一、上市商業銀行風險防控的必要性

金融發展與風險控制是密不可分的。商業銀行陸續改制上市之后，卓有成效地加強了公司治理、內部控制與風險管理，完善了內部審計組織架構，建立了全面風險管理體系，制定了風險評估方法。本文通過分析16家上市商業銀行招股說明書發現，上市商業銀行都具有較為完善的治理結構，建立了總行審計委員會領導下的垂直管理的內部審計體系，董事會下設審計委員會，建立了內部審計章程，內部審計獨立于商業銀行的日常活動之外，審查評價內控與風險。但近些年陸續出現的金融危機以及互聯網金融帶來的金融創新，無不顯示商業銀行的風險已經從過去單一的信用風險發展為信用風險、市場流動性風險、操作風險和系統性風險等并存的多類型復雜性風險，同時這些風險在各個業務部門或業務領域里相互影響，具有傳遞性和感染性，因此，必須從銀行全局的角度進行風險識別、衡量和防控。此外，平安、中信和光大等銀行企業集團，不斷探索綜合金融模式，探索內部業務協同發展的混業經營模式，通過子公司的交叉經營、項目交互，來為海內外客戶提供綜合金融服務，這就需要子公司之間加強業務合作，加強風險防控。綜合金融給各大企業集團在管理協調和風險防控等領域提出了更高的要求。風險導向內部審計正是適應商業銀行風險管理的需要和自身發展的需要而不斷創新發展的。其主要做法就是將內部審計職能和組織目標相結合，從事后管理發展到事前事中的風險防控，建立全面風險導向審計體系，持續對業務事項進行跟蹤反饋。內部審計部門向審計委員會和董事會匯報工作，保證其獨立性和客觀性，有效地對組織中長期風險進行防控。

二、問題

近年來，雖然商業銀行內部審計有了長足發展，審計目標、內容、方法和手段不斷創新，在商業銀行風險防控中取得了顯著成效，但在金融改革飛速變革的環境中，我國風險導向內部審計仍存在與國際的差距，如何將審計方法內容從傳統的合規性審計轉向加強風險防控，促進組織治理，已成為亟待解決的問題。

（一）全面風險管理理念還不夠到位

通過查閱各上市商業銀行招股說明書，發現各大銀行均在治理結構中突出了審計委員會的建設，強調了內部審計的匯報路線和功能。但由于我國商業銀行風險管理較之國際發展起步較晚，目前在實際操作中，內部審計對公司治理、內部控制和風險管理的評價與建議較為淺顯，特別是對管理制度、政策體系等方面的審計咨詢服務并不多，管理者依然更注重業績，全面風險管理理念還不夠到位，在風險量化分析中缺乏對風險識別監控的科學性，與國際先進銀行大量的數理統計方法相比還相差甚遠。

（二）國際銀行業監管趨嚴

全球金融危機的不斷發生，使得各國政府不斷反思金融監管體系。2010年《巴塞爾協議Ⅲ》出臺，國際銀行業監管趨嚴，要求更為嚴格的動態資本監管，要求建立風險監管機制。與此相適應，我國銀行業也不斷調整客戶結構和業務結構。根據我國國情，房地產、地方政府融資屬于風險較高且集中的領域，監管應采取多元差異化發展，應在不斷完善銀行治理結構的基礎上，建立流動風險監管機制，建立新指標，強化對風險的計量和管理，真正實現有效的風險識別、監測、計量和控制。

（三）內部控制評價服務尚未到位

在風險導向內部審計階段，內部控制是商業銀行風險管理的基礎，是構建商業銀行全面風險管理體系的重要組成部分，巴塞爾監管委員會認為銀行內部控制要為銀行經營活動的“3E”性服務，通過內部控制的五個過程實施內部控制評價服務。但目前我國商業銀行仍然在全面、及時、有效性上存在不健全不系統等問題，內部控制的評價服務往往和業務的合規性、風險性融合一起進行審計，這樣就存在審計重點不明確等問題，容易導致評價工作局限于合規性內容評價上。而內部控制評價應該從控制的角度對商業銀行的風險點進行檢驗，審視風險點上的控制措施是否得到執行，而不是花費時間和精力去分析判斷具體業務的合規性和風險性。

（四）完善全面風險管理體系勢在必行

巴塞爾委員會要求至少每年向審計委員會提交一份正式的風險評估報告，對組織風險管理工作作出量化評價，銀行業監管條例要求內部審計要對市場、信用、操作風險進行獨立檢查，要對內部控制框架進行有效檢查。現今上市商業銀行都力求通過提高風險管理能力來實現“風險管理創造價值”。然而全面風險管理體系的建設是一項龐大的工程，需要不斷深化改革、規范施行才能實現。我國商業銀行在全面風險管理的理念、管理與機制建設中尚處于起步階段，存在風險管理技術落后、風險管理專業人才缺失、風險管理組織不完善不夠獨立等問題，亟待借鑒國外先進經驗，有效地識別評價進而控制化解風險。

（五）內部審計方法和手段不能完全適應金融創新要求

在金融創新平臺上，各種創新金融手段和方法不斷涌現。而在風險導向審計模式下，審計技術和方法上很多是憑借審計人員的主觀判斷和經驗來確定樣本規模，這樣的風險抽樣不夠客觀。國際內部審計流程分為五個步驟：評估風險并制定計劃、內部控制測試、執行實質性測試、得出審計結論并提出管理建議書、后續審計。而我國審計流程很少進行前兩項測試，風險遺漏率較高。并且在金融手段不斷創新的環境中，互聯網金融迅猛發展，內部審計如何加強對金融衍生產品、電子商務銀行產品的數據收集與評價，成為一大挑戰；計算機審計如何突破網絡技術的約束，實現實時監督審計成為風險管理內部審計的一大難題。

三、對策

（一）強化風險管理理念

在信息化時代，伴隨金融改革的深入快速發展，風險無處不在，風險管理意識應貫穿公司治理和管理的各個方面和流程，只有樹立正確的觀念意識，才能確保風險管理與內部控制在流程中得到有效實施。鑒于目前董事會在風險管理中尚未起到應有作用，應從高層開始強化風險管理理念，提高內部審計對企業經營和風險防控的認識，在確保職能充分有效發揮的同時，加強對商業銀行戰略管理中的風險識別與分析評價，從而真正意義上將現代風險管理理念貫穿到銀行業務方方面面，最終提高銀行風險管理與控制的實施效果，提高銀行經營水平。

（二）制定和完善銀行業監管政策

面對金融創新，參照《巴塞爾協議Ⅲ》國際銀行業監管的新標桿，我國強化銀行業監管機制勢在必行。銀行業務必嚴格執行2011年銀監會頒布的《關于中國銀行業實施新監管標準的指導意見》，嚴格資本監管要求，實施貸款損失動態監管，引入杠桿指標，建立流動性風險監管體系等。同時加強金融法規建設，在貨幣政策和財政政策方面，應該采取措施提高政策的傳導效率，通過嚴格金融市場紀律，完善信貸評估體系和風險管理機制，加快信貸機構調整，提高信貸使用效率，采取有效手段“用好增量，盤活存量”，為新的有效信貸提供空間，同時政策上要關注信貸和債務過快增長帶來的系統性風險，真正在風險收益權衡基礎上做到信貸合理分配。

（三）完善內部控制評價體系

商業銀行內部控制評價體系中，測試表項目設計和符合性測試抽樣工作對評價體系的實施效果影響重大。首先，在全面測試表設計中，一般根據總行控制措施內容展開，但分支機構業務流程與總行流程存在差別時，要考慮控制點和措施的差異化審核，這部分的操作是內部控制的關鍵。其次，符合性測試抽樣中，樣本的選擇對評價結論會產生重大影響，例如授信貸款業務中，按比例抽取金額較大的貸款作為樣本，然后根據措施未被執行的貸款戶數占總戶數的比例進行判斷，就容易有明顯偏差，因為業務處理和金額大小沒有必然關系，因此這就需要根據業務和管理活動發生的頻率進行統計分析后再進行樣本抽取。商業銀行的內部控制評價是個專業性強并且較為復雜的工作，需要科學地構建內部控制評估指標體系，正確地進行風險管理判斷，使用系統的方法不斷提高內部控制的整體水平。

（四）推進全面風險管理體系的建設

根據《巴塞爾協議Ⅲ》的要求，設計實施全面風險管理體系，勢在必行。西方商業銀行把風險和利潤放在同等重要的位置，良好的風險管理環境能有效控制市場風險、信用風險和操作性風險等。全面風險管理體系的核心是建立健全商業銀行風險審計模型，通過建立綜合風險、資產、負債、資金運營、中間及表外業務、客戶群、會計核算等風險審計模型，將風險量化為具體計算指標方式，并通過比較分析、杜邦分析等方法，對商業銀行的風險進行逐一分析與判斷，保證商業銀行流動性、安全性與盈利性的平衡。例如現在工行使用的信貸管理系統、特別關注客戶信息系統、個人信貸管理系統的運用，清晰分離信貸調查、信用審批和貸后監控職能，切實提升了銀行監控與管理風險的能力，幫助規避各類信用風險。除此之外，各類風險也應通過風險管控系統對其進行度量和監測，通過構建完整獨立的風險管理體系，動態改進風險模型中的各類參數，實現對商業銀行風險的有效管理，從而能把握評價和防范總體風險，做到早預防、早控制。

（五）完善商業銀行內部審計質量評估方法

質量是內部審計工作地位和作用的保證，近年來IIA和CIIA不斷推動內部審計質量評估工作，明文要求內部審計機構必須開展內部審計質量控制和評估，這對推進內部審計發展有著重要作用。根據要求，各大商業銀行都在不斷探索提高內審評估質量的方法，從治理結構、評估體系的標準和方法等入手，進行深入探索。中國人民銀行提出了“內部評估+外部評估”的模式，達到了促進內部審計質量提升和增強工作實效性的目的。中國農業銀行、中國銀行等都在內部審計質量評估的探索方面做出了貢獻，取得了很好的成效，達到了審計質量認識提高、審計理念轉變、人員素質提升的效果。當然，商業銀行系統正在期待針對商業銀行系統的相關制度規定，來更好地促進商業銀行內部審計評估工作的推進。

（六）計算機輔助審計

在金融工具不斷創新的環境下，商業銀行普遍利用了先進的計算機技術、網絡技術與數據倉庫技術，初步形成開放的多功能商業銀行信息化體系，風險導向內部審計面對商業銀行強大的金融業務網絡和強大的電子數據，應不斷創新和發展傳統的審計內容與方法，創新審計業務，加強對金融衍生產品、電子商務銀行產品等領域的實時監督審計，切實加強對上市商業銀行混業經營業務的監督審計，在經營環節中把握風險控制的薄弱環節。商業銀行內部審計發展到云審計階段，意味著內部審計轉型趨勢發展到“風險智能審計階段”，風險智能審計階段意味著，內部審計是在信息化平臺上進行數據挖掘，是基于數據采集、整理和分析的審計。審計人員在信息化平臺上進行風險識別和評估，IT技術貫穿內部審計流程的各個環節，審計過程實現智能化。內部審計人員可以通過“云”，調取審計過程所需的資源數據和證據資料，在大大提高工作效率的同時，可以將注意力更多集中在內部控制評審和風險評估上，且內部審計程序的升級、維護、運行也由云供應商負責，可以大大節約成本。

作者：陳燊 單位：福建江夏學院會計學院