当前经济增长下行趋势未见触底，充满不确定性。银行经营指标压力丝毫未减，直接传导给银行从业人员合规经营与快速发展双重压力骤增。近年来，湖北省内部分金融机构发生多起涉及金融机构的案件和风险事件，在给银行和客户带来资金损失的同时，也给银行业金融机构带来严重的声誉风险。2018年中央经济工作会议首次提出：要坚决打好“三大攻坚战”，首要是防控金融风险。今年是省银行业金融机构“内控合规管理深化年”，监管部门日益强化对商业银行的监管，“强监管、严监管、深监管”成为常态。作者认为：思考如何做好城商行内控合规建设工作，为参与日益激烈市场竞争提供稳固的后援保障非常重要，是关系到城商行是否能够持续、稳健经营的关键命题。  

一、 当前城商行内控合规建设现状及问题

（一）思想认识仍不到位，内控合规意识急待提升。

近年来城商行案件时有发生，很重要的原因就是城商行对内控和风险管理认识不到位，内控意识薄弱。主要表现在：一是存在“上下不对称”现象。对内控合规建设的认识，总分行非常重视，支行干部员工较为冷淡。甚至认为加强内控合规建设影响业务发展，浪费人力物力。二是存在“突击搞运动”现象。在内、外部机构检查时，支行较为积极，较为重视，一旦检查结束，又不闻不问。三是存在“认识偏差”现象。以规章制度建设替代内部控制建设；以突击式的监督检查代替连续性的内部控制。四是存在“重发展，轻内控；重营销，轻管理”现象。存在粗放式的经营发展模式偏好，将内部控制和风险管理让位于业务发展，部分内控合规措施得不到执行，导致内控失效。以上现象从不同角度反映出城商行内控意识较为薄弱，内控优先理念未得到真正落实。

（二）内控合规管理体系不健全、制度不完善，缺乏系统性、整体性。

1．未建立体系化的内控合规管理体系。大部分城商行均未建立健全完整的内控合规管理体系。并且在组织体系上也存在欠缺，由于公司治理不完善，导致董事会与高级管理层的内控职责不清和缺失，董事会未能充分承担起内控建设的最终决策职能，监事会对董事会和高级管理层完善内控体系的监督职能也形同虚设。绝大多数城商行未设立专门委员会负责内部控制合规建设，有的即使有也是形同虚设，未充分承担起合规风险管理的职能，更多的是制度梳理和法律事务。

2、内控制度设计滞后、断层、与实际背离。多数城商行在制度设计上存在滞后性和不系统的问题。一是内控制度设计滞后。在市场营销中，迫于竞争的压力，忽视内控制度的设计。如开发新产品时，产品已投入运行，但覆盖所有产品流程的内控制度并没有出台，或者草草的出台一些粗浅的操作规程，没有建立在风险识别基础上，满足覆盖所有业务流程的风险防范的需要；二是内控制度设计生搬硬套。部分城商行由于种种主客观原因，没有结合本行系统运行的实际以及业务产品的实际操作、运行状况，而是生搬硬套，抄袭他行的内控制度文本，缺乏实际操作性，无法用严密的内控制度设计来完善防御风险的各种考量。制度执行不力是城商行普遍面临的问题，也是导致内控失效的主要原因。从以往案例来看，制度执行不力，既有基层分支机构风险合规意识不强的原因，也有制度本身以及制度建设方面的问题。三是内控制度设计不系统。内控制度的设计安排，应该是按照银监部门内控评价和内控指引、合规指引要求为框架，然后结合实际系统运行流程逐条对应进行系统的内控制度设计，从而形成一整套体系化、文字化的内部控制体系文件。在实际工作中，很多城商行都是按照工作推进的逐步需要来进行制度设计，缺乏制度设计的系统性、全面性、科学性。并且各部门各取所需、各自为政，导致银行各部门设计的文件互相冲突，总分行执行文件脱节，基层支行执行文件无所适从的现象时有发生。四是内控制度后评价机制缺乏。城商行大多存在“重视制度制定，忽视跟踪评价”的情形，制度出台后，没有专门的岗位和部门根据外部环境、法律法规以及银行自身情况的变化对制度的适用性进行评价，也没有对制度出台后的执行情况进行跟踪反馈，从而出现现行制度滞后于外部法律法规要求，甚至滞后于业务发展的情况。

（三）违规操作导致出现内控合规管理失控。

一是传统的师带徒模式可能存在不按规定流程操作导致有意或无意违规。如笔者在日常检查中经常发现：柜员对单证、印章等实物缺乏妥善保管意识。营业终了或临时离柜，柜员卡、库箱钥匙未随人走，现金、重证及印章未入箱上锁；柜员号、柜员（含授权人）密码口令保管不善等等，并且屡查屡犯；二是下级服从上级因素导致服从性违规 。如笔者在日常检查中发现：个别贷款抵押手续并没有办理完毕，却因客户要款急，支行负责人要求先放款、后补办相关手续的情况，导致贷款放款时间在前，抵押手续时间在后的贷款违规操作情况；三是内部员工碍于情面导致无意识违规。今年某城商行某分行客户经理泄露客户信息事件，深层次原因就是柜员碍于内部员工的情面，违反规定泄露了客户资料和交易信息。上述行为均直接导致内控合规管理失控，形成风险事件和案件隐患。

（四）绩效考核偏差导致激励误导，形成内控合规管理负面作用。

一是考核指标过度的强调存、贷款等业绩硬指标，忽视对内控、合规工作质量等软指标。二是业务人员过度追求存、贷款业绩收入，忽视内控合规及合规工作细节。如部分城商行高管拿年薪，主要考核综合绩效；客户经理主要考核营销指标，如存款日均、贷款户、发卡量、开户数等；营业室管理人员主要考核个人业绩和岗位履职等；柜员主要考核业务量、揽储等。内控合规考核指标只是发案后的惩罚措施，考核的偏差误导着银行员工盲目追逐绩效。

（五）“人员不足、一人多岗”导致内控合规管理失效。

很多城商行，成本约束压力较大，大多实行精简的人员策略，一人兼多岗现象均较为普遍，从而使得岗位之间（尤其是不相容岗位）的监督制约落空。一是人员不足导致 “岗位分离、不相容”等相关制度无法执行。笔者在基层支行检查中发现，按制度很多岗位必须严格分离，但现实中柜台内又没有配置相应的人员数量，导致制度无法在实际工作中执行的无奈现象。二是新员工多并缺少足够的培训就匆忙上岗。笔者发现：部分城商行因业务发展速度较快和人员流失等因素，新老员工出现断层，新入行的员工大多仅经过短暂的业务培训就被安排到柜台业务操作一线，因业务不熟，柜台业务量大，受精力限制，很难顾及风险防范，并且基层支行往往成为新员工的培训基地，做熟后又流走，导致内控失效，易形成案件风险漏洞。

（六）银行新产品开拓形成内控合规管理真空

随着金融市场竞争白热化，城市商业银行为占领并扩大市场份额，不断推出各种金融新产品和新业务，但相应的内控制度未跟上，易出现案件风险漏洞。

（七）全面风险管理体系不健全，操作风险管理简单粗放。城商行初步建立了以风险管理为核心，涵盖信用风险、市场风险和操作风险的风险管理体系，并建立起相应的风险识别与评估机制。但离全面风险管理的要求以及业务快速发展的需要仍有不小距离。此外，城商行普遍存在操作风险管理较为粗放的问题，缺乏专门的操作风险管理部门，也未建立起相应的管理制度，更多的是以内部审计、业务检查以及案件防控替代操作风险管理。

（八）内控合规管理电子化水平底，管理手段落后。从现实情况来看，城商行内部控制的电子化系统应用水平较低，更多地是依靠传统的岗位制约、制度控制、监督检查、内部审计等实现对风险的识别和控制。笔者在日常员工行为排查中，经常会因为没有适时的员工账户数据库监控系统，因而无法适时监控员工异常交易行为，对银监部门今年提出的银行员工“十大”行为风险管控中的很多要求，由于科技手段跟不上，仍是有心无力，面对基本流于形式的银行员工行为排查也深感无助。

（九）内控合规责任追究制度缺失。只有在内控责任制无形的压力下，各相关部门才会真正肩负起应负的责任，使内控合规体系中存在的问题和薄弱环节得以暴露，并予以及时的纠正和完善。

二、城商行加强内控合规建设的对策思考

作者认为：城商行应当树立“合规创造价值、内控保障发展”的管理理念，构建“控而不死、活而不乱”的内控合规管理体系，保障业务健康、有序发展。笔者围绕内控合规建设的“五要素”—— 控制环境、风险评估、控制活动、信息与沟通、监控，结合某城商行实践中的一些工作举措以及作者在建立内控合规管理体系的一些研究成果，提出以下对策建议。

（一）创造良好的内控环境，建立强有力的内控合规文化

城商行要站在长远发展的角度，高度重视内部控制，要通过人性化的人力资源管理，合理的激励约束机制，持续的业务培训、理念的培育，使自觉遵守内控制度，成为全体员工的自发行为，树立“合规创造价值”的内控合规文化。加强对员工的内控培训和教育，特别是案例警示教育和职业道德教育，并加大监督检查力度，促使内控优先、稳健经营理念深入人心。

（二）树立合适的风险管理理念、成熟的银行经营管理理念、科学的发展观和风险观。

城商行要逐步建立全面风险管理体系和内控合规管理的长效机制。要将风险管理贯穿于业务发展全过程，对合规风险要实行零容忍。一是要从战略高度充分认识到完善的内控合规机制是城商行稳健运行的前提和基础。二是要正确处理好改革、发展与管理三者之间的关系，实行集约化经营，践行“合规创造价值、内控保障发展”的内控合规理念；三是应当针对不断变化的外部环境和情况对风险进行再识别和再评估，及时修改完善风险控制的制度、技术和方法，以控制新出现的风险或以前未能控制的风险。

（三）建立体系化并可持续改进的内控合规管理体系，防范风险。

建立系统、透明、文件化的内控合规管理体系是为了实现经营管理目标、内控目标，通过制定并实施系统化的内控政策、程序和方案，对风险进行有效识别、评估、控制、监测和改进的动态过程和机制。一是正确认识公司治理、风险管理、内控管理之间的关系，有助于科学的进行内控管理的组织架构。二是明确董事会、监事会、经营层在内控管理上的职责。三是科学的进行业务流程风险识别与评估。建立风险识别与评估的程序文件。组织人员按照程序文件要求认真梳理和优化各项管理和流程，针对每一个业务和管理活动的每一个环节，区别内部和外部两个方面，考虑常规和非常规的情况，根据银监会确定的信用风险、操作风险等七种主要风险，逐一全面地识别流程中各类风险点。然后对这些风险点运用LEC等方法进行风险等级评估。判断出可接受风险和不可接受风险，并形成系统完整的《风险管理手册》。四是科学的架构内控体系文件。五是充分运用PDCA方法，保持内控体系的持续改进。

（四）多措并举，提升制度执行力

一是从源头抓起，提高管理部门，尤其是业务管理部门的业务管理水平，加强对管理人员的业务技能培训，提高其专业技能和制度编写能力。二是加强对制度的宣传和培训，确保基层分支机构能迅速、全面掌握制度的各项要求；并建立制度制定者与执行者之间的联系机制，确保执行者在执行制度过程中遇到的问题有畅通渠道进行反馈，并得到及时解决。三是建立责任明确的内部激励机制，严格考核，明确奖惩；制定多层次的内部控制考核制度、问责制度，以量化指标去考查内控制度的执行情况。四是建立制度后评价机制，由制度制定部门和合规部门定期对出台的制度的执行情况进行跟踪评价，对制度执行不力的情况进行分析，查找原因，持续改进。五是确保内控合规工作责任追究机制到位。制定《内控合规责任追究办法》，较为科学的对各类违规行为进行有效问责。

（五）整固“四道防线”，确保内控合规建设形成整体合力。

内控是一个过程，基于五要素，作用于银行业务流程的“四道防线”。彼此之间并非孤立设置、相互替代的关系，而是互为补充、相互强化的系统。偏差和风险无时不有、无处不在，只有在不断促进、不断反馈的过程中发挥系统的合力，形成纠偏防弊的机制保障，才能真正实现商业银行内控的最终目标。一是城商行要形成内部审计部门和合规部门的联动机制，落实监管部门要求。合规部门和内部审计形成联动，提高对外部监管意见的落实整改效果，确保内部监督纠正机制充分发挥作用。二是要筑牢业务管理条线、合规部门、内审、纪检监察"四道"内控合规防线，严防案件风险。紧盯关键制度、关键问题和关键人员，对合规管理要抓早抓小，对问题处理从严从实，做到有章必循、违章必纠。要根据各条线合规案防重点开展不间断的滚动排查，力求内控合规工作形成整体合力，严防风险。