基于COSO理论的高校内部控制体系建设研究

余亭亭

（成都体育学院）

高校在国家实施“科教兴国”战略中起到了重要作用，承担着为社会主义现代化建设、为实现伟大中国梦培养人才的重大责任。近年来，随着经济社会的不断发展，我国的高校实现了突飞猛进的发展，国家对高校投入的资金逐年增长。高校的资金来源除财政拨款外，有多种获取资金的渠道，高校的经济活动越来越复杂和频繁，逐渐呈现出多样性和复杂性。在高校资产规模不断扩张的同时，高校的财务管理风险也在成倍增加，由于高校内部控制不到位，严重影响了高校资金的使用效率，同时也使得侵吞国家资产、损害人民利益的经济案件频发。

一、内部控制概述

内部控制是企事业单位通过对采取的各种手段、方法和措施进行优化，以提高经营效率，实现经营目标，并对内部各种工作进行控制的总称。内部控制在本质上属于积极的防御性措施，有效的内部控制有助于加强内部管理，提高资金的使用效益、提高工作效率和工作质量，能起到控制运行成本和降低运行风险的重要作用。

（1）COSO理论。内部控制的研究起步于美国，1992年美国COSO委员会对外发布的《内部控制—综合框架》报告中提出了内部控制的五个要素，分别是控制环境、风险评估、控制活动、信息与沟通，以及监督。控制环境是其他四个要素的基础，是内部控制体系的存在基础。风险评估就是通过对影响企事业单位实现既定目标的因素进行评估，了解所面临的风险，适时加以处理，以此来降低或避免这种影响。控制活动是一个控制政策或执行程序，是管理层指令得以实施的重要保障。信息与沟通是围绕在控制活动周围的信息与沟通系统，即员工能够取得并交换工作中所需的信息。COSO理论的信息与沟通是自下而上的，即基层员工通过明确管理层的信息，在各自岗位上配合内部控制发挥作用。内部控制的过程必须实施必要的监督，通过监督能够适时对内部控制加以修正。由这五个要素构成的COSO内部控制系统获得了广泛应用。

（2）我国高校内部控制的发展。我国对内部控制体系的建设研究相较国外起步较晚，特别是行政事业单位的内部控制滞后于企业的内部控制。随着高校资产规模的不断增大，面临的财务管理风险也在不断增长，在此紧要关头，国家相继出台了一系列行政事业单位内部控制的制度规范，为高校内控的建设完善指明了方向。如，财政部2015年发布《财政部关于全面推进行政事业单位内部控制建设的指导意见》（财会[2015]24号），2017年发布《行政事业单位内部控制报告管理制度（试行）》（财会[2017]1号）等。经过几年的建设，高校的内部控制建设取得了一定的成效，但依然存在诸多不足之处。

二、基于COSO理论分析高校内部控制建设面临的困境

（一）缺乏内部控制意识，内部控制环境薄弱

高校作为事业单位，内部控制建设处于初步阶段，尚未意识到内部控制建设的必要性和紧迫性，领导对内部控制的重视程度不高，一些职能部门和教职工对内部控制的认识不足，对内部控制的认识局限于财务内部控制，普遍认为内部控制就是财务、审计等少数部门的事情；部分高校没有根据学校的实际情况制订和完善内部控制制度，未能充分调动各职能部门和教职工内部控制建设的积极性，全员参与度不高。高校内部控制的组织架构不够科学，内部控制的组织架构的建设缺乏内部控制自我评价组织，部分高校内部控制的自我评价由财务部门牵头，内部控制自评得分通常采用百分制，由财务预算管理人员进行打分，部分财务人员与职能部门的业务人员未进行充分沟通，不了解各职能部门内部控制的具体实施情况，内部控制的自我评价具有较强的主观性。在会计核算内部控制建设中，选择恰当的人员担任某岗位工作是强化内部控制的重要措施，特别是风险较大的岗位，目前，高校在大额资金支付、票据报销、不相容岗位设置等业务有较为完善的内部制度，对于非核算业务的内部控制环境建设有待加强。多数高校没有设置专门的内部控制部门，通常确定一个牵头部门，多数是财务部门，实际上，高校的内部控制建设涉及人事、财务、审计、设备、基建等多个部门，学校各职能部门都有相应的管理制度及控制办法，但在学校层面上缺乏有效的衔接和牵制机制，仅由一个部门牵头的做法，如没有学校领导的鼎力支持，很难得到其他职能部门的密切配合，内部控制建设推进困难重重，最终难以从学校的高度推动学校内部控制制度的建设和完善。

（二）高校风险评估意识淡薄，风险评估不健全

风险评估的过程是内部控制的重要组成部分，包含风险识别、风险分析以及风险应对三个环节。风险识别是确认风险的环节，只有正确地识别风险，才能对风险进行合理的分析，最终找到应对风险、规避风险的方法。要控制风险，一是要建立风险预警机制，二是要识别关键岗位的风险点，进行风险评估，选择应对风险的办法措施。当前，大多数高校都尚未建立风险预警和评估机制，有的高校仅注重事后控制，对于事前控制和事中控制不到位，有的高校甚至没有对关键岗位进行划分，未按规定执行定期轮岗制度，难以识别关键风险点。风险控制机制应以目标为导向，当前，我国高校内部控制的目标主要有安全性目标、真实性目标及符合性目标，依据成本效益原则设立风险识别、风险分析及风险应对机制，了解所面临的风险，适时加以处理。在我国，公办高校占据主流，公办高校的财务活动通常以国家信用为担保，普遍存在着风险评估体系缺失的问题。近年来，随着高校办学规模的不断扩大，对各种配套设施的建设需求也越来越多，仅依靠国家财政拨款已无法满足高校办学需要的资金，使得高校不得不考虑多渠道融资，这也使高校面临的财务管理风险日益突出。当前，高校的筹资渠道主要是银行贷款，因其风险管理机制缺失，风险意识淡薄，未进行充分的风险评估，导致部分高校过度举债，使高校的可持续发展面临巨大的风险。

（三）高校控制流程不规范，控制活动不合理

在内部控制中，控制活动处于核心地位。高校内部控制主要包括预算业务管理、收支业务管理、政府采购业务管理、科研项目管理、资产管理、合同管理，以及建设项目管理。在实际控制活动中，主要存在以下问题：一是预算编制缺乏具体依据，各职能部门在编制本部门预算时，没有充分考虑本部门年度具体业务情况，导致编制预算时出现漏报缺报，预算编制未能详细罗列出各项收入和支出的测算依据和标准。此外，高校在预算实际执行过程中，存在监督不足的现象，没有将执行进度考核应用到控制活动中，存在不严格按照预算执行，随意调整预算的情形，预算考核评价体系不健全，考核评价不够细化，科学性有待提高；二是科研项目经费支出不规范，财务人员由于专业的局限性，对科研项目经费支出主要是从财务的角度，重点关注票据是否真实可靠，是否符合会计准则和制度要求，缺乏对科研项目资金使用的合理性评估；三是政府采购业务的预算编制不到位，对需求产品设备的规格型号调研不足，未考虑到政府采购周期较长的特点，不能保证产品设备在需要时能够及时投入使用，效率低下。有的政府采购业务缺乏科学论证，采购的产品设备不能满足业务需求，造成资金浪费；四是大部分高校都未设置专门的合同管理部门，出现合同签订迟缓，项目推进缓慢，缺乏专业的法务人员审核把关，导致签订的合同的合法性有待商榷、合同条款不规范及格式不严谨，对于按照完工进度需多次结算的工程合同，由于财务人员和相关部门业务人员沟通不及时和审核不仔细，部分高校出现了重复付款的现象。

（四）高校信息平台不完善，缺乏有效的沟通

完善的信息系统是高校内部控制有效的重要保证，只有建立完善的信息系统，才能提升内部控制水平。目前，多数高校已经开始或加强信息化建设，但依然存在着以下问题：一是信息化系统不完善，高校内部各职能部门之间信息化不健全、自成体系，相互间缺乏信息沟通，未形成统一的内部控制信息平台，无法实现资源、数据的及时共享，为高校业务的开展造成了许多阻碍。同时，部分高校缺乏信息监督，涉密信息缺乏健全的信息安全管理制度；二是横向沟通和纵向沟通均不流畅，在横向沟通方面存在相熟教职工之间交流居多，除此之外，很少有沟通机会；在纵向沟通方面，由于信息系统的授权管理不恰当，存在下层缺乏向上层反馈的渠道、下层和上层之间信息传输失败，以及上层和下层之间掌握的信息量不对等，导致工作难以推进等问题。

（五）高校监督机制不健全

监督在内部控制体系中具有重要作用，监督主要分为内部监督和外部监督。通过监督可以评估高校内部控制制度的落实和执行质量，适时对内部控制体系中的薄弱环节加以修正。目前，大部分高校通过执行一般审计或专项审计程序来对内部控制制度的落实和执行质量进行评估，尚未建立完善的内部控制制度，内部控制存在缺陷。主要表现在部分高校不重视审计监督评价，审计监督评价仅是应对上级部门检查做的表面工作，审计监督评价流于形式；部分高校的内部审计部门难以保持独立性，未配备专门的内部审计人员，内部审计人员受能力限制，对于专业性较强的项目很难起到监督作用，内部审计缺乏权威性；部分高校的审计监督评价主要是针对财务会计凭证、会计账簿等的评估检查，缺乏对内部控制的预算业务管理、政府采购业务管理、科研项目管理、资产管理、合同管理等方面的监督评价，内部审计监督覆盖不全面，存在内部监督漏洞和盲区。

三、建设高校内部控制体系的路径思考

（一）优化控制环境，提高内部控制意识

控制环境是高校建设内部控制体系的基础。高校应高度重视内部控制的建设和完善，将内部控制建设制度化和规范化，领导意志很大程度上决定着高校未来的发展方向，提高领导对内部控制的理解非常重要，高校应加大对教职工的培训力度，特别是新教职工的入职培训，使其充分认识到内部控制对单位的重要性，充分调动教职工参与内部控制建设和完善的积极性，提高全员的参与度。高校需加强人力资源管理，高素质人才是推动高校发展的核心因素，引进高素质人才的同时，应综合考虑教职工的专业、能力等因素，让其在适合的岗位上发挥自己的优势。道德建设是一种强大的精神力量，高校应强化对教职工的职业道德教育，提升教职工内部控制方面的素质，形成以自我控制为主的内部控制制约机制。从内部控制的角度看，高校应重视岗位人员的选择和岗位之间的牵制，特别是不相容岗位，确保各岗位人员配备的专业化。

（二）识别风险，健全风险评估机制

风险评估是一种目标导向型的风险应对机制。高校应配备专门的风险评估人员，做好风险识别和风险评估工作，配备专门的风险评估人员定期对评估人员进行培训，提升其风险意识，增强其风险识别能力、分析能力和应对能力。高校应制订科学的风险管理目标，综合考虑各方面因素来确定风险管理目标，并制订相应的风险应对策略，不同发展阶段应制订与之相匹配的风险管理目标。高校应建立风险监控、评价以及预警体系，对财务工作中的潜在风险加以预警，提前制订应对措施，定期对关键岗位风险点展开排查，及时评估经济活动风险，形成书面报告。高校应以风险控制目标的设定、风险识别、风险应对以及报告四个步骤为基础，制订与学校实际情况相适应的风险评估长效机制，实施轮岗制度和自我评价制度，加强对重点岗位人员的培训。

（三）优化控制流程，强化控制活动

高校应优化预算控制体系，强化学校教职工的预算观念，提升其专业能力，各职能部门应以本部门年度具体业务情况为依据，合理编制预算，以提高预算编制工作的准确性，从学校层面将预算执行进度考核应用到控制活动中，严格执行预算，不得随意调整预算。高校应优化科研经费控制，强化对科研经费的预算控制，科研项目负责人应当按照编制的预算来支配科研经费，财务应当对科研经费的报销范围和标准加以明确，提升审批能力，对与科研项目无关的支出不予报销。高校应优化政府采购控制体系，政府采购项目应当通过专家论证小组进行论证，选择最适合、性价比最高的供应商，严格执行验收制度，对政府采购的产品设备进行检验，只有合格的才能办理验收手续，投入使用。高校应优化合同管理控制，设置专门的合同管理部门，配备专业的法务人员，对于按照完工进度多次结算的工程合同，加强财务人员和相关部门业务人员的沟通，避免重复付款。

（四）完善信息化系统，加强信息与沟通

高校应加强信息系统建设，结合自身实际，广泛开展调研和听取专家意见，选择适合学校发展的信息系统。信息化系统应全面覆盖各业务模块，使各部门之间的信息传递更加通畅，实现资源、数据的及时共享。高校应强化信息安全管理，定期对教职工开展信息安全培训，提升其职业道德素质和专业技能。信息安全管理离不开对每位教职工的操作权限的管控，杜绝出现越级操控的事件。高校应强化信息沟通，信息系统需准确地在学校各职能部门、各负责人之间进行传递，对于重大政策变化以及重要事项变更应及时进行披露，保证每位员工都能够知晓，充足的信息量才能更好地推进工作，更好地执行内部控制措施。

（五）完善监督机制

内部控制的过程必须实施必要的监督，只有必要的监督才能确保内部控制的有效运行。高校应改进内部监督管理，设立独立的审计部门，并配备专业的内部审计人员，具有审计相关的专业技能和职业道德操守，确保内部审计监督全面覆盖，强化内部审计力度和配备专业的内部审计人员来收集审计证据，保持内部审计的独立性，充分发挥内部审计的监督作用。高校应优化内部的自我评价工作，重视自我评价，通过自查，及时发现内部控制的薄弱环节，并有针对性地加以修正，提高高校的内部控制效力。