商业银行内控评价及其创新——基于工商银行内控评价的研究

胡文修

商业银行内控评价及其创新
——基于工商银行内控评价的研究

Internal Control Evaluation And Innovation

胡文修

一、创新的内控评价

内控评价作为一种管理行为的创新肯定是有起点的，同时具有明显的阶段性，虽然一定时期后的内控评价必然会有一个比较成熟的固定模式，但任何时期都没有创新的终点可言。

（一）初级创新阶段

区别于常规的、专项的业务检查，区别于稽核的、监察的个案监察，发起于上世纪末的内部控制评价工作已作为旨在对一个机构进行内部控制水平的综合衡量。内控评价既是管理行为的一个方式，也是一种手段，力图通过全行所有业务的集中式检查、测试，给出其内部控制水平的现状等级，以期进行分类（不同内控等级）、指导或监管，促进内部控制及其有效性的提高，从而达到降低经营和管理风险的目的。笔者就亲历了于2000年进行的四川试点工作。在银行业率先进行试点的工商银行的内控评价，那时的评价指标还不够体系化，评价标准制订得也有少许模糊，更谈不上清晰、统一的标准，但内控评价作为一种对下级行的管理手段之一，在对内部控制的合规性测试方面毕竟迈出了可喜的一步。最值得庆贺的是，通过创新的内控评价方式，以多个业务内部控制的抽样实证方法，将被评价行的内控状况比较全面地展现了出来，并以评分的方式相对客观地给出了相应的内控等级。

（二）规范创新阶段

本世纪初，以内部控制体系的五要素作为内控评价指标体系的设计改造为标志，实现了由近三百个以业务品种为主导的指标群向要素评价的转变，第一次以六十多个指标共同构成对基层行的评价指标体系，应当说是创新的内控评价一次质的飞跃。它与1998年巴塞尔委员会将内部控制五要素引入银行内控制度领域实现了第一次接轨，而且至今十余年来仍然是评价内部控制的五要素，因此可以说它是规范的创新阶段。四川省分行在内江分行的试点工作中，作为试点组长，笔者不仅参与检验了评价方法的运用，还较大篇幅地充实、改良了内控评价方法，并在全省范围普遍推广。这次试点我们还看到，从有些超前意识的评价指标中透出的内控评价对内部控制理念的引导。尽管第一次引入具有“国际惯例”五要素的内部控制体系的概念，来规范设计对基层行内部控制评价的指标体系、衡量标准，使得试点行的得分不尽如人意，但通过评价这个独立的、特殊的管理手段，在摸索银行按照五要素的内部控制制度框架控制风险方面，毕竟看到了差距、找到了努力的方向，充分显示了内控评价在促进管理、降低风险方面不可替代的作用。

（三）发展创新阶段

实际上，在开始以五要素规范评价指标体系之后，几乎每年就评价指标都做了一些微调。当指标个数维持不变的时候，指标内容却有了调整，因为当在评价期内运行、管理模式有较多改革时，其内部控制过程的适应性也必须进行验证。而有的年度，不仅有评价指标个数的增减，同时也有评价内容的增删，因为当评价期内有显著的业务创新、流程再造时，其内部控制的有效性也必须相应进行评价。当内控文化日臻成熟，需要突出围绕业务发展重新定位时，内控评价的指标体系不仅是过程指标的结构性调整，还能反映内控工作导向的指标标准分权重的科学、合理分配，以及效果评价指标的注入、限制性评价指标的引入，一次性集中评价确定得分等级向彰显全过程评价的与日常内控管理相结合的评价理念转变。甚至在总行2007年山西太原内控评价改革研讨会后，有了对基层行的评价向网点延伸，对一级分行的评价组织模式的变革，评价抽样的量化标准化，衡量评价指标得分等级的标准精细化方面，都可以说得到了及时、有效地校正、充实和完善。当然，内控评价的发展阶段不仅是伴随着工行发展历程的步伐前行，也更是服务于工行科学发展的进程而发展、创新的。从这个层面上讲，我行创新的内控评价体现了业务的创新，内控评价的发展适应了工行全面发展的需要。这里，我们还必须清晰地认识到，内控评价的创新与发展可以有阶段之分的点，却没有创新终结的边，所以还要持续不断地呼唤内控评价的创新。

二、内控评价的创新

内控评价在工商银行已经历时十年有余，其间从无到有，从散乱到规范，从幼稚到成熟，从不为人们认同到对内控评价的期盼，是内控战线尤其是致力于内控评价创新、改革、发展者的不懈努力和奉献。既然创新的内控评价没有终点可言，那么我们就应当去不断研究和发现，找到内控评价创新的突破口，找到内控评价更有价值的源泉。

（一）内部控制环境评价的创新

现行的总行、省行对于基层行内控评价指标体系中，应当说是注重了务实的层面，它不仅是推动务实的内部控制工作所必要的，而且也便于在评价中简单易行的操作。但是，如果我们再在“环境”两个字方面做些深入地研究，无可非议，整个内控环境的形成、领导者的内控职责的履行是先决条件，议事规则、组织机构、风险点的知晓、内控职责的落实、激励与约束机制的建立等都是“环境”要素的组成部分。同时，内控制度的设计、业务流程的发布、技防系统控制平台的搭建、重要场所重要业务安防与技防以及监督控制条件的建立等，同样是构成内部控制的有形的硬“环境”。那些可以感知或观察到的，如走到一个机构，到处公示的只是醒目的业务战报、服务曝光台、领导活动信息等，没有一点内控、案防方面的警语，没有一个违规曝光的园地，没有弘扬正面典型的一丝生息的氛围的感觉，也就没有良好的内控“软环境”。换句话说，内控环境建设就是内控文化建设的体现，一定意义上讲，内控的软环境决定内控硬环境的质量。所以，对内部控制环境的评价的确应当作为现实评价理念与实践创新的重头戏来认识和研究，按照不同评价对象设定不同层次的富有特色的指标，较为准确地体现和衡量被评价行内控软、硬环境的符合性，力促将合规文化落到实处，在合规文化氛围的形成这个最佳境界中，做实内部控制。

（二）风险识别与评估评价的创新

在现有评价内容和指标设置的基础上，我们既可以将风险识别，风险评估作为两个系统或体系来考虑，也可以从机制和运行两个层面去研究。现实评价的重点首先放在了风险管理委员会的运作上，我们也可以仅仅把这个委员会的运作看成是风险评估的一个环节，或是风险识别与评估机制中的一种方式。识别风险的过程就应当是评估风险的前提，就应当把识别风险的职能配置、岗位设置、责任划分、流程安排、时限制度，以及风险识别的记载、报告这些“点”，是否都围绕着风险识别尽职履责，都纳入内控评价的视野。如果我们在前台、中台把识别这个基础工作做实，那么后台的风险管理委员会就会很好地识别报告中的风险对象、风险现象、风险隐患、风险计量，再来评估其对本机构业务形态、业务结构、考核目标、财务绩效可能的形成的影响程度、影响趋势等，并议决出最大限度减轻风险后果的措施。

（三）控制活动评价的创新

应当说，目前各类业务控制活动的相关评价指标体系，完全可以较为全面，并有重点地验证控制活动的内控水平状况。从内控评价的创新角度研究，目前在控制活动评价指标的创新方面并不显著需要，更重要的是需要一个什么样的评价方法，或者说能否以评价方法的创新推动控制活动评价更精细、更精准、更科学、更合理。评价是对本年度的内控状况和水平，包括形成过程的全程评价，而非只是检验掌握程度的结果。所以，只依据集中评价时的抽样进行的评价，总存在某种缺陷的感觉。即使在评价指标体系中分配有纠正类内容，但显然还是不能完全弥补这个遗憾。此外，外部的、上级行的相关检查结果，比如至少对于积分范围的问题也以一定权重纳入评价挂钩。若此，只关注评价时的抽样“运气”，只关心“一锤子买卖”评价的侥幸心态，想要解决又没有解决的老大难问题，就会得到一定程度的化解。

（四）监督与纠正评价的创新

已入选评价指标体系的内容，可以说基本上反映了不同层级负责人，对本机构的内控、案防、常规监督履职情况的监督，对重要业务或重要业务环节的风险点进行监督与整改的评价，一定程度反映了对监督与纠正的内控要素进行了评价。从监督的角度，监督的面、监督的点，监督条件的运用、监督时间与记录的符合性，监督的履职、监督的流程等，都应当反映在监督的评价内容之中。比如，将管控中心实时监控发现的有违《操作指南》规定，不能消除《指南》载明风险点隐患的问题，作为某些指标要点的评价依据，或单独设置相应评价指标并配以较高标准分值和权重，也可以解决集中评价与日常监督检查衔接问题；从纠正的角度，发现问题的书面通知与回复，对整改问题的跟踪与验证，应当处罚问题的责任评议与兑现，通报问题的处罚结果的公示或通报，制度漏洞的修订与弥补等，也可以在这个要素评价中有所反映。比如，将风险控制中心（事后监督）发现问题的纠正过程与验证效果，运用于集中的内控评价之中。当然，各类业务监督与纠正的作为状况，及其问题与纠正效果等，同样可以按照上述原则纳入评价范围。

（五）信息与交流评价的创新

按照内控制度框架的五要素以及信息与沟通的机理，我们不难看出，基于信息的采集、保管是一个部分，信息的充分运用、沟通（或说交流、共享）是另外一个部分。现行内控评价指标体系中，这个要素部分设置的部分指标，已经体现了这个机理所规定的部分内容。但是还很不够，原因是能够体现两个部分互相关联的指标太少，过多的独立性指标运用，虽可以分别体现信息或交流，但不如具有真正能够在同一个信息单元，可以体现采集、保管、交流链条各环节一致性的内容的评价指标，会更好地体现这个内部控制要素及其评价的功效。各部门之间的横向，各部门与内控委的纵向，基层行向上报告的互通等信息的交流机制的形成是该要素内部控制及其评价所需要的。如运行管理、管控中心、风控中心常规检查发现的内控问题、违规动向、异常现象等，不仅需要格式化的记录、处置信息的集成和保管，也应当有一个较固定的载体、比较快捷的通道，向管理部门、内控中心、相关负责人报告、交流、沟通、处置、回馈。还有那些信息及其应当交流的必要链接，如投诉、信访、业务信息等，如事件、案件、事故等，无论是内部相关性交流，上下级、外部监管性报告，都会在我们的经营管理中被运用。所以，在这个要素的评价中，还可以设置一些有助于推动被评价机构形成良好的信息关注氛围，服务于经营管理目标实现的必要指标，评价这些机构在拥有信息和交流信息两个方面的结合，以放大信息资源的使用空间。

（六）内控效果评价的创新

多年来，内控效果指标围绕主要业务的绩效、案件控制与处置的效果设计，应当说这充分体现了内控评价紧扣内部控制的“过程与机制”原则，“为实现经营目标”的内部控制目标要求，也有助于内控创造价值观念的形成。当然，我们要想在效果评价上实现新的突破，就必须跳出现行的绩效数据、案件控制及其处置这个圈子，寻找能够体现内部控制效果的更宽泛的天地。所以，做这样的创新思考，首先必须要界定什么是内控的效果，我们评价的是内控的终极效果还是一个效果范围。从现在实施的评价指标体系看，很显然总行、省行主张的内控效果都不是一个终极效果，而是一个效果指标群。理由就是在内控效果评价的指标中，既有经营目标的效果，又有案件防控的效果。内部控制的概念表述是“为实现经营目标”，其终极目标应当是经营目标的实现。如果说经营目标不是狭义的经营数据（更不只是利润），而是包括内控、案防目标在内的指标体系构成的广义上的目标，那么标志内控水平的，每年计划的内控得分和等级目标，自然也就应当是这个经营目标的广义范畴。能直接体现内控效果的，也正是我们十年来几乎每年都乐此不疲地进行的评价得分多少和等级高低。所以，从这个理论上讲，将过程评价的得分或等级纳入内控效果评价的指标里面，既顺理成章又符合内控评价的效应——促进内控水平的提高。

（七）评价限制评价的创新

从评价限制的设计理念看，将涉及内部经济案件、金融诈骗案件、违法违规受到监管处罚的事件，作为单独的负分评价计分，也体现出合法经营、依规操作最起码的经营文化要求与内控文化走向，也彰显这类内部控制失效为主要因素的案件（事件）不是得分多少的评价判断，而必须是体现出一种具有惩戒意味的分量。需要考虑的是，若对于被评价行申报，评价组又能够取证的，或者是上级行、外部通报表彰的堵住巨额诈骗、成功防止案件事故发生挽回巨额财产损失等的大事件，为什么就不可以作为加分项进入内控评价呢？如果“爱憎分明”地将这类因素纳入评价指标之中，则与限制评价对应的还应当有褒扬评价。那么这个评价部分的“评价限制”就可以创新为“评价限制与褒扬”，其实这个创新也是激励与约束、赏罚分明、扬正压邪理念最突出的体现。笔者认为，处于内控评价的客观性、公正性，或者是内控评价公信力的提高考虑，都是值得内控评价的创新研究和思考的。