基于COSO風險管理框架下的公立醫院內部控制體系研究

【摘要】醫院內部控制是管理系統的重要組成部分，是加強醫院管理的主要工具和手段。目前，隨著審計和財務專項檢查，發現有的醫院財務管理制度不完善，醫院內部控制制度不健全，監督管理失控，導致醫療事故、醫患糾紛和貪污舞弊等現象時有發生，因此加強醫院內部控制，提高內部控制風險管理水平，將風險防患于未然，對于增強醫院核心競爭力，實現醫院可持續性發展具有重要意義。

【關鍵詞】COSO框架；內部控制；風險管理

醫院內部控制是醫院為了保證業務活動的有效進行，保護資產的安全與完整，防止、發現和糾正錯誤與舞弊，并有效地進行監控而建立的對內部管理活動的檢查和相互制約的機制。然而近幾年頻發的涉及醫院會計違法違紀案件和醫療事故，嚴重制約著醫院健康發展的同時，對我國衛生醫療行業也產生著巨大的負面性的影響。2004年，COSO委員會正式發布了COSO《企業風險管理——總體框架》，這是內部控制理論的一次重大變革，全面風險管理的理念被引入了內部控制框架之中。為了適應時代發展的要求，我國醫療行業也應該積極學習和借鑒這一全新的內部控制理論，重新構建以全面風險管理為核心的內部控制體系。

一、COSO《企業風險管理——總體框架》的內涵

COSO《企業風險管理——總體框架》，是在原有的COSO《內部控制——整體框架》內部控制五要素的框架體系上，通過引入風險管理的相關理論，最終發展延伸而來的。新的COSO框架主要體現了一個動態的過程，這個過程的主體是企業的公司治理機構和全體職工，范圍是企業內的所有層次和機構，包括戰略目標的設定，目的是幫助企業更好的識別、分析、控制各種風險事項，從而保證企業戰略目標的完成。

二、COSO框架下醫院內部控制的構成要素

基于醫院的企業化管理，參照新的COSO框架，醫院內部控制的要素也可以歸納為內部環境、目標制定、事項識別、風險評估、風險反應、控制活動、信息與溝通、內部監督八大方面。（1）內部環境。內部環境規定了醫院的紀律與組織架構，影響著經營管理目標的制定，塑造醫院文化氛圍并影響員工的控制意識，是醫院建立與實施內部控制的基礎。內部環境主要包括治理結構、機構設置及權責分配、人力資源政策、醫院文化等。（2）目標制定。醫院根據發展目標制定戰略規劃，明確醫院發展的階段性和發展程度，不僅要制定年度工作計劃，編制全面預算，將年度目標分解、落實，還要做好發展戰略的宣傳工作，通過會議及教育培訓等方式，將發展戰略及其分解落實情況傳遞到醫院各管理層和全體員工。只有完成了目標制定，醫院才能根據設定的目標分析可能存在的各種風險，從而進行風險管理過程，以保證醫院戰略目標的順利實現。（3）事項識別。事項識別要求醫院及時的識別醫療活動中對醫院戰略目標存在影響的各種不確定的事項，這些不確定性事項有的對醫院的發展具有積極的作用，這可能對于醫院意味著機會；有的可能會對醫院目標的實現產生消極的影響，這也可能就是醫院面臨的風險。因此，只有醫院根據戰略目標正確地進行事項識別，才能使醫院趨利避害，更好地把握機會，規避風險。（4）風險評估。醫院風險是指在醫院管理活動或提供的醫療服務過程中，可能發生的結果與預期目標的差異。醫院風險廣泛存在，形式多樣，風險預兆具有隱含性。醫院內部存在的風險包括診療風險、服務風險、技術風險、財務風險、人員風險、信息系統風險；從醫院外部看，有政策風險、環境風險、醫保風險、輿論風險等等。風險評估要求醫院科學的分析醫療活動中與實現戰略目標相關的風險，并對這些風險的影響程度和范圍進行合理的評估，確定風險應對策略。風險評估不僅是在事項識別之后進行的又一重要的風險管理步驟，也是實現內部控制的重要環節。（5）風險反應。醫院在對所面臨的各種風險的發生概率及嚴重程度做出準確地分析后，需要根據風險評估的結果做出不同的風險反應，具體的反應類型如圖1所示。這幾種風險反應方案表明了醫院在進行風險管理時采取的不同方式，所謂規避，就是醫院為了避免某一事件或業務產生的巨大不利影響，而選擇回避或放棄的方式，不進行這一事件或業務。所謂減少，意味著醫院采取了某些措施，以減少不利影響發生的概率或減輕所造成的后果。所謂共擔，表明醫院通過將風險轉移到別處，或與第三者共同承擔的方式，以減輕不利影響的發生概率及程度。所謂接受，就意味著風險事項所造成的不利影響的范圍和程度，恰恰低于醫院對風險的容忍程度，而不進行任何的風險管理。（6）控制活動。醫院在為某項風險選定了風險反應方案后，就要根據風險反應方案進行具體的控制措施，將風險控制在可承受度之內，可以說這是醫院風險管理過程得以實現的方式和手段，它將它貫穿于醫院經營管理的各個方面。控制活動涉及所有層次的醫院業務活動，通常表現為一系列完整和系統的控制制度和程序。常見的內控措施有：不相容職務分離控制、授權審批控制、會計系統控制、財產保護控制、預算控制、運營分析控制和績效考評控制等。（7）信息和溝通。信息和溝通可以幫助醫院管理者、全體員工及時了解醫院內部控制的執行效果，讓醫院管理者發現內部控制實施過程中的漏洞和缺陷，以便立即采取補救和完善措施。同時也可以使醫院每個層次和部門的員工獲得各自職責履行情況的信息，以促使他們更好地貫徹執行內部控制制度和程序。更確保有效地信息在醫院內部、醫院與外部之間進行有效溝通，是實施內部控制的重要條件。（8）內部監督。內部監督是醫院對內部控制建立與實施情況監督檢查，評價內部控制的有效性，對于發現的內部控制缺陷及時加以改進，是實施內部控制的重要保證。有效的內部監督可以改善醫院內部控制體系，促進醫院內部控制的健全性、合理性，提高醫院內部控制施行的有效性。

圖1 風險反應類別

三、當前醫院內部控制體系存在的問題

（1）醫院管理層對內部控制的認識不足。醫院作為事業單位尚未建立健全有效的內部管理制度，許多醫院管理層還沒有充分認識到內控制度在醫院生存、發展中的作用，沒有形成較強的控制意識，內部控制制度設計不健全，相關內容也存在缺陷，甚至僅僅為了用來應付相關部門的檢查。有的醫院將加強內部控制制度與發展和效益對立起來，認為內部控制制度會制約醫院增加效益。（2）內部控制機構組織設計不合理。很多醫院在機構設置時依然沿襲以往的組織思路，使得管理層次過多，而機構職能重疊，工作效率低下。同時，過多的重視上下級的權利與義務關系，強調較低層次崗位對較高層次崗位的服從，而對橫向的協調重視不夠，導致同級崗位和各職能部門間缺乏必要的交流、信息溝通不暢、部門之間協調性差、管理層缺乏約束。（3）醫院內部審計部門沒有發揮自身作用。有一部分醫院沒有建立內部審計機構，即使有些已經建立內部審計機構的醫院也未能充分發揮應有的作用，內部審計工作得不到應有的重視和支持，主要表現為：內部審計人員不認真履行內部審計職責和權限：不堅持內部審計準則和原則；不遵循內部審計基本程序；不能正確運用審計方法；不能如實、公正地編輯審計報告。（4）對資產、資金的安全性控制薄弱。從近年來審計、檢查的情況來看，仍有少數醫院對資產、資金安全管理上作重視不夠，沒有建立健全相應的內控制度，或對已有的制度沒有很好地執行，致使醫院在資產、資金管理方而出現問題和隱患，給醫院造成一定的經濟損失或債務危機。

四、COSO風險管理框架下醫院內部控制體系的改進意見

（1）醫院管理層要提高對內部控制制度的重視程度。在醫療改革步伐不斷加快的背景下，醫院應擺正經營業務發展與醫院內部控制制度之間的關系。醫院管理層作為內部控制制度的制訂者和執行者，對醫院的未來發展方向和經營管理起著舉足輕重的作用，只有提高他們對內部控制制度的重視程度、強化內部管理意識，才能使內部控制制度發揮真正的作用。（2）保證醫院內部組織機構科學合理設置。內部控制目標的實現很大程度上依賴于單位內部各管理部門的協調與配合，其核心就是實現各部門以及相關崗位之間的牽制和制衡。醫院要結合業務特點和內部控制要求科學的設置內部機構，權責分配要合理，應建立院、科兩級管理責任制，要有完整的規章制度和崗位職責，以使所采用的組織結構有利于提升管理效能，并保證信息的通暢流動。（3）合理快速的確定風險應對策略。醫院應當在充分識別各種潛在風險因素的基礎上，對不采取任何防范措施可能造成的損失程度即固有風險進行分析，同時應重點分析剩余風險（即采取了相應應對措施之后仍可能造成的損失程度），并在分析相關風險的可能性和影響程度的基礎上，結合風險承受度權衡風險與收益，確定應有的風險應對策略。如建立科室風險基金，增強科室風險管理意識；建立為醫務人員投保制度，在醫療保險制度改革不斷深入的新形勢下，實現風險分擔策略；加強院內重點感染部門的監控，降低院內感染的概率等。（4）建立獨立的內部審計機構，充分發揮其監督作用。在新形勢下，醫院內部審計機構應當加強其獨立性和權威性，在醫院最高管理層的直接領導下，對經濟活動進行審核檢查，對內部控制制度的功能和效果進行評價測試并提出改進意見和建議。醫院各部門應自覺接受審計部門的審計監督，杜絕部門或相關人員對內部審計上作人為設置障礙而最終影響審計上作質量。除此之外，衛生、審計、財政等政府部門應加強對醫院的外部監督，必要時，醫院可聘請會計中介機構對醫院內部控制進行審計。

綜上所述，基于COSO風險管理框架下的內部控制是個系統體系，各方面的控制內容不是孤立運做，而是相輔相成的。按照內部控制的內容、方法去執行，就能保障醫院的資產安全完整，有助于國家有關法律法規和醫院內部規章制度的貫徹執行，促進醫療戰略日標的實施，獲得經濟效益和社會效益，滿足人民群眾不斷增長的醫療需求，達到醫院可持續發展的要求。

參考文獻

[1]王海鋒．對薩班斯——奧克斯利法案及COSO框架下內控的思考[J]．合作經濟與科技．2005（7）

[2]牛成喆．COSO框架下的內部控制[J]．經濟科學出版社，2005（12）

[3]樂世斌．內部控制與風險管理[M]．廈門大學碩士論文．2004

[4]冉培紅，雷燕，喬麗君，蘇恒明．大中型醫院內部控制制度[J]．企業導報．2009（6）

[5]張瑞康．醫院內部控制現狀淺析[J]．安徽醫學．2009，30（2）：

205～206

[6]徐迅．醫院內部控制執行力研究[J]．衛生經濟研究．2008（11）：47～48