COSO框架下的中小銀行風險管理研究

摘 要：2020年11月23日，包商銀行正式進入破產程序，是繼海南發展銀行、河北肅寧尚村信用社之外倒閉的第三家銀行，對我國金融行業發展有著重大的意義。包商銀行破產的重要原因就是其風險管理的失靈。本文將基于COSO框架，結合包商銀行的公司治理和企業文化，分析包商銀行存在的風險，評價其風險管理手段，給其他的中小銀行提供借鑒。

關鍵詞：風險管理;COSO框架;中小銀行;包商銀行

一、引言

2019年5月24日，包商銀行因出現嚴重信用風險，被中國人民銀行、銀保監會聯合接管。一方面，新設蒙商銀行、聯合徽商銀行承接包商銀行的相關業務;另一方面，由于包商銀行的資產難以補償其債務，有關部門參照《企業破產法》，堅決推進其破產清算。

經過業界人士的調查分析，包商銀行的破產主要是由于大股東“明天系”一手遮天，他通過注冊209家空殼公司，向包商銀行借貸327筆，占用資金超1560億元，并逐漸將這些貸款轉為不良貸款，最后終于拉垮了包商銀行。但筆者認為，包商銀行的倒臺，絕對不止“明天系”一個蛀蟲。“明天系”與包商銀行內部管理層相互勾結，形成貪腐利益鏈，這背后也反映出包商銀行公司治理和風險管理中存在的重大漏洞。

銀行在我國一直有著神圣的地位，與美國有數百家銀行倒閉的情況相比，中國包括包商銀行在內總共只有三家銀行倒閉。由于我國人民理財觀念較為保守，相比于股票、基金而言，將錢存到銀行在我國人民心中最為安全、風險最低，如果一家銀行破產，將會對我國人民財產安全造成很大的打擊，也會導致人民對其他銀行的信任危機。如今，我國正在推進中小銀行市場化、法治化改革，包商銀行破產對于所有銀行尤其是中小銀行及儲戶而言都是一個警示。隨著互聯網金融理財產品的出現，我國銀行理財市場也相應面臨著較大壓力，其風險管理也逐漸暴露出很多問題。中小銀行應當以包商銀行的案例為借鑒，吸取其教訓，加強內部風險管理。因此，分析包商銀行的案例，對中小銀行的加強其風控具有重要意義。

二、包商銀行總體介紹

包商銀行于1998年12月在內蒙古自治區成立，是一家中小型城市商業銀行。根據官網的說明，包商銀行的經營業務十分廣泛，包括貸款、票據、貼現、債券、同業拆借業務等。除了內蒙古自治區以外，它在寧波、成都、北京等地開設多家分支機構。機構遍布全國，客戶數量達473.16萬戶，曾在亞洲銀行中排名第十位。在2020年4月9日，銀保監會批準了新銀行蒙商銀行的籌建申請。4月30日，蒙商銀行完成工商登記。11月23日，包商銀行正式進入破產程序。

三、包商銀行治理和文化

1.董事會監督

筆者認為，包商銀行的董事會不能對風險管理負責，可以說是形同虛設。董事會是日常管理的重要依托，對公司管理的效率和質量有至關重要的作用。但是包商銀行的董事長在董事會中擁有最強話語權。其董事會也不具有獨立性，董事長顯然受制于大股東“明天系”，可以憑借董事長所謂的“核心作用”直接做出決策。同時，管理層的其他成員無法糾正董事長在風險管理中的偏誤。根據包商銀行接管組組長聲稱，在2015年12月二級資本債“募集說明書”中披露的董事會13人名單里，有眾多董事不參與決策，也不對重大違規決策提出反對意見，并未履行董事應當承擔的責任和義務，甚至腐敗走后門，用特殊關系暗箱操作。

2.營運結構

就組織結構而言，表面上包商銀行治理結構較為完善，股東大會、董事會等各司其職，似乎結構健全、職責明確。但是實際上同時踩了“內部人控制”、“大股東控制”的管理雷區。就股權結構而言，包商銀行機構股東共有79戶，其中明確歸屬于明天集團的有35戶，持股比例高達89.27%。“明天系”一家獨大，絕對控股。股東大會成了大股東的獨裁機構，失去其科學、民主決策的作用。就管理層而言，他們無視制度。管理層暗中為“明天系”套取現金提供幫助，成立大量中小微集團等，通過關聯交易獲取貸款，最終這些貸款都成為不良貸款。有些關聯方貸款直接從“綠色通道”審批，有些關聯交易直接由高管層集體決議，甚至憑借領導印鑒可以直接放款。就風險管理結構而言，風險管理控制部門本應該居于上位，但他們無法發揮其職能，他們的權力被完全架空。包商銀行實行事業部制，風控部門沒有決策權和“一票否決權”，對風險管理工作也不能實現垂直領導，完全喪失了專業判斷，也不能起到制衡的作用。

3.企業文化

包商銀行缺失黨的領導，黨委主要負責人甘愿為大股東服務，最終演化為內部控制人。由于長期缺少黨的正確道路領導和黨委的嚴格監督，包商銀行形成了不良的企業文化風氣。黨員干部以權謀私、違法亂紀。紀委對大量的舉報不理睬、不立案、不查處;甚至對部分嚴重違規放貸案件也只進行內部處理。風險管理也完全不合規、不合法。上行下效，整個銀行都以權謀私，以包商銀行業務部為例，他們大量虛列開支、虛開發票，將各種費用假借管理費用的名義來套取資金。“費用薪酬化”已經成了銀行內部默認的規則。

4.核心價值觀

包商銀行的價值觀是偏離核心價值觀的。其黨委書記在董事長的領導下服務于“明天系”，重大事項和大額資金使用均不需要通過黨委集體討論決策。黨委內部的管理也出現很大問題，全行有468名黨員黨組織關系未轉入包商銀行，他們長時間不交納黨費，也不參加黨員活動。從上到董事會下到銀行基層員工，違法亂紀的現象比比皆是，嚴重違背社會主義核心價值觀。除此之外，銀行的風險問責制也存在很大問題。黨內監督問責機制完全失效，違法亂紀的現象無人管理。審計監督也完全失效。內部審計也無從得知大股東和董事長所謂的“特殊業務”。審計倘若檢查出問題，上報之后也依舊不了了之。監事會的監督也完全沒有效用。包商銀行的7名監事中有4名都是包商銀行的中高層管理者。他們兼具雙重身份，使得監管失效;同時，監事會也不具備專業知識和能力，缺乏財務知識背景，因此他們很難履行職責。由此觀之，包商銀行很難進行風險問責制，無人監督，無人問責，無人理睬。董事長一人獨大，也難以被追究責任。整個銀行都偏離核心價值觀也無人糾正。

5.吸引、發展、維護人力資源

從銀行的員工管理來看，員工的組織考察、績效考核、薪酬調整全都由關系或者領導的喜好決定。按照關系招聘員工，首先不能保證員工能否勝任這項工作，其次會阻止那些無后臺但是非常有能力的人才進入公司。按照領導的喜好考核業績和發放獎勵都不能促進對員工的激勵作用，員工不是努力提升業績和能力，而是想辦法鉆營得到領導的青睞，這對整個銀行的長遠發展來看將是毀滅性的打擊。就筆者個人觀點來看，整個銀行的氛圍可以用黑暗來形容，有實力的員工沒有會鉆營的員工發展得更好，沒有關系在銀行就看不到未來，這樣的公司氛圍會增加真正對公司有利的人才的離職率，也無法吸引外界人才。

四、包商銀行的戰略和目標設定

1.分析商業環境

近幾年，世界多國“逆全球化”趨勢進一步加強，中美貿易摩擦加劇，國際地緣政治復雜化，全球經濟發展環境的不確定性增加。全球風險資產價格大幅波動，我國投資儲蓄人群的風險意識都大大增強，對財富安全的需求也顯著增加。同時，我國自2018年4月27日以來出臺了大量適用于銀行、信托、保險等機構的配套細則。銀行所在的市場及對銀行的監管形勢愈發嚴峻。隨著近年來我國金融監管的日趨嚴格，蘊藏在部分中小銀行原有的發展模式中的相關風險也逐漸顯露，使得市場對其發展前景越來越憂慮。自從2016年以來，我國中小銀行盈利能力顯示出明顯差距，銀行資產質量的壓力愈來愈大，同時資本補充難度又陡然增加。

2.定義風險偏好、制定商業目標

包商銀行曾提出“一百個發展也抵不上一個風險”。就包商銀行的價值觀而言，它特別重視對風險的控制。由于其規模屬于中小型，它的業務對象主要為小微企業。如今，小微企業客戶的作用越來越舉足輕重，銀行對其信貸風險的管控直接關系著經營績效以及競爭能力，還直接影響其資產安全，甚至直接決定銀行的生死。

根據包商銀行的年報披露，其風險偏好定為中度，風險管理部建立了授信集中度名單制管理的長效機制，嚴格控制新增。嚴格按照監管及風險偏好指標控制集團及單一貸款客戶授信總額。同時，它將最大集團客戶授信占資本凈額的數額小于15%作為目標，衡量其不良授信的情況。還設立了一系列其他的目標如不良貸款率等，以保障銀行的平穩發展。

但是，包商銀行的年報披露和包商銀行接管組組長周學東對其實際管理情況的披露完全背道而馳。在其報表中披露的逾期貸款及不良貸款有關的統計口徑僅限于貸款及發放墊款，并未包括其他應收款類投資1786億元，因此包商銀行實際的不良貸款規模無法測算，如果暴露其實際數字一定會有巨幅的增長。包商銀行將風險偏好定為中度，但是實際上在發放貸款時并沒有嚴格適應風險偏好。根據上文的分析，包商銀行的風險管理部可以說是完全失效的，“明天系”的貸款可以直接走“綠色通道”由董事長印鑒直接發放，而不需要做背調審慎評估放貸風險。所以，銀行的戰略并沒有被正確地執行，日常決策與戰略相偏離，也無法實現銀行的使命和愿景。

五、包商銀行績效

筆者認為包商銀行主要的風險點應當在于其對小微企業的貸款方面。包商銀行的年報中貸款發起流程三個階段如下所示：

包商銀行的年報中已經披露了一套較為完善的風險管理體系，介紹了較為豐富的經驗和詳細的風險防控措施。下面將根據COSO框架的績效要素依次提出筆者認為的其風險管理中存在的問題。

1.風險識別

在信用風險識別方面，主要包括內部識別和外部輔助識別。在每筆貸款業務中，主要由客戶經理和審貸委來識別。客戶經理主要集中在貸前調查及貸后管理階段，審貸委對貸款風險的識別主要集中在貸款審批階段。相比于其他商業銀行擁有從宏觀經濟評估、客戶財務評估、擔保評估、經營評估以及行業環境評估幾個方面完善的客戶評級系統，商業銀行僅通過財務報表分析借款人的本息償還能力。對客戶進行審核的人員也很單一，主要由受理該筆貸款的客戶經理一人根據提交資料判斷是否符合準入條件，并決定是否進行下一步調查。審貸委的審批官人員固定，也只囿于銀行內的報告而不能深入實地考察，了解最新動態。

2.操作風險

操作風險在銀行實際經營中發生的頻率低于信用風險，但一旦發生，其后果往往非常嚴重。包商銀行目前主要通過保證客戶經理在整個貸款流程中合規操作來識別操作風險。要求在貸前階段嚴格把控準入條件，在貸中階段通過收集客戶在包商銀行開立的資金監管賬戶的銀行流水等資料了解客戶的還款能力，對客戶、風險經理雙人調查，并注重與保險公司的合作分散風險。在貸后要進行定期回訪。但是包商銀行對操作風險的把控都是基于過往案例的經驗，而對未來沒有準確的預測。并且對操作風險發生的風險點的識別陳舊，只注意固定的幾個。除此之外，由于缺少系統化的操作風險管理制度，業務人員對操作風險的重視程度不夠，也會導致客戶經理存在道德問題引發內部欺詐的潛在風險。包商銀行就曾經出現過員工挪用客戶大量現金的情況。

3.流動性風險

流動性風險是由于資產和負債不平衡導致資金缺口，使得銀行不能按時償還到期債務以及其他支付義務所造成的風險。包商銀行一直通過流動性比率、凈穩定資產比率和流動性覆蓋率來識別銀行的流動性風險。但是包商銀行的識別主要集中在總行層面，由總行統籌監管，因此下屬機構的風險點不能被及時發現，存在信息滯后問題，不能及時解決。同時，筆者認為流動性比率等都是基于財報的數據計算得來，都是基于過去的信息，而不能對未來有一個預測和警示作用，包商銀行的識別方法不夠科學，也沒有針對短期、中期、長期的防范措施。

（1）風險評估

相比于國內銀行，國外的商業銀行在評估風險上擁有更多的經驗，他們擁有比較完善的數據庫信息，學術界也已經給出了眾多可以在實踐中使用的數學模型。包商銀行借鑒了德國的IPC技術來評估風險，主要是通過交叉檢驗進行驗證客戶提供資料的真偽性，并且這項技術已經成了其核心技術。

除了財務數據以外，客戶經理也沒有科學的評估工具。包商銀行考察的大部分資料都是由客戶提供，主要通過征信記錄和實地調查來核實，通過客戶提供的申請表來了解借款人的背景、喜好、財產狀況等。很顯然，包商銀行的風險評估過于主觀，缺乏客觀性，由客戶提交申請表，客戶可以粉飾事實，存在客戶騙貸的風險。

除此以外，包商銀行的評估思維固化，對風險的評估不能與時俱進，還停留在原有方法上。以其引進的德國IPC技術，隨著時間的推移，他們并不注重技術的改進和完善。相對于如今變化多端的市場，這些技術已經有些過時了，不能全面地、準確地評估出現在的情況。且包商銀行的風險評估不能夠結合基層實際，經理等基層人員并不會深入實地調查，而是坐在辦公室就完成了評估。這導致結果不夠客觀、具體，有點流于表面，把評估作為一項任務而非手段，不能真正引起基層客戶經理的重視。

（2）執行風險響應

包商銀行會采取一些措施來降低風險的可能性或影響，其中主要措施就是貸款時需要抵押品。等貸款出現問題時，就將抵押品處理掉。包商銀行內部對各種抵押品也設立了分類指引文件。但是在實際操作過程中，包商銀行并沒有嚴格按照文件的指引進行操作，也很少去調查抵押品的實際情況。然而，實際上，包商銀行所擁有的抵押品很多都是有問題的，包括缺失、損壞、被法院查封等情況。因此等到包商銀行實際處理時，會遇到很多困難。

同時，包商銀行會定期反映風險的規模以及對銀行的影響，會設置客戶的預警信號。但是包商銀行的預警信號只分為“一般級”和“嚴重級別”。這樣反映有些過于簡單，分級過于粗糙。并不能準確反映風險的影響程度，在“一般”和“嚴重”兩者之間存在很多種情況，對于即將處于嚴重級別的應當予以警示，已經處于嚴重級別的應當采取行動。銀行無法根據粗糙的分級制定相應的應對措施，這個分級更無法反映風險的變化。

除此之外，據包商銀行的報表顯示，他們會通過監控、問責等方式執行風險響應。但實際上，包商銀行貸后檢查頻率較低，雖然定期上報情況，但很少會實地考察，多是閉門造車。對于操作風險和流動性風險的監控，筆者認為也是流于形式。根據前文對包商銀行營運結構、監督機制等問題的分析，可以看出包商銀行的內部監督存在很大問題。業務部虛開發票等套取現金的行為也屢見不鮮。

六、審閱和修訂

包商銀行成立了內部審計機構，定期對銀行各分行開展內部審計，內部審計活動包括對公司治理、風險管理及內部控制等方面的審計。同時，為了持續改進風險管理，應對迅猛發展的金融科技和不斷變化的市場生態、金融生態和經營業態，從包商銀行的官網來看，他們推出了一大批新的金融產品，以應對市場競爭的需求。

但是，就筆者看來包商銀行在評估內外部環境的重要變化、檢查風險績效和提升風險管理方面還有很大的缺陷。包商銀行不能及時監控風險的變化情況，對于風險相對較高的行業不能及時監控匯款動態，而且貸后檢查頻率較低，貸后跟蹤不到位，這主要體現在客戶違約數的不斷上升。同時，根據前文的分析可以發現，包商銀行內部眾多業務對于審計部門是完全保密的。即使審計部門審計某些事項后發現問題，也都是不了了之，并不能得到解決。官網上新發布的金融產品眾多，根據底下的風險提示和包商銀行回應的風險應對措施，在分析了包商銀行的實際情況后，認為眾多措施都名不副實。除此之外，根據包商銀行近幾年的人事變動，在內部管理層調整后包商銀行也沒有做出及時的相應的風險管理調整，新的管理人員上位后仍然延續上一代的管理習慣和行事作風。否則，董事長“一個人說了算”的局面也不會逐漸牢不可破，權力也不會逐漸向董事長集中，成了董事長的一言堂，實際上逐漸被“明天系”掌控。綜上所述，認為包商銀行的風險和績效并沒有得到很好的檢查，風險管理的漏洞也越來越大，而不是逐漸獲得提升。

七、信息溝通與報告

包商銀行風險開展所需的信息主要依靠各機構、部室報送的材料匯報。在內部溝通方面，主要采取自下而上匯報，經過層層審批過后，又自上而下轉達。

但實際上，包商銀行的信息傳遞效率較低。層層審批有時候會增加不必要的時間，應當適當減少其中的環節。同時，提交信息數據的質量也較低。由于基層人員不能考察實際情況，而是閉門造車，報告多半是流于形式而不能反映實際情況，不能為高層提供高質量的數據報告以幫助決策。除此之外，根據公司的對外披露的財報來看，包商銀行的不良貸款與其實際數量差額較大。因此，報表的真實性是值得商榷的，這也使得外部監管部門無法發揮有效的作用。

八、結語

縱觀以上對包商銀行風險管理的分析，我們不難發現從公司治理、企業文化到風險識別、風險管控再到最后的信息溝通，包商銀行都存在很大的漏洞：基層到管理層的風險識別和風險響應都落后于時代潮流，方法過時，脫離實踐，閉門造車;企業文化扭曲，工作環境黑暗;內部信息溝通效率低、質量差;對外信息存在造假嫌疑，外部也難以監督。

我們不能否認董事長和“明天系”內外勾結是包商銀行倒閉的重要原因，但銀行內部并不完善的風險管理系統也給了他們很大的操作空間。在眾多中小銀行中，也許不僅只有包商銀行這一個個案。因此，為了銀行的長遠發展，中小銀行應當吸取包商銀行的教訓。首先，加強公司治理，選好董事長和董事會成員，形成完善的組織結構。股權結構間應當有效制衡。其次，應當加強公司風險識別、有效執行風險響應，與時俱進，更新評估方法和應對手段，加強內部信息溝通的效率和質量。最后，應當加強外部監督，完善信息披露機制，培育健全的銀行治理文化。

參考文獻：

[1]周學東.中小銀行金融風險主要源于公司治理失靈——從接管包商銀行看中小銀行公司治理的關鍵[J].中國金融，2020（15）：19-21.

[2]邱宜干.包商銀行被接管的深層原因分析[J].現代營銷（經營版），2019（12）：150-151.

[3]汪暉.包商銀行信用風險管理策略研究[D].江西師范大學，2020.

[4]穆曉堂.包商銀行的戰略愿景與內審的風險定位[J].中國內部審計，2017（09）：102-103.

[5]陳游.美國中小銀行救助機制對我國的啟示——對包商銀行事件的思考[J].西南金融，2020（12）：44-54.

作者簡介：徐蕾（2000- ），女，江蘇省鎮江市人，蘇州大學會計學專業18級，研究方向：企業管理