浅谈银行内部控制与风险管理论文

摘要】经过研究发现，在银行风险中，信用风险一直处于首当其冲的地位，是我们需要首先关注的风险。本文从我国商业银行的实际情况出发，说明了目前存在的问题，在分析国际先进银行信用风险管理趋势的基础上，提出了强化信用风险管理的各项内外部措施的建议。【关键词】商业银行；信用风险；风险管理金融行业是个高风险的行业，这些风险主要包括信用风险、市场风险、流动性风险、操作风险、法律风险等，银行业面临的风险以信用风险所占比重最高，约占60，其次为操作风险，越占30，市场风险和其他风险如法律风险则较低，约占5。本文仅从风险比重较大的信用风险入手，来研究其管理问题。信用风险是指债权人由于债务人违约或债务人信用等级或履约能力发生变化造成损失的风险。对于商业银行而言，这种风险主要源自借款人违约或资信恶化而使债权人遭受损失的可能性。这种损失包括预期损失、未预期损失和意外损失三部分，其中前两部分构成了损失的主体，是对银行最有意义的部分[1]。随着商业银行业务日趋多样化，信用风险不仅产生于传统的贷款业务中，而且在票据贴现、透支、开立信用证、开立银行承兑汇票、同业拆放、债券包销、担保等业务中也涉及到实际的信用风险。现代意义上的信用风险则包括由交易对手直接违约和交易对手违约可能性发生变化而给银行资产造成损失的风险，因为从组合投资的角度看，资产组合的价值不仅会因为交易对手的直接违约发生变动，而且，交易对手履约的可能性也会因信用等级降低，盈利下降等因素发生变化从而给资产组合带来损失。现代信用风险概念涵盖了传统的信贷风险以及因交易对手信用水平和履约能力变化而导致资产损失的风险。一、我国信用风险管理现状[2]（一）尚未形成正确的风险管理理念目前，我国银行工作人员对信用风险管理的认识不够，管理理念较陈旧，首先，对银行发展的眼前利益与长远目标的协调认识不充分；其次，对银行业发展与信用风险管理的关系认识不充分；再次，信用风险管理的意识在整个行业的职员中和经营管理过程中贯彻不充分，总认为信用风险管理是风险控制部门的职责。（二）信用风险管理人才匮乏，缺少分析与预测专家由于我国开展信用风险管理的时间较短，无论是管理经验的积累，还是管理人才的培训都相当匮乏，导致风险分析与预测行家较少，制约了国际先进信用风险管理模型和方法在我国的推广应用。（三）银行信用风险定量管理落后，尚未建立信用风险的质量与管理的先进技术。现代信用风险管理与传统的信用风险管理不同的是越来越重视定量分析，大量运用数据统计模型和金融工具，但在我国银行业的定量分析中主要还是参考资产负债指标和头寸匹配指标，风险测算统计工作还未能实现制度化和科学化。（四）尚未建立起一个健康的社会信用体系，企业信用情况难以真实反映。由于我国社会上普遍存在信用缺失，企业财务数据真实性不高，加上信用评级未完全用在贷款决策上，基层信贷人员又没有过多时间随时跟踪企业财务变化情况，导致信用风险管理中的财务数据不全面、不准确，风险得不到真实反映。（五）基础数据库有待充实，管理结果有待检验。根据历史数据资料对不同信用级别的实际违约率和损失程度进行统计分析，是检验信用风险管理结果客观性的重要手段。但在我国起步较晚的信用风险管理中，信息披露、管理方法还缺乏效力，难以收到企业的真实财务资料，从而导致分析结果缺乏可信度，先进的信用风险管理技术难以运用到银行实际的信用风险管理当中去。二、国际先进银行风险管理趋势及特点国外银行信用风险管理经过几十年的发展和实践,积累和总结了许多先进的理念和方法,从1988年《巴塞尔协议》的诞生，其间经过VAR、CreditMetrics等定量分析信用风险的数理模型的运用，至1999年和2002年《新巴塞尔资本协议》征求意见稿的出台，不仅强调用先进的工具量化风险，而且在当前金融全球化的大趋势下，国际先进银行越来越重视从全球范围管理银行面临的所有风险，强调风险管理贯穿于银行业务的整个过程，风险管理正在从高深的理论变为所有从业人员的自觉意识和行为，具体说来，具有以下五方面的特点[3]：（一）全新的风险管理方法。随着经济的全球化趋势不断深入，企业经营区域逐步跨国化，股权逐步多样化和复杂化，业务领域逐步多样化，这给商业银行风险管理提出了新的要求。目前，国际活跃银行风险管理的重点已经从信用风险，扩大到既重视信用风险又重视市场风险和操作性风险；信用风险管理的重点从关注单笔交易、单项资产和单个客户，扩大到既重视单笔交易和单个客户的风险管理，又高度关注所有信用敞口的总体风险控制。为了避免各类风险在地区、产品、行业和客户群的过度集中，国际活跃银行采取统一授信管理、资产组合管理以及资产证券化、信用衍生产品等一系列全新的风险管理技术和方法，防范和转移各类风险。国际活跃银行风险管理越来越重视定量分析，大量使用盯市模型中KMV、CreditMetrics等、违约模型中的CreditRisk＋等数理统计模型来识别、衡量和监控风险，这使得风险管理越来越多地体现出客观性和科学性的特征，也使得风险管理成为艺术性和科学性相结合的工作。（二）全面的风险管理范围。所谓全面风险管理是指对整个银行内各个层次的业务单位，各个种类风险的通盘管理，这种管理要求将信用风险、市场风险和操作性风险等不同风险类型，公司、零售、金融机构等不同客户种类，资产业务、负债业务和中间业务等不同性质业务的风险都纳入统一的风险管理范围，并将承担这些风险的各个业务单位纳入到统一的管理体系中，对各类风险依据统一的标准进行测量并加总，依据全部业务的相关性对风险进行控制和管理。全面风险管理是银行业务多元化后产生的一种需求，其优点是可以大大改进风险—收益分析的质量。该原则说明，作为银行的风险管理部门有责任对银行的所有风险进行系统化的管理，在风险管理方面不应该存在任何“死角”。风险管理部门要通过风险管理规划、制定风险管理政策等方式，在银行系统内实现风险管理理念的统一、目标的统一和标准的统一，从而实现风险管理的全面化、系统化。（三）全球的风险管理体系。国际活跃银行都是经营地域遍布全球的跨国公司，由于政治、经济、社会因素导致的国别风险成为了危及银行业安全的重要因素。商业银行的国际化发展趋势要求风险管理体系必须是全球化的，应该根据业务中心和利润中心建立相适应的区域风险管理中心，与国内的风险管理体系相互衔接和配合，对各国、各地区的风险进行甄别，对风险在国别、地域之间的转化和转移进行评估和风险预警。（四）全程的风险管理过程。商业银行的业务特点决定了业务的每个环节都具有风险，伴随着风险，银行的风险管理也应贯穿于业务发展的每一个过程，哪一个环节缺少风险管理，就有可能出现损失，甚至导致整个业务活动的失败。（五）全员的风险管理文化。风险存在在每一个业务和环节，商业银行的这种内在风险特性决定了风险管理必须体现为每一个员工的行为，所有银行工作人员都应该具有风险管理的意识和自觉。为了有效地识别、防范和控制风险，国际活跃银行一般都设有专门的风险管理部门，专司风险控制之职。但是，风险控制又决不仅是风险管理部门的事情，无论是董事会还是管理层，无论是风险管理部门还是业务拓展部门，每个岗位、每个人在做每项业务时都要考虑风险因素。董事会是银行风险管理的最高机构，负责衡量银行的总体风险敞口，并对风险管理承担总的、最终的责任。董事会下设独立于管理层的风险管理委员会，通过风险管理委员会对银行风险管理的重大事项进行判断和决策，管理层必须执行。国外先进银行风险管理经验对我国银行业的启迪:与国外先进银行相比，我国商业银行风险管理在外部环境和内部管理方面都存在着较大的差距，借鉴其先进经验，我们应着重从内外两方面进行改进：从外部来看，应致力于强化外部监管，改进企业信用，规范会计事务所的行为，为银行的贷款投资决策建立良好的外部经济环境。从内部来看，应致力于构建完善的信用风险管理体系，健全内部控制制度，树立先进的风险管理文化，建立先进的信息收集和处理系统，提高风险管理技术，从而提高自身风险管理水平。三、强化信用风险管理的内部途径强化信用风险管理的内部途径主要是从风险管理体系的健全风险管理技术（特别是控制技术）的提高、内部控制制度的强化、风险文化的树立等方面加以论述。（一）健全风险管理体系[4]1、构建完善、灵活的风险管理组织体系（1）在商业银行股权结构变化的基础上，逐步建立董事会管理下的风险管理组织构架。（2）在风险管理的执行层面上，要改变行政管理模式，逐步实现风险管理横向延伸、纵向管理，新的管理结构应该兼顾风险控制的任务目标和以顾客为中心、争取市场取得盈利最大化的最终目标，这就要求在矩阵式管理的基础上实现管理过程的扁平化。2、建立科学的风险管理决策体系建立以尽职调查、风险评审和问责审批为主要内容的科学的风险决策体系。尽职调查有针对性的对项目疑点进行深入调查，独立提出专家意见，风险管理委员会是一个权威的专家审议机构，它不具有决策权，但具有一票否决权，决策层作出决策时要遵循“YES-NO”原则，即对风险管理委员会审查通过的项目，决策层可以同意或否决，但对风险管理委员会否决的项目，决策层不得同意。上述科学的风险决策体系，其核心是坚持公正和透明原则。3、建立风险管理的评价体系风险管理政策制度要适应业务发展和变化的需要，就必须建立风险管理的评价体系，从事后对风险管理体系的有效性和科学性进行检查和回顾。后评价体系要以风险和收益的量化为基础，在目前我国商业银行风险量化程度较低的情况下，可以资产质量和资本回报率为主要内容，降低不良资产的比率，提高资本回报率；而随着风险管理技术的提高，在银行能比较准确的量化其面对的风险时，应采用新型的以风险为基础的考核盈利指标——RAROC（risk-adjustedreturnoncapital），意即：根据风险调整的收益，其计算公式为：RAROC=（净收益—预期损失）/CaR（未预期损失）[5]式中：CaR——capitalatrisk，意即在险资本，也就是弥补未预期损失的资本。RAROC的考核思路打破了原有的“以利润绝对额多少、不考虑风险”论英雄的作法，而将收益与风险紧密的联系在一齐。（二）提高风险管理技术1、建立先进的风险管理信息系统（1）风险管理信息系统必须具有一个集中化的数据库，目前，这一步最为关键，我们要在力保数据库数据真实、完整的情况下，从银行前台采集数据，汇总到数据仓库，以备后台分析。数据仓库至少要容纳以下信息：客户基本信息、授信合同信息、信贷帐务信息、担保品信息、清偿数据信息、企业财务信息。（2）风险管理信息系统必须具有极强的分析系统——银行信用风险分析系统，它取决于银行的现状及管理层要求的复杂程度，从传统、简单的信用分析系统到更复杂的信用风险系统，如摩根的信用矩阵.（3）风险管理信息系统必须具有监督功能：首先会对风险分析系统产生的数据进行验证，发现问题，确保数据健全，剔出干扰数据，错误数据。2、提高对信用风险的控制能力商业银行在充分量化其所面临的信用风险的基础上，可以提高对风险的控制能力，主要表现在以下方面：（1）银行通过对贷款的未预期损失来对贷款资产进行科学的定价，贷款价格＝资金成本＋风险费用＋营运成本＋利润，其中风险费用又分为计提和风险资本成本。计提体现的是可预见的风险损失，风险资本成本覆盖的是不可预见的风险，这些都是决定一笔贷款价格的重要因素，虽然国内利率尚未完全放开，目前商行对企业的贷款仅有很少的浮动空间，但利率放开是一个必然的趋势，早一步掌握定价技术对商业银行的未来发展十分有利。（2）信用风险的度量结果可以为银行的资本配置提供参考，帮助银行决定满足巴塞尔协议风险资本充足率要求的经济资本数量。（3）银行可以通过对个体分析和组合分析风险收益的比较，并获得相互之间的相关性，掌握贷款组合分散风险的方法和技术，从而有效分散（而不是随机分散）风险，更加完善风险分散机制。（4）通过对风险的度量，完成对风险的转嫁，可以实行贷款保险制度，担保，风险资产出售，不良资产证券化。（三）健全内部控制制度主要从以下几方面完善内部控制制度：1、建立一个赏罚有度的激励约束机制，强化激励机制，要充分发挥信贷管理人员的主观能动性；增强信贷风险管理体系中的约束机制；建立公正、合理的综合评价体系，定期对信贷管理人员进行审定。2、商业银行内部控制对银行从业人员的约束力随着职位的提高而减弱，因此，在提高人员素质，特别是高层管理者素质的基础上，必须加强总行到各级分行、支行的垂直领导，加强从总行到各级分行、支行的各级业务主管部门的自身监管和对下级的监管。3、完善内部稽核机制，加强内部审计部门的独立性和权威性；加强内部监督力量配备提高人员素质；加大内部稽核频率，使其及时履行职责；建立内部控制的综合评价体系，通过评价可以起到促进内部控制的不断完善和加强、保证内部控制合理性和有效性的作用。（四）树立风险管理文化[6]风险管理文化这一术语自1996年起才首见于金融管理文献，但历史上成功的银行经营实践证明，营造良好的风险管理文化无疑是银行的致胜之道。风险管理文化的塑造通常要求银行对内在的风险管理活动进行分析，明确并倡导一定的风险收益价值观，通过正式和非正式渠道的传播以及银行内外各类沟通活动加以强化，形成独具特色的风险管理作风、意识和习惯，覆盖银行的每一角落，并在环境的冲击和挑战中，不断提高和优化，现在它已成为企业文化的核心，成为商业银行核心竞争力的源泉。总的说来，风险管理文化可从知识、制度及精神层面进行塑造：风险管理文化的知识层面：指银行在风险管理过程中形成的技术和艺术。具体来说，它包括银行对各种风险的评估能力、辨识能力、在风险收益上的权衡艺术以及对风险管理模型的开发运用技巧。风险管理的知识层面主要内含在银行的信贷人员、稽核人员、金融工程帅以及高级管理层的能力之中，并且越来越体现在银行开发的专家系统、人工智能等一系列信息软件上，它是银行风险管理的智力基础。风险管理文化的制度层面：指银行对经营活动中对能出现的各种风险进行预防和控制的一整套制度安排。主要包括内控机制和激励机制。制度层面是风险管理文化的体制保障。风险管理文化的精神层面：指银行在长期发展过程中形成的，它包括银行员工的风险观、风险内部控制意识、风险管理道德规范和价值标准等精神因素。它是风险管理文化的最高层次。四、强化商业银行信用风险管理的外部途径（一）来自银监会的监督[7]强化风险外部监管是完善风险管理体系的必然要求，如何进一步强化银监会对商业银行的监管，使之更加有效、更富针对性，从而保证商业银行运行的稳定性、安全性，目前银监会应从以下两点着手：1、实现从注重合规性监管向注重风险性监管的转变：改进和提高监管效能需要将合规性与风险性相结合，以风险性监管为主，以合规性检查为辅，真正重视风险监管工作。2、健全非现场监督体系，并保持监督的持续性：建立统一、科学和规范化的非现场监督体系：监管报表实现标准化；建立非现场监控数据库，实现信息共享；实行非现场监督评级，可考虑通过对银行报表的分析，进行合规性和风险性评级。（二）来自市场的约束通过信息披露以加强对风险的市场约束：《巴塞尔新资本协议》明确规定资本充足率、监管当局的金融监管、市场约束为金融监管的三大支柱，强调银行应及时、准确地向市场披露银行财务业绩；财务状况；风险管理战略和措施；风险暴露；会计政策；业务、管理和公司治理等6个方面的信息，为此，监管当局应通过制定信息披露准则及指引等措施，促进商业银行披露的信息具有可比性、可靠性与及时性，并将对银行合规性和风险性评级的有关内容向社会披露，加强社会监督。（三）改进企业信用状况1、积极营造良好的信用环境，积极营造良好的信用环境，规范政府行为，强调政府宏观调控，打造政府信用。在企业和全社会树立讲诚信的公德意识，形成诚信光荣、失信可耻，信用即财富的共识和理念，营造良好的信用氛围。2、加强信用制度建设，培育信用社会监督机制，市场经济是法制经济，应依靠法律力量和制度政策来约束信用关系各方面的行为，尽快建立和完善失信惩罚机制，加大失信惩治力度，鼓励诚信经营。3、加快培育企业信用服务中介行业，由于目前企业信用服务机构存在企业信息采集渠道不畅、提供的信用产品尚较单一而无法满足企业信用管理需求等方面问题，建议依托政府建立统一的企业信用查询网络系统，改变目前由于多方进行信用登记与信用管理而出现的信息不对称问题，支持信用评级行业发展，实现对企业信用的有效调查与监控，从而达到各部门联手改善目前企业信用状况、改善社会信用环境、促进经济健康发展的目的。（四）规范会计事务所的行为银行在向客户贷款时都要求客户提供财务报告。目前，不少企业会计报表缺乏真实性。不仅中小企业财务报表和未经会计事务所审计的报表普遍存在假账，即使是经过会计事务所审计的财务报表也存在相当严重的作假行为。作为一般规律，企业会计处理上总会有不完善的地方，但在贷款审查中极少见到专业机构出具的审计报告对企业的会计处理提出异议，甚至出现过当天要求企业对财务报表进行审计，第二天审计报告已经完成的案例。客户的财务报表是银行判断客户好坏的主要依据，如果这个依据不真实，银行将难于做出准确的判断，也就难于保证贷款的质量。因此，我国有关部门应加大治理作假账、出假审计报告的力度，为银行的贷款投资决策建立良好的外部经济环境。

我国的国有商业银行的经营行为受市场的影响加重，特别是在全球经济一体化的格局下，中国的商业银行面临着来自国际银行业的冲击，商业银行一方面存在经营风险和大量的效率损失，一方面又缺乏进行体制改革、改变现状的动力，整体陷入一种低效率的均衡状态。 这一切都要求国有商业银行必须正视问题，并且尽快解决问题。商业银行制度的改革是首要问题。无论是我国的国有独资商业银行还是新兴的股份制商业银行在制度安排上都存在着缺陷。我国国有独资商业银行的产权制度实质上是产权主体单一抽象的自然人产权形式，政府行使国有银行的财产所有权，政府的职能又通过中央政府部门引导、控制和监督。这种产权模式导致银行产权关系模糊、风险承担主体不明、经营效率和效益低下、利润最大化目标难以实现等不良状况的出现。因此要解决国有银行目前存在的困难和问题，必须对国有银行的产权制度进行改革，实行股份制改造，促使其向真正意义上的现代商业银行转变。另外，要建立有效的风险防范和管理机制，我们必须减小我国国有商业银行风险管理水平与国际上的差距，减少认识上的偏差，首先应树立先进的银行风险管理观念。风险管理的任务就是寻找业务过程的风险点，衡量业务的风险度，在克服风险的同时从风险管理中创造收益。其次，要建立全面风险管理方法，将信用风险、市场风险及各种其他风险以及包含这些风险的各种金融资产与其它资产组合，承担这些风险的各个业务单位纳入到统一的体系中，对各类风险在依据统一的标准进行测量并加总，且依据全部业务的相关性对风险进行控制和管理。再次，健全风险管理体系。要从三个层面进行调整：（1）是要适应商业银行股权结构变化，逐步建立董事会管理下的风险管理组织架构。（2）在风险管理的执行层面，要改变行政管理模式，逐步实现风险管理横向延伸、纵向管理，在矩阵式管理的基础上实现管理过程的扁平化。（3）改变以往商业银行内部条条框框的管理模式，实现以业务流程为中心的管理体制，并不断摸索以战略业务体为中心的风险管理体制。要逐步实现在业务部门设立单独的风险管理部门，通过它在各部门之间传递和执行风险管理政策，从业务风险产生的源头就进行有效控制。最后，要提高风险管理技术。可使用内部评级法和资产组合管理等先进的风险度量和管理重要技术。

（一）信贷风险管理实施《新巴塞尔协议》是一项旨在提高信贷风险管理水平的系统性工程，需要采用如下信贷风险管理体系框架，包含以下五个因素：风险策略、分析工具、组织架构、管理流程和信息系统。1.风险策略。银行的风险策略是根据利益相关者（股东、债权人、客户、员工）的价值取向、银监会和巴塞尔协议的管理要求制定的。风险策略直接关系到银行的风险偏好、要求的风险回报水平等，因此风险策略的确定直接关系到银行会采取怎样的组织构架、管理流程与风险工具。2.分析工具。根据风险管理策略，结合银监会和《新巴塞尔协议》的具体规定，银行选择所要采用的分析工具（如信贷风险内部评级模型），设计信贷风险管理流程和组织架构。3.管理流程。分析工具可以在监控点对管理流程提供定量指导，而执行管理流程的人员也可根据其经验对分析工具给出的结果进行一定调整，以充分发挥两者的优势。分析工具和管理流程之间存在互动作用，即在使用过程中不断优化模型的准确性，而模型准确性的提高又可以提高信贷管理流程的效率。4.信息系统。根据分析工具所采用的模型和数据需要有先进的信息技术予以支持，如评级规则引擎和数据集市等。否则，先进的分析工具只能停留于书面，很难付诸实践，同时管理流程也需要在系统中进行固化，可以提高流程效率与质量，降低流程成本，同时系统本身也可以在流程中起到一定的控制作用。5.组织架构。无论多么先进的分析工具、管理流程与信息系统，都必须运作于合理的组织架构（包括公司治理结构、内部控制、绩效考核等）之上。因此，组织架构的设计与实施也是建设全面信贷风险管理体系必不可少的组成部分之一。（二）操作风险管理操作风险是指由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险。对于银行来说，操作风险是一种比较难以控制的风险。目前全世界的银行业也没有一种较好的方法来控制和计量它。《新巴塞尔协议》要求2007年所有的银行都要开始按照协议规定的三种方法的一种来计算经济资本，进而控制操作风险。但据调查，到2006年底，全世界能够满足《新巴塞尔协议》要求的只有大约38%的银行。另外60%多的银行都不可能在2007年以前开始对操作风险实行管理，它们的预期实施时间是2010年到2012年。因此对《新巴塞尔协议》在全球的顺利实施并不是短时间内就可以实现的。操作风险难以控制的原因在于它跟人的关系密不可分，相互关联，而人的道德风险、行为特征又相当难以控制，这一点国内和国外都是一样。目前部分银行计量操作风险经济资本的方法主要采用加权平均法，即将银行前三年的收入加总平均，再乘一个系数。当然，《新巴塞尔协议》介绍了三种方法，分别为：基本指标法、标准法和高级计量法。加权平均法属于基本指标法类。