|
财政部2015年发布了《指导意见》，要求全国范围内的行政事业单位要在2020年前完成内部控制体系建设工作，内部控制体系应该如何建立呢？《内部控制规范》第七条给出了答案，实际上这也是开展内部控制工作的七个步骤：一是梳理单位各类经济活动的业务流程；二是明确业务环节；三是系统分析经济活动风险，四是确定风险点；五是选择风险应对策略；六是在此基础上根据国家有关规定建立健全单位各项内部管理制度；七是督促相关工作人员认真执行。其中，第一第二项是流程管理，三四五项是风险评估，六七项是内控体系文件的设计和执行。也就是说，建立内控体系的方法是采取流程管理的理论分析具体的业务活动，通过流程梳理，必要时实施流程再造，从而识别和分析潜在的风险，然后针对这些风险制定防控措施，最后是严格要求单位工作人员认真执行。 一、梳理业务流程 这里的业务流程是指预算、收支、政府采购、资产、建设项目、合同六大业务的业务步骤和程序。流程梳理需要研究和分析单位的“三定”规定内容，根据“三定”确定各项业务活动的负责部门或者归口管理部门。比如，预算、收支业务肯定是由财务科归口，但政府采购业务就不一定了，可能是财务科，也可能是办公室，在学校一般是总务处。 流程梳理是最基础也是比较繁琐的一项工作，通过流程梳理，把业务活动基本的步骤和先后顺序搞清楚，这项工作的最终结果是要把业务活动以流程图的形式表现出来。 二、明确业务环节 每一项经济业务活动都分为若干业务环节，比如，预算业务活动，可以分为预算编报、预算调整、预算执行、决算编报、绩效评价五个业务环节，每个环节还可以继续细分为更小的节点。不同的业务环节对应相应的流程层次，所以流程又分为一级流程、二级流程、三级流程等。在内控建设初期阶段，我们建议尽可能的减少业务环节的层级，只做到一级流程就可以了，但要留好接口，将来升级内控体系文件时在进行二级、三级流程设计。 三、系统分析风险 这里的关键词是“系统”，业务活动中任何一个单一的风险都有可能转化为业务层面整体的风险，因此，风险分析要体现全面性和系统性，既要强调个体风险的特殊性也要有大局观。《内部控制规范》第五条提出了全面性原则的要求，就是要求单位要站在全局的角度考虑内控建设，而现实中单位比较缺乏的正是这种大局观。 比如，合同变更以后没有在归口管理部门办公室登记，也没有将变更的文本流转到财务科，这就有可能导致财务科按照原合同支付资金，最终的结果是单位资金遭受损失，严重影响单位利益和声誉。合同管理一个环节的失误，看似是经办部门的经办人的操作错误，导致的后果可能是单位整体的损失和被动。 四、确定风险点 确定风险点是在要业务流程梳理的基础上，对单位内设机构和岗位设置情况进行具体分析，先明确业务活动的主责部门及职责，再按照流程步骤将每个业务环节进行特定风险评估，从而识别出出可能造成单位经济损失和其他不利影响的风险点。 这里又存在着一个业务活动的细分：六大经济业务活动中，每个经济业务活动可以细分为不同的业务环节，每个业务环节还可以继续细分为业务节点。比如，预算业务活动有预算编报、预算执行等五个业务环节，而预算编报这个业务环节又可以细分为提出预算建议数、预算建议数审批批复、下达预算控制数、预算草案编报等九个业务节点。通过风险识别和分析，有些节点没有风险或者风险的等级很小，是可以承受的风险；有些节点有风险，必须要制定措施加以控制，并且还要对这些业务环节的风险点并进行描述。 所以说，风险评估和流程梳理是比较复杂和繁琐的工作，没有专业知识，不了解各项业务的实际，没有充足的时间精力做保障，这项工作是很难完成的。 五、选择应对策略 风险应对策略包括风险规避、风险降低、风险分担和风险承受四种，虽然有四种措施，但从积极管控的角度而言，主要是风险降低这一种控制措施。相对于企业而言，行政事业单位作为公共部门提供的是公共服务，没有竞争者，通常没有经济效益方面的考虑，因而其风险主要是业务中的低效、浪费和舞弊，要将这些风险控制在可承受范围之内。 六、建立健全管理制度 确定好风险点以后，应该制定对这些风险点的管控措施。按照风险管理理论，一般是采取设计风险控制矩阵的方式，将控制目标、控制活动类别、控制的措施、控制方法、控制文档、控制频率、主责部门和岗位等信息绘制在一张表内，可以比较直观的显示对风险采取的控制活动信息。风险控制矩阵中重要的内容是关于控制措施的描述，一般情况下在这张表中不便于描述过多的文字内容，所以就需要专门设计对应的管理制度，这就是内控建设工作除流程之外另一个重要的工作——内控制度建设。 七、工作人员执行 这里的工作人员泛指单位内部参与到内部控制建设和执行工作的领导、各部门负责人和所有职工。工作人员如何才能有效的执行？这就需要执行的工具了——内控信息化系统。 《内部控制规范》提出的这七个步骤，很科学也很权威，每个单位都能做到，当然也必须要这么做。 |
|
|
