外資銀行風險管理與內控建設的啟示

李澤楠

摘要：某外資銀行是世界較大的銀行財團之一，曾于十年前經歷過內控失效事件，造成巨大的損失。文章根據風險管理與內部控制的基本理論，以某外資銀行為例，重點分析了其內控失效的主要原因，總結其風險管控與內部控制制度重新構建中的主要措施和辦法，為我國商業銀行風險管理與內控建設提供有益的啟示和參考。

關鍵詞：外資銀行；風險管理；內部控制；啟示

某外資銀行（以下簡稱A銀行）是世界較大的銀行財團之一，曾于十年前經歷過內控失效事件，造成了巨大的損失。在危機發生后，A銀行痛定思痛，對原有風險管理和內部控制制度重新梳理與建構，找到發生危機的原因，進一步的完善和改進了操作風險的管控制度，從而獲得了新的更大的發展，其風險管理和內控建設對我國商業銀行風險控制體系內部控制制度的建構具有重要的啟示作用。

一、銀行風險管理及內部控制建設的重要性

內部控制的基本框架源于美國COSO法案，COSO法案的內部控制要素分為五個方面，即控制環境、風險識別、控制活動、內部監督和信息溝通。從控制內容來看，該法案已從銀行對財務會計方面的控制，逐步擴展為全面風險控制。內部控制建設要求越來越全面和具體，銀行業的發展同更加需要內部控制，而銀行業的內部控制又與普通企業有所不同。對于銀行業來說，風險管理則是內部控制建設的重要方面，我國商業銀行業的風險管理主要包含三個方面的內容，即信用風險，市場風險和操作風險。操作風險則更多地與內部控制有著密切的聯系。銀行業的穩定與發展除了信用及市場風險之外，操作風險也會引發巨大的損失，如交易人員操作失誤，系統流程不健全，資金監管不到位等，都會對商業銀行業產生較大影響。因此，銀行風險管理及內部控制建設至關重要。

二、A銀行內控失效的主要原因分析

在中國開展業務的外資銀行并不是很多，受到的管控也較大，我國銀監會對于銀行業合規性要求非常高。外資銀行一方面在開展個人信貸業務方面受到制約，其主要的盈利點在于投資，近年來由于中國經濟增速放緩和銀行業利潤普遍下滑，導致銀行業更加注重內部風險控制的建構，防范可能出現的風險，只能更多地向內部管理要效益。A銀行的主要管理部門多是把控和防范風險的部門，其合規部負責法律合規的風險把控，營運風險管理部負責把控營運中的風險，信息安全部門負責企業的信息安全和技術風險的管理。A銀行在內控制度方面是做得比較完善的，監督體系建設也很到位。例如永久監督制度、業務連續性制度、信息安全設置等，各獨立監督部門開展多道防線的控制。同時，還有不定期的相互監督檢查、建立材料存檔證據、每月損失統計等等，都是A銀行重視風險管理與內控建設的重要性的主要體現。我們知道，健全而有效的內部控制對企業操作風險具有“防止”、“發現”和“糾正”的三大功能，因此以下從這三個方面分析A銀行內控制失效的主要原因。

（一）從“防止”的角度看，交易人員越權操作是引發事件的導火線

在內控制失效事件暴發前的三個時間里，股指期貨操作人員的直接領導——上市產品部的負責人開始縱容操作員的越權行為，并在主管經理辭職離開后的一段時間出現了監管間斷，在隨后兩個半月中，A銀行投行交易部沒有及時找到替代人選，上市產品部的監管處于“真空”狀態：期貨監管工具、現金流量表等風險監控機制形同虛設。至危機暴發前，操作員的直屬領導每天只對凈頭寸風險限額進行檢查，卻沒有按照規定使用頭寸監管工具和交易數據庫（ELIOT）監控交易人員的活動。由于放任自流加上存在監管的真空，風險發生在所難免，交易人員確越權操作成為引發事件的直接導火線。

（二）從“發現”的角度看，相關部門的監督管理形同虛設

巨大的頭寸欺詐、頻繁的虛假交易曾引發一系列風險信號，并不斷反饋到投行交易部的上級領導和相關支持部門。如操作人員不成比例的收入水平、異乎尋常的現金流、財務數據異常、高額經紀費用、不斷突破的風險上限、以及針對操作員的各種交易拉響了幾十次警報。這些警報分別出自包括運營、資產衍生品、柜臺交易、中央系統管理等二十多個部門的風險控制系統，涉及經紀、交易、流量、傳輸、授權、收益數據分析、市場風險等各個流程和環節。而有關部門卻沒有發現這些警報，反映出A銀行的有關部門在這一事件中未對風險信號進行深入細致地分析，同時由于部門間缺乏有效溝通，監管工作不系統、控制措施不健全也未能有效查處操作人員的欺詐交易，這說明A銀行的風險管理和內控制度是沒有得到真正落實到位的。

（三）從“糾正”角度看，對違規交易行為未采取實質性的處罰措施

A銀行曾于事件發生后不久對外公布了注冊會計師審計和建議的報告，對此次風險事件進行了深刻檢討。在資產部門交易量快速增長的背景下，資源在支持控制部門與前臺交易活動中的分配是極度失衡的；同時由于缺乏相應的地位，后臺與中端部門的工作效率低下。信息系統建設也沒有跟上日趨復雜的交易環境和流程交易，當時大量依賴手工操作，操作人員的高負荷工作使得現有的監控系統無法有效運轉，且對違規交易行為未采取實質性的處罰措施，導致內部控制實施執行不到位，這說明事件發生的根源在于A銀行內部控制系統建設的不完善和實施執行的不到位。

三、A銀行風險管理與內控制度的重新構建

在內控失效事件發生后，A銀行對其內控制度采取了一系列的調整措施，進一步完善銀行內部控制體系建設，主要做法是，在其董事會層面直接下設風險管理委員會，并增設運營風險管理部門，專門負責對銀行營運操作風險的管控。同時，該部門獨立于其他部門，發揮了監督的職能，也就減少了監督形同虛設的可能性。在重建的具體操作中，首先是風險識別，A銀行建立了主要有新產品管理制度，在新產品開發過程中首先確認是否可能存在風險。其次是進行風險評估，評估這些風險的發生程度如何，主要有五個方面的量度：相關財務風險、法務風險、聲譽風險、合規風險、信息安全風險。再次是看這項業務的重要性水平如何，如果重要，造成的損失會更大，則需要更多的監督。A銀行就建立起了重要業務評估的一套流程，關鍵風險指標的設立，從而使風險評估更加清晰。最后是加強平時控制，建立了永久監督制度、外包管理制度和重要員工強制休假制度。風險雖然不可能完全消除，但是也有必要建立風險應急措施來保證一些關鍵業務在發生風險時，將損失降低到到最小的程度。

（一）重視營運風險防范，改變風險管控流程

A銀行營運風險管理部門主要有以下責任：GPS（小組永久監督）、3RC（定期監督報告）、KRI（關鍵風險指標評估）、NPC（新產品開發監督）、MAM（敏感員工強制休假）、OEC（外包監督管理）等。針對營運風險的防范，A銀行在事件發生后更加注重營運風險的管理流程重構。如新產品開發制度，在推進新產品研發之前，需要確保產品已經納入后臺的監管框架中，避免出現監管真空。同時營運風險還增加了員工強制休假的制度，針對有敏感權限的員工，需要強制其休假，以便及早發現問題。同時，在對平時常用的監督的系統進行修改或變更刪除時，需要由經營運風險管理部門討論后再提交技術團隊進行評估才能更改，避免了操作人員隨意修改的情況出現。此外，當控制的質量無法達到相應的標準時，則會引發系統警報，并逐級上傳，避免了上級部門不能及時了解危機事件可能發生的情況出現。

（二）不斷改良并升級監督控制系統

A銀行現有的監控系統一直都在不斷升級之中，其設計邏輯更為嚴密。系統觸發的警報不只上報上級主管部門，也同時向總部傳輸，這也使得監管工作更加完善。同時對于強制員工休假也更為嚴格，當敏感員工在一定時間內未能按照規定進行休假時，系統將自動關閉員工權限，阻止其進行工作，進一步減少了人為監督造成的不足。系統還會對各部門進行的控制活動進行自動打分，當工作質量無法滿足風險控制的基本要求時，系統會自動予以提醒，并將質量考核結果與績效工資直接掛鉤。

（三）進一步拓展風險控制企業文化建設

A銀行在新的內部控制系統重建后，更加注重拓展風險控制企業文化的建設。首先，對新員工強制要求進行安全風險意識的培訓并進行測試，以保證其具有安全風險管理的意識。其次，要求營運風險部門定期召開營運風險控制的會議，不斷提醒員工注意其可能存在的違規行為。再次，在銀行內部各公共場所都貼有相關的風險提示文字或提示語，提醒員工時刻注意安全風險的防范。A銀行總部還會不定期地發送“釣魚”郵件，以測試員工是否真正具有風險防范的意識。最后，A銀行還制定了應急演練措施并不定期地開展應急演練，從而保證A銀行在發生危機時，能夠真正做到及時止損或將損失降低到最小程度。

四、對我國商業銀行風險管理與內控制度建設的啟示

A銀行在經歷了內部控制失效的事件后，通過重構風險管理體系和內部控制制度，并進一步加以完善，操作風險的防范制度和相應措施更趨于完備，這給我國商業銀行帶來了一些有益的啟示。

（一）重視內控文化建設，進一步加強員工培訓

內控文化及風險文化是銀行業需要進一步加以重視的，只有對風險管理和內部控制予以充分重視，將控制質量與績效掛鉤，才能夠使各中后臺部門順利完成其監督的相關職責工作任務。同時，對于重構建和改進的新系統需要及時召集員工進行相應培訓，重視對員工開展風險防范和內控建設的文化素質培養，使銀行上下對于風險管理和內控建設都有著深刻的認識和自覺的行動。

（二）完善監控體系及系統建設，進一步實現系統自動化控制

操作風險的控制是銀行業風險防范和內控管理的重點。要做好操作風險的防范工作，除了需要增強員工的日常自我防范意識和真正落實單位內控制度之外，更需要逐步建立和完善信息系統的監控和監督，即進行系統的自動化控制是更為重要的方面，也是非常重要的一種控制方法。同時，建設一套自動化程度較高的單位內部控制體系也至關重要，當人為控制得到相應減少時，銀行的系統控制的有效性就能進一步得到提高。

（三）建立各由部門人員組成的風險控制小組，減少溝通成本

一起事故或者操作風險帶來損失后，有時并不能直接判斷責任的歸屬部門。如果各部門之間無法有效交流和溝通，即難以及時找到責任部門和責任人員，那么應對危機的速度就會減慢，嚴重影響下一步工作的開展。這就需要建立起由各部門人員組成的聯合風險控制小組，在危機發生時，負責部門監督的人員應當及時與監督部門聯絡，檢查各自部門的實際情況，判斷原因問題和責任的歸屬，及時明確責任并處理問題，從而降低溝通成本，提高工作效率。

五、結束語

A銀行作為經歷內控失效事件并能重建內部控制的“經驗”銀行之一，其教訓及改善都值得我國商業銀行進行借鑒和學習，內部控制及風險管理的重要性也需要在整個行業高度重視的監管環境下不斷加以完善，從而保證我國金融企業的持續穩定與健康發展。

參考文獻：

[1]田宇.法興銀行哈爾濱分行風險管理研究[D].哈爾濱理工大學，2016.

[2]于泳波，等.我國上市商業銀行內部控制及其要素關聯性評價[J].財會月刊，2017（12）.

[3]劉瑞文，等.國有商業銀行內部控制在風險防范上的比較性研究[J].大慶師范學院學報，2018（1）.

（作者單位：中國人民大學商學院）