基于实践的公立医院内部控制管理工作探讨

吴怡文 上海市精神卫生中心

引言

在我国，公立医院在承担着包括提供基本医疗服务、疾病控制及预防、突发事件救治、医疗服务人才规范化培训和专业化医疗团队建设及医学领域科研发展等多项职能，是公共卫生服务的中坚力量。公立医院的长期可持续发展无疑是我国公共卫生事业发展的重要保障。近年，随着外部经济、政策环境变化，药品及卫生耗材加成取消都给公立医院的运营状况带来了严峻的考验。医院如何提高经济管理能力，进行制度创新、业务创新同时完善内部控制建设，降低运行风险是值得研究探讨的问题。

一、公立医院内部控制管理背景

国内外关于企业内部控制的管理研究已经比较成熟，但对于公立医院，开展规范化内部控制管理的历史并不长。2012年11月，财政部出台了《行政事业单位内部控制规范（试行）》，并要求事业单位自2014年1月1日起实施。2015年末，财政部印发了《关于全面推进行政事业单位内部控制建设的指导意见》，明确了事业单位内部控制建设的总体目标及任务。2020年末，国家卫生健康委发布《公立医院内部控制管理办法》（国卫财务发〔2020〕31号文）针对我国公立医院内部控制管理提出了更为详细的指导意见。随着内部控制管理文件先后出台，公立医院的内部控制管理工作也逐步开展，但从内部控制体系的建设到内部控制机制的运行情况来看，仍存在很多问题，内部控制工作没有获得预期实效。

二、公立医院内部控制工作主要问题

（一）内部控制管理体系建设缺乏顶层设计

在公立医院，内部控制设计及实施仍是比较新的管理工作，为了落实文件而“半路”开展的内部控制管理，无论是横向的组织结构设计还是纵向的业务流程设计，都没有在规划之初就将权力制衡、岗位牵制、风险防控及信息沟通等要求严格嵌入在组织设计及各业务职能体系中。而建立合理有效内部控制管理体系建设是内部控制运行的基础。

（二）内部控制意识不强

内部控制的全面性原则要求内部控制工作必须是一项“横到边，纵到底”的全面覆盖的工作，因此要求医院内部各个岗位在业务操作及管理过程中具有敏感、明确的内部控制和风险意识。而由于公立医院的内部控制工作开展起步晚，许多员工对内部控制并没有概念，同时医院各层级的管理人员也未能意识到内部控制管理工作的重要性和必要性。因此内部控制意识的缺乏在当下医院管理的要求和环境下，是一个阶段性问题，建立和灌输内部控制意识将是一个持续输入到输出的过程，但内部控制环境是单位层面内部控制建设的重要基础，因此应尽快提升全员内部控制意识，提升医院内部控制环境建设。

（三）公立医院缺乏内部控制管理的专业指导

虽然主管部门及医管部门都相继出台了相关制度及指导文件，但主要是针对工作方针，责任落实，管理要求，业务范围等粗线条的指导，这些可以作为医院制定内部控制管理工作方案的参考，但是在全院范围内从上至下地落实开展具体工作是复杂的过程。此时，聘请第三方事务所辅助医院开展内部控制建设就显得十分必要，但是公立医院和普通企业的组织结构、风险管理、业务流程、运营目标都有很大区别，如何甄选有经验和资质的机构，开好内部控制管理的头就成了新的问题。

（四）缺乏具备专业能力的专职人员

内部控制工作是全院性的工作，目前大多数公立医院是由财务部门负责牵头内部控制工作的开展，并指定1～2名财务人员兼任内部控制专业的岗位。但从内部控制组织建设到内部控制有效运行，是一项复杂的系统工程，要做好做实该项工作需要全面系统掌握内部控制知识及相关政策法规；熟悉本单位业务流程及要求；了解本单位各类制度规定；熟悉了解本单位各个岗位职责及权限；熟悉掌握各个业务范围的风险点并能掌握主要的风险应对方法；具有主观能动性；能主动开展工作并不断推进内部控制管理满足适应性要求。内部控制牵头部门的具体办事人员若前期缺乏充分调研，也未经过系统培训则很难发挥工作实效。

（五）内部控制信息化程度不够

业务层面内部控制工作开展的基础是将各项管理要求制度化并落实执行。通过标准的流程化操作来控制各业务行为在制度的约束下实施，但人工的审核监管很难保障行为的可控性和合规性。通过信息工具，将各业务块状的制度落实拆解成步骤化的控制，并通过职责分离、授权审批、流程控制等方法实现内部控制效果。因此，信息化管理是内部控制管理的必要工具，也是信息时代公立医院管理的必然趋势。但实际工作中，医院内部控制信息化建设难以实现理想的效果。一方面，缺少整合的信息化平台来关联各个业务模块中的各项流程，形成一体化的内部控制管理系统。另一方面，由于各业务工作的信息化系统相互独立、口径不一，信息共享困难。

（六）不重视内部控制监督工作

内部控制监督涉及各个业务范围的制度、岗位、环节、流程等，虽然工作量庞杂但其最终目标还是检查医院各项行为是否均在法律及制度范围内开展，对潜在风险及时发现及时更正，将医院存在的总体风险控制在可承受范围内，是内部控制管理的重要保证。但实际工作中，制度建设与业务执行仍是内部控制管理工作的主要内容，内部控制监督及相应的整改并未受到重视。

（七）缺乏必要的整改跟踪及绩效考核

在企业管理中，绩效考核是一个非常重要的环节，具有明确的导向性及激励约束作用。但是在公立医院管理中，考核更多是以一种形式主义色彩的存在，很多医院也以内部控制总结来替代内部控制考核，极大影响了内部控制问题整改的效果，从而造成许多部门在内部控制工作中不作为、无所谓，许多内部控制问题成了每年内部控制工作总结中的“老面孔”。

三、改进建议

（一）建立权责明晰的组织结构

内部控制体系建设是应当由全员参与的持续性工作。建立由业务执行层，管理层和独立监督三道防线组成的上下联动，权责分明的组织架构如图1所示。

图1 内部控制管理组织架构框架

成立内部控制管理委员会作为内部控制管理相关工作的最高权力机构即管理层，由医院主要负责人担任委员会领导小组组长。内部控制管理委员会负责全面指导和监督医院内部控制体系建设、持续运行、自我评价和持续完善等工作；审议内部控制规章制度、建设方案、工作计划及报告等；负责组织内部控制文化培育。

在执行层方面，应由医院明确内部控制建设职能部门或确定某职能科室作为内部控制日常工作的牵头部门，其职责包括安排、组织医院内部控制建设；实施医院内部控制现状调研，研究医院内部控制制度建设体系；制定内部控制管理草案提交管理层审批；牵头编写医院内部控制手册；牵头各部门确定每年内部控制工作计划并跟踪汇总工作计划执行进度；协同信息部门开展内部控制信息化建设；组织编写内部控制报告等。在每个业务部门都需安排明确的人员作为内部控制工作专员，配合内部控制建设时期各业务部门制度、流程、岗位调研工作及以后的内部控制协调，配合牵头部门开展内控管理以及配合内部控制监督开展审计等工作。

内部控制监督小组职责分为两个层次。由单位内审或其他职能科室负责医院风险评估和内部控制评价工作，在自我评价基础上开展独立监督检查作业，制定内部控制评价方案提交审议，并监督方案的落实，定期出具内部控制评价报告。由医院纪检监察机构负责开展对内部控制管理层的监督工作，包括对权力运行情况实施监督，通过分级授权降低廉政风险，开展专项自查，建立健全医院权力防控机制和相关制度。

（二）开展多层次的内部控制培训，持续优化医院内部控制环境

内部控制工作是全院性的工作，因此人员培训工作应覆盖面广，除了全院性的一般培训之外，还应对执行层的内部控制兼职专员、内部控制管理委员会的管理层人员以及负责内部控制监督的独立部门提供有针对性多层次的专项培训。全院范围的培训及宣传旨在传递基本内部控制知识，提高员工风险防范意识，强化职业道德规范，营造良性的医院内部控制环境。而针对内部控制组织架构内的人员的专题培训旨在增强内部控制管理技能，提升风险及内部控制管理实操能力。

财务部门若作为医院内部控制工作的牵头部门，则在内控管理过程中不能将眼光仅仅局限于财务活动，而应贯穿于医院经营管理的全过程，在制定发展战略、分析评估风险和决策等环节扮演好关键的助手和参谋角色。管理层也应当赋予财会部门负责人参与相应决策的权力。

（三）聘请社会咨询服务机构参与医院内部控制建设及评价工作

业务层面的内部控制建设包括组织结构设计、制度建设、梳理更新业务流程、建立权力清单、风险识别、制定风险应对方案以及制定内部控制评价监督方案等各项“初始化”工作，涉及的业务领域应至少包括制度规定的预算管理、合同业务等六大业务模块以外，还应根据医院业务情况将科教业务、医联体管理、医保等也纳入内部控制业务层面建设范围，涉及的部门更是应该涵盖全院。内部控制建设的基础工作庞杂，在医院内部控制建设起步时期，由于内部缺乏具备相关经验及专业能力的人员。因此可以聘请第三方事务所的专业的人员协助，共同制定内部控制建设方案，去各业务部门开展调研，整理制度文件、业务流程、厘清岗位职责；考察单位各业务条线不相容岗位分离情况，对各业务环节中的风险点、风险水平及控制情况等做全方位识别和评估，查找单位风险敞口，制定风险应对方案，并汇总各方材料完成内部控制手册编写。

（四）完善内部控制管理信息化建设

信息的价值在于传递和使用，采用信息化手段完善内部控制管理至少要满足两个要点。第一，建立整体化的内部控制管理平台，使医院各项工作的各个流程操作均能依托该信息平台完成申请、审核、反馈、受理。第二，将各项业务风险管理和内部控制管理的要求嵌入信息平台中的各业务模块，通过计算机过程控制实现“制度流程化，流程岗位化，岗位职责化，职责表单化，表单信息化”，从而保证内部控制执行的刚性。

医院内部控制系统应当以各类经济活动及相关业务活动开展为主线，借助信息化工具，在内部控制信息系统内设置内部控制业务模块，并将各业务模块中关键控制点嵌入系统，通过分级授权、岗位分离、定额管理和标准流程等控制手段降低内部控制制度及流程在运行过程中产生的风险。建立并逐步完善权责对应、制衡有效、运行顺畅、执行有利的内部控制体系。

（五）加强内部控制日常及专项监督

内部控制监督有助于发现单位内部控制运行现状与内部控制建设目标之间的偏差，医院监督层应对内部控制设计及运行情况定期开展常规内部控制监督工作，具体包括：开展日常内部审计工作，检查医院内部控制实施情况及有效性；定期盘点及不定期抽查医院资产实际情况与账面记录，关注实物资产管理规范性及资产安全性；通过信息沟通，了解内部控制有效性并获得佐证；综合运用对比财务、资产、科研、运营等分析数据，发现存在的问题并及时查明原因，并实施改进。以上日常监督应重点关注不相容岗位的分离，业务流程的重大变化，医院内开展的新项目、设立的新岗位；关键岗位的人才流失；可能违反相关法律法规的情况以及其他风险评估识别的重大风险。同时医院应根据业务内容，开展内部控制专项监督，例如新冠肺炎疫情期间的“公益捐赠专项监督”“某大修项目专项”等。专项监督应当与日常监督有机结合，日常监督是专项监督的基础，专项监督是日常监督的补充。日常及专项监督均应形成书面报告，并在报告中体现医院内部控制的缺陷。

（六）建立内部控制绩效考核机制

对于内部控制监督发现的各类内部控制缺陷要落实整改并持续跟踪。对于流程制度落后的应及时更新制度文件、业务流程，并在信息化系统中同步更新电子流程及执行标准等。对于执行层面的违规操作应采取员工培训、岗位设置等措施及时整改，对于责任重大的问题应纳入绩效考核，对反复出现的老问题以及迟迟不整改的问题也应纳入绩效考核。总之，对内部控制工作实施完整的“制定、落实、监督、评价、整改、跟踪、考核”闭环管理，才能保证内部控制工作的效率并实现持续改进。

结语

尽快建立完善内部控制体系并贯彻执行，有助于公立医院保证经济活动合法合规、资产安全和使用有效、财务信息真实完整，有效防范舞弊和预防腐败、提高资源配置和使用效益，从而提高公立医院提升自身应对风险能力，落实各项发展战略，实现可持续发展。