龐珍梅

湛江中心人民醫(yī)院 廣東 湛江

一、引言

公立醫(yī)院內部審計應充分發(fā)揮全過程監(jiān)督評價的優(yōu)勢作用，保障公立醫(yī)院實現(xiàn)風險管理的戰(zhàn)略目標，構建系統(tǒng)、全面、創(chuàng)新的戰(zhàn)略管理格局。全美反虛假財務報告委員會下屬的發(fā)起人委員會（COSO）于2004 年首次發(fā)布《企業(yè)風險管理——整合框架》（Enterprise Risk Management-Integrated Framework,ERM），該框架提供了一個綜合的方法來識別、評估、處理和監(jiān)控組織面臨的各種風險。它強調風險管理的整體性和全面性，以幫助組織構建其自身的風險管理框架。2017年，COSO發(fā)布新版《企業(yè)風險管理框架―戰(zhàn)略與績效的整合》（以下簡稱COSO-ERM），為了使框架適應于所有類型的組織（尤其新增了非營利組織），新框架在原版本的基礎上完善了結構、要素原則、方法指南等內容。新框架包含了企業(yè)治理和文化、戰(zhàn)略與目標制定、績效、審閱和修訂以及信息溝通與報告五大要素，更加適應組織及社會治理和監(jiān)管的需求，并強調了績效與戰(zhàn)略在風險管理體系的重要性，促進組織充分考慮使命、愿景、核心價值的影響。

二、COSO-ERM 要素的主要內容

1.治理和文化

作為COSO-ERM框架的基礎，它涵蓋了組織在實施內部控制時所需的價值觀、道德規(guī)范和行為準則。通過建立良好的治理結構和塑造積極的企業(yè)文化，組織能夠有效管理風險，提升內部控制的質量和效果，實現(xiàn)長期的可持續(xù)發(fā)展。

2.戰(zhàn)略和目標

戰(zhàn)略和目標是指組織在制定業(yè)務戰(zhàn)略和目標時所考慮的因素，要求組織將風險管理整合到其戰(zhàn)略過程中，確保風險管理與組織的戰(zhàn)略目標相一致，有助于組織建立以風險管理為導向的戰(zhàn)略目標體系。

3.績效

績效是衡量組織實現(xiàn)其戰(zhàn)略目標的能力和達成情況，強調了內部控制對于提高績效、降低風險以及促進持續(xù)改進的重要性?？冃c內部控制之間存在著密切的關聯(lián)，將內部控制視為提高績效和風險管理的重要手段，并倡導組織在實施內部控制的過程中實現(xiàn)持續(xù)改進。

4.審閱與修訂

審閱與修訂是指對內部控制系統(tǒng)進行定期評估和改進的過程，鼓勵組織對其內部控制進行審閱和修訂，以確保其適應變化的環(huán)境和風險，為內部控制的發(fā)展和優(yōu)化提供動力和方向。

5.信息溝通與報告

信息溝通與報告是指將相關信息傳達給利益相關方的過程，確保準確、及時地傳遞關鍵信息，以便利益相關方做出明智的決策。有效的信息溝通和報告機制可以幫助組織及時識別和應對風險，增強組織的信任度和聲譽。

三、基于COSO-ERM 構建公立醫(yī)院內部審計框架

1.治理和文化

（1）組織架構。公立醫(yī)院需建立獨立的內部審計部門，并賦予該部門直接向公立醫(yī)院管理層或內部審計委員會匯報的權限。內部審計部門應該具備相應的人員配置和職責劃分，包括：內部審計負責人、醫(yī)技業(yè)務內部審計員、財務業(yè)務內部審計員、內部審計數(shù)據分析員等。

（2）運作模式。一是全部由內部審計機構開展業(yè)務，模式優(yōu)勢在于對醫(yī)院內部情況更為了解，但可能存在利益沖突和獨立性問題。二是聘請外部專業(yè)機構進行審計，相對獨立、客觀，但成本較高。三是混合模式，結合自主開展內部審計及外委審計，既利用內部資源又借鑒外部專業(yè)經驗。公立醫(yī)院內部審計可結合實際情況，靈活采取相應的運作模式。

（3）文化價值。公立醫(yī)院內部審計，提倡獨立、客觀、保密的審計文化。鼓勵全院職工積極參與、配合內部審計工作。建立公立醫(yī)院內部積極的溝通與合作機制，促進內部審計與其他部門的有效協(xié)作。強調內部審計的價值在于提供獨立的評估與監(jiān)督，通過發(fā)現(xiàn)潛在風險和問題，并提出改進建議，幫助公立醫(yī)院優(yōu)化業(yè)務流程和管理效率。

（4）審計資源。為保證內部審計人員具備專業(yè)素質，不斷提供培訓和發(fā)展機會，為內部審計提供必要的支持，包括：人力、技術、信息系統(tǒng)等。

2.戰(zhàn)略和目標

（1）目標環(huán)境。公立醫(yī)院戰(zhàn)略目標是可持續(xù)發(fā)展，如為提升醫(yī)療技術水平，確?；颊叩玫桨踩?、有效和及時的進行醫(yī)療護理，引進先進的醫(yī)療設備、技術；為提供優(yōu)質的醫(yī)療服務，提高就診體驗，購買保障服務等。應制定明確的內部審計戰(zhàn)略和目標，與公立醫(yī)院整體戰(zhàn)略保持一致，如制定設備采購、服務采購、經濟責任審計等內部審計規(guī)劃。這包括確定重點領域、優(yōu)先級，以確保內部審計工作能支持公立醫(yī)院的運營和治理目標。

（2）風險偏好。公立醫(yī)院常見的信息系統(tǒng)包括：HIS、PASS、ERM等，具有綜合性、專業(yè)性等特點，需建立有效的信息系統(tǒng)和數(shù)據管理機制，以確保內部審計過程中所使用的數(shù)據可靠性和可訪問性，提高內部審計的風險偏好的分析效率，同時也為后續(xù)的數(shù)據分析提供基礎。如公立醫(yī)院內部審計應高度關注法律風險，醫(yī)院的經營是否符合相關法律法規(guī)的要求；關注是否存在可能影響患者安全和醫(yī)療質量的潛在風險，如手術操作規(guī)范、藥品使用和質量管理；關注是否存在信息安全風險，包括：信息泄露或濫用等，通常內部審計在這些方面傾向采用零容忍的風險偏好。

（3）替代戰(zhàn)略。在公立醫(yī)院開展業(yè)務過程中，對于內部審計戰(zhàn)略的綜合考慮和選擇。建立日常審計為輔、專項審計為主的機制。采取日常審計方式來監(jiān)督關鍵業(yè)務流程、內部控制的合規(guī)性和有效性。針對特定的項目或業(yè)務，進行專項審計。將日常審計與專項審計相結合，可以全面覆蓋公立醫(yī)院的審計需求，確保對各個方面的審計要求進行綜合考慮和選擇。建立內部審計業(yè)務質量自查、定期邀請外部機構或專家進行審核和驗收，提高內部審計的質量和效果。

3.績效

（1）識別排序。識別常見的公立醫(yī)院內部審計風險，并將根據影響程度和可能性排序。需要注意的是，風險識別和排序是一個動態(tài)的過程，具體情況可能因醫(yī)院的規(guī)模、業(yè)務特點和內部控制現(xiàn)狀而有所差異。財務管理方面的內部審計風險，如資金挪用、財務舞弊等，這類風險對公立醫(yī)院的經濟利益和聲譽有較大的影響，可納入高影響、高可能性的風險；合規(guī)與法律方面的內部審計風險，涉及公立醫(yī)院未合規(guī)或違法行為，如違反醫(yī)療法規(guī)、患者隱私泄露等，這類風險可能引發(fā)法律糾紛、罰款或聲譽損害，可納入中影響、高可能性的風險；采購與供應鏈方面的內部審計風險，如包括合同違約、質量問題、供應商不端行為等。這類風險可能導致公立醫(yī)院采購成本增加、服務中斷或醫(yī)療質量下降，屬于高影響、中可能性的風險。在進行內部審計風險識別時，需要結合具體情況進行綜合評估，并及時調整識別和排序結果，以保持風險識別的準確性和有效性。

（2）風險度量?？刹捎枚炕蚨ㄐ栽u估的風險矩陣或其他評估工具，對包括公立醫(yī)院風險發(fā)生概率、影響程度和可控性在內的優(yōu)先級進行評估。要優(yōu)先考慮對公立醫(yī)院目標和利益影響最大的高風險項，以確保最大限度地利用內部審計資源。建立健全公立醫(yī)院內部審計委員會機制，負責監(jiān)控和評估內部審計風險，制定明確的內部審計風險指標和警示線，及時識別、預警和應對。

（3）風險控制。公立醫(yī)院內部審計在工作開展中根據不同風險的特點，確定內部審計改進業(yè)務流程、加強培訓與教育、建立風險監(jiān)控等，并采取適當?shù)娘L險治理方法來降低內部審計風險。為了提高公立醫(yī)院內部審計工作的效果，需要進行持續(xù)改進。一是加強審前準備工作，明確內部審計的目標和范圍；確保審計工作有針對性和有效性。二是增加內部審計樣本抽查的隨機性和廣泛性，以覆蓋可能存在的風險領域，確保審計結果的全面性和準確性。同時，加強內部審計工作底稿的記錄和保存，以便于后續(xù)的追溯和復核，提高審計工作的可追溯性和可驗證性。三是通過這些改進措施，可以優(yōu)化審計程序和方法，提高公立醫(yī)院內部審計工作的質量和效率。

4.審閱與修訂

（1）變化評估。為了確保內部審計的有效性和適應性，公立醫(yī)院應定期評估內部審計的變化情況。這包括對內部審計重點進行調整、對內部審計方法進行改進、對內部審計資源進行合理調配，有助于確保內部審計工作能夠適應公立醫(yī)院運營環(huán)境和需求的變化，并及時做出相應調整。

（2）績效審查。通過制定公立醫(yī)院內部審計評估指標和進行成果測量，如內部審計發(fā)現(xiàn)的準確性、報告的及時性、影響的實際改進等?；趦炔繉徲嫿Y果和績效審查的結論，針對性地進行管理改進。這包括但不限于優(yōu)化內部審計流程、提升內部審計團隊的能力和技能、加強與其他部門的協(xié)作等。同時，還可以將內部審計結果和改進建議，納入公立醫(yī)院的內部控制和風險管理體系，推動公立醫(yī)院整體的管理提升。

（3）管理改進。為了實現(xiàn)管理改進，公立醫(yī)院的內部審計部門應與相關部門、領導層和利益相關方進行密切溝通，積極向領導層報告審計結果，討論發(fā)現(xiàn)的風險和問題，并提出改進建議。獲取公立醫(yī)院領導層的支持和關注，持續(xù)監(jiān)測和評估，有助于建立一個持續(xù)改進的內部審計機制。

5.信息、溝通與報告

（1）信息技術。選擇合適的內部審計管理軟件或平臺，用于數(shù)據收集、分析和報告生成。確保該軟件或平臺符合公立醫(yī)院的內部審計需求，并提供安全可靠的數(shù)據存儲和訪問功能。利用數(shù)據分析工具，如數(shù)據挖掘、可視化工具等，對內部審計數(shù)據進行深入分析，發(fā)現(xiàn)潛在風險和問題，并支持決策制定。

（2）信息溝通。有效的內部審計信息溝通包括但不限于，制定明確的內部審計信息溝通流程，包括：內部審計的計劃、進展、發(fā)現(xiàn)、解決方案等；設立定期的會議或工作討論，與相關部門和管理層交流內部審計工作的進展和結果；制定信息溝通政策，確保所有涉及內部審計的信息都按照規(guī)定的渠道和程序進行傳遞，并妥善保管；建立內部審計信息庫或文檔管理系統(tǒng)，用于存儲和檢索與內部審計相關的文件和信息；開展內部培訓和溝通活動，向公立醫(yī)院員工普及內部審計的目的、重要性以及相關的流程和職責；鼓勵和支持內部審計團隊參與行業(yè)內的培訓和交流活動，提升專業(yè)知識和技能。

（3）報告機制。制定規(guī)范的內部審計報告的格式和內容要求，使報告易于閱讀和理解。此外，還應設立明確的報告編寫和審閱程序，以確保報告的準確性和完整性。通過規(guī)范的報告機制，可以提高內部審計報告的一致性和可比性，便于各利益相關方理解和利用報告中的信息。通過嚴格的編寫和審閱程序，確保報告的準確性和完整性。這樣做可以減少錯誤和遺漏，形成有效的質量控制的形式，以確保內部審計報告的可靠性。

四、小結

針對不同風險類別，制定相應的內部審計程序和技術手段，以確保潛在風險得到及時發(fā)現(xiàn)和控制。在內部審計框架的應用方面，可以采用定量分析方法，通過對設定的要素進行評價，對內部審計的執(zhí)行情況和效果進行定量評估，增加應用的客觀性，并為公立醫(yī)院提供具體數(shù)據支持，以便更好地評估和改進內部審計工作。在實踐工作中，內部審計框架的設計和應用只是內部審計工作的開始，將審計成果與公立醫(yī)院的日常業(yè)務活動相結合，從實際上提高治理效能和業(yè)務運營效率。