商業銀行內部控制自我評價研究

廣西財經學院 韋 巍

2008年6月28日，財政部、證監會、審計署、銀監會和保監會聯合發布了我國首部《企業內部控制基本規范》，于2009年7月1日起首先在上市公司范圍內實施。由于《企業內部控制基本規范》的適用對象是一般上市公司，作為通用的規范必然對具體的行業無法做出詳細規定，因此不同行業在實施內部控制自我評價的過程中會存在差距，行業發展存在不均衡性。縱觀近年來我國內控自我評價領域的研究，很少有分析商業銀行的內控自我評價，而研究公司內部控制自我評價的內容、主體、方法，以及評價過程的具體實施和最終的內部控制自我評價報告的內容，對目前的商業銀行有很好的借鑒意義。

一、商業銀行內部控制自我評價存在的問題

（一）商業銀行內部控制制度與評價體系不完善

（1）商業銀行內部控制制度不健全。我國商業銀行業務流程中的相互監督制約機制缺位，風險控制能力薄弱，風險管理的盲點和空白點較多，潛伏大量的風險隱患。許多商業銀行的信貸經營部門負責從營銷到貸前調查、發放、貸后管理和風險管理，幾乎包攬了業務經營的全部流程，有時甚至對項目評審形成“倒逼”機制，監督制約機制缺位，存在嚴重的風險隱患。還有不少股份制商業銀行的資金運營部門既負責資金交易，也負責資金清算，還負責資金管理和風險監控，流程中潛在利益沖突較大。總分行之間的權力分割和資源分割，容易產生內部人控制和風險監管虛化，風險問責制難以落實等問題，如在整個信貸流程中參與審查和審批的部門和人員很多，但相互責任劃分不清晰，如果出了問題難以明確責任，責任追究制度無法發揮應有的效力。

一是商業銀行缺少內部控制評價標準。2013年八家商業銀行在內部控制自我評價報告中對內部控制建立的依據及內部控制評價依據的披露情況如表1所示。由表1可以看出，大多數商業銀行沒有建立成熟的內部控制評價標準，在內部控制自我評價過程中缺乏評價依據，雖然交通銀行聲明他們是參照《企業內部控制基本規范》和《商業銀行內部控制指引》的要求對本行內部控制進行了自我評價，但是這兩個文件都是政策性文件，對內部控制自我評價的具體實施過程并未提供詳細的指導，銀行在實施評價的過程中采用什么樣的方法、執行什么樣的程序沒有明確的做法可循，對內控缺陷的評判標準較為籠統，評價結果往往取決于評價人的主觀看法，這在某種程度上降低了評價的公正性與可靠性。

表1 內部控制建立和評價的依據

二是商業銀行沒有設置獨立的內部控制評價部門。我國商業銀行多數尚未建立一個職責明確、分工合理、權限清晰的內部控制的組織結構，也沒有與之相適應的決策等系統的支持，內部控制的責任主要由審計部與法律合規部來承擔，而沒有明確所有部門在內部控制體系中全員參與的職責。內部控制自我評價與傳統的內部控制評價的顯著不同為重視所有員工參與，不單單依賴內審人員。然而實際上，大部分商業銀行仍由內部審計部門做內控評價的主要執行者，將內控評價的責任賦予內審部門，甚至完全依賴內部審計，實質上依然是傳統的內控評價。

三是商業銀行內控自我評價的報告的結構與內容不全面。我國對商業銀行的內部控制自我評價報告要求不甚嚴格，沒有統一的內容和形式要求，導致了銀行內部控制信息披露不充分、內部控制自我評價報告內容不完善。具體到2013年上市商業銀行披露的內部控制自我評價報告，通過分析，可以看出各家商業銀行內部控制報告披露的內容各不相同，如表2所示。

表2 內部控制自我評價報告披露的內容

這八家上市商業銀行內部控制自我評價報告還存在著共同的問題，具體表現在評價報告報送范圍有限，主要面向上級管理行和中央銀行，對其他利害關系人未能提供信息；全文采用描述性說明文字的形式，沒有使用附圖、附表和附件等支持性信息，不利于直觀反映內控有關的資料；尤為關鍵的是完全沒涉及內控自我評價的步驟，內部控制自我評價具體由哪個機構或部門負責實施、采用何種評價方法和工具、評價過程中是否遇到困難和問題，這些答案報告使用者在內部控制自我評價報告中無從知曉，導致信息不對稱。

（2）商業銀行內部控制自我評價沒有得到有效實施。

一是商業銀行內部控制自我評價執行不力。有些銀行雖然建立了內部控制評價體系，但是卻沒有發揮該體系應有的作用，形同虛設。主要表現在：其一，沒有設立獨立的內部控制評價機構，具體的評價工作主要依靠內部審計部門、內部控制評價結論的得出更多依賴于內部審計報告，沒有把全員控制的思想貫徹其中；其二，對內部控制評價的討論多停留在制定政策、領導講話和印發文件上，對內部控制評價情況很少深入研究，對業務風險點不能準確把握，內部控制評價形式簡單、過程粗放，反應多、應付多、主動性改進少，沒有取得應有的質量和效果；其三，評價過程中對業務的檢查活動頻繁、名目繁多，而實效卻不大，造成低級差錯重復出現，有效性差，風險管理機構沒有有效運作，使得原有風險沒有降低或得到控制，反而不斷受到各種新的風險的挑戰，無法控制不良資產產生的源頭；其四，存在重評價結果、輕過程監控的現象，沒有打牢內部控制基礎，忽視內部控制的過程和具體問題的整改，使得內部控制評價經不起考驗；其五，注重短期效應，忽視建立長效機制，對內部控制建設工作缺乏長期性、持續性、綜合性的全盤規劃和考慮，對內部控制評價提出的問題和建議沒有進行持續性改進和跟蹤，沒有對內部控制機制進行修改和完善，致使問題屢查屢犯，內部控制狀況不能夠從根本上得到有效的改觀。

二是商業銀行內部控制評價方法使用不當。沒有依據銀行自身的企業文化和管理特征選擇合適的評價方法和工具。例如，有的銀行沒有先進的企業文化、控制環境較差，結果采用了專題討論會法，使得員工的積極性和潛能不能得到充分發揮，沒有獲得預期的效果；有的銀行在內部控制自我評價的過程中涉及的部門內容繁多、問題復雜，卻簡單地只采用了問卷調查法，所得到的答案沒有覆蓋內部控制的各個方面，結果差強人意；而有的銀行缺少具有較高綜合能力的引導者來領導內部控制自我評價，卻選擇管理分析法，導致無法把員工的學習結果與他們從其他經理和關鍵人員收集到的信息加以綜合，也沒能實施有效的內部控制自我評價。

二、商業銀行內部控制自我評價完善措施

（一）健全商業銀行內部控制制度 我國國商業銀行需要參考西方發達國家的好的做法，構建一個以全部風險管理為導向的內部控制體系，體現全面風險管理原則，開發信用風險內部評級預警系統，優化業務控制流程和風險管理流程，推行風險經理管理制度，形成在信貸項目審查過程中實行客戶經理與風險經理雙人調查機制，借助數據大集中與IT技術的電子化建設的機遇，推進建設財務會計的集中管理系統、信貸客戶信用風險評級系統、信貸綜合管理系統等現代化風險管理功能的業務平臺，構成“控制有制度、部門有制約、崗位有職責、操作有程序、過程有監控、風險有監測、工作有評價、責任有追究”的內控體系，同時根據實際的變動，修正與完善內控體系。

（二）制定商業銀行內控評價管理辦法與落實細則 商業銀行需要構建全面的內控評價系統，積極主動地對內部控制實施自我評價，確保內部控制體系的健全性和有效性。應以風險評估結果、業務和管理流程及相關區域的狀況和以前的評估結果為依據，制定評價方案，對內部控制缺陷的定義、評判標準、報告路徑、報告內容等做出規范，明確各方在內部控制自我評價中的職責分工以及內部控制自我評價的程序、時間、方法等等。每年至少開展一次內部控制自我評價活動，測試和評價內部控制五要素的有效性，然后根據評價的結果給出最終結論，同時將不足和完善辦法報告給董事會和管理人員。本著與時俱進的精神，召集不同部門的業務人才集中研究討論，并邀請監管部門的專業人員給予指導，結合現代內部控制理論，把新的金融產品、新興業務等風險高發點和控制難點及時補充進評價內容，不斷修改完善內部控制評價管理辦法和實施細則，促使內部控制評價工作更加規范。同時，加大內部控制管理在行長績效考核中的比重，把內控管理結果和評價結果融入考評每個銀行的系統里，同時讓其作為晉升、薪酬的標準，通過內部控制綜合評價使內部控制優先的意識深入人心，促進全行內部控制建設，增強風險防范能力。

（三）設立專門的商業銀行內部控制評價機構 首先，應當從明確職責入手，完善內部控制治理框架。內部控制評價是一項程序繁多、內容復雜的工作，必須建立和完善內部組織機構，保證內部控制活動得到有效執行，對內部控制體系的有效性實施評價，并接受監事會和內部審計部門的監督。其次，構建內控制組織框架。大型商業銀行，要實現內控評價職能獨立，設置相應的評價機構。總行管理層下設內控制評價機構，主要是確保所有分行內控系統的有效運轉，制定銀行整體內控的體制，負責維護全行內部控制體系的總體運行，決定全行內部控制的基本制度，分析銀行內控系統的優點和缺點，有針對性地采取手段予以改進。然后可以把內部控制評價部門劃分為上下兩級，以業務管理作為起點，圍繞職位的權責與工作準則，對各分行業務部的內部控制進行檢查評價，對評價的結果及時向總行評價部門匯報并提出改善建議。

（四）完善商業銀行內部控制自我評價報告 商業銀行內控自我評價報告構成主要有：管理人員的責任聲明、基本概況、自我評價、建議和措施。首先應當聲明建立并保持有效的內部控制是管理層的責任；基本情況應該包括銀行基本情況、內部控制建設的基本情況和內部控制評價的基本情況，其中銀行基本概況可以做簡要介紹或省略，內部控制評價的基本情況要說明內控評價的意圖與有關責任人、內控評價的內容和所依據的標準、內部控制評價的程序和所采用的方法及評價過程中的重要和特殊情況、衡量重大缺陷的定義及確定方法；自我評價是結合對內部控制各個環節的風險的分析，對內部控制設計合理性和運行有效性的評價意見，得出總體評價結論、對各個分行的評價結論以及對各個產品、各個流程、各個IT系統的評價結論；建議和措施，結合銀行目前的經營狀況、管理風格和信息技術水平，針對內部控制缺陷提出補救措施以及防范風險的具體建議。

（五）運用科學的內部控制評價辦法 要改善內控評價，一定要運用恰當的評價辦法。內控評價包含兩個方面: 一方面，由商業銀行總部組織進行分行的內控評價，一年一次；另一個方面，每個一級分行的審計部門搜集有關資料對其所屬機構進行內控評價，也是一年一次。

三、結論

內部控制自我評價是一個新穎的手段，在理論與實踐上都在不斷完善。本文分析了我國商業銀行內部控制自我評價過程存在的問題和缺陷并嘗試提出了相對應的解決措施，希望商業銀行及整個金融業能夠意識到，內部控制評價不應再局限于被動地滿足外界需求，而應成為其自身生存發展和目標實現的一種自發性內在需要，應當積極發展和完善內部控制評價體系，從而盡快融入國際社會和健康、有序的發展。相信隨著國內更多的商業銀行了解、運用內部控制自我評價，結合我國國情和銀行的實際情況對這一方法進行改良和完善，內控自我評價會邁入新的里程，同時將在我國得到蓬勃發展和廣泛應用，使我國商業銀行的管理水平取得一個質的飛躍。

［1］吳水澎、陳漢文、邵賢弟：《企業內部控制理論的發展與啟示》，《會計研究》2000年第5期。

［2］閻達五、楊有紅：《內部控制框架的構建》，《會計研究》2001年第2期。