湖南省赤山监狱/杨 艳

监狱文化建设、标准化建设是监狱工作发展的重要支撑。随着监企体制改革和监狱布局调整的深入，监狱的硬实力已经得到了一定的改善，监狱工作的内涵和品质的提升，需要提高软实力来完成。相比其他企业，我们急待打造形成赤监特有的精神文化和企业文化，充分发挥文化凝聚众心的作用。根据监狱行业所特有的性质，着重对监狱如何实施内控规范和资产管控进行了以下解读。

一、试论行政事业单位（监狱）实施内部控制的原因与程序

2001年11月下旬，美国最大的能源企业安然公司承认自1997年以来，通过非法手段虚报利润5.86亿美元，在与关联公司内部交易过程中，不断隐藏债务和损失，管理层从中非法获益。消息一经传出，立刻引起了美国金融市场的巨大动荡，安然股价从近90美元跌至不足1美元，许多中小投资者损失惨重。安然事件后，美国的世通、施乐、默克制药等一批大公司会计丑闻接连曝光，诚信危机震撼着美国及国际社会，经营失败、会计信息失真、经济犯罪及不守法经营在很大程度上都可归结为内部控制的缺失或失效，即除了内部控制失效外，很难再找到其他因素，企业单位良好的内部控制可以应对和防范各种风险。为了提高民众对美国金融市场、政府经济政策的信心，2002年7月30日美国总统布什签署了《2002年上市公司会计改革和投资者保护法》 （即《萨班斯—奥克斯法案》），SOX　ACT正式成为美国的一项法律。许多国家也通过立法强化企业内部控制。内部控制日益成为企业进入资本市场的“入门证”和“通行证”。

当时的中国是内忧外患。一方面，我国的石油、电信、金融、保险、能源等大企业都在美国上市，如果没有内控这张“入门证”和“通行证”，就不能上市，于是境外上市企业纷纷花巨资聘请海外机构或国内公司设计内部控制制度（聘请海外机构设计费5000万元左右，国内公司设计费500万元左右），以适应上市地的监管要求。另一方面，德勤2007-2008年对国内上市公司的内部控制实施状况进行了跟踪调查发现：56%的公司没有建立或现有内部控制机制尚不完善；72%的公司没有持续监控内部控制的有效机制，或未得到任何改善。于是，中国政府权衡利弊，从国家长远利益考虑，要建立自己的内控体系和评价标准。为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，促进企业可持续发展，维护社会主义市场经济秩序和社会公众利益，根据国家有关法律法规，2008年5月财政部会同证监会、审计署、银监会、保监会等五部委发布了我国第一部《企业内部控制规范——基本规范》。2010年4月又连续发布了《企业内部控制应用指引第1号——组织架构》等18项应用指引以及《企业内部控制评价指引》和《企业内部控制审计指引》。在我国境内设立的大中型企业强制执行，小企业和其他单位可参照本规范建立与实施。

企业实施内部控制规范以来，其经营管理水平和风险防范能力得到了有效提高，那么对于掌管大量社会公共资源的行政事业单位呢？近年来，无论是我国还是美英德等国行政事业单位在进行资源和资金的分配过程中，由于监督不力等各种原因，财务信息失真，预算编制粗糙，资产被盗用、贪污受贿和管理舞弊等职业舞弊行为时有发生，造成社会资源分配不公和极大浪费，损害社会公共利益。

二、内部控制规范实施现状分析

通过走访行政事业系统内一些单位及领导（主要是监狱系统单位）、通过与企业管理层的交流获悉：

有些行政事业单位领导认识不太清楚，重视度不够，认为内控可有可无，还增加了许多工作量；有些领导比较留恋权力，习惯于“一言堂”的工作方式，对约束领导权力、规范议事决策程序、实行集体决策的内控制度建设不太积极；有的领导认为做内控造成自己不舒服、不自在，影响自己的领导权威，强烈抵制内控制度建设；有的领导没有真正理解内控的意义，认为内控的可操作性不强，一些费用不能再打政策的擦边球，增加了其行权的风险性，不愿意实施内控。

有的单位由于编制较少，现有人员素质较低，无法胜任内部控制制度建设工作的需要，存在较大的畏难情绪，而且单位又不愿意派人外出学习，不想投入资本；有的单位部门之间沟通不畅，无法取得有效准确的数据及资料，影响内控制度建设；有些单位总在看别人，只要还有单位没有做，他就不着急做；有的单位清楚内控的作用，领导也比较重视，不反对开展内控工作，但由于多种原因目前还没有在真正意义上实施内控制度。

三、建立内部控制规范的重要意义

（一）内控是依法治国的重要组成部分，是关住权力笼子的重要基础性制度

党的十八届三中、四中全会指出，全面推进依法治国，总目标是建设中国特色社会主义法治体系，建设社会主义法治国家；建设法治国家，必须坚持依法治国、依法执政、依法行政共同推进，坚持法治国家、法治政府、法治社会一体建设。我们把依法治国的成果称为“国法”，行政事业单位制定的内控制度其实质是在“国法”统驭下的“家规”。我们必须提高对“家规”重要性的认识。“家规”应当是法治体系的有机组成和必要补充，它必须接好地气，能够有效地适用于单位内部的管理工作。全面依法治国做好了，习总书记提出的“四个全面”这个宏大的战略布局才能得以实现。
习总书记在十八届中央纪委二次全会上指出：“要加强对权力运行的制约和监督，把权力关进制度的笼子里，形成不敢腐的惩戒机制、不能腐的防范机制、不易腐的保障机制。”在十八届中央纪委五次全会上指出：“要着力深化体制机制改革，最大限度减少对微观事务的管理，推行权力清单制度，公开审批流程，强化内部流程控制，防止权力滥用。”党的十八届三中全会《中共中央关于全面深化改革若干重大问题的决定》指出：坚持用制度管权管事管人，让人民监督权力，让权力在阳光下运行，是把权力关进制度笼子的根本之策。

（二）内控是建设廉洁高效、人民满意的服务型政府的需要

党的十八大指出：要深化行政体制改革，建设职能科学、结构优化、廉洁高效、人民满意的服务型政府。要求规范公共权力的运行，加强对公共权力的监督。什么是人民满意的服务型政府？简单说就是为人民服务，一切从人民的利益出发，提供优质高效的服务。行政事业单位内控将“提高公共服务的效率和效果”作为内控的最高目标，就是基于为人民服务的目的。内控通过管理和业务流程梳理（或流程再造），确定规范的工作流程，极大地方便为人民服务；通过对流程风险的查找，提前采取有效的防范措施控制风险，从而达到提供优质高效的服务目标，才能真正成为人民满意的服务型政府。

（三）内控是贯彻新《预算法》的根本保证，是基层单位与党中央保持高度一致的具体行为

新《预算法》要求遵循先有预算、后有支出的原则，严格执行预算，严禁超预算或者无预算安排支出，严禁虚列支出、转移或者套取预算资金。坚决惩治脱离法律监督的资金使用和“小金库”行为；坚决贯彻“预算公开”要求，规范预算编制、审批、执行、决算、绩效考核，接受社会监督；预算使用中必须贯彻勤俭节约的原则，加强监督检查，避免预算资金的浪费现象。内控就是“以预算管理为主线，以资金管控为核心”的新型管理模式，只有建立了有效的内控管理体系，严格执行内部控制流程，才能从根本上保证《预算法》的实施效果。《预算法》是我国的经济宪法，行政事业单位实行内控实际上就是要立花钱的规矩。公共资金不是“唐僧肉”，绝对不允许贪污和浪费。基层单位只有遵守党中央制定的政治规矩，同时也必须遵守预算花钱的规矩，履行好党和国家赋予的职责，才是与党中央保持高度一致的具体行为。

（四）内控是新形势下厉行节约、反对浪费、拒腐防变的有力助手

内控制度与廉政风险防控机制理论上同出一脉，机制上互为补充，实施过程中形成新合力。内控制度与廉政风险防控的核心手段都是制衡，对不相容岗位进行分离，对决策、执行和监督进行分离，决不允许一个人办理全部管理事项，用制度约束和制约人的私念、贪欲和懒惰。廉政风险防控机制管控的重点对象是人，即管住有权力的人。通过管住有权力的人，达到防控风险的目的。内控管控的重点对象是预算资金、公共资产、公共资源，即管住政府的钱。通过规范预算资金的使用，强化公共资产的管理责任，合理节约使用公共资源，达到有效防范舞弊和预防腐败的目的。

（五）内控是提高单位内部管理水平、提升执行力的有效方法

内控是一个单位内部管理的新模式和有效方法。内部控制不是一个独立的系统。贯穿于所有的管理制度中，管理制度是内控这条线给穿起来的。对一个单位、一个组织而言，内控是in，而不是on。内控是分散在单位、嵌入到单位里面。内部控制与各项管理制度的关系：各项管理制度是对内控规范的具体落实，各单位可通过完善管理制度来实施内控。内控手册是通过流程把规章制度中的相关的控制要求放在流程上面进行关联和链接，从而能够支持按岗位、按流程的控制要求进行检索。经营失败、会计信息失真、经济犯罪及不守法经营在很大程度上都可归结为内部控制的缺失或失效。可靠的信息报告能够为管理层提供适合其既定目的的准确而完整的信息，支持管理层的决策和对经济活动及业绩的监控。对领导者来说，内控有效实施的作用之一是控制管理和运营风险，能为领导保驾护航，单位实施内控有百利而无一害，不仅会增加领导者的管理业绩，而且能保障领导者的管理意志畅通无阻地得到贯彻实施，提升执行力。

四、实施内部控制规范的目的

（一）促进单位经济活动合法合规

行政事业单位经济活动必须在法律法规允许的范围内进行，严禁违法违规行为的发生，要依法行政。也就是说，内控的首要目标就是保证行政事业单位不违法、不违规。这是行政事业单位内部控制最基本的目标，是其他四个目标存在的前提和基础。守法和诚信是单位健康发展的基石，逾越法律的短期发展终将付出沉重的代价。内部控制要求单位必须将发展置于国家法律法规允许的基本框架之下，在守法的基础上实现自身的发展。象国航油（新加坡）股份有限公司总裁陈久霖的场外交易、投机期权、擅自扩大业务范围等违法违规事件，无论是企业还是行政事业单位都不可取，那样终将把单位逼到“关门”的地步。

（二）促进维护资产安全和使用有效

该目标强调了保证行政事业单位资产的安全和有效利用，以保证其使用效率。也可以说要保证资金的安全和资金的使用效率，不丢失、不浪费。

美国注册舞弊审查师协会2002年进行的调查显示，职业舞弊中，资产盗用发生的频率最高，达舞弊案件的85.7%，其次是贪污受贿和管理舞弊。资产安全完整是投资者、债权人和其他利益相关者普遍关注的重大问题，是一个单位可持续发展的物质基础，良好的内控制度应当为资产安全提供扎实的制度保障。尤其是对于掌握大量公共资源的行政事业单位而言，资产必须保证安全完整和有效使用。
（三）促进提高财务信息真实完整

该目标强调行政事业单位要提供真实可靠的会计报告和相关信息。客观地反映部门的运行管理情况和预算的执行情况，为领导层的决策提供可靠依据，也为其解除受托责任提供依据。预算执行报告是行政事业单位的重要报告之一，具有法定效力。目前我国行政事业单位会计信息失真比较严重。如假发票盛行，披露的“三公费用”受到社会的质疑。

2010年审计署在审计中发现，在抽查的56个中央部门的29363张已报销的发票中有5170张假发票，列支金额为1.42亿元。《学习时报》透露2004年，国内“三公”消费每年高达9000亿元。《中国改革》 （2006年第一期）资料显示，2004年全国吃喝3700亿元，公车消费3986亿元，公款出境旅游2400亿元，公款赌资外流2000亿元，合计12086亿元。

2000年初期，会计的不规范在中国大行其道，以致于时任总理的朱熔基将财务造假报告称为中国经济的“恶性肿瘤”。如2001年湖北蓝天在一份公开声明中向投资者致歉，并表示在该公司提供虚假财务信息，有十多位官员受到质疑。2006年中国电器制造商“广东科龙电器”的多位前高管因会计造假和其他违规行为受罚。该公司称被发现在2002年-2004年间虚报12亿元人民币营业外收入以及1.2042亿元利润，前董事会主席顾雏军因财务造假和挪用公款判刑10年监禁。2011年，内蒙古公司瑞金矿业于5月27日停牌是因为该公司向港交所和中国政府当局提交的会计账目差异巨大。

（四）有效防范舞弊和预防腐败

我国行政事业单位掌握了大量的社会公共资源，在进行资源和资金的分配过程中，由于执行上的随性随情和监督不力等各种原因，舞弊和贪污腐败行为时有发生，造成社会资源分配不公和极大浪费，损害社会公共利益。党的十八大以来已有8万多干部被处理，我们也时常能在报刊杂志和新闻里看到些许犯错误的党政干部的悔过书，如果我们不立好规矩，不实行科学长效的内控制度，则我们的反腐斗争将任重而道远。

内部控制的最基本原则是权力制衡，行政事业单位应该充分运用内控的制衡原理，在单位内部进一步完善决策权、执行权和监督权三权分立的机制，发挥流程控制作用，有效地预防腐败。而实施内控是对财政资金分配使用、国有资产监管、政府投资、政府采购、公共资源转让、公共工程建设等权力集中的部门和岗位实行分事行权、分岗设权、分级授权、定期轮岗，强化内部流程控制，防止权力滥用，有效防范舞弊和预防腐败。

（五）提高公共服务的效率和效果

我国行政事业单位的整体职责使命是有效管理国家和提供公共服务，其提供公共服务的效率和效果直接影响其职责履行的好坏。建立和实施内部控制能够改善单位内部管理，提升单位公共服务水平，从而最终有利于其职责的履行。

五、行政事业单位内部控制的原则

（一）全面性原则

所谓全面性主要体现在三个方面：一是全过程控制，内部控制应当贯穿决策、执行和监督全过程；二是全方位控制，内部控制应当覆盖单位的各种业务和事项。三是全员控制，内部控制的关键是对人的控制，是对单位全体成员进行控制，保证每一位单位成员包括领导层面及执行层面都受到相应的控制。

（二）重要性原则

重要性原则要求内部控制在兼顾全面的基础上，格外关注重要业务事项和高风险领域。重视重要的事项和风险领域对业务处理过程中的关键控制点以及关键岗位加以特别的防范。如行政单位的基本建设项目、政府采购、工程招标投标项目等；监狱的狱政狱侦、刑罚执行、减刑假释、基本建设、政府采购、资产管控等；高校的招生办、基建处、教材科和资产处等。

（三）制衡性原则

内部控制应当在单位内部的部门管理、职责分工、业务流程等方面形成相互制约和相互监督。内部控制的基本假设是：两个人有意识地犯同样错误的概率要远少于一个人；两个人有意识地合伙舞弊的可能性要远少于一个人。相互制衡是建立和实施内部控制的核心理念，更多地体现为不相容机构、岗位或人员的相互分离和制约；可行性研究和决策要分开，执行和决策要分开；从制度上科学设计并严格执行。一是治理结构的制衡；二是机构设置及权责分配的制衡；三是业务流程的制衡。

（四）适应性原则

各行政事业单位应结合本单位业务特点和实际情况，建设建立符合自身组织架构特点的内部控制体系。内部控制应当与单位的规模、工作性质、风险水平等相适应，并随着情况的变化及时调整。如行政部门与事业单位区别很大，事业单位又分为许多类型。在不同发展阶段，以及单位负责人的偏好都会影响单位内部控制制度。内部控制是一个不断进行控制与反控制的较量与磨合，是一个不断完善、不断调整的动态过程。

六、内部控制规范实施程序和要求

内部控制规范第七条规定：“单位应当根据本规范建立适合本单位实际情况的内部控制体系，并组织实施。具体工作包括梳理单位各类经济活动的业务流程，明确业务环节，系统分析经济活动风险，确定风险点，选择风险应对策略，在此基础上根据国家有关规定建立健全单位各项内部管理制度并督促相关工作人员认真执行。”

（一）建立单位内部控制规范体系建设与评价机构

1.成立单位内部控制规范体系建设领导小组

单位领导小组为内控最高权力机构，应由单位负责人（一把手）担任组长，党政班子成员担任副组长，相关管理职能部门领导为成员。全面负责单位内部控制规范体系建设工作的实施，主要职责包括：批准单位内控规范实施方案、布置和带头学习内控知识、审批流程梳理结果、确定风险及管控措施、审批自我评价报告和整改报告等；建立健全议事决策机制，依国家规定和本单位实际情况确定哪些事项属于“三重一大”，建立健全集体研究、专家论证和技术咨询相结合的议事决策机制，坚持民主集中原则；做好决策纪要的记录、流转和保存工作；加强对决策执行的追踪问效。

2.建立单位内部控制规范实施机构

单位应当单独设置内部控制职能部门或者确定内部控制牵头部门，负责组织协调内部控制工作。同时，应当充分发挥财会、内部审计、纪检监察、政府采购、基建、资产管理、政治处人事、办公室等部门或岗位在内部控制中的作用，设为内控实施机构，具体负责制定内控规范实施方案、组织内控学习培训、组织对各项管理和业务进行流程梳理或再造、查找风险点并编制风险清单、评估风险发生概率和等级、制定风险应对策略和管控措施、编制单位内控手册及评价制度。

3.建立单位内部控制规范自我评价机构

行政事业单位应当建立自我评价机制，指定独立于内控规范实施牵头部门以外的部门组成自我评价工作小组，独立实施自我评价工作，即内控制定与评价相互分离，内控自我评价必须保证每年至少进行一次。

4.成立风险评估工作小组

风险通常是指潜在事项的发生对目标实现产生的影响。风险评估是量化测评风险发生的可能程度及其造成的后果。

单位应当成立风险评估工作小组，具体由各单位根据实际自行确定，既可以由单位负责人担任组长，也可以由分管财务工作的领导担任组长，负责全面统筹、协调各业务部门积极配合风险评估工作；由内部控制职能部门或牵头部门的负责人担任副组长；由财务、资产管理、采购、基本建设、内部审计、纪检监察等部门或岗位抽调关键工作人员或技术专家作为工作小组的成员，风险评估工作小组可以是跨部门的，也可以设置在内部控制职能部门或者牵头部门内。工作小组下还可以根据经济活动类型设置若干个风险测评小组，仔细梳理每一类经济活动的流程，按流程排查风险点。

（二）制订详细的内控实施工作方案

单位应当根据内控规范建立适合本单位实际情况的内部控制体系，制定详细的具有可操作性的实施工作方案，“横向到边，纵向到底”，不留死角和盲区，方案主要包括：控制目标、实施范围、实施原则、工作任务、基本要求、组织方式和职责、工作准备、流程梳理或再造、风险评估、制度完善要求、手册内容和要求等，报单位领导小组批准，形成书面决议，下发文件，组织实施，并传达到单位每一个部门和全体人员。

（三）组织开展宣传培训工作

单位可以通过各种途径和方式进行宣传培训，如内部通讯、简报、黑板报、标语、口号、广播等进行宣传，营造内控实施氛围，做到人人懂内控人人做内控；单位可以通过专业机构培养能够胜任内控规范管理工作的人才及内控实施人才，可以采取“请进来、走出去”的方式，细致深入，注重实效，针对单位不同层级的人员进行针对性地培训，如单位领导班子及内控实施机构成员主要学习内控规范的理论、原则、控制措施、风险评估程序、风险管控策略、自我评价要求等；单位非内控管理部门人员主要学习内控规范体系建设的重要意义、控制基本方法、流程梳理和风险查找方法。

（四）开展调查访谈和专业分析

针对内控的控制环境、风险评估、控制活动、信息与沟通、监督等五大要素开展全员摸底调查、汇总分析；对单位领导班子和重要岗位人员开展专题访谈调研工作，全面了解单位领导对内控管理的设想、现状分析、管控措施的建议和希望，对访谈记录进行专业分析汇总，查找出单位内部管理风险和薄弱环节，认真研究并确定内控规范实施的工作重点。

（五）制定单位内部控制手册

1.梳理单位各类经济活动的业务流程或流程再造

通过组织相关人员包括邀请外部专家对单位的预算业务、收支业务、政府采购业务、资产管理、建设项目管理、合同管理等构成经济活动的各项业务进行梳理，既包括单位层面的组织机构设置，还包括业务层面本身的各项业务流程，对各项业务逐项研究确认，描绘出业务流程图，并附详细的文字描述和说明，对其认真进行总结、归纳和分析，明确各项业务的目标、范围、内容、风险点清单，细化业务流程各环节部门和岗位设置及职责分工，确定管理和业务流程优化方案。

2.　选择风险应对策略

在风险评估后，单位采用相应的控制方法将风险控制在可承受度之内。内部控制的控制方法一般包括：不相容职务分离；内部授权审批控制；归口管理；预算控制；财产保护控制；会计控制；单据控制；信息内部公开。

行政事业单位主要风险为低效、浪费和舞弊。在对已经识别的风险进行定性分析、定量分析和风险排序的基础上，采取风险规避（单位对超出风险承受度的风险，通过放弃或停止与该风险相关的业务活动以避免和减轻损失）、风险降低（单位在权衡成本效益之后，准备采取适当的控制措施降低风险或减轻损失，将风险控制在可承受范围）、风险分担（单位借助他人力量，采取业务分包、购买保险等适当的控制措施，将风险控制在可承受度内）和风险承受（单位对可承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或减轻损失）。

3.　建立健全单位各项内部管理制度

单位在流程梳理和优化的基础上，在明确风险点和风险应对策略后，对单位内部相关制度进行全面整理和完善。例如，对于岗位不相容的，要明确划分职责权限，实施相应的分离措施；对于内部授权审批不明确的，要明确各岗位办理业务和事项的权限范围、审批程序和相关责任，建立重大事项集体决策和会签制度；对业务归口管理不明确的，要明确管理部门；对不在预算控制之内的经济活动，要纳入预算控制；未建立资产日常管理制度和定期清查制度的，要建立完善的相关制度；对财务会计控制不严密的，要完善控制制度；对未使用统一表单和票据的，要设计并统一；对于相关信息未在一定范围内公开的，要完善信息内部公开制度。