内部控制和操作风险管理的关系（2006）

演讲嘉宾：陈忠阳，中国人民大学金融风险管理工作室主任

演讲时间：2006（第二届）年中国金融风险经理年度总论坛，2006年8月5日

观点综述：

一、内部控制的概念框架

      COSO报告的本质框架就是对内部控制的定义以及内部控制的三大目标和五大基本要素。三大目标就是绩效、合规和信息。定义里面请大家注意到最后的落脚点，就是内部控制是一个过程。COSO强调内部控制是一个过程。在这个过程里提出五大要素：管理监督和控制文化（控制环境），风险识别和评估（风险评估），控制活动和责任分离（控制活动），信息与沟通，监测活动和缺陷修正（监督）。

二、操作风险管理的概念框架

      操作风险指由于人员的失败或不足、系统、流程以及外部事件所导致的风险。这是巴塞尔委员会2004年版本的定义，操作风险的定义是来自1998年的全球金融业的一项测试（由BBA倡导的，几家联合做的一个operational risk management survey），调查了国际上主要的金融机构对操作风险概念的理解和管理的主要措施。

      操作风险管理从内控走向对冲，再走向经济资本配置，反映了整个风险管理的发展历程。整个风险管理，包括市场风险和信用风险，基本上也是这么发展起来的。

三、内部控制机制管理操作风险的特点和局限性

      1.内部控制机制管理操作风险的特点

      内部控制主要是通过制度和流程的设计以及对人的监督控制来解决风险问题；其相对于对冲和经济资本配置而言，技术难度相对较低；但是内控的作用却非常重要，表现在内控不能失败，失败的后果极其严重，可以让巴林银行一夜之间倒闭。

      2.内部控制机制管理操作风险的局限性

      内部控制的局限性，前面已经提到，在于其只能解决决策执行过程中的风险，而不能解决决策本身在技术层面上的风险。因此，有效的内控需要技术支持。COSO1992和2004都指出“内部控制（或ERM）不能将低质量的管理转变为高质量的管理”，内控主要是决策的执行，决策本身内控发挥不了作用，单纯的内控再好，也不会让你成为一流的机构，内控不好肯定不能成为国际一流银行，但光凭内控也不行。

四、对我国金融机构内控失败现象的几点反思

      内控是风险管理中的低级错误，重复的犯低级错误只能说明“首脑”有问题，这里当然不是针对某个人而言，主要是治理方面的问题；内控向国外学习，强调的是学习基本理念，学以致用。

      我再谈谈向国外学习内控有几个值得关注的方面：一是高级管理层的责任和问责(Accountability) 制度，尤其是问责制度。风险管理最应该学习的是更高层次的领导，他们的理念是更重要的，损失发生前就应该有问责制明确风险责任人（Risk Owner）。二是制约与平衡（Check and Balance）机制，我认为它体现了内部控制的精髓。check就是检查，包括业务部门内部检查、审计部门的检查、风险管理部的检查、董事会的检查、外部审计的检查、监管机构的检查等不同层次的检查，所以，这样还出问题，只能是检查的两只眼睛都闭上了。检查是最重要的，监督（Oversight）体系说的就是这个意思。Balance我理解的是决策过程中权力的制衡。我认为制约与平衡（Check and Balance）机制是内控里最经典的表达。三是对内部控制有效性评价的作用。内控之所以失效，就是因为所有的眼睛都闭上了，直接做内部控制的人其实是业务部门的人，自己要控制，然后内部人看，内审要看，风险管理部门要看，不同的人在看。四是责任的落实和失责的后果，包括审计的后果。这是目前国家非常关注的问题，每年都有很多的审计活动。

（整理人：尹建伟）