事业单位内部控制风险评估和控制问题及优化策略

陈爱坤 福州市公路事业发展中心

引言

事业单位加强内控风险评估及控制，可有效提升单位管理水平，增强抗风险能力，推进事业单位稳定、健康的发展。对此，需要事业单位相关管理人员对内控风险评估工作有正确认识，明确评估内容，掌握评估方法，认真梳理内控风险评估及控制中所存在的问题，并探索具体的解决及优化对策，有效提升内控风险防控能力。

一、事业单位内部控制风险评估内容

行政事业单位在进行内控风险评估中，主要涉及单位层面、业务层面和评价监督层面这三方面的风险。首先，单位层面的风险涵盖了组织架构风险（比如未科学地设置管理机构、未合理划分部门职责、未完善地制定内控管理机制等）、岗位职责风险（比如未清晰地划分岗位职责或者关键岗位人员缺乏良好的业务能力等）、经济活动决策风险（比如所制定的决策程序缺乏合理性或者所设置的决策机制不够科学）、三重一大风险（包括重要干部任免、重大决策制定、重要投资还有大额费用动用等方面涉及的风险）；其次，业务层面的风险，涵盖了资金管理风险、收支管理风险、预决算管理风险、采购管理风险、合同管理风险、招投标管理风险、财政专项资金管理风险、资产管理风险和其他风险；最后，评价监督层面所面临的风险，主要有内控评价风险以及监督风险[1]。

二、事业单位内部控制风险评估和控制中存在的问题

（一）缺乏合理的风险评估机制

根据有关规定，事业单位要围绕经济活动制定并落实定期评价机制，至少要每年进行一次经济活动评估工作。而实际上，很多事业单位在内控管理期间并未制定与落实定期风险评估机制，而且鲜少有单位会结合经济环境的改变适当调整风险评估频次。因为事业单位具有公益属性，财政拨款属于主要的收入来源，所以这类单位通常缺乏创收压力刺激，也不会像经营性企业一般比较看重风险评估及管控，大多单位所开展的风险评估工作主要是为满足相关规定或应付上级检查。虽然根据相关文件要求，有关机构会对事业单位其内控工作开展基础性评价，但是评分表当中没有涉及定期风险评估机制建立情况等的考核内容，在缺乏制度约束和考评激励情况下，很多事业单位都未能建立起健全的风险评估机制，而且单位也不积极完善及优化内控风险评估机制。虽然也有部分事业单位已构建定期风险评估机制，但实际运行管理中相关机制执行力度偏低，很多单位的风险评估工作都浮于表面，很少结合单位实际情况及未来发展需求灵活运用评估机制，而且一旦发生重大风险，无法及时、科学地进行风险评估，落实相关机制，导致风险识别、管控及分析等工作都有一定欠缺。

（二）风险评估及控制意识有待增强

近年来，虽然国家越来越重视加强事业单位的内控建设，并且很多单位已开始落实风险评估工作，但实际评估效果及效率却不尽如人意，主要原因就是单位缺乏强烈的内控风险评估及控制意识。具体有两方面表现，其一，单位因为对内控风险评估及管控缺乏正确认识，所以未专门针对这项工作设置负责部门及专业的管理人员，大多直接由财务部门开展内控风险评估工作，而财务人员本就具有较大的工作压力，而且其更加熟悉本职工作相关的经济活动，这就使得在内控风险评估期间很难对具有全局性特征的经济活动风险以及和外部环境相关的风险作出客观、系统且全面的评价，也无法对单位所面临的风险作出合理预测，难以预估相关风险可造成的影响。其二，一些单位员工缺乏强烈的风险意识，难以在实际业务开展中及时发现其中存在的风险因素，特别是部分关键岗位员工因缺乏风险意识，导致不能及时消除风险源，并会对风险评估效果产生负面影响。还有部分员工虽然在业务工作中发现有风险存在，但因为缺乏良好的专业素养，很难有效分析相关风险，无法为风险评估提供可靠信息，影响风险评估效果及效率，并导致错失最佳的风险控制时机。

（三）风险控制措施落实不到位

事业单位在内控风险评估及控制期间要以准确的预测风险为基础，采取有效且精准的风险控制措施，及时化解风险。而实际上，目前很多事业单位在内控风险评估中没有及时结合评估结果制定并落实有效的风险控制措施，导致风险评估与控制相脱节，而所实施的很多风控措施都存在形式化问题，而且很多风控措施因缺乏匹配性以及实用性，导致风控措施落实效果不佳，或者措施实施中受阻等，从而不能及时纠正与原目标相偏离的经济活动。另外，部分事业单位在选择内控风险控制措施期间不能科学明确风险优先管控顺序，所以无法保证所选择的风险控制对策是最佳的，容易造成风险管控混乱，降低控制效果。部分单位可能对风险承受度所做出的预估偏低，导致内控风险管控过度，并可能由此使事业单位错失发展良机；或者部分单位对自身内控风险承受度所做出的预估偏高，而在制定与落实风险解决措施过程中又欠缺针对性，进而不能有效、及时地控制风险。

（四）缺乏有力的内部监督

按照有关规定，事业单位需要建立健全的内部监督机制，虽然近年来事业单位越来越重视内部控制，并不断提升着内控水平，大部分单位都已制定内部监督制度，但仍有很多单位所制定的相关制度不够完善，也未针对内控风险评估及控制建立起系统化、科学化的内部监督机制，在缺乏有效的机制约束和激励情况下，容易影响内控风险评估及控制效果。此外，虽然部分事业单位会针对内控风险评估及控制进行内部监督，但所开展的监督工作普遍存在形式化问题，监督力度薄弱，范围有限，很多单位的监督检查是以留痕、走过场、出报告等为目的，未进行深入、针对性且有规划的调查研究与分析[2]。很多事业单位还缺乏稳定的内部监督队伍，监督人员严重不足，单位对内控风险监督所投入的精力及资金也较少。

（五）缺乏信息化技术支撑

近年来，事业单位越来越重视信息化建设，但很多单位都更加关注围绕财务管理、资产管理、重要业务等建立信息化管理系统，而对合同、采购、预算等内控业务流程还未建立起相对完善且功能强大的信息化系统。事业单位推进内控信息化建设进程，可利用信息化手段将内控流程理念及方法等嵌入信息系统当中，利用技术优势提升内控效果，减少人为干预。而事业单位在未针对内部控制业务流程建立可靠、完善的信息化系统情况下，就会使内控风险评估及控制缺乏有力的信息化技术支持，并且在相关工作开展中会较大程度受到人为因素影响，不利于常态化、系统化的建立与落实内控体系，并会使部门之间和相关工作人员之间的交流沟通效率下降，影响内控风险评估及管控。

三、事业单位内部控制风险评估和控制优化对策

（一）完善风险评估机制

事业单位要更有力地加强内控风险评估及控制，首先要不断完善及优化内控风险评估机制，并要专门建立内控风险评估机构，由单位主要领导负责统筹规划定期风险评估工作，由风险评估机构执行。事业单位所建立的内控风险评估机制要具备可操作性，且应具体细化，主要需包含内控风险评估频次、评估机构成员、内部监督评估范围等内容，而且要由单位的财务部、审计部、采购部、基建部、人事部、资产部等关键岗位人员作为风险评估机构成员，在有条件的情况下，还可聘请专家共同参与内控风险评估工作，并要合理安排内控风险评估频次，至少但不限于一年一次[3]。在事业单位制度政策或组织架构出现重大变化或外部环境发生巨大改变等情况下，需及时展开风险评估工作，并要结合重大风险变更频次确定风险评估频次。另外，在风险评估中，具体范围要涉及单位层风险、业务层风险、各项经济活动风险还有各类外部风险。

（二）增强风险评估意识

近年来，虽然事业单位大部分员工的风险意识都在不断增强，但目前上难以达到全员防风险、全员懂内控的效果，所以内控环境还有待优化。为有效提升内控风险评估效果及效率，在单位范围内营造良好的风险评估氛围，需要事业单位对风险评估有正确认识，不断增强风险评估意识，立足战略层面看待这项工作。事业单位在制定管理制度过程中，要同步制定与完善内部控制管理制度，并要编制内控手册，安排全体员工深入学习，组织专业人士进行宣讲，多措并举地提升单位全员风险评估意识、能力及水平。事业单位各业务部要在明确其工作职责过程中融入风险评估内容，在部门负责人带领下关注在岗位工作开展中贯穿风险识别、分析及控制等工作，并要合理确定各方权责，确保内控风险能够有人负责、有人评估。此外，事业单位要积极培养内控风险评估人才，尤其要对关键岗位人员加强职业技能培训，使其不断提升职业素养，并要按照适应性、制衡性、重要性等原则，更高效、高质量地进行内控风险评估工作。

（三）贯彻落实多项风险控制措施

事业单位在得出内控风险评估结果后，要建立单位层面的风险清单，并在业务层面建立风险事件库，经技术咨询、专家认证以及集体研究，在办公会审批并通过之后分发给各个部门，有关部门需要限期制定并落实具体的风险控制措施，尽量用最短的时间最大程度地控制风险。事业单位还要科学应用风险评估结果，选择恰当的风险控制方法，尽量提升控制效果。此外，单位要合理明确风险偏好还有具体的风险承受度，综合考虑多项因素设置风险上下限，针对性地采取应对策略，促进效益与风险平衡。单位还要结合实际业务流程，科学设置风险控制矩阵，明确风险控制先后顺序，结合业务活动相关主要风险确定关键控制点，采取有效的控制措施，并要把相关措施落实到具体的责任岗位当中。此外，要落实激励制度以及追责机制，在奖罚分明情况下促进风险控制措施顺利落地。

（四）加大内控风险监督力度

事业单位要注意持续加强内控风险监督工作，不断完善内控风险监督机制，并要督促有关工作人员认真履责，更规范、科学地进行内控风险评估及控制工作，在此基础上加强源头预防。单位在加强内控风险监督过程中，首先，要配备高水平、高素质的监督人员，保证其善于发现问题并敢于问责。其次，要建立内控风险监督长效机制，将纪监审部门视作主要负责部门，在不断完善监督体系、合理创新监督方法、促进上下级监督融合并联合运用监督及考核等方法基础上，合理拓宽监督范围，充分提升监督实效[4]。

（五）加强内控管理信息化建设

其一，事业单位要结合业务经营特征以及管理模式特点，打造网络化、一体化的信息管理系统，着重整合信息管理和内部控制工作，利用信息系统对单位运营全过程实现全面的内部控制，一体化地进行业务处理与信息管理以及内部控制，构建起一个科学有效、顺畅运行的内控体系。

其二，要加大信息系统管控力度，在建立业务中台以及数据中台基础上，将各业务信息系统打通，建立内部信息传递闭环，防止出现信息孤岛问题。一方面，事业单位要在统一数据标准基础上，积极建设及推广数据中台，对各类数据实现集中化管理，保证各业务数据能够统一输出，为内部控制工作提供更有利的数据基础。同时，要合理设置数据中台访问权限，使内控人员根据权限设置规范、灵活的查询及应用相关数据。另一方面，要在信息化系统当中增加内控报告、缺陷整合管理、自我评价管理、风险管理、流程管理、控制点管理等模块与功能，同时要集成化的整合内控管理系统和业务系统以及办公系统、ERP 系统等管理系统，促进各类系统信息共享。

结语

《行政事业单位内部控制规范（试行）》指出要对事业单位所有业务活动展开风险评估，以此识别单位管理风险，分析实际内控工作和内控目标之间的差距，针对性地制定风险控制对策，提升内控水平。而实际上，目前很多事业单位在内控风险评估以及控制工作开展中还存在诸多问题，尚难以满足相关文件要求。对此，需要相关单位认真分析内控风险评估及控制问题，针对性地探索解决对策，有效加大内控风险管控力度。