城商行内控存在的问题及完善的途径

1、城商行内控存在的问题及完善的途径建立在多个法人机构重组整合基础上的城商行，由于受起点低、规模小、人员素质不高以及特殊的内部控制环境等因素的制约，整体内部控制状况相较股份制银行和国有银行更为薄弱。城商行的内部控制状况仍不容乐观，问题较为突出，亟待完善。一、城商行内控存在的九大问题从目前情况来看，城商行内部控制存在的问题可以总结为九大方面：一是认识不到位，内控意识仍显薄弱。近年来城商行操作风险案件时有发生，很重要的原因就是城商行的内部控制存在缺陷。而这又跟城商行对内控和风险管理认识不到位，内控意识薄弱密切相关。这集中表现为“一种现象、两个替代和三种错误理念”。“一种现象”，即上热下冷、忽热忽冷，意

2、思是说城商行在对内部控制的认识和推进内部控制建设上，往往是总行积极性较高，分支行较为冷淡；在监管机构开展检查和开展案件防控活动时，全行上下态度较为积极，对内部控制较为重视，一旦活动结束，“原形毕露”，态度又趋于冷淡。反映出城商行内控意识较为薄弱，内控优先理念未得到真正落实。“两个替代”，一是指以规章制度建设替代内部控制建设；二是指以运动式的监督检查代替连续性的内部控制。“两个替代”说明城商行对内部控制本质的认识不到位，存在偏差。“三种错误理念”，即“重发展，轻内控；重营销，轻风管；重放贷，轻管理”。“三重三轻”理念反映了城商行粗放式的发展模式。在这种理念的指导下，必然将内部控制和风险管理让位于

3、业务发展，一些内控措施得不到执行，内控失效也就在所难免。二是内控组织体系不健全，决策与建设职能缺失。虽然城商行初步建立了由决策、建设与执行、监督评价、持续改正等四个环节组成的内部控制组织体系，但受公司治理不完善、人员缺乏以及整个银行组织架构不健全等因素的影响，城商行的内控组织体系仍存在较多问题。集中表现在：第一，由于公司治理不完善，董事会与高级管理层之间（尤其是董事长与行长之间）的职责划分并不清晰，导致董事会与高级管理层的内控职责混乱和缺失，董事会未能充分承担起内控建设的最终决策职能，监事会对董事会和高级管理层完善内控体系的监督职能也形同虚设；第二，除少数城商行设立了专门的部门或委员会负责全行

4、的内部控制建设外，绝大多数城商行没有专门的机构负责该项工作，内控建设职能分散于各相关部门，而各相关部门仅从本部门职责角度承担内控的相关职能，造成内控体系缺乏整体性，控制过度与控制不足并存。三是内控制度不完善，整体性、长期性考虑不足。健全的制度体系是商业银行内部控制的基础，决定着内部控制的完整性和有效性。城商行内部控制存在的缺陷和不足在很大程度上正是由于内控制度的不完善所造成的。具体来说：一是大多数城商行没有制定内控战略，内部控制的长期目标、方向以及风险战略和偏好缺乏，造成内控建设和运行的持续性不足，影响内控的有效性；二是除各业务条线的规章制度、管理办法等基础性内控制度外，大多数城商行没有制定旨

5、在明确全行内部控制框架和各相关部门的内控职责定位的纲领性内控文件，导致内控建设缺乏整体性，内控职责得不到有效落实；三是各条线出台的规章制度和管理办法之间衔接不够，时常出现不一致甚至冲突的情况。四是全面风险管理体系尚未形成，操作风险管理较为粗放。城商行初步建立了以风险管理部为核心，涵盖信用风险、市场风险和操作风险的风险管理体系，并建立起相应的风险识别与评估机制。但离全面风险管理的要求以及业务快速发展的需要仍有不小距离。大多数城商行的风险管理部的主要职责是信用风险管理，尚未将其他各类风险纳入管理范畴。就信用风险管理而言，量化管理水平仍有待提高，风险监控手段较为落后；部分城商行仍未实现审贷分离，授权

6、制度不完善，贷后管理较为薄弱。虽然相当一部分城商行都按照监管要求设立了合规部门，但并未充分承担起合规风险管理的职能，更多的是制度梳理和法律事务。此外，城商行普遍存在操作风险管理较为粗放的问题，缺乏专门的操作风险管理部门，也未建立起相应的管理制度，更多的是以内部审计、业务检查以及案件防控替代操作风险管理。五是制度执行不力，制度后评价机制缺乏。制度执行不力是城商行普遍面临的问题，也是导致内控失效的主要原因。从以往案例来看，制度执行不力，既有基层分支机构风险合规意识不强的原因，也有制度本身以及制度建设方面的问题。具体表现在三个方面：首先，由于人才缺乏，城商行总行业务管理部门大多缺少具有业务经验的管理

7、人员，从而使得其制定的制度与业务本身存在差距，执行性打折扣；其次，制度培训和教育机制不完善，基层分支机构难以迅速、全面掌握制度的要求，从而出现现实操作与制度要求不相符的情况；最后，制度后评价机制缺乏，城商行大多存在“重视制度制定，忽视跟踪评价”的情形，制度出台后，没有专门的岗位和部门根据外部环境、法律法规以及银行自身情况的变化对制度的适用性进行评价，也没有对制度出台后的执行情况进行跟踪反馈，从而出现现行制度滞后于外部法律法规要求，甚至滞后于业务发展的情况。六是关键内控措施流于形式，内控效果打折扣。为防范操作风险，尤其是内部员工的道德风险，商业银行内部控制指引要求，商业银行应明确各岗位职责，并建

8、立相互监督制约的机制；对于关键岗位应实行定期或不定期的人员轮换和强制休假制度。这构成商业银行内控的基本和核心控制措施。这方面城商行仍然较为薄弱，尤其是规模较小的城商行，成本约束压力较大，大多实行精简的人员策略，无论是总行部门还是分支机构，一人兼多岗现象均较为普遍，从而使得岗位之间（尤其是不相容岗位）的监督制约落空；强制休假和人员轮换更是形同虚设。此外，出于业务稳定的考虑，对分支行行长实行强制休假的情况也不容乐观，有的支行甚至从成立伊始从未更换过行长。七是内控电子化水平不高，内控的实时性、有效性受影响。从现实情况来看，城商行内部控制的电子化系统应用水平较低，更多地是依靠传统的岗位制约、制度控制、

9、监督检查、内部审计等实现对风险的识别和控制。就城商行内控的电子化情况来看，大多数城商行没有开发上线风险实时预警系统，尤其是操作风险预警系统，造成风险识别的实时性不足；部分城商行没有专门的信贷风险管理系统，仍处于半手工状态，工作效率低下，风险控制能力不高；大多数城商行没有管理信息系统，经营管理数据的可获得性、及时性受影响，且经常出现数据不一致的问题，在很大程度上影响管理活动的开展。此外，从整个系统来看，城商行的系统普遍存在面向业务处理和交易的功能较强，而面向管理和风险控制的功能较弱的问题。甫翰咨询公司与清华大学于2006年发布的中国城市商业银行内控调查研究报告也显示，城商行的信息系统建设普遍薄弱

10、，内控活动在较大程度上还依赖人工控制。八是内审体系不完善，内控监督评价机制薄弱。强有力的监督评价机制是确保内控缺陷被及时发现并得到持续改正的关键。内部审计则是内控监督评价机制中的核心。绝大多数城商行都设立了内部审计部门（也有的城商行称为稽核监督部），并据此建立起内控监督评价机制，但与监管要求相比仍存在较大差距。首先，有相当一部分城商行没有定期对内控体系进行评价，相应的评价程序和制度缺乏；其次，大部分城商行未能按照商业银行内部控制评价试行办法的要求，由董事会采取措施定期对内控状况进行管理评审，以确保内控体系得到持续、有效改进；最后，几乎所有的城商行都设立了独立的内部审计部门，负责定期或不定期对内

11、控的健全性和有效性实施检查；但大多数城商行的审计部门未能做到直接向董事会汇报，而是向高级管理层汇报，从而影响到审计的独立性和最终效果。此外，大多数城商行的内部审计人员配备未能达到1%的监管要求，即审计人员数量与银行员工总数之比不低于1%。加之现有内审人员的专业水平和业务能力不高，从而影响到内部审计的效果。九是激励约束机制不科学，逆向激励问题明显。城商行内控意识薄弱、违规现象时有发生、制度执行不力等问题在很大程度上与其不科学的激励约束机制有直接关系。迫于发展压力，大多数城商行在设计考核指标时更关注业务发展指标，而忽视风险和内部控制指标，有的城商行甚至没有将内部控制纳入考核。这必然造成基层分支机构

12、不顾风险地盲目扩张。在业务考核压力下，打擦边球、违规经营屡见不鲜。城商行还普遍存在资源过度向营销倾斜的问题。几乎所有的城商行都对营销设置奖励，但很少有城商行对风险管理给予奖励，从而进一步扭曲分支机构的风险理念。此外，大多数城商行在薪酬设计上，尤其是对风险管理岗位、客户经理岗位和高级管理人员，没有引入延期支付，基本上是按照当年业绩实时兑现薪酬。但由于风险的滞后性，很多情况下会出现，当年业绩、资产质量较好，过两年出现风险和不良贷款，但当事人的薪酬奖励早已兑现。这往往会导致经营管理的短期行为为了追求短期利益而尽量做大业务规模，尤其是那些短期内不会出现风险的中长期贷款，从而不利于银行的长期发展。二、完

13、善城商行内部控制的措施针对城商行内部控制现状、特点以及存在的问题，应着重从以下方面推进内控的建设和完善工作：一是理念先行，强化内控意识与合规文化。完善合规管理架构和组织体系，制定合规手册，开展合规培训，强化合规意识，在全行树立“合规为本、合规人人有责、合规创造价值、合规从高层做起”的合规文化。加强对全行员工的内控培训和教育，特别是案例警示教育和职业道德教育，并加大监督检查力度，促使内控优先、稳健经营理念深入人心。充分发挥董事会、高级管理层和各层级管理人员的表率和引领作用，树立科学的经营管理理念，并自上而下传导，在全行营良好的内控氛围。二是强化治理，健全内控组织体系。进一步优化股权结构，完善公司

14、治理机制，清晰界定并通过制度明确董事会、监事会和高级管理层的内部控制职责，尤其是厘清董事会与高级管理层、董事长与行长的内控职责边界；董事会应切实承担起保证银行建立并实施充分而有效的内部控制体系的最终责任，借助于下设审计委员会和风险管理委员会，定期开展对银行内部控制体系的管理评审；并将此纳入对董事会的评价和对董事的履职考评中。尽快确定相关的部门负责内控的建设与日常运行，以确保内控体系的完整性；在具体形式上，或者新设独立的内控部门，或者由合规部等现有部门承担该项职能，或者由相关部门组成专门的内控委员会。三是突出重点，构建全面风险管理体系。以风险管理部为平台，强化“大风险”管理，建立起风险管理部对各

15、类风险实行归口管理、各相关部门实行具体管理相结合的、覆盖各类风险的全面风险管理体系。进一步强化董事会风险管理委员会的职能，明确风险战略和偏好，推动建立全面风险管理组织体系。进一步完善信用风险管理流程，强化审贷分离，切实做好信贷管理“三查”制度和贷款新规（“三个办法一个指引”）；完善信贷风险管理系统，提高信用风险量化管理水平。将市场风险和流动性风险纳入全面风险管理体系，引入专门的技术和专业人才，提高对这两类风险的管控水平。明确操作风险管理的职能部门，完善操作风险管理流程；尤其是做好对重点领域、重要岗位、重点环节和关键岗位人员的操作风险管理，进一步提升操作风险防控能力。完善合规管理架构和流程，提高

16、对法律风险、政策风险的识别、管理水平。四是制度治行，完善内控制度体系。根据自身特色以及未来发展战略，城商行应进一步明确内部控制目标、方向以及风险偏好，在此基础上制定内部控制战略，指导中长期内部控制建设。尽快制定内控基本制度或称为管理办法，明确内部控制框架体系的构成、各环节和相关部门的职责以及责任追究等事项，尤其是尽快明确承担内部控制建设和运行职能的部门，以解决目前内控建设混乱的状态。在各业务条线管理办法的基础上，编制覆盖各业务条线、各类产品和服务、各环节、各岗位的内部控制手册，强化全行内控意识，提高各岗位的内部控制水平，为内部审计开展内控评价提供依据；在条件成熟时，将其镶嵌入业务系统或管理系统

17、中。建立制度制定协调机制，确保各部门出台的有关制度和管理办法与全行的基本内控制度保持一致，并保证各制度之间实现有效衔接。五是多措并举，提升制度执行力。一是从源头抓起，提高总行管理部门，尤其是业务管理部门的业务管理水平，加强对管理人员的业务技能培训，提高其专业技能和制度编写能力。二是加强对制度的宣传和培训，确保基层分支机构能迅速、全面掌握制度的各项要求；并建立制度制定者与执行者之间的联系机制，确保执行者在执行制度过程中遇到的问题有畅通渠道进行反馈，并得到及时解决。三是建立制度后评价机制，由制度制定部门和合规部门定期对出台的制度的执行情况进行跟踪评价，对制度执行不力的情况进行分析，查找原因，持续改

18、进。四是加强对制度执行情况的监督检查，并建立相应的责任追究机制，督促员工提高制度执行意识。六是引领，提高内控电子化水平。强化“科技是第一生产力”的科技发展策略，加大科技资源投入，根据业务发展需要尽快启动对现有核心系统的升级换代，提高科技对业务发展的引领作用；开发建立全行性的数据仓库和数据平台，并建立涵盖全行主要业务活动的管理信息系统，提高信息的完整性、准确性和可用性，提升管理水平；进一步完善信贷管理系统，提高现有信贷系统的风险预警和控制功能，并引入针对各类风险的专业风险管理技术；开发操作风险实时监控系统，提高操作风险防控水平；建立审计系统，实现手工控制向系统控制、事后监督向事前防控的转变，提高审计的电子化程度；进一步完善信息科技治理，加强信息系统安全管理，建立灾备中心和应急机制，确保系统运营的连续性和恢复性。七是完善内审，健全内控监督评价机制。根据银行业金融机构内部审计指引的要求，进一步明确董事会的内部审