強化政府內部控制 設計篇

1. 教材範例 強化政府內部控制 設計篇 行政院內部控制 推動及督導小組 幕僚單位 更新日期： 101.02.22

2. 報告大綱 前言 內部控制相關設計規範簡介 政府內部控制觀念架構簡介 內部控制制度設計原則簡介 結語 1 1

3. 前 言 2 2

4. COSO組織 • COSO，係美國專門研究內部控制議題的民間組織，由5個機構贊助成立。 美國財務主管協會 美國會計學會 美國管理會計學會 國際內部稽核協會 美國會計師公會 3

5. COSO內部控制架構之演進 2004年：企業風險管理─整合架構 2006年：財務報導的內部控制 -較小型公開發行公司指引 2009年：內部控制監督指引 控制環境 內部控制包含 5項組成要素 監督 資訊與溝通 • 1992年：內部控制─整體架構 控制作業 風險評估 4

6. 外國政府 我國私部門 美國、澳洲、瑞典等國家及國際最高審計機關組織(INTOSAI)，採用此架構並配合政府特性，建立公部門內部控制相關規制。 我國公開發行公司、金融、銀行、保險與證券期貨業及財團法人等內部控制相關法令規定，也依此訂立。 1992年COSO內部控制—整體架構的適用 1992年COSO內部控制—整體架構，基本上可適用於 國內、外任何大小規模的公、私部門組織。 ～我國政府內部控制觀念架構，亦奠基於此～ 5

7. 內部控制為管理過程的一部分 管理，涵蓋三構面 管理 = 規劃 +執行 +控制 內部控制，包括對規劃的控制及對執行的控制 內部控制 = 管理 - 純規劃 - 純執行 資料來源: 馬秀如教授講義 6

8. 內部控制與風險管理之關係─2004年COSO「企業風險管理─整合架構」內部控制與風險管理之關係─2004年COSO「企業風險管理─整合架構」 • 內部控制包含在風險管理之內，係風險管理不可或缺的一部分。 • 風險管理自內部控制延伸，其涵蓋的範圍比內部控制廣泛，且著重風險觀念。 資料來源：馬秀如教授講義 7

9. 內部控制與內部控制制度之關係 • 內部控制：為了達成目標、降低風險，透過柔性(約定成俗)或剛性(內部控制能形諸文字，並作成文件的部分)措施，加以引導及約束 內部控制 內部控制 制度 • 內部控制制度：為系統化、具體化的引導及約束措施，採文件形式設計，俾供核定且有助遵循執行 例如：要讓學生乖乖上課 • 培養其尊重學習環境的態度，即是內部控制 • 上課前喊｢起立｣、｢敬禮｣、｢老師好｣，屬內部控制之柔性措施 • 明定在上課公約，屬內部控制之剛性措施，亦是內部控制制度需含括之文件 8

10. 內部控制相關 設計規範簡介 9 9

11. 內部控制相關設計規範關係圖 政府內部控制觀念架構 各機關設計內部 控制制度之參考 內部控制制度設計原則 內部控制制度設計範例 健全內部控制實施方案 各機關設計內部 控制制度之依據 各機關設計內部 控制制度之參考 內部控制制度共通性作業範例製作原則 行政院推動內部控 制之原則性規範 各權責機關研訂內部控制制 度共通性作業範例之依據

12. 強化內部控制機制為行政院當前重要政策，行政院經參考COSO委員會所提「內部控制－整體架構」及國際最高審計機關組織(INTOSAI)對於內部控制的定義等，並兼顧政府機關特性，於「健全內部控制實施方案」提出政府內部控制之4項目標。強化內部控制機制為行政院當前重要政策，行政院經參考COSO委員會所提「內部控制－整體架構」及國際最高審計機關組織(INTOSAI)對於內部控制的定義等，並兼顧政府機關特性，於「健全內部控制實施方案」提出政府內部控制之4項目標。 該方案同時要求各機關組成內部控制推動單位，辦理內部控制宣導訓練，檢討現有內部控制作業，設計有效內部控制制度等多項具體作法，並採逐級分工方式，推動政府內部控制各項工作。 內部控制相關設計規範簡介(1/5) 健全內部控制實施方案~ 為行政院推動內部控制之上位原則性規範 11

13. 訂定目的：供各機關設計內部控制制度。 適用範圍：行政院所屬各機關（構）、學校。 設計範圍：涵蓋各項業務，包括個別性業務及 共通性業務項目。 內部控制相關設計規範簡介(2/5) 內部控制制度設計原則~ 規範內部控制制度之主要內容及設計步驟 12

14. 訂定目的：建立適合我國政府機關之內部控制整體訂定目的：建立適合我國政府機關之內部控制整體 架構，供各機關瞭解內部控制定義，並 以該架構為基礎，設計內部控制制度。 訂定參據：參酌我國審計準則第48號公報及公開發 行公司內部控制法令規定暨先進國家規 制等。 內部控制相關設計規範簡介(3/5) 政府內部控制觀念架構~ 建立內部控制整體架構，為強化內部控制制度之基礎 13

15. 訂定目的：使各權責機關研訂作業明確及一致。訂定目的：使各權責機關研訂作業明確及一致。 適用範圍：健全內部控制實施方案所列各權責機關。 設計範圍：包括出納與財產管理、政風、主計、 人事、公共建設計畫編審、行政管考 與社會發展計畫編審、科技發展計畫 編審及政府採購等共通性業務項目。 內部控制相關設計規範簡介(4/5) 內部控制制度共通性作業範例製作原則~ 供各權責機關研訂內部控制制度共通性作業範例 14

16. 訂定目的：協助各機關設計內部控制制度。 適用範圍：行政院所屬各機關(構)、學校。 設計範圍：資訊安全管理業務項下之資訊安全事件 通報作業。 內部控制相關設計規範簡介(5/5) 內部控制制度設計範例~ 以資訊安全管理業務為例，說明設計步驟及結果 15

17. 政府內部控制 觀念架構簡介 16 16

18. 政府內部控制的定義及觀念 • 何謂內部控制： • 　係由機關全體人員參與 →人人有責 • 為合理達成機關內部控制目標 →四項目標 • 共同設計、執行及維持的管理過程 →五項要素 • 高階主管(尤其是首長)對內部控制制度的有效設計、執行及維持，負主要責任 • 內部控制係一種管理過程，幫助機關達成四項目標 • 內部控制制度有其先天限制，僅能合理促使而非絕對保證目標的達成 • 透過五項互有關聯的組成要素，整合機關內部各種控管及評核措施，並逐一檢視、評估內部控制制度的有效性 17 17

19. 政府內部控制整體架構圖(1/3) 法 規 遵 循 四項目標： ● 提升施政效能 ● 遵循法令規定 ● 保障資產安全 ● 提供可靠資訊 資 產 安 全 可 靠 資 訊 施 政 效 能 五項要素： 1.控制環境：機關文化、內部控制認知 2.風險評估：辨識、分析與評量風險 3.控制作業：控制規範及程序 4.資訊與溝通：資訊編製、蒐集與傳達 5.監督：評估內部控制制度有效性 業務 2 監 督 業務 1 單位 B 資 訊 與 溝 通 單 位 A 控 制 作 業 風 險 評 估 與內部 控制有關的 單位或業務 控 制 環 境 ～政府內部控制整體架構～ 機關各單位及業務，經整合五項組成要素，合理促使達成四項目標 18 18

20. 政府內部控制整體架構圖(2/3) 施政效能 法規遵循 可靠資訊 資產安全 為達成四項目標 ，單位或業務之各類內部控制，均須資訊。 資產安全 可靠資訊 法規遵循 業務2 施政效能 業務1 單位 B 資 訊 與 溝 通 單 位 A 業務 2 施政效能 法規遵循 可靠資訊 資產安全 業務 1 監 督 控制作業之設計及執行，係為落實執行機關決策 ，同樣與所有四項目標都有關。 業務2 資 訊 與 溝 通 單位 B 業務1 單 位 A 單位 B 單 位 A 控 制 作 業 控 制 作 業 風 險 評 估 控 制 環 境 內部控制每一項要素適用於所有的目標類別 資料來源:COSO內部控制-整體架構報告 19 19

21. 政府內部控制整體架構圖(3/3) 資產安全 可靠資訊 法規遵循 施政效能 對提升施政效能目標之達成，所有五項要素都適用，而且也都重要。 施政效能 業務 2 業務2 業務 1 業務1 監 督 1、代表單位A其與提 升施政效能目標相關的控制環境。 2、內部控制議題，得以單一立體方塊為基礎，進行分析探討。 單位 B 監督 資 訊 與 溝 通 單位 B 單 位 A 資訊與溝通 單 位 A 控 制 作 業 施政效能 控制作業 風險評估 風 險 評 估 控制環境 單 位 A 控 制 環 境 控制環境 內部控制每一項目標皆與五項要素有關 資料來源:COSO內部控制-整體架構報告 20 20

22. 政府內部控制五項要素關係圖 • 控制環境係內部控制的基礎，位於金字塔底部 • 配合控制環境及已確認之目標，據以評估風險 • 針對風險有效設計及執行控制作業 資 訊 與 溝 通 資 訊 與 溝 通 資 訊 與 溝 通 監 督 作業 控制 評 估 風 險 環 境 控 制 • 充分溝通資訊，及時連貫與支援各項要素 • 監督評核各項要素，並追蹤改善情形 21 21

23. 政府內部控制觀念架構之運用 22 22 22

24. 政府內部控制五項要素—控制環境 塑造機關文化及影響其人員對內部控制認知之綜合因素，為其他四項組成要素之基礎。包括： 公務職業操守與倫理價值觀念之建立及維持； 首長與高階主管對內部控制制度之重視及支持 ，確認目標且避免過量風險； 組織架構及授權之適當明確； 人力資源管理(含進用、考核與獎懲)； 專業能力提升(含宣導訓練)。 控制環境 風險評估 資訊與溝通 控制作業 監 督 23 23

25. 控制環境 檢討策進作為： 控制環境：立即撤換相關涉案人員；檢討所屬醫院院長與副院長任期、考評、輪調與遴選之相關規定；進行醫院管理委員會之改組，遴聘公共衛生、醫療、管理、護理等領域專家學者及社會賢達等25人擔任醫院管理委員會委員，有效發揮該會功能；加強所屬醫院採購人員專業訓練，提升採購人員專業能力。 運用觀念架構檢討控制缺失 以政府內部控制網站專區中，採購作業違失編號第11案為例 24 24 24

26. 政府內部控制五項要素—風險評估 辨識攸關之施政風險、分析風險之影響程度與發生可能性，及評量對風險容忍度之過程，據以決定採取控制作業或監督等方式，處理或回應相關風險。包括： 風險辨識：辨識影響目標達成之風險因素； 風險分析：分析風險因素之影響程度及發生可能性，綜合估計風險等級； 風險評量：評量對風險之容忍度並依據 風險等級，決定需優先處理之風險因素。 25 25

27. 運用觀念架構檢討控制缺失 風險評估 以政府內部控制網站專區中，採購作業違失編號第11案為例 檢討策進作為： • 風險評估：本案之主要風險來源為醫院與廠商之關係，而所屬醫院院長可自行決定運作業務外包採購事務，致使廠商有機會對醫事人員進行利益輸送，嚴重影響醫療服務品質，並損及機關形象。因此將廠商重利引誘及業務外包列為本案主要風險項目。 26 26 26

28. 政府內部控制五項要素—控制作業 為了合理促使機關達成目標、降低風險，且有助於落實機關決策，所訂定之控制規範及程序。包括： 整體層級控制：對機關各單位多項業務有廣泛影響之控管措施或控制規範。 作業層級控制：機關各單位經依個別業務之作業層級目標，所評估風險之結果，秉持化繁為簡原則，設計控制重點；配合業務調整及 作業變動，適時檢討修訂。 27

29. 運用觀念架構檢討控制缺失 控制作業 以政府內部控制網站專區中，採購作業違失編號第11案為例 檢討策進作為： • 控制作業：檢討所屬醫院採購之權限與程序，訂頒該主管機關對所屬醫院辦理重大採購案件應行注意事項，明確規定所屬醫院辦理500萬元以上之儀器採購，以及1,000萬元以上之財物、勞務、工程、業務外包、儀器租賃或合作經營採購案件，於採購規劃階段均需函報該主管機關，送請外部專家評估審查，並提交醫院管理委員會審議通過，始得據以辦理。另針對採購各階段（如採購決策、招標作業及履約管理）之關鍵作業事項，均訂有嚴格而明確之規範，期以嚴謹之作業程序，防杜流弊再度發生。 28 28 28

30. 運用觀念架構檢討控制缺失 控制作業 以政府內部控制網站專區中，採購作業違失編號第11案為例 檢討策進作為： • 控制作業：禁止醫療核心業務外包，並責由各醫院成立委外業務管理小組，定期召開會議，執行履約管理、品質監測，以及協調處理履約中之各項疑義，並於每年辦理執行效益評估，作為契約期滿之後，檢討是否繼續委外或收回自營之決策依據；強化內部控制作業，加強底價建議分析，嚴謹底價核定程序。 29 29 29

31. 常見控制作業種類 • 控制重點釋例 ‧符合相關法令及契約 規定。

32. 政府內部控制五項要素—資訊與溝通 適時有效編製或蒐集資訊，並傳達予相關人員，使其有效履行職責或瞭解責任履行情形。包括： 資訊：含財務及非財務資訊，可由內部產生或自外部取得，供決策及監督之用。 溝通： 內部溝通：告知機關人員在內部控制所扮演之角 色及責任，並建立通報異常情事之管道，促使機關上下或跨單位資訊充分傳達。 外部溝通：依法對外部人士公開或提供資訊，對外界意見及時處理及追蹤。 31 31

33. 運用觀念架構檢討控制缺失 資訊與溝通 以政府內部控制網站專區中，採購作業違失編號第11案為例 檢討策進作為： • 資訊和溝通：加強資訊透明公開，主動公開醫療業務外包情形，並且提供民眾意見反映管道；蒐集公私立醫院之相關案件決標價格，建立醫療儀器價格採購之資料庫，充分掌握價格資訊，避免少數不當之人為操控；提供揭弊檢舉管道，揭發弊端行為。 32 32 32

34. 政府內部控制五項要素—監督 機關評估內部控制制度設計及執行成效之過程，藉以適時修正改善內部控制制度。包括： 例行監督：由各項業務承辦單位主管人員，經常執行之督導作業。 自行檢查：由機關內部各單位評估內部控制制度設計及執行之有效性，並及時補救或改正，且作成紀錄備供主管機關訪查及督導。 稽核評估：統合或運用相關稽核評估職能，客觀檢視內部控制制度設計及執行是否有效，並就發現之缺失及相關建議，及時改善與追蹤 ，必要時檢討修正內部控制制度。 33

35. 運用觀念架構檢討違失案例 監督 以政府內部控制網站專區中，採購作業違失編號第11案為例 檢討策進作為： • 監督：成立所屬醫院體檢小組，進行全面性輔導及改造；強化內部控制監督工作，加強監辦單位之審核，針對辦理重大採購案件，醫院之會計及政風監辦單位應派員實地監辦，如有發現違反相關法令之情事時，主動通知政風單位瞭解查察；針對檢舉或篩選之異常案件加強稽核作為；主動強化行政監督及稽查作為，涉及犯罪者皆將積極配合檢調單位，展開各項偵查作業；督導所屬醫院政風單位辦理醫院醫療儀器採購（合作）案件專案清查。 34 34 34

36. 內部控制制度 設計原則簡介 35 35

37. 基本概念

38. 主要內容 得以註明出處或建立來源連結之方式辦理。 資訊與溝通 資訊 控制環境 檔案可採紙本、電子或其他方式儲存管理，並建立整體目錄索引，以進行溝通。 風險評估 控制作業 得併入作業流程中設計，並納為內部控制制度之附件。 監督

39. 內部控制五項要素與設計步驟關係圖 控制環境 (含確認目標) 監 督 風 險 處 理或回應 ︵不含純 規劃 、純執行 部分 ︶ 風險辨識 資 訊 與 溝 通 風 險 評 估 風險分析 風險評量 控制 作業

40. 設計步驟 完成內部控制制度 依據風險評估結果，及審視該業務之重要性，決定應納入內部控制制度設計之業務項目，共通性業務部分得參採共通性作業範例辦理。 建立檢查機制 敘明該項業務之監督方式，並訂定適用機關自行檢查之表件格式。 設計控制作業 針對選定業務項目，設計控制重點。 選定業務項目 風險評估 參考行政院所屬各機關風險管理及危機處理作業基準與作業手冊之觀念、方法評估風險。 確認目標 依據既有整體層級目標確認作業層級目標 。

41. 設計步驟 完成內部控制制度 建立檢查機制 設計控制作業 已發生內部控制缺失之業務項目 ，應立即修正或設計控制重點。 選定業務項目 風險評估 確認目標

42. 設計步驟 確認目標(1/2) • 以財政部為例 整體層級目標 作業層級目標 當國庫署視為財政部業務單位時。 資料來源:財政部組織管理彙編

43. 設計步驟 確認目標(2/2) • 以財政部為例 整體層級目標 當國庫署視為獨立機關時。 作業層級目標 資料來源:財政部組織管理彙編

44. 設計步驟 風 險 評 估 風險評估

45. 設計步驟 選定業務項目

46. 設計步驟 • 控制類型 以控制的作用區分 以控制的時點區分 以控制的方式區分 設計控制作業(1/9)

47. 設計步驟 • 所控制之作業流程 設計控制作業(2/9)

48. 設計步驟 • 控制重點簡介 • 職能分工： • 重點在「分工」，主要目的在預防與及時發現在執 • 行所分派職務時產生之錯誤或舞弊行為，是一項基 • 本而且重要的控制活動。 • 常見的職能分工控制如下： • 資產保管人員與會計人員分開。 • 交易授權與資產的保管分開。 • 營運責任與資料處理責任分開。 • 系統分析師、程式設計師不能兼辦資料輸入或 • 電腦操作。 設計控制作業(3/9)

49. 設計步驟 • 控制重點簡介 • 與計畫、預算或前期績效之分析比較： • 通常與覆核相結合，主要運用在高階主管對 • 於機關內部各單位計畫與預算之管控，因為計畫 • 和預算本身即可作為衡量標準，因此所採取的補 • 救動作與追蹤措施，即為一種控制作業。 • 常見的與計畫、預算或前期績效之分析比較控制如 • 下： • 比較本期與上期計畫及預算資訊。 • 比較財務資訊與非財務資訊。 • 比較計畫、預算間之關係。 設計控制作業(4/9)

50. 設計步驟 • 控制重點簡介 • 驗證及紀錄核對： • 驗證本身為一種證實的動作，將事項有關資 • 訊加以紀錄核對，並加以驗證，即為一種控制作 • 業，適當的憑證及紀錄係達成健全內部控制實施 • 方案「提供可靠資訊」目標的基礎。 • 常見的驗證及紀錄核對控制如下： • 對收入事項的驗證及紀錄核對。 • 對支出事項的驗證及紀錄核對。 • 對非財務事項的驗證及紀錄核對。 設計控制作業(5/9)