A. 如何加强商业银行内部管理
要加强商业银行内控管理,首先应深入推进内控合规文化建设,做到合规理念入脑入心。要结合自身实际和职能定位,将合规管理理念嵌入业务流程,贯穿于各项工作、各个环节,并紧扣业务经营管理和员工思想实际,深入分析各种违规现象及案件发生的根源,有的放矢,解决问题。一是要加强合规培训,举办各种形式的合规管理和合规文化讲座,尤其要加强基层行内控管理人员培养,不断提高业务技能和素质。二是要持续开展合规理念宣讲活动。要在基层行不断地开展合规理念宣讲,提高全员的合规意识,使合规理念入脑入心。三是结合金融领域内各种违法违规案例,持续开展各种形式的警示教育,努力增强员工依法合规、遵章守制的自觉性。
其次,加强制度执行力建设。应该把加强制度执行力建设常态化,把执行力建设融入基层行各项工作之中。要建立良好的执行文化。通过教育,把执行理念烙进员工的思想意识中去,自觉按照规章制度办事。要加强制度学习传导。充分利用晨会、夕会或举办各类专题培训班、以会代训、以考促学等方式,加强一线员工对规章制度的学习,使每个员工熟练掌握规章制度和操作规程。加大检查监督力度,下大力量抓好重点业务、重点部位、关键环节的风险防控,加大监督检查的频次和范围,始终保持对违规行为和违规人员的高压态势。
第三,制度建设要与业务创新同步更新。应根据业务流程的更新,对内控管理制度及时进行梳理更新,完善各项制度和操作规程,保证制度和规程覆盖所有业务领域和所有风险点,做到每一项业务都“有章可依”。同时,要做好制度后评价,推动制度的创新完善。对于已经过时的制度规定要及时清理和废除,避免新旧制度交叉而造成不必要的执行矛盾和风险隐患。
第四,健全内控管理激励机制。应在基层行建立有效的内控管理激励机制,将内控管理水平与其绩效挂钩,充分调动全员参与管理的积极性。可将基层行收入的30%与内控管理水平挂钩,每季度组织对各基层行内控管理状况进行量化考核,考核结果纳入行领导经营目标考核。同时,建立健全内控考核指标体系,根据上级行内控评价标准等内控管理规定,结合主要业务风险点,建立市行、支行、网点三层内控管理考核指标体系,确定每个指标的分值和扣分标准,保证量化考核的科学性和可操作性。
第五,进一步完善内控监督机制。应努力保持内控合规部门的独立性和权威性,建议在各基层行设立专职内控管理人员,由上级行垂直领导,工资晋升单独考核,确保形成有效监督制约。建议对内控合规人员实行等级管理考核制度,按照工作业绩、管理水平等核定内控合规人员级别,并享受相应级别的干部待遇,从而脱离被监督行的制约,确保形成有效监督制约。
B. 如何加强商业银行的内部控制与风险管理
一、强化内部控制和操作风险管理理念,建立良好的风险控制企业文化氛围
对于城市商业银行来说,引进国际银行业先进的操作风险管理理念,形成良好的风险控制企业文化氛围是迫在眉睫的任务。建立良好的操作风险控制文化氛围首先要明确操作风险的科学含义和风险控制手段及方法。
现代银行风险管理理论对操作风险给出了明确的定义,即操作风险是指由于内部流程、人员行为和系统失当或失败,以及由于外部事件而导致直接和间接损失的危险。操作风险主要来自内部控制和外部事件两个层面,主要包括:人员风险、制度和流程风险、技术风险以及操作策略风险。
银行操作风险的防范主要依赖完善的内部控制,完善的内部控制是有效实施银行操作风险管理的主要手段。巴塞尔银行监管委员会1997年在《有效银行监管的核心原则》中提出:“最重大的操作风险在于内部控制及公司治理机制的失效”。根据2002年9月人民银行颁布的《商业银行内部控制指引》对商业银行内部控制的定义:商业银行内部控制是商业银行为实现经营目标,通过制定和实施一系列制度、程序和方法,对风险进行事前防范、事中控制、事后监督和纠正的动态过程和机制。
与国内其他商业银行相似,锦州市商业银行成立初期注重资产规模的扩张和市场占有率的提高,以期在区域银行市场获得一席之地,完成最初的生存和发展需要。在这一发展阶段,银行的风险意识还处于萌芽状态,虽然从管理层到员工都能够意识到风险的重要性,但是在制度上缺乏风险控制的有效手段和科学方法。随着竞争的日益激烈以及银行风险监管要求的不断深入,管理层深刻地意识到必须形成风险控制企业文化,建立科学的风险管理和内部控制体系,将先进的风险控制手段和方法与银行自身经营特点相结合,做到“实用、管用和会用”,从而全面提升银行的风险管理水平。
通过风险管理和内部控制项目的实施,锦州市商业银行引入了科学的银行操作风险管理理念,加强了对管理层和员工的内部控制和操作风险管理理念和方法的培训。在银行内部,将风险管理由高深的理论变为所有银行员工的自觉意识和行为,使从银行高层管理者到基层员工的所有银行员工对内控和操作风险的内容和含义有了准确的理解,清楚地认识到银行内控与操作风险和每名员工的相关程度。通过培训,员工们进一步明确了不同岗位风险的控制方法和手段,做到合理有效地控制风险。
在强化对内控和操作风险理念的宣传与培训工作的同时,项目小组对原有绩效考核和薪酬体系进行了重新设计,将包括操作风险管理在内的全面风险管理内容融入其中,使得内部控制和风险管理不仅是对员工日常工作的要求,并且成为衡量部门绩效的成本因素,直接影响部门的经营效益考核结果,进而形成管理者和员工风险管理的激励机制。通过事前培训,事中监督和事后考核,已经将银行内部控制和风险管理理念深入贯彻到每名员工,相信通过一段时间的实施将形成良好的内部控制和风险管理企业文化氛围。
二、进一步完善风险控制的组织结构和岗责体系
完善的组织架构是保证内部控制和风险管理的组织保障,而科学的岗位职责设计能够确保每名员工在内控和风险管理工作中权、责、利上的明确分工,进而通过合理的绩效考核和激励机制设计保证分工的有力执行。项目小组结合内控和风险管理的科学理念和最佳实践对自身的组织架构进行了改造,对岗位职责进行了重新设计。
良好的公司治理结构是商业银行建立有效风险管理制度的基础和前提。锦州市商业银行注重通过加强银行治理,强化股东会、董事会职能,从源头上提高内部控制和风险管理意识。在项目中,进一步强化了董事会和各委员会的职能,确保董事会能够真正在银行重大决策中发挥作用。在完善原有职能的同时,将成立资产负债管理委员会、审计稽核管理委员会、提名管理委员会、信息管理委员会和战略发展委员会,进一步加强对银行的内部控制。
在风险管理和内控项目中,锦州市商业银行着重强化了风险管理部和稽核部门的工作职能。垂直独立权威的风险管理组织机制是加强风险管理的组织保障;健全配套的风险管理机制是风险管理的必要手段和配套措施。为全面有效地进行风险管理,成立了由银行董事会及高级管理层直接领导的,以独立风险管理部门为中心,与各个业务部门紧密联系的独立的风险管理体系。风险管理部负责对包括信用风险、市场风险和操作风险在内的银行风险进行全面管理。风险管理部通过运用各种管理手段包括政策约束,流程规范以及有效量化支持工具实施风险管理,将各类风险损失控制在可接受范围内。
锦州市商业银行注重通过内部稽核部门发挥监督和控制职能。通过建立全行具有高度权威性与独立性的稽核部门,进一步增强其作为内控重要监督部门在内控评价与监督方面的职能。稽核部是全行最高的稽核管理部门,负责全行下属各经营机构以及各业务管理部门的监督与稽核,同时直接向董事会及稽核审计委员会负责。目前总部正着手对下属机构进行风险分类,根据不同机构风险等级的采用差别化的稽核方式,强化对存在较大风险机构的稽核审计工作。调整后稽核部大大提高了在监督审计方面的稽核检查力度及检查有效性。
三、建立科学的内部控制、风险管理制度与流程体系
科学有效的管理制度和流程体系是确保内部控制和风险管理质量的基本保证。锦州市商业银行通过完善各部门与业务的内部控制制度以及优化风险控制流程来降低和防范操作风险,将系统、标准的管理方法运用到各类业务的操作风险管理当中,全面梳理各项业务流程,建立有利于全面风险管理的内部控制体系。
为更好的体现风险管理的独立性,锦州市商业银行在原有单一的业务线基础上分离出风险管理线,建立了风险经理制度,对每家支行派驻风险经理,负责对支行风险的全面审查工作。风险经理由风险管理部管理,不隶属于每家支行,从而避免由于经济利益的驱动而导致的对风险的忽视。通过实施稽核专员制度,稽核专员负责对支行经营过程中的内部控制、操作风险问题进行现场和非现场检查,并按照各支行内部控制管理水平的不同确定现场稽核频率。
项目小组设计了风险信息报告和评估反馈机制。建立覆盖全行的风险信息报告机制的目的在于及时、全面、完整地向决策层和管理层提供银行经营管理中涉及的各类风险与内控状况,及时发现、防范和化解经营风险,确保稳健经营。风险报告路线采取纵向报送与横向报送相结合的矩阵式结构,即部门或者支行向总部对口管理部门报送风险报告的同时,必须向风险管理部门报送。建立制度评估反馈制度的目的在于及时发现、报告和纠正内部控制的缺陷,不断地提高规章制度的适应性和操作性,从而增加对基层机构的控制能力。
在制度设计的同时,锦州市商业银行对原有的风险管理流程体系进行了进一步优化。设计中减少了包括贷款审批流程的审批环节,进一步明确了从客户经理、风险经理和最终审批人的风险责任。得益于先进风险控制方法的引入,虽然监控环节减少,但是信息传达的透明度提高,加之激励约束机制与风险责任的直接联系,因此提高了风险管理的质量并且降低了管理成本。
四、建立涵盖风险管理内容的绩效和薪酬考评体系
实施对员工的有效激励、对风险管理的科学性和效率性具有根本性影响。人们行为的动机在于与之相关的效用激励,忽视风险控制的激励机制只能将员工的行为动机转向单纯的规模和简单的利润导向。为提高对员工的风险约束,项目小组在建立涵盖风险内容的部门绩效考核的基础上重新设计了员工薪酬考评体系,将风险考核纳入了员工激励机制。
在对部门绩效考核体系的设计中,项目小组设计了科学的关键绩效指标体系(KPI),运用平衡记分卡实现了绩效考核要素的全面性要求,引入了包括风险调整的资本收益率(RAROC)在内的综合性银行绩效指标,避免了原有考核体系由于指标间相关性造成的激励冲突,将风险成本和风险资本作为重要因素明确地纳入考核,体现了考核标准的科学性。在绩效考核体系的基础上,项目小组设计了包含风险管理激励机制的员工薪酬体系,通过采用不同的薪酬结构和支付期限避免了风险偏好不同员工之间的激励冲突。
五、锦州市商业银行内控和操作风险管理的未来规划
良好的内控和风险管理体系要通过充分有效地实施才能实现,锦州市商业银行将在未来一段时间内继续完善新体系的实施工作,确保项目设计目标的最终实现,并将继续推动银行信息系统的风险控制工作以及加强风险量化管理精确化的准备工作。
银行内部控制和操作风险管理无论是文化氛围的形成,管理体系的搭建,还是管理手段和方法的实施都不是一朝一夕就能完成的,风险和内控项目实施的目的并不是毕其功于一役,而是为持续的内控和风险管理工作奠定坚实的基础。锦州市商业银行将时刻关注国内外银行内部控制和操作风险的最新动态,学习和借鉴先进的管理方法,形成符合自身发展和经营需要的风险管理体系,持续提高自身的风险管理能力和水平,向国际化银行管理水平的发展目标不断迈进。
C. 银行如何做好内部控制
一般岗位都没有什么大的区别,关键是如何做好员工的培训,将上面下达的指令正确迅速地让下面的人学会,以免影响客户的利益。在生活中,往往有的客户比银行工作人员更熟悉银行的业务,更快知道有关的新政策和新服务,我想银行该反思了!
D. 如何加强商业银行的内控制度建设
1. 建立健全内部控制制度体系。按照《商业银行内部控制指引》的要求,在梳理现有规章制度的基础上,以有效识别、衡量、控制风险为中心,建立覆盖主要业务品种和重要会计业务操作环节的规章制度。这就要求银行内部总体规划,各部门协调统一,充分考虑科学合理性、严密性、明晰性和可操作性,通过整章建制,进一步梳理现有的规章制度,去除相互交叉的矛盾,以及不合理或者已经跟不上形势发展需要的制度,增加适应业务发展的新制度、新规定,使管理制度逐步系统化、规范化、科学化。构建的内控制度框架应不遗漏任何环节、任何层次,同时也不能过于繁琐,并要有畅通的信息系统和反馈系统,有适应外部变化的机制。当然建立这样的制度不可能是一蹴而就的,商业银行应该在整体框架下,系统排查决策流程和业务流程,识别风险、确认风险,对存在的问题和风险进行排序,然后分阶段、有所侧重地逐步建立健全内部控制制度。必要时可以借助中介机构的力量,特别是在设计整体框架、识别风险、标准化、行业模式的评定、测试评价等方面,中介的优势是比较明显的。
2. 建立内部控制运行监控体系。银行的内部监督管理部门,应当对内控制度、制度执行情况随时进行监测,根据环境变化和内部管理要求, 及时发现与业务不匹配的内控制度,适时进行调整,保持制度的合理性、有效性,使制度建设真正做到与业务的发展相辅相承、相得益彰,使内控建设真正起到为业务发展提供保障的作用。另外,银行内部监督管理部门应与执行部门建立有效的信息沟通渠道,确保各项内控措施全面落实。要完善内部控制评价考核体系。通过设置考核评价指标,对机构内控运行情况、员工内控执行情况进行定期或不定期的衡量、评价,并制定出相应的奖惩措施,严格奖惩,形成刚性约束。
E. 金融企业如何加强内部控制
解决中国的国营企业问题尚需要深入触动微观机制的最本质的问题,即企业的控制问题。体制改革不是万能的,要紧的是微观机制的改造。我国企业的根本出路在于强化企业的内部控制。
转变经营观念,增强控制意识,提高管理水平,是我国企业迎接市场竞争的基本前提。只在宏观经济范围提控制还不够,也不能在微观经济中片面以改革取代控制。其实,变革本身就意味着一定的风险。片面强调改革组织结构的重要性,忽视了控制方式的跟进和强化,就使公司的改革同微观治理机制相脱离。
强化企业的内部控制已经成为发达国家治理公司的重要手段,在国际上的研究已日渐成熟。三大目标和五大组成部分构造了内控系统的整体框架,帮助人们更全面和更深刻地理解内控及其控制对象,使企业能够以内控为有力武器,从控制环境、风险评估、控制活动、信息与交流和监督评审五方面开展工作,为实现各项操作性目标、信息性目标和遵从性目标而自觉奋斗。
国际先进内控理论和实践的发展启示我们:要正确理解内控与管理的关系、内控与风险管理的关系和内控与内部审计的关系。我们要呼唤企业的控制意识,理直气壮地强化企业的内部控制。
经过二十年的改革实践,人们逾来逾感到强化管理的重要,也在积极探索如何才能加强管理。内部控制的概念被国际同仁所强调,引起了中国金融界,特别是银行界的关注。自从1997年人民银行发出“加强金融机构内部控制的指导原则”以来,各商业银行和非银行金融机构普遍开展了整章建制的工作。这一工作已取得了初步成绩,但是新形势下的内控工作尚处于起步阶段,这项工作又常被误解为仅仅是金融机构的事,生产企业的管理层对内部控制缺乏认识。其实,所有制及其组织结构并不是现代企业最本质的东西,最本质的是企业内部的控制文化和控制机制,中国国营企业的根本出路在于强化其内部控制。在这方面发达国家已经研究和创造出了一套比较完整的理论和方法,中国企业界的迫切任务是运用先进的内控理论和方法,强化内部控制,提高管理水平。
本文通过对部分国际先进内控理论和原则的分析,阐明内控的内涵及其与管理和内部审计(稽核)的关系,分析内控对公司治理的重要作用,以便促使经营管理者加强有效控制。
一、转变观念
转变经营观念,增强控制意识,提高管理水平,是我国企业界进行市场竞争的必要条件,也是金融机构向商业化金融机构演变的基本前提。
1.体制改革的作用是有限度的:近二十年来,举国上下议论最多的话题莫过于改革了。“以改革带动发展”也被一些地方当作战略口号指导各项工作。我们一直批评计划经济制度管得太严太死,却淡漠了经济活动内部的至关重要的控制机制,特别是微观领域的经济单元(包括金融与非金融企业)的自我控制意识逐渐淡化。且不说国际理论界对计划经济和市场经济的争论尚未休止,倒是应该指出,并非一切进步都只是靠了改革才取得的。如果政治的稳定和宏观经济的控制不是同改革并驾齐驱,中国的局面远不会象今天这样好。许多问题的解决又是改革本身力所未能及的。突出的一个例子就是国营企业的经营管理。是我们对企业改革重视得不够吗?从中央到地方,从政府到企业,不知为改善企业倾注了多少人力、物力和财力。是改革的力度不够吗?从利改税到企业转制,从破产兼并到减员增效,各项法规和措施层出不穷。为什么许多企业始终建立不起自我约束的机制?用经济学家的话来说,也就是不能硬化企业的“预算约束”。显然,只在宏观经济范围提控制还不够,也不能在微观经济中片面以改革取代控制。其实,体制改革不是万能的,变革本身就意味着一定的风险。
2.转变经营管理观念:内部控制在不同的经济体制下有不同的内涵,尽管其中的某些内容会有一致性。在计划经济体制下,国有企业的控制模式为实现国家计划服务。由于国家计划规避了大部分市场风险,国营企业的控制方式具有浓厚的行政管理色彩。现在,企业的控制模式为社会主义市场经济服务,在新的形势下有两种倾向值得注意:一是一部分人习惯于甚至满足于传统的经营管理方式,认为只要能够规范化操作就行了,不必考虑是否先进。这就混淆了不同性质经济中的企业在服务对象和控制方式上的不同。二是虽然大家意识到改革的必要性,但是容易片面强调改革组织结构的重要性,忽视了控制方式的跟进和强化。这就使公司的改革同微观治理机制相脱离。不论是维持传统的经营管理方式,还是片面以改革取代控制的观念,都已经被实践证明是有害的。
3.转变对内控目的的认识:搞清内控的含义,并理解内控的目的,对经营管理和内审都有直接的指导意义。内部控制的概念经过了由“部分控制论”向“全部控制论”的发展。“部分控制论”认为内控包括:1)经济业务的有关内部会计控制;或者,2)内部牵制(会计)和内部审计两部分。这种认识的一个缺陷是,内控只与资产管理有关,而与行政、业务管理无关。“全部控制论”克服了这个缺陷,认为控制内容已超越会计和财务范围,渗透到经营的各个方面和管理的全过程。
内控目的论的发展也经过了下述阶段:1)“三目的论”认为,内控是为了保护单位的财产,会计记录的准确可靠和及时提供可靠的财务信息。2)“四目的论”认为,内控除了保全资产和检查财务资料的准确可靠性以外,更重要的是执行管理政策,提高经营效益和效率。
上述发展的启示在于,对内控的检查评价应有别于传统的思路,并且目的要明确和全面,检评要完整和深入。
4.跟上国际内控研究的步伐:同计划经济相比,市场经济的发展更加仰仗于微观机制的作用。发达的市场经济国家非常重视对公司治理的研究,大大促进了公司治理结构趋向合理化。公司治理理论研究的是资金的供给者如何采取措施,确保其投资取得回报。强化内控已经成为发达国家治理公司的重要手段。
国际上比较有名的内控模式有英国的Cadbury、美国的COSO和加拿大的COCO。它们从不同的角度剖析公司的经营管理活动,为营造良好的内控框架提供了一系列的趋于一致的政策和建议。其中尤以美国的COSO模式从理论到操作方法上阐述了一整套完整的内控框架。巴塞尔银行监管委员会(Basle)又在这些先进模式和实际经验的基础上,于1998年提出了建设银行内控系统框架的十三项原则。我国银行和非银行金融机构以及大量的非金融性企业在经济体制改革以来的许多失控的教训表明,跟上国际内控研究和发展的步伐,不断完善自身的内控机制,是十分必要的。
二、充分理解内部控制的内涵
内部控制有其科学的定义和丰富的内容。只有深刻理解内控的内涵才能明确如何强化内控。
1.准确理解内部控制的定义:不同部门的人从不同的角度对内控会有不同的看法。现代内控理论试图提出能被普遍接受的内控定义,以便满足不同单位的需要。美国审计权威机构COSO(1994)的定义是:内控是一个受某单位不同层次的人影响的过程,而设计这一过程是为了实现下述三大目标提供合理的保证:经营的效果和效率;财会报告的可靠性;对现行法规的遵守。
巴塞尔银行监管委员会参照各国的有关理论,在内控定义中进一步强调董事会和高级管理层对内控的影响,组织中的所有各级人员都必须参加内控过程,对内控产生影响。巴塞尔委员会把内控的三大目标分解为操作性目标、信息性目标和合规性目标。操作性目标不只针对经营活动,而且包括其他各种活动;在信息性目标中还把管理信息包括了进来,明确要求实现财务和管理信息的可靠性、完整性和及时性。
表1 关于内部控制的三大目标的表述
COSO 的内控目标
Basle 的内控目标
1
经营的效果和效率
操作性目标:各种活动的效果和效率
2
财会报告的可靠性
信息性目标:财务和管理目标的可靠性、完整性和及时性
3
对现行法规的遵守
遵从性目标:遵从现行法律和规章制度
资料来源:美国COSO(1994);巴塞尔银行监管委员会(1998)。
这三大目标满足不同的需要,又相互交叉。显然,内控是保证各项业务发展的,而不是妨碍其发展的。在操作性目标中,经营的“效果”是根据实际产出与预期计划的产出比较而言的;经营的“效率”是根据实际产出与实际投入比较而言的。此外,公司或银行不能为实现经营性目而不遵从法规,也不能为实现遵从性目标或操作性目标而违反财务和管理信息的可靠性、完整性和及时性。
这是一种“全部控制论”的概念。良好的内控系统应能够确保上述三大目标的实现。上述内控定义说明:
1)内控是一种程序,它意味着向某一终点努力,但不是终点本身;
2)内控是用来取得一种或多种互相区分而又紧密联系的目标;
3)内控受人的影响,而不只是政策、守则或表格;
4)只能期待内控为公司管理层提供合理的保证,而不是绝对的保证。
内控的明确而科学的定义为各种单位提供了比较一致的标准,以便各单位能够评价其控制系统和决定如何加强控制。经营管理部门和内审部门应该参照有关法规和实施细则,设定一些具体的标准,认真考察被检查单位的内控系统,看其是否合理地确保了这些目标的实现。如果不能,总是可以从内控的某些方面找出问题的。一家银行或公司内控抓得好不好,可以从上述三大目标加以总体考核:它的董事会和高级管理层是否合理地确保了他们理解该单位实现其操作性目标的程度?它的财务报告和各项管理信息是不是可靠、完整和及时地被草拟和提供了?它的各项活动是否遵从了现行的法律和规章制度?这些方向性的标准无疑是对一个单位比较有力的鞭策。细化这些标准,对内控的深入考核更有益处。
由此可见,审计部门以往所提的“合规性审计(稽核)”、“效益性审计(稽核)”和帐务检查等等都属于专项审计,也都有一定的片面性。审计(稽核)工作的重心应当转向对内部控制的审计再监督,而对内控的检查评价有别于传统的审计思路,其目的要明确和全面,检评要完整和深入。
2.从总体上把握内部控制系统的框架:重要的是,现代内控理论赋予了内控广范的职能,把内控置于很高的层面上,从而强化了内控的作用。1994年COSO认为内部控制涵盖了五大组成部分的丰富内容:控制环境、风险评估、控制活动、信息与交流和监督评审。而1998年巴塞尔委员会则在控制环境中强调了管理层的督促(oversight)和控制文化;在风险评估方面将风险的识别和风险的评估并举;在控制活动方面又突出了职责分离的重要性;该委员会特别对信息与交流作了更多的解释;除了监督评审活动之外,还把缺陷的纠正这种被COSO认为并非内控的活动也归纳为内控活动。巴塞尔委员会还在上述内控的五大组成部分之外,增加了监管当局对内控的检查和评价,把它作为内控的另一不可忽视的内容。
表2 关于内部控制的五大组成部分的表述
# COSO的分析
Basle的分析
1
控制活动
管理层的督促与控制文化
2
风险评估
风险的识别与评估
3
控制活动
控制活动与职责分离
4
信息与交流
信息与交流
5
监督评审
监督评审活动与缺陷的纠正
资料来源:同上。
不论是COSO还是巴塞尔委员会都跳出了传统的平面式的简单思维方式,而把内控视为多维立体的空间,促使人们全面深入地理解控制和控制对象,分析解决管理控制中存在的复杂问题。其中还引出了“全息论”的概念:这五大组成部分和三大目标是紧密相联的,就象一个人体的细胞包含了人体的各种信息那样,一个组织中的任何一个机构、一项业务或一位成员都包含或反映出该组织中的三大目标和五大组成部分等各种信息。
三大目标和五大组成部分构造了内控系统的整体框架,现代内控理论对内控日臻完善的描述帮助人们更全面和更深刻地理解内控及其控制对象,使人们能够以内控为有力武器,为实现三大目标自觉奋斗。
3.全面理解内控五大组成部分的内容:内控已经被COSO从理论上分析成为下述完整的有机结合的整体,并且得到了巴塞尔委员会的认同和发展。
1)控制环境:控制环境是推动控制工作的发动机,是所有其他内控组成部分的基础。它奠定组织的风纪和结构,并且涉及到所有活动的核心—人,特别是人的控制觉悟,还反映政府、银行、非银行金融机构以及生产性企业的各级管理层对内控的要求。
控制环境中的要素有价值观、激励与诱导机制、精神指导、员工能力、管理哲学与经营风格、组织结构、规章制度和人事政策等等。主要的问题是管理层要充分说明内控的完整性;公司要有积极的控制环境,使整个组织中的员工具有控制觉悟和自觉的控制态度,特别是高级管理层要积极地进行控制;员工的能力与其责任要相匹配。巴塞尔委员会有关管理监督和控制文化方面的原则包括:
1.董事会应当负责批准并定期审查整个经营战略和重大政策;理解经营的主要风险,确定这些风险的可接受水平,保证高级管理层采取必要步骤,识别,衡量,评审和控制风险;批准组织的结构;并确保高级管理层不断评审内控系统的有效性。在确保建立和维护充分和有效的内控系统方面,董事会负有最终的责任。
2.高级管理层负责执行由董事会批准的战略和政策,维护一种组织结构,能够明确责任、授权和报告关系;确保所委派的责任能有效地执行;确定适当的内控政策;并监督评审内控系统的充分性和有效性。
3.董事会和高级管理层负责按照高标准促进员工的职业道德(ethics)和完整性(integrity),在机构中建立一种控制文化(control culture),在各级人员中强调和说明内控的重要性。公司机构中的所有人员都需要理解和发挥他们在内控程序中的作用。
2)风险评估:是识别和分析那些妨碍实现经营管理目标的困难因素的活动,对风险的分析评估构成风险管理决策的基础。
风险评估中的要素包括关注对整体目标和业务活动目标的制定和衔接、对内部和外部风险的识别与分析、对影响目标实现的变化的认识和各项政策与工作程序的调整。
有关风险的识别与评估的原则强调有效的内控系统需要识别和不断地评估有可能阻碍实现目标的种种物质风险。这种评估应包括公司和公司集团所面对的全部风险(如银行要面对信贷风险、国家和转移风险、市场风险、利率风险、流动性风险、经营风险、法律风险和声誉(reputation)风险)。需要不时调整内控,以便恰当地处理任何新的或过去不加控制的风险。
3)控制活动:是为了合理地保证经营管理目标的实现,指导员工实施管理指令,管理和化解风险而采取的政策和程序,包括高层检查、直接管理、信息加工、实物控制、确定指标、职责分离等。
在控制活动中主要关注控制与风险评估过程的联系、控制活动的适当形式及其实施、对执行政策和管理指令的保证、控制活动的针对性(尤其是对信息系统的控制)等等。有关控制活动和职责分离的原则包括:
1.控制活动应当是公司日常工作的不可分割的一部分。有效的内控系统需要建立适当的控制结构,明确定义各经营级别的控制活动。这些活动应当包括高层审查;对不同部门或处室的活动的适当控制;物理控制;检查对敞口限额的遵从情况;对违规经营的跟进情况; 批准和授权制度;查证核实与对帐(reconciliation)制度。
2.有效的内控系统需要适当分离职责。人员的安排不能发生责任冲突(conflicting responsibilities)。要识别和尽力缩小有潜在利益冲突(conflicts of interest)的地方,并遵从谨慎的和独立的监督评审。
4)信息与交流:存在于所有经营管理活动中,使员工得以搜集和交换为开展经营、从事管理和进行控制等活动所需要的信息,包括管理者对员工的工作业绩的经常性评价。
在信息方面要注意内部信息和外部信息的搜集和整理;在交流方面也要注意内部和外部信息的交流渠道和方式;在信息技术的发展中注意控制信息系统。有关的原则包括:
1.一个有效的内控系统需要充分的和全面的内部财务、经营和遵从性方面的数据,以及关于外部市场中与决策相关的事件和条件的信息。这些信息应当可靠、及时、可获(accessible),并能以前后一致的形式规范地提供使用。
2.有效的内控需要建立可靠的信息系统,涵盖公司的全部重要活动。这些系统,包括那些以某种电子形式存储和使用的数据的系统,都必须受到安全保护和独立的监督评审,并通过对突发事件的充分安排加以支持。
3.有效的内控系统需要有效的交流渠道,确保所有员工充分理解和坚持现行的政策和程序,影响他们的职责,并确保其他的相关信息传达到应被传达到的人员。
5)监督评审:是经营管理部门对内控的管理监督和内审监察部门对内控的再监督与再评价活动的总称。
监督评审可以是持续性的或分别单独的,也可以是两者结合起来进行的。主要应关注监督评审程序的合理性、对内控缺陷的报告和对政策程序的调整等等。在监督评审活动和缺陷的纠正方面应当遵循下述原则:
1.应当不断地在日常工作中监督评审内控的总体效果。对主要风险的监督评审应当是公司日常活动的一部分,并且各级经营层和内部审计人员应当定期予以评价。
2.对内控系统应当进行有效和全面的内部审计。内审要独立进行,应得到适合的培训,并配备称职和得力的人员。内审作为内控系统监督评审的一部分,应当向董事会或其审计委员会直接报告工作,并向高级管理层直接报告。
3.不论是经营层或是其他控制人员发现了内控的缺陷,都应当及时地向适当的管理层报告,并使其得到果断处理。应当把有关物质的内控缺陷报告给高级管理层和董事会。
此外,巴塞尔委员会还针对监管当局对内控系统的评价提出,银行的监管人员应当要求所有的银行,不论其规模如何,都具有有效的内控系统,而且其内控系统符合他们的表内外活动的性质、复杂性和内在的风险;内控制度应当随银行所处环境和条件的改变而得到调整。凡监管者确定某银行的内控系统不能充分或有效地针对银行的具体风险内容(例如,不能涵盖巴塞尔委员会内控文件所载的全部原则),监管者应当采取适当的行动。
以上五大组成部分与前述三大目标有机地相结合,构成了内控的完整体系。COSO是为各行各业提出这一思路的。尽管巴塞尔委员会的内控原则主要是针对银行业的,国内外的金融和非金融机构在体制结构上也有所区别,我国的企业工作者仍然很有必要适应形势,转变观念,从内控的三大目标出发,去考察本单位上述五大组成部分的各个方面,看是否建立了健全的内控制度,而且,这些制度是否得以认真贯彻实施。审计检查的方法和评价的标准也应当沿着这条思路,按照这个有机结合的整体去设计。
三、关于内部控制与管理的关系
不了解内控与管理的关系,就不可能充分加强内控工作。内审或审计人员在检查监督的过程中,时常发现被查单位的管理层对内控认识比较肤浅,也不甚了解内控与管理、内控与内审是什么关系。有人认为管理就是内控,抓了管理,内控自然就到位了,因而也没有必要特别强调内控。也有人认为内控是内审(稽核)部门的工作,抓内控应该由内审部门牵头。有些内部或外部的审计人员在进行内控检查的时候,也因认识模糊而无从下手。因此,很有必要搞清内控与管理的关系。
1.管理的内涵及其与内控的同异
从广义上讲,管理是管理者确立目标和战略,并通过一定的组织形式、规章制度和操作方法去实现目标的全过程。管理者要执行聘用合同,为公司或银行的所有者的利益确定明确的管理目标,包括全局整体性目标和各项业务活动水平上的目标,然后制定各种战略和实施计划。管理者要以一定的组织形式为依托,以一定的规章制度为依据,采取种种方法去实现既定的目标。管理者有责任控制局面,并解决和纠正在监督检查各项经营管理活动中所发现的问题和错误,包括对有问题责任人的追究和处罚。由于所定的目标和战略计划会对管理单位(如企业)的行为产生影响,管理科学运用科学的原则和分析性方法,研究企业的行为。在发达国家,不论学术界还是实业界都日益重视公司治理结构的研究,以求实现投资者应得的回报。先进正确的管理方法加上计算机的广泛运用,大大促进了管理的合理化和效率。
广义上的管理涵盖比内控更为广泛的内容,并不是所有的管理活动都是内控活动,也并不是说非内控性的管理活动就都不重要了。比如,设定目标的决策就是一种很重要的管理责任,为内控提供了前提条件。在国外,公司的所有者代表(董事会)也要参与甚至领导这种决策。但是,重大目标的最初设定并不是在内控的工作范围之内。同样,许多管理方面的具体决策和一般性活动并不都代表内控。
然而,问题的关键并不在这里,而在于内控是管理中至关重要的部分(critical components)。管理的学问就在于抓住管理活动中的那些对实现目标至关重要的部分,也就是毛泽东所说的“研究任何过程……要用全力找出它的主要矛盾”。比如,COSO等理论所描述的内控内容中都列举了许多控制要素和风险,这些都是管理者必须关注的地方。又如,尽管COSO认为错误的纠正行动不应属于内控活动,但是巴塞尔委员会却将其列为内控的范围。原因很显然,纠正错误已成为管理的一项重要内容,直接影响到目标的实现。同理,战略计划和风险管理这些本来被COSO视为非内控性活动,却被巴塞尔委员会分析为内控范围之内的活动了。尽管目标的最初设定是内控的前提条件,但是内控并没有完全放弃对这方面的关注,内控的重要职能之一又是监督目标的设定和实现过程。至于业务活动水平上的目标的设立,虽然也被COSO视为非内控性的活动,但在COSO提出的内控操作方法中(例如在其《参考手册》和《内部控制与风险评估工作表》中),这些目标都是内控所关注的重要内容。下表仅从一个侧面说明了这个问题:
资料来源:同上。
2.风险管理与内部控制的关系
风险是针对目标而言的。风险实际上就是可能妨碍目标实现的种种问题和困难。这样看来,风险的概念就扩大了。比如,一个武士在张弓搭箭,射向猎物的时候,他的目标是射中猎物,而他的风险就存在于他射击猎物的全过程。首先,他本人的素质,他的精、气、神,他的体力和视力。其次,他的弓箭的质量。再次,猎物的大小、距离和移动速度。此外,狩猎时的环境、气候条件(风速)等外部干扰因素,也构成对击中目标的风险。对一家公司而言,风险既预示着机遇,又会影响其竞争能力,并影响其维持融资的能力以及保持和提高其产品与服务质量的能力。
风险是如此之广泛,以至于有人认为风险管理就是内部控制,甚至风险管理包括了内控。把两者混淆的问题在于没有看到内控是管理的更本质性的内容(essential part)。
诚然,风险管理是整个管理活动系列的重要组成部分。一般可指风险管理目标和战略的设定、风险评估方法的选择、管理人员的聘用、有关的预算和行政管理、以及报告程序等等。风险管理的一系列具体活动并不都是内控要做的。特别是内控并不负责风险管理目标的具体设立,这是管理过程起始阶段的活动。风险评估是对可能发生的不利条件或事件进行评价,并做出完整的专业性鉴定的一种系统过程。当然,风险评估首先要注意目标问题,因为,没有明确的目标,也谈不上目标实现的风险。但是在目标方面,内部控制并不是目标的制定活动,而是对目标制定的评价工作,特别是对目标和战略计划制定当中风险的评估,风险管理目标的设立为内控中的风险评估提供了前提条件。内控所负责的是风险管理过程中间及其以后的重要活动,比如,对风险的评估和由此实施的控制活动、信息与交流活动和监督评审与缺陷的纠正等工作。
内部控制强调评估经营管理活动中突出的风险点(当然,这些风险点不是固定不变的),建议经营管理人员针对这些风险点实施必要的控制活动。这里所评估的既有内部的风险,又有外部的风险。那种以为内控只是控制某单位的内部风险的观点是有片面性的。COSO和巴塞尔委员会都认为,内控的过程涵盖了公司所面对的,并在公司内由各级人员所经营的所有的内部和外部的风险。
然而现实中的风险管理却很实在,巴塞尔委员会指出,风险管理不同于内控之处在于,典型的风险管理比较关注特定业务的战略的评审,旨在通过比较不同公司业务领域内的风险与报酬来使收益最大化。在我国一些银行里,风险管理往往被狭义地理解为授信或部分业务(如信贷)的授权管理;广义的风险不仅有信贷风险,还包括国家与转移风险、市场风险、利率风险、流动性风险、操作风险、法律风险和信誉风险等等。而广义的风险管理又似乎难以真正落实到银行的某一具体业务或管理部门,成为它的责任。其结果,我国的银行实业界尚不存在广义的风险管理的概念。不少银行不能对各种风险进行总体研究和控制,甚至连统一授信都难以在一些银行里真正实现。
不过,现实情况中的风险管理一方面有其特有的内涵和现实的范畴,另一方面也在某些内容上与内控相交叉。在上节中,COSO认为风险管理不属于内控的范围,而是非内控性的管理活动,这种分析也是有片面性的。特别是风险管理在“风险的识别与评估”和“控制活动与职责分离”等内控内容中,与内控相交叉,属于内控强化过程中的管理活动。
然而,内部控制还包括“管理层的监督与控制文化”、“信息与交流”和“监督评审与缺陷的纠正”等重要的内容。在现实中,管理层的监督并不是没有,而是远远没有强调到某种“控制文化”的程度。
F. 金融机构应当采取哪些措施完善反洗钱内控
按照我国反洗钱法律法规的规定,金融机构应当采取哪些措施完善反洗钱内控?内
A.金融机构及容其分支机构应当依法建立健全反洗钱内部控制制度
B.设立反洗钱专门机构或者指定内设机构负责反洗钱工作
C.制定反洗钱内部操作规程和控制措施
D.对工作人员进行反洗钱培训
E.金融机构的负责人应当对反洗钱内部控制制度的有效实施负责
答案:ABC
G. 如何加强基层商业银行内控管理
内控管理是银行对内部环节制度执行流程运行等等方面的一种管理,是服务于业务发展的保障,随着银行改革的进一步深化商业银行对内控方面的管理更加注重,如何加强内控管理也被越来越多的管理人员所探讨和实践,总的来说要做好内控管理工作首先要制定严格的内控规章制度 和考核办法,只有这样才能有执行的规矩,再次是需要在执行过程中的监督、履职,这需要执行者进行有效的监督机制和执行机制,同时需要更科学有效的办法促进管理目标的实施。只有做到这几点才能保障内控不出现问题,为业务发展奠定安全保障基础。