第六章内控、合规和审计本章主要内容：第一节内部控制第二节合规管理第三节内外部审计第一节内部控制内部控制是为合理保证组织目标实现而建立的控制机制和实施的管控措施,对于以经营风险为主的银行而言，内部控制尤为重要。
同时，内部控制也是一个动态概念。
【知识点】内部控制的起源与发展（大纲没有要求）(一)内部控制在国外的发展一般认为，内部控制发展大致经历五个阶段，分别为：内部牵制、内部控制制度、内部控制结构、内部控制整体框架、全面风险管理阶段。
(二)内部控制在中国的发展1997年中国人民银行颁布《加强金融机构内部控制的指导原则》，提出了包括“三道防线”在内的内控建设要求；2014年中国银监会修订发布了新版《商业银行内部控制指引》，明确商业银行内部控制目标、原则、职责及措施，同时还从内控评价、内控监督和监管约束等方面引导银行强化内控管理。
【知识点】内部控制的基本概念（掌握）(一)内部控制的定义2008年我国颁布的《企业内部控制基本规范》在借鉴COSO定义基础上，将内部控制定义为“由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程”。
2014年中国银监会修订发布了新版《商业银行内部控制指引》，明确“内部控制是商业银行董事会、监事会、高级管理层和全体员工参与的，通过制定和实施系统化的制度、流程和方法，实现控制目标的动态过程和机制”。
无论是对于一般企业还是商业银行，首先，都强调了董事会、监事会和高级管理层在建立与实施内部控制中的重要作用。
其次，明确了内部控制是全体员工的共同责任。
最后，明确了内部控制是一个过程，是全过程控制。
同时，内部控制又是一个不断改进完善的动态过程。
(二)内部控制的目标中国银监会新修订的《商业银行内部控制指引》，结合商业银行实际，确定了商业银行内部控制的四项目标。
1.保证国家有关法律法规及规章的贯彻执行。
2.保证商业银行发展战略和经营目标的实现。
3.保证商业银行风险管理的有效性。
4.保证商业银行业务记录、会计信息、财务信息和其他管理信息的真实、准确、完整和及时。
在上述四个控制目标中，商业银行经营管理合法合规、风险管理有效、财务会计等相关信息真实完整是内部控制的基础目标，建立和实施内部控制不仅要满足基础目标，还要最终保证商业银行发展战略和经营目标的实现。
(三)内部控制的基本原则根据《商业银行内部控制指引》，银行建立与实施内部控制应当遵循以下四项原则：1.全覆盖原则。
商业银行内部控制应当贯穿决策、执行和监督全过程，覆盖各项业务流程和管理活动，覆盖所有的部门、岗位和人员，避免存在盲区和空白。
2.制衡性原则。
商业银行内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督的机制。
3.审慎性原则。
商业银行内部控制应当坚持风险为本、审慎经营的理念，设立机构或开办业务均应坚持内控优先。
4.相匹配原则。
商业银行内部控制应当与管理模式、业务规模、产品复杂程度、风险状况等相适应，并根据情况变化及时进行调整。
【知识点】内部控制的基本要素（掌握）(一)内部环境内部环境是影响、制约银行内部控制制度建立与执行的各种内部因素的总称，是银行实施内部控制的基础，一般包括组织架构、人力资源政策、企业文化、规章制度等。
(二)风险评估风险评估是指商业银行及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。
风险评估主要包括目标设定、风险识别、风险分析和风险应对，是实施内部控制的重要环节。
1.目标设定。
主要包括经营管理合法合规、风险管理有效、财务会计等相关信息真实完整、以及发展战略和经营目标的实现。
实现上述目标，均需要进行风险评估。
2.风险识别。
既包括人力资源、运营管理、自主创新、财务等企业内部因素，也包括经济、法律、社会、科技、自然环境等企业外部因素。
同时，对各类主要风险要进行持续监控。
3.风险分析。
是指在识别风险的基础上，采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。
4.风险应对。
风险应对策略包括四种基本类型：风险规避、风险降低、风险分担和风险承受。
(三)控制活动控制活动是指结合具体业务和事项，为确保管理层的指令得以实现，所运用的控制政策、程序及措施。
控制措施主要包括：不相容职务分离控制、授权审批控制、会计系统控制、运营控制、绩效考评控制等。
1.不相容职务分离控制。
这是银行内部控制的基本控制手段。
不相容职务是指那些不能由一个部门或人员兼任，否则可能发生弄虚作假或舞弊行为的职务。
一般应当加以分离的不相容职务有：授权审批与业务执行、业务执行与监督审核、业务执行与相应记录、财务保管与相应记录、授权批准与监督检查等。
2.授权审批控制。
授权审批控制要求银行各级人员必须经过适当的授权才能执行有关经济业务，未经授权和批准不得处理有关业务。
授权一般分为常规授权和特别授权，其中，常规授权是指企业在日常经营管理活动中按照既定的职责和程序进行的授权；特别授权是指企业在特殊情况、特定条件下进行的授权。
3.会计系统控制。
商业银行应当严格执行会计准则与制度，及时准确地反映各项业务交易，确保财务会计信息真实、可靠、完整。
同时，应当建立有效的核对、监控制度。
4.运营控制。
商业银行应当建立与其战略目标相一致的业务连续性管理体系,明确组织结构和管理职能,制定业务连续性计划,组织开展演练和定期的业务连续性管理评估，有效应对运营中断事件,保证业务持续运营。
此外，还要定期开展运营情况分析，发现存在的问题，及时查明原因并加以改进。
5.绩效考评控制。
绩效考评控制要求银行建立和实施绩效考评制度，科学设置考核指标体系，对内部各责任单位和全体员工的业绩进行定期考核和客观评价，将考评结果作为确定员工薪酬以及职务晋升、评优、降级、调岗、辞退等的依据。
此外，商业银行还应当建立重大风险预警机制和突发事件应急处理机制，明确风险预警标准，对可能发生的重大风险或突发事件，制定应急预案、明确责任人员、规范处置程序。
(四)信息与沟通信息与沟通是指商业银行及时、准确、完整地收集整理与经营管理相关的各种内外部信息，并借助信息技术，促使这些信息以恰当的方式在各个层级之间进行及时传递、有效沟通和正确使用的过程。
1.信息与沟通的基本要求。
(1)信息收集(2)信息加工(3)信息传递。
2.信息技术的运用。
企业应当利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用。
还应当加强对信息的安全控制和保密管理，对各类信息实施分等级安全管理，对信息系统访问实施权限管理，确保信息安全。
3.反舞弊及客户投诉。
商业银行应当建立反舞弊机制，坚持惩防并举、重在预防的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。
同时，应当建立举报投诉制度和举报人保护制度。
此外，商业银行还应当建立健全客户投诉处理机制，制定投诉处理工作流程，定期汇总分析投诉反映事项，查找问题，有效改进服务和管理。
(五)内部监督内部监督是商业银行对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，及时发现内部控制缺陷并加以改进的过程。
1.内部控制评价。
商业银行内部控制评价是对商业银行内部控制体系建设、实施和运行结果开展的调查、测试、分析和评估等系统性活动。
商业银行内部控制评价应当由董事会指定的部门组织实施。
2.内部控制监督。
商业银行内部审计部门、内控管理职能部门和业务部门均承担内部控制监督检查的职责，根据分工协调配合，构建覆盖各级机构、各个产品、各个业务流程的监督检查体系。
银行业监督管理机构通过非现场监管和现场检查等方式实施对商业银行内部控制的持续监管，并根据相关法律法规，按年度组织对商业银行内部控制进行评估，提出监管意见，督促商业银行持续加以完善。
【知识点】内部控制的职责分工（考纲没有要求）商业银行应当建立由董事会、监事会、高级管理层、内控管理职能部门、内部审计部门、业务部门组成的分工合理、职责明确、报告关系清晰的内部控制治理和组织架构。
(一)董事会(二)监事会(三)高级管理层(四)业务部门业务部门是内部控制的“第一道防线”。
(五)内控管理职能部门商业银行应当指定专门部门作为内控管理职能部门，牵头内部控制体系的统筹规划、组织落实和检查评估。
内部控制管理职能部门是内部控制的“第二道防线”。
(六)内部审计部门商业银行内部审计部门履行内部控制的监督职能。
内部审计部门是内部控制的“第三道防线”。
第二节合规管理【知识点】合规管理概述（掌握）(一)基本概念1.合规的含义中国银监会于2006年颁布的《商业银行合规风险管理指引》中对“合规”给出了明确的定义。
合规是指商业银行的各项经营活动与法律、规则和准则相一致。
该指引第三条指出，法律、规则和准则是指适用于银行业经营活动的法律、行政法规、部门规章及其他规范性文件、经营规则、自律性组织的行业准则、行为守则和职业操守。
2.合规风险合规风险是指商业银行因没有遵守法律、规则和准则可能遭受法律制裁、监管处罚、重大财务损失和声誉损失的风险。
合规风险所导致的损失后果有多钟表现形式，既可能是遭受到法律制裁，也可能是在财务上蒙受损失。
或者银行因为发生违规行为而使自身的声誉受到冲击，市场主体和公众对该商业银行的信心下降。
3.合规管理银行合规管理是商业银行在日常经营活动中主动识别、评估、监测和报告合规风险，并且主动采取适当纠正措施，控制和管理银行合规风险，以避免因违规经营而导致法律制裁、监管处罚、重大财务损失和声誉损失等的动态循环过程。
(二)合规管理目标商业银行合规风险管理的目标是通过建立健全合规风险管理框架，实现对合规风险的有效识别和管理，促进全面风险管理体系建设，确保依法合规经营。
因此，合规是合规管理的最终目标。
(三)合规管理体系合规风险管理体系是商业银行实施全面风险管理战略的有机组成部分，是商业银行构建有效内部控制机制的基础和核心，更是银行安全稳健运营的重要基础。
《商业银行合规风险管理指引》明确规定了合规风险管理体系应该具体包括的基本要素：合规政策、合规管理部门的组织结构和资源、合规风险管理计划、合规风险识别和管理流程、合规培训与教育制度。
1.董事会和管理层的管理职责(1)董事会职责商业银行的董事会对构建高效合规风险管理体系以确保银行合规负有最终责任。
(2)监事会职责。
监事会应监督董事会和高级管理层合规管理职责的履行情况。
(3)高级管理层职责。
按照《商业银行合规风险管理指引》要求，高级管理层应有效管理商业银行的合规风险，履行合规管理职责。
《商业银行合规风险管理指引》还特别强调合规负责人作为高管层组成之一的重要责任，即应全面协调商业银行合规风险的识别和管理，监督合规管理部门根据合规风险管理计划履行职责，定期向高级管理层提交合规风险评估报告。
