美国内控理论对我国商业银行的启示
来源： 《审计与经济研究》·陈金霞
2003-08-18
普通
[摘要]本文分析了我国国有商业银行内部控制制度的现状，并以美国内控理论为借鉴，提出了建立、健全我国商业银行内部控制制度的方法和措施。
广义地说，内部控制是组织机构在经营管理过程中，为保证管理有效，资产安全，会计数据准确、真实以及为鼓励遵守既定的管理政策而采取的所有相应的方法和手段。对金融业来说，金融机构的内部控制是金融机构的一种自律行为，是金融机构内部为完成既定的工作目标和防范风险，对各职能部门及其工作人员从事的业务活动进行风险控制、制度管理和相互制约的方法、措施和程序的总称。实践证明，良好的内部控制对于银行达到既定的目标和维持良好的财务状况都是至关重要的。
一、美国内部控制理论
根据美国反对虚假财务报告全国委员会的赞助组织委员会发布的定义，有效的内部控制体系应当包括五个方面，即：控制环境；风险评估；控制活动；会计、信息及传导机制以及自我评估及监控。
（一）控制环境
控制环境反映董事会及管理部门对内部控制的重视程度，它对内部控制提出了基本要求及框架。控制环境的要素包括：1、员工的正直、职业道德和进取心。2、企业单位的组织结构。3、管理部门的经营理念和风格。4、对企业单位经营实践的各种外部影响。5、董事会及其专门委员会特别是审计委员会和风险评估委员会的关注和要求。
（二）风险评估
风险评估是对内部和外部风险分析的确认。之所以要对风险进行评估，是因为风险影响企业单位实现其目标或危害其经营。这种评估能帮助确定何处存在风险，怎样进行风险管理，以及需要采取何种措施。
（三）控制活动
控制活动包括制定政策和程序并将其付诸实施。控制活动的目的是企业单位的员工贯彻执行董事会和管理部门的要求，并帮助董事会和管理部门采取措施，控制那些妨碍实现目标的风险。
（四）会计、信息和传导机制
会计、信息和传导机制以不同形式取得和传递恰当、及时的信息，从而使雇员能够贯彻履行自己的职责。会计系统是确认、汇集、分析、分类、记录和报告企业单位业务事项的方法和载体。信息和传导机制使所有的雇员都懂得自己在系统中的作用、会计责任以及与他人的关系。信息系统就经营、财务、合规性提出报告，从而使董事会和管理部门更好地履行职能。传导机制将信息传递到企业单位的内部及外部，包括法律、法规的制定者、检查者、持股者和客户。
（五）自我评估及监控
自我评估和监控是企业单位内部自身的、自上而下的控制系统的活动。自我评估是由有关人员定期、独立地对一个部门的控制进行评估。事中监控是在经营过程中和责任履行过程中进行的。有些企业单位将事中监控和独立的评估结合起来。内部审计和外部审计可以控制系统的设计及实施，在质量和效果等方面进行独立评估。企业单位中的所有人员对自我评估和监控都应负有责任。每一个人都要懂得，自己对破坏控制系统的行为负有报告的责任。
二、我国国有商业银行内部控制制度的现状
我国国有商业银行由于有着特殊的历史背景和计划经济的运行模式，内部控制机制长期得不到重视，造成了银行内部控制制度建设的滞后和实际运行中内部控制机制的悬空。主要表现在以下几个方面：
（一）思想上对内控制度重视不够，使内部控制制度流于形式
国有商业银行的前身是专业银行，自成立以来就承担着宏观调控和金融服务双重任务，各级管理层重国家计划、轻自身管理，重速度和规模、轻质量和效益。各职能部门和各位员工把遵守国家的方针政策、规章制度视为其业务活动的目标，在业务活动中缺乏相互联系和沟通，缺乏相互牵制和监督的观念，简单地把内部控制制度理解为一般的规章制度，理解为国家法律规章制度实施细则的具体化，把内部控制与管理、内部审计、会计检查等同起来。
（二）内部控制制度分别由各职能部门制定，不利于银行内部全过程的调控
目前国有商业银行缺乏专门制定和执行内部控制制度的机构，其内控制度大多分别由各职能部门去制定和执行，导致政出多门，各自为政，使内部控制制度缺乏整体性和协调性，再加上各部门之间缺乏协调配合和信息沟通，许多规章制度之间相互冲突，难以有效发挥其控制作用，以致内部控制制度流于形式。
（三）内部控制制度没有以风险和效益为目标，致使内控制度只停留于事后的合规性检查上
由于国有商业银行长期以来是在国家行政干预下开展各项业务的，其风险全部由国家承担，尤其是对新项目、新业务、新机构的设立缺乏严格的风险考察和评估。对企业的信用分析仅限于对过去的经营和财务资料的审查，对企业未来风险预测不够，风险的估测技术落后，主观判断多，科学方法少，难以真实、客观地反映企业的风险状况。
在市场经济中，缺乏竞争意识和自我保护能力将会成为强者蚕食的对象。在我国即将加入WTO的经济与金融环境背景下，银行如不加强风险控制，用制度管理形成自我保护机制，必将面临危机和困境。而商业银行的内部控制则是商业银行拓展业务和防范经营风险的最现实的保障，对增强银行实力、有效防范和化解银行经营风险有着重要的作用。
三、美国内控理论对我国商业银行的启示
（一）营造良好的控制环境
1、提高银行员工内部控制意识，增强遵纪守法观念，创造良好的内控文化氛围。金融法规只有在大多数员工知法、懂法、守法和少数违法者受到严肃惩处的情况下，才能发挥其应有的作用。增强商业银行依法经营观念，强化经营风险意识，首先要从银行管理层做起，一级抓一级，注重培育自律意识，自觉纠正经营行为的偏差，努力创造一种浓厚的内控文化氛围，引导全体员工自觉地用金融法规和内部控制制度去约束自己的行为。
2、从组织机构上加强和保证内部控制机制的有效运作。按照精简、效率、相互制约的原则重新调整组织机构，设置部门岗位，并明确部门岗位职责，分清责任。要减少管理层次，按照市场经济的原则设置分支机构和营业网点。
建立完善的与现代商业银行制度相适应的银行内部治理结构，尽快建立董事会、监事会、信贷管理委员会、资产负债管理委员会等，保证决策的民主性和科学性，增强透明度。要真正发挥董事会的决策作用、行长的经营管理作用、监事会的监督作用。
设立行长领导下的独立的银行内部审计部门，明确其行政地位和基本职责，减少审计工作和案件查处中的阻力，确保对整个银行的有效控制。组织成立专门的审计研究和培训小组，加强商业银行内部审计制度的建立和专业审计人员的培训，提高审计人员的业务水平和审计效率。
3、树立稳健经营的方针，走集约化、内涵式发展的道路。在目前国有商业银行实施一级法人、多级管理的体制下，要明确划分总行与分支行的责权利关系，要将各级分支行的资产质量、经营效益与干部职工的收入、福利待遇和固定资产购置以及行长的任期紧密挂钩，并对各类报表的真实性进行检查核实，切实改变重贷轻收、重经营轻管理、重抢占客户轻经营效益的状况。
（二）风险评估的适时性与全面性
1、各行应设立风险管理部，从组织机构和人员上保障风险评估活动的连续性和完整性。
2、科学设计银行的各项业绩考核指标。指标体系要相互制约、相互印证，使假账假表缺乏生存的空间。
3、强化新兴业务的风险评估，摆正业务发展与内部控制的关系。新业务开展时，首先要充分考虑风险的防范问题，在对相关风险进行全面客观评估的前提下进行；其次要建立健全新业务的操作规程和管理制度；其三是对新业务要加强监控力度，加大稽核频率。
4、加强对计算机系统风险的认识和控制。随着计算机系统在商业银行经营管理中的广泛运用，计算机技术给银行带来了极大的便利，同时也带来了新的风险。加强电子化风险控制，及时发现和控制计算机系统的潜在风险，形成一套有效的内部电子监督和牵制系统，保障计算机处理或存储的全部数据的精确性、完整性和安全性。
（三）控制活动的安全性与高效性
1、强化一级法人制度。总行作为一级法人，必须承担管理整个系统的责任，成为一个神经中枢和风险控制中心；必须集中重大问题的决策权，包括信贷政策的制定权、资金调度权、重要干部任免权、财务政策制定权等。各分支行的经营权，由总行根据其业务经营能力确定授权范围，各分支行的业务活动均以全行整体的风险控制和效益最佳为目标，确保总行对分支行进行有效的监督管理控制。
2、完善授权授信制度。总行根据经营行的经营管理水平、风险程度等情况，按类型、档次、额度等的不同实行弹性授权制，并对各级经营权的行使进行严格的监督。将贷款、贴现、担保、拆借等业务授信统一到一个部门，实行统一的授信制度。基层信贷人员在对企业资信进行全面评估的基础上，根据企业经营管理水平和效益好坏确定和调整授信额度。
3、健全决策约束机制和责任人制度。建立和完善以审贷分离为核心的贷款决策风险约束机构，对行长的决策行为进行有效约束。实行岗位约束，建立贷款决策责任人制度，把风险贷款责任分解到个人；建立风险责任制，董事长、董事、行长等高级管理人员的任免、奖惩直接与银行的经营风险挂钩。建立常规的审计检查制度，履行对银行内部各部门的审计监督，对重大案件和银行行长的审计可以会同中央银行金融监管局组成联合审计组来进行。
4、引入有效的激励和约束机制。在内部控制制度的运作过程中，要坚持奖惩分明。要经常进行安全教育，引导员工自觉维护和执行内部控制制度。
（四）会计、信息和传导机制的畅通与完整
1、确保会计、信息和传导机制的畅通，必须首先从精简机构、减少分支行管理层次入手。组织结构的合理性是传导机制畅通的基础。
2、强化会计核算的内部控制系统，确保信息的真实、完整。建立严密的会计系统，强化会计控制，准确及时地反映商业银行的经营活动情况，加强对账表真实性的检查监督，对随意调账调表的有关责任人员要从严处罚。加快财会电算化步伐，建立反映银行经营情况的实时监控系统。
（五）自我评估和监控体系的构建与完善
各职能部门要具有相对的独立性和相互制衡性，以达到内部控制制度所要求的双重控制和交叉检查效果。建立岗位分工和业务岗位的交叉检查制度，按照每一项业务至少有两个岗位或两人以上参与记录、核算和管理的要求，明确各岗位职员在业务操作中的权限和责任，根据业务处理流程的需要，实行业务岗位的交叉检查、相互牵制，及时发现问题纠正错误。强化稽核体系的相对独立性，针对不同组织层次设立相应的监督机构，监督和评价内部控制制度的执行。
突出内控监管，理顺内外部监管的关系。商业银行应尽快把工作重心放在建立完善内部控制制度上，这是商业银行防范与控制风险的关键所在。中央银行则主要是制定风险监管的标准或指标，通过现场和非现场检查，监测和预警商业银行的经营风险。其着力点应该是督促、检查商业银行是否制定和严格执行科学的内部控制制度。
[参考文献]
[1]何林详。美国商业银行内部控制、风险管理与稽核制度[M].北京：人民出版社，1999.
[2]戴相龙。依法管理，促进经济发展[J].中国金融，2000，（4）。
[3]蔡晓明。试论我国金融业的内控环境[J].财经理论与实践，2000，（2）。
[4]李凤鸣。内部控制设计[M].北京：经济管理出版社，1997.
[5]中国人民银行。加强金融机构内部控制的指导原则[Z].
广义地说，内部控制是组织机构在经营管理过程中，为保证管理有效，资产安全，会计数据准确、真实以及为鼓励遵守既定的管理政策而采取的所有相应的方法和手段。对金融业来说，金融机构的内部控制是金融机构的一种自律行为，是金融机构内部为完成既定的工作目标和防范风险，对各职能部门及其工作人员从事的业务活动进行风险控制、制度管理和相互制约的方法、措施和程序的总称。实践证明，良好的内部控制对于银行达到既定的目标和维持良好的财务状况都是至关重要的。
一、美国内部控制理论
根据美国反对虚假财务报告全国委员会的赞助组织委员会发布的定义，有效的内部控制体系应当包括五个方面，即：控制环境；风险评估；控制活动；会计、信息及传导机制以及自我评估及监控。
（一）控制环境
控制环境反映董事会及管理部门对内部控制的重视程度，它对内部控制提出了基本要求及框架。控制环境的要素包括：1、员工的正直、职业道德和进取心。2、企业单位的组织结构。3、管理部门的经营理念和风格。4、对企业单位经营实践的各种外部影响。5、董事会及其专门委员会特别是审计委员会和风险评估委员会的关注和要求。
（二）风险评估
风险评估是对内部和外部风险分析的确认。之所以要对风险进行评估，是因为风险影响企业单位实现其目标或危害其经营。这种评估能帮助确定何处存在风险，怎样进行风险管理，以及需要采取何种措施。
（三）控制活动
控制活动包括制定政策和程序并将其付诸实施。控制活动的目的是企业单位的员工贯彻执行董事会和管理部门的要求，并帮助董事会和管理部门采取措施，控制那些妨碍实现目标的风险。
（四）会计、信息和传导机制
会计、信息和传导机制以不同形式取得和传递恰当、及时的信息，从而使雇员能够贯彻履行自己的职责。会计系统是确认、汇集、分析、分类、记录和报告企业单位业务事项的方法和载体。信息和传导机制使所有的雇员都懂得自己在系统中的作用、会计责任以及与他人的关系。信息系统就经营、财务、合规性提出报告，从而使董事会和管理部门更好地履行职能。传导机制将信息传递到企业单位的内部及外部，包括法律、法规的制定者、检查者、持股者和客户。
（五）自我评估及监控
自我评估和监控是企业单位内部自身的、自上而下的控制系统的活动。自我评估是由有关人员定期、独立地对一个部门的控制进行评估。事中监控是在经营过程中和责任履行过程中进行的。有些企业单位将事中监控和独立的评估结合起来。内部审计和外部审计可以控制系统的设计及实施，在质量和效果等方面进行独立评估。企业单位中的所有人员对自我评估和监控都应负有责任。每一个人都要懂得，自己对破坏控制系统的行为负有报告的责任。
二、我国国有商业银行内部控制制度的现状
我国国有商业银行由于有着特殊的历史背景和计划经济的运行模式，内部控制机制长期得不到重视，造成了银行内部控制制度建设的滞后和实际运行中内部控制机制的悬空。主要表现在以下几个方面：
（一）思想上对内控制度重视不够，使内部控制制度流于形式
国有商业银行的前身是专业银行，自成立以来就承担着宏观调控和金融服务双重任务，各级管理层重国家计划、轻自身管理，重速度和规模、轻质量和效益。各职能部门和各位员工把遵守国家的方针政策、规章制度视为其业务活动的目标，在业务活动中缺乏相互联系和沟通，缺乏相互牵制和监督的观念，简单地把内部控制制度理解为一般的规章制度，理解为国家法律规章制度实施细则的具体化，把内部控制与管理、内部审计、会计检查等同起来。
（二）内部控制制度分别由各职能部门制定，不利于银行内部全过程的调控
目前国有商业银行缺乏专门制定和执行内部控制制度的机构，其内控制度大多分别由各职能部门去制定和执行，导致政出多门，各自为政，使内部控制制度缺乏整体性和协调性，再加上各部门之间缺乏协调配合和信息沟通，许多规章制度之间相互冲突，难以有效发挥其控制作用，以致内部控制制度流于形式。
（三）内部控制制度没有以风险和效益为目标，致使内控制度只停留于事后的合规性检查上
由于国有商业银行长期以来是在国家行政干预下开展各项业务的，其风险全部由国家承担，尤其是对新项目、新业务、新机构的设立缺乏严格的风险考察和评估。对企业的信用分析仅限于对过去的经营和财务资料的审查，对企业未来风险预测不够，风险的估测技术落后，主观判断多，科学方法少，难以真实、客观地反映企业的风险状况。
在市场经济中，缺乏竞争意识和自我保护能力将会成为强者蚕食的对象。在我国即将加入WTO的经济与金融环境背景下，银行如不加强风险控制，用制度管理形成自我保护机制，必将面临危机和困境。而商业银行的内部控制则是商业银行拓展业务和防范经营风险的最现实的保障，对增强银行实力、有效防范和化解银行经营风险有着重要的作用。
三、美国内控理论对我国商业银行的启示
（一）营造良好的控制环境
1、提高银行员工内部控制意识，增强遵纪守法观念，创造良好的内控文化氛围。金融法规只有在大多数员工知法、懂法、守法和少数违法者受到严肃惩处的情况下，才能发挥其应有的作用。增强商业银行依法经营观念，强化经营风险意识，首先要从银行管理层做起，一级抓一级，注重培育自律意识，自觉纠正经营行为的偏差，努力创造一种浓厚的内控文化氛围，引导全体员工自觉地用金融法规和内部控制制度去约束自己的行为。
2、从组织机构上加强和保证内部控制机制的有效运作。按照精简、效率、相互制约的原则重新调整组织机构，设置部门岗位，并明确部门岗位职责，分清责任。要减少管理层次，按照市场经济的原则设置分支机构和营业网点。
建立完善的与现代商业银行制度相适应的银行内部治理结构，尽快建立董事会、监事会、信贷管理委员会、资产负债管理委员会等，保证决策的民主性和科学性，增强透明度。要真正发挥董事会的决策作用、行长的经营管理作用、监事会的监督作用。
设立行长领导下的独立的银行内部审计部门，明确其行政地位和基本职责，减少审计工作和案件查处中的阻力，确保对整个银行的有效控制。组织成立专门的审计研究和培训小组，加强商业银行内部审计制度的建立和专业审计人员的培训，提高审计人员的业务水平和审计效率。
3、树立稳健经营的方针，走集约化、内涵式发展的道路。在目前国有商业银行实施一级法人、多级管理的体制下，要明确划分总行与分支行的责权利关系，要将各级分支行的资产质量、经营效益与干部职工的收入、福利待遇和固定资产购置以及行长的任期紧密挂钩，并对各类报表的真实性进行检查核实，切实改变重贷轻收、重经营轻管理、重抢占客户轻经营效益的状况。
（二）风险评估的适时性与全面性
1、各行应设立风险管理部，从组织机构和人员上保障风险评估活动的连续性和完整性。
2、科学设计银行的各项业绩考核指标。指标体系要相互制约、相互印证，使假账假表缺乏生存的空间。
3、强化新兴业务的风险评估，摆正业务发展与内部控制的关系。新业务开展时，首先要充分考虑风险的防范问题，在对相关风险进行全面客观评估的前提下进行；其次要建立健全新业务的操作规程和管理制度；其三是对新业务要加强监控力度，加大稽核频率。
4、加强对计算机系统风险的认识和控制。随着计算机系统在商业银行经营管理中的广泛运用，计算机技术给银行带来了极大的便利，同时也带来了新的风险。加强电子化风险控制，及时发现和控制计算机系统的潜在风险，形成一套有效的内部电子监督和牵制系统，保障计算机处理或存储的全部数据的精确性、完整性和安全性。
（三）控制活动的安全性与高效性
1、强化一级法人制度。总行作为一级法人，必须承担管理整个系统的责任，成为一个神经中枢和风险控制中心；必须集中重大问题的决策权，包括信贷政策的制定权、资金调度权、重要干部任免权、财务政策制定权等。各分支行的经营权，由总行根据其业务经营能力确定授权范围，各分支行的业务活动均以全行整体的风险控制和效益最佳为目标，确保总行对分支行进行有效的监督管理控制。
2、完善授权授信制度。总行根据经营行的经营管理水平、风险程度等情况，按类型、档次、额度等的不同实行弹性授权制，并对各级经营权的行使进行严格的监督。将贷款、贴现、担保、拆借等业务授信统一到一个部门，实行统一的授信制度。基层信贷人员在对企业资信进行全面评估的基础上，根据企业经营管理水平和效益好坏确定和调整授信额度。
3、健全决策约束机制和责任人制度。建立和完善以审贷分离为核心的贷款决策风险约束机构，对行长的决策行为进行有效约束。实行岗位约束，建立贷款决策责任人制度，把风险贷款责任分解到个人；建立风险责任制，董事长、董事、行长等高级管理人员的任免、奖惩直接与银行的经营风险挂钩。建立常规的审计检查制度，履行对银行内部各部门的审计监督，对重大案件和银行行长的审计可以会同中央银行金融监管局组成联合审计组来进行。
4、引入有效的激励和约束机制。在内部控制制度的运作过程中，要坚持奖惩分明。要经常进行安全教育，引导员工自觉维护和执行内部控制制度。
（四）会计、信息和传导机制的畅通与完整
1、确保会计、信息和传导机制的畅通，必须首先从精简机构、减少分支行管理层次入手。组织结构的合理性是传导机制畅通的基础。
2、强化会计核算的内部控制系统，确保信息的真实、完整。建立严密的会计系统，强化会计控制，准确及时地反映商业银行的经营活动情况，加强对账表真实性的检查监督，对随意调账调表的有关责任人员要从严处罚。加快财会电算化步伐，建立反映银行经营情况的实时监控系统。
（五）自我评估和监控体系的构建与完善
各职能部门要具有相对的独立性和相互制衡性，以达到内部控制制度所要求的双重控制和交叉检查效果。建立岗位分工和业务岗位的交叉检查制度，按照每一项业务至少有两个岗位或两人以上参与记录、核算和管理的要求，明确各岗位职员在业务操作中的权限和责任，根据业务处理流程的需要，实行业务岗位的交叉检查、相互牵制，及时发现问题纠正错误。强化稽核体系的相对独立性，针对不同组织层次设立相应的监督机构，监督和评价内部控制制度的执行。
突出内控监管，理顺内外部监管的关系。商业银行应尽快把工作重心放在建立完善内部控制制度上，这是商业银行防范与控制风险的关键所在。中央银行则主要是制定风险监管的标准或指标，通过现场和非现场检查，监测和预警商业银行的经营风险。其着力点应该是督促、检查商业银行是否制定和严格执行科学的内部控制制度。
[参考文献]
[1]何林详。美国商业银行内部控制、风险管理与稽核制度[M].北京：人民出版社，1999.
[2]戴相龙。依法管理，促进经济发展[J].中国金融，2000，（4）。
[3]蔡晓明。试论我国金融业的内控环境[J].财经理论与实践，2000，（2）。
[4]李凤鸣。内部控制设计[M].北京：经济管理出版社，1997.
[5]中国人民银行。加强金融机构内部控制的指导原则[Z].
