商业银行内部控制评价试行办法
商业银行内部控制评价试行办法 中国银行业监督管理委员会令（2004年第9号） 《商业银行内部控制评价试行办法》已经2004年8月20日中国银行业监督管理委员会第25次 主席会议通过，现予公布，自2005年2月1日起施行。 主席 刘明康 二○○四年十二月二十五日 商业银行内部控制评价试行办法 第一章 总 则 第一条 为规范和加强对商业银行内部控制的评价，督促其进一步建立内部控制体系，健全内部 控制机制，为全面风险管理体系的建立奠定基础，保证商业银行安全稳健运行，根据《中 华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，制定本办 法。 第二条 商业银行内部控制评价是指对商业银行内部控制体系建设、实施和运行结果独立开展的 调查、测试、分析和评估等系统性活动。 内部控制评价包括过程评价和结果评价。过程评价是对内部控制环境、风险识别与评估 、内部控制措施、监督评价与纠正、信息交流与反馈等体系要素的评价。结果评价是对 内部控制主要目标实现程度的评价。 第三条 商业银行内部控制体系是商业银行为实现经营管理目标，通过制定并实施系统化的政策 、程序和方案，对风险进行有效识别、评估、控制、监测和改进的动态过程和机制。 第四条 商业银行应建立并保持系统、透明、文件化的内部控制体系，定期或当有关法律法规和 其他经营环境发生重大变化时，对内部控制体系进行评审和改进。 第五条 商业银行内部控制评价由中国银行业监督管理委员会（以下简称银监会）及其派出机构 组织实施。 第六条 内部控制评价人员应接受有关内部控制评价知识和技能的培训，具备相应的资质和能力 。 第二章 评价目标和原则 第七条 商业银行内部控制评价的目标主要包括： （一）促进商业银行严格遵守国家法律法规、银监会的监管要求和商业银行审慎经营原 则。 （二）促进商业银行提高风险管理水平，保证其发展战略和经营目标的实现。 （三）促进商业银行增强业务、财务和管理信息的真实性、完整性和及时性。 （四）促进商业银行各级管理者和员工强化内部控制意识，严格贯彻落实各项控制措施 ，确保内部控制体系得到有效运行。 （五）促进商业银行在出现业务创新、机构重组及新设等重大变化时，及时有效地评估 和控制可能出现的风险。 第八条 内部控制评价应从充分性、合规性、有效性和适宜性等四个方面进行： （一）过程和风险是否已被充分识别。 （二）过程和风险的控制措施是否遵循相关要求、得到明确规定并得以实施和保持。 （三）控制措施是否有效。 （四）控制措施是否适宜。 第九条 内部控制评价应遵循以下原则： （一）全面性原则。评价范围应覆盖商业银行内部控制活动的全过程及所有的系统、部 门和岗位。 （二）统一性原则。评价的准则、范围、程序和方法等应保持一致，以确保评价过程的 准确及评价结果的客观和可比。 （三）独立性原则。评价应由银监会或受委托评价机构独立进行。 （四）公正性原则。评价应以事实为基础，以法律法规、监管要求为准则，客观公正， 实事求是。 （五）重要性原则。评价应依据风险和控制的重要性确定重点，关注重点区域和重点业 务。 （六）及时性原则。评价应按照规定的时间间隔持续进行，当经营管理环境发生重大变 化时，应及时重新评价。 第三章 评价内容 第一节 内部控制环境 第十条 商业银行公司治理。 商业银行应建立以股东大会、董事会、监事会、高级管理层等为主体的公司治理组织架 构，保证各机构规范运作，分权制衡。 （一）完善股东大会、董事会、监事会及下设的议事和决策机构，建立议事规则和决策 程序。 （二）明确董事会和董事、监事会和监事、高级管理层和高级管理人员在内部控制中的 责任。 （三）建立独立董事制度，对董事会讨论事项发表客观、公正的意见。 （四）建立外部监事制度，对董事会、董事、高级管理层及其成员进行监督。 第十一条 董事会、监事会和高级管理层责任。 董事会负责保证商业银行建立并实施充分而有效的内部控制体系；负责审批整体经营战 略和重大政策并定期检查、评价执行情况；负责确保商业银行在法律和政策的框架内审 慎经营，明确设定可接受的风险程度，确保高级管理层采取必要措施识别、计量、监测 并控制风险；负责审批组织机构；负责保证高级管理层对内部控制体系的充分性与有效 性进行监测和评估。 监事会负责监督董事会、高级管理层完善内部控制体系；负责监督董事会及董事、高级 管理层及高级管理人员履行内部控制职责；负责要求董事、董事长及高级管理人员纠正 其损害商业银行利益的行为并监督执行。 高级管理层负责制定内部控制政策，对内部控制体系的充分性与有效性进行监测和评估 ；负责执行董事会决策；负责建立识别、计量、监测并控制风险的程序和措施；负责建 立和完善内部组织机构，保证内部控制的各项职责得到有效履行。 董事会和高级管理层还应培育良好的内部控制文化，提高员工的风险意识和职业道德素 质，建立通畅的内外部信息沟通渠道，确保及时获取与内部控制有关的人力、物力、财 力、信息以及技术等资源。 第十二条 内部控制政策。 商业银行应在各项业务和管理活动中制定明确的内部控制政策，规定内部控制的原则和 基本要求，并为制定和评审内部控制目标提供指导。内部控制政策应： （一）与商业银行的经营宗旨和发展战略相一致； （二）体现持续改进内部控制的要求； （三）符合现行法律法规和监管要求； （四）体现出侧重控制的风险类型； （五）体现出对不同地区、行业、产品的风险控制要求； （六）传达给适用岗位的员工，指导员工实施风险控制措施； （七）可为风险相关方所获取，并寻求互利合作； （八）定期进行评审，确保其持续的适宜性和有效性。 第十三条 内部控制目标。 商业银行应在相关职能和层次上建立并保持内部控制目标。内部控制目标应符合内部控 制政策，并体现对持续改进的要求。 在建立和评审内部控制目标时，应考虑法律法规、监管要求和其他要求，以及技术、财 务、经营和风险相关方等因素，尤其应考虑监管部门的内部控制指标要求。 内部控制目标应可测量。有条件时，目标应用指标予以量化。 第十四条 组织结构。 商业银行应建立分工合理、职责明确、报告关系清晰的组织结构，明确所有与风险和内 部控制有关的部门、岗位、人员的职责和权限，并形成文件予以传达。特别应考虑： （一）建立相应的授权体系，实行统一法人管理和法人授权。 （二）必要的职责分离，以及横向与纵向相互监督制约关系。 （三）涉及资产、负债、财务和人员等重要事项变动均不得由一个人独自决定。 （四）明确关键岗位、特殊岗位、不相容岗位及其控制要求。 （五）建立关键岗位定期或不定期的人员轮换和强制休假制度。 商业银行应设立负有内部控制体系建立、实施特殊责任的专门委员会或部门，明确其责 任、权限和报告路线。 商业银行应设立全行系统垂直管理、具有充分独立性的内部审计部门。内部审计部门应 配备具有相应资质和能力的审计人员；应有权获得商业银行的所有经营、管理信息；应 根据对辖属机构的风险评级结果确定审计频率，以及对机构和业务的审计覆盖率，定期 或不定期对内部控制的健全性和有效性实施检查、评价；应及时向董事会或董事会审计 委员会提交审计报告；董事会及高级管理层应保证审计报告中指出的内部控制的缺失得 到及时纠正整改；总行内部审计负责人的聘任和解聘应当经董事会或监事会同意。 第十五条 企业文化。 商业银行应培育健康的企业文化，对企业文化的内涵及其策划、渗透、评估与改进做出 明确的规定。特别应向员工传达遵守法律法规和实施内部控制的重要性，引导员工树立 合规意识和风险意识，提高员工职业道德水准，规范员工职业行为。 第十六条 人力资源。 商业银行应完善人力资源政策和程序，确保与风险和内部控制有关人员具备相应的能力 和意识。 商业银行应明确与风险和内部控制有关人员的适任条件，明确有关教育、工作经历、培 训和技能等方面的要求，以确保相关人员的胜任。 高级管理人员必须满足监管机构对高级管理人员资质的要求。 商业银行应制定并保持培训计划，以确保高级管理层和全体员工能够完成其承担的内部 控制方面的任务和职责。培训计划应定期评审，并应考虑不同层次员工的职责、能力和 文化程度以及所面临的风险。 商业银行应对员工引进、退出、选拔、绩效考核、薪酬、福利、专业技术职务管理处罚 等日常人事管理做出详细规定，并充分考虑人力资源管理过程中的风险。 第二节 风险识别与评估 第十七条 经营管理活动风险识别与评估。 商业银行应建立和保持书面程序，以持续对各类风险进行有效的识别与评估。商业银行 的主要风险包括信用风险、市场风险（含利率风险）、操作风险、国家和转移风险、流 动性风险、法律风险以及声誉风险等。 应识别并确定常规和非常规的业务和管理活动，并识别这些活动中的风险（无论是否由 内部产生），考虑其类型、来源及其影响范围，特别应考虑计算机系统的运用可能带来 的风险。 应依据法律法规、监管要求以及内部控制政策确定风险是否可接受，以确定是否进一步 采取措施。风险可接受时，应监测并定期评审，以确保其持续可接受；风险不可接受时 ，应制定控制措施。 商业银行对各类风险进行识别与评估时应充分考虑内部和外部因素。其中，内部因素包 括组织结构的复杂程度、银行业务性质、机构变革以及员工的流动等；外部因素包括经 济形势的波动、行业变动趋势等。 当环境和条件发生变化时，应及时对风险进行再识别和再评估，以确保任何新的和以前 未曾予以控制的风险得到识别和控制。 风险识别与评估应： （一）依据业务范围、性质和时限主动进行。 （二）评估风险的后果、概率和风险级别。 （三）必要时开发并运用风险量化评估的方法和模型。 第十八条 法律法规、监管要求和其他要求的识别。 商业银行应建立并保持识别和获取适用法律法规、监管要求和其他要求的程序，作为风 险识别与评估、制订控制目标和控制方案的依据。 商业银行应及时更新法律法规、监管要求和其他要求的信息，并将这些信息传达给相关 员工和其他风险相关方。 第十九条 内部控制方案。 商业银行应制定内部控制方案，以控制已识别的不可接受风险。内部控制措施方案应包 括以下内容： （一）为实现对风险的控制而规定的相关职责与权限。 （二）控制的策略、方法、资源需求和时限要求。 若涉及到组织结构、流程、计算机系统等方面的重大变更，应考虑可能产生的新风险。 第三节 内部控制措施 第二十条 运行控制。 商业银行应确定需要采取控制措施的业务和管理活动，依据所策划的控制措施或已有的 控制程序对这些活动加以控制。 （一）控制措施包括： 1.高层检查。董事会与高级管理层应要求下级部门及时报告经营管理情况和特别情况， 以检查内部控制的实施状况以及在实现内部控制目标方面的进展。高级管理层应根据检 查情况提出内部控制缺失情况，督促职能管理部门改进。 2.行为控制。各级职能管理部门审查每天、每周或每月收到的经营管理情况和特别情况 专项报表或报告，提出问题，要求采取纠正整改措施。 3.实物控制。主要的控制措施包括实物限制、双重保管和定期盘存等。 4.风险暴露限制的审查。审查遵循风险暴露限制方面的合规性，违规时继续跟踪检查。 5.审批与授权。根据若干限制条件对各项业务、管理活动进行审批与授权，明确各级的 管理责任。 6.验证与核实。验证各项业务、管理活动以及所采用的风险管理模型结果，并定期核实 相关情况，及时发现需要修正的问题，并向职能管理部门报告。 7.不兼容岗位的适当分离。实行适当的职责分工，认定潜在的利益冲突并使之最小化。 （二）控制要点包括： 1.对于可能导致偏离内部控制政策、目标的运行情况，应建立并保持书面程序和要求， 并在程序中规定操作和控制标准。 2.对于重要活动应实施连续记录和监督检查。 3.在可能的情况下，应考虑运用计算机系统进行控制。 4.对于采购或外包的设施、设备、系统和服务中已识别的风险，应建立并保持控制程序 ，并将有关程序和要求通报供方，确保其遵守商业银行相关的控制要求。 5.对于产品、组织结构、流程、计算机系统的设计过程，应建立有效的控制程序。 第二十一条 计算机系统环境下的控制。 商业银行应考虑计算机系统环境下的业务运行特征，建立信息安全管理体系，对硬件、 操作系统和应用程序、数据和操作环境，以及设计、采购、安全和使用实施控制，确保 信息的完整性、安全性和可用性。明确计算机信息系统开发部门、管理部门与应用部门 的职责，建立和健全计算机信息系统风险防范...
商业银行内部控制评价试行办法