互聯網金融企業內部控制問題及對策研究

閆博 于洋

（1、北京空間機電研究所，北京 100000）

（2、華夏銀行股份有限公司北京分行，北京 100000）

隨著互聯網技術的普及范圍越來越廣泛，云計算、大數據、移動支付、區塊鏈等新一代互聯網信息技術蓬勃發展，“互聯網+金融”形式逐漸滲透到傳統金融領域，互聯網金融應運而生并逐漸成為人們生活當中不可或缺的支付和投資方式，不斷沖擊著人們的金融消費理念和傳統金融市場的利益分配方式。

我國互聯網金融行業一度處于井噴式發展狀態，門檻低、誘惑大，導致從業者良莠不齊，內部控制環境缺失在業內是非常普遍的，很多平臺機構追求的不是長長久久，而是轟轟烈烈，因此才會出現跑路案、倒閉潮等亂象。

健全的內部控制是規避企業內外部風險、促進行業健康快速發展的重要措施，因為無論是政府監管還是行業自律，其風險管理最終目標都必須通過企業加強內部控制建設才能得以實現。然而，很多互聯網金融創業者認為內部控制就是制定制度和規則，有漏洞補漏洞，發現問題解決問題。高層領導的內部控制意識尚且如此薄弱，更不用提其他從業者，建設內部控制文化、全員參與、上下貫徹執行等都是紙上談兵。因此，為確保互聯網金融行業的長期穩定健康發展，必須對目前互聯網金融企業內部控制缺陷的問題加以分析研究，從而做好企業內控工作奠定基礎。

一、互聯網金融企業主要內控缺陷

（一）目標制定存在偏差

目前在我國的互聯網金融行業，風控不是核心部門，企業方的核心訴求是將市場做起來，市場做起來后再去找投資人融資。在很多互聯網金融企業的眼里，風險控制和占領市場就像一個蹺蹺板，風險控制太嚴格，必然不利于占領市場，所以對很多互聯網金融企業來說，前幾年的戰略目標都是市場重于風控，更有甚者，主動忽視風險控制。比如很多消費金融平臺為了做大業務，通過極其簡單的草率審核就可以成功放貸，結果造成壞賬率倍增，然后為了掩蓋壞賬率，就只能通過把分母做大的手段，繼續擴大規模，增加用戶量，不斷陷入惡性循環。

（二）風險識別難度大

很多互聯網金融行業從業者都清楚一個事實，互聯網金融的風控，很大一部分是反欺詐，且欺詐大部分來自內控，這是我們羞于承認卻又無可辯駁的中國特色。大量存在的欺詐人員，將互聯網金融平臺當成投機獲利利器，無孔不入，而更為嚴苛的現狀是，大部分的欺詐來源于平臺內部和欺詐人員的互相勾結，也因此增加了風險識別的難度系數。所以也有很多業內人士認為，風控的核心除了建立風控模型，審核資料，更重要的是識別人心和自我修養。

（三）風險應對規則簡單

在互聯網金融行業，我們不難看到一些非常簡單甚至荒謬的風控規則。比如一些貸款平臺，只需借款人提供在其他平臺的放貸成功截圖，或貼出芝麻信用分截圖，或只需實名驗證和讀取通訊錄，就可以授信或放貸，類似這樣的規則不勝枚舉。之所以采取這種投機取巧的方式，原因大多是信用審核成本很高，沒有經濟條件或技術能力。而這些極為簡單的風控規則，根本不能稱之為風險應對機制，屬于內部控制嚴重缺失。

（四）控制活動失效

無可厚非的是，前端業務部門是互聯網金融企業的第一道風控，甚至是最重要的風控，因為他們是唯一能夠與客戶面對面、聽其言、觀其色、察其行的人。但是過于依賴業務人員的人為判斷，尤其是當前端業務人員參與套現、盜利等行為的時候，控制活動就失效了。這時只能利用后端審核來規避風險，即大家熟知的大數據風控。大數據風控是目前金融技術領域的主要應用，已經成為互聯網金融企業的核心競爭力。然而，大數據風控有很強的技術壁壘，很多企業只是利用大數據風控的概念進行炒作，對其實質和應用仍舊是云里霧里。同時，風控大數據同質化極為嚴重，真正有特色的數據都集中在幾家大型企業，例如阿里巴巴和京東擁有用戶網絡購物數據，騰訊擁有用戶社交數據。作為核心競爭力，他們都對自己的數據極力保護，其他機構想要獲取幾無可能，這也相對增加了其他企業利用大數據開展風險控制活動的難度。

（五）信息安全形勢嚴峻

在得數據者得天下的大數據時代，對于互聯網金融企業而言，擁有的投資者商戶信息及平臺交易數據都是重要的無形資產，然而目前我國互聯網金融企業的信息安全形勢卻普遍非常嚴峻。我們經常看到這方面的報道，例如某P2P平臺遭受黑客攻擊，以致大量個人信息被泄露，這些泄露的信息最終以各種方式成為不法分子的獲利工具。從現有案例來看，信息泄露主要包括平臺惡意泄露、內部員工泄露以及黑客攻擊等方式，無論哪一種方式造成的信息泄露，都屬于企業內部控制存在缺陷。

二、互聯網金融企業內控缺陷原因分析

（一）法制與監管體系不完善

我國互聯網金融還處于起步階段，目前只有第三方支付模式具有明確的法律定位和監管主體，其他模式均沒有。互聯網金融市場準入、網上交易權利義務、個人信息保護、網絡糾紛訴訟等都沒有明確的法律規定，法制與監管體系不完善導致部分互聯網金融機構不夠自律，利用監管漏洞，尋找法律空子，違法違規經營，行業亂象頻繁出現，整個行業隨時可能越界，碰觸政策和法律底線。

（二）行業復合型人才的制約

所謂“功以才成，業由才廣”，現代企業的核心競爭力往往是由企業所擁有的人才決定的，作為人才密集型行業，互聯網金融企業更加需要人才。中國管理科學研究院內部控制與風險管理研究所主任王煒曾表示，互聯網金融企業的大部分從業人員都缺乏金融實戰經驗，無法有效引入、借鑒成熟的風控模型和標準業務管理程序。例如導致P2P網絡借貸平臺險象環生的原因，與其缺乏專業風險控制團隊有直接關系。目前，從傳統金融機構出來的風控人員，由于積攢的項目風險經驗相對比較豐富，職業道德和基本素質也相對較高，在互聯網金融行業內很受推崇。但是互聯網金融作為新興行業，其業務內容涉及銀行、支付、證券、基金、保險等多個方面，其從業人員不僅需要具備金融業務相關經驗，還需要懂得風險管理、網絡系統、線上交易等知識，因此與傳統金融機構相比還是存在較大差異。由此可見，培養既懂互聯網、內控又熟悉金融業務流程的復合型人才，是制約互聯網金融企業內控體系完善的一大因素。

（三）沒有成熟完善的內控制度可供借鑒

中國會計學會內部控制專家組專家鄭洪濤曾表示，互聯網金融作為新生事物，尚未建立與之相對應的內控制度，同時，互聯網金融企業既沒有現成的經驗可循，也缺乏風險優先意識，因此內控體系設計和執行困難重重。從行業所處階段而言，我國互聯網金融行業仍處于起步探索階段，風險很大，從行業特點來說，具有互聯網和金融兩個行業的特征，并且不是兩個行業的簡單疊加，因此需要面對種類更多性質更復雜的風險。同時，因為傳統金融機構已發展多年，完成了整個經濟周期，風控模型已經得到驗證，而互聯網金融發展僅僅短短幾年時間，所以傳統金融業成熟的風險管理模型和內控程序不能滿足互聯網金融企業的要求。另外，國外發達國家的成功經驗不一定適應我國具體國情，不能復制照搬和落地實施，因此互聯網金融企業的內控制度和風險管理體系需要不斷改進和創新，這是這個行業目前亟待解決的問題。

（四）企業效益凌駕于安全之上

互聯網金融行業不僅是快速發展、高風險的行業，同時更是競爭激烈的行業，隨著適應多元化需求的互聯網金融進入井噴式發展階段，各大傳統金融機構、眾多互聯網公司、產融結合類企業、資本驅動類企業紛紛加入互聯網金融大軍，社會資金也蜂擁而入，門檻低、誘惑大，導致從業者良莠不齊。為了搶占市場、爭奪客源，一些互聯網金融企業甚至采用一些有爭議、高風險的交易模式，比如降低商戶準入資格，無視相關金融監管法規，不顧安全需要，對產品進行包裝，或者以創新業務為名目不斷放松風險控制，產生較高的信用風險、流動性風險、產品風險等。利欲熏心的行為不僅違背了政策監管的要求，也背離了互聯網金融“做小做微”的發展趨勢，更違背了互聯網金融“普惠金融”的本質。

三、對策建議

內部控制是互聯網金融穩健有序發展的有力保障，健全的內部控制是規避企業內外部風險、促進行業健康快速發展的重要措施。對互聯網金融企業來說，其經營特點有別于傳統企業，因此不能照搬傳統企業的內部控制制度和流程，要根據互聯網金融企業的發展現狀，采取有針對性的措施與方法。

（一）合理制定戰略目標，構建有風險意識的內控環境

美國COSO委員會頒布的《企業風險管理整體框架》將目標設定分為戰略目標、經營目標、合規目標和報告目標，其中戰略目標處于最高層次，決定了企業愿景和使命，是最重要的目標，也是最容易被忽視的目標。我國互聯網金融行業正處于在不斷摸索中前進的狀態，各種業務模式層出不窮，多元化的盈利模式不斷出現，個性化的服務也令人應接不暇，因此互聯網金融企業更要重視戰略目標的制定，明確企業的發展方向，而不是受利益驅動盲目追隨。建議企業通過決策分析制定出戰略目標，然后將戰略目標進行細分，制定出具體目標，識別出關鍵影響因素、關鍵影響流程、關鍵影響活動及具體崗位目標，使企業的經營活動都圍繞戰略目標的實現來運作，達到有效管理的目的。

作為高風險行業，互聯網金融企業的控制環境是內部控制的關鍵，是內部控制框架中最基礎的要素，環境氛圍直接影響著企業內部全體成員的思想和意識，包括企業治理層和管理層對風險的認識和重視程度，所以企業高層一定要樹立加強風險管理的意識，在企業營造良好的風險控制環境和文化。除此之外，還應加強對員工風險意識的培養和教育，讓所有工作人員都積極參與內部控制和風險管理。

在如今這個到處充斥著大數據和多媒體的互聯網時代，互聯網金融企業面臨的市場環境瞬息萬變，業務流程和產品概念不斷被創新，信息技術變革日新月異，產品更新換代的周期越來越短，因此互聯網金融企業的治理結構也應當做出相應變革，除了滿足企業運營特點的需要，最重要的是能使企業對市場環境的變化做出快速有效的反應，靈活應對各種突發事件和問題。

（二）建立風險評估機制，強化風險識別能力

互聯網金融企業面臨市場風險、操作風險、系統風險等諸多風險，因此企業應設立履行風險管理職能的專職部門，提前制定具體準確的風險評估機制，運用定性、定量或兩者相結合的方法對風險的程度、等級和可能產生的后果以及承受風險的能力進行合理的評估，以確保風險管理和經營目標的實現。

不確定性的存在，使得企業管理者需要及時識別潛在事項對企業可能產生的正面或負面影響，進而判斷是機會還會風險，對于機會要牢牢抓住、合理利用，對于風險則要全面分析并盡量規避，無法規避的要控制在可接受范圍內。互聯網金融行業存在大量機會與風險，正因如此，一向門禁森嚴的金融業快速涌進了眾多參與者，成為傳統金融的“攪局者”。而面對諸多競爭和瞬息萬變的市場，互聯網金融企業要想在互聯網金融領域占有一席之地，必須具備并不斷提高對事件的識別能力，因為事件識別是全面風險管理的關鍵一步，直接決定了企業決策的成敗，如果沒有及時識別出風險，嚴重的話甚至會導致企業一敗涂地，而如果錯失機會，可能使企業發展落后其他競爭者很多，只能步步追隨。

（三）優化風險應對措施

控制活動指那些有助于管理層決策順利實施的政策和程序，如授權、驗證、職責分離等。內部控制活動講求的是正確地做事，即管理體系的有效性，因此，在大數據和信息爆炸型時代，能夠預測潛在問題并及時阻止風險發生的預防性控制和自動化控制顯得更為重要。建議互聯網金融企業充分考慮成本與效益匹配原則，將全方位控制與重點控制相結合。傳統金融企業經過幾十年發展，已經擁有完善的風險應對機制，而大多數互聯網金融企業目前的主要目標是擴大用戶基數、吸引商戶、發展業務規模，并沒有把風險應對放在與業務規模相匹配的地位，以致不能及時應對風險。對互聯網金融企業的管理者來說，核心工作是應對風險，因為互聯網金融企業利用互聯網營銷手段能夠充分快速地接觸到潛在客戶，經營效率得到提高，但同時流動性風險、信用風險等經營風險也在不斷上升，面對各種風險，企業必須優化風險應對措施，選擇出一套符合企業整體目標的風險應對方案，決定回避風險、接受風險、分散風險、轉移風險或者減少風險。

（四）完善信息與溝通渠道

完善信息傳遞過程。部門間信息溝通不流暢、跨部門審閱審批流程不合規等內控問題，在傳統企業和互聯網金融企業中都是常見的問題，互聯網金融行業的特點決定了企業必須重視信息的時效性和準確性，所以必須完善信息傳遞過程，重視信息傳播與溝通方式。

完善信息系統建設。互聯網金融企業處于開放式的網絡通信系統中，其依賴的大數據、云計算、區塊鏈等技術都以計算機網絡和通信技術為載體，極易爆發系統性故障或遭受大范圍攻擊，存在很高的技術性風險。目前我國互聯網金融行業信息安全形勢十分嚴峻，信息泄露事件屢見不鮮，因此所有互聯網金融企業都必須將信息系統安全放在重要位置，重視信息系統建設，不斷提高網絡信息安全技術，最大限度降低事故發生概率，保障信息系統正常運行，保障網絡系統和客戶信息安全。

（五）強化內部控制監控和獎懲機制

內部監控的目的是評價內部控制是否有效和適用，在此前提下確保內部控制被恰當的設計并得到有力執行。內部監控必須從上到下貫穿于整個內部控制過程中，這包含兩層意思：一是管理層自我監控與評估，諸如日常經營活動中執行的授權審批、職責分離等，并定期評價執行情況和結果。二是相對獨立部門的監督和審查，如內部審計部門或外部第三方機構進行的內部控制審計。

審計作為事后控制，通常不像業務部門和風控部門一樣能及時把控風險，但是審計具有很高的獨立性和權威性，擁有直接向治理層匯報的特權，這使其可以客觀真實地反映情況、發揮職能。因此在實踐中，互聯網金融企業要重視審計部門，它的作用是業務部門和風控部門不能代替的，另外，要充分發揮審計的作用，避免只是為了審計而審計，其結果只能是形同虛設。同時，為健全和規范互聯網金融企業風險管理流程，提升員工風險管控意識，應建立有效的風險責任界定和獎懲機制，如果沒有嚴格的獎懲機制就會使各項合理的規章制度形同虛設。