COSO內部控制框架對銀行內控建設的借鑒意義

文|王強

?

COSO內部控制框架對銀行內控建設的借鑒意義

文|王強

美國反虛假財務報告委員會下屬的COSO委員會1992年9月發布了《內部控制整合框架》，提出了內部控制的五要素理論。COSO報告成為美國證券交易委員會唯一推薦使用的內部控制框架。經過2004年、2013年二次修改完善，內部控制被上升到全面風險控制的高度。反觀我國金融業情況，進入二十一世紀后，整個銀行業充分享受了經濟持續高速增長的紅利。截止2014年末，中國銀行業金融機構總資產規模達1721.3萬億元，是2003年的6.2倍，年均增幅為19%。2014年銀行業金融機構凈利潤1.55萬億元，是2003年的48倍。然而，商業銀行資產規模快速增長的背后必然埋下了粗放經營的隱患。近年來，銀行不良貸款率的急速增長已經敲響了風險的警鐘。今天，國內銀行業普遍掀起了戰略轉型的“二次改革”熱潮，借鑒COSO內部控制框架，完善建立起商業銀行有效的內控體系也成為了一項有益的課題。

COSO內部控制整合框架的內核

2013年COSO《內部控制整合框架》經過修改完善，包括有內控3項目標、5要素、17條原則以及相關81個屬性來評估內控有效性狀況。COSO報告認為，內部控制系統是由“控制環境、風險評估、控制措施、信息與溝通、監督活動”五項要素構成，它們取決于管理層經營企業的方式，并融入到管理過程中。

控制環境。是其他要素的基礎。包括管理人員的誠信與道德價值觀；管理理念與經營風格；權限與職責分配；對員工技能的提升及促進員工職業生涯發展的承諾；董事會提供的關注與方向。

風險評估。確認和分析實現目標過程中的相關風險是形成風險管理內容的依據。它隨著經濟、行業、監管和經營條件而不斷變化，需建立機制來辨認和處理。包括設立目標、設別目標風險、評估風險后果與可能性、匹配控制措施等管理步驟。

控制措施。控制措施是幫助保證風險反應方案得以正確執行的相關政策和程序。貫穿于企業的所有層次與部門。包括一系列不同的活動，如批準、授權、證實、調整、經營績效評估、資產保護與職責分離等。

信息與溝通。來自于企業內部和外部的相關信息必須以一定的格式和時間間隔予以確認、捕捉和傳遞，以保證員工能夠執行各自的職責。有效的溝通包括企業內自上而下、自下而上以及橫向的溝通，還包括將相關的信息與企業外部相關方面的溝通和交換。

監督活動。對企業風險管理的監督活動是對風險管理要素的內容和運行質量的評估過程，以保障風險管理在企業管理層和各部門得以持續執行。

國內銀行業監管機構內控監管理念的發展

人民銀行。1998年，人民銀行頒布了《加強金融機構內部控制的指導原則》，持續對商業銀行的內控制度進行專項檢查。2002年，人民銀行發布《商業銀行內部控制指引》，第一次將COSO整體框架標準引入我國銀行業。進一步將規范公司治理作為對商業銀行監管的重點，督促商業銀行從更高層次完善內控體系，強化內控管理。

銀監會。2007年，銀監會發布新版《商業銀行內部控制指引》，成為當前商業銀行內部控制最主要的監管法規。該指引全面借鑒了以美國COSO報告等內控規范性文件精神，體現了統籌兼顧、突出重點的基本思想，積極倡導《巴塞爾新資本協議》的全面風險管理理念。

國內商業銀行內控管理中對COSO整合框架的借鑒

內控管理是對風險全員、全面、全過程的控制，是自發的、內生的需求，是一個動態的過程，強調系統性、整體性、協同性。整合框架就像一個魔方，根據企業的特點，靈活地運用不同的管理組合和管理策略，以達到管理效益的最大化。

培養健康的內控環境。商業銀行的內控管理工作要以保障和促進業務發展效益為目標，以提升可持續發展的企業競爭力為根本，為企業的經營和管理工作保駕護航。按照COSO報告，內部控制目標可細分為經營效率與效果、財務報告可靠和遵紀守法三類子目標。

內部控制是“過程管理”，五項控制要素并非按照先后順序實施的控制工序，而是多維度相交叉的復雜控制過程。在內控管理中必須明確控制要素間有機的多維的聯系與影響。

在內控管理中，“人”發揮著極其重要的作用。每位員工都受內部控制的影響，并通過自身的工作影響著他人和整個內控系統。所以，要求每位員工都必須明確自己在銀行及銀行內控體系的定位，與其他人協調一致，共同推進內控體系的有效運轉。

健全風險識別與評估體系。商業銀行應建立統一的風險評估程序與工具，持續加強各類風險的識別與評估。識別固有風險，并從風險發生的可能性和風險嚴重程度兩方面對固有風險進行評估。梳理現有控制措施，評估風險處理效果。根據評估結果得出風險評估對象的殘余風險水平，結合可容忍風險判斷控制措施是否充分和合適。

風險識別方法有：訪談、小組集中討論、流程圖分析、歷史數據分析、行業調研、重大事件備查簿、失效模式與影響分析、事件樹分析、基于事實的管理等。風險識別考慮的外部因素包括宏觀經濟變化、市場競爭和客戶需求變化、技術進步、監管變化等。風險識別考慮的內部因素包括組織架構、風險偏好、管理機制、業務流程、運營模式的變化、信息系統、業務創新、成本投入、員工素質、企業文化等。

按照風險發生的可能性以及對銀行造成的負面影響兩個維度，采用定性與定量相結合的方式將固有風險和殘余風險分級。以風險發生的可能性可分為五級：罕見、較小可能、可能、較大可能、基本確定。以負面影響程度可分為四級：輕微、普通、嚴重、非常嚴重。

根據風險評估結果，形成全行統一的風險熱圖，直觀、清晰地展現業務流程中的風險及風險遷移情況。低風險（綠色區域），管理優先級低，維持現有管理水平，可適當調配資源，管理其他風險。中風險（黃色區域），管理優先級中等，需關注風險趨勢變化，適當調整資源管理，以有效的成本代價降低風險排序。高風險（紅色區域），管理優先級高，需要重點關注，優先調配資源強化管理，以降低風險排序。

（三）完善風險控制措施。建立全行統一的三級控制標準，內控管理標準化。第一級為“企業級控制通用標準”，適用于全行各機構、各領域。第二級為“領域級控制共用標準”，是基于企業級通用控制標準建立的，適用于特定業務或管理領域的共同控制標準。包括產品管理、客戶關系管理、渠道管理、業務管理、現金管理、信貸業務、金融市場等領域標準。第三級為“流程級控制特殊標準”，是在領域級共同控制標準之外，具有流程特性的特殊控制標準，適用于特定業務或產品操作流程。

建立控制等級標準，通過流程層面的風險評估，對應風險等級定義控制等級。以關鍵控制指標（KCP）為核心,控制主體包括部門、崗位、員工；控制對象包括組織、政策、流程、數據、技術；控制實施證據包括表單、報告、文檔；控制程度等級分為一般、次要、關鍵；控制手段分為自動、半自動、手工；控制發生頻率分為每日多次、每日、每周、每月、每季、每年；控制性質分為事前控制、事中控制、事后控制；控制職責包括不相容崗位管理、授權審批、財產保管、會計記錄、監督檢查等。

（四）構建科學的內控評價體系。構建以風險為導向的內控評價體系。以內控過程評價為核心，以內控框架為架構，涵蓋過程管理與結果管理，以過程指標、結果指標以及修正指標為績效考核依據，將內控成熟度模型結果作為內控質量的最終呈現。

內控成熟度模型是內控評價結果差別化管理的方法，分為5個階段，每個階段代表內控框架建設達到的不同程度，為科學評價分支機構內控排名提供依據，同時為各評價機構提供內控管理改進的方向和指引。

（作者單位：中國建設銀行深圳市分行）