关于印发企业内部控制规范体系实施中相关问题解释第1号的通知
财政部
关于印发企业内部控制规范体系实施中相关问题解释第1号的通知
财会〔2012〕3号
中共中央直属机关事务管理局，铁道部、国务院机关事务管理局，解放军总后勤部、武警部队后勤部，各省、自治区、直辖市、计划单列市财政厅（局），新疆生产建设兵团财务局，各中央管理企业、上市公司：
《企业内部控制基本规范》（财会〔2008〕7号）及其配套指引已于2011年1月1日起在境内外同时上市的公司和部分在境内主板上市的公司实施和试点。具体执行过程中，企业反映了一些问题，我部会同证监会、审计署、银监会、保监会对这些问题进行了研究，并征求了有关上市公司、咨询公司等单位的意见，在此基础上制定了《企业内部控制规范体系实施中相关问题解释第1号》。经会签证监会、审计署、银监会、保监会，现予印发。
附件：企业内部控制规范体系实施中相关问题解释第1号
财政部
二〇一二年二月二十三日
附件：
企业内部控制规范体系实施中相关问题解释第1号
根据财政部等五部委的要求，《企业内部控制基本规范》（财会〔2008〕7号）及其配套指引已于2011年1月1日起在境内外同时上市的69家公司实施。同时，财政部、证监会又选择了200多家在境内主板上市的公司进行试点。实施一年总体进展顺利，但也存在一定问题。为推动《企业内部控制基本规范》及其配套指引的顺利实施，现对有关问题解释如下：
1.如何把握企业内部控制规范体系的强制性与指导性的关系？
答：在实施试点中，一些企业反映，《企业内部控制基本规范》及其配套指引的规定是否需要逐条执行。
《企业内部控制基本规范》是内部控制建设与实施应该遵循的基本原则和总体要求，具有强制性，纳入实施范围的企业应当遵照执行。《企业内部控制配套指引》（财会〔2010〕11号，包括18个应用指引、1个评价指引和1个审计指引）是对《企业内部控制基本规范》相关规定的进一步补充和说明，具有指导性和示范性，纳入实施范围的企业可以结合所在行业要求和企业自身特点，参照配套指引的规定开展内部控制建设与实施工作。
2.已经完全按照境外监管机构要求建设与实施内部控制的境内外同时上市的公司，是否需要执行我国的企业内部控制规范体系？
答：目前，许多国家和地区对公众公司内部控制都有相关的规定和要求。我国企业内部控制规范体系在充分借鉴国际上先进经验和做法的同时，更多地适应了我国国情，尤其是充分考虑了我国目前法律法规体系、公司治理结构、企业管理体制、风险管控实务等具体情况，提出了内部控制的目标、原则、要素等，且不局限于财务报告内部控制，更多突出全面内部控制的要求。因此，境内外同时上市的公司应当在满足境外监管机构要求的基础上，对照我国企业内部控制规范体系，特别是应当围绕《企业内部控制基本规范》提出的内部控制五目标，对相关控制措施进行适当调整或补充完善。
3.企业按照企业内部控制规范体系建设与实施内部控制，是否还需要遵守我国行业主管部门和市场监管部门对内部控制的有关要求？
答：《企业内部控制基本规范》及其配套指引是对不同行业、各类企业提出的一般性要求，具有普适性。行业主管或监管部门对所辖企业的内部控制管理规定，是不同行业内部控制的特殊要求，也是《企业内部控制基本规范》的重要补充。企业应当按照《企业内部控制基本规范》及其配套指引规定和行业管理、市场监管的要求，建设与实施内部控制。
4.如何协调好内部控制与风险管理的关系？
答：《企业内部控制基本规范》及其配套指引，充分吸收了全面风险管理的理念和方法，强调了内部控制与风险管理的统一。内部控制的目标就是防范和控制风险，促进企业实现发展战略，风险管理的目标也是促进企业实现发展战略，二者都要求将风险控制在可承受范围之内。因此，内部控制与风险管理二者不是对立的，而是协调统一的整体。
在实际工作中，一些企业的内部控制和风险管理工作由不同机构负责。对此，企业可以对有关机构和业务进行整合，从工作内容、目标、要求以及具体工作执行的方法、程序等方面，将内部控制建设和风险管理工作有机结合起来，避免职能交叉、资源浪费、重复劳动，降低企业管理成本，提高工作效率和效果。
5.对于《企业内部控制配套指引》尚未规范的领域，应如何处理？
答：由于企业所面临的客观环境和自身的经营管理活动比较复杂，目前的《企业内部控制配套指引》仅对企业常见的、一般性生产经营过程的主要方面和环节进行了规范。在建设与实施内部控制的过程中，对于《企业内部控制配套指引》尚未规范的业务领域，企业应当遵循《企业内部控制基本规范》的原则和要求，按照内部控制建设与实施的基本原理和一般方法，从企业经营目标出发，识别和评估相关风险，梳理关键业务流程，根据风险评估的结果，制定和执行相应控制措施。
6.如何权衡内部控制的实施成本与预期效益？
答：企业按照《企业内部控制基本规范》及其配套指引的要求建设与实施内部控制，必然需要支付一定的成本，可能会发生内部控制制度和流程的设计与实施费用、聘请专业机构提供咨询服务费用、建立融入内部控制要求的信息系统费用、聘请会计师事务所开展内部控制审计费用，等等。建设与实施内部控制应当从提高企业长期效益出发，从促进企业可持续发展出发，将内部控制作为一项常规性工作，贯穿于企业管理之中，加大投入。同时，应当按照重要性原则，关注重要业务事项和高风险领域，抓住关键风险控制点。集团性企业可以采取分类试点、逐步推广的方式，选择下属不同类型的企业试点，形成范本，减少重复建设。
聘请会计师事务所开展内部控制审计是建设与实施内部控制的重要环节，是检验内部控制有效性的重要手段和有力保证。内部控制审计费用是企业实施内部控制规范体系应当承担的成本，企业应安排相应经费确保审计工作的及时、有效开展。内部控制审计是一项区别于财务报告审计的独立业务，企业应就该项业务与会计师事务所签订单独的业务约定书。同时，企业也应权衡审计成本与审计效益，在业务约定书中明确有关费用标准，并对会计师事务所审计资源的投入和审计质量提出明确要求。
7.如何协调好内部控制与其他管理体系的关系？
答：内部控制贯穿于整个企业管理，与其他管理体系相辅相成、密不可分，是企业管理的重要组成部分。企业现有管理体系的设计、运行以及审核认证需要遵循已经发布的国家标准或行业标准。这些标准与企业内部控制规范体系的原则和要求并不矛盾。在实际工作中，个别企业的内部控制体系建设与管理体系运行发生冲突，原因可能是企业采用的方式方法出现了偏差，如简单照搬内部控制应用指引的规定，没有考虑企业的实际情况，为控制而控制，导致控制设计不合理，出现控制过度或控制冗余；也可能是企业经营管理部门对内部控制的重要性认识不足，不愿意受到更多的牵制和监督，从而以影响经营效率和目标为借口，拒绝必要的内部控制；等等。对此，企业应当立足管理现状，全面梳理各项管理制度和管理体系，从管理体制、机制以及落实各级权利责任等方面，将内部控制的要求融入各项管理体系中，形成内部控制的长效机制，使内部控制真正为经营管理服务；应当从总体目标出发，通过培训教育提高企业经营管理人员对内部控制的理解和认识，将内部控制的要求纳入绩效考核体系以加强执行；可以利用信息技术固化业务流程，提高业务处理效率和信息共享水平，从而尽可能减少内部控制与其他经营管理体系的冲突。
8.企业如何确定内部控制缺陷的认定标准？
答：查找并纠正企业内部控制设计和运行中的缺陷，是开展企业内部控制评价的一项重要工作，是不断完善企业内部控制的重要手段。由于企业所处行业、经营规模、发展阶段、风险偏好等存在差异，《企业内部控制基本规范》及其配套指引没有对内部控制缺陷的认定标准进行统一规定。企业可以根据《企业内部基本规范》及其配套指引，结合企业规模、行业特征、风险水平等因素，研究确定适合本企业的内部控制重大缺陷、重要缺陷和一般缺陷的具体认定标准。企业确定的内部控制缺陷标准应当从定性和定量的角度综合考虑，并保持相对稳定。通过不断的实践，总结经验，形成一套行之有效的内部控制缺陷认定方法。
企业在开展内部控制监督检查中，对发现的内部控制缺陷，应当及时分析缺陷性质和产生原因，并提出整改方案，采取适当形式向董事会、监事会或者管理层报告。对于重大缺陷，企业应当在内部控制评价报告中进行披露。
财政部将会同证监会、审计署、银监会、保监会等有关部门，根据首次执行和试点情况，分行业、分类型总结企业的内部控制缺陷认定标准，供参考。
9.实施《企业内部控制基本规范》及其配套指引的企业，是否需要设置专门的内部控制机构？
答：根据《企业内部控制基本规范》的规定，企业董事会负责内部控制的建立健全和有效实施。为便于董事会履行好企业内部控制规范体系的设计、建立、运行与改进方面的职责，董事会应当指定专门委员会负责指导内部控制建设与实施工作。一般情况下企业应当成立专门机构负责组织协调内部控制的建立实施及日常工作。
对于少数企业受制于岗位编制、专业人员等条件限制，目前尚不具备成立专门的内部控制管理机构的，可暂将内部控制管理职能划归现有机构。随着企业内部控制建设的持续深入和相关条件的不断成熟，企业应考虑成立专门机构，保证有足够的资源支持和协调内部控制工作的开展，确保内部控制工作的相对独立性。
10.如何编制和披露企业内部控制评价报告？
企业内部控制评价是企业董事会对内部控制有效性进行全面评价、形成评价结论、出具评价报告的过程。开展内部控制评价，可以及时发现和纠正企业内部控制建设与实施中存在的问题，并持续自我完善。企业可以独立开展内部控制评价工作，也可以委托不承担本企业内部控制审计的中介机构协助开展内部控制评价工作。
根据《企业内部控制基本规范》、《企业内部控制评价指引》的要求，我们制定了企业内部控制评价报告的格式，供企业编制评价报告时参考，企业也可以根据实际情况对具体的报告方式作适当调整，但有关内容原则上应体现在年度报告中。
附：XX公司20xx年度内部控制评价报告
附：
XX公司20xx年度内部控制评价报告
xx公司全体股东：
根据《企业内部控制基本规范》及其配套指引的规定和要求，结合本公司（以下简称公司）内部控制制度和评价办法，在内部控制日常监督和专项监督的基础上，我们对公司内部控制的有效性进行了自我评价。
一、董事会声明
公司董事会及全体董事保证本报告内容不存在任何虚假记载、误导性陈述或重大遗漏，并对报告内容的真实性、准确性和完整性承担个别及连带责任。
建立健全并有效实施内部控制是公司董事会的责任；监事会对董事会建立与实施内部控制进行监督；经理层负责组织领导公司内部控制的日常运行。
公司内部控制的目标是：〔一般包括合理保证经营合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进实现发展战略〕。由于内部控制存在固有局限性，故仅能对实现上述目标提供合理保证。
二、内部控制评价工作的总体情况
公司董事会授权内部审计机构〔或其他专门机构〕负责内部控制评价的具体组织实施工作，对纳入评价范围的高风险领域和单位进行评价〔描述评价工作的组织领导体制，一般包括评价工作组织结构图、主要负责人及汇报途径等〕。
公司〔是/否〕聘请了专业机构〔中介机构名称〕提供内部控制咨询服务；公司〔是/否〕聘请了专业机构〔中介机构名称〕协助开展内部控制评价工作；公司〔是/否〕聘请会计师事务所〔会计师事务所名称〕对公司内部控制进行独立审计。
三、内部控制评价的范围
内部控制评价的范围涵盖了公司及其所属单位的主要业务和事项〔列明评价范围占公司总资产比例或占公司收入比例等〕，重点关注下列高风险领域：
〔列示公司根据风险评估结果确定的内部控制前“十大”主要风险〕
纳入评价范围的单位包括：
〔无需罗列单位名称，而是描述纳入评价范围单位的行业性质、层级等〕
纳入评价范围的业务和事项包括（根据实际情况调整，未尽事项可以充实）：
（一）组织架构
（二）发展战略
（三）人力资源
（四）社会责任
（五）企业文化
（六）资金活动
（七）采购业务
（八）资产管理
（九）销售业务
（十）研究与开发
（十一）工程项目
（十二）担保业务
（十三）业务外包
（十四）财务报告
（十五）全面预算
（十六）合同管理
（十七）内部信息传递
（十八）信息系统
上述业务和事项的内部控制涵盖了公司经营管理的主要方面，不存在重大遗漏。
（如存在重大遗漏）公司本年度未能对以下构成内部控制重要方面的单位或业务（事项）进行内部控制评价：
〔逐条说明未纳入评价范围的重要单位或业务（事项），包括单位或业务（事项）描述、未纳入的原因、对内部控制评价报告真实完整性产生的重大影响等〕
四、内部控制评价的程序和方法
内部控制评价工作严格遵循基本规范、评价指引及公司内部控制评价办法规定的程序执行〔描述公司开展内部控制检查评价工作的基本流程〕。
评价过程中，我们采用了（个别访谈、调查问题、专题讨论、穿行测试、实地查验、抽样和比较分析）等适当方法，广泛收集公司内部控制设计和运行是否有效的证据，如实填写评价工作底稿，分析、识别内部控制缺陷〔说明评价方法的适当性及证据的充分性〕。
五、内部控制缺陷及其认定
公司董事会根据基本规范、评价指引对重大缺陷、重要缺陷和一般缺陷的认定要求，结合公司规模、行业特征、风险偏好和风险承受度等因素，研究确定了适用本公司的内部控制缺陷具体认定标准，并与以前年度保持了一致〔描述公司内部控制缺陷的定性及定量标准〕，或作出了调整〔描述具体调整标准及原因〕。
根据上述认定标准，结合日常监督和专项监督情况，我们发现报告期内存在〔数量〕个缺陷，其中重大缺陷〔数量〕个，重要缺陷〔数量〕个。重大缺陷分别为：〔对重大缺陷进行描述，并说明其对实现相关控制目标的影响程度〕。
六、内部控制缺陷的整改情况
针对报告期内发现的内部控制缺陷（含上一期间未完成整改的内部控制缺陷），公司采取了相应的整改措施〔描述整改措施的具体内容和实际效果〕。对于整改完成的重大缺陷，公司有足够的测试样本显示，与重大缺陷〔描述该重大缺陷〕相关的内部控制设计且运行有效（运行有效的结论需提供90天内有效运行的证据）。
经过整改，公司在报告期末仍存在〔数量〕个缺陷，其中重大缺陷〔数量〕个，重要缺陷〔数量〕个。重大缺陷分别为：〔对重大缺陷进行描述〕。
针对报告期末未完成整改的重大缺陷，公司拟进一步采取相应措施加以整改〔描述整改措施的具体内容及预期达到的效果〕。
七、内部控制有效性的结论
公司已经根据基本规范、评价指引及其他相关法律法规的要求，对公司截至20xx年12月31日的内部控制设计与运行的有效性进行了自我评价。
（存在重大缺陷的情形）报告期内，公司在内部控制设计与运行方面存在尚未完成整改的重大缺陷〔描述该缺陷的性质及其对实现相关控制目标的影响程度〕。由于存在上述缺陷，可能会给公司未来生产经营带来相关风险〔描述该风险〕。
（不存在重大缺陷的情形）报告期内，公司对纳入评价范围的业务与事项均已建立了内部控制，并得以有效执行，达到了公司内部控制的目标，不存在重大缺陷。
自内部控制评价报告基准日至内部控制评价报告发出日之间〔是/否〕发生对评价结论产生实质性影响的内部控制的重大变化。〔如存在，描述该事项对评价结论的影响及董事会拟采取的应对措施〕。
我们注意到，内部控制应当与公司经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。〔简要描述下一年度内部控制工作计划〕未来期间，公司将继续完善内部控制制度，规范内部控制制度执行，强化内部控制监督检查，促进公司健康、可持续发展。
董事长：〔签名〕
XX公司
20xx年xx月xx日
商业银行内部控制评价试行办法
中国银行业监督管理委员会
中国银行业监督管理委员会令（2004年第9号）
《商业银行内部控制评价试行办法》已经2004年8月20日中国银行业监督管理委员会第25次主席会议通过，现予公布，自2005年2月1日起施行。
主席 刘明康
二○○四年十二月二十五日
商业银行内部控制评价试行办法
第一章 总 则
第一条 为规范和加强对商业银行内部控制的评价，督促其进一步建立内部控制体系，健全内部控制机制，为全面风险管理体系的建立奠定基础，保证商业银行安全稳健运行，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，制定本办法。
第二条 商业银行内部控制评价是指对商业银行内部控制体系建设、实施和运行结果独立开展的调查、测试、分析和评估等系统性活动。
内部控制评价包括过程评价和结果评价。过程评价是对内部控制环境、风险识别与评估、内部控制措施、监督评价与纠正、信息交流与反馈等体系要素的评价。结果评价是对内部控制主要目标实现程度的评价。
第三条 商业银行内部控制体系是商业银行为实现经营管理目标，通过制定并实施系统化的政策、程序和方案，对风险进行有效识别、评估、控制、监测和改进的动态过程和机制。
第四条 商业银行应建立并保持系统、透明、文件化的内部控制体系，定期或当有关法律法规和其他经营环境发生重大变化时，对内部控制体系进行评审和改进。
第五条 商业银行内部控制评价由中国银行业监督管理委员会（以下简称银监会）及其派出机构组织实施。
第六条 内部控制评价人员应接受有关内部控制评价知识和技能的培训，具备相应的资质和能力。
第二章 评价目标和原则
第七条 商业银行内部控制评价的目标主要包括：
（一）促进商业银行严格遵守国家法律法规、银监会的监管要求和商业银行审慎经营原则。
（二）促进商业银行提高风险管理水平，保证其发展战略和经营目标的实现。
（三）促进商业银行增强业务、财务和管理信息的真实性、完整性和及时性。
（四）促进商业银行各级管理者和员工强化内部控制意识，严格贯彻落实各项控制措施，确保内部控制体系得到有效运行。
（五）促进商业银行在出现业务创新、机构重组及新设等重大变化时，及时有效地评估和控制可能出现的风险。
第八条 内部控制评价应从充分性、合规性、有效性和适宜性等四个方面进行：
（一）过程和风险是否已被充分识别。
（二）过程和风险的控制措施是否遵循相关要求、得到明确规定并得以实施和保持。
（三）控制措施是否有效。
（四）控制措施是否适宜。
第九条 内部控制评价应遵循以下原则：
（一）全面性原则。评价范围应覆盖商业银行内部控制活动的全过程及所有的系统、部门和岗位。
（二）统一性原则。评价的准则、范围、程序和方法等应保持一致，以确保评价过程的准确及评价结果的客观和可比。
（三）独立性原则。评价应由银监会或受委托评价机构独立进行。
（四）公正性原则。评价应以事实为基础，以法律法规、监管要求为准则，客观公正，实事求是。
（五）重要性原则。评价应依据风险和控制的重要性确定重点，关注重点区域和重点业务。
（六）及时性原则。评价应按照规定的时间间隔持续进行，当经营管理环境发生重大变化时，应及时重新评价。
第三章 评价内容
第一节 内部控制环境
第十条 商业银行公司治理。
商业银行应建立以股东大会、董事会、监事会、高级管理层等为主体的公司治理组织架构，保证各机构规范运作，分权制衡。
（一）完善股东大会、董事会、监事会及下设的议事和决策机构，建立议事规则和决策程序。
（二）明确董事会和董事、监事会和监事、高级管理层和高级管理人员在内部控制中的责任。
（三）建立独立董事制度，对董事会讨论事项发表客观、公正的意见。
（四）建立外部监事制度，对董事会、董事、高级管理层及其成员进行监督。
第十一条 董事会、监事会和高级管理层责任。
董事会负责保证商业银行建立并实施充分而有效的内部控制体系；负责审批整体经营战略和重大政策并定期检查、评价执行情况；负责确保商业银行在法律和政策的框架内审慎经营，明确设定可接受的风险程度，确保高级管理层采取必要措施识别、计量、监测并控制风险；负责审批组织机构；负责保证高级管理层对内部控制体系的充分性与有效性进行监测和评估。
监事会负责监督董事会、高级管理层完善内部控制体系；负责监督董事会及董事、高级管理层及高级管理人员履行内部控制职责；负责要求董事、董事长及高级管理人员纠正其损害商业银行利益的行为并监督执行。
高级管理层负责制定内部控制政策，对内部控制体系的充分性与有效性进行监测和评估；负责执行董事会决策；负责建立识别、计量、监测并控制风险的程序和措施；负责建立和完善内部组织机构，保证内部控制的各项职责得到有效履行。
董事会和高级管理层还应培育良好的内部控制文化，提高员工的风险意识和职业道德素质，建立通畅的内外部信息沟通渠道，确保及时获取与内部控制有关的人力、物力、财力、信息以及技术等资源。
第十二条 内部控制政策。
商业银行应在各项业务和管理活动中制定明确的内部控制政策，规定内部控制的原则和基本要求，并为制定和评审内部控制目标提供指导。内部控制政策应：
（一）与商业银行的经营宗旨和发展战略相一致；
（二）体现持续改进内部控制的要求；
（三）符合现行法律法规和监管要求；
（四）体现出侧重控制的风险类型；
（五）体现出对不同地区、行业、产品的风险控制要求；
（六）传达给适用岗位的员工，指导员工实施风险控制措施；
（七）可为风险相关方所获取，并寻求互利合作；
（八）定期进行评审，确保其持续的适宜性和有效性。
第十三条 内部控制目标。
商业银行应在相关职能和层次上建立并保持内部控制目标。内部控制目标应符合内部控制政策，并体现对持续改进的要求。
在建立和评审内部控制目标时，应考虑法律法规、监管要求和其他要求，以及技术、财务、经营和风险相关方等因素，尤其应考虑监管部门的内部控制指标要求。
内部控制目标应可测量。有条件时，目标应用指标予以量化。
第十四条 组织结构。
商业银行应建立分工合理、职责明确、报告关系清晰的组织结构，明确所有与风险和内部控制有关的部门、岗位、人员的职责和权限，并形成文件予以传达。特别应考虑：
（一）建立相应的授权体系，实行统一法人管理和法人授权。
（二）必要的职责分离，以及横向与纵向相互监督制约关系。
（三）涉及资产、负债、财务和人员等重要事项变动均不得由一个人独自决定。
（四）明确关键岗位、特殊岗位、不相容岗位及其控制要求。
（五）建立关键岗位定期或不定期的人员轮换和强制休假制度。
商业银行应设立负有内部控制体系建立、实施特殊责任的专门委员会或部门，明确其责任、权限和报告路线。
商业银行应设立全行系统垂直管理、具有充分独立性的内部审计部门。内部审计部门应配备具有相应资质和能力的审计人员；应有权获得商业银行的所有经营、管理信息；应根据对辖属机构的风险评级结果确定审计频率，以及对机构和业务的审计覆盖率，定期或不定期对内部控制的健全性和有效性实施检查、评价；应及时向董事会或董事会审计委员会提交审计报告；董事会及高级管理层应保证审计报告中指出的内部控制的缺失得到及时纠正整改；总行内部审计负责人的聘任和解聘应当经董事会或监事会同意。
第十五条 企业文化。
商业银行应培育健康的企业文化，对企业文化的内涵及其策划、渗透、评估与改进做出明确的规定。特别应向员工传达遵守法律法规和实施内部控制的重要性，引导员工树立合规意识和风险意识，提高员工职业道德水准，规范员工职业行为。
第十六条 人力资源。
商业银行应完善人力资源政策和程序，确保与风险和内部控制有关人员具备相应的能力和意识。
商业银行应明确与风险和内部控制有关人员的适任条件，明确有关教育、工作经历、培训和技能等方面的要求，以确保相关人员的胜任。
高级管理人员必须满足监管机构对高级管理人员资质的要求。
商业银行应制定并保持培训计划，以确保高级管理层和全体员工能够完成其承担的内部控制方面的任务和职责。培训计划应定期评审，并应考虑不同层次员工的职责、能力和文化程度以及所面临的风险。
商业银行应对员工引进、退出、选拔、绩效考核、薪酬、福利、专业技术职务管理处罚等日常人事管理做出详细规定，并充分考虑人力资源管理过程中的风险。
第二节 风险识别与评估
第十七条 经营管理活动风险识别与评估。
商业银行应建立和保持书面程序，以持续对各类风险进行有效的识别与评估。商业银行的主要风险包括信用风险、市场风险（含利率风险）、操作风险、国家和转移风险、流动性风险、法律风险以及声誉风险等。
应识别并确定常规和非常规的业务和管理活动，并识别这些活动中的风险（无论是否由内部产生），考虑其类型、来源及其影响范围，特别应考虑计算机系统的运用可能带来的风险。
应依据法律法规、监管要求以及内部控制政策确定风险是否可接受，以确定是否进一步采取措施。风险可接受时，应监测并定期评审，以确保其持续可接受；风险不可接受时，应制定控制措施。
商业银行对各类风险进行识别与评估时应充分考虑内部和外部因素。其中，内部因素包括组织结构的复杂程度、银行业务性质、机构变革以及员工的流动等；外部因素包括经济形势的波动、行业变动趋势等。
当环境和条件发生变化时，应及时对风险进行再识别和再评估，以确保任何新的和以前未曾予以控制的风险得到识别和控制。
风险识别与评估应：
（一）依据业务范围、性质和时限主动进行。
（二）评估风险的后果、概率和风险级别。
（三）必要时开发并运用风险量化评估的方法和模型。
第十八条 法律法规、监管要求和其他要求的识别。
商业银行应建立并保持识别和获取适用法律法规、监管要求和其他要求的程序，作为风险识别与评估、制订控制目标和控制方案的依据。
商业银行应及时更新法律法规、监管要求和其他要求的信息，并将这些信息传达给相关员工和其他风险相关方。
第十九条 内部控制方案。
商业银行应制定内部控制方案，以控制已识别的不可接受风险。内部控制措施方案应包括以下内容：
（一）为实现对风险的控制而规定的相关职责与权限。
（二）控制的策略、方法、资源需求和时限要求。
若涉及到组织结构、流程、计算机系统等方面的重大变更，应考虑可能产生的新风险。
第三节 内部控制措施
第二十条 运行控制。
商业银行应确定需要采取控制措施的业务和管理活动，依据所策划的控制措施或已有的控制程序对这些活动加以控制。
（一）控制措施包括：
1.高层检查。董事会与高级管理层应要求下级部门及时报告经营管理情况和特别情况，以检查内部控制的实施状况以及在实现内部控制目标方面的进展。高级管理层应根据检查情况提出内部控制缺失情况，督促职能管理部门改进。
2.行为控制。各级职能管理部门审查每天、每周或每月收到的经营管理情况和特别情况专项报表或报告，提出问题，要求采取纠正整改措施。
3.实物控制。主要的控制措施包括实物限制、双重保管和定期盘存等。
4.风险暴露限制的审查。审查遵循风险暴露限制方面的合规性，违规时继续跟踪检查。
5.审批与授权。根据若干限制条件对各项业务、管理活动进行审批与授权，明确各级的管理责任。
6.验证与核实。验证各项业务、管理活动以及所采用的风险管理模型结果，并定期核实相关情况，及时发现需要修正的问题，并向职能管理部门报告。
7.不兼容岗位的适当分离。实行适当的职责分工，认定潜在的利益冲突并使之最小化。
（二）控制要点包括：
1.对于可能导致偏离内部控制政策、目标的运行情况，应建立并保持书面程序和要求，并在程序中规定操作和控制标准。
2.对于重要活动应实施连续记录和监督检查。
3.在可能的情况下，应考虑运用计算机系统进行控制。
4.对于采购或外包的设施、设备、系统和服务中已识别的风险，应建立并保持控制程序，并将有关程序和要求通报供方，确保其遵守商业银行相关的控制要求。
5.对于产品、组织结构、流程、计算机系统的设计过程，应建立有效的控制程序。
第二十一条 计算机系统环境下的控制。
商业银行应考虑计算机系统环境下的业务运行特征，建立信息安全管理体系，对硬件、操作系统和应用程序、数据和操作环境，以及设计、采购、安全和使用实施控制，确保信息的完整性、安全性和可用性。明确计算机信息系统开发部门、管理部门与应用部门的职责，建立和健全计算机信息系统风险防范的制度，确保计算机信息系统设备、数据、系统运行和系统环境的安全。
第二十二条 应急准备与处置。
商业银行应建立并保持预案和程序，以识别可能发生的意外事件或紧急情况（包括计算机系统）。意外事件和紧急情况发生时，应及时做出应急处置，以预防或减少可能造成的损失，确保业务持续开展。
商业银行应定期检查、维护应急的设施、设备和系统，确保其处于适用状态。如可行，应定期测试应急预案。
商业银行应评审其应急预案，特别是意外事件或紧急情况发生之后。应急准备应与可能发生的意外事件或紧急情况（包括事故、险情）的性质相适应。
第四节 监督评价与纠正
第二十三条 内部控制绩效监测。
商业银行应建立并保持书面程序，通过适宜的监测活动，对内部控制绩效进行持续监测。
监测内容包括：
（一）内部控制目标实现程度。
（二）法律、法规及监管要求的遵循程度。
（三）事故、险情和其他不良的内部控制绩效的历史情况。
第二十四条 违规、险情、事故处置和纠正及预防措施。
商业银行应建立并保持书面程序，对违规、险情、事故的发现、报告、处置和纠正及预防措施做出规定，包括：
（一）发现违规、险情、事故并及时报告，必要时，可越级报告。
（二）及时处置违规、险情、事故。
（三）制定纠正与预防措施，防止违规、险情、事故的发生和再发生，并与问题的大小和风险危害程度相一致。
（四）纠正与预防措施在实施之前应进行风险评估。
（五）实施并跟踪、验证纠正与预防措施。
（六）险情和事故的责任追究。
第二十五条 内部控制体系评价。
商业银行应建立并保持书面程序，对内部控制体系实施评价，确保内部控制体系的充分性、合规性、有效性和适宜性。程序应包括评价的目的、准则、范围、频率、方法以及职责与要求。
评价应考虑活动的风险评估结果、业务和管理流程和以前的评价结果等，覆盖体系范围内的所有活动。
可根据评价结果确定内部控制水平的等级。被评价机构的管理者应采取措施消除违规原因，并验证所采取措施的效果。
评价应由与评价的活动无直接责任的人员进行，评价人员应具备相应的知识，能够胜任评价工作。
第二十六条 管理评审。
董事会应采取措施保证定期对内部控制状况进行评审，确保体系得到持续、有效的改进。
（一）管理评审应包括以下方面的内容：
1.内部控制体系评价的结果。
2.内部控制政策执行情况和内部控制目标实现情况。
3.对内部控制体系有重要影响的外部信息，如法律、法规的重大变化。
4.组织结构的重大调整。
5.事故和险情以及重大纠正和预防措施的状况。
6.以往管理评审的跟踪情况。
7.内部控制体系改进的建议。
（二）管理评审应就以下方面提出改进措施并落实：
1.内部控制体系及其过程的改进。
2.内部控制政策、目标的变更。
3.与内部控制有关资源的需求。
第二十七条 持续改进。
商业银行应利用内部控制政策、内部控制目标、评价结果、绩效监测和数据分析、纠正和预防措施以及管理评审等，持续提高内部控制体系有效性。
第五节 信息交流与反馈
第二十八条 交流与沟通。
商业银行应建立并保持信息交流与沟通的程序，明确对财务、管理、业务、重大事件和市场信息等相关信息识别、收集、处理、交流、沟通、反馈、披露的渠道和方式。
商业银行应识别其内部和外部的风险相关方，考虑他们的要求和目标，建立与这些相关方进行信息交流的机制，确保：
（一）董事会和高级管理层能够及时了解业务信息、管理信息以及其他重要风险信息。
（二）所有员工充分了解相关信息、遵守涉及其责任和义务的政策和程序。
（三）险情、事故发生时，相关信息能得到及时报告和有效沟通。
（四）及时、真实、完整地向监管机构和外界报告、披露相关信息。
（五）国内外经济、金融动态信息的取得和处理，并及时把与企业既定经营目标有关的信息提供给各级管理层。
信息交流与沟通应考虑信息的安全性和保密性要求。相关信息报告、发布、披露应经过授权。
为保持信息交流沟通的可追溯性，必要时，应保持相关信息交流与沟通的记录。
第二十九条 内部控制体系对文件的要求。
建立和保持文件化体系是实现信息交流与反馈的重要途径。商业银行应建立并保持必要的内部控制体系文件，包括：
（一）对内部控制体系要素及其相互作用的描述。
（二）内部控制政策和目标。
（三）关键岗位及其职责与权限。
（四）不可接受的风险及其预防和控制措施。
（五）控制程序、作业指导、方案和其他内部文件。
第三十条 文件控制。
商业银行应建立并保持书面程序，以确保内部控制体系所要求的文件满足下列要求：
（一）易于查询。
（二）实施前得到授权人的批准。
（三）定期评审，必要时予以修订并由授权人员确认其适宜性。
（四）所有相关岗位都能得到有效版本。
（五）失效时，及时从所有发放处和使用处收回，或采取其他措施防止误用。
（六）及时识别、处置外来文件并进行标识，必要时转化为内部文件。
（七）留存的档案性文件和资料应予以适当标识。
第三十一条 记录控制。
商业银行应建立并保持书面程序，以规定内部控制相关活动中所涉及记录的标识、生成、贮存、保护、检索、保存期限和处置。
记录应保持清晰、易于识别和检索，以提供符合要求和内部控制体系有效运行的证据，并可追溯到相关的活动。
第四章 评价程序和方法
第三十二条 内部控制评价程序一般包括评价准备、评价实施、评价报告形成和反馈等步骤。
第三十三条 评价准备。
组成评价组。评价组应考虑组成人员的背景和能力。必要时，可聘请业务或管理方面的专家。
制订评价实施方案。实施方案应明确本次评价的目的、范围、准则、时间安排和相应的资源配置。
准备必要的工作文件。主要包括评价问卷、抽样计划、被评价机构的内部控制体系文件及相关记录等。
在现场评价前应先与被评价机构建立初步联系，以便确认有关评价事项和安排。
第三十四条 评价实施。
评价组应按照既定的评价方案实施评价。在评价实施中应就评价组内部以及评价组与被评价机构之间的沟通做出正式安排，通过适当的方法收集与评价目的、范围和准则有关的信息，根据评价方案对被评价项目进行测试，对有关数据进行确认和分析，并予以记录。
评价实施的具体方法见第三十九条至四十三条。
第三十五条 评价报告形成。
评价组根据评价实施情况，撰写评价报告，应重点分析以下方面：
（一）被评价机构内部控制体系现状、存在问题及趋势分析。
（二）同类银行比较。
（三）监管建议。
（四）可能的谅解因素。
第三十六条 评价反馈。
对被评价机构内部控制体系进行综合评价后，应与被评价机构管理层沟通，以核对数据，确认事实，并就评价中的问题征求意见。
第三十七条 银监会及其派出机构根据评价报告，依据有关法律和规定，做出评价结论和处理决定，并以书面形式正式发送被评价机构，限期整改。同时，评价结论应报上级机构。
第三十八条 内部控制评价方法是为实现评价目的，对被评价机构内部控制体系进行分析和评价而采取的技术和手段的总称。
第三十九条 内部控制评价实施包括：
了解内部控制体系。应了解被评价机构内部控制体系的基本情况，确认评价范围，确定被评价机构的内部控制体系的健全程度，然后决定实施测试所采取的方法。
实施测试和分析。实施测试和分析是在了解内部控制体系的基础上，评价内部控制体系的运行与绩效。具体可以采取符合性测试和指标分析等，其中，对内部控制过程评价主要采取符合性测试法；对内部控制结果评价，主要采取指标分析法。
第四十条 了解内部控制体系。
了解被评价机构内部控制体系主要通过询问、查阅、观察、流程图等方法进行，以初步评价被评价机构内部控制体系的充分性和合规性。
第四十一条 符合性测试。
符合性测试是获得评价证据以证实内部控制在实际中的合规性、有效性和适宜性，即相关规定在实际中是否被一贯执行，控制措施能否达到控制目的，控制措施是否恰当。符合性测试分为两种形式：
（一）业务测试，即对重要业务或典型业务进行测试，按照规定的业务处理程序进行检查，确认有关控制点是否符合规定并得到认真执行，以判断内部控制的遵循情况。
（二）功能测试，即对某项控制的特定环节，选择若干时期的同类业务进行检查，确认该环节的控制措施是否一贯或持续发挥作用。
符合性测试的具体方法包括抽样法、穿行测试法、证据检查法和压力测试法等。
第四十二条 测试抽样。
抽样样本取决于被评价机构或被评价项目的风险、业务频次、重要性等。可在根据业务频次抽样的基础上，结合被评价项目的风险和重要性进行调整。
根据业务频次确定的抽样量参考标准如下：
（一）每月执行一次的业务或事项，抽样量应保持在2-6个之间。
（二）每周执行一次的业务或事项，抽样量应保持在4-10个之间。
（三）每日执行一次的业务或事项，抽样量应保持在10-25个之间。
（四）每日执行多次的业务或事项，全年10000次以下的，抽样量应保持在25-50个之间；全年10000次以上的，抽样量应保持在50个以上。
第四十三条 指标分析。
应收集被评价机构内部控制结果指标的相关信息，进行核实、对比分析和趋势分析，从而对内控目标实现情况做出评价。
第五章 评分标准和评价等级
第四十四条 内部控制评价采取评分制。对内部控制的过程和结果分别设置一定的标准分值，并根据评价得分确定被评价机构的内部控制等级。
第四十五条 内部控制过程评价的标准分为500分，其中：内部控制环境100分、风险识别与评估100分、内部控制措施100分、信息交流与反馈100分、监督评价与纠正100分。上述五部分评价得分加总除以5，得到过程评价的实际得分。
第四十六条 在对内部控制过程评价时，应按照第三章评价内容的要求，结合本办法第八条的四个方面展开，转换为具体评价问题，并根据测试情况对被评价项目进行评分。
第四十七条 初次实施内部控制评价时，须对所有业务活动、管理活动和支持保障活动进行评价。再次评价时，至少应包括：授信业务、资金业务、存款及柜台业务、主要中间业务、计划财务、会计管理、计算机信息系统等。其他活动在每三次再次评价周期内应至少覆盖一次。
第四十八条 内部控制过程评价的具体评分标准如下：
（一）被评价对象的过程和风险已被充分识别的，可得该项分值的百分之二十。
（二）在满足前项的基础上，被评价项目的过程和对风险的控制措施被规定并遵循要求的，可得该项分值的百分之三十。
（三）在满足前两项的基础上，被评价项目的规定得到实施和保持，可再得该项分值的百分之三十。
（四）在满足前三项的基础上，被评价项目在实现风险控制的结果方面，控制措施有效且适宜的，可再得该项分值的百分之二十。
第四十九条 在测试过程中遇有业务缺项或问题"不适用"时，应将涉及到的分值在评价项目总分中扣减。为了保持可比性，在得出其余适用项的总分后，还应将该评价项目的总得分进行调整。
调整后评价项目总得分= 所有适用项目得分/(评价项目总分-不适用项目总分) ×100%
单项分值小计和总分分值有小数时四舍五入。
第五十条 若涉及到需要采取抽样测试确定评价结论的，应根据以下情况确定：
（一）如果在抽样范围内未发现违规，该项评价得满分；在抽样范围内，发现两项以上违规（含两项），该项评价不得分；仅发现一项违规的，应扩大一倍抽样，在扩大抽样范围内未发现新的违规的，可得该评价项目分值的50%，在扩大抽样范围内又发现新的违规的，该评价项目不得分。
（二）发现险情或事故的，直接扣除该评价项目的分值。
第五十一条 内部控制的结果评价。结果评价主要评价内部控制目标的实现情况，对这些指标的量化评价可以通过非现场的方式进行。结果评价主要包括十项指标：资本利润率、资产利润率、成本收入比、大额风险集中度指标、关联方交易指标、资产质量指标、不良贷款拨备覆盖率、资本充足指标、流动性指标、案件指标等，指标说明及控制比例见附录。内控结果评价指标的标准分值为500分，转化为百分制后得出实际得分。
不分页显示 总共2页 1 [2]
下一页
