基于新巴塞爾資本協議的商業銀行風險管理審計研究

劉 靜 高 翔

（1、吉林財經大學會計學院 吉林 長春 130117；2、中國重汽集團山東分公司 山東 濟南 250000）

由美國次貸危機而導致的華爾街金融系統像多米諾骨牌倒下，并導致全球性金融危機，其影響之深刻，破壞之嚴重，超過1927年、1987年、1997年的經濟危機。從美國最初的投行貝爾斯登的破產到最后五大投行的雷曼、美林、高盛、摩根士丹利無一幸免于難；從房利美、房地美被接管，到AIG集團被國有化，從美國最大儲蓄銀行互惠銀行被聯邦存款保險公司接管，到富國銀行收購美聯銀行…從美國華爾街的金融動蕩再到全球金融恐慌：哈利法克斯被萊斯銀行收購，英格蘭皇家銀行申請政府保護，德國第二大貸款機構HRE申請救援，冰島宣布三家銀行國有化…我國幾家中資金融機構共持有雷曼兄弟債券7億元左右，損失的絕對數額可謂巨大。這次金融危機是我國商業銀行強化風險管理審計的一次重要契機，強化商業銀行風險管理審計，提高企業風險管理水平，確保我國商業銀行健康發展。

一、商業銀行風險管理審計選擇與要求

（一）商業銀行風險管理審計選擇 強化商業銀行風險管理審計是內部審計的現實選擇。21世紀初，以畢馬威為代表的國際四大會計師事務所聯合學術界對審計基本方法進行研究，開發出風險管理審計，它不僅關注傳統的內部控制，而且更加關注有效的風險管理機制。風險管理成為組織中的關鍵流程，很多優秀企業的內部審計已經把“為支持企業風險管理提供獨立的評價和建議服務”作為自己的職責，從風險管理的視角持續不斷地審視公司治理和企業各個領域的管理工作，促進風險管理有效性的增強。我們認為風險管理審計是以企業全面風險管理過程為審計對象的內部審計，將內部審計業務嵌入到企業實施的全面風險管理的框架中，對機構的種種風險管理程序、方法和結果進行鑒定、評價，幫助企業實現其目標。風險管理審計試圖從企業全面風險管理著眼，審計人員根據企業全面風險管理的方針和政策，采用系統化、規范化的方法，測試企業風險管理系統、各業務循環及相關部門的風險識別、分析、評價、管理及處理，并對全面風險管理進行動態評價，以確認和預警，進而提高企業風險管理的效率、效果。因此，風險管理審計凸顯評價和咨詢功能，是審計人員執行內部控制評價和管理審計的合理拓展，即站在風險管理全過程和戰略層面的視角，對企業風險管理進行的審計。在當今復雜多變的經營環境下，現代企業面臨著諸多不確定性，如何防范風險成為企業管理的核心問題，風險管理審計開展是內部審計的一大進步，對我國商業銀行應對金融風險和危機有著重大現實意義。（1）公司治理外部環境的變化要求企業內部審計轉向風險管理審計。當前公司治理外部環境正在發生著深刻變化。全球經濟一體化，企業業務循環打破了地域、部門、行業以及國家的界限而在世界范圍內運行，由此便對公司治理外部環境帶來了諸多影響，如企業規模國際化、資本運營國際化、風險因素國際化；電子商務和網絡經濟等高科技在經濟領域的運用，極大地改變了經營管理方式和公司治理中心；知識經濟時代即將取代工業經濟時代等。這些變化，必然會給公司內部審計提出更高的要求，尤其在風險極高的商業銀行里。首先，人們應該改變傳統的內部審計理念，將內部審計的目標定位提高，從保證經營者更好地履行其職責到幫助公司增加價值和提高經營效率。因此，內部審計的傳統保證功能將被擴展到保證與咨詢功能并存的范疇。其次，審計方法和技術應相應地得以完善，制度基礎審計因其本身固有的局限性受到質疑，風險管理審計正在悄然興起，其能幫助企業評價、控制風險。IIA主席杰奎特指出:“環境的變化給內部審計師帶來增加價值的機會最多的領域是風險管理和公司治理，我們正開始認識風險管理是我們事業的推動力。”（2）公司戰略管理要求企業開展風險管理審計。管理學家約翰伯恩認為，戰略管理是當今最為重要的管理問題。戰略管理趨向于動態戰略和彈性戰略，沒有哪一個戰略能擁有長期競爭優勢。企業必須及時分析可能的機遇，消除可能的風險，不斷改變其戰略。而戰略決策本身就是最大的風險因素，戰略決策出現錯誤，對公司來說將是災難性的。風險管理審計介入到戰略管理層面，可以為決策提供可靠的信息和建議，增加信息源的寬度和質量，以支持公司戰略決策的有效性。同時，由于公司的戰略管理層的董事會工作重心從雇用、監督高級管理者轉向支持有效的決策和糾正錯誤的決策上來，但須以全面、準確的信息為依托，由于董事會和經理之間存在信息不對稱，因此僅靠管理層提供的信息是不可行的，那么，風險管理審計機構就應承擔起向戰略設計者反饋真實信息的責任和義務。（3）“增加價值”服務理念要求塑造企業風險管理審計模式。由于世界經濟環境的變化，科技的飛速發展都給企業帶來了挑戰，傳統的企業運行機制和組織體制難以適應市場環境變化，出現了效率低下、組織僵化、機構臃腫、缺乏彈性的“大企業病”。在此背景下“企業流程再造”理論應運而生。從業務層面重新審視現有的管理實踐，提出“面向未來，著眼于創造價值的管理”。原來的內部審計所進行的僅僅是事后的評價和反饋，不能滿足時代要求，需要變革。將內部審計的審計對象與企業目標直接聯系，并將事后反饋延伸到事前和事中。通過開展咨詢性服務幫助企業控制風險為企業增加價值服務。風險管理審計目的就是幫助管理當局解決在經營管理過程中遇到的問題，評估經營風險，控制或降低風險，提供實現企業目標的各種可行建議。（4）滿足新巴塞爾資本協議，商業銀行需強化風險管理審計。風險管理審計要改變內部審計人員對于控制與風險的思考，使內部審計人員關心企業的目標和風險，使審計報告的重點移到目前和未來的規劃，把目前的經營管理控制同計劃、策略和風險評估結合起來。風險管理審計屬于開放式模型，審計人員在開始一項審計業務時，必須首先評估審計風險，并把它作為審計質量要求的出發點和歸宿點，做審計過程控制的依據。在新巴塞爾資本協議下，面對復雜的國內外金融環境，每個商業銀行首先要規范經營，內部審計有責任進行風險管理審計，使商業銀行滿足銀行業的監管要求。其次，通過內部審計有價值的咨詢活動，促進銀行提高風險管理能力，控制或減少金融危機，才能實現企業的價值增值。

（二）新巴塞爾資本協議對商業銀行風險管理審計的要求 國際清算銀行（BIS）于1988年首次引入了面向金融服務行業的監管資本標準。1988年的巴塞爾資本協議獲得10大工業國中央銀行的一致同意，從而將通用最低資本標準應用到其各個銀行。2004年巴塞爾銀行監管委員會發布了《統一資本計量和資本標準的國際協議：修訂框架》，2006年巴塞爾委員會將1988年舊協議未改動部分、1996年關于市場風險的修訂協定以及2005年關于新資本協議如何運用于實務的修訂相結合，頒布了新資本協議。新資本協議的設計目標是要提高銀行對風險的敏感程度，利用最低資本要求、監督檢查和市場紀律（包括資本充足率要求、外部監管和市場約束）促進銀行提高風險管理能力，增進金融體系的安全與穩健。其實質是為了完善與補充單個國家對商業銀行監管體制的不足，減輕銀行倒閉的風險與代價，是國際商業銀行聯合監管的最主要形式，具有很強的約束力。新巴塞爾協議了提出具體可行的監管標準，使之更加適合銀行業的監管實踐，被譽為國際金融風險環境下世界各國銀行所遵循的“神圣條約”。新巴塞爾資本協議的出臺標志著全面風險管理理念和方法在商業銀行的引進和實施。2005年巴塞爾委員會的13個成員國和25個歐盟成員國已經承諾于2007年初實施新資本協議。目前包括中國銀行、工商銀行、建設銀行等大型國有商業銀行和業務活躍、國際業務比較大的交通銀行、浦發行等7家銀行已經被我國銀監會選定作為2010年首批合規的銀行，必須在2010年開始符合巴塞爾資本協議的新要求。根據銀監會的規定，上述銀行在經批準的情況下，可暫緩實施新資本協議，但最晚不得遲于2013年底。實施新資本協議的號角已經吹響，如何運用新協議提出的全面風險管理理念，確保我國商業銀行風險管理體系合理有效運行，使其在競爭中立于不敗之地，是我國商業銀行風險管理審計面臨的重大課題。新資本協議涉及到具體內部審計的有6條，主要內容簡列如下：NO.136.在銀行內部的審計的程序中，應經常對風險計量系統進行獨立評估。NO.461.如果依賴監督和控制系統來限制信用風險，銀行應該有一個有效的內部過程來評估是否遵守所有關鍵的政策和程序。NO.463.銀行必須有一個健全的體系發揮作用，來驗證評級體系、過程和估計所有相關風險要素的準確性和一致性。NO.620.為具備使用標準法和高級計量法的資格，銀行必須至少符合監管當局以下規定：銀行的董事會和高級管理層適當積極參與操作風險管理框架的管理；銀行的風險管理系統概念穩健，執行正確有效；有充足的資源…NO.689.健全的資本評估應包括以下基本要素：確保銀行識別、計量和報告所有實質性風險的政策和程序；將風險水平與資本聯系在一起的程序；根據銀行的戰略重點和業務計劃，設定與風險輪廓相符的資本充足率目標的程序…NO.702.銀行內部控制結構是資本評估程序的基礎。對資本評估程序的有效控制，包括獨立檢查和在適當情況下安排內部或外部審計。這六點明確要求我們必須完善和強化商業銀行風險管理審計。

二、我國商業銀行風險管理審計體系構建

（一）加強商業銀行風險管理文化建設 加強商業銀行風險管理文化建設，完善風險管理組織機構設置，構建風險管理審計環境。有效風險管理體系必須以先進風險管理文化培育為先導。風險管理審計部門需要確認風險管理部門是否通過持續宣傳、培訓、研討，引導員工充分認識“銀行經營風險的企業屬性”，樹立“風險管理本身寓于發展內涵”的科學發展觀，確立“以資本對風險的約束為基礎、業務增長與風險控制相適應、風險成本與風險收入相匹配”的風險管理基本原則。風險管理審計部門應協助風險管理部門讓整個銀行更新觀念和認識，為科學風險管理機制的建立和有效運行做好思想和輿論準備，調動全體員工的積極性，能動參與風險管理。國有商業銀行風險管理機構設置是風險管理審計環境不可忽視的內容，機構設置的合理性會直接影響到風險挖掘、控制的效率和效果。西方商業銀行在風險管理機構設置方面基本上都是采用的類似“矩陣式”的、全面、分層次的風險管理模式。針對我國國有商業銀行風險管理部門，可在總行設首席風險經理，由副行長或副行長級高級管理人員擔任，負責對全行各種風險的通盤控制和管理，監控各種可能對全行業務發展有重大影響的風險。在首席風險經理領導下，各主要業務領域也都設有一個首席風險經理，并設一個稱為首席風險經理辦公室來支持其工作。各地區和業務部門可設自己的高級風險經理，在業務領域的首席風險經理領導下開展工作，再往下依此類推。風險經理和業務經理平行作業，各司其職，互相支持。為便于集體決策，總行和大區分行一般都會設風險管理委員會，總行的風險委員會由總行的首席風險經理任委員會主任，成員包括行長、副行長、財務總監、營運總監和各主要業務領域的負責人。

（二）構建商業銀行風險管理審計機構 風險管理審計是內部控制和風險管理運行的制度要求，構建我國商業銀行風險管理審計組織機構。對于一個現代企業來講，內部控制和風險管理是企業治理層的工具，屬于公司治理機制的核心。無論按照“內部控制整體框架”或是“全面風險管理整合框架”來構建自身的內部控制和風險管理框架，都內生存在“監督”環節。監督是對內部控制和風險管理系統有效性進行評估的過程，可以通過持續性監督、獨立評估來實現，但都可能會出現“不識廬山真面目，只緣身在此山中”的情況，因此，需要特設的一個制度安排——風險管理審計，由直接隸屬于董事會的審計部門組織實施，以落實內部控制和風險管理的各個環節的自我評價為基礎的專門的審計活動，并且利用咨詢意見，在戰略層面上為董事會提供發現、防范并糾正自身戰略風險的意見。因此，在公司內部治理框架中，風險管理審計成為內部控制和風險管理運行中的內生和外生相協調的制度安排，其內生性表現在風險管理審計本身是內部控制和風險管理中“監督”環節所要求的獨立評估部分；其外生性體現在風險管理審計是特設的制度安排，直接隸屬于董事會的內部審計部門實施，來保證內部控制和風險管理在不斷修正中有效運行。所以，內部風險管理審計必須以企業內部控制和風險管理的自我持續評估為基礎，站在戰略高度，把握全面風險，來對整個公司內部治理的全過程以及各個層面實施監督。

（三）構建商業銀行風險管理審計隊伍 發揮風險管理審計的作用必須依靠高素質的內部審計人員。因此，加強審計隊伍的建設，提高風險管理審計人員的素質，是提高商業銀行內部風險管理審計工作的水平，發揮商業銀行風險管理審計職能的重要保障措施。首先，提高內部風險管理審計人員的思想道德素質和職業道德素質，各商業銀行應嚴格按照中國內部審計師協會發布的《內部審計人員職業道德規范》來要求本行的內部審計人員，并根據商業銀行本身經營業務的特殊性，設立專門針對商業銀行內部審計人員的職業道德準則；建立激勵約束機制，對內部審計人員的工作和業績進行監督、考評，充分調動內部審計人員的積極性，激發內部審計人員的責任感，從而自覺地約束自己的行為，自覺地提高自身的思想道德素質和職業能力素質。其次，要提高內部風險管理審計人員的業務素質，積極推行內部審計人員持證上崗制度，提高行業準入資格門檻，提高內部審計隊伍的專業化程度，在保證內部審計人員專業素質的同時，要擴大內部審計隊伍，吸收更多的專業人才；最后，提高溝通技巧，與被審計者進行有效的溝通，改善商業銀行的內部風險管理審計的人際關系環境，使商業銀行內部風險管理審計充分發揮它的“服務者”角色。

（四）構建商業銀行風險管理審計流程 對于銀行風險管理部門來說，必須完善企業風險管理過程，這個管理過程越順暢，細節構造越完善，全面風險管理體系的效率就越高。一般來說，我國商業銀行可將風險管理過程劃分為七大模塊，即風險文化、風險管理目標設定、風險識別、風險綜合評估、風險處理、風險及管理信息披露、風險管理評價。那么，內部審計師為在從總體上對風險管理過程適當性發表意見，參考IIA實務公告，我國商業銀行風險管理審計流程可以這樣構建：第一，風險管理環境分析，評價商業銀行考慮到所面臨的風險環境的各個方面是否完整、考慮到風險環境因素的變化發展是否充分、對風險環境的分析是否恰當；第二，風險管理目標設定評價，各類目標在設定時所依據的數據及報告經營業績、盈利能力、財務報表及附注等是否可靠、相關部門對它們的理解是否準確，各類目標的設定是否合理；第三，全面風險識別評價，新巴塞爾資本協議將資本充足率與信用風險、市場風險及操作風險掛鉤，構建了資本充足率指標與銀行風險管理水平之間的有機聯系。風險管理審計不僅要審查銀行監管資本充足率是否滿足新協議的規定，更重要的是確保銀行風險輪廓勾勒的完整性，保證所有可能發生的重大風險均已被識別與管理；第四，綜合風險評估方法評價，風險管理審計需要對風險評估結果的恰當性進行再檢驗，如評價風險評估所依賴的數據是否準確可靠、評價對風險的可能性和影響的估計是否合理等等；第五，風險應對策略評價；第六，風險及管理信息披露評價，確定風險管理部門是否對已識別風險在整個銀行內部進行恰當的通報傳遞、是否完整的披露了應引起銀行各個部門重點關注的潛在風險；第七，風險管理評價，對銀行規章制度、風險識別、評估及處置情況進行總體衡量，對其執行情況和達到的效果進行評價，并監測整個過程中是否存在問題，對存在問題的部門和環節集合成風險管理審計報告，送交風險管理部門、審計委員會及董事會。

［1］巴曙松、牛播坤、向坤：《巴塞爾新資本協議實施路徑的國際差異比較及其發展趨勢》，《國際金融研究》2006年第4期。

［2］黨均章、王慶華：《次貸危機中重新審視銀行風險管理》，《銀行家》2008年第11期。

［3］李曉慧：《風險管理審計：一個重要的制度安排》，《現代會計與審計》2007年第12期。