有效防控合規風險需注意的幾個問題

近年來，我國銀行監管機構和商業銀行均越來越關注合規風險的管理。由于歷史和現實的諸多制約因素，境內銀行（尤其是中資商業銀行）面對合規風險管理問題缺乏清醒的認識，雖然陸續建立了內部的合規部門，但是合規管理的水平與國際先進銀行的差距仍然甚遠。本文就中資商業銀行合規管理中需重點關注的幾個問題作一分析。

把握合規定義，培育正確風險理念

關于合規（compliance）的定義有一些分歧，但是綜觀多數國家的立法以及國際銀行業的實踐，合規是指遵守國家法律、法規及監管部門各項規定之行為的總稱。我國銀監會《商業銀行合規風險管理指引》（以下簡稱“指引”）界定了何謂合規以及合規風險。該“指引”所稱合規，是指使商業銀行的經營活動與法律、規則和準則相一致；而該“指引”所稱“合規風險”，則是指商業銀行因沒有遵循法律、規則和準則可能遭受法律制裁、監管處罰、重大財務損失和聲譽損失的風險。從這里的規定來看，合規風險既包括了違反監管規則和準則的問題，也包括了違反法律的問題，這意味著合規風險在一定意義上包含了“法律風險”。

當前中資商業銀行雖然采取了一定的措施落實銀監會“指引”的要求，但是銀行內部在合規及其風險控制理念方面仍然存在諸多偏差。首先要改變當前中資銀行普遍存在的重合規風險的事后防控，輕合規風險的事前防控，尤其是容易疏忽把合規風險的控制滲透到各種經營活動的決策和研發過程中去，把違反法律的風險與違反監管規章風險的預防有機結合起來。尤其是在缺乏專門法律或者合規機構的中小銀行更是如此。其次，要強化董事、高級管理人員的合規風險意識。中資銀行更多地傾向于把合規風險的防控當成基層分支機構業務中防控操作風險的工作來做，疏忽了董事會決策、高級管理人員落實董事會決議以及從事日常經營管理活動中的違法違規風險問題，尤其是各種業務管理政策和操作規程的制作以及新產品新工具拓展中的合規風險意識淡薄。再次，要把市場份額與盈利的關注與合規風險防控有機兼顧。針對銀行內部各級管理人員強化市場和盈利的目標，往往容易把合規當成妨礙市場拓展和實現盈利目標的阻力，而不是把合規風險的防控當成經營效益提升的重要保障。鑒于此，銀行需要強化合規風險意識，并且在經營績效的評價中將合規風險的防控作為重要的因素。合規風險理念需要銀行健全的合規文化來滋潤。正如巴塞爾委員會文件《合規與合規部門》的引言指出：“合規應從高層做起。當企業文化強調誠信與正直，并且董事會和高級管理層作出表率，合規才最為有效。合規與銀行內部的每一位員工都相關，應被視為銀行經營活動的組成部分。銀行在開展業務時應堅持高標準，并始終力求遵循法律的規定與精神。如果銀行疏于考慮經營行為對股東、客戶、雇員和市場的影響，即使沒有違反任何法律，也可能會導致嚴重的負面影響和聲譽損失。”“合規應成為銀行文化的一部分。合規并不只是專業合規人員的責任。”

厘清部門職能，協調部門間的關系

由于“指引”將合規風險管理置于很高的地位，并將“合規管理”稱之為“是商業銀行一項核心的風險管理活動”，要求商業銀行“應綜合考慮合規風險與信用風險、市場風險、操作風險和其他風險的關聯性，確保各項風險管理政策和程序的一致性。”這種定位使得合規部門及其職能也被提升到顯要的位置上。

“指引”所稱合規管理部門，是指商業銀行內部設立的專門負責合規管理職能的部門、團隊或崗位。商業銀行合規風險管理的目標是通過建立健全合規風險管理框架，實現對合規風險的有效識別和管理，促進全面風險管理體系建設，確保依法合規經營。“指引”對合規部門的職責也做了詳盡的列舉，概括起來有以下九大類：（1）持續關注法律、規則和準則的最新發展，把握法規對商業銀行經營的影響，及時為高級管理層提供合規建議；（2）制定并執行風險為本的合規管理計劃；（3）審核評價商業銀行各項政策、程序和操作指南的合規性；（4）協助相關培訓和教育部門對員工進行合規培訓；（5）組織制定合規管理程序以及合規手冊、員工行為準則等合規指南，并評估合規管理程序和合規指南的適當性；（6）積極主動地識別和評估與商業銀行經營活動相關的合規風險；（7）收集、篩選可能預示潛在合規問題的數據，建立合規風險監測指標，確定合規風險的優先考慮序列；（8）實施充分且有代表性的合規風險評估和測試；（9）保持與監管機構日常的工作聯系，跟蹤和評估監管意見和監管要求的落實情況。

從上述職責來看，尤其是其中持續關注法律、規則和準則的最新發展、審核評價商業銀行各項政策、程序和操作指南的合規性、積極主動地識別和評估與商業銀行經營活動相關的合規風險等內容則直接與銀行內部法律部門的職責相交叉。這種定位對于法律部門與合規部門合并設立的銀行沒有問題，可是對于法律部門與合規部門分設的銀行來說，則勢必帶來尷尬。尤其是一些兩者分設的背景中，合規部門往往來自銀行傳統的“內控”或“稽核”部門，這些部門的法律專業人員極為有限，要讓他們承擔監管規章所要求的職責幾乎不可行。況且因為法律部門的相對獨立存在，也勢必使得從事法律審查與咨詢的法律部門與合規部門的職責重疊，且可能導致責任不清。

鑒于此，對于銀行內部將合規與法律部門分立的管理架構中，必須厘清法律部門與合規部門的關系，并且應將法律與合規部門結合起來共同承擔起合規風險防控職責。

另外，合規部門與審計部門的關系的妥善處理對于有效防控合規風險甚為重要，借助審計部門的審計監督有助于確保合規風險防控接受適當的監督和約束。“指引”第二十二條明確規定：商業銀行合規管理職能應與內部審計職能分離，合規管理職能的履行情況應受到內部審計部門定期的獨立評價；內部審計部門應負責商業銀行各項經營活動的合規性審計；內部審計方案應包括合規管理職能適當性和有效性的審計評價，內部審計的風險評估方法應包括對合規風險的評估；商業銀行應明確合規管理部門與內部審計部門在合規風險評估和合規性測試方面的職責；內部審計部門應隨時將合規性審計結果告知合規負責人。

從合規職能的有效履行角度看，合規部門要確保合規風險的有效防控，需要建立有效的保障合規部門獨立性的機制。“指引”有兩處涉及了獨立性的保障：一是從銀行合規政策角度，要求銀行明確所有員工和業務條線需要遵守的基本原則，以及識別和管理合規風險的主要程序，并對合規管理職能的有關事項做出規定，其中包括“保證合規負責人和合規管理部門獨立性的各項措施，包括確保合規負責人和合規管理人員的合規管理職責與其承擔的任何其他職責之間不產生利益沖突等”；二是從高級管理層職責角度，要求其應有效管理商業銀行的合規風險，履行合規管理職責中包括了“任命合規負責人，并確保合規負責人的獨立性”。可見這里從合規部門及負責人的獨立性角度，強調了“獨立性”的保障重要性。2005年4月29日巴塞爾委員會發布的《合規與銀行內部合規部門》對合規部門的獨立性給予了高度關注，將其作為一項專門的原則來規范，明確要求“銀行的合規部門應該是獨立的”，并闡析了“獨立性”的四個相關要素：第一，合規部門應在銀行內部享有正式地位；第二，應由一名集團合規官或合規負責人全面負責協調銀行的合規風險管理；第三，在合規部門職員特別是合規負責人的職位安排上，應避免他們的合規職責與其所承擔的其他職責產生利益沖突；第四，合規部門職員為履行職責，應能夠獲取必需的信息并能接觸到相關人員。此外，還在合規部門及其負責人、利益沖突、信息獲取和人員接觸、資源等方面涉及了合規部門的獨立性問題。

從國內中資商業銀行的實踐來看，合規部門的獨立性欠缺仍然是一個普遍性問題，這也是合規風險有效防控的重要障礙之一。該問題的解決一方面需要監管機構的引導和監督，另一方面更重要的是有賴于銀行內部董事會和高級管理層合規理念的強化。

構建責任機制，強化管理層的管理責任

從目前國內商業銀行（尤其是中資銀行）有關合規風險管理的現狀來看，雖然不少銀行內部已經設立合規部門，甚至有的也在內部管理制度中明確了董事、監事和高級管理層在合規管理上的權責。但是總體來看存在以下問題：一是對董事、監事和高級管理層的合規職責規定過于原則化，缺乏有效的約束和監督機制；二是管理架構中傾向于強化管理層對合規事宜的負責，而淡化董事會、監事會在合規管理中的重要作用；三是合規風險管理架構的系統化建設缺陷明顯，不少的銀行僅僅把合規風險作為操作風險來管理而已，或者把合規管理當成事后稽核監督來落實，尤其是在缺乏相對獨立的法律合規部門的銀行中更是如此。

針對上述問題，筆者認為商業銀行應從以下幾方面來改進：其一，銀行應確立董事會負責監督合規風險管理的機制。董事會應該審批銀行的合規政策，包括對組建常設的、有效的合規部門文件，董事會或董事會下設的委員會應該對銀行有效管理合規風險的情況每年至少進行一次評估；董事會應監督合規政策的實施，包括確保合規問題都由高級管理層在合規部門的協助下得到迅速有效的解決。其二，明確高級管理層在合規風險管理上的基本職責。銀行應落實“指引”有關高級管理層在合規風險管理方面的職責，高級管理層應向董事會報告合規風險管理情況，確保合規政策得以遵守；應建立識別和評估銀行所面臨的主要合規風險問題以及管理這些合規風險問題的計劃和機制；應采取必要的措施構建一個常設的、有效的并符合監管要求的合規部門；應建立對各級管理人員合規績效的考核制度。其三，必須構建有效的合規問責制度，嚴格對違規行為的責任認定與追究，并采取有效的糾正措施，及時改進經營管理流程，適時修訂相關政策、程序和操作指南。

提升管理人員素質，改善風險定量和防控的方法

我國商業銀行合規管理人員多數來源于傳統的銀行稽核、審計部門，對于法律與合規部門合一的則是以法律人員為主體，這種背景下的合規人員結構制約了合規管理的縱深發展，以致多數銀行都停留于以定性分析為主，嚴重缺乏量化分析，在風險識別、度量、監測等方面科學性不夠，管理方法落后。對于法律部門與合規部門分設的銀行，則甚至連合規中定型化的合法合規審核也因缺乏法律專業人員而無法有效落實相關職責。為了克服人員方面的制約，銀行一方面有必要在缺乏法律專業人員的合規機構適當增加熟悉銀行業相關法律法規和規章的專業人才，另一方面則有必要強化借鑒國際先進銀行的經驗，適當吸納能從事合規風險定量分析的專業人才。

合規風險的管理不是簡單地檢查業務操作流程或規章是否在具體經營活動中得到落實，而應有一套識別、評估和控制合規風險的方法和技術。首先，應逐步考慮各種量化合規風險的方法(例如，應用評價指標等)的引進，并積極運用這些計量方法加強合規風險的評估。評價指標可借助技術工具，通過收集或篩選可能預示潛在合規問題的數據(例如，消費者投訴的增長數、異常的交易或支付活動等)的方式來設計。銀行可結合實際情況和借鑒國際銀行經驗，并聘請專業化機構指導基礎上，不斷改進合規風險識別和評估的方法和技術。其次，銀行應逐步建立合規監測和測試的技術體系。銀行合規部門應該通過實施充分和有代表性的合規測試對合規進行監測和測試。合規測試的結果應依照銀行內部風險管理程序，通過合規部門報告路線向上級報告。合規負責人應定期報告所進行的合規風險評估（包括基于運用諸如評價指標的相關計量方法所反映的合規風險狀況的任何變化），概述所有已識別的違規問題和(或)缺陷，以及所建議的糾正措施，已經采取的各項糾正措施。

（作者單位：中國工商銀行法律事務部）