商業銀行內控合規管理案例分析

南京審計學院國際審計學院 朱竹箐 許 莉

一、理論基礎

1912年，蒙哥馬利提出“內部牽制”理論：通過收集和處理企業會計信息過程的審查和評價，確定財務報表審計的工作范圍。1992年COSO委員會認為，內部控制系統是由五要素組成，并且取決于高層的經營方式，滲透到管理環節中。1998年SAS55指出：內部控制結構包括為合理保證實現企業具體目標而建立的各種政策和程序，并可分為控制環境、會計制度、控制程序三個要素。2004年COSO風險管理框架把風險管理要素完善具體到八個。2005年巴塞爾委員會《合規與銀行內部合規部門》認為合規是指商業銀行在經營活動中確保遵守法律法規和準則的內控職能。

1997年中國注冊會計師協會《獨立審計具體準則第9號》指出內部控制是企業為保證業務活動的有效進行、保護資產的安全和完整，防止、發現、糾正錯誤與舞弊，保證會計資料的真實性、合法性、完整性而制定和實施的具體措施。2000年《會計法》要求各單位應當建立、完善內部會計監督制度，并明確提出權責明確、不相容職務相互分離、各部門相互制約、監督等要求，為確保企業會計信息的真實性和完整性而設計內部會計控制。2001年，財政部《內部會計控制規范》以及六項具體控制規范指出內部會計控制是指企業為提高會計信息質量，確保資產安全、完整，確保相關法律法規、準則的有效執行而設計和實施的控制措施。2004年，《獨立審計具體準則第29號》規定，內部控制是企業為合理保證財務報告的可靠性、經營效率、經營效果和遵循法律法規、準則，由管理層制定和實施的措施。2008年《企業內部控制基本規范》則認為：公司的內部控制政策和措施與國家法律法規沒有相沖突的地方。但是，2010年發布的《企業內部控制配套指引》和《應用指引》，卻并未提及金融方面的指引，理論并不完善，因此，對商業銀行內控合規的研究是很有必要的。

二、商業銀行內控合規現狀——基于案例的分析

商業銀行如果不能正確地防范合規風險，將會導致操作風險、信用風險等其他類型的并發風險。近年來，國內銀行經常暴露出一些銀行違法違規的案例，大多由于缺乏科學的合規風險管理體系。多數銀行一直以來都未將合規納入風險管理之中，更沒有形成合規風險意識，因此，違規操作、合規風險限制著我國銀行業的健康發展。下文通過解析媒體公開報道的幾個案例來分析商業銀行合規管理中存在的問題。

案例一：齊魯銀行金融詐騙案

2010年，原上海全福投資管理有限公司董事長、總經理劉濟源，通過偽造金融票證等手段多次騙取資金。7～10月其利用私刻的企業印章加蓋于電匯憑證，轉走8.4億元；11月利用虛假進賬單轉走0.4億，后聯系正德人壽存入齊魯銀行5億，當晚灌醉來辦理存款的員工，竊取了該公司印章，加蓋在其事先偽造的單位定期存款開戶證實書和定期存款提前支取手續上。此后，他還私刻齊魯銀行相關印章轉走該款。而在2010年，普華永道會計師事務所對齊魯銀行出具的審計報告顯示，齊魯銀行的第三方存款質押業務存在借款人營業收入與貸款規模不匹配等問題，并為此注明了“保留意見”。這說明騙貸案在2010年初就已顯露，而齊魯銀行不僅沒有引起重視反而撤換了該事務所，使人不由得聯想到有“內鬼”。同時也說明董事會和監事會對高級管理層的監管不力，并未起到應有的約束作用。

解析：內控制度執行不嚴，關鍵點控制不夠。本案犯罪手法有私刻、盜取公章，偽造票據等，根源就是銀行的內控合規制度未得到嚴格的執行。具體表現：一是沒有做到有章可循、有章必循。對于他行存單，按規定有一個到存款銀行核實真偽并辦理質押、支付的流程，銀行人員并未按照規章制度，認真檢查存單的真偽，即匆匆將存款支付了。二是沒有實行重點交叉和關鍵點檢查。本案中銀行對關鍵物件印章、關鍵工作環節存取及票據清算未引起足夠的重視與關注。三是未設計逾期貸款監控措施，逾期貸款劇增，監管層卻并未關注。

案例二：煙臺銀行案中案

煙臺銀行勝利路支行行長劉維寧從2011年4月到2012年1月，分多次將銀行庫存銀行承兌匯票全部取走，用途不明，金額4.3億元。劉維寧挪用抵押在支行的承兌匯票，并且勾結外部企業，開出承兌匯票套現，套出資金放高利貸或做其他投資，匯票到期之前，把錢收回來填補。勝利路支行一直是劉維寧一個人打理，高層負責人只有他。在早期2001年至2006年，煙臺銀行出現過類似事件，煙臺山支行行長張群利利用承兌匯票貼現后的巨額資金，開始賬外經營，采取票據承兌貼現后收回資金不入賬，賬外經營資金累計達5億元，收回賬外利息5000多萬元不入賬。

解析：定期檢查制度形同虛設，缺乏制約機制。本案例中，該銀行內部人員表示：對支行的所有票據業務，總行每季度都設置定期檢查，全年有多次隨機抽檢，年底，每筆票據業務全部需要還原核實，如果該制度嚴格執行，根本不會發生賬外經營；并且其中的職責分離也不到位，不能只由一人打理基本事務；而張群利賬外經營則是銀行內部關鍵負責人犯罪，內部各部門缺乏監督牽制機制，對關鍵人員的制約不足。

案例三：黃海農商行亂象

2012年，黃海農商行的不良貸款率猛增，其大筆放出的貸款被貸款公司的法人用于私放高利貸，并且貸款抵押物已被當事人私下處理，法人均涉民間借貸跑路或者被捕。2012年，黃海農商行貸出的不良的大額貸款就涉及至少6870萬元，其中有的公司法人逃跑、有的公司逾期無力償還，甚至涉及假擔保、假質押。

解析：貸款“三查”制度不落實，貸款集中度高。本案中，金融監管部門曾警告黃海農商行，要求該行在發展貸款業務的同時，也要盡快理清該行的貸款條件、貸款流程等相關制度。同時，該區金融監管部門還提出：貸款的發放應專注于中小企業和農業貸款，不能用到其他用途；明令禁止銀行內人員涉及民間融資，嚴禁貸款方將貸款轉借他人或做與申請時不同的業務。黃海農商行卻有規不循。銀行批復貸款時應設計三查制度，包括：報批前調查和初審、借款人還貸能力及來源可靠性、資金流向、擔保物的保管與評估、對資金使用和貸款質量的管理、不良貸款的回收和處理等。本案中，黃海農商行貸款發放制度不明確，未遵循三查制度，對貸后管理方面沒引起足夠的重視。

從上述案例分析可見，商業銀行在內控合規管理中設計、執行、控制措施、信息溝通等方面存在問題。

（1）銀行人員缺乏合規意識，內控合規環境缺失。由于我國銀行各個部門的規章是各自制定，著重點不一樣，有的重業務輕合規，有的重事后輕事前，缺乏統一合規管理制度。銀行一直在強調合規，但只有少數員工知道合規的具體內容，學習繁雜的法律規章對員工而言既無效率也不易實現，缺乏實質性了解，為業務處理帶來了許多不規范，也會帶來更大的麻煩，合規管理就難以實現。

（2）缺乏合規管理，內控合規風險的獨立性不強。現在商業銀行有的只是分散在各個業務部門互不融合、不能相互適用的合規風險管理體系，各個業務部門往往更加看重自己的業務合規管理，未將全行業的合規風險納入到整體風險予以重視。由于沒有統一的風險管理制度，各部門對合規風險的理解也就不一樣，最終則會導致全行的合規風險管理失控。同時，各部門都是根據自身情況來承擔合規管理工作，各部門的管理水平就取決于領導的合規風險管理能力，從而增加了合規管理部門的非獨立性。

（3）雖有內控設計，內控制度執行卻不到位。案例三中，按照銀行規定，銀行貸款必須依循“三查”制度，貸后管理必須嚴格重視，但銀行卻未引起關注。實際中，各個商業銀行雖都設計了各自的內控制度，銀行制定的內控管理監督制度文件發布得很具體，但是合規管理中內控并未得到嚴格的執行，流于形式。在一些銀行，合規管理只強調制定規章制度，在實際操作中卻不合理地貫徹落實。制度設計了卻不執行，執行了卻不嚴格，那么這個制度就形同虛設。

（4）信息溝通缺乏相關性和及時性，合規管理困難。現有的上市銀行內控信息溝通顯然流于形式，每家銀行都是更多地強調制度建設而非內控的風險評估；都是更多地進行定性表述而非進行具體的定量分析；都是過多進行正面效應的展示而非進行實質性缺陷的揭露。案例二中，煙臺銀行總行與支行缺乏及時溝通，引發資金挪用。

（5）制約機制不完善，對權力監督不力。沒有充分考慮到商業銀行風險經營的特點與要求，部門間員工分工不合理，管理職責執行不到位，不相容崗位未實行有效分離，重要部門或崗位缺乏獨立性，缺少監督機制，不合理的組織結構使內控監管職能難于有效發揮、削弱了內控的作用與效果，從而，為舞弊行為的發生創造了條件。

三、商業銀行內控合規管理完善措施

從《企業內部控制基本規范》可以看出：合規操作必須貫徹落實到每位員工及高層管理人員的具體操作行動中，實現控制目標、提高內控評價效果；在防范風險、審慎經營的基礎上，內部控制應體現在經營管理過程中各個操作環節當中。按照巴塞爾協議，分析銀行業特點，為完善五部委發布的基本規范，尤其是為了使《商業銀行合規風險管理指引》更好地指導中國各個銀行在實際操作中合規操作，提出以下幾點加強防范的措施：

第一，培育優良的內控合規文化。企業的內控環境是所有運營活動的基礎，是其他活動正常開展的保障。企業內控環境不僅關系到戰略目標的制定、經營活動的開展和風險識別、評估等，還影響控制活動、信息的溝通、監督等各項活動的實施。內控合規文化是保障商業銀行合規操作、穩健運營的軟實力，借鑒國外銀行的經驗，倡導及培養適合我國商業銀行實際情況的合規文化。全員參與合規，組織開展針對全員關于法律法規、規章的不同層次的宣傳、教育和培訓，將合規理念傳給每個銀行人員，形成主動合規的意識。全體人員都應重視檢查業務中的不合規操作及風險，及時完善操作程序，降低風險，從而形成優秀的合規文化氛圍以增加效益，促進銀行穩健發展。

第二，建立科學的內控合規風險管理體系。銀行應該從整體風險管理角度出發，創建以合規部門為中心，其他業務部門相配合的合規風險管理體系；在全行業積極宣傳法律法規、行業規章、道德規范，明確各行的合規制度具體內容，各行的高層人員應對此履行監督與執行職責；確保合規部門或人員在批準的職責范圍內按規定完成工作任務；制定科學的年度合規計劃；合規部門應著重關注業務的事前和事中監控，努力盡早地識別出合規風險；合規部門工作時，有權要求其他部門予以配合。

第三，建立有效的激勵約束機制和合規問責制。銀行應制定科學的激勵制度，以激勵員工完整地合乎規定。由于考核結果的運用與銀行員工的切身利益直接相關，對員工的積極性有著重要作用。在商業銀行的風險管理中激勵或約束不到位，那么這種機制產生的就是誤導的作用，銀行的制度、宗旨乃至價值觀也難得到體現。當業務發展與合規與否發生沖突時，有些員工就會將合規置之腦后。建立科學合理的激勵約束機制已經成為商業銀行穩健發展的必然要求。針對大多數銀行重視運營成果忽視合規管理的狀況，可從加大懲處力度角度出發，這也并不意味罰金越多越好、刑罰越重越好，而是應該保持在合適的“度”內，處罰力度應取決于使一個業務操作人員在工作時能在收益與合規之間選擇合規而非違規經營，通過這種方式使員工在業務操作中減少違規。

第四，加強信息溝通實現合規管理。銀行的內控活動應融入各項業務和各操作環節，內控信息溝通中應充分包括相關具體內容、內控監督與糾正及自我評價，銀行的內控信息應得到有效、全面的溝通與報告。開展定期或不定期的內控健全性和有效性檢查與評價，并及時將檢查的結果、評價的意見向上級提交審計報告。

第五，加強合規審計監督。為確保有效地將商業銀行合規管理全面滲透到商業銀行，必須在銀行的工作中融入合規審計監督。但因傳統的審計檢查沒有全局性管理，在開展審計工作時隨意性較大且需要大量的資料以協助工作的開展，例如查庫時需要較多的審計與管理人員，兩者之間還需要進行大量溝通才能得出合適的結論。而銀行的工作人員數量有限、工作繁多，應設計一套科學有效的合規審計系統加強各項業務合規工作的監督。還要完善稽核監督制度，在銀行設審計委員會，負責制定政策和組織領導；在總行設立獨立于其他部門且直接對董事會或者審計委員會負責的內審監督部門，對分行的監管部門實行派遣制加以輪崗制以保證內審人員工作的獨立性。這樣逐級設置獨立的內審監督部門，加強信息交流，直接了解情況，形成一套比較獨立完整且又行之有效的內審制度，同時應關注內審隊伍的整體建設，提高內審人員的專業素養及道德素質，結合風險導向審計的原理，用以規范內審人員的工作方式及工作內容，加以完善。

第六，運用計算機審計技術。隨著信息化不斷地深入人們的生活，各商業銀行應運用先進的科學技術和適合現代銀行技術方法的控制線路加強合規管理，防范和控制合規風險。引入信貸風險管理系統，建立針對客戶的統一授信決策體系、健全科學的授信決策機制、健全有效的貸后管理體系。引入專業審計軟件高效地開展IT審計，IT審計與其他業務的審計相互配合，處理好IT審計與日常信息科技運行維護的關系。組建一支具有良好職業素質的IT審計隊伍、制定一套具備完備標準的IT審計規范、一套高度規范的IT審計工作流程和一個高起點的審計管理信息系統。

［1］楊雄勝：《內部控制范疇定義探索》，《會計研究》2011年第8期。