以兆豐銀行為例談商業銀行內部控制失效及對策

朱冬花

摘要：自1997年我國注冊會計師協會首次提出內部控制概念以來，內部控制的理論與實踐不斷發展完善，在企業經營管理的過程中發揮著舉足輕重的作用，與此同時，也不乏因為內控失效而付出沉重代價的企業出現，法國興業銀行授權控制失效帶來的金融悲劇、上海家化內控被否等案件情形都歷歷在目。本文在兆豐銀行紐約分行因反洗錢工作板塊不合規涉嫌違反美國銀行保密法被紐約金融服務局重罰1.8億美元的基礎上，分析了兆豐銀行內部控制存在的漏洞，旨在提出關于有效建設我國商業銀行內部控制的對策。

關鍵詞：兆豐銀行；內部控制；有效性

在我國市場經濟的飛速發展過程中，包括商業銀行等金融機構在內的現代企業面臨著諸多對未來的不確定性，風險因素日益增加，而內部控制作為企業生產經營活動的自我調節和自我制約的內在機制，能夠幫助企業維護核心競爭力，防范并有效降低經營風險，保證企業會計信息的真實性和準確性，維護財產和資源的安全完整，保證企業經營合法合規，處于企業中樞神經系統的重要位置，企業規模越大，其重要性越顯著，可以說，內部控制的健全與否，是單位經營成敗的關鍵所在，同時對投資者判斷一家公司經營狀況來說也是十分重要的依據。

相較于西方發達國家而言，我國內部控制起步較晚，無論在理論研究還是實踐研究上都在一定程度上相對落后。目前雖然我國各相關部門一直致力于推動企業內部控制的發展，大多數的企業也都建立了自身的內部控制體系，但由于沒有意識到內部控制的重要性，在實際執行的過程中力度不夠，使內部控制效果與預期相差甚遠，因此，探討企業內控失效的原因并提出相應的解決方案已成為當下迫在眉睫需要解決的問題，具有重要的研究意義。

2016年8月19日，兆豐銀行紐約分行遭美國紐約州金融監理機關裁罰一億八仟萬美元，原因是該行2012年度涉嫌違反銀行保密法及反洗錢法，此事件的爆發再一次證明了內部控制對于企業的重要性，本文基于此，剖析了兆豐銀行內部控制存在的漏洞，找出其內控失效的原因，旨在為我國商業銀行提出內控失效相應的解決方案。

一、內部控制及其有效性概念

（一）內部控制

企業建立內部控制制度體系旨在讓企業的經營管理更加有效，COSO委員會對內部控制的定義是內部控制是由企業董事會、經理層和其他員工實施的，為公司戰略的實現、營運的效率效果、公司報告的可靠性、相關法律法規的遵循性等目標的實現而提供合理保證的過程。我國2008年6月發布的《企業內部控制基本規范》中指出，內部控制是由企業董事會、證監會、經理層和全體員工實施的、旨在實現控制目標的過程。內部控制有五個目標，分別是合理保證企業生產經營合法合規、資產安全、財務報告及相關信息真實完整，提高企業的經營效率以及結果，促進其實現發展戰略。

（二）內部控制有效性

內部控制有效性是指企業建立與實施內部控制對實現控制目標提供合理保證的程度，包括設計、運行有效性兩個方面，該保證程度越高，內控就越有效：反之，則無效。

首先，內部控制設計的有效性。它是為了辨別內控是否存在設計缺陷和為實現控制目標所必需的控制，而評估是否存在為實現控制目標所必需的內部控制要素，以及相應的設計是否恰當。我們可以從是否為防止、發現并糾正財務報告重大錯報及漏報而設計了相應的控制，相關控制的設計是否能夠保證企業遵循適用的法律法規，相關控制的設計是否有助于企業提高經營效率和效果，相關控制的設計是否有助于實現發展戰略五個方面來對企業內部控制設計的有效性進行評價。

其次，內部控制運行的有效性。它是指現有內部控制按規定程序得到了正確執行。如果某項控制正在按照設計運行，相關執行人員是經過授權的并且擁有一定的專業勝任能力，預計控制目標能夠得以實現，表明該項控制的運行是有效的。具體包括相關控制是怎樣運行的以及是否得到了持續一致的運行，所采用的控制運行的方法等。

評價企業內部控制有效性的意義在于查找、糾正并報告內部控制設計和運行中的缺陷，并找出相應的解決方案，支持企業持續有效經營。而我國內部控制規范體系并沒有統一規定內控缺陷和內控有效性的認定標準，企業需要根據內部控制規范體系，結合自身實際，制定內控缺陷和內控有效性的認定標準，這就造成了不同企業內部控制制度體系建設不同，設計和執行情況都有所差異，有的企業甚至對內部控制的建設不予重視，虛假信息披露，授權操作不當帶來巨虧，被處以巨額罰金等后果層出不窮，為包括商業銀行等金融機構在內的各企業內部控制建設并確保其有效運行以降低經營風險敲響了警鐘。

二、案例介紹

（一）兆豐銀行簡介

兆豐銀行總部位于我國臺北，全名為兆豐國際商業銀行，是臺灣金融業最大、歷史最為悠久的商業銀行，前身為大清銀行，于2006年8月21日吸收合并臺灣的交通銀行（CTNBANK）并配合母公司兆豐金融控股改為現行名稱。呂桔誠及王榮周先生在07年到09年先后擔任兆豐銀行的董事長，此后就由蔡友才擔任董事長至2016年3月。總經理由徐光曦擔任至2014年，并在此后兩年先后內升魏美玉、吳漢卿為總經理，協助蔡友才董事長共同經營兆豐銀行，多年以來，兆豐銀行運營良好，業績顯著，并于2012年7月16日在蘇州成立分行，成為兆豐國際銀行在中國大陸地區開設的首家分支機構，海外分行也達到了20家，其信用等級更是長期被評為A3，基于此展望未來，兆豐銀行是一家非常有前途的商業銀行。

（二）兆豐銀行被罰案回顧

事情得回到15年1月到3月，美國紐約州金融服務署對兆豐銀行紐約分行進行例行檢查時，發現兆豐銀行在2012年時的申報有違反法律法規、仿制洗錢以及存在可疑交易等諸多內容缺失，其中紐約分行與巴拿馬分行間存在許多可疑金融交易，有許多特定款項沒有如實申報，違反了美國法律的相關規定。在16年2月美方向兆豐銀行溝通時卻得到了并無違反規定的回復，且隨后兆豐銀行董事長蔡友才宣布辭職，置之不理，漠不關心。2016年8月19日，美國以兆豐銀行2012年涉嫌違反銀行保密法及反洗錢法對其開出1.8億美元的巨額罰單，責令兆豐銀行須委任第三方專業顧問公司協助其改善相關缺陷。同日兆豐銀行發布重大訊息：“本公司子銀行兆豐國際商業銀行股份有限公司遭美國紐約州金融監理機關以該行紐約分行所建立之防制洗錢遵循計劃未能有效執行而予裁罰一億八仟萬美元。”這一巨額罰款幾乎是兆豐銀行以往約7年的利潤之和，這一訊息的公布也使兆豐銀行創下臺資銀行首家美國重罰者的歷史記錄。隨著事情的愈演愈烈，此次兆豐銀行被罰的關注度也越來越高，已經到了兆豐銀行不能控制的局面，大家都在懷疑兆豐銀行是不是真的洗錢，為平息事件，其隨后發聲明稱是因紐約州金融廳對紐約分行進行年度檢查時，發現在辦理轉匯款業務中，有應申報卻實際未申報的可疑交易，因而違反美國銀行保密法中關于可疑交易行為的申報規定，并不是涉嫌洗錢交易。但此聲明并沒有減少來自各方面的質疑，也沒有挽救兆豐股價大跌的局面。

那么究竟是什么原因導致了兆豐銀行被美國紐約州金融監理機關處以1.8億美元的巨額罰款呢？我們真的被兆豐銀行表面的高信用等級，良好的業績表象所欺騙了嗎？到底兆豐銀行內部存在著什么樣的問題呢？下面我們將帶著這些重重的疑問來對兆豐銀行的內部控制以及有效性進行剖析。

三、兆豐銀行內部控制失效分析

在當今社會商業銀行自身不斷發展的過程中，內部控制體系設計與執行的程度可能會跟不上這樣快速變化的步伐，所以商業銀行會面臨著各方面的風險這一點是毋庸置疑的。兆豐銀行紐約分行之所以會被美國紐約州金融監理機關處以1.8億美元的巨額罰款，根據對紐約州金融服務局2016年8月19日向兆豐銀行紐約分行簽發的《基于紐約銀行法第39、44條下的和解協議令》的解讀，基本上可以歸責于兆豐銀行本身內部控制失效。

（一）內部控制環境缺失

內部環境是影響和制約企業內部控制建立和實施的各種內部因素的總稱，包括組織架構、發展戰略、人力資源、社會責任和企業文化五個方面。兆豐銀行內部控制環境缺失主要表現在其組織架構和強勢的企業文化上面，一方面，組織架構混亂。我們知道銀行內部組織機構存在的最重要的問題就是部門之間分工混亂、職責不明確、管理凌亂，而兆豐銀行內部為了精簡成本一人身兼數職的情況常年存在，導致其權責不分明，組織架構混亂，經營管理效率低下；另一方面，強勢的企業文化。在蔡友才擔任兆豐銀行董事長之前，兆豐銀行每月都召開例行的董事會會議，且必要時也召開臨時董事會會議，兆豐銀行運行得可以說有理有條，自從蔡友才擔任兆豐銀行董事長之后，主打精簡成本的經營目標，精簡人事成為其節約成本的重要手段，有需要人才的崗位基本上不花錢外聘而是采用內部人員升遷的制度，空缺的崗位也都長期不補，久而久之，兆豐銀行內部一人身兼數職的情形非常嚴重，我們可以想象當銀行的董事會、獨立董事都是銀行實際負責人找來的朋友、親戚時，董事會監督運作的功能還會得以發揮嗎？另外由于采用內升制度，一些好的技能經驗也沒能內傳承給新進員工，這何嘗又不影響著企業未來的發展呢？最后，兆豐銀行前董事長蔡友才在知道此事后立刻辭去了董事長的職務，代理董事長吳漢卿也被質疑未積極處理此事，這也不免讓人懷疑蔡友才是有難言之隱，還是在危機時刻選擇明哲保身呢？不管出于哪種原因，都表明兆豐銀行內部控制體系問題嚴重。

（二）風險評估機制運行不善

1.漠視風險評估程序

根據《基于紐約銀行法第39、44條下的和解協議令》第21條：“兆豐銀行紐約分行評估巴拿馬科隆自貿區分行在反洗錢方面具有高風險，本應當按季度采取加強型盡職調查的程序，然而，在檢查過程中，紐約分行向約州金融服務局坦承并未有效執行該盡職調查程序”。這也就表明兆豐銀行在匯款至巴拿馬分行關閉已兩個月的帳戶之前應該要進行必要的調查但卻并沒有實際去執行，也即是說兆豐銀行沒有對客戶進行必要的風險評估程序，而是選擇漠視這些可能的相關風險，這才在美國紐約州金融監理機關例行檢查時引起了他們的懷疑。此外《和解協議令》第22條、第25條都顯示兆豐銀行對媒體負面報道客戶以及賬戶的實際控制人都未展開相應的盡職調查，違反了美國的相關法律政策要求。

2.缺乏科學的風險評估機制

在《和解協議令》第26條中提到兆豐銀行紐約分行制定的對客戶進行風險評估程序中，基本上沒有提到對分行客戶、產品、服務及其地理位置進行全盤性評估和考量機制，且在實際執行風險評估時僅僅執行了半年，并沒有依照建議實施一年的評估。此外，兆豐銀行紐約分行并沒有對中低風險的客戶實施定期的風險調查來查看其風險程度是否發生變化，更沒有對高風險的客戶實施額外的風險調查評估程序，進而也就沒有時刻根據客戶風險所處的層級來對客戶進行相應的分類。

（三）控制活動執行不力

在兆豐銀行的此次被罰時事件當中，主要原因還是因為存在嚴重的不相容職務未分離情形。就如美國紐約州金融監理機關所指控的那樣，兆豐銀行內部權責不分明，一人身兼數職的情況常年存在并且沒有做出改進的舉措，例如其首席合規官同時身兼副行長、信貸部、代理銀行部、技術部負責人等職務，且所受反洗錢業務培訓不足、對美國法律“不了解”、不勝任崗位要求，其海外資產控制辦公室官員同時擔任境外代理行部門經理等等，這樣就會帶來業務操作上的錯誤甚至舞弊的行為，后果不堪設想，此次被罰1.8億美元就是慘痛的代價。此外，兆豐銀行無論是總部還是分支機構都不能夠定期的對自身的內控體系展開評估，也沒有按照規定報送可疑交易報告，甚至都不確定國外分支機構是否采取足夠的反洗錢措施，可以說兆豐銀行內部控制完全就是形同虛設。

（四）信息與溝通存在嚴重的障礙

在2016年8月兆豐銀行紐約分行被罰的當天，兆豐銀行召開了臨時董事會會議，然而在會議上許多的董事表示自己在被處以重罰的最后一刻才知道自己被罰，而事先并沒有收到來自經營管理層的告知事情之嚴重性，包括一些獨立董事在內的董事都覺得董事會是形同虛殼，在知道違規事件到被罰甚至還有可能被起訴僅短短的幾十分鐘時間，表達了自己對經營管理層的強烈不滿。從董事們的表達我們可以知道兆豐銀行的經營管理層與董事會之間并沒有達成良好的信息溝通，也許是溝通機制出了問題，也許是管理層沒有對此事引起重視，甚至有可能是經營階層有意隱匿某些事件，但無論是怎樣，都表明兆豐銀行內部出現了嚴重的信息溝通障礙。

（五）監督不力

在《和解協議令》的第28條：“檢查發現，紐約分行季度合規會議紀要并未上報總部，紐約分行還存在以會議流程代替會議紀要、季度會議未提供合規工作足夠信息，尤其是缺少前期漏報可疑交易報告信息，這些失誤導致了其總部不能正確評估紐約分行合規工作恰當性”。這就表明兆豐銀行總部并沒有收到來自其紐約分行的一系列季度合規會議紀要以及相關的報告，那么兆豐銀行總部也就無從了解分支機構的具體運營情況，自然也就沒有辦法起到監督分支機構的作用。另外，兆豐銀行總部并未督促紐約分行將其執行的大量合規文件翻譯成英文，這樣一來就嚴重影響到相關部門檢查活動的有效展開，且對于美方所提出的問題，至今都沒有采取有效的措施來進行相應的整改，總部也沒有起到相應的監督其糾正作用。

四、商業銀行內部控制失效的應對措施

通過上述對兆豐銀行內部控制失效的原因分析，下面將從內部控制五要素入手來一一做出有針對性的應對舉措。

（一）營造良好的內部控制環境

良好的內部控制環境是企業內控有效運行的基礎，能讓企業快速穩定而又健康地發展，兆豐銀行之所以會被巨額罰款，就是因為其內部組織架構混亂、企業文化比較強勢，加之領導管理層級人員職業素質低下。所以兆豐銀行必須完善自身的治理結構體系，明確的劃分各個管理層的職能權限，不能為了節約成本就讓一人身兼數職，這樣很容易導致舞弊或錯誤，必須通過每個崗位都有相對于的不同的負責人來保證各崗位之間的相互獨立性，提高管理層以及各員工層級的職業道德素質，強化他們的責任感意識，這樣才能在必要的時候快速的做出科學高效的決策方案并有序得以執行來應對危機。

（二）建立科學的風險評估機制

兆豐銀行紐約分行算制定了自身的風險評估機制，但在實際執行過程中卻遭到了員工的漠視，并且缺乏對高風險客戶的加強風險審查評估程序，對中低風險客戶也沒有時刻跟蹤調查并隨時對客戶風險進行分類，最終導致被處以巨額罰款也是意料之中的事。所以在商業銀行的日常業務運行過程中，必要建立起科學的風險評估機制，例如兆豐銀行應該在總體風險評估程序中完善對分行客戶、產品、服務及其地理位置進行全盤性評估和考量機制，并且在實際執行過程中管理層應監督其落到實處，另外對不同風險等級的客戶采取不同的風險評估方法，對高風險客戶實施額外的風險調查評估程序，對中低風險客戶開展風險跟蹤調查，應對風險要做到隨機應變。兆豐銀行總部更應該定期開展海外機構合規風險評估，準確判斷并考慮海外分支機構的所有產品和服務、客戶類型和地緣風險，確定內在和殘余風險，適時采取應對措施加強海外機構反洗錢工作指導與管控。

（三）開展有效的內部控制活動

我們知道企業將交易授權、交易記錄以及資產保管等職責分配給不同員工，以達到防范同一員工在履行多項職責時可能發生的舞弊或錯誤的目的。而兆豐銀行存在的一人身兼數職的情形讓我們了解到期內部控制基本沒有發揮作用，舞弊和錯誤發生的可能性也就大大提高，所以兆豐銀行必須花費一定的成本招聘外部員工，全面系統地分析、梳理業務流程中所涉及的不相容職務，實施相應的分離措施，形成各司其職、各負其責、相互制約的工作機制，保證每項經濟業務都經過兩個或兩個以上的部門或人員的處理，相互監督。此外針對不能按照規定報送可疑交易報告，兆豐銀行可以建立適合海外分支機構的可疑交易監測規則，逐一規定可疑交易的調查細則與監控標準，全面監控一切海外可疑交易，保證已知的或者未知卻存在疑點的交易都能夠及時的向總部報告。

（四）構建有效的信息系統

兆豐銀行董事會反映自己沒有及時被告知將被處以巨額罰款的事項，對經營管理層極度不滿。這表明兆豐銀行內部信息溝通系統存在問題，兆豐銀行必須充分考慮各個層面的問題，建立起一套有效的信息傳遞系統，這樣管理層在得知事情嚴重性后才能及時地向董事會報告，加強董事會與管理層的溝通與良性互動，董事會在掌握到如上述被巨額罰款的重大事件時才能夠有充足的時間來處理應對，而不是一臉茫然不知所措。此外獨立董事事先不知情不能成為擺脫其為該事件負責的理由，兆豐銀行獨立董事這樣推脫說明兆豐銀行在以后獨立董事的選擇過程中還應該要更加謹慎以選取更有責任意識的獨董。

（五）加強對海外分支機構的監管

兆豐銀行總部對被罰事件的回應是自身并沒有收到來自其紐約分行的一系列季度合規會議紀要以及相關的報告，不了解分行的具體運營情況，自然也就沒有起到監督的作用。對此，兆豐銀行總部必須要建立起與海外分支機構的良性互動機制，做到信息互通，及時掌握分支機構的運營狀況，并督促海外機構將合規文件提前翻譯成當地文字，以備當地監管部門檢查質詢，并且在面對海外監管部門的審查時要積極配合，熟讀當地法律法規，積極回應，針對海外監管部門提出的要求也要一一做出回應，積極整改發現的問題，以此加強對海外分支機構的監督。另外，兆豐銀行可以建立一套完整的以內部控制為導向的審計和監督委員會，制定一套完整的符合自身業務特點的內部審計制度，來對銀行內部以及海外分支機構的業務、風險進行監督和控制，提高內部控制水平。

參考文獻：

[1]王義娜.商業銀行內部控制失效及治理——基于QL銀行欺詐案的分析[J].經濟師，2015（03）：70-72.

[2]許井榮.臺灣兆豐銀行被處罰事件對內地中資銀行反洗錢工作的啟示[J].金融會計，2016（11）：63-66.

[3]王興邦.以兆豐為例談內部稽核如何有效發揮功能與價值[J].中國內部審計，2017（03）：18-20.

[4]王毅.從法國興業銀行案例看企業內部控制環境的重要性[D].復旦大學，2008.

[5]游翔宇.上海家化內部控制失效案例研究[D].中國財政科學研究院，2016.

[6]馬春燕.內部控制有效性的分析研究——基于上海家化的案例分析[J].商，2015（15）：154.

[7]李鶴，陳麗輝，粱禹.國家電網公司內部控制建設的創新及其啟示[J].北京經濟管理職業學院學報，2016（01）：39-44.

[8]曹娟娟.國家電網公司海外業務內部控制評價研究[D].華北電力大學，2015.

[9]湛峻琳.商業銀行內部控制存在的問題及對策[J].企業改革與管理，2015（24）：22.

[10]孫銀忠.實現商業銀行內部控制有效性的途徑探析[J].會計之友（上旬刊），2010（10）：50-51.

[11]王照，朱頤和.提升商業銀行內部控制有效性的探討[J].財會研究，2012（11）：72-73+80.

（作者單位：中南財經政法大學）