基于CSA方法的高校內部控制建設研究

牛星

摘 要：內部控制自我評價（CSA）方法在高等院校內部控制管理領域具有廣闊的應用前景，它是識別風險、評價內部控制建設有效性的重要工具，也是增強風險防范能力、提高經營管理效率的有力武器。本文在梳理內部控制以及CSA等相關概念的基礎上，將國內某所公立院校作為典型案例，考量CSA的實踐情況及實施效果。其中，我們采用指標評分法對內部控制進行基礎性評價，通過風險熱力圖、風險控制矩陣和CSA報告反映控制點的風險狀況。最后，根據COSO五要素框架提出內部控制改進措施，并進行思考，希望對CSA在高校領域的推廣提供有益參考。

關鍵詞：內部控制；自我評價；評價指標；COSO五要素

文章編號：1004-7026（2018）11-0139-06 中國圖書分類號：F234.4；G647.5 文獻標志碼：A

隨著“科教興國，人才強國”戰略的實施，以及教育體制改革的不斷深化，我國高等教育事業蓬勃發展，然而，高校經費來源的多樣化以及經濟活動和體制結構的復雜化也帶來風險的增加。近年我國高校在基建、招生、采購、科研經費等環節頻頻發生經濟案件和貪腐事件，造成了國有資產流失、擾亂了正常工作秩序、影響了學校的發展和聲譽，究其原因是內部控制關鍵風險點識別不準、控制措施不當、監督力度不足所致。因此，加強內部控制建設、合理評價內部控制建設水平并有效監督，對建立高校財務風險防御體系、推動各類經濟活動健康運轉具有重大意義。

1 內部控制的概念及發展

內部控制最早源于企業。1992年9月，美國COSO委員會提出了題為《內部控制——整合框架》研究報告，該框架指出“內部控制是一個過程，該過程受企業董事會、管理層和其他人員影響，并為營運的效率和效果、財務報表的可靠性和對相關法律的遵循提供合理保證”，它包含控制環境（Control Environment）、風險評估（Risk Assessment）、控制活動（Control Activities）、信息與溝通（Information and Communication）、監控

（Monitoring）五個相互協同、關聯的要素，這些要素源自管理層經營企業的方式并與管理過程融為一個有機整體，亦能夠對外部環境做出動態反應。該框架得到了廣泛的認可，為很多國家制定內部控制報告所借鑒。

在2001年—2010年十年間，我國企業內部控制建設穩步發展并走向成熟，企業內部控制規范體系建設目標基本實現。在此之后，行政事業單位內部控制建設步入正軌并日臻完善。2012年11月，財政部下發《行政事業單位內部控制規范（試行）》[1]，要求自2014年1月1日起在全國行政事業單位施行，該規范從國家層面強制要求行政事業單位建立內部控制體系并提供建立標準，是我國全面推動行政事業單位內部控制建設的重要開端，也是加強黨風廉政建設的題中之意。2015年12月，財政部下發《關于全面推進行政事業單位內部控制建設的指導意見》[2]，進一步強調“建立內控報告制度，促進內控信息公開”的改革目標以及“加大考評問責力度”的問責機制。2016年6月，財政部下發《關于開展行政事業單位內部控制基礎性評價工作的通知》[3]，這是以量化評價為導向，開展單位內部控制基礎性評價工作的開端。2016年9月，教育部印發《教育部直屬高校經濟活動內部控制指南（試行）》[4]，這是我國在教育領域開展內部控制工作的首份綱領性文件，通過在局部領域試點為全面推進高等院校內部控制建設奠定基礎。2017年1月，財政部印發《行政事業單位內部控制報告管理制度（試行）》[5]，并于同月要求其報送2016年度內部控制報告，是監督內部控制建設工作有效落實的重要保障并為政府決策提供有用信息。

2 內部控制自我評價概述

內部控制自我評價（Control Self-Assessment，簡稱CSA）是一種新興的審計技術和方法。1987年，加拿大的海灣資源公司（Gulf Canada）首創了這種方法對內部控制進行自我評價，極大地推動了該公司內部控制水平的提升。國際內部審計協會（IIA）在《CSA操作手冊》中指出，CSA是一個流程，能夠檢查和評價內部控制的效率和效果并為企業目標的實現提供一定程序的合理保證。[6]在傳統審計中，審計人員以檢查單據、實施符合性測試程序為導向，常出現監控盲區；而在CSA方法的指引下，審計人員偕同公司管理層、相關部門員工共同進行風險評估并確定關鍵控制點，提出最佳改進措施，實現了對傳統審計方法的發展。[7]

CSA具有一系列特征：①強調參與的全體性，這是最顯著特征。它包含兩層意思：一是參與成員包括管理層和基層員工；二是參與部門不局限于內部審計部門，還包括其他管理部門和業務部門。審計人員只是發揮協調、引導作用；參與者能夠不斷被激發靈感獻言獻策，實現自我價值，體現以人為本。②注重管理的持續性。不僅為目前內部控制中的薄弱環節提供解決方案，如在未來發生問題應隨時關注、定期召開研討會解決。③發揮“硬約束”和“軟控制”雙重功效。CSA包含傳統評價諸如財務報告、歸口管理、授權授信、崗位分離、數據處理和傳遞等“硬約束”；還包含管理理念和領導風格、組織文化、道德品質、勝任能力等“軟控制”。[8]④善于運用工具。與風險評估工具相結合，如熱力圖、風險控制矩陣、內部控制風險評估手冊等，直觀反映關鍵控制點內容和風險強弱；與信息管理工具相結合，如電子計票、交由專業軟件公司和管理咨詢公司共同搭建IT系統平臺，實現對內部控制全過程管理電子化，提高管理的效率和效果。

3 K高校內部控制自我評價案例分析

3.1 背景介紹

K高校位于渤海之濱、海河之畔，是一所省屬重點建設高校，總占地面積153.32萬m2，總建筑面積90.08萬m2，固定資產總值16.91億元。館藏圖書總計254.31萬冊；教學、科研設備總值4.8億元；建有較高水平校園網；各項生活設施齊備。建有19個學院（部），擁有60個本科專業；建有1個國家重點學科，4個國家特色專業，7個省部級重點學科和3個“重中之重”學科?，F有本、碩、博全日制在校生近27 000人。

3.2 組織實施

繼加拿大的海灣資源公司之后，CSA方法在歐美國家的金融、能源、電信等高風險領域以及普華永道、安永等著名會計師事務所的管理咨詢業務中廣泛應用；在我國，一些大型企業如寶鋼集團、上汽集團、中國銀行、中國電信等都能成功應用這種方法進行內部控制自我評價并提出改善措施，效果顯著。[9]國內普通高校在經濟規模、物資水平以及人員結構方面與大型企業集團有諸多相似之處，亦可借鑒其中的先進管理理念和方法工具進行嘗試。K高校領導班子對CSA深入了解后認為：加強高校內部控制建設，是完善高校治理結構、提高高校管理水平、建設現代化一流大學的必要保證。在行政事業單位內部控制工作系列文件的指引下，K高校率先走出一步，希望通過嘗試CSA方法規范各類經濟活動業務流程，提高風險防御能力，采取以下步驟展開實施：

第一步：制定計劃

K高校成立內部控制工作領導小組和CSA評價小組。內部控制工作領導小組成員共有3名，其中組長1名，由校長擔任，對內部控制工作全面負責；副組長2名，由書記、總會計師擔任，對內部控制工作鼎力配合。CSA評價小組成員包括審計處、財務處、設備處、基建處等相關部門的領導和關鍵崗位員工。該校同時聘請了A會計師事務所作為合作伙伴和技術支持。審計人員對領導小組和評價小組成員有關內部控制建設的目的、程序、方法、內容等進行知識培訓，明確成員角色和作用，提高成員的認知水平和評價能力，為CSA開展奠定基礎。

第二步：初步確定風險

根據《行政事業單位內部控制規范（試行）》以及《內部控制基礎性評價指標評分表》，CSA工作小組確定內部控制的評價范圍，通過查閱資料、訪談、穿行測試等方法掌握一手資料，初步識別風險、了解內部控制的薄弱環節，作為研討會的重要議題。

第三步：召開研討會

在CSA過程中，K高校定期組織研討會，每次召開研討會之前明確會議時間、地點、主持人員、參會人員和討論議題并提前發放討論大綱。主持人員具備相關的知識儲備、良好的宏觀把控能力及溝通協調能力，參會人員會前預覽大綱并做好發言準備。會議上，主持人員參照前述對內部控制薄弱環節和對風險的初步了解引導參會人員獨立思考、積極表達見解，采用指標評分法（或要素評分法）對K高校內部控制基礎性評價指標打分并記錄扣分原因（如表1所示）。為確保發表意見的公允性，采取匿名評價方式并對所提意見記錄在案。

第四步：撰寫CSA報告

CSA評價小組對研討會討論結果仔細甄別，分類整理，認真分析。根據評分結果制作風險熱力圖，從而清晰直觀地表達各項指標（要素）的風險程度。由圖1可見，在單位層面中，“制度完備”這一項扣分比例達42.86%，風險水平相對較高，應重點關注并予以改進；“建設實施”和“權力制約”兩項扣分均為零，風險水平最低，說明這兩項內部控制建設狀況良好。由圖2可見，在業務層面中，“合同管理”扣分比例達100%，風險水平最高，說明K高校合同管理完全失控，需要在制度、組織實施和監督等全方位開展內部控制建設，盡快降低風險。制作風險控制矩陣（Risk ControlMatrix，簡稱RCM），對風險分類編號、描述并逐一提出控制措施、進行控制歸檔，表2以“會議費”為例說明這種方法對風險的控制過程。根據以上內容，審計人員撰寫了K高校內部控制自我評估報告（簡稱CSA報告）。[10]這些也是編制內部控制管理手冊和風險控制的基礎。

第五步：落實整改措施

這是CSA過程中最關鍵的一步，也是最終目的。我們根據K高校內部控制基礎性評價中的扣分情況并借鑒COSO報告中的五要素框架提出如下整改措施：

1、優化內部控制環境

（1）加強培訓

審計人員應定期組織專題培訓會，內容涵蓋國家政策法規，本單位內部控制制度規定、目標、特點、審批流程及實現手段等，提高管理層及教職工對內部控制的認知水平。

（2）開展組織和業務流程再造

根據學校組織架構規劃合理設置內部機構，明確部門職責權限及個人分工。根據實際情況定期評估組織結構，并按發展需要適時適當修改。

（3）對不相容崗位與職責進行有效設計

為了實現機構設置科學合理、職責分工清晰簡明、人員配備精簡高效的最終目標，學校應制定崗位規章制度并以此細化編撰成崗位職責手冊，其中包括工作規范、工作程序和方法、勝任標準、職業操守等內容；根據“內部牽制”原則，將業務授權與業務執行、業務執行與審核、業務執行與會計記錄、財產保管與會計記錄、財產保管與核對數目等不相容崗位實行分離，尤其需關注財務處、實驗室與設備管理處、基建處、后勤集團等部門的崗位分工和日常工作管理狀況。

2、強化風險管理意識，建立長效機制

風險是一個事項將會發生并給目標實現帶來負面影響的可能性。風險評估是辨識和分析與實現既定目標相關風險的過程，它為風險管理奠定基礎。K高校風險評估工作由CSA評價小組展開實施，首先應該設定本校內部控制目標，包括戰略目標、合規目標、報告目標、經營目標和安全目標；其次應該對本校內外部高危因素在單位層面和業務層面進行識別，并在組織、協調主管部門梳理各項業務流程的基礎上分析各類經濟活動的風險，確定風險點及內部控制流程；最后根據風險分析結果和風險承受能力選擇合理有效的控制措施；風險評估結果形成書面報告及時提交至內部控制工作領導小組。K高校應于每年對學校面臨的風險進行識別和應對，建立風險管理的長效機制。

3、開展切實有效的控制活動

（1）預算業務管理

學校在《預算管理辦法》中增加績效評價方面的內容。學校應設立預算管理委員會負責預算審查、批復、監督、分析匯報等管理工作，以書面的形式明確預算管理委員會的組成。學校根據經批復的預算和單位內部各業務部門提出的支出需求，將預算指標按照部門進行分解并報預算管理委員會審批后下達至各業務部門。學校應建立預算執行分析制度，定期編制預算執行分析報告，強化對資金執行進度的監管，為管理層決策提供可靠依據。

（2）收支業務管理

學校應制定收支管理制度，明確各類收入支出業務事項的歸口管理部門及職責，實行歸口管理；收支業務還應當受到預算約束并進行文字記錄，對于重要經濟事項應附合同等文件材料。涉及收入的合同，財務處年終檢查收入金額與合同約定是否相符，形成書面檢查記錄。學校為可以舉借債務的單位，但應慎重選擇債務類型并關注債務風險程度；實行事前論證和集體決策，將債務規?？刂圃谝幎ǚ秶詢龋ㄆ谂c債權人核對債務余額并及時清理結算；建立嚴格的債務管理制度以防范財務風險。

（3）政府采購業務管理

學?！墩袠瞬少徆芾頃盒修k法（試行）》中增加預算與計劃、需求申請與審批、驗收入庫等方面的內容。學校應加強合同管理，采購貨物、服務和工程的合同，應形成合同審批表。

（4）資產管理

《資產管理制度》中增加無形資產、資金、銀行賬戶、債權及投資管理辦法。學校應對本單位的貨幣資金、存貨、固定資產、在建工程、無形資產、債權和對外投資等各類資產實施歸口管理并且有效執行；建立采購及領用資產記錄制度、妥善保管實物、規范使用方式、定期核查盤點及報廢，做到賬實相符；對債權和對外投資項目進行集體決策、實行跟蹤管理、建立追責機制。

（5）建設項目管理

學校的《基本建設項目管理規定》中增加項目概算預算、驗收與決算方面的內容。學校應按照批復的初步設計方案組織實施建設項目，確需進行工程洽商和設計變更的，建設項目歸口管理部門、項目監理機構應當進行嚴格審核，并且按照有關規定及制度要求履行相應的審批程序。重大項目變更還應參照項目決策和概預算控制的有關程序和要求重新履行審批手續。K高?；ā⒕S修工程預（決）算審計決定書中顯示存在重大工程增項，應該進行變更審批。學校應加強建設項目的超概算管理，建立概算的預警機制，K高校有兩項工程項目超概算率高于5%，應對產生超概算率的原因進行追查和分析。

（6）合同管理

學校應加強對合同的管理，建立《合同管理辦法》，增加合同歸檔、合同糾紛處理內容。設立合同歸口管理部門，明確部門職責與分工；對合同文本應認真審核并形成合同審批表單，對于重大、專業性合同條款的設立需經過法律、技術、財務等嚴格把關；妥善保存各類合同審批文件和會議紀要。學校應當對合同履行情況實施跟蹤檢查、定期分析并及時驗收，如出現無法按時履約情況應及時向內部控制領導小組報告；對于需要補充、變更或解除合同的情況，應根據法律法規、合同條款或交易習慣按照規定權限和程序辦理并進行記錄歸檔。

4、促進信息化建設的高水平發展

內部控制建設的信息化是內部控制工作復雜龐大、全員參與、持續進行的內在要求和互聯網、云計算技術快速發展的外部驅動力綜合作用的必然結果。借助先進的信息技術手段將內部控制理念、流程、方法等要素固化到內部控制建設和管理中，能夠有效控制成本、提高運行效率、推動管理的科學化。K高校決定采用先進的科技手段逐步實現內部控制的信息化管理。該項工作由信息化建設與管理辦公室負責，在現有信息系統的基礎上，將包含單位層面和業務層面的經濟活動及其內部控制規范和流程嵌入本校OA系統，由專人管理維護，未經授權他人不能擅自接觸數據信息。該項措施既能促進上下級之間、不同部門和崗位之間實現數據共享、提高辦公效率，又能減少或消除人為因素操縱風險、保護信息安全。

5、加強監督力度，完善評價體系

內部控制全過程管理中的重要環節是監督，這是保證內部控制制度有效執行的重要手段，通過監督能夠發現內部控制設計和運行中存在的問題，及時整改，減少損失，促進內部控制工作朝著既定方向發展；而評價為部門考核提供依據，它影響著內部控制實施主體的積極性，在推動內部控制主要目標的實現過程中發揮了“指揮棒”作用，因此，建立科學合理的評價體系是內部控制工作有效開展的前提和基礎。[11]

K高校審計處具體實施內部控制監督檢查工作，應保持足夠的獨立性，通過運用個別訪談法、實地觀察法、重新執行法、穿行測試法等方法，充分收集證據，研究分析內部控制的建立和實施的過程是否規范、結果是否存在缺陷。根據以上信息，CSA評價小組對學校內部控制設計和執行的有效性進行評價，提出合理化建議，并出具CSA報告。內部控制設計是否有效應依據合法性、全面性、重要性和適應性四個原則判斷；內部控制執行是否有效應考慮業務控制如何運行、執行是否持續一致、內部控制管理的制度和措施是否嚴格有效、人員是否具備權限和勝任能力四個方面。CSA報告將提交內部控制工作領導小組，經該校領導班子集體討論商議后對整改計劃和整改措施做出決定，最終推動內部控制體系的完善。內部監督評價結果作為評比依據納入各個部門年度績效考核中，并實行獎懲兌現。內部監督和評價的內容包含單位層面和業務層面；方式為定期和不定期，即每年至少一次對內部控制體系建立和執行情況進行全面檢查；不定期開展專項檢查、抽查等工作。

整改措施運行一段時間后，效果良好，K高校財務處制定了內部控制管理手冊和制度匯編；另外，內部控制工作領導小組對實施效果持續跟進，發現并及時指出問題，不斷提升該校內部控制管理水平。

4 高校領域推廣CSA應注意的問題

4.1 創造良好的內部控制環境是前提

COSO中內部控制環境是內部控制五要素中的基礎要素，屬于柔性控制要素，是推動組織發展的引擎。它包括諸如治理結構、機構設置和權責分配、內部審計機制、人力資源政策、組織文化等內容。目前國內大多數公立高校實行黨委領導下的校長負責制，該組織的特殊性質決定它不是完全的授權型組織，應注意權力制衡并發揮教職工代表大會、學術委員會等民主評議和監督作用；另外，明晰各部門職責權限，尤其保證審計部門的獨立性，推動組織結構扁平化，對于提升管理效能，保證信息順暢流通具有重要作用；選拔CSA人員時注重被選者具有良好的職業道德修養和專業勝利能力，并為之提供培訓學習的機會；營造開放、透明、信任、誠實的文化氛圍，使參與者樹立主人翁意識和強烈的責任感，充滿激情，勇于提出意見，不斷迸發思想的火花。

4.2 積極發揮人的主觀能動性是核心

首先，取得管理層支持，這是推動CSA工作順利開展的堅實后盾。行政事業單位內部控制建設正處于高速發展并逐步走向成熟的階段，在落實初期存在諸多阻力，各大高校領導班子尤其是校黨委應意識到加強內部控制自我評價是提升學校風險防范能力、提高本校運行效率和管理水平的重要步驟，樹立先進理念，發揮輿情向導和統籌全局作用。其次，充分利用各類專業人士的工作技能。審計人員應注意把握CSA管理方法和操作流程，發揮好組織全員參與、宣傳CSA理念、引導評價小組成員思考、與各方力量溝通協調、撰寫CSA報告、監督評價、經驗總結等工作；信息化技術人員在借鑒國內企業集團先進技術方法的基礎上，聯合優秀的軟件公司開發設計適應本校的內部控制管理測評軟件，將碎片化工作全面整合；CSA評價小組成員須樹立大局意識積極參與評價工作、加強表達和溝通能力、積累有關內部控制和風險管理的相關知識；作為高校主體的教師和學生是發揮外部監督評價作用的重要力量。[12]最后，CSA工作既有宏觀又有微觀，取得成功的關鍵在于從領導班子到基層工作人員自上而下在日常崗位上嚴格遵守制度，認真落實每一項工作并經常內省和反饋。

4.3 考慮成本效益是保障

為確保CSA方法的順利開展，需要耗費購置計算機硬件設施費、軟件開發測試費、聘請專業人員的技術服務費、培訓費等經濟成本；還會消耗各個部門工作人員學習新知識方法、協調溝通、評價總結等時間成本。需要衡量投入成本和未來取得效益的盈虧平衡問題，根據本學校的人力、物力和財力狀況做出是否實施、何時實施及實施程度的合理決定。[13]

結束語

CSA作為一種先進的管理工具，在國內外大型企業集團有著廣泛的應用，它是發現內部控制系統漏洞，提升財務管理水平及優化高校治理結構的有力武器。行政事業單位內部控制制度的規范成熟要求高等院校必須將內部控制建設提上日程，高等院校可以借鑒CSA這種方法并結合實際特點推動本校內部控制的建設和發展。本研究介紹了國內某所高校實施CSA的過程并運用COSO五要素框架提出整改措施，強調了內部控制環境的基礎作用、人的核心作用和成本效益的輔助作用。在未來的研究中我們可以對CSA在不同類型高等院校的應用效果進行比較分析，尋求分層次、精細化、差異化的管理方法。

參考文獻：

[1]財政部.行政事業單位內部控制規范（試行）[Z].2012-11-29.

[2]財政部.關于全面推進行政事業單位內部控制建設的指導意見[Z].2015-12-21.

[3]財政部.關于開展行政事業單位內部控制基礎性評價工作的通知[Z].2016-06-24.

[4]教育部.教育部直屬高校經濟活動內部控制指南（試行）[Z].2016-04-20.

[5]財政部.行政事業單位內部控制報告管理制度（試行）[Z].2017-01-25.

[6]Bruce McCuaig Auditing， assurance&CSA[J].The Internal Auditor.1998，55（03）：43-48.

[7]桑向陽.控制自我評價CSA：企業管理新理念[J].中央財經大學學報，2004，（1）：62-64.

[8]上海市內部審計師協會課題組.企業內部控制自我評估（CSA）的實務研究——基于上汽集團建于IT系統平臺之上的CSA實踐[J].中國內部審計，2010，（3）：38-43.

[9]劉愛琴.CSA：內部控制評價體系的變革和發展[D].廈門：廈門大學，2008.

[10]張諫忠，吳軼倫.內部控制自我評價在寶鋼的運用[J].會計研究，2005，（2）：12-17.

[11]陳留平，魏微，張猛超.論我國高校內部控制建設——基于江蘇高校的調查[J].高校教育管理，2014，8（1）：29-35.

[12]魏向陽.我國上市公司實施內部控制自我評價研究[D].廈門：廈門大學，2009.

[13]鄧芳.企業實施內部控制自我評價（CSA）方法的意愿及其影響因素研究[D].長沙：湖南農業大學，2013.