《商业银行内部控制评价指南》浅读（原创）（商业银行内部控制评价指引）

在“金融标准 为民利企”的宣传推广浪潮中，一册厚厚的早于2015年10月21日发布的《商业银行内部控制评价指南》进入业内人士视野。说实在的，之前只是知道有这个东西，也粗粗翻阅过，但关注度不够，在实际工作中的大打折扣甚至视之若无就更不必说了。借目前这个宣传热度，大有细细读之、深深落之的必要性。

一 概述

1.制定及发布。按照《中华人民共和国标准化法》（2017），标准化分为五个层次：国家标准、行业标准、地方标准、团体标准、企业标准。金融标准化的具体承办机构是金标委（全国金融标准化技术委员会），隶属中国人民银行，接受中国国家标准管理委员会指导。金标委下设金融服务标准化技术委员会、个人理财标准化技术委员会、可持续金融技术委员会。《商业银行内部控制评价指南》属于行业标准。该标准是由工行提出并具体制定，起草单位是工行，充分说明了工行在内控工作领域的行业领导地位。

2.适用范围。本指南适用于指导中国商业银行开展的内部控制自我评价工作（非国际标准）。需注意点：（1）旨在优化商业银行内部控制，提升风险管理水平和完善公司治理（内控、风管、治理三者密切相关）。（2）各银行可在此基础上调整、补充、细化（是指导性的而非刚性，各银行要考虑本行业务实际和管理要求）。（3）非强制性要求（即可以不执行）。

3.制定依据。分四个层次：（1）遵循《企业内部控制基本规范》《企业内部控制应用指引》《企业内部控制评价指引》《企业内部控制审计指引》（一个规范、三个指引）。（2）遵循《商业银行内部控制指引》《商业银行内部控制评价试行办法》。后面这个试行办法好久未修订了，似乎不用了，但显然在本指南发布时尚未废止。（3）遵循上交所《上市公司内部控制指引》和深交所《上市公司内部控制指引》。两个证交所各有一套，不知为何，若能统一为一个，应当更好些吧。（4）根据中国商业银行的特点和内控评价的现状。这个特点、现状当然要考虑，但具体如何把握，恐怕只能是仁者见仁、智者见智了。

4.核心内容概括：1314。即：一个基础（以评价内容为基础），三个支柱（以评价标准、评价方法、评价程序为支柱），一个目标（服务于评价目标），明确四个问题（由谁评价、评价什么、如何评价、评价结果如何利用）。

5.核心概念列举。包括八个关键词：内部控制、内部控制评价、评价主体、评价目标、评价内容、评价标准（包括业务标准和认定标准）、评价程序、评价方法。

其中评价内容为本指南的主脉络，围绕“532”开展测试和评价，即：内控五要素（内部环境、风险评估、控制活动、信息与沟通、内部监督），三个层面（公司、流程、信息科技），两表梳理（风险点、控制点）。

二 框架

1.内控评价的原则。全面性原则（包括内控的设计与运行，涵盖各项业务的全过程及所有机构、部门、岗位，大致可理解为涵盖所有事、所有人）；重要性原则（重点分行、高风险领域、重要业务单元、重大业务事项，可概括为三重一高）；客观性原则；一致性原则。

2.屋型评价框架。即前述1314。内控评价目标处于统领和核心地位，是首要考虑的因素。内控评价内容处于基础地位，目标决定内容，内容决定标准、程序、方法。内控评价标准、内控评价程序、内控评价方法是内控评价的三大支柱，标准是内控评价的准绳，方法是内控评价的手段，程序是内控评价的保障。

3.内控评价的组织。涉及五个基本问题：（1）评价主体问题。一般区分为责任主体、实施主体。责任主体为董事会或类似权力机构，实施主体一般为内部审计部门或专门职能机构（需经授权）。（2）报告路线问题。内控评价机构宜向董事会及其审计委员会报告工作，并在评价过程中加强与管理层沟通（主旨在保证内控评价的独立性和权威性，一个“宜”字说明非强制特征）。（3）组织分工方面。在治理层面，包括董事会、审计委员会、监事会、高级管理层。在部门和机构层面，包括各专业部门、各分支机构、评价机构。不同层级的机构和人员，按照分工，各负其责。（4）评价周期问题。一个会计年度。（5）评价频率。每年开展一次（也可根据自身情况调整评价频率）。

4.内控评价目标。总目标是：通过对内控状况的监督评价，发现内控缺陷，促进相关问题整改，提升和完善内控，并以此促进内控目标的实现。具体目标可概括为“五个促进”：（1）促进遵循外规和内规（在合规目标基础上做了拓展）；（2）促进数据合规性及信披可靠性（沿着信披、信誉、公信力方向做了拓展）；（3）促进风管和资产安全（突出了资产安全）；（4）促进改进和优化内控程序，提高经营效率和效果（程序即流程，这里既强调控的管理，也强调了冲的管理，既管住也管活，让流程既不失控也要流畅，此点很接地气，十分重要）；（5）促进内控意识、内控体系有效运行、自身发展战略目标实现（兜底性条款）。这“五个促进”大致可理解为整个内控评价工作的总纲、主线、灵魂。

5.内控评价内容。

要围绕前述“532”，全面覆盖各机构和各业务线（各银行可根据自身组织架构、业务条线管理模式对内控评价内容进行动态调整）。

三个层面：（1）公司层面围绕内控五要素展开，涉及5个一级领域、35个二级子领域。（2）流程层面主要针对业务流程，包括银行类和非银行类8 条业务线，涉及若干一级流程、二级子流程。（3）信息科技层面分为7个一级领域、若干个二级子领域。

内控评价涵盖所有业务和流程，涉及多个层级，应自下而上逐级汇总（也可以根据管理需要，按业务条线汇总、按层面汇总、按机构汇总）。八级汇总逻辑框架：第一层，集团。第二层，银行类/非银行类。第三层，公司层面/流程层面/信息科技层面。第四层，业务线。第五层，一级领域/一级流程。第六层，二级子领域/二级子流程。第七层，产品/服务。第八层，风险点/控制点。

6.内控评价标准。

（1）业务标准（各项业务正常运行宜遵循的控制要求）。组成：监管法规 行业最佳实践 商业银行内控制度。要求细化到每个领域中的关键控制点。

（2）认定标准（衡量商业银行内部控制状况的依据和尺度）。包括：

a.（内控）缺陷认定标准。按问题产生原因，分为设计缺陷、运行缺陷。按影响内控目标的严重程度，分为重大、重要、一般三个等级（各银行应具体定义，按定性与定量相结合的方法进行具体认定）。

b.（内控）有效性认定标准。可具体定义，将内部控制有效性等级分为：有效，无效。

c.二者对应关系。一般缺陷、重要缺陷，可认定为内控有效，重大缺陷，认定为内控无效。

7.内控评价程序。内控评价是一个闭合式循环。可设定为四个阶段：计划准备阶段（收集资料、梳理流程、评估风险、建立评价标准、编制评价方案、开展非现场测试），现场实施阶段（开展穿行测试、开展控制测试、认定缺陷、综合评价），报告编写阶段（报告编写、沟通交流、报告报送），整改跟踪阶段（必要时做后续评价）。

8.内控评价方法。主要包括：风险评估，识别关键控制技术，风险控制矩阵，穿行测试法，控制测试法，其他（询问或访谈法、调查问卷法、对比分析法、实地查验法、专题讨论会法、其他检查成果的综合利用）。

9.内控评价结果利用。从报告路径看，应报审计委员会审议，进而报董事会审议，审议通过后可送监事会、可按监管要求进行信披。从利用主体看，包括股东及债权人、董事会、管理层、全体员工、外部监管者、外部审计，均可根据自身需要，利用内控评价报告的成果。

三 公司、流程、信息科技三个层面内控评价操作的简要逻辑

公司层面内控评价围绕内控五要素展开：1.内部环境。包括：组织架构；发展战略；企业文化；内部审计；人力资源；社会责任。2.风险评估。包括：风险管理体系；风险识别；风险评估；风险应对。3.控制活动。包括：政策与流程；不相容职务审批控制；授权审批控制；会计系统控制；财产保护控制；预算控制；运营分析控制；绩效考评控制；重大风险预警控制；并表管理控制；反洗钱控制；关联交易控制；业务外包控制；业务连续性控制。4.信息与沟通。包括：信息指标体系；信息系统建设；信息安全控制；信息交流机制；信息披露机制；反舞弊机制。5.内部监督。包括：内部监督组织架构；内部监督制度；内部监督工作；整改机制；内部控制评价。以上每个子领域都要找到主要风险点、控制要求。

流程层面内控评价主要列举了27个一级流程，包括：公司贷款、公司存款、票据融资、国际结算、贸易融资、投资银行、个人存款、个人贷款、信用卡、私人银行、资产托管、养老金、贵金属、理财、债券投资与交易、外汇交易、货币市场业务、衍生产品交易、债券承销发行、运行管理、电子银行、代理业务、账务会计管理、资产负债管理、产品创新管理、租赁、基金。每个一级流程下又有若干二级流程。都要找出主要风险点、控制要求。

信息科技层面内控评价的主要领域包括：信息科技治理；信息科技风险管理；信息安全；信息系统开发、测试、投产；信息科技运行管理；业务连续性管理；外包服务管理。每个领域下有若干子领域。都找出主要风险点、控制要求。

在各个层面的内控评价工作底稿中，对每个作为评价对象的环节（颗粒度细分到不可再细分），都要求列出：控制目标、主要风险点、控制要求、控制依据、测试步骤及测试方法。这样就形成一套比较系统的内控评价操作表单。