工行内部控制的要素分析与启示

PAGEPAGE10工行内部控制的要素分析与启示摘要：当一场世界性的金融海啸以迅雷不及掩耳之势袭来，世界多家历史悠久的大银行在疾风骤雨中轰然倒地。相比于外资银行的境况窘迫，我国的国有商业银行却显示出了几分从容。尤其值得骄傲的是，中国工商银行更是逆势而上，成为全球市值第一的银行。本文通过对中国工商银行内部控制经验的总结，希望为我国其他商业银行的健康发展提供一些借鉴经验。关键词：内部控制工商银行要素分析一、引言回顾九十年代以来动荡不安的国际金融市场，从巴林银行的倒闭到日本大和银行事件；从国际商业信贷银行的倒闭到东南亚金融危机、现代美国的次贷危机都无一例外地印证了一点：银行内部控制的任何松懈，都可能招致灭顶之灾。对于我国的商业银行而言，如何建立一套完整、有效、合理的内部控制体系，以维护银行资产完整、保持资金合理流动、规范经营行为，也是一项重要课题。在我国的国有商业银行中，中国工商银行（上海证券交易所上市公司，证券代码601398，以下简称“工行”）的业绩是比较优秀的。根据工行2009年3月25日在其网站上发布的2008年度业绩报告，2008年度工商银行实现税后利润人民币1112亿元，较上年同期增长35.2％；每股收益为人民币0.33元。这已经是工商银行自2003年以来连续第六年实现高增长，六年中税后利润年复合增长率达37.5%，是全球成长性最好的国际性大银行之一。2008年工商银行巩固了全球市值最大银行的地位，并成为全球最盈利的银行。是什么促成了工行市值“第一”梦想？这与中国股市跌幅与西方国家股市跌幅相比仍属较低水平有关，也和中国的经济环境不错有关。再深入一点分析，我们不难发现工行良好的内部控制也是促成其市值“第一”梦想的功臣之一。二、内部控制要素分析⒈控制环境（ControlEnvironment）我们可以从控制目标、内部控制体系、内部控制文化和人力资源政策四部分来分别说明内部控制的环境要素。（1）控制目标长久以来，工行把可持续的公司价值增长和卓越的股东回报作为核心经营目标。按照监管要求和内部控制的需要，工行确立了“构建以完善的公司治理结构和先进的内部控制文化为基础，以准确的风险识别和完备的监测评估体系为前提，以健全的内部控制制度和严密的控制措施为核心，以严格的审计监督和客观的评价体系为保障，以强大的信息系统和通畅的沟通交流渠道为依托的内部控制体系”的总体目标。（2）内部控制体系工行始终秉承“加强内部控制是现代商业银行一个永恒的主题”的理念，并持续推进内部控制体系的建设。2007年，工行进一步健全了以董事会为决策层，各级机构的管理层为建设执行层，各级内控合规部门和垂直独立的内部控制部门为监督评价层的内部控制体系。另外，工行以风险控制为主线，进一步合理划分各经营管理部门的职责分工；纵向按扁平化管理模式，加强各业务线的内部管理、监督检查及信息传递，并明晰内控合规、内部控制、法律和监察等部门的职责边界，形成了业务管理、合规检查和内部控制有序分工的内部控制三道防线及全流程、全方位覆盖各层级的内部控制监督体系。（3）内部控制文化工行重视内部控制文化为企业的软实力和内部控制体系建设的先导，董事会、高级管理层积极主导和推进内部控制文化建设的各项工作，将“依法合规、审慎稳健、诚信尽责、创造价值”作为内部控制核心价值观，倡导“管理靠制度、办事讲规矩、决策依程序”和“内控优先、制度先行”、“合规创造价值”的内部控制理念，全行员工的“内控人人有责意识、制度至上意识和执行意识”逐渐得到强化，统一的行为标准得到了广泛认同。（4）人力资源政策工行在人力资源管理方面引入了新的管理理念和管理方法：他们引入经济增加值（EVA）和收益分享比例（GSR）理念，建立起以市场价值、岗位价值、知识能力和绩效贡献为基础的差异化薪酬分配机制；引入个人绩效合约、目标考核管理、行为能力评价工具与理念，建立起相对完善的绩效评价机制和绩效管理流程，建立了“纵向可进退、横向可交流”的多通道职业发展新机制，实现了以目标为导向、以绩效为依据的整体式绩效考核机制。⒉风险评估（RiskAssessment）在经营活动中，虽然很多风险并不为经济组织所控制，但工行通过提前制定了多个具体的风险评估标准，做到了提前识别风险并有效控制风险。（1）信用风险评估工行的信用风险评估体系适应了风险防范的需要。第一，投产BaselⅡ内部评级法（IRB）——非零售内部评级工程，达到了巴塞尔新资本协议内部评级法初级法的要求，并已广泛应用于风险限额设定、贷款定价、经济资本计量和配置等风险管理的全过程。第二，完成BaselⅡ内部评级法（IRB），承担零售内部评级项目建设主体任务。第三，投产押品价值评估系统，实现了押品价值全过程、全方位、全功能的评估信息化。第四，启动国别风险评价工作，制定主权评级办法，开展了对110个国家的主权评级。（2）市场风险评估工行制定了与自身业务和规模相适应的市场风险评估体系，通过《中国工商银行银行账户和交易账户划分管理办法》、《中国工商银行债券资产分类管理办法》，对银行账户和交易账户的划分管理进行制度上的规定。交易账户市场风险限额管理指标对资金交易业务市场风险进行控制，BIFT系统、Kondor+系统、Summit系统、BTS系统和交易账户风险管理核心系统的优化和完善，实现了交易账户本外币债券市值每日评估和对发行人授信额度的刚性控制。（3）操作风险评估工行通过跟踪操作风险发生的频率、影响程度，分析操作风险损失和监测指标变动情况，发现操作风险管理薄弱环节和风险隐患，进行风险提示，并提出管理建议，有效地促进了全行操作风险识别分析水平的提高。（4）关联交易风险评估工行制定实施的《中国工商银行股份有限公司关联交易管理基本规范（试行）》，对关联方单位实行了名单制管理。董事会关联交易控制委员会在按照有关规定对关联法人和关联自然人进行了确认的基础上，确保对关联交易方的授信等业务具备风险识别能力。⒊控制活动（ControlActivities）在控制活动方面，工行的IT审计成为他们控制活动的一大亮点。工行结合自身的实际，按照COBIT、BS7799、ITIL等国际标准或规范，建立了自己的IT审计体系。他们将自己的IT审计的技术角色划分为应用、系统、网络及硬件三个大类。不同的技术角色分别负责信息系统生命周期中不同阶段的不同技术领域的控制、分析和评价，以此提高工行IT审计的专业化水平。在实务中，工行的IT审计采用了ACL、SAS等灵活的、可配置的审计模型及数据分析探测工具，有效推动了工商银行的审计信息化建设。工行在信息系统的内部控制上在系统生命周期中的每个阶段不但有所侧重，兼顾了连续性、一致性和均衡性，形成了上游产品开发与下游运作实施的有机结合。⒋信息和沟通（InformationandCommunication）作为一个组织庞大的金融机构，保证信息和沟通的顺畅和畅通是必要也是必须的。工行在健全机制、构建平台和完善披露等方面，为国有商业银行做出了表率。（1）健全信息交流与沟通机制工行制定的《中国工商银行重大信息内部报告管理办法（试行）》，明确了报告的责任部门和报告路径。工行依托全功能银行系统，发挥统计在线、CS2002系统作用，通过管理信息共享平台，将各类经营数据、财务数据等以T+1报告模式传递到公司不同管理层级，信息沟通时效性和准确性得到了保证。（2）搭建信息交流与沟通平台工行搭建了电子公文系统、电子邮件系统、“网讯”、业务园地和行长信箱等多个行内信息交流平台，确保总行各部门和各层级机构能够将决策层的战略、政策、制度及相关规定等信息及时传达给员工，同时也支持员工将内部控制中存在的问题及时向各级管理层报告。⒌监督与审查（Monitoring）工行构建和完善了以监测预警机制为手段，多层级、多维度、多渠道共同监督内部控制有效性的检查与监督工作体系，实现了对全行业务的事前预警、事中控制、事后监督。（1）开展重要经营管理事项全面检查工行按照上市公司管理标准和要求，开展了重要经营管理事项全面检查：检查涵盖全行主要业务和境内外所有分支机构，包含主要经营领域的关键岗位、关键环节和重要人员的制度建设与执行情况，共15个大类52个专项，涉及总行19个专业部门，历经了分行自查、总行复查和重点抽查三个阶段。全方位检查和有效落实问题整改促进了全行经营管理水平的提高。（2）内部控制独立开展内部控制监督检查工行内部控制部门严格执行了董事会批准的年度审计计划，有序完成了财务、信贷、信息科技、新产品、境外机构和高级管理人员离任审计等审计项目。审计发现和审计建议的层面逐步提升，对全行内部控制的健全性和有效性给予了系统全面的支持。三、工商银行内部控制的启示通过上面对于工商银行内部控制进行的要素分析，我们可以总结出很多成功的经验，具体总结如下：1、完善风险测评体系，制定内控规范工行的成功并非空中楼阁，而是有着坚实的制度体系基础。在要素分析的过程中，几乎每一个措施的背后都有一个具体的成文的试行办法或规章作为支撑，使得内控的工作可以在既定的计划和规范下有步骤地实施，避免了出现问题再想办法的被动局面，从源头堵住可能出现问题的漏洞，在内控制度严密的网络之下，出现纰漏变成了真正的小概率事件。2、加强内控队伍建设，培育内控文化制度的设计最终都要落实在具体人员的实施上面。加强人力资源管理，培育商业银行内审队伍可以使内审工作更加专业化、现代化和科学化。如利用风险评估模型确定审计的重点和计划；运用内部控制制度测试的方法来寻找管理系统的薄弱环节；广泛地采集数据统计，将管理会计等方法运用于经济效益审计之中；运用计算机提高审计质效等。工行的成功还源于最初设计制定的“以内控文化为基础”的控制目标，说明他们始终是重视内控的，避免了内控“无位而无为，无为而无位”的尴尬和徒有虚名，真正做到了为企业发展保驾护航。3、重视科技支持内控，实现智能内控作为一家规模庞大的银行服务业机构，如果仅靠人工手工处理所有业务，简直是无法想象的，正常的业务处理都很难，更不要说实施有效的内控了。工行的成功还在于他们建立了多个智能处理系统，既方便了日常业务的处理活动，也为内部控制人员的监督提供了便利条件。IT审计的运用，帮助工行提升了内控的可信程度，减少了人员的工作量，节约了大量成本，同时也加速了同国际的接轨步伐。4、促进企业信息沟通，营造良好氛围一个企业要想做大做强，仅靠集权和封闭是很困难的。工行良好的信息沟通环境和便捷的沟通渠道，使得企业的信息可以很快传播，信息上传下达畅通无阻。这样的顺畅对内控并不是没有意义的。相反，民主的氛围可以比较有效的遏制内部人员营私舞弊中饱私囊的危险，从一个方面起到了监督和控制的作用，成为内控不可缺少的要素。安全性、流动性、盈利性历来是商业银行的经营目标。安全性是经营管理中应首要关注的问题。银行管理者常常在激烈的市场环境下突出效益而忽略安全，这次由美国引起的金融危机便是一个例证。对于这次金融危机，我们得到了很多启示。建立并不断完善其内部控制制度，是保证商业银行在追求经济利益过程中安全、稳健运行的重要条件，也是保障我国市场体系有序运行与发展的必要措施。参考文献：（1）李彦平.浅论商业银行会计内部控制