高校内部控制审计探究

（中北大学朔州校区 山西朔州036002）

一、引言

近年来，随着管理活动的复杂化，高校面临的风险日益增加，急需加强内部控制的构建和实施力度，以防范控制风险，提升管理水平。内部审计是内部控制重要的监督评价机制之一，对内部控制的建设具有监督评价、咨询建议与信息沟通作用，通过了解、测试和评价高校内部控制设计的系统全面可行性、执行的及时充分有效性，可以促进内部控制的构建完善与有效执行，助力高校规范管理，化解风险，提高办学水平和办学效益。

二、高校内部控制审计的作用

内部审计是组织为适应加强内部监督，提高管理效率的需要而发展起来的，在组织建设中的作用是不断拓展的。根据国际内部审计协会（2001）和中国内部审计准则的最新定义，现代内部审计通过确认与咨询服务的形式对包括内部控制、风险管理、组织治理在内的三大领域开展增值型内部审计服务，为组织创造价值。内部审计正逐步由监督主导型向服务主导型转型。伴随着内部审计的转型，内部审计在高校内部控制建设中将发挥监督评价、咨询建议和信息沟通作用。

（一）监督评价作用

高校内部审计通过对内部控制设计和执行的适当、合法、合理、全面、成本、效率、效果性等方面进行监督评价，可以保障内部控制的持续健全完善与及时充分执行。监督评价过程不仅是事后的监督评价，而是通过建立高效连续及时的监督评价机制，实现对内部控制事前、事中、事后的动态监督与持续有效的实时评价。监督评价内容不仅包括分析、测评教学、科研、财务等业务层面内控体系的完善高效性，而且围绕控制环境等要素全面审查评价高校整体层面的内部控制。内部审计部门把相关的结果及时反馈给学校的治理层和各级管理层，促进各层级加强风险意识，建立健全内控制度，不断提升管理水平。

（二）咨询建议作用

按照增值型内部审计服务的理念，高校内部审计部门响应内外部环境的变化，从事后走向事前，从被动提出建议发展为主动提供咨询服务，且咨询服务的内容远远超出财务业务审计领域，更多地关注内部控制、风险管理、高校治理等领域，如主动揭示高校可能面临的办学风险，各职能部门、院（系）管理活动控制程序的有效性，教学、科研、后勤等方面资金的使用效益等问题，借助对问题深入的理解和更专业的知识积极提供可供选择的解决方案，设计和改善控制流程，提出科学合理的风险管理的建议。

（三）信息沟通作用

内部控制的有效实施必须有畅通的信息沟通作保障，信息沟通是整个内部控制系统的生命线，直接影响决定了内部控制的效果。然而高校各层级之间信息传递链条长，各部门、院系之间信息传递不畅，由于缺乏相互沟通协调，在实际执行中造成信息不对称或透明度不高，内部控制得不到有效落实。内部审计部门在对高校内部控制的确认和咨询服务中，深入到各层级、各部门、各院系，运用访谈、问卷调查、专题讨论等方法收集大量真实的内部控制设计执行的信息，通过向治理层和管理层提交各种审计报告、内部控制评价报告等方式，发挥向上传递、沟通信息的作用；通过与各部门、各院系沟通协调审计中发现的部门间信息传递不畅失真等问题，可以实现及时有效的横向信息沟通；依据高校治理层和管理层批复下达的内部审计报告等进行后续跟踪审计，实现向下信息沟通。

三、高校内部控制审计优化路径

高校内部审计要在内部控制建设中发挥以上作用，更多地参与到学校内部控制的构建、完善、持续改进以及风险的预警、评估与应对中，必须在现有内部控制审计模式的基础上，转变审计理念、强化风险评估要素审计、拓宽审计内容、探索审计方法、规范审计程序，实现内部控制审计的跨越转型。

（一）转变内部控制审计理念

高校内部控制审计要从以下两个维度转变理念，以更好地提供确认与咨询服务。

一是实行基于内控整体框架的审计。《行政事业单位内部控制规范（试行）》在内容设置上，从总则、风险评估和控制办法，到单位和业务层面内部控制，层层递推，突出了风险评估和组织层面内部控制，为此，内部控制审计应从高校治理的宏观视角出发，站在战略发展的高度，基于内控的整体框架，深入到组织层面内部控制，突破只针对业务本身进行审计的局限，识别具体控制缺陷的深层次问题，关注组织整体内部控制环境、风险管理与应对、信息沟通等对业务活动的影响。

二是实行贯穿内部控制全过程的审计。积极探索以风险为导向，控制为主线，涵盖内部控制设计、制定、执行、改善全过程的跟踪审计，及时识别并披露内部控制存在的漏洞与缺陷，可能存在的潜在风险与影响，提出预警与改进建议。

（二）强化风险评估要素审计

内部控制审计要特别关注风险评估要素的审计，根据管理目标，关注高校整体层面或各部门、各学院对影响主要目标实现的风险事项是否已识别并评估其发生的可能性及影响；是否对识别出的风险，依据评估的风险发生的可能性及影响作出规避、转移或控制等风险回应措施；风险评估报告是否全面、中肯、客观地评估和分析风险。如根据预算业务的控制目标，相关部门是否识别了在预算的编制、审批、执行等环节的风险，并作出合理评估，采取应对措施。通过强化风险评估要素的审计，促使高校各层级重视和加强风险管理工作。内部审计部门从收集到的大量资料中发现存在风险和隐患的问题，经过风险分析，向管理层提出风险防范和风险管理的建议，推动高校内部控制建设。

（三）拓宽内部控制审计内容

高校内部控制审计要依据《内部审计准则》、《内部审计实务指南——高校内部审计》等法规，参考《行政事业单位内部控制规范》等相关规定，在广度与深度两方面拓宽审计内容。

一是在广度上扩大内部控制审计范围覆盖面。突破传统的内部审计工作以项目为单位，围绕账簿审数字，偏重财产安全的防护性审计，实行涵盖单位层面内部控制的组织、建设、完善、关键岗位设置、财务信息，以及业务层面预算、收支、资产、采购等内容的内部控制审计。站在治理与管理的高度，联系内控的整体框架，梳理高校整体及教学、科研、财务、后勤等部门的业务流程，明确业务环节，围绕内部控制的五要素，审查和评价控制体系的健全性、有效性，关注内部控制存在的缺陷，识别和评估潜在的风险，指出可能发生的消极影响，及时提出可行的审计建议。

二是在深度上渗透到内部控制的各个环节。内部控制审计不能仅停留在发挥监督评价的作用，以查错纠弊的事后审计方式对内部控制的健全有效性发表审计意见，提出审计建议，更要以内部控制设计者、风险管理与应对者的身份主动参与和融入到学校管理全过程，采取实时审计、过程审计的方式，在事前和事中及时介入，对于高校存在的较高的办学风险如财务管理风险、基本建设风险、政府采购风险等进行预警；对于业务流程设计、内部管理存在的漏洞等问题加以识别并提出可行性意见和建议，对于内部控制的流程再造提供咨询服务。

（四）探索内部控制审计方法

结合内控审计的特点，采用传统的审计方法要在切入点和关注点上有所突破，并借鉴应用管理学等学科的方法。内部控制审计中，可以采用观察法、访谈法、流程图法、问卷调查法、专题讨论法、查账法、审阅法、核对法、查询法、分析性复核、实地查验、穿行测试、抽样和比较分析等方法。在采用这些审计方法时应紧密结合内部控制审计的特点，找准切入点。比如应用访谈法不能泛泛而谈，流于形式，应讲究询问的策略与方法，消除被访谈者的心理顾虑，围绕主要问题，从各个角度各个方面了解被审计业务活动的流程及控制措施，掌握业务活动现有控制状况，发现审计线索并跟踪查证。此外，为了更好地进行风险评估以及发挥审计咨询服务的作用，在内部控制审计中大胆探索应用头脑风暴法、专家意见法、SWOT分析法、模糊综合评价法、风险因素分析法、层次分析法、控制自我评估法等管理方法。

（五）规范内部控制审计程序

内部控制审计流程包括审前准备、审计实施、审计报告和后续审计三阶段。

首先，要在现场审计前做好充分的审前准备工作，组成审计组，编制项目审计方案，确定审计的范围和重点。如对教学管理进行专项内部控制审计，现场审计前要求教学管理部门提供组织构架图、职责分工、业务流程、内部控制体系设计、教务管理信息系统相关资料等，向学校其他管理部门、师生了解对教学管理的满意程度、存在的问题。项目负责人根据现场了解的情况，作出初步的判断，组成审计组，对收集的资料和信息，进行讨论、分析，评估风险发生的可能性和对组织目标造成的影响程度，以此为基础，制订项目审计方案，明确审计的目的、范围、重点、程序和方法等内容。

其次，实施现场审计，在描述和分析内部控制基础上，进行符合性和实质性测试，对控制缺陷及其成因、影响等做出认定。审计组进入被审计单位，在与被审计单位充分沟通，了解被审计单位管理状况、运行流程、相关制度基础上对审计方案进行修正后，实施现场内部控制审查，描述和分析内部控制。可以通过绘制流程图的方式，描述被审计单位相关业务的管理情况，之后结合流程图，对内部控制设计的全面系统性、控制措施与方法的有效可行性作出评价。并针对内部控制执行情况进行符合性和实质性测试，选取关键控制点做一般测试、对整个业务循环抽取样本做穿行测试，通过实地查验、比较分析等实质性测试方法，充分收集组织内部控制设计和运行是否有效的证据。根据控制测试的结果，内部审计人员对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核，提出认定意见，并以适当的形式向学校管理层报告。

再次，出具审计报告，并组织后续跟踪调查或者审计。内部控制审计报告就内部控制设计和运行的健全有效性、内部控制缺陷认定及整改情况，给出审计结论、意见和建议。并在适当时间组织后续跟踪调查或者审计，以发挥内部审计持续监督作用。

综上，内部控制审计只有站在高校治理和管理的高度，转变审计理念、拓宽审计内容、优化审计方法和程序，突出风险评估要素的细化审计，才能充分发挥监督评价、咨询建议和信息沟通作用，更好地提供确认与咨询服务，推动高校内部控制建设。