张爱民 邢琳华

2012年财政部印发了《行政事业单位内部控制规范(试行)》(下简称(《规范》)，要求自2014年1月1日起执行。这一规范的施行，对高校内控体系建设提出了更高的要求。在此背景下，有必要对加强高校内控体系建设的有效途径—高校内部控制的评价和监督机制加以探讨。

一、高校内部控制监督机制概述

内部控制监督是对内部控制建立与实施情况进行监督检查。加强内控建设，一方面要求建立健全制度，另一方面要求建立有效的机制来保障制度的执行。建立内控监督机制对以上两方面均能起到重要作用。一方面，内控监督评价内控设计有效性，可以协助高校建立健全制度；另一方面，内控监督评价内控执行有效性，可以保障高校各项制度的执行和落实。可以说，高校内控监督机制就是保证高校内控体系建设得以开展并有效实施的重要机制。

《规范》确立的行政事业单位内控监督机制包含了内部控制自我评价、内部监督、外部监督等三个层次。本文将主要从这三个层次分析高校内控监督机制。

二、内部控制自我评价

《规范》所涉及的行政事业单位监督机制三个层次中，内部控制自我评价是最重要的组成部分，它是指由行政事业单位管理层负责实施的，对单位内部控制的有效性进行评价，形成评价结论，出具评价报告的过程(下简称内控自我评价)。对于如何开展行政事业单位的内部控制自我评价，《规范》虽有所要求，但只是比较原则性的规定，尚未出台配套指引，可操作性有所欠缺。而与此相对照，由于我国内外部监管要求，企业尤其是上市公司内控自我评价工作开展较早，相关规范较为完备，多项指引的出台更为实际操作提供了指导，在内控自我评价的规范和实践方面具有较多可供借鉴之处。因此，本文将借鉴《企业内控评价指引》等规范和企业开展内控自我评价的实践，从内控自我评价的组织、范围、内容、依据和操作标准、内控自我评价方法和流程等五个方面对高校如何开展内控自我评价加以探讨。

(一)内控自我评价的组织

开展内控自我评价，首先要明确评价工作的实施主体和组织架构以及相关部门在内控自我评价中的职责。

1.内控自我评价的主体和组织架构

高校内控自我评价工作，特别是内控制度建设早期的高校内控自我评价，通常需要成立高层次、权威的内控评估领导小组来推动相关工作，并且要组建内控评估工作小组承担具体内控评价工作。内控评估领导小组应包括高校主要领导、分管校领导和相关职能部门负责人，以保证内控自我评价工作能得到校领导班子和各级人员的支持，有足够的权威性保证工作的顺利开展。内控评估领导小组应审核批准评价方案，组成内控评估工作小组。内控评估工作小组应由内审部门或专门的内控自我评价部门牵头，吸收高校内部熟悉情况的相关职能部门、参与日常监控的业务骨干参加，以提升内控自我评价的执行力和全员参与度。无论是哪一个部门牵头，在选择内控工作小组的牵头部门时应注意，负责内控设计和评价的部门应适当分离，以保持内控评价独立性。

高校也可以委托中介机构实施内控自我评价。据了解，上海某大学2014年2月即委托一家咨询公司开展了内控体系建设专项调查工作。借鉴很多上市公司将内控管理手册编制等工作委托给中介机构的实践，高校也可将内控自我评价中的部分工作委托给有经验、有实力的中介机构。但中介机构受托为高校实施内控自我评价是一种非保证服务，内控自我评价报告的责任仍应由高校自身承担。

2.高校相关部门在内控自我评价中的职责

(1)高校领导

高校领导对内控自我评价承担最终责任，对内控自我评价报告的真实性负责。高校领导可以通过指派适当的内部职能部门作为内控评估工作小组的牵头部门来承担内控自我评价的组织、领导和监督职责。

(2)内控自我评价机构

高校在选定内控自我评价工作牵头部门，在单位制度成熟、条件允许时也可以成立常设的内控自我评价部门。牵头部门或内控自我评价机构根据高校领导班子授权负责内控自我评价的具体组织实施任务，承担评价工作方案的拟订与组织实施、评价过程中发现问题的反馈沟通、内控自我评价报告的编写、整改方案的审核、督促实施与完成情况验证、内控考核方案的验证等职责。

(3)各职能部门

高校各职能部门也要逐级落实内控自我评价责任，建立日常监控机制，开展内控自查、测试和定期检查评价，针对内控缺陷拟定整改方案和计划，编制内控自我评价报告，并及时与上级单位进行沟通、反馈。

(4)高校工作人员

高校内控自我评价工作的开展，需要各级单位工作人员积极支持和配合。各级单位工作人员应结合日常掌握的业务情况，配合内控自我评价各阶段工作。如在内控评价方案制订前的意见征询阶段，及时反馈关键控制点及应重点关注的业务或事项等意见；现场测试前，按照内控评价测试提纲对本单位内控有效性进行自查；现场测试时，积极配合内控工作小组测试工作；测试后，听取内控自我评价报告，对于内控自我评价中发现的问题及报告的缺陷，按照整改意见采取有效措施予以整改。各部门及下属单位负责组织本部门的内控自查工作，对发现的设计和执行缺陷提出整改方案及具体整改计划，积极整改，并报送内控工作小组复核。

(二)内控自我评价的范围

内控自我评价应贯彻全面性原则，评价工作应当包括内部控制的设计与运行，涵盖学校及其所属单位的各种主要业务和事项。

(三)内控自我评价的内容

内控自我评价是对内部控制有效性发表意见，内部控制有效性包括内部控制设计的有效性和内部控制执行的有效性。按照《规范》的要求，借鉴《企业内控评价指引》等规范，高校内控自我评价的内容涉及以下方面:

1.高校应当根据《规范》和本校的内部控制制度，围绕风险评估和控制方法、单位层面内部控制、业务层面内部控制、评价与监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价；

2.高校组织开展风险评估和控制方法内控评价，应重点关注经济活动风险定期评估机制的建立与实施，风险评估工作的开展情况、内控的控制方法设计与执行情况等；

3.高校组织开展单位层面内控评价，应重点关注内控工作的组织情况、内控机制的建设情况、内控管理制度的完善情况、内控关键岗位工作人员的管理情况、财务信息的编报情况等；

4.高校组织开展业务层面内控评价，应当以《规范》要求为依据，结合本校的内控制度，对预算业务控制、收支业务控制、政府采购业务控制、资产控制、建设项目控制、合同控制等内部控制的有效性进行认定和评价；

5.高校组织开展评价与监督内控评价，应当以《规范》要求为依据，结合本校的内控制度，对内部监督机制的有效性进行认定和评价，重点关注单位负责人、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。

(四)内控自我评价的依据与操作标准

高校应当以《行政事业单位内部控制规范(试行)》为基本标准和依据，同时参照《高等学校财务制度》、《高等学校会计制度》等相关规章制度的要求，结合高校自身的内部控制制度开展内控自我评价工作。为更好的构建高校内控体系，建议高校对各项制度进行梳理，拟定系统完善的内部控制手册。

在具体工作中，为保证评价工作的顺利开展，高校可以根据本校实际情况制定《内控测试提纲》，将其作为内控自我评价现场测试的纲领性文件和具体操作标准，为评价人员提供指引。《内控测试提纲》一般采用EXCEL表格形式，应包括评价对象、责任部门控制要素或业务环节、设计有效性评价指标及评价情况、运行有效性评价指标及评价情况等要素。提纲内容应针对风险评估与控制活动、单位层面内控、业务层面内控、监督与评价等内控要素，涵盖学校关键控制点及应重点关注的业务或事项。在设计《内控测试提纲》的过程中，应根据上文所述的制度依据，充分征询学校相关业务单位意见，以保证关键控制点全面性和测试提纲可操作性。同时，设计提纲时应考虑内外部审计、纪检部门对相关部门历次审计、检查中查出的问题及整改情况。

(五)内控自我评价方法和流程

1.内控自我评价方法

内控评估工作小组在对被测试单位进行现场测试时，可以综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集被测试单位内部控制设计和运行是否有效的证据，按照《内控测试提纲》的具体内容，如实填写现场测试工作底稿，研究分析内部控制缺陷。

2.内控自我评价流程图



3.流程图说明

内控自我评价流程贯穿了计划准备、实施、报告和整改三个阶段，主要包括制定评价工作方案、组成内控评估工作小组、实施现场测试、汇总评价结果、编制评价报告、报告反馈与跟踪等步骤。

第一阶段:计划准备阶段

(1)制定评价工作方案。内控评估领导小组和内控评价工作牵头部门应以内部控制目标为依据，结合本校内部情况和管理要求，分析高风险领域和重要业务事项，制定科学合理的评价工作方案并经校领导班子批准后实施。评价工作方案应明确评价主体范围、工作任务、人员组织、进度安排和费用预算等相关内容。

(2)组成内控评估工作小组。内控评估工作小组是在内审部门或内控自我评价部门牵头组织下，具体承担内控检查评价任务的临时机构。内控评估工作小组的成员应由内控评估领导小组按照经批准的评价方案指派，应包括高校内部相关机构中熟悉情况，参与日常监控的业务骨干，并注意保持与内控设计机构的独立性。内控评估工作小组成立后，应尽快拟定如上文所述的内控测试提纲等评估文件。

第二阶段:实施阶段

实施阶段主要是对被测试单位进行现场测试。

(1)被测试单位自查。为加强对被测试单位的了解，并提升被测试单位对测试提纲的理解程度，在内控评估工作小组进点现场测试之前，应要求被测试单位按照测试提纲进行自查，并上报自查报告；

(2)内控测试首次会议。进点开始现场测试时，应先召开内控测试首次会议，以了解被测试单位内控基本情况；

(3)开展现场检查测试。内控评估工作小组应根据评价人员分工，按《测试提纲》要求综合运用各种评价方法，对内控设计与运行的有效性进行现场检查测试，填写工作底稿，记录测试结果，并对发现的内控缺陷进行初步认定。

(4)内控测试末次会议。在离开被测试单位前，应尽量安排末次会议，由内控评估小组成员按分工向被测试单位现场沟通反馈测试结果，以利于内控缺陷的现场讨论与认证核实。

第三阶段:报告和整改阶段

(1)汇总评价结果

内控评估工作小组负责人应在复核评价现场测试工作底稿的基础上，对工作组现场初步认定的内控缺陷进行全面复核，分类汇总，对缺陷的成因、表现形式及风险程度进行定量或定性分析，按照对控制目标的影响程度判定缺陷等级，形成内控缺陷汇总表。

(2)编制评价报告

在内控缺陷汇总表基础上，结合内控自我评价工作底稿，内控评估工作小组应及时编制内控自我评价报告，并报送内控评估领导小组。经校领导班子最终审定、签字后报送至相关部门。

(3)报告反馈与跟踪

对于认定的内控缺陷，内控评估工作小组及其牵头部门应结合校领导班子、内审部门和纪检部门的要求，提出整改建议，要求责任部门及时整改，并跟踪其整改落实情况。对已经造成损失或负面影响的，学校应追究相关人员的责任。

三、内部控制的内部监督

高校内部控制的内部监督是高校内部有关部门对内部控制建立与实施情况进行的监督检查。《规范》中要求:“内部监督应当与内部控制的建立和实施保持相对独立”，这体现了监督与执行分离的基本原理。为此内控的内部监督不能由内控设计和执行的具体部门承担，而应由独立内部审计部门实施。《规范》还要求，内部审计部门应定期或不定期检查单位内部管理制度和机制的建立与执行情况，以及内控关键岗位及人员的设置情况等，及时发现内控存在的问题并提出改进建议。高校内控的内部监督，主要表现为内审部门开展的内部控制审计业务。

根据《第2201号内部审计具体准则—内部控制审计》规定，内部控制审计(下称内控审计)是指内部审计机构对组织内部控制设计和运行的有效性进行的审查和评价活动。下面从主体、范围、内容、依据和操作标准、内控自我评价方法和流程等五个方面对内控审计进行浅析。

(一)内部控制审计的主体

《内部审计实务指南第4号—高校内部审计》(下简称《实务指南第4号》)规定，高校内部审计工作包括内部控制审计、预算执行与决算审计、建设项目工程审计和领导干部经济责任审计。可见，内部控制审计是高校内部审计部门的重要工作内容，与内控自我评价由内控评估工作小组承担不同，其实施主体是高校内部审计部门。

(二)内部控制审计的范围

内部控制审计按其范围划分，分为全面内部控制审计和专项内部控制审计。全面内部控制审计，是针对组织所有业务活动的内部控制所进行的全面审计。专项内部控制审计，是针对组织内部控制的某个要素、某项业务活动或者业务活动某些环节的内部控制所进行的审计。

(三)内部控制审计的内容

2009年制定的《实务指南第4号》中规定的高校内部控制审计内容涵盖整个高校经济活动，包括教学管理、科研管理、财务管理、资产管理、采购管理等。与《规范》中对内控要素的规定相比，《实务指南第4号》所规定的内部控制审计内容，要更加的丰富、具体、切合高校实际，也更具有可操作性。但是从内部审计准则的修订过程来看，2013年修订的《第2201号内部审计具体准则—内部控制审计》中对审计内容、审计程序、方法等的规定已与《企业内部控制评价指引》非常趋同。今后高校内部控制审计的实务指南是否也会按照《第2201号内部审计具体准则—内部控制审计》进行修订，向《行政事业单位内部控制规范》趋同尚未可知。

(四)内部控制审计的依据和操作标准

高校内审部门开展内控审计工作应依据以下三个层次的准则、制度:

第一层次，内部审计准则及内控规范，包括《中国内部审计准则》(尤其是《第2201号内部审计具体准则—内部控制审计》)、《内部审计实务指南第4号—高校内部审计》、《行政事业单位内部控制规范(试行)》等；

第二层次:政府相关部门发布的高校各项制度，如《高等学校财务制度》、《高等学校会计制度》等；

第三层次:高校自身制度或高校内控手册。

高校可以依据以上准则、制度制定适合自身情况的内控审计制度，将其作为开展内控审计业务的具体操作标准和指南。

(五)内部控制审计的方法和流程

1.内控审计的方法

内控审计的方法包括访谈、问卷调查、专题讨论、穿行测试、实地查验、抽样和比较分析等，与内控自我评价的方法无明显区别。

2.内控审计流程图



3.内控审计流程说明

内控审计流程贯穿了计划准备、实施、终结三个阶段，包括编制审计方案、组成审计组、实施现场审查、认定控制缺陷、汇总审计结果、编制审计报告等步骤。

第一阶段:计划准备阶段:

(1)高校内部审计部门应根据审计工作计划和校领导班子指示，实施内控审计项目，编制审计方案；

(2)高校内审部门根据审计项目的性质、特点、要求，结合具体审计目的，安排适当的审计人员，组成审计小组，并指定审计小组负责人，即项目主审。审计组实行主审负责制，其他成员在主审的领导和协调下开展工作，并对分担的审计工作各负其责；

(3)拟订审计项目工作计划。审计小组根据具体审计项目的审计目的，结合事前所掌握的情况与资料，确定审计重点、工作进度和时间安排、审计小组成员分工、采用的审计方法等。在确定内部控制审计内容及重点时，内部审计人员应当结合内部控制自我评价报告；

(4)审计项目工作计划编制后由高校内审部门负责人审核批准，重要事项需报经学校有关领导批准。审计计划由审计小组负责实施。审计小组在实施审计过程中，发现审计计划不适应实际需要时，可以根据具体情况按照规定及时调整；

(5)根据审计项目计划，在对预定项目实施审计前，应当向被审计单位发出审计通知书。审计小组认为需要被审计单位提供相关资料或自查的，可在审计通知书上写明，并提出对所需资料的要求或自查的内容和要求。

第二阶段:实施阶段:

(1)综合运用访谈、问卷调查、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集被审计单位内部控制设计和运行是否有效的证据；

(2)对审计证据进行分析、鉴定，研究证据相关性、重要性、可靠性，形成具有足够数量、且能充分说明审计事项的证据资料，将结果记录于工作底稿，并形成审计结论；

(3)结束外勤工作前应与被审计单位相关人员进行充分沟通，对有异议的问题及时现场核实；

第三阶段:终结阶段:

(1)认定控制缺陷，作好撰写审计报告的准备工作:

①对审计工作实施阶段形成的工作底稿进行汇总整理，认定控制缺陷，筛选出应反映在审计报告中的事项和问题；

②确定责任，即将列入审计报告的事实向当事人认真核实清楚，并向有关人员取得书面说明和解释，以保证审计结论的正确性；

③针对审计中发现的控制缺陷，严格依据审计过程中取得的审计证据，得出客观、公正的审计结论，并形成改进建议。

(2)拟定审计报告征询意见稿。审计小组应于外勤工作结束后及时出具审计报告征询意见稿，并对审计报告的公正性、客观性、合法性承担责任。

(3)审计报告征询意见。审计报告经高校内审部门领导审核通过后，及时下达至被审计单位征询意见。被审计单位应在接到审计报告后一定时间内于审计意见征询单上填写对审计报告的意见及审计整改措施，盖章后交内审部门。

(4)审计报告定稿及签发。审计小组对被审计单位提出的不同意见，应当进一步研究、核实。如有必要，应当根据被审计单位意见对原审计报告进行修订后定稿、签发审计报告。

(5)后续审计及跟踪。高校内审部门在审计报告签发后，在必要情况下，可对被审计单位执行审计意见和建议的执行情况进行后续审计，借以监督被审计单位如期纠正错弊，改进工作。被审计单位如有未按规定限期和要求执行审计决定的，高校内审部门有权向学校有关部门提出处理意见，对责任人进行处罚。

四、内部控制的外部监督

内部控制的外部监督是指由高校外部的有关部门对高校内部控制建立和实施情况进行的监督检查。这些外部机构主要是政府相关机关，也包括独立审计机构。国家是高校的出资人，由政府代表国家行使对高校的所有者权益。所以，高校中存在着“所有者缺位”，不能像企业那样通过建立法人治理结构来进行自我监督、自我完善，而是需要政府有关部门代表国家来对高校的内部控制进行监督。高校内部控制的外部监督主要由教育行政机关、财政部门和政府审计机关承担，同时应充分发挥纪检、监察等部门的作用，构建严密的外部监督网络。

1.教育行政机关的外部监督

教育行政机关是高校的主管单位，对高校履行着举办者、管理者、监督者等多项职责。从组织关系看，教育行政机关是高校的一个外部关系人，以举办者和行政管理双重角色的特殊权威，可以对高校内部控制实行有效的监督。

2.财政部门的外部监督

财政部门是内控规范的主要制定者和发布者，也是国有资产和预算管理的主管部门，因此财政部门是高校内控外部监督机制中的直接外部管理者，负有监督高校建立健全内部控制的责任。各级财政部门应当对高校内部控制的建立和实施情况进行监督检查。

3.政府审计部门的外部监督

政府审计部门是法定的审计机关，依法对高校行使审计监督，是高校内控外部监督机制中的主导部门。各级审计部门应切实肩负起监控责任，对高校内部控制各个方面实行严格考核，并制定相应的惩罚措施。此外，政府审计代表国家利益，对被审计单位的违法违纪问题既有审查权也有处理权，而内部控制正是社会审计所擅长的审计领域，因此，可由政府审计部门委托独立、权威、专业的社会审计机构进驻高校对其内部控制的有效性进行审计，以充分发挥两者的优势互补。

4.纪检监察部门的外部监督

内部控制可以通过不相容职务分离、授权审批制度等手段，达到控制风险，预防贪污腐败等目的。这与习近平总书记提出的“把权力关进制度的笼子里”的要求一致，也与纪检监察部门的关注点契合。在我国，纪检监察部门具有较高的权威性和执行力，有纪检监察部门的参与，高校开展内控建设的积极性和效果会大幅提高。

5.社会审计组织的独立监督

企业内部控制的监督是通过社会审计组织的内控审计来实施的。作为专业机构，社会审计组织可以在教育行政机关、财政部门、政府审计部门、纪检监察部门之外，为高校提供定期的、专业化的、持续的监督。