城市商業銀行內部控制淺析

伴隨著經濟結構調整和金融開放程度日益加深、利率市場化的巨大沖擊以及互聯網金融的迅速崛起等外部環境的劇烈演變，城市商業銀行在風險管控、內部治理等方面存在的隱患也逐步暴露出來，嚴重影響到城市商業銀行的可持續健康發展，凸顯出內部控制在城市商業銀行未來整體布局中的重要性。本文以內部控制基本理論為依據，以甘肅省內城市商業銀行為研究對象，分析內部控制存在的問題及原因，并有針對性地提出幾點改進建議。

一、引言

城市商業銀行（以下簡稱“城商行”）前身為20世紀80年代設立的城市信用社，是我國多層次金融體系中的重要組成部分。經過20多年的發展，目前全國共有城商行125家。根據國家金融監督管理總局數據，截至2023年8月末，城商行資產總額達到53.93萬億元，占到銀行業金融機構13.6%；負債總額達到49.95萬億元，占到銀行業金融機構13.7%。這一比例也在持續攀升當中，城商行在國家經濟發展中承擔著越來越重要的角色。這一點在地方經濟中體現得尤為突出。根據國家金融監督管理總局甘肅監管局數據，截至2023年6月末，甘肅省金融機構資產總額達到3.85億元、占到全國總量0.97%；負債總額達到3.7億元、占到全國總量1.01%。目前甘肅省內金融機構（金融機構包括各政策性銀行、國有商業銀行、股份制商業銀行、金融資產管理公司、郵儲銀行、各省級農村信用聯社，銀監會直接監管的信托公司、企業集團財務公司、金融租賃公司等）共計28家，商業銀行共計17家、城商行3家，三家城商行各項存款占甘肅省金融機構總量的42.94%、各項貸款占比27.81%，成為甘肅省內主流金融機構。同時，城商行總體規模體量小、市場定位不清晰、客戶群體集中度高、產品創新不足等問題仍然突出。市場形勢不利的背后隱含著內部控制的薄弱，潛伏著城商行風險管理的漏洞，在內部層面掣肘銀行整體發展。因此，建立符合城商行經營戰略目標、統籌發展與化險兩條主線、與時俱進的內部控制管理體系是城商行各項工作的重中之重。

二、內部控制概述

（一）COSO框架

成立于1987年的美國COSO委員會專門研究企業內部控制問題，COSO委員會提出內部控制是需要企業各級人員實施與配合，用以促進運營效率和減少資產損失風險、合理保證財務報告的可靠性和對法律法規的遵從適用而實施的一系列管理程序和方法。

基于對內部控制的定義，COSO報告提出了內部控制的三大目標和五大要素，以此保障有效的內部控制，形成一個動態、反復且整合的過程。

（二）我國內部控制制度體系

我國內部控制制度體系在借鑒國際先進做法及實踐的基礎上，充分結合我國國情及企業管理實踐，建立并推行了一套統一的、完整的內部控制制度體系，全面引導企業關注內部管理水平和全面風險防控能力的提升，并在以國內大循環為主體、國內國際雙循環相互促進的新發展格局中不斷更新迭代、實踐升級。

目前，我國內部控制制度體系由基本規范和配套指引構成。基本規范規定了內部控制的目標、原則、要素等基本內容，起到框架作用。配套指引包括引用指引、評價指引和審計指引。在此基礎上，針對小企業制定了《小企業內部控制規范（試行）》、2014年銀保監會印發了《商業銀行內部控制指引》，均是對現行內部控制體系的有利補充，進一步拓寬了內部控制體系的輻射外延。

對于COSO框架，我國內部控制制度體系的內涵更為深刻、外延更為全面，并且較早地提出了以風險為導向的內部控制，較早地關注了財務目標與非財務目標。同時不斷豐富完善不同發展階段、不同業務領域企業的內部控制體系，進而使內部控制體系更加有的放矢、因地制宜。

（三）《商業銀行內部控制指引》

銀監會2014年修訂頒布的《商業銀行內部控制指引》（以下簡稱《指引》），包括商業銀行崗位職責、內控措施、保障機制、評價體系、監督管理等方面。其中評價體系、監督管理是新版《指引》全新編寫發布的，一方面是用于適應新形勢下銀行業復雜的經營環境；另一方面更好地引領商業銀行完善內部控制體系建設，綱領性文件指導各金融機構自發地、主動地完善內部控制體系，進一步促進內部控制體系有效建設及有效運行。

三、內部控制存在的問題

（一）重業務輕內控，內控文化尚未形成

近幾年，隨著市場環境不斷變化，城商行已逐步認識到內部控制對其發展的重要性，也在制度、流程、考核、管理等多個維度優化、改進及完善內部控制。但城商行對經濟周期性波動的依賴性較強，對各類金融風險抵御能力較弱。內部控制在先的銀行文化或多或少會讓步于業務發展，重業務輕內控的情況時有發生，無法一以貫之地有效執行內控管理體系，內部控制環境建設因此處于緩慢、迂回的發展階段。

（二）重規避輕管理，風險管理尚有缺失

城商行風險管理主要由授信審批、會計運營、計劃財務、內部審計等部門負責。就單個職能部門對單個風險實施管理，風險管理“令出多門”，被動地將風險管理作為成本中心，更多的是事后應對式的風險管理方法，首要目的在于規避風險或轉移風險，而非主動管理風險，未形成事前防范預警、事中應急處理、事后評估分析的全流程體系。

（三）重形式輕效果，業務執行尚有偏差

在城商行制定的內部控制體系下，每一個業務條線均有與之相匹配的控制活動，但日常管理中普遍遇到的問題是執行有偏差不到位。究其原因，一是各層級機構對制度的理解程度有差異、對工作重要性認識不足，導致難以將內部控制各項活動執行到位；二是系統運行質量、人員力量等客觀原因難以支撐各級機構將內部控制各項活動執行到位，對于系統維護、人員配備等工作又無法立即補足，舊的問題沒有解決、新的問題接踵而來。

四、改進建議

（一）引導樹立正確的發展觀

發展與化險是目前城商行所面臨的兩大主要攻堅任務，業務穩健發展是其化解風險的重要方式也是必由之路。城商行的業務發展不僅僅是規模的擴張，更應該是質量與效益的發展，因此要正確應對業務發展與內部控制的關系。內部控制在一定程度上制衡業務發展，但從長遠、從戰略高度來看，二者是相輔相成、相得益彰的。所以城商行應從內外部形勢、本行發展戰略高度去看待業務發展，也要用同等眼光去看待內部控制，進一步保障城商行高質量可持續發展。嚴格選人用人，將職業道德素養和專業勝任能力作為選拔聘用及考核員工的重要標準，切實加強員工培訓和繼續教育，不斷提高員工崗位所需素質能力；加強銀行合規文化建設。應著力培養誠實守信、愛崗敬業、開拓創新、合規為先的企業文化，將員工行為管理納入到績效考核、年度評級、轉崗定級、提拔晉升等方面，逐步培養員工合規理念和風險意識。

（二）完善全面風險管理體系

隨著風險管理理念從傳統風險管理向全面風險管理轉變，使得風險管理從概念、目標、范圍、內容等均發生了根本性變化。《中央企業全面風險管理指引》將全面風險管理定義為企業圍繞總體經營目標，通過在企業管理的各個環節和經營過程中執行風險管理的基本流程，培育良好的風險管理文化，建立健全全面風險管理體系，包括風險管理策略、風險理財措施、風險管理的組織職能體系、風險管理信息系統和內部控制系統，從而為實現風險管理的總體目標提供合理保證的過程和方法。這一定義體現出全面風險管理戰略性、全員化、專業性、系統性等特征。全面風險管理要緊密聯系企業戰略目標，站在戰略層面積極主動地將風險管理作為價值中心，整合、統籌、規劃、管理企業所面臨的內外部風險，尋求風險管理下的所有利益相關者共同利益最大化。

作為實現企業戰略目標的配套體系，城商行要持續加大全面風險管理體系構建所需的資金、人力、物力投入，建立一套管理架構健康完善，制度和程序有效運行，風險偏好、限額和預警設置科學，流程管理全面完備的風險管理體系，并系統性、有重點、持續性地優化、改進及迭代，以滿足城商行不同發展階段風險管理需求。主要從以下幾個方面入手：

一是搭建有效制衡健全完善的管理架構。首先，建立健全管理組織體系，進一步明確董事會、監事會、風險管理委員會、審計委員會、高級管理層、風險管理職能部門、其余相關職能部門及分支機構的權力與職責，各司其職、各擔其責，建立多層次、相互銜接、有效制衡的運行機制。其次，規范中后臺職能部門人員管理，特別是關鍵崗位人員配備要確保其綜合素質與所承擔的職權相適應，推動中后臺職能部門發揮效力。再次，完善分支機構監測、管理和報告職能，設立風險管理專崗，將管理架構延伸到經營一線，確立上下風險報告機制，推動風險管理前置化和精細化。最后，形成授權審批和放款線上集中作業模式，實現授信業務、放款、人員管理三集中，一方面統一從嚴把控全行信用風險，避免分支機構“各自為政”、標準不一；另一方面提高授信業務辦理效率，提升授信審查審批工作專業化程度。

二是建立信息化管理系統。根據業務發展實際需求，搭建全面風險管理信息平臺。將流動性風險、信用風險、操作風險、聲譽風險、內控合規、客戶評級、檔案管理、風險預警、應急處理等全量風險實現系統化、流程化管控，盡量減少人工處理范圍及處理頻次。同時加大后期項目的評價與運維工作，確保系統有效平穩長期運行。根據風險監測、識別、評估、分析、防控和運用等數據需求，底層建立與業務發展階段、產品性質、風險特性相銜接的數據標準，持續不斷地廣泛收集與本行風險和風險管理相關的內外部初始信息，包括歷史數據和未來預測，以此為基礎搭建數據集市，持續完善和更新數據信息，保障風險數據的準確性、合理性和連續性，進一步提高系統對各類風險的分析和預判能力。

三是健全完善風險管理制度和程序。根據不同風險來源、成因或影響，為每一類風險建立相應風險管理制度和體系程序文件。首先，評估目前風險管理流程和相關政策，結合存在的現實問題，重點對風險偏好、風險限額、風險管理策略、流動性管理、授信管理、內部審計體系等環節持續優化完善，進一步發揮其實效。其次，對標監管規定，結合城商行自身全面風險管理實際情況，建立風險評估體系即后評價體系，定期或專項評估風險管理質量。重點評估風險管理流程的合理性，各項機制體制、風險管理政策和程序執行的有效性，及時發現風險隱患和管理漏洞，形成全面風險管理體系建立、運行、評估、優化的良性循環，最終實現風險管理體系閉環有效運行。

（三）持續強化落地執行

總行職能部門在全行范圍內開展內部控制管理體系建設規劃及落地實施方案的宣貫和輔導，通過循環組織開展不同層級的政策宣講、培訓輔導、知識競賽等，逐步建立上下一致的發展理念和合規文化。首先，組織全行上下開展關于內部控制落地實施或實踐案例的交流研討、跟崗學習等活動，切實加深全員對內控管理的認同感，逐步推動合規理念融入每位員工日常工作。其次，各二級機構根據本機構業務結構、區域特點、風險情況等逐步確立全行框架下本機構內部控制管理體系。鼓勵各級機構用工作實踐反哺到內部控制體系，逐步形成符合地域特色、具備經營特色的內控體系。最后，各職能部門要定期對各項內控制度的制定及各環節程序的運行情況開展評估和返檢，形成評估報告并對發現的問題提出優化調整方案，及時修正完善，形成一套發現問題、解決問題、持續跟進的完善的良性機制。

（作者單位：甘肅銀行股份有限公司）

作者簡介：于婷，1991年12月出生，女，漢族，甘肅省蘭州市人，碩士研究生，中級會計。研究方向：財務管理。