基于COSO框架的公立医院内部控制质量评价研究

基于COSO框架的公立医院内部控制质量评价研究一、引言

内部控制对于公立医院运营不可或缺，作为公立医院发展的有力保证，已经成为现代公立医院发展的“稳定器”。内部控制不但能够起到充分利用资源的作用，更能够减少运营成本，改进管理水平，更好的适应经济全球化和国际化趋势。近年来，国际财务舞弊丑闻屡见不鲜，公立医院运营失败案例层出不穷，药品监管不力质量问题频发、价格管控失灵药价飞涨、药品中介贿赂丑闻不断，无一不反映出内部控制缺失的问题，也更加的说明内部控制的不断完善对于改善运营管理，减少公立医院运营风险的不可替代的作用。

二、内部控制质量评价理论基础

内部控制质量评价通常将控制目标实现状况或与财务指标作为衡量标准。随着内部控制理论的不断发展和相关的研究工作不断改进，尤其是近年来公立医院运营失败案例所带来的教训和挑战，基于COSO框架的完善的评价体系已经基本建立。

（一）内部控制发展过程

从单纯的内部牵制到当今全面风险管理，内部控制理论发展大致经过了内部牵制、内部控制制度、内部控制结构、内部控制整合框架和全面风险管理五个阶段，在整个发展过程中，其目的也已经从单纯为查错防弊而进行的一系列账务核对，到逐渐形成一套完整的内部控制制度，最终融合多种要素形成了科学的内部控制评价体系。其中，以COSO内部控制整体框架为标志，内部控制进入了一个全新的发展阶段。

（二）内部控制质量的概念界定

本文将内部控制质量定义为：公立医院内部控制能力和内部控制运行效果的综合度量。基于《内部控制基本规范》执行情况的鉴证作为对公立医院内部控制能力的评价，加上对于实施效果的深入考察，从而形成一种全方位的综合评价。但究其本质，依然是对有效性进行评价。

三、内部控制质量评价

公立医院的内部控制质量评价主要侧重于考察内部控制系统设置的完整性，执行的有效性以及运行的合理性，一些国家的政府部门也强制要求公立医院管理当局对其自身内部控制系统进行自我评价，以确保其完整性、合理性和有效性。聘请具有资质的会计师事务所对公立医院内部控制进行鉴定，公立医院自我评价和外部评价相结合，共同构成对公立医院内部控制状况的综合评价。

（一）内部控制质量自我评价

内部控制自我评价由管理层严格遵循《基本规范》的要求而实施，按照一定的流程，全面评价公立医院所设置的内部控制是否有效。自我评价过后将出具评价报告，董事会需要在报告开头对其应承担的责任作出声明。

1.内部控制质量评价原则

全面性原则。全面涵盖，全方位评价；重要性原则。重点监测，有侧重评价；客观性原则。如实反映，不逃避评价。

内部控制质量评价内容。控制环境主要考虑：组织结构；人力资源；发展战略；社会责任；公立医院文化。从公立医院组织的角度，重点了解结构的设计是否符合基本规定同时能够有效地运行；从人力资源情况来看，主要看激励政策和约束机制是否科学合理，从而促进公立医院的生产效率的提高；从发展战略的角度来看，战略是否符合公立医院自身发展实际；此外，考察公立医院控制环境的方面，也会关注公立医院对于社会责任能否认真履行，公立医院是否具有能够凝聚员工向心力的公立医院文化，并看其是否能够对公立医院发展有正向激励与促进的作用。

风险评估应当以自身的内部控制制度、自身能力、行业规范并结合运营管理情况，按照关于风险识别和认定的相应规范对医院风策略做出客观评价。

控制活动评价需要考虑公立医院在不相容岗位的分离方面是否严格，是否采取了适当的保护措施并设有信息安全职能检测部门，更重要的是考察被审计单位日常运营活动是否有必要的控制程序。

建立资讯与沟通制度，做到及时沟通，可以推动内部控制有效运行。公立医院应该建立并完善一个完整的持续的覆盖全面的通畅的内部信息网络，有利于对市场变化做快速反应，也才能更加有效的实现对公立医院的运营管理[1]。

监督通常通过日常监控或者缺陷报告的形式实现。作为对于公立医院各项内部控制进展进程的评价，能够及时的反映，避免出现更严重的后果。

2.内部控制质量评价程序

公立医院内部控制质量评价程序一般包括：制定评价工作方案，组成评价工作组，实施现场测试，认定控制缺陷，汇总评价结果，编报评价报告等环节。

公立医院制定内部控制质量评价程序，对内部控制有效性进行全面评价，形成工作底稿，详细的记录评价要素。关键风险点，采取的控制措施，有关证据资料和认定结果。同时明确内部控制缺陷的认定规则。评价完成后，公立医院应准备一份内部控制自我评价报告，并在年报中纰漏，董事会对内部控制评级报告的真实性负责。

3.公立医院内部控制质量评价的方法

公立医院内部控制质量评价方法有多种，本文重点介绍目前常用的两种方法：详细评价法和风险评价法。

详细评价法通常以内部控制框架作参照，通过测试内部控制的运行，比照COSO框架中相互渗透的要素，寻求平衡，综合考虑，但也并不意味着每个要素都能得到相同的执行。此外，因为每个公立医院参照自身所处行业情况，结合自身发展实际设计了只符合本公立医院的内部控制措施，因此完全按照框架中所有要素照本宣科的内部控制评价必然缺乏灵活性，会评价过多的不必要的控制，造成成本升高和效率降低，由此带来偏差。按照内部控制框架和标准评价出的缺陷在设计控制中也不一定必然无效。因此，普遍认为此方法在对于有效性的评价上有依然有缺憾。

图1公立医院评价逻辑及程序

与详细评价法有区别的是，风险基础评价法则首先评价目标实现的风险，随后评价证据，以风险评估作为评价基础，有利于增加效率。但也因为需要专业判断而要求更严格。

图2风险基础评价法的逻辑及程序

风险评价法已经得到广泛的应用，不仅可以减少不必要的测试以降低成本，它的设计也更加灵活和合理，但是也其专业性而对管理者以及参加审计的人员要求更加严格。

（二）内部控制质量评价作用

有利于公立医院管理层对会计信息真实性的信心。促进公立医院内部控制日趋完善，藉此推动公立医院甚至整个行业在内部控制的方面持续的健康的发展。对评价过程中发现的问题可以及时修补，有效避免相同缺陷的再次发生。

四、内部控制质量评价指标体系

在制订内部控制质量评价体系之时，应符合公立医院自身情况和行业特征。在制定评价标准时，如果公立医院重点考虑目标的实现程度，需要确定结果评价标准。如果公立医院侧重于依照风险框架要素则要采用过程评价标准。在设计评价指标之时，要将以评价控制手段为目的的措施型指标和侧重于评价实施效果的结果型指标结合起来使用才能设计出一个全面的、完整的、具有可行性的评价体系，更好的监督[2]。此外，还需关注的是，内部控制的评价要让不同岗位的管理者共同参与。

内部环境：治理结构、机构设置、内部审计、人力资源、公立医院文化。其中治理结构包括管理层职能分配，董事会、监事会人员构成及履职情况；机构设置包括组织管理情况、组织结构情况；内部审计包括独立性状况、内部审计部门的运行情况；人力资源包括人员招录与提拔、人员考核情况人员、素质与管理者品行；公立医院文化包括对于文化建设的重视情况、规章制度建立和执行等。

风险评估：医院层面目标是否适当、目标和战略是否符合；业务活动层面目标和其他活动是否符合。

活动控制：政策制定上，每项具体业务活动是否有必要恰当的控制程序；控制程序可否能够做到持续、完整、适当的执行。

资讯与沟通：资讯系统上是否与战略适应、信息处理是否及时准确、能否向管理层报告；沟通上医护工的意见是否得到充分表达与反馈、组织内外沟通能否足以使相关者的职责履行更有效。

内部监督：日常监控方面，公立医院是否日常评价内部控制，并将结果与标准核对、是否建立了运算执行评价和考核制度；独立评估方面：对内部控制系统评估的程度和频率、评估程序和方法是否恰当。

公立医院自我内部控制质量评价完成之后，首先需要内部控制缺陷进行认定，严格按照《基本规范》与评价指引对内部控制评审和改正。最后将以上具体情况同缺陷的整改情况及整改措施一起详细填列于公立医院内部控制质量评价报告，得出评价结论[3]。

五、内部控制质量评价的展望

（一）内部控制质量评价风险

1.完整性评价失当风险

完整性是评价首先应该思考的问题，公立医院要严格设立并执行应有的伴随日常运营全过程的规范。公立医院在设置内部控制时，要注意根据所在行业和公立医院自身的情况设计适当的内部控制评价模式。

2.有效性评价失当风险

审计人员应在保持自身独立性的基础上搜集适当的证据，因信赖过度或者信赖不足会导致审计效率的低下和审计结果的偏颇。

（二）内部控制质量评价的风险防范

公立医院的内审部门需要严格保持独立性。按照执业准则，审计人员应对于存在缺陷的内部控制出具非标准审计报告。自我评价的第一步要确定需要达到的目标和合理的评价过程，并能够严格执行。通过岗位的不同分工同时以公立医院特点和运营情况进行完整的内部控制质量评价，主要侧重于对已经设置的各项内部控制是否有效的评价。

在所有审计程序结束之后，应出具内部控制评价报告。报告对照内部控制要求以及规范，应载明有关内部控制设置、执行以及改进建议。

六