一、金融集團內部控制的含義和目標

　　在現代企業制度中，可以有兩個層次的內部控制。一是作為一個法人實體的公司的內部控制，二是控股公司（或集團）的內部控制。

　　相對于一個法人實體來說，集團的內部控制更為復雜。一是子公司的內部控制，一是控股公司對整個集團的內部控制，二者的職能應當明確界定，相互補充。

　　參照巴塞爾委員會關于內控制度的框架性文件，金融控股公司的內部控制應當有三個目標：第一，實現集團的協同效應，實現效率目標；第二，提高集團的透明度，保證對內對外的信息是及時的、可靠的和恰當的；第三，保證整個集團的經營活動符合監管要求和法律，符合公司制定的政策和程序。

　　二、金融控股公司架構下的主要風險

　　金融控股模式只是多元化金融集團的一種組織結構。在多元化金融業務的組織模式中，金融控股模式是取其“中”，即介于全能銀行模式和分業經營模式之間。在金融控股模式下，子公司仍然是“分業”的，或者說是專業化的，而集團是“全能”的，從而兼顧了安全和效率。

　　應當說，金融控股模式只是部分地排除了全能銀行的風險。雖然控股公司只對子公司的債務承擔有限責任，但由于金融集團內部復雜的持股關系和資金往來，單個機構的安全并不能得到充分的保障，并且面臨著新的風險。在金融控股架構之下，分業經營下金融機構的問題仍然存在，但又提出一些新的問題。最大的問題就是金融集團的內部交易問題。所謂內部交易（intragroup transacitons）是指集團成員之間發生的資產和負債。這些資產和負債可以是確定的，也可能是或有的。

　　金融集團的內部交易具有兩重性。一方面，內部交易可以為集團帶來協同效應，降低經營成本，增加利潤，改進風險管理的效率，更有效地管理資本和債務。之所以有金融集團，除了概念和品牌上的意義之外，就是要有內部交易。否則各種業務以法人形式獨立經營便可，不必組成集團。否定了內部交易就是否定了可以得到的、潛在的效率，從而等于否定了金融集團。另一方面，內部交易可能導致風險傳遞，使得經營中發生的困難更加復雜化。金融集團和監管當局都應權衡內部交易的好處和問題，區別對待不同金融業務中不同種類的內部交易。

　　2000年4月世界銀行的一份研究報告指出，從監管的角度看，金融集團帶來的問題主要有三個：風險傳播、透明度、自主權。對金融控股公司的監管必須解決這些問題。

　　1、集團內部的風險傳播

　　風險傳播是指，某一集團成員發生的經營事故可能引發另一個成員的流動性困難，或大幅度地影響后者的業務量。如果后者是一家被監管的金融子公司，就必然引起監管機構的關注。當一個集團成員陷入財務困難時，可能由于已有的資金往來而使其他集團成員被迫救助，從而發生新的資金往來。風險傳播的基礎是集團的內部交易，這種交易可能是明顯的，比如貸款和投資；也可能是隱含的，比如集團內部的擔保和轉移定價。

　　2、公開信息是真實情況可能發生較大出入

　　透明度問題既與個別集團成員的財務狀況有關，也與整個集團的財務狀況有關，同時也與集團的法人結構和管理結構有關。集團內部法人主體之間的交易可能會夸大一個集團成員的報告利潤和資本水平，因為集團的凈資本（外部資本）可能大大低于所有集團成員的資本之和。因此，公開信息的準確性將大打折扣。集團結構和內部交易的復雜性將使監管當局和投資人、債權人難以了解集團內部各個成員之間的授權關系和管理責任，從而無法準確判斷和區分一個集團成員所面對的真實風險。

　　3、集團成員的決策自主權

　　如果一個被監管的金融機構由一個控股公司控股，該機構是否能夠獨立地、有效地行使管理就是一個問題。監管當局和股東、債權人需要知道，該機構的董事會和管理層是否可以按照監管和法規的要求，實施有效的管理。這樣的擔心來源于該機構的董事會和管理層可能缺乏必要的自主權，他們在經營和財務決策方面受到很多限制，作出客觀判斷的能力將大打折扣。如果控股公司是非金融性企業，不受監管的約束，金融性子公司的自主性將更成問題。

　　從實際執行中的情況看，各國監管當局對金融集團的內部交易并不是“一刀切”地禁止，而是采取了一種“迂回”的方法。一是對公司治理和內部控制提出要求，“啟發”金融集團自己關注內部交易。金融集團往往從戰略角度安排不同業務之間的內部交易，以獲得效率；監管當局則從資本和償付能力的角度出發，要求它們關注集團內部法人實體之間的內部交易。監管當局尤其需要關注那些業務領域和法人結構不一致的金融集團的內部交易。

　　二是要求金融集團披露自己的組織結構和重大的內部交易，特別是那些將對集團財務健康帶來不利影響的內部交易，并監測這些內部交易的規模和水平。

　　三是通過對集團結構和集團法人的層次提出要求，增加內部交易的透明度。比如，在會計并表準則和稅法方面制定規則，間接地鼓勵某一種集團結構，不鼓勵另外的集團結構。在批準新設企業、收購合并、所有權轉讓等活動中行使否決權，拒絕不適當的集團結構，要求子公司的專業化，鼓勵業務活動和法人結構相一致的集團模式。

　　四是大多數監管當局都設立法規，直接禁止某些金融業務中某些形式的內部交易。一經發現，這樣的內部交易將被取消或中止，主要責任公司將受到處罰。

　　三、金融集團內部控制的指導原則

　　1998年巴塞爾委員會關于銀行業內控制度框架文件包括了一個健全的內控系統應包括的所有重要內容，既是銀行機構建立和完善內控制度的指導性文件，也是監管當局評估銀行內控制度是否完善和有效的重要依據。

　　1、公司董事會在內部控制上的職責

　　授權是現代管理中最重要的內容，但對被授權人行為的監控同樣重要。公司董事會對建立一個有效的內控系統負有最終責任。公司董事會應對如下事務負有責任：（1）批準和定期審查公司整體經營戰略和重大政策；（2）了解公司面臨的主要風險，設立可以接受的風險上限，保證管理高層采取切實的步驟，對這些風險進行識別、度量、監測和控制；（3）批準公司的組織結構，授權明確、職能清晰的組織結構是整個內部控制的基礎；（4）保證管理高層有能力監控公司內控系統的有效性。

　　另外一種方式是建立一個獨立的、協助董事會工作的公司審計委員會。審計委員會的具體職責是：定期審閱管理層、內審部門和外部審計提交的內控工作評估報告，討論公司內控系統的有效性；定期審查管理層是否已經糾正審計部門和監管當局指出的內控缺陷；定期審議公司風險管理政策和風險控制上限是否適當；對公司財務報告的真實性提出意見。

　　審計委員會直接與內審部門和外審部門發生工作聯系。審計委員會的成員應當具有專業性、客觀性和責任心。

　　2、管理高層在內部控制上的職責

　　盡管內控工作是由全體員工參與的一個過程，但管理高層負有領導建立內控制度和監督執行的責任。管理高層應當領導和監督在經營單位層次建立具體的內控政策和程序；公司內部各個單位的職能應當界定清晰、授權和責任明確，不應存在功能上的缺位和重疊；應當任用在經歷和能力上有資格的管理人員，不斷加以培訓，更新他們的知識和技能，并以適當的報酬制度和晉升制度來保證對他們的激勵。

　　3、在企業中普及內控意識

　　由于內控工作的落實有待于所有員工的實踐，故在整個公司中形成良好的內控文化十分重要。良好的內控文化并不必然保證企業取得優良的業績，但缺乏這樣的文化卻可能對內控缺陷失察，導致一些本來可以避免的損失。

　　4、對風險的認識與監測

　　風險評估應當包括所有影響公司業績和目標的內部因素（比如，公司組織結構的復雜程序與變動、公司業務的性質、關鍵管理人員的素質和流失情況）和外部因素（比如，宏觀經驗環境的變化、行業競爭態勢的變化、技術進步對本行業的影響）。

　　風險評估應當在每一項業務、子公司和整個集團的層次進行。風險因素可以是可度量的，也可以是不可度量的。還應評價控制該種風險的成本是多少。風險評估應當區分哪些風險是公司可以控制的，哪些是公司不能控制的。對可以控制的風險，應當決定是接受還是以一定的代價轉移給其他愿意接受的機構；對不能控制的風險，應當決定是接受、放棄、還是減少該種業務的規模。

　　一個有效的內控系統要求，影響企業實現經營目標的重大風險應當被認識，并被持續地評估。這種評估應當包括企業或企業集團面對的所有風險。內控工作應當不斷評估，以便發現從前未被認識的風險，以及新出現的風險。對這些風險的評估最好使用情況分析方法，考察不同情況對現金流和交易收入的影響。

　　5、基本的內控措施

　　（1）管理高層。管理高層應當關注內控工作，要求下屬提交實現公司業績目標狀況的報告，以便了解進展和問題，提出疑問并要求下屬做出解釋。

　　（2）職能部門和事業部（子公司）層次。這些部門的負責人應當定期（每天、每周、或者每月）研究業務進展報告，其頻率和仔細程序應當高于公司高層管理人員。

　　（3）有形的控制活動。有效控制通常是指對有形資產，包括現金和證券的控制。具體的控制方式包括：具體的限制措施，雙重保理，周期性庫存，資金調動雙簽制等。

　　（4）對是否遵循風險上限進行檢查，查清未能遵循風險上限的原因，并做出解釋。對借款人的授信額度是否突破？為什么突破？

　　（5）授權與批準制度。應就什么管理層次可以承擔多大數量的風險上限做出授權，以便使第一管理層了解自己管轄層次的風險，清楚自己的責任。

　　（6）驗證和核對制度。應當定期地驗證與核對交易活動的細節和風險評估模型的分析結果，以便及時糾正錯誤。一旦發現不符之處，應將驗證與核對的結果向相應的管理層報告。

　　6、對利害相關職責的分離

　　有效的內部控制要求，對利害相關的職責應當進行分離，不應對同一人員授權負責利益相互沖突的崗位。具有潛在利益沖突的崗位應當進行識別和減少，并對其狀況由獨立的第三方進行監督。

　　7、有效的信息來源

　　一個有效的內控系統要求，公司決策層應當能夠得到有關財務、經營狀況的綜合性信息，以及與決策有關的外部市場信息。這種信息應當是有意義的、可靠的、隨時可行的，并且可以前后對比的。

　　8、信息系統的安全與可靠

　　金融機構應當建立一個涉及全部業務活動的、可靠的管理信息系統。這些系統必須是安全的，并被獨立的監測，具有應急備用系統。

　　9、有效的溝通渠道

　　公司的組織結構應當保證信息能夠上下左右四通八達。向上的信息保證管理高層了解經營風險和當前的經營狀況。向下的信息可以保障公司的目標、戰略和預期，以及已有的政策和程序，能夠傳達到下層管理人員和員工。最后，公司內部的信息溝通應當保證一個部門或經營單位的信息可以由其他單位分享。

　　10、對主要風險的監測

　　企業內控工作的整體效果應當能夠持續地被監測。管理高層應當明確授權，由誰來監測內控系統的有效性。對主要風險的監測應是金融機構日常工作的一個組成部分，應當由企業一線經營管理人員和內部審計人員定期評估這種監測的有效性。

　　對內控系統的實時監測可以及時發現和糾正內控系統的缺陷。盡管對內控系統的定期評估只能在事后發現問題，但卻可以對內控系統的有效性做出一個整體性的評估。參與定期評估的人員可以來自業務部門、財務部門、內審部門。評估結果應有書面報告上報管理高層。

　　11、對內部控制的內部審計

　　企業應當有一個獨立的、訓練有素的內部審計部門，對內控系統進行綜合性審計。內審部門應當由有能力、有專業知識和經驗的人員組成，他們應當清楚自己的作用和職責，并直接對董事會（或公司審計委員會）或管理高層負責。

　　內部審計的一個重要職能就是對公司內控系統進行實時監測。內審部門的工作應當獨立于公司的日常業務，但有權“介入”公司所有經營單位和下屬公司的業務活動。

　　公司管理高層應當保障內審部門的獨立性，并從員工報酬和預算支出上予以支持，而不應由與內審部門有利害關系的管理層次決定。

　　12、對內控缺陷的處理

　　經營管理人員、內部審計人員、或其他管理人員發現的內控缺陷（或未能加以有效控制的風險）應當及時向適當的管理層報告。重大的內控缺陷應當及時向管理高層和董事會報告。

　　13、監管當局的責任

　　盡管公司董事會與管理高層對內控系統的有效性負有最終責任，監管當局應當把評估金融集團內控系統作為一項重要的監管內容。監管當局應當要求所有金融機構建立有效的內控系統，這一系統應當與公司的表內、表外業務活動的性質、復雜程序和內在風險相適應，并隨著企業環境與條件的變化而變化。

　　監管當局不僅應當評估金融機構整個內控系統的有效性，而且應對金融機構經營環境的變化予以特別關注，考察金融機構是否已針對上述變化，對內控系統做出調整。

　　監管當局對金融機構內控工作的監管方式可以有三種。一是要求金融機構（內審部門）提交自評報告；二是監管機構確定內容與范圍，要求金融機構定期提交相關內容的外審報告；三是直接對金融機構的內控工作進行現場檢查。

　　為了評價金融機構內控系統的有效性（是否發揮作用）和可靠性（該系統是否足以遏制風險），監管當局可以考察金融機構用于識別、度量、監測和管理風險的模型與方法。如果認為適當，監管當局可以使用內部審計報告來評價該金融機構內控工作的質量，或者認可內審人員發現的內控缺陷。

　　盡管外部審計的主要目的是核實金融機構的年度報告，但監管當局也可以利用外部審計來評估金融機構的內控工作。

　　在許多國家，對金融機構內控工作的現場檢查是一項重要的監管工作。為了證實金融機構內控工作的有效性，現場檢查既包括對業務流程的檢查，也包括對交易過程的測試。