銀行內部控制評價方法研究

劉 杰

（德勤華永會計師事務所（特殊普通合伙）北京分所，北京 100738）

一、引言

內部控制（英文：Internal Control），是由企業董事會、監事會、經理層和全體員工實施的、旨在實現控制目標的過程，其目標是合理保證企業經營管理合法合規、資產安全、財務報告及相關信息真實完整，提高經營效率和效果，促進企業實現發展戰略。將內部控制體系在全行總/ 分/ 支三級機構中建立內部控制標準并定期進行內部控制評價，能夠加強和規范企業內部控制，提高企業經營管理水平和風險防范能力，促進企業可持續發展，維護社會主義市場經濟秩序和社會公眾利益。本文以國內某大型股份制銀行客戶為分析對象，對如何開展銀行內部控制評價的方法做出了研究。

二、項目背景介紹及內部控制評價實施措施

本文的研究背景是某行內部控制評價項目，研究目的是在按照《企業內部控制基本規范》、《企業內部控制評價指引》以及《商業銀行內部控制指引》等監管規定，結合該行既有的內部控制制度和業務流程，對該年度內部控制的設計有效性與運行有效性進行評價。

本文根據工作的先后順序，具體評價措施化分為10 個可執行步驟階段：①制定內部控制評價的目標；②制定內部控制評價的準則；③確定內部控制評價的依據；④制定內部控制缺陷認定標準；⑤確定內部控制評價的范圍；⑥確定內部控制評價的程序；⑦執行內部控制評價；⑧匯總內部控制發現問題；⑨給出內部控制有效性評價；⑩提出內部控制優化建議。

三、項目階段化及具體工作描述

基于上述實施方法，將內部控制評價的相關工作階段具體化，各個階段工作為：

第一階段是制定內部控制評價的目標階段，其基本目標是：落實內部控制監管要求，樹立良好的公司形象；完善各項業務內控制度，持續加強內部控制體系建設；強化各級管理層和員工的內部控制意識，增強貫徹落實各項控制措施的主動性和自覺性；提高內部控制管理水平，最大限度的提升效益，協助實現戰略發展和經營目標。

第二階段是制定內部控制評價的準則階段，經研究及認真分析，開展本次內部控制評價遵循以下原則：①全面性原則；②重要性原則；③可操作性原則；④成本效益原則；⑤持續性原則。

第三階段是確定內部控制評價的依據階段，依據包括：①國家和行業法律、法規以及規章制度；②該行內部控制體系及其他相關規定。

第四階段是制定內部控制缺陷認定標準階段，該行內部控制缺陷認定標準根據相關規范，結合該行規模、行業特征、風險水平等因素研究確定重大缺陷、重要缺陷和一般缺陷的認定要求。在具體對內部控制缺陷進行認定時，該行采用定性標準與定量標準相結合的工作方法，并根據實際情況謹慎選擇。

第五階段是確定內部控制評價的范圍階段，其評價全面覆蓋了內部環境、風險評估、控制活動、信息與溝通、內部監督等內部控制要素。根據《企業內部控制基本規范》要求，內部控制評價工作遵循原則的具體體現為：

全面性原則：包括了內部控制的設計與運行，涵蓋了該行的各類業務和管理事項。

重要性原則：評價工作在全面評價的基礎上，特別關注了重要業務單位、重大業務事項和高風險領域。

客觀性原則：評價工作綜合運用訪談、穿行測試、抽樣等多種方法，準確地揭示了經營管理的風險現狀，如實地反映了內部控制設計與運行的有效性。

第六階段是確定內部控制評價的程序階段，針對該程序，本文分為四個子步驟完成。各子步驟的主要工作內容包括：①內控評價體系建設階段，對該行內部控制流程進行全面梳理，形成流程目錄。②內控中期評價階段，評價小組綜合考慮被評價對象的風險、業務頻次、復雜程度、重要性等相關因素，涉及科學的選樣方法，用個別訪談、專題討論、穿行測試、抽樣等評價方法，現場與非現場相結合。③內控整改階段，對于認定的內部控制缺陷，提出整改建議，逐條與部門和分支機構進行溝通確認，就主要發現和建議的整改措施達成一致意見，并要求責任單位及時進行整改。④內控更新評價和報告階段。

第七階段是執行內部控制評價階段，即根據內部控制評價的程序對該行進行內部控制評價。

第八階段是匯總內部控制發現問題階段，內部控制評價主要發現結合了中期評價和年末更新評價的工作成果。在中期評價發現內控缺陷的項數基礎上，確認已整改項數、尚未完成整改項數。根據年末更新評價識別內控缺陷相數，確認與中期測試類型相同的問題項數、新增問題項數。通過把兩次評價發現進行合并整理，剔出已經整改完成的問題，最終確定截至該年度年末該行內部控制存在各類問題的項數、控制設計缺陷項數、控制執行缺陷項數與控制優化建議項數。第九階段是給出內部控制有效性評價階段，通過依據確定的內部控制缺陷認定標準對所有內部控制評價發現進行分析，并給出內部控制是否有效、是否發現可能導致嚴重偏離控制目標的重大缺陷的內部控制評價結論。

第十階段是提出內部控制優化建議階段，針對現有內部控制缺陷，采取以下優化改進措施：①重點加強信貸業務、國際業務、資金業務和運營板塊管理力度，細化制度規范，積極落實缺陷整改，加大規章制度和業務技能培訓力度；②明確崗位分工，劃清職責界限，理順業務關系，并建立健全各業務領域的不相容職責分離與崗位輪換機制；③進一步加強信息科技建設，盡快改善信息科技內部控制的薄弱環節的同時積極探索將手工控制固化為自動控制，利用信息系統減少人工操作的失誤；④繼續推進全面風險管理建設，完善信用風險、市場風險、操作風險等主要風險的識別、評估、計量、監測和報告程序，推動風險管理體系的科學化、精細化發展。同時，將內控、合規與操作風險管理工作相結合，建立“三位一體”的風險控制管理模式，促進三道防線間的工作互補與信息共享，提高全行風險管理效率和效果。

四、項目實施總結

本文按照項目工作的先后順序，通過將銀行內部控制評價項目劃分為10 個階段，并對其中的確定內部控制評價的程序階段按4個子步驟完成；經過實踐驗證，其成功高效、順利地完成了該行開展的內部控制評價工作，以滿足五部委對銀行內部控制建設和評價的要求，加強和規范了企業內部控制，提高了企業經營管理水平和風險防范能力，促進了企業可持續發展，維護了社會主義市場經濟秩序和社會公眾利益；同時滿足了銀監會《商業銀行內部控制指引》的要求，并為該行今后的內部控制評價工作奠定了良好的基礎，并提供了全面、細致地工作指導。

[1]中國財政部會同證監會、審計署、銀監會、保監會.企業內部控制基本規范[Z].

[2]中國銀監會.商業銀行內部控制指引[Z].