1、硕士学位论文我国商业银行内部控制自我评价研究学校代码：10254密 级： 论文编号： 上海海事大学SHANGHAI MARITIME UNIVERSITY 硕士学位论文 MASTER DISSERTATION 论文题目：我国商业银行内部控制自我评价研究 学科专业： 会计学 作者姓名： 姜隽倩 指导老师： 田建芳 副教授 完成日期： 二一年五月 摘 要随着国内外财务欺诈丑闻的曝光，内部控制缺陷问题不断显现，国家监管机构也开始重视上市公司内部控制制度的建立及其评价问题。2008年，五部委联合发布了中国第一部内部控制规范企业内部控制基本规范，要求上市公司应当对本公司内部控制的有效性进行自我评价，披露
2、年度自我评价报告，并可聘请具有证券、期货业务资格的中介机构对内部控制的有效性进行审计。然而，相关配套的具体操作指南尚未发布，给各上市公司进行内部控制自我评价造成一定程度的困难，商业银行作为上市公司的排头兵，在内部控制自我评价方面也存在一些问题。本文在对内部控制自我评价的定义、发展、主体和内容、方法和程序进行理论阐述的基础上，说明了内部控制及其自我评价对商业银行的重要性，指出了我国商业银行目前在内部控制自我评价方面存在的问题，剖析了主客观原因，提出我国商业银行应该完善内部控制制度和内部控制评价体系，并在此基础上确保内部控制自我评价的有效实施，希望给我国商业银行内部控制自我评价一点启示。关键词：商
3、业银行，内部控制，内部控制自我评价AbstractWith the exposure of foreign and domestic financial fraud of scandals, the deficiencies in internal control spring up continuously, national regulators also pay attention to internal control systems and its assessment of the listed company. In 2008, five departments jointly
4、issued “the basic norms of internal control”-the Chinese first enterprise internal control standard. The listed companies are required to access the effectiveness of their companys internal control by themselves and disclose annual report on self-assessment; they can also employ intermediary organiz
5、ations with securities and futures business qualification to auditing internal control effectiveness. However, the related concrete operation guidelines havent been issued, which brings some problems for the listed company on internal control self-assessment, so there are also some difficulties in i
6、nternal control of commercial banks as the most important part of the listed companies. The writer write this paper based on the theory explains of internal control self-assessments definition, development, principal part and the contents, methods and procedures, and states the importance of interna
7、l control and its self-assessment to commercial banks. Then the problems of internal control self-assessment in Chinese commercial banks at present have been pointed out, following by the subjective and objective reasons analysis. The writer also tries to put forward some corresponding measures that
8、 commercial banks should strengthen internal control and its self-assessment systems, on which basis to ensure the CSA effective, wishing to offer our commercial banks some enlightenment on internal control self-assessment. Jiang Junqian（Accounting） Directed by Tian JianfangKEYWORDS：commercial banks
9、, internal control, internal control self-assessment 目 录摘 要 IAbstract II引 言 1一、 内部控制自我评价的基本理论 3（一） 内部控制自我评价的定义和发展 3（二） 内部控制自我评价的主体和内容 6（三） 内部控制自我评价的方法和程序 8二、 商业银行内部控制的特征及其自我评价的现状和问题 11（一） 我国商业银行内部控制的特征 11（二） 我国商业银行面临的操作风险分析 12（三） 我国商业银行内部控制自我评价的发展现状 14（四） 我国商业银行内部控制自我评价存在的问题 16三、 我国商业银行内部控制自我评价产生问题的
10、原因分析 24（一） 法律法规政策对内部控制自我评价没有明确规定 24（二） 内部控制评价的成本和效益问题不易权衡 24（三） 我国商业银行管理层对内部控制及其自我评价的认识存在偏差 25（四） 我国商业银行的内部控制经验不足 26四、 解决我国商业银行内部控制自我评价问题的措施 27（一） 健全商业银行内部控制制度 27（二） 制定商业银行内部控制评价管理办法和实施细则 28（三） 设立专门的商业银行内部控制评价机构 29（四） 设计商业银行内部控制评价指标 30（五） 完善商业银行内部控制自我评价报告 31（六） 提高管理层对制度执行的严肃性的认识 34（七） 采用科学的内部控制评价方法
11、34（八） 提高商业银行内部控制评价人员的素质 35（九） 发挥商业银行内外部监督的作用 36结束语 38致 谢 39参考文献 40 引 言在国外，安然、世通等美国大公司相继爆出欺诈丑闻，内部控制的有效性问题开始被业界关注。针对这些财务欺诈事件，美国国会于2002年通过了萨班斯奥克斯利法案（The Sarbanes-Oxley Act，简称SOX法案），其中第302节和第404节对上市公司的内部控制及其披露作出了严格规定。第一次对财务报告内部控制有效性提出了明确的要求，规定管理层不仅要对公司的内部控制负责，还要对内部控制的有效性进行评价、并保证内部控制系统的适当性。在国内，随着琼民源、中航油事
12、件暴露出的内部控制缺陷问题不断显现，国家监管机构也开始重视上市公司内部控制制度的建立及其评价问题。2008年6月28日，财政部、证监会、审计署、银监会和保监会联合发布了我国首部企业内部控制基本规范，将于2009年7月1日起首先在上市公司范围内实施。执行基本规范的上市公司，应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的中介机构对内部控制的有效性进行审计。然而2009年5月11日，中国经营报刊登题为“中国版萨班斯法案确定实施延期”的文章，指出原定于2009年7月1日起实施的我国首部企业内部控制基本规范及其配套指引延至2010年1月1日。除延期外，执
13、行企业的范围也发生了变化，考虑到创业板公司的规模较小，执行内控规范的成本较高，因此，要求原来的上市公司先执行的方案改为拟定境外上市公司先执行。中国审计报发表评论，认为企业内控规范的延期执行主要是因为相关政府职能部门还有大量准备工作要做，相关配套“指引”文件尚未通过，企业很难实施；另外企业执行成本较高，规范的实施需要不少于半年的培训也是重要的原因。由此可以看出，虽然国家出台了企业内部控制基本规范，但是具体操作指南尚未公布，上市公司内部控制自我评价仍存在较多问题，实施起来存在较多不确定因素，需要解决的困难比较多。由于企业内部控制基本规范的适用对象是一般上市公司，作为通用的规范必然对具体的行业无法做
14、出详细规定，因此不同行业在实施内部控制自我评价的过程中会存在差距，行业发展存在不均衡性。纵观近年来我国内部控制自我评价方面的研究，对商业银行执行内部控制自我评价的实际情况进行分析的文献较为少见，而研究公司内部控制自我评价的内容、主体、方法，以及评价过程的具体实施和最终内部控制自我评价报告的内容对目前的商业银行有很好的借鉴意义，通过对目前商业银行内部控制自我评价中存在的问题及其原因的分析及相应对策的提出，笔者希望能够给大家一个清晰的视角去了解商业银行内部控制的自我评价，也希望能给予上市商业银行进行内控自我评价一点启示。本文的写作思路可以归纳为“引言相关理论阐释对商业银行具体分析提出对策和建议发展
15、展望”。首先本文简要说明了研究工作的背景、目的、意义、研究思路和方法，接着对内部控制自我评价进行相关理论的阐释，以规范研究为主，通过大量文献的阅读和归纳，向读者说明内部控制自我评价的定义和发展、主体和内容、方法和程序，然后结合商业银行面临的操作风险的特点，拟从上海证券交易所网站搜集年报数据，采用比较分析的方法，对商业银行内部控制自我评价存在的问题进行详尽分析，指出存在问题的原因，并根据相关理论提出解决问题的方法和措施，最后对我国商业银行内部控制自我评价的实施进行展望。本文的研究框架如下所示：内部控制自我评价的基本理论最近几年来，内部控制理论得到了快速发展和不断完善，内部控制自我评价的定义、特征
16、、主体、内容、方法和程序等基本理论也逐渐成熟，为我们讨论我国商业银行的内部控制及其自我评价问题奠定了理论基础。内部控制自我评价的定义和发展作为理论基础中的基础，了解内部控制自我评价的定义和发展历程，能够对内部控制自我评价形成整体的印象和认识。综合国内外的定义，内部控制自我评价从一种技术和工具逐渐转变成一个过程和活动，是管理当局强化内部控制的需要，具备“全员参与”的特征；内部控制自我评价在国内外获得了较快发展，既包括相关法律法规的发展和完善，也包括学术界相关学者对内部控制自我评价的研究和讨论，分析可以看出国外内部控制自我评价的发展已经比较成熟，而国内尚在起步阶段。内部控制自我评价的定义内部控制是
17、对单位内部经济业务处理以及经营管理工作的控制，而内部控制评价则是对内部控制本身的再控制，是内部控制目标实现以及作用发挥的重要环节。对于控制自我评价的定义，我国政府颁布的法律法规还没有予以明确，国内外不同专家学者对此存在不同的看法，综合起来，主要是两种观点，一种把内部控制自我评价看作一种技术和工具，另一种则认为内部控制自我评价是一个过程和活动。内部控制自我评价是一种技术和工具。布鲁斯麦克艾格（Bruce McCuaig）最初提出控制自我评价（Control Self-Assessment，CSA）这一概念时，就把它看作是一种内部审计技术和工具；国内也有学者认为控制自我评价是对传统的内部审计形式的
18、一种补充和发展，是广义的内部审计理论中的一种技术方法；我国内部审计具体准则第21号内部审计的控制自我评估法（2006）中也将内部控制自我评价界定为内部审计人员为了提高审计效率、促进内部控制审计目的的实现而协助公司内部控制审查和评价的一种工作方法。内部控制自我评价是一个过程和活动。英国内审协会认为：内部控制自我评价是审计部门和管理层通过专题讨论会的方式协同工作以建立和评价内部控制水平的过程，允许单个的基层管理人员和员工，针对当前控制的适当性进行审核，对现有控制提出建议，同意并实施改进当前控制的流程；IIA（国际内审协会）给出的定义为：控制自我评价是一个过程，通过它可以检查和评价内部控制的有效性，
19、以合理保证经营目标得以实现。不过上述观点大多是从审计或监察的角度出发的，我们应该突破审计的范围，把内部控制自我评价不仅仅看作是辅助审计的一种工具和技术，更应看作企业管理过程中一项不可或缺的活动。因此，可以借鉴国际惯例，把内部控制评价定义为由企业董事会和管理层实施的，对企业内部控制的健全性、合理性和有效性进行评价，形成评价结论，出具评价报告的过程。它通过对内部控制的设计、实施和运行结果开展独立的调查、了解、测试、审计、分析和评估等系统性的活动，对企业内部控制体系的健全性、合理性和有效性评价，促使企业切实加强内部控制体系的建设并认真执行，并保证内控体系得到持续、有效的改进。内部控制自我评价的发展
20、内部控制自我评价的概念自1987年提出以来，经过20多年的发展，从最初的单纯满足审计需要的一种工具，逐渐演变成服务企业整体、增加企业价值的一项活动，在西方国家得到了广泛应用，而近几年来，内部控制自我评价引入我国，也逐渐被国内监管机构和理论界所重视。国外有关内部控制自我评价的发展国外内部控制自我评价的发展主要分为初步提出、快速发展和逐步完善三个阶段（见图1-1）。控制自我评价（Control Self-Assessment，CSA）最早是在1987年由加拿大海湾公司（Gulf Canada）首次提出，该公司在接下来的十几年坚持使用CSA来评价和改进它的内部控制系统，并取得了成功。20世纪90年代
21、初期，控制自我评价得到了快速的发展，美国的COSO报告、加拿大的COCO报告及英国的Cadbury报告等都建立了完整的内部控制体系，为内部控制评价提供了适当的评价标准。21世纪初，美国国会在安然、世通事件爆发后，制定了萨班斯-奥克斯利法案（SOX），首次从强制性监管的角度提出对内部控制的有效性进行审计，规定管理层不仅要对公司的内部控制负责，还要对内部控制的有效性进行评价、并保证内部控制系统的适当性。2003年，美国证券交易委员会SEC发布了最终规则：管理层对财务报告内部控制的报告和证券交易法定期报告披露的证明，对管理层内部控制评价以及注册会计师事务所的鉴证报告形成了最终规范。各注册会计师事务所
22、根据SEC的最终规范和SOX法案的规定，相继提出了相应的财务报告内部控制评价的操作指引，对管理层评价财务报告内部控制的程序和注册会计师对内部控制的审计都提供了较为详尽的操作指南。图1- 1 国外内部控制自我评价的发展 如今，国外内部控制自我评价理论已经发展到相对成熟的阶段，COSO、COCO等报告建立了完善的内部控制体系，为内部控制自我评价提供了适当的评价标准；SEC的最终规范和SOX法案为内部控制自我评价的实施提供了具体规范和操作指引。这些都为我国建立内部控制基本规范和内部控制评价指引提供了方向，我国商业银行内部控制自我评价也可以从中得到借鉴。我国有关内部控制自我评价的发展我国对内部控制的评
23、价起源于节约审计成本的需要，然后演变为外部监管要求，但是不论是出于节约审计成本的需要还是基于外部监管要求，发布的一些法律法规规范的是企业内部控制的外部评价，而对管理层建立健全内部控制的责任和管理层对内部控制的自我评价较少涉及。不过从2006年开始，管理层的内部控制自我评价开始频频出现：上海证券交易所和深圳证券交易所相继发布了上市公司内部控制指引，要求公司董事会应在年度报告披露的同时，披露年度内部控制自我评价报告，并披露会计师事务所对内部控制自我评价报告的核实评价意见；2008年6月28日，财政部、证监会、审计署、银监会和保监会联合发布了我国首部企业内部控制基本规范，要求上市公司应当对本公司内部
24、控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的中介机构对内部控制的有效性进行审计；2009年1月，上海证券交易所发布2008年年度报告工作备忘录第一号，鼓励部分上市公司在披露2008年度年报的同时披露公司内部控制的自我评价报告，截至2009年4月底，已有多家上市商业银行按要求正式对外披露了内控自我评价报告。与监管部门发布的一系列有关内部控制评价的法律法规相对的，是国内学术界掀起的内部控制评价问题的研究热潮，一些早期的研究大多针对会计师事务所对企业内部控制的外部评价以及企业内部审计部门的内部控制自我评价，而最近几年来关于企业管理层的内部控制自我评价的研究才逐渐增
25、多。有的学者介绍了国际流行的内部控制评审的最新理念，如林朝华、唐予华的CSA：内部控制系统评价的新观念和新方法；有的学者更关注监管机构出台的政策法规，如吴荷青对上海证券交易所上市公司内部控制指引和深圳证券交易所上市公司内部控制指引两个文件进行分析后，发现它们对内部控制系统所包括的控制要素认识不一，指出内部控制自我评价报告的披露内容有待改进，应统一会计师事务所出具审核意见的标准，并加大对上市公司违反规定的处罚力度；还有的学者在内部控制自我评价的具体操作过程方面提出自己的设想，如王惠就对我国上市公司内部控制自我评价做了详尽的分析，设计了内部控制测评各类工作底稿及内部控制自我评价报告的参考格式；也有
26、一些学者对内部控制自我评价在具体行业中的应用进行了研究，如孟辛在CSA在商业银行中的应用研究中针对商业银行的具体实践，从实施CSA的主体、实施的程序与标准、具体实施前要考虑的问题、实施的效果以及实施的环境五个方面提出存在的问题并给出了建议。内部控制评价问题在我国引入后得到了较快发展，作为最新热点的管理层内部控制自我评价渐渐引起理论界和监管机构的重视，相关研究也日益增加。但是，从总体来看，国内对内部控制自我评价的研究尚处于初始期，法律法规在内部控制的评价过程、评价内容、评价方法以及评价报告的方式等并未进行统一的规定和详细的操作指南，对具体行业内部控制自我评价过程的研究和关注程度不够，从而使商业银
27、行管理层对内部控制的自我评价在实际的执行中存在较大困难。内部控制自我评价的主体和内容 明确内部控制自我评价的主体，有利于明确设计和实施内部控制自我评价的责任，增强相关主体的自我评价意识；而对内部控制自我评价的内容进行讨论，则有利于商业银行明确评价对象，为商业银行内部控制自我评价提供方向。 内部控制自我评价的主体可以作为内部控制自我评价的主体的部门或人员主要有以下三种：企业管理层或其领导的自我评价部门、内部审计部门和普通员工，但是究竟由自我评价部门作为自我评价的主体，还是由内部审计部门领导内部控制自我评价，又或者由企业管理层、内部审计人员和普通员工共同承担内部控制评价的责任，本文认为应当考虑各主
28、体在内部控制自我评价中的作用。首先，内部控制是一个人人有责的庞大系统，管理层和员工了解和熟悉公司的整体情况和内部控制流程，他们对内部控制进行评价能够引发对内部控制的关注和重视，及时发现并解决内部控制设计和运行中存在的问题，能够保证内部控制自我评价的质量。其次，内部审计通过对内部控制进行测试，也可以评价企业内部控制制度的健全性、遵循性和有效性，针对内部控制中的薄弱环节及时提出相应的改进建议，但是现实中大部分审计部门向财务主管或总经理汇报工作的机构定位使得让其直接对内部控制进行评价会有损于内部审计的独立性，可见采用单一的以内部审计部门为主体不符合内部控制自我评价的要求，但是可以发挥其对内部控制评价
29、过程的监督作用。因此，应在企业内部树立“内控评价，人人有责”的思想：治理层要成为认真执行内部控制制度的表率，并自愿接受广大员工的监督；内审部门要引导管理者树立正确的内部控制自我评价意识，积极主动进行内部控制自我评价，并对企业的内部控制评价过程进行持续监督；管理层应设立专门的内部控制评价部门，选择合适人员参与内部控制自我评价，提交内部控制自我评价报告；监事会或审计委员会要对公司内部控制自我评价进行定期或不定期的监督；最后由注册会计师对内部控制评价部门出具的公司内部控制自我评价报告进行鉴证，并向社会公众披露评价报告意见。内部控制自我评价的内容企业内部控制自我评价包括全面内部控制评价和专项内部控制评
30、价（见图1-2）。全面内部控制评价是指对企业内部控制体系进行评价，对企业的所有业务和管理活动的内部控制进行全面的整体评价，包括评价内部控制的完整性和健全性、内部控制设计的科学性和合理性、内部控制运行的有效性以及内部控制设计和运行的经济性。其中完整性和健全性是指企业设计的内部控制是否覆盖了所有关键风险点；科学性和合理性是指企业设计内部控制时的方法是否科学、内部控制要素指标是否合理；运行的有效性是指企业内部控制在设计健全和合理的情况下是否得到了正确执行，且取得了预期的效果；经济性则是指企业的内部控制在设计和执行的过程中是否遵循成本效益原则，是否获得了较高的性价比。专项评价是指针对内部控制中的某一个
31、要素进行评价，包括对内部环境、风险评估、控制活动、信息与沟通、内部监督五个方面的评价。其中内部环境应注重评价企业是否建立了有利于内部控制执行的制度和企业所有成员对内部控制的重视程度；风险评估方面应重点评价企业对风险的抵御能力和管理风险的具体方法及效果；评价控制活动应着重考虑控制活动的建立是否适当、控制活动是否得到有效执行、控制活动识别和规避风险的效果以及是否有利于组织目标的实现；信息与沟通方面应注意评价企业获得财务信息和非财务信息的能力、信息传递渠道是否便利和顺畅、管理信息系统是否牢靠和安全、信息处理是否恰当和及时；内部监督方面应当评价企业是否对内部控制开展了持续监督以及内部监督是否发挥了促进
32、内部控制完善的作用。图1-2 内部控制自我评价的内容内部控制自我评价的方法和程序笔者在这一部分对内部控制自我评价的方法进行了阐述，除了介绍了三种传统的内部控制自我评价方法外，还对不同组织结构、组织文化的企业适用何种方法进行了简单说明；另外对内部控制自我评价的程序的描述，为我国商业银行内部控制自我评价的具体实施提供了详细步骤。内部控制自我评价的方法传统的内部控制自我评价的方法主要有以下三种：专题讨论会、问卷调查法和管理分析法，都强调了管理层和基层员工的参与作用，转变了内部审计人员作为主导者的地位。其中，专题讨论会是指内部控制评价部门组织企业相关管理人员，就企业各个层级特别是风险薄弱部分收集内部控制信息，针对内部控制的某一方面或全过程进行讨论和评价的一种方法，使企业各级别的员工都能够了解内部控制系统可能出现的问题及其不利后果，然后积极采取措施克服这些缺陷；问卷调查法是指内部控制评价部门针对内部控制的某一方面或全过程，把重要内容设计成内部控制调查表，以书面问卷的形式向
