对商业银行内部控制的新起点探析

对商业银行内部控制的新起点探析 摘 要：文章从主要精神、主体框架、具体内容、法律效力等四个方面出发，对该指引进行了重点解读，并认为该指引整体上已与国际惯例接轨，对我国商业银行建设全面风险管理体系有着深远的意义。

关键词：商业银行；内部控制；风险管理；巴塞尔新资本协议 Abstract: The article from the main spiritual, the main body frame, the actual content, the legal effect and so on four aspects embarks, has carried on the key explanation to this direction, and thought that in this direction whole with the international convention trail connection, has constructed the comprehensive risk management system to our country Commercial bank to have the profound significance.

key word: Commercial bank; Internal control; Risk management; Barthel new capital agreement 前言 为促进商业银行建立和健全内部控制，防范金融风险，保障银行体系安全稳健运行，在中国人民银行2002年9月19日发布的《商业银行内部控制指引》的基础上，银监会于2007年7月3日发布了《商业银行内部控制指引》（以下简称“指引”）。《指引》从我国商业银行内部控制实践的内在需求以及银行业监管机构的角度出发，对商业银行开展内部控制工作的目标、原则、内容、流程以及工具和方法等所有方面进行了详细规定，与此前央行版《指引》相比 更加符合现代商业银行运作的特点，成为迄今为止商业银行内部控制领域最为详尽的指引性文件，代表着国内商业银行内部控制实践发展的新方向，《指引》的出台开创了我国商业银行内部控制改革创新里程中的新起点。 《指引》发布以后，引起了商业银行及学术界等各方面的关注和积极反应。笔者认为，在国内有些商业银行由于相关制度不健全，或者对制度执行缺乏有效监督，对不执行制度规定者查处不力，风险管理和内部控制薄弱，导致大案、要案屡有发生（参见银监会2005年3月7日出台的《关于加大防范操作风险工作力度的通知》），急需加强内部控制，切实提高内部控制与风险管理能力的背景下，《指引》的“适时”发布，对我国商业银行建设全面风险管理体系有着深远的意义，值得我们高度关注和深刻领会。 一、从《商业银行内部控制指引》的主要精神来看，充分体现 了《巴塞尔新资本协议》全面风险管理的基本理念 全面风险管理是现代商业银行内部管理的核心，是商业银行风险控制的更高阶段，是动态的、全程的、计量的、立体的风险控制。巴塞尔银行监管委员会于2004年6月26日发布的《巴塞尔新资本协议》（全称是《资本计量和资本标准的国际协议：修订框架》）蕴涵了这种全新的风险管理理念，除详细论述了如何计算信用风险、市场风险和操作风险这三大类风险总的最低资本要求 外，还提出了诸如法律风险、文档风险、流动性风险等其他风险。比如，该协议第690段明确提出，商业银行“资本评估程序应覆盖银行面临的所有实质性风险。尽管并非所有风险都可以精确计量，但仍然需要开发测算风险的程序。”第706段强调，“监管当局应评估银行的内部目标和程序是否涵盖了银行面临的所有实质性风险。”而且，虽然诸如声誉风险和战略风险在内的其他风险难以计量，但巴塞尔委员会仍希望银行业进一步开发出管理这些风险各方面的技术。《指引》从总体框架到具体内容，无不体现 了《巴塞尔新资本协议》中全面风险管理的基本理念。 一方面，《指引》明确提出了“全面”的内部控制原则，并将其列为内部控制“四项基本原则”1的首位，明确要求 “内部控制应当渗透商业银行的各项业务过程和各个操作环节，覆盖所有的部门和岗位，并由全体人员参与，任何 决策或操作均应当有案可查”。而且，《指引》强调，内部控制应当具有高度的权威性，任何 人不得拥有不受内部控制约束的权力。应该说，这些规定在制度层面上杜绝了像中行高山案2等案件发生的可能。同时，在内部控制架构上，《指引》要求 商业银行“建立涵盖各项业务、全行范围的风险管理系统，开发和运用风险量化评估的方法和模型，对信用风险、市场风险、流动性风险、操作风险等各类风险进行持续的监控。” 另一方面，《指引》对商业银行内部控制的作用对象进行了多角度细分。首先，在组织结构控制方面，包括公司治理结构、高级管理层控制责任、执行控制部门及部门控制技术手段。与央行版指引相比 ，该《指引》最大的不同，就在于重新划分了商业银行董事会、监事会、高级管理层各自在内部控制方面的职责3。其次，在业务运行控制方面，《指引》除对商业银行授信、资金业务、存款及柜台业务、中间业务、会计、计算机信息系统等六个主要业务或环节（《商业银行内部控制指引》第四条规定，商业银行内部控制应当贯彻全面、审慎、有效、独立的原则。）作出明确的内部控制具体规定外，还用一个兜底条款，明确要求 对其他业务或环节也要按照该指引的要求 建立和完善内部控制。第三，在内部控制监督与考评方面，确定了内部控制评价、纠正、后续行动与信息流动的控制机理，明确要求 商业银行应当指定不同的机构或部门分别负责内部控制的建设、执行和内部控制的监督、评价。 二、从《商业银行内部控制指引》的主体框架来看，大体借鉴了以美国COSO报告为代表的国外内部控制规范性文件的基本精神。 现代理论界对内部控制的定义各不相同，但最具权威性且被普遍接受的定义是美国 COSO委员会4对内部控制的定义。该组织认为，内部控制是由企业董事会、经理阶层和其他员工实施的，为营运的效率效果、财务报告的可靠性、相关法令的遵循性等目标的达成提供合理保证的过程。同时，COSO委员会提出，内部控制的构成要素应该来源于管理阶层经营企业的方式，并与管理的过程相结合，具体包括控制环境、风险评估、控制活动、信息和沟通、监督等五个部分，从而使内部控制构成了一个相对成熟、稳定的框架结构。 COSO委员会的内部控制理论得到了巴塞尔委员会的认同和发展。1998年9月，巴塞尔委员会颁布了《银行内控制度基本原则》5的报告，提出了银行内控制度的一些 基本原则，为银行内控制度的建立提供了一个基本框架。巴塞尔委员会颁布这份报告的目的在于：希望世界各国的监管机构以此为基础，根据这些指导性原则，建立本国内控制度的框架，从而有利于建立一个稳健、规范、有效的国内和国际银行体系。在这份报告中，巴塞尔委员会进一步强调了董事会和高级管理层对内部控制的影响，强调银行的所有职员都应该了解各自在内控制度中的作用，全面投入内控制度的建设。 在参考国际权威组织关于内部控制定义的基础上，银监会在《指引》第二条中对内部控制作了如下解释：内部控制是商业银行为实现经营目标，通过制定和实施一系列制度、程序和方法，对风险进行事前防范、事中控制、事后监督和纠正的动态过程和机制。同时明确规定，内部控制应当包括五个要素，即：（一）内部控制环境；（二）风险识别与评估；（三）内部控制措施；（四）信息交流与反馈；（五）监督评价与纠正。 对比国内外对内部控制的定义，我们可以看出，《指引》采用了国际权威机构关于内部控制的框架结构并全面涵盖了其基本内容，同时又结合了我国商业银行的内部控制实践，是国内外内部控制标准的集大成者。而且，在具体内容的阐述方面，《指引》并非完全照抄照搬国外的框架，而是根据我国实际情况作出了较大调整，脉络更清晰，技术手段更丰富，在表达方式上符合我国法规特点、文化传统和语言习惯，使国外提出的较为宏观、抽象的内控理念转变成具有针对性、实用性的内控规定。无论从国际惯例来讲，抑或从中国银行业公认准则来讲，依五项要素进行内部控制，是全面风险管理的一个立足点。 三、从《商业银行内部控制指引》的具体内容来看，体现 了统筹兼顾、突出重点的基本思想。 根据《指引》第三条的规定，我国商业银行内部控制的最终目标包括四个方面，即：（一）确保国家法律规定和商业银行内部规章制度的贯彻执行；（二）确保商业银行发展战略和经营目标的全面实施和充分实现；（三）确保风险管理体系的有效性；（四）确保业务记录、财务信息和其他管理信息的及时、真实和完整。要实现这些目标，商业银行必须以各项具体的经营管理活动为载体，针对性地采取一系列具体的内部控制措施并确保取得实际成效。内部控制是否能够“见实效”，其前提是各项内部控制措施必须“可操作”，即必须结合银行的经营管理现状将内部控制的先进理论和做法变为可实际操作的流程、工具和方法。作为银行业监管部门的规范性文件，《指引》在这方面可以说下足了功夫，它不但是一个面向商业银行内部控制的整体框架性文件，更是一份经过多方实践和论证后的银行开展实际内部控制工作的可操作性指导范本。

经过多年的发展，内部控制涉及的领域已非常广泛 ，覆盖公司层面、业务层面的几乎所有活动，远远突破原来 的内部牵制、会计控制的范围。但作为由监管部门制定的内部控制规范，如果面面俱到、事无巨细，可能事倍功半，难于操作。只有选择现阶段银行存在的突出问题加以规定，才能做到重点突出，才能取得突破，并带动其他方面逐步规范起来。因此，如上所述，《指引》通过对内部控制基本要求 的阐述，在积极倡导全面内部控制和全面风险管理理念的同时，分别用一章的篇幅对授信、资金业务等六个主要业务或环节作出了具体的内部控制规定，在一定程度 上抓住了我国商业银行目前经营管理与内部控制的核心与要害。而且，对每一个主要业务或环节，针对当前存在的突出问题，《指引》均提出了明确的内部控制重点6。 比如，尽管近年来银行各项内控机制和风险防范制度在不断完善，但信贷资金违法违规案件仍层出不穷7，无一不暴露出银行内控机制、风险防范和监管制度的薄弱。针对这种现象，《指引》把内部控制的重点首先放在授信业务领域，并且明确提出授信业务的内部控制重点是实行统一授信管理，健全客户信用风险识别与监测体系，完善授信决策与审批机制，防止对单一客户、关联企业客户和集团客户授信风险的高度集中，防止违反信贷原则发放关系人贷款和人情贷款，防止信贷资金违规使用等方面。在此基础上，《指引》从24个方面入手，提出了更加详细具体的授信业务内部控制措施，如要求 商业银行应当严格审查和监控贷款用途，防止借款人通过贷款、贴现、办理银行承兑汇票等方式套取信贷资金，改变借款用途；建立统一的授信操作规范，明确贷前调查、贷时审查、贷后检查各个环节的工作标准和尽职要求 等。而且，尤其值得关注的是，对于最重要的授信管理，《指引》明确要求 商业银行应当建立严格的授信风险垂直管理体制，“对授信实行统一管理”，而此前仅要求 “下级机构应当服从上级机构风险管理部门的管理，严格执行各项授信风险管理政策和制度”。显而易见，这些控制重点与措施可谓字字珠矶，目标性、针对性非常强，其背景无一不是我国商业银行在目前阶段面临的最严重的现实问题。 四、从《商业银行内部控制指引》的法律效力来看，主要表现为窗口指导作用而非行政强制手段。 窗口指导（window guidance）是一种劝谕式监管手段，指监管机构向金融机构解释说明相关政策意图，提出指导性意见，或者根据监管信息向金融机构提示风险。窗口指导是监管机构利用 其在金融体系中特殊的地位和影响，引导金融机构主动采取措施防范风险，进而实现监管目标的监管行为。窗口指导是监管机构向被监管对象进行风险预警的一种形式，这种监管手段没有固定的使用频率，与现场检查和非现场分析等常规监管手段不同，具有较强的灵活性，可以视具体情况随时地、迅速地采用。通常情况下，窗口指导采取口头通知、电话通知、座谈会等各种非书面函件的形式，或者采取发布指引、指导意见等规范性文件的形式，不具有可强制执行的法律效力。窗口指导是监管机构与被监管对象保持密切联系，提高监管有效性的重要手段。通过窗口指导，监管机构可以向被监管对象诠释相关监管政策意图，提供宏观层面的监管信息，帮助金融机构分析宏观经济形势，指导金融机构有效管理风险。该手段的效果取决于监管机构的专业水平和权威性。实践证明，窗口指导是一种成本低、传导快,意图明确、效果明显的银