COSO報告視角下高校內部控制建設研究

王茂盛

（南京旅游職業學院,江蘇 南京 211100）

2012年，中華人民共和國財政部頒布《行政事業單位內部控制規范（試行）》（財會〔2012〕21號），要求全國所有行政事業單位自2014年1月1日起執行，該規范的全面實施，為高校全面提升治理水平和治理能力，防范和化解廉政風險，強化高校內部控制機制科學化、體系化建設奠定了基礎。黨的十八屆四中全會通過的《中共中央關于全面推進依法治國若干重大問題的決定》明確提出“對財政資金分配使用、國有資產監管、政府投資、政府采購、公共資源轉讓、公共工程建設等權力集中的部門和崗位實行分事行權、分崗設權、分級授權、定期輪崗，強化內部流程控制，防止權力濫用”，為高校全面優化內部控制機制和提高內部控制水平明確了方向。2015年，財政部發布《關于全面推進行政事業單位內部控制建設的指導意見》（財會〔2015〕24號），在肯定內控建設成效的同時，又進一步明確了內部控制建設的總體要求、主要任務和保障措施[1]。2017年，財政部又發布了《關于印發〈行政事業單位內部控制報告管理制度（試行）〉的通知》（財會〔2017〕1號），對高校內部控制建設工作又進一步提出了明確要求，對高校內部控制報告的編制、報送及使用等環節提出了進一步規范，要求繼續強化和重視高校內控報告編制質量的監督和檢查工作，進一步完善高校內部控制建設信息依法公開制度，全面提升高校內部控制報告編制質量，如實反映高校內部控制機制建設質量和水平。江蘇省教育廳也發布了有關文件，要求省屬院校充分認識全面推進內部控制建設的重要性和緊迫性，全面梳理經濟業務流程，建立符合本校實際的內部控制體系，全面推進省屬高校的內部治理能力和治理水平現代化。由于高校在辦學過程中主要關注教學和科研兩個方面，對行政管理方面的重視程度不夠，部分高校在科學化、體系化內部控制機制建設方面還沒有跟上時代步伐，并沒有形成一套完善的內部控制建設工作機制，完整的內控制度規范尚未徹底健全，或雖建立了完善的內部控制制度體系，但因制度執行和落實不到位，內控制度在高校經濟活動中的監督和風險防控功能并未得到有效發揮。近年來，隨著高校高質量發展的不斷深入，辦學資金來源呈現多元化趨勢，資金管理難度大、績效考核要求高成為高校財務管理的主要特征，加強高校內部控制建設在新時代背景下變得尤為重要[2]。

1 文獻綜述

“內部控制”一詞最早見諸文字，是作為審計術語出現在1936年美國會計師協會發布的《注冊會計師對財務報表的審查》文告中。美國職業會計師協會審計程序委員會于1949年第一次提出了“內部控制”的概念。1992年美國COSO委員會公布的報告《內部控制——整體框架》（簡稱“COSO報告”）中認為，內部控制系為達成某些特定目標而設計的過程，即內部控制是由企業管理層設計并由全體人員執行，其目的是確保企業經營目標的實現和財務報告編制的準確性，確保企業遵紀守法，并規定內部控制包括控制環境、風險評估、控制活動、信息與溝通、監督五個要素。該報告提出了一套適用于各行業的內控評估工具及方法，企業可以在該報告框架的指導下對企業內部控制狀況進行評價，評價結果一方面可以幫助企業確立營造積極的企業文化，另一方面還可以借此識別企業可能存在的潛在風險，并在風險識別的基礎上健全風險防控體系，確保企業戰略目標的達成。國內關于高校內部控制的研究起步稍晚，主要是在2005年以后才有較大發展，尤其在2015年以后，知網相關文獻檢索量每年均在400篇以上，這也是全國高等學校全面落實執行財政部財會〔2012〕21號、財會〔2015〕24號和財會〔2017〕1號文件有關要求及成效的體現。孫支南、王超輝（2016）分析了內部控制與風險管理的關系，提出了高校內部控制應當與風險管理融為一體，走以風險管理為核心的內部控制之路[3]。歐陽瑞聰（2017）從財務風險管控視角出發，對高校重點領域、重點環節的財務風險進行分類，并針對風險點提出了管控對策。蔡慧（2020）對高校內部控制建設現狀進行了深度剖析，系統探討了高校內部控制精細化管理的思路與方法，嘗試對高校內部管理機制做出創新調整[4]。劉耘含（2020）分析了目前高校在內部控制建設方面的成功經驗和做法，對高校內控治理方面仍存在的問題進行了闡述，并對進一步規范高校內部控制建設工作闡明了相應的觀點[5]。

綜合現有的相關研究和分析，高校內部控制方面的研究主要集中在財務控制、內部控制體系建立、風險管理等方面，而從COSO報告五要素角度開展的高校內部控制研究不多。本文以COSO報告為研究分析工具，從控制環境、風險評估、控制活動、信息與溝通、監督五個方面對高校內部控制建設工作情況展開深入剖析[6]。

2 高校內部控制建設存在的不足

從財政部對行政事業單位內部控制建設工作提出明確要求以來，各高校在內部控制建設方面逐步規范，高校的管理人員及普通職工的內部控制意識有了一定的提升，內部控制制度逐步完善，取得了一定的成效，但與內部控制建設的標準相比還存在一定差距。

2.1 控制環境不完善

與企業重點關注盈利能力目標不同，大多數高校主要關注日常教學、科研及行政管理工作，并未對內部控制建設工作投入過多的關注。高等學校內部控制建設工作是由財政部門主管的，高校內部控制建設有關規定及要求也是通過“財”字頭文件下達的。大多數高校的管理層認為內部控制建設工作主要應由財務處來實施，未將內部控制建設目標融入學校中長期事業發展規劃中，更未將學校內部控制建設工作上升到大學治理層面來加強研究。高校管理人員對高校內部控制建設與高校治理能力和治理水平的聯系認識不足，導致高校內部控制建設工作未能將全體教職工全面動員起來共同參與，這在某種程度上制約了學校內部控制制度的完善及廉政風險防范。宣傳動員的不到位，使得教職員工置身內控建設之外，對內部控制建設產生了一定的阻力，部門之間、教職工之間難以形成內部控制協同化機制，更有甚者會誤認為內部控制體系建設某種程度上影響了學校教學及科研工作的開展，導致內部控制制度難以得到有效落實。有些高校由于人員編制偏緊，關鍵崗位并沒有實行定期輪崗制度，也并未嚴格落實不相容職務分離制度，審計、紀檢監察部門對內部控制監督的缺位，致使高校內部控制流于形式[7]。

2.2 風險評估不到位

部分高校由于對內部控制工作的認識不夠充分，沒有形成有效的風險管理控制意識，或雖具有風險管控意識，但由于風險意識淡薄，風險管理與評估的覆蓋面較小，往往主要針對財務管理工作進行風險評估，而忽視了其他環節經濟活動的風險評估。內部控制的風險評估范圍應包括學校所有經濟活動的所有環節，準確識別經濟活動中存在風險的環節，及時進行全面分析并采取適當策略。例如高校的基本建設項目，往往建設周期較長，涉及的資金量較大，風險評估應全面覆蓋項目立項、項目評審、項目審批、項目采購、項目驗收、績效目標申報與評價等全過程，但由于風險評估意識缺失或者風險識別能力不足，部分高校并不能實現對基本建設項目全周期的風險評估全覆蓋，僅主要關注付款審批環節的授權控制，未能采取有效的內部控制措施對其他環節可能發生的風險進行防范，最終導致國有資產的流失。

2.3 控制活動不完備

高校的控制活動主要是對所有經濟活動流程進行細化，以文字、表格或流程圖的形式呈現出來，達到對經濟活動進行控制和監督的目的[8]。有些高校聘請了第三方機構負責內部控制體系建設，但由于第三方機構對于高校歷史沿革、現階段發展特點及未來發展規劃理解不充分，內部控制體系的設計往往是粗線條的，很難與高校發展實際相融合，缺乏針對性和靈活性，控制活動考慮不周到或執行起來有困難。例如，實際工作中受人員編制等客觀條件的限制，預決算管理、收支業務管理中并不能嚴格做到不相容職務分離，有些預防性控制活動并未得到有效落實。在高校政府采購執行中，采購業務管理及授權審批機制、采購項目指標設定、供應商評價標準等的控制活動并未完全具體化。在資產管理控制活動中，當申請人提出資產采購申請時，由于選擇新購資產或者盤活調撥現有資產的流程標準不夠細化，可能導致重復購置，造成國有資產的浪費。在資產驗收環節，驗收流程看似完備，但由于驗收人員缺少必要的專業知識，導致驗收控制活動重形式而輕實質。在合同管理控制活動中，對于各類合同的簽訂，未明確規定學校法律顧問的介入條件，內部控制監督有缺位現象存在。

2.4 信息溝通不順暢

隨著信息技術的快速發展，各高校在校園信息化建設方面也加大了資金投入力度。但在內部控制建設過程中，高校也暴露出了信息化水平偏低、信息交互共享程度不高等問題。從近幾年的巡視檢查情況來看，很多高校都發現了信息化建設方面存在的問題，主要表現在信息化軟件功能重疊、信息融合平臺整合不到位、存在數據孤島等。在內部控制體系建設中，部分高校缺乏全局思維，對校園信息化的建設和利用程度不夠，在內部控制信息傳遞及數據共享方面連通性較差，信息數據傳遞效率低則影響了內部控制風險的防范能力。同時由于信息溝通不暢，需要耗費大量人力整理歸檔數據信息，導致內部控制的效率較低，還可能存在人為操縱信息的潛在風險。

2.5 監督評價不全面

監督評價本身是對高校內部控制制度落實執行質量的評估，以發現內部控制體系的薄弱環節，并及時加以改進。通常情況下，高校通過執行一般審計或者專項審計程序，對校內教學、科研及管理過程中涉及的各項經濟活動的所有環節進行評估，避免決策程序不合法、授權審批流程不合規、權力濫用等風險的發生。然而大部分高校的實際情況是內部審計部門很難保持其應有的獨立性，部門之間的信息溝通不順暢也加大了內部控制監督評價的難度。部分高校對內部審計制度建設及審計人員配置方面的不重視，導致審計監督評價主要是完成會計憑證、賬簿等的評估檢查工作，并未覆蓋內部控制的預算管理、合同管理、資產管理、建設項目管理等方面的監督評價，內部監督職能發揮不夠充分，存在一定程度的內部監督漏洞和盲區[9]。

3 高校內部控制建設問題的原因分析

3.1 領導層級缺乏內部控制意識

我國的高等院校有相當一部分屬于公辦學校，其運營資金主要由政府財政收入承擔，并不存在盈利性目標要求。這樣就使得高等院校在開展教學、科研及管理活動過程中，對辦學資金、國有資產的管理缺乏一定的積極性，高校管理層對內部控制體系的建設意識較為薄弱，進而導致管理工作沒有將內部控制建設作為學校的重要工作來抓。在有些高校，雖然已經建立內部控制體系，但往往只是存在于形式上而已，并沒有發揮其真正的、應有的內部控制作用，使高校的內部控制建設出現問題。

3.2 組織結構限制信息傳遞時效，導致信息溝通不順暢

我國的高等院校大多是事業單位，在組織架構方面一般是垂直管理，人員層級較多，這樣的組織結構使信息的傳遞存在層層遞進的特點。在信息傳遞的過程中，難免會出現因層級較多而導致信息失真、傳遞不及時的問題。此外，同級之間也會因為部門職能及崗位分工界限存在信息溝通不暢的問題，使相關人員不能及時、準確地掌握相關政策信息，一旦問題出現，部門之間、人員之間便會相互推諉，使問題得不到及時、有效的解決，這也是現階段各高校正加快信息化建設的重要原因，希望借助現代信息技術及智能化手段解決信息不能有效傳遞的問題。

3.3 內部控制的相關制度不夠完善

現階段，部分高校還未形成科學的內部控制制度體系。雖有部分高校已經建成完善的內部控制制度體系，但往往形式大于實質，內控制度的適應性和有效性并不理想，由于缺乏專業機構的指導，使內控制度難以發揮實際的管理意義。當高校面臨重大項目需要管理的情況時，不能對實際情況進行有效約束，由于缺乏廣泛的實用性，在實際執行過程中，更加容易流于形式。此外，大部分高校在非經濟活動的其他管理方面并沒有建立相關的內部控制制度。

3.4 內、外部監督管理不到位

內部控制建設的目的是對高校各類業務活動進行有效管理，而要讓其有效實施的保障是具備一套科學完善的評價監督機制。但由于政府和社會的監督工作存在不到位的問題，導致高校的資產管理和資金預決算等方面都存在問題。同時高校內部的財務審計部門也缺乏監督意識，不能有效發揮其審計監督職能，缺乏必要的獨立性使其審計監督作用大打折扣。內部和外部在評價監督管理工作上存在的缺失，必然導致高校財務內部控制方面的效率得不到有效提升，進而出現一些問題。

4 加強高校內部控制建設的對策

高校辦學中，教學、科研及管理過程涉及的各項經濟活動，雖有來自政府各主管部門的監管和各類專項審計監督，但高校內部控制體系建設的科學完備及執行到位，才是強化高校治理、提升辦學效益、助力高校實現高質量發展的關鍵環節。

4.1 夯實控制環境

學校黨委既要對塑造大學文化和大學精神起決定性作用，又要充分發揮其在學校內部控制建設中的領導作用，真正意識到內部控制在高校治理中發揮的重要作用，重視內部控制建設的頂層設計，大力開展宣傳引導，全面提高教職員工的公民道德素質，充分營造人人重視內部控制建設的高校治理文化氛圍。學校要成立由黨委書記或校（院）長擔任組長的內部控制建設領導小組，負責領導內部控制建設工作；明確責任部門，負責對學校內部控制建設工作進行組織和協調；成立由分管校領導、紀檢監察、審計等多部門構成的內部控制建設督導組，負責對內部控制建設及實際執行情況進行論證檢查。各高校應將內部控制目標融入學校中長期事業發展規劃，結合教學、科研及管理實際，構建內部控制戰略框架，優化內部治理結構，明確財務、紀檢、人事、采購、后勤、資產和審計等部門在內部控制制度設計、執行與評價考核中的責任定位，為內部控制建設夯實良好的內部控制環境。

4.2 加強風險評估

風險評估是高校辨認并分析影響學校事業發展規劃目標達成的各種不確定因素的工具，是高校識別和分析與實現事業發展目標相關的風險，分析并報告風險發生可能性的高低、風險發生的原因、風險應對的措施等。學校應當建立健全內部風險點制度化評估機制，對教學、科研、管理、服務中各類活動存在的廉政風險進行科學、系統和客觀評估，不應僅限于財務工作的風險評估。高校內部控制目標的設定是風險評估的前提，要圍繞中長期事業發展規劃設定學校層面控制目標和業務層面控制目標，然后對高校內部及外部可能影響控制目標實現的負面事件進行識別、分析，最終采取適當的應對策略。學校層面的風險評估應重點關注內部控制戰略規劃情況、內部控制組織架構情況、業務活動執行程序規范情況、大學治理能力水平、關鍵崗位人員廉政風險防控情況、財務信息合法合規情況等。業務層面的風險評估應重點關注預決算管理、收支管理、采購管理、國有資產管理、基建項目管理及合同管理六個方面。高校應加強對風險評估報告的應用，采取切實有效的措施防范風險的發生。

4.3 完善控制活動

高校控制活動的完善可以采取目標導向和問題導向相結合的方式進行。目標導向就是從學校中長期事業發展規劃目標出發，分析學校層面和業務層面主要經濟活動事項需要達到的內部控制目標，識別與分析各經濟活動的主要風險點，以此來確定機構及人員配置、應采取的控制活動、授權審批流程及權限等。內部控制活動的確定可以借助第三方機構的力量，但要以學校內部人員力量為主，否則控制活動的針對性和適應性存疑。問題導向則通過內部審計的實施，對內部控制制度在實際經濟活動中的有效性、適應性進行論證，也可以到內部控制建設與實施效果好的單位進行學習，再針對本單位內部控制方面存在的問題修訂補充內部控制制度，完善控制活動，以達到對經濟活動風險的控制。對于一些內部控制關鍵風險點，可以進一步細化控制活動，制作內部控制活動流程圖，編制典型內部控制案例手冊，便于教職員工理解和掌握，確保內部控制活動有效執行。

4.4 健全信息溝通

學校應當從中長期事業發展規劃出發，明確經濟活動內部控制的信息需求，建立健全具有本校特點的、行之有效的、具有可操作性的信息流，以現代信息技術手段促進內部控制執行完全落地。學校信息系統建設要實施歸口管理，應當充分運用現代信息技術加強內部控制體系建設，重視經濟活動信息化建設，健全經濟活動信息化監控手段，將學校全部經濟活動及內部控制程序納入信息化建設范疇，加強對經濟活動相關信息化的建設、經濟活動數據集成與處理、網絡信息安全防護等方面的管理，促進經濟和業務活動的信息集成與共享，充分發揮信息技術在內部控制中的支撐作用，盡可能減少或消除人為操縱因素，保護信息安全。內部控制信息化系統的建設投入較大，學校管理層要引起足夠重視，并在建設資金及其配套政策上予以支持，需要做好統籌規劃，分步實施，確保內部控制信息化體系有序建設。