巴塞尔银行监管体系内控制度要求简析

(一) 《有效银行监管核心原则》对内部控制的要求

在《有效银行监管核心原则》的核心部分—— “持续性银行监管安排”中，巴塞尔银行监管委员会在原则17与原则18中提出了商业银行内部控制的指导原则。

原则17: 内部控制和审计: 银行监管当局必须满意地看到，银行具备与其业务规模和复杂程度相匹配的内部控制。各项内部控制应包括对授权和职责的明确规定、银行作出承诺、付款和资产与负债账务处理方面的职能分离、上述程序的交叉核对、资产保护、完善独立的内部审计、检查上述控制职能和相关法律、法规合规情况的职能。

原则18: 防止利用金融服务从事犯罪活动: 银行监管当局必须满意地看到，银行具备完善的政策和程序，其中包括严格的“了解你的客户”的规定，以促进金融部门形成较高的职业道德与专业水准，防止有意、无意地利用银行从事犯罪活动。

在该两原则下，巴塞尔银行监管委员会又对以下事项进行了补充说明: 其一是内部控制的目的。其认为内控目的是确保银行的业务能根据银行董事会所确定的政策谨慎地进行经营，这具体包括以下几个方面的内容: 只有经过适当的审批方才可进行交易; 资产得到保护，且负债受到控制; 会计及其记录所提供的信息全面且准确; 管理层能发现，并能控制业务的风险。其二是内部控制的内容。这包括以下几个方面: 组织结构 (职责的界定、贷款审批的权限分离和决策程序)、会计规则、双人原则及对资产和投资的实物控制等。对于这些措施的有效性，巴塞尔银行监管委员会认为，其必须由内部审计机构来提供辅助，因为内部审计职能在机构内部独立地评价控制系统的完善程度、有效性与效率。为了确保内部审计的独立性，其必须在银行中有适当的地位，并规定有报告程序。其三是商业银行应遵守各种银行和非银行的法律与法规，必须制定出确保遵守上述法律和法规的政策与程序。其四是银行应避免与贩毒及其他犯罪活动发生联系。为了确保公众对银行的信心免遭损害，银行应加强自身职业道德与从业标准的教育，注重“了解你的客户”，并采取适当的反洗钱措施。

自巴塞尔银行监管委员会成立以来，其发布了大量的建议性文件，虽然其所涉内容众多，但是总结性地看，以银行业风险全面监管核心的巴塞尔体系，自始至终都贯穿着一条风险管理的主线，那就是银行业内部控制的思想。事实上，《有效银行监管核心原则》就高度凝聚了巴塞尔银行监管委员会和许多发达国家在银行监管领域的优秀成果，集中体现了巴塞尔诸文件的原则精神，形成了一个全文位、多角度的风险监管原则框架。实际上，该文件关于内部控制的建议也是其以前所倡导的内部控制观点的继承与扩展。如早在1980年颁布的《银行外汇头寸监管》文件中，该委员会就指出:银行外汇运作的安全主要由其管理者负责。管理者尤其应当负责规定银行在外汇业务中所能承担的风险限额，并负责确保银行在此类业务中设有适当的控制程序。随后，在1986年的《银行表外风险监管》文件中，其又指出: 无论银行从事何种业务，它都面临着因未能实施适当的内部控制制度而造成损失的风险。适当的内部控制制度包括双人控制、职责分离、风险限制等原则，及审计、风险控制与信息管理系统。系列性的“巴塞尔资本文件”更是将内部控制思想具体量化到了资本充足率要求问题上，提出了一级资本、二级资本、表内资产风险权数、表外资产风险换算系数、总资本与风险资产比例及分级资本与风险资产的比例等概念。

(二) 《银行内控制度基本原则》与内部控制制度

1998年在一系列的因银行内部控制失灵而导致银行经营失败或步入困境的银行事件的发酵下，巴塞尔银行监管委员会出台了《银行内控制度基本原则》文件，该文件系统地提出了银行内部控制体系的指导原则，这是商业银行内部控制研究历史性的突破。该文件认为有效的内部控制制度是银行管理的关键组成部分，也是银行机构安全稳健运行的基础，因为强有力的内部控制制度有利于银行机构实现其目标，帮助银行长期利润的实现，并保证财务报表及管理报告的可靠性，同时亦有助于确保银行遵守相关法律、管理条例、政策、计划以及内部管理制度与程序等。该框架文件认为，尽管各监管当局最终采用何种具体方法取决于一系列因素，如其现场与非现场检查手段及外部审计在监管过程中的介入程度等，但是巴塞尔银行监管委员会的成员国一致同意，在评估银行的内部控制制度时应运用本框架文件的各项原则。对此，介绍如下。

1. 银行内控文化的建设

在银行内控文化的建设方面，巴塞尔银行监管委员会提出了分别针对董事会、高级管理人员与公司内控文化的三个原则。[2]

原则1: 董事会具有下列义务: 批准、定期检查银行的经营策略与重要步骤; 了解银行经营中的风险，明确可以接受的风险程度，确保公司的高级人员采取了必要的措施，以对这些风险进行识别、衡量、监测与控制; 审核公司的组织机构; 确保公司的高级管理人员能对内控制度的有效性进行监测; 董事会最终有义务建立与维持完善、有效的内控制度。

原则2: 高级管理层的内控义务: 实施董事会已批准通过的经营策略和方针; 制定和完善有关的制度和程序，以识别、衡量和监测银行业务中的风险; 建立和完善内部组织结构，明确相互的权力和责任; 确保赋予下级的任务能够得到有效的执行; 制定适当的内控政策; 对内控制度的有效性和是否完善进行监测。

原则3: 董事会和高级管理层有义务促进银行内部职业道德水平的提高，在银行内部建立一种控制文化，向内部各级职员强调和宣传内部控制的重要性。银行的所有职员都应该了解各自在内控制度中的作用，全面融入内控制度的建设。

金融企业内控文化的培养与构建是内控制度得以有效发挥其预定价值的有力保障。在这种内控制度的设计与意识的培育中，监管者应发挥公司内部治理机构的作用，即董事会、监事会与经理部门之间的职责的配置与相互的牵制作用，因此在银行公司的治理结构中，各职能部门应职责分明，比如公司的董事会应在宏观上把握，并制定内控制度基本方案，这包括内控制度的要求、所要达到的目标及内容、组织机构等。然后，由经理部门具体执行有关内控制度的决议与政策，如定期对从事内控工作的人员进行培训，制定内控工作人员薪金的标准等。公司的监事会可以履行对内控制度的监督工作，如其可以对董事会内控制度的规划提出改进意见，对违反风险管理程序的行为要求董事会或经理部门进行矫正等。总而言之，银行内部的各职能部门应相互配合，以便在公司内容形成一种重视内控制度的文化氛围。

2. 风险的识别与评价

金融机构自身对金融风险进行识别与评价是节约监管成本、防患风险于未然的有效手段。对于这一点，《有效银行监管核心原则》中的原则7“风险管理程序”就规定: 银行监管当局必须满意地看到，银行和银行集团建立了与其规模及复杂程度相匹配的综合的风险管理程序 (包括董事和高级管理层的监督)，以识别、评价、监测、控制或缓解各项重大的风险，并根据自身风险的大小评估总体的资本充足率。

《银行内控制度基本原则》中的原则4作了如下的表述: 为了建立一个有效的内部控制制度，必须有效识别和持续评估有关风险，特别是对银行经营目标有负面影响的重要风险。同时，也必须对银行所面临的其他风险进行评价，这主要包括信用风险、国家和支付转移风险、市场风险、利率风险、流动性风险、经营风险、法律风险和声誉风险等。内控制度还是一个因时而发展的过程，必须随时对其进行修改和完善。这意味着在银行的管理层对其风险进行识别与评估时，其不仅要在个案的基础上度量每一具体业务的风险，而且还要从全面的角度衡量整个企业所涉及的与金融业务直接或间接相关的风险; 其不仅要对可以量化的风险进行识别与评估，而且也要对不能量化的风险进行同样的处理; 在此过程中，其不仅要识别哪些风险是可以量化与可以控制的，且还要对不可控制的风险进行识别，并提出相应的法律上或事实上的处理方案。除此之外，商业银行内部管理层的风险识别与评价程序还应能对金融创新的发展所带来的新风险作出反应。(www.xing528.com)

3. 内部控制措施的构建

内部控制措施是内控制度建设中的核心环节。《有效银行核心原则》中的原则17～18不仅阐明了内部控制的主要目的、主要内容，而且也提出了相关的措施与要求，如内部审计、守法合规、银行应避免与贩毒及其他犯罪活动相联系及反欺诈控制等。1998年的《银行内控制度基本原则》中的原则5～6对对内控制度中的措施与职责分离机制提出了相关建议。该两原则的内容如下:

原则5: 内控措施应该成为银行日常业务中不可分离的一部分。有效的内控制度应该首先建立一套适当的内控结构，在银行业务的每一层次都应有明确的内控措施。这些内控措施包括: 高层审核、不同部门采取的内控措施; 对是否遵守风险头寸进行检查，并在出现违规情况时进行监督与处理; 建立审批、授权及核实制度。

原则6: 有效的内控制度要求确立适当的责任分离制度，银行职员不能承担有利益冲突的工作，银行有义务识别潜在的利益冲突，并配备相应的监督措施。

4. 信息交流机制

充分、及时、准确与可靠性的信息是内控制度得以有效施展的重要保证。然而，这也是银行现实监管中的一个难点。实际上，金融企业的内控制度的设计者在建立信息的交流机制时必须意识到以下几点: 一是有效的内控制度必须以有效的信息数据系统为依托;二是有效的内控制度要求在金融企业内部必须建立有可靠的信息系统; 三是有效的内控制度必须以有效的信息交流渠道为基础。

在内控制度构建的实践中，电子技术已得到了广泛利用。如德意志银行，为有效控制信贷管理中的失误，尤其是人为因素所造成的差错，将电子化控制作为银行信贷风险管理制度的有机组成部分，从而形成了从风险识别、风险控制到风险审计、风险挽救的事前、事中、事后的立体性的电子化控制系统。如在风险挽救系统中，通过电脑程序对银行风险挽救专家组提出的方案进行模型分析，从而确定出最佳的挽救方案。[3]美国的花旗银行亦斥巨资构建了全面的风险电子化管理系统，并严格实行“四只眼”的原则，如电子管理系统的设计人员、操作人员及相关的管理人员的职责分离。

5. 对内控制度的反制

从本质上说，内控制度具有浓厚的自律成分，是被监管者的自我管理与自我约束，其有效性在很大程度上依赖于被监管实体的自我约束与管理的意识。在常理上，银行公司是企业形式的一种，具有自己的利益追求，而这种具有自我约束性的内控机制又在一定程度上又制约了银行业的自由度，因此在自我发展与利益追求的驱使下，内控制度的执行者并非总是以一种积极的姿态来对待日常性的内部监控。事实上，当整个金融业行情欠佳时，由于自身安全的考虑，此时公司的高层一般会慎重处理与内控相关的问题。然而，在行情看涨时，则会产生逆周期性风险，银行的管理者会不由自主地滋生多一事不如少一事的心态。为了确保银行的内部控制制度能达到预期的效果，就必须对这种机制进行适度的监督与管理，这包括两个方面:

其一是银行内部的监督与管理。上述的《银行内控制度基本原则》中的原则10～12便对此种内在的约束机制有相应的要求。原则10规定: 银行的管理层应该对内控制度是否有效进行持续的监测。对主要风险进行监测应该成为银行日常业务活动的组成部分。同时，还应由业务部门和内部稽核部门对其进行定期评价; 原则11规定: 内控制度还应该包括完善有效的内部稽核制度。内部稽核是内控制度监测工作的一部分，稽核人员应该直接向董事会或其稽核委员会报告; 原则12规定: 无论是业务部门、内部稽核部门或者其他职员发现了内控制度中的缺陷，都应该及时地向管理层报告。此外，内控制度中的重大缺陷应该直接向高级管理层和董事会报告。

其二是监管机关的外在约束与限制。在许多国家，内控制度已成为法律的直接要求，如1993年加拿大存款保险公司发布了《内部控制: 合理的商业与金融实践标准》，1997年英格兰银行出台了《银行内部控制与39条程序》，所以监管者有权，并有义务对内控制度的有效性进行监管。这种监管可以采取多种形式进行，如聘用外部审计机构对银行公司的主要业务领域进行定期审计，监管者也可以进行现场稽核。《银行内控制度基本原则》中的原则13便确立了监管者对内控制度的监管权，该原则规定，银行的监管机构应该规定，所有银行，不论其规模大小，都应该建立有效的内控制度，该内控机制应与其业务性质、复杂性及表内和表外业务潜在的风险相适应，并且能够随着银行外部环境和条件的变化而不断完善。若监管机构认为银行的内控制度不完善，或缺乏有效性，则其应该采取相应的整改措施。

评析: 可以说《银行内控制度基本原则》文件是巴塞尔银行监管委员会多年来关于银行公司内部治理经验与原则的精华浓缩。该文件从内控制度的文化、风险的识别与评价、内部控制措施的构建、信息流通机制、对内控制度的监管五个方面为商业银行的内部治理提供了系统而全面的框架。笔者认为，以下几点是我国在构建具有中国本土银行公司治理规则时所应深思的:

其一是商业银行内控文化氛围的营造问题。该文件以较多的语言描述了商业银行内部控制文化建设问题，这种规则设计意识蕴藏了这样一种金融监管理念，即法律规则是治理结构的硬件，是显性的，带有强制性的要素，它可以使人身服; 而企业文化则是治理结构的软件，是隐性的，是主要靠银行员工的价值信念来维系的，可以使人心服。[4]故而，只有充分发挥银行公司内部治理文化的作用，治理结构才会建立于坚实的基础之上。

其二是商业银行内部治理法治化与优先化是金融监管规则供给机制所应确立的新思维。健全的商业银行内部控制制度是将金融风险扼杀于萌芽状态的一种事先性的金融监管理念。辩证唯物主义认为，内因是事物变化的依据，外因是质变的条件，因此“内控优先”应为商业银行经营中的一个基本原则。《银行内控制度基本原则》等就是在对银行危机痛定思痛之后进行反思的产物。

其三是对商业银行内部治理的客观认知。内控优先是一种前瞻性的监管哲学，但是这种相对隐性的自我约束机制的可行性与有效性还必须以外在监管制度所可能的暴力威胁为支撑。这种外在的监管机制包括以下几项内容: 银行业监管者的监督与管理，这是银行业外部监管制度的核心，它包括对商业银行市场准入、运营、市场退出监管的全过程; 商业银行监管的国际合作与协调; 行业自律性的管理与控制; 社会监督与控制，如会计、审计、资信评估制度等。虽然从理论上看，自我管理是最好的监管方法，但是“监守自盗”的可能性决定了内部治理机制只有在严格的法律框架下才有意义，只有时刻处于监管者目光的注视下才可能会发挥制度的比较优势。