爱华网"Five Gists" to build the system of inside controlment in banks 文/周永汉 随着中国经济的进一步市场化、全球化，国内各家银行所处的环境日益复杂，任何一个因素的变化，都会引起经营的不确定性，从而产生风险。即使在金融市场高度发达的西方经济体中，金融机构风险管理与内部控制依然是一个重要课题。中国银行业要参与全球市场竞争，在日渐成形的全球金融新秩序中发挥其自身优势，必须拥有与其他国际性银行接轨的内部控制与风险管理体系。 内部控制监管的趋势 国内外金融监管机构都已经关注到，建立有效内部控制与风险管理体系对现代银行机构的重要性，发布了一系列针对加强银行机构内部控制与风险管理体系的监管制度。 在国内，2008年6月28日，财政部联合证监会、审计署、银监会、保监会等五部委共同发布了《企业内部控制基本规范》。该规范确立了中国企业建立和实施内部控制的标准框架。基本规范描述的标准框架，将内部控制五要素分别确定为内部环境、风险评估、控制活动、信息与沟通和内部监督。与基本规范相配套的企业内部控制应用指引、企业内部控制评价指引和企业内部控制审计指引等目前正在公开征求意见，将于近期正式发布，并与基本规范一并形成完整的中国版内部控制标准体系。 为保证《基本规范》对银行业的适用性，银监会将配合基本规范颁布银行业内部控制应用指引。该应用指引对银行应关注的风险进行了进一步阐明，明确银行业建立内部控制体系的治理架构、职责分工等，并对信贷业务、资金业务、存款和柜台业务、中间业务从业务层面应用的角度分章节进行了进一步阐述。 德勤研究表明，自从美国萨班斯法案实施以来，银行机构已经投入大量资金和精力在风险与内部控制方面合规工作中。有统计表明，全球金融机构已经累计投入超过1.2万亿美金在内部控制合规工作上，并且这项投入一直处于递增趋势，并将在2010年达到顶峰。当然，在投入大量金钱和精力后，银行机构的投资者们也看到了这些投资的回报，包括股东信心增加，信用评级提高，资本成本下降，风险管理能力增强等。直至今日，银行机构仍在探寻风险与收益的理想平衡点。
内控与"协议"管理结合 建设内部控制体系必须以风险为导向，而在银行业，风险管理必须提到《新巴塞尔资本协定》。国内监管机构正在积极推进中国银行机构的《新巴塞尔协议》合规工作。2009年2月，银监会选定包括国家开发银行在内的7家银行机构作为2010年首批满足合规的银行，这些银行必须在2010年开始符合《新巴塞尔协议》的要求。 从内容看，《新巴塞尔协议》侧重的是银行机构的风险管理和监管当局的监督。实际《新巴塞尔协议》在更深层次上，是一份银行机构内部控制的规范文件。新巴塞尔协议的实施与银行内部控制体系的建设具有密不可分的关系： 首先，银行机构内部控制的核心就是风险控制。银行机构在经营中面临的主要风险有信用风险、市场风险和操作风险等，《新巴塞尔协议》提供了一种以计算经济资本充足率实现对银行主要风险定量管控的手段，是银行内部控制体系的重要环节。 其次，《新巴塞尔协议》的制定，吸收了2003年7月美国COSO公布的《风险管理整体框架》(草案)的理念，即考虑了COSO《风险管理整体框架》(草案)提出的八个因素：内部环境、目标设定、事件识别、风险评估、风险对策、控制活动、信息和交流、监控。在实施《新巴塞尔协议》的同时，必须考虑控制环境、政策与制度、职责分工、监督等配套的常规内部控制管理手段，才能形成银行机构完善的内部控制体系。 内控体系建设需要满足相关法规要求 银行建设内部控制体系时，面临着诸多的内控法规及监管要求，银行在执行上述众多部门发布的有关内部控制法规的过程中，可能会存在如下挑战：首先，内控法规政出多门，各部门对内控的规范不可避免地存在各自独特的考量，银行要满足所有法规的要求，需要对这些法规有深刻的了解。其次，上述法规之间可能存在一些重叠、矛盾的规定，银行需要根据具体情况综合考虑并进行适当的处理。 因此，在体系设计的初期就需要根据各银行具体情况，明确涉及的所有的内控法规及监管要求，并综合考虑对各项内部控制规定如何统筹并与银行自身现状进行结合的问题。 强化制度的执行力 制度的实行力是内部控制体系建设的关键环节。作为金融行业较其他行业而言，政府的监管相对更严格，企业自身的制度相对也较全面，但是制度再多、再完善，执行者不去执行或执行不到位，再好的制度也发挥不了作用。因此，制度建设是业务稳健发展的前提和保障，而制度执行力才是最关键。 银行强化制度的执行力可以关注以下几个方面： 首先，建立明确的岗位责任体系，形成严格的单位和岗位履责考评制度，对各项工作任务落实到具体的责任单位和责任岗位，将单位和岗位完成任务情况与绩效挂钩，对各项工作实行限时完成，对交办的事项，必须在要求的期限或承诺的期限内完成。并从荣誉、薪酬、职务、股权等方面构建全方位的激励约束机制，促进各岗位人员严格履责。同时要强化履责情况的监督检查，通过工作绩效评定、述职评议、检查审计监督等形式，促进各岗位干部员工认真落实岗位职责。 其次，制定严密的责任追究机制。责任追究是实施责任约束最具威慑力的环节，是保障责任约束切实发挥效果的措施保证。银行机构必须建立起覆盖各岗位的责任追究制度，对各种不履责行为，按有关规定及时给予相应的处理或处罚。 再次，培育良好的内控文化，加强对员工的职业道德培训。银行机构可以通过思想观念来控制和约束员工的意识和行为，这就是内控文化的作用。应采取多种渠道，对员工开展广泛的培训和教育，培养员工诚信和道德，从源头上控制、减少潜在风险的发生。可以说，员工素质的提高对于加强执行力和风险压降具有积极的意义，尤其对于金融业显得尤为重要。 充分重视和利用IT手段 银行业金融机构的一个典型特点是IT的应用水平高，对其依赖性也很强，因此，IT在内控的建设成为一个关键因素。领先银行的实践和德勤全球经验表明，要有充分发挥IT的作用，应当考虑的内容非常很多。 下面举例说明： 首先，建立个性化的、与银行整体战略匹配的IT内控机制。每家银行均具有与其他不同的业务战略和特色，信息化的战略和实施思路也不同，故而在建设IT内控时应了解自身的真实需求，设计一套适合自身发展现状的IT内控发展目标和路线。同时，由于国内银行业正处于一个高速发展的时期，银行的内控体系还需要具备良好的适应性，以确保在银行业务快速发展的同时，相关的内控工作仍然有效。 其次，充分利用信息系统，优化内部控制体系。银行的交易的一个重要特点是实时性强（如柜台交易、资金交易）。在这种情况下传统手工控制已经不能完全适用新环境下的需求，因此，银行应开发与其IT应用水平相关的内控机制，以满足业务发展和风险管理的双重要求。 这种通过系统化的控制手段的应用，不仅提高了控制的效果，而且还极大地提高了工作效率，而这在手工方式下，是不可能实现的。同时，这些控制是系统自动实现的，最大限度地减小或避免了人为的干预或干扰，从而控制的准确性有很大提升，人员舞弊的机会也相应地降低。 再次，建立健全数据质量保证机制，提供持续不断的高质量数据。银行最核心的IT资产是其海量数据（如客户信息、交易数据等）。这些数据是银行业务的核心资产，其重要性不仅体现在业务运作、管理和决策支持等方面，更是银行实现BASEL II合规要求的关键要素（例如模型的开发和验证）。 为确保银行的数据质量，维护数据安全，德勤建议从数据管理的生命周期入手（如图）： 该方法从银行的全局出发，将各类风险与数据进行有机联系，明确数据在生命周期各个阶段相应角色的职责，分析出发生问题的真正根源，然后有针对性地采取校正方案，从而以合理的投入，获得高质量的产出数据，并为银行提供持续数据优化的能力等长期收益。 建立独立的内部监督体系 银行机构内部控制运行的状况如何、运行质量怎样，需要进行稽核和不断修正，内部稽查是内部控制的最后一道防线，是控制的关键。 为了提高内部监管效率，应采取以下措施： 首先，应建立独立的、具有监督权威的内部稽核部门。银行机构的内部审计应当具有充分的独立性，实行全行系统垂直管理。 其次，银行应当建立有效的内部控制报告和纠正机制，业务部门、内部审计部门和其他人员发现的内部控制的问题，均应当有畅通的报告渠道和有效的纠正措施。例如，总行内部稽核部门下可设置审计举报办公室（各分支机构也相应设立审计举报办公室），公布举报热线，接受社会各界的监督和投诉，并对投诉事项进行记录和调查，从而可能在较早阶段（如贷款尚未发放阶段）发现并阻止未严格执行内部控制制度的行为或者舞弊行为；某些银行机构每年与业务部门关键岗位的员工签订服务承诺，并对其岗位可能存在的高风险操作领域提出警示，对可能出现的违规行为尤其是舞弊行为进行极早防范和提示；某些银行机构要求业务部门关键岗位的员工定期填写个人状况调查表，以对可能出现的舞弊行为迹象早发现、早预防。 最后，要不断提高稽核人员业务素质，既要加强审计技能的培训和法律知识的更新，加强计算机相关知识的培训，更要精通国际及国内审计准则、会计准则、信息系统审计标准及其他相关知识。选拔具有丰富工作经验和综合分析能力的人员从事稽核工作，并采取经常性培训制度，更新知识结构，使稽核人员能适应新形势，确保内控制度的全面执行。 （作者为德勤企业风险管理合伙人）
