一、背景與意義
城商行加強內控是對經營業務活動中所面臨的各類風險進行控制和防范。對于城商行來說，一方面，在經營過程中時時刻刻都面臨著各種各樣的風險，另一方面，城商行的經營管理活動正是圍繞著管理各類風險展開的，其經營利潤也恰恰來源于對各類風險的識別、評估、計量、控制與監測。誠然城商行在業務擴張的同時，暗含的風險也不斷增大，但是個別銀行人員為完成任務指標，放松風險意識和內控管理是其案發的重要原因。此類案件表明城商行整體的內控水平與監管部門要求尚有差距。城商行有內生擴張需求，由于存貸款指標壓力及資本不足矛盾，引發其操作風險、流動性風險等。全球經濟一體化，經歷了巴林銀行倒閉，東南亞金融危機，次貸危機，以及齊魯銀行金融詐騙案等，城商行認識到加強內控建設、全面提高內控管理水平是商業銀行的核心競爭力。
二、城商行內控成就與存在的問題
商業銀行經過二十多年的發展，在內控方面取得了一定的成就，次貸危機背景下，城商行的資產規模、盈利能力、資本充足率、不良貸款率等各方面指標大為改觀。城商行的內控體系也在監管要求的日趨嚴格下不斷得到完善。1984年商業銀行體系初步建立，人行頒布《加強金融機構內控的指導原則》，第二次金融工作會議，推進銀行業重組上市，銀監會成立，銀行業開放，南京銀行等城商行上市，五部委頒布《企業內控基本規范》。首先在基礎設施方面，城商行內控機制進一步完善，自我約束、相互制衡加強，信息系統建設和合規文化建設初見成效，組織框架和業務流程不斷優化。其次在內控機制方面，初步建立事前防范、事中控制、事后監督和糾正的動態控制機制，重點關注財務、風險、運營、合規等四個方面的內控，與內控環境、風險識別與評估、內控措施、監督評價與糾正、信息交流與反饋等五個內控要素的相關的制度得到進一步完善。再次在監督評價方面，城商行已普遍開展內控自我評價，并將評價結果運用到加強日常經營過程中。
城商行的快速擴張，忽略了市場風險，沒有充分認識自身的風險管控能力和駕馭能力，金融案件一直沒有間斷，這表明城商行整體的內控水平與監管部門要求尚有差距。2010年銀監會啟動了資本充足率、杠桿率、動態撥備率、流動性比率四大監管指標的定量測算監管要求，不僅指標體系上與國際接軌，并且在實施時間和力度上更為嚴格。對城商行而言，在這樣的監管下，既存在重要機遇，又面臨更嚴峻的挑戰。城商行內控還需要面對以下方面存在的問題。
(一)內控環境
主要體現為缺乏企業文化，高層未能有效地向員工傳達遵守法律法規和內控的重要性。首先是對內控文化的理解存在偏差，內控建設的目標、措施和手段并沒有針對現有城商行的經營環境進行設計；其次是沒有形成自上而下的表率作用以及遵守行內外的各項規章制度、流程，堅持誠信和道德價值觀的文化氛圍；最后，在城商行實際的經營管理過程中，對內控的認識僅限于建立制度規章或是上級對下級的管理，并未認識到內控是環環相扣相互制約的動態機制，需要管理層和各級人員共同努力，尤其是高級管理層身先士卒。
(二)風險識別與評估
主要體現為部分城商行并未開展內控設計有效性評價，并未逐個分析各類操作流程、管理流程和信息系統內存在的內控設計層面存在的問題，造成對現有制度體系下的風險情況缺乏深入了解，無法準確把握哪些產品、業務和流程已經被制度明確覆蓋，不了解總分行各級經營機構對同一產品、業務和流程的制度設計是否存在偏差，對于散落在各個流程、各個環節、各個經營機構的固有風險無從下手。這是城商行內部審計風險不斷擴大的內生因素。另外比如存在操作風險問題，人為差錯、管理層意志等。
(三)內控措施
主要體現為由于部分城商行在風險識別與評估層面存在問題，不能逐個把握散落在各個流程、各個環節、各個經營機構的固有風險點，因此也就無法對這些固有風險點選擇恰當的控制措施，開展有針對性的控制行動，進而將剩余風險降低到可以接受的程度。
(四)信息交流與反饋
主要體現為由于未建立整合型的內控信息化平臺，部分城商行內控缺乏有效的信息交流與反饋，尤其是在風險管理、合規管理和內部審計之間，損失、違規事件庫和審計問題庫、內控評價結果存在數據異構問題，各個系統中的隱性知識，如：合規審核與檢測方法、操作風險識別與計量方法、現場審計方法、非現場審計模型、內控的自評價和分析方法等，更缺乏統一的知識管理思想指導，未形成隱性知識顯性化和顯性知識組織化機制。
(五)監督評價與糾正
主要兩方面問題，一是內部審計工作手段單一，更多地依賴于現場審計發現問題，不僅成本高、效率低下，而且缺乏風險導向，在開展非現場審計工作的城商行中，現場審計工作和非現場審計工作之間缺乏有機的結合，現場審計和非現場審計各自的優勢未得到充分的發揮，與實現風險導向型審計相比還存在差距；二是盡管很多城商行已經開展內控執行有效性評價，但由于未開展設計有效性評價而變得毫無意義，或因評價主體無法客觀地開展自我評價工作造成評價結果缺乏客觀性，或者因為總分行之間存在信息不對稱問題而流于形式，分行敷衍了事，造成最終的內控評價結果僅僅是應付監管。
三、優化城商行內控
成本與效益原則是指導內控的基本原則之一，內控體系的完善、內控活動的開展應該在資源有限的前提下考慮成本約束，不過分追求完美的內控結果。城商行在業務發展的初期，為了做大做強，盡可能節約成本。內控中很多職位分離，互相牽制，因人員不足，而流于形式，從而增加風險。針對城商行內控體系存在的問題，城商行內控體系建設實施步驟應以內控設計有效性評價為起點，以執行有效性評價為契機，通過建設整合型內控信息化平臺和有城商行特色的內控文化，推進以現場審計和非現場審計有機結合為核心的審計方法，從而優化城商行內控。
(一)評價內控設計有效性
指評價那些實現控制目標所必需的內控要素是否都存在并且設計恰當，從而判斷其中是否存在設計缺陷、是否缺少為實現控制目標所必需的控制。內控設計有效性評價在COSO五要素中對應著風險評估和控制活動，主要是分析經營管理活動中存在的風險以及是否采取了相應的控制措施。
(二)評價內控執行有效性
評價設定的內控系統是否按照規定程序得到了正確執行，是否存在設計完好的控制未按設計意圖運行，或執行者沒有獲得必要授權或缺乏勝任能力。內控執行有效性評價主要是鑒別采取的控制措施是否有效。內控設計有效性評價是內控執行有效性評價的基礎。在進行控制執行有效性評價時，應首先由銀行管理層執行內控自我評價。在進行自我評價時，應以點面結合的方式進行，評價范圍既要涵蓋內控設計有效性評價階段梳理出的所有控制點，對內控整體執行情況進行打分。
(三)整合內控信息化系統
城商行內控包括三個層次，分別是合規管理與操作風險管理、現場審計工作與非現場審計、提供決策支持的內控評價。城商行投入大量資金建設信息系統，很多在建成以后僅在自己的領域內獨立運轉，系統之間在功能上缺乏關聯，在信息層面無法共享，在流程和應用層面缺乏整體性。系統整合就是通過信息化資源的重新分配，建立覆蓋原有零散信息化系統的新系統，或者推動零散信息化系統之間在系統硬件、網絡、數據庫、應用等方面的融合，從而提高信息系統效率，促進各個系統信息共享。建立暢通的信息溝通的程序，達到提高信息系統的效率，促進系統間信息共享。不但要有柜面會計核算、信貸業務的處理銀行信息系統，滿足客戶多領域、個性化的需要，而且還需客戶信息的集成和分析，對客戶信息及時更新，才能對客戶的真實經濟狀況做出正確判斷，從源頭上加以控制風險。在促進信息與溝通方面，內控相關的信息化建設應進一步深化，一是在數據整合的基礎上擇機推進各個應用系統在功能和應用層面的整合；二是在開始在全行范圍內建設知識管理信息系統時，將現有的內控知識管理工作納入整個銀行的知識管理范疇內，并實現與其他業務、管理條線知識的共享和融合；三是通過制定制度和規范，在開展業務系統和管理系統的建設和優化、更新時，應為內控相關的信息化系統留出數據接口，方便數據采集、實時監控和添加控制手段。
(四)培養城商行特色的內控文化
內控文化是城商行企業文化的重要組成部分，同時也是內控環境建設的核心內容與難點。良好的內控文化可以為城商行的管理層和員工的內控意識帶來積極的影響，在全行范圍內灌輸誠信和控制意識，從而成為激勵員工實現內控目標的重要力量。考慮在整個內控環境的建設中結合城商行所處的政治、經濟、文化環境和特色，不是僅僅局限在內控文化建設的層面。在內控層面劃分股東大會、董事會和監事會與黨委會、職工代表大會和工會的職責范圍，促進二者之間的協作，充分發揮各自的作用。定期加強員工教育培訓，樹立內控優先理念，增強內控意識，形成真正的內控內控文化。
(五)加強現場審計和非現場審計有機結合
現場審計是指內部審計部門在擬定審計方案后，通過到現場查閱原始資料，詳細記錄工作底稿，完成審計報告的整個過程，側重于業務某個方面的檢查。非現場審計是指基于對提供的系統數據或資料的分析和處理，較為及時地了解審計對象經營情況，通過對審計對象的經營數據或資料的采集、分析、處理，運用適當的方法和流程，發現其異常，評價可能產生的風險，定期、不定期地提供風險預警信息。非現場審計通過對被審計單位相關資料的分析和預測，發現問題，找出風險點，并且為現場審計提供線索，幫助現場審計更加科學、準確地選擇審計樣本，合理安排審計資源，達到高效審計。在宏觀經濟環境復雜多變，監管要求日趨嚴格，同業競爭激烈的外部環境下，以信息技術為手段的非現場審計已經成為城商行內部審計重要的支撐點。城商行應正確認識非現場審計和現場審計各自的優勢與不足，以風險導向型審計為目標，推動現場審計和非現場審計工作相結合。只有現場與非現場審計的有機結合才能確保審計質量，建立和完善城商行的審計體系。
四、結論
本文針對目前城商行內控體系建設存在問題，提出了城商行內控體系的實施路徑，但內容僅涉及城商行內控建設的部分內容，并對之評價，旨在突出優化城商行內控體系的內容，并提出優化實施策略。
