公立醫院內部審計框架構建*
——基于COSO-ERM 分析

龐珍梅

湛江中心人民醫院 廣東 湛江

一、引言

公立醫院內部審計應充分發揮全過程監督評價的優勢作用，保障公立醫院實現風險管理的戰略目標，構建系統、全面、創新的戰略管理格局。全美反虛假財務報告委員會下屬的發起人委員會（COSO）于2004 年首次發布《企業風險管理——整合框架》（Enterprise Risk Management-Integrated Framework,ERM），該框架提供了一個綜合的方法來識別、評估、處理和監控組織面臨的各種風險。它強調風險管理的整體性和全面性，以幫助組織構建其自身的風險管理框架。2017年，COSO發布新版《企業風險管理框架―戰略與績效的整合》（以下簡稱COSO-ERM），為了使框架適應于所有類型的組織（尤其新增了非營利組織），新框架在原版本的基礎上完善了結構、要素原則、方法指南等內容。新框架包含了企業治理和文化、戰略與目標制定、績效、審閱和修訂以及信息溝通與報告五大要素，更加適應組織及社會治理和監管的需求，并強調了績效與戰略在風險管理體系的重要性，促進組織充分考慮使命、愿景、核心價值的影響。

二、COSO-ERM 要素的主要內容

1.治理和文化

作為COSO-ERM框架的基礎，它涵蓋了組織在實施內部控制時所需的價值觀、道德規范和行為準則。通過建立良好的治理結構和塑造積極的企業文化，組織能夠有效管理風險，提升內部控制的質量和效果，實現長期的可持續發展。

2.戰略和目標

戰略和目標是指組織在制定業務戰略和目標時所考慮的因素，要求組織將風險管理整合到其戰略過程中，確保風險管理與組織的戰略目標相一致，有助于組織建立以風險管理為導向的戰略目標體系。

3.績效

績效是衡量組織實現其戰略目標的能力和達成情況，強調了內部控制對于提高績效、降低風險以及促進持續改進的重要性?？冃c內部控制之間存在著密切的關聯，將內部控制視為提高績效和風險管理的重要手段，并倡導組織在實施內部控制的過程中實現持續改進。

4.審閱與修訂

審閱與修訂是指對內部控制系統進行定期評估和改進的過程，鼓勵組織對其內部控制進行審閱和修訂，以確保其適應變化的環境和風險，為內部控制的發展和優化提供動力和方向。

5.信息溝通與報告

信息溝通與報告是指將相關信息傳達給利益相關方的過程，確保準確、及時地傳遞關鍵信息，以便利益相關方做出明智的決策。有效的信息溝通和報告機制可以幫助組織及時識別和應對風險，增強組織的信任度和聲譽。

三、基于COSO-ERM 構建公立醫院內部審計框架

1.治理和文化

（1）組織架構。公立醫院需建立獨立的內部審計部門，并賦予該部門直接向公立醫院管理層或內部審計委員會匯報的權限。內部審計部門應該具備相應的人員配置和職責劃分，包括：內部審計負責人、醫技業務內部審計員、財務業務內部審計員、內部審計數據分析員等。

（2）運作模式。一是全部由內部審計機構開展業務，模式優勢在于對醫院內部情況更為了解，但可能存在利益沖突和獨立性問題。二是聘請外部專業機構進行審計，相對獨立、客觀，但成本較高。三是混合模式，結合自主開展內部審計及外委審計，既利用內部資源又借鑒外部專業經驗。公立醫院內部審計可結合實際情況，靈活采取相應的運作模式。

（3）文化價值。公立醫院內部審計，提倡獨立、客觀、保密的審計文化。鼓勵全院職工積極參與、配合內部審計工作。建立公立醫院內部積極的溝通與合作機制，促進內部審計與其他部門的有效協作。強調內部審計的價值在于提供獨立的評估與監督，通過發現潛在風險和問題，并提出改進建議，幫助公立醫院優化業務流程和管理效率。

（4）審計資源。為保證內部審計人員具備專業素質，不斷提供培訓和發展機會，為內部審計提供必要的支持，包括：人力、技術、信息系統等。

2.戰略和目標

（1）目標環境。公立醫院戰略目標是可持續發展，如為提升醫療技術水平，確?；颊叩玫桨踩⒂行Ш图皶r的進行醫療護理，引進先進的醫療設備、技術；為提供優質的醫療服務，提高就診體驗，購買保障服務等。應制定明確的內部審計戰略和目標，與公立醫院整體戰略保持一致，如制定設備采購、服務采購、經濟責任審計等內部審計規劃。這包括確定重點領域、優先級，以確保內部審計工作能支持公立醫院的運營和治理目標。

（2）風險偏好。公立醫院常見的信息系統包括：HIS、PASS、ERM等，具有綜合性、專業性等特點，需建立有效的信息系統和數據管理機制，以確保內部審計過程中所使用的數據可靠性和可訪問性，提高內部審計的風險偏好的分析效率，同時也為后續的數據分析提供基礎。如公立醫院內部審計應高度關注法律風險，醫院的經營是否符合相關法律法規的要求；關注是否存在可能影響患者安全和醫療質量的潛在風險，如手術操作規范、藥品使用和質量管理；關注是否存在信息安全風險，包括：信息泄露或濫用等，通常內部審計在這些方面傾向采用零容忍的風險偏好。

（3）替代戰略。在公立醫院開展業務過程中，對于內部審計戰略的綜合考慮和選擇。建立日常審計為輔、專項審計為主的機制。采取日常審計方式來監督關鍵業務流程、內部控制的合規性和有效性。針對特定的項目或業務，進行專項審計。將日常審計與專項審計相結合，可以全面覆蓋公立醫院的審計需求，確保對各個方面的審計要求進行綜合考慮和選擇。建立內部審計業務質量自查、定期邀請外部機構或專家進行審核和驗收，提高內部審計的質量和效果。

3.績效

（1）識別排序。識別常見的公立醫院內部審計風險，并將根據影響程度和可能性排序。需要注意的是，風險識別和排序是一個動態的過程，具體情況可能因醫院的規模、業務特點和內部控制現狀而有所差異。財務管理方面的內部審計風險，如資金挪用、財務舞弊等，這類風險對公立醫院的經濟利益和聲譽有較大的影響，可納入高影響、高可能性的風險；合規與法律方面的內部審計風險，涉及公立醫院未合規或違法行為，如違反醫療法規、患者隱私泄露等，這類風險可能引發法律糾紛、罰款或聲譽損害，可納入中影響、高可能性的風險；采購與供應鏈方面的內部審計風險，如包括合同違約、質量問題、供應商不端行為等。這類風險可能導致公立醫院采購成本增加、服務中斷或醫療質量下降，屬于高影響、中可能性的風險。在進行內部審計風險識別時，需要結合具體情況進行綜合評估，并及時調整識別和排序結果，以保持風險識別的準確性和有效性。

（2）風險度量?？刹捎枚炕蚨ㄐ栽u估的風險矩陣或其他評估工具，對包括公立醫院風險發生概率、影響程度和可控性在內的優先級進行評估。要優先考慮對公立醫院目標和利益影響最大的高風險項，以確保最大限度地利用內部審計資源。建立健全公立醫院內部審計委員會機制，負責監控和評估內部審計風險，制定明確的內部審計風險指標和警示線，及時識別、預警和應對。

（3）風險控制。公立醫院內部審計在工作開展中根據不同風險的特點，確定內部審計改進業務流程、加強培訓與教育、建立風險監控等，并采取適當的風險治理方法來降低內部審計風險。為了提高公立醫院內部審計工作的效果，需要進行持續改進。一是加強審前準備工作，明確內部審計的目標和范圍；確保審計工作有針對性和有效性。二是增加內部審計樣本抽查的隨機性和廣泛性，以覆蓋可能存在的風險領域，確保審計結果的全面性和準確性。同時，加強內部審計工作底稿的記錄和保存，以便于后續的追溯和復核，提高審計工作的可追溯性和可驗證性。三是通過這些改進措施，可以優化審計程序和方法，提高公立醫院內部審計工作的質量和效率。

4.審閱與修訂

（1）變化評估。為了確保內部審計的有效性和適應性，公立醫院應定期評估內部審計的變化情況。這包括對內部審計重點進行調整、對內部審計方法進行改進、對內部審計資源進行合理調配，有助于確保內部審計工作能夠適應公立醫院運營環境和需求的變化，并及時做出相應調整。

（2）績效審查。通過制定公立醫院內部審計評估指標和進行成果測量，如內部審計發現的準確性、報告的及時性、影響的實際改進等。基于內部審計結果和績效審查的結論，針對性地進行管理改進。這包括但不限于優化內部審計流程、提升內部審計團隊的能力和技能、加強與其他部門的協作等。同時，還可以將內部審計結果和改進建議，納入公立醫院的內部控制和風險管理體系，推動公立醫院整體的管理提升。

（3）管理改進。為了實現管理改進，公立醫院的內部審計部門應與相關部門、領導層和利益相關方進行密切溝通，積極向領導層報告審計結果，討論發現的風險和問題，并提出改進建議。獲取公立醫院領導層的支持和關注，持續監測和評估，有助于建立一個持續改進的內部審計機制。

5.信息、溝通與報告

（1）信息技術。選擇合適的內部審計管理軟件或平臺，用于數據收集、分析和報告生成。確保該軟件或平臺符合公立醫院的內部審計需求，并提供安全可靠的數據存儲和訪問功能。利用數據分析工具，如數據挖掘、可視化工具等，對內部審計數據進行深入分析，發現潛在風險和問題，并支持決策制定。

（2）信息溝通。有效的內部審計信息溝通包括但不限于，制定明確的內部審計信息溝通流程，包括：內部審計的計劃、進展、發現、解決方案等；設立定期的會議或工作討論，與相關部門和管理層交流內部審計工作的進展和結果；制定信息溝通政策，確保所有涉及內部審計的信息都按照規定的渠道和程序進行傳遞，并妥善保管；建立內部審計信息庫或文檔管理系統，用于存儲和檢索與內部審計相關的文件和信息；開展內部培訓和溝通活動，向公立醫院員工普及內部審計的目的、重要性以及相關的流程和職責；鼓勵和支持內部審計團隊參與行業內的培訓和交流活動，提升專業知識和技能。

（3）報告機制。制定規范的內部審計報告的格式和內容要求，使報告易于閱讀和理解。此外，還應設立明確的報告編寫和審閱程序，以確保報告的準確性和完整性。通過規范的報告機制，可以提高內部審計報告的一致性和可比性，便于各利益相關方理解和利用報告中的信息。通過嚴格的編寫和審閱程序，確保報告的準確性和完整性。這樣做可以減少錯誤和遺漏，形成有效的質量控制的形式，以確保內部審計報告的可靠性。

四、小結

針對不同風險類別，制定相應的內部審計程序和技術手段，以確保潛在風險得到及時發現和控制。在內部審計框架的應用方面，可以采用定量分析方法，通過對設定的要素進行評價，對內部審計的執行情況和效果進行定量評估，增加應用的客觀性，并為公立醫院提供具體數據支持，以便更好地評估和改進內部審計工作。在實踐工作中，內部審計框架的設計和應用只是內部審計工作的開始，將審計成果與公立醫院的日常業務活動相結合，從實際上提高治理效能和業務運營效率。