基于內控假設的內控系統評價體系的構建

[收稿日期]2009-12-23

作者簡介 張蕾蕾(1977-)， 女 ，山東煙臺人， 現為中央財經大學金融學院在讀博士研究生，研究方向為資本市場;李佳 (1982-)，男 ，河南商丘人， 現為中央財經大學金融學院在讀博士研究生，研究方向為資本市場。

摘要 近年來，由于內部控制失敗導致的金融機構風險案件頻繁發生，這其中不乏一些國際公認具有先進的內控體系的金融機構。文章認為，之所以出現這種情況是因為現有的內控系統的評價體系存在盲點，它們大多忽略了內控系統的前提假設對內控建設的重要作用。在考慮內控假設的基礎上重新構建了內控系統的評價體系，并運用該評價體系對法國興業銀行在巨虧案爆發之前的內控系統作了評價，來佐證該評價體系的實際應用性。最后對中國金融機構如何構建有效的內控系統提出了幾點建議。

關鍵詞 內部控制;內部控制評價體系;內控假設

中圖分類號 F831.5[文獻標識碼] A 文章編號 1673-0461(2010)06-0075-04

一、基本概念

內部控制的概念是在會計控制的基礎上發展起來的，伴隨著新問題和新的財務失敗案件的出現，內部控制的概念也隨之不斷得到補充和發展。不過，這種概念的演進在使得內部控制涵蓋的內容更加全面的同時，也逐漸模糊了內部控制與公司治理、內部控制與風險管理的界限，既增大了企業構建內部控制體系的難度，也在一定程度上降低了其現實指導意義。因此，對于內部控制的定義本文在COSO框架 的基礎上提出自己的觀點。“內部”可被定義為“屬于或有關于某個組織結構——俱樂部、公司或國家” ，而“控制”則可被定義為“將發生率或嚴重性降至無害的水平” ，這樣我們可以將內部控制理解為“由企業董事會、管理層和公司員工共同實施的，以期將不利事件的發生率和嚴重性降至無害水平從而保證企業目標實現而制定的一系列制度、機制和流程的集合”。目前流行的內部控制的定義往往忽視了建立內控體系的前提假設，從而導致其相應的評價體系無法涵蓋由于內控假設不成立引致的內控失效問題。事實證明，很多金融機構經營失敗恰恰是因為對內控體系的假設前提重視不夠。本文第二部分將在考慮內控假設的基礎上建立一個內控系統的評價體系;第三部分以法國興業銀行虧損案為例來驗證該評價體系可應用性。本文的最后對于國內金融機構如何構建內部控制體系給出了政策建議。

二、內部控制評價體系的建立

這里的內部控制評價是指對金融機構的各項內部控制制度和措施是否得到了各個員工的有效貫徹執行以及是否達到了預期的目標而進行的評價。我們認為內部控制評價應該從內部控制環境的完善性、內部控制體系的完備性和內部控制理論假設的滿足程度三個方面進行，鑒于內部控制理論假設的滿足程度只能通過內部控制的結果反映出來，因此對內部控制理論假設滿足程度的評價通過內部控制的結果評價來進行。

1.內部控制環境的評價

一般企業的內部控制環境主要包括治理結構、管理哲學及經營風格、組織結構、董事會、經營者素質和職業道德、企業文化、權責分派體系以及人力資源政策及實務等方面。考慮到對我國金融機構而言，產權制度對其經營管理有著重要的影響，因此我們認為應該在內控環境評價中增加產權制度評價;與一般企業不同的是，金融企業目前仍存在分業經營和綜合經營之分，其中綜合經營屬于金融機構發展的國際趨勢，因此金融機構內控環境評價中仍應加入經營制度評價。綜上，對金融機構內部控制環境的評價應該從以下幾個方面進行:產權制度評價、治理結構評價、組織結構評價、經營制度評價、 管理哲學及經營風格評價、經營者素質和職業道德評價、企業文化評價、人力資源政策及實務評價等。

2.內部控制的完備性評價

內部控制的完備性評價包括兩層含義:一方面是評價內部控制對金融機構各項業務的覆蓋程度;另一方面是評價內部控制對其所覆蓋業務的具體操作環節的控制程度。需要注意的是，對金融機構的完備性評價要在成本——效益原則的基礎上進行，并要堅持全面性和重點性相結合，金融機構的內部控制體系是否完備關鍵看其是否覆蓋了關鍵的風險點。一般說來，金融機構內部控制應該包括:信貸資金風險的控制、資金交易風險控制、衍生工具交易的控制、保險基金的風險控制、會計系統的控制、授權授信的控制、計算機業務系統的控制等。

3.內部控制的結果評價

結果評價是對內部控制主要目標實現程度的評價，通過內部控制目標的實現程度反過來檢驗內部控制體系存在的問題。根據中國人民銀行發布的《加強金融機構內部控制的指導原則》，金融機構內部控制的目標主要有合法合規性經營、將各種風險控制在規定的范圍內、確保自身發展戰略和經營目標的全面實施以及確保有利于查錯防弊、堵塞漏洞、消除隱患從而保證業務穩健運行等。

對于內部控制的環境評價、完備性評價和結果評價，我們要有一個辯證的認識。雖然從內部控制的結果評價中，我們可以得到許多關于金融機構內部控制系統的信息，但是無論內控結果評價進行得多深入，它都只是一種事后的行為，只能起到“亡羊補牢”的作用，因此關注結果評價的同時，更應該重視環境評價和完備性評價等過程性評價。此外，我們還應該注意，進行內部控制評價的目的是幫助管理層和職能部門改進現有的內部控制體系，使內部控制運行良好，從而使金融機構的風險暴露維持在可以容忍的水平，其他目標也能夠得到實現。

三、案例分析

(一)案例介紹

法國興業銀行(以下簡稱為法興銀行)始建于1864年5月，是有著近150年歷史的老牌歐洲銀行和世界上最大的銀行集團之一，法興銀行提供從傳統商業銀行到投資銀行的全面、專業的金融服務，建立起世界上最大衍生交易市場領導者的地位，也一度被認為是世界上風險控制最出色的銀行之一。然而正是這家銀行在2008年1月曝出巨額交易欺詐丑聞的操作風險案件(下稱法興事件)，一個名為杰羅姆·凱維埃爾(Jerome Keviel)的歐洲股指期貨交易員在兩年時間里偽造了500億歐元的期貨交易，給法興銀行帶來49億歐元的損失。

2000年，23歲的杰羅姆進入法興銀行，隨后5年，他一直在銀行內部不同的中臺部門工作。所謂“中臺部門”就是管理交易員的機構，這個工作機會讓他得以深入了解法興銀行內部控制的相關程序和步驟。2005年，杰羅姆成為銀行風險套利部門的交易員，從此，他開始期貨投機冒險。在套利操作中，杰羅姆先是建立一個投資組合A，包羅主要針對歐洲主要股票市場指數變化為基準的金融工具，如德國DAX指數、英國FTSE指數等。到2008年1月，此類期貨交易的賬面金額高達500億歐元。以杰羅姆的資歷，他根本無法得到如此巨大的交易授權，然而，被稱為電腦天才的杰羅姆入侵了銀行的電腦系統，獲得了使用巨額資金的權限，同時他又修改了很多文件，大量偽造賬戶。靠這種方式，杰羅姆又虛構了另一個投資組合B。從表面上看，A、B相互對沖，“這樣，體現出來的風險僅僅是非常低的余值風險，憑借這種方法，杰羅姆得以隱藏了其數額巨大了投機性頭寸”。

2008年1月18日，杰羅姆的上級主管收到了一封來自一家大型銀行的電子郵件，信中稱要對此前預定的交易進行確認。但是興業銀行此前已經限制與這家銀行的交易往來，因此對電郵的來源產生了懷疑，并展開了緊急調查。就此，杰羅姆的違規操作產生的驚天虧損大案開始浮出水面。

(二)從內控的角度分析法興銀行事件

1.內控環境

法興銀行曾一度被認為是世界上內部控制最為優秀的銀行之一，某種角度上說，法興銀行的內部控制制度在本次事件的表現也的確可圈可點。據2008年2月法興銀行特別委員會提交的中期報告顯示:從2006年6月到2008年1月，法興銀行的運營部門、股權衍生品部門、柜臺交易等28個部門的11種風險控制系統曾自動針對杰羅姆的各種交易發出過75次警報。然而可惜的是，這些警報中，有些警報得到相關部門“重視”，給出了調查結果，有些則沒有。那些給出了所謂的“調查報告”的警報并沒有真正引起相關人員的重視，那些沒有人調查的警報則始終在風險控制IT系統之間轉來轉去并最終石沉大海，再也無人過問。在這里，復雜而縝密的IT系統和人類懶散疏忽的惰性形成了鮮明且充滿諷刺意味的對比。為此，我們不得不說，人的因素在法興事件中扮演著重要的角色，畢竟75次警報中哪怕只有一次得到相關人員的徹底調查，杰羅姆的違規操作就可以被發現，那么震驚金融界的法興事件也就不會發生，然而，這也只能是假如而已。雖然具備了足以在同行業中引以為豪的內部控制系統，但是風險管理文化的不成熟成了法興銀行風險控制的短板，促使了法興事件的最后爆發。某種意義上，這也使得我們不得不重新思考在日益先進的技術條件下人的作用，畢竟“再完善的規則也要靠人去實施(譚雅玲，2008)”。

2.完備性因素

任何內部控制系統都是不完備的，但是任何有效的內部系統都應該保證能夠覆蓋到關鍵的風險點，然而法興事件暴露出法興銀行在這方面做的顯然還不夠。法興銀行的內部控制系統在對交易員盤面資金的監督、資金流動的跟蹤、不相容職務相分離規則的遵守、信息系統的安全及密碼保護等多個關鍵環節存在漏洞。首先，法興銀行把監控點放在了交易員的凈頭寸上，杰羅姆在投資組合A的交易賬面額盡管高達500億歐元，但是公司的監控系統并沒有對套利“單邊”交易的總頭寸進行限制，通過虛構投資組合B對沖A，凈頭寸很容易就躲過了公司的監控系統。其次，法興銀行只能夠對所有交易員匯總后的數據進行監控，并沒有將其細分到每一個交易員的交易頭寸，這也是法興銀行的內控系統無法及時發現杰羅姆違規操作的一個重要因素。再次，杰羅姆曾在法興銀行內部不同的中臺部門(即管理交易員的機構)呆過5年的時間，根據不相容職務分離的原則，杰羅姆不應該再擔任交易員的工作，然而事實是，在風險控制體系浸淫了長達5年時間后，杰羅姆又直接參與了交易，造成了悲劇的發生。最后，法興銀行在IT系統安全上做得還不夠，被稱為電腦天才的杰羅姆曾多次盜用其他交易員的密碼進行違規交易。如今的金融交易和監管系統已完全實現電子化，要確保IT信息的安全，必須以欺詐技術(防范)專家的思維，設計嚴密的監控程序。需要說明的是，盡管法興銀行的內控系統在完備性中暴露出了種種問題，然而所謂內控的完備性本來就是一個隨著環境的變化不斷調整豐富的過程，而且根據混沌理論，不存在可以完全預防重大惡性事件發生的內控機制，因此我們不能因這次事件就否認法興銀行在內部控制方面的領先地位。

3.內控假設角度

正如我們所一再強調的，內控失效多是由多種因素共同作用的結果，法興事件也不例外。事實上，法興事件之所以發生，與法興銀行內控系統運行中幾乎出現了與所有7條假設相抵觸的現象密切相關，下面我們一一進行分析:

法興事件本身就驗證了“每個人都有固有的道德缺陷(假設①)”的假設(“假設”參考的是第一部分界定的假設條件，下同。)同時也表明法興銀行的內部控制沒有能夠對舞弊行為產生足夠的威懾力(假設②)。與大多數丑聞主角一樣，杰羅姆也沒有擺脫通過構造虛假交易記錄(假設⑦)來逃避控制系統的檢查的窠臼，這在一方面表明了正確的記錄和文件的重要性，然而在另一方面也顯示出至今國際金融界都找不到有效識別虛假記錄的機制的困境。盡管法興銀行在事件之初一直強調本次事件是有杰羅姆一人所為，然而隨著調查的深入，共謀的行為(假設④)還是浮出了水面。有調查報告顯示，杰羅姆的一名助手多次操作了杰羅姆的違規賬戶，而他和杰羅姆的電子郵件也顯示這名助手可能知曉杰羅姆的違規交易，報告中還說，杰羅姆偽造的交易記錄中15%與這名助手有關。另外，杰羅姆聲稱，自己曾“通過部門經理的電腦建立違規期貨合約倉位”，這一過程中那名經理也“在場”，這表明，不是每個獨立員工都能做到識別并報告他所發現的異常情況(假設③)。此外，與“巴林事件”中的里森(首席交易員，權限比杰羅姆大得多)不同，僅擁有一般交易員權限的杰羅姆何以能夠完成如此巨額交易，不得不令人猜想這也許真的與上級部門某種程度上的默許密不可分。正如杰羅姆所說:“我不相信我的上級主管沒有意識到我的交易金額，小額資金不可能取得那么大利潤(杰羅姆的賬戶上曾一度達到14億歐元的盈利)。在我盈利時，我的上級裝作沒看見我使用的手段和交易金額，在我看來，任何正確開展的檢查都能發現那些違規交易行為”。我們看到，在高業績的誘使下，管理層的風險意識竟能淡化如斯，這不得不令人深思法興銀行的激勵約束機制是否出了問題。也許，業績目標與產生正確的信息之間真的存在著“先天性”矛盾(假設⑥)，畢竟中航油事件中高級管理層對陳久霖違規行為的漠視也幾乎如出一轍。

從上文分析可以看出，盡管法興銀行一度被認為是世界上內控體系最為出色的銀行之一，通過法興事件我們還是可以找出該行在內控上存在的問題。法興事件的發生讓越來越多的金融機構認識到內控系統的建設是一個持續的工程，也給國內某些金融機構認為內控體系的建設可以一勞永逸的想法敲響了警鐘。目前，我國金融機構在內控體系的建設上還有很長的路要走，正所謂“前車之鑒，后車之師”，我們應該從法興事件中探索內控建設的關鍵所在，爭取少走彎路，使我國金融機構操作風險管理水平盡快達到世界先進水平。

四、啟示與建議

金融機構操作風險管理是一項持續的系統工程，需要內部控制與其他各種要素相互匹配和緊密配合。然而目前我國某些金融機構仍然側重于孤立地依據某些具體標準建設內控體系，而忽視了內控體系有效發揮作用的環境因素和其他條件。這樣的內控體系徒有華麗的外衣，在實際運作中可能僅僅是一紙空文而已。基于此，我們認為我國金融機構應注意從以下幾個方面加強內控體系的建設:

第一，正視內控環境的重要性，增強全員風險管理意識

如前文所說，內部控制作為金融機構操作風險管理的關鍵環節，要在一定的環境中發揮作用，同時也是金融機構全體員工共同參與的一項動態工程。然而仍有些管理人員認為內控體系不過是一套書面制度而已，沒有將內部控制看作是金融機構操作風險管理體系的有機組成部分，對內控環境的重視程度不足，使得內控體系的建設不能結合金融機構風險管理環境的實際情況，要么過于超前，成為屠龍之刀;要么滯后于實際，起不到控制作用。另外，內部控制需要全體員工的配合才能發揮作用，因此只有形成良好的風險管理文化氛圍，爭取做到全員自覺履行內控制度、全員自覺監督內控的執行，才能夠使內控系統在執行過程中少留死角。

第二，定期從成本——收益原則角度進行完備性檢驗，動態完善內控體系

內控制度的建立和完善是一個動態過程，金融機構應依據成本——收益原則定期進行內控體系的完備性檢驗，及時彌補經營過程中暴露出來的制度空白并修改制度缺陷，在開展創新業務前尤其要注重“制度先行”。各金融機構都要適時根據其業務發展和環境變化不斷修改完善內控制度，根據新業務及功能衍生的特點，提前對原有的各項業務管理辦法、業務操作流程在進行排查風險環節的基礎上重新梳理，開展業務流程再造，使內控系統得到實時更新。我國近幾年發生的一系列金融風險案件反映出決策制約機制的缺乏和崗位監督機制不完善是導致內部控制失效的重要原因，因此金融機構應該在完善相關組織制度的基礎上，對關鍵風險點上的決策行為進行制約，并強化崗位監督，保證內部控制體系的完備性。

第三，正確認識內控假設對內控建設的意義，確保內控假設盡可能得到滿足

人們在構建內部控制體系時將內控本身無法解決的難題都歸結到內控的前提假設中去，這些前提假設基本上反映在了風險管理中除內控外的其他因素中，每當這些難題出現時，金融機構往往會傾向于將責任歸結到這些外部因素中去，從而安心地接著搞內控建設，忽視了對內控假設滿足程度的審視。然而在這些前提假設得不到滿足的情況下，內控體系在運行中也就難以發揮其管理操作風險的作用，使得金融機構操作風險案件頻繁發生。就目前情況來看，我國金融機構在內控假設方面存在的問題主要表現在缺乏有利于風險控制的激勵機制和嚴格的問責機制。我國金融機構對下級部門的激勵機制偏重于利潤和規模等指標而忽視內部控制和風險管理，下級部門在業績目標的驅動下，往往忽視正確的信息的重要性(假設⑥)，使得違規經營的情況普遍存在，經濟案件頻頻發生。加上問責機制過于寬松，使得大多數獲得盈利或未造成實際損失的違規行為得不到嚴厲的懲罰，也在一定程度上助長了經營者的投機心理，大大降低了內控體系的權威性。因此，我國金融機構應建立利于控制風險的激勵機制和嚴格的問責機制，盡可能使內控假設得到滿足，讓內部控制體系企業操作風險管理中發揮其應有的作用。

[參考文獻]

[1]潘 琰，鄭仙萍.論內部控制理論之構建:關于內部控制基本假設

的探討[J].會計研究， 2008(3).

[2]劉華法.國興業銀行內部控制案例分析[J].財政監督 ，2008(4).

[3]許傳華.建立現代商業銀行內控機制評價體系的探討[J].武漢金

融，2003(4).

[4]宋 靜.商業銀行內控機制缺陷及改進[J].河北企業，2009(3).

[5]王 玲.我國商業銀行內控機制的對策研究[J].現代經濟信息，2009

(12).

[6][7]Frederick C. Mish， et al.Webster’s Ninth New Collegiate

Dictionary [Z]. Springfield， MA: Merriam-Webster， 1986: 632， 285.

The Construction of Internal Control Evaluation System

Based on Premise of Internal Control

Zhang Leilei ，Li Jia

(Central University of Finance and Economics， Beijing100081，China)

Abstract: In recent years， financial institutions are frequently involved in risk cases due to failure of internal control. Among them there are some internationally recognized financial institutions with sophisticated internal control systems. This paper argues that the reason for the cases is thatthere exist some blind spots in evaluation system within internal control systems and the institutes largely ignored the important role of premise of internal control systems for the construction of internal control. The paper re-builds internal control evaluation system based on internal control premise and applies the new system to French Société Générale assessing its internal control system before the exposure of a great deficit so as to justify the feasibility of the new system. At last the paper puts forward some suggestions about how to build effective internal control system in China's financial institutions

Key words:internal control; internal control evaluation system; premise of internal control

(責任編輯:張丹郁)