试析高校内部控制建设中的若干问题

摘要：内部控制是保证组织合规运行健康发展的有效手段。高校内部控制通过履行组织协调、督导督促、评价反馈、咨询服务等职责，实现合规保证、风险防控、效益提升、改革推进等功能和价值。高校内部控制应着眼学校战略目标，立足服务中心任务，把握应然和实然、形式和实质、主责和协助、监督与业务之间的关系，建立并完善内部控制体系，规范权力运行、改进业务管理、优化资源配置，推动担当履职、提升服务、防范风险、完善治理。

关键词：高校；内部控制；职能职责；机制

 

党的十九大明确全面深化改革的总目标是完善和发展中国特色社会主义制度，推进国家治理体系和治理能力现代化。2019年1月21日，习近平总书记在省部级主要领导干部坚持底线思维着力防范化解重大风险专题研讨班开班式上发表重要讲话，强调要坚持底线思维，增强忧患意识，提高防控能力，着力防范化解重大风险。高等学校肩负立德树人核心使命，国家社会对于高校廉洁规范运行的要求和期盼愈加提升，高校在建立和完善现代大学制度、完善治理体系、提升治理能力、防范和应对重大风险方面，面临愈加紧迫的时代要求和自身需要。内部控制建设作为程序合规和和风险管理的制度化工具，是高校完善治理体系的题中应有之义，也是推进治理体系完善的重要手段，在高校管理治理体系改革中具有基础性重要地位。

一、内部控制的内涵以及高校内部控制必要性

 “内部控制（Internal Control）”源起“内部牵制”的思想，经历会计控制和管理控制阶段、内控结构阶段、内控整体框架阶段、风险管理阶段等多个发展阶段，并逐渐成熟^[1]。1992年，美国COSO委员会发布《内部控制—整合框架》（也称为COSO报告），给出了关于内部控制较为权威的定义：“内部控制是由企业董事会、经理阶层以及其他员工实施的，旨在为营运的效率和效果、财务报告的可靠性、相关法律法规的遵循性等目标的实现提供合理保证的过程。”^[2]

内部控制从企业管理派生而来，最初关注经济活动领域风险，随着社会的发展和现代法人治理结构的运用，逐渐拓展到其他类型社会组织以及全部业务活动和内部权力运行层面。2008年5月，我国财政部会同当时的证监会、审计署、银监会、保监会共同制定了《企业内部控制基本规范》。党的十八大以后，为了进一步提高行政事业单位内部管理水平，加强廉政风险防控机制建设，财政部先后颁布了《行政事业单位内部控制规范（试行）》（财会〔2012〕21号）（以下简称《单位内控规范》）、《关于全面推进行政事业单位内部控制建设的指导意见》（财会〔2015〕24号）（以下简称《单位内控指导意见》），明确了事业单位内部控制基本制度框架，为事业单位开展内控建设提供了基本遵循。

由此可见，内部控制实际已成为企事业单位健康运行的必要保障和规范内部治理的基本工具。就高校来说，我们认为内部控制建设的必要性可以概括为以下两个方面。

一是外部监管有要求。一方面是来自法律法规的明确规制。我国高等学校以公立属性为主体，属于公益性事业单位，适用《单位内控规范》的约束。另一方面来自上级主管部门和地方的明确要求。2016年4月，教育部办公厅发布《 教育部直属高校经济活动内部控制指南（试行）》，就高校内部控制的原则、目标、组织架构和任务分解等做出指引；同时，地方高校往往也要根据地方财政部门或内控部门的要求，向其做内控建设的年度报告。

二是自身发展有需求。高校并非象牙塔。随着经济社会的发展，高校治理的各个环节尤其是财务、招标、基建、选人用人、招生等重点领域问题频发，滥用职权、权学交易甚至贪污腐败现象时有发生，这些都反映出高校在自身治理体系和内部控制方面还存在缺陷，廉政风险较为突出。很多高校对此已有高度认识和自觉，比如北京大学第十三次党代会明确提出要深化治理体系改革，其中首要任务就是“以《北京大学章程》为核心，构建决策权、执行权、监督权相互制约和协调的现代大学治理体系”。从这个角度来说，加强内控建设，对于高校推进综合改革、保证双一流建设具有重要和深远的意义。

二、高校内部控制的职能和职责

明晰职能定位和职责边界，是机构运行或工作开展的逻辑起点。其中，职能相对抽象，强调机构或工作的功能或价值；职责相对具体，侧重具体任务或者具体事项。职能的范畴决定了职责的边界，职责的履行用以支撑职能的实现。

首先，我们先从法规文件追本溯源。《单位内控规范》第四条规定了单位内部控制的三项目标：（1）合理保证单位经济活动合法合规、资产安全和使用有效、财务信息真实完整；（2）有效防范舞弊和预防腐败；（3）提高公共服务的效率和效果。在对内部控制要求和工作机构等其他条款^①中，多次出现“组织实施”“组织协调”“梳理业务”“分析风险”“督促执行”“监督检查”等关键职责表述。其次，我们就高校内控机构职责进行实例观察。比如，北京大学于2018年专门设置“内部控制管理办公室”，职责是负责全校经济和业务活动内部控制的管理^②，具体包括组织协调内部控制建设、开展内控过程监督、组织内控有效性评价、编制内控手册和报告、分析风险等。

基于上述分析发现，事业单位内部控制的业务范畴重点指向“合规管理”“风险管理”“效能管理”等。结合实践，我们认为高校内部控制的功能或价值主要体现在以下四个方面：

一是保证合法规范。通过采取不相容岗位分离、授权审批、归口管理、单据管理等各类控制方法，对学校资金资产安全、权力规范运行和健康可持续发展提供合理保证。这是内部控制的根本价值取向。

二是防控风险隐患。有效管理风险，是内部控制的理论精髓和基本要素。不论是在学理上从“整合框架”到“风险管理框架”的演变发展，还是在组织管理实践中对风险分析的日益重视，都显示出防范风险无疑是高校内部控制得以安身立命的基本追求。

三是提升效率效益。效率源自规则，管理就是生产力。严格程序、优化流程、查堵风险有助于提高组织运行中人、财、物等核心资源配置效率。实现规则和效率的有机统一和高度协同，必然是高校内控工作所要保证的重要目标。

四是推进治理改革。内部控制有助于管理者从方法、手段和技术上厘清突出问题、根本问题，有助于推进理顺治理关系，破除与发展不相适宜的机制藩篱，打通制约发展的“中硬阻”。内控追求的目标本质上正是治理体系改革的应然方向，并且，具有一定外部强制力的制度设计，也使得内部控制事实上成为高校完善治理、倒逼改革的有效抓手。

由以上职能范畴，我们将高校内部控制的主要职责归结为以下四个方面：

一是组织协调职责。如组织协调学校内部控制建设，设计内部控制体系，编制并定期更新内部控制手册，组织编制内部控制报告等。

二是督导督促职责。如督导督促各关键领域和二级单位内部控制的建设和实施。

三是评价反馈职责。如组织内部控制实施情况评价，组织风险分析和应对，组织建设并持续优化内部控制管理信息系统等。

四是咨询服务职责。如根据需要对有关制度、工作机制或业务流程等进行合规性把控，或在权限范围内开展合规咨询服务等。

三、高校内部控制的目标原则和体系架构

明确目标方向和实施原则是履行职责的必要前提。我们认为高校实施内控建设的总体目标是，按照内部控制工作相关要求，着眼战略目标和发展需求，通过推进内部控制建设，建立并完善内部控制体系，服务学校战略、规范权力运行、改进业务管理、优化资源配置，推动各部门担当履职、提升服务、防范风险、完善治理、推进事业发展。高校内控建设应当全面落实 “全面性、重点性、制衡性、适应性”四项基本原则，坚持实事求是，结合实际；坚持需求导向、问题导向；坚持于法周延、于事简便；坚持长期推进、持续优化。

《单位内控规范》将事业单位内控建设分为单位层面和业务层面。我们理解，单位层面内部控制侧重从治理结构、治理体系和组织运行等方面理顺关系、制约制衡，相对贴近COSO报告所指的“控制环境”和“信息沟通”^③等要素；业务层面内部控制侧重从具体业务流程的控制活动和监督评价角度，梳理分析风险并选择应对策略，贴近COSO报告中的“风险评估”和“控制措施”等要素。

单位层面内控建设的主要任务是明确战略方向、完善机构设置、明晰职责分工、健全制度体系、规范运行机制、强化信息沟通，建设权责统一、决策科学、执行坚决、运行顺畅、监督有效的治理体系。单位层面的内控建设应当立足实际，适度超前，与本单位的战略目标和治理能力建设紧密结合，促进单位实现更高水平的治理。

业务层面内控建设的主要任务是明确职责权限、健全制度体系、优化业务流程、促进沟通协调，最终指向改进管理、提升服务，具体可以通过编制内控体系建设提纲和工作指南、组织各职能部门梳理岗位职责、完善规章制度、分析业务流程、评估风险和制定防控措施等步骤实现。需要指出的是，高校作为教学科研单位有其突出的行业特点，在内部控制实际工作中，既要遵循普遍要求，也要注意把握高校特点和办学实际，稳妥推进。比如，在北京大学深圳研究生院开展业务层面内部控制的实践中，研究确立了“区分业务领域，分类分步推进”的工作步骤。首先，从《单位内控规范》明确的六大经济运行领域（预算、收支、采购、资产、工程、合同）入手，把控经济领域关键风险；其次，关注教育行业重点领域（学科建设、人事、教学、科研、合作办学、招生等），查漏补缺，防范风险；最后，在积累经验基础上，逐步延伸到两办、党群、学工和纪检等综合管理领域，推动职能部门担当履职，提高双一流建设服务效能。这样既可满足报告目标要求，也最大程度符合学校办学实际。

四、高校内部控制的工作机制

做好顶层设计，建立健全统筹协调、运行有序的工作机制，是建设实施内部控制的关键。

完善领导机构，强化组织保障。内控建设是完善高校治理的系统性工程和“一把手”工程，要列入单位长期规划，常抓不懈。应按照要求成立内控建设领导机构，健全内控工作机构，明确工作职责和权限，做好内控建设、实施、评价等环节顶层设计。强化宣传，引导各职能部门自觉提高风险防范和抵制权力滥用的意识，切实履行主体责任，担负起本部门本领域内控建设职责。强化队伍建设，提升履职能力，打造“懂管理、知风险，懂规则、知漏洞，懂业务、知隐患”的行家里手。

立足单位实际，科学谋划工作。坚持问题导向需求导向，针对内部管理薄弱环节和风险隐患，优化流程，防范风险，推进管理科学化。坚持深入调研，摸清底数，综合运用现场调研、项目调研、走访等多种形式，梳理关键风险，为建立实施及持续优化内控体系奠定基础。比如，北大深研院内控人员以“3个4”的工作架构（即，采取查阅制度流程、近距观察业务、列席部门会议、访谈部门人员等4种方法，开展职能职责分析、制度体系分析、业务流程分析、信息沟通分析等4项观察，达成发现不足和冗余、识别问题和风险、了解状态和需求、提出措施和建议等4项目标），蹲点调研，解剖麻雀，了解相关业务部门内控状态和内控需求，获得了预想的效果。

充分整合资源，推进持续优化。内控体系须匹配组织发展水平，与时俱进、持续优化。必须以开放的视野、前瞻的眼光，在坚持自身治理传统的同时，注重学习借鉴外部先进经验，吸取内控失败典型案例之教训。注意倾听服务对象意见，探索建立以师生感受为导向、以目标要求为对照、以外部监管为约束、以行业评价为参考的内控评价体系，推进内控建设持续改进。此外，还可适时充分发挥第三方机构的咨询作用和外部监督作用。

五、高校内部控制建设应注意把握的几个问题

内部控制是提高单位内部管理水平、保障权力规范运行的重要手段，但是内部控制必须依赖所处的单位或组织而发挥作用，不可避免会受到组织发展阶段、体制机制、历史文化等内控环境以及人员因素的影响。因此，在高校开展内部控制建设，我们认为还要注意把握好以下关系。

应然和实然之间的关系。受制于内控环境客观因素和某些可能的历史原因，内控往往只能对目标达成提供“合理保证”而非绝对确保，这是内部控制的先天不足。对此我们应有正确认识。这就要求在实际工作中尤其是涉及治理体系结构时，注意客观分析本单位发展所处的历史阶段，把握理想境界和现实情况之间的关系，平衡好“应然”程序规则和“实然”传统惯例的关系，立足当前，着眼长远，循序渐进稳步推进。

形式和实质之间的关系。内控基本价值观是“简便高效”，而非“复杂无效”，形式最终要为实质服务，建立与发展需求相匹配的合理控制是关键。若仅追求系统完备，“眉毛胡子一把抓”，非但不适合自身，而且只会导致臃肿低效。这就要求在内控建设尤其是涉及具体业务时，注意把握程序规则和具体目标之间的关系，紧盯核心风险和重大隐患，平衡好“实质”和“形式”，善抓主要矛盾，强化底线思维，兼顾规则和效率。

主责和协调之间的关系。 “众人拾柴火焰高”，内控建设实质上是各部门各领域改进工作、提升服务的内在需要，需要各部门主动作为、积极参与，内控专责或牵头部门不应事事包办替代甚至越俎代庖。这就要求在内控建设及实施中，注意从顶层设计上明确和区分各职能部门的主体责任、内控（牵头）部门的协调责任和监督责任，同时注意强化宣传引导，强化各单位尤其是关键领域归口部门的风险意识和内控意识，做到守土有责、守土尽责。

内控和发展之间的关系。内控工作的初心是推动完善治理促进发展。内部控制是有效工具，但不是目的；内部控制不能单打独斗，而要融入完善治理体系提升治理能力的布局，以担当促担当、以服务促服务、以督促出效率。 这就要求内控工作要始终坚持提高政治站位，着眼学校立德树人核心使命，服务教学科研中心工作，将内部控制与推进“三定”、建章立制、优化流程等治理体系改革重点环节紧密结合，一起部署、一体推进，防止“两张皮”，同时争取审计、纪检、监察等监督部门的支持，发挥自身优势、弥补自身局限，强化统筹协同，形成治理合力，努力实现内控工作效力最大化。

 

 

作者简介：戚国伟   北京大学深圳研究生院党委副书记　助理研究员

      雷 雯   北京大学深圳研究生院纪检和内控工作人员  

 

注释：

①见《单位内控规范》第七条、第十三条、第六十条等。

②见北京大学主页公布“内部控制管理办公室”职责规定。

③1992年COSO报告中提出内部控制的三项目标（经营目标、报告目标和合规目标）和和五要素（控制环境、风险评估、控制活动、信息与沟通、监督）。

 

参考文献:

[1]秦荣生，内部控制与审计[M]，北京：中信出版社，2008：2-17.

[2]池国华，樊子君，内部控制学[M].北京：北京大学出版社，2013：8.