加強內控是金融業成功之道

實事求是地說，我國金融業開展內控建設和全面風險管理的時間還比較短，像銀行業滿打滿算不過10來年的時間。但正是這10來年，我國金融業遭遇了1997—1998年的亞洲金融危機，經歷了2007年以來由美國“次貸”危機引發的華爾街金融危機乃至國際金融危機及全球經濟衰退的嚴重沖擊，無論是輸入的教訓還是自身體系在危機中暴露出來的問題，都深刻地說明，我國金融業并非是風險攻不進、損失插不進的“靜土”。事實上，大量的風險損失每日每時都在發生，內部或外部、客戶和市場、員工和技術、監管與反監管、道德與法律、現實與潛在、控制與反控制、系統與非系統等多方面的風險每日都在窺視或等待著我們，稍不留神就會被咬上一口甚至大病一場。這絕不是危言聳聽。

客觀地分析我國金融業在內控執行和風險管理上的不足或缺陷，絕非一星半點，而可能是成筐成串，大的如內部控制的框架體系建立?，F在多家機構是多種模式，體系上的不夠統一規范帶來了內控遵循原則（全面性、重要性、制衡性、適應性、成本效益原則）在執行中的沖突、重疊或遺缺。具體的如內控制度的執行和應用，現在金融機構比較集中的問題，不在于內控制度和風險管理體系的不夠健全，而在于已經建立的體系在執行中走過場、被走樣、管不住、不敢管等。

自2011年1月起，《企業內部控制基本規范》（以下簡稱《規范》）及三大配套指引將正式實施。該《規范》先在境內外上市的公司實行，自2012年起將在境內主板上市的公司施行，對我國金融企業和上市公司具有長遠、深刻的指導意義和規范作用，是指引金融企業通過強化內控和風險管理，實現科學發展、長治久安，成為資本充足、內控嚴密、運營安全、服務優質、效益良好、具有較強創新能力和競爭能力的國際一流金融企業的重要保障。筆者認為，在實施《規范》的過程中，對解決內控涉及的諸多問題不宜面面俱到、胡子眉毛一把抓，而應突出重點，循序漸進，先起步、再完善、終有成，中國平安的實踐就是一個很好的例子。

從一定意義上說，全球金融危機是美國金融企業外部監管和內控、風險管理同時失范、失靈、失效的危機。因此，“矯枉必須過正，不過正不能矯枉”。為了防范全球金融危機再起，必須把強化金融企業的內控和風險管理作為金融企業實現“安全性、流動性、效益性”發展的不二法門，長期堅持，恒久不息，與時俱進。當此全球經濟復蘇尚未穩固、一些國家和地區仍處于風雨飄搖環境的嚴重時刻，對這一點無論如何強調都理所應當，絕不過分。

首先，要重點解決誰來控、控什么、怎么控的問題。按照《規范》要求，建立完善的內控環境是保證內控有效的運行基礎，應該說目前各金融機構的這個基礎平臺是有的，存在的主要問題是，基礎不夠扎實，主角不夠鮮明，力量比較分散，職責不夠清晰，資源配置不足等。其中，董事會應扮演核心的決策作用，而在一些金融機構可能還是管理層在唱主角。比如資源的配置由管理層主導，前、中、后臺的三道防線，有的只有兩道且相互交叉，前臺防線基本虛設等。

至于控什么，從內控的定義看是“由企業董事會、監事會、經理層和全體員工實施的、旨在實現控制目標的過程”。也就是說以控制過程為主。筆者認為，內控既要控制過程，也要控制結果。現實中常有這樣的實例：過程對了，結果并不見得好。從重視內控有效性、減少風險成本和過程損耗、提高結果效率的成本管理原則出發，金融機構既要落實職責制衡原則，但也不能搞繁瑣哲學，要視實際情況的變化及時調整，并重點關注重要業務事項和高風險領域，這就是內控的適應性原則。

在論及“控什么”的時候，還有一個容易被忽略的問題，就是控員工、還是控高管。多數銀行內部的實踐是控員工特別是基層一線員工，而對各級管理層的負責人，則疏于監控甚至無人監控。這是金融業內部存在的一個薄弱環節，導致內控管理成了“控下不控上”、“控人不控己”。這是一個必須盡快改變的現狀。在發揮對金融業高管層的監管作用方面，除了高管們的自控、自律、自省、自查、自糾外，應充分發揮股東會、董事會、監事會、黨委會、紀委等的作用，而在這些方面還有相當強度的提高空間。中國平安的經驗也表明，只有董事會及下屬委員會充分發揮作用，高管高度重視自覺參與，才能真正做好內控。

除此之外，還有一個“怎么控”的問題?，F在科技發達了，通過計算機系統和信息技術控制業務和集成數據是各金融機構都在強化的一個方向，但實際情況的確是參差不齊。現在發現，金融機構內外部都有不法人員在鉆計算機管理系統和安全技術防控系統漏洞的案例，說明技術無止境，防范無窮期。筆者的看法是，重視技控無可厚非，且不可或缺，但不能完全迷信和依賴技控手段和效果。對于內控，人的因素是第一位的。因此，應該堅持法規、制度、系統（科技）、人員、思想、道德控制一起上，協調并舉，人機聯動，疏而不漏。

其次，加強內控和風險管理，要既重形更重實，把提高內控有效性放到第一位，長期抓落實，年年見成果。近幾年，金融業逐漸接受了合規創造價值、風險管理提高價值等理念，但也要清醒地認識到，一些機構的風險文化、內控文化、合規文化及其他企業文化，還只是寫在紙上、貼在墻上、印在書上、說在嘴上，真正落實在行動上、兌現在效果上還為數不多。在公司治理方面，經常聽到神似、形似的說法，我國金融業的公司治理在神形兼備方面還有不少差距，在內控和風險管理上也有類似問題。比如，風險管理、內部審計要求的相對獨立性、專業性、權威性、協調性等，在一些機構就顯得比較欠缺。有的機構把各類風險分屬于不同部門或不同行領導主管，由內部組織之間缺乏協調配合而形成的跨業務跨產品跨國別等風險或系統外傳遞的風險等就應對不夠及時和奏效。因此，在建立內控和風險管理框架方面，框架本身的完整性、堅實性、適用性、擴展性是非常重要的。同時，有效地發揮該框架“綱舉目張”的作用，確保金融機構內控體系在內部各個組織和全體人員中的有效執行是更為重要的環節。中國平安的案例顯示，通過引入國際先進的經驗，并結合極具自身業務及管理特點的“事前/事中/事后”三位一體內控和風險管理架構，獨立、動態、有效地防范了風險，強化了管控，集團上下合規意識強烈，形成了“不敢違、不能違、不愿違”的氛圍。

據專家分析，即使最完善的內控體系，其發揮效力的作用只有20%左右，80%的效果還是體現在具體的執行人身上。因此，在內控和風險管理的形神兼備上或許也符合“二八定律”，形似占20%，神似占80%，我國金融業應該在提高神似的得分比重上下硬工夫，那種以為有了模型、制度、經驗就一通百通、一勞永逸的想法和做法都是應該摒棄的。

再次，要堅持成本管理原則，搞好內控和風險管理的資源配置。目前一些金融機構的內控體系還不夠嚴密和健全，有的在科技系統的建設和更新上欠賬還較多，有的銀行風險管理和內控管理人員還不夠充足，專業素質不高或職業發展空間狹窄等，都在相當程度上制約了內控和風險管理成效的更大發揮。為此，需要彌補欠賬，需要增加投入。但內控和風險管理雖具有創造和增加價值的功能，畢竟是要花費成本有時是相當昂貴成本的。因此，在內控體系建設和風險管理上，要堅持內控、風險管理與提高效益的平衡，落實效益覆蓋風險、內控成本的原則，該花的錢不吝嗇，不該花的錢則一元一角都要省。在成本管理上，也要做到有保有壓、有控有放、有所為有所不為。比如，對那些不熟悉的市場、不賺錢的產品、不專業的領域，寧肯舍棄一些收入或市場份額，也不要見錢眼紅、冒風險介入。有一句話說得很好：有時候舍棄也是一種獲得。對金融業來說，不冒高風險、不花冤枉錢、不搞花架子、不做無用功是穩健經營、成就百年老店的底線。這個底線還需要一代又一代的管理者們堅守和加固。

此外，還要重視對跨境、跨業子公司的內控和風險管理。從現狀看，一些金融機構通過多年努力，對內部的內控建設和風險管理已經形成了基本符合外部監管要求，也有內在特色的管理架構、測試模型或者數據倉庫，雖說不上胸有成竹，駕輕就熟，但可以說能做到應對有道，忙而不亂。然而對越來越多的跨國別、跨業務經營，有的金融機構在內控和風險管理體系建設和監測上，卻有力不從心或技不如人之惑。國際金融危機的教訓說明，有的時候集團能夠管住總部、境內分支行的業務風險，卻未必能管住管好跨國經營、跨業經營的子公司的業務風險。因此，中國平安“集團控股，分業經營，分業監管，整體上市”的做法引人注目，在這一組織架構下，各子公司設有嚴格的防火墻，建立完善的關聯交易管理機制，通過集團和監管部門共同構成的雙重監督體制，有效強化管控，防范風險。在新的形勢下，中國金融機構的內控和風險管理需要有新視角、新手段、新工具來識別、監測和預防。可以說，在提高內控和風險管理有效性的道路上，金融業只有起點，沒有終點，我們必須晝夜前行，永不停步。