基于内控假设的内控系统评价体系的构建

[收稿日期]2009-12-23

作者简介 张蕾蕾(1977-), 女 ,山东烟台人, 现为中央财经大学金融学院在读博士研究生,研究方向为资本市场;李佳 (1982-),男 ,河南商丘人, 现为中央财经大学金融学院在读博士研究生,研究方向为资本市场。

摘要 近年来,由于内部控制失败导致的金融机构风险案件频繁发生,这其中不乏一些国际公认具有先进的内控体系的金融机构。文章认为,之所以出现这种情况是因为现有的内控系统的评价体系存在盲点,它们大多忽略了内控系统的前提假设对内控建设的重要作用。在考虑内控假设的基础上重新构建了内控系统的评价体系,并运用该评价体系对法国兴业银行在巨亏案爆发之前的内控系统作了评价,来佐证该评价体系的实际应用性。最后对中国金融机构如何构建有效的内控系统提出了几点建议。

关键词 内部控制;内部控制评价体系;内控假设

中图分类号 F831.5[文献标识码] A 文章编号 1673-0461(2010)06-0075-04

一、基本概念

内部控制的概念是在会计控制的基础上发展起来的,伴随着新问题和新的财务失败案件的出现,内部控制的概念也随之不断得到补充和发展。不过,这种概念的演进在使得内部控制涵盖的内容更加全面的同时,也逐渐模糊了内部控制与公司治理、内部控制与风险管理的界限,既增大了企业构建内部控制体系的难度,也在一定程度上降低了其现实指导意义。因此,对于内部控制的定义本文在COSO框架 的基础上提出自己的观点。“内部”可被定义为“属于或有关于某个组织结构――俱乐部、公司或国家” ,而“控制”则可被定义为“将发生率或严重性降至无害的水平” ,这样我们可以将内部控制理解为“由企业董事会、管理层和公司员工共同实施的,以期将不利事件的发生率和严重性降至无害水平从而保证企业目标实现而制定的一系列制度、机制和流程的集合”。目前流行的内部控制的定义往往忽视了建立内控体系的前提假设,从而导致其相应的评价体系无法涵盖由于内控假设不成立引致的内控失效问题。事实证明,很多金融机构经营失败恰恰是因为对内控体系的假设前提重视不够。本文第二部分将在考虑内控假设的基础上建立一个内控系统的评价体系;第三部分以法国兴业银行亏损案为例来验证该评价体系可应用性。本文的最后对于国内金融机构如何构建内部控制体系给出了政策建议。

二、内部控制评价体系的建立

这里的内部控制评价是指对金融机构的各项内部控制制度和措施是否得到了各个员工的有效贯彻执行以及是否达到了预期的目标而进行的评价。我们认为内部控制评价应该从内部控制环境的完善性、内部控制体系的完备性和内部控制理论假设的满足程度三个方面进行,鉴于内部控制理论假设的满足程度只能通过内部控制的结果反映出来,因此对内部控制理论假设满足程度的评价通过内部控制的结果评价来进行。

1.内部控制环境的评价

一般企业的内部控制环境主要包括治理结构、管理哲学及经营风格、组织结构、董事会、经营者素质和职业道德、企业文化、权责分派体系以及人力资源政策及实务等方面。考虑到对我国金融机构而言,产权制度对其经营管理有着重要的影响,因此我们认为应该在内控环境评价中增加产权制度评价;与一般企业不同的是,金融企业目前仍存在分业经营和综合经营之分,其中综合经营属于金融机构发展的国际趋势,因此金融机构内控环境评价中仍应加入经营制度评价。综上,对金融机构内部控制环境的评价应该从以下几个方面进行:产权制度评价、治理结构评价、组织结构评价、经营制度评价、 管理哲学及经营风格评价、经营者素质和职业道德评价、企业文化评价、人力资源政策及实务评价等。

2.内部控制的完备性评价

内部控制的完备性评价包括两层含义:一方面是评价内部控制对金融机构各项业务的覆盖程度;另一方面是评价内部控制对其所覆盖业务的具体操作环节的控制程度。需要注意的是,对金融机构的完备性评价要在成本――效益原则的基础上进行,并要坚持全面性和重点性相结合,金融机构的内部控制体系是否完备关键看其是否覆盖了关键的风险点。一般说来,金融机构内部控制应该包括:信贷资金风险的控制、资金交易风险控制、衍生工具交易的控制、保险基金的风险控制、会计系统的控制、授权授信的控制、计算机业务系统的控制等。

3.内部控制的结果评价

结果评价是对内部控制主要目标实现程度的评价,通过内部控制目标的实现程度反过来检验内部控制体系存在的问题。根据中国人民银行的《加强金融机构内部控制的指导原则》,金融机构内部控制的目标主要有合法合规性经营、将各种风险控制在规定的范围内、确保自身发展战略和经营目标的全面实施以及确保有利于查错防弊、堵塞漏洞、消除隐患从而保证业务稳健运行等。

对于内部控制的环境评价、完备性评价和结果评价,我们要有一个辩证的认识。虽然从内部控制的结果评价中,我们可以得到许多关于金融机构内部控制系统的信息,但是无论内控结果评价进行得多深入,它都只是一种事后的行为,只能起到“亡羊补牢”的作用,因此关注结果评价的同时,更应该重视环境评价和完备性评价等过程性评价。此外,我们还应该注意,进行内部控制评价的目的是帮助管理层和职能部门改进现有的内部控制体系,使内部控制运行良好,从而使金融机构的风险暴露维持在可以容忍的水平,其他目标也能够得到实现。

三、案例分析

(一)案例介绍

法国兴业银行(以下简称为法兴银行)始建于1864年5月,是有着近150年历史的老牌欧洲银行和世界上最大的银行集团之一,法兴银行提供从传统商业银行到投资银行的全面、专业的金融服务,建立起世界上最大衍生交易市场领导者的地位,也一度被认为是世界上风险控制最出色的银行之一。然而正是这家银行在2008年1月曝出巨额交易欺诈丑闻的操作风险案件(下称法兴事件),一个名为杰罗姆・凯维埃尔(Jerome Keviel)的欧洲股指期货交易员在两年时间里伪造了500亿欧元的期货交易,给法兴银行带来49亿欧元的损失。

2000年,23岁的杰罗姆进入法兴银行,随后5年,他一直在银行内部不同的部门工作。所谓“部门”就是管理交易员的机构,这个工作机会让他得以深入了解法兴银行内部控制的相关程序和步骤。2005年,杰罗姆成为银行风险套利部门的交易员,从此,他开始期货投机冒险。在套利操作中,杰罗姆先是建立一个投资组合A,包罗主要针对欧洲主要股票市场指数变化为基准的金融工具,如德国DAX指数、英国FTSE指数等。到2008年1月,此类期货交易的账面金额高达500亿欧元。以杰罗姆的资历,他根本无法得到如此巨大的交易授权,然而,被称为电脑天才的杰罗姆入侵了银行的电脑系统,获得了使用巨额资金的权限,同时他又修改了很多文件,大量伪造账户。靠这种方式,杰罗姆又虚构了另一个投资组合B。从表面上看,A、B相互对冲,“这样,体现出来的风险仅仅是非常低的余值风险,凭借这种方法,杰罗姆得以隐藏了其数额巨大了投机性头寸”。

2008年1月18日,杰罗姆的上级主管收到了一封来自一家大型银行的电子邮件,信中称要对此前预定的交易进行确认。但是兴业银行此前已经限制与这家银行的交易往来,因此对电邮的来源产生了怀疑,并展开了紧急调查。就此,杰罗姆的违规操作产生的惊天亏损大案开始浮出水面。

(二)从内控的角度分析法兴银行事件

1.内控环境

法兴银行曾一度被认为是世界上内部控制最为优秀的银行之一,某种角度上说,法兴银行的内部控制制度在本次事件的表现也的确可圈可点。据2008年2月法兴银行特别委员会提交的中期报告显示:从2006年6月到2008年1月,法兴银行的运营部门、股权衍生品部门、柜台交易等28个部门的11种风险控制系统曾自动针对杰罗姆的各种交易发出过75次警报。然而可惜的是,这些警报中,有些警报得到相关部门“重视”,给出了调查结果,有些则没有。那些给出了所谓的“调查报告”的警报并没有真正引起相关人员的重视,那些没有人调查的警报则始终在风险控制IT系统之间转来转去并最终石沉大海,再也无人过问。在这里,复杂而缜密的IT系统和人类懒散疏忽的惰性形成了鲜明且充满讽刺意味的对比。为此,我们不得不说,人的因素在法兴事件中扮演着重要的角色,毕竟75次警报中哪怕只有一次得到相关人员的彻底调查,杰罗姆的违规操作就可以被发现,那么震惊金融界的法兴事件也就不会发生,然而,这也只能是假如而已。虽然具备了足以在同行业中引以为豪的内部控制系统,但是风险管理文化的不成熟成了法兴银行风险控制的短板,促使了法兴事件的最后爆发。某种意义上,这也使得我们不得不重新思考在日益先进的技术条件下人的作用,毕竟“再完善的规则也要靠人去实施(谭雅玲,2008)”。

2.完备性因素

任何内部控制系统都是不完备的,但是任何有效的内部系统都应该保证能够覆盖到关键的风险点,然而法兴事件暴露出法兴银行在这方面做的显然还不够。法兴银行的内部控制系统在对交易员盘面资金的监督、资金流动的跟踪、不相容职务相分离规则的遵守、信息系统的安全及密码保护等多个关键环节存在漏洞。首先,法兴银行把监控点放在了交易员的净头寸上,杰罗姆在投资组合A的交易账面额尽管高达500亿欧元,但是公司的监控系统并没有对套利“单边”交易的总头寸进行限制,通过虚构投资组合B对冲A,净头寸很容易就躲过了公司的监控系统。其次,法兴银行只能够对所有交易员汇总后的数据进行监控,并没有将其细分到每一个交易员的交易头寸,这也是法兴银行的内控系统无法及时发现杰罗姆违规操作的一个重要因素。再次,杰罗姆曾在法兴银行内部不同的部门(即管理交易员的机构)呆过5年的时间,根据不相容职务分离的原则,杰罗姆不应该再担任交易员的工作,然而事实是,在风险控制体系浸淫了长达5年时间后,杰罗姆又直接参与了交易,造成了悲剧的发生。最后,法兴银行在IT系统安全上做得还不够,被称为电脑天才的杰罗姆曾多次盗用其他交易员的密码进行违规交易。如今的金融交易和监管系统已完全实现电子化,要确保IT信息的安全,必须以欺诈技术(防范)专家的思维,设计严密的监控程序。需要说明的是,尽管法兴银行的内控系统在完备性中暴露出了种种问题,然而所谓内控的完备性本来就是一个随着环境的变化不断调整丰富的过程,而且根据混沌理论,不存在可以完全预防重大恶性事件发生的内控机制,因此我们不能因这次事件就否认法兴银行在内部控制方面的领先地位。

3.内控假设角度

正如我们所一再强调的,内控失效多是由多种因素共同作用的结果,法兴事件也不例外。事实上,法兴事件之所以发生,与法兴银行内控系统运行中几乎出现了与所有7条假设相抵触的现象密切相关,下面我们一一进行分析:

法兴事件本身就验证了“每个人都有固有的道德缺陷(假设①)”的假设(“假设”参考的是第一部分界定的假设条件,下同。)同时也表明法兴银行的内部控制没有能够对舞弊行为产生足够的威慑力(假设②)。与大多数丑闻主角一样,杰罗姆也没有摆脱通过构造虚假交易记录(假设⑦)来逃避控制系统的检查的窠臼,这在一方面表明了正确的记录和文件的重要性,然而在另一方面也显示出至今国际金融界都找不到有效识别虚假记录的机制的困境。尽管法兴银行在事件之初一直强调本次事件是有杰罗姆一人所为,然而随着调查的深入,共谋的行为(假设④)还是浮出了水面。有调查报告显示,杰罗姆的一名助手多次操作了杰罗姆的违规账户,而他和杰罗姆的电子邮件也显示这名助手可能知晓杰罗姆的违规交易,报告中还说,杰罗姆伪造的交易记录中15%与这名助手有关。另外,杰罗姆声称,自己曾“通过部门经理的电脑建立违规期货合约仓位”,这一过程中那名经理也“在场”,这表明,不是每个独立员工都能做到识别并报告他所发现的异常情况(假设③)。此外,与“巴林事件”中的里森(首席交易员,权限比杰罗姆大得多)不同,仅拥有一般交易员权限的杰罗姆何以能够完成如此巨额交易,不得不令人猜想这也许真的与上级部门某种程度上的默许密不可分。正如杰罗姆所说:“我不相信我的上级主管没有意识到我的交易金额,小额资金不可能取得那么大利润(杰罗姆的账户上曾一度达到14亿欧元的盈利)。在我盈利时,我的上级装作没看见我使用的手段和交易金额,在我看来,任何正确开展的检查都能发现那些违规交易行为”。我们看到,在高业绩的诱使下,管理层的风险意识竟能淡化如斯,这不得不令人深思法兴银行的激励约束机制是否出了问题。也许,业绩目标与产生正确的信息之间真的存在着“先天性”矛盾(假设⑥),毕竟中航油事件中高级管理层对陈久霖违规行为的漠视也几乎如出一辙。

从上文分析可以看出,尽管法兴银行一度被认为是世界上内控体系最为出色的银行之一,通过法兴事件我们还是可以找出该行在内控上存在的问题。法兴事件的发生让越来越多的金融机构认识到内控系统的建设是一个持续的工程,也给国内某些金融机构认为内控体系的建设可以一劳永逸的想法敲响了警钟。目前,我国金融机构在内控体系的建设上还有很长的路要走,正所谓“前车之鉴,后车之师”,我们应该从法兴事件中探索内控建设的关键所在,争取少走弯路,使我国金融机构操作风险管理水平尽快达到世界先进水平。

四、启示与建议

金融机构操作风险管理是一项持续的系统工程,需要内部控制与其他各种要素相互匹配和紧密配合。然而目前我国某些金融机构仍然侧重于孤立地依据某些具体标准建设内控体系,而忽视了内控体系有效发挥作用的环境因素和其他条件。这样的内控体系徒有华丽的外衣,在实际运作中可能仅仅是一纸空文而已。基于此,我们认为我国金融机构应注意从以下几个方面加强内控体系的建设:

第一,正视内控环境的重要性,增强全员风险管理意识

如前文所说,内部控制作为金融机构操作风险管理的关键环节,要在一定的环境中发挥作用,同时也是金融机构全体员工共同参与的一项动态工程。然而仍有些管理人员认为内控体系不过是一套书面制度而已,没有将内部控制看作是金融机构操作风险管理体系的有机组成部分,对内控环境的重视程度不足,使得内控体系的建设不能结合金融机构风险管理环境的实际情况,要么过于超前,成为屠龙之刀;要么滞后于实际,起不到控制作用。另外,内部控制需要全体员工的配合才能发挥作用,因此只有形成良好的风险管理文化氛围,争取做到全员自觉履行内控制度、全员自觉监督内控的执行,才能够使内控系统在执行过程中少留死角。

第二,定期从成本――收益原则角度进行完备性检验,动态完善内控体系

内控制度的建立和完善是一个动态过程,金融机构应依据成本――收益原则定期进行内控体系的完备性检验,及时弥补经营过程中暴露出来的制度空白并修改制度缺陷,在开展创新业务前尤其要注重“制度先行”。各金融机构都要适时根据其业务发展和环境变化不断修改完善内控制度,根据新业务及功能衍生的特点,提前对原有的各项业务管理办法、业务操作流程在进行排查风险环节的基础上重新梳理,开展业务流程再造,使内控系统得到实时更新。我国近几年发生的一系列金融风险案件反映出决策制约机制的缺乏和岗位监督机制不完善是导致内部控制失效的重要原因,因此金融机构应该在完善相关组织制度的基础上,对关键风险点上的决策行为进行制约,并强化岗位监督,保证内部控制体系的完备性。

第三,正确认识内控假设对内控建设的意义,确保内控假设尽可能得到满足

人们在构建内部控制体系时将内控本身无法解决的难题都归结到内控的前提假设中去,这些前提假设基本上反映在了风险管理中除内控外的其他因素中,每当这些难题出现时,金融机构往往会倾向于将责任归结到这些外部因素中去,从而安心地接着搞内控建设,忽视了对内控假设满足程度的审视。然而在这些前提假设得不到满足的情况下,内控体系在运行中也就难以发挥其管理操作风险的作用,使得金融机构操作风险案件频繁发生。就目前情况来看,我国金融机构在内控假设方面存在的问题主要表现在缺乏有利于风险控制的激励机制和严格的问责机制。我国金融机构对下级部门的激励机制偏重于利润和规模等指标而忽视内部控制和风险管理,下级部门在业绩目标的驱动下,往往忽视正确的信息的重要性(假设⑥),使得违规经营的情况普遍存在,经济案件频频发生。加上问责机制过于宽松,使得大多数获得盈利或未造成实际损失的违规行为得不到严厉的惩罚,也在一定程度上助长了经营者的投机心理,大大降低了内控体系的权威性。因此,我国金融机构应建立利于控制风险的激励机制和严格的问责机制,尽可能使内控假设得到满足,让内部控制体系企业操作风险管理中发挥其应有的作用。

[参考文献]

[1]潘 琰,郑仙萍.论内部控制理论之构建:关于内部控制基本假设

的探讨[J].会计研究, 2008(3).

[2]刘华法.国兴业银行内部控制案例分析[J].财政监督 ,2008(4).

[3]许传华.建立现代商业银行内控机制评价体系的探讨[J].武汉金

融,2003(4).

[4]宋 静.商业银行内控机制缺陷及改进[J].河北企业,2009(3).

[5]王 玲.我国商业银行内控机制的对策研究[J].现代经济信息,2009

(12).

[6][7]Frederick C. Mish, et al.Webster’s Ninth New Collegiate

Dictionary [Z]. Springfield, MA: Merriam-Webster, 1986: 632, 285.

The Construction of Internal Control Evaluation System

Based on Premise of Internal Control

Zhang Leilei ,Li Jia

(Central University of Finance and Economics, Beijing100081,China)

Abstract: In recent years, financial institutions are frequently involved in risk cases due to failure of internal control. Among them there are some internationally recognized financial institutions with sophisticated internal control systems. This paper argues that the reason for the cases is thatthere exist some blind spots in evaluation system within internal control systems and the institutes largely ignored the important role of premise of internal control systems for the construction of internal control. The paper re-builds internal control evaluation system based on internal control premise and applies the new system to French Société Générale assessing its internal control system before the exposure of a great deficit so as to justify the feasibility of the new system. At last the paper puts forward some suggestions about how to build effective internal control system in China's financial institutions

Key words:internal control; internal control evaluation system; premise of internal control