采购也要守规矩——从财政部修订行政事业单位内控规范看政府采购与单位治理的合规新要求

一说政府采购出问题，大家习惯性想到围标串标、暗箱操作，第一反应是供应商太狡猾。可这些年查处的采购乱象，很多问题的根源并不在供应商，而在采购人自己：需求说改就改、文件一个人说了算、验收盖个章就完事、预算先斩后奏。单位内部管不住自己，外面的供应商才有空子可钻。2026年9月底，财政部印发《行政事业单位内部控制规范（修订征求意见稿）》，把单位的钱袋子、账本子、采购流程重新立了一遍规矩，意见反馈截止到10月31日。这篇我们聊聊，一部内控规范为什么能管住政府采购，以及它对单位、对律师意味着什么。

一、一部规范修了十四年：为什么现在要改

现行《行政事业单位内部控制规范（试行）》是财政部2012年以财会〔2012〕21号文发布的，距今已经十四年。这些年单位的经济业务形态、监管要求、技术手段都变了，尤其是中央办公厅、国务院办公厅出台《关于进一步加强财会监督工作的意见》之后，财会监督被提到国家治理的高度，旧规范已经有些跟不上。

所以财政部这次以财办会〔2026〕36号文公开征求意见，把规范从试行改成正式，依据的是新修订的《中华人民共和国会计法》和两办财会监督意见。征求意见稿开篇就把目标讲得很直白：合理保证单位经济活动和业务活动合法合规、资产安全和使用有效、财务信息真实完整，有效防范舞弊和预防腐败。一句话，内控不是财务部门的内部文件，而是国家治理层面管住公权力的制度安排。

二、制衡是核心：不相容岗位必须分离

整部规范里最常出现的一个词，是制衡。征求意见稿把制衡性列为基本原则之一，要求单位在组织架构、职责分工、业务流程上建立分事行权、分岗设权、分级授权、定期轮岗的机制，形成权责清晰、运行规范、监督有效的制衡格局。

落到操作层面，最硬的一条是不相容岗位相互分离。第十条要求单位合理设置岗位，确保不相容岗位相互分离、相互制约、相互监督，防范岗位利益冲突。第二十四条把控制方法列出来，第一项就是不相容岗位相互分离，要求系统梳理审批流程，明确各环节审批职责权限，让提需求的和拍板的分开，让执行的和验收的分开。

政府采购这一节体现得尤其具体。第四十一条明确要求，确保政府采购需求制定与内部审核、采购文件编制与复核、合同签订与验收、验收与保管等不相容岗位相互分离。这几对岗位，正是采购腐败最容易滋生的环节：需求谁定、文件谁编、合同谁签、货谁验，如果全是同一个人或同一拨人，既当运动员又当裁判员，指定供应商、萝卜坑就有了操作空间。把岗位拆开、让环节相互制约，就是从源头上堵住漏洞。

三、采购全流程的控制网

除了岗位分离，征求意见稿把政府采购从头到尾织了一张控制网。第四十二条明确，单位要根据实际需求和相关标准编制采购预算，按照预算批复情况合理安排采购计划，严禁无预算、超预算采购。第四十三条要求对采购活动实施归口管理，建立采购、资产管理、财会、内部监督等部门相互协调、相互制约的机制，对进口产品、变更采购方式等事项严格履行审批手续。

验收这一环最容易放水，第四十四条专门立了规矩：要根据政府采购合同规定的技术、服务、安全标准组织对供应商履约情况验收，出具验收书，列明各项标准的验收情况及项目总体评价，由验收双方共同签署。换句话说，验收不是盖个章，而是逐项对标、白纸黑字、双方签字背书。

信息公开、质疑投诉答复、资料保管也都被点了名。第四十五至四十七条要求落实信息公开责任分工、按规定程序做好质疑投诉答复、妥善保管采购全流程资料并定期分类统计。第四十八条对涉密采购项目提出更严要求：不得使用公开招标方式，要与供应商、集中采购机构、评审专家签订保密协议或在合同中设定保密条款，实施全流程安全保密管理。第四十九条强调政府购买服务要评估论证和绩效管理；第五十条则要求采购进口产品时，涉及核心数据、敏感信息的还要进行网络安全审查和数据安全评估。

四、钱、物、数据都要管

内控不只是管采购，单位的钱、物、数据同样在管控范围里。预算和收支这块，征求意见稿明确严禁设立账外账、严禁设立小金库，收入要由财会部门归口管理并及时入账，财政票据、发票的申领、核销、归档都要履行规定手续。

货币资金控制是最敏感的。第五十二条要求出纳不得兼任稽核、会计档案保管和收入支出债权债务账目的登记工作；严禁一人保管收付款项所需的全部印章或电子支付密钥及支付口令，财务专用章由专人保管，电子支付密钥至少由两人分别保管。这些规定，把管钱和管账分开，就是为了防止监守自盗。

值得注意的是，这次修订把数据资源单独列了出来。第五十五条要求单位建立健全数据资源全生命周期管控与安全保护制度，明确归口管理部门及岗位职责，强化数据分类分级保护、权限管控、脱敏加密、应急处置等安全控制措施，严防数据泄露、篡改、滥用及违规对外提供。在大数据、政务数据越来越值钱的当下，这一条分量不轻。

五、从人工到智能：数智化内控

这次修订还有一个鲜明的时代印记——数智化。第二十四条把数智化控制列为控制方法之一，要求运用大数据、人工智能大模型等技术手段，将内部控制制度要求嵌入业务流程和信息系统，实现控制措施的自动化执行和风险的智能化预警，减少人为干预和自由裁量空间。

第八十一条更进一步，鼓励单位探索运用大数据、云计算、人工智能大模型开展风险评估、制度建设与实施、内部监督等工作，通过构建风险监测预警、语义分析、规则对比、智能校验等模型，对各类风险实施动态监测、智能评估，推动内部控制从人工控制向智能控制转变。换句话说，靠人盯人的内控正在转向靠系统留痕、靠算法预警的智能内控。这对单位既是机遇，也是新要求：信息系统本身也要纳入控制范围，避免成为新的风险口。

六、内控失灵的法律后果与对律师的启示

内控规范看起来是管理性文件，但它背后连着硬责任。征求意见稿第八章要求建立内部监督制度，内部审计部门或岗位要对内部控制的有效性进行全面系统评价，形成内部控制评价报告；各类监督结果要刚性运用，建立闭环管理机制，问题要明确整改责任主体、整改措施、整改时限并定期抽查。内控失灵一旦被审计、财会监督发现，相关人员和单位都可能被追责。

对律师而言，这部规范至少打开三个业务场景。第一，为单位做内控合规与制度体系建设服务，帮助单位梳理不相容岗位、建立采购与资产管理衔接机制、完善验收和信息公开流程，这是一块实实在在的合规增量业务。第二，为供应商处理政采争议时，可以借助内控规范审视采购人的程序瑕疵——比如需求制定与审核未分离、验收流于形式、超预算采购，这些都可能成为质疑投诉和维权的抓手。第三，积极参与征求意见反馈，截止到10月31日，律师既可以为单位客户整理合规建议，也可以就规范的落地实施提出专业意见。

结语