新竹縣政府 內部控制之推動與做法 主講人：許庭禎 102.12.24

課程大綱 內部控制與風險管理 內部控制推動情形 內部控制制度設計及評估 內部稽核與內部控制 制度聲明書

前言 公共治理 風險管理 內部控制 在全球化浪潮下，政府部門面臨來自科技創新、自由化經濟、公民意識高漲等外在環境挑戰。 為因應環境之變遷、政府職能日趨多元，必須掌握各種可能影響施政目標達成之風險，並加以有效管理，以提升政府施政效能與競爭力。

內部控制 與風險管理 4

內部控制與風險管理之關係

風險管理就是做預防的工作 風險管理係為有效管理可能發生的事件及其不利的影響，所執行的步驟與過程。 世界上唯一不變的就是「變」，唯一確定的就是「不確定」。 變與不確定可能造成風險，風險未處理可能帶來危機與災難。 風險管理不是追求「零」風險，而是強調在可接受的風險下，追求最大的利益。

風險類型 外部風險： 內部風險： 社會文化：人口特質、風俗習慣、社會價值 科技發展：生物科技、奈米科技、基因工程 自然事件：颱風、地震、水旱災、疫病、氣候暖化 經濟環保：國際金融變化、區域經濟體競爭、能源供給、失業水準、CO2排放 政治法律：意識型態、兩岸關係、勞工環保法規 內部風險： 財物風險：預算是否充足、財務管理是否健全、實體資產損害 人力風險：員工能力、技術、人事管理是否良好 資訊風險：資訊系統是否充分支持決策、個人隱私保護 倫理風險：有無貪污舞弊情形 與利害相關者的關係：夥伴、課責機關等的意向是否變動 政策變革：決策產生的風險是否超過目前組織所能處理的能量

風險管理程序 1. 辨識風險 4. 監視評估 2. 評估風險 3. 處理風險

風險處理方式 接受 風險在容忍範圍內，予以容忍不作處理 規避 風險在容忍範圍外，處理成本高於利益 降低發生率﹝建立防火牆、加強內控﹞ 控制 降低衝擊度﹝備援機房、緊急應變計畫﹞ 移轉 轉由他人承受者﹝購買保險、業務委外﹞

內部控制之實施 How Who 管理三構面 Why 內部控制係由機關全體人員共同參與，透過內部控制五項組成要素，整合機關內部各種控管及評核措施，並融入至管理過程之後端，為各項業務之規劃與執行提供後援，藉以合理促使達成目標。 Why Who How 管理= 規劃+執行+控制 管理三構面

內部控制可合理促使達成施政目標 實現 施政效能 提供 可靠資訊 保障 資產安全 遵循 法令規定

內部控制機制 監督 控制環境 風險評估 控制作業 資訊與溝通 確認 機關 目標 達成

內部控制組成要素 一 二 三 四 五 控制環境-塑造機關文化及影響其人員對內部控 風險評估-辨識目標無法達成的各種因素，並評 制認知之綜合因素，為其他四項組成要素之基礎。 二 風險評估-辨識目標無法達成的各種因素，並評 估其影響程度及發生可能性之過程。 三 控制作業-針對存在高風險之作業項目訂定規範 及程序，以合理促使機關達成目標、降低風險。 四 資訊與溝通-將資訊傳達相關人員，使其有效履 行職責或瞭解責任履行情形。 五 監督-檢查及覆核內控制度設計及執行成效之過程 ，藉以檢討修正內控制度或落實執行改善作為。

一、控制環境 公務職業操守與倫理價值觀念之建立及維持 首長與高階主管對推動及落實內部控制制度之重視以及支持 機關組織架構及授權之適當明確 人力資源之妥適管理及專業能力之提升

二、風險評估 1.風險辨識 2.風險分析 3.風險評量 發掘可能影響目標達成之風險事項 分析風險事項之影響程度及其發生可能性據以估計風險等級 評量對風險之容忍度並依據風險等級決定優先處理之風險事項

三、控制作業 為合理促使機關達成目標、降低風險，且有助於落實執行機關決策，機關應選定業務訂定控制規範及程序，且融入於各單位作業流程中，並得運用資訊系統輔助辦理。包括： 整體層級控制 對機關各單位多項業務有廣泛影響之控管措施或控制規範。 作業層級控制 機關各單位經依個別業務職掌已確認之作業層級目標，所評估風險之結果，選定業務項目，秉持化繁為簡原則，設計控制重點，並配合業務調整及作業變動，適時檢討修訂。

四、資訊與溝通 資訊與溝通將內部控制相關資訊以紙本、電子或其他方式儲存、管理與傳達，有利連貫及支援內部控制其他四項組成要素。 1.對機關全體人員宣達組織職掌及 已確認之目標等，以營造控制環 境。 2.進行風險評估時，得將內部控制 制度之品質納入考量因素之一。 3.各項業務之控制作業，得以書面 文件訂定，使機關全體人員可瞭 解、易遵循，並掌握控制重點。 4.監督時，依各項文件檢視內部控制制 度是否有效設計及執行，而相關評估 結果、建議及後續改善之紀錄，可供 回饋或追蹤辦理情形。

四、資訊與溝通 資訊與溝通將內部控制相關資訊以紙本、電子或其他方式儲存、管理與傳達，有利連貫及支援內部控制其他四項組成要素。 資訊包括與機關目標有關之財務及非財務資訊，可由內部產生或自外部取得，以供決策及監督之用。 溝通包括(1)內部溝通：告知機關全體人員在內部控制所扮演之角色及責任，並建立通報異常情事之管道，促使機關上下或跨單位資訊充分傳達。 (2)外部溝通：依法對外部人士公開或提供資訊，並對外界提出之意見及時處理與追蹤。

五、監督 例行監督 自行評估 內部稽核 由機關內部各項業務承辦單位主管人員，執行督導作業。 由機關內部各單位，就其內部控制制度設計及執行之有效性加以評估，並及時補救或改正，且作成紀錄備供內部稽核專責單位或任務編組複評、主管機關訪查及督導。 內部稽核 由機關內部稽核專責單位或任務編組，以客觀公正之觀點檢查及覆核內部控制制度實施狀況，並就發現之缺失與相關建議，追蹤其改善情形。

內部控制組成要素之運用 檢討內部控制缺失-運用內部控制五項組成要素，分析內部控制缺失，據以檢討改進。 設計內部控制制度-參考內部控制觀念架構，由機關內部各單位設計涵蓋內部控制五項組成要素之內部控制制度，以合理達成內部控制目標。

內部控制、內部審核與內部稽核之關係 內部控制 內部審核 內部稽核 協助主管人員檢查及覆核內部控制制度之缺失及衡量施政效能，並適時提供改進建議，以確保內部控制制度得以持續有效實施及作為檢討修正內部控制制度之依據。 經由收支之控制、現金及其他財物處理程序之審核、會計事務之處理及工作成果之查核，協助發揮內部控制之功能。

內部控制之限制 內部控制僅能合理促使控制目的之達成，而非「絕對保證」達成目標。 受制下列因素影響，可能無法發揮其功能： 成本效益之考量-要求絕對保證達成目標，其成本可能超過所能產生的效益。 情況變遷複雜性-適用正常環境或一般事項之控制，尚難因應情況隨時變遷或特殊事項。 人性面先天限制-人為疏忽或誤解規定；串通舞弊或蓄意偽造；高階主管逾越控制程序；內部控制日久鬆懈。

內部控制成功的要件 要發揮內部控制的功能，必須配合下列要件： １.機關首長之重視與支持 ２.合理之組織規劃與管理結構 ３.健全之內部控制制度 ４.有效之內部稽核功能 ５.高度配合與訓練成熟之員工

內部控制 推動情形 25

強化內部控制機制的重要性 鑑於強化內部控制為風險管理不可或缺的一部分，政府爰將其納入「黃金十年國家願景」中「廉能政府」與「效能躍升」的一環，有助落實優質公共治理，奠定政府競爭力。 但近年來發生台大醫院器官 移植的失誤、運動彩券的弊 端，以及一名婦人擅闖桃園 機場等事件，顯示政府的內 部控制機制仍有疏漏。 因去民航局所以用其例

現行政府機關內部控制缺失檢討 控制環境：首長更替，政策不連貫；績效評估體系不夠健全；施政目標流於形式或空泛。 風險評估：不重視風險發生的嚴重性；風險評估之機制不足，導致舞弊之機會提高。 控制作業：防弊多於興利，控制指標常以投入面考量，而非成果面；存有過多及過時之控制活動。 資訊與溝通：重複監督或漏未監督的結果，使得溝通變得困難，致難以作為輔助政府決策管理之有效工具。 監督：各機關之內部監督系統分散（行政管考、人事考核、政風查核、政府採購稽核、事務管理工作檢核及內部審核等）；偏重傳統之控制導向監督，忽略風險管理觀念。 27

行政院內部控制相關規定

實施依據 行政院為合理確保達成政府施政目標、依法行政及展現廉政肅貪之決心，函頒「強化內部控制實施方案」(100.2.1訂定、101.9.13及102.4.29修正)。 防弊 興利 依法行政 廉政肅貪 提升政府 施政效能 達成 目標 、 降低 風險 落實自律 增進效能 29

實施及準用之對象 實施對象：行政院及所屬各機關(構)、學校。 準用對象：國營事業除已依現有法令規定訂定內部控制制度者，應加強落實辦理外，準用強化內部控制實施方案之規定(亦即國營事業尚未訂定內部控制制度者，納入準用)。 30

公開發行公司建立內部控制制度處理準則 處 理 準 則 總 則 法令授權、適用範圍、內控目的及制定程序 內控設計及執行 總 則 法令授權、適用範圍、內控目的及制定程序 內控設計及執行 應包含之組成要素及控制作業、獨立董事意見之考量 內稽目的及程序、內部稽核實施細則、年度稽核計畫之執行、稽核報告及追蹤報告、稽核單位隸屬層級、稽核主管任免程序、稽核人員適任條件 內部稽核 處 理 準 則 內控檢查 自檢目的及程序、適用對象及時點 自行檢查及內控聲明書 專審目的及範圍、審查準則及程序、 審查報告種類及審查涵蓋期間規定 會計師專案審查 對子公司監理 經營管理、財務業務資訊、稽核管理等事項之監理 內部懲處規定、不適任稽核人員之處置、 金融監督管理委員會命令改善情事之規定、發布日 附 則 31

實施策略 推動作法 推動單位 組成內部控制推動單位 行政院成立行政院內部控制推動及督導小組，負責規劃、推動內部控制制度，並督導落實執行。 辦理內部控制宣導訓練 檢討現有內部控制作業 設計有效內部控制制度 檢查評估制度執行情形 逐級督導落實執行方案 推動作法 行政院成立行政院內部控制推動及督導小組，負責規劃、推動內部控制制度，並督導落實執行。 各機關分別組設內部控制小組，負責推動及執行內部控制實施方案相關工作。 推動單位 32

內部控制102年度重點工作 辦理內部控制宣導訓練 檢討強化內部控制作業 設計並維持有效內部控制制度 辦理內部控制制度評估作業 逐級督導落實執行制度

內控控制未來推動工作 研訂跨職能控制作業 辦理內部控制制度自行評估作業 辦理內部稽核工作 簽署內部控制制度聲明書

內部控制制度 設計及評估 35

研訂內部控制制度作業 研訂內部控制制度應依「內部控制制度設計原則」所定之內容及步驟，依序先確認整體及作業層級目標，進而評估無法達成目標之風險因素，再就不可容忍之風險找出業務項目，設計其控制作業，據以設計合宜有效之內部控制制度。 又為使內部控制制度能有效運作，設計完成之內部控制制度應適時檢討強化其內容，倘控制作業、作業流程過於繁多或已不適用者，宜適度精簡、修正或刪除，使其更臻具體、明確及可用 。

設計簡明有效且具彈性，並涵蓋各項業務之內部控制制度 內部控制制度設計原則 設計簡明有效且具彈性，並涵蓋各項業務之內部控制制度 衡酌因素： √業務繁簡 √規模大小 √人員多寡 考量原則： 　 √成本效益 　 √重要性 　 √風險性 參考要素： √控制環境 √風險評估 √控制作業 √資訊與溝通 √監督 內部控制制度經機關首長核定後，由機關全體人員共同遵循執行。若為三級以下機關（構）及學校，應報送上級機關備查。 37

1 2 3 4 5 設計步驟 內控制度內容 內控組成要素 確認目標 風險評估 選定業務項目 設計控制作業 落實監督機制 資訊與溝通 一、整體層級目標及機關組織職掌 二、作業層級目標及機關組織圖 三、機關分層負責明細表 控制環境 四、風險評估 風險辨識、風險分析、風險評量 風險評估 根據風險評估結果，就超過機關 風險容忍度之主要風險項目，找 出對應之相關業務項目。 五、控制作業 根據選定業務項目設計控制作業 控制作業 六、監督 七、自行評估之表件格式 38 監督

39

釋例說明 【機關名稱】 內部控制制度 中華民國OO年OO月OO日核定 註:內部控制制度原則以A4直式橫書方式表達，其核定日期應適當 揭露，倘有更新，另加註最新修訂日期，其檔案可採紙本、電 子或其他方式儲存管理。另為便於查閱，應就其內容建立整體 目錄索引。 40

修訂紀錄 註：非重大修正者，提升一個版次，如本例1.1版。 屬重大修正者，提升一個版本，如本例2.0版。 版本(次) 修訂日期 修訂頁次 修訂單位 修訂類別 修訂摘要 增訂作業項目 刪除作業項目 修正控制重點 其他 修訂 1.0 XX.6.30 依據XXX規定，於○年○月前完成第1版內部控制制度。 1.1 XX.7.20 03 秘書室  2.0 XX.9.15 45 主計室 各機關得將歷次修訂過程 列入內部控制制度首頁修 訂紀錄，以供查考。 註：非重大修正者，提升一個版次，如本例1.1版。 屬重大修正者，提升一個版本，如本例2.0版。

目 次 壹、整體層級目標及機關組織職掌……………………1 一、整體層級目標……………………………………1 目 次 壹、整體層級目標及機關組織職掌……………………1 一、整體層級目標……………………………………1 二、機關組織職掌……………………………………1 貳、作業層級目標及機關組織圖………………………2 一、作業層級目標……………………………………2 二、機關組織圖………………………………………7 參、機關分層負責明細表………………………………7 肆、風險評估……………………………………………8 一、風險辨識 …………………………………………8 二、風險分析 …………………………………………12 三、風險評量 …………………………………………14 伍、控制作業……………………………………………18 陸、監督…………………………………………………19 柒、自行評估之表件格式………………………………20 附件 一、控制作業代號表 二、共通性業務控制作業程序說明表及流程圖 三、個別性業務控制作業程序說明表及流程圖 各機關內部控制制度及其附件之控制 重點增刪或修訂時，應由機關首長核 可後逕行修正，其餘附件內容為因應 業務上實際需要有所變更部分，不視 為內部控制制度之修正。 42

步驟一：確認目標 各機關依設立目的、願景、策略及施政目標等既有整體層級目標，透過內部各單位業務職掌，確認以作業類別或作業項目為基礎之作業層級目標。 各機關應每年定期或不定期檢視既有整體層級目標與作業層級目標之一致性，並視需要檢討修正，以達成機關之願景及使命；其有組織架構調整或年度業務增減變動時，應即時檢視。

指各機關內部單位為達成業務職掌， 配合整體層級目標所設定之具體作業 目標。

作業層級目標 主計室掌理歲計、會計、統計等事項。 辨識相連結之作業層級目標 1.如期辦理完成預決算作業。 2.加強收支預算執行。 業務職掌 主計室掌理歲計、會計、統計等事項。 辨識相連結之作業層級目標 作業層級目標須經評估 風險，採取適當之回應 措施，以合理促使機關 整體層級目標之達成。 1.如期辦理完成預決算作業。 2.加強收支預算執行。 3.落實執行內部審核，協助發揮內部控制之功能。

設定作業層級目標應注意事項 明確性：清楚明確，易於瞭解業務績效。 可衡量性：儘可能量化，以方便衡量其達成程度。 可達成性：考量所能使用之資源及環境變化，確保作業單位經過努力可以達成。 挑戰性：參考過去實績及環境變化，設定須經相當努力才能達成者。 成果導向：依欲達成之成果加以設定。 期限性：有達成之期限。

步驟二、風險評估 機關任何業務之推展都可能面臨風險，因此要强化內部控制之前提即是要做好風險評估，以辨識無法達成機關整體層級與作業層級目標之內、外在風險因素。 進行風險評估時，得參考以往經驗或現行作業缺失，透過量化或非量化方式分析風險因素之影響程度及發生機率，以決定風險等級。 各機關應綜合考量風險評估結果及風險容忍度，就不可容忍之風險，研議及採取適當回應措施，如決定採設計控制作業方式回應，應及時設計之，以降低該風險等級。對於可容忍之風險，應監督並定期檢討，以確定該等風險仍維持可容忍之程度。

1.風險辨識 依據確認之整體層級目標及作業層級目標，考量機關業務之重要性、風險性，就監察院糾正（舉）、彈劾案件、審計部建議改善意見、機關實施檢查評估及近期外界關注事件等涉及內部控制缺失事項，並參考「行政院所屬各機關風險管理與危機處理作業手冊」所列風險來源，據以辨識無法達成機關整體層級目標及作業層級目標之內、外在風險因素。

權責單位 無法達成目標之風險因素 ○○處 … 秘書室 人事室 主計室 1.各單位未能於期限內提供預決算相關資料。 2.籌編預決算期間適逢資訊系統故障或當機。 3.會計報告編製錯誤或未依規定期限送達。 4.收入款項核與帳目不符。 5.支出款項未依規定支用。 6.內部審核未能發現意圖隱匿不法事件。 主計室作業層級目標： 1.如期辦理完成預決算作業。 2.加強收支預算執行。 3.落實執行內部審核，協助發揮內 部控制之功能。

註：若業務單位有特殊之評估準則，可由該單位另訂之。 2.風險分析 考量機關業務特性，並參採「行政院所屬各機關風險管理與危機處理作業手冊」之風險評估工具，訂定適用於機關之風險影響程度評量標準表(如表1)及發生可能性評量標準表(如表2)，作為各單位評量風險影響程度及發生可能性之參考標準，據以綜合評估風險判斷基準(如圖1)。 風險值之計算方式為影響程度及發生機率之乘積(風險值=影響程度*發生機率)。 註：若業務單位有特殊之評估準則，可由該單位另訂之。

影響程度評量標準表(表1) 等級 影響 程度 機關形象 業務運作 財物 損失 人員 傷亡 民眾 抱怨 或抗議 3 非常嚴重 國際新聞媒體報導負面新聞 中斷5天以上 新台幣1千萬元以上 死亡 大規模抗議活動 2 嚴重 台灣新聞媒體報導負面新聞 中斷2 至4天 新台幣1百萬元至1千萬元 重傷 多數人抱怨或抗議 1 輕微 區域新聞媒體報導負面新聞 中斷1天 新台幣1百萬元以下 輕傷 少數人抱怨或抗議

發生可能性評量標準表(表2) 等級 發生可能性 詳細的描述 3 非常可能 1年內大部分的情況下會發生 2 可能 1年內有些情況下會發生 1 不太可能 1年內只會在特殊的情況下發生 註：評量標準表等級並非僅能分成3個級距，機關可依業務 特性實際需要或情況增減調整。

風險判斷基準(圖1) 影響程度 風險分布 非常 嚴重(3) 3 (高度) 6 9 (極度) 嚴重(2) 2 (中度) 4 輕微(1) 1 (低度) 發生可能性 不太可能(1) 可能(2) 非常可能(3)

3.風險評量 依據風險分析結果，考量機關人力、資源、組織環境等因素，經內部控制小組召開會議研商後，將可接受之風險容忍值訂為2，彙整各單位風險評估結果，計有○項超出機關所訂可接受風險容忍值之主要風險項目(如表3)應優先處理及其風險圖象(如圖2)。

主要風險項目(表3) 單 位 名 稱 風 險 代 號 風 險 值 主 要 風 險 項 目 ○○處 A01 … A02 秘書室 I01 人事室 J01 主計室 K01 1 各單位未能於期限內提供預決算相關資料。 K02 2 籌編預決算期間適逢資訊系統故障或當機。 K03 會計報告編製錯誤或未依規定期限送達。 K04 收入款項核與帳目不符。 K05 3 支出款項未依規定支用。 K06 內部審核未能發現意圖隱匿不法事件。 針對主要風險項目予以彙整及 編列內部單位代號及名稱，以 利後續描繪風險圖像分布情況。

風險圖象(圖2) 影響程度 風險分布 非常嚴重(3) A02、C01、K05 A01 嚴重(2) D01、E02 B01、G01 輕微(1) F01、H02、I01 不太可能(1) 可能(2) 非常可能(3) 發生可能性 註：灰色區域為風險可容忍範圍。

風險評估作業辦理方式 風險評估作業應採滾動方式定期辦理，監督可容忍之風險是否仍維持可容忍之程度，並就不可容忍之風險檢討是否需採行其他新增控制機制因應風險。 可參考「風險評估及處理表」評估風險項目，並就前期不可容忍之主要風險項目所採行之新增控制機制，滾動納入本期現有控制機制一併檢討及評量其風險等級，以決定是否因應處理該等風險。 57

風險評估及處理表(第1期) 風險評估及處理表(第2期) 風險項目 風險情境 風險本質分析 風險值 (R) =(L)x(I) 現有控制機制 現有風險分析 (R)= (L)x(I) 新增控制機制 負責單位 可能性 (L) 影響程度 (I) … OOOOO XXXXX 風險評估及處理表(第2期) 風險項目 風險情境 現有控制機制 (註) 現有風險分析 風險值 (R)= (L)x(I) 新增控制機制 殘餘風險分析 負責單位 可能性 (L) 影響程度 (I) … OOOOO XXXXX 註:第2期之現有控制機制包含第1期之現有控制機制及新增控制機制 58

步驟三、選定業務項目 各機關設計內部控制制度時，應涵蓋內部各單位之業務，並審視各該業務之重要性及風險性，決定納入內部控制制度之業務項目。 根據風險評估結果，就超過機關風險容忍度之主要風險項目，找出對應之相關業務項目，其中有關出納與財產管理、政風、主計、人事、公共建設計畫編審、行政管考、資訊安全與社會發展計畫編審、科技發展計畫編審及政府採購等共通性業務項目，可參採各權責機關所訂共通性作業範例辦理。

步驟四：設計控制作業 針對選定之業務項目，由各單位對其承辦作業流程，視業務性質需要，設計控制作業，以確保各項業務活動皆已有效運作，相關控制重點並應併入各項業務活動之作業流程中設計，包括核准、驗證、調節、覆核、定期盤點、記錄核對、職能分工、實體控制及計畫、預算或前期績效之分析比較等程序。 針對已發生內部控制設計缺失之業務項目，立即修正應有之控制重點。 如已建置有效之內部控制程序文件，例如經國內外驗證通過之標準制度文件等，得納為內部控制制度之一部分。

控制作業 依據風險評估結果，就超出機關可接受風險容忍值之主要風險項目，找出對應之相關業務項目，由各單位設計控制作業如下： 一、共通性業務 1.出納業務 2.財產管理業務 3.主計業務 二、個別性業務 1.○○管理作業 2.○○借用作業 鑑於跨職能業務項目因涉及機關 內部不同單位(或業務)之作業， 為強化源頭管理及整合關鍵控制 重點，各機關宜視業務性質增納 跨職能整合業務項目以應實需。 61

○○機關作業程序說明表 項目編號 LI01 項目名稱 ○○作業 承辦單位 ○○處室○○科 作業程序說明 列明詳細步驟、作業時程、重要經驗及注意事項等。 控制重點 列明不可遺漏之程序、步驟或應予特別重視之作業或法令規定等重要環節。 法令依據 … 使用表單 第1碼A~K為共通性業務代號， L為接續共通性業務之個別性 業務編號，第2碼為內部單位 代號，後兩碼為流水號。 程序說明表之「控制重點」以正面表述 列示，如「應..」；自行評估表之「評 估重點」則將控制重點轉換成疑問句列 示，如「是否..」或「有無..」。 註：作業流程以作業程序說明表為主，作業流程圖為輔，作業流程簡單者， 可不另製作流程圖。 62

控制作業代號表 業務代號(第1碼) 作業項目 ㄧ、共通性作業 A 出納業務 B 財產管理業務 … K 資訊安全業務 二、個別性作業 L ○○業務 O 單位代號(第2碼) 單位名稱 ○○處 主計室 政風室 63

國立故宮博物院票務管理作業程序說明表(釋例1/5) 項目編號 VI01 項目名稱 票務管理作業 承辦單位 秘書室(庶務科、文書科)、文創行銷處(出版科、授權科)、安全管理室(展場安全科)、主計室、政風室 作業程序說明 秘書室： 一、票券需求評估： (一)庶務科票務管理員（以下簡稱票務管理員）利用電腦輔 助售票系統管控售出及庫存之參觀券流水號，輔以人工 定期或不定期督核參觀券之庫存量。 (二)各種票券應至少維持3個月安全庫存量，以免票券未敷使 用，影響票券發售等作業。 (三)票務管理員應參據「票務月結報表」，核計各種票券庫 存數量，若低於安全存量，則依來院參觀人數統計等資 料，估計印製數量，簽陳機關首長或其授權人同意後， 移請文創行銷處辦理票券印製。 64

國立故宮博物院票務管理作業程序說明表(釋例2/5) 二、保管作業：(以下略以) 三、票券領用： 四、售票作業： (一)票券處理 (二)票券銷售 (三)退票申請 (四)票根移交 (五)清點票款 (六)售票員應定期職務輪調。 五、票款作業： 文創行銷處： 一、採購作業： 二、票券圖樣徵選： 三、印製作業： （一）印製過程： （二）印製驗收： 65

國立故宮博物院票務管理作業程序說明表(釋例3/5) 安全管理室： 一、驗票作業： 二、票根管理： 主計室： 政風室： 控制重點 秘書室： 一、各種票券至少維持3個月安全庫存量，若低於安全存量，庶 務科應依來院參觀人數統計等資料估計印製數量，移請文 創行銷處辦理票券印製作業，以免票券未敷使用。 二、文書科應定期盤點票券種類、數量及編號核與保管記錄相 符，並將盤點結果陳報單位主管（秘書室主任）。 三、文書科保管之作廢票券、副聯、查核聯及存根聯，應於保 管期限（2年）屆滿後依文書處理相關作業辦理銷毀。 四、庶務科每月應不定期派員查核票券領用紀錄核與「領票登 記表」所載相符。 五、當日售票結束後，各售票人員應檢視售票金額、售票票數、 庫存票券票號是否售票機台顯示數據（包括現金及信用卡 66

國立故宮博物院票務管理作業程序說明表(釋例4/5) 控制重點 簽單售票）相符，並由當日結帳人員核對無誤後，將票款 裝袋密封，放置在正館專用保險櫃內。 六、收取之票款，應於翌日（若為假日，延至下一個上班日） 上午10時前，由出納人員會同會計室及當日結帳人員開櫃 取款清點無誤後繳交國庫。 文創行銷處： 一、票券印製採購契約應訂有保密條款，規範廠商應對契約內 容保密、不得洩漏及不得有其他不法或不當行為，廠商並 應填具切結書。 二、票券印製過程應不定期至廠商處所抽驗，若發現與契約規 定不符或作業缺失，應立即請廠商改善或重作。 三、驗收時應檢視各種票券種類、數量、圖樣、包裝是否與契 約相符，並注意票券流水號是否有順序編號及記錄起訖號 碼。 安全管理室： 一、驗票時應注意票券是否打印當日日期或蓋日期戳章。 二、收取之副聯及查核聯裝袋彌封後，應於翌日（若為假日， 67

國立故宮博物院票務管理作業程序說明表(釋例5/5) 控制重點 延至下一個上班日）交由文書科留存備查，以利事後票券 查核勾稽。 主計室：會同出納管理人員、當日結帳人員清點票款無誤後， 應依據「售票收入明細結帳統計日報表」清點票款開 立傳票入帳。 政風室：秘書室文書科保管之作廢票券、副聯、查核聯及存根 聯於保管期限屆滿時辦理銷毀，應派員監毀。 法令依據 一、國立故宮博物院參觀收費標準。 二、國立故宮博物院貴賓贈劵使用管理要點。 使用表單 一、正館入場參觀券領據。 二、正館○○票領用紀錄單 三、票券統計月報表。 四、正館票券退票(款)申請單。 五、正館參觀購票證明單。 六、售票收入明細結帳統計日報表 七、領票登記表 68

國立故宮博物院票務管理作業流程圖 秘書室(庶務科) 秘書室(文書科) 文創行銷處 安全管理室 除表達作業流程外，應有明確之控制作業。 69 秘書室(庶務科) 秘書室(文書科) 文創行銷處 安全管理室 準備 票券數量低於安全存量，提出印製需求 辦理票券採購作業1 票券圖樣徵選 票券印製作業＊ 印製完成辦理驗收 廠商刪除圖檔，並將圖檔交授權科列管 票券點收無誤， 按種類及編號保管存放 領用票券填寫領用紀錄單，並將存根聯留存備查 售票人員領票後將票券裝入票匣，並將票號登入售票系統，依序發售 售票收取現金或信用卡 售票結帳核對金額無誤後，將票款收存保險櫃 作廢票券、存根、副聯及查核聯保管期限屆滿後辦理銷毁 結束 驗票時應收取副聯或查核聯 每日閉館後將副聯及查核聯裝袋彌封交文書科 查核印製作業 是否符合規定 否 盤點相符 是 辦理退票 銷毀試車品及模版 清點是否相符 翌日(若為假日,延至下個上班日)上午10時前,由出納人員會同會計室及當日結帳人員開櫃取款 A 除表達作業流程外，應有明確之控制作業。 69

作業流程圖常用圖示 符 號 名 稱 意 義 準備作業（Start） 流程圖開始 處理（Process） 符 號 名 稱 意 義 準備作業（Start） 流程圖開始 處理（Process） 處理程序，圖示上半部表示工作內容，下半部表示執行單位或人員 決策（Decision） 不同方案選擇 終止（END） 流程圖終止 路徑（Path） 指示路徑方向 文件（Document） 輸入或輸出文件 多重文件 (multiple Document） 輸入或輸出數件文件 已定義處理 (Predefined Process) 使用某一已定義之處理程序 連接（Connector） 流程圖向另一流程圖之出口；或從另一地方之入口 註解(Comment) 表示附註說明之用

步驟五：落實監督機制 例行監督 自行評估 內部稽核 風險可能會隨著時間、環境、政策或機關組織變革等因素之變化而有增減，原設計之控制作業亦可能已不合時宜或不復需要，因此，各機關應落實監督機制，以維持內部控制有效性。 例行監督 自行評估 內部稽核 71

自行評估作業 各機關執行內部控制制度自行評估作業，應由內部稽核專責單位或任務編組事先綜整內部各單位意見研擬評估計畫（應包括評估期間及範圍等），簽報機關首長核定。 若有採取抽核程序以驗證整體層級判斷細項及作業層級評估重點執行情形之必要時，應於評估計畫明訂抽核方式、範圍及比率等，以作為執行依據。 各機關可視業務之風險及重要程度決定評估作業辦理次數，惟每年度應至少辦理一次；遇有配合上級機關督導、內部控制制度調整或首長異動等情形，亦得辦理專案評估。

內部控制制度評估作業層級 評估總表 整體層級 作業層級 （內部控制制度有效性整體結論） 初評表及統計表 (主辦或評估單位) 評估明細表 (控制環境) 評估明細表 (風險評估) 評估明細表 (控制作業) 評估明細表 (資訊與溝通) 評估明細表 (監督) 作業層級 自行評估表 (各單位) 自行評估統計表 (各單位)

○○機關內部控制制度作業層級自行評估表 年度 評估重點 自行評估情形 評估情形說明 符合 未符合 不適用 一、作業流程設計之有效性 自行評估單位： 作業類別(項目)：○○作業 評估日期： 年 月 日 評估重點 自行評估情形 評估情形說明 符合 未符合 不適用 一、作業流程設計之有效性 (一)作業程序說明表及作業流程圖 之製作是否與規定相符。 (二)內部控制制度是否有效設計及 執行。 二、○○作業是否符合下列事 項： (一) (二) 結論/需採行之改善措施： 填表人： 複核： 單位主管： 「評估重點」可將作業程 序說明表所列之「控制重 點」轉換成疑問句列示， 如「是否」或「有無」。 附註： 1.機關得就1項作業流程製作1份自行評估表，亦得將各項作業流程依性質分類，同1類之作業流程 合併1份自行評估表，就作業流程重點納入評估。 2.各機關應根據評估結果於自行評估情形欄勾選「符合」、「未符合」或「不適用」；遇有「未符 合」情形，應於評估情形說明欄詳細說明，且於撰寫評估結論時一併敘明需採行之改善措施；遇 有「不適用」情形，應於評估情形說明欄敘明理由及是否有檢討修正評估重點之必要性。

內部控制制度整體層級有效性判斷參考項目 評估總表 由主辦單位或評估單位就 內部稽核小組之複評意見 提出「需採行之改善措施」 評估機關：○○機關 評估期間：○○年○○月至○○年○○月 由主辦單位或評估單位就 內部稽核小組之複評意見 提出「需採行之改善措施」 組成要素 設計及執行有效性 複評情形說明 需採行之改善措施 【設計面】 制度是否良好 【執行面】 制度是否落實執行 ㄧ、控制環境 【範例】 ■良好 □大部分良好 □部分良好 □少部分良好 □完全落實執行 ■大部分落實執行 □部分落實執行 □少部分落實執行 本機關的控制環境，經整 體評估，機關首長、各級 主管以及同仁對於內部控 制的推動與督導機制的建 立，表現積極的支持態度 ，維持有效的制度規範。 惟仍發現以下執行面之缺 失情形，將予以改善並加 強落實： 本機關為確保所屬公 務員於執行職務時， 能廉潔自持、公正無 私、依法行政，將經 常舉辦宣導講習課程 與不定期督導考核， 督促所屬同仁確實遵 循相關規範。 二、風險評估 三、控制作業 四、資訊與溝通 五、監督 內部控制制度 有效程度整體結論 本機關依「各機關內部控制制度自行評估原則」訂定適用之內部控制制度整體層級判斷項目與細項 辦理評估作業，經內部稽核專責單位或任務編組辦理複評，確認本機關自○年○月○日至○年○月○ 日期間，其整體內部控制制度係屬有效，合理促使達成實現施政效能、遵循法令規定、保障資產安全 及提供可靠資訊等目標。 備 註 揭露機關內部重大資訊，如機關首長或內部控制小組召集人之異動、機關內部控制制度之修訂等。 由內部稽核小組辦理 「複評情形說明」 審計部年度審核通知或中央政府總決算審核報告所列重要審核意見如提出 機關內部控制機制未發揮應有效能等意見，各機關應納入評估內部控制制 度有效程度整體結論之重要參據。 由內部稽核小組就各要素「評估明細表」之結論判斷其設計面或執行面之 有效性，並就機關所認定內部控制重大缺失案件之改善情形，綜合評析作 成「內部控制制度有效程度整體結論」後簽報機關首長。 77

內部控制重大缺失之追蹤改善 各機關應將涉及內部控制重大缺失（含當年度已改善完成）之案件，於評估總表之附表「內部控制重大缺失案件及改善計畫」及各明細表內敘明其改善措施、預計（完成）改善時間以及追蹤改善情形等資訊，以管控改善進度。 內部控制重大缺失案件及改善計畫【範例】 （基準日期：○年○月○日） 評估機關：○○機關 基準日期以評估期間 之最後一日為原則 內部控制重大缺失案件 改善措施 預定(完成)改善時間 追蹤改善情形

內部稽核與 內部控制 制度聲明書 79

內部稽核組織設置 內部稽核之職能，主要係以客觀公正之觀點，協助機關檢查及覆核內部控制制度之實施狀況，並適時提供改善建議，以合理確保內部控制制度得以持續有效運作，促使各機關達成施政目標。 各機關應成立內部稽核專責單位或任務編組覆核內部控制制度評估作業及辦理內部稽核工作。該內部稽核任務編組幕僚作業，原則由綜合規劃單位辦理，但機關首長得視機關屬性及業務特性指定適當單位辦理之。 依行政院102年5月3日函頒「政府內部稽核作業應行注意事項」規定，請各機關於102年6月底前成立內部稽核任務編組，以合理確保內部控制制度持續有效實施。 80

辦理內部稽核工作 內部稽核專責單位或任務編組為檢查內部控制制度之實施狀況，應規劃及執行內部稽核工作，包括擬定稽核計畫、蒐集稽核佐證資料及製作稽核紀錄等事項。但各項稽核評估職能已依相關法令規定辦理稽核或評估者，得不重複納入稽核計畫。 各機關內部稽核工作得視業務需要，調度現有稽核評估職能單位人員及主要核心或高風險業務單位人員辦理，該等人員並應避免針對目前服務單位或承辦業務執行稽核。 各機關得審視業務之重要性及風險性，另定內部稽核規定。 81

內部稽核應辦事項 行政院為使各機關辦理內部稽核工作有所依循，已訂頒「政府內部稽核作業應行注意事項」，明訂內部稽核任務編組之運作方式、內部稽核之規劃、執行及報告方式、稽核結果及內部控制缺失之追蹤複查等事項，另就稽核計畫、紀錄、報告及缺失追蹤複查等文件，提供參考格式。各機關得審視業務之重要性及風險性，另定內部稽核作業規定，並應儘速組成任務編組，辦理內部稽核工作，以合理確保內部控制制度得以持續有效運作，俾協助機關改善施政計畫執行績效進而實現良好治理之目標，冀期充分發揮政府稽核之價值。 82 82

1.擬定稽核計畫 執行稽核工作前，依以下分類，擬定稽核計畫： 1.年度稽核：按風險評估結果擇定每年應辦理稽核之業務或事項進行稽核。 2.專案稽核：針對指定案件、異常事項或外界關注等可能存有高風險之事項進行稽核。 稽核計畫應於執行前簽報機關首長核定，其內容得包括稽核重點、稽核範圍 、稽核項目及期程、稽核工作分派等事項；年度稽核計畫應另包括風險評估結果。 83

○○機關 ○○年度(○○年○○專案)稽核計畫 壹、風險評估結果 年度稽核計畫須敘明風險評估結果。 貳、稽核重點 年度稽核計畫依據風險評估結果擇定稽核重點，專案稽核計畫則依 專案主題擬定稽核重點，例如：巨額採購業務之內部控制情形。 參、稽核範圍 依稽核重點擬定稽核工作之範圍，例如：秘書處(室)102年度1至6 月之巨額採購案件、人事處(室)102年度1至12月之人事敘薪作業。 肆、稽核項目及期程 預計辦理稽核工作之項目及期程。 伍、稽核工作分派 參與稽核工作之人員。 1、年度稽核若辦理一次以上者，則依預計辦理之次數 分別列明各項內容。 2、各機關得以列表方式呈現稽核計畫各項內容。 84

○○機關 ○○年度(○○年○○專案)稽核計畫表 月份 項次 稽核項目 預定日期 實際日期 備 註 起 訖 1 例如:人事敘薪作業之稽核 2 1/1 1/31 2 例如:零用金支出作業之稽核 1/4 1/6 3 … 例如:採購驗收作業之稽核 2/1 2/28 例如:資安事件通報與應變之稽核 2/15 2/20 85

2.蒐集佐證資料 為執行內部稽核工作，內部稽核專責單位或任務編組得查閱檢視相關文件、資產，並訪談有關人員，受查者應全力配合提供稽核所需資料並詳實答覆，無正當理由不得拒絕。 內部稽核專責單位或任務編組應依據稽核計畫執行內部稽核工作，並依據稽核目的，決定稽核之方式，其稽核情形應正確完整記錄並檢附佐證資料，作成稽核紀錄。 內部稽核工作得以抽核方式辦理，並依稽核工作之性質及受查單位之特性等，擇定適宜之抽核比率。 86

3.製作稽核紀錄 ○○機關 ○○年度(○○年○○專案)稽核紀錄表 項次 稽核項目 稽核目的 稽核方式 稽核結論 建議意見 1 例如:人事敘薪作業之稽核。 為驗證人事敘薪作業是否符合內部控制制度規定。 1、詢問敘薪 作業流程 。 2、隨機抽核 1 月份敘 薪作業○ 筆。 人事敘薪作業依抽核結果符合內部控制制度規定，該作業控制重點已被有效遵循。 無。 2 … 87

4.作成稽核報告 年度稽核及專案稽核均應作成內部稽核報告，就稽核發現之優點、缺失及改善建議，依程序簽報機關首長核定後送各受查單位，其提出內容及完成期限如下： 1.內部稽核報告內容得包括稽核緣起、稽核過程、稽核結果等事項。 2.內部稽核報告原則於稽核工作結束後二個月內完成。但得視情況調整其期程。 上級機關併同所屬機關辦理內部稽核工作者，應將所屬機關之業務納入內部稽核工作範圍，並得統籌調派所屬人力交互檢查，分別作成各該機關之內部稽核報告。 88

○○機關 ○○年度(○○年○○專案)稽核報告 壹、稽核緣起 說明稽核工作背景資料及辦理依據。 貳、稽核過程 一、受查單位 簡要說明各受查單位之組織編制。 二、稽核重點 即稽核計畫中所列之稽核重點，年度稽核計畫係依據風險評估結 果擇定稽核重點，專案稽核計畫則依專案主題擬定稽核重點。 三、稽核範圍 即稽核計畫中所列之稽核範圍，例如：秘書處(室)102年度1至6 月之巨額採購案件、人事處(室)102年度1至12月之人事敘薪作 業。 四、稽核時間及工作分派 實際執行稽核工作之日期、人員及其工作分配。 參、稽核結果 列表說明稽核發現之優點、缺失及改善建議。 年度稽核若辦理一次以上者， 則按次編製內部稽核報告。 89

○○機關 ○○年度(○○年○○專案)稽核結果表 項次 稽核項目 稽核結論 建議意見 備 註 1 例如:人事敘薪 作業之稽 核。 人事敘薪作業依抽 核結果符合內部控 制制度規定，該作 業控制重點已被有 效遵循。 無。 2 … 90

5.追蹤複查改善情形 內部稽核專責單位或任務編組應針對當年度各機關辦理內部控制制度自行評估結果及所發現缺失事項，追蹤複查其改善情形，連同截至當年度止監察院彈劾、糾正（舉）或提出其他調查意見之案件、審計部中央政府總決算審核報告重要審核意見、上級與權責機關督導等所列待改善事項，涉及內部控制缺失部分，作成追蹤複查表，簽報機關首長核定。 91

○○機關 ○○年度內部控制缺失事項追蹤複查表 項次 追蹤項目 追蹤改善情形 複查結論 備 註 內部控制制度自行評估結果部分 1 例如:落實廉政倫理規範之稽核。 機關首長已於主管會議上宣導同仁遵守廉政倫理規範之重要性，並要求政風室定期提報各單位落實情形。 經檢視最近3個月各單位落實廉政倫理規範情形，皆無異常情事，本項缺失核已改善。 追蹤改善至○月底。 2 … 稽核發現缺失事項部分 例如:勞務採購作業驗收之稽核。 秘書處已依政府採購法第73條規定訂定○○機關勞務結算驗收證明書之格式，並開立勞務結算驗收證明書。 經抽查最近2個月份勞務採購案件，皆已檢附勞務結算驗收證明書，本項缺失核已改善。 監察院糾正(舉)與彈劾案件部分 審計部中央政府總決算審核報告重要審核意見 上級與權責機關督導部分 92

稽核結果發現不法等情事之處理 內部稽核專責單位或任務編組應對潛在風險業務保持警覺，並掌握可能涉有公帑損失、浪費等不法或不當情事；稽核結果如發現可能有不法或不當情事者，應簽報機關首長責請相關稽核評估職能單位人員進一步查處。 執行內部稽核工作期間，如發現重大違失或機關有受重大損害之虞時，應立即簽報機關首長處理；稽核資訊涉及隱私、機密、不法或不當之行為，不宜揭露予所有報告收受者時，得另作成單獨報告揭露。 93

內部控制制度聲明書之簽署 內部控制制度聲明書 內部稽核報告 自評結果 各機關按其辦理內部控制制度自行評估結果，並參考內部稽核與審計(監察)等外部單位查核意見，據以評估整體內部控制制度有效性及簽署內部控制制度聲明書。 內部稽核報告 外部審計(監察) 意見 自評結果 內部控制制度聲明書 94

內部控制制度聲明書之類型 內部控制制度聲明書按整體內部控制制度設計及執行之有效程度，區分為下列三種類型： 1.有效：無內部控制缺失或有內部控制缺失但不甚顯著，其整體內部控制制度之設計及執行能合理確保內部控制目標之達成。 2.部分有效：存有顯著內部控制缺失，但未嚴重影響機關之運作，其整體內部控制制度之設計及執行能合理確保部分內部控制目標之達成。 3.少部分有效：存有內部控制重大缺失，且嚴重影響機關之運作，其整體內部控制制度之設計及執行難以合理確保內部控制目標之達成。 95

內部控制制度聲明書【範例一】 表示整體內部控制制度之設計及執行有效 (機關名稱) 內部控制制度聲明書 本機關民國○○○年度之內部控制制度，依據評估及稽核之結果，謹聲明如下： 一、本機關確知設計、執行及維持有效的內部控制制度係由本機關首長負最 終責任，並已建立此一制度，其目的係在對實現施政效能、遵循法令規 定、保障資產安全及提供可靠資訊等目標之達成，提供合理的確認。 二、內部控制制度有其先天限制，不論設計如何完善，有效之內部控制制度 僅能對相關目標之達成提供合理的確認；而且，由於環境、情況之改變 ，內部控制制度之有效性可能隨之改變。惟本機關之內部控制制度設有 監督之機制，缺失一經辨認，本機關即採取相關之改善措施。 三、依本機關針對○○○年○○月○○日至○○○年○○月○○日之內部控 制制度設計及執行情形辦理檢查及覆核之結果，本機關於○○○年○○ 月○○日整體內部控制制度之設計及執行係屬有效，其能合理確保上述 目標之達成。 機關首長： 簽章 機關副首長： 簽章 簽署日期： 年 月 日 聲明日為會計年度終了日(12月31日)， 並以該聲明日為基準確認該年度截至聲 明日止之內部控制運作情形。 簽署日期為機關首長實際 簽署本聲明書之日期。 96

表示整體內部控制制度之設計及執行部分有效 內部控制制度聲明書【範例二】 表示整體內部控制制度之設計及執行部分有效 (機關名稱) 內部控制制度聲明書 本機關民國○○○年度之內部控制制度，依據評估及稽核之結果，謹聲明如下： 一、本機關確知設計、執行及維持有效的內部控制制度係由本機關首長負最 終責任，並已建立此一制度，其目的係在對實現施政效能、遵循法令規 定、保障資產安全及提供可靠資訊等目標之達成，提供合理的確認。 二、內部控制制度有其先天限制，不論設計如何完善，有效之內部控制制度 僅能對相關目標之達成提供合理的確認；而且，由於環境、情況之改變 ，內部控制制度之有效性可能隨之改變。惟本機關之內部控制制度設有 監督之機制，缺失一經辨認，本機關即採取相關之改善措施。 三、依本機關針對○○○年○○月○○日至○○○年○○月○○日之內部控 制制度設計及執行情形辦理檢查及覆核之結果，所發現內部控制缺失未 嚴重影響本機關之運作，本機關於○○○年○○月○○日整體內部控制 制度之設計及執行係部分有效，尚能合理確保部分上述目標之達成。 機關首長： 簽章 機關副首長： 簽章 簽署日期： 年 月 日 97

表示整體內部控制制度之設計及執行少部分有效 內部控制制度聲明書【範例三】 表示整體內部控制制度之設計及執行少部分有效 (機關名稱) 內部控制制度聲明書 本機關民國○○○年度之內部控制制度，依據評估及稽核之結果，謹聲明如下： 一、本機關確知設計、執行及維持有效的內部控制制度係由本機關首長負最 終責任，並已建立此一制度，其目的係在對實現施政效能、遵循法令規 定、保障資產安全及提供可靠資訊等目標之達成，提供合理的確認。 二、內部控制制度有其先天限制，不論設計如何完善，有效之內部控制制度 僅能對相關目標之達成提供合理的確認；而且，由於環境、情況之改變 ，內部控制制度之有效性可能隨之改變。惟本機關之內部控制制度設有 監督之機制，缺失一經辨認，本機關即採取相關之改善措施。 三、依本機關已針對○○○年○○月○○日至○○○年○○月○○日之內部 控制制度設計及執行情形辦理檢查及覆核之結果，所發現之內部控制重 大缺失(詳附表)嚴重影響本機關之運作，本機關於○○○年○○月○○ 日整體內部控制制度之設計及執行僅少部分有效，尚難以合理確保上述 目標之達成。 機關首長： 簽章 機關副首長： 簽章 簽署日期： 年 月 日 經判斷後，認定有內部控制重大缺失，且截至該年度 之聲明日止尚未完成改善者，應於內部控制制度聲明 書之附表，揭露該等缺失情形及其改善計畫。 98

(機關名稱)內部控制重大缺失及其改善計畫 重大缺失說明 改善措施 預定（完成）改善時間 99

結語 內部控制要有效，有賴於～