商業銀行合規風險管理暨IT系統建設

巴林銀行倒閉事件，使得全球金融機構對于內控建設的關注提升到前所未有的高度。即便如此，金融危機的爆發表明銀行的內控成效在危機面前變得不堪一擊。反思我國，由于合規建設在我國還處于嬰兒期，對于合規意識及技術的推廣則顯得更為迫切。為總結商業銀行合規風險管理之經驗，促進商業銀行合規風險管理的理念、技術的推進，《銀行家》雜志社和北京普信管理咨詢有限公司共同構建了銀行業合規風險管理交流平臺，并邀請了諸多國內業內人士與專家共同探討合規風險的相關話題，旨在全面推動和探索我國銀行業合規風險的管理與實踐。

朱海林:合規內控的三點感言

近幾年來，財政部一直在推動企業風險管理與內部控制方面的建設。2008年頒布了《企業內部控制基本規范》(以下簡稱《規范》)，近期將接著頒布一系列指引，且《規范》和相關指引將首先在上市銀行中執行。關于合規內控方面的相關問題，本人想談三點意見:

第一，希望銀行等金融機構在合規風險管理與內部控制方面能起示范作用，不管是合規、內控，還是整個風險管理，都要用到管理當中去。而管理就要講究效率，因此，找到一種節省成本、提高效率的方法就顯得非常的重要，也值得大家深入地研究。

第二，對于風險管理與內部控制方面的建設，一些規模較小的銀行有條件做好。因為規模小、歷史不長，反而是一個優勢，正所謂“船小好調頭”。

第三，財政部與證監會、審計署、保監會、銀監會、國資委等，在2008年聯合推出了《規范》并馬上要頒發相關的指引，預計2011年首先在境內外上市公司中推行。《規范》的推出意味著內控需要審計，而不再是簡單的內控。接下來在主版上市的公司要審計，再往后大中型企業、中小型上市公司都要推行審計。縱觀國外，美國人在當初的環境下歷經曲折終于實現了薩班斯法案，就有很多經驗值得我們借鑒。之前，我們與國內幾家大銀行進行過深入的交談，一致認為合規建設很難，執行起來更難。這個難體現在多方面，有很多關系需要處理。再比如說與銀行的操作風險、信用風險的關系，這些應該怎么結合;在銀行之外有千萬條線，到了銀行當中到底應該是幾條線，這也是個非常大的問題。比如監管方面，管理部門出臺了很多規定，銀行要有一個消化吸收的過程。要建立一個好的機制，到底應該怎么做，這中間有方式方法的問題，也有技術層面的問題，還有人們的觀念問題，所以現行的一些做法很值得中小銀行借鑒。

(作者系財政部會計司綜合處處長)

李勁松:合規工作面臨的難點與困惑

這些年來本人也從事過合規方面的工作，所以談到合規這個話題時心情并不輕松，本人認為主要有兩個原因:

一是就合規本身，它是一個入門易深化難的事情。銀監會作為第一推動力，將這一事情推出以后，商業銀行也緊隨其后，從思想上，認識比較到位，但怎么深入卻是一個很大的課題。因此，目前無論是銀行還是銀監會，都處在不斷的摸索之中，至今也沒有一條完全成形的道路。

二是如何檢驗合規的成果。由于沒有一套現實檢驗的流程，所有只能依靠在金融危機中各銀行的表現來檢驗合規情況。自2003年以來，我國經歷了一個順周期的增長，雖然2008年遭受金融危機的沖擊，但在寬松的貨幣政策和積極的財政政策的刺激下，對我國銀行業的沖擊和影響至少在目前還沒有完全的顯現出來，特別是對我們已有的風險管理體系的有效性的檢驗。應該講，自2003年以來整個金融行業都在狂歡中度過，國有商業銀行、股份制商業銀行、城商行、包括農信社，都制訂了一系列的發展目標，但是這些目標并沒有經過外部壓力的強力沖擊。對于今天的討論會，更多的是談現實中的問題，本人特別要提供一個觀點:合規工作你做得再多也是必須的，你只有在下雨之前把房屋補好，下雨的時候才不會手忙腳亂，任何時候都不能過高的評估我們合規工作的成績。

還有一個問題就是我們做了很多合規方面的工作，但如何提煉出有價值的東西，也是值得大家的關注與思考。本人的感受是雖然和合規工作接觸了很久，但每次談這個問題都是誠惶誠恐，我想大家也都有這樣的感覺。因此，建立反饋機制就顯得非常的重要。特別是探索一種在合規管理上有效的機制，商業銀行對監管部門有什么要求，監管部門怎么把各項風險管理的措施和指引通過一個很好的渠道反饋給大家，形成有效的合規監管和合規管理的途徑。

(作者系銀監會政策法規處處長)

史瑞祥:通過信息系統的建設，加強合規風險管理

應該說，寧波銀行的合規工作也剛剛起步。本人想就近年來寧波銀行采取的關于加強合規風險管理的措施做一個簡單的概述以期拋磚引玉之效。

第一，全行的備忘書。寧波銀行上市以后，加上異地分行的開設，還有外部最新監管規定的出臺，原有的文件已經不適應現有的體系。由于管理半徑的增加，風險控制措施和流程也要相應增加，因此2009年系統建設項目的開發把全行內部的制度進行了全面的梳理，并建立了一個包括流程圖、每一個環節的風險點和風險控制要求等的綜合性體系文件。每位員工在查這個體系文件的時候可以一目了然的看到行業內各種業務的操作流程及每個操作環節的風險點和風險級別。通過這個文件的學習，員工對于風險的把握上會有較強的提高。

第二，由于風險點隨著新的業務產品和新的流程變更會動態的變化，因此針對風險點是否發生變化時就需要對合規風險進行評估。評估主要是從風險損失程度和發生頻率機動兩個維度進行計算。由于這項工作剛剛起步，效果怎么樣，目前還不得而知，本人的想法是通過這樣的評估手段、評估知識，能夠有效的識別一部分合規風險，這樣對于完善內部控制制度和業務操作流程有一定的作用。

第三，加強合規風險的報告。以前寧波銀行合規風險報告都是以紙張的形式傳輸，因而報告的效率、內容以及頻率等都可能存在一定的問題。系統開發了以后，加強和明確了合規風險報告的內容、途徑、頻率和時間的要求，而且也將報告分為常規性的合規風險報告和重大的合規風險報告兩類，該兩類報告的頻率、對報告的要求、時效性都不一樣。我們對該報告的最低要求就是分支行行長、總行的條線業務部門、總行合規部、總行風險管理部、總行稽核部、總行行長室都能隨時看到這些報告。通過加強合規風險報告，使得全行對合規風險能有更深的認識。

第四，加強合規咨詢。從目前來看我們主要做的事情有:一是建立一個互動的網絡交流的平臺，討論業務活動中所碰到的法律合規問題。二是建立法律合規咨詢問題庫，定期將討論的標準答案納入咨詢庫。三是在合規風險管理體系中，全行業務人員可以通過多種維度在咨詢庫內查詢與自己咨詢問題相同的問題答案。

第五，加強法律合規檢查。2007年寧波銀行法律合規部剛成立時，大家都比較盲目，不知道合規從何處下手，只知道法律和合規是在一起的。因此，一開始只是做單純的法律合規檢查，但經過深入的摸索，我們有兩點體會:第一，總行的合規部門的法律合規審查按條線設置，分為公司業務、個人業務、金融市場業務、結算業務和其他綜合業務五個崗位，以突出專業性。第二，加強法律合規檢查的落實，通過合規系統和印章管理系統、信貸審批系統等業務系統的對接，在合規風險管理系統內實施法律合規審查，將意見書直接發送給實施部門，防范操作風險和內部道德風險。

第六，實施全行員工的合規評價。對象是全行的業務操作人員和管理人員，員工合規評價的內容是各項業務的操作人員和管理人員在日常操作和管理中內控操作制度的執行情況，以是否違背內控操作行為作為評價的事實依據。員工合規評價方法是有層次的合規檢查，一是業務經辦人員必須有自我評價和審查，在業務結束三個工作日之后要進行回顧和檢查。二是分支行成立合規檢查領導小組，定期對全行的所有業務進行檢查;總行的各個部門對于全行的業務條線也要進行檢查。

(作者系寧波銀行合規部總經理)

陳 珺:合規建設的四大關鍵問題

民生銀行是國內較早進行合規風險管理建設的商業銀行之一。應該說，在整個民生銀行的發展歷程中，合規建設在促進民生銀行業務發展的過程中起到了相當大的作用，但以下幾個問題應值得大家關注。

第一，商業銀行和合規風險管理之間天然存在一些需要協調的地方。商業銀行以利潤為最高目標，但是在追求利潤的過程中也有個基本要求，即合規要求。因為銀行畢竟是在一個有法制監管的環境下運行，所以監管環境要求和它自身的利益趨動便引發一個問題:對于商業機構，到底期待其是自覺履行合規職責，還是在一個有管制的或強制的環境下來做好合規風險管理呢?

從某種意義上來說，銀行還是希望有一套完整的來自監管機構關于合規的硬性要求，即管理標準的要求。現在監管機構對于合規細節要求很多，也很繁雜，但是沒有上升到一個統一管理的層面。因此，各家商業機構在探索合規的道路上只能摸索前進。

第二，合規風險管理的基本定位是什么?具體的內容和技術手段可能會因各家商業銀行而有所不同，但是基本的要求應該一致。但現在的問題恰恰在于合規管理的定位不明確，所以在具體實施合規風險管理時千差萬別也就不足為奇。就我個人的理解，合規就是所有的來自監管層面的強制要求，或者來自法律強制性的要求，它是必須被各家銀行所接受的。如果對此有明確的規定，那么從董事會、經營層，再到具體的管理操作中，針對這一問題就能做出相應的回應。正是由于定位問題沒解決，所以限制了很多東西的推行。

第三，管理層重視與否。由于在現階段合規的定位很盲目、很不清晰，所以我們到底通過怎樣的具體實踐來贏得管理層對于這個問題的重視便有一定的難度。每當你在行里匯報工作，如果一講到管理就能講到合規，這就是合規成功的標志，但如果不是這樣，則說明合規被邊緣化了。當問題來臨的時候或任務來臨的時候，合規就得往后靠一靠。我們希望從董事長到行長、經營層都非常重視合規，規規矩矩辦銀行，以精細化管理來運作整家銀行。

第四，合規要融入經營當中，與過程形成統一。我們講合規風險管理不是講結果，而是講過程。我們希望推動合規考核，但合規考核又不能是定性的東西，而必須是定量的東西，所以在這方面我們也做了一些探索。我們提出了幾個指標，并將此進行年度對比以此來判斷進步或退步的情況。如果有進步，則對其管理績效相應調高分值;如果下降了，哪怕今年利潤再好，也要對其績效分值進行扣減。大致來說，這些指標主要有以下幾點:一是制度的有效覆蓋率，所有的業務活動應該有制度的約束。二是風險的揭示和有效控制的地步。民生銀行通過對產品和業務操作流程中的風險梳理，共梳理出了3220個風險點。針對每一個風險點都有相應的措施，這是靜態的過程。我們還有動態的風險控制的指標，比如各風險項下的年度比較。例如，2009年的風險控制率比2008年進步了多少，比例提升了多少等。三是監管當局對銀行處罰的增長比率、具體事件處理的次數、金額的比例等。

(作者系中國民生銀行法律與合規事務部副總經理)

黃 斌:招行產品合規管理的做法總結

前面各位與會人士對合規的定義、定位及相關職能等都作了精彩的發言。本人也簡單談談招商銀行合規部管理產品的做法與心得。

第一，法律合規部門在參與全行新產品的論證時，發揮了比較重要的作用，也得到了行領導的重視。一個比較典型的例子，就是每次開會時，第一個發言的是產品開發部門，第二個發言內容基本上是行領導詢問法律合規部門的意見，而且法律合規部門的意見會成為行領導一個比較重要的決策依據。所以本人對“做合規”的感覺是，合規盡管是一個空帽子，什么都可以往里裝，但是具體一定要落到實處、一定要有專業性。如果沒有專業性的話，其他部門不一定會重視。對招行而言，一般來說，每個新產品都要經過合規風險管理部門的審查，尤其是現在的理財產品。只要合規部提出要上產品委員會，這個產品就必須要被提交到新產品委員會進行討論。

第二，招商銀行獨特的合規機制:合規官一票否決。招行在總行和支行都設有合規官，總行是分管合規部的副行長;分行也是副行長級別的，分行行長是成員。招行的一票否決權是指任何產品(包括新產品)，其他的行領導說可以做，但只要合規官認為這個業務存在不能容忍的合規問題就可以否決。一旦合規官否決此產品，該產品便不能做。當然程序上有一些特別的安排，比如說分行的合規官認為某產品不能做，但是分行一把手認為可以做，就必須把這個問題提交到總行來，由總行的合規委員會來決策;理論上，如果總行的合規官和總行的一把手看法不一致，就要提交董事會討論。

第三，合規部對新產品審查的具體做法是:涉及到合規方面的，根據條線來設置合規的崗位。招行設有三個合規室，分別負責公司業務、零售業務等條線的新產品審查工作。招行合規室的設置可能與其他銀行不一樣，其他銀行可能是法律團隊與合規是完全分開的，但招行合規室里有法律背景的人員，也有業務背景的人員，采用的是融合方式，從不同的角度去看一個業務，從內規和外規多方面去審查。

經過近幾年來的摸索，招行對產品合規管理進行了全面的總結，并提煉出“六步法”。其包括:引入和解讀外規，合規論證，法律性文本修訂，指導監督測試，新規的跟進與提示，有效互動。

第一，引入和解讀外規。對于每一類型的新產品，我們要求做這一塊的人員對相應的外規要非常熟悉，比如說理財產品，你必須要收集銀監會所有的關于理財產品的規定，要對相關的法規非常熟悉。

第二，合規可行性論證。即我們在相關的基礎上根據這個產品的特點進行評估，審查的結果會給出幾種意見(支持、關注、否決)。如果是否決意見，業務部門就不能擅自辦理。如果業務部門有異議，可以提交合規官進行審查，他可以行使一票否決權。事實上在評審過程中，確實存在一些合規的盲區。只要有創新，在多數情況下相關的監管規定都會滯后一些，會產生相應的模糊地帶。

第三，法律方面的審查和文本的修訂。

第四，指導監督和測試。合規部會對合規的審查工作做一些總結提煉，比如各部門可能會碰到的共同風險點，合規部將對此做一些提煉，然后發給相關的業務部門。另外合規部也做監督工作，查看意見在相關部門的落實情況。如果沒落實的話，在合規考核中將對相關部門進行扣分。對于合規檢查，各家銀行的看法不完全一樣，招行目前的看法就是適當的合規檢查是必要的，其可以延伸合規管理的半徑，而且做檢查可以增加一些感性認識，對做好事前事中的工作也有好處。

第五，合規部會及時關注新規及監管出臺的情況。以理財為例，這幾年監管部門出臺新規定非常頻繁。首先，你不能漠視原來的規定，因為原來出來的產品是基于當時的背景下做出來的。其次，當新規定出臺后，一定要特別注意，否則會形成系統性危險。招行在這方面是非常重視的，新規出臺后，合規部會及時解讀分析，并從中提出風險調控措施，然后向各部門提示。事實上相關部門對我們這方面的工作是比較認可的。

第六，和監管部門的有效互動。在一些尺度把握不準確的地方，為了保證其合規標準的準確性，有必要跟監管部門繼續溝通。而且在有些問題上，合規部也不是被動的遵循，而是要主動的溝通，提出自己的合理化建議，在某種程度上體現出合規部門的合規價值。

(作者系招商銀行法律與合規部總經理助理)

宋國峰:合規部門定位有待明確

北京銀行合規部成立于2006年，到現在已有四個年頭。本人覺得今后討論合規問題的時候不能脫離內控、法律風險、外部風險等因素，一定要從多角度考慮，所以本人想就這方面問題與大家進行交流。

第一，合規的定義。對于合規定義，本人是比較困惑的。因為這個邊界本身，特別是合規跟法律風險、內控、操作風險的關系，它是不可能分清的。所以，我想應該換個角度看，不能僅僅從我們合規部門的角度來看，而是從其他部門的角度出發來看這個問題，可能會對合規問題看得更清楚一些。所以從技術角度講是否符合外規的問題，法律部門最有能力管，那就讓法律部門管;關于制度流程問題，則應該讓合規部門管;關于沒有這項制度的問題，則需要視情況做些區分。

第二，合規部門的決策定位。由于合規工作內容復雜化、工作職責模糊化，所以要定位合規部門的位置是非常困難的事情。我們合規部也在慢慢的摸索，對于這一問題，合規部形成以下共識:(1)不參與決策，所以合規部不站在第一道防線的位置上。(2)不站到第三道防線去。所以對一些具體的工作和具體的問題，我們有一些初步的想法，想跟各位交流一下。

首先，合規部門是否參加檢查、是否進行檢查、是否獨立檢查。從合規風險管理角度來講，我個人主張全都不參與。第一，合規部不獨立檢查，我們就是對合規風險事件進行調查，事情發生了，我們才去調查。第二，對于其他部門組織的檢查，我們堅持不參與。其他部門制訂檢查方案時，我們只提出技術支持，或者說只是提供咨詢意見，但是我們不參與。總體上說，我們不組織檢查。

其次，我們是否參與決策。有些事情合規部是應該管的，比如說某部門的指標考核是否體現了合規優先的價值導向，按道理講，這是最應該征求合規部意見的。但有些時候，一些業務部門將應該自己做決定的事情都推給合規部。再比如說一些職責的爭議，本不屬于合規部管的，但還是推給合規部。所以合規部反復強調，業務部門是第一道防線，只有你們先拿出意見后合規部再拿意見，否則你們不表態，我也不理會你們。另外合規部還特別強調一點，即使合規部發表了意見，業務部門還得承擔第一責任。

再次，遇到一些不清楚的空白地帶，誰來承擔責任。北京銀行的經驗是這樣的，一旦發生事件，合規部建議先與事件所在的部門進行溝通，如果該部門能在事件發生后立即采取措施進行修補，那么合規部將在工作報告上如實的反映該部門的行動情況，并予以表揚。如果該部門不管，那么合規部將向上級領導報告。這個時候就有一個風險，就是行領導怎么看該部門的責任心。從這幾年來看，事件相關部門都能在很短的時間內承擔相應的責任并積極做好應對之策。一開始合規部也覺得不樂意，自己去調查清楚并收集資料，然后還得跟事件的相關部門進行交涉，進而盯著他，等到問題解決了還得進行總結。雖然出了很多力，但是最后成績跟合規部沒有關系，功勞都是那些部門的。但是從另一方面講，這是對合規部負責的表現。

第三，合規創造價值。如果說合規創造價值，我想所有人都會同意這種說法。但是如果現在有一大單業務，利潤很大，同行做了，監管機構也沒有表態，但是也有政策風險，這個時候怎么辦?第一個選擇是先做了試試。第二個說做，做了以后監管機構來的時候好好解釋。第三個選項是向合規部門報備再做。第四個是不做。測試結果表明相當一部分選的是前三個選項。這就說明合規中只是體現在口頭上、口號上，并沒有落實到行動上，所以，要想把合規理念深入骨髓，需要合規部門的長期奮斗。

(作者系北京銀行法律合規部總經理)

陳永珍:興業銀行合規管理體系試點始見成效

興業銀行法律合規部自2007年成立以來，便在全行范圍內進行全面合規管理體系的推廣，應該說全行至上而下對合規有一個非常深刻的認識。

這個體系推廣之后，為了建立一個長效的更新維護機制，興業銀行建立了合規監測處試點工作，當時選了深圳、上海、重慶三家分行。

在這三家分行開展試點的主要做了以下幾項工作:

第一，收集外規。總行負責收集全國性的外規，收集完后將其放在系統里面，并將法規與業務一一映射起來。因而在從事某項業務時，要遵循什么法規時便清清楚楚，而且也節省業務員學習相關法律的時間，可以提高工作效率。分行要做的就是負責檢測地方性的外規，由于地方有一些有別于全國性的規章制度，分行就是要收集這些地方性的外規并錄入在系統里，實現全行信息共享，這樣便可了解其他地區的地方性監管要求，真正做到知己知彼。另外，通過大量真實案例的講述，讓員工切身體會到相關的風險點及其造成的影響。

第二，對系統中的文件進行動態更新與維護。如果制度體系文件沒有隨著外規的變化而更新的話，那么說明部門的實際做法可能跟制度已經不相吻合了，甚至會產生一系列的影響，所以必須制訂一個制度文件的維護機制。

第三，要求分行做的是合規再分配的工作，就是新入行的員工，都要經過合規部的合規文化、合規理念的培訓，老員工也要有定期的培訓。

我們這次試點的重點主要是以下三方面。

一是監測事件的錄入。即要求分行各個管理部門把自查、備查發現的所有問題錄入到數據庫中。

二是風險點再評估。當問題出現以后，如果說實際操作沒有問題，那么就要回頭檢查我們行本身的制度、流程，看一下是不是制度和流程有問題。如果真是制度或流程出了問題，那就說明部門內規已經不適應現在的業務發展管理需要。在這種情況下，法律合規部就會提醒管理部門該內規已經不適合目前發展狀況，要將該內規修改或取消。

三是完成報告。當所有工作做完后，合規部門會形成最終的合規報告。在這份報告中會告訴管理層每季度風險的發生及變動情況，你做了哪些工作，解決了什么問題，該季度風險隱患在哪里，外規變化以后對全行產生什么影響等等。

以上就是在分行試點的總結。至于所得的成果，我們認為一是文化的沉淀，二是培訓了一批經理，因為通過這些方法，他們也學會了合規風險的管理方法。另外，通過這樣一個平臺，可以及時的把握風險。

總之，本人認為做好合規工作應注意以下四點:一是領導層的重視。二是必要的制度安排和保障，三是合規部門應有準確的定位。四是外部監管機構的推動。

(作者系興業銀行法律與合規部高級經理)

汪健豪:合規風險的管理步驟

現在銀行業對于違規事件的容忍度越來越低，在這種環境下，合規風險管理技術理應獲得廣泛的應用，但現實情況卻是我們在這一領域才剛開始起步。

合規風險管理是一種風險管理，所以其應遵循風險管理的基本架構。一般而言，風險管理有三道防線。所有做事情的部門為第一道防線。風險管理是第二道防線。第三道防線是審計。所謂第二道風險，就是它不做具體的事情，只管風險。合規風險就是管合規風險，其他的風險部就管其他風險，它不直接從事具體的經營管理活動，所以關鍵在于要找到風險管理的切入點。我們現在做合規風險管理時，大家有不同的做法。有些是先做第一道防線，流程立規，建立機制，一道防線建一個機制。對于行長來說最后一道防線是合規或者風險管理，不是審計，審計跟行長沒關系，審計是在行長以外的第四道防線，監管則是第五道防線。一般而言，大家都是第一道防線做流程立規，第二防線做風險管理程序，而這兩件事都與風險合規有關。

一些銀行剛開始做合規時，如果行領導給的資源多，那么可以兩道防線一起做。如果給的少，可以只做第一道流程立規。這里牽涉到流程如何分級的問題，我們的觀點就是第一道防線中各個業務流程分成五級，一級理念級，二級職責級，三級標準化級，四級監測級，五級是整合級。一般銀行都能達到三級和四級，我們首先要把這個流程在三級做起來，如果到了四級就要管IT系統的說明書。把制度變成系統的時候，這個系統往往被業務主管和IT部門工程師左右，有時候系統設計反而游離在合規部門管控之外，合規部的新產品、新流程、新業務，最終都是管內部作業流程，要把它管起來，這是第一道防線。這個整合起來工作量很大，一些銀行是從第一道防線開始做第二道，有些銀行是從第二道反推至第一道。

經過多年的努力，我們做了兩萬多個合規映射點，每個點都是立法立規點，所有的風險都有可能轉化為合規風險。如果合規解決不了的風險，我們將選擇風險計量、對沖、撥備等方式進行解決，這個一個大趨勢，所以全面合規風險是走向風險管理的一條道路。

(作者系普信咨詢首席管理專家)