城市商业银行内部审计有效性初探

张秋水

我国城市商业银行是在当地城市信用社的基础上组建成立的区域性银行，是银行业的重要组成部分，在服务当地百姓、中小微企业、地方经济等方面具有重要作用。近年来，我国城市商业银行风险事件时有发生，暴露出城商行内部控制和内部审计的不足。本文将城市商业银行内部审计有效性面临的特点和问题作为出发点，针对当前城市商业银行经营发展的特点和趋势，对提升城商行内部审计有效性提出了建议。

一、引言

2021年11月，中国银行业协会城商行工作委员会发布《城市商业银行发展报告（2021）》（以下简称《报告》）。《报告》指出，城商行在2020年规模稳健增长，发展能力稳步提升，主要效益指标处于合理区间，风险抵御能力增强。截至2020年末，城商行总资产41.1万亿元，同比增长10.2%；总负债38.2万亿元，同比增长10.6%。另外，2020年末，城商行不良贷款余额3660亿元，较2019年末减少414亿元；不良贷款率1.81%，较2019年末下降0.51个百分点，实现不良“双降”。近年来，我国城市商业银行资产负债增速平稳，结构进一步优化，服务中小微企业的市场定位进一步增强，不良率有所下降，风险管理水平不断增强。但是，城商行仍然存在许多薄弱环节，不断出现风险事件，暴露出城商行公司治理和内部控制出现问题。

2014年，银监会发布《商业银行内部控制指引》，提出了商业银行内部控制的“三道防线”，具体包括一线业务部门、内部控制职能管理部门、审计监督部门。而作为银行风险防控“第三道防线”的内部审计部门，是最后一道防线，在商业银行风险管理中的重要性不言而喻。近年来，我国城市商业银行的内部审计不断发挥重要作用，一方面对被审计对象进行“全面体检”，促进合法合规经营；另一方面，风险前置，嵌入全面风险管理环节，推动完善内部控制。

在各城市商业银行的快速发展过程中，特别是包商银行事件，暴露出内部审计仍面临许多不足和问题，如何提高内部审计作为“第三道防线”的作用，是城市商业银行需要深入思考研究的问题。

基于以上背景，本文从城市商业银行内部审计有效性面临的问题和挑战作为出发点，针对当前城市商业银行经营发展的特点和趋势，总结归纳了内部审计有效性的衡量标准，并对提升城商行内部审计有效性提出建议。

二、城市商业银行内部审计有效性面临的问题和挑战——以A银行为例

A银行是某省一家地级市城市商业银行，2018年在香港联交所挂牌上市。2022年6月末資产总额4784亿元，职工总数约5400人（含村镇银行），营业网点数280余家，下辖13家分行，实现了全省设区地级市网点的全覆盖。

A银行的业务单元包括存款业务、公司信贷、个人信贷、金融市场业务、中间业务、支付结算等商业银行所许可的业务范围。

A银行能够按照外部监管和内部的要求、规定，建立全面风险管理体系，打破了风险管理职责仅由风险部门承担的狭隘认识，赋予各环节风险管理职责，梳理和防范各个节点可能存在的风险。压实第一道防线的风险管理目标和责任，尤其是用好“第一责任人”制度，落实主体责任。强化第二道防线的管理能力与权威，建立独立、垂直的第二道防线组织体系，确保风险管理全面高效。发挥第三道防线监督制衡效用，加强审计、纪检监察机关意见建议的权威性和执行力度。

（一）A城市商业银行内部审计现状

1.内部审计制度建设。A银行根据《中华人民共和国审计法》《审计署关于内部审计工作的规定》《商业银行内部审计指引》以及中国内部审计师协会《中国内部审计准则》等有关规定，先后制定了《A银行内部审计章程》《A银行内部审计基本准则》《A银行内部审计质量管理办法》《A银行内部审计项目操作规程》《A银行内部审计结果运营操作规程》等内部管理制度和办法。这些制度和办法在完善公司治理，加强内部审计工作，建立健全内部审计制度，提升内部审计的独立性和有效性等方面起到了纲领性和指导性作用。

2.内部审计机构设置。A银行建立了垂直独立的内部审计组织机构。董事会负责建立和维护健全有效的内部审计体系，对内部审计的独立性和有效性承担最终责任。董事会下设审计委员会，指导和监督内部审计工作。A银行在总行设立审计部，根据实际情况可设立审计分部，实施区域化管理。各审计分部及其人员由总行审计部实行独立、垂直管理。审计部及各审计分部原则上可按业务条线、管理功能等设置审计分中心，并明确各中心职责及各岗位职责、聘任要求和考核标准等。目前，A银行的所有审计人员都集中在总行审计部，从形式上满足了内部审计独立性的要求。截至2022年6月，A银行审计人员共40人，其中审计部总经理1名，总经理助理2名，内设5个二级部门，包括综合服务部、审计一部、二部、三部、四部。

3.内部审计方式和程序。 A银行审计部门充分运用风险管理工具，根据该行内部审计章程、业务性质、风险状况、管理需求及审计资源的配置情况，确定审计范围、审计重点、审计频率，编制中长期审计规划和年度审计计划，并报审计委员会批准。内部审计频率、程度与该行业务性质、复杂程度、风险状况和管理水平相一致，对该行财务报告有重大影响的机构、重点业务条线及风险领域的审计，原则上每两年至少执行一次。

A银行年度内部审计计划充分考虑监管关注事项，包括但不限于：全面风险管理、资本充足、流动性、内控合规、财务报告等。

A银行内部审计的主要程序为：

（1）准备。内部审计部门根据年度审计计划、部门工作安排和上级领导要求，确定审计项目、审计方式，选派合格、胜任的审计人员组成审计项目组，收集和研究相关背景资料，了解审计对象的风险概况及内部控制，编制项目审计方案，组织审计前培训并在实施审计前向审计对象下发审计通知书。

（2）实施。内部审计人员根据项目审计方案，综合运用审核、观察、访谈、调查、函证、鉴定、调节、测试和分析等方法，获取审计证据，将审计过程和结论记录于审计工作底稿，并进行事实确认。

（3）报告。内部审计人员在实施必要的审计程序后，及时完成审计报告，在征求被审计单位意见后，报送主管行领导批准。

（4）异议处理。被审计单位对审计结论和处理建议有异议，及时进行沟通确认。

（5）整改及后续审计。董事会及高级管理层采取有效措施，确保内部审计结果得到充分利用，整改措施及時到位。

（6）归档。各类审计档案，经质量评估后归档，按规定妥善保管。

（二）A银行内部审计有效性面临的问题和挑战

近年来，城市商业银行资产规模增长较快，随着经济增速放缓，积累的风险逐步暴露，房地产行业、地方政府融资平台、理财等重点领域的风险较为突出。在上述背景下，A银行能根据外部监管及本行规章制度的要求开展内部审计工作，也取得一定的成效。但在实际工作中，仍然存在影响内部审计有效性的因素。

1.内部审计资源的有限性。2008年金融危机后，资本管理和约束已经成为保证银行安全运行的关键，资本监管标准逐步提高，约束不断增强，倒逼银行改变原有传统粗放的发展模式。互联网金融、第三方支付等新的金融服务形态，不仅改变了金融消费者的行为习惯，也在一定程度上影响了金融市场竞争的格局。金融市场的不断深化，对银行特别是中小城市商业银行的经营带来挑战。所以中小城市商业银行要深刻认识互联网时代金融服务变化的趋势和挑战。

一方面，在审计工作中，尽管审计人员实施了必要的审计程序和审计方法，但仍然存在较大的审计风险。近年来，审计中发现，不法分子利用银行管理漏洞进行金融诈骗等重大案件时有发生。另一方面，城商行内部审计资源整体不足的情况也日益突出，主要表现在以下几个方面：一是内部审计人员不足。根据《商业银行内部审计指引》，商业银行应配备充足的内部审计人员，原则上不少于员工总数的1%。从实际情况来看，各城市商业银行内部审计人员普遍低于1％的比例。以A银行为例，目前共有审计人员40人，而全行员工总人数为5400人，审计人员占员工总人数的0.74%，不足1%。

二是内部审计人员专业能力不足。根据国际内部审计协会和我国的内部审计准则，审计人员应当精通审计专业知识，正确评价财务、会计、经济等领域基本内容；理解管理原则，能够正确评价计算机化下的信息系统基本内容；具备人际沟通、文字表达、问题分析等必备的职业技能。但是目前来看，大部分城商行的审计人员都是银行传统业务领域、财务会计领域出身，知识结构单一，对目前迅速发展的金融市场业务、信息科技、资金业务、互联网金融业务等方面存在较大明显的知识缺口。A银行审计人员中，较大部分是从运营条线和信贷条线等传统业务条线转岗而来，另外还有多名应届毕业生，这些审计人员普遍反映对以上提及的新兴业务了解不足，难以发现实质性、关键性的问题，审计的广度和深度无法达到该行全面风险管理的要求，容易导致对风险点把控不足。

三是审计资源分配不合理。A银行内部审计项目一般时间安排在1-2周。审计人员面对众多分支机构、众多业务和数据，在有限时间内存在应发现而未能发现和披露的潜在风险。另外，A银行对新兴业务、高风险业务分配的审计资源明显不足，不能以风险导向为原则开展内部审计工作。此外，A银行内部审计人员的专业培训不足。大部分审计员工由于项目原因，经常在外出差，参加其他业务条线的培训时间较少。

2.银行业竞争压力大。截至2021年底，我国银行业金融机构法人共4602家，其中城市商业银行共128家。在中国银行业高速发展的同时，特别中国利率市场化进程的进一步推进，行业内的竞争呈现白热化。不仅如此，互联网金融等非传统银行业的兴起，也开始抢夺银行业的“蛋糕”，正是这种激烈的业绩导向和竞争压力，使得银行管理层忽视了加强商业银行内部审计工作的管理。

过于严格的内部审计要求会限制银行的各方面业务发展，而作为城市商业银行，在与国内大型银行、股份制商业银行竞争中处于劣势。所以城商行在内部审计有效性地建设上明显资源投入不足，管理层倾向于将资源用于获取更多市场份额，从而在竞争中取得好的局面。

3.内部审计结果运用缺少激励。内部审计结果运用是指内部审计机构按有关规定完成审计活动后，有关职能部门、被审计机构针对内部审计结果，采取相关措施加以整改和纠正，以及完善和健全内部控制、加强管理等行为。审计结果主要包括审计发现的问题、审计建议等。

A银行内部审计绩效考核缺少体现审计工作有效性的指标，不利于调动内部审计部门和人员的积极性，未建立对项目团队和个人评优评先的机制，缺乏有效的正向激励。对于被审计机构，大部分只是进行问责处罚。“审计问题整改完整率”的指标也是今年才纳入被审计机构的综合考评指标中。但是总体上，内部审计部门重现场审计工作、轻审计结果运用。

4.审计质量评价标准不明确。根据A银行内部制度有关规定，内部审计质量管理是指由具备专业胜任能力的人员，以内部审计法律、准则、行业监管要求、内部审计章程和其他内部审计制度为标准，对组织的内部审计活动进行管理、监督、评价的过程，以帮助本行内部审计机构更好地履行职责，提高内部审计工作的质量，增加内部审计工作的有效性。内部审计质量管理包括内部审计项目质量管理，内部审计质量自我评价和内部审计质量外部评估。

在内部审计实务中，高管层、审计部负责人、被审计机构等利益相关方对于审计质量的要求和评价标准各不相同，缺乏统一的标准，评价的标准相对主观，也没有开展有效的外部评估。如，高管层重点关注审计项目能否“增加价值和改善组织”，而被审计机构关注审计问题能否整改。上述各方面的因素对城商行内部审计有效性的影响并不是相互独立的，而是相互影响、相互作用。如银行业绩压力大，管理层不得不将更多的人力资源投入业务营销上，造成内部审计的人力资源不足。

三、提高城市商业银行内部审计有效性的建议

（一）加强内部审计的人力资源建设

1.确保内部审计人员数量。城商行应按照监管部门的要求，总员工数的1%作为内部审计人员的基本数量要求。人员的数量保证是内部审计人力资源的基本保障。

2.提高内部审计人员的专业胜任能力。内部审计人员具有多样性的专业背景。在員工招聘选拔上，应该考虑复合型人才，保证内部审计人员能够具备较强的专业知识和良好的职业道德，人才选择应在新兴业务、高风险业务等领域进行倾斜。

在人员培训和继续教育方面，内部审计人员需要不断学习各类知识，加强对专业缺口领域的投入，完善课程内容，鼓励员工在知识缺口领域获得资格认证。内部审计人员也可以加强跨部门的轮岗交流和锻炼，丰富银行业务经验。

3.以风险导向为原则分配审计资源。目前A银行内部审计工作资源分配欠合理。对于一些传统领域的业务，审计频率较高，出现重复审计的现象。目前大部分银行普遍采用了以风险导向为原则的内部审计方法，确保审计频率、广度和深度与银行自身发展战略、业务性质、业务复杂程度、风险状况和管理水平相一致。

（二）完善并细化内部审计制度

作为纲领性、指导性的文件，银行自身的内部审计制度需要可操作、可执行。城商行应在积极借鉴同业内部审计实务经验的基础上，完善并细化自身的内部审计规章和办法。

作为城市商业银行，也可以借鉴国外银行的内部审计经验。如，美国商业银行建立了自身内部审计的评级系统，在审计报告的最后，得出审计的评级，衡量该银行的风险管理水平。

加强内部审计部门的增值服务。目前银行内部审计工作普遍是事后的、滞后的，“没有跑在风险的前面”，且较少在事前提供咨询和顾问服务。根据《国际内部审计专业实务标准》，内部审计服务包括确认和咨询服务。咨询服务主要通过对组织治理、风险管理、控制程序等银行活动的分析评价，向银行内部成员提供改进工作的建议与咨询服务，从而帮助银行内部成员有效地履行其职责，提高其工作质量的功能。现代的审计理念应该是“内部审计人员应是银行管理的顾问，而不是巡逻的警察”。

（三）加强内部审计结果的运用

大部分银行对于在审计中发现的问题，仅仅是对被审计机构进行罚款、通报批评等，较少将内部审计结果纳入被审计机构综合考评指标，有些将“审计问题整改完成率”作为考核的指标，但是因指标过于简单，审计结果不能客观真实反映出被审计对象的情况。比如，被审计机构仅发现1个审计问题，但是无法整改，则整改完成率就为0。该指标无法差异化地体现出被审计机构的风险管理水平和内部控制水平。故城商行应具体细化内部审计的有关考核指标，该指标能细化可执行，能较好地反映出被审计机构的风险管理和内部控制水平。

（四）明确内部审计的质量评价

《商业银行内部审计指引》要求银行定期实施内部审计质量自我评价，接受外部评估，并且提交相应的报告。

目前，大部分城商行都满足了相关要求。根据A银行的内部制度，内部审计项目质量评估的内容包括“审计报告内容和质量”和“审计项目实施质量”两个方面。“审计报告内容和质量”由分管审计的行领导、总审计师/内部审计机构负责人进行评价，评价结果从高到低为A、B、C三类。“审计项目实施质量”由内部审计质量管理团队进行评分，包括“审计方案规范性（事中质量状况）”“审计通知书规范性”“工作底稿规范性”“审计报告规范性（事中质量状况）”“问题认定合理性（事中质量状况）”“审计档案规范性”等指标。可以看出，上述指标多为形式上的要求。而内部审计的核心目标是增加组织价值，质量评估指标并未以“增加组织价值”作为评价的主要内容。作为被审计机构，也未参与到内部审计质量的评价中。

综上所述，城商行还需进一步细化质量评估指标，该指标要以“增加组织价值”为核心。

四、结语

本文采用了理论和实际相结合的形式，以A银行为研究对象，首先分析了A银行内部审计的现状，然后分析了影响其内部审计有效性的因素，最后根据城商行的经营特点结合同业经验，在提高城商行内部审计有效性方面提供了建议。

参考文献：

［1］李曼，姜林佑.内部审计质量控制的衡量、影响因素和效果.会计之友，2020（20）21-25.

［2］夏青.内部审计质量控制关键点的确定及实施研究.金融纵横，2018（11）：60-67.

［3］王雨伦.A银行内部审计质量控制研究［D］，江西财经大学，2021.

［4］张缨.A外资法人银行内部审计有效性研究［D］，山东大学，2015.

［5］江苏银行深圳分行课题组.提升中小银行内部审计有效性的若干思考.上海金融，2014（11）：94-99.

作者单位：九江银行股份有限公司赣州分行，高级经济师。