商业银行内部控制实践研究

宋平

摘 要 经济的发展给银行业提供了新的发展机遇。但是近期发生的银行“飞单”事件，给银行业敲响了警钟，反映出银行业内部控制方面的弱点。因此，关于加强商业银行的内部控制，避免发生影响银行发展的暴雷事件成为目前银行业亟须高度重视的课题。本文研究商业银行内部控制实践问题，寻求改善商业银行目前内部控制状况的创新方法，希望能为商业银行内部控制的完善做出贡献。

关键词 商业银行 内部控制 内部控制实践

商业银行是经济发展的产物，是具有特殊性的一类企业，因此受到的行业监管格外严格。内外部利益相关者众多，经营业务量庞大且容错率极低。不论是在学术界还是在实务界，商业银行的内部控制均受到广泛的关注。近年来，金融市场出现村镇银行、民营银行等组织。它们抢占了商业银行部分市场份额，在一定程度上削弱了商业银行原先的市场竞争优势。受竞争压力影响，部分商业银行在经营上易产生偏激和短浅心理，倾向于短期利益的获得，而降低对风险管理和内部控制的要求。近年来，商业银行被爆出“飞单”、虚假客户、“爆雷事件”等一系列丑闻，又引起了社会各界对商业银行内部控制的关注。如何完善银行内控体系，提高银行内控的有效性，是迫切需要探讨的问题。

一、理论基础

（一）内部控制理论

根据美国准则委员会在1972年所作的《审计准则公告》，内部控制是在特定的环境中，组织为了提高自身经营效率，充分有效地获取和使用各类资源，达成经营管理目标，而在组织内部施行的各种制约和调节的计划、方法和程序。内部控制由五大主要因素构成。这几个要素之间相辅相成、互相关联。

COSO的《企业风险管理框架》，该框架将企业风险管理划分成了八大主要因素。相较于内部控制整合框架，企业风险管理框架更详尽地列出了企业的风险管理环节，多了目标设立、事项识别、对风险的反映3个内容。事实上，企业内部控制和风险管理相互交织，不能完全区别开来。二者都是企业内部治理的重要因素。

（二）现代管理理论

现代管理理论综合了近代所有的管理理论，它不仅仅是一个指挥体系更是一个学科群。它是在社会不断发展、社会背景日益复杂下的产物，目的是通过提供指导思想，推动社会不断积极发展。若想很好地贯彻这一理论，不仅要求思想和管理组织具有现代化特征，还需要采用现代化的方法来实施。

现代管理理论有以下特点：

第一，管理的核心是“人”。现代管理理论要求充分体现出人的特点，通过提高人的主观能动性，提高人的积极性间接提高工作效率。例如“人本管理学说”与“能本管理学说”就充分体现出人的特点，这也标志着现代管理理论成为符合人主观需求的管理模式，能够满足政府、企业、学校、社会团体高效管理的需求。

第二，集权与分权相结合。根据单位的自身情况，因地制宜，建立合适的组织结构以及相匹配的制度，自上而下，实行“集中决策，分级管理”。这样既不影响决策力度，也给予各级独自发挥的空间，使员工效益最大化。而对于中小学校的内部控制，内部控制即对人的管理，并且需要采用奖惩结合的方式，来提高人们的积极性，从而提高单位运行的效率。集权与分权相结合的管理方式，更益于内部控制的具体实施。

二、商业银行内控现状

（一）岗位设置现状

商业银行普遍依据公司法规及银行管理办法，设立了符合银行自身特点的岗位和部门。

在高层岗位建设上，基本形成了三足鼎立的模式，即负责决策的董事会、负责经营的高级管理层以及负责监督的监事会三者分庭抗礼、互相制衡。在内控工作的分配上，董事会负责银行整体风险水平的设置、内部控制体系的建设、风险控制过程的监督等工作。董事会下设的审计委员会作为监督机构，具体研究、制定内控管理政策，并衡量其实施的有效性。银行的高级管理层负责协调和组织内控的日常管理工作。监事会起到监督上述内控工作的作用。

根据各商业银行官网资料和内控评价报告，目前，大部分银行在岗位设置上遵循了以下3个原则：

第一，职责分离。例如，在高层中，行长、财务总监、副行长、首席信息官、首席风险官等人员各自管理其对应的业务，避免出现权力过于集中的情况。在各分支机构，普遍设置了客户经理、出纳、会计、会计柜员、事后复核、储蓄柜员等岗位，分别负责各具体工作。

第二，针对不相容的岗位、较特殊的岗位和关键性岗位，银行明确其特殊性和控制的要求。并且，为保证關键岗位的流动性，定期进行岗位人员的轮换。

第三，重大决定集体同意。即在例如财务、人员管理、负债等关键事项的变动上，需要获得集体同意，不得由个人单独决定。

商业银行普遍设立了垂直管理的内部审计部门。该部门的相关人员有权利获得银行的经营信息，并且有责任去评定银行内控是否健全有效，其有义务出具客观的审计报告。银行内部审计队伍的建立有利于督促内控的执行和提升。

在银行基层网点的岗位设置上，大部分银行均在各支行网点设立业务主任，主管业务的授权等工作，尤其负责控制操作风险。但是，该岗位的人员归属于其所在网点，因此仍受到支行行长等网点人员的控制和干预，独立性不强。

近年来，商业银行在基层网点出现了较多的内控丑闻，譬如华夏银行、民生银行等银行近期爆出的员工私售理财产品行为、不正当使用客户存款行为等。由于网点是客户与银行直接接触最多的平台，一旦发生私售、擅自挪用存款等问题，将直接损害银行的声誉，造成客户流失。

传统的银行基层员工岗位设置存在一定的风险隐患，因此，这部分的内控制度亟待创新。

（二）高级管理层现状

根据COSO内控框架，企业高管对内控有着较大影响。高管的个人风格和管理理念在一定程度上影响了员工的风险态度、企业内部信息沟通情况、企业的内控文化等等。因此，高级管理层的变动，也会影响银行的内部控制情况。

近年来，我国银行出现了高管“离职潮”，且个人主动离职情况较多。受央企高级管理人员“限薪令”以及外部竞争加大导致经营压力上升的影响，高管出走情况越来越多。虽然高级管理层变动是市场经济的合理结果，也在一定程度上为商业银行内控建设注入了新鲜血液，但也要注意的是，高管变动过于频繁将不利于内部控制的稳定，尤其影响内控文化建设。

（三）内控评价体系现状

目前，商业银行普遍对其内控评价做出了披露，出具了相应的内控评价报告，但是在披露的详细程度上有所区别。从本文选取的7家商业银行来看，所有银行均在内控评价报告中说明了其内控评价的依据、内控缺陷的定量和定性认定标准。在对内控评价范围的披露上，只有平安银行对内控评价风险点和控制活动做出详细罗列。可见，大部分商业银行内控评价报告披露的内容较简略，对信息使用者的参考价值不大。

三、案例分析

本文以S银行为案例研究对象，重点分析S银行内部控制实践，总结其内部控制创新经验。

在银行最高层的内控岗位设置上，S银行设立了内控管理委员会。S银行的内控管理委员会是其对内控进行监督和议事的部门，在有关全行内控层面的重要事务上发挥协调、决策以及监督作用。

整体上，S银行设立了法律合规部、风险管理部、稽核监察部以及公司授信审批部4个主要的内控和风险管理部门。其中，S银行的法律合规部门与风险管理部门作为内部控制的关键性职能部门，主要负责牵头全行内部控制的统筹规划，衔接监管部门的工作，检查内控管理的实施情况以及执行内部控制绩效考评工作。稽核监查部门为银行的内部审计部门，主要负责监督内部控制，审计内部控制的充分性和有效性。

在基层网点的内控岗位设置上，S银行进行了创新性的探索，提出并设立一个较为新颖的内控人员岗位——内控合规主任岗。2018年，S银行在全国范围内各主要网点设立了内控合规主任岗位。目前，该岗位的人数已经达到950人。内控合规主任均经过严格选拔，并进行专门培训，具备较高的专业素质和敏锐的风险控制意识。

内控合规主任除了履行传统内控经理控制业务授权和监控业务差错的职责外，还负责日常的反洗钱管理、核查销售风险、审批特殊业务、AI侦测异常账户尽职调查等事项。其检查的范围不仅包括银行普通员工，也包括理财经理、客户经理以及支行行长。因此拥有较大的监督权限。

内控合规主任由每个分行的运营管理部门委派进入支行工作，支行对其任命但无干预权力。在对内控合规主任的考核上采取垂直考核模式，即合规内控主任直接由其所在的分行零售合规部以及分行运营管理部考核，向这两个部门汇报工作。

S银行的治理结构主要涵盖了监事会、股东大会、董事会以及银行的高级管理层。在此体系中，监事会起到监督作用，主要监督董事会以及高级管理层对内控的执行和建设情况。董事会对内控有实施和完善的职能，并且负责内控有效性的评价和评价报告的披露工作。银行高级管理层则主要完成董事会决策的具体执行工作，对银行内控的日常运行起组织领导作用。该治理结构理论上对职责、利益和权力进行了合理分配，做到了决策、执行和监督3个环节权力分立、互相制衡。

2012年，S银行制定了新的发展战略，提出S银行未来5年内要跻身股份制银行第二梯队，下一个五年进入第一梯队，在未来8～10年内转型成为以零售业务为主的银行。随后，在此战略的影响下，银行进行了总行组织结构大调整，总行一级部门缩减27个，并新成立9个产品事业部。在这种较为激进的战略指导下，S银行进行了迅速扩张。这段时间，该行在经营业绩上表现较好。在2013—2015年期间，净利润实现大幅增长，每一年的增长率都在10%以上。到了2016年上半年，该行已实现2.8万亿的资产总额，与2012年相比，资产总额增长了74%。但是，激进的发展模式也蕴含着弊端。S银行2013—2016年的不良贷款率不断上升，与之伴随的是资产质量的恶化和负债经营成本的增加。同时，S银行还被爆出多件员工私售丑闻。可见，在这种发展模式下，银行易造成管理混乱，内部出现较大风险漏洞。

在内控评价的范围上，S银行根据各活动流程的重要性、复杂性，有侧重点地实施风险监测和控制活动。据S银行近五年的“内部控制自我评价报告”，研究单个流程的风险点和控制活动数量、银行总的风险点和控制活动数量，可以找出该行内控评价的重点流程。具体地，风险点和控制活动比较多的流程是对公贷款、离岸业务、理财产品、零售贷款、贸易结算、信息科技管理、信用卡等。可见，重点流程均属于与重大交易有关、与复杂业务有关或者与新型金融产品有关的流程。

四、启示

S银行的上述经验启示我们，高级管理层在一定程度上影响着银行的发展模式，银行高管應当制定符合银行自身发展规律的战略，引导银行朝着正确的发展方向前进。此外，对于商业银行来说，风险管控尤为重要。高级管理层应避免在经营目标上过于追求业绩和规模的迅速增长，而需更重视内部控制和风险管理。

在内部控制评价体系的建设上，针对银行内控评价报告过于简单的现状，建议商业银行在未来更加全面地披露内控评价情况，丰富内控评价报告的内容。具体地，在内控评价报告的内容上，银行可梳理其内控评价的范围，罗列内控评价的主要流程，并标明风险点和控制活动数量。此外，银行应对自身内控的框架和政策做大致说明，使信息使用者了解银行内控的总体情况。在内控缺陷的披露上，银行需对内控缺陷整改措施做大致介绍，使信息使用者了解银行对内控缺陷的改善办法。另外，银行应重视提升内控缺陷整改的及时性，向外部展示银行内控整改的决心。

（作者单位为杭州银行股份有限公司）

参考文献

[1] 姜明辰，张征超.我国商业银行会计内部控制及风险防范[J].中外企业家，2016（4）：83-84.

[2] 董卉娜，朱志雄.上市银行内部控制缺陷认定研究[J].证券市场导报，2014.

[3] 于文强，郭继辉，李烨，邹小玉.商业银行转型升级的内驱动力——基于创新效率视角的研究[J].金融论坛，2017（3）：37-50.

[4] 冯简.中国工商银行与美国摩根大通的风险管理对比[J].全国商情·理论研究，2015（27）：70-71.