齐鲁银行内部控制体系建设及评价

齐鲁银行内部控制体系建设及评价第四章齐鲁银行内部控制体系建设及评价分析4.1齐鲁银行内部控制现状齐鲁银行前身为济南市城市合作银行、济南市商业银行，成立于1996年，是一家“以服务地方经济，服务市民百姓，做中小企业的伙伴银行为己任”的城市商业银行。

齐鲁银行奉行“厚德敏行、相伴共赢”的经营理念，2004年成功引进澳大利亚联邦银行为战略投资者合作，通过“引资、引计、引智”，逐步成长为一家社会关注、客户认可、价值提升的区域性金融机构，目前已在天津、青岛、聊城设立3家分行，济南市辖内管辖行9家，管辖62家支行，营管部一家，管辖营业部及5家县域支行，直管支行一家，在岗员工2000余人。

截至2012年末资产总额837亿元，利润总额10. 67亿元，每股收益0.363元，存款余额713亿元，贷款余额471亿元，相关规模指标处于城市商业银行的前列水平。

齐鲁银行建立了以“三横两纵”体系为基础的风险管理架构，拥有较为完备的全面风险管理体系，覆盖操作风险、信用风险、市场风险、流动性风险等方面。

齐鲁银行内部建立了较为严密的组织架构体系和内部管理制度，各部门、各岗位职责分工明确，流程较为规范，各项制度比较健全。

在内部控制方面，齐鲁银行积极吸取案件教训，注重对内部人员道德品行的教育和积极正面的引导，通过完善业务流程、规范业务操作、加强事中事后检查监督、落实轮岗轮休制度、加大违规人员处理处罚力度等手段，不断提升内控管理水平，近年来在内部控制方面取得较为显著的进步和提升。

4.2内部控制体系建设分析基于中小商业银行的组织架构特点，依据国际公认的内部控制体系框架、监管机构的内部控制要求以及中小商业银行的组织架构特点，齐鲁银行应建立适宜的内部控制体系。

4.2.1内部控制体系目标内部控制体系是银行经营管理的系统保障，主要合理保障银行资产安全性、经营的有效性、财务报告的可靠性、适用法律法规的遵循性四个目标的实现：(1)营运目标：保障银行发展战略和经营目标的全面实现，提高银行风险管控水平。

(2)信息目标：促进银行业务发展、财务管理的真实性、完整性和及时性。

(3)安全目标：合理保证风险管理体系的有效性及资产安全。

(4)合规目标：促进银行严格遵守国家法律法规、监管部门的监管规定和银行审慎经营原则。

4.2.2内部控制体系要素齐鲁银行内部控制体系包括内部控制环境、风险识别与评估、内部控制措施、信息交流与反馈、监督评价与纠正五个要素。

五大要素按照过程模式相互关联，形成系统的、持续改进的内部控制体系，如下图：(1)内部控制环境：是内部控制体系运行的基础和土壤，是其他要素的基础，作用是为其他要素有效运行提供合理保障且促进员工产生并不断强化内部控制意识。

(2)风险识别与评估：及时识别、确认在实现经营目标过程中的风险，并通过合理的制度安排和风险度量方法对经营环境持续变化所产生的风险及承受能力进行有效的识别和评估。

(3)内部控制措施：是指实现战略目标和经营目标的政策、程序，以及防范、化解风险的措施。

(4)信息交流与反馈：是指在适当的时间，与合适的人员，就实施有效控制所需的合适信息（包括控制问题的上报）进行沟通，所有经营管理活动均通过信息的交流与反馈实现。

(5)监督评价与纠正：是指对内部环境、风险评估、控制措施、信息与沟通的有效性进行检查、评价，发现内部控制设计和运行的缺陷并及时改进。

4.2.3内部控制体系范围齐鲁银行内部控制体系结构包括三个层面：整体层面内部控制、业务层面内部控制、信息科技内部控制。

(1)整体层面内部控制：以银行作为一个整体系统，从整体层面考虑控制环境、风险识别与评估、控制措施、监督评价与纠正、信息交流与反馈等因素，是业务层面控制的前提和基础。

(2)业务层面内部控制：以主要业务系统作为控制子系统对象，来考虑其控制环境、风险识别与评估、控制措施、监督评价与纠正和信息交流与反馈等。

主要包括信贷业务、国际业务、中间业务、业务运营、资金业务、电子银行业务等方面的控制。

(3)信息科技内部控制：通过制定面向信息技术工作过程的控制目标和控制措施，达到识别、量化、控制、化解信息技术风险，从而确保为各项业务发展提供有效、安全、可靠的信息技术服务。

4.2.4内部控制措施齐鲁银行确定需要采取控制措施的业务和管理活动，依据所策划的控制措施或已有的控制程序对这些活动加以控制。

控制措施包括：(1)行为、程序与标准化控制。

各部门（条线)、各分支机构审查权限范围内的经营管理情况和特别情况，制定统一的标准并按照既定操作模式与程序履职，发现问题要求及时纠正整改。

(2)检查。

经营管理有权部门可以对下级或同级被检查部门的业务、程序、管理状况釆取核查、查看、审核等手段，检查被查部门在遵章守纪、业务规定执行等方面的情况。

根据检查结果提出风险隐患、内控缺陷，督促被检查部门改进。

(3)实物控制。

包括多人保管、实物限制保管和定期盘存等。

(4)审批与授权。

己经经营管理层的经营活动权限，对下级机构或人员进行授权或审批，更好的实现分级管理、分级控制的风险管控手段。

(5)审计。

内部、外部审计部门对有关业务或报表情况进行审计验证，确认各项业务、管理活动的真实性、有效性等，对发现的问题提出审计意见，提请有关经营部门改进提高。

(6)岗位分离。

主要指不相容岗位的分离，制定适当的岗位职责，使潜在利益冲突最小化，并对特定岗位实行委派制，实现垂直、独立管理等措施。

4.2.5内部控制要点(1)书面程序和要求。

建立并保持书面程序和要求，对于可能导致偏离内部控制政策、目标的情况，在程序进行明确的规定和严格的控制。

(2)监督检查。

重要业务活动行为，对其实施监督检查并保留检查记录。

(3)计算机控制。

为减少人为差错因素出现的概率，可运用计算机系统进行控制。

(4)控制程序。

建立相关控制程序，针对外包的系统、设备和服务中存在的风险，将控制程序通报供方，要求其保证遵守相关控制程序要求，降低风险。

4.3内部控制评价的必要性1、是进一步提升内部精细化管理的要求齐鲁银行经过多年的经营发展，已经具备了一定的经营规模，在规模发展的同时，对银行内部的精细化管理提出了更高的要求，通过开展内部控制评价，能够找出银行内部管理的薄弱点，改进之前粗放经营模式，使银行经营更高效。

2、是合规经营、防控案件的基本要求当前银行业务案件频发，对银行造成了重大影响，对齐鲁银行来说，2010年的'‘1206案件”给齐鲁银行造成了20多亿元的损失，使银行遭受重创，因此依法合规稳健经营，防控案件发生，完善银行内部控制成为齐鲁银行经营工作中的一项重要工作。

3、是考核分支机构经营业绩真实性的要求齐鲁银行目前具备12家分行架构二级分行(管辖行)，且总行给予了分行(管辖行）较大的经营管理权限，各家分行（管辖行）为完成总行制订的年度经营目标任务，各自施展拳脚，大力幵展营销活动，但对于经营业绩的真实性，总行也需要进行核实和认定，通过幵展内部控制评价活动，总行可以对分行（管辖行）的经营业绩、管理状况、内部控制等方面作出评价和认定。

4.4内部控制评价的基础条件4.4.1组织架构和制度体系1、公司治理结构。

银行按照《公司法》等法律法规，建立起规范的公司治理结构。

银行最高权力机构为股东大会。

董事会为银行股东大会的执行机构和银行的经营决策机构，向股东大会负责并汇报工作。

监事会是银行的监督管理机构，对董事、行长及其他高级管理人员执行银行的职务进行监督。

银行经营管理层负责银行的经营和管理，承担银行经营管理的直接责任。

2、内部组织机构。

总行各部门（条线）按照运营、营销、风险、支持保障等条线管理职能，形成行长、副行长等直接分管的业务条线管理，并进行工作分工，减少职责交叉与业务条线交叉，降低沟通成本，提高决策的效率与专业性。

银行内部管理机构的设立需经董事会批准。

银行对分支机构的设立、合并、撤销等依据银行《公司章程》等制度进行管理。

银行设各级分支机构，各级机构在授权范围内依法开展业务，明确授权与转授权的范围、时限、内容、形式等。

3、内部风险管理架构。

中国银行副行长岳毅在《风险偏好管理体系建设与应用》一文中提到：商业银行的风险战略是由风险偏好决定的。

风险偏好是商业银行全面风险管理的逻辑起点。

风险偏好的设定、传导、执行和反馈构成商业银行全面风险管理的主线。

因此，构建科学的风险偏好管理体系并有效实施，成为商业银行全面风险管理的重要内容。

风险偏好在银行经营管理中具有指令性的引导作用和框架性的约束作用。

商业银行将最上层的风险偏好陈述分解为各个业务条线的控制指标，传导至业务执行部门，建立起完整的风险偏好体系。

该体系既规范了银行内部管理和经营行为，又向市场和投资者呈现了整个银行机构的概貌9。

齐鲁银行根据自身风险偏好，按照风险条线垂直管理的思路，建立“三横两纵”矩阵式风险管理架构，“三横”是指风险管理的三个横向组织层次：第一层为风险管理决策层；第二层为风险管理执行层；第三层为风险管理实施层；“两纵，，是指风险管理部门对不同类别风险进行垂直管理，风险管理部门指风险管理部和合规部。

齐鲁银行建立风险防范控制的三道防线，按照业务与过程的实时控制和自我评估，外部指导和监督，内部审计、监察部门独立的再监督和再评价将分支机构、总行部门（条线）等划为三个层次（防线），合理配置风险防控资源，各层次（防线）分别承担不同的风险防控职能。

第一道防线：分支机构、总行各部门（条线）和每个员工在承担业务发展任务的同时也承担着内部控制、风险管理和防范的责任，对本条线业务进行自我检查与自我评估，既是业务的直接经办者、规章制度的执行者，又是风险的直接防范者。

第二道防线：应制定内部控制和风险管理的政策、标准和要求，为一道防线提供内部控制和风险管理的方法与支持，促进内部控制和风险管理的一致性和有效性；对一道防线内部控制和风险管理情况进行监督、指导；建立内部控制和风险管理信息收集、分析和报告制度，汇报和监控一道防线内部控制和风险状况。

第三道防线：独立开展审计和监察工作，评价监督一、二道防线的风险防控工作。

4.4.2业务流程和内控文件齐鲁银行已经建立了覆盖所有业务品种的业务流程管理制度，并且积极引导各级操作、管理人员按照业务流程规定进行操作。

对于违规操作问题，也建立了相应的考核问责机制，使得银行内部业务操作能够基本规范操作。

齐鲁银行应建立完善、清晰、利于执行的内控建设及评价制度体系，具体包括内控管理大纲、内控评价办法、内控评价实施细则等相关制度文件。

1、内控管理大纲，是商业银行内部控制的纲领性文件，应对内控控制所涉及的所有部门、机构、岗位的职责做出明确规定和要求，同时对内部控制的组织形式、各业务条线的控制要求等做出规定。

2、内控评价办法，是商业银行开展内部控制评价的实施依据，应对评价的内容、范围、评价体系、分值设置、评价规则等进行规定和要求。