《商业银行内部控制评价试行办法》出台始末

缘起

《银行家》：我们注意到商业银行内部风险控制问题在最近一定时间是管理层“急切关注的一个重点”，您个人也一直参与和见证了《办法》的出台全过程，您能给我们透露一下这个过程吗?

汪健豪：我想该《办法》的出台既是银监会“管内控”的具体举措，也是指导商业银行内部控制体系建设的重要指导性文件。据我所知，该《办法》是在银监会最高领导的直接关注、领导和参与下，充分结合国内商业银行(尤其是中国建设银行)内控实践、国内外内控理论及实践的最新成果、国外监管当局的监管经验等，经过多次广泛征求意见(包括公开上网征求意见)，融合各方意见、严谨制订的产物。

尤其值得一提的是：自2003年初开始，中国建设银行委托我们制订《中国建设银行内部控制体系标准》并以该标准为依据逐步在建总行及所有38家一级分行建立“风险管理基础平台”的做法，始终得到银监会的高度关注与肯定。目前《办法》第三章“评价内容”涉及的二十二个条款中有十九个条款与《中国建设银行内部控制体系标准——框架和要求》的基本内容是类似或一致的。

无独有偶，《办法》(征求意见稿)出台的时间与美国COSO委员会正式发布最新的ERM框架(即ERM整合框架)的时间同为2004年9月，而对比两者的内容，均有着超出和突破巴塞尔委员会1998年9月发布的《商业银行内部控制体系框架》的内容。

《银行家》：我们注意到近年来国内商业银行频繁发生重大金融案件，这是否构成《办法》出台的重要原因之一?

汪健豪：的确如此。近年来国内商业银行频繁发生重大金融案件，表明商业银行自身免疫力还不高，内部控制仍存在严重缺陷，主要表现在：没有形成系统的内部控制制度，缺乏主动的风险识别与评估机制，内部控制措施零散、不系统，监督检查环节不到位，内部控制结果不稳定，缺乏对内部控制持续改进的驱动力，风险管理的长效机制没有从根本上得到建立。

为改变这一状况，银监会经长时间酝酿，在广泛征求各方面意见和借鉴国际先进做法的基础上，出台《办法》，旨在通过建立一套商业银行内部控制评价的框架和方法，规范和加强对商业银行内部控制的评价，督促其进一步建立内部控制体系，健全内部控制机制，形成风险管理的长效机制，保证商业银行安全稳健运行。

《银行家》：有学者认为，尽管中国银监会对巴塞尔新资本协议的实施制定了“两步走”和“双轨制”策略，但是从金融监管和风险管理的实际动作看，对于巴塞尔新资本协议可能带来的冲击认识还并不充分，这其中就包括内部控制的问题。您以为这次银监会制定内部控制标准对于应对冲击有什么样的积极意义?

汪健豪：强调基础管理的重要性。正如银监会最高层领导曾经指出的那样：一百次监管不如一次将事情做好。《办法》中也明确反映了监管当局的内控监管新思路，包括(1)重结果监管更重过程监管，这从《办法》的评分占比能直观地反映：30％的结果分值、70％的过程分值；(2)重评价，更重内控体系的建立，强调商业银行自身内控体系建设的重要性；(3)重问责，又重免责，这与去年银监会发布的《商业银行授信工作尽职指引》的指导思想是一致的；(4)重违规处理，更重系统改进；(5)重外部监管，更重自我评价；(6)重自我对比，又重水平对比，等等。

我想《办法》始终在强调商业银行要做对、做好影响商业银行经营管理的各项活动，即“做正确的事，正确地做事”!强调商业银行自身强身健体的重要性。无论国际监管要求如何变化或冲击，银行自身基础管理的夯实和提高都是基本保证，这是一个好银行的“本”。

突破

《银行家》：商业银行内部控制体系是商业银行为实现经营管理目标的重要保证，这次银监会为规范和加强对商业银行内部控制的评价，督促其进一步建立内部控制体系，健全内部控制机制而建立的《办法》的主要内容有哪些?

汪健豪：《办法》共分为八章七十二条。第一章总则，规定了办法制定的法律依据、相关的定义、组织实施主体以及评价人员的资质等；第二章，内部控制评价目标和原则；第三章，内部控制评价内容，分为内控环境、风险识别与评估、内部控制措施、信息交流与反馈、监督评价与纠正等五个过程方面；第四章，内部控制评价的程序和方法；第五章，内部控制评价的评分标准和等级评定，明确了过程评价和结果评价的计分方法、评价标准、评分调整和评价报告的内容；第六章，内部控制评价的组织和实施，规定了内控评价的层次、组织实施、评价频率、文档控制等；第七章，罚则；第八章，附则。此外，《办法》还有结果评价指标和说明的附录。

《银行家》：与以往内部控制方面有关制度办法相比，《办法》有哪些新的思路?

汪健豪：与以往内部控制方面有关制度办法相比，《办法》具有鲜明的特点，充分体现了以下两个新的监管思路：

第一，体系评价的思想。《办法》提出内部控制体系是商业银行为实现经营管理目标，通过制定和实施系统化的政策、程序和方案，对风险进行识别、评估、控制、监测和改进的动态过程和机制，由内部控制环境、风险识别与评估、内部控制措施、监督评价与纠正、信息交流与反馈等五个相互关联、相互作用的过程构成。因此，对商业银行内部控制的评价将侧重评价商业银行的内部控制体系。

第二，过程评价的思想。《办法》的内部控制评价包括过程评价与结果评价，但是更重视内部控制过程的充分性、合规性、有效性、适宜性的评价，结果评价是对内部控制主要目标实现程度的评价。

《银行家》：这些思路在执行的过程中将赋予《办法》哪些新的特点?

汪健豪：第一，《办法》强调了对体系的系统性评价。《办法》提出并强调内部控制体系的概念，有利于督促、引导商业银行针对风险建立一套系统完整的过程控制机制。

第二，《办法》引入过程评价，这种评价思路不仅反映各家银行内部控制的差异性(结果评价)，更强调商业银行自身内控管理水平和能力的建设(过程评价)，具有现实意义。

第三，通过要求商业银行建立文件化的内控体系，并通过文件评价和实际活动评价，为监管提供了一种新的、有效的监管思路和途径，通过评价活动自身的标准化，客观上可以减小由于监管者与商业银行之间对内控能力评价差异性的影响，增强监管活动自身的规范性和有效性。

第四，明确了商业银行建立符合监管基本要求的内控体系是商业银行内在的需求和责任，并通过内控评价进一步明确了监管部门的作用，形成内部控制和外部监管的互动机制。

第五，评价范围可灵活选择。根据评价目的和其他要求，既可进行全面的系统评价，也可选择一项或多项业务单独评价。

《银行家》：您个人认为，新的《办法》的主要突破何在，它和以往监管机构的日常监督检查有什么区别?

汪健豪：新《办法》最为主要的突破在于确定了商业银行必须树立“基于过程的风险控制”的内部控制指导思想。《办法》的第八条明确提出：“内部控制评价应从充分性、合规性、有效性和适宜性等四个方面进行：(一)过程和风险是否已被充分识别：(二)过程和风险的控制措施是否遵循相关要求，得到明确规定并得以实施和保持；(三)控制措施是否有效；(四)控制措施是否适宜。与传统的内控理论与实践相比，《办法》已完全突破了内控就是“以会计控制为主”的观点，体现了与现代管理学理论发展趋势的融合。

谈到内控评价与监管当局日常监督检查的区别，在我看来，日常监督检查的重点是业务监管，其目的是对业务的合规性和经营结果进行检查，是针对可能存在问题的“负面评价”，是针对“点”的监管。而内控评价是对内控体系的监管，是对业务过程的全面评价，是对商业银行内部控制水平的“正面评价”，是针对“面”的监管。内部控制评价可以形成确定日常监督检查的基础，即依据内部控制评价的结果确定日常监督检查的重点业务区域，使日常监督检查更具有针对性。

攻坚

《银行家》：您曾经有个比喻，就是把这次新《办法》的出台看作是银监会要对商业银行开展内控水平考试的信号，如果按照这个比喻的话，这场考试绝对不是件小事，它可能牵涉到银行业各个方面的关注，您个人又是如何看待这场考试的?

汪健豪：考试是提高水平的，有效措施，这并不是一项深奥的道理。例如，提高学生英语水平的一项有效措施就是实施英语水平等级考试，考试不是目的，它既是促进学习的手段，又是衡量水平和能力的方式。对于学生来说，考试肯定会带来压力，只是不同水平学生的反映会不同：水平好的学生既可通过考前准备提高水平，又能通过考试评价显现自身的能力和优势；而水平差的学生的反映则不同，其一般性反应通常是最好不要考试(这时可能会反对考试制度)、或希望考试难度降低(这样容易过关)、或想方设法蒙混过关，诸如此类。此外，考试对于成绩较差的学生而言，更让人闹心的是公布考试成绩，这可不仅是水平问题，更关系“面子”!都是考试给闹的。

其实，这种水平考试既非是“一卷定终身”的升学考试，亦非决定能否获取文凭的毕业考试。内控水平考试的主管机构的用心无非是想通过水平考试促使考生提高水平和能力。但要想达到此目的，则必须确保考试制度的公正性、权威性，独立性、专业性，包括考试程序的标准与规范、考官的水平与能力、评分标准的科学与一致等等。内控水平考试既是考考生，同时也是考考官，比如遇到有人请客送礼打招呼怎么办?考官的评价能力如何，能否确保评价标准的一致?这些方面也是考试制度自身在实施过程中必须面临的考验。

对于各类考生而言，首先需摆正心态，因为考生的水平和能力之间的差异性原本是客观存在的，并非因考试或评价才产生：而作为有着严格市场准入要求的商业银行，其差异性应该是基于符合基本标准要求之上的，而不应低于基本要求。

同时，水平考试或评价活动只是客观地揭示这种差异，并为改进和提升发挥一定的作用。同时我们还应看到，内控水平考试给各类商业银行提供了一次更为平等的竞争机会。内控水平考试的要求与银行经营规模、是否上市等并无直接的关联。

《银行家》：既然是考试，在您看来这场考试的考生——中国的商业银行在迎考的攻坚阶段应该做好什么样的准备?

汪健豪：《办法》的出台对商业银行来说，既是挑战，更是全面提升基础管理水平的难得机遇。以评价办法的出台为契机，建立健全自身的内部控制体系，应该是商业银行的明智选择。从时间上看，《办法》明确了一个评价期对商业银行总部为两年、对下属所有分支机构为三年。从这点看，银监会也给商业银行的“迎考”留有了较为充分的时间。从中国建设银行在总行及全辖所有一级分行建立系统的、文件化的内部控制体系的实践看，只要领导重视、组织得当，用1～2年的时间全面提升基础管理是完全可能的。谈到具体所需开展的工作，主要包括培训(尤其是高级管理人员的培训和研讨)，对现状的评估、提出系统的内控体系改进方案、文件化内控体系的建立与运行、自我评价与持续改进完善等。

经常有人问起：提升内控水平有无捷径?我的回答是：不走弯路、脚踏实地依据《办法》所明确的内控体系要求做好体系建设工作，就是捷径!不扎扎实实下功夫却总想考高分，难!

《银行家》：按照您比较乐观的估计，《办法》的推行大约还需要多长时间?

汪健豪：根据《办法》的要求，第一次评价期应在2007年前后完成，这样商业银行尚有1～2年的时间“备考”，这个时间表既是通过努力可实现的，又是转眼即逝的。若不将该项工作列入议题和计划，待到第一次评价结果出来时再着急，就不要忌讳别人说：早干嘛去了!

责任编辑：周正兵