整体层级内部控制的测试技术综合采用员工调查、管理层访谈、复核计算机一般控制和记录复核。其中，管理层访谈主要从组织文化、人事政策、信息技术系统控制、组织和控制结构之间的联系、风险识别、反舞弊程序和控制、最高层的财务报告流程和系统范围内的监督8个方面设计问卷，并从文件记录、认识和理解、态度、控制程序和监督5个不同特征进行评分，按照1、3、5、7、9设置，如果介于两个打分标准之间，可以相应填写2、4、6、8、10。受访人员包括财政国库部门主要管理人员和本次课题参与调研人员，管理层访谈结果取平均值。

    (2)作业层级内部控制评估方法。作业层级测试和评估主要通过收集相关内部管理制度、发放问卷调查、组织访谈调研和实施穿行测试等方式开展。

    三、基于辽宁财政国库的政府内部控制自我评估结果

    根据前文设计的政府内部控制自我评估体系，本文对辽宁省域内的财政国库系统[③]进行了内部控制自我评估。其中，整体层级评估主要针对省级财政国库开展，主要考虑地方规章制度由省级来制定，所以其人员、特别是管理人员必须对整体层级控制了解，并且足够重视。作业层级评估以省级财政国库作业流程图[④]和现有制度文件为基础，对省以下财政国库进行评估。

    （一）整体层级控制接近于系统的水平

    由管理层问卷调查和访谈结果可知，省级财政国库整体层级内部控制接近于系统的水平，其中，组织文化、人事和IT一般控制表现最好，已经达到系统的水平；风险识别、反舞弊程序、最高层财务报告和系统范围的监督接近于系统的水平，需要进一步增加标准和惯性；目标和控制的关联性接近非正式的水平，应该增加处罚以提高控制效果。

    从文件记录、认识和理解、态度、控制程序和监督5个不同特征的评估结果来看(见表3)，控制政策和程序的记录接近于完整和一致；基本上能够实现定期监督，但各个领域的监督水平不一致，人事、IT一般控制较为完善，其它领域尚未达到整合的水平；认识和理解由认为管理层之外无须沟通向正式沟通迈进的过程中，存在与控制相关的培训；态度基本处于控制与业务流程相融合的阶段，管理层认识到内部控制是组织业务流程不可分割的一部分，而且维护一个有效的系统是其基本职责之一。管理层开始投入大量资源，相互协作设计并维护更可靠的内部控制，并将单个的控制要素有机结合成一个整体。省本级财政国库不仅一直致力于持续的改进其内部控制，也致力于提高省以下层级财政国库部门的内部控制。

    综上，尽管近年来整体层级内部控制有显著改善，但是内部控制的有效性大部分依赖于个人的技能、专业胜任能力和道德价值观。由于控制的可靠性是对个人而不是对组织的依赖，因此在辽宁各层级财政国库、同一层级内部，内部控制的可靠性有很大的差别。领导重视、有专业胜任能力和较高的道德价值观，内部控制可靠性水平较高，否则较低。未来随着更正式的、标准化的控制出现，控制整体的有效性将越来越依赖于组织而非个人能力，内部控制系统将因此更加可靠。

表3  整体层级内部控制5个特征的评估结果

    （二）作业层级内部控制存在不足

    作业层级评估中，主要发现了以下不足：

    1.重要控制的记录缺失

    评估中发现，辽宁省以下财政国库存在不同程度的重要控制的记录缺失。这些记录包括：

    （1）预算收支旬、月报表审核没有形成书面记录。预算收支旬、月报表缺乏相关领导审核书面记录，可能导致旬、月报表中存在虚假、无效收据或遗失重要信息。

    （2）印鉴章交接未形成书面交接记录。在市、县(区)、镇三级财政国库的印鉴交接过程中，双方仅进行口头授权与交接，未形成书面交接记录，交接双方责任不明晰，存在资金安全隐患。

    （3）银行对账差异未形成书面说明。县乡的会计核算岗在与银行对账的过程中，由于未达账项的存在，会出现对账差异，但是，目前各核算岗并未针对差异编制银行余额调节表。对账差异未形成书面说明，将不利于及时查清对账差异原因，掌握资金去向，导致资金安全风险的增加。

    （4）票据管理记录不完整。《关于贯彻落实财政票据管理办法的通知》第四条第三节规定：“财政票据使用单位必须建立财政票据专管员制度，制定专人负责管理财政票据，建立票据使用登记制度，设置票据管理台账，严格执行财政票据使用保管各项规定，规范财政票据使用保管行为。”但调研中发现，除了省级财政国库，其他各层级财政国库对票据的详细领购、发放、使用、交回的台账信息记录不完整，不能充分反映在库的票据的票号、数量等情况，不利于对库存票据情况的准确掌握，一旦出现票据丢失现象，也不利于发现与查找，不利于对空白库存票据的盘点。

    （5）会计稽核未形成稽核工作记录。市一级财政国库的会计稽核工作一般由国库处副处长、收付中心主任负责，包括财政总会计稽核工作和财政专户会计稽核工作。通过访谈了解到，各层级财政国库每月进行不定期的稽核，发现问题后告知会计核算人员，但是并未形成书面会计稽核记录，导致对会计稽核缺乏相应的证据，不利于检查稽核整改意见的落实情况。

    （6）国库集中支付系统中的银行账户信息维护缺乏相应的审批记录，只由具体业务人员负责变更和维护，可能会导致信息维护的不准确。

    2.市县财政国库部门未建立信息安全管理制度

    省级财政国库部门自2012年开始逐步建立了信息安全管理制度体系，而省以下财政国库部门均未制定相应制度。

    （1）人员与培训方面，一是系统管理人员授权过大，既有业务操作权限，又有系统管理权限，未进行适当权限分离，为舞弊提供可能。二是尚未建立信息技术人员培训机制，可能导致系统用户信息安全意识淡薄，计算机技能薄弱，甚至不能胜任本职工作。

    （2）物理安全方面，一是尚未制定外部单位人员访问信息系统的规范。外部人员访问信息系统没有正式的书面授权，未签订保密协议，其操作行为未受到监控，可能导致重要信息泄密且不能得到行为追溯。二是移动存储设备可在内外网环境自由插拔，未得到有效的控制和监管，存在将病毒携带进内网环境的可能，同时内网重要数据在无授权情况下可能被携带出去，造成泄密。三是缺乏正式发布且有效执行的机房管理制度，机房没有专门管理岗位，进出人员没有进行申请和登记，导致机房管理工作和信息安全管理工作没有依据和标准。

    （3）应用系统安全管理方面，一是账户及权限管理无制度依据，主要是未制定统一标准的账户及权限申请单，申请说明文件没有领导签字，未制定不相容职责权限分配表。二是未对超级用户操作行为进行监控，可能导致超级用户的一些危险操作行为不能被及时发现和制止。三是未对系统账户进行定期审阅，可能导致冗余账户未被及时删除，权限过大的账户未被及时发现。

    （4）操作系统和数据库安全管理方面，未制定操作系统和数据库登陆密码策略，包括密码复杂度、更换频率、登陆失败次数要求，可能存在系统管理员设置登陆密码过于简单或易于识别。

    （5）备份管理方面，未制定和发布数据备份管理制度和异地数据备份，尚未建立问题上报与处理机制，缺乏必要的应急预案管理与程序，导致问题上报和响应缺乏依据和标准，当发生火灾、地震等重大自然灾害时，可能导致数据部分或全部灭失。

    3.县乡财政国库内控制度有待进一步完善

    辽宁省级财政国库自2013年开始加强和完善国库内控管理的制度建设，包括岗位轮换和回避制度；印鉴、票据、档案管理等制度；内部教育培训制度和相关岗位的考评、奖惩制度；各岗位的工作规程；会计对账制度；内部稽核制度；信息安全管理制度；代理银行考评制度；财政资金安全检查制度；风险评估制度。与省级财政国库相比，县(区)级和乡镇级财政国库内控制度建设存在不足，主要表现在：

    （1）国库业务未制定岗位轮换和AB角管理制度。同一岗位工作年限过长有可能导致资金运行风险，不利于提高业务人员素质和能力，同时现有岗位人员如外出、休假等没有备岗人员接替其业务，会造成工作的延误和间断。

    （2）尚未制定财政专户管理办法，缺乏对财政专户的审批备案管理。财政专户的开立、变更、撤销没有相关的审批管理程序规定，未向上级财政部门备案，导致上下级财政间财政专户信息不一致，影响了财政资金拨付的安全和效率。

    （3）非税收入收缴管理制度缺失。财政国库负责非税收入管理工作中收入缴库后的核算工作以及缴库收入的退付工作等。但是调研中发现，省以下财政国库普遍缺乏这方面的相关制度规范，导致岗位职责不明确，划款业务活动不规范，不利于非税收入管理工作有效开展。

    （4）代理银行考评机制与制度缺失，导致考评工作无章可循，将不利于准确、合理评价代理银行服务质量。

    （5）资金实拨管理制度缺失。通过访谈了解到，部分县乡未建立资金实拨管理制度，不利于规范实拨工作。

    4.各级财政国库内部控制存在执行缺位、不到位的现象

    辽宁各层级财政国库存在一定的“重内部控制制度建设、轻内部控制制度执行”的倾向，存在不同程度的执行缺位、不到位的现象。

    内部会计控制执行不到位主要表现为：一是国库业务岗位人员未实现轮岗和AB角管理；二是在支出拨付管理流程中部分不相容岗位未能实现有效分离，例如有的财政国库部门的预算外会计岗、非税专户会计岗既负责支出拨款又负责会计核算，为资金舞弊提供了机会，造成资金安全漏洞，带来资金安全隐患。

    内部管理控制执行缺位主要表现为：一是缺乏对财政专户等银行账户的动态管理，大量存在着账户管理信息不完整、台账登记不规范、银行账户的变更、撤销未向财政国库部门备案或未及时备案、银行账户信息不能及时更新等现象，有可能影响财政资金安全和有效使用。二是内部控制信息化程度有待提高。如调研中发现，非税收入收缴管理系统、非税收入记账系统和国库集中支付系统的项目库科目使用不一致，各系统相对独立，实际工作中业务人员的数据需要手工录入，有可能出现数据记账错误。

    四、政府内部控制存在不足的共性原因和对策

    （一）政府内部控制存在不足的共性原因

    辽宁各层级财政国库内部控制的自我评估可以发现，我国现行政府内部控制存在诸多不足部分原因是由其自身业务特点决定的，但同时也有共性的因素在里面，归纳起来主要有以下几点：

    1.各级政府相对独立，不利于制度自上而下地推行

    评估发现，政府内部控制表现为市级不如省级、县(区)级不如市级、乡(镇)级不如县(区)级，一个重要原因是各级政府相对独立，不利于制度自上而下地推行。例如岗位轮换和AB角管理制度在省、市两级有相应的制度文件，县以下没有相应的制度文件；省级在制定制度之后能够严格按照制度执行，市级以下则存在执行不到位、缺位现象。上一层级政府对下一层级政府的工作可以指导，但不能强制其执行，各层级政府的内部控制质量会存在不同。

    2.合规管理文化缺失，导致执行不力

    内部控制要让制度约束行为，需要合规管理理念深入人心，对于财经法规的遵守成为每个人、每个单位的工作前提，也就是说对于合规的追求不再仅仅是预算制度的目标，而是成为各级地方财政机关和预算单位的管理文化，即使在离开严格外部监督的情况下，合规管理也能够全面、自动地实现。目前这种合规管理文化在我国恰恰是缺失的，导致与制度不相符的行为出现，并且不易区分哪些不相符是合意的，哪些不相符是故意的、不合意的。从我们的调查看，即使是制度文件相对成熟的省级财政国库，也存在执行不到位、缺位现象，原因之一是我们的合规管理文化的缺失，从而使得内控的效果降低。

    3.宏观治理环境的缺失

    内部控制是假定单位一把手是诚信和有道德价值观的，从而由其约束下面的职员。而对一把手的控制需要相应的宏观治理环境，例如对公权力的制衡需要有一个涉及整个国家的内部控制。同时，政府的会计与财务报告是组织内外人员对该组织的活动进行确认的极为重要的信息，完全一致、准确完整的财务及成本估算信息，为内部控制和业绩改进提供评估标准。美国政府内部控制法律法规与制度的健全离不开20世纪90年代美国采取的一系列推动财务管理制度现代化和提高财务报表质量的举措，这些举措确保向部门主管提供及时准确的财务信息，奠定了内部控制的基础。很显然，这两点在我国是缺失的或者至少是不完善的，导致我国内部控制缺乏相应的宏观治理环境。这种环境的缺失反过来制约我国各类组织，包括财政国库的内部控制效果。

    （二）建设和完善政府内部控制体系的对策建议

    系统的内部控制是一个动态的、循环永续的过程，这个过程包括制定内部控制规范、实施内部控制、内部控制评估、内部控制报告和整改五方面内容。这五方面内容相互衔接，相互制约。结合中国的实际，优化内部控制的第一步是制定政府内部控制规范，第二步是强化执行效果。

    内部控制规范的制定应注意以下几点：一是整合现有制度文件，从风险管理入手，以保证资金安全为主要目标。应建立政府管理风险评估机制，定期对政府管理存在的风险进行全面、系统和客观评估。评估后，应形成书面报告，作为完善内部控制的依据。风险评估应该包括整体层级风险评估和作业层级风险评估。前者主要从管理制度、人员岗位、信息系统等管理活动进行风险评估，后者主要从银行账户、预算收入收纳、财政资金拨付、会计核算、综合管理、内部监督和检查等方面进行评估。二是将控制与组织既定的目标和运行结构相联系。定义使命或运营目标是控制设计有效的前提条件。在定义作业层级目标时，所有层级的管理者都应参与到目标设定的过程，并识别那些对实现组织范围目标来说最重要的目标。设定目标之后，为确保控制的有效性，应将控制与机构既定的目标和运行结构相联系[⑤]。三是结合各级政府现状构建内控管理体系。各级政府所承担的公众所托责任大小会有不同，而且内部控制也不是“免费的午餐”，需要付出一定的成本，例如足额人员配备、信息系统维护等。所以，不同地区、不同级次的政府应结合自身特点构建内控管理体系，量力而行。

    行为经济学认为人们的能力在一些方面——尤其是理性、自我控制和自利方面是有限的（彼得·戴蒙德，汉努·瓦蒂艾宁，2013），从而人们的行为有可能背离制度的规定，因此，建设和完善政府内部控制不仅要关注制度设计的合理性，也要关注运行的有效性，通过行为和制度的偏差角度来矫正内部控制规范，以达到期望的内控目标。结合辽宁财政国库内部控制自我评估结果，本文认为应着重做好以下几点：一是确定内部控制职能部门或牵头部门。美国政府内部控制通过几十年的努力，建立健全了督察长制度、首席财务官制度，在行政系统内，构成了联邦政府行政部门的内部控制[⑥]。我国也应逐步确定相关职能部门或牵头部门。二是完善内部控制环境，加强关键岗位工作人员的培训、评价和轮岗等机制。内部控制的有效性不可能脱离建立、执行和监控它们的人员的诚信、道德价值观和胜任能力。其中诚信和道德价值观是内部控制环境的首要因素，相应的制度约束，例如轮岗机制的建立也是不容忽视的。它们将影响内部控制的其他构成要素的设计、执行和监控。鉴于迅速变化的科技和日益复杂的社会环境，聘用胜任的员工以及一次性培训是不够的，教育过程必须是持续性的，以使工作人员跟上环境变化的步伐，并有效地加以应对，增强政府内部控制的效力。三是实行内部控制责任追究制度。以政府预算执行为主线，落实财政财务收支主要环节的内部控制责任，制定并实行内部控制责任追究制度，以加强法律对监督。四是提高内部控制信息化程度。应充分运用信息化手段加强政府内部控制，将管理活动及其控制流程嵌入信息系统，一方面可以将一线工作人员从简单重复的繁杂工作中解脱出来，提高工作人员工作舒适度和效率，让工作人员有时间、有激励思考如何提高工作效率；一方面降低工作失误和营私舞弊的可能性。

    制度设计和执行效果是政府内部控制的基石，在此之上，我国可以进一步完善内部控制监督与检查制度，开展内部控制评比活动，建立内部控制整改机制，不断完善内部控制机制和推进相关领域改革，为内部控制创造良好外部环境。

参考文献：

〔1〕刘永泽，唐大鹏. 关于行政事业单位内部控制的几个问题[J].会计研究，2013（1）：57-65.

〔2〕刘永泽，况玉书.关于政府内部控制的几个问题.海峡两岸内部控制与公共治理高层论坛，2014年.

〔3〕王光远.中美政府内部控制发展回顾与评述——兼为《联邦政府内部控制》(中文版)序[J].财会通讯，2009（34）：6-12.

〔4〕崔松.基于内部控制体系构建的内部控制评估[J].中国内部审计.2010（2）：88-90.

〔5〕朱荣恩.内部控制评价[M].时代经济出版社，2002年，第250页.

〔6〕郑卓如，郑石桥.内部控制评估：文献综述和未来研究方向[J].会计之友，2013（3）：22-27.

〔7〕吕阳，张向达.省级财政国库管理流程风险评估——基于COSO内控框架的分析[J].吉林大学社会科学学报，2013（7）：93-103.

〔8〕爱德华.卡尼等著，王光远等译.联邦政府内部控制[M].中国时代经济出版社，2009（7）.

〔9〕彼得·戴蒙德，汉努·瓦蒂艾宁.行为经济学[M].中国人民大学出版社，2013年，第2页.