从监管角度加强商业银行内控管理的建议

□陆原



从监管角度加强商业银行内控管理的建议

□陆原

摘要：为促进商业银行建立健全内部控制体系，有效防范金融风险，银监会于2014年新修订了《商业银行内部控制指引》。本文通过对新旧《指引》的对比学习，以及上级行近期开展的梳理和改进活动，从监管角度提出了加强商业银行内控管理的建议。

一、新旧指引的的主要不同

（一）新指引更加突出了专业监管理念。旧指引主要是按照COSO委员会1994年制订的《内部控制-整体框架》精髓，由中国人民银行于2010年进一步制订，沿袭和确定了内部控制的四大目标、五大基本要素，并对商业银行各主要业务种类进行内部控制措施细分。新指引除了保持内部控制的四大目标外，突出了内部控制的全覆盖、制衡性、审慎性、相匹配四大原则，不再刻意强调内部控制原有的控制环境、风险识别等五大基本要素，也不再按照信贷、财会等六类细分领域长篇描述内部控制措施，而是以内部控制职责、措施、保障和评价四个维度来简要诠释内部控制要领和理念。可以说，新指引完全按照银监会监管视角下以防范系统性风险为着力点的监管思路，全面加强了专业监管行为，对各商业银行有着重要的指导意义。

（二）新指引强化了内控合规部门的设立和组织协调作用。新指引一是多达七处列出了“内控合规职能部门”，指出“商业银行应当指定专门部门作为内控管理职能部门，牵头内部控制体系的统筹规划、组织落实和检查评估。”旧指引只有“内部审计部门”，而无内控合规部门概念。新指引充分考虑到了大型商业银行近年来公司治理机构的变化，将内控管理职能部门与内部审计部门共同作为商业银行检查管理的核心部门，可见监管部门对内控职能部门在商业银行中的内控管理和监管事务牵头作用给予了极高的期望。二是为保证合规部门应有作用，指出“商业银行应当对内控管理职能部门和内部审计部门建立区别于业务部门的绩效考评方式，以利于其有效履行内部控制管理和监督职能。”

（三）新指引将内控评价工作上升到一个新的高度。旧指引主要将内控评价工作在“内部控制的基本要求”和“内部控制的监督和纠正”中做简要描述，而在新指引中，将商业银行内部控制重新分为“内部控制职责”、“内部控制措施”、“内部控制保障”、“内部控制评价”四个维度，并在“内部控制评价”中将内控评价作为单独章节描述，对商业银行内控评价频率、程序、方法、结果运用作了明确要求。最后还着重规定“商业银行年度内部控制评价报告经董事会审议批准后，于每年4月30日前报送银监会或对其履行法人监管职责的属地银行业监督管理机构。”

（四）新指引强调了合规文化建设与员工行为管理在内部控制中的作用。新指引一是指出“商业银行应当培育良好的企业内控文化，引导员工树立合规意识、风险意识，提高员工的职业道德水准，规范员工行为。”该描述较旧指引的简单阐述“培育良好的企业精神和内部控制文化”更进一步，充分显示出监管部门对商业银行培育本行内控合规文化已有成绩的肯定和对不足的担忧。二是增加“商业银行应当制定规范员工行为的相关制度，明确对员工的禁止性规定，加强对员工行为的监督和排查，建立员工异常行为举报、查处机制”条款，也是银监会对近年来各地商业银行员工案件风险频发而审时度势作出的及时增补。

（五）新指引强调了对消费者权益的保护和银行社会责任的履行。新指引第三章二十六条指出，“商业银行应当建立健全客户投诉处理机制，制定投诉处理工作流程，定期汇总分析投诉反映事项，查找问题，有效改进服务和管理。”这在旧指引中未明确提及。事实上从近几年各地银监局年度工作安排上，金融消费者权益保护工作已是每年必抓的重中之重，并且已成为年度监管评价主要内容之一。

综合以上几条，我们看到新《商业银行内部控制指引》最重要的改变就是突出了商业银行内控职能部门的建立和作用，明确了内控合规部门应享有的权利、义务和使命。

二、目前内控合规管理存在的不足

毋庸置疑，农行内控合规部门成立以来，各行以内控合规系统为支撑，以“六位一体”合规管理新模式为基础，在牵头监管部门各类事务、违规问题整改、合规文化建设、案件风险排查与合规风险管理方面，起到了积极的作用。但从目前情况来看，各行内控合规工作仍存在很多不足，距离监管部门深层次要求还有较大的差距。

（一）牵头部门职能划分模糊，内控管理遭遇“瓶颈”。以监管的视角，一个行内控合规部门以及从事的工作是该行各项经营管理的“窗口”。农行多年来监管部门事项牵头职能在各部门间曾“摇摆不定”，近年来很多原先由办公室牵头的事项，正逐步交由内控合规部门办理，但由于各种原因，具体职能的划分还很不到位，往往很多事项直到“最后关头”才明确要由谁负责报送和处理。在此情况下，银监局和人民银行往往只能在对应条线间单项联系，苦于缺乏一个专门的部门全力、全程、全面配合好监管要求的落实，“窗口”协调作用不明显。

（二）内控合规部门尚未独立于全行绩效考核框架外，缺乏对业务条线的硬约束。按照新指引要求，应对内控合规部门建立区别于业务部门的绩效考评方式，但目前各行一般将内控合规部门作为中台部门参与考核，并未给予合规部门应有的地位和权利，使得合规部门在牵头监管部门事项及上级行合规管理项目时，往往不能充分发力。一些监管事项分解落实到各部门后，逐步变得“疲沓”，一些部门能拖则拖，而内控部门因为地位关系，缺乏对有关部门的硬约束，使得各类管控效果大打折扣。久而久之牵头协调作用必将日益退化，各条线对合规部门认同感下降，难以有效应对新形势下监管要求。

（三）内部控制评价规范性和结果利用不足。内部控制评价是对商业银行内部控制体系建设、实施和运行结果开展的调查、测试、分析和评估等系统性活动，具有很高的严肃性和规范性，但在具体评价工作中，往往由于“光环效应”、“大行效应”等因素，一些分支机构的内部控制评价是“评价走过场，结果早内定”，一定程度上背离了内控评价初衷。一些出过案件、以前管理差的弱小分支机构无论当年内控管理做得多好，往往也得不到好的结果。对内控评价最终结果退档的分支机构，也缺乏对绩效考核、高管升迁、授权管理方面的制约，势必减弱这些机构对内控管理工作的重视。

（四）合规风险管理文化存在缺失。近年来各分支机构内外检查发现问题不断，案件风险隐患突出，究其原因，部分分支机构“指挥棒”还是明显偏向于业务经营和前台拓展，“三重三轻”即重业务拓展、轻风险管理；重立规、轻循规和主动合规；重事后审计检查、轻事前事中的合规风险管控等现象仍大量存在。一些部门对履行条线监管职责仍不重视甚至无知，片面将管理职责推向合规管理部门，刻意淡化本条线监督检查和整改直接责任，“合规管理只是合规部门的事”这种思想还有一定的市场。个别分支机构合规管理文化不成熟，全面风险管理仍以信用风险管理为主，差别化对待合规风险和操作风险管理。一些高管认为只要不出大的风险或案件，就算管理到位，就可以高枕无忧，个别分支机构对内控合规日常工作安排仍存偏见甚至反感。

（五）消费者权益保护工作还有待加强。部分分支机构将消费者权益保护简单理解成投诉处理和舆情风险被动防范，未从源头上、根本上分析如何消除和减少投诉，主动性和责任意识不强。一是消费者权益保护委员会定期分析、汇总体制机制还不健全。二是组织工作有待改进，尤其体现在支行级别没有统一的投诉应对牵头部门。三是信息沟通交流还不到位。监管部门近年宣传重点为打击和处置非法集资，在网点客户“走进来”宣传和网点人员“走出去”宣传，以及电子信息宣传报送渠道上，还有待全面加强和改进。

三、从监管角度加强内控管理的建议

新《指引》是银监会在总结近年来商业银行内控发展实践经验基础上出台的一项重要行业性法规，代表着商业银行内控实践发展的新方向。全行应加强常态化内部控制指引梳理和内部控制框架指引梳理，充分发挥内控合规部门的牵头协调和内控评价主体作用，不断健全内部控制体系、明确内部控制职责、完善内部控制措施、强化内部控制保障、规范内部控制评价，全面回归银监会“三性”管理要求。

（一）以银监会“外规内化”为契机，全面树立全行内控合规理念。一是不断优化合规考评与奖惩机制，督促和引导辖内机构认真落实合规文化建设要求，深植“合规从高层做起”理念。考核机制要突出领导干部带头合规宣讲，自觉践行合规文化，做到率先垂范。对带头不到位、合规意识淡薄的分支机构高管应严格落实惩治措施。二是探索采用新方法、新手段进行宣讲教育，如可以根据各地银监局等监管部门监管处罚情况，及时制作宣讲警示材料，在年度全行工作会议、条线会议和网点会议上进行宣讲。三是督促各部门同步制订本条线年度合规文化建设方案，在加强基础管理的同时，以“身边人、身边事”警示教育员工，全面加强条线合规宣讲主动性，与内控合规部宣讲形成有效合力。

（二）进一步规范内控评价行为，提高评价结果利用度。一是抓“季度”，按季开展分支机构内控动态评价工作，充分发挥内控评价“控在平时”的作用，每季度动态评价结果要与全年内控评价结果挂钩，达到内控评价“控得早、控得住”的效果，无论大小机构均一视同仁、客观认定、综合考量，尽量减少内控评价偏离度。二是抓“日常”，要及时收集内外部对经营行的检查情况，充分利用ICCS系统进行定期分析和监测，建立评价台账，动态掌握经营行内控管理情况。三是抓“现场”，严格执行内控评价现场分析例会制度、事实确认书复审制度和专题报告制度，提高评价工作质量。四是抓“利用”，评价结果要严格与被评价机构的绩效考评和授权等挂钩，并作为被评价机构领导班子考评的重要依据。

（三）提高内控合规部门独立性和协调工作的有效性。当务之急要根据监管要求，在明确内控合规部门职责范围的基础上，一是重新思考内控职能部门的绩效考核思路，要以牵头协调监管部门和上级行工作、审计检查工作、合规风险管理工作等是否到位作为衡量部门工作业绩的真正标志，有效制约业务部门合规管理“慵懒散”，切实提升各部门配合度和支持度。二是合规部门要抓好业务部门尽职监督统筹管理，要把尽职监督检查作为加强全面风险管理的重要举措，督促各部门、各支行把屡查屡犯问题数量是否明显下降作为衡量尽职监督成效的核心指标。对全年风险管理不到位、部门尽职监督管理严重失职、本条线检查未发现但被上级行或监管部门发现较大问题的，要在年度部门和部门负责人绩效考核中严格予以反映。

（四）完善“两加强、两遏制”长效管理机制。一是以内控合规部门牵头，以监察、安全保卫、人力资源、风险管理等部门协调推进案件综合治理工作，突出各自重点、强化分工协调，建立起防范内外勾结案件、员工道德风险、领导干部廉政风险的全行案件防控组织保障机制。二是将网点案防管控责任分层落实到人，坚持逐级管理与穿透式管理相结合、教育引导与严格执行制度相结合、常态化管理与动态化管理相结合的原则，完善网点案件风险点防控的长效机制。三是加大定期案排力度，日常风险排查除了对主要风险持续监管外，还要充分识别和评估经营中面临的新风险，如按监管要求重点关注投资理财、非融资性担保、网络借贷、私募股权投资等业务。四是始终保持对“三项违规行为”的高压态势，严防“灯下黑”，对重大违规违纪行为坚决从严从快处理，切实做到加强教育惩前毙后“不想违”、健全制度无缝可钻“不能违”、利剑高悬高压查处“不敢违”。

（五）全面加强消费者权益保护工作。一是结合监管要求和《国务院办公厅关于加强金融消费者权益保护的指导意见》等文件精神，做好顶层制度设计，逐级完善以内控与法律合规部为牵头部门，以零售银行业务部门为具体责任部门，办公室侧重舆情风险管控，银行卡与电子银行部侧重95599投诉应对的消费者权益保护工作组织构架，对分支机构的投诉应对部门要明确统一。二是完善例会制度，及时修订《消费者权益保护工作委员会议事规则》，定期召开会议评估本行消费者权益保护环境建设、履行义务、争议处理、宣传教育、信息沟通、监督评价和特定指标的管理情况。三是有重点地开展金融消费者权益保护教育，尤其是对学生、老人、农民等特定、弱势群体的权益保护，重点加大对打击和处置非法集资的宣传，切实履行农业银行社会责任。

（作者单位：农业银行常州分行）