少或消除人为操纵因素。高校应在建立并完善各类资源管理信息系统的基础上，加快财务管理信息系统与各业务管理信息系统的相互嵌入，确保财务对业务进行有效监控；加快各类资源管理信息系统的整合，确保各类资源管理信息系统之间形成有效衔接、相互制衡和制约；资源管理信息应实现多维化且能相互共享、相互制约，才能达到高校资源统筹规划、有效配置，权力相互制衡。
在加快管理信息系统整合的同时，应积极推进内部控制信息公开，通过面向单位内部和外部定期公开内部控制相关信息，逐步建立规范有序、及时、可靠的内部控制信息公开机制，更好地发挥信息公开对内部控制建设的促进作用。
四、高校内部控制评审业务模式探讨
内部控制是一个不断发展完善的动态过程。因此，高校内部审计应对学校内部控制设计和实施的有效性定期进行评价，以揭示和防范风险，促进完善学校治理、规范资源管理、实现事业目标。在实施内部控制评审时，高校应注意把握以下方面。
（一）内部控制评审应紧密围绕业务活动
高校内部控制评审应与组织目标高度一致，以风险评估为基础，以业务分析为手段。首先，内部控制评审应当以风险评估为基础，根据风险发生的可能性和对学校整体或者单个控制目标造成的影响程度，确定评审的范围和重点，突出重点、突出核心、突出关键。要避免胡子眉毛一把抓，或者丢了西瓜捡芝麻。其次，内部控制评审应充分运用“业务分析”方法，围绕组织业务活动实施。
（二）内部控制评审可以整体开展，也可以专项开展
高校内部控制评审既包括对学校整体内部控制进行评审，也包括对专项内部控制进行审计。整体内部控制评审是指针对学校整体内部控制所进行的评审，专项内部控制评审是指针对学校内部控制的某个要素、某类业务或者某些业务环节的内部控制所进行的评审，如对内部控制环境进行评审、对办学管理内部控制进行评审、对招生管理内部控制进行评审。
（三）内部控制评审可以循序渐进、分层次进行
鉴于高校内部控制现状，其内部控制评审可以循序渐进、分层次进行，评审工作可以分为内部控制调查、内部控制缺陷揭示、内部控制有效性认证三个层次。
1.内部控制调查。内部控制调查是指高校内部审计机构通过观察、访谈、穿行测试等方式对内部控制情况进行了解和考察。内部控制调查主要目的是为了摸清情况、熟悉业务、了解风险，这是高校开展内部控制评审初期可采取的有效手段。
2.内部控制缺陷揭示。内部控制缺陷揭示是指高校内部审计机构在对内部控制情况进行调查的基础上，对内部控制的建立健全性、执行有效性存在的问题进行揭示反映，这是高校深化内部控制评审的主要手段。
3.内部控制有效性认证。内部控制有效性认证是指高校内部审计机构对内部控制是否有效进行的确认活动。不同于与财务报告有关的内部控制，确认基于全面管理活动的内部控制是一个普遍难题。因此，对高校内部控制有效性进行认证在高校内部控制建设初期是难以有效开展的，这是高校内部控制评审较高层次的要求。
（四）内部控制评审应以部门为载体
高校内部控制评审包括单位层面内部控制评审和业务层面内部控制评审。单位层面内部控制评审包括对学校控制环境、风险评估、信息与沟通、监控活动等的评审。业务层面内部控制评审包括对实体系统和信息系统内部控制评审，具体包括对预算管理、财务管理、资产管理、人力资源管理、办学管理、科研管理、后勤管理、采购管理、建设工程管理、合同管理等业务控制活动的评审。
内部控制评审应以部门为载体。在实施评审之前，可以让被评审单位进行内部控制自我评估。在实施评审时，可以综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集被评审单位内部控制设计和运行是否有效的证据，按照评审要求和具体内容，研究分析内部控制及其存在的缺陷。
（五）内部控制评审可以单独或整合进行
为检查内部控制存在的突出问题、管理漏洞和薄弱环节，进一步完善和优化内部控制，高校内部审计机构应该建立日常监督、专项监督等机制，对内部控制进行持续跟进、持续优化。评审方式既可以独立开展内部控制评审项目，也可以在开展经济责任审计、预算管理审计时结合进行。
