內部控制制度之設計

壹、風險評估

4 個機關依行政院依「政府內部控制制度設計原則」規定，於 2016 年以前均 已完成內部控制制度之設計，為針對可能影響內部控制目標達成之重大風險加以 控管，並定期滾動辦理風險評估據以檢修內部控制制度，經整理上開機關 2017 年 辦理風險評估情形如下：

一、A 機關依 2017 年度施政計畫所列施政目標及或關鍵策略目標等，確認修訂 2017 年度內部控制制度計 17 項整體層級目標及 36 項作業層級目標，復經辨識影響 上開目標達成之風險項目及研提風險情境後，參考風險管理及危機處理作業 基準及作業手冊所定風險影響程度評量指標(如表 4-2)及風險發生機率評量指 標(如表 4-3)，分析其風險影響程度及風險發生可能性，並據以計算風險值(風 險值=影響程度*發生機率)，再綜合考量上述風險分析結果及風險容忍度（A 機關可容忍之風險值訂為 2），針對 38 項主要風險項目按現有控制機制下之殘 餘風險值由高至低排序編製風險項目彙總表(如表 4-4)，其中殘餘風險值超過 2 之 4 項風險項目，對應設計 4 項控制作業項目，其餘 34 項風險項目雖未超過 可容忍風險值，考量重要性原則擇選其中 15 項風險項目設計 15 項內部控制作 業，共計 19 項內部控制作業項目納入該機關 2017 年度內部控制制度（修訂第 2 版）。有關Ａ機關就上開主要風險項目滾動辦理風險評估情形如表 4-5 。

表 4-2 A 機關風險影響程度評量指標

表 4-5 A 機關風險評估及處理表（摘錄）

知採購作業發生

超出可容忍風險值，惟考量重要性原則，擇 27 項主要風險項目設計 26 項內部

表 4-8 V 機關風險項目彙總表（摘錄）

畫暨研發成果

時。

特性，訂定適用之「影響之敘述分類表」及「機率之敘述分類表」（如表 4-10、

表 4-12 Ｉ機關風險項目彙總表（摘錄）

表 4-13 Ｉ機關風險評估及處理表（摘錄）

三、 確認 OO 資訊組排除

逸後衍 生之違 法活動 或犯罪 行為，

對於社 會秩序 及治安 勢將造 成衝擊 與影 響。

資料來源:Ｉ機關內部控制制度（2017 年度修訂第 4 版）

四、T 機關依其上級主管機關 2017 年度施政計畫所列施政目標及或關鍵策略目標 等，確認修訂 2017 年度內部控制制度計有 6 項整體層級目標及 11 項作業層級 目標，該機關依上開整體層級及作業層級目標，參考「風險管理及危機處理 作業手冊」之風險評估工具，就施政計畫、監察院糾正（舉）、彈劾案、審計 部建議及輿情反應等風險來源辨識主要風險項目，並考量業務特性，訂定適 用之「影響之敘述分類表」及「機率之敘述分類表」（如表 4-14、4-15），作為 衡量風險影響程度及發生機率之參考標準，據以計算風險值，並經該機關內 部控制專案小組開會決定將可容忍之風險值訂為 2。經風險分析結果，該機關 計有主要風險 44 項(如表 4-16)，其中 26 項主要風險項目之風險值超出風險容 忍度，故將其對應之作業項目(共 26 項) 納入設計控制作業，以期降低風險；

其餘 18 項主要風險項目，雖未超出可容忍風險值，惟考量重要性原則，擇選 5 項主要風險項目對應之 5 項作業項目納入設計控制作業，共計 31 項內部控 制作業項目納入該機關 2017 年度內部控制制度(修訂第 4 版）。另 T 機關就上 開主要風險項目滾動辦理風險評估情形如表 4-17。

表 4-14 T 機關影響之敘述分類表

等級 衝擊或

後果 形象影響 人員影響 財物損失 目標達成 3 非常

嚴重

機關形象

受損 人員死亡 100 萬元以上 經費 / 時間 大量增加 2 嚴重 跨科室形

象受損 人員重傷 50 萬元以上低於 100 萬元

經費 / 時間 中度增加 1 輕微 科室形象

受損 人員輕傷 低於 50 萬元 經費 / 時間 輕微增加

資料來源：T 機關內部控制制度（2017 年度修訂第 4 版）

表 4-15 T 機關機率之敘述分類表

等級 可能性分類 發生機率百分比 詳細之描述

3 高 71－100% 在大部分的情況下會發生 2 中 31－70% 有些情況下會發生

1 低 0－30% 只會在特殊的情況下發生

資料來源：T 機關內部控制制度（2017 年度修訂第 4 版）

表 4-16 T 機關風險項目彙總表（摘錄）

表 4-17 T 機關風險評估及處理表（摘錄）

新檢討本監各項

金 及 勞 作 金

本研究透過深度訪談，綜整受訪者的意見也與前述分析結果相符。多數受訪 者認為按照目前設計內部控制制度規範之風險評估步驟，應能協助機關發掘及掌 握影響機關施政目標達成之主要風險，惟其效果係取決同仁是否真正落實辦理。

我覺得內部單位所提出的風險項目是否真正是核心業務的主要或關鍵風險，

恐怕有商榷的餘地…，由於程序上這些風險項目是各單位主管核可的，幕僚單位大 多是尊重各單位探討結果。但如果有掌握到具體佐證資料，例如媒體關注或外部 監督機關有提出意見，而業管單位卻未將之納入評估風險，我們就會與業管單位 溝通請其再重新檢視補正。（A1）

這樣的步驟是對機關辨識並掌握業務推動的風險是有幫助的，就怕是有單位 不認為自己的業務有風險，或低估風險值，或是將無關緊要的風險項目納入內部 控制制度的情形。我所服務機關是透過內控召集人召開會議討論，請各單位主管 說明所列風險項目的妥適性，以避免發生上開情況。（C3）

根據上開受訪者所任職機關的實際經驗，針對機關內部可能發生部分單位未 落實辦理風險評估之情形，可透過跨單位間的溝通或開會討論等處理方式來加以 改善。另有受訪者表示因所任職機關業務屬性之故，本來就非常重視風險管理，

內部控制的作法確實有助於控管風險。

本機關之業務屬性本來就是高度管制型態的機關，在依行政院所訂相關規範 建立及實施內部控制之前，我們機關本來就有針對高風險項目，根據實務經驗及 配合修正之法令規定來檢討訂定標準作業流程或管控機制，或依上級三級機關訂 定相關的規範來據以執行。所以本機關的控管機制原本就有考量評估可能發生的 問題（風險）去才擬訂相關的防範或處置措施作為。（B1）

我們機關人員的流動率很高，而且部分所屬機關（單位）的業務性質迥異，…

所以我們很在意同仁一些業務操作上該注意的程序及步驟，要求各單位訂定標準 作業流程（SOP）讓同仁依照辦理，實施內部控制以後，我們就針對容易出錯的風 險因子，訂定內部控制文件來加以控管。因此我認為實施內部控制對於掌握和管 控風險是有效果的。（C2）

此外，由於目標設定與政策規劃非屬內部控制範疇，故有受訪者表示，很多 行政院所屬二級部會職掌業務多偏向於政策制定，由於相關政策攸關民眾權益，

政策的規劃制定是否周妥，向為民眾及外界關注焦點，因此風險來源多來自於政 策本身，然而類此風險是無法透過內部控制來加以控管的。

…我調到○○部任職時，就發現因為它所負責的業務是以政策的規劃制定為 主，部裡面很多政策攸關民眾的權益，民眾的抗爭多在政策本身，因此對於二級 部會來說，內部控制恐怕沒辦法協助控管這類政策制定的風險。(C2)

貳、控制作業

依政府內部控制制度設計原則規定，各機關應針對選定之業務項目，由內部 各單位對其承辦作業流程，視業務性質需要，設計控制重點，控制重點包括核准、

驗證、調節、覆核、定期盤點、記錄核對、職能分工、實體控制及計畫、預算或 前期績效之分析比較等程序。劉火欽（2012）提出內部控制制度控制點之選擇應 注意原則包括 1.錯誤機率：依據以往經驗容易出現錯誤之程序；2.嚴重程度：依風 險評估結果造成損失；3.焦點管理：涉及數量；4.決策點控制：標準作業程序中出 現決策點；5.三一原則：挑選控制點項目之數量，原則不要超過標準作業程序項目 之三分之一，以免失去控制重心。

依據受訪者的陳述及瞭解，機關訂定內部控制制度的實務作法，基本上係針 對作業流程中可能產生風險的環節，設計相關控制重點，以便將風險控制在可承 受的範圍內。

內部控制作業程序中的控制重點和施政計畫選項列管作業的查核點，是相似 的概念，上開管考作業的查核點如果有發生落後的狀況，將是影響相關工作或整 個計畫執行進度的關鍵，．．．例如採購作業，何時要提出預算書圖，何時招標 公告，如果落後將影響採購作業進行，這些都是控制重點的概念。(Ａ1)

本機關各單位訂定的控制作業，大致上都是把作業程序或流程中的重要步驟 當作控制重點，當這些關鍵步驟沒有做到時，就會產生風險，所以就會把這些重

要步驟當作是控制重點。（B2）

以本機關處理收容人的緊急外醫為例，都會透過簿冊資料（即相關書面紀錄）

詳細記載相關的處置作為，特別是針對未來可能容易發生糾紛的步驟，都會列為 控制重點。（D1）

我所任職部門的承辦人員和科長會去討論哪些業務項目可能是風險性較高必 須加強控管，還有哪些環節會造成這樣子高風險的情況去做檢討，或在執行面上 有哪些通常是我們不容易掌控的部份，去做控制重點的設計。(A2)

鑒於目前各機關相關業務之推動，多已透過資訊系統處理，機關於訂定內部 控制制度的過程中，可重新檢視既有作業流程或控管機制之妥適性，並思考運用 資訊系統輔助控管作業，建立自動檢核機制，進而精進相關業務的作業流程及減 少控制重點數量，以達成提升施政效能及業務營運效率的目標。根據本研究受訪

鑒於目前各機關相關業務之推動，多已透過資訊系統處理，機關於訂定內部 控制制度的過程中，可重新檢視既有作業流程或控管機制之妥適性，並思考運用 資訊系統輔助控管作業，建立自動檢核機制，進而精進相關業務的作業流程及減 少控制重點數量，以達成提升施政效能及業務營運效率的目標。根據本研究受訪