商业银行内部控制自我评价研究

广西财经学院 韦 巍

2008年6月28日，财政部、证监会、审计署、银监会和保监会联合发布了我国首部《企业内部控制基本规范》，于2009年7月1日起首先在上市公司范围内实施。由于《企业内部控制基本规范》的适用对象是一般上市公司，作为通用的规范必然对具体的行业无法做出详细规定，因此不同行业在实施内部控制自我评价的过程中会存在差距，行业发展存在不均衡性。纵观近年来我国内控自我评价领域的研究，很少有分析商业银行的内控自我评价，而研究公司内部控制自我评价的内容、主体、方法，以及评价过程的具体实施和最终的内部控制自我评价报告的内容，对目前的商业银行有很好的借鉴意义。

一、商业银行内部控制自我评价存在的问题

（一）商业银行内部控制制度与评价体系不完善

（1）商业银行内部控制制度不健全。我国商业银行业务流程中的相互监督制约机制缺位，风险控制能力薄弱，风险管理的盲点和空白点较多，潜伏大量的风险隐患。许多商业银行的信贷经营部门负责从营销到贷前调查、发放、贷后管理和风险管理，几乎包揽了业务经营的全部流程，有时甚至对项目评审形成“倒逼”机制，监督制约机制缺位，存在严重的风险隐患。还有不少股份制商业银行的资金运营部门既负责资金交易，也负责资金清算，还负责资金管理和风险监控，流程中潜在利益冲突较大。总分行之间的权力分割和资源分割，容易产生内部人控制和风险监管虚化，风险问责制难以落实等问题，如在整个信贷流程中参与审查和审批的部门和人员很多，但相互责任划分不清晰，如果出了问题难以明确责任，责任追究制度无法发挥应有的效力。

一是商业银行缺少内部控制评价标准。2013年八家商业银行在内部控制自我评价报告中对内部控制建立的依据及内部控制评价依据的披露情况如表1所示。由表1可以看出，大多数商业银行没有建立成熟的内部控制评价标准，在内部控制自我评价过程中缺乏评价依据，虽然交通银行声明他们是参照《企业内部控制基本规范》和《商业银行内部控制指引》的要求对本行内部控制进行了自我评价，但是这两个文件都是政策性文件，对内部控制自我评价的具体实施过程并未提供详细的指导，银行在实施评价的过程中采用什么样的方法、执行什么样的程序没有明确的做法可循，对内控缺陷的评判标准较为笼统，评价结果往往取决于评价人的主观看法，这在某种程度上降低了评价的公正性与可靠性。

表1 内部控制建立和评价的依据

二是商业银行没有设置独立的内部控制评价部门。我国商业银行多数尚未建立一个职责明确、分工合理、权限清晰的内部控制的组织结构，也没有与之相适应的决策等系统的支持，内部控制的责任主要由审计部与法律合规部来承担，而没有明确所有部门在内部控制体系中全员参与的职责。内部控制自我评价与传统的内部控制评价的显著不同为重视所有员工参与，不单单依赖内审人员。然而实际上，大部分商业银行仍由内部审计部门做内控评价的主要执行者，将内控评价的责任赋予内审部门，甚至完全依赖内部审计，实质上依然是传统的内控评价。

三是商业银行内控自我评价的报告的结构与内容不全面。我国对商业银行的内部控制自我评价报告要求不甚严格，没有统一的内容和形式要求，导致了银行内部控制信息披露不充分、内部控制自我评价报告内容不完善。具体到2013年上市商业银行披露的内部控制自我评价报告，通过分析，可以看出各家商业银行内部控制报告披露的内容各不相同，如表2所示。

表2 内部控制自我评价报告披露的内容

这八家上市商业银行内部控制自我评价报告还存在着共同的问题，具体表现在评价报告报送范围有限，主要面向上级管理行和中央银行，对其他利害关系人未能提供信息；全文采用描述性说明文字的形式，没有使用附图、附表和附件等支持性信息，不利于直观反映内控有关的资料；尤为关键的是完全没涉及内控自我评价的步骤，内部控制自我评价具体由哪个机构或部门负责实施、采用何种评价方法和工具、评价过程中是否遇到困难和问题，这些答案报告使用者在内部控制自我评价报告中无从知晓，导致信息不对称。

（2）商业银行内部控制自我评价没有得到有效实施。

一是商业银行内部控制自我评价执行不力。有些银行虽然建立了内部控制评价体系，但是却没有发挥该体系应有的作用，形同虚设。主要表现在：其一，没有设立独立的内部控制评价机构，具体的评价工作主要依靠内部审计部门、内部控制评价结论的得出更多依赖于内部审计报告，没有把全员控制的思想贯彻其中；其二，对内部控制评价的讨论多停留在制定政策、领导讲话和印发文件上，对内部控制评价情况很少深入研究，对业务风险点不能准确把握，内部控制评价形式简单、过程粗放，反应多、应付多、主动性改进少，没有取得应有的质量和效果；其三，评价过程中对业务的检查活动频繁、名目繁多，而实效却不大，造成低级差错重复出现，有效性差，风险管理机构没有有效运作，使得原有风险没有降低或得到控制，反而不断受到各种新的风险的挑战，无法控制不良资产产生的源头；其四，存在重评价结果、轻过程监控的现象，没有打牢内部控制基础，忽视内部控制的过程和具体问题的整改，使得内部控制评价经不起考验；其五，注重短期效应，忽视建立长效机制，对内部控制建设工作缺乏长期性、持续性、综合性的全盘规划和考虑，对内部控制评价提出的问题和建议没有进行持续性改进和跟踪，没有对内部控制机制进行修改和完善，致使问题屡查屡犯，内部控制状况不能够从根本上得到有效的改观。

二是商业银行内部控制评价方法使用不当。没有依据银行自身的企业文化和管理特征选择合适的评价方法和工具。例如，有的银行没有先进的企业文化、控制环境较差，结果采用了专题讨论会法，使得员工的积极性和潜能不能得到充分发挥，没有获得预期的效果；有的银行在内部控制自我评价的过程中涉及的部门内容繁多、问题复杂，却简单地只采用了问卷调查法，所得到的答案没有覆盖内部控制的各个方面，结果差强人意；而有的银行缺少具有较高综合能力的引导者来领导内部控制自我评价，却选择管理分析法，导致无法把员工的学习结果与他们从其他经理和关键人员收集到的信息加以综合，也没能实施有效的内部控制自我评价。

二、商业银行内部控制自我评价完善措施

（一）健全商业银行内部控制制度 我国国商业银行需要参考西方发达国家的好的做法，构建一个以全部风险管理为导向的内部控制体系，体现全面风险管理原则，开发信用风险内部评级预警系统，优化业务控制流程和风险管理流程，推行风险经理管理制度，形成在信贷项目审查过程中实行客户经理与风险经理双人调查机制，借助数据大集中与IT技术的电子化建设的机遇，推进建设财务会计的集中管理系统、信贷客户信用风险评级系统、信贷综合管理系统等现代化风险管理功能的业务平台，构成“控制有制度、部门有制约、岗位有职责、操作有程序、过程有监控、风险有监测、工作有评价、责任有追究”的内控体系，同时根据实际的变动，修正与完善内控体系。

（二）制定商业银行内控评价管理办法与落实细则 商业银行需要构建全面的内控评价系统，积极主动地对内部控制实施自我评价，确保内部控制体系的健全性和有效性。应以风险评估结果、业务和管理流程及相关区域的状况和以前的评估结果为依据，制定评价方案，对内部控制缺陷的定义、评判标准、报告路径、报告内容等做出规范，明确各方在内部控制自我评价中的职责分工以及内部控制自我评价的程序、时间、方法等等。每年至少开展一次内部控制自我评价活动，测试和评价内部控制五要素的有效性，然后根据评价的结果给出最终结论，同时将不足和完善办法报告给董事会和管理人员。本着与时俱进的精神，召集不同部门的业务人才集中研究讨论，并邀请监管部门的专业人员给予指导，结合现代内部控制理论，把新的金融产品、新兴业务等风险高发点和控制难点及时补充进评价内容，不断修改完善内部控制评价管理办法和实施细则，促使内部控制评价工作更加规范。同时，加大内部控制管理在行长绩效考核中的比重，把内控管理结果和评价结果融入考评每个银行的系统里，同时让其作为晋升、薪酬的标准，通过内部控制综合评价使内部控制优先的意识深入人心，促进全行内部控制建设，增强风险防范能力。

（三）设立专门的商业银行内部控制评价机构 首先，应当从明确职责入手，完善内部控制治理框架。内部控制评价是一项程序繁多、内容复杂的工作，必须建立和完善内部组织机构，保证内部控制活动得到有效执行，对内部控制体系的有效性实施评价，并接受监事会和内部审计部门的监督。其次，构建内控制组织框架。大型商业银行，要实现内控评价职能独立，设置相应的评价机构。总行管理层下设内控制评价机构，主要是确保所有分行内控系统的有效运转，制定银行整体内控的体制，负责维护全行内部控制体系的总体运行，决定全行内部控制的基本制度，分析银行内控系统的优点和缺点，有针对性地采取手段予以改进。然后可以把内部控制评价部门划分为上下两级，以业务管理作为起点，围绕职位的权责与工作准则，对各分行业务部的内部控制进行检查评价，对评价的结果及时向总行评价部门汇报并提出改善建议。

（四）完善商业银行内部控制自我评价报告 商业银行内控自我评价报告构成主要有：管理人员的责任声明、基本概况、自我评价、建议和措施。首先应当声明建立并保持有效的内部控制是管理层的责任；基本情况应该包括银行基本情况、内部控制建设的基本情况和内部控制评价的基本情况，其中银行基本概况可以做简要介绍或省略，内部控制评价的基本情况要说明内控评价的意图与有关责任人、内控评价的内容和所依据的标准、内部控制评价的程序和所采用的方法及评价过程中的重要和特殊情况、衡量重大缺陷的定义及确定方法；自我评价是结合对内部控制各个环节的风险的分析，对内部控制设计合理性和运行有效性的评价意见，得出总体评价结论、对各个分行的评价结论以及对各个产品、各个流程、各个IT系统的评价结论；建议和措施，结合银行目前的经营状况、管理风格和信息技术水平，针对内部控制缺陷提出补救措施以及防范风险的具体建议。

（五）运用科学的内部控制评价办法 要改善内控评价，一定要运用恰当的评价办法。内控评价包含两个方面: 一方面，由商业银行总部组织进行分行的内控评价，一年一次；另一个方面，每个一级分行的审计部门搜集有关资料对其所属机构进行内控评价，也是一年一次。

三、结论

内部控制自我评价是一个新颖的手段，在理论与实践上都在不断完善。本文分析了我国商业银行内部控制自我评价过程存在的问题和缺陷并尝试提出了相对应的解决措施，希望商业银行及整个金融业能够意识到，内部控制评价不应再局限于被动地满足外界需求，而应成为其自身生存发展和目标实现的一种自发性内在需要，应当积极发展和完善内部控制评价体系，从而尽快融入国际社会和健康、有序的发展。相信随着国内更多的商业银行了解、运用内部控制自我评价，结合我国国情和银行的实际情况对这一方法进行改良和完善，内控自我评价会迈入新的里程，同时将在我国得到蓬勃发展和广泛应用，使我国商业银行的管理水平取得一个质的飞跃。

［1］吴水澎、陈汉文、邵贤弟：《企业内部控制理论的发展与启示》，《会计研究》2000年第5期。

［2］阎达五、杨有红：《内部控制框架的构建》，《会计研究》2001年第2期。