城商行强化内控要从完善治理结构做起

　　主持人：本报记者 谢利

　　特邀嘉宾：张陶伟 清华大学经济管理学院副教授

　　叶谢玮 甫翰公司副总监

　　随着国有大型商业银行改制上市取得阶段性成果、中小股份制商业银行经营转型逐步深化，有关城市商业银行的改革与发展开始备受各界关注，而风险管理与内部控制更是其中的重中之重。在《商业银行内部控制评价试行办法》(以下简称“9号令”)实施近两年之际，一项由甫瀚公司(Protiviti)和清华大学共同组织的针对城市商业银行的调查研究报告显示，城市商业银行在执行9号令加强内控方面虽取得了一定成绩，但现有内部控制体系及运作标准依然面临很大的困难和挑战。就此，记者与负责该调研项目的清华大学副教授张陶伟、甫翰公司副总监叶谢玮进行了一番对话。

　　城市商业银行风险管理具有自身特点

　　记者：目前，人们对商业银行风险管理和内控体系建设越来越关注，但主要焦点还是集中于大型国有商业银行以及一些已经上市的中小银行，为什么这次调查单单选择了城市商业银行作为调研对象？您认为城商行在内控和风险管理上与其他大中型银行相比具有哪些特点？

　　张陶伟：大部分国有大型银行或者股份制银行现在基本上都引进了国际战略投资者，有的还在境内外上市，其银行经营、管理制度的建设也在有条不紊地进行着。而从地域、经营状况、股东结构、现代企业制度的建设等各方面看，一百多家城市商业银行情况显然要复杂得多，在监管机构的关注和推动下，他们的变革才刚刚开始。所以研究他们的现状和发展，对于国内金融业的发展，其意义是非常重要的。

　　银行风险主要涉及市场风险、信用风险、操作风险，城商行与大中型银行在内控、风险管理方面确实存在着诸多不同。如市场风险的重点不同，由于城商行不经营外汇，所以

汇率风险管理方面要比大中型银行简单得多；信用风险的程度和管理水平不同，城商行贷款对象通常规模都较小，信用风险管理水平也低得多；操作风险的管理手段差别很大，由于大部分城商行还不具备大中型银行所具有的信息系统优势，自动化流程处理方面要弱于大中型银行，人为因素影响相对要大。

　　完善治理结构是建立有效内控体系的前提

　　记者：从调查结果上看，城商行在内控管理方面主要存在哪些问题？如何加以改进和完善？具体应从哪些方面入手？

　　张陶伟：在国内银行业开放期限临近之际，摸清城市商业银行风险管理体系现状，才能有的放矢地采取针对性措施进行整改和完善。从这个角度上讲，此次调研得出的结论，值得引起监管者和业界的重视。

　　调查结果可以简单概括为三点：首先是董事会，监事会和管理层职责定义不清楚。其次是IT信息系统薄弱。最后就是执行内控的员工素质和技能有待提高。

　　叶谢玮：就城商行内控管理方面存在的三大不足，我们认为，首先银行需要从组织架构上理清各机构的职能，将监管层与执行层的功能进行区分，以确保监管者的独立性和客观性，也使执行层的工作能顺利进行，这是建立有效内控体系的前提条件。监事会的责任是监督，不应担当管理层的工作。为确保内审部门的独立性，内部审计部门应向董事会或审计委员会提交审计报告。银行在建立和完善组织架构时不但要满足法律法规的要求，也要根据自身的实际情况考虑如何平衡组织架构，留有一定的弹性空间。组织架构分工太细，可能会面临不能及时对问题作出反应的风险；分工太粗，可能有职责定义不清的风险。在建立日常组织架构的基础上，也可以采用专门工作小组形式来进行某些特定项目。

　　鉴于目前银行在高风险领域主要依赖人工控制，但内部人员的经验又不够，出错的风险大，因此十分有必要加强IT系统的建设和人员的培训。当然，银行也可以按照银监会颁布的《银行业金融机构内部审计指引》(以下简称《指引》)，聘请外部机构对银行的内部审计部门的尽职情况和专业胜任能力进行独立评估。

　　城商行内控建设任重道远

　　记者：按照银监会的9号令和《银行业金融机构内部审计指引》的要求，城商行需要尽快做哪些方面的改进？与国际先进银行相比，包括城商行在内的国内商业银行在内控领域的主要差距在哪里？

　　张陶伟：通过这次调查分析，我们认为城商行需要重视并需要尽快改进的主要有三个方面。首先，依然是上面提到的职责定义不清晰。根据9号令的规定，监事会负责监督董事会和高级管理层完善内部控制体系和履行内控职责，但通过调查发现，有的城商行存在监事长同时担任高级管理层或者监事长负责审批和确认内控政策和内审方案的现象。其次是向董事会汇报方面。调查发现，只有40%的受访者表示经常提交报告给董事会，50%表示偶尔提交，5%从来没有，而《指引》规定，内部审计应按季向董事会报告审计工作情况，每年至少一次向董事会提交包括履职情况、审计发现和建议等内容的审计工作报告。最后还有一点，就是内部审计师占员工的比例问题。9号令虽没有最低比例的要求，可在《指引》中要求了1%的最低比例，实际上有43%受访者表示其所在银行内部审计师占员工比例不到1%。

　　叶谢玮：我认为国内银行目前在内控方面最大的问题是人才问题。大部分银行普遍缺乏有经验的员工来进行内部建设和风险管理。市场放开后，竞争在很大程度上是人才的竞争。从员工队伍建设方面来讲，可以通过从工作实践和培训相结合来提高员工的技能。同时，对于优秀的员工，要考虑为他们提供发展空间和机会，将人才留住。

　　记者：近来业界颇为关注的SOX法案，对国内商业银行会产生怎样的影响？当前国际上采用的内审外包对国内银行是否适用？

　　叶谢玮：SOX法案针对在美国上市的公司，对国内商业银行并无直接的实质性影响。尽管美国公司的内部控制体系相对其他国家来说比较成熟，SOX法案仍加以实施，这是一个强有力的信号，说明监管部门对公司治理和内部控制的重视。目前世界各国都有加强内控的法案出台，公司经营活动将面对更严厉的监管是一个趋势。国外商业银行在一系列法案的严格监管下，内控建设和风险管理相对成熟。随着中国金融市场的开放，国内银行将面临更大的竞争压力，国内商业银行要借鉴SOX法案重视内控的精神，检查和加强自身的内部控制建设。

　　对于城市商业银行人才匮乏的情况，在短期内可能无法解决，可以考虑借用外部专业机构的力量；同时，对于某些特定或有特别要求的项目，企业内部有时可能没有满足项目要求的资源，与外部专业机构合作也是一种比较有弹性的工作方式。不过，需要注意的是，管理层对外包的工作负有监管责任，这种责任是不能外包的。管理层要对外包方进行监督，确保其工作质量符合要求。