针探城市商业银行风险控制体系

　　工行的成功上市并不能掩盖更广大范围内的银行在内部风险控制方面存在的问题，尤其是数目庞大的城市商业银行

　　文/本刊记者 刘建辉

　　10月27日，中国工商银行的上市世人瞩目，国际投资者掀起了竞购工行股票的浪潮。一时间，似乎一直遭人诟病的中国银行业的种种顽疾随着工行的上市已经烟消云散了。然而就在工行上市三天之后，一份《中国城市商业银行内部控制调查研究报告》的发布，给我们提了一个醒：作为防范风险的最主要的防火墙的中国城市商业银行内控体系仍然存在很多问题，现在庆祝胜利还为时过早。

　　虽然中国工商银行并不在城市商业银行之列，规模也非城市商业银行所能望其项背，但是中国有100多家城市商业银行，代表着更广大的一个银行群体。12月份，中国金融业即将对外资全面开放，外资银行为了抢占进入中国市场的先机，从去年开始纷纷选择城市商业银行作为合作对象。自国有银行和股份制银行纷纷上市之后，城市商业银行将是下一轮银行业改革的热点。100多家城市商业银行，无论从地域、经营状况、股东结构、现代企业制度的建设方面，情况都要复杂的多，在监管机构的关注和推动下，他们的变革才刚刚开始。

　　在入世之后，银行业改革一直都是各方关注的焦点，银监会也连续出台多项措施督促国内城市商业银行建立健全公司治理机制，提高风险管理能力，以应对即将到来的金融业全面开放，其中就包括自2005年2月1日起施行的《商业银行内部控制评价试行办法》(以下按银行业体系内惯例简称“9号令”)。

　　银监会有关负责人在“9号令”发布实施时说，与国际先进商业银行相比，国内商业银行风险管理水平仍存在较大差距，内控薄弱是普遍存在的突出问题。近年来发生的多起案件充分暴露了国内商业银行内部控制存在的缺陷。

　　“9号令”强调内部控制是一种系统的制度安排，旨在通过加强对商业银行内部控制的评价，要求商业银行向监管部门、社会、市场提供一套全面和可证实的内部控制体系，从而使内部控制体系各组成要素间的联系更加清晰有序；督促商业银行从根本上建立风险管理的长效机制，保证商业银行安全稳健运行。这是银监会贯彻“管法人、管风险、管内控、提高透明度”的监管理念采取的具体举措。

　　存在的问题

　　如今“9号令”实施已近两年，效果如何呢？

　　甫瀚公司(Protiviti)和清华大学继续教育学院金融培训中心今年共同组织了这项针对城市商业银行实施“9号令”情况的调查。此次调查共向100多家城市商业银行发出问卷，收回的59份有效问卷来自48家银行的受访者。所有被调查者都不同程度地参与了内控工作。调查研究结果指出，所有城市商业银行对“9号令”都给予了充分的重视，已根据“9号令”要求开始展开内部控制管理的工作，但仍存在许多不足之处：

　　第一，大部分银行虽然已经建立了现代公司治理架构，但是在职责划分上还不够清晰。“9号令” 规定，董事会/审计委员会才是负责审批内部控制和内部审计方案和政策的机构。但是调查发现，只有43%的受访者表示是由董事会/审计委员会来批准及确认内部审计方案和政策，而其余的银行是由其他部门或通过其他方式来批准及确认。

　　第二，银行的信息系统建设普遍薄弱，在风险识别和处理、数据准确性等方面人为影响因素过大，对自动系统和标准化方法的使用不足，存在一定的风险隐患。在调查中只有不到60%的机构提到在操作中采用了系统自动核对的方法。

　　清华大学负责参与此次研究的经济管理学院副教授张陶伟认为，这说明城市商业银行还需积极推进信息系统建设来提高检查的效率、及时性和覆盖率，以避免人工操作可能导致的错误、主观性误差、舞弊等问题，从而保证数据的可靠性。而且如果没有强大、及时和准确的信息汇报体系，董事会、监事会和高级管理层就难以依据可靠的信息和资讯，来有效履行其监管职能。

　　第三，大部分受访者认为银行缺乏经验丰富的人员及有效工具或方法来进行自我评估及识别企业的风险，大部分内控工作的实施、评估、监测、沟通及培训皆以内部人员为主导。在“9号令”的执行过程中，仅有约25%的受访者所在的银行邀请了外部专业机构参与。

　　甫瀚大中华区总裁刘建新在接受《经济》采访时说，我国的城市商业银行在以上三个方面存在的不足，也显示了它们与国外商业银行在内控方面存在的巨大差距。在入世之后，中国的银行业面临的风险不是减少了而是大大增加了。在巨大的外部竞争压力下，银行的风险不仅有系统风险，还有创新业务带来的风险，防范这种创新风险是城市商业银行面临的新问题。

　　张陶伟告诉《经济》：“在国内银行业开放期限临近之际，摸清城市商业银行风险管理体系现状，才能有的放矢地采取针对性措施进行整改和完善。”他认为清华与甫瀚合作开展的这次调查研究中反映出来的一些问题，值得监管者和业界重视。

　　解决之道

　　针对此调查反映出来的情况，甫瀚公司根据其在帮助企业完善内部控制以及风险管理方面的实践与经验，建议国内的城市商业银行从以下几方面着手改善和提高目前的状况：

　　首先，银行需要从组织架构上理清各机构的职能，将监管层与执行层的功能进行区分，以确保监管者的独立性和客观性，也使执行层的工作能顺利进行，这是建立有效内控体系的前提条件。为了确保城市商业银行的股东大会、董事会、监事会和高级管理层都能有效地发挥其在公司治理和内部监督方面的职能，各商业银行需要制定详细的议事决事规则、高级管理层的工作细则和规章流程，明确各机构之间的职责边界，建立清晰的汇报路线和信息沟通机制。根据银监会所颁布的《银行业金融机构内部审计指引》，各银行还需要通过系统化和规范化的内部审计方法，审查评估银行的经营活动情况、风险状况，改善内部控制和公司治理效果。

　　其次，针对信息系统建设薄弱的情况，商业银行需要制定明确的中长期信息科技发展规划，逐步完善内部审计操作系统和信息科技系统，构建先进的信息科技平台，集中管理业务和财务数据，并制定相关的信息管理政策和汇报体系，全面提升从风险识别、分析到内部控制的综合管理质量和效率，实现从管理层到操作层面、由一线业务部门到后台职能部门的全方位风险管理。

　　在加强硬件系统建设的同时，银行也不能忽略内部人力资源培训的配套。刘建新告诉《经济》，高效的信息系统、有效的风险管理体制，都需要高素质的人才来执行，才能达到预期成效。为了配合商业银行的长远发展战略，他建议从培训体系的建设入手，建立以人员岗位、能力、资格、和员工职业生涯发展为主要内容的全员培训体系。外部专业机构的介入是银行了解市场最新情况，引入科学有效的经验、系统的一个有效渠道。

　　有一些城市的商业银行已经引入了战略投资者，例如南京、北京等。张陶伟认为，合格的战略投资者的引入，对城市商业银行建立现代企业制度、提升经营效果、降低金融风险、提高资本充足率都会有很大的帮助，因为根据国内监管机构的相关要求，对战略投资者是有要求的，比如其所在行业、在行业中的地位和影响、是否有同业竞争等方面。另外，在引入战略投资者的时候，国内银行也会与其达成除了引资之外的合作，比如人才引进、业务培训等。这对于银行包括内控在内的各个方面都会有改善提升的作用。

　　张陶伟认为，在同外部机构合作的过程中，城市商业银行不能采取一种被动接受的态度，而应将外部专业机构视为一个战略合作伙伴，共同探讨识别风险以及应采取的相应对策，这有助于知识转移。同时，银行要意识到内部控制是一个过程，由人而生效，并不是说有了制度和流程就万事大吉，外部机构可以将风险管理和内控建设应遵循的规范传授给银行，但实施要依赖于银行本身，而且这种实施是一种长期的过程。