内控优秀论文：《基于COSO框架下的养老机构内控体系建设》
注册内控网账号，海量行业内控测评表单内控课程学习尽在内控网www.neikong.com
我国的老龄化程度日益加重，近年来养老产业急速发展，各类事故风险隐患也层出不穷。该论文从养老院内部控制的现状入手，分析了养老机构面临的战略、市场、运营、法律和财务五大风险，运用COSO五要素框架，将养老行业内部控制体系建设的整体业务分为十七个大的业务循环，并梳理了相应的流程和风险控制矩阵，对养老机构建立内部控制体系可参考借鉴的实操性强，具有积极的促进作用。
《基于COSO框架下的养老机构内控体系建设》
北京松鹿原养老机构管理责任有限公司 骆培涛
【摘要】内部控制作为包括养老机构在内的组织，公司及团体自我改善和自行制约的内在管理机制，是养老机构抵御风险的有效手段和必然措施。随着中国老龄化程度日益加重，在养老产业急速发展，各类事故层出不穷的大环境下，建立健全养老机构内部控制体系成为摆在广从业者面前的一个崭新且急迫的课题。本文从养老院内部控制的现状入手，探讨院方建立内部控制体系的原因和作用。最后依据2008年我国颁布的《企业内部控制基本规范》的要求，结合我国养老事业的经营目标，设计出养老机构内部控制体系，以达到提高管理水平，提升经济与社会及降低各类事故发生频次的目的。
【关键词】COSO框架；内部控制；风险管理
有人将2013年确定为中国养老元年。其标志为中国官方全面认识到养老问题的重要性，通过集中发布一系列开放、扶持和促进养老行业投资多元化、产业化运行的方针政策，明确宣布将养老行业确定为国家发展战略中的新的经济增长点。在养老事业蓬勃过程中，呈现出养老机构数量不断增加、规模不断扩大，养老服务水平不断提高的良好发展态势。然而，养老机构作为高危人群的聚集地，伴随着数量的快速增加，各种灾害、事故、安保、疾病、伤害、死亡、纠纷等意外事件高度频发且有愈演愈烈之势，其诱因之多、破坏之大、传播之快、扩散性之强、矛盾之复杂已大大超出了人们的预料。而此类事故的发生，轻则影响养老机构的正常运行，扰乱其他老人的正常生活，重则很可能导致养老机构停业，甚至倒闭。但养老机构不同于一般的机构，其运营中的任何问题都会影响到入住老人切身的利益和必要的需求，甚至危及社会稳定。因此，从经营角度来看，其运营过程中一个关键就是预防和控制风险，这也是养老行业、主管部门和社会大众的共同要求。建立内部控制体系，有效管理经营风险，是控制和预防风险的主要手段。
风险管理是指如何把风险可能造成的不良影响减至最低的管理过程。内部控制则是形成一系列具有控制职能的方法、措施、程序，并予以规范化和系统化，使之成为一个严密的、较为完整的体系。内部控制是以专业管理制度为基础，以防范风险、有效监管为目的，通过全方位建立过程控制体系、描述关键控制点和以流程形式直观表达生产或服务业务过程而形成的管理规范。通过上述定义可以了解风险管理是内部控制所要达到的目的，而内部控制则是实现风险管理的手段。
我们首先在养老行业提倡内部控制体系的建设，是基于我们对中国养老产业发展模式的判断:从民营中小企业的探索开始，接下来国有企业参与其中，进而政府发布相关的支持政策，导致中外企业一哄而上、野蛮生长、一通混战、一地鸡毛，继而又开始整合。例如光伏产业、网络金融等行业，都逃不出这样的一个历史怪圈。养老产业作为具有慈善性质，并兼有社会稳定功能的行业，提前针对发展过程中的风险防控就显的尤为重要。
而目前就我们所了解养老机构中还没有任何一家机构具备一套完整的内控体系，机构内所拥有的制度，流程仅为借鉴于发达国家各式各类的管理制度以及粗放的本地管理制度的一种混合体。
结合对中国养老产业发展模式的判断以及目前养老机构存在的现状，我们预测在未来2-4年内，中国养老产业风险将集中大规模爆发，这个观点在去年的上海陆家嘴高峰论坛上也得到同行的一致认可。近期养老机构事故接二连三发生，例如前年5·25鲁山养老院重大火灾事故，造成重大人员伤亡，导致了很多相关政府官员被追责。其他如入住老人摔伤，走失，机构资金管控，捐助管理等方面的案例更是频发。今年初始，吉林省通化市辉南县的安老院的火灾、河南省南阳市社旗县敬老院的凶杀案件更是引发了社会的广泛关注和指责。面对这样的现实，我们给出的忠告是：养老行业有风险，内控体系须早建。
养老产业推行内部控制体系的理由：
1. 政府推行，大势所趋
首先看政府层面，养老产业政策不断出台，包括民政、财政甚至证监会都不断有新的文件发出。养老机构管理的标准化，规范化必然受到要求。同时内部控制推行力度不断加大，继10年上市公司需建立内控体系要求后， 14年财政部也倡导所有事业单位也要推行内控体系建设。养老产业内控体系的建设，日后必将成为政府关注的重点，也在他们监管的范围内。民政等六部委联合下发的《养老院服务质量建设专项行动》有力的支持了我们的判断！
2. 管理与服务需求不断提升
由于我们中国养老市场的规模巨大，导致了养老的市场化和产业化推进迅速，进而引发各路资本，包括银行、地产、证券、保险等一系列有实力的企业快速进入并建设了大量养老机构。这种情况就给我们提出一个新的挑战。以往，养老机构是政府主导的、慈善性的、兜底的，费用低廉的，甚至很多是免费的。市场化的养老院出现后，老人交纳了高额的费用，对其的要求和对以往的慈善性养老机构的要求会断然不同。所以，如今我们的养老院面临着提升服务、提升内部管理的情况。
3. 从业人员
养老机构普遍反映人难招，更难留。一线护理人员的短缺，管理人员经常被同行挖角等情况时有发生。一套完善的内控体系制度可通过清晰的组织结构梳理、详细的岗位职责描述，明确的权责分配及奖惩机制来营造公正合理的氛围，可以最大程度保持队伍的稳定性。即使其中某位人员离开后，新加入的人员也可以依据标准化的工作流程迅速融合到整个服务链条当中，可将因人员变动导致的影响降到最低。
4. 法律问题应对
老人在机构内由于自身原因或者护理不当造成事故，由此引发的纠纷非常普遍。同时，在法律层面，相关的法律滞后，专业律师缺乏，整个社会包括法律工作者在内，对弱势的一方：老人和家属都有一种同情，从而会引发机构更大的潜在法律风险。我们在法律层面如何规避此类风险？答案就是依靠内部控制系统，内控体系提前对各业务流程的详细描述，操作过程中的留痕，以及在意外发生后的应急预案等都可以为减轻机构相关责任起到关键作用。
5. 投融资的先决条件
内部控制最早是由美国以法律形式通过，它的核心是恢复资本市场的信心。我国于2008年证监会等五部委联合发文，要求所有上市企业在规定时间内建立内控体系并每年对广大投资者进行披露，以强化对上市企业的监管。我们知道，养老机构是重资产收益低的行业，如何从资本市场去融资、举债，是养老行业能持续发展，不断壮大的重要前提。内部控制作为在国家层面、上市企业层面共同认可的一个工具，必定能够在养老行业中给大家提供便利，贡献它自己的价值。
养老机构面临的五大风险
1. 战略风险
战略风险是宏观的。养老机构战略风险中，比如企业文化的缺失、价值观的混乱等。养老行业是慈善行业，一些想赚快钱大钱的人如果进入这个行业，他首先价值观不正确，我们认为它不可能长期健康地运营。其他如盈利模式的不确认、高管人员的团队搭配错误、管理系统的错误选择，以及投资失误、盲目扩张等等这些问题，都会导致战略层面的风险。战略风险是致命的，一旦发生，企业基本上就处于停止运行甚至倒闭的状态。
2. 市场风险
目前很多养老社区包括一些新的大规模养老机构都在建设中，很多远离市区，配套设施不完备而导致机构入住率长期偏低。其他市场风险还包括服务定价、对于目标客户的分类、服务创新以及高新科技养老产品的应用等，这些过程中导致的风险我们统称为市场风险。
3. 运营风险
我们在接触养老机构之后，通过向同行们请教，了解到目前一旦提到风险大家首先就想到老人的摔伤、走失、噎食，以及老人受伤之后和老人家属之间的纠纷等。我们基本上把涉及到老人自身意外伤害的情况都列入运营风险当中的护理风险之内。除此之外，在运营风险当中我们还要再强调，包括机构的管理情况、管理政策、管理系统、是否在运营当中有合理的分责和授权，以及相关的保险、相关的体系，整个的供应链，包括您的供应商、外包商等等，以及大家非常关注的护工人员及护工素质等，我们统称为运营风险。
4. 法律风险
当前最受业内人士关注的就是老人在入住过程中的入住合同的相关条款。除了入住合同，我们还要对养老机构的管理者有这样的提醒：机构与供应商之间的采购合同，机构与政府之间履行社会义务的合同，与员工之间签订的雇佣合同，以及相关法律法规的规定等等，将来都有可能导致诉讼风险及法律风险的发生。
5. 财务风险
内部控制最早来源就是财务控制，由财务控制慢慢延伸到整个所有机构的业务循环当中。财务风险包括预算管理，绩效考核、财务人员的能力、现金安全、贪污舞弊等，现金、银行账户是最容易产生偷盗舞弊的。以及股东撤资、会计记录等问题。目前养老界发生多起因现金流断裂导致入住老人不能受到应有的照护问题。同时很多养老机构也有上市的想法，核心就是机构的财务控制是否能满足上市企业的要求，这是非常值得我们养老机构管理人员重视的。
结合养老机构最为常见，造成巨大伤亡的机构火灾事故为例,内控体系五要素需满足如下要求：
1.控制环境：依据机构实际规模大小，人员数量，机构设置等实际情况，按需制定安全服务，安全教育及火灾预案等业务流程，同时建立安全管理委员会、落实主要负责人。全员对消防安全的理解和接收程度。强化24小时特别夜间值班巡逻。部署安装智能火灾监控系统、烟雾报警器等新型装置，并与此结合展开日常消防演练。2.风险评估: 安全委员会每周至少一次结合外界信息和自身情况对安全防范进行全面研究，发现火灾苗头和潜在的风险时，必须立即采取预防消除措施等。3.控制活动：及针对相关要求、自身规范和发现的潜在风险源所采取的应对措施，如重点区域应悬挂防火标志、合理设计，安装消防装置（灭火器和消防沙高压喷淋等）、使用安全可快速移动床垫、阻燃材料、并与消防部门建立合作演练机制、制定应急方案、安装监控报警装置、安装禁烟禁标识等一系列活动。4.信息交流：养老机构每季度召开一次消防安全会议，特殊情况随时召开，会议由安全领导小组组长主持。会议内容：听取各科室主任对每季度末或一段时间以来本科室消防服务工作情况汇报，研究分析养老院消防问题，总结和布置养老院消防工作，通报消防服务情况等。5.监督检查：机构安全管理人员对于员工在消防安全制度遵守情况要定期及不定期的检查，以确保流程得到有效执行。同时也要对现有的火灾应对措施做评估，如因外在或其他条件变化而导致原有控制措施失效，需要依据新的风险评估制订相应的流程，以使内控体系持久有效运行。
基于以往经验，我们在COSO框架下将养老行业内部控制体系建设按整体业务分为十七个大的业务循环：信息系统，安全保卫，财务管理，采购管理，法律法规，公共事务，公司治理，固定资产，后勤服务，环境安全，内部控制，人力资源，生活护理，市场营销，物流管理，营养膳食及应急预案。每个大的业务循环又依据不同的操作分为不等的管理流程，如生活护理分为晨间护理，假牙清洁，进食护理，轮椅使用等35个流程；应急预案分为防止暴力行为预案，防止触电预案，防止盗窃预案，防止火灾预案，防止坠床预案等24个流程，全部养老机构内部控制手册总共包含160余篇。基本覆盖的养老机构实际运营过程中的各个方面，我们将COSO五要素的内容放入不同的业务循环中并针对新型事故风险不断完善、补充。
养老机构内部控制流程梳理
内部控制流程梳理是一个大且繁杂的工作，因其涉及养老机构的各个方面，又要保证流程制度的标准化及可操作性，所以针对流程梳理也需要制定相应的规则和要求。如果把机构的流程类比于国家的法律，那么程序文件编制流程则可以理解为宪法。依据北京松鹿原已开发完成的《养老机构内部控制手册》中的《程序文件编制和发布》（以下简称《发布》）来详细介绍流程梳理的相关内容和要求。
每一个流程都由1.目的，2.经营风险，3.程序描述，4.流程图，5.风险矩阵，6.文件&记录及7.参考资料七部分组成。
１．目的主要是阐述本流程编写的依据，覆盖的范围和需要应对的风险。如《发布》中的目的：本程序依据内部控制和质量管理要求，规定了机构编制、测试、批准、发布及更新其所有制度性管理程序方面的要求,旨在规范企业程序文件开发作业、提高程序文件的开发效率和质量、防范潜在的经营管理风险。
２．经营风险则是依据我们提前划分好的风险大类，将其编号和类型在此部分列示，作为风险强调和提示。
３．程序描述是流程编写的主体部分，需要按照机构实际业务执行的内容并依据内控的要求，采用标准化的形式编写。如《发布》中第三部分程序描述首先对于本章的一些术语作以解释。下来对于程序文件的编写指定了负责部门及人员。接着对文件的框架和格式都做了详细量化的要求，如字体和页面布局等。并对程序正文内容编制的具体要求详细描述，在3.0程序描述内，可以根据内容多少及性质，增加二级副标题（2.1、2.2等等）、三级副标题（2.1.1、2.1.2等等）及四级副标题(2.1.1.1、2.2.2.1等等)。其后又对程序文件的编号要求：每个程序文件都由三组数据构成。即：部门代码-流水号-发布年度 XXX-XXXX-XXXX，流程图和风险矩阵的要求，文件的编制与发放要求及程序文件的修改要求都进行细致描述。
４．流程图是指依据业务流程，用标准化图形,简明扼要地表达处理步骤的模型，可将业务的处理顺序和经办部门及人员以图表展示，同时在风险点处表明控制措施，便于使用人员阅读理解。
５．风险控制矩阵是将流程中所涉及的风险和对应的内部控制措施进行匹配后形成的一种矩阵表格。我们在矩阵中还增加了风险编号，控制编号，控制责任人，控制形态，控制痕迹及会计报表影响等项，使之与之前的风险和控制措施一一对应。
６．文件&记录列出企业日常操作处理本程序的各种表格文件以及作业指导书。如：处理各类业务的申请书和与本程序相关的其他图表单据、政府法律法规。所有附件资料应编号顺利整齐罗列。
附件1- 程序文件目录及其编号
附录2- 程序文件增加/修改申请单
附录3- 程序文件发放/修改通知单
附录4- 程序文件发放记录
附录5- 程序文件发放/修改通知单附件
附录6- 程序文件手册更改记录表
７．参考资料是将与本程序有重要关联的其他程序、法律法规等列示出来，方便使用者在阅读和操作时参考。
一套行之有效的内控体系可以通过前期风险评估发现运营中的潜在风险点，中期严格依据风险应对的标准化操作流程执行并留有记录，后期不断对变动的风险和执行情况监督检查，及时整改。同时我们也建议通过与保险公司合作针对剩余风险通过购买保险等方式进行转移，切实做到风险可控，使入住老人舒心，管理层放心和政府安心。
养老机构各类事故不断发生，对社会造成的负面影响不断扩大。从政府，机构管理人员及入住老人和家属都对养老机构风险管理寄予很高的期望，内部控制来源于工业企业，其理论和实际应用适合于各类团体，机构和组织。希望通过本篇简单的介绍能带给养老界同仁一些启发，通过内部控制这一成熟的工具来将养老机构的风险控制在可承受的范围内！
注册内控网账号，海量行业内控测评表单内控课程学习尽在内控网www.neikong.com
近期课程安排：北京、杭州、上海、广东、成都、西安、南京
《国际注册内部控制师CICS资格认证》面授及网络课程学习班：
报名链接：http://www.neikong.com/org/2370_m_1190318
考试认证费：3920元；培训费9080元，合计13000元。
联系电话：010-68004176、68004186
联 系 人：孙老师、邱老师
内控资讯交流平台内控精英俱乐部2000人QQ群：238069870
微信群申请，添加管理员微信：13811888273
报名地点：北京市西城区西直门外大街18号金贸中心A座1039室
官方网站：www.neikong.com
