公立醫(yī)院信息技術(shù)服務(wù)采購審計探究

1、PAGE PAGE - 7 -公立醫(yī)院信息技術(shù)服務(wù)采購審計探究陳春宏摘要當前，公立醫(yī)院正加快推進智慧醫(yī)院建設(shè)和信息標準化建設(shè)，信息技術(shù)服務(wù)采購領(lǐng)域風險日益凸顯。本文基于流程分類框架理論，合理區(qū)分業(yè)務(wù)流程階段，確定信息技術(shù)服務(wù)采購關(guān)鍵流程和控制點，識別風險點并進行風險等級排序，構(gòu)建標準化審計程序。關(guān)鍵詞公立醫(yī)院信息技術(shù)服務(wù)采購審計流程分類框架一、研究背景及意義（一）公立醫(yī)院信息技術(shù)服務(wù)采購審計的重要性當前，5G、互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、人工智能、大數(shù)據(jù)等新技術(shù)廣泛運用于醫(yī)療行業(yè)，公立醫(yī)院信息化建設(shè)邁向新臺階。為進一步落實國務(wù)院辦公廳關(guān)于促進“互聯(lián)網(wǎng)+醫(yī)療健康”發(fā)展的意見和國務(wù)院辦公廳關(guān)于推動公立醫(yī)院高質(zhì)

2、量發(fā)展的意見，公立醫(yī)院加快推進智慧醫(yī)院建設(shè)和信息標準化建設(shè)的進程。信息技術(shù)服務(wù)采購在醫(yī)院采購項目中占據(jù)日益重要地位，成為醫(yī)院完善內(nèi)部控制的重要環(huán)節(jié)。在新形勢下，強化對信息技術(shù)服務(wù)采購審計的重要性越發(fā)凸顯。（二）公立醫(yī)院信息技術(shù)服務(wù)采購審計的必要性國家衛(wèi)生健康委辦公廳關(guān)于全面落實規(guī)范和加強政府采購管理三年專項行動工作的通知和審計全覆蓋的要求，都對公立醫(yī)院信息技術(shù)服務(wù)采購審計提出較高要求。醫(yī)院應(yīng)加大對信息技術(shù)服務(wù)采購審計的監(jiān)管力度，進一步規(guī)范政府采購管理專項工作，完善相關(guān)內(nèi)部制度，推進醫(yī)院信息化建設(shè)。（三）公立醫(yī)院信息技術(shù)服務(wù)采購審計的可行性開展信息技術(shù)服務(wù)采購審計，要求審計人員具備內(nèi)控管理、政府

3、采購、信息技術(shù)等方面的綜合知識。然而目前公立醫(yī)院內(nèi)部審計人員較少，且大多僅具有經(jīng)管類專業(yè)背景，具備綜合知識的審計人才較少，這使得信息技術(shù)服務(wù)采購內(nèi)部審計較難開展，更多需要依賴于外部審計。（四）研究的意義近年來公立醫(yī)院貨物、設(shè)備類采購審計研究呈增長趨勢，但專門針對信息技術(shù)服務(wù)采購審計的研究仍較少。信息技術(shù)服務(wù)采購因其無形性、難以計量、定價不確定、質(zhì)量難以評估、專業(yè)性強和個性化需求高等特性，與貨物、工程采購存在明顯差異。本文對信息技術(shù)服務(wù)采購審計思路進行探析，為其他公立醫(yī)院或行政事業(yè)單位開展信息技術(shù)服務(wù)采購審計提供思路。二.信息技術(shù)服務(wù)采購審計的內(nèi)涵和方式（一）內(nèi)涵1.信息技術(shù)服務(wù)采購包括軟件開發(fā)

4、或改造、系統(tǒng)平臺集成、數(shù)據(jù)處理或測試、項目監(jiān)理、運行維護等。由于項目周期長、涉及的業(yè)務(wù)流程廣，成為內(nèi)部審計的重難點。2.信息技術(shù)服務(wù)采購審計除了對經(jīng)濟活動的真實性、合法性、完整性、效益性等方面進行監(jiān)督和評價外，還應(yīng)包括信息系統(tǒng)設(shè)計規(guī)劃、功能實現(xiàn)、信息業(yè)務(wù)的互聯(lián)互通、運行維護、系統(tǒng)安全與流程連續(xù)性等方面的監(jiān)督和評價。（二）審計方式運用象限分析法，對信息技術(shù)服務(wù)采購審計任務(wù)壓力和內(nèi)審人員專業(yè)勝任能力水平兩個維度指標進行分析，審計方式可以分為四種類型（如圖1所示）：1.全部自審式。當醫(yī)院信息技術(shù)服務(wù)采購項目少、復(fù)雜度較低且內(nèi)審人員專業(yè)勝任能力較強的情況下，可以采用全部自審式。2.牽頭委外式。這種情況

5、適用于內(nèi)審人員專業(yè)勝任能力較強但信息技術(shù)服務(wù)采購項目多、復(fù)雜度較高的情況。內(nèi)部審計人員對整個審計方案進行頂層設(shè)計，指導并監(jiān)督外聘審計人員進行審計，能夠有效地利用外部審計力量，取得較好的審計效果。3.參與委外式。當內(nèi)審人員專業(yè)勝任能力不足且信息技術(shù)服務(wù)采購項目少、復(fù)雜度較低時，可以聘請有經(jīng)驗、有資質(zhì)的中介機構(gòu)授權(quán)其進行審計，內(nèi)審人員通過“參與式審計”，從中學習以達到審計目的。4.全部委外式。當內(nèi)審人員專業(yè)勝任能力不足且信息技術(shù)服務(wù)采購項目大、復(fù)雜度較高時，可選擇全部依托于外部審計。值得注意的是，外部審計與內(nèi)部審計的職業(yè)習慣和審計關(guān)注點存在著明顯差異，采用參與委外式和全部委外式的審計效果難以保證。

6、三.審計思路（一）審計的總體思路基于公立醫(yī)院的信息技術(shù)服務(wù)采購具有的特點，總體的設(shè)計思路為以風險導向的全流程、分層次審計。首先，梳理信息技術(shù)服務(wù)采購的全部業(yè)務(wù)流程，合理區(qū)分業(yè)務(wù)流程階段，確定關(guān)鍵流程和控制點;其次，識別風險并排序，明確審計重點，兼顧審計效率和質(zhì)量，最終達到“審計成本與審計質(zhì)量”最優(yōu)。（二）識別風險并進行排序的思路1.確定信息技術(shù)服務(wù)采購關(guān)鍵控制點。運用美國生產(chǎn)力與質(zhì)量中心（簡稱APQC）開發(fā)的流程分類框架理論，依照科學性、可操作、可量化的原則，將信息技術(shù)服務(wù)采購整個業(yè)務(wù)流程分為五個階段：立項規(guī)劃階段、組織采購階段、信息化建設(shè)階段、驗收階段、應(yīng)用階段，篩選出19個關(guān)鍵業(yè)務(wù)環(huán)節(jié)（如

7、圖2所示）。2.識別信息技術(shù)服務(wù)采購風險點。圍繞關(guān)鍵業(yè)務(wù)流程環(huán)節(jié)，結(jié)合上級指導文件、審計案例、以往內(nèi)外部檢查報告和醫(yī)院內(nèi)控環(huán)境等，分析識別出公立醫(yī)院信息技術(shù)服務(wù)采購在采購合規(guī)性、內(nèi)控有效性、建設(shè)完整性、系統(tǒng)安全性等方面的易發(fā)風險點（如表1所示）。3.評估風險等級。運用風險矩陣分析法，建立契合信息技術(shù)服務(wù)采購特點的風險評估規(guī)則，制定科學、合理的定性和定量指標，賦予風險發(fā)生的可能性和影響程度兩因素分值（如表2所示），綜合評估風險大小并在矩陣圖中展示其重要性等級（如圖3所示）。對風險進行排序，優(yōu)先審計等級高的風險點，及時發(fā)現(xiàn)并糾正信息技術(shù)服務(wù)采購中存在的問題。（三）審計的流程思路審計流程分為三個階段

8、：審前準備階段、審計實施階段和審計終結(jié)階段，信息技術(shù)服務(wù)采購的審計流程思路如圖4所示。1.審前準備階段的工作思路。審前準備階段的工作內(nèi)容主要是：了解醫(yī)院組織架構(gòu)、業(yè)務(wù)流程及內(nèi)控管理水平，識別并評估關(guān)鍵控制點和風險點，設(shè)計審計方案。審計組可通過獲取相關(guān)制度文件、采購流程圖、項目匯總明細表、年度采購預(yù)算及決算表等審前資料，梳理醫(yī)院信息技術(shù)服務(wù)采購關(guān)鍵業(yè)務(wù)流程和控制點，對比國家的相關(guān)規(guī)定，查看內(nèi)部制度是否健全并分析內(nèi)部制度執(zhí)行中是否存在風險薄弱環(huán)節(jié);查看采購項目匯總明細表、年度預(yù)決算報表和無形資產(chǎn)賬表等，初步了解信息技術(shù)服務(wù)類采購的年度預(yù)算執(zhí)行、采購項目數(shù)量及金額、出入庫、付款進度等情況;查看采購崗

9、位表和重點崗位輪崗記錄，初步判斷醫(yī)院內(nèi)控水平;收集以往的內(nèi)外部檢查報告或政府處罰決定書，關(guān)注相關(guān)問題的整改情況。對信息技術(shù)服務(wù)采購各流程進行風險評估，分析可能存在的問題，確定審計重點，設(shè)計審計實施方案。2.審計實施階段的工作思路。審計實施階段的工作內(nèi)容主要是：對內(nèi)部控制進行測試，重新審查原擬訂審計方案的可行性;圍繞審定后的審計實施方案進行現(xiàn)場審計。審計組可按金額或項目類型分層抽樣，對采購合規(guī)性、內(nèi)控有效性、建設(shè)完整性、系統(tǒng)安全性等方面進行全流程審計。（1）采購合規(guī)性、內(nèi)控有效性方面的審計思路。查看合同實際金額是否超過年度預(yù)決算、院長辦公會或黨委會決議的預(yù)算;信息技術(shù)服務(wù)采購是否歸口管理，是否實

10、行不相容崗位相互分離制度;采購申請表是否按規(guī)定授權(quán)審批，審批時間是否與調(diào)研時間、采購時間、院會議紀要的時間倒置;是否執(zhí)行事前績效評估論證報告制度;符合“三重一大”的采購事項是否按規(guī)定上會研究表決，對比合同協(xié)議、“三重一大”決策記錄與實際執(zhí)行情況，查看是否存在決策與執(zhí)行兩張皮的現(xiàn)象;限額以上的項目是否采用政府采購方式，組織采購是否符合國家和醫(yī)院的規(guī)定，招標參數(shù)聯(lián)簽是否按規(guī)定審批權(quán)限審批通過;合同簽定是否和采購文件中確定的事項相符，合同聯(lián)簽是否執(zhí)行到位;項目驗收流程是否符合規(guī)定，大型的信息開發(fā)或改造項目是否組織院外驗收評審會;項目驗收后是否及時入庫，是否按合同約定的付款條件支付款項等。此外，還應(yīng)分

11、析排查是否有未經(jīng)批準通過化整為零或其他方式規(guī)避公開招標的項目。（2）建設(shè)完整性方面的審計思路。查看醫(yī)院信息化建設(shè)中長期規(guī)劃書，分析整體設(shè)計完整與否，是否存在建設(shè)缺失或重復(fù)的情況;了解各業(yè)務(wù)信息互聯(lián)互通的情況，評價各系統(tǒng)接口改造服務(wù)完整與否，業(yè)務(wù)數(shù)據(jù)能否形成閉環(huán);查看項目驗收條款是否滿足規(guī)劃書的要求，關(guān)注執(zhí)行進度慢、無法按期驗收的項目數(shù)量，查看其采購需求研調(diào)記錄是否充分、采購文件要求描述是否完整，詢問經(jīng)辦人超期的原因并分析合理性;查看建成后系統(tǒng)的后臺使用數(shù)據(jù)，關(guān)注使用率低或閑置不用的采購項目等。（3）系統(tǒng)安全性方面的審計思路。查看醫(yī)院信息系統(tǒng)安全保密及泄密責任追究的相關(guān)制度;查看密碼應(yīng)用、安全審

12、查、信息系統(tǒng)共享、系統(tǒng)報錯和維修等相關(guān)記錄是否完整，詢問使用科室出現(xiàn)漏洞的次數(shù)以及修護時間，是否存在長時間無法修復(fù)的缺陷;現(xiàn)場查看系統(tǒng)超級管理人員的數(shù)量和權(quán)限，查閱系統(tǒng)授權(quán)變更的審批記錄等;查看安全防護水平是否低于等級保護的級別;物理安全是否達標，如場地安全、設(shè)備安全、介質(zhì)安全等是否達到規(guī)定要求。內(nèi)部審計人員在審計時，如其專業(yè)勝任能力不足，則可咨詢行業(yè)專家的意見或聘請具有資質(zhì)的中介機構(gòu)協(xié)助審計。3.審計終結(jié)階段的工作思路。審計終結(jié)階段的工作內(nèi)容主要是：與審計對象充分溝通后出具審計報告并提出建議，并在整改結(jié)束后進行后續(xù)審計。合理的審計建議可以進一步規(guī)范醫(yī)院信息技術(shù)服務(wù)采購流程、提升內(nèi)控精細化管理

13、和信息化建設(shè)水平。審計組應(yīng)要求審計對象在規(guī)定的時間內(nèi)按照問題清單全面自查整改，并開展后續(xù)跟蹤審計。將整改不到位或效果不明顯的問題反饋到下一個審計計劃中，通過PDCA循環(huán)審計法實現(xiàn)信息技術(shù)服務(wù)采購的持續(xù)改進。四、優(yōu)化審計方法（一）構(gòu)建標準化審計程序運用流程分類框架理論，合理區(qū)分業(yè)務(wù)流程階段，確定信息技術(shù)服務(wù)采購關(guān)鍵流程和控制點，識別風險點并進行風險等級排序，構(gòu)建標準化審計程序。充分收集立項規(guī)劃、組織采購、招標合同、建設(shè)實施、驗收運用所需要的字段和數(shù)據(jù)，實現(xiàn)審計作業(yè)全面可控，提高審計效率和質(zhì)量。（二）優(yōu)化督促整改機制充分重視審計成果的利用，加大整改督辦力度，建立分段整改督導機制。對尚未整改到位的問題重新梳理、分析原因、研究對策，列入下一次循環(huán)審計的整改事項中，確保循環(huán)審計工作良好運轉(zhuǎn)，持續(xù)推動醫(yī)院信