内部控制视角下公立医院应用第三方支付风险防控研究*

郭 洋 谢渝民

中山大学附属第一医院财务与资产管理处 广东·广州

一、研究背景

近年来，以微信、支付宝为代表的第三方支付发展迅速。第三方支付相当于一种中介服务，为商家和消费者提供第三方担保服务，其最大特点商家和消费者可以通过移动终端随时随地开展支付业务。第三方支付已广泛应用于人们日常生活消费的各个场景，也逐渐成为公立医院的重要支付方式，国家相关部门还相继出台了一系列推动现代化支付方式在公立医院应用的政策，各个公立医院也积极顺应新技术的发展，不断推动支付方式改革。

2018年4月，国务院办公厅印发《关于促进“互联网+医疗健康”发展的意见》（国办发〔2018〕26号），要求医疗机构健全“互联网+医疗健康”服务体系，逐步拓展在线支付功能，积极推进“一站式”结算。2020年5月，《国家卫生健康委关于进一步完善预约诊疗制度加强智慧医院建设的通知》（国卫办医〔2020〕405号）要求医院要建立医疗、服务、管理“三位一体”的智慧医院系统，进一步发挥信息技术在现代医院建设管理中的重要作用，不断加强医院治理体系现代化建设，形成线上线下一体化的现代医院服务与管理模式；二级以上医院要根据实际情况和患者需求，提供智能移动支付、诊间结算等线上服务，推动服务流程优化和服务效率提高。

本文以A医院为例，详细分析了第三方支付在医院的应用现状、存在的风险，提出了相应的第三方支付风险防控对策和建议，以期为公立医院防范第三方支付风险提供参考。

二、第三方支付在A 医院的应用现状

A医院作为一家三级甲等大型综合医院，积极顺应时代的潮流，始终跟随科技发展的脚步，较早就引入了第三方支付，包括微信、支付宝支付等。患者既可以在传统的收费窗口使用现金、银行卡刷卡缴费，也可以通过医院官方APP、官方微信公众号、互联网医院，以及院内设置的自助设备等多个平台使用第三方支付缴费，极大满足了广大患者对缴费方式的不同需求。对A医院来说，第三方支付在医院的应用，使原来必须在窗口操作的挂号、收费、出院结算等操作流程得到了极大的优化，打通了自助机缴费、检查单二维码缴费等支付渠道，大大减少了患者的排队等候时间，改善了患者的就医体验，同时也提高了医院的服务效率。

第三方支付在医院的应用给患者带来就医便利的同时，也改变了医院传统的收费管理模式，给医院收费结算、财务对账、信息安全等内部控制工作带来极大挑战。因此，在引入微信、支付宝等第三方支付方式后，A医院为更好地规范管理医院收费、及时与第三方支付公司对账，与专业的信息系统开发公司合作建立了综合支付集成管理平台。该平台主要供医院收费管理人员、财务对账人员使用，利用信息化技术整合HIS系统与各类支付渠道（自助设备、人工窗口、APP、互联网医院、微信公众号等）的订单，实现可视化订单管理（包括患者ID、订单来源渠道、下单时间、支付方式、交易状态、异常订单提醒）、自动退费、报表查询、自动对账、单边账校验等功能。A医院还特别优化设计了对账功能，在每笔订单支付过程中，通过匹配机制，保证HIS订单支付状态与支付渠道订单、各支付方式交易订单结果一致。该平台能抓取HIS系统数据和微信、支付宝商户数据，并与银行到账资金进行核对，只有三方数据一致才认可数据无误，否则，需要根据订单状态倒查数据异常环节，并采取相应的措施。

三、A 医院应用第三方支付风险分析

综合支付集成管理平台的启用，实现了A医院收费业务对账的自动化、智能化，但平台的启用也带来了新的风险点，医院要根据新的业务流程不断完善内部控制规则和流程，积极防范第三方支付风险。

1.信息系统和网络环境风险

不同于线下对账，综合支付集成管理平台对账需要医院HIS系统、自助设备服务系统、银联支付系统、微信、支付宝支付系统等各关联系统与平台之间保持有效、顺畅的数据交换和传输，对系统维护和网络环境的要求非常严格。如果出现系统错误、网络异常等情况，可能引发重复收费、支付失败等情况，给医院带来直接经济损失，或引发患者的不满。

2.人为操作风险

综合支付集成管理平台需要工程师操作和维护，难免会产生人为操作风险，这种风险可分为主观行为风险和非主观行为风险。主观行为风险主要是指平台信息技术维护人员可以轻易获取各种数据甚至更改数据，当信息技术人员故意修改、删除原始数据，或者把数据泄露给他人非法使用时，将会给医院造成不可估量的损失。非主观行为风险则是平台相关使用人员业务不熟练或知识储备不够，在平台进行了误操作，给医院资金安全带来一定的风险。

3.沉淀资金风险

A医院通过第三方支付收取的资金并不是实时到账的，而是由医院在第三方支付商设立的虚拟账户每日将前一日的资金收入转到医院的银行基本户，这种“T+1”的到账方式必然会形成沉淀资金。目前，国家对这种沉淀资金的管理还不是很完善，从某种意义上讲，沉淀资金属于银行储蓄的性质，沉淀资金的利息归属也存在一定的争议。目前，医院还无法从第三方支付商取得沉淀资金的利息，对医院来说还是有一定的资金损失。另外，提供第三方支付的企业也可能存在不可预知的系统故障，导致医院的沉淀资金可能会存在提现不及时、提现失败的风险。

4.退费风险

综合支付集成管理平台支持患者自助退费，或者退付长款时需要自动退费。但是由于网络系统卡顿等原因，可能造成平台与业务系统信息不对称或信息延时，导致产生重复退费的问题。例如，平台自动退费时卡顿，导致将已成功退费的订单被标记为未退或待退状态，这时线下操作退费则会造成重复退费；极个别操作人员甚至利用这种系统漏洞恶意套现，导致退费业务存在风险。

5.单边账风险

单边账风险分为长款风险和短款风险。长款风险是指由于系统异常或者网络故障导致一单多付或者系统自动退款失败，形成医院的长款，长款给医院带来最直接的风险就是会引发患者不满，造成医院声誉受损。短款风险是指系统误操作导致的该收未收或一单多退的现象，此时会形成医院的短款，短款给医院带来的直接风险则是资金无法收回造成经济损失。

四、A 医院第三方支付风险防范的对策

针对上述第三方支付风险，A医院可以强化综合支付集成管理平台的对账业务，按照内部控制规则采取相关风险防范措施，尽量减少应用第三方支付带来的资金风险。

1.加强信息系统和网络安全建设

加强信息系统建设，定期进行技术升级，对提高第三方支付应用的安全性具有十分重要的作用。医院应保障网络支付的稳定性和安全性，减少由于信息系统或者网络问题带来的单边账风险。为防范单边账风险，一是要做好医院内部信息系统的升级和维护工作，通过定期维护和升级，保证医院交易网络环境安全；二是要通过登录密码、设置防火墙、接口加密、互联网访问控制、设立网络访问权限等方式来防范网络安全问题。

2.防范人为操作风险

为防范第三方支付的人为操作风险，医院可采取以下措施：一是坚持不相容岗位分离原则，收费、稽核、平台管理和资金对账岗位由不同人员分别担任，并定期轮岗换岗；二是加强职业道德教育，增强相关人员的自律性，要求他们恪守职业工作底线；三是加强业务素质培训，确保相关人员能熟练操作包括平台在内的各类业务系统，考核合格后方可上岗，避免误操作造成医院资金损失。

3.加强对沉淀资金的监控

医院应对第三方支付产生的沉淀资金进行严密监控和管理。在开通第三方支付业务之前，医院应与提供第三方支付的企业签订协议，明确虚拟账户无任何实际使用资金功能和代付功能，并约定医院的银行基本户是该虚拟账户资金唯一转账提现账户；同时，要为医院沉淀资金设置24小时自动提现功能，并要求对账人员每天做好对账工作，确保第三方支付产生的沉淀资金能够及时足额到账；针对提现不及时和提现失败问题，相关人员应及时查找原因，如果属于医院的问题则应改进系统功能，如果属于第三方支付的问题，则应与第三方支付企业展开谈判，尽量避免此类问题再次发生。

4.完善退费管理制度

为防止退费业务带来资金损失，医院可采取多种手段预防退费风险。一是要重新梳理退费流程，按照不相容岗位相分离原则，退费发起和退费审核应由不同人员担任；二是完善系统权限设置，把控关键节点，通过第三方支付发起的支付业务，系统锁定自动退费功能，只有收费和对账人员确认信息无误后方可发起退费；三是完善退费管理制度，明确退费条件，只有在确实发生缴费但业务活动未发生或者重复缴费的情况才允许退费，并严格设置退费审核流程。

5.规范单边账处置程序

医院针对平台上线初期频繁出现的长短款问题，要区分原因，有针对性地提出解决方案。针对人为操作不当的引起长短款，要加强业务培训，提高工作人员的操作水平；针对系统原因造成的长短款，则应督促信息系统开发公司找出系统漏洞并及时采取相应的解决方案，避免再次出现类似的问题；针对网络原因造成的长短款，可通过加强医院网络基础建设予以解决。此外，医院针对系统不能自动处理的长短款要有明确的处理规定，线下操作之前必须经过对账人员和收费人员双重确认，避免人工操作失误。

五、结语

A医院在引入微信、支付宝等第三方支付后，通过建立综合支付集成管理平台，实现了医院各类支付方式的订单集成和实时管理，保障了医院的资金安全。但目前该平台仍存在一些问题，需要不断优化技术和流程，以适应医院内部控制制度的要求。随着信息技术的不断发展，未来面对数字货币、无感支付等新型支付方式，医院仍要不断完善各类资金支付方式的管理和对账业务，在满足人民群众支付需求的同时，保障医院资金的安全。