高校内部控制体系建设实践研究——以广东某高校为例

□陈彩勤 何 粟

近年在国家有关内部控制（以下简称内控）政策导向下，各高校都在起步摸索建设内部控制体系，但全面化、专门化、系统化建设并形成常态化长效机制的还不多。本文通过梳理和分析广东某高校内控体系建设实践经验及困难，旨在为高校提供可借鉴的实用经验和建议。各校规模、区域、文化和治理等内外环境基础各异，本文所讲路径并不适于所有学校。因此各校首先应分析自身环境，基础欠缺的则应先进行环境建设。

一、案例企业及内部环境基础

广东某高校是一所全日制普通高校，内设部门逾40个，教职工逾2000人，在校学生约3万人。该高校发展规划较明确、组织架构较科学、规章制度较全面、运行机制较完善、风险防控较严密、管理体系较完善。各管理模块都有亮点，但也存在相对孤立等局面。从全局看内控无需“推倒重来”，但需“穿针引线”“穿衣戴帽”，需在现有管理基础上将风险控制思想嵌入各个环节，打造管理升级。

二、总体思路和经验

（一）顶层掌舵，群策群力

内控不只是某部门或某人的事，而涵盖到各层面和环节，必须把好大方向。案例高校首先成立领导小组作为部署决策机构，由党政一把手任组长，分管财务副校长任常务副组长，成员覆盖面广、重点突出，含党委、党政办、规划办、计财处等15个重点部门负责人，提供了集思广益、民主开放的环境。

（二）经济主线，财务牵头

“群龙无首”难以有序开展建设工作。案例高校分设了建设和监督两个办公室，以计财处牵头，一是因内控以经济为主线；二是从教育部规定的高校15个内控业务模块看，预决算等约80%属财务职能，资产等与财务密不可分；三是考虑了牵头人应具有的内控理论和实践资历。

（三）重点目标，明确详实

将规划转为行动计划和目标并全员聚焦才能落实。案例高校将“推进内控体系建设”纳入了全校和计财处年度重点工作，并从工作内容、措施、进度、人员等方面进行了细化。

（四）外力助推，客观专业

内部是动力，外部是推手。案例高校充分发挥内外优势，聘请了专业第三方提供设计、建设、指导、咨询和评价等系统性服务，使建设更加思路清晰化、角度客观化、部署有序化、技术专业化、成果系统化。

（五）巧架桥梁，全员参与

如何确保全员有效参与是一大难题。案例高校尝试了多途径：一是联络员模式。各部门指定至少一名总联络人，建立双向“直通车”，避免信息中转繁琐造成效率低下。二是辐射关键最大化。宣传培训覆盖全体校领导和中层干部、各教授委员会、教研室和实训室主任、财务助理，资产、采购、财务、科研、招就等关键岗位。三是渠道多元现代化。充分利用电邮、短信、QQ和微信群及时通知、咨询和答疑。

（六）紧扣行业，拓展模块

案例高校结合实际优化规定的业务模块，并增设教研、资助、食堂、工会、党费、校企合作等模块，以1+6+N（单位层面+财政部六大核心+行业特色）模式建设19个模块。覆盖面扩大，内容充实，紧扣行业，体系完整。

（七）科学部署，有序实施

案例高校启动时便确定了实施路线和技术手段，逐步按“制度建设—检查优化—嵌入信息化—落地运行—修正完善”的闭环路线。细化为几个主要阶段：前期调研、拟定方案和宣传培训；现状梳理、风险评估和内控诊断；管控优化和成果固化；信息化嵌入；试运行；监督评价；持续修正。

（八）周报机制，协调推进

及时总结汇报便于实时掌控进度和困难，及时纠偏和清除阻力。建设小组每周书面汇报进展、阻力、求助及下周计划等，例如访谈进度缓慢、风险调查和信息反馈延滞等，通过及时督办得以大力推进。

（九）成果全面，系统规范

案例高校形成了建设方案、风险评估报告及数据库、管理建议、流程框架、优化表单、权限指引、不相容职务矩阵、制度汇编、信息化方案、内控评价手册等系列全面规范的成果并予以固化。

三、重点环节与特色拓展

（一）风险评估

风险评估是通过识别不利事件对目标影响程度和发生可能性，选择合适应对措施，对制度和流程必要修正，并通过一定手段降低和控制风险，即有所为有所不为。风险并非缺陷，风险值只是反映从学校整体视角对风险关注程度，表示各层级的风险态度及管理重心。案例高校基于良好环境基础，本次建设主要以风险和问题为导向。

1.程序与方法

风险评估主要有风险识别、分析、评价和应对四个阶段。（1）风险识别包括资料分析、现场访谈和整理分类等。案例高校开展了共66个关键岗位的访谈和风险调查，识别和优化风险分类框架，形成共576个风险点。（2）风险分析含动因和影响分析等。对风险逐条分析，并按统一语言描述，形成形式统一、语言规范的风险清单，建立数据库。（3）风险评价含问卷调查、数据统计、等级划分等。调查面向校领导、科以上干部、业务骨干等。从风险发生可能性和影响度两个维度，确定极低、低、中、高、极高五级评分标准，按调查对象层级确定其评分权重，如校领导50%、中层干部30%、关键岗位20%。以发生可能性为横轴、影响度为纵轴形成风险等级评价矩阵（如表1）。风险等级评分=风险发生可能性评分×风险发生影响程度评分。按风险评分确定风险等级并排序，总结风险等级分布状况，找出重大风险。（4）风险应对即分析论证风险，选择最优解决方案并实施，主要有规避、降低、分担和承受等策略。

2.结果分析与应对

案例高校经识别分析，形成一级风险2类，二级风险19类，三级风险65类，风险点576个。梳理风险现状及管理水平，确定对优化管理最重要及应持续关注的风险。经计算风险等级评分，有33个重要和543个一般风险。对风险值排序，形成风险点分类统计表、分布图和风险雷达并提出应对措施。业务层面风险点分布图（如图1）显示风险较多的在工程、科研教研、资产、学生资助、食堂、信息化、工会等方面，展示了风险防控全貌和重点。风险雷达（如图2）指针清晰地指向工程管理，突显了案例高校目前防控重头。

图1 业务层面风险点分布图

表1 风险等级评价矩阵

图2 风险雷达

概言之，风险评估是持续反复过程。通过风险识别发现风险；分析挖掘成因和推断影响；评价即打分排序评级；结果分析了解高风险领域，为风险应对提供依据。通过风险评估可提高全员风险意识，加强风控文化氛围，突出内控重点。

（二）管控优化

首先通过内控自查和风险识别、深入访谈、查阅资料、全面梳理和分析、内控设计及执行有效性评估等厘清问题来源，梳理缺陷并按重要性级别、设计类和运行类等多维度分类，针对性提出改进方案。案例高校经内控测试，梳理出了若干问题，其中部分问题在我国高校具有一定共性，按模块分类主要有以下关注点。

一是单位层面。单位层面是基础环境也是模块之一，主要关注领导重视度、组织建设、宣传培训、内控绩效考核体系、信息化等。

二是核心活动。重点关注收支、票据、合同、货币资金等管理制度是否健全和制度间充分衔接；表单是否规范统一；采购及资产等管理归口是否缺失或冗余；供应商等合同相对方准入和后评价机制、资产绩效评价机制等是否建全；资产是否重购置轻管理；资产采购和管理等岗位是否有效分离；无形资产等盲点是否纳入管理；合同等台账是否健全等。

三是行业拓展。学校还应梳理行业或特色模块待改进问题。（1）教科研管理。①是否建立合作方信息库。若未系统统计和跟踪管理，可能会因对方变更或注销等而不能有效履约，影响稳定研究。合作方信息库可含经营范围、纳税情况、合作历史、企业声誉等重要信息，为后续合作提供参考。②项目跟踪管理是否到位，尤其是横向项目，是否建立台账和实时监控汇报机制对重要节点进行提示和管控。③研究生及博士后基地管理是否完善，是否建立培养对象台账、跟踪管理和出站机制，如成果审核、验收和交接等；业务和财务部门信息是否共享对称，如研究生补贴发放等。（2）校企合作管理。①是否建立统管机构，职能划分是否清晰，是否无人或多头管理，协调机制是否失衡。②是否建立统一制度，跨部门协作是否顺畅，项目运转是否困难。③合作利益分配机制是否存在分歧从而降低人员积极性。④是否建立违约应急机制。（3）食堂管理。①是否制定收费标准。②采购询价评议是否有教师和学生代表参与，比价是否充分，若询价过程不科学，可能得不到质优价廉的原材料供应。可采用“目标定价”，根据上一时间段价格，在现行市场价格基础上，确定最优价格和质量方案，编制月或季度成本分析报告，为后期询价提供依据。③供应商后评价小组成员覆盖面是否全面、评价指标是否可量化、评价频率是否合理等。④采购付款是否按期执行。⑤往来账款是否有账龄分析，是否按挂账时长和服务质量列示结算优先等级。否则可能存在食堂收费和采购不合理、不透明，用餐人员满意度下降，供应商服务质量较低，资金占用严重等风险。（4）教育基金会管理。教育基金会是高校的新生事物，机构性质和具体运作尚不明确。主要关注是否建立捐赠方管理制度和必要的联系机制；是否制定信息披露制度；是否制定资金投资制度，捐赠资金是否有效盘活；是否存在受赠种类单一、渠道不顺、用途狭窄等；对捐赠方权益保护是否充分；议事规则是否科学；支出审批程序是否区分公益和非公益性质等。（5）工会管理。校工会在财务上独立核算且遵循与学校不同的《工会会计制度》，有的学校并没有关注其独立性。主要关注点是：①是否建立专门预算制度。②会计核算与稽核、资产账卡物管理岗位等是否有效分离。③资产盘点清查频率是否科学。④校领导是否定期查看工会财务账表等。

（三）流程优化

案例高校的流程梳理、优化和固化过程提供了可参考的路径。首先收集了19个模块校内外制度约370个，并将校内外制度逐条对标，评估校内制度有效性，梳理待优化问题。按业务模块、流程级次和责任部门搭建各模块内控流程框架，建立了末级流程118个，流程体系更完善，为后续建设提供了总体思路。明确各流程主责部门、起始节点、流转程序、所涉文档、审核关键点、重要控制点等，形成流程图及描述等。优化了供应商准入表、合格供应商库、合同台账等表单。厘清权限并形成权限指引表、不相容岗位职务矩阵等。对三公经费、会议费等重点经费编制专门支出指南，明确标准、审批权限及报销程序等。从评价思路、标准、程序、结果运用等方面形成评价手册。

四、存在问题与建议

（一）牵头部门难确定

目前各校牵头人各异，基本都在校办、审计、财务部门中选择。由于《行政事业单位内部控制规范》由财政部门发布，所以多数把此任务归为“财务口”，但是否合适值得商榷。一是从性质和内容上，内控只是以经济为主线，但不局限于财务范畴，而是着眼全局，延伸到所有部门、岗位和业务环节。牵头部门必然需要有权限、有能力调集全校之力。财务部门不一定具有该权力和人力物力条件。二是财务部门本身也是内控核心对象之一，让其牵头必然陷于既是“运行员”又是“裁判员”的矛盾地位。因此协调能力更强的综合管理部门或更具独立地位的纪检或内审部门牵头相对更便于实际工作开展。

（二）观念意识难统一

真正了解内控的教职员工还很少，甚至有的部门领导、内控专员及部分配合过访谈的关键岗位人员对内控也仍是一知半解。比如很多人误认为风险就等于缺陷而否认风险的存在。所以需要宣传力度最大化，方式多样化，内容系统化、专业化和具体化。此外也建议相关政府部门建立基于互联网的内控知识共享平台，在平台上统筹管理行业或地区的内控建设事务，提供政策信息、工作要求、方法论、标杆案例等。在平台建立线上内控社区，共享知识、经验和资源，助于理念普及推广和学习材料共享。高校也可建立适应的校内内控平台。

（三）内生动力难激发

各部门内控建设的内生动力很不足，多数只是被动地任务式配合，加上各岗位本职工作繁杂，故访谈调研、风险调查和成果反馈等进度缓慢。各部门不了解内控现实意义，认为只是纸上谈兵。这还需通过潜移默化、典型实例等让其认识内控实效从而激发内生动力。例如用数字“说话”，将某流程在内控建设前后的运行情况作对比，比如工作出错率、舞弊发生率、效率提高度、损失增减率、公私利益影响度等。

（四）整合优化难兼顾

在兼顾现有管理体系正常运行前提下整合优化，难度较大。现有管理体系已是一环扣一环，往往牵一发而动全身。因此整合力度和范围较难精准把握，“动作”太小不起作用，“动作”太大“伤筋动骨”。必须尊重历史、注重基础，平衡传承与创新。引入风控思想，巧妙嵌入各环节并相互兼容，否则可能会破坏现有管理体系导致新的缺陷。

（五）信息系统难实现

由于内控信息化技术性强，尤其是在高校现有信息化基础上再整合优化复杂程度更大，涉及因素较多。因此一是要对学校现有信息化情况梳理和研究论证，评判是整合优化，还是从头新建。二是借助专技力量，选择成熟服务商。三是充分发挥校内信息技术力量，作为重点项目给予人、财、物等支持。

（六）内控落地难保障

内控价值有目共睹，但内控体系管理闭环（建设、运行、监督、评价、维护和更新）的持续建设和维护在实践中却有诸多困难。除了领导重视和强化培训外，只有建立专业和权威的内控绩效考核体系，内控目标、标准和奖惩措施等得以明确，内控成果得到衡量和评价，才是内控真正落地的机制保障。

五、后续思考

案例高校实践表明高校内控体系建设过程艰难、意义深远。改革初期思想、技术等都不成熟，尚需在实践摸索前行。案例高校的实践经验和成果，为高校提供了典型范例，增长了建设信心。但同时也须避免几点误区：一是学校须明确自身内控需求，不能为了控制而控制，不能为了完成任务而被动建设。二是控制须科学有度，避免过度控制，否则会适得其反。例如所有支出都需十几个岗位签批，审批权限不区分重要性和额度级次，流程庸长，效率低下。三是须注意适应性，避免盲目照搬国家条文和复制他校经验。各校环境基础不一，业务模块、风险、缺陷及流程等各异，建设模式并非千篇一律，须进行控制环境分析，选择适宜本校的建设阶段、模式、路径和进度等。如果走进这些误区，形成一摞内控制度文本则只是一堆空文，不能适应学校实际需求，仅用于应付上级工作检查而已，无法实施落地和起到真正改善学校管理水平的目的。