1对商业银行内部控制的新 起点探析摘要文章从主要精神、主体框架、具体内容、法律效力等四个方面出发对该指引进行了重点解读并认为该指引整体上已与国际惯例接轨对我国商业银行建设全面风险管理体系有着深远的意义关键词商业银行；内部控制；风险管理；巴塞尔新资本协议Abstract:Thearticlefromthemainspiritual,themainbodyframe,theactualcontent,thelegaleffectandsoonfouraspectsembarks,hascarriedonthekeyexplanationtothisdirection,andthoughtthatinthisdirectionwholewiththeinternationalconventiontrailconnection,hasconstructedthecomprehensiveriskmanagementsystemtoourcountryCommercialbanktohavetheprofoundsignificance.keyword:Commercialbank;Internalcontrol;Riskmanagement;Barthelnewcapitalagreement前言 为促进商业银行建立和健全内部控制防范金融风险2保障银行体系安全稳健运行在中国人民银行 2002 年 9 月 19日发布的商业银行内部控制指引的基础上银监会于 2007年 7 月 3 日发布了商业银行内部控制指引（以下简称“指引” ）指引从我国商业银行内部控制实践的内在需求以及银行业监管机构的角度出发对商业银行开展内部控制工作的目标、原则、内容、流程以及工具和方法等所有方面进行了详细规定与此前央行版指引相比更加符合现代商业银行运作的特点成为迄今为止商业银行内部控制领域最为详尽的指引性文件代表着国内商业银行内部控制实践发展的新方向指引的出台开创了我国商业银行内部控制改革创新里程中的新起点指引发布以后引起了商业银行及学术界等各方面的关注和积极反应笔者认为在国内有些商业银行由于相关制度不健全或者对制度执行缺乏有效监督对不执行制度规定者查处不力风险管理和内部控制薄弱导致大案、要案屡有发生（参见银监会 2005 年 3 月 7 日出台的关于加大防范操作风险工作力度的通知）急需加强内部控制切实提高内部控制与风险管理能力的背景下指引的“适时”发布对我国商业银行建设全面风险管理体系有着深远的意义值得我们高度关注和深刻领会3一、从商业银行内部控制指引的主要精神来看充分体现了巴塞尔新资本协议全面风险管理的基本理念全面风险管理是现代商业银行内部管理的核心是商业银行风险控制的更高阶段是动态的、全程的、计量的、立体的风险控制巴塞尔银行监管委员会于 2004 年 6 月 26 日发布的巴塞尔新资本协议（全称是资本计量和资本标准的国际协议修订框架）蕴涵了这种全新的风险管理理念除详细论述了如何计算信用风险、市场风险和操作风险这三大类风险总的最低资本要求外还提出了诸如法律风险、文档风险、流动性风险等其他风险比如该协议第 690 段明确提出商业银行“资本评估程序应覆盖银行面临的所有实质性风险尽管并非所有风险都可以精确计量但仍然需要开发测算风险的程序”第 706 段强调“监管当局应评估银行的内部目标和程序是否涵盖了银行面临的所有实质性风险”而且虽然诸如声誉风险和战略风险在内的其他风险难以计量但巴塞尔委员会仍希望银行业进一步开发出管理这些风险各方面的技术指引从总体框架到具体内容无不体现了巴塞尔新资本协议中全面风险管理的基本理念一方面指引明确提出了“全面”的内部控制原则并将其列为内部控制“四项基本原则”1 的首位明确要求4“内部控制应当渗透商业银行的各项业务过程和各个操作环节覆盖所有的部门和岗位并由全体人员参与任何决策或操作均应当有案可查”而且指引强调内部控制应当具有高度的权威性任何人不得拥有不受内部控制约束的权力应该说这些规定在制度层面上杜绝了像中行高山案 2 等案件发生的可能同时在内部控制架构上指引要求商业银行“建立涵盖各项业务、全行范围的风险管理系统开发和运用风险量化评估的方法和模型对信用风险、市场风险、流动性风险、操作风险等各类风险进行持续的监控”另一方面指引对商业银行内部控制的作用对象进行了多角度细分首先在组织结构控制方面包括公司治理结构、高级管理层控制责任、执行控制部门及部门控制技术手段与央行版指引相比该指引最大的不同就在于重新划分了商业银行董事会、监事会、高级管理层各自在内部控制方面的职责 3 其次在业务运行控制方面指引除对商业银行授信、资金业务、存款及柜台业务、中间业务、会计、计算机信息系统等六个主要业务或环节（商业银行内部控制指引第四条规定商业银行内部控制应当贯彻全面、审慎、有效、独立的原则）作出明确的内部控制具体规定外还用一个兜底条款明确要求对其他业务或环节也要按照该指引的要求建立和完善内部控制第三在内部控制监督与考评方面确定了内部控制评价、纠5正、后续行动与信息流动的控制机理明确要求商业银行应当指定不同的机构或部门分别负责内部控制的建设、执行和内部控制的监督、评价二、从商业银行内部控制指引的主体框架来看大体借鉴了以美国 COSO 报告为代表的国外内部控制规范性文件的基本精神现代理论界对内部控制的定义各不相同但最具权威性且被普遍接受的定义是美国 COSO 委员会 4 对内部控制的定义该组织认为内部控制是由企业董事会、经理阶层和其他员工实施的为营运的效率效果、财务报告的可靠性、相关法令的遵循性等目标的达成提供合理保证的过程同时 COSO 委员会提出内部控制的构成要素应该来源于管理阶层经营企业的方式并与管理的过程相结合具体包括控制环境、风险评估、控制活动、信息和沟通、监督等五个部分从而使内部控制构成了一个相对成熟、稳定的框架结构COSO 委员会的内部控制理论得到了巴塞尔委员会的认同和发展 1998 年 9 月巴塞尔委员会颁布了银行内控制度基本原则5 的报告提出了银行内控制度的一些基本原则为银行内控制度的建立提供了一个基本框架巴塞尔委员会颁布6这份报告的目的在于希望世界各国的监管机构以此为基础根据这些指导性原则建立本国内控制度的框架从而有利于建立一个稳健、规范、有效的国内和国际银行体系在这份报告中巴塞尔委员会进一步强调了董事会和高级管理层对内部控制的影响强调银行的所有职员都应该了解各自在内控制度中的作用全面投入内控制度的建设在参考国际权威组织关于内部控制定义的基础上银监会在指引第二条中对内部控制作了如下解释内部控制是商业银行为实现经营目标通过制定和实施一系列制度、程序和方法对风险进行事前防范、事中控制、事后监督和纠正的动态过程和机制同时明确规定内部控制应当包括五个要素即（一）内部控制环境；（二）风险识别与评估；（三）内部控制措施；（四）信息交流与反馈；（五）监督评价与纠正对比国内外对内部控制的定义我们可以看出指引采用了国际权威机构关于内部控制的框架结构并全面涵盖了其基本内容同时又结合了我国商业银行的内部控制实践是国内外内部控制标准的集大成者而且在具体内容的阐述方面指引并非完全照抄照搬国外的框架而是根据我国实际情况作出了较大调整脉络更清晰技术手段更丰富在表达方式上符合我国法规特点、文化传统和语言习惯使国外提出的较为宏7观、抽象的内控理念转变成具有针对性、实用性的内控规定无论从国际惯例来讲抑或从中国银行业公认准则来讲依五项要素进行内部控制是全面风险管理的一个立足点三、从商业银行内部控制指引的具体内容来看体现了统筹兼顾、突出重点的基本思想根据指引第三条的规定我国商业银行内部控制的最终目标包括四个方面即（一）确保国家法律规定和商业银行内部规章制度的贯彻执行；（二）确保商业银行发展战略和经营目标的全面实施和充分实现；（三）确保风险管理体系的有效性；（四）确保业务记录、财务信息和其他管理信息的及时、真实和完整要实现这些目标商业银行必须以各项具体的经营管理活动为载体针对性地采取一系列具体的内部控制措施并确保取得实际成效内部控制是否能够“见实效”其前提是各项内部控制措施必须“可操作”即必须结合银行的经营管理现状将内部控制的先进理论和做法变为可实际操作的流程、工具和方法作为银行业监管部门的规范性文件指引在这方面可以说下足了功夫它不但是一个面向商业银行内部控制的整体框架性文件更是一份经过多方实践和论证后的银行开展实际内部控制工作的可操作性指导范本经过多年的发展内部控制涉及的领域已非常广泛覆盖公司层面、业务层面的几乎8所有活动远远突破原来的内部牵制、会计控制的范围但作为由监管部门制定的内部控制规范如果面面俱到、事无巨细可能事倍功半难于操作只有选择现阶段银行存在的突出问题加以规定才能做到重点突出才能取得突破并带动其他方面逐步规范起来因此如上所述指引通过对内部控制基本要求的阐述在积极倡导全面内部控制和全面风险管理理念的同时分别用一章的篇幅对授信、资金业务等六个主要业务或环节作出了具体的内部控制规定在一定程度上抓住了我国商业银行目前经营管理与内部控制的核心与要害而且对每一个主要业务或环节针对当前存在的突出问题指引均提出了明确的内部控制重点 6比如尽管近年来银行各项内控机制和风险防范制度在不断完善但信贷资金违法违规案件仍层出不穷 7 无一不暴露出银行内控机制、风险防范和监管制度的薄弱针对这种现象指引把内部控制的重点首先放在授信业务领域并且明确提出授信业务的内部控制重点是实行统一授信管理健全客户信用风险识别与监测体系完善授信决策与审批机制防止对单一客户、关联企业客户和集团客户授信风险的高度集中防止违反信贷原则发放关系人贷款和人情贷款防止信贷资金违规使用等方面在此基础上指引从 24 个方面入手提出了更加详细具体的授信业务内部控制措施如要求商业银行应当严格9审查和监控贷款用途防止借款人通过贷款、贴现、办理银行承兑汇票等方式套取信贷资金改变借款用途；建立统一的授信操作规范明确贷前调查、贷时审查、贷后检查各个环节的工作标准和尽职要求等而且尤其值得关注的是对于最重要的授信管理指引明确要求商业银行应当建立严格的授信风险垂直管理体制“对授信实行统一管理”而此前仅要求“下级机构应当服从上级机构风险管理部门的管理严格执行各项授信风险管理政策和制度”显而易见这些控制重点与措施可谓字字珠矶目标性、针对性非常强其背景无一不是我国商业银行在目前阶段面临的最严重的现实问题四、从商业银行内部控制指引的法律效力来看主要表现为窗口指导作用而非行政强制手段窗口指导（windowguidance）是一种劝谕式监管手段指监管机构向金融机构解释说明相关政策意图提出指导性意见或者根据监管信息向金融机构提示风险窗口指导是监管机构利用其在金融体系中特殊的地位和影响引导金融机构主动采取措施防范风险进而实现监管目标的监管行为窗口指导是监管机构向被监管对象进行风险预警的一种形式这种监管手段没有固定的使用频率与现场检查和非现场分析等常规监管手段不同具有较强的灵活性可以视具体情况随时地、迅速地10采用通常情况下窗口指导采取口头通知、电话通知、座谈会等各种非书面函件的形式或者采取发布指引、指导意见等规范性文件的形式不具有可强制执行的法律效力窗口指导是监管机构与被监管对象保持密切联系提高监管有效性的重要手段通过窗口指导监管机构可以向被监管对象诠释相关监管政策意图提供宏观层面的监管信息帮助金融机构分析宏观经济形势指导金融机构有效管理风险该手段的效果取决于监管机构的专业水平和权威性实践证明窗口指导是一种成本低、传导快,意图明确、效果明显的银行监管方式利用发布指引、指导意见等形式对商业银行给予窗口指导是国内外金融监管机构普遍采取的一种监管方法比如巴塞尔银行监管委员会在 2001 年 8 月颁布的银行内部审计及监管当局与审计师的关系中开宗明义地指出“巴塞尔银行监管委员会一直致力于研究银行监管问题并通过制定鼓励