论文部分内容阅读
2010年岁末，齐鲁银行惊爆出特大金融诈骗案，这一事件由于涉案银行众多、涉案金额巨大而再度让银行业的风险管控成为市场关注的焦点。除齐鲁银行诈骗案外，“天宝系”贷款案、北京农商行骗贷案等金额巨大的金融诈骗案不断发生。巴塞尔银行监管委员会早在2002年就对操作风险进行了全球性调查，发现全世界每年因操作风险发生的损失竟高达77.95亿欧元。如此巨量的金融风险问题，其根本原因究竟在哪里？是商业银行的风险管控意识薄弱，抑或是商业银行的发展模式存在问题？是外部监管的不力，抑或是社会监督力量的无奈？还是上述原因兼而有之？防范金融风险在金融界是永恒的主题。目前，在我国资本市场尚不完善、社会融资大量依托于银行的情况下，从齐鲁银行案件引发对银行业经营方式和风险管控及外部监督的思考，尤为迫切！
一、齐鲁银行事件回放
齐鲁银行事件源起刘济源与银行、企业运作多年，且原本皆大欢喜的第三方存贷质押业务。所谓第三方存贷质押，是指企业在商业银行协议存款后，为第三方从商业银行贷款提供存单质押，作为第三方贷款的第二还款来源。存款行和贷款行可为同一家银行，也可是不同的银行，后者即为跨行存单抵押贷款业务。协议存款的利率要比官方利率略高一些，这也是此案最初传出齐鲁银行“高息揽存”的消息缘由。
齐鲁银行事件可简单用图1的几组关系进行解释。第三方存贷质押设计的初衷是：存款企业A为贷款人B进行第三方存贷质押，因此A和银行之间就会因为协议存款而获取高于官方利率的利息收益；银行由于有了A的第二还款源，降低了贷款风险，乐意给贷款人B贷款；贷款人B因此也获得了其想要的资金。可见，这原本是一个多赢的制度设计。
在齐鲁银行案件中，刘济源的角色是一个资金掮客，为商业银行引来存款大户，同时他也是通过存单质押获得贷款的资金使用大户。他为银行做大存款和贷款规模，可谓功不可没，银行必有内应。事实上，齐鲁银行某支行业务经理傅某在2006年就开始与刘济源勾结，开具了“有瑕疵”的存单，并将该存单抵押贷款，再将贷款获得的现金存入银行，循环往复，以此做大存贷款规模。这种纯粹的资金运作使得经出库再入库的存单有了很大的水分，但对银行来说，可以制造息差收入，粉饰业绩。而如此大规模而长期的操作，人们很难想象没有银行高层的默许，这也是之后齐鲁银行董事长、行长、监事长被抓捕的原因。同时，随着一系列企业渐渐浮出水面，可以揣度刘济源和提供存款的企业之间也存在着可疑的合作关系，他给予相关人等高息揽存的利益，亦用投资收益来覆盖其高昂的资金成本。
二、齐鲁银行事件原因分析—内外叠加，内控薄弱
金融票证是金融市场的一项较为传统的银行业务，各地商业银行早已有着一套极为成熟的防范风险制度和举措。但联想到之前的北京农商行骗贷案等事件，其诈骗手法之低劣、骗取金额之巨大，让人不禁要究其根本原因何在？就齐鲁银行案件，笔者认为有以下原因促成了最终的案发。
1．银行业务扩张是导火索
在国际金融危机加剧和国内经济增长下行压力加大的形势下，我国政府果断采取4万亿扩大内需的投资计划，带来了银行配套资金的大量释放，信贷狂潮持续至今（如图2所示）。
在信贷宽松、存贷款利差受到保护的情况下，中国银行业的发展模式显得非常简单。在银行业粗放式发展模式下，许多城商行资产规模、贷款投放和机构网点均数倍增长。截至2010年年末，齐鲁银行总资产821.25亿元，较年初增长33.03%；各项存款余额656.93亿元，增长20.20%；各项贷款余额421.53亿元，增长19.49%。其资产规模和存贷款指标相当于1996年成立之初的25倍。截至2010年，齐鲁银行分支机构达到78家。在业务经营上，齐鲁银行则为膨胀信贷而“积极创新”。不但知识产权可质押贷款，还可做跨行存单质押贷款，对他行存款凭存款证实书质押到齐鲁银行贷款，最高可贷九成；还引入“循环信用”、第一个将个人住房按揭利率下浮30%等所谓的流程创新和营销创新①。
近些年来，齐鲁银行在追逐信贷大规模扩张并且为膨胀信贷而积极展开“创新”以获取存贷高息差之时，忽视了对风险的监控，这就给了伪造金融票证骗取资金者以可乘之机。忽视风险管理对于高负债经营的银行业而言是致命伤，随着经济增长的减缓甚至下滑，风险终究是会水落石出的。
2．内控薄弱是直接原因
翻开齐鲁银行2009年的年报摘要，其组织架构显示，该行业务部门不仅设有中台控制，例如信贷审批部和运营部，全行也设有风险管理部和合规部对内部控制和风险进行管控，而且在董事会审计委员会下还独立地设有具有较高权威性的内审部，从而构成了风险管理的三道防线。可见，齐鲁银行的内部控制组织架构在形式上还是相对完善的。但就是在这形式完善的组织架构下还是发生了如此大额的骗贷案，可见其组织架构的形同虚设和内控执行的不力。
管理层的态度直接决定了银行内部控制的环境。当管理层对内控建设不重视，甚至直接参与舞弊的时候，形式上看起来再完备的内部控制制度都是一纸空文。此外，内控的失效还表现在银行工作人员的道德风险上。当高管层开始践踏内部控制制度时，很难想象银行还拥有稳健经营和风险管控的文化，因此齐鲁银行的内部管理一定存在某种程度的不当，忽视对员工的职业道德教育。
3．外部监管缺失，外部审计力不从心
在监管国际接轨的理念下，金融业的监管队伍越来越庞大，监管要求也是越来越规范和严格，但这些日趋严格的监管主要针对大型的商业银行，早期的股份制银行、区域性银行、农村信用社和城市商业银行等中小银行的监管，尚存不少漏洞。其根源在于这些银行直接隶属于地方政府管理②，监管部门受地方政府压力驱使，只是业务上的监管，因此监管很难到位。
其次，外部审计显得力不从心。齐鲁银行高额骗贷案的风险痕迹早在2010年初就露出端倪，媒体获得的《齐鲁银行股份有限公司2009年度财务报表及审计报告》显示，该行第三方存款质押业务存在诸多问题，且由于普华永道坚持将骗贷风险的“保留意见”写进审计报告，齐鲁银行更换了负责审计的会计师事务所③，可见其外部审计发挥不了应有的第三方的独立监督作用。 三、对商业银行业务经营和风险管控的警示
陈汉文教授（2010）发布的中国上市公司内部控制指数（2007～2009年的数据）以及深圳迪博企业风险管理技术公司发布的《中国上市公司2010年内部控制白皮书》显示，金融行业公司的内部控制质量在我国所有上市公司中最高，全部位于内部控制百强之列，内部控制指数最高的前5家企业全部是银行业，前十家企业中有9家是银行，另一家是证券公司，也属于金融行业。然而，在美国注册舞弊审查师协会（ACFE）、普华永道（PWC）和毕马威（KPMG）等三个机构的四份调查研究中指出，银行业等金融机构的舞弊发生率最高！纵观近些年来的舞弊欺诈案件，也是大量地发生在金融行业，而且一旦案发即产生重大损失，引起社会对银行业的普遍信任危机，这与银行业高风险经营的行业特征以及其承担的金融经济责任相关。加强银行业的风险管理、完善内部控制制度，提升公司治理水平，将不仅关系到一个银行的生存和发展，而且关系到整个社会的经济金融稳定。
从齐鲁银行的金融票证诈骗案件中可以得出我国商业银行业务经营和风险管控的一些警示。
1．注重业务发展的同时，要兼顾风险管控
在4万亿投资计划刺激下，我国银行业信贷投放节奏一度失控，而且信贷集中投放往往伴随着“重放轻管”等不审慎行为。在这样的环境下，我国商业银行在快速扩张甚至国际化扩张的过程中，要充分重视风险的管理和控制，要明确自身的市场定位，追求稳健的资本和资产回报率，提升客户满意度，形成自身的核心竞争力。
2．加强银行体制机制建设，提高公司治理水平
我国商业银行组织架构呈现典型的“金字塔”结构，例如内部形成总行、一级分行、二级分行、支行、网点的科层组织关系，这种管理层次过多，管理链条过程繁杂，信息不对称程度严重；而且地方政府对银行在当地的分支机构和当地法人银行具有很强的影响力和控制力，难以完全按照市场化机制运作。因此，我国商业银行需要股东大会、董事会、监事会和经营管理层各司其职、相互制衡，更需要各个部门之间的高效运作，提升诸多机制整体配合，以有效提高公司治理水平。
3．加强对商业银行的外部监管和外部审计
保障金融体系的安全和稳定，离不开金融机构以外的其他力量对其进行必要的监督和管理。在国际金融危机之后，国际金融监管更趋严格，不仅关注单个金融机构的运行风险，还关注整个金融系统的系统性风险，称为微观和宏观审慎监管相结合的监管模式。外部审计作为专业性的第三方中介机构，具有对政府监管职能缺损的补充和补救作用。为了增强审计机构的独立性，商业性审计机构需要相关法规和监管机构的“撑腰”，让审计机构敢于站在中立的角度分析和披露问题。
4．按市场法则和法律程序处理相关问题
我国由于地方保护主义、部门利益的驱使，出现问题后往往无法分清责任，加之我国存在着政府机构及其商业附属机构参与金融投机活动的现象，造成了违规操作和信息不对称等不公平交易。因此，我们要借鉴发达市场经济的成功经验，建立适应社会经济金融发展的需要、与社会政治文化协调、具有适应变革和环境变化的能力金融监管体制，促进金融市场依法健康发展。
四、如何完善商业银行的内部控制制度
内控制度是金融企业各级管理部门为了保护金融资产的安全完整，确保业务信息的可靠完整，协调经济活动，利用企业内部因分工而产生的相互制约、相互联系的关系，形成的一些具有控制职能的方法、措施和程序，并予以规范化、系统化，使之成为一个严密的、较为完整的体系。自2008年以来，财政部等五部委联合发布了《企业内部控制基本规范》和《企业内部控制配套指引》，这无疑为商业银行建立和完善内部控制体系提供了有利契机，上市商业银行应该适时利用这一契机，切实做好内部控制建设、梳理、实施与评价工作；而对非上市的银行而言，也要高度重视，一方面向内控先行的银行学习，另一方面要苦练内功，不仅为满足外部监管提前做好准备，更应将其转变为健全公司治理的内在诉求。以下就如何完善商业银行的内部控制提出对策分析。
1．营造良好的银行内部控制环境
一是要建立规范、有效的治理结构，明确划分股东大会、董事会、监事会以及管理层的责、权、利，持续完善管理架构；二是要高度重视银行人力资源政策的内部控制，着重抓好理想与宗旨、职业道德教育和法制教育；三是要重视企业文化的培育，通过良好的企业文化建设，增强员工风险防范意识，使银行内部控制更加有效。
2．建立科学的风险评估体系
银行内部控制的关键是风险管理。齐鲁银行、巴林银行等事件后，我们不禁反思，为什么内部控制较为健全的组织，还会发生金融诈骗和职务舞弊呢？问题的本质不仅仅在于控制风险，还在于管理风险，因此COSO在《企业风险管理整合框架》中，将风险评估修订为目标设定、风险识别、风险评估和风险应对。
一是要有良好的组织体系支持，构建全面风险管理框架。董事会在特定关键决策上保留权力；管理层负责对风险管理进行全面整合、统一协调；各部门负责风险的具体管理和控制；专门的风险管理委员会跨机构、跨部门地分析和评价风险，提供风险报告及风险管理建议。
二是要设立各银行自己特有的风险管理目标。每家商业银行都应该在可容忍风险进行业务经营、产品创新的总体目标下，在可容忍风险水平设定具体的风险管理目标。
三是要能准确地对风险进行评估，针对识别出来的风险事件进行风险影响分析。一方面要估计风险发生的可能性，另一方面要估计风险发生所产生的后果。
四是要及时采取有效的风险应对措施，以将风险控制在主体的风险容限和风险容量以内。
3．强化和提升内部控制活动
内部控制活动是商业银行内部控制体系的核心，直接决定银行内部控制的程度和水平。随着业务的创新和发展，银行的业务条线越来越多，产品越来越丰富，机构也越来越庞大，对内部控制的要求也越来越高。
一是要做到不留任何控制盲点，商业银行应该根据业务经营的发展，建立覆盖所有部门、所有业务条线、所有人员的内部控制制度；二是要注重制度的落实执行，银行要将内部控制落实到人，并通过有效的奖惩和监控机制，保证内控制度的真正执行；三是要进一步完善银行的控制措施，例如授权审批控制、不相容职务分离控制、会计系统控制、预算控制、绩效考评控制等等，尤其要关注高管层的职责分离。
4．构建畅通的银行信息与沟通机制
畅通的信息沟通机制有利于提高商业银行内部控制的实施效能，目前银行在信息与沟通中，一是应着力于银行是高度依赖于信息科技进行业务管理的行业，充分依托于信息科技平台，注重开发内部控制的信息沟通平台，及时发现内部控制薄弱环节，快速做出反应；二是应着力建立和完善银行举报投诉制度和举报人保护制度，拓展高管层掌握信息的渠道，为反舞弊提供基本保障。
5．搭建高效的银行监控体系
高效的银行监控机制要求完善内部审计制度，内部审计能够通过评价和改进风险管理、控制和治理过程的效果，有效地防范金融诈骗。
一是要保持内审部门的高度独立性和权威性，内审部门应该直接隶属于董事会，有直接将发现的问题向董事会、监事会和高管层报告的渠道；二是要以风险为导向进行审计，在风险识别的基础上确定审计重点和审计模式，抓关键控制点和风险点，实施有效审计；三是要有先进的审计方法，逐步实现信息化，提高审计效率，增加计算机硬控制，减少人为控制；四是要培养一支高素质的专业审计团队，定期对审计人员进行业务知识、专业技能的培训；五是要执行专门的内部控制审计，通过内部控制缺陷的揭示和对内部控制有效性的确认，诊断和证明内部控制缺陷的成因或影响因素，进而提出内部控制改进的建议。
作者单位：
徐华新 财政部会计准则委员会
何小杨 北京大学光华管理学院博士后流动站
中国工商银行博士后科研工作站
一、齐鲁银行事件回放
齐鲁银行事件源起刘济源与银行、企业运作多年，且原本皆大欢喜的第三方存贷质押业务。所谓第三方存贷质押，是指企业在商业银行协议存款后，为第三方从商业银行贷款提供存单质押，作为第三方贷款的第二还款来源。存款行和贷款行可为同一家银行，也可是不同的银行，后者即为跨行存单抵押贷款业务。协议存款的利率要比官方利率略高一些，这也是此案最初传出齐鲁银行“高息揽存”的消息缘由。
齐鲁银行事件可简单用图1的几组关系进行解释。第三方存贷质押设计的初衷是：存款企业A为贷款人B进行第三方存贷质押，因此A和银行之间就会因为协议存款而获取高于官方利率的利息收益；银行由于有了A的第二还款源，降低了贷款风险，乐意给贷款人B贷款；贷款人B因此也获得了其想要的资金。可见，这原本是一个多赢的制度设计。
在齐鲁银行案件中，刘济源的角色是一个资金掮客，为商业银行引来存款大户，同时他也是通过存单质押获得贷款的资金使用大户。他为银行做大存款和贷款规模，可谓功不可没，银行必有内应。事实上，齐鲁银行某支行业务经理傅某在2006年就开始与刘济源勾结，开具了“有瑕疵”的存单，并将该存单抵押贷款，再将贷款获得的现金存入银行，循环往复，以此做大存贷款规模。这种纯粹的资金运作使得经出库再入库的存单有了很大的水分，但对银行来说，可以制造息差收入，粉饰业绩。而如此大规模而长期的操作，人们很难想象没有银行高层的默许，这也是之后齐鲁银行董事长、行长、监事长被抓捕的原因。同时，随着一系列企业渐渐浮出水面，可以揣度刘济源和提供存款的企业之间也存在着可疑的合作关系，他给予相关人等高息揽存的利益，亦用投资收益来覆盖其高昂的资金成本。
二、齐鲁银行事件原因分析—内外叠加，内控薄弱
金融票证是金融市场的一项较为传统的银行业务，各地商业银行早已有着一套极为成熟的防范风险制度和举措。但联想到之前的北京农商行骗贷案等事件，其诈骗手法之低劣、骗取金额之巨大，让人不禁要究其根本原因何在？就齐鲁银行案件，笔者认为有以下原因促成了最终的案发。
1．银行业务扩张是导火索
在国际金融危机加剧和国内经济增长下行压力加大的形势下，我国政府果断采取4万亿扩大内需的投资计划，带来了银行配套资金的大量释放，信贷狂潮持续至今（如图2所示）。
在信贷宽松、存贷款利差受到保护的情况下，中国银行业的发展模式显得非常简单。在银行业粗放式发展模式下，许多城商行资产规模、贷款投放和机构网点均数倍增长。截至2010年年末，齐鲁银行总资产821.25亿元，较年初增长33.03%；各项存款余额656.93亿元，增长20.20%；各项贷款余额421.53亿元，增长19.49%。其资产规模和存贷款指标相当于1996年成立之初的25倍。截至2010年，齐鲁银行分支机构达到78家。在业务经营上，齐鲁银行则为膨胀信贷而“积极创新”。不但知识产权可质押贷款，还可做跨行存单质押贷款，对他行存款凭存款证实书质押到齐鲁银行贷款，最高可贷九成；还引入“循环信用”、第一个将个人住房按揭利率下浮30%等所谓的流程创新和营销创新①。
近些年来，齐鲁银行在追逐信贷大规模扩张并且为膨胀信贷而积极展开“创新”以获取存贷高息差之时，忽视了对风险的监控，这就给了伪造金融票证骗取资金者以可乘之机。忽视风险管理对于高负债经营的银行业而言是致命伤，随着经济增长的减缓甚至下滑，风险终究是会水落石出的。
2．内控薄弱是直接原因
翻开齐鲁银行2009年的年报摘要，其组织架构显示，该行业务部门不仅设有中台控制，例如信贷审批部和运营部，全行也设有风险管理部和合规部对内部控制和风险进行管控，而且在董事会审计委员会下还独立地设有具有较高权威性的内审部，从而构成了风险管理的三道防线。可见，齐鲁银行的内部控制组织架构在形式上还是相对完善的。但就是在这形式完善的组织架构下还是发生了如此大额的骗贷案，可见其组织架构的形同虚设和内控执行的不力。
管理层的态度直接决定了银行内部控制的环境。当管理层对内控建设不重视，甚至直接参与舞弊的时候，形式上看起来再完备的内部控制制度都是一纸空文。此外，内控的失效还表现在银行工作人员的道德风险上。当高管层开始践踏内部控制制度时，很难想象银行还拥有稳健经营和风险管控的文化，因此齐鲁银行的内部管理一定存在某种程度的不当，忽视对员工的职业道德教育。
3．外部监管缺失，外部审计力不从心
在监管国际接轨的理念下，金融业的监管队伍越来越庞大，监管要求也是越来越规范和严格，但这些日趋严格的监管主要针对大型的商业银行，早期的股份制银行、区域性银行、农村信用社和城市商业银行等中小银行的监管，尚存不少漏洞。其根源在于这些银行直接隶属于地方政府管理②，监管部门受地方政府压力驱使，只是业务上的监管，因此监管很难到位。
其次，外部审计显得力不从心。齐鲁银行高额骗贷案的风险痕迹早在2010年初就露出端倪，媒体获得的《齐鲁银行股份有限公司2009年度财务报表及审计报告》显示，该行第三方存款质押业务存在诸多问题，且由于普华永道坚持将骗贷风险的“保留意见”写进审计报告，齐鲁银行更换了负责审计的会计师事务所③，可见其外部审计发挥不了应有的第三方的独立监督作用。 三、对商业银行业务经营和风险管控的警示
陈汉文教授（2010）发布的中国上市公司内部控制指数（2007～2009年的数据）以及深圳迪博企业风险管理技术公司发布的《中国上市公司2010年内部控制白皮书》显示，金融行业公司的内部控制质量在我国所有上市公司中最高，全部位于内部控制百强之列，内部控制指数最高的前5家企业全部是银行业，前十家企业中有9家是银行，另一家是证券公司，也属于金融行业。然而，在美国注册舞弊审查师协会（ACFE）、普华永道（PWC）和毕马威（KPMG）等三个机构的四份调查研究中指出，银行业等金融机构的舞弊发生率最高！纵观近些年来的舞弊欺诈案件，也是大量地发生在金融行业，而且一旦案发即产生重大损失，引起社会对银行业的普遍信任危机，这与银行业高风险经营的行业特征以及其承担的金融经济责任相关。加强银行业的风险管理、完善内部控制制度，提升公司治理水平，将不仅关系到一个银行的生存和发展，而且关系到整个社会的经济金融稳定。
从齐鲁银行的金融票证诈骗案件中可以得出我国商业银行业务经营和风险管控的一些警示。
1．注重业务发展的同时，要兼顾风险管控
在4万亿投资计划刺激下，我国银行业信贷投放节奏一度失控，而且信贷集中投放往往伴随着“重放轻管”等不审慎行为。在这样的环境下，我国商业银行在快速扩张甚至国际化扩张的过程中，要充分重视风险的管理和控制，要明确自身的市场定位，追求稳健的资本和资产回报率，提升客户满意度，形成自身的核心竞争力。
2．加强银行体制机制建设，提高公司治理水平
我国商业银行组织架构呈现典型的“金字塔”结构，例如内部形成总行、一级分行、二级分行、支行、网点的科层组织关系，这种管理层次过多，管理链条过程繁杂，信息不对称程度严重；而且地方政府对银行在当地的分支机构和当地法人银行具有很强的影响力和控制力，难以完全按照市场化机制运作。因此，我国商业银行需要股东大会、董事会、监事会和经营管理层各司其职、相互制衡，更需要各个部门之间的高效运作，提升诸多机制整体配合，以有效提高公司治理水平。
3．加强对商业银行的外部监管和外部审计
保障金融体系的安全和稳定，离不开金融机构以外的其他力量对其进行必要的监督和管理。在国际金融危机之后，国际金融监管更趋严格，不仅关注单个金融机构的运行风险，还关注整个金融系统的系统性风险，称为微观和宏观审慎监管相结合的监管模式。外部审计作为专业性的第三方中介机构，具有对政府监管职能缺损的补充和补救作用。为了增强审计机构的独立性，商业性审计机构需要相关法规和监管机构的“撑腰”，让审计机构敢于站在中立的角度分析和披露问题。
4．按市场法则和法律程序处理相关问题
我国由于地方保护主义、部门利益的驱使，出现问题后往往无法分清责任，加之我国存在着政府机构及其商业附属机构参与金融投机活动的现象，造成了违规操作和信息不对称等不公平交易。因此，我们要借鉴发达市场经济的成功经验，建立适应社会经济金融发展的需要、与社会政治文化协调、具有适应变革和环境变化的能力金融监管体制，促进金融市场依法健康发展。
四、如何完善商业银行的内部控制制度
内控制度是金融企业各级管理部门为了保护金融资产的安全完整，确保业务信息的可靠完整，协调经济活动，利用企业内部因分工而产生的相互制约、相互联系的关系，形成的一些具有控制职能的方法、措施和程序，并予以规范化、系统化，使之成为一个严密的、较为完整的体系。自2008年以来，财政部等五部委联合发布了《企业内部控制基本规范》和《企业内部控制配套指引》，这无疑为商业银行建立和完善内部控制体系提供了有利契机，上市商业银行应该适时利用这一契机，切实做好内部控制建设、梳理、实施与评价工作；而对非上市的银行而言，也要高度重视，一方面向内控先行的银行学习，另一方面要苦练内功，不仅为满足外部监管提前做好准备，更应将其转变为健全公司治理的内在诉求。以下就如何完善商业银行的内部控制提出对策分析。
1．营造良好的银行内部控制环境
一是要建立规范、有效的治理结构，明确划分股东大会、董事会、监事会以及管理层的责、权、利，持续完善管理架构；二是要高度重视银行人力资源政策的内部控制，着重抓好理想与宗旨、职业道德教育和法制教育；三是要重视企业文化的培育，通过良好的企业文化建设，增强员工风险防范意识，使银行内部控制更加有效。
2．建立科学的风险评估体系
银行内部控制的关键是风险管理。齐鲁银行、巴林银行等事件后，我们不禁反思，为什么内部控制较为健全的组织，还会发生金融诈骗和职务舞弊呢？问题的本质不仅仅在于控制风险，还在于管理风险，因此COSO在《企业风险管理整合框架》中，将风险评估修订为目标设定、风险识别、风险评估和风险应对。
一是要有良好的组织体系支持，构建全面风险管理框架。董事会在特定关键决策上保留权力；管理层负责对风险管理进行全面整合、统一协调；各部门负责风险的具体管理和控制；专门的风险管理委员会跨机构、跨部门地分析和评价风险，提供风险报告及风险管理建议。
二是要设立各银行自己特有的风险管理目标。每家商业银行都应该在可容忍风险进行业务经营、产品创新的总体目标下，在可容忍风险水平设定具体的风险管理目标。
三是要能准确地对风险进行评估，针对识别出来的风险事件进行风险影响分析。一方面要估计风险发生的可能性，另一方面要估计风险发生所产生的后果。
四是要及时采取有效的风险应对措施，以将风险控制在主体的风险容限和风险容量以内。
3．强化和提升内部控制活动
内部控制活动是商业银行内部控制体系的核心，直接决定银行内部控制的程度和水平。随着业务的创新和发展，银行的业务条线越来越多，产品越来越丰富，机构也越来越庞大，对内部控制的要求也越来越高。
一是要做到不留任何控制盲点，商业银行应该根据业务经营的发展，建立覆盖所有部门、所有业务条线、所有人员的内部控制制度；二是要注重制度的落实执行，银行要将内部控制落实到人，并通过有效的奖惩和监控机制，保证内控制度的真正执行；三是要进一步完善银行的控制措施，例如授权审批控制、不相容职务分离控制、会计系统控制、预算控制、绩效考评控制等等，尤其要关注高管层的职责分离。
4．构建畅通的银行信息与沟通机制
畅通的信息沟通机制有利于提高商业银行内部控制的实施效能，目前银行在信息与沟通中，一是应着力于银行是高度依赖于信息科技进行业务管理的行业，充分依托于信息科技平台，注重开发内部控制的信息沟通平台，及时发现内部控制薄弱环节，快速做出反应；二是应着力建立和完善银行举报投诉制度和举报人保护制度，拓展高管层掌握信息的渠道，为反舞弊提供基本保障。
5．搭建高效的银行监控体系
高效的银行监控机制要求完善内部审计制度，内部审计能够通过评价和改进风险管理、控制和治理过程的效果，有效地防范金融诈骗。
一是要保持内审部门的高度独立性和权威性，内审部门应该直接隶属于董事会，有直接将发现的问题向董事会、监事会和高管层报告的渠道；二是要以风险为导向进行审计，在风险识别的基础上确定审计重点和审计模式，抓关键控制点和风险点，实施有效审计；三是要有先进的审计方法，逐步实现信息化，提高审计效率，增加计算机硬控制，减少人为控制；四是要培养一支高素质的专业审计团队，定期对审计人员进行业务知识、专业技能的培训；五是要执行专门的内部控制审计，通过内部控制缺陷的揭示和对内部控制有效性的确认，诊断和证明内部控制缺陷的成因或影响因素，进而提出内部控制改进的建议。
作者单位：
徐华新 财政部会计准则委员会
何小杨 北京大学光华管理学院博士后流动站
中国工商银行博士后科研工作站