银行内控合规管理

13
网点计算机信息系统控制应包括以下主要措施： 设备与数据的安全： 1）妥善保管电子门禁、视频监控录像系统的信息资料，确保计算机硬件、各种存储介质的物理安全。
2）按工作性质划分对操作系统、数据库、网络、计算机设备、数据等的访问权限和授权管理。
3）实施用户管理和密码（口令）管理，严禁员工之间转让计算机系统的用户名或权限卡等用户信息。 4）建立硬件设备的备份制度、定期维护制度及故障处理情况登记制度，规范硬件设备维护和维修工 作，保证硬件设备的正常运转。 5）通讯设备及场所应设有明显标识，重要通讯设备和、通信线路、生产数据实行双备份，并异地存 放。 6）建立计算机信息安全应急系统，制定详细的应急方案措施，定时监控记载系统、网络运行状况， 配备系统恢复措施，避免系统遭受意外破坏时，中断运行。 7）网络通讯软件应有加密措施，对网络设备、网络用户以及通讯资料要进行身份鉴别控制。有效防 范外部系统的探测与攻击，防止泄密事件，确保交易安全。 8）未经上级行批准，不应将行内网与外网直接连接。 9）通过认证、加密、内容过滤、入侵监测等技术手段，防止计算机病毒的侵入。 10）健全信息系统相关技术文档资料的管理制度，所有程序源代码、文档资料、业务数据等重要信息 的使用，必须经有权人批准，并保持足够的监督和控制。
6
3、存款及柜台业务
【账户管理】 对账户开立、变更和撤销的情况定期进行检查，防止存款人出租、出借账户和利用 存款账户从事违法活动。 对每日营业终了当天的票据当天入账，对发现的错账和未提出的票据或退票，履行 内部审批、登记手续。 【严格划分银行和客户的行为界限】 银行工作人员在没有与客户签订合法合作协议的前提下，不得代办应由客户填写的 会计凭证； 会计凭证传递——内部进行，不得由客户代为传递； 会计人员、上门结算服务人员不得越权代客户办理业务。 【现金和重要凭证管理】——现金收付、贵金属、重空凭证和有价单证 严格执行入库、登记、领用的手续，定期盘点查库，正确、及时处理损益。 【对账制度】 银行与客户、银行与银行以及银行内部业务台账与会计账之间的适时对账制度， 明确规定：对账频率、对账对象、可参与对账d人员。
10
【电子银行业务的内部控制】 审核授权制度—— 柜员管理、参数设置、客户注册（变更）、证书管理、落地指令处理等业务。 如，网上大额业务落地办理时，要与资金头寸管理部门进行沟通。 各类柜员岗位设置—— 操作权限和授权权限相互分离，并建立明确的岗位职责。 本人办理制度—— 电子银行注册及信息变更业务必须由本人到柜台办理，严禁他人代办。 电子银行客户证书管理—— 已制作未发放的电子银行客户证书应视为重空凭证核算管理。 客户证书传递发放手续要严密，发放客户证书时必须验证领取人身份。 【基金托管与代销业务的内部控制】 1）在人事、行政和财务上独立于基金管理人——双方的管理人员不得相互兼职。 2）基金托管业务与基金代销业务相分离——业务系统、业务资料均有效分离。 3）托管基金资产与自营资产相分离， 4）不同基金资产的相互独立——对不同基金独立设账，分户管理，独立核算。 5）基金销售人员合规运作的持续培训制度与行为规范的检查和监督制度。 6）建立业务资料档案管理制度——基金份额持有人的开户和有关资料,保存不少于十五年。 7）保密制度——不得泄漏投资人买卖、持有基金份额的信息或其他信息。 【金融衍生业务的内部控制】 应在总行授权批准后方可办理。 通过总行进行询价、平盘和清算。 敞口管理与风险控制由总行统一负责， 未经总行批准，各网点不应保留交易敞口或自行对冲交易敞口。
9
【银行卡业务的内部控制】 发卡业务方面： 借记卡——按照实名制规定开立账户（包括身份识别）。 贷记卡——在全行统一授信管理原则下，建立客户信用评价标准和方法， 对申请人信用评级，确定信用额度，并严格按照授权等级进行审批。 受理银行卡业务（存取款或转帐）方面： 对银行卡资金交易设置必要的监控措施： 交易方式：现金、转账、挂失、紧急取现、应急服务、网上、ATM 监控措施：大额、可疑交易——业务禁止、限制、报告制度， 防止持卡人利用银行卡进行违法活动。 对贷记卡持卡人的透支行为建立有效的监控机制： 透支催收责任制度， 透支系统监控机制——业务处理系统应具有实时监督、超额控制、异常交易 止付等功能，并实现催收透支的计算机管理。 定期与贷记卡持卡人对账制度，严格管理透支款项，切实防范恶意透支等风险 银行卡内部管理方面： 内部交接手续制约机制—— 重要凭证、银行卡、客户密码、止付名单、技术档案等重要资料传递与存放管理。 对银行卡特约商户管理机制—— 明确操作流程和处理手续，按照规定标准收取手续费； 审核特约商户的资信、商户的交易状况跟踪，避免用卡套现； 特约商户的经营风险或操作过失的应急和防范措施。 ATM、CRS管理—— 保险柜的钥匙和密码双人分管； 打卡机应单设机房放置，由专人负责操作。
银行内控合规管理
6/24/2018
1
合规风险与操作风险的关系
区别 风险诱因
合规风险 较为单一， 仅是“违规”。 ——产生在高层
操作风险 较为复杂——基层 如内部欺诈；外部欺诈；雇员活动和工作场所 的安全问题；客户、产品和业务活动的安全问 题；银行维系经营的实物资产损坏；业务中断 和系统错误；行政、交付和过务流程的执行 效性
新规传导、持续监测、与 内控自查、主要风险指标监控、操作性风险资 部门协作动态评估等 本计算、业务持续性计划管理、外包管理、新 产品审批等
管理主要手 部门责 段
任划分
一、合规管理工作内容 1、合规风险管理责任体系——三道防线
2、合规制度体系
8
4、中间业务
【代理业务的内部控制】 应当设立专户核算代理资金，完善代理资金拨付、回收、核对等手续，防止代理资 金被挤占挪用，专款专用。(代发工资、代发补贴、受托支付等） 遵循银行不垫款的原则，审查代理资金支付，按照代理协议办理资金划转手续，不 介入委托人与其他人的交易纠纷。 严格按照会计制度正确核算和确认各项代理业务收入，坚持收支两条线，防止代理 收入被截留或挪用。 押品管理建立回避制度、流程化管理 【咨询顾问业务的内部控制】 坚持诚实信用原则，确保客户对象、业务内容的合法性和合规性，对提供给客户的 信息的真实性、准确性负责，并承担为客户保密的责任。 【保管箱业务的内部控制】 开办保管箱业务，应当在场地、设备和处理软件等方面符合国家标准，对用户身 份进行核验确认。 制定进入保管场地和开启保管箱 的业务操作规范与流程（双人出入、陪同出入） 明确要求租用人不得在保管箱内存放违禁物品，防止利用银行场地保管非法物品。
11
5、计划财务
【重大事项集体决策机制】 网点应成立大额支出审批委员会、招标采购委员会,根据权限职责对本网点大额财务支出、集中招标采 购等重大事项进行审议，避免一支笔批钱的做法。 【财务收支权责发生制核算原则进行控制】 制定合理的财务审批权限，严禁越权、擅权审批。 对应计、应提、应列、应摊、应并的财务收支必须按规定进行核算, 确保损益真实、准确、完整，以避免隐瞒、虚造损益和截留收入或利润。 营业费用支出严格控制在核定限额内，据实列支，避免费用挂账、以拨代支。 【费用存款专户和业务周转金账户管理】 未经上级行批准不应设立费用专户或业务周转金账户，避免多头开立费用专户。 【固定资产管理控制】 建立固定资产购建、领用、改造、维修、报废及实物盘点管理、残值入账等各项内控管理制度; 固定资产的处置评估应按照规定权限执行，避免资产损失。 【大宗物品、工程和服务集中采购审批制度】 集中采购金额起点、审批层级，应按授权规定进行。 【纳税管理】 设置专岗专人应及时办理税务登记，如实办理纳税申报，报送纳税资料（申报表、财务会计报表 等），并在规定的期限内及时缴纳或者解缴税款。 设立纳税监督核查岗。 【统计管理】 制定统计工作流程与分工职责—— 信息的采集、整理、披露，报表的编制、档案管理各环节职责明确，各司其责。 建立统计资料管理制度—— 统计资料的审核、调(查)阅、交接、档案和保密等，防止商业机密的泄漏和相关资料的散失。 实行数据质量的检查审计 制度—— 应对本行数据质量情况开展定期/不定期的检查/审计，以避免虚假统计。
14
四、内控评价——内控缺陷认定 （一）按照内控缺陷成因分类 设计缺陷 运行缺陷 （二）按照内控严重程度分类 一般缺陷 重要缺陷 重大缺陷
3、合规管理流程——风险的识别、评估与防范
4、合规风险内控预警
5、合规风险案件报告 6、合规风险的监控与考核 7、合规文化（理念、培训） 8、合规的外部监管
二、内控基本制度内容
【授权控制】 【不相容职责分离制度】 【人员轮换及高管交流制度】 【强制休假制度】 【亲属回避制度】 【会计系统控制】 【财产保护控制】 【绩效考评控制】 【法律事务管理控制】 【信息资料保管控制】 【重大事项报告制度】 【重大风险预警和突发事件应急处理机制】
1）资金的调出调入要有真实的业务背景，严格按授权操作，及时登记台账。 2）明确规定资金业务最大交易限额（单笔、累计）、损失限额、交易止损点。 3）经营网点不应开展任何未设权限的资金交易和未经授权的新业务。 4）办理代客资金业务时，向客户充分揭示风险，获取履约保证，明确在市场变化情况 下客户违约的处理办法和措施。 5）明确规定各个部门、岗位的资金业务风险责任： 前台资金交易员——承担越权交易、虚假交易责任， 并对未执行止损规定形成的损失负责。 中台监控人员——承担对资金交易员越权交易报告的责任， 并对风险报告失准和监控不力负责。 后台结算人员——对结算的操作风险负责。 高级管理层——对资金交易出现的重大损失承担相应的责任。
12
6、计算机信息系统等业务内控重点措施
银行计算机信息系统全面控制体系——一般控制和应用控制。 一般控制：组织与操作控制、软件开发与维护控制、硬件控制、安全控制等； 应用控制：输入控制、处理控制和输出控制等。 网点计算机信息系统控制应包括以下主要措施： 人员组织： 1）明确计算机信息系统管理人员与操作人员的岗位职责，各岗位之间相互制约、不 得相互兼任。 2）配备计算机安全管理人员，负责计算机系统的安全维护。 3）计算机涉密人员调离时，必须移交全部技术资料及有关机密资源的介质，停止其 使用、维护和管理的权限，并及时更换密码信息。 机房管理： 1）对机房提供物理环境的安全保护、出入控制以及工作人员的活动控制。 如，建立机房安全值班制度、机房出入登记审批制度， 对机房设备的使用人员设置授权制， 严禁各种危险物品进入机房，并确保机房辅助设施的安全有效。 2）机房和营业网点应有完备的计算机监控系统，确保计算机终端的正常使用。