我院拟委托一名供应商提供2026年度内部控制风险评估服务，现将采购事宜公告如下，欢迎具有相关资质的单位递交采购文件。

一、资质要求

1.在中华人民共和国境内注册，能够独立承担民事责任，具有行政部门核发的营业执照。

2.营业执照经营范围内，能够提供本项目所需产品及服务的供应商均可参与本项目。

3.、单位负责人为同一人或存在直接管理或控股的不同供应商，不得同时参加本次采购相关活动。

二、采购要求

一、项目基本情况

（一）项目名称：2026年度内部控制风险评估服务。

（二）评估年度：2026年度。

（三）项目目标：依据《行政事业单位内部控制规范（试行）》（财会〔2012〕21号）、《公立医院内部控制管理办法》（国卫财务发〔2020〕31号）、《关于进一步加强公立医院内部控制建设的指导意见》（财会〔2023〕31号）等规定，全面识别医院经济活动及相关业务活动风险，分析发生可能性、影响程度及现有控制，确定风险等级并提出应对建议；结合《行政事业单位内部控制规范（修订征求意见稿）》关于内控数智化发展方向，运用专业工具及适宜的智能化技术辅助风险识别与分析，形成可追溯、可运用的年度风险评估成果。

二、主要服务内容

（一）资料收集与政策对标。结合医院特点制定合理可行的分部门、分业务资料需求清单和政策制度对标表，收集组织架构、职责分工、制度流程、预算决算、收支、采购、资产、建设项目、合同、科研、教学、互联网、医联体、信息化等相关执行材料及业务台账，以及审计、巡察、医保检查及整改资料等；梳理政策要求、医院制度及实际业务流程的差异，形成可追溯的初步风险线索记录。

（二）问卷调研与分层访谈。结合医院特点制定可操作、可实施的风险调查问卷、现场调研清单及分层访谈提纲，覆盖管理层、业务归口部门、关键岗位等不同层级，并保留问卷汇总、访谈纪要和问题记录；重点了解可能性、影响程度、关键审批控制、跨部门协作等事项。

（三）重点风险识别与现场核查。围绕预算、收支、政府采购、合同、资产、建设项目及医疗、教学、科研等相关业务活动实施风险导向核查。应至少提供“风险领域—核查目标—核查方法—拟核对资料—记录方式”的现场核查方案，采用流程穿行、样本核查及跨资料核对等方式，留存核查记录；对范围内无业务发生的事项可说明后调整。核查旨在识别和分析风险，不代替年度内控评价或审计。

（四）专业工具辅助风险评估。为提高医院内部控制风险识别的系统性、风险评定的科学性及评估成果的应用价值，服务机构应在本项目实际使用风险评估工作底稿、现场调研及核查清单、风险矩阵等工具：①风险识别与分析工具。运用内部控制风险数据库、风险评估工作底稿应记录风险事项、事实及制度依据、风险成因、可能影响、现有控制、风险等级及应对建议，区分已发生问题与潜在风险，并建立风险事项与政策制度、控制目标及核查依据之间的关联关系；②现场调研及风险核查工具。运用专业调研清单、风险核查清单等工具，围绕医院不同业务领域明确调研对象、核查重点、资料需求及分析方法，重点关注制度要求与实际执行差异、跨部门职责衔接及关键控制节点，形成风险线索识别、核实分析及后续跟踪的完整工作记录，避免仅依据部门自评或制度文本判断风险；③风险评价及分级管理工具。建立适用于公立医院的风险评估矩阵，结合风险发生可能性、影响程度及现有防控情况，明确风险等级划分标准及判定依据，综合考虑经济损失、政策合规、医疗运营及社会影响等因素，对不同业务领域风险进行分类分级，识别重点风险领域及风险防控优先顺序。风险矩阵应体现风险发生可能性、影响程度及风险等级判定关系。支持风险事项分类、控制措施关联、风险等级记录、风险清单结构化整理及评估成果追溯。响应时提供三类专业工具样表和至少一项脱敏填报示例。

（五）数智化辅助风险评估。鉴于公立医院经济活动及相关业务涉及部门多、业务链条长、数据量大，且相关管理信息分散于不同业务系统、制度文件及业务资料中，传统依赖人工查阅、访谈和抽样核查的风险识别方式，在跨业务关联分析、潜在风险发现及系统性风险识别等方面存在一定局限。为提高风险评估的全面性、精准性和分析深度，服务机构应根据《行政事业单位内部控制规范（修订征求意见稿）》关于内控数智化发展方向，结合医院实际运用人工智能、大数据分析等技术手段，辅助开展以下工作：服务机构应在本项目实际投入适宜的人工智能数据分析工具，至少覆盖：①对政策制度、业务资料、审批程序进行检索比对及合规风险线索提示；②对合同、采购资料、财务或其他业务记录开展跨文件关联、一致性核查、异常线索识别及穿透式核查；③辅助归集风险事项、分析风险成因及整理风险防控建议。响应时应提供上述功能的具体说明和截图、脱敏应用实例或其他可核验材料，并说明拟使用数据范围、实施环节、人工复核及数据安全措施。智能分析结论须经专业人员核实，不直接替代风险判断。

（六）风险分析、评定与沟通。建立风险事项与依据、核查记录、发生可能性、影响程度、风险级别和建议措施之间的追溯关系；对重点风险与相关部门进行事实核实、意见沟通及争议处理并留存记录。

三、交付成果及工作要求

（一）交付成果与验收要求：

①《2026年度内部控制风险评估报告》。全面反映风险评估过程及结果，除说明评估范围、方法、风险等级及应对建议外，还应结合医院业务特点，深入分析重点风险的形成原因、现有控制薄弱环节及可能影响，重点关注跨部门、跨业务的系统性风险，分析医院整体风险分布、主要管理薄弱环节及风险防控优先级，提出具有针对性、可操作性的内部控制优化建议，

②《医院内部控制风险清单》。覆盖单位层面及公立医院十二大模块，深入具体业务事项及关键控制环节，明确风险表现、形成原因、制度及控制依据、发生可能性、影响程度、风险等级、现有控制措施及防控建议等内容。风险识别应结合医院实际业务场景，对不同风险成因提出差异化防控措施，明确责任归口及控制优化方向

③《2026年度内部控制风险评估工作底稿》。完整记录资料审查、问卷访谈、现场核查、风险分析、等级判定及沟通确认等工作过程，重点风险应具有相应事实依据及分析记录，能够支持报告结论和风险清单，并建立成果之间的索引关系。

④其他成果。包括风险矩阵、调研清单、沟通确认记录等配套文件等。

此外，上述资料需提供可编辑电子版及约定纸质版，并确保三项核心成果须可交叉核对。

（二）所有交付成果须在2026年12月15日前提交采购方。

（三）实施方案及计划。响应文件应提供专门面向本院的实施方案，完整列明：

①项目目标，明确本次风险评估的总体目标、具体工作目标及预期成效，包括内部控制风险的全面识别、重点风险分析、风险等级评定、风险防控建议提出及评估成果应用等，说明如何通过风险评估发现医院制度建设、职责分工、业务流程、关键控制环节及跨部门协作中存在的风险隐患，为医院内部控制体系优化提供依据；

②工作范围及风险识别重点，明确单位层面及业务层面的风险评估范围。单位层面应涵盖组织架构、议事决策、权责配置、关键岗位管理、内部监督及信息化管理等内容；业务层面应涵盖预算、收支、政府采购、合同、资产、建设项目及医疗、医保、教学、科研等相关业务活动。同时，应结合公立医院管理特点，从政策合规性、资金规模、业务复杂程度、历史审计及检查发现问题、跨部门协作等方面分析重点风险领域，提出具有针对性的风险识别重点及工作安排；

③调研、访谈和核查方法，明确拟采用的具体工作方法、适用场景及实施要求，包括资料收集与政策对标、风险调查问卷、管理层及归口部门和关键岗位分层访谈、业务流程穿行、风险导向抽样核查、业务数据关联分析等。应具体说明资料收集范围、问卷设计思路、访谈对象及主要内容、重点业务核查程序、样本选取原则、风险识别依据及工作记录方式，明确如何综合运用不同方法识别风险、分析风险成因并形成风险判断依据；

④实施步骤，明确项目启动与准备、资料收集及初步风险识别、问卷调查与现场访谈、重点风险核查、风险分析与等级评定、风险事项沟通确认、成果编制与复核、成果汇报与交付等各阶段的工作内容、实施程序、关键任务及工作衔接关系，说明各阶段的主要工作方式、需要医院配合的事项以及重点风险事项的沟通处理机制；

⑤分阶段时间进度计划，根据本项目实施内容编制详细的工作进度计划，明确各阶段预计开始及完成时间、计划工作天数、具体工作任务、人员分工、阶段性工作节点及成果提交时间，并合理安排现场调研、资料核查、风险分析、成果编制和沟通确认等工作。应明确项目进度跟踪、沟通协调及进度偏差处理机制，确保项目工作按计划推进；

⑥阶段性及最终成果清单，明确各阶段拟形成的成果名称、主要内容及成果用途。阶段性成果应包括资料收集清单、调查问卷、访谈记录、重点风险核查记录、初步风险事项清单等；最终成果应包括《2026年度内部控制风险评估报告》《医院内部控制风险清单》《2026年度内部控制风险评估工作底稿》。应说明各项成果的主要内容、编制要求及相互对应关系，确保风险事项能够追溯至相关政策依据、风险识别过程、风险等级判定及风险防控建议。仅罗列标题不视为实质性响应。项目实施后应提交经医院确认的详细进度计划及分工安排，并据此开展工作。

（四）质量保障与验收。服务机构应建立包含项目负责人审核、专业复核、重大风险事项沟通确认和成果修改闭环的质量机制；响应文件至少提交项目质量管控计划表、风险事项或成果复核记录样表、风险问题沟通确认记录样表。交付验收时核验：三项核心成果齐全、风险清单与底稿可追溯、重点风险有依据及等级分析、沟通争议事项有记录、智能化辅助作业形成至少一种脱敏工作记录或输出示例，并对院方反馈意见形成处理闭环。

（五）后续服务及履约保障。提供报告解读、风险防控建议落实指导、后续咨询和日常答疑，明确成果及资料移交清单、固定项目对接人、电话或电子沟通渠道和具体响应时限。对报告内容错误、依据不充分或相关成果前后不一致等质量问题，应在医院要求的合理期限内免费修改完善；延期、保密违约等按合同处理。

四、供应商及项目团队要求

（一）基本条件

供应商应符合政府采购法定资格条件；会计师事务所执业证书、中小企业政策及其他特定资格条件，由医院采购部门结合项目性质依法确认后在采购文件统一公布。

（二）专业能力及响应证明

1.供应商应提交前述项目实施方案。提交专门针对本项目编制的实施方案，按照前述实施方案及计划要求，完整说明项目目标、工作范围、实施方法、工作步骤、时间进度及成果安排。

2.风险评估工作底稿样表。提供具有实际工作内容的风险评估底稿样表，能够体现核查事项、风险类型、风险等级、分析依据及风险判断过程等（表样中需同步列举1-2条实际填写范例）。

3.现场调研清单。提供适用于公立医院的调研清单，体现调研领域、具体事项、资料需求及重点关注内容。

4.风险矩阵样表。提供风险评估矩阵，能够体现风险发生可能性、影响程度及风险等级的判定方法。

5.脱敏填写示例。提供已填写实际内容的风险识别或分析示例，能够体现风险识别、分析、等级判定及防控建议之间的对应关系。

6.提供风险数据库或风险清单。具备业务事项、风险点、风险描述、风险等级、发生频率、控制目标及控制措施等内容的；能够关联政策制度或控制依据，并呈现风险分析、核查记录或风险应对建议的。

7.智能化工具及应用证明。供应商应具备与本项目相适应的智能化辅助风险评估工具及独立实施能力，并提供以下证明材料：

（1）智能化工具权属及技术保障。供应商应对拟投入本项目的智能化工具有合法、稳定、可独立实施的使用和管理权限，具备相应的应用部署、业务规则配置、功能调整及技术维护能力，能够保障项目实施期间工具的持续稳定使用。应提供软件著作权登记证书、授权文件、技术服务保障证明或其他有效佐证材料；

（2）业务合规智能分析能力。具备对政策制度、业务资料、审批程序等开展智能检索、规则匹配及合规分析的能力，能够结合医院现行制度及管理要求调整分析规则，识别业务执行与制度要求之间的差异；

（3）跨业务关联及异常识别能力。具备对合同文件、采购资料、财务数据及相关业务记录开展跨文件关联、一致性核查、异常线索识别等功能，能够追溯异常事项涉及的业务资料、关联信息及判断依据；

（4）风险分析及成果辅助能力。具备辅助归集风险事项、分析风险成因及整理风险防控建议的能力，能够将智能分析结果与风险评估工作底稿、风险清单等成果衔接。

（5）实际应用及安全保障证明。供应商应提供拟投入工具的功能说明、实际操作截图或脱敏应用实例，展示业务资料输入、智能分析、风险提示及结果核实等主要过程，并说明工具的数据处理方式、访问权限、信息安全措施及人工复核机制。不得仅以通用人工智能平台介绍、概念性方案或未经验证的功能描述替代证明。采用自主研发的应证明其具有满足本项目要求的合法使用权限和相应实施保障能力。

8.同类业绩。供应商自2023年1月1日至本项目招标公告发布之日(以合同签订日期为准)有承接3项以上公立医院内控相关服务项目业绩，并说明相关专业服务经验，可提供公立医院内控风险评估、内控咨询项目的合同关键页、成果摘要或采购人证明；不同佐证材料具有同等证明效力。

（三）团队配置与履约

拟投入项目成员原则上不少于2位注册会计师（CPA）或国际注册内部审计师（CIA），明确项目负责人、现场执行、成果复核的职责分工，其中：

1.项目负责人。（1）具有注册会计师执业资格；（2）应具备与财务、审计、风险管理或内部控制相关的专业背景及项目管理经验；（3）负责或主持公立医院内部控制项目经验（含风险评估或内控评价）大等于3项。

2.项目团队成员情况配置（项目负责人除外）。项目团队成员不少于3人，相关人员应熟悉医院或行政事业单位相关业务。

以上要求需提交相关材料进行佐证：

1.要求提供有效的相关证明资料复印件作为依据；

2.要求提供通过投标人购买的项目负责人/团队成员近6个月的社保证明及相关证明资料作为得分依据（如开标日上一个月的社保材料因社保部门原因暂时无法取得，则可以往前顺延一个月；若公司成立不足三个月的，提供公司自成立之日起的社保证明）；

3.考察人员工作经验，要求提供合同关键信息作为得分依据，通过合同关键信息无法判断是否得分的，可提供加盖甲方公章（或业务章等）的其他证明材料；

4.以上资料均要求提供复印件（或官方网站截图）并加盖投标人公章，原件备查。评分中出现无证明资料或专家无法凭所提供资料判断是否得分的情况，一律做不得分处理。

五、采购及报价要求

（一）报价须涵盖全部服务、人员差旅、专业工具合法使用、智能化辅助作业、资料安全处理、现场核查、报告和底稿、后续服务及税费，不得将必须完成的工作拆分为可选收费项，不另收软件采购或平台建设费用。

（二）拟采用满足全部实质性需求后的最低价确定成交供应商（最终依医院依法适用的采购程序确定）。采购文件应将关键实质性要求及对应证明材料明确列示，重点核查专业工具样表、智能化应用实例、人员分工、质量保障和承诺的完整响应；明确不响应或负偏离实质性要求的，按采购文件依法处理。医院应在发布前开展市场调查，确认有充分市场主体可以满足，并对资料样表的真实性、合同履约及验收机制予以核实；不得事后仅凭主观判断排除低报价供应商。

（三）独立性及利益冲突：根据《行政事业单位内部控制评价办法》（自2026年1月1日起施行）：其中第十条明确规定，“为单位提供内部控制建设服务的第三方机构，不得同时为同一单位提供内部控制评价服务。”的规定，本次招标的内控风险评估项目属于单位内部控制建设内容之一，为保障内部控制风险评估与评价工作的独立性及职能分离，避免利益冲突，凡已中标或正在承接本院2026年度内部控制评价、审计及相关咨询服务的供应商，不再参与本项目投标；隐瞒情况者一经查实，投标作无效处理，已中标的则取消资格并追究虚假应标责任。

本项目总报价不得超过70000元，且报价含运费、税费等一切费用，否则为无效报价。

本项目实行一次性报价，经资格审核后，满足询价采购公告要求，经评审报价最低的为成交供应商。

为了营造良好的投标环境，防止围标串标，报价材料需提供股权关系情况说明。如虚假应标将两年内不得参与我院采购项目。

三、费用结算

所有服务经院方验收无误后，供应商开具相应金额正式发票交予院方，院方在收到相关材料后30个工作日内以对公转账的形式支付款项。

四、供应商应提供的资料（按顺序装订，一式一份，每页加盖公章）

1.报价单（自拟）；

2.代表人及法定代表人的有效身份证复印件；

3.法定代表人授权委托书原件(代表是法定代表人的无需提供);

4.营业执照复印件；

5.股权关系情况说明；

6.提供能满足本项目要求的承诺函；

7.提供本项目要求的所有证明材料。

供应商递交采购材料不齐全或不符合要求，视为无效报价。

五、文件递交时间、地点。

2026年10月27日-2026年10月29日上午08:30-11:30，下午14:30-17:00（周末及法定节假日除外）。

将纸质采购材料装订密封后递交至福建省福州市台江区八一七中路602号省人民医院6号楼二层后勤处办公室。

六、联系人：廖先生 0591-83947229

七、本公告同时在福建中医药大学附属人民医院院内、院外网上发布。

福建中医药大学附属人民医院

                                                  2026年10月26日