关键词：风险管理，内部控制，中小商业银行
中图分类号：F830.33文献标识码：A文章编号：1001-828X（2013）10-00-01
一、风险与内控的关系
“风险”一词最初发源于远古时期的捕鱼业，渔民为了出海捕鱼能够安然返航，向神明祈祷。子在长期的捕鱼劳动中，总结出经验：“风”即有“险”，故为“风险”。1955年，美国宾夕法尼亚大学沃顿商学院的施耐德教授首先提出“风险管理”的概念，从此“风险管理”越来越受到企业的重视。1988年《巴塞尔协议》的签订，更是将银行风险管理推向高潮，提出了商业银行经营规范。2004年12月25日，中国银监会《商业银行内部控制评价试行办法》（2005年2月113起施行），对商业银行内部控制评价的目标和原则、评价内容、评价程序和办法、评价标准和等级、组织和实施进行了规定，并增加了对商业银行内部控制监管的一些新要求。
内部控制是风险管理的重要工具，内部控制的动力来自于对风险的畏惧和回避愿望。内部控制是经济组织为了实现管理目标而设置的保证机制，良好的内部控制制度设计及实施，能够保证经营获得合理性，保证经营过程不脱离正常轨道，导致错误的结局。而全面风险管理覆盖了内部控制。COSO委员会颁布的全面风险管理框架与内部控制框架相互借鉴的事实就是内部控制与风险管理密切关系的最佳说明。因此，中小商业银行要想加强风险控制与管理，离不开内部控制制度的设计和实施。
二、中小商业银行的生存现状
政权于20世纪30年代建立了以中央银行、中国银行、交通银行、中国农民银行、中央信托局、邮政储金汇业局、中央合作金库为主体，包括省、市、县银行及官商合办银行在内的金融体系，一方面为我国金融体系建立基础，另一方面又使得官办银行挤压中小商业银行的生存空间，致使中国银行体系的单一和垄断控制。新中国成立后，80年代左右，经中国人民银行批准，先后成立了中信实业银行、深圳发展银行、广东发展银行等10家全国性股份制商业银行，突破了四大专业银行一统天下的格局。中国中小商业银行更是21世纪才如火如荼、大行其道。
中小商业银行在外资银行与国有银行的夹缝中生存，国有银行具有先天的政策背景和久远的历史积淀，而外资行有光鲜的“留洋”外衣和更加广阔的国际市场支撑，并且中国国人对风险的回避态度及对银行安全的传统观念，直接导致大部分中国人不信任中小商行，认为中小商业银行不值得信赖。加上中小商业银行大部分为地区性银行，在当地具有较强的发展实力和能力，但是当面向全国市场时，由于不具有品牌优势和更高的知名度，被排斥在大市场的边缘。
三、中小商业银行经营特点
1.内部控制环境薄弱。由于人力资源市场化流动，高素质的人才都流向了具有更高福利待遇、更广阔发展平台的国有银行和外资银行，而中小商业银行的从业人员素质普遍较低，导致员工普遍存在短视现象，对内部控制没有深刻理解；同时中小商业银行在夹缝中生存的现在使银行本身存在急于扩展规模、提高效益的意愿，很多中小商业银行的领导者片面强调效益与短期成果，加上为了自身升职加薪的短期利益，置长期风险于不顾，更妄论加强内部控制以降低经营风险的长远规划。这些原因都导致中小商业银行的内部控制环境极其薄弱。
2.现有的内部控制制度不完善。由于中小商业银行的领导和从业人员普遍不重视银行内部控制制度的建设和落实，导致银行现有的内部控制制度极度不完善，存在很大的漏洞和风险。以产权制度为例，中小商业银行的所有权与经营权为实现真正的分离，通常所有者掌握着最大的经营决策权力，董事会、监事会和经理层主观能动性受到压抑，公司治理结构无法发挥正常作用，没有建立完整有效的激励机制和监督机制，内部稽核体制落后，监督部门不具备充分的独立性，为了自己的利益员工内部不良竞争恶化。其管理结构本身就存在很大的管理盲区。
3.内部控制的组织基础脱节。内部控制依靠银行内部各个部门的相互配合及监督，形成一个完整的业务实施、监督和反馈链条。但是中小商业银行由于业务权力分配设置不合理，导致内部各部门之间存在脱节现象，未能形成相互依赖和制约的控制机制，动态控制薄弱，不能及时发现并纠正发生的错误。
四、借鉴国外中小商业银行风险内控管理的先进经验
美国的金融服务也一直保持着世界领先的水平，与金融活跃状况相适应的就是对风险管理的重视。美国具有8000多家商业银行，其中90%资产不超过100万美元，银行业的兼并重组活动非常活跃。为了适应残酷的市场竞争，美国中小银行在风险管理中取得了重大的成就。中国中小商业银行应当以美国中小银行为样本，学习并提升其风险内控水平。
1.简历完善的信贷风险管理流程。美国的中小银行实行严格分权而治的公司制结构，董事会、监事会于高级管理层各司其职，建立相互独立的风险管理体系。设立专门的风险审计委员会进行风险分析和监测；在高级管理层中建立风险管理体制框架，来约束其决策行为；在业务部门，设置专门的风险分析岗，收集、分析、反馈所观察和检测到的风险信息，及时发现并纠正风险活动，并将信息汇总起来以供专门研究机构进行分析，开发更有效的风险管理工具。
2.采用先进的风险管理工具。风险既是一个感性的概念，也是可以量化的。没有量化标准的目标，实现难度越大。因此美国中小银行在百年发展经验的基础上，结合专业研究团队的研究成果，开发出先进的风险管理工具，比如信用评分模型（creditscoring）、风险调整的资本回报率模型（RAROC）、内部评级模型（IRB）等。并且以风险管理咨询为主业的咨询公司也随之兴起，得到广阔的发展前景。
参考文献：
[1]郭娇.浅谈次贷危机给我国商业银行信用风险管理的启示[J].中国商界，2008（03）.
[2]郑新广，刘义成.金融危机下的商业银行风险管理[J].金融与经济，2009（01）.
关键词：商业银行；内部控制；风险管理
中图分类号：F830.33文献标识码：A文章编号：1001-828X（2013）12-0-02
一、内部控制与风险管理相互作用的内在机理
内部控制是一种自律行为，对商业银行而言，“内部控制是商业银行为实现经营目标，通过制定和实施一系列制度、程序和方法，对风险进行事前防范、事中控制和事后监督与纠正的动态过程和机制”[1]。从商业银行内部控制的定义可知，内部控制是银行为了防范风险，对内部各职能部门及工作人员所从事的业务活动进行风险控制、制度管理和制约的方法、措施、程序的总称[2]。商业银行风险管理是指商业银行通过风险的识别、衡量和控制等方法，预防、回避、排除或转移经营中的风险，从而减少或避免经济损失，保证经营资金的安全。
商业银行作是经营货币信用业务的特殊企业，高负债经营和无抵押负债经营作为其最显著的两大特点，决定了商业银行具有巨大内在风险。具有健全的制度管理措施和完备的相互制约关系的内部控制系统，能够在隐蔽性风险或问题发生的同时，自动地发挥出监督、制约、矫正、抑制错误的功能，从而在一定程度上纠正问题或使风险在隐蔽期内不至变大，降低损失发生的可能性。而隐蔽性风险表面化时，处理问题就属于风险管理的范畴了[3]。
目前，从我国商业银行的发展情况来看，内部控制和风险管理关注的侧重点趋向一致。商业银行的内部控制注重建立和完善内部管理体系、理顺操作流程、实行职责分离以及横向相互监督制约的机制，防范银行从业人员的道德风险。风险管理则注重再造管理体系和流程，通过完善风险管理的政策和技术体系，从容应对银行可能发生的危机，实现与收益平衡的战略目标。而在商业银行公司治理机制不断完善的情况下，二者实际上是殊途同归，目标统一。
二、德意志银行内部控制与风险管理的经验借鉴
国外商业银行内的部控制制度建设较早，在长期的经营实践中积累了丰富的经验，内部控制制度发展到成熟阶段。因此，考察和研究国外商业银行的内部控制与风险管理，对我国商业银行内部控制与风险管理的建设和完善具有十分重要的意义。德意志银行于1870年在柏林成立，总部位于德国法兰克福，是德国最大的银行，也是欧洲最强大的银行之一。德意志银行是一家全球性全能型的金融服务机构，它不仅仅是商业银行，也从事投资银行、私人银行和资产管理业务。德意志银行具有较大的国际化程度，资本实力和全球竞争力较强，将其作为国外商业银行的典型个例进行分析借鉴，可以帮助我国商业银行加强内部控制建设、提升内部控制成效、防范银行风险。
（一）德意志银行的公司治理结构。德意志银行公司治理结构是典型的双董事会制，由监督董事会和管理董事会共同管理。监督董事会由股东大会和职工大会选举的董事组成，有权对管理董事会成员进行任免，管理董事会向监督董事会负责，监督董事会下设各专门委员会负责对具体领域进行管理。德意志银行的监督董事会，从名称上看，侧重于履行监督职能，约有40%的董事来自职工代表，在银行管理过程中可以保护职工的利益，也有利于限制大股东侵害中小股东和银行利益。
（二）德意志银行的风险管理。德意志银行风险管理的五个基本原则：1.董事会把整个集团作为一个整体进行全面的风险管理和监督，监事会定期监察风险情况；2.集团风险委员会负责管理和控制风险；3.协同管理组织内部所有相关层面的信用风险、市场风险、流动性风险、操作风险和交易风险；4.紧密联系全球风险管理部门的组织结构与业务部门的组织结构；5.风险管理的职能自成体系，独立于业务部门。总行设集团风险委员会，其主要职责有：1.制定风险管理部门的组织结构并任命主要的风险管理官员；2.规划并贯彻执行集团内一致可行的“风险调整经济资本收益率”（RAROC）模型；3.管理风险组合；4.制定与业务发展规划一致的风险偏好；5.制定与风险偏好一致的风险管理政策、风险管理程序和风险管理方法。[4]
1.信用风险管理。德意志银行建立了全行统一的对客户群体进行评价的内部评估法、计分卡和评级标准，并将在参考外部评级情况所得到的内部评级结果与客户的市场表现进行对比。并且运用各种工具对信贷风险进行连续监控，使银行能够在信贷损失初现时通过相应的程序和预警系统，把风险识别出来，从而降低客户违约的可能性。对于大部分类型的交易，德意志银行把交易委托给专业的清算机构来完成，只有交易双方都完全履行契约中的义务，清算机构才对交易进行结算，以此降低结算风险。
2.市场风险管理。德意志银行认为，银行所有业务都面临着市场价格或利率上下波动的风险，而市场价格或利率的波动可能导致银行遭受损失，也可能使银行获得盈利。德意志银行合并使用风险敏感度、风险值、压力测试和经济资本等指标来管理市场风险并确定风险额度。
3.流动性风险管理。德意志银行建立了“资金矩阵”来管理流动性风险。根据到期时限的不同，银行把所有与资金相关的资产和负债按照时间进行排列，组成一个资金矩阵。管理人员可以通过资金矩阵直观地看到每种期限的资产和负债是否匹配，以此识别和管理流动性敞口。资金矩阵为德意志银行每年在资本市场的债券发行计划提供了技术支持，集团资产负债委员会根据资金矩阵的情况对债券的期限、数量和契约内容等发行目标进行审批。
4.操作风险管理。德意志银行通过评分卡来监测风险管理架构的状态，由集团操作风险委员会按季复核；使用内部和外部的损失数据建立数学模型，计算操作风险敞口所需要的经济资本。德意志银行通过建立备份系统和应急计划来尽量降低通讯、信息或结算系统所导致的操作风险，通过加强员工常规培训、落实操作规程和强化监督检查来减少操作中的错误和缺点。另一方面，德意志银行也通过购买保险来抵御操作风险。
三、我国商业银行内部控制与风险管理的现状及存在的问题
（一）内部控制环境存在缺陷。良好的控制环境是有效的内部控制的基础，相比于国外内部控制环境，我国内部控制环境相对薄弱，主要集中体现于产权结构、组织结构、人事制度。我国商业银行大多是国有企业，国有企业主要的问题就是产权不明晰，责任不明确，从而影响内部控制的执行效率。而国外商业银行就不存在这个问题，其产权清晰，权责分明，相互制衡。我国商业银行组织结构复杂，机构臃肿，管理层级多，内部各职能部门分工不明确，权责相互交错。而国外商业银行大多是股份公司制企业，组织结构简单有效，职责分工合理，高效运行。
（二）内部控制制度不健全。1.内部控制制度系统性不足。内部控制制度分开制定，导致各制度间相互割裂，缺乏统一与整合。商业银行内部各个部门之间行政上相对对立，各部门独立制定规章制度，从而导致商业银行内部控制制度数量众多，银行内各部门、各岗位甚至各项业务都存在内部控制制度，但是各个制度相互割裂缺乏整合性且目标不统一。[5]2.内部控制制度强制性不足。内部控制制度对于高级管理层的监督约束略显薄弱，并且只重视内控制度的设计，而对内控制度的落实情况予以轻视，进而出现违章操作、有章不循的情况。3.内部控制制度全面性不足。内部控制制度往往没有包括商业银行所有的经营风险点，在一些分支机构这种现状尤其突出。
（三）风险管理制度不健全。1.风险管理机制缺失。反观国外商业银行的风险管理机制，我国商业银行风险管理缺乏系统性，风险管理机制缺失，从而导致风险管理中心无法独立权责不明，风险汇报和风险沟通体系不健全，风险管理状况难以在银行内部各个层次、各个部门之间得到充分、全面的沟通，风险管理系统不完善，不能满足风险管理的需要。2.在风险管理体制上区别明显。与西方发达国家商业银行的风险管理相比，在体制上由于我国还没有真正确立现代商业银行制度，法律体系的不完备以及市场机制的不完善，导致我国商业银行缺乏完善的产权制度，欠缺激励机制和约束机制，不具有良好的现代公司治理结构。3.在风险管理理念上差距较大。我国风险管理人员的风险管理理念存在明显的滞后性，往往跟不上业务发展速度和风险管理环境变化的步伐，未针对不同种类的业务、不同地区的现状分别实施符合其特点的风险管理，而是统一操作，导致不仅业务风险不能得到很好的控制，新的风险还容易随之产生；侧重于信用风险管理，而轻视市场风险管理、流动性风险管理和操作风险管理，致使风险管理的片面化。
（四）内部控制制度对金融创新在时间上存在滞后性。银行业务的发展往往超前于银行制度的建设，这使得商业银行会计的准确性大大下降。商业银行内部控制制度对于金融创新在时间上存在滞后性。商业银行在实际工作中往往不能及时有效的控制金融创新业务的风险。
（五）内部稽核制度不完善。内部稽核没有渗透到商业银行的各项业务过程和各个操作环节，覆盖所有的部门和岗位。内部稽核部门在形式上和实质上都没有独立于商业银行，内部稽核部门在行政上从属于商业银行，在经济依附于商业银行。并且，在实际工作中，由于稽核的时间往往滞后于业务实际发生的时间，严重影响了内部稽核的有效性。
四、强化商业银行内部控制与风险管理的对策
（一）营造良好的控制环境。提高银行员工内部控制意识，增强遵纪守法观念，创造良好的内控文化氛围。增强商业银行依法经营观念，强化经营风险意识，树立内控人人有责的观念，首先要从银行管理层做起，各级行领导，尤其网点负责人，要真正担负起内控管理第一责任人的角色，一级抓一级，加强业务培训，组织员工系统学习内控制度，提高内控制度执行力，促使员工自觉养成良好的工作习惯，注重培育自律意识，自觉纠正经营行为的偏差。[6]
（二）建立完善的商业银行市场风险和操作风险管理体系。
1.建立市场风险管理体系。随着国际金融市场风险的逐渐凸显，国内商业银行越来越多的资产成为非信贷资产而进入国际国内交易市场，商业银行面临的市场风险将越来越大，市场风险也成为国内商业银行需要面对的最重要的金融风险之一。构建我国商业银行的市场风险管理体系可以从以下几个方面着手：
一是建立完善的利率风险内控机制。在这方面目前还有许多工作要做，关键要做到：分类和归总本行当前及未来将面临的各种利率风险，包括再定价、收益曲线、基准与期权风险等，并追溯其全部来源；在科学进行利率风险计量分析的基础上，确定全行可承受的利率风险总额，并将其按产品、部门进行分解，由各部门、机构分别承担各自风险限额的控制。[7]二是调整业务结构，大力发展中间业务。应该增强金融创新意识，加快发展商业银行的中间业务，培育新的利润增长点，减少对传统业务的依赖，从而减少利率风险的困扰。
2.建立操作风险管理体系。中国银监会于2007年6月的《商业银行操作风险管理指引》，提供了与国际标准相匹配的操作风险管理办法；《商业银行操作风险资本计量指引》也多次征求意见，力争把资本计量与审慎监管更好地结合起来。我们要重视银行业务流程、交易系统、外包业务、案件防控方面的操作风险，设计清晰、合理、规范的内部流程，实行有效的授权管理，并进行持续的合规评价和改进，从制度上防范操作风险。
（三）对于制度的执行要“严格标准、全面覆盖、注重实效、持续可用”。在推广制度中，商业银行要针对不同原因，采取不同的措施。由于总行制度不够全面或更新不及时，不适应业务发展，需要总行相关部门完善或修订制度；由于分行操作执行存在偏差，而且影响到内控有效性的，需要分行进行整改；由于分行岗位设置与分工不符合职责分离原则的，需要分行予以调整。
（四）重视对创新业务的风险管理，建立新金融产品推广和运作机制。为了提高商业银行风险管理效率和质量，商业银行要加强对创新业务的风险评估，注重内部控制制度建设的及时性，及时弥补风险。定期组织内控管理人员和各部门的业务骨干对业务制度、流程全面梳理；在全面梳理的基础上，重点查找目前业务规章制度中存在的流程不清晰、规定与实际操作脱节等问题，查找业务流程中的风险管理疏漏或薄弱环节，提出改进方案，并监督整改。
（五）强化商业银行内部审计监督机制。审计工作的战略重心要向全面风险管理和综合经营管理转移，审计目标从偏重财务收支的真实性、合法性、效益性审计转向经营审计。逐步建立起绝对垂直和相对独立的内部审计体制。垂直的内部审计体制可以保证有效的审计报告能够源源不断地向银行管理层和银行监管人员提供内部控制系统运行质量方面的信息，并自由地报告其发现和评价，在内部进行披露。独立性是审计部门保持客观性和公正性的基础，客观性意味着，审计部门能够避开任何利益冲突，真实地反映审计结果；公正性则要求审计部门不得涉及银行的经营活动或直接实施内部控制措施。[8]
参考文献：
[1]商业银行内部控制指引.中国人民银行，2007，7.
[2]任远.商业银行经营管理学[M].科学出版社，2004.
[3]倪锦忠，张建友，闻玉璧.现代商业银行风险管理[M].北京：中国金融出版社，2003：216.
[4]郑健军.德意志银行的风险管理[J].农业发展与金融，2006（5）：48-50.
[5]张侠.如何加强商业银行的内部控制与风险管理[J].华章，2012（1）：69.
[6]朱大地，朱大鹏，彭龙.美国商业银行内部控制制度及其对我国的启示[J].国际商务——对外经济贸易大学学报，2007（2）：41-44.
[7]王占峰，刘丹，何一峰.商业银行“多维度风险管理”[J].金融研究，2007（6）：63-68.