我國上市商業銀行內部控制自我評價研究

（集美大學工商管理學院 福建廈門361021）

一、引言

2006年以前，我國監管部門對企業內部控制自我評價并沒有強制性的規定，上市公司自愿性內部控制信息披露的動機并不強烈。2006年以后，隨著上交所和深交所 《上市公司內部控制指引》的頒布，尤其是2008年財政部等五部委聯合發布了 《企業內部控制基本規范》（以下簡稱 《基本規范》），以及2010年五部委又出臺了《企業內部控制配套指引》（包括《企業內部控制應用指引》、《企業內部控制評價指引》和 《企業內部控制審計指引》），使上市公司內部控制信息披露由自愿性披露轉變為強制性披露。《基本規范》和配套指引明確規定，上市公司應當對內部控制的有效性進行自我評價，披露年度自我評價報告，可聘請具有證券、期貨業務資格的會計師事務所對內部控制的有效性進行審計并出具內部控制審計報告。

目前我國主要從評價的實施主體、評價對象、評價方法以及信息披露等方面對企業內部控制評價進行了規定。從不同部門的規定中，我們可以發現：內部控制自我評價的實施主體是企業內部人員而非外部人員，既包括董事會這樣的權利機構，又包括審計部門這樣的職能機構；內部控制自我評價的對象是企業內部控制整體的有效性，既包括從內部控制五要素角度進行的內部控制評價，也包括具體業務活動的內部控制評價；內部控制自我評價的目的是得出關于企業內部控制設計和運行有效性的結論，以完善企業的內部控制制度，評價的成果是內部控制評價報告。

銀行作為特殊監管的行業，其內部控制的有效性影響著銀行的穩健經營和可持續發展，進而影響著市場經濟的正常運行。內部控制制度體系的基本建立能否保證銀行具有高質量的內部控制信息披露？上市商業銀行內部控制自我評價是否得以完善和發展？本文以我國16家上市商業銀行2011-2013年間披露的內部控制自我評價報告為研究對象，分析其中存在的問題并提出相應的對策建議，為完善我國上市商業銀行內部控制自我評價提供參考。

二、我國上市商業銀行內部控制自我評價報告分析

（一）整體情況

截至2013年12月31日，我國共有16家上市商業銀行，包括5家大型國有商業銀行（中、工、交、建、農）、8家股份制商業銀行（平安、浦發、民生、招商、華夏、興業、中信、光大）和3家城市商業銀行（南京、寧波、北京）。

2010年五部委出臺的《企業內部控制評價指引》要求企業自2011年1月1日起對外披露或報送內部控制自我評價報告。2011-2013年，16家上市商業銀行均發布了內部控制自我評價報告，并聘請會計師事務所出具了內部控制審計報告。總體來看，上市商業銀行對內部控制自我評價的披露更加詳細和完善，并表現出統一的趨勢，大部分報告完整地包括了 《企業內部控制評價指引》要求企業應當披露的以下八項內容：董事會對內部控制報告真實性的重要聲明；內部控制評價工作的總體情況；內部控制評價的范圍；內部控制評價的依據；內部控制評價的程序和方法；內部控制缺陷認定標準；內部控制缺陷及整改情況；內部控制有效性的結論。

（二）具體分析

在評價的責任主體方面，2011-2013年，16家共48份上市商業銀行的內部控制自我評價報告中都明確指出，按照企業內部控制規范體系的規定，建立健全和有效實施內部控制，評價其有效性，并如實披露內部控制評價報告是董事會的責任。

在評價范圍方面，2011年，除華夏銀行和浦發銀行外，其余14家銀行披露了內部控制評價范圍；2012年、2013年16家銀行均披露了內部控制評價范圍。按照《基本規范》及配套指引的要求，企業內部控制評價范圍應從內部控制五要素（內部環境、風險評估、控制活動、信息與溝通、內部監督）及三個層面（公司總體層面、業務流程層面、信息系統層面）展開。然而，如下頁表1所示，2011年詳細披露了內部控制五要素評價的銀行有11家，而2012年和2013年僅4家銀行作了相關披露；對于三個層面的披露，銀行也都只是進行了簡單的闡述，并沒有實質性的內容。

在評價依據方面，我國上市商業銀行內部控制自我評價所依據的標準眾多。由表2可知，銀行主要依據《基本規范》、《企業內部控制評價指引》及《商業銀行內部控制指引》。少數銀行同時也依據了其他相關法規，如建設銀行2013年的內部控制自我評價報告除了依據《基本規范》、《企業內部控制評價指引》、《上交所上市公司內部控制指引》外，還依據了《商業銀行操作風險管理指引》、《商業銀行信息科技風險管理指引》等法規。法規繁雜，一方面導致商業銀行的內部控制評價活動千差萬別，彼此的自我評價報告缺乏可比性，另一方面也導致商業銀行內部控制評價體系難以統一，評價結論缺乏可信度。

在評價程序和方法方面，由于內部控制評價程序和方法較多地涉及到了銀行的商業秘密和信息成本，直至2010年，我國僅有1家銀行對此進行了披露。自2011年起實行的《企業內部控制評價指引》將內部控制評價的程序和方法納入了強制性披露范圍，2011年披露該項信息的銀行增加至13家，占比81.3%；2012年、2013年，16家銀行均披露了內部控制的評價程序和方法。

在缺陷認定標準方面，2011年、2012年有13家銀行披露了內部控制缺陷的認定標準，且2012年只有北京銀行對內部控制缺陷的認定標準進行了量化；2013年，披露缺陷認定標準的銀行數量上升至16家，對其進行量化的銀行達到了13家。

在內部控制缺陷認定及整改情況方面，2011年有4家銀行對此進行了披露，2012年僅2家銀行進行了披露，2013年，除光大銀行和浦發銀行未披露缺陷整改措施外，其余14家銀行均進行了披露。然而，即使銀行披露了缺陷整改情況，但對于存在的內部控制缺陷，卻以在可控范圍內且已經得到整改或對內部控制目標的實現不構成實質性影響為由沒有做詳細披露。因此，我國上市商業銀行在進行內部控制自我評價時，會選擇性地披露有利信息，缺少實質性內容的披露。

在內部控制評價結論方面，近三年，16家上市商業銀行所披露的內部控制自我評價報告均得出了內部控制體系設計合理并運行有效的結論，而缺乏如何有效利用內部控制評價過程與評價結果的披露。2011年，僅招商銀行和民生銀行對此進行了披露，招商銀行針對內部控制評價過程審計成本問題研發了新的審計軟件，以降低評價成本并保證評價效果；民生銀行則通過將內部控制評價結果與業績評級掛鉤，提高了對內部控制自我評價結論的關注度；2012年，16家上市商業銀行均未提及如何有效利用內部控制評價過程與評價結果；2013年，僅平安銀行在內部控制自我評價報告中提及將內部控制評價的結果與內部控制管理體系相銜接，及時梳理流程、風險點和控制活動，以充分發揮內部控制評價結果對內部控制建設的推動作用。

（三）分析結論

通過上述近三年來我國上市商業銀行內部控制自我評價報告的數據分析可以發現，上市商業銀行披露的內部控制自我評價報告逐漸得以改善。然而，仍存在一些問題：第一，內部控制自我評價的內容缺乏充分性；第二，內部控制自我評價的依據缺乏可比性；第三，內部控制自我評價的信息披露缺乏規范性；第四，內部控制自我評價的結論缺乏關注度。

表1 披露內部控制五要素評價情況統計

表2 我國上市商業銀行內部控制自我評價報告的法律依據

三、完善我國上市商業銀行內部控制自我評價的建議

在我國，商業銀行內部控制自我評價起步較晚，還處于探索階段，因此存在一些問題。針對上述分析中存在的問題，本文認為可以從以下幾個方面進行完善。

（一）制定企業內部控制信息披露的指導細則

我國上市商業銀行內部控制自我評價的信息披露缺乏充分性和主動性，主要表現在銀行較少地披露內部控制評價范圍的具體內容和內部控制缺陷認定標準。本文認為導致這一問題的主要原因在于企業內部控制信息披露缺乏具體的指導細則。雖然《基本規范》和《企業內部控制評價指引》規定了企業內部控制評價應披露的內容，但更多的是理念、要素和框架的指導，對每一項內容并未做詳細的規定。鑒于此，本文認為監管機構應基于現有的規范，針對不同行業的性質制定出相應的內部控制評價報告披露內容的側重點；在確定具體披露內容時可以運用標桿管理法，參照行業內優秀銀行的做法確定應披露的信息，比如，2013年16家上市商業銀行均披露了內部控制自我評價的范圍和缺陷認定標準，但這兩項均做詳細披露的銀行卻不多，其中僅北京銀行和平安銀行既充分披露了內部控制的五要素，對于內部控制缺陷的認定標準又分別從定性和定量兩個層面進行了詳細說明，可以為其他銀行提供借鑒。

（二）采用科學的內部控制評價行業標準

五部委、上交所、深交所針對企業內部控制評價分別出臺了評價標準，但對內部控制各方面的規定不盡一致，導致各銀行內部控制自我評價采用多重標準現象的出現，使得評價信息缺乏可比性。因此，金融監管機構應發布針對銀行業的內部控制評價指引，包括一般標準和具體標準。一般標準為銀行內部控制評價提供宏觀框架，明確內部控制評價的目標及內部控制構成要素等基本概念。具體標準細化銀行內部控制評價的實務標準內容，指明每個業務單元的關鍵控制點；規定應采用定性與定量相結合的方法對內部控制評價程序和方法及缺陷認定標準進行披露；在對內部控制有效性結論定性披露的基礎上應進行量化評估，以增強銀行間內部控制評價結論的可比性。

（三）加強企業內部控制信息披露的監管

我國上市商業銀行內部控制自我評價很大程度上流于形式，評價的內容不一、格式不規范、質量不高、執行力度不夠，且不乏虛假信息的披露。這一方面與缺乏明確的內部控制評價標準有關，另一方面也與監管部門監管不力，懲罰不嚴有關。對于管理層不履行內部控制評價及信息披露責任、內部控制評價不實、披露虛假內部控制信息及審計師出具不符事實的內部控制鑒證意見等，我國缺少明確的法律條文來規定管理層和注冊會計師應承擔的法律責任。因此，我國應完善企業內部控制的法律法規，明確相關責任人的行政責任、民事責任和刑事責任，以此來規范企業內部控制評價及信息披露。

（四）促進內部控制評價結論與銀行內部控制建設的融合

商業銀行應當對內部控制評價的結論給予關注。一方面，應規范缺陷及整改措施的披露，細化內部控制缺陷分級的具體標準，建立內部控制缺陷及整改數據庫。持續完善符合戰略發展及風險管理要求的內部控制管理體系，加強全面風險管理，構筑牢固的風險管理防線，把握風險管理的關鍵控制點，做到內部控制評價體系與缺陷糾正機制的“快速反應”，提高內部控制機制的有效性，及時防范化解經營風險，有效支持戰略目標的實現，促進銀行可持續健康發展。另一方面，持續完善內部控制系統建設，通過系統自動控制推進內部控制評價工作標準化、常態化。銀行應在推進內部控制評價系統模塊的基礎上，總結經驗教訓，從系統操作便利性、功能擴展性等方面，持續完善系統功能并推廣運用；同時，把部分內部控制提前嵌入系統，促進內部控制流程與信息系統的有機結合，加強對業務和事項的自動控制，提升內部控制的質量。