公立醫(yī)院信息技術(shù)服務采購審計探究

陳春宏

[摘要]當前，公立醫(yī)院正加快推進智慧醫(yī)院建設和信息標準化建設，信息技術(shù)服務采購領(lǐng)域風險日益凸顯。本文基于流程分類框架理論，合理區(qū)分業(yè)務流程階段，確定信息技術(shù)服務采購關(guān)鍵流程和控制點，識別風險點并進行風險等級排序，構(gòu)建標準化審計程序。

[關(guān)鍵詞]公立醫(yī)院? ?信息技術(shù)服務? ?采購審計? ?流程分類框架

一、研究背景及意義

（一）公立醫(yī)院信息技術(shù)服務采購審計的重要性

當前，5G、互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、人工智能、大數(shù)據(jù)等新技術(shù)廣泛運用于醫(yī)療行業(yè)，公立醫(yī)院信息化建設邁向新臺階。為進一步落實《國務院辦公廳關(guān)于促進“互聯(lián)網(wǎng)+醫(yī)療健康”發(fā)展的意見》和《國務院辦公廳關(guān)于推動公立醫(yī)院高質(zhì)量發(fā)展的意見》，公立醫(yī)院加快推進智慧醫(yī)院建設和信息標準化建設的進程。信息技術(shù)服務采購在醫(yī)院采購項目中占據(jù)日益重要地位，成為醫(yī)院完善內(nèi)部控制的重要環(huán)節(jié)。在新形勢下， 強化對信息技術(shù)服務采購審計的重要性越發(fā)凸顯。

（二）公立醫(yī)院信息技術(shù)服務采購審計的必要性

《國家衛(wèi)生健康委辦公廳關(guān)于全面落實規(guī)范和加強政府采購管理三年專項行動工作的通知》和審計全覆蓋的要求，都對公立醫(yī)院信息技術(shù)服務采購審計提出較高要求。醫(yī)院應加大對信息技術(shù)服務采購審計的監(jiān)管力度，進一步規(guī)范政府采購管理專項工作，完善相關(guān)內(nèi)部制度，推進醫(yī)院信息化建設。

（三）公立醫(yī)院信息技術(shù)服務采購審計的可行性

開展信息技術(shù)服務采購審計，要求審計人員具備內(nèi)控管理、政府采購、信息技術(shù)等方面的綜合知識。然而目前公立醫(yī)院內(nèi)部審計人員較少，且大多僅具有經(jīng)管類專業(yè)背景，具備綜合知識的審計人才較少，這使得信息技術(shù)服務采購內(nèi)部審計較難開展，更多需要依賴于外部審計。

（四）研究的意義

近年來公立醫(yī)院貨物、設備類采購審計研究呈增長趨勢，但專門針對信息技術(shù)服務采購審計的研究仍較少。信息技術(shù)服務采購因其無形性、難以計量、定價不確定、質(zhì)量難以評估、專業(yè)性強和個性化需求高等特性，與貨物、工程采購存在明顯差異。本文對信息技術(shù)服務采購審計思路進行探析，為其他公立醫(yī)院或行政事業(yè)單位開展信息技術(shù)服務采購審計提供思路。

二. 信息技術(shù)服務采購審計的內(nèi)涵和方式

（一）內(nèi)涵

1.信息技術(shù)服務采購包括軟件開發(fā)或改造、系統(tǒng)平臺集成、數(shù)據(jù)處理或測試、項目監(jiān)理、運行維護等。由于項目周期長、涉及的業(yè)務流程廣，成為內(nèi)部審計的重難點。

2.信息技術(shù)服務采購審計除了對經(jīng)濟活動的真實性、合法性、完整性、效益性等方面進行監(jiān)督和評價外，還應包括信息系統(tǒng)設計規(guī)劃、功能實現(xiàn)、信息業(yè)務的互聯(lián)互通、運行維護、系統(tǒng)安全與流程連續(xù)性等方面的監(jiān)督和評價。

（二）審計方式

運用象限分析法，對信息技術(shù)服務采購審計任務壓力和內(nèi)審人員專業(yè)勝任能力水平兩個維度指標進行分析，審計方式可以分為四種類型（如圖1所示）：

1.全部自審式。當醫(yī)院信息技術(shù)服務采購項目少、復雜度較低且內(nèi)審人員專業(yè)勝任能力較強的情況下，可以采用全部自審式。

2.牽頭委外式。這種情況適用于內(nèi)審人員專業(yè)勝任能力較強但信息技術(shù)服務采購項目多、復雜度較高的情況。內(nèi)部審計人員對整個審計方案進行頂層設計，指導并監(jiān)督外聘審計人員進行審計，能夠有效地利用外部審計力量，取得較好的審計效果。

3.參與委外式。當內(nèi)審人員專業(yè)勝任能力不足且信息技術(shù)服務采購項目少、復雜度較低時，可以聘請有經(jīng)驗、有資質(zhì)的中介機構(gòu)授權(quán)其進行審計，內(nèi)審人員通過“參與式審計”，從中學習以達到審計目的。

4.全部委外式。當內(nèi)審人員專業(yè)勝任能力不足且信息技術(shù)服務采購項目大、復雜度較高時，可選擇全部依托于外部審計。

值得注意的是，外部審計與內(nèi)部審計的職業(yè)習慣和審計關(guān)注點存在著明顯差異，采用參與委外式和全部委外式的審計效果難以保證。

三. 審計思路

（一）審計的總體思路

基于公立醫(yī)院的信息技術(shù)服務采購具有的特點，總體的設計思路為以風險導向的全流程、分層次審計。首先，梳理信息技術(shù)服務采購的全部業(yè)務流程，合理區(qū)分業(yè)務流程階段，確定關(guān)鍵流程和控制點;其次，識別風險并排序，明確審計重點，兼顧審計效率和質(zhì)量，最終達到“審計成本與審計質(zhì)量”最優(yōu)。

（二）識別風險并進行排序的思路

1.確定信息技術(shù)服務采購關(guān)鍵控制點。運用美國生產(chǎn)力與質(zhì)量中心（簡稱APQC）開發(fā)的流程分類框架理論，依照科學性、可操作、可量化的原則，將信息技術(shù)服務采購整個業(yè)務流程分為五個階段：立項規(guī)劃階段、組織采購階段、信息化建設階段、驗收階段、應用階段，篩選出19個關(guān)鍵業(yè)務環(huán)節(jié)（如圖2所示）。

2.識別信息技術(shù)服務采購風險點。圍繞關(guān)鍵業(yè)務流程環(huán)節(jié)，結(jié)合上級指導文件、審計案例、以往內(nèi)外部檢查報告和醫(yī)院內(nèi)控環(huán)境等，分析識別出公立醫(yī)院信息技術(shù)服務采購在采購合規(guī)性、內(nèi)控有效性、建設完整性、系統(tǒng)安全性等方面的易發(fā)風險點（如表1所示）。

3.評估風險等級。運用風險矩陣分析法，建立契合信息技術(shù)服務采購特點的風險評估規(guī)則，制定科學、合理的定性和定量指標，賦予風險發(fā)生的可能性和影響程度兩因素分值（如表2所示），綜合評估風險大小并在矩陣圖中展示其重要性等級（如圖3所示）。對風險進行排序，優(yōu)先審計等級高的風險點，及時發(fā)現(xiàn)并糾正信息技術(shù)服務采購中存在的問題。

（三）審計的流程思路

審計流程分為三個階段：審前準備階段、審計實施階段和審計終結(jié)階段，信息技術(shù)服務采購的審計流程思路如圖4所示。

1.審前準備階段的工作思路。審前準備階段的工作內(nèi)容主要是：了解醫(yī)院組織架構(gòu)、業(yè)務流程及內(nèi)控管理水平，識別并評估關(guān)鍵控制點和風險點，設計審計方案。

審計組可通過獲取相關(guān)制度文件、采購流程圖、項目匯總明細表、年度采購預算及決算表等審前資料，梳理醫(yī)院信息技術(shù)服務采購關(guān)鍵業(yè)務流程和控制點，對比國家的相關(guān)規(guī)定，查看內(nèi)部制度是否健全并分析內(nèi)部制度執(zhí)行中是否存在風險薄弱環(huán)節(jié);查看采購項目匯總明細表、年度預決算報表和無形資產(chǎn)賬表等，初步了解信息技術(shù)服務類采購的年度預算執(zhí)行、采購項目數(shù)量及金額、出入庫、付款進度等情況;查看采購崗位表和重點崗位輪崗記錄，初步判斷醫(yī)院內(nèi)控水平;收集以往的內(nèi)外部檢查報告或政府處罰決定書，關(guān)注相關(guān)問題的整改情況。對信息技術(shù)服務采購各流程進行風險評估，分析可能存在的問題，確定審計重點，設計審計實施方案。

2.審計實施階段的工作思路。審計實施階段的工作內(nèi)容主要是：對內(nèi)部控制進行測試，重新審查原擬訂審計方案的可行性;圍繞審定后的審計實施方案進行現(xiàn)場審計。審計組可按金額或項目類型分層抽樣，對采購合規(guī)性、內(nèi)控有效性、建設完整性、系統(tǒng)安全性等方面進行全流程審計。

（1）采購合規(guī)性、內(nèi)控有效性方面的審計思路。查看合同實際金額是否超過年度預決算、院長辦公會或黨委會決議的預算;信息技術(shù)服務采購是否歸口管理，是否實行不相容崗位相互分離制度;采購申請表是否按規(guī)定授權(quán)審批，審批時間是否與調(diào)研時間、采購時間、院會議紀要的時間倒置;是否執(zhí)行事前績效評估論證報告制度;符合“三重一大”的采購事項是否按規(guī)定上會研究表決，對比合同協(xié)議、“三重一大”決策記錄與實際執(zhí)行情況，查看是否存在決策與執(zhí)行兩張皮的現(xiàn)象;限額以上的項目是否采用政府采購方式，組織采購是否符合國家和醫(yī)院的規(guī)定，招標參數(shù)聯(lián)簽是否按規(guī)定審批權(quán)限審批通過;合同簽定是否和采購文件中確定的事項相符，合同聯(lián)簽是否執(zhí)行到位;項目驗收流程是否符合規(guī)定，大型的信息開發(fā)或改造項目是否組織院外驗收評審會;項目驗收后是否及時入庫，是否按合同約定的付款條件支付款項等。此外，還應分析排查是否有未經(jīng)批準通過化整為零或其他方式規(guī)避公開招標的項目。

（2）建設完整性方面的審計思路。查看醫(yī)院信息化建設中長期規(guī)劃書，分析整體設計完整與否，是否存在建設缺失或重復的情況;了解各業(yè)務信息互聯(lián)互通的情況，評價各系統(tǒng)接口改造服務完整與否，業(yè)務數(shù)據(jù)能否形成閉環(huán);查看項目驗收條款是否滿足規(guī)劃書的要求，關(guān)注執(zhí)行進度慢、無法按期驗收的項目數(shù)量，查看其采購需求研調(diào)記錄是否充分、采購文件要求描述是否完整，詢問經(jīng)辦人超期的原因并分析合理性;查看建成后系統(tǒng)的后臺使用數(shù)據(jù)，關(guān)注使用率低或閑置不用的采購項目等。

（3）系統(tǒng)安全性方面的審計思路。查看醫(yī)院信息系統(tǒng)安全保密及泄密責任追究的相關(guān)制度;查看密碼應用、安全審查、信息系統(tǒng)共享、系統(tǒng)報錯和維修等相關(guān)記錄是否完整，詢問使用科室出現(xiàn)漏洞的次數(shù)以及修護時間，是否存在長時間無法修復的缺陷;現(xiàn)場查看系統(tǒng)超級管理人員的數(shù)量和權(quán)限，查閱系統(tǒng)授權(quán)變更的審批記錄等;查看安全防護水平是否低于等級保護的級別;物理安全是否達標，如場地安全、設備安全、介質(zhì)安全等是否達到規(guī)定要求。

內(nèi)部審計人員在審計時，如其專業(yè)勝任能力不足，則可咨詢行業(yè)專家的意見或聘請具有資質(zhì)的中介機構(gòu)協(xié)助審計。

3.審計終結(jié)階段的工作思路。審計終結(jié)階段的工作內(nèi)容主要是：與審計對象充分溝通后出具審計報告并提出建議，并在整改結(jié)束后進行后續(xù)審計。

合理的審計建議可以進一步規(guī)范醫(yī)院信息技術(shù)服務采購流程、提升內(nèi)控精細化管理和信息化建設水平。審計組應要求審計對象在規(guī)定的時間內(nèi)按照問題清單全面自查整改，并開展后續(xù)跟蹤審計。將整改不到位或效果不明顯的問題反饋到下一個審計計劃中，通過PDCA循環(huán)審計法實現(xiàn)信息技術(shù)服務采購的持續(xù)改進。

四、優(yōu)化審計方法

（一）構(gòu)建標準化審計程序

運用流程分類框架理論，合理區(qū)分業(yè)務流程階段，確定信息技術(shù)服務采購關(guān)鍵流程和控制點，識別風險點并進行風險等級排序，構(gòu)建標準化審計程序。充分收集立項規(guī)劃、組織采購、招標合同、建設實施、驗收運用所需要的字段和數(shù)據(jù)，實現(xiàn)審計作業(yè)全面可控，提高審計效率和質(zhì)量。

（二）優(yōu)化督促整改機制

充分重視審計成果的利用，加大整改督辦力度，建立分段整改督導機制。對尚未整改到位的問題重新梳理、分析原因、研究對策，列入下一次循環(huán)審計的整改事項中，確保循環(huán)審計工作良好運轉(zhuǎn)，持續(xù)推動醫(yī)院信息技術(shù)服務采購規(guī)范化建設。

（作者單位：廈門大學附屬心血管病醫(yī)院，郵政編碼：361016，電子郵箱：181407605@qq.com）

主要參考文獻

[1]董哲恒.輸變電工程關(guān)鍵節(jié)點過程管理審計模式探索[J].中國內(nèi)部審計， 2020（8）：56-58

[2]商允偉，王運福，周超.山東審計廳揭秘“信息系統(tǒng)開發(fā)項目”的采購過程[J].中國政府采購， 2017（2）：48-50

[3]王璇.公立醫(yī)院設備采購審計的工作思路及關(guān)鍵控制點探析[J].中國內(nèi)部審計， 2021（2）：46-48