论文部分内容阅读
【摘 要】随着金融危机的层出不穷，内部控制已被各国商业银行提到了相当重要的地位。本文从内部控制体系的五要素角度切入，介绍了其相互联系及发展状况，并结合实例给予建议与启示，全方位的展现出目前我国城市商业银行的内部控制现状，为今后城市商业银行更全面建设内部控制管理体系提供了理论依据。
【关键词】内部控制；五要素；城市商业银行
日见增长的经营问题和风险控制的不对称导致了银行业倒闭的危机层出不穷。巴塞尔委员会对几次金融危机的调查表明，危机根源在于商业银行缺乏完备的内部控制（以下简称“内控”）机制。随着我国金融全球化进程和金融开放程度的加快，健全的内控制度对于我国商业银行的风险控制以及经营目标的实现都具有相当重要的意义。近些年蓬勃发展的城市商业银行（以下简称“城商行”）不得不在日益激烈的同业竞争与日趋复杂的经营环境中不断完善并提高其内控的效率，特别是一些城商行现在已经走出本市、本省迈向全国，那么在庞杂的“总—分—支”机构中，内控就显得尤为重要。而在调研过程中发现，不少城商行存在对于内控概念的盲点，因此，只有先明确内控的构成要素，才能有效全面的实施内控措施。
一、内部控制构成——五要素
商业银行内部控制理论是在企业内部控制理论的基础上发展起来的，巴塞尔委员会1998公布的《银行内部控制系统的框架》（Framework for Internal Control Systems in Banking Organization）（以下简称《框架》）认为：“商业银行内部控制是一个受银行董事会、高级管理层和各级管理人员影响的程序。它不仅仅只是一个特定时间执行的程序或政策，它一直在银行内部的各级部门连续运作。”根据中国人民银行2002年4月颁布的《商业银行内部控制指引》（以下简称《指引》）的定义，商业银行内部控制是：商业银行为实现经营目标，通过制定和实施一系列制度、程序和方法，对风险进行事前防范、事中控制、事后监督和纠正的动态过程和机制。从《框架》及《指引》中的定义可看出内部控制是一项繁杂且关联性很强的程序，将其细分后更利于实际操作中的有序进行，所以下面将《框架》划分的五要素——控制环境、风险评估、控制活动、信息与沟通、监控五个方面来探究。
（一）内部控制五要素介绍
1．控制环境。根据COSO内控框架的定义，控制环境是企业的基调、氛围，直接影响企业员工的控制意识。控制环境要素是推动企业发展的发动机，也是内控其他一切要素的核心，其具体包括：（1）治理结构（管理层授权和职责分工）；（2）组织结构；内控文化（管理层的经营理念和经营风格）；（3）员工素质（员工的诚信和道德价值观、员工的胜任能力、人力资源政策和措施）。因此，控制环境是全面建立高效内控制度的前提条件，只有稳住控制环境这个基础，才能推动其他要素的有序进行。
2．风险评估。根据COSO内控框架的定义，风险评估是通过识别、分析相关风险以实现既定目标的过程，是风险管理的基础。其中，风险识别不仅需要考虑所有可能发生的风险，而且需要考虑与相关外界之间的所有重大联系，它是一个重复的过程，需要针对环境的变化持续进行。风险评估的第二步是针对识别出来的特定风险进行分析，得出结果后再采取相应的控制活动，并且随时对现有内控程序的适应性进行检测。
3．控制活动。根据COSO内控框架的定义，控制活动是确保管理阶层的指令得以执行的政策及程序，在企业内的各个阶层和职能之间都会出现。其具体包括：（1）岗位不相容控制；（2）授权控制；（3）会计系统控制；（4）财产保护控制；（5）预算控制；（6）运营分析控制；（7）绩效考评控制；（8）业务控制；（9）应急处理机制；（10）对子公司的控制；（11）关联交易管理等。
4．信息与沟通。根据COSO内控框架的定义，企业在其经营过程中，需按某种形式辨识、取得确切的信息，并进行沟通，以使员工能够履行其责任。信息系统不仅处理企业内部所产生的信息，同时也处理与外部的事项、活动及环境等有关的信息。企业所有员工不仅从最高管理阶层清楚地获取承担控制责任的信息，而且有向上级部门沟通重要信息的方法，并对外界顾客、供应商、政府主管机关和股东等做有效的沟通。其具体包括：（1）内外部信息获取渠道；（2）信息披露与投资者关系；（3）信息系统建设；（4）反舞弊机制建设；（5）投诉举报制度。
5．监控。根据COSO内控框架的定义，监控是评估内控系统在一定时期内运行质量的过程，目的是保证内控的持续有效，监控可通过两种方式进行：持续性的监督活动和独立的评估。商业银行内控的监控主要包括内部审计与稽核，以及内部评价两部分。
（二）内部控制五要素之间的关系——“三道防线”
上面已经对内控五要素有了初步的认识，我们发现上述五要素并不是孤立存在的，在具体的实施过程中它们之间呈现出明显的关联，它们相互促进，又相互反馈。因此，我以纵向逐层递进的理念将内控五要素分层纳入商业银行“三道防线”中，构建新的五要素“三道防线”模式，如图1所示。
1．处在业务流程最前端的各项环境设置是“第一道防
线”。如上所介绍，控制环境要素是推动企业发展的发动机，也是内控其他一切要素的核心，所以把对环境的控制作为“第一道防线”是毋庸置疑的。只有保持企业氛围的活跃、企业员工的积极性、企业管理层的正确经营理念以及有效地资源配置等才能保证一个企业持续、健康的发展下去。同时，也只有保证控制环境这道防线的有效防控，才能推进其他内控因素的顺利执行。
2．处在业务流程过程中的各项具体防控措施是“第二道防线”。风险评价主要是针对经营过程中的各项风险而实施的控制手段；控制活动主要是针对管理层对下级各项细节操作而实施的控制手段；信息与沟通主要是针对内、外部信息交流而实施的控制手段。上述三种控制手段均可认为是三个方向的具体防控措施，因此，在“第一道防线”——控制环境这一基础的前提下，应该展开内控于各项具体防控措施。那么“第二道防线”——风险评价、控制活动、信息与沟通也便应运而生。 3．处在业务流程最终端的各项监控是“第三道防线”。有了环境的控制，细化了各项措施的控制，那么现在需要的就是有效地监督与防控；同时，有了细致全面的监控，才能将监控情况及时反馈给各项实际措施及环境建设，以便做出相应调整，有助于建立周密的“三道防线”模式。因此，“第三道防线”是监控。
图 1
内控是一个过程，基于五要素，作用于业务流程的“三道防线”彼此之间并非孤立设置、相互替代的关系，而是互为补充、相互强化的系统。偏差和风险无时不有、无处不在，只有在不断促进、不断反馈的过程中发挥系统的合力，形成纠偏防弊的机制保障，才能真正实现商业银行内控的最终目标。
二、城商行内部控制发展现状及问题
（一）控制环境要素发展现状及问题
我国的城市商业银行在内控建设的道路上表现出对控制环境越来越多的重视，均开始关注内控制度的积极建设与改进，注重影响和决定控制环境的各要素。
1．在治理结构方面。更加注重组织机构的合理性，基本都建立了以股东大会、董事会、监事会和高级管理层为主体的公司治理组织架构，实现了所有权与经营权、管理权与监督权既相互分离又相互制衡的运行机制。但在把握管理层授权和职责分工中，权力与责任对等的这个关键问题上仍有偏差
2．在组织结构方面。城商行不断对组织结构进行调整，以配合内控管理体系的有效运行。但在组织架构上仍存在着因垂直式和矩阵式管理交叉而表现出来的机构设置繁琐、职责层次不清晰、职责权利不统一的问题。
3．在内控文化方面。越来越多的城商行将内控文化、合规文化纳入企业文化中去，如山东齐商银行提出“五个零”工作机制等。但从全国状况来看，对内控文化的培植仍不够重视。企业文化上长期以来忽视内控，导致员工对内控的认识错误，无法和实际工作结合，不能正确理解相关规定并且及时恰当分析、处理业务。
4．在员工素质方面。许多城商行都以“内控与案防制度执行年”活动为契机，以宣传、教育、竞赛、培训等形式开始逐步展开对内部员工的内控意识培养与内控知识教育工作，进一步提高员工在内控环节的操作水平。但城商行的内控专业人才储备不足；员工还是没有完全具备完成工作任务所需的知识和技能，对内控的体系、作用没有全面的认识，还没有完全认识到自身在内控环节中的重要性。
（二）风险评价要素的发展现状及问题
1.我国的城商行在风险识别与评估方面有相对较丰富的历史经验，风险管理工作一直被当作商业银行管理的重中之重，风险管控也在逐步完善中。但目前我国城商行在对关键风险点的识别和对其予以量化方面的先进程度仍无法与发达国家的商业银行和国内大型商业银行相比；在风险识别与评估的知识层面、技术手段都相对较落后。
2.多数城商行都做到了最基本的风险管理工作，能够针对信用风险、市场风险、操作风险进行识别、评估与管理。少数城商行能够对基本风险之外的合规风险、信誉风险、科技信息风险等也进行相应管控。但内控在风险管理体系中的作用仍不突出，旧的风险管理体系还没有完全被替换，很多风险控制环节都没有安排具体的内控手段，使风险评估与内控评估未能充分结合。
（三）控制活动要素的发展现状和问题
1．目前，我国城商行对内控活动的制定更加重视，对其实施的方法、程序的设计更加合理，在内控管理框架和管理办法的基础上制定出更加详细的操作性规章制度，能够按照各有关部门和业务单位的职责分工，认真组织实施风险管理解决方案，确保各项措施落实到位。但城商行内控活动的制定和执行随资本规模、经营规模的不同而不同。资本规模较大的3家上市城商行在年报中对内控活动、措施有比较完整的披露，可以看出在内控措施建设的经验比较丰富。相比之下，资本规模小的城商行都缺少对这一部分信息的详细描述。
2．大部分城商行对内控活动的内容有了一定的认识，但
根据规模、地域不同，认识深浅不同，分化比较严重。中、东部经济发达地区的城商行更加重视对内控活动、措施进行系统性地建设，在信息披露方面也胜于经济欠发达的西部地区的城市商业银行，而如四川、云南、贵州、山西、陕西等省内的城商行对内控活动、控制措施的实施状况没有给出系统性的评价，很难证明其内控措施的执行是有力的。同时，虽然对具体业务的内控措施设计比较详细，但缺少对内控措施体系的全面认识与设计，也缺乏对各内控措施间联系和传递机制的认识，没有形成有机的整体。
3．对内控活动的制定开始注重创新与风险防控的结合，
普遍运用各类网络安全技术和手段，为实现机控代替人控更进一步。但目前大多数的结合是基于分散的风险问题及具体措施，对于整个管理体系的建设并不完善，尤其没有广泛建立起城商行与附属机构以及参股公司间的有效风险隔离机制。
4．大部分城商行对内控活动的完善主要是通过加大检查
监督力度、优化责任追究制度，但专项审计、风险管控等机制较缺乏。
（四）信息与沟通要素的发展现状和问题
1．在信息系统建设方面。信息系统逐步升级，各城商行基本建立了相应的各种机制。但对于一个来获得、识别、加工和报告信息的良好信息系统仍未完成；信息系统随企业目标、经营环境的变化，适应新需求的能力仍然欠缺；对信息的加工整理，归纳汇总工作缺乏一致性、系统性；信息系统的设计、规划、应用和组织的整体战略没有结合在一起。
2．在信息披露程度方面。目前，只有不到半数的城商行对内控中的信息交流与反馈做了报告，分析了现状与问题（如北京银行、宁波银行等），尚未披露过内控审计报告或内控评价报告的城商行占很大比例，甚至还有相当一部分的城商行没有自己的官方网站（如贵州六盘水市商业银行、安顺市商业银行）。信息披露程度明显不足，且地区差异显著。
（五）监控要素的发展现状和问题
1．全国的城商行基本建立起内控的监督评价体系，包括规定监督评价的执行部门、执行对象以及执行内容。多数银行在部门设置方面都专设了执行内部审计的部门（如：稽核部），在监事会下设立审计委员会，在高级管理层中设立审计部等，便于对内部控制实施检查和评价。但内部审计部门对操作风险的监督管理措施不足，对董事会、监事会和高级管理层负责内控监督工作的各委员会职能设计缺失或不合理，许多银行的管理层甚至不清楚监督的程序。 2．内控的评估体系在城商行中初步建成，评估活动也初步展开，包括独立于内控活动之外而采取的定期评估行为。但部分城商行的内控评价牵头部门不合理，它们的内控评价工作由财务部门、董事会办公室或其他部门牵头。没有评价的基础经不起考验，从而难以充满自信地接受外部独立审计。因此，只有少数的城商行聘请外部审计并获得一份标准无保留意见的审计报告（如北京银行、重庆银行、南京银行等），大多数城商行在内控外部审计方面的实践经验不足。
3．董事会没有对内控的健全性、有效性进行总体评估，形成内控自我评估报告，并在公司年报中予以披露，这在很大程度上影响了内控实施的预期效果。只有个别银行有披露内审报告（如重庆银行），多数银行并未对企业自身的内控进行全面自查并保存检查的证据或工作底稿，内控评价报告编制基础仍待加强。
三、城商行内部控制要素完善启示
（一）内控环境建设
1．健全组织结构，完善“三会一层”在内控中的职责与相互关系。在董事会下设立如内控委员会、风险管理委员会、关联交易控制委员会等委员会的内控决策部门，在董事会、监事会下设如审计委员会、监督委员会等内控监督、评价部门。
2．重视内控文化建设，培育诚信敬业的企业文化，营造良好的内控文化氛围。例如厦门银行：持续进行合规风险评估调研和教育培训，提高全行员工特别是机构负责人的合规意识，推进合规文化建设；对各项制度进行再梳理和再评估，提高制度体系的完整性、适宜性和有效性；开展以风险为导向的审计工作，对内控制度建设、内控机制运行、安全技术手段以及运营情况等进行审计评价，促进内控环境持续优化。
3．加强人力资源建设，提高员工素质。员工的职业道德水平、胜任能力和诚信度是影响内部控制环境的重要因素，坚持以人为本的管理思想，加强教育培训和监督管理，促使各级管理人员提高认识，建立以提高员工素质和敬业精神为核心的人力资源管理制度。通过多层次、多渠道的培训，提高员工的政治、业务素质和职业道德素养，创造公平、平等、择优的用人环境，建立健全选人用人机制。
（二）风险评估建设
1．建立完善有效的风险管理体系。按照银监会有关要求规范业务操作流程，管控好重点领域、重要岗位、重点环节和关键岗位人员，进一步提升风险管控能力。建立主要以董事会层面、高级管理层面、职能部门层面和分支机构层面的纵向到底，横向到边的全行风险管控流程。以内控体系建设和全面风险管理规划的落实为契机，深入推进内控工作的长效机制，完成年度风险管理规划的各项任务，初步建立全面风险管理体系。
2．强化对信用风险、市场风险、流动性风险、操作风险等各类风险的管理。例如徽商银行的信用风险管理：逐步完善信贷制度建设，根据对客户的评级结果、贷款方式和规模以及本公司资金成本、市场利率变化趋势等因素，对不同信用风险的客户确定不同的贷款利率水平，建立差异化定价机制，并采取专业化授信评审、审贷分离、集中质量监控、问题资产集中运营和清收等手段进行信用风险管理。例如锦州银行的流动性风险管控：对流动性风险影响因素进行动态监控，并制定流动性风险应急预案和快速报告机制。
3．注重创新，进一步细化风险识别与评估条例，加强对风险评估工具的研发、改进，完善识别、计量、监测和管理风险的制度、程序和方法，尤其重视对关键风险点的识别和对其的量化，将内控制度渗入到每一个风险点中去，提升风险管控能力。例如北京银行：设立战略风险这一创新理念；同时，董事会战略委员会为把控全行的战略风险提供专业建议，并定期组织对全行中长期战略规划进行编制、监测、评估和修订。
4．明确各类风险的牵头部门、报告路径和报告内容，逐步建立覆盖全部业务、全过程的风险预警体系，有效控制各类风险，实现内控工作力度、质量和效果的全面提升；保证安全稳健运行，大力开展风险排查和制度落实情况的检查，强化责任追究，强力推进合规建设和内控执行力落实。
（三）控制活动建设
1．丰富内控活动内容，合理构建内控管理框架。完善对各项内控活动的规定，将内控渗入到各项业务的各个操作岗位和操作环节。例如上海银行的横向内控管理框架：形成组织结构内控、计划财务内控、资金营运内控、存款及柜台业务内控、电子化系统内控、法律失误内控等措施的建设。
2．单项内控活动的健全。例如宁夏银行：健全内控管理的激励约束机制，充分发挥利益导向在内控建设中的作用，牢固树立充分揭示风险的内控管理理念；考核机制要坚持有利于增强总行对分支机构的控制力，有利于充分发挥支行主观能动性，有利于纠正“重效益，轻质量”的经营观念和做法，为全员重视内控、参与内控提供持续动力。
3．单项内控活动的创新。在业务控制活动上进行创新，例如北京银行的内控活动体系：在基础内控措施之外加入如运营分析控制、应急处理机制等的控制措施内容。
（四）信息与沟通
1．建立顺畅的信息交流机制，建立有效的交流渠道，保证横向、纵向两个维度的信息交流渠道畅通无阻；确保部门间、岗位间信息充分共享，为内控体系各要素的运转提供有效的信息支持，及时发现内控过程中的问题并采取有效的补救措施。如北京银行在内外部信息交流方面：通过内部网络、报刊等平台促进内部内控信息的流通；建立高效率、多层次的信息交流渠道，定期报告发布后召开投资者交流会和新闻发布会，董事长及高级管理层与投资者深入交流；接待投资者调研来访，向投资者全面介绍该行经营决策等重大信息，并将投资者的意见、建议及时反馈给管理层。
2．提高信息系统安全管理水平。进一步完善信息系统安全体系建设，加大信息科技安全、信息系统环境及应用、营业机构建设及运营等方面管理力度，持续完善相关标准和规范，构筑信息风险管理和信息安全的保障体系。
3．以科技完善风险管控手段，加强信息科技建设。针对管理信息系统和会计综合业务处理系统中存在的薄弱环节进一步加大信息科技投入力度，提出并落实全行数据信息的分等级管理和重要数据信息报送（包括对董监事会、高级管理层及监管部门）协调机制方案。同时通过对管理信息系统优化改造以及定期核对的方式保证该行信息数据的一致性，以满足风险管理的需求。例如：北京银行，以信息科技服务业务发展为指导思想，实施信息科技发展战略，开发IT项目管理系统、重建数据平台并配套建设报表平台、建设新信贷系统等，加快资金交易系统建设，保证信息技术对业务发展的支持，实现新一代电子银行一期和数据仓库二期等系统上线运行，启动新一代核心系统升级工作，以科技提升内控管理水平，实现计算机辅助审计系统一期上线。 （五）监控
1．建立完善的监督纠正管理体系，详细规定监事会的内控制监督职责。例如广州银行：明确总行各部门在风险管理中的职责，形成业务条线管理、合规检查、内部审计和纪检监察的有效分工，建立分支行自查自纠，总行业务管理部门、风险管理部常态化检查、审计再监督检查三个不同层面的监督纠正管理机制，完善了对内控的监督评价机制。
2．推进监督评价系统建设。例如：重庆银行指定稽核部负责组织检查，初步建立了内控责任制，督促业务部门和分支机构及时纠正内部控制存在的问题，同时开展内控自我评价工作，评价内控的健全性和有效性，并形成《关于内部控制有效性的自我评价报告》。
3．积极发挥内部审计的“保健医生”作用。由内部审计部门审视并在必要时调整内控评价的牵头部门，充实稽核力量，加强内部监督的独立性、权威性。充分利用非现场审计系统强化非现场检测，推动非现场检测分析与现场检查工作的全面融合，特别是要加强对高风险业务、高风险领域及异地分行的监控和跟踪，进一步提高检查工作效率和质量。
4．加强与内控制定与实施环节的联系。例如：嘉兴银行在“三道防线”的基础上，加大问题整改和检查责任追究力度，强化以合规督导检查为主体的第四道防线——经验，四道防线层层设防，完善内控监管网络，有效杜绝风险的产生。
参 考 文 献
[1]杨肃昌．城市商业银行风险管理体系研究[J]．会计之友．2012（4）
[2]郑鑫．商业银行内部控制“三道防线”的分析与探究[J]．农村金融研究．2011（12）
[3]张喜宏．国有商业银行风险管理初探[J]．企业导报．2009（6）
[4]岳杨．我国商业银行内部控制建设存在的问题和对策研究[J]．会计师．2011（12）
[5]孙涛．商业银行内部控制低效的成因及模式重构[J]．财经科学．2007（2）
注：1.目前已被大多数商业银行提出的风险有：信用风险、流动性风险、市场风险、操作风险、战略风险、合规风险以及声誉风险。
2.“五个零”工作机制：服务基层零距离、部门工作零积压、文明服务零投诉、业务工作零差错、操作风险零容忍。
3.我国三家上市城商行分别是：北京银行、宁波银行、南京银行。
4.潍坊银行的内网自防御安全体系包括：电子监控系统，电子核印技术、指纹识别签到和授权技术等。
5.城商行的内控评价工作一般由内部审计部门牵头，对企业的内部控制有效性进行评价。
【关键词】内部控制；五要素；城市商业银行
日见增长的经营问题和风险控制的不对称导致了银行业倒闭的危机层出不穷。巴塞尔委员会对几次金融危机的调查表明，危机根源在于商业银行缺乏完备的内部控制（以下简称“内控”）机制。随着我国金融全球化进程和金融开放程度的加快，健全的内控制度对于我国商业银行的风险控制以及经营目标的实现都具有相当重要的意义。近些年蓬勃发展的城市商业银行（以下简称“城商行”）不得不在日益激烈的同业竞争与日趋复杂的经营环境中不断完善并提高其内控的效率，特别是一些城商行现在已经走出本市、本省迈向全国，那么在庞杂的“总—分—支”机构中，内控就显得尤为重要。而在调研过程中发现，不少城商行存在对于内控概念的盲点，因此，只有先明确内控的构成要素，才能有效全面的实施内控措施。
一、内部控制构成——五要素
商业银行内部控制理论是在企业内部控制理论的基础上发展起来的，巴塞尔委员会1998公布的《银行内部控制系统的框架》（Framework for Internal Control Systems in Banking Organization）（以下简称《框架》）认为：“商业银行内部控制是一个受银行董事会、高级管理层和各级管理人员影响的程序。它不仅仅只是一个特定时间执行的程序或政策，它一直在银行内部的各级部门连续运作。”根据中国人民银行2002年4月颁布的《商业银行内部控制指引》（以下简称《指引》）的定义，商业银行内部控制是：商业银行为实现经营目标，通过制定和实施一系列制度、程序和方法，对风险进行事前防范、事中控制、事后监督和纠正的动态过程和机制。从《框架》及《指引》中的定义可看出内部控制是一项繁杂且关联性很强的程序，将其细分后更利于实际操作中的有序进行，所以下面将《框架》划分的五要素——控制环境、风险评估、控制活动、信息与沟通、监控五个方面来探究。
（一）内部控制五要素介绍
1．控制环境。根据COSO内控框架的定义，控制环境是企业的基调、氛围，直接影响企业员工的控制意识。控制环境要素是推动企业发展的发动机，也是内控其他一切要素的核心，其具体包括：（1）治理结构（管理层授权和职责分工）；（2）组织结构；内控文化（管理层的经营理念和经营风格）；（3）员工素质（员工的诚信和道德价值观、员工的胜任能力、人力资源政策和措施）。因此，控制环境是全面建立高效内控制度的前提条件，只有稳住控制环境这个基础，才能推动其他要素的有序进行。
2．风险评估。根据COSO内控框架的定义，风险评估是通过识别、分析相关风险以实现既定目标的过程，是风险管理的基础。其中，风险识别不仅需要考虑所有可能发生的风险，而且需要考虑与相关外界之间的所有重大联系，它是一个重复的过程，需要针对环境的变化持续进行。风险评估的第二步是针对识别出来的特定风险进行分析，得出结果后再采取相应的控制活动，并且随时对现有内控程序的适应性进行检测。
3．控制活动。根据COSO内控框架的定义，控制活动是确保管理阶层的指令得以执行的政策及程序，在企业内的各个阶层和职能之间都会出现。其具体包括：（1）岗位不相容控制；（2）授权控制；（3）会计系统控制；（4）财产保护控制；（5）预算控制；（6）运营分析控制；（7）绩效考评控制；（8）业务控制；（9）应急处理机制；（10）对子公司的控制；（11）关联交易管理等。
4．信息与沟通。根据COSO内控框架的定义，企业在其经营过程中，需按某种形式辨识、取得确切的信息，并进行沟通，以使员工能够履行其责任。信息系统不仅处理企业内部所产生的信息，同时也处理与外部的事项、活动及环境等有关的信息。企业所有员工不仅从最高管理阶层清楚地获取承担控制责任的信息，而且有向上级部门沟通重要信息的方法，并对外界顾客、供应商、政府主管机关和股东等做有效的沟通。其具体包括：（1）内外部信息获取渠道；（2）信息披露与投资者关系；（3）信息系统建设；（4）反舞弊机制建设；（5）投诉举报制度。
5．监控。根据COSO内控框架的定义，监控是评估内控系统在一定时期内运行质量的过程，目的是保证内控的持续有效，监控可通过两种方式进行：持续性的监督活动和独立的评估。商业银行内控的监控主要包括内部审计与稽核，以及内部评价两部分。
（二）内部控制五要素之间的关系——“三道防线”
上面已经对内控五要素有了初步的认识，我们发现上述五要素并不是孤立存在的，在具体的实施过程中它们之间呈现出明显的关联，它们相互促进，又相互反馈。因此，我以纵向逐层递进的理念将内控五要素分层纳入商业银行“三道防线”中，构建新的五要素“三道防线”模式，如图1所示。
1．处在业务流程最前端的各项环境设置是“第一道防
线”。如上所介绍，控制环境要素是推动企业发展的发动机，也是内控其他一切要素的核心，所以把对环境的控制作为“第一道防线”是毋庸置疑的。只有保持企业氛围的活跃、企业员工的积极性、企业管理层的正确经营理念以及有效地资源配置等才能保证一个企业持续、健康的发展下去。同时，也只有保证控制环境这道防线的有效防控，才能推进其他内控因素的顺利执行。
2．处在业务流程过程中的各项具体防控措施是“第二道防线”。风险评价主要是针对经营过程中的各项风险而实施的控制手段；控制活动主要是针对管理层对下级各项细节操作而实施的控制手段；信息与沟通主要是针对内、外部信息交流而实施的控制手段。上述三种控制手段均可认为是三个方向的具体防控措施，因此，在“第一道防线”——控制环境这一基础的前提下，应该展开内控于各项具体防控措施。那么“第二道防线”——风险评价、控制活动、信息与沟通也便应运而生。 3．处在业务流程最终端的各项监控是“第三道防线”。有了环境的控制，细化了各项措施的控制，那么现在需要的就是有效地监督与防控；同时，有了细致全面的监控，才能将监控情况及时反馈给各项实际措施及环境建设，以便做出相应调整，有助于建立周密的“三道防线”模式。因此，“第三道防线”是监控。
图 1
内控是一个过程，基于五要素，作用于业务流程的“三道防线”彼此之间并非孤立设置、相互替代的关系，而是互为补充、相互强化的系统。偏差和风险无时不有、无处不在，只有在不断促进、不断反馈的过程中发挥系统的合力，形成纠偏防弊的机制保障，才能真正实现商业银行内控的最终目标。
二、城商行内部控制发展现状及问题
（一）控制环境要素发展现状及问题
我国的城市商业银行在内控建设的道路上表现出对控制环境越来越多的重视，均开始关注内控制度的积极建设与改进，注重影响和决定控制环境的各要素。
1．在治理结构方面。更加注重组织机构的合理性，基本都建立了以股东大会、董事会、监事会和高级管理层为主体的公司治理组织架构，实现了所有权与经营权、管理权与监督权既相互分离又相互制衡的运行机制。但在把握管理层授权和职责分工中，权力与责任对等的这个关键问题上仍有偏差
2．在组织结构方面。城商行不断对组织结构进行调整，以配合内控管理体系的有效运行。但在组织架构上仍存在着因垂直式和矩阵式管理交叉而表现出来的机构设置繁琐、职责层次不清晰、职责权利不统一的问题。
3．在内控文化方面。越来越多的城商行将内控文化、合规文化纳入企业文化中去，如山东齐商银行提出“五个零”工作机制等。但从全国状况来看，对内控文化的培植仍不够重视。企业文化上长期以来忽视内控，导致员工对内控的认识错误，无法和实际工作结合，不能正确理解相关规定并且及时恰当分析、处理业务。
4．在员工素质方面。许多城商行都以“内控与案防制度执行年”活动为契机，以宣传、教育、竞赛、培训等形式开始逐步展开对内部员工的内控意识培养与内控知识教育工作，进一步提高员工在内控环节的操作水平。但城商行的内控专业人才储备不足；员工还是没有完全具备完成工作任务所需的知识和技能，对内控的体系、作用没有全面的认识，还没有完全认识到自身在内控环节中的重要性。
（二）风险评价要素的发展现状及问题
1.我国的城商行在风险识别与评估方面有相对较丰富的历史经验，风险管理工作一直被当作商业银行管理的重中之重，风险管控也在逐步完善中。但目前我国城商行在对关键风险点的识别和对其予以量化方面的先进程度仍无法与发达国家的商业银行和国内大型商业银行相比；在风险识别与评估的知识层面、技术手段都相对较落后。
2.多数城商行都做到了最基本的风险管理工作，能够针对信用风险、市场风险、操作风险进行识别、评估与管理。少数城商行能够对基本风险之外的合规风险、信誉风险、科技信息风险等也进行相应管控。但内控在风险管理体系中的作用仍不突出，旧的风险管理体系还没有完全被替换，很多风险控制环节都没有安排具体的内控手段，使风险评估与内控评估未能充分结合。
（三）控制活动要素的发展现状和问题
1．目前，我国城商行对内控活动的制定更加重视，对其实施的方法、程序的设计更加合理，在内控管理框架和管理办法的基础上制定出更加详细的操作性规章制度，能够按照各有关部门和业务单位的职责分工，认真组织实施风险管理解决方案，确保各项措施落实到位。但城商行内控活动的制定和执行随资本规模、经营规模的不同而不同。资本规模较大的3家上市城商行在年报中对内控活动、措施有比较完整的披露，可以看出在内控措施建设的经验比较丰富。相比之下，资本规模小的城商行都缺少对这一部分信息的详细描述。
2．大部分城商行对内控活动的内容有了一定的认识，但
根据规模、地域不同，认识深浅不同，分化比较严重。中、东部经济发达地区的城商行更加重视对内控活动、措施进行系统性地建设，在信息披露方面也胜于经济欠发达的西部地区的城市商业银行，而如四川、云南、贵州、山西、陕西等省内的城商行对内控活动、控制措施的实施状况没有给出系统性的评价，很难证明其内控措施的执行是有力的。同时，虽然对具体业务的内控措施设计比较详细，但缺少对内控措施体系的全面认识与设计，也缺乏对各内控措施间联系和传递机制的认识，没有形成有机的整体。
3．对内控活动的制定开始注重创新与风险防控的结合，
普遍运用各类网络安全技术和手段，为实现机控代替人控更进一步。但目前大多数的结合是基于分散的风险问题及具体措施，对于整个管理体系的建设并不完善，尤其没有广泛建立起城商行与附属机构以及参股公司间的有效风险隔离机制。
4．大部分城商行对内控活动的完善主要是通过加大检查
监督力度、优化责任追究制度，但专项审计、风险管控等机制较缺乏。
（四）信息与沟通要素的发展现状和问题
1．在信息系统建设方面。信息系统逐步升级，各城商行基本建立了相应的各种机制。但对于一个来获得、识别、加工和报告信息的良好信息系统仍未完成；信息系统随企业目标、经营环境的变化，适应新需求的能力仍然欠缺；对信息的加工整理，归纳汇总工作缺乏一致性、系统性；信息系统的设计、规划、应用和组织的整体战略没有结合在一起。
2．在信息披露程度方面。目前，只有不到半数的城商行对内控中的信息交流与反馈做了报告，分析了现状与问题（如北京银行、宁波银行等），尚未披露过内控审计报告或内控评价报告的城商行占很大比例，甚至还有相当一部分的城商行没有自己的官方网站（如贵州六盘水市商业银行、安顺市商业银行）。信息披露程度明显不足，且地区差异显著。
（五）监控要素的发展现状和问题
1．全国的城商行基本建立起内控的监督评价体系，包括规定监督评价的执行部门、执行对象以及执行内容。多数银行在部门设置方面都专设了执行内部审计的部门（如：稽核部），在监事会下设立审计委员会，在高级管理层中设立审计部等，便于对内部控制实施检查和评价。但内部审计部门对操作风险的监督管理措施不足，对董事会、监事会和高级管理层负责内控监督工作的各委员会职能设计缺失或不合理，许多银行的管理层甚至不清楚监督的程序。 2．内控的评估体系在城商行中初步建成，评估活动也初步展开，包括独立于内控活动之外而采取的定期评估行为。但部分城商行的内控评价牵头部门不合理，它们的内控评价工作由财务部门、董事会办公室或其他部门牵头。没有评价的基础经不起考验，从而难以充满自信地接受外部独立审计。因此，只有少数的城商行聘请外部审计并获得一份标准无保留意见的审计报告（如北京银行、重庆银行、南京银行等），大多数城商行在内控外部审计方面的实践经验不足。
3．董事会没有对内控的健全性、有效性进行总体评估，形成内控自我评估报告，并在公司年报中予以披露，这在很大程度上影响了内控实施的预期效果。只有个别银行有披露内审报告（如重庆银行），多数银行并未对企业自身的内控进行全面自查并保存检查的证据或工作底稿，内控评价报告编制基础仍待加强。
三、城商行内部控制要素完善启示
（一）内控环境建设
1．健全组织结构，完善“三会一层”在内控中的职责与相互关系。在董事会下设立如内控委员会、风险管理委员会、关联交易控制委员会等委员会的内控决策部门，在董事会、监事会下设如审计委员会、监督委员会等内控监督、评价部门。
2．重视内控文化建设，培育诚信敬业的企业文化，营造良好的内控文化氛围。例如厦门银行：持续进行合规风险评估调研和教育培训，提高全行员工特别是机构负责人的合规意识，推进合规文化建设；对各项制度进行再梳理和再评估，提高制度体系的完整性、适宜性和有效性；开展以风险为导向的审计工作，对内控制度建设、内控机制运行、安全技术手段以及运营情况等进行审计评价，促进内控环境持续优化。
3．加强人力资源建设，提高员工素质。员工的职业道德水平、胜任能力和诚信度是影响内部控制环境的重要因素，坚持以人为本的管理思想，加强教育培训和监督管理，促使各级管理人员提高认识，建立以提高员工素质和敬业精神为核心的人力资源管理制度。通过多层次、多渠道的培训，提高员工的政治、业务素质和职业道德素养，创造公平、平等、择优的用人环境，建立健全选人用人机制。
（二）风险评估建设
1．建立完善有效的风险管理体系。按照银监会有关要求规范业务操作流程，管控好重点领域、重要岗位、重点环节和关键岗位人员，进一步提升风险管控能力。建立主要以董事会层面、高级管理层面、职能部门层面和分支机构层面的纵向到底，横向到边的全行风险管控流程。以内控体系建设和全面风险管理规划的落实为契机，深入推进内控工作的长效机制，完成年度风险管理规划的各项任务，初步建立全面风险管理体系。
2．强化对信用风险、市场风险、流动性风险、操作风险等各类风险的管理。例如徽商银行的信用风险管理：逐步完善信贷制度建设，根据对客户的评级结果、贷款方式和规模以及本公司资金成本、市场利率变化趋势等因素，对不同信用风险的客户确定不同的贷款利率水平，建立差异化定价机制，并采取专业化授信评审、审贷分离、集中质量监控、问题资产集中运营和清收等手段进行信用风险管理。例如锦州银行的流动性风险管控：对流动性风险影响因素进行动态监控，并制定流动性风险应急预案和快速报告机制。
3．注重创新，进一步细化风险识别与评估条例，加强对风险评估工具的研发、改进，完善识别、计量、监测和管理风险的制度、程序和方法，尤其重视对关键风险点的识别和对其的量化，将内控制度渗入到每一个风险点中去，提升风险管控能力。例如北京银行：设立战略风险这一创新理念；同时，董事会战略委员会为把控全行的战略风险提供专业建议，并定期组织对全行中长期战略规划进行编制、监测、评估和修订。
4．明确各类风险的牵头部门、报告路径和报告内容，逐步建立覆盖全部业务、全过程的风险预警体系，有效控制各类风险，实现内控工作力度、质量和效果的全面提升；保证安全稳健运行，大力开展风险排查和制度落实情况的检查，强化责任追究，强力推进合规建设和内控执行力落实。
（三）控制活动建设
1．丰富内控活动内容，合理构建内控管理框架。完善对各项内控活动的规定，将内控渗入到各项业务的各个操作岗位和操作环节。例如上海银行的横向内控管理框架：形成组织结构内控、计划财务内控、资金营运内控、存款及柜台业务内控、电子化系统内控、法律失误内控等措施的建设。
2．单项内控活动的健全。例如宁夏银行：健全内控管理的激励约束机制，充分发挥利益导向在内控建设中的作用，牢固树立充分揭示风险的内控管理理念；考核机制要坚持有利于增强总行对分支机构的控制力，有利于充分发挥支行主观能动性，有利于纠正“重效益，轻质量”的经营观念和做法，为全员重视内控、参与内控提供持续动力。
3．单项内控活动的创新。在业务控制活动上进行创新，例如北京银行的内控活动体系：在基础内控措施之外加入如运营分析控制、应急处理机制等的控制措施内容。
（四）信息与沟通
1．建立顺畅的信息交流机制，建立有效的交流渠道，保证横向、纵向两个维度的信息交流渠道畅通无阻；确保部门间、岗位间信息充分共享，为内控体系各要素的运转提供有效的信息支持，及时发现内控过程中的问题并采取有效的补救措施。如北京银行在内外部信息交流方面：通过内部网络、报刊等平台促进内部内控信息的流通；建立高效率、多层次的信息交流渠道，定期报告发布后召开投资者交流会和新闻发布会，董事长及高级管理层与投资者深入交流；接待投资者调研来访，向投资者全面介绍该行经营决策等重大信息，并将投资者的意见、建议及时反馈给管理层。
2．提高信息系统安全管理水平。进一步完善信息系统安全体系建设，加大信息科技安全、信息系统环境及应用、营业机构建设及运营等方面管理力度，持续完善相关标准和规范，构筑信息风险管理和信息安全的保障体系。
3．以科技完善风险管控手段，加强信息科技建设。针对管理信息系统和会计综合业务处理系统中存在的薄弱环节进一步加大信息科技投入力度，提出并落实全行数据信息的分等级管理和重要数据信息报送（包括对董监事会、高级管理层及监管部门）协调机制方案。同时通过对管理信息系统优化改造以及定期核对的方式保证该行信息数据的一致性，以满足风险管理的需求。例如：北京银行，以信息科技服务业务发展为指导思想，实施信息科技发展战略，开发IT项目管理系统、重建数据平台并配套建设报表平台、建设新信贷系统等，加快资金交易系统建设，保证信息技术对业务发展的支持，实现新一代电子银行一期和数据仓库二期等系统上线运行，启动新一代核心系统升级工作，以科技提升内控管理水平，实现计算机辅助审计系统一期上线。 （五）监控
1．建立完善的监督纠正管理体系，详细规定监事会的内控制监督职责。例如广州银行：明确总行各部门在风险管理中的职责，形成业务条线管理、合规检查、内部审计和纪检监察的有效分工，建立分支行自查自纠，总行业务管理部门、风险管理部常态化检查、审计再监督检查三个不同层面的监督纠正管理机制，完善了对内控的监督评价机制。
2．推进监督评价系统建设。例如：重庆银行指定稽核部负责组织检查，初步建立了内控责任制，督促业务部门和分支机构及时纠正内部控制存在的问题，同时开展内控自我评价工作，评价内控的健全性和有效性，并形成《关于内部控制有效性的自我评价报告》。
3．积极发挥内部审计的“保健医生”作用。由内部审计部门审视并在必要时调整内控评价的牵头部门，充实稽核力量，加强内部监督的独立性、权威性。充分利用非现场审计系统强化非现场检测，推动非现场检测分析与现场检查工作的全面融合，特别是要加强对高风险业务、高风险领域及异地分行的监控和跟踪，进一步提高检查工作效率和质量。
4．加强与内控制定与实施环节的联系。例如：嘉兴银行在“三道防线”的基础上，加大问题整改和检查责任追究力度，强化以合规督导检查为主体的第四道防线——经验，四道防线层层设防，完善内控监管网络，有效杜绝风险的产生。
参 考 文 献
[1]杨肃昌．城市商业银行风险管理体系研究[J]．会计之友．2012（4）
[2]郑鑫．商业银行内部控制“三道防线”的分析与探究[J]．农村金融研究．2011（12）
[3]张喜宏．国有商业银行风险管理初探[J]．企业导报．2009（6）
[4]岳杨．我国商业银行内部控制建设存在的问题和对策研究[J]．会计师．2011（12）
[5]孙涛．商业银行内部控制低效的成因及模式重构[J]．财经科学．2007（2）
注：1.目前已被大多数商业银行提出的风险有：信用风险、流动性风险、市场风险、操作风险、战略风险、合规风险以及声誉风险。
2.“五个零”工作机制：服务基层零距离、部门工作零积压、文明服务零投诉、业务工作零差错、操作风险零容忍。
3.我国三家上市城商行分别是：北京银行、宁波银行、南京银行。
4.潍坊银行的内网自防御安全体系包括：电子监控系统，电子核印技术、指纹识别签到和授权技术等。
5.城商行的内控评价工作一般由内部审计部门牵头，对企业的内部控制有效性进行评价。