公立医院内部控制之风险识别与诊断

内部控制

国家卫生健康委和国家中医药管理局组织制定了《公立医院内部控制管理办法》，提出内部控制包括风险评估、内部控制建设、内部控制报告、内部控制评价四个方面，风险识别评估与诊断是医院内部控制第一个环节，只有通过正确的风险识别与评估、准确的诊断，才能制定完善的控制措施，建立兼顾主要风险控制和效率的医院内部控制体系。

一、确定内部控制对象

公立医院经济性活动风险主要集中在三个方面：重要业务领域、重大业务事项、重点业务环节。在全面控制的基础上，重点关注医院的重要经济活动和经济活动的重大风险。涵盖预算控制、合同控制、收支控制、政府采购控制、资产控制、建设项目控制、医疗业务管理控制、科研项目和临床试验项目管理控制、教学管理控制、互联网诊疗管理控制、医联体管理控制、信息系统管理控制，其中：预算控制和合同控制是手段，其他控制是内容。医院根据自身的内部控制目标和建设规划，有针对性地选择控制对象。控制对象可以是整个医院或某个部门（科室），也可以是某项业务、某个项目或具体事项。

二、内部控制风险识别与应对

风险识别与评估是医院全面、系统和客观识别、分析自身经济活动及相关业务活动存在的风险，确定相应的风险承受度及风险应对策略的过程。风险识别与评估应该将重点放在风险危害程度和发生概率都高的维度，如个人武断决策、重大工程个人指定、不相容职务未分离等涉及廉政风险的方面，以及预算管控不力。

通过分析内外部环境对医院实现整体目标、控制目标和各项业务目标的影响及潜在因素，识别、分析风险；根据评估出的风险发生概率及严重程度，提出风险应对措施，规避、降低、分担和承受风险。

例如，在合同控制中存在的重要风险：一是合同缺少归口管理，散落在各个业务牵头部门；二是合同签署过程缺乏有效管控，存在法律和财务风险；三是合同管理缺少与预算资金的匹配，导致“有合同、无预算”的风险，尤其是跨年度执行的合同。针对以上风险，医院需要制定相关的风险控制措施：一是建立合同归口管理制度，凡是招标采购中心签订的经济合同，必须给财务部门报送一份原件，作为付款依据，其他部门无权进行采购，防止多头采购、多部门签合同；二是建立合同审签制度，除法人或法人书面授权人外，任何人不得签订合同，保证合同签订在法律、财务等方面得到有效保护；三是建立合同与预算的有效匹配，坚持“无预算、无合同、无支出”的原则，财务部门必须将编制好的采购预算报送招标采购中心一份，后者在办理采购时，坚持“无预算、不采购”，财务部门接到采购合同时，要审核采购项目是否属于预算内，如果预算中没有，财务部门拒收，不予付款。

三、医院要加强内控诊断

内控诊断是公立医院内部控制实施的第二个阶段，它的目的：一是发现风险控制问题，考虑如何修改完善；二是发现风险控制优秀实践，把它发扬光大；三是对医院现有风险控制水平形成整体结论，分析项目目标、策略是否需要调整。内控诊断分为制度诊断法和要素诊断法，前者按照制度自检、流程梳理、缺陷认定、建设方案的顺序完成，后者包括控制环境、风险评估、控制活动、信息与沟通、内部监督五个要素。

制度梳理是公立医院内部控制的主要诊断方法，即从风险控制的角度审视现有管理制度的漏洞。因为制度是内部控制最主要载体，制度梳理的目的是将其中体现出来的风险控制要求识别、梳理出来，存在缺陷并不可怕，怕的是没有发现缺陷、没有进行整改。制度梳理主要包括两个方面：一是制度流程化程度，即能否从现有的一个或者多个制度中，梳理出清晰、完整的流程，包括实施主体、具体动作、频率、记录载体；二是风险与控制应对，即某项业务涉及的所有重要风险，是否在制度层面进行了应对。例如，出纳员负责开支票，财务印鉴和支票由他一人管理，就给了他开具支票挪作他用的机会；同时每月底对账时，由出纳员负责收取并核对银行对账单，舞弊行为难以发现，出纳员挪用公款的机会就出现了。机会的含义，一方面是利用业务流程缺陷为自己谋利的可能性，另一方面是做了这些事不会立即被发现。事实上，内控缺陷包括设计缺陷和运行缺陷，医院通过诊断确定内控缺陷，制定应对措施，减少舞弊机会：一是支票和印章由不同人员保管；二是月底由会计对账。

医院实施内部控制前，首先要诊断出制度能否体现完整的业务流程，能否包含整个业务流程重要的风险控制。梳理中发现疑问，说明制度中缺少规定，但只要发生了某项业务，一定存在实际上的流程和工作。访谈是内控诊断的另一种方法，可以获得重要信息，对控制是否有效进行初步判断。

总之，内部控制关注的是风险控制情况，坚持内控会带来医院管理上的改变。通过准确的内控风险识别和评估，以及内控诊断，由目标发现风险，针对风险设置控制活动，有助于营造良好的医院内部控制环境。