COSO框架下的中小银行风险管理研究

摘 要：2020年11月23日，包商银行正式进入破产程序，是继海南发展银行、河北肃宁尚村信用社之外倒闭的第三家银行，对我国金融行业发展有着重大的意义。包商银行破产的重要原因就是其风险管理的失灵。本文将基于COSO框架，结合包商银行的公司治理和企业文化，分析包商银行存在的风险，评价其风险管理手段，给其他的中小银行提供借鉴。

关键词：风险管理;COSO框架;中小银行;包商银行

一、引言

2019年5月24日，包商银行因出现严重信用风险，被中国人民银行、银保监会联合接管。一方面，新设蒙商银行、联合徽商银行承接包商银行的相关业务;另一方面，由于包商银行的资产难以补偿其债务，有关部门参照《企业破产法》，坚决推进其破产清算。

经过业界人士的调查分析，包商银行的破产主要是由于大股东“明天系”一手遮天，他通过注册209家空壳公司，向包商银行借贷327笔，占用资金超1560億元，并逐渐将这些贷款转为不良贷款，最后终于拉垮了包商银行。但笔者认为，包商银行的倒台，绝对不止“明天系”一个蛀虫。“明天系”与包商银行内部管理层相互勾结，形成贪腐利益链，这背后也反映出包商银行公司治理和风险管理中存在的重大漏洞。

银行在我国一直有着神圣的地位，与美国有数百家银行倒闭的情况相比，中国包括包商银行在内总共只有三家银行倒闭。由于我国人民理财观念较为保守，相比于股票、基金而言，将钱存到银行在我国人民心中最为安全、风险最低，如果一家银行破产，将会对我国人民财产安全造成很大的打击，也会导致人民对其他银行的信任危机。如今，我国正在推进中小银行市场化、法治化改革，包商银行破产对于所有银行尤其是中小银行及储户而言都是一个警示。随着互联网金融理财产品的出现，我国银行理财市场也相应面临着较大压力，其风险管理也逐渐暴露出很多问题。中小银行应当以包商银行的案例为借鉴，吸取其教训，加强内部风险管理。因此，分析包商银行的案例，对中小银行的加强其风控具有重要意义。

二、包商银行总体介绍

包商银行于1998年12月在内蒙古自治区成立，是一家中小型城市商业银行。根据官网的说明，包商银行的经营业务十分广泛，包括贷款、票据、贴现、债券、同业拆借业务等。除了内蒙古自治区以外，它在宁波、成都、北京等地开设多家分支机构。机构遍布全国，客户数量达473.16万户，曾在亚洲银行中排名第十位。在2020年4月9日，银保监会批准了新银行蒙商银行的筹建申请。4月30日，蒙商银行完成工商登记。11月23日，包商银行正式进入破产程序。

三、包商银行治理和文化

1.董事会监督

笔者认为，包商银行的董事会不能对风险管理负责，可以说是形同虚设。董事会是日常管理的重要依托，对公司管理的效率和质量有至关重要的作用。但是包商银行的董事长在董事会中拥有最强话语权。其董事会也不具有独立性，董事长显然受制于大股东“明天系”，可以凭借董事长所谓的“核心作用”直接做出决策。同时，管理层的其他成员无法纠正董事长在风险管理中的偏误。根据包商银行接管组组长声称，在2015年12月二级资本债“募集说明书”中披露的董事会13人名单里，有众多董事不参与决策，也不对重大违规决策提出反对意见，并未履行董事应当承担的责任和义务，甚至腐败走后门，用特殊关系暗箱操作。

2.营运结构

就组织结构而言，表面上包商银行治理结构较为完善，股东大会、董事会等各司其职，似乎结构健全、职责明确。但是实际上同时踩了“内部人控制”、“大股东控制”的管理雷区。就股权结构而言，包商银行机构股东共有79户，其中明确归属于明天集团的有35户，持股比例高达89.27%。“明天系”一家独大，绝对控股。股东大会成了大股东的独裁机构，失去其科学、民主决策的作用。就管理层而言，他们无视制度。管理层暗中为“明天系”套取现金提供帮助，成立大量中小微集团等，通过关联交易获取贷款，最终这些贷款都成为不良贷款。有些关联方贷款直接从“绿色通道”审批，有些关联交易直接由高管层集体决议，甚至凭借领导印鉴可以直接放款。就风险管理结构而言，风险管理控制部门本应该居于上位，但他们无法发挥其职能，他们的权力被完全架空。包商银行实行事业部制，风控部门没有决策权和“一票否决权”，对风险管理工作也不能实现垂直领导，完全丧失了专业判断，也不能起到制衡的作用。

3.企业文化

包商银行缺失党的领导，党委主要负责人甘愿为大股东服务，最终演化为内部控制人。由于长期缺少党的正确道路领导和党委的严格监督，包商银行形成了不良的企业文化风气。党员干部以权谋私、违法乱纪。纪委对大量的举报不理睬、不立案、不查处;甚至对部分严重违规放贷案件也只进行内部处理。风险管理也完全不合规、不合法。上行下效，整个银行都以权谋私，以包商银行业务部为例，他们大量虚列开支、虚开发票，将各种费用假借管理费用的名义来套取资金。“费用薪酬化”已经成了银行内部默认的规则。

4.核心价值观

包商银行的价值观是偏离核心价值观的。其党委书记在董事长的领导下服务于“明天系”，重大事项和大额资金使用均不需要通过党委集体讨论决策。党委内部的管理也出现很大问题，全行有468名党员党组织关系未转入包商银行，他们长时间不交纳党费，也不参加党员活动。从上到董事会下到银行基层员工，违法乱纪的现象比比皆是，严重违背社会主义核心价值观。除此之外，银行的风险问责制也存在很大问题。党内监督问责机制完全失效，违法乱纪的现象无人管理。审计监督也完全失效。内部审计也无从得知大股东和董事长所谓的“特殊业务”。审计倘若检查出问题，上报之后也依旧不了了之。监事会的监督也完全没有效用。包商银行的7名监事中有4名都是包商银行的中高层管理者。他们兼具双重身份，使得监管失效;同时，监事会也不具备专业知识和能力，缺乏财务知识背景，因此他们很难履行职责。由此观之，包商银行很难进行风险问责制，无人监督，无人问责，无人理睬。董事长一人独大，也难以被追究责任。整个银行都偏离核心价值观也无人纠正。

5.吸引、發展、维护人力资源

从银行的员工管理来看，员工的组织考察、绩效考核、薪酬调整全都由关系或者领导的喜好决定。按照关系招聘员工，首先不能保证员工能否胜任这项工作，其次会阻止那些无后台但是非常有能力的人才进入公司。按照领导的喜好考核业绩和发放奖励都不能促进对员工的激励作用，员工不是努力提升业绩和能力，而是想办法钻营得到领导的青睐，这对整个银行的长远发展来看将是毁灭性的打击。就笔者个人观点来看，整个银行的氛围可以用黑暗来形容，有实力的员工没有会钻营的员工发展得更好，没有关系在银行就看不到未来，这样的公司氛围会增加真正对公司有利的人才的离职率，也无法吸引外界人才。

四、包商银行的战略和目标设定

1.分析商业环境

近几年，世界多国“逆全球化”趋势进一步加强，中美贸易摩擦加剧，国际地缘政治复杂化，全球经济发展环境的不确定性增加。全球风险资产价格大幅波动，我国投资储蓄人群的风险意识都大大增强，对财富安全的需求也显著增加。同时，我国自2018年4月27日以来出台了大量适用于银行、信托、保险等机构的配套细则。银行所在的市场及对银行的监管形势愈发严峻。随着近年来我国金融监管的日趋严格，蕴藏在部分中小银行原有的发展模式中的相关风险也逐渐显露，使得市场对其发展前景越来越忧虑。自从2016年以来，我国中小银行盈利能力显示出明显差距，银行资产质量的压力愈来愈大，同时资本补充难度又陡然增加。

2.定义风险偏好、制定商业目标

包商银行曾提出“一百个发展也抵不上一个风险”。就包商银行的价值观而言，它特别重视对风险的控制。由于其规模属于中小型，它的业务对象主要为小微企业。如今，小微企业客户的作用越来越举足轻重，银行对其信贷风险的管控直接关系着经营绩效以及竞争能力，还直接影响其资产安全，甚至直接决定银行的生死。

根据包商银行的年报披露，其风险偏好定为中度，风险管理部建立了授信集中度名单制管理的长效机制，严格控制新增。严格按照监管及风险偏好指标控制集团及单一贷款客户授信总额。同时，它将最大集团客户授信占资本净额的数额小于15%作为目标，衡量其不良授信的情况。还设立了一系列其他的目标如不良贷款率等，以保障银行的平稳发展。

但是，包商银行的年报披露和包商银行接管组组长周学东对其实际管理情况的披露完全背道而驰。在其报表中披露的逾期贷款及不良贷款有关的统计口径仅限于贷款及发放垫款，并未包括其他应收款类投资1786亿元，因此包商银行实际的不良贷款规模无法测算，如果暴露其实际数字一定会有巨幅的增长。包商银行将风险偏好定为中度，但是实际上在发放贷款时并没有严格适应风险偏好。根据上文的分析，包商银行的风险管理部可以说是完全失效的，“明天系”的贷款可以直接走“绿色通道”由董事长印鉴直接发放，而不需要做背调审慎评估放贷风险。所以，银行的战略并没有被正确地执行，日常决策与战略相偏离，也无法实现银行的使命和愿景。

五、包商银行绩效

笔者认为包商银行主要的风险点应当在于其对小微企业的贷款方面。包商银行的年报中贷款发起流程三个阶段如下所示：

包商银行的年报中已经披露了一套较为完善的风险管理体系，介绍了较为丰富的经验和详细的风险防控措施。下面将根据COSO框架的绩效要素依次提出笔者认为的其风险管理中存在的问题。

1.风险识别

在信用风险识别方面，主要包括内部识别和外部辅助识别。在每笔贷款业务中，主要由客户经理和审贷委来识别。客户经理主要集中在贷前调查及贷后管理阶段，审贷委对贷款风险的识别主要集中在贷款审批阶段。相比于其他商业银行拥有从宏观经济评估、客户财务评估、担保评估、经营评估以及行业环境评估几个方面完善的客户评级系统，商业银行仅通过财务报表分析借款人的本息偿还能力。对客户进行审核的人员也很单一，主要由受理该笔贷款的客户经理一人根据提交资料判断是否符合准入条件，并决定是否进行下一步调查。审贷委的审批官人员固定，也只囿于银行内的报告而不能深入实地考察，了解最新动态。

2.操作风险

操作风险在银行实际经营中发生的频率低于信用风险，但一旦发生，其后果往往非常严重。包商银行目前主要通过保证客户经理在整个贷款流程中合规操作来识别操作风险。要求在贷前阶段严格把控准入条件，在贷中阶段通过收集客户在包商银行开立的资金监管账户的银行流水等资料了解客户的还款能力，对客户、风险经理双人调查，并注重与保险公司的合作分散风险。在贷后要进行定期回访。但是包商银行对操作风险的把控都是基于过往案例的经验，而对未来没有准确的预测。并且对操作风险发生的风险点的识别陈旧，只注意固定的几个。除此之外，由于缺少系统化的操作风险管理制度，业务人员对操作风险的重视程度不够，也会导致客户经理存在道德问题引发内部欺诈的潜在风险。包商银行就曾经出现过员工挪用客户大量现金的情况。

3.流动性风险

流动性风险是由于资产和负债不平衡导致资金缺口，使得银行不能按时偿还到期债务以及其他支付义务所造成的风险。包商银行一直通过流动性比率、净稳定资产比率和流动性覆盖率来识别银行的流动性风险。但是包商银行的识别主要集中在总行层面，由总行统筹监管，因此下属机构的风险点不能被及时发现，存在信息滞后问题，不能及时解决。同时，笔者认为流动性比率等都是基于财报的数据计算得来，都是基于过去的信息，而不能对未来有一个预测和警示作用，包商银行的识别方法不够科学，也没有针对短期、中期、长期的防范措施。

（1）风险评估

相比于国内银行，国外的商业银行在评估风险上拥有更多的经验，他们拥有比较完善的数据库信息，学术界也已经给出了众多可以在实践中使用的数学模型。包商银行借鉴了德国的IPC技术来评估风险，主要是通过交叉检验进行验证客户提供资料的真伪性，并且这项技术已经成了其核心技术。

除了财务数据以外，客户经理也没有科学的评估工具。包商银行考察的大部分资料都是由客户提供，主要通过征信记录和实地调查来核实，通过客户提供的申请表来了解借款人的背景、喜好、财产状况等。很显然，包商银行的风险评估过于主观，缺乏客观性，由客户提交申请表，客户可以粉饰事实，存在客户骗贷的风险。

除此以外，包商银行的评估思维固化，对风险的评估不能与时俱进，还停留在原有方法上。以其引进的德国IPC技术，随着时间的推移，他们并不注重技术的改进和完善。相对于如今变化多端的市场，这些技术已经有些过时了，不能全面地、准确地评估出现在的情况。且包商银行的风险评估不能够结合基层实际，经理等基层人员并不会深入实地调查，而是坐在办公室就完成了评估。这导致结果不够客观、具体，有点流于表面，把评估作为一项任务而非手段，不能真正引起基层客户经理的重视。

（2）执行风险响应

包商银行会采取一些措施来降低风险的可能性或影响，其中主要措施就是贷款时需要抵押品。等贷款出现问题时，就将抵押品处理掉。包商银行内部对各种抵押品也设立了分类指引文件。但是在实际操作过程中，包商银行并没有严格按照文件的指引进行操作，也很少去调查抵押品的实际情况。然而，实际上，包商银行所拥有的抵押品很多都是有问题的，包括缺失、损坏、被法院查封等情况。因此等到包商银行实际处理时，会遇到很多困难。

同时，包商银行会定期反映风险的规模以及对银行的影响，会设置客户的预警信号。但是包商银行的预警信号只分为“一般级”和“严重级别”。这样反映有些过于简单，分级过于粗糙。并不能准确反映风险的影响程度，在“一般”和“严重”两者之间存在很多种情况，对于即将处于严重级别的应当予以警示，已经处于严重级别的应当采取行动。银行无法根据粗糙的分级制定相应的应对措施，这个分级更无法反映风险的变化。

除此之外，据包商银行的报表显示，他们会通过监控、问责等方式执行风险响应。但实际上，包商银行贷后检查频率较低，虽然定期上报情况，但很少会实地考察，多是闭门造车。对于操作风险和流动性风险的监控，笔者认为也是流于形式。根据前文对包商银行营运结构、监督机制等问题的分析，可以看出包商银行的内部监督存在很大问题。业务部虚开发票等套取现金的行为也屡见不鲜。

六、審阅和修订

包商银行成立了内部审计机构，定期对银行各分行开展内部审计，内部审计活动包括对公司治理、风险管理及内部控制等方面的审计。同时，为了持续改进风险管理，应对迅猛发展的金融科技和不断变化的市场生态、金融生态和经营业态，从包商银行的官网来看，他们推出了一大批新的金融产品，以应对市场竞争的需求。

但是，就笔者看来包商银行在评估内外部环境的重要变化、检查风险绩效和提升风险管理方面还有很大的缺陷。包商银行不能及时监控风险的变化情况，对于风险相对较高的行业不能及时监控汇款动态，而且贷后检查频率较低，贷后跟踪不到位，这主要体现在客户违约数的不断上升。同时，根据前文的分析可以发现，包商银行内部众多业务对于审计部门是完全保密的。即使审计部门审计某些事项后发现问题，也都是不了了之，并不能得到解决。官网上新发布的金融产品众多，根据底下的风险提示和包商银行回应的风险应对措施，在分析了包商银行的实际情况后，认为众多措施都名不副实。除此之外，根据包商银行近几年的人事变动，在内部管理层调整后包商银行也没有做出及时的相应的风险管理调整，新的管理人员上位后仍然延续上一代的管理习惯和行事作风。否则，董事长“一个人说了算”的局面也不会逐渐牢不可破，权力也不会逐渐向董事长集中，成了董事长的一言堂，实际上逐渐被“明天系”掌控。综上所述，认为包商银行的风险和绩效并没有得到很好的检查，风险管理的漏洞也越来越大，而不是逐渐获得提升。

七、信息沟通与报告

包商银行风险开展所需的信息主要依靠各机构、部室报送的材料汇报。在内部沟通方面，主要采取自下而上汇报，经过层层审批过后，又自上而下转达。

但实际上，包商银行的信息传递效率较低。层层审批有时候会增加不必要的时间，应当适当减少其中的环节。同时，提交信息数据的质量也较低。由于基层人员不能考察实际情况，而是闭门造车，报告多半是流于形式而不能反映实际情况，不能为高层提供高质量的数据报告以帮助决策。除此之外，根据公司的对外披露的财报来看，包商银行的不良贷款与其实际数量差额较大。因此，报表的真实性是值得商榷的，这也使得外部监管部门无法发挥有效的作用。

八、结语

纵观以上对包商银行风险管理的分析，我们不难发现从公司治理、企业文化到风险识别、风险管控再到最后的信息沟通，包商银行都存在很大的漏洞：基层到管理层的风险识别和风险响应都落后于时代潮流，方法过时，脱离实践，闭门造车;企业文化扭曲，工作环境黑暗;内部信息沟通效率低、质量差;对外信息存在造假嫌疑，外部也难以监督。

我们不能否认董事长和“明天系”内外勾结是包商银行倒闭的重要原因，但银行内部并不完善的风险管理系统也给了他们很大的操作空间。在众多中小银行中，也许不仅只有包商银行这一个个案。因此，为了银行的长远发展，中小银行应当吸取包商银行的教训。首先，加强公司治理，选好董事长和董事会成员，形成完善的组织结构。股权结构间应当有效制衡。其次，应当加强公司风险识别、有效执行风险响应，与时俱进，更新评估方法和应对手段，加强内部信息沟通的效率和质量。最后，应当加强外部监督，完善信息披露机制，培育健全的银行治理文化。

参考文献：

[1]周学东.中小银行金融风险主要源于公司治理失灵——从接管包商银行看中小银行公司治理的关键[J].中国金融，2020（15）：19-21.

[2]邱宜干.包商银行被接管的深层原因分析[J].现代营销（经营版），2019（12）：150-151.

[3]汪晖.包商银行信用风险管理策略研究[D].江西师范大学，2020.

[4]穆晓堂.包商银行的战略愿景与内审的风险定位[J].中国内部审计，2017（09）：102-103.

[5]陈游.美国中小银行救助机制对我国的启示——对包商银行事件的思考[J].西南金融，2020（12）：44-54.

作者简介：徐蕾（2000- ），女，江苏省镇江市人，苏州大学会计学专业18级，研究方向：企业管理