【摘要】国际金融领域风险不断显现与发生，严重威胁着金融业的安全和发展，我国商业银行的经营风险也正在逐步由隐性转向显性。近几年，国有商业银行上市的步伐日益加快，并在完善内部控制制度等方面做了大量的工作。正视日益增长的风险，完善和加强内部风险管理与控制，已成为商业银行生存和发展的首要的条件。本文首先阐述了内部控制理论，并结合我国的现状，分析了我国商业银行中存在的几个较明显的问题，最后提出了相应的建议和对策。

　　商业银行特殊的经营对象——货币资金，特殊的经营方式——信用中介，决定了商业银行经营活动“高负债”，“高风险”的基本特征及其在国民经济体系中的特殊地位，建立不断完善的内部控制，既是商业银行在追求自身经济利益过程中安全稳健运行的可靠保证，更关系到保障存款人利益，保障市场体系正常有序地运行和国民经济持续协调发展。巴林银行的倒闭，大和银行的被兼并，再一次用触目惊心的事实揭示了商业银行经营活动中的巨大风险。近几年，国有商业银行上市的步伐日益加快，工、建、中、农四大国有银行在加强内部管理、完善内部控制制度等方面做了大量的工作。如何建立规范、系统、可靠的商业银行内部控制系统，有效地防范商业银行巨大的经营风险，已经成为银行家和金融理论家的一个重大课题。

　　一、美国的内部控制理论

　　1996年美国注册会计师协会发布《审计准则公告第78号》，全面接受COSO（Committee of Sponsoring Organizations）报告的内容，并从1997年1月起取代1988年发布的《审计准则第55号》。新准则将内部控制定义为：“由一个企业的董事会、管理层和其他人员实现的过程，旨在为下列目标提供合理保证：（1）财务报告的可靠性；（2）经营的效果和效率；（3）符合适用的法律和法规。”该准则将内部控制划分为五种成分，它们分别是:

　　控制环境(Control Environment)。任何企业的核心是企业中的人及其活动。人的活动在环境中进行，人的品性包括操守、价值观和能力等，它们既是构成环境的重要要素之一，又与环境相互影响、相互作用。环境要素是推动企业发展的引擎，也是其他一切要素的核心。

　　风险评估(Risk Assessment)。企业必须制定目标，该目标必须和销售、生产、行销、财务等作业相结合。为此，企业也必须设立可辨认、分析和管理相关风险的机制，以了解自身所面临的风险，并适时加以处理。

　　控制活动(Control Activities)。企业必须指定控制的政策及程序，并予以执行，以帮助管理层保证“为保证其控制目标的实现，其用以辨认并用以处理风险所必须采取的行动也已有效落实”。

　　信息与沟通(Information and Communication)。围绕在控制活动周围的是信息与沟通系统。这些系统使企业内部的员工能取得他们在执行、管理和控制企业经营过程中所需的信息，并交换这些信息。

　　监控（Monitoring）。整个内部控制的过程必须施以恰当的监督，通过监督活动在必要时对其加以修正。COSO委员会同时提出，企业所设定的目标是一个企业努力的方向，而内部控制组成要素则是为实现或达成该目标所必需的条件，两者之间存在直接的关系。每一个组成要素适用于所有的目标类别，每一个组成要素也与每一个目标都有关。对于任何企业或企业中的任何部门，内部控制都极为重要。

　　上述五种成分实际上内容广泛，相互关联。控制环境是其他控制成分的基础，如果漏洞百出，企业内部控制就不可能有效；在规划控制活动时，必须对企业可能面临的风险有细致的分析；风险评估和控制活动必须借助信息与沟通；最后，内部控制的设计和执行必须受到有效地监控。

      另外，同以往内部控制理论及研究成果相比，COSO报告还提出了许多新的、有价值的观点，体现在以下方面：

　　其一，强调内部控制是一个“动态过程”。内部控制是对企业的整个经营管理活动进行监督与控制的过程，企业的经营活动是永不停止的，企业内部控制过程也因此不会停止。内部控制是一个发现问题、解决问题、发现新问题、解决新问题的循环往复的过程。

　　其二，强调“人”的重要性。COSO报告特别强调，内部控制受企业的董事会、管理阶层及其他员工影响，透过企业之内的人所做的行为及所说的话而完成。只有人才可能制定企业的目标，并设置控制的机制。反过来，内部控制影响着人的行动。

　　其三，强调“软控制”的作用。相对于以前的内部控制研究成果而言，COSO报告更加强调“软控制”的作用。软控制主要是指那些属于精神面的事物，如高级管理阶层的管理风格、管理哲学、企业文化、内部控制意识等。

　　其四，强调风险意识。现代社会是一个充满激烈竞争的社会，每一个企业都面临着成功的挑战和失败的风险，对风险的管理是现代企业的主旋律之一。风险影响着每个企业生存和发展的能力，也影响其在产业中的竞争力及在市场上的声誉和形象。

　　其五，揉合了管理与控制的界限。在COSO报告中，控制已不再是管理的一部分，管理和控制的职能与界限已经模糊。

　　其六，明确指出内部控制只能做到“合理”保证。COSO报告认为：不论设计及执行有多么完善，内部控制都只能为管理阶层及董事会提供达成企业目标的合理保证。而目标达成的可能性，受内部控制的先天条件所限制。

　　二、我国商业银行内部控制存在的问题

　　目前，我国国有商业银行已经步入了一个内部控制的建设期。但是我们也必须清醒地看到，由于受各种因素的影响，我国商业银行在内部控制方面还不同程度地存在着一些问题和不足。造成这些问题的原因，既有外部的，也有内部的。从外部看，我国市场经济体制还不够完善，金融体制的改革相对滞后，银行业缺乏科学有效的调控手段，使得我国银行业较之其他行业在建立现代企业制度方面步伐相对较慢，无法适应市场经济发展的需要。从内部看，则主要有以下原因:
 
　　 (一)法人治理结构不完善，内控组织虚位

　　我国国有商业银行目前实行的仍然是国家独资的财产组织方式。采用统一法人下的法人授权管理方式，即总行作为一级法人对各级分支机构赋予一定的经营权，实行分级经营、分级管理，经营效益以及分配水平差异很大，一级法人的统一管理、统一调度、统一核算的难度也很大。由于产权结构单一，没有明确界定所有者与经营者之间在所有权、占有权、支配权和使用权四项权利上的界限，相互之间责权利关系模糊，缺乏国有资产保值、增值的激励机制。同时，由于产权的多层次代理，加剧了这种利益边界和责权的不明晰性，加剧了统一法人体制与相对分散经营的利益差异与冲突。由于国有商业银行的现行经营机制尚未完善,缺乏健全的法人治理结构，没有建立起有效的董事会、监事会制度,使掌握一定决策权的管理人员却不能被自己制定的制度所制约，内控制度缺乏一定的刚性，这不可避免地产生决策失误、滥用职权、权力失去制约等现象及问题。

　　(二)现行的内部控制制度不健全

　　内控制度本身的不完善及体系间的相互脱节是商业银行内部控制制度的另一个显而易见的问题，其表现在于:一是内控制度牵制乏力。一些银行内部控制制度在部门与部门之间不仅是相互割裂的，有的甚至相互抵触，忽视和淡化了内控制度建设的整体性和全局性，相关部门之间、上下级之间没有建立起职责分离、横向纵向相互监督制约的机制，决策者和管理者、管理者和执行者、管理部门之间缺乏有机沟通，各专业部门各自为战，没有形成有机协调的内控制度建设机制。二是会计制度中缺乏对银行资金流量必要的控制手段，会计指标体系，账务处理及临柜操作管理制度不健全。三是内控制度没有跟上银行新兴业务的发展需要。近几年商业银行创新步伐加快，新的业务品种层出不穷，网络技术广泛运用。一系列的变革和发展使原有的商业银行业务层次和广度进一步地加深和扩大，而相应的内控制度建设却没有跟上，往往是出了问题才去查找原因想法补救。内控机制成了救火队，而其预防预警作用却没有得到应有发挥，内控制度建设的滞后严重阻碍了内部控制系统整体效果的发挥。

　　(三)风险控制系统不健全

　　风险控制是我国金融机构内部控制中的一个难点问题，也是一个薄弱环节。目前各金融机构以整个风险控制为目标的资产负债比例管理尚处于软约束阶段，以局部风险控制为内涵的授权分责管理还不严格，管理制度和评估方法也极不完善。资金交易、贷款发放、债券买卖没有实行风险度管理，决策部门、交易部门不能据此做出正确的决策和实行预警管理，业务经营一开始就隐藏着难以预测的风险。此外，计算机在金融界的广泛运用，与技术管理相对薄弱和稽核监督的长期空白已形成了尖锐的矛盾。

   (四)内部稽核监督职能作用未能充分发挥

　　一是内部监督部门的独立性和权威性不够。二是内部监督力量配备不足，监管人员素质适应不了日益扩大和更新的内部监管工作的需要。三是内部稽核频率偏低，覆盖面不够，内部稽核部门常常无法把握全行的运作和经营状况，也难以提出有针对性和建设性的意见。四是缺乏危机预警和紧急处理系统，反应迟缓，处理问题时政策多变，主观随意性强，缺乏制度规范和标准程序。

　　三、完善我国商业银行内部控制的对策和建议

　　（一）建立完善的法人治理结构的银行组织构架

　　首先，通过产权改革，股份制改造，建立和完善股东代表大会、董事会、监事会，使各项权利得以合理配置；通过建立制衡与问责机制，改变我国国有商业银行治理结构中仍存在的所有权单一及虚置、组织结构行政性、激励机制不健全、内部人控制所引发的道德风险等一系列问题，达到分权制衡和对经营者多层控制约束的目的。其次，强化一级法人制度，突出一级法人在内部控制体系中的主导作用，明确各分支机构、各部门在银行的组织结构和内部控制体系中所承担的角色。三是完善授权授信制度，根据经营行的经营管理水平、风险控制能力、制度执行以及资产等状况，按类型、档次、额度等指标实行差别化授权制并进行连续、有效的监督。四是在严密科学的岗位分工、明确的工作职责和业务操作规程的基础上，健全决策风险约束机制和责任人制度，从制度、程序上对决策行为进行约束，对高级管理人员的任免，奖惩直接与经营风险挂钩。五是改革现有银行组织机构，按照区域原则或规模效益原则进行重组，适当收缩分支机构，减少管理层次，实现机构扁平化和业务垂直化。

　　（二）全面防范风险，推进内部控制体系标准化

　　首先，要从主要控制和管理信贷业务风险向全面控制和管理各类业务风险转变，从制度防范风险向程序防范风险、技术防范风险等方面转变，真正从组织机构和人员上保障风险评估活动的连续性和完整性。其次，要努力推进内部控制体系的标准化。对现有的内部控制制度、程序、方法进行整合、梳理、优化，同时积极引进国外商业银行构建内部控制体系的先进理念、方法和机制，对内部控制人员、职能和流程加以规范和统一，便于执行和操作，以将控制机制渗透到每项业务活动中，从而形成一个动态的，能够持续改进的风险控制体系平台。第三，尽快构建风险评估和预警模型，为风险管理提供科学的支撑，并提高风险管理工作的精细化程度。第四，加强对计算机系统风险的控制，形成一套有效的内部电子监督和牵制系统，保障计算机存储备份数据的精确性、完整性和安全性。

　　（三）建立管理信息系统和信息交流制度

　　充分的信息和有效的交流，对内部控制体系的运作是不可缺少的。因此，我国商业银行必须建立一个涵盖其全部活动的管理信息系统，并定期对其进行测试，确保其安全可靠。建立有效的交流渠道，保证在纵向上、横向上信息交流渠道畅通无阻，确保有关人员掌握必要的信息；建立信息交流制度，共享信息，为内部控制体系各要素的运转提供有效的信息支持，以便及时发现内控过程中的问题并采取有效的补救措施,保证内控目标的实现。

　　（四）加大会计系统介入管理力度

　　会计是一种重要的现代管理手段，它是以利润为目标，用利润倒逼收入、成本和费用,把管理的职能扩展到多方面，通过量化商业银行经营指标，把原有的行政指标管理改革为科学的责任指标管理，从而实现科学严密的制度规范取代简单的行政领导和个人经验管理，对资产、负债、成本、费用全面实施事先预测、事中控制、事后管理，使责任数量化，控制具体化。

　　（五）加强银行、证券、保险三大监管机构的协调，建立危机预警和处理系统

　　鉴于金融机构产权制度和治理结构尚未完善，我国目前监管水平和监管部门自我管理能力普遍不高的现实情况，短期内还不宜允许金融机构开展真正的混业经营。根据全国人大代表近日表决通过的国务院机构改革方案，从中国人民银行分拆重组而成的“中国银行业监督管理委员会”，将正式成为下届政府的直属机构。这样，银监会与证监会、保监会一起构成了中国金融业的分业监管架构。协调三大机构之间的关系更为重要。这要求银行监管架构的安排既要与金融业的总体发展和监管安排相适应，又要与市场约束、银行内部管理相协调，此外还要考虑由于国家特有的制度安排、信用发展状况、文化因素等所产生的监管成本。事实上是一个权衡成本和效益安排的结果。我国应该在权衡各种影响的得失和监管配套手段的发达程度之后，形成本国的监管架构和模式并根据形势变化不断调整。

　　（六）建立独立、权威的内部稽查制度

　　商业银行内部控制运行的状况如何、运行质量怎样，需要进行稽核和不断修正，内部稽查是内部控制的最后一道防线，是控制的关键。为了提高内部监管效率，首先，应建立独立的、具有监督权威的内部稽核部门。在商业银行一级法人和行长负责制下，稽核的人事权上收总行，实行行长领导下的总稽核负责制。其次，建立合理有序的内部稽核检查制度。一是上级行稽核部门对下级行稽核部门的业务检查，其目的侧重于工作辅导、评比督促和整体推进。二是上级稽核部门对下级行业务部门的定期与不定期的常规或专项检查，侧重于检查业务的合规性、风险性和慎审度。三是派驻分支行稽核人员对业务部门的日常检查。再次，设置科学的量化监控指标体系，形象反映监控对象的主要内容，作为警戒线对监控对象的状况做出快捷的判断，并采取必要的措施。通过内部稽查，确保商业银行内部控制体系运转有效，推进商业银行内部控制制度的建设与完善。