当前商业银行内控的五大误区

蔡宁伟

商业银行内控的实质是内部的风险与合规管理，主要包括操作风险管理、合规风险管理和声誉风险管理等内容。由于商业银行对声誉与信用管理的长期性与特殊性，内控与风险如影随形，与银行相伴而生。在经济上行周期，内控起到保驾护航的作用；在经济下行周期，内控有着兴利除弊的功能。在“新常态下”，内控对于商业银行的稳健发展，特别是平衡长期利益与当前风险起着越来越重要的作用，扶助系统性重要银行实现“大而不倒”的长远愿景。但是，笔者注意到当前对内控的职能与作用还存在一些“逆行”的声音，比如，内控影响业务发展、内控制约产品创新、内控不能创造效益、内控只是内控部的事情、内控要运动式开展等片面理解，把内控的认识与价值重新推向风口浪尖，甚至成为个别业务发展不利的“替罪羊”。小文尝试为内控正名，并逐一阐述对上述误区的理解与重建。

误区一：内控影响业务发展

首当其冲的一种误区是内控影响了业务发展，有的甚至认为内控就是反对业务开展。如果我们理解了内控的定义这一误区很容易迎刃而解。从更广义的企业层面看，COSO指出控制活动指为确保管理层指示得以执行，削弱风险的政策即做什么和程序即如何做，它们有助于保证采取必要措施来管理风险以实现企业目标。其中，控制活动贯穿于企业的所有层次和部门，它们包括一系列不同的活动，如批准、授权、查证、核对、复核经营业绩、资产保护以及职责分工等。这些内控的要求已经作为纽约证券交易所上市公司的基本要求，纽交所的上市公司必须引进COSO内部控制框架，整合现有内部控制，满足要求。国外如此，国内也如此，就商业银行的专属监管领域而言，《中华人民共和国商业银行法》明确规定：商业银行应当按照有关规定，制定本行的业务规则，建立、健全本行的风险管理和内部控制制度。可见，内控已经成为商业银行成立和发展的必备条件之一——内部控制不仅是业务开展的基础，更是业务准入的底线。

误区二：内控制约产品创新

接下来的一种误区是内控制约了产品的创新，认为内控恰恰是新产品、新业务甚至新业态的阻碍。事实上，无论是内控的本质、特征和作用，从来都没有否定任何新产品、新业务和新服务的内涵。新业务的开展，恰恰需要内部控制和内部管理的辅助，正因为没有规则，才需要制定规则——“没有规矩，无以成方圆”。只有在一定规则的约束和要求下，才能保障业务的稳健和可持续发展。由于内控对新产品的重要性，对控制的主体即内部管控人员同时提出了更高的要求。商业银行的内控人员一般需要具备丰富的专业从业经验、持久的专业精神、敏锐的观察力、情境化的决断力，能够观察到工作中的错误，及时地加以修正和改进，当有偏差时应该当机立断决定该怎么做。内控人员需要发挥其“导师”、“顾问”和“助手”的作用，指导员工特别是新员工完成创新、参与某些新产品的设计和研发、辅助员工合规进行操作。在商业银行中，无数案例已经验证了这样的事实：没有内部控制的业务无形中放开了风险的敞口，失去内部控制的产品无形中扩宽了犯错的可能。

误区三：内控不能创造效益

还有一种误区近年来呈现喧嚣尘上的趋势，认为内控不能或者难以创造价值。这一误区的基调或者源头之一，来源于21世纪中资商业银行的前中后台分离，内控部门一般处于中台甚至后台的位置，起着防控风险的主要职能，不能直接面对客户。这一误区的谬误关键在于只看到表象，而没有发掘内控的实质。其一，从目的上看，前中后台分离的起因恰恰在于商业银行对风险管控的要求，这是为了提升内部风控水平、优化内部流程而进行的一次变革，西方商业银行已经率先完成并取得了较好的实效。其二，从价值上看，风险就是潜在损失，就是价值的负增长，特别是一些风险事件和内部案件引发的法律风险、声誉风险给商业银行带来了很大的损失，有的甚至引发信用风险和挤兑危机。其三，从过程上看，操作风险等风险类型因其难以预测性、多样性和随机性（蔡宁伟，2015），使得商业银行被誉为在“刀剑上跳舞”，这导致内控部门的职责很重。因此，唯有依法合规经营，才能确保银行业务的健康有序，才能实现银行的稳健发展。综上，内控创造价值的界定难以撼动、无可厚非。

误区四：内控是内控部的事

另外的一种误区是有关内控的职能和范围。一般而言，商业银行的内控部门是全行内控管理的牵头部门，而内控管理的各项工作是分散在各部门、各环节中。内控部门有组织和监督各部门和分支行开展员工行为管理的职责，这一点责无旁贷；人力资源管理部门作为人事主管部门，主要把好进人关、用人关、育人关、识人关和劳动纪律关；而内部组织架构中包括全部业务条线的每个团队负责人，是这个团队员工行为管理的首要责任人，承担主体责任。因此，银行内控管理的实质是全部门参与、全员参与，绝非仅仅一个部门的事情。所以，要坚决杜绝分行部门负责人和支行负责人不抓业务流程之外的员工行为管理的错误认识，而是要做到“谁的孩子谁抱，谁的员工谁负责”，员工行为管理既要管业务流程中的尽职行为，也要管业务流程之外的行为，这才是真正落实监管机构“看好自己的门，管好自己的人”的要求。这一点，中国的监管机构看得非常透彻，无论是相关文件还是领导的讲话都多次提到存在的问题和内控的要求，甚至在近年来的系列文件中反复强调。

误区五：内控要运动式开展

最后的一种误区是有关内控的开展方式，认为内控是一项活动，具有短期性、阶段性、粗放性、局部性的运动特征。事实上，商业银行的内控是一项日常的、长期的、细致的、系统的工作。《商业银行公司治理指引》明确提出其董事会应当持续关注商业银行内部控制状况，建立良好的内部控制文化，监督高级管理层制定相关政策、程序和措施，对风险进行全过程管理。应当建立健全内部控制责任制，确保董事会、监事会和高级管理层充分认识自身对内部控制所承担的责任；董事会、高级管理层对内部控制的有效性分级负责，并对内部控制失效造成的重大损失承担责任。监事会负责监督董事会、高级管理层完善内部控制体系和制度，履行内部控制监督职责。应当有效建立各部门之间的横向信息传递机制，以及董事会、监事会、高级管理层和各职能部门之间的纵向信息传递机制，确保董事会、监事会、高级管理层及时了解银行经营和风险状况，同时确保内部控制政策及信息向相关部门和员工的有效传递与实施。还应设立相对独立的内部控制监督与评价部门，该部门应当对内部控制制度建设和执行情况进行有效监督与评价，并可以直接向董事会、监事会和高级管理层报告。

综上所述，商业银行的内控管理并非与发展相违背，绝非与创新相抵触。对于商业银行特别是“百年老店”式的商业银行而言，内控有利支持了业务的发展、有效扶助了产品的创新、间接创造了客观的效益、需要全部门和全流程持续地开展。商业银行的生存与发展、衰败或倒闭绝非一家企业那么简单，作为央行的政策执行者和广大客户的信用保障者，商业银行还代表了国家或地方政府的信誉与信用。因此，商业银行绝不能按照普通的企业来管理，必须提出高于一般企业的内部控制要求。但在经济周期的宏观环境下，商业银行的经营与管理必将面对“跨周期”和“逆周期”的难题，其风险管理与盈利能力必须不断保持动态的平衡，才能在“刀尖上起舞”的过程中赢得长久的声望而不为各种源源不断的利益诱惑所诱惑与损伤。不仅如此，商业银行还要直面业态的快速变革与替代者的激烈竞争，在宏观调控与微观管理中寻找符合自身实际的生存之道，内控恰是这一过程中的法宝。“良药苦口利于病，忠言逆耳利于行”——只有“十年树木”，才能“百年树人”。