分析了内控建设

❶ 集团内部控制体系建设的重点什么

华彩的理论体系认为，集团内部控制体系建设主要有十大要点，第一是所有内部控制体系运行必须服务于企业中长期战略规划；第二是强调全员内控意识培养，构成体系运行的内部环境；第三是规范法人治理架构，强化子公司的管控；第四是制度修订除了符合指引要求，必须结合企业的运作特点，表达战略意图；第五是控制活动的设计必须匹配于当前业务，并落实到制度和流程；第六是流程框架必须给予优化的部门职能架构，并且对子公司形成管控条线；第七是流程步骤不能简单遵照现有业务活动进行，必须考虑风险要素；第七流程步骤不能简单遵照现有业务活动进行，必须考虑风险要素；第八是流程风险点及控制点的识别和提炼，必须考虑母公司战略需要；第九是建立可循环操作的内部控制监督与评价机制；第十是强调内控体系与原有管理体系相互配合，实现常态化运作并不断更新。

❷ 如何加强商业银行的内控制度建设

1. 建立健全内部控制制度体系。按照《商业银行内部控制指引》的要求，在梳理现有规章制度的基础上，以有效识别、衡量、控制风险为中心，建立覆盖主要业务品种和重要会计业务操作环节的规章制度。这就要求银行内部总体规划，各部门协调统一，充分考虑科学合理性、严密性、明晰性和可操作性，通过整章建制，进一步梳理现有的规章制度，去除相互交叉的矛盾，以及不合理或者已经跟不上形势发展需要的制度，增加适应业务发展的新制度、新规定，使管理制度逐步系统化、规范化、科学化。构建的内控制度框架应不遗漏任何环节、任何层次，同时也不能过于繁琐，并要有畅通的信息系统和反馈系统，有适应外部变化的机制。当然建立这样的制度不可能是一蹴而就的，商业银行应该在整体框架下，系统排查决策流程和业务流程，识别风险、确认风险，对存在的问题和风险进行排序，然后分阶段、有所侧重地逐步建立健全内部控制制度。必要时可以借助中介机构的力量，特别是在设计整体框架、识别风险、标准化、行业模式的评定、测试评价等方面，中介的优势是比较明显的。
2. 建立内部控制运行监控体系。银行的内部监督管理部门，应当对内控制度、制度执行情况随时进行监测，根据环境变化和内部管理要求， 及时发现与业务不匹配的内控制度，适时进行调整，保持制度的合理性、有效性，使制度建设真正做到与业务的发展相辅相承、相得益彰，使内控建设真正起到为业务发展提供保障的作用。另外，银行内部监督管理部门应与执行部门建立有效的信息沟通渠道，确保各项内控措施全面落实。要完善内部控制评价考核体系。通过设置考核评价指标，对机构内控运行情况、员工内控执行情况进行定期或不定期的衡量、评价，并制定出相应的奖惩措施，严格奖惩，形成刚性约束。

❸ 新形势下如何加强企业内部控制制度建设

内部控制，应当包括下列5个要素：（1）内部环境；（2）风险评估；（3）控制活动；（4）信息与沟通；（5）内部监督。

我国《企业内部控制基本规范》第一个要素内部环境基本框架：
包括公司治理结构，内部机构人力资源，企业文化建设，法制教育几个方面。
我国《企业内部控制基本规范》关于风险评估要素的要求：
（1）根据设定的控制目标，全面系统持续地收集相关信息，结合实际情况，及时进行风险评估。
（2）企业开展风险评估，应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度。
（3）企业识别内部风险，应当关注下列因素：①董事、监事、经理及其他高级管理人员的职业操守、员工专业胜任能力等人力资源因素；②组织机构、经营方式、资产管理、业务流程等管理因素；③研究开发、技术投入、信息技术运用等自主创新因素；④财务状况、经营成果、现金流量等财务因素；⑤营运安全、员工健康、环境保护等安全环保因素；⑥其他有关内部风险因素。
（4）企业识别外部风险，应当关注下列因素：①经济形势、产业政策、融资环境、市场竞争、资源供给等经济因素；②法律法规、监管要求等法律因素；③安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素；④技术进步、工艺改进等科学技术因素；⑤自然灾害、环境状况等自然环境因素；⑥其他有关外部风险因素。
（5）企业应当采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。企业进行风险分析，应当充分吸收专业人员，组成风险分析团队，按照严格规范的程序开展工作，确保风险分析结果的准确性。
（6）企业应当根据风险分析的结果，结合风险承受度，权衡风险与收益，确定风险应对策略。企业应当合理分析、准确掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好，采取适当的控制措施，避免因个人风险偏好给企业经营带来重大损失。
（7）企业应当综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制。
（8）企业应当结合不同发展阶段和业务拓展情况，持续收集与风险变化相关的信息，进行风险识别和风险分析，及时调整风险应对策略。
我国《企业内部控制基本规范》关于控制活动要素的要求
（1）企业应当结合风险评估结果，通过手工控制与自动控制、预防性控制与发现性控制相结合的方法，运用相应的控制措施，将风险控制在可承受度之内。控制措施一般包括：不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。
（2）不相容职务分离控制要求企业全面系统地分析、梳理业务流程中所涉及的不相容职务，实施相应的分离措施，形成各司其职、各负其责、相互制约的工作机制。
（3）授权审批控制要求企业根据常规授权和特别授权的规定，明确各岗位办理业务和事项的权限范围、审批程序和相应责任。企业应当编制常规授权的权限指引，规范特别授权的范围、权限、程序和责任，严格控制特别授权。常规授权是指企业在日常经营管理活动中按照既定的职责和程序进行的授权。特别授权是指企业在特殊情况、特定条件下进行的授权。
企业各级管理人员应当在授权范围内行使职权和承担责任。企业对于重大的业务和事项，应当实行集体决策审批或者联签制度，任何个人不得单独进行决策或者擅自改变集体决策。
（4）会计系统控制要求企业严格执行国家统一的会计准则制度，加强会计基础工作，明确会计凭证、会计账簿和财务会计报告的处理程序，保证会计资料真实完整。企业应当依法设置会计机构，配备会计从业人员。会计机构负责人应当具备会计师以上专业技术职务资格。大中型企业应当设置总会计师。设置总会计师的企业，不得设置与其职权重叠的副职。
（5）财产保护控制要求企业建立财产日常管理制度和定期清查制度，采取财产记录、实物保管、定期盘点、账实核对等措施，确保财产安全。企业应当严格限制未经授权的人员接触和处置财产。
（6）预算控制要求企业实施全面预算管理制度，明确各责任单位在预算管理中的职责权限，规范预算的编制、审定、下达和执行程序，强化预算约束。
（7）运营分析控制要求企业建立运营情况分析制度，经理层应当综合运用生产、购销、投资、筹资、财务等方面的信息，通过因素分析、对比分析、趋势分析等方法，定期开展运营情况分析，发现存在的问题，及时查明原因并加以改进。
（8）绩效考评控制要求企业建立和实施绩效考评制度，科学设置考核指标体系，对企业内部各责任单位和全体员工的业绩进行定期考核和客观评价，将考评结果作为确定员工薪酬以及职务晋升、评优、降级、调岗、辞退等的依据。
（9）企业应当根据内部控制目标，结合风险应对策略，综合运用控制措施，对各种业务和事项实施有效控制。
（10）企业应当建立重大风险预警机制和突发事件应急处理机制，明确风险预警标准，对可能发生的重大风险或突发事件，制定应急预案、明确责任人员、规范处置程序，确保突发事件得到及时妥善处理。
我国《企业内部控制基本规范》关于信息与沟通要素的要求：
（1）企业应当建立信息与沟通制度，明确内部控制相关信息的收集、处理和传递程序，确保信息及时沟通，促进内部控制有效运行。
（2）企业应当对收集的各种内部信息和外部信息进行合理筛选、核对、整合，提高信息的有用性。企业可以通过财务会计资料、经营管理资料、调研报告、专项信息、内部刊物、办公网络等渠道，获取内部信息。企业可以通过行业协会组织、社会中介机构、业务往来单位、市场调查、来信来访、网络媒体以及有关监管部门等渠道，获取外部信息。
（3）企业应当将内部控制相关信息在企业内部各管理级次、责任单位、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间进行沟通和反馈。信息沟通过程中发现的问题，应当及时报告并加以解决。重要信息应当及时传递给董事会、监事会和经理层。
（4）企业应当利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用。企业应当加强对信息系统开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全等方面的控制，保证信息系统安全稳定运行。
（5）企业应当建立反舞弊机制，坚持惩防并举、重在预防的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。企业至少应当将下列情形作为反舞弊工作的重点：①未经授权或者采取其他不法方式侵占、挪用企业资产，谋取不当利益；②在财务会计报告和信息披露等方面存在的虚假记载、误导性陈述或者重大遗漏等；③董事、监事、经理及其他高级管理人员滥用职权；④相关机构或人员串通舞弊。
（6）企业应当建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径。举报投诉制度和举报人保护制度应当及时传达至全体员工。
我国《企业内部控制基本规范》关于内部监督要素的要求
（1）企业应当根据本规范及其配套办法，制定内部控制监督制度，明确内部审计机构（或经授权的其他监督机构）和其他内部机构在内部监督中的职责权限，规范内部监督的程序、方法和要求。内部监督分为日常监督和专项监督。日常监督是指企业对建立与实施内部控制的情况进行常规、持续的监督检查；专项监督是指在企业发展战略、组织结构、经营活动、业务流程、关键岗位员工等发生较大调整或变化的情况下，对内部控制的某一或者某些方面进行有针对性的监督检查。专项监督的范围和频率应当根据风险评估结果以及日常监督的有效性等予以确定。
（2）企业应当制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告。内部控制缺陷包括设计缺陷和运行缺陷。企业应当跟踪内部控制缺陷整改情况，并就内部监督中发现的重大缺陷，追究相关责任单位或者责任人的责任。
（3）企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。
（4）企业应当以书面或者其他适当的形式，妥善保存内部控制建立与实施过程中的相关记录或者资料，确保内部控制建立与实施过程的可验证性。

❹ 内控体系建设的要点

缺乏内部控制的企业常见原因分析
对内部控制相关理论的全面介绍
控制环境
内部控制的实质——风险管理
内部控制活动
内部审计简介
职业舞弊
内控的建立和执行
萨奥法案及公司治理

❺ 如何加强企业内部控制的措施

加强企业内部控制的措施:

1、完善制度建设、实施内部控制。以《企业内部控制规范-基本规范》、《企业内部控制基本规范》、《企业内部控制配套指引》等文件为依据，结合企业实际情况，全面梳理原有管理制度，在符合内部控制要求的前提下，着眼于管理创新、建立适合本企业的内部控制管理体系，明确相关部门人员的指责和权限，推行全面管理，提倡全员参与，建立彼此牵制、彼此连接、彼此制约的内控制度。

2、明确控制目标，优化内部控制环境。内部控制制度重点是围绕会计核算和会计监督环节来设置的。一般说来，健全的内部控制制度应能有效预防错误和舞弊的发生。即使发生了，也容易及时发觉和纠正。

3、提高会计人员素质。会计人员素质是加强内部控制的关键，企业要通过科学合理的聘用、培训、轮岗、考核、奖励、晋升、淘汰等办法，提高财会人员整体素质。

4、加强内部监督。企业内部控制是一个过程，这个过程是通过纳入管理制度及活动实现的。因此，要确保内部控制制度被切实地执行，且执行效果良好，其必须被监督。

5、实施预算控制，提高内控水平。实行全面预算，搞好各业务事项的事前预测、事中控制、事后分析，将企业的经营目标转化为各生产厂、各部门、各岗位以至个人的具体行为目标。

6、加强内外部信息交流与沟通，加强反舞弊机制。企业应建立建立上传下达的有效机制。通过建立组织机构制定岗位责任制来实现。还应注意信息沟通的有效性和及时性。

拓展资料

一、简介

企业内控是企业为保证经营管理活动正常有序、合法的运行，采取对财务、人、资产、工作流程实行有效监管的系列活动。 企业内控要求保证企业资产、财务信息的准确性、真实性、有效性、及时性;保证对企业员工、工作流程、物流的有效的管控;建立对企业经营活动的有效的监督机制。

二、结果体现

（一）内部环境。内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。

（二）风险评估。风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。

（三）控制活动。控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。

（四）信息与沟通。信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。

（五）内部监督。内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。

❻ 加强我国商业银行内部控制建设的建议

商业银行内部控制低效的成因及模式重构
作者：孙涛 编辑：
[摘 要]我国商业银行金融风险的产生多是由内部控制低效造成，而内部控制低效又源于控制模式的不规范。因此，研究这一课题具有重要的理论价值和现实意义。为探索提高内部控制效果的有效途径，本文在分析我国商业银行内部控制低效成因的基础上。根据COSO报告和ERM的要求，构建了要素式动态控制的立体模式，并对这一模式的构成及其运行方式等进行了深入研究，为商业银行规范内部控制行为和降低金融风险提供了一种行之有效的管理手段。
[关键词]商业银行；内部控制；控制模式；风险控制

一、问题的提出及文献综述

我国商业银行的内部控制始于20世纪90年代初期对呆滞账的控制，1990年我国四大国有银行的坏账占全部贷款的比例已经超过20%，连同逾期、展期的呆滞贷款总额占贷款总额的比例超过了70%，1991年末四大国有银行的坏账超过其自有资本，产生资不抵债。1992年美国COSO委员会颁布五要素的内部控制框架（简称COSO报告），引发了全球性内部控制高潮，也给我国商业银行提出了建设内部控制制度的要求。到20世纪90年代中期，由于我国越来越多的国有企业不但不偿还贷款，甚至连贷款利息也不支付，致使全国银行业在1994年和1995年出现了全行业亏损，分析其产生亏损原因，主要是由于商业银行缺乏有效的内部控制制度（赵文杰，1996），产生了过多的呆滞账以及市场风险、信用风险和操作风险。为控制全球普遍存在的坏账损失及其金融风险，1998年9月巴塞尔银行业委员会发布了银行内部控制系统框架（Framework for Internal Control Systems in Banking Organizations）。我国商业银行也开始了全面内部控制建设，虽然对降低运营成本以及控制金融风险等方面起到了一定的作用，但并没有改变我国银行业呆滞账过多的现象，1999年四大国有银行的不良贷款总额超过1万亿元，2003年6月全国商业银行的不良贷款总额达到3.2万亿元，这就不得不使我们反思商业银行实施的内部控制制度建设还存在的许多难以克服的弊端。

为解决我国商业银行实施内部控制制度低效的问题，理论界和实践中都进行了深入的探讨。陈元燮（1998）使用系统观点分析了我国商业银行的内部控制结构，指出控制信息不畅以及控制的手段和方法失效是产生内部控制低效的主要原因；王顺（1999）从COSO报告的要求出发分析我国商业银行的内部控制制度，指出监管不利以及约束失效降低了内部控制制度的作用；秦辉（2000）从农业银行深圳分行实施内部控制的实践出发，分析了商业银行建立要素式内部控制模式的必要性；董青（2001）从工商银行湖南省分行实施内控制度的实践出发，在分析银行业内部控制制度存在问题的基础上，提出了商业银行建立有效内部控制体系的要求；张明魁，任福堂（2002）在分析商业银行内部控制目标管理的基础上，提出了加强对商业银行内部控制实施审计的要求；杨军、陈朝豹（2003）重点对国有商业银行的内部控制进行了分析，提出了构建要素式内部控制系统的初步设想；李明辉、王学军（2004）重点研究了商业银行内部控制的信息披露，指出对商业银行特别是上市银行，加强内部控制的信息披露，是提高内部控制效果的有效措施；周正兵（2005）通过对《商业银行内部控制体系标准》编写组组长王健豪先生的采访，介绍了相关的标准并分析了制定商业银行内部控制标准的重要性；余奇才、曾北川（2006）分析了《商业银行内部控制评价试行办法》，强调了商业银行实施内部控制时进行评价的重要性。经过几年来理论与实践界的研究，已经明确了我国商业银行进行内部控制制度建设的方向是要根据COSO报告以及ERM框架的要求建立要素式的内部控制模式，并且要打破传统的平面式结构，构建多维内部控制框架。虽然许多专家、学者已经进行了深入的探讨，但应如何构建这一模式到目前为止尚没有一致的意见，需要进一步地探究。

构建适合我国商业银行实际情况的有效运营模式是一项长期的任务，经过几年来商业银行不良资产剥离以及上市治理，不良贷款数额有较大幅度的下降，但仍不容乐观。2006年第一季度境内商业银行不良贷款总额仍有1.3125万亿元，据新闻报道我国1－9月份新增不良贷款金额近9000亿元，这种现象除了制度方面的原因外，在很大程度上还是由于内部控制低效。我国商业银行内部控制低效，在增加其市场风险和信用风险的同时，也在一定程度上促进了操作风险的产生（孙涛，2006）。从2000年到2004年我国商业银行共发生涉案金额在百万元以上的操作风险案件75起，其中人民银行6起，农业银行15起，建设银行17起，中国银行18起，其他金融机构10起，除涉案金额不详的13起案件以外的其他案件造成国有资产损失高达24.15亿元。因此，我国商业银行加强内部控制建设的任务仍很艰巨。

自上世纪90年代以来，我国商业银行在走向市场化的过程中开始实施内部控制，但随着商业银行内部控制的实施，金融风险不但没有下降反而越控制越高。究其原因是多方面的，但其中重要的原因之一就是我国商业银行传统的内部控制模式存在着严重的问题，内部控制的思路和方式与金融风险的控制方向相背离，致使内部控制低效。在这种情况下，结合我国商业银行风险控制的实际情况，借鉴国外金融风险防范的先进经验，采用创新的手段和方法重构我国商业银行的内部控制模式，并深入探索采用内部控制方式防范和控制商业银行市场风险、信用风险和操作风险的有效途径具有十分的重要性和迫切性。

二、商业银行内部控制低效的主要原因

我国商业银行传统的内部控制由于受目标管理的影响，普遍采用了内容控制的方式，过度地强调目标的实现与控制，忽视了规范化建设，结果造成了短期有效之后的长期失效或低效，并因内部控制机构的设置、控制活动的实施以及内部控制的测试与评价，大大增加了管理成本。因此，分析我国商业银行内部控制低效的原因，是提高内部控制有效性的基础，根据我国商业银行内部控制的实际情况，产生这种现象的主要原因表现在以下几个方面：

（一）内部控制的条件尚不够成熟

内部控制是一定的组织发展到一定程度提高管理水平的一种自然要求，它有许多基本条件的限制，主要包括：技术状况、管理水平、人员素质、组织文化、经营规模以及运营效率等，它们必须要达到一定的程度才会有效。我国商业银行由于受传统管理方式的影响，以及长期的国家统管或干涉，致使资本运营效率十分低下。目前我国银行业正在商业化改造过程中，市场营销的观念尚不够成熟，特别是严重的富余人员、臃肿的组织机构以及低下的工作效率，使得内部控制的效果大大低于这些问题所产生的费用超支，而使得内部控制必然产生低效。因此，商业银行的内部控制应随着控制环境的改善和条件成熟而逐步完善。

（二）忽视内部控制模式建设

内部控制是规范组织整体行为，提高整体管理效率和水平的一种管理方式，它的核心是构建一个有效的控制模式来规范和指导人们的控制行为和结果。商业银行传统的内部控制多采用头痛医头、脚痛医脚的打补丁控制方式，缺乏整体的控制思想和控制框架，主要采用目标控制的方法，以控制具体管理活动的内容为目的，过多地强调结果，不能够注重内部控制的环境建设和过程建设，不能把内部控制要素与内容有机地结合起来，通过构建有效的内部控制模式来实现有效的控制，这在很大程度上影响了商业银行管理者的控制观念，致使商业银行的内部控制活动长期在非规范的环境下低效运行。

（三）传统的目标管理与COSO报告的要素控制框架产生矛盾降低了内部控制效果

从我国商业银行风险管理的现状来看，产生市场风险、信用风险与操作风险的主要原因是缺乏有效的内部控制系统来约束管理者和业务人员的行为。商业银行在实施内部控制活动的过程中，由于受传统目标管理的影响，过度重视内部控制目标的分解以及控制结果的考核与奖惩，这就促进了内部控制人员舞弊的动机与行为。当内部控制目标实现与要素控制的要求产生冲突时，由于利益驱动的原因会使得管理者和业务人员为实现预期内部控制目标而不择手段，从而严重破坏内部控制的规范化建设，使控制活动常常失效，导致内部控制风险的产生。

（四）内容控制的模式必然导致内部控制的失效或低效

我国传统的内部控制制度，把具体的经济业务作为内部控制的主要内容，把实现与控制预期目标作为内部控制的核心，控制过程中将控制目标分解到各职能部门和相关人员，通过定期的考核与评价检查内部控制的效果，这种以内容控制为核心的内部控制方式与COSO报告的要素式控制方式存在着根本的不同。要素式内部控制模式把环境和过程的规范化建设作为内部控制的主要内容，把构建内部控制模式作为内部控制的核心，注重的是长期控制目标的实现。相比之下可以看出，内容控制为核心的内部控制方式虽有利于短期控制目标的实现，却忽视了内部控制环境和过程的规范化建设，失去了内部控制长期有效的动因。因此，最终必然会导致长期控制目标的失效。

（五）缺乏有效的内部控制标准和规范的控制程序

我国商业银行的内部控制活动与西方国家相比起步比较晚，再加上多年来实施内容式控制模式，忽视要素式内部控制模式建设，存在着严重缺乏业务执行标准和综合评价标准的现象，管理标准也多以规章制度为主，缺乏控制标准，而且内部控制程序也因缺乏要素控制的要求表现出明显的不规范。根据COSO报告的要求，内部控制是以建立和完善内部控制标准为基础的规范化管理方式，以检查与评价管理者以及业务人员执行控制标准、修正与完善内部控制标准为重点，通过控制标准的制定、执行、修正与完善来规范人们的控制行为，通过人们行为的规范来实现控制目标。我国传统的内部控制方式因控制标准的不完善和控制程序的不规范，使内部控制不可能实现程序化的优化运行，也就必然会导致内部控制的失效和低效。
（六）内部控制的测试与评价系统不完备

按照内部控制的要求，商业银行必须要及时进行内部控制的健全性测试、符合性测试、实质性测试以及综合评价，根据测试的结果采取相应的策略，以提高内部控制系统的有效性。由于我国商业银行现行的内部控制采用内容控制的方式，在很大程度上存在忽视或缺乏内部控制的测试评价系统的现象，使得商业银行现有的内部控制系统低效或流于形式。另一方面，我国商业银行现有的控制目标考核评价系统，以完成预期目标为中心，主要考核和评价控制目标的完成程度，属于刚性控制，长期的刚性目标控制必然会导致控制活动的失效，这就是目标控制的短期行为。

三、商业银行内部控制模式的重构

我国商业银行的内部控制系统需要根据COSO报告的要求重新构建，新的内部控制框架应该能够克服原有内部控制制度所存在的种种弊端，并体现合理有效的原则在重构我国商业银行内部控制系统的过程中，除充分考虑我国商业银行内部控制的实际情况，借鉴国外内部控制的先进经验，最大限度地克服现有制度的弊端之外，还要考虑2004年6月COSO委员会颁布的企业风险管理框架的要求，在内部控制五要素的基础上增加目标设置、事件确定和风险应对。综合以上分析，应构建我国商业银行操作风险内部控制的动态系统（见下图）。

（一）环境建设子系统是内部控制模式有效运行的基础

内部控制环境在很大程度上决定着内部控制的实施效果，其建设目的是要塑造商业银行的文化并影响其员工的内部控制思想。根据COSO报告的要求和我国商业银行内部控制的实际情况，确定内部控制环境建设的主要内容包括：诚信机制与道德价值观、员工能力的培养、领导机制与风格、经营方式与组织机构、责任与授权等。通过以上几方面的建设，形成商业银行风险控制的良性内部控制环境，并利用环境本身所具有的特定功能和作用，迫使内部控制事件及控制人员按照规范的行为和程序进行有效的工作，从而达到有效控制的目的。目前我国商业银行内部控制的环境建设还比较薄弱，环境建设位于内部控制模式的外围，它的完善程度对内部控制效果产生着重大影响。因此，环境建设是内部控制制度有效运行的基础，也是完善内部控制制度需要长期建设的一项重要工作。

（二）目标管理子系统是内部控制模式的起点并决定着内部控制模式的方向

商业银行内部控制的目标管理子系统是一个动态循环的过程，包括目标确定、目标的检查与核对、目标的考核与评价以及目标改进等内容。目标确定是内部控制系统的起点，确定合理的控制目标是内部控制系统有效的基础；目标的检查与核对是根据内部控制实施效果进行的动态管理，用于调整内部控制环境适应控制目标以及检查内部控制目标的实施情况；控制目标的考核与评价是对控制过程效果的综合评价，主要用于检查控制目标的实施情况；目标改进是一个反馈系统，主要是把考核与评价的结果反馈到下期的目标制定过程中去，用于修正下期控制目标。

（三）风险评估子系统是连接内部控制目标与控制过程的桥梁

在市场经济条件下，风险和收益是一对矛盾，只有降低风险与提高效益同步进行，才能提高内部控制的有效性。我国商业银行的内部控制系统以风险控制为先导，目的在于最大限度地减少内部控制的实施效果与预期目标之间的差距。这一子系统在内部控制模式中起着评估风险、修正标准和应对风险三方面的重要作用，评估风险是根据对控制目标和控制活动的比较分析进行的，通过选择合理的程序和有效的方法，实施对商业银行内部控制风险的评估，确定风险的大小；完成风险评估以后，首先根据所评估风险的大小，通过风险评估的标准修正内部控制过程的标准，以保证控制活动的有效性；与此同时根据风险评估的结果和控制目标的要求，将风险应对策略应用于内部控制过程，以最大限度地减少内部控制风险。

（四）过程管理子系统是内部控制模式的核心

商业银行内部控制过程管理子系统包括：控制标准的制定、设置控制系统、执行控制系统以及必要的结果检查等。控制过程是内部控制系统的核心，也是降低商业银行风险的关键，根据COSO报告的要求，有效的内部控制是以要素控制为主体的控制系统，在这个控制系统中以环境建设为起点，以控制过程为核心。因此，内部控制的过程管理在控制系统中具有重要的地位。在这个子系统中制定标准和检查标准具有特殊的意义，子系统的设计及执行必须要充分考虑控制标准的特点及性质，并以风险评估的结果为依据考虑内部控制测试与评价的要求，以保证控制系统的有效性。

（五）信息与沟通子系统是保证内部控制模式有效运行的重要手段

根据有关学者的研究，加强对商业银行内部控制信息的披露，有利于提高内部控制的效果。商业银行内部控制的信息与沟通子系统，把商业银行内部控制的内部信息与外部信息联系在一起，通过信息的传递、接收、整理与使用协调控制过程的各种矛盾，减少内部控制中的各种摩擦，通过信息渠道还可以及时传递各种内部控制信息，实现有效的沟通，以减少因缺乏沟通而产生的风险。以上构建的内部控制框架采用双向的信息传递通道，利用信息通道把内部控制的诸要素有机地结合起来，以便于内部控制部门及人员之间的沟通，同时又能够把每一个要素或过程的实施效果信息反馈到前一个要素或过程，以提高内部控制模式运行的有效性。随着我国市场经济的发展，商业银行内部控制系统中信息与沟通的作用越来越大，加强商业银行内部控制模式中的信息与沟通子系统建设，对提高内部控制的有效性以及减少商业银行风险损失等都具有十分重要的现实意义。

（六）监督子系统是内部控制模式有效运营的重要保障

商业银行的内部控制监督是指对实施内部控制人员的行为以及内部控制的设计和运作的过程，按照预期目标或控制标准所进行的监视及督察。监督活动一般由持续监督和个别评估所构成，持续监督是对内部控制活动的过程实施的不间断的监督，属于过程监督。个别评价是对内部控制的特定事件或结果进行的控制性评价，属于重点监督。商业银行内部控制的监督子系统也是一个动态的过程，对内部控制的整个过程和全部内容实施控制，并不断地把监督的信息反馈到内部控制的有关环节，以进行有效的商业银行风险控制。因此，它是促进内部控制有效运行的重要保障。

（七）测试与评价子系统是内部控制有效运行的有效措施

商业银行的内部控制测试与评价子系统包括健全性测试、符合性测试、实质性测试和综合评价。常规的内部控制测试与评价不进行实质性测试，当商业银行的健全性测试或符合性测试不能通过时，才需要实施实质性测试。商业银行内部控制的测试与评价是内部控制系统的有机组成部分，也是促进其有效运营的一个有效措施。为提高商业银行内部控制的有效性，就必须要加强内部控制测试与评价的规范性。

四、主要研究结论

商业银行实施内部控制的主要目的是为了规范人们的行为，最大限度地降低风险。根据COSO报告和ERM的要求，提高内部控制有效性的关键是要首先建立一个有效性的内部控制模式，利用控制模式的约束来规范人们的行为，达到实现内部控制目标的目的。通过对商业银行内部控制模式构建进行了深入探讨，本文主要得出以下几方面的结论：

1.形成内部控制的原因是多方面的，但采用以目标控制为导向的内容式控制模式是内部控制最终失效或低效的主要原因，解决的主要方法就是要构建要素式的内部控制模式框架。

2.我国内部控制的有效模式应该是目标管理与要素式控制的结合。目标管理是我国商业银行长期实施内部控制的经验，虽有缺点但不能抛弃。COSO报告的五要素框架与ERM的八要素框架虽然在国外比较成功，但有一些内容不适合我国国情，也不能照搬，合理的作法是谋求二者的统一和融合，构建适合我国国情的新型内部控制模式。

3.把商业银行的内部条件与外部环境结合起来，构建层次化的内部控制模式。提高商业银行的内部控制效果，首先要通过对内部条件的优化组合完善商业银行的内部控制环境，利用规范的控制行为保证控制目标的实现；其次把内部条件和外部环境结合起来，根据外部环境的要求完善内部控制标准，逐步提高内部控制效果；第三个层次是要根据动态控制的要求，通过内部控制模式的有效运行，追求内部控制效率的最大化。

4.把COSO报告的五要素框架与ERM的八要素框架结合起来，构建阶段化的内部控制模式。COSO委员会的ERM框架是在COSO报告五要素基础上增加了目标设置、事件确定和风险应对三个要素形成的，但二者有着本质的区别：COSO是内部控制的基本框架；ERM只是企业风险框架。本文把二者结合构建了包含目标的制定、风险的评估、控制活动的实施、内部控制的测试与评价以及内部控制目的考核与评价五个发展阶段的内部控制动态框架。

5.内部控制动态模式的构建只是提高商业银行内部控制效果的起点，不是终点。本文构建的商业银行内部控制动态模式只是一个基本框架，还有许多内容需要进一步地深入研究。这一模式的运行具有多种方式，同一种方式在不同的环境下运行的效果也存在着很大的不同，而且控制模式本身还存在着许多不完善的地方，需要广大同行更密切地关注这一问题，共同对这一问题进行更深入地研究，以彻底解决商业银行内部控制低效问题。