芻議COSO框架下高校內控制度的實施及完善

●劉新華

一、高校內部控制制度建設的背景

在復雜嚴峻的內外部環境下，無論是以盈利為主要目標的企業，還是面向公共服務的政府部門與高校，都面臨著更加復雜多變的風險。這些風險一旦發生，不僅關乎直接的經濟損失，更關乎企業的聲譽，近年來不少上市公司因經營管理不善而破產倒閉已是司空見慣的現象。基于此，不論是國外的監管機構，還是國內的監管機構，都積極吸取經驗教訓，從頂層設計與監管的層面來加強內控制度建設，并發布了一系列的指導文件。

在此背景下，加強高校內部控制建設有其現實重要性與客觀必要性。基于內部管理而言，構建完善的高效內控體系，有利于從整體上有效進行風險管理，確保企業安全運行；從外部監管視角來看，積極完善完善單位內部控制制度，能滿足上級主管部門的監管要求。目前我國高校內部控制建設尚處于初步發展階段，缺乏成熟的實踐經驗，而且高校具有自身獨特性，不能直接照搬企業的內控建設方式，因此，加強高校內控制度建設的創新研究具有較高的意義與價值。基于此，本文從高校內部控制的特點、效果、存在的問題與待改進方面著手研究，以期為高校內控建設提供參考。

從內部控制的產生、發展沿革的整體視角來看，內部控制的主體經歷了從企業、政府部門到高校的拓展；而在我國高校內控指引的建設上，也正在逐步深化之中。為了加強財務報告反舞弊工作，美國經濟學界于上世紀開始著手研究企業內部控制，并聯合成立了反虛假財務報告委員會，該委員會兩年后發起組織COSO委員會，專門研究和探索企業的內部控制建設。2002年，美國頒布了《薩班斯—奧克斯利法案》，要求上市公司加強企業風險管控，其中第404節規定，公司管理層需為公司建立和維持足夠的、與財務報告相關的內部控制負有充分有效的責任。

隨著我國經濟的迅速發展，企事業單位經濟活動業務的復雜性不斷深化，潛在的系統性風險隨之增加，加強內部控制建設的重要性日益凸顯。基于此背景，我國財政部先后出臺了《企業內部控制基本規范》《企業內部控制配套指引》等內部控制相關文件，以加強企事業單位內部控制建設，為規范內控制度建設提供指引。2012年以來，我國行政事業單位內控建設得到進一步發展與完善。2012年，財政部制訂引發了《行政事業單位內部控制規范（試行）》（以下簡稱《內控規范》），明確行政事業單位負責人對本單位內控建設的建立健全程度和有效性負責，并明確了單位層面及業務層面內控建設的要求。

高等院校是行政事業單位的重要組成單位，在加強內部控制建設中責無旁貸。逐步推動和健全完善高校內控建設對于完善高校治理結構、規避高校運行風險等方面都具有重要意義。2013年12月，教育部印發《關于做好〈行政事業單位內部控制規范（試行）〉實施工作的通知》，要求各教育行政事業單位認真貫徹落實內部控制規范的各項要求，高校層面的內部控制建設自此拉開序幕。為推動部屬各高校不斷完善內部控制，提高內部治理水平，2016年4月，教育部發布了《教育部直屬高校經濟活動內部控制指南（試行）》（以下簡稱《指南》），由《實施指南》《應用指南》及《評價指南》三大部分組成，其中《應用指南》結合高校特點，對高等院校的各項經濟活動相關的內部控制制度作出了具體的規范。2021年8月，財政部印發《中央部門項目支出核心績效目標和指標設置及取值指引（試行）》，旨在提升部門項目支出績效目標編制質量，推動加強和改進績效自評工作。其中，績效指標設計思路包括確定項目績效目標、分解細化指標、設置指標值，以及加強指標銜接；同時，績效指標的設置應本著高度關聯、重點突出、量化易評定原則。筆者認為，該指引為完善高校內控制度提供了績效方向的思路，也為建設更加健全的高校內控制度提供了指引方向。

二、COSO框架維度下的高校內控建設分析

1992年，美國COSO委員會在《COSO內部控制整合框架》中首次提出了COSO內部控制框架，明確內部控制由控制環境、風險評估、控制活動、信息與溝通和監督五要素，以及運營的效率、報告的可靠、相應的法律性三個目標，共同搭建起立體的內部控制框架結構，有利于利益各方從不同的維度去分析判斷單位內部控制的各個方面。COSO框架因其全面性、系統性在內控管理實踐中得到了廣泛應用。對于我國的高校而言，COSO框架下的內控系統也具有極強的指導意義。事實上，從COSO五個要素可以考察高校內控的主要特點及其效果。

（一）控制環境

治理結構、機構設置及權責分配、學校文化等共同構成了高校內部控制的控制環境，內控基調和態度是學校道德規范和文化環境建設的基礎。一方面，高校作為行政事業單位，決策機制除了要受內部制度的約束，還要服從上級主管部門（如財政部、教育部）的監管要求；另一方面，高校作為一種文化結構與知識教育組織的結合體，傳承文化知識和開展人才培養是高校的核心價值所在，因此在高校內控建設中不能一味地考慮效率和經濟利益，而應更多兼顧人才培養和文化建設，培育積極向上的價值觀和責任感、倡導誠實守信、開拓創新和團隊協作精神，營造良好的精神文化氛圍和內部控制環境。

（二）風險評估

企業面臨的風險主要包括投資風險、市場風險、財務風險、政策風險和法律風險等方面的風險。相對而言，由于高校的主要業務活動集中在教學、實驗等特有的非經濟業務上，因此除常見的財務風險外，高校還存在著一定的非經濟業務風險。

1、教學運行風險。教學運行工作是高校內控管理的重中之重，其風險具體體現在教學事務決策機制、教學資源管理、考務管理和學生培養等方方面面。以研究生培養環節風險為例，近年來學術造假、導學矛盾的新聞屢見不鮮，類似因學術不端被撤銷博士學位、學生因與導師存在長期矛盾引發悲劇等事件對學校的聲譽產生了巨大的負面影響，也凸顯了研究生導學關系的引導、培養的質量控制程序的重要性。為此，高校應當建立健全院系的學術、教學運行工作機制，詳細記錄教學培養相關事務的討論決策過程；進一步完善本科生和研究生的培養方案，時刻關注學生心理健康、思想培育，引導學生正確處理導學關系；學校及院系還應當制定考務、學習成績和學籍等管理制度，建立健全教學責任事故上報、處理機制，嚴格執行學位授予全方位全流程管理，避免出現學術不端、教學質量下滑等教學相關事故。

2、學生資助體系風險。勤工儉學是各高校提供給學生個人從事的有酬勞動，用以助學，提高學生福利的制度安排。對于提升學生的社會實踐能力、緩解貧困學生的經濟壓力、培養學生吃苦耐勞的能力等發揮著重要的作用。然而，部分高校存在教師套取本應發放給學生的勤工儉學費用，為個人謀取私利的現象，在社會上造成了極其惡劣的影響。針對這種情況，在專項檢查中發現高校勤工儉學費用發放中存在明顯的漏洞，如發放人員職責不分離，一位工作人員同時負責考勤、管理和工資發放，容易誘發腐敗，不僅損害學生和學校的利益，也讓徘徊于法律邊緣的職工落入犯罪深淵。因此，規范的內部控制管理機制，不僅能有效維護學校和學生的利益，也為在校職工構建起了一層安全防護網。

3、實驗室安全風險。實驗室是高校師生開展科學研究的重要場所，但近年來因實驗室管理不善引發安全事故的現象時有發生。實驗人員不按規范開展實驗活動，購買違規實驗品、危險化學品存儲地點不合規定等，都有可能引發實驗室安全隱患。2019年6月，教育部引發了《關于加強高校實驗室安全工作的意見》，明確高校應當健全實驗室安全責任體系、完善實驗室安全管理制度、狠抓安全教育宣傳培訓、加強安全工作能力建設、建立安全工作獎懲機制。

（三）控制活動

有效的控制活動是確保高校必要的控制措施得以實施和執行的保障，通過開展一系列的控制活動，以期達到控制管理風險，實現高校健康運行的目標。由于高校業務活動復雜，涉及面相對較廣，除了資產、合同、財務收支管理等經濟業務活動外，還涉及人才培養、科學研究和實驗室安全等非經濟活動，此外，高校通常還需滿足完整的居住社區功能，無形中增加了高校內部控制的復雜度與管理難度。

（四）信息與溝通

有效、及時的信息溝通機制可以保證信息在橫向與縱向的傳達中得到準確傳遞，高校通過信息與溝通達到傳播知識、培養人才、塑造價值的直接目的。因此，在進行內控建設時，高校應充分利用考慮信息溝通的有效性和效率性，加強信息規劃與建設，避免各部門、各管理環節成為“信息孤島”，通過更加先進、完備的信息化機制，更好地實現服務師生的目標。

目前我國高校的內控信息化建設水平參差不齊，有些高校已經實現科研、資產、教務等系統與財務系統的融合，并通過信息系統控制以上業務的大部分流程節點；信息化建設程度中等的高校基本實現了公文流轉、教務信息、財務信息等業務的信息控制，實現了高校基本管理的信息化；信息化建設程度較低的高校，財務系統僅實現了從手工操作到電腦操作的過渡，系統兼容性較低，未能實現對財務信息的系統審核與控制，同時缺少與其他業務板塊的銜接，難以承接通過信息化建設落實內部控制管控的需求。此外，大部分高校仍存在大量業務流程與審批節點通過紙質文件傳遞與簽批；集體決策制度與匯報制度采用非正式溝通的方式進行，并未留存書面文件予以記錄，從而導致溝通效率低、誤差大，不利于確立標準的業務流程規范。

（五）內部監督

高校內部控制建設是一個循環往復、不斷提升的過程，其有效運行離不開完善的監督和檢查體系。加強監督檢查工作，加大考評問責力度，是全面推進行政事業單位內部控制建設的主要任務之一。內部監督主要是針對內部控制建設與實施情況進行監督檢查、評價其有效性、發現缺陷并及時改正，有效的監督是確保內控得以有效實施和落地的重要抓手。為此，高校應積極建立健全內控監督檢查和自我評價制度，通過內部監督即使發現內控制度實施中存在的突出問題、管理漏洞和薄弱環節，以更好地優化完善高校內控體系。

三、高校內控建設與實施中存在的問題

（一）對內控建設的重要性認識不夠

部分高校未充分認識到內控建設的重要意義和現實需求，其出發點是迫于上級部門的要求，僅僅是為了完成任務，導致內控制度的建設走形式化。還有一些管理部門對內控建設存在認識上的誤區，認為內控工作僅僅是從資金方面來評估并管理風險，與審計工作具有較大的重合性，沒有必要單獨設置內控管理的職能部門；甚至個別高校領導認為，開展內部控制建設就是束縛了自己的手腳，對于日常工作造成掣肘，且日常運行中審計通常與“問題”聯系在一起，大部分管理者會認為“學校最近沒有出過事兒”“我們管得很好”，內控可能用處不大。此外，高校績效考核機制不健全，未將內控體系建設納入干部績效考核指標設計體系中，使得內控建設缺少了重要的推動力。

（二）內控建設過程中缺乏具體的可操作性方法

目前高校內控制度中仍存在著諸多不完善之處，具體體現在：一方面，部分高校尚未完全領會《內控規范》的精神實質，對《內控規范》的了解不夠細致和深入，在內控體系建設中缺乏明確的目標與規劃，因而在實施過程中存在一定程度的盲目性；另一方面，部分高校將內控建設看成是個別部門，尤其是財務部門、審計部門或者極少數人的事情，僅通過傳統的紀檢、審計等手段對于高校運行中出現的問題進行事后的調查，缺乏機制化、體系化、持續性、預防性的內控優化措施；加之對內控的誤解，認為單位領導嚴格就可以很好地實現內部控制，并未從制度建設、機制運行、執行監督等方面體系化地審視內部控制建設，無法真正有效地提升內部控制環境，從而導致內部控制建設目標難以實現。

（三）內控人才缺乏，隊伍建設不牢

專業化的內控隊伍是高校內部控制體系得以健康發展的基礎。一方面，相對于傳統的管控方式，內部控制屬于新興事物，但由于缺乏足夠的時間積累和沉淀，在內控人才的培養與儲備上還顯得不夠充分；另一方面，高校內控建設屬于一項綜合性較強的系統工作，涉及領域多、工作面廣，需要既熟悉財務管理、科研管理、采購管理、工程項目建設、固定資產等經濟業務領域，又了解教學運行、學生活動、實驗室安全管理等非教學業務領域的復合型人才，因此，其對內控人才的能力要求較高。基于這些特點，雖然各高校已逐漸意識到內控的重要性，一些領先的高校也已經開始儲備專業化的人才隊伍，但從總體效果來看，現有高校人員結構中內部控制相關人員仍難以滿足越來越艱巨的高校風險防控任務。

四、完善高校內控制度建設的對策與建議

黨的十九大提出，“要加強對權力運行的制約和監督，讓人民監督權力，讓權力在陽光下運行，把權力關進制度的籠子。”作為權力和制衡的抓手，建立和完善高校內部控制體系再次被重視。COSO內部控制框架中將內部控制的效果解讀為內控將為組織提供以下三類運行目標的合理保證：符合法律法規的合規性要求、提高報表的可靠性和提升組織運行的有效性。結合這三方面的要求，本文提出完善高校內控建設的相關對策與建議。

（一）符合法律法規要求

合規性是建立并實施內部控制活動的最基本目標。內部控制體系的建立，為組織提供了一個滿足適用法律和法規的最低行為準則。近年來，教育部、財政部等部門針對高校特點下發了多個合規性制度文件，要求各高校按照《指南》要求，組織部署相關工作，確保各高校建立并實施內部控制制度。當前一系列制度要求中，試行的《教育部直屬高校經濟活動內部控制指南》為內部控制活動的執行提供了具有較強操作性的指引。《指南》特別對高校的組織層面、運行機制、人事管理、信息系統、資產管理、收支管理、合同管理、采購管理、工程管理和科研項目管理等方面提出了要求，并對業務流程的重點風險進行了提示。高校依據《指南》要求，對照關注的業務流程，系統梳理并識別風險，進而分析風險成因及影響，以此建立完善的內部控制制度體系，滿足相關部門對高校內部管理水平的基本要求，綜合提升高校應對風險的能力。同時，參考財政部印發的《行政事業單位內部控制規范（試行）》中提出的適用于各行政事業單位內部控制的一般控制方法，優化各業務流程，進一步提升內控管理水平。

（二）提高報表的可靠性

會計報表是對單位財務運行情況的整體反映，新政府會計制度要求編制真實、完整的財務會計報表和預算會計報表。完善的內控制度是高校財務運行的有力保障，而真實完整的會計報表是高校財務運行情況的整體反映，兩者為促進學校財務高效運轉，提升學校治理水平提供支持。在完善高校內控體系過程中，要進一步提高報表的可靠性，減少虛假報銷、跨期報銷、資產損失等事項，以真實、完整、準確地提供會計信息。通過制定完善的內控制度、細化業務操作流程、設計具體控制措施，來進一步強化會計報表的事前和事中過程監控，確保學校按照政府會計準則編制更具可信度和效度的財務報表。

（三）提升組織運行的有效性

隨著我國社會經濟環境的不斷變化，高校內控建設面臨的形勢也日趨復雜。特別是國有資產被非法占有，學術造假、導學矛盾問題屢屢發生，高校學生資助工作亂象叢生，針對這些現象，應建立從經濟業務領域到非經濟業務領域全方位的內部控制體系，健全內控制度體系，從源頭堵住漏洞，從而徹底消除隱患，切實降低高校運行的風險，確保高校內部組織健康、有效的運行。

1、全員行動強化內控。內部控制體系建設不是一個部門的工作，而是一項系統工程，需要全員參與進來。首先，高校領導層應高度重視，進一步提高風險防范意識，從根本上認識內部控制對提高學校自身治理能力的重要意義；其次，加強頂層建設，配備內控相關管理人員，并落實內控建設的相關責任；第三，將內控體系建設與高校文化建設有機結合，使之融入學校的文化理念之中；最后，針對學校不同層次人群有的放矢、精準施策，分類開展內控培訓，對全覆蓋對象進行差異化培訓，全面提升對內控的認識。

2、加強內控人才建設。人才是內控實施的關鍵，專業化的人才亦是開展專項工作的基礎，高校應結合外部引進和內部培養的方式，加強內控人才隊伍建設；同時，借助校企合作平臺，從各職能部處引進熟悉高校環境、業務流程的人才，積極借鑒企業內控管理經驗。加強內控人員培訓，不斷提升其專業技術能力，為內控建設與執行奠定堅實的人才基礎。

3、逐步將內控建設納入高校各單位考核的績效指標。任何一項工作，如果缺乏相應的監督與考核，就會使其流于形式，無法起到切實的作用，發揮實際的效果。結合財政部印發的《中央部門項目支出核心績效目標和指標設置及取值指引（試行）》，明確各單位內控績效指標，定期執行內控績效監督，將責任落實在單位運行的各環節，調動各責任人員的積極性，真正形成“全員參與內控，全員建設內控”的格局。