商业银行内部控制管理研究——基于监管处罚视角

邵丽玲

（中国建设银行股份有限公司绍兴分行，浙江 绍兴 312000）

一、引言

中国银保监会及其派出机构、中国人民银行及其派出机构公示的行政处罚信息显示，部分银行从业人员因对其所在银行存在下列其中一类违法违规事实的直接责任，被处以禁止从事银行业工作终身处罚：第一类是内控管理存在漏洞、制度执行严重不到位，形成银行资金损失。第二类是信贷管理方面严重不审慎，发放不符合条件的贷款、办理无真实贸易背景的银行承兑汇票业务；或审贷未分离违规发放贷款；或客户经理利用职务之便侵占客户和银行资金等严重违规问题，最终导致发生案件；或发放虚假抵押贷款等。第三类是柜面业务严重违反审慎经营规则。部分银行从业人员因对上述违法违规事实负有直接经办及管理责任被处以禁止从事银行业工作2年至10年的处罚。部分银行高管因对其所在机构虚增存贷款行为负主要责任；或内控管理严重缺失，对客户经理利用职务便利办理虚假抵押贷款负有主要领导责任或直接管理责任被处以取消高级管理人员2年至10年的任职资格的处罚。个别银行或其分支机构则因“……未按规定落实票据业务内控管理要求；员工与票据中介存在往来，违规开展票据业务”被处以罚款人民币3650万元的处罚；或因“内控管理严重缺失，客户经理利用职务便利办理虚假抵押贷款”被处以罚款人民币2820万元的处罚；或因未按规定履行客户身份识别义务、未按规定保存客户身份资料和交易记录、未按规定报送大额交易报告和可疑交易报告、与身份不明的客户进行交易被处以2360万元罚款。

这一份份的处罚信息，彰显了强监管、严监管和全面监管的态势，也暴露出商业银行内控管理存在的薄弱环节。特别是近年来，随着内外部环境的变化，商业银行面对激烈的市场竞争、严厉的政府监管、突发的宏观环境变化，加强内部控制管理就显得尤为重要。

二、商业银行内部控制建设监管要求的变化

我国的《商业银行内部控制指引》由中国人民银行在2002年首次印发、中国银监会在2007年第一次修订，并于2014年再次修订实施。对商业银行规范内部管理、完善内部控制发挥了积极作用。

2014年的《商业银行内部控制指引》主要修订增加了内部控制评价和监管约束两个方面内容。

（一）内部控制评价

新的《商业银行内部控制指引》补充完善了内控评价的工作要求。要求商业银行建立内部控制评价制度，明确了内控评价的实施主体、频率、内容、程序、方法和标准，强化了内控评价结果运用，推动内部控制评价工作制度化、规范化，促进商业银行不断改进其内控设计与运行。

（二）监管约束

新的《商业银行内部控制指引》增加了有关违反规定的处罚措施。银监会及其派出机构要对内控存在缺陷的商业银行，责成其限期整改，对逾期未整改的商业银行，根据有关规定采取监管处罚措施。

目前，工、农、中、建、交五大行和邮储银行已在上海和香港证券交易所同步上市，截至2021年1月8日，已在国内上市的其他商业银行有32家。上市的商业银行都应按规定披露各自的内控评价报告和内控评价报告的审计报告，所有商业银行都应按监管要求报送内控自评报告。

三、商业银行内部控制存在的问题

在银行业监督管理机构公示的行政处罚信息中，既涉及对银行从业人员的处罚，又有对银行及其分支机构的处罚，违规违法事实也体现了商业银行内部控制管理中的几点突出问题。

（一）银行从业人员参与违规违法

银行业监督管理处罚中，银行从业人员参与违规违法的，主要有三类从业人员。第一类是机构负责人，本人或授意下属员工违规或违法操作，以达到其违规或违法发放贷款或其他目的。第二类是与贷款或理财客户有直接接触的客户经理，利用职务便利，侵占银行和客户资金，或为谋私利违规发放贷款，给银行资产造成风险。第三类是柜口人员，因参与网络赌博，或为贪图享乐，而谋取不当所得，违规开立账户，甚至违法办理业务；更有个别从业人员，直接从自己保管的尾箱中盗取现金。从2015年至2020年，监管部门对银行员工违规代客保管的处罚每年都有。

（二）具体业务层面内部控制存在问题

创新服务、创新产品已经成为商业银行提升竞争力、增加盈利的主要手段。现代商业银行也从经营传统的存贷款为主，向优化传统业务的同时，大力发展中间业务转换。而新业务的发展未及时进行内控管理，使得商业银行在监管检查中发现了一些内部控制问题，主要有：一是未将规范有效的内部控制措施嵌入到具体的业务活动中。如有的银行未按规定落实票据业务内控管理要求；员工与票据中介存在往来，违规开展票据业务。有的银行票据转贴现业务内控机制不健全、有关业务环节未采取适当的风险控制措施。有的银行审贷未分离违规发放贷款；未建立抵质押品登记回避制度违规发放贷款。二是未按银行建立的内控制度执行或制度执行严重不到位。如有的银行内控管理存在漏洞，制度执行严重不到位，形成银行资金损失。三是对发现问题的整改落实不到位，以致同类问题屡查屡犯、此查彼犯。

（三）商业银行内部监督的局限性

内部监督是商业银行对内部控制建立与实施情况进行的监督检查，是实施内部控制的重要保证。但由于内部监督都由商业银行自行组织实施，更由于商业银行受成本效益原则的限制、内部监督人员的素质和商业银行经营商品的特殊性，导致商业银行内部监督存在一定的局限性，如某些业务的日常监督和专项监督流于形式，未发现“未按规定保存客户身份资料和交易记录、未按规定报送大额交易报告和可疑交易报告”的问题；由于内部监督方法和手段的局限性，未能发现“贷款资金流入房市”“贷款资金被挪用流入股市”的问题，制约了内部监督作用的发挥。

四、加强商业银行内控管理的措施

（一）以人为本，加强内部控制文化建设

一是强化高管内控合规意识。高管人员主动宣讲合规政策、警示案例，形成“合规从高层做起”的理念，通过以上率下，着力形成高层重视合规、全员自觉合规的文化氛围。二是加强从业人员管理。认真落实《中国银保监会关于银行保险机构员工履职回避工作的指导意见》等规定，把员工任职回避、业务回避、强制休假等各项要求落实到位；离职审查（审计）流程规范，严把入职审核关。三是关心关爱员工。切实解决部分基层网点员工收入较低的问题；同时通过补充医疗保险、员工家庭财产保险等方式切实解决员工的后顾之忧；关注员工“8小时”外的生活。四是持续开展案件警示教育。加强对国家法律法规、外部监管政策、银行规章制度以及典型违规案例的系统培训和学习，通过解读法律、传导政策、剖析案例等方式，以案为鉴、以案促改，以基层机构负责人、客户经理、柜员等关键岗位人员为重点，教育员工知敬畏、存戒惧、守底线，不断强化合规、守矩意识。

（二）以风险为导向，落实具体业务层面的内部控制措施

为防范化解金融风险，内部控制是“第一道关口”。商业银行根据风险应对策略，采取对应的控制措施，将风险控制在可承受范围之内，是实施内部控制的具体方式。一是要树立全面风险管理理念，使从业人员个人、团队价值观、行为态度与处事方式在风险价值观上相统一。二是对具体业务层面进行风险监测和排查。加强商业银行内部控制的全流程管理，定期或不定期对具体业务进行全面的风险分析，列出风险清单、进行风险评级，特别是创新业务和产品。运用不相容职务分离控制、授权审批控制、绩效考评控制等控制措施，从制度、流程、系统和机制上对具体业务和经营管理进行制衡。三是要强化问责，强化制度的执行力。

（三）追根问源，充分发挥日常监督的积极作用

银保监会及其派出机构，人民银行及其派出机构都已将行政处罚决定书在其各自的网站进行公告，商业银行应结合监管机构的公告情况、自身的被处罚情况，举一反三加强内部日常监督。

第一，兼顾发现问题和差异事项、风险提示。商业银行内部监督发现的“问题或情况”主要有三类：一是发现的问题，提示内部控制缺陷和重大风险事项；二是差异事项，提出一些操作性、遵循性的问题；三是风险提示书，主要提示一些苗头性、倾向性问题。对于发现问题，事后会进行跟踪检查；对于差异事项和风险提示的内容，往往由所在机构进行自行整改。而差异事项和风险提示内容恰恰是监管处罚的重点，是需要着力解决的屡查屡犯问题。

第二，兼顾整改过程和整改结果。整改组织、计划、措施与整改结果同等重要。要避免出现形式上整改而实际上未落实的问题。

第三，要有连续性检查的过程，在监管中发现的问题，除了提出整改方案，还需对整改的实施效果进行连续性监督，使得检查达到改进和提升的效果。