大數據背景下醫院風險導向內部審計探析

張理水 江南大學附屬醫院審計處

近年來，隨著信息化的飛速發展，大數據技術逐漸被應用于醫院內部審計工作。2019 年4 月國家審計署辦公室印發的《2019 年度內部審計工作指導意見》提出“積極創新內部審計方式方法，加強審計信息化建設，強化大數據審計思維，增強大數據審計能力。”2022 年3 月，國家衛生健康委制定印發《進一步加強衛生健康行業內部審計工作的若干意見》(國衛財務發〔2022〕9 號)，意見中提出運用大數據等現代信息技術，積極支持內部審計信息化建設，消除信息孤島。[1]在此背景下，醫院風向導向內部審計的范圍、技術、模式、程序、評價等將發生根本性變化，使得醫院風險導向內部審計的應用更加廣泛、深入，從而助推醫院高質量發展。

一、大數據背景下醫院風險導向內部審計的特征

(一)風險導向內部審計的目的更契合醫院戰略目標

傳統的內部導向審計(控制導向審計)內部控制測試路線是從右向左的路線，而風險導向內部審計則是從左到右的路線，如圖1 所示。衡量組織內部控制的強弱即控制導向內部審計風險的大小，因而審計結果就是不斷強化和疊加控制措施，導致組織效率低下，無法凸顯內部審計的價值。通過風險與組織目標直接聯系，力促提高經營效率，保持醫院總體戰略的實現。

圖1 醫院內部審計新舊模式路線

(二)風險導向性內部審計代表內部審計的發展方向

傳統的內部審計目的是降低審計風險，提升審計效率，而風險導向內部審計除此之外，著重于加強內外風險管理、健全內部控制制度、實現醫院價值提升。隨著大數據時代的到來，醫療業務不斷發展，數據規模日益龐大，傳統的內部審計方法和手段已無法滿足現代醫院的內部審計需求，各醫療機構要重視內審人員專業能力培育及綜合素質提升。

(三)風險導向內部審計是圍繞醫院運營管理風險展開

醫院運營管理風險包括財務和非財務內部控制風險點，將審計風險控制指標、審計判斷方式等以模板的方式固化，形成審計軟件。通過大數據的應用，僅需輸入篩選條件等利用審計軟件進行風險甄別及推送，打破傳統審計模式，減少時間、空間和成本對審計的限制，大大提高審計效率[2]。

二、大數據背景下醫院風險導向內部審計創新的必要性

(一)有利于提高醫院審計效率和保證審計質量

在大數據背景下，隨著醫院的不斷發展，數據規模日益龐大，傳統的審計模式已無法滿足現代醫院內部審計的需求。現代醫院內部審計以風險評估為主，確定審計重點，讓審計人員能夠快速發現問題，實施有效的審計程序，大大提高審計效率[3]。通過分析和評估控制風險點，快速捕捉高風險點，動態分析存在的問題，精準控制風險，提高審計質量。

(二)有利于降低醫院審計風險和實現審計專業化

醫院風險導向內部審計采用自上而下的審計方法，識別醫院整體內部控制點及醫療業務層面的內部控制點。通過利用大數據技術，風險導向模式著重內外部審計海量數據的搜集，多維度、全覆蓋對管理層、重要及關鍵崗位人員進行認真訪談，對廣泛涉及藥品、耗材、試劑、醫療設備等供貨商及基建、維修等承包商等外部信息進行嚴格審查，采用更具針對性、邏輯性和系統性的審計程序，捕捉潛在的風險點，在很大程度上降低審計風險，提高審計專業性和權威性[4]。

(三)有利于提升醫院風險管理的積極性和主動性

隨著醫療及信息技術的發展，醫院內部控制體系日趨復雜，風險點面廣量大，要求醫院做好風險管理，主動采取評估風險，對醫院內外部風險積極采取承擔、規避、轉移、轉換和補償等風險管理工具及手段[5]。目前，醫院面臨醫藥衛生體制、醫保支付方式改革，經歷著常態化的疫情防控，防范和化解違紀、違規風險，確保醫院高質量發展迫在眉睫。近年來，醫院風險控制內部審計從理論上和實踐上都引起重視，并從職能上由被動監督向提升服務轉變，各部門從醫院角度分析風險，深入業務層面搜集信息，堵塞漏洞，通過風險管理改善醫院運營狀況，促進風險管理目標實現[6]。

三、大數據背景下醫院風險導向內部審計存在的問題

(一)醫院內部審計體制機制缺乏創新與活力

目前將大數據技術應用于醫院內部審計工作還處于探索階段，缺少從醫院管理整體視角進行審計體制機制創新。單調的管理模式、低水平的審計技術和手段，很難應對繁雜的內部審計任務，在面對日益復雜的醫療市場競爭環境，必須完善審計人才的培養機制，組建大數據人才庫，加強與財政、醫保等機構交流，培養大數據審計復合型人才。同時，醫院內部審計考核機制不夠健全，應將審計信息化和大數據應用成果納入醫院績效考核、醫院等級評審，從政策層面倒逼醫院大數據風險導向審計形成長效推進機制，激發其活力。

(二)醫院大數據利用不當造成審計效率低下

在大數據信息共享時代，部分醫院開始探索建立醫院風險導向內部審計模型。但在對大數據利用和信息維護方面還不夠完善，造成審計管理混亂，影響審計效率。一方面，部分醫院過分依賴大數據及信息軟件，盲目選擇審計軟件，審計工作不僅僅要實現大數據共享，更需要審計人員有數據分析、風險甄別的能力，精準找出問題，及時化解風險。另一方面，醫院內部對大數據整理和運用過程中，部門之間、層次級別之間存在嚴重的邊界化問題，造成醫院內部審計效率低下。

(三)醫院風險導向內部后續審計缺乏落實整改

醫院運營及業務管理錯綜復雜，要求內部審計橫到邊、豎到底。有的醫院以出具審計報告作為內部審計工作的最后一環，目前，內部審計人員素質普遍較低，專業勝任力不夠強，不善于發現內部審計中的問題，只是循規蹈矩，不尋求審計環節中的勾稽關系，沒有實現PDCA 的閉環管理。有的醫院只是根據上級部門的要求完成指令性工作，沒有深入挖掘風險點，更談不上風險應對措施，缺乏后續跟蹤，將影響審計質量。要充分利用大數據技術進行后續跟蹤審計，及時發現隱藏的風險點并持續跟蹤，整改風險狀況，提高醫院風險導向內部審計價值，確保醫院內部審計工作高質量發展。

四、應對大數據背景下醫院風險導向內部審計問題策略

(一)強化大數據背景下醫院風險導向內部審計體系建設

1.從醫院整體視角構建醫院內部審計體系

醫院風險導向內部審計涉及范圍廣泛，涵蓋了醫院所有醫療業務、財務管理活動。對大數據風險導向內部審計工作，要立足醫院的戰略目標，對其整體規劃，通過統籌考慮，健全審計機構，完善審計制度，實現醫院內部審計全面防控風險。

2.從醫院頂層重視內部審計人員素質培養

大數據背景下醫院風險導向內部審計業務涉及信息技術、醫療業務、基建工程、設備維修、人事教育、人才科教等，醫院的審計人員，特別是核心成員，對個人素質和業務能力提出更高的要求。綜合型內部審計人員是大數據時代內部審計的關鍵要素，必須具備風險識別、數據分析、撰寫報告、跟蹤考核等能力，同時還要不斷學習政策法規。因而，從頂層務必高度重視復合型審計人才的選聘、培養，確保醫院可持續發展。

3.將審計信息化納入醫院綜合目標考核體系

大數據技術的前提是信息化，利用大數據技術對醫院所有的業務進行風險監測，提示加強風險防控，減少醫院財務風險，審計信息化不容置疑。目前，2022 版三級醫院“國考”指標、醫院等級評審及醫院綜合目標考核中都沒有將審計信息化列入考核，沒有考核就沒有約束。

(二)強化大數據背景下醫院風險導向內部審計數據應用

1.創新風險評估方法，提高審計結果的準確性

在醫院風險管理中，加強內部控制制度建設，內部審計人員要做好風險評估測試，采取必要措施，降低醫療業務風險，管控風險點，從戰略目標高度進行分析，系統查找風險點，對發展的風險點進行評估，采取有效措施降低或消除風險。內部審計部門將風險出現的概率即風險可能性和風險對醫院的影響程度分成等級，其中等級數表明風險所產生的影響和風險發生的概率的大小，為了量化風險評估程度，設計風險評估值的評估公式即“風險值=風險發生的可能性×風險影響力”。

2.完善醫院信息系統，實現互聯互通、信息共享

合理選擇審計軟件系統，與HIS、LIS、耗材、藥品等形成的資產管理系統以及人事、財務等行政管理系統整合成全新的HRP 系統，醫院各部門間以無邊界促融合式發展。在醫院內部審計中應用大數據技術，如果大數據技術升級，相關的信息系統也要進一步完善，盡量打破部門和專業壁壘，使所有的系統之間可以實現共享，提高審計效率。

3.規范應用數據信息，深度挖掘數據、資源共享

醫院數據信息累計已是海量，來源不同，類型不同，應用價值也不同。大數據視角下，醫院內部審計要對多樣化的數據進行分類整理、數據分析、風險甄別，提高系統對數據的處理能力，精準解決問題。如此及時對接信息系統，大數據資源得到深度挖掘，信息資源高度共享，突出審計效率。

(三)促進大數據背景下醫院風險導向后續審計整改落實

1.完善醫院大數據風險導向內部審計流程管理

針對醫院風險導向內部后續審計缺乏跟蹤落實等問題，完善醫院大數據的風險導向內部審計流程，落實后續審計跟蹤措施，明確整改措施，實現醫院內部審計PDCA 的閉環管理，具體詳見圖2。

圖2 醫院大數據的風險導向內部審計流程

2.健全醫院大數據風險導向內部審計問責機制

醫院風險導向內部審計查找的包括內控制度問題、業務流程問題等，明確問題整改責任，將整改責任與領導責任評價掛鉤，抓好問題的整改落實，切實防止審計問題出現反彈。聯合相關職能部門，形成監督及監察合力，依法依規對違法、違章、違紀行為進行嚴肅處理，將追責措施落到實處，深入推動內審問責和整改工作。內審人員應根據責任人的動機、過程和結果進行判斷，及時向管理層反映事實，鼓勵擔當和創新，在一定程度上允許試錯，不斷完善內部審計工作的糾錯性、容錯性。

3.強化醫院大數據風險導向內部審計跟蹤整改

醫院內部審計部門應利用大數據結果，嚴格履行整改主體責任，建立內部審計發現問題臺賬，推進問題編號、跟蹤督促、情況反饋、整改銷號閉環管理。對內部審計查出的問題和提出的建議認真研究，制定切實可行的整改方案，將問題逐條整改到位，有效堵塞管理漏洞。對未整改和整改不全面的事項一定要做好詳細記錄并注明原因和責任人，要求及時掌控被審對象的整改落實情況，實時動態監控，確保整改精準到位。在醫院大數據風險導向內部審計后續跟蹤核查中，應全方位、多層次關注被審對象的整改落實情況，完善內部控制系統，堵塞管理漏洞，提高醫院精細化管理水平。■