城市商业银行内部控制探析——基于杭州联合银行存款失窃案的思考

段凤霞　张敬春

在企业内部控制的基础上，我国商业银行内部控制逐步发展。2014年9月，中国银监会以银监发〔2014〕40号印发修订后的《商业银行内部控制指引》对商业银行内部控制建设做了比较全面的规定，但是城市商业银行内部控制依然存在许多问题亟需解决。

一、“杭州联合银行巨额存款失窃案”概况

2014年，杭州联合银行某客户在查询存款情况时，发现其银行账户内的巨额存款不翼而飞。经过调查发现，该案件是由公司内部职员祝某和外部人员邱某等内外勾结所致。邱某以高额的提成请多名资金掮客欺骗储户进行“贴息”存款。掮客诱骗储户，声称只要在杭州联合银行祝某处开具对账单，证明钱已到账，就可以领到高达13%的“贴息”。与此同时，掮客还与储户签订了“六不协议”。掮客将储户骗去银行后，银行内部职员祝某则利用同事间的信任以及职务便利，将储户存款转移到邱某账户并开具虚假证明。2015年1月，9名涉案人员被捕，42名储户的9505万元存款，追回5000多万，差额由银行先行垫付给银行储户。

二、银行内部人员作案要素分析

企业内部控制建设由人来完成和实施，主要目的是为了防范人为操作给企业所带来的威胁。因此，要想完善城市商业银行内部控制，必须对银行内部人员作案要素进行分析。本文在“舞弊三角理论”的基础上，探讨了银行内部人员违反相关法律法规以及规章制度，挪用储户存款的作案三要素，并在此基础上进行了进一步思考，提出更为符合人性的第四要素——利益要素。

1、压力

工作压力是银行内部员工铤而走险的心理动机。工作压力又称工作应激，是指由工作或与工作直接有关的因素所造成的应激。具体包括工作负担过重、变换生产岗位、时间压力、工作责任过大或改变、工作时间不规律、倒班、上班过远、工作的自然和社会环境不良等。银行工作人员一般都有存款业务量的要求，各银行支部可能还要参与评比，工作压力的增大可能会使银行工作人员寻求不正当途径来吸收存款。

2、机会

机会要素是银行员工违规转账的客观要求。机会要素指可进行违规操作而又能掩盖起来不被发现或能逃避惩罚的时机。案例中，外部掮客以高额“贴息”欺骗储户前去存款视为“天时”；祝某在银行担任要职，职权没有分离，视为“地利”；祝某利用其同事间的信任进行犯案视为“人和”。天时地利人和三者同时满足，才给了祝某犯案的机会。

3、借口

借口(自我合理化)是银行员工违规操作的道德动机。借口，即银行员工为了使其暂时逃避责任，寻求某些理由合理化其违法行为，获得心理上的自我谅解，而不论这些理由是否真正合理。银行员工常用的理由有：我只是暂时借用这笔资金，日后肯定会按时归还；我这样做也是为了公司好，可以为公司吸引存款；为了收回某企业原来借款，我必须再借给该企业更多资金盘活该企业等等。

4、利益

追求短期个人利益是诱导银行内部人员走上犯罪道路的行为动机。利益是指人们通过社会关系表现出来的不同需要。利益在本质上属于社会关系范畴。由于人的需要是多方面的，因此有多种多样的利益。人们对生活资料的需求、追求和满足，是物质利益也称为经济利益。此外，还有政治上的利益和精神生活方面的利益。案例中，银行内部职员祝某只顾自身眼前利益，没能抵抗住邱某的金钱诱惑，在银行内部为邱某违法转移大笔存款。

三、从“杭州联合银行巨额存款失窃案”看我国城市商业银行内部控制

1、内部控制环境得到改善，但内部控制文化依然缺失

城市商业银行的原身是20世纪80年代设立的城市信用社。经过多年发展，城市商业银行已经逐渐发展成熟，有相当多的城市的商业银行已经完成了股份制改革。杭州联合银行是全国首个引入外资入股的农村合作银行，荷兰合作银行持有该行10%左右的股权成为第一大股东，国际金融公司（IFC）持有该行5%左右的股权成为第二大股东，但是，两大股东均不得派出行长。这很好的解决了原来地方政府在城市商业银行中普遍存在的“一股独大”弊端，使得内部控制环境得到改善。但是，由于内部控制在我国城市商业银行推行比较晚，内控观念和内控意识相对滞后，商业银行内部控制文化氛围缺失依然严峻。主要表现在未能培养全员风险管理和内控意识，未能在银行整体战略规划管理中体现对内部控制的重视，内部控制的惩戒机制不健全等。我国城市商业银行内部控制文化氛围的缺失，使得内控机制难以良好运行。

2、内部控制制度比较完善，但执行程度较差

尽管我国城市商业银行根据《商业银行内部控制指引》制定了比较完善的内部控制制度，但是由于我国城市商业银行长期以来缺乏内控文化建设，致使内控制度在执行程度上较差，在现实生活中，部分内控控制制度往往被束之高阁，无法发挥应有的作用。具体表现在业务的审批和授权随意性较大，甚至滥用职权；银行工作人员不严格按照章程处理业务，随意减少业务操作过程中的必要程序；经办人员不按要求履行职责等。内控执行不足是导致舞弊与风险发生的最主要原因。

3、会计信息化使得内部风险防范难度加大

会计信息系统的推行与使用，在一定程度上消除了因个人疏忽而导致的业务失误，大大提高了银行职员处理业务的效率。但是，会计信息在企业公共信息平台上成为开放化，加大了银行内部风险防范的难度。如果会计人员同时肩负数据的输入处理与输出报送，那么很容易出现在会计人员未经批准的情况下，对使用的程序和数据库进行修改等违规操作处理。此外，即使授权环节出现问题，银行员工存在违规操作后，银行内部系统提示了存在数据异常，但是这种提示是在银行内部，也就是说防外不防内。这种漏洞给了犯罪分子以可乘之机。

4、风险识别与评估系统不健全

自2013年起，《商业银行资本管理办法（试行）》正式实施，给银行业带来了更加严格的监管约束，资本约束压力也越来越大；此外，政府推动构建逆周期的金融宏观审慎管理制度框架，把货币信贷和流动性管理的总量调节与构建宏观审慎政策框架结合起来，全面覆盖了商业银行经营管理的各个方面。金融深化改革给城市商业银行带来的冲击要远远大于对大型商业银行的冲击，城市商业银行必须不断推出各种新产品和新业务来抢占市场份额。而一些城市商业银行的高层或员工对风险的识别与评估往往存在片面性，缺乏系统的风险管理观念。同时，城市商业银行内部也缺乏完整的信用风险和操作风险判定体系，没有建立科学的风险量化标准，使得城市商业银行只能被动承受新业务拓展带来的的风险。

四、“杭州联合银行案”对我国城市商业银行内部控制建设的启示

内部控制作为企业生产经营活动的自我调节和自我制约的内在机制，处于企业中枢神经系统的重要位置。内部控制制度是否健全，关系到商业银行安全和日常业务的有序运作。从“杭州联合银行案”可以看出，银行内部控制体系不是简简单单制度的罗列或者规定的制定，它要求银行员工切实严格执行这些规章制度，形成企业内部良好的内部控制文化氛围，并在内部控制技术方面加以完善。

1、建立健全内部监督和激励机制，提高内部控制执行力。

城市商业银行内部控制的建设，既需要健全的内部控制制度做保障，更需要内部员工认真贯彻和执行制度。否则，再好的内部控制制度也只是一纸空文，毫无意义可言。从银行内部控制问题的发现到新的内部控制制度的生成、执行、评价和改进，整个过程都是人起主导作用。因此，要想提高内部控制执行力必须加强对银行内部对员工的约束。具体包括以下两个方面建设：（1）加强内部监管队伍建设，从严进行责任追究。挑选一批思想觉悟高，业务能力强，懂政策、熟法规的员工加强内部监管队伍建设，针对各级机构和部门负责人是否承担起各自的内部控制责任进行严格监督。建立严格的处罚机制，对违法违规人员要严格处理，要做到有规必依、违章必究，从外部消除银行内部员工的一些侥幸心理，提高内部控制执行力。（2）建立奖励机制，吸引员工参与银行内部控制建设。在高管报酬和绩效挂钩的情况下，兼而考虑内部控制建设指标，尽快建立起切实可行的绩效评价评价体系，健全包括薪酬和升值在内的奖励机制，增加全体员工对银行内部控制的重视程度，从根本上提高员工在企业内部控制中的参与度与执行度。

2、加强内部控制宣传，形成良好的内控文化氛围

城市商业银行作为一个企业组织结构，其内控文化包括银行员工的风险观、责任感、价值取向以及职业道德等。银行应该加强银行内部控制宣传，增强员工对内部控制的认识，使其在熟悉自身岗位工作的职责要求上，了解内部控制的重要性并积极参与内部控制，最终在商业银行内部形成良好的内控文化氛围。一个良好的内控文化氛围，能够提高员工法制观念，在思想观念上建立牢固的按照规章制度办事的防线，自觉遵守各项内控制度，提高员工自我的约束。

3、健全可疑交易监测系统，防外也要防内

银行会计信息化的实现并不代表给违法犯罪分子留下了可乘之机，这就需要健全可疑交易监测系统，提高银行识别和处理异常数据的能力。银行的内部控制不仅要要对各个部门的操作加以规范，还要时刻关注各种信息的变化情况。同时，银行应该注重培养熟识日常业务、具备会计专业知识和信息系统使用和维护的高素质人才，加快知识结构由单一型向“T”型转变。对于数据异常产生的警示，要由系统交由多人负责，防止内部人员对警示的掩盖。

4、建立健全风险识别与评估系统

风险识别指发现、承认和描述风险的过程。风险评估指对指对风险事件发生或者之后（但还没有结束），该事件给人们的生活、生命、财产等各个方面造成的影响和损失的可能性进行量化评估的工作。银行作为一个信用机构，随时都面临着来自内部和外部的风险。一个良好的风险识别与评估系统，能够有效降低银行日常业务和产品中的不稳定因素，增强银行抵抗风险的能力，提高银行信誉度，从而在根本上提高银行竞争力。