中新網(wǎng)9月30日電 中國銀行業(yè)監督管理委員會(huì )今日發(fā)布公告稱(chēng)，為規范和加強對商業(yè)銀行內部控制評價(jià)，督促商業(yè)銀行建立內部控制體系，健全內部控制機制，保證商業(yè)銀行穩健運行，銀監會(huì )起草了《商業(yè)銀行內部控制評價(jià)試行辦法(征求意見(jiàn)稿)》。即日起上網(wǎng)公示征求社會(huì )各界意見(jiàn)，公示期為一個(gè)月。
商業(yè)銀行內部控制評價(jià)試行辦法(征求意見(jiàn)稿)
第一章 總 則
第一條 為規范和加強對商業(yè)銀行內部控制的評價(jià)，督促其進(jìn)一步建立內部控制體系，健全內部控制機制，保證商業(yè)銀行安全穩健運行，根據《中華人民共和國銀行業(yè)監督管理法》、《中華人民共和國商業(yè)銀行法》等法律法規，制定本辦法。
第二條 商業(yè)銀行內部控制評價(jià)是指對商業(yè)銀行內部控制體系建設、實(shí)施和運行結果獨立開(kāi)展的調查、評估、測試和分析的系統性活動(dòng)。
內部控制評價(jià)包括過(guò)程評價(jià)與結果評價(jià)。過(guò)程評價(jià)側重對內部控制過(guò)程的充分性、合規性、有效性、適宜性的評價(jià)，結果評價(jià)是對內部控制主要目標實(shí)現程度的評價(jià)。
第三條 商業(yè)銀行內部控制體系是商業(yè)銀行為實(shí)現經(jīng)營(yíng)管理目標，通過(guò)制定和實(shí)施系統化的政策、程序和方案，對風(fēng)險進(jìn)行識別、評估、控制、監測和改進(jìn)的動(dòng)態(tài)過(guò)程和機制,由內部控制環(huán)境、風(fēng)險識別與評估、內部控制措施、監督評價(jià)與糾正、信息交流與反饋五個(gè)相互關(guān)聯(lián)、相互作用的過(guò)程構成。
第四條 商業(yè)銀行應建立并保持系統的、透明的、文件化的內部控制體系，將內部控制活動(dòng)與業(yè)務(wù)經(jīng)營(yíng)管理活動(dòng)緊密地結合起來(lái)；定期或在有關(guān)法律法規和其他經(jīng)營(yíng)環(huán)境發(fā)生重大變化時(shí)，對內部控制體系進(jìn)行評審和改進(jìn)。
第五條 商業(yè)銀行內部控制評價(jià)由中國銀行業(yè)監督管理委員會(huì )(以下簡(jiǎn)稱(chēng)銀監會(huì ))及其各級派出機構組織實(shí)施。
第六條 商業(yè)銀行內部控制評價(jià)人員應經(jīng)過(guò)有關(guān)內部控制評價(jià)知識和技能的培訓，具備相應的資質(zhì)和能力。
第二章 內部控制評價(jià)目標和原則
第七條 商業(yè)銀行內部控制評價(jià)的目標是通過(guò)評價(jià)商業(yè)銀行內部控制體系的充分性、合規性、有效性和適宜性，促使商業(yè)銀行切實(shí)加強內部控制體系的建設并認真執行。具體評價(jià)目標如下：
(一)促進(jìn)商業(yè)銀行嚴格遵守國家法律法規、銀監會(huì )的監管要求和商業(yè)銀行審慎經(jīng)營(yíng)原則；
(二)促進(jìn)商業(yè)銀行提高風(fēng)險管理水平，保證其發(fā)展戰略和經(jīng)營(yíng)目標的實(shí)現；
(三)促進(jìn)商業(yè)銀行增強業(yè)務(wù)、財務(wù)和管理信息的真實(shí)性、完整性和及時(shí)性；
(四)促進(jìn)商業(yè)銀行各級管理者和員工強化內部控制意識，嚴格貫徹落實(shí)各項控制措施，確保內部控制體系得到有效運行；
(五)促進(jìn)商業(yè)銀行在出現業(yè)務(wù)創(chuàng )新、機構重組及新設等重大變化時(shí)，及時(shí)有效地評估和控制可能出現的風(fēng)險。
第八條 為實(shí)現上述內部控制評價(jià)目標，應從以下四個(gè)方面對內部控制體系進(jìn)行評價(jià)：
(一)過(guò)程和風(fēng)險是否已被充分識別；
(二)過(guò)程和風(fēng)險的控制措施是否遵循相關(guān)要求、得到明確規定并得以實(shí)施和保持；
(三)控制措施是否有效；
(四)控制措施是否適宜。
第九條 內部控制評價(jià)應遵循以下原則：
(一)系統性原則。評價(jià)范圍應滲透覆蓋商業(yè)銀行內部控制活動(dòng)的全過(guò)程，覆蓋所有的系統、部門(mén)和崗位。
(二)統一性原則。評價(jià)應保持目標、范圍和準則的一致，以確保評價(jià)過(guò)程的準確，以及評價(jià)結果的客觀(guān)、可比。
(三)獨立性原則。評價(jià)應由銀監會(huì )及其派出機構或受委托評價(jià)機構獨立進(jìn)行，不受任何單位和個(gè)人干擾。
(四)公正性原則。評價(jià)應以事實(shí)為基礎，以法律法規、監管要求為準則，客觀(guān)公正，實(shí)事求是。
(五)重要性原則。評價(jià)應依據風(fēng)險和控制的重要性確定重點(diǎn)。
(六)及時(shí)性原則。應按照規定的時(shí)間間隔持續進(jìn)行評價(jià)。當經(jīng)營(yíng)管理環(huán)境發(fā)生重大變化時(shí)，應及時(shí)進(jìn)行評價(jià)。
第三章 內部控制評價(jià)內容
第一節內部控制環(huán)境
第十條 商業(yè)銀行公司治理
商業(yè)銀行應建立以股東大會(huì )、董事會(huì )、監事會(huì )、高級管理層等為主體的公司治理組織架構，保證各機構規范運作、分權制衡。
(一)完善股東大會(huì )、董事會(huì )、監事會(huì )及下設的議事和決策機構，建立議事規則和決策程序；
(二)明確董事會(huì )和董事、監事會(huì )和監事、高級管理層和高級管理人員在內部控制中的責任；
(三)建立獨立董事制度，對董事會(huì )討論事項發(fā)表客觀(guān)、公正的獨立意見(jiàn)；建立外部監事制度，對董事會(huì )、董事、高級管理層及其成員進(jìn)行監督。
第十一條 董事會(huì )、監事會(huì )和高級管理層責任
董事會(huì )負責保證商業(yè)銀行建立并實(shí)施充分而有效的內部控制；負責審批整體經(jīng)營(yíng)戰略和重大政策并定期檢查、評價(jià)執行情況；負責確保商業(yè)銀行在法律和政策的框架內審慎經(jīng)營(yíng)，明確設定可接受的風(fēng)險程度，確保高級管理層采取必要措施認定、計量、監督并控制風(fēng)險；負責審批組織機構；負責保證高級管理層對內部控制制度的充分性與有效性進(jìn)行監測和評估。
監事會(huì )負責監督董事會(huì )、高級管理層完善內部控制；負責監督董事會(huì )及董事、高級管理層及高級管理人員履行內部控制職責；負責要求董事、董事長(cháng)及高級管理人員糾正其損害商業(yè)銀行利益的行為并監督執行。
高級管理層負責制定內部控制政策，對內部控制的充分性與有效性進(jìn)行監測和評估；負責執行董事會(huì )決策；負責建立認定、計量、監督并控制風(fēng)險的程序和措施；負責建立和完善內部組織機構，保證內部控制的各項職責得到有效履行。
董事會(huì )和高級管理層還應培育良好的內部控制文化，提高員工的風(fēng)險意識和職業(yè)道德素質(zhì)，建立通暢的內外部信息溝通渠道，確保及時(shí)獲取與內部控制有關(guān)的人力、物力、財力、信息以及技術(shù)等資源。
第十二條 內部控制政策
商業(yè)銀行應在各項業(yè)務(wù)和管理活動(dòng)中制定明確的內部控制政策，規定內部控制的方向和原則，并為制定和評審內部控制目標提供指導。內部控制政策應：
(一)與商業(yè)銀行的經(jīng)營(yíng)宗旨和發(fā)展戰略相一致；
(二)體現持續改進(jìn)內部控制的要求；
(三)符合現行法律法規和監管要求；
(四)體現出側重控制的風(fēng)險類(lèi)型；
(五)體現出對不同地區、行業(yè)、產(chǎn)品的風(fēng)險控制要求；
(六)傳達給適用崗位的員工，指導員工實(shí)施風(fēng)險控制措施；
(七)可為風(fēng)險相關(guān)方所獲取，并尋求互利合作；
(八)定期進(jìn)行評審，確保其持續的適宜性和有效性。
第十三條 內部控制目標
商業(yè)銀行應在相關(guān)職能和層次上建立并保持內部控制目標。內部控制目標應符合內部控制政策，并體現對持續改進(jìn)的要求。
在建立和評審內部控制目標時(shí)，應考慮法律法規、監管要求和其他要求，以及技術(shù)、財務(wù)、經(jīng)營(yíng)和風(fēng)險相關(guān)方等因素。
內部控制目標應可測量。有條件時(shí)，目標應予以量化。
第十四條 組織結構
商業(yè)銀行應建立分工合理、職責明確、報告關(guān)系清晰的組織結構，明確所有與風(fēng)險和內部控制有關(guān)的部門(mén)、崗位、人員的職責和權限，并形成文件予以傳達。特別應考慮：
(一)必要的職責分離，以及橫向與縱向相互監督制約關(guān)系；
(二)涉及資產(chǎn)、負債、財務(wù)和人員等重要事項變動(dòng)均不得由一個(gè)人獨自決定；
(三)建立關(guān)鍵崗位定期或不定期的人員輪換和強制休假制度；
(四)建立相應的授權體系，實(shí)行統一法人管理和法人授權。
商業(yè)銀行應設立負有內部控制體系建立、實(shí)施特殊責任的專(zhuān)門(mén)委員會(huì )或部門(mén)，明確其責任、權限和報告路線(xiàn)。
商業(yè)銀行應設立全行系統垂直管理、具有充分獨立性的內部審計部門(mén)。內部審計部門(mén)應配備具有相應資質(zhì)和能力的審計人員；應有權獲得商業(yè)銀行的所有經(jīng)營(yíng)、管理信息；應根據對轄屬機構的風(fēng)險評級結果確定審計頻率，以及對機構和業(yè)務(wù)的審計覆蓋率，定期或不定期對內部控制的健全性和有效性實(shí)施檢查、評價(jià)；應及時(shí)向董事會(huì )或董事會(huì )審計委員會(huì )提交審計報告；董事會(huì )及高級管理層應保證審計報告中指出的內部控制的缺失得到及時(shí)糾正整改；總行內部審計負責人的聘任和解聘應當經(jīng)董事會(huì )或監事會(huì )同意。
第十五條 企業(yè)文化
商業(yè)銀行應培育健康的企業(yè)文化，對企業(yè)文化的內涵、組織機制、傳播機制、評估機制以及活動(dòng)機制做出明確的規定，向員工傳達遵守法律法規和實(shí)施內部控制的重要性，引導員工樹(shù)立良好的合規意識和較強的風(fēng)險意識，促進(jìn)員工職業(yè)道德水平的提高，規范員工行為，營(yíng)造良好的內部控制環(huán)境。所有員工都應了解自己在內部控制中的作用，全面參與內部控制體系建設。
第十六條人力資源
商業(yè)銀行應完善人事制度和程序，確保與風(fēng)險和內部控制有關(guān)人員具備相應的能力和風(fēng)險意識。
商業(yè)銀行應規定所有崗位的職責、權限和人員適任條件，明確關(guān)鍵崗位、特殊崗位、不相容崗位及其控制要求。
商業(yè)銀行應明確與風(fēng)險和內部控制有關(guān)人員的必要的能力要求。應根據其教育水平、工作經(jīng)驗、考核和接受過(guò)的培訓對能力進(jìn)行鑒定。尤其應滿(mǎn)足監管機構對高級管理人員資質(zhì)的要求，不滿(mǎn)足任職資格的不得擔任高級管理職務(wù)。
商業(yè)銀行應制定并保持培訓計劃，以確保高級管理層和全體員工能夠完成其承擔的內部控制方面的任務(wù)和職責。培訓計劃應定期評審，并應考慮不同層次員工的職責、能力和文化程度以及所面臨的風(fēng)險。
商業(yè)銀行應對員工引進(jìn)、退出、選拔、績(jì)效考核、薪酬、福利、專(zhuān)業(yè)技術(shù)職務(wù)管理處罰等日常人事管理做出詳細規定，并充分考慮人力資源管理過(guò)程中的風(fēng)險。
第二節風(fēng)險識別與評估
第十七條 經(jīng)營(yíng)管理活動(dòng)風(fēng)險識別與評估
商業(yè)銀行應建立和保持書(shū)面程序，以持續對各類(lèi)風(fēng)險進(jìn)行有效的識別與評估。商業(yè)銀行的主要風(fēng)險包括信用風(fēng)險、操作風(fēng)險、市場(chǎng)風(fēng)險、國家和轉移風(fēng)險、利率風(fēng)險、流動(dòng)性風(fēng)險、法律風(fēng)險以及聲譽(yù)風(fēng)險等。
應識別并確定常規和非常規的業(yè)務(wù)和管理活動(dòng)，并識別這些活動(dòng)中的風(fēng)險(無(wú)論是否由內部產(chǎn)生)，考慮其類(lèi)型、來(lái)源及其影響范圍，特別應考慮計算機系統的運用可能帶來(lái)的風(fēng)險。
應依據法律法規、監管要求以及內部控制政策確定風(fēng)險是否可接受，以確定是否進(jìn)一步采取措施。風(fēng)險可接受時(shí)，應監測并定期評審，以確保其持續可接受；風(fēng)險不可接受時(shí)，應制定控制措施。
商業(yè)銀行對各類(lèi)風(fēng)險進(jìn)行有效的識別與評估時(shí)應充分考慮內部和外部因素，內部因素包括組織結構的復雜程度、銀行業(yè)務(wù)性質(zhì)、機構變革以及員工的流動(dòng)等；外部因素包括經(jīng)濟形勢的波動(dòng)、行業(yè)變動(dòng)趨勢等。
環(huán)境和條件發(fā)生變化時(shí)，應及時(shí)對風(fēng)險進(jìn)行再識別和再評估，以確保任何新的和以前未曾予以控制的風(fēng)險得到識別和控制。
風(fēng)險識別與評估應：
(一)依據業(yè)務(wù)范圍、性質(zhì)和時(shí)限主動(dòng)進(jìn)行；
(二)評估風(fēng)險的后果、可能性和風(fēng)險級別；
(三)必要時(shí)開(kāi)發(fā)并運用風(fēng)險量化評估的方法和模型。
第十八條 法律法規、監管要求和其他要求識別
商業(yè)銀行應建立并保持識別和獲取適用法律法規、監管要求和其他要求的程序，作為風(fēng)險識別與評估、制訂控制目標和控制方案的依據。
商業(yè)銀行應及時(shí)更新法律法規、監管要求和其他要求的信息，并將這些信息傳達給相關(guān)員工和其他風(fēng)險相關(guān)方。
第十九條 內部控制方案
商業(yè)銀行應制定內部控制方案，以控制所識別的不可接受風(fēng)險。內部控制措施策劃方案應包括以下內容：
(一)為實(shí)現對風(fēng)險的控制而規定的相關(guān)層次的職責與權限；
(二)控制的策略、方法、資源需求和時(shí)限要求。
內部控制措施若涉及到組織結構、流程、計算機系統等方面的重大變更，應考慮采取此種措施后可能產(chǎn)生的新風(fēng)險。
第三節內部控制措施
第二十條 運行控制
商業(yè)銀行應確定需要采取控制的業(yè)務(wù)和管理活動(dòng)，依據所策劃的控制措施或已有的控制程序對這些活動(dòng)加以控制。
控制措施包括：
(一)高層檢查。董事會(huì )與高級管理層要求下級部門(mén)及時(shí)報告經(jīng)營(yíng)管理情況和特別情況，以檢查銀行在實(shí)現內部控制目標方面的進(jìn)展。高級管理層根據檢查情況提出內部控制缺失，督促職能管理部門(mén)改進(jìn)。
(二)行為控制。各級職能管理部門(mén)審查每天、每周或每月收到的經(jīng)營(yíng)管理情況和特別情況專(zhuān)項報表或報告，提出問(wèn)題，要求采取糾正整改措施。
(三)實(shí)物控制。主要的控制措施包括實(shí)物限制、雙重保管和定期盤(pán)存。
(四)遵循風(fēng)險暴露限制的情況。審查遵循風(fēng)險限制方面的合規性，在不合規的情況下繼續跟蹤檢查。如遵循對借款人的信用額度限制，減少風(fēng)險集中程度，有助于分散風(fēng)險。
(五)審批與授權。根據若干限制條件對各項業(yè)務(wù)、管理活動(dòng)進(jìn)行審批與授權，明確各級管理責任。
(六)驗證與核實(shí)。驗證各項業(yè)務(wù)、管理活動(dòng)，以及所采用的風(fēng)險管理模型結果，并定期核實(shí)相關(guān)情況，及時(shí)發(fā)現需要修正的問(wèn)題，向職能管理部門(mén)報告。
(七)不兼容崗位的適當分離。實(shí)行適當的職責分工，認定潛在的利益沖突并使之最小化。
控制要點(diǎn)包括：
(一)對于可能導致偏離內部控制政策、目標的運行情況，應建立并保持書(shū)面程序和要求，并在程序中規定操作和控制標準；
(二)對于重要活動(dòng)應實(shí)施連續記錄和監督檢查；
(三)在可能的情況下，應考慮運用計算機系統進(jìn)行控制；
(四)對于采購或外包的設施、設備、系統和服務(wù)中已識別的風(fēng)險，應建立并保持控制程序，并將有關(guān)程序和要求通報供方，確保其遵守商業(yè)銀行相關(guān)的控制要求；
(五)對于產(chǎn)品、組織結構、流程、計算機系統的設計過(guò)程，應建立有效的控制程序。
第二十一條 計算機系統環(huán)境下的控制
商業(yè)銀行應考慮計算機系統環(huán)境下的業(yè)務(wù)運行特征，建立信息安全管理體系，對硬件、操作系統和應用程序、數據和操作環(huán)境，以及設計、采購、安全和使用實(shí)施控制，確保信息的完整性、安全性和可用性。明確計算機信息系統開(kāi)發(fā)部門(mén)、管理部門(mén)與應用部門(mén)的職責，建立和健全計算機信息系統風(fēng)險防范的制度，確保計算機信息系統設備、數據、系統運行和系統環(huán)境的安全。
第二十二條 應急準備與響應
商業(yè)銀行應建立并保持預案和程序，以識別可能發(fā)生的意外事件或緊急情況(包括計算機系統)。意外事件和緊急情況發(fā)生時(shí)，應及時(shí)做出應急響應，以預防或減少可能造成的損失，確保業(yè)務(wù)持續開(kāi)展。
商業(yè)銀行應定期檢查、維護應急的設施、設備和系統，確保其處于適用狀態(tài)。如可行，應定期測試應急預案。
商業(yè)銀行應評審其應急預案，特別是意外事件或緊急情況發(fā)生之后。應急準備應與可能發(fā)生的意外事件或緊急情況(包括損失、險情)的性質(zhì)相適應。
第四節監督評價(jià)與糾正
第二十三條 內部控制績(jì)效的監測
商業(yè)銀行應建立并保持書(shū)面程序，通過(guò)適宜的監測活動(dòng)，對內部控制績(jì)效進(jìn)行持續監測。監測內容包括：
(一)內部控制目標實(shí)現程度的監測；
(二)法律、法規及監管要求的遵循程度；
(三)適用的法律法規、監管要求及其他要求的符合情況；
(四)損失、險情和其他不良的內部控制績(jì)效的歷史情況；
第二十四條 違規、險情、事故處置和糾正與預防措施
商業(yè)銀行應對違規、險情、事故的發(fā)現、報告、處置和糾正與預防措施做出規定，包括：
(一)發(fā)現違規、險情、事故并及時(shí)報告，必要時(shí)，可越級報告；
(二)及時(shí)處置違規、險情、事故；
(三)制定糾正與預防措施，防止違規、險情、事故的發(fā)生和再發(fā)生，并與問(wèn)題的大小和風(fēng)險危害程度相一致；
(四)糾正與預防措施在實(shí)施之前應進(jìn)行風(fēng)險評估；
(五)實(shí)施并跟蹤、驗證糾正與預防措施；
(六)險情和事故的責任追究。
第二十五條 內部控制體系評價(jià)
商業(yè)銀行應按策劃的方案對內部控制體系實(shí)施評價(jià)，確保內部控制體系的符合性和有效性。
評價(jià)方案的制定，應以活動(dòng)的風(fēng)險評估結果、業(yè)務(wù)和管理流程及相關(guān)區域的狀況和以前的評價(jià)結果為依據。評價(jià)方案應包括評價(jià)的目的、準則、范圍、頻率和方法，以及執行評價(jià)和結果報告的職責與要求。評價(jià)應覆蓋體系范圍內的所有活動(dòng)，被評價(jià)機構的管理者應采取措施消除違規原因，并驗證所采取措施的效果。應根據評價(jià)的結果對內部控制體系做出評價(jià)，必要時(shí)可根據評價(jià)結果確定內部控制水平的等級。評價(jià)結果的信息提供給管理層參考和決策。
評價(jià)應由所評價(jià)的活動(dòng)無(wú)直接責任的人員進(jìn)行，評價(jià)人員應能夠勝任評價(jià)工作。
第二十六條 管理評審
董事會(huì )應采取措施保證商業(yè)銀行定期組織對內部控制狀況進(jìn)行評審，確保體系得到持續、有效的改進(jìn)。
管理評審應包括以下方面的內容：
(一)內部控制體系評價(jià)的結果；
(二)內部控制政策執行情況和內部控制目標實(shí)現情況；
(三)對內部控制體系有重要影響的外部信息，如法律、法規的重大變化；
(四)組織結構的重大調整；
(五)事故和險情以及重大糾正和預防措施的狀況；
(六)以往管理評審的跟蹤情況；
(七)內部控制體系改進(jìn)的建議。
管理評審應就以下方面提出建議：
(一)內部控制體系及其過(guò)程的改進(jìn)；
(二)內部控制政策、目標的變更；
(三)與內部控制有關(guān)資源的需求。
第二十七條 持續改進(jìn)。
商業(yè)銀行應利用內部控制政策、內部控制目標、評價(jià)結果、績(jì)效監測和數據分析、糾正和預防措施以及管理評審，持續提高內部控制體系有效性。
第五節信息交流與反饋
第二十八條 交流與溝通
商業(yè)銀行應建立和保持信息交流與反饋的程序，對財務(wù)、管理、業(yè)務(wù)、重大事件和市場(chǎng)信息等相關(guān)信息，明確其識別、收集、處理、交流、溝通、反饋、披露的渠道和方式。
商業(yè)銀行應識別其內部和外部的風(fēng)險相關(guān)方，考慮他們的要求和目標，建立與這些相關(guān)方進(jìn)行信息交流的機制，確保：
(一)董事會(huì )和高級管理層能夠及時(shí)了解業(yè)務(wù)信息、管理信息以及其他重要風(fēng)險信息；
(二)所有員工充分了解相關(guān)信息、遵守涉及其責任和義務(wù)的政策、程序；
(三)險情、事故發(fā)生時(shí)，相關(guān)信息能得到及時(shí)報告和有效溝通；
(四)及時(shí)、真實(shí)、完整地向監管機構和外界報告、披露相關(guān)信息；
(五)國內外經(jīng)濟、金融動(dòng)態(tài)信息的取得和處理，并及時(shí)把與企業(yè)既定經(jīng)營(yíng)目標有關(guān)的信息提供給各級管理層。
信息交流與溝通應考慮信息的安全性和保密性要求。相關(guān)信息報告、發(fā)布、披露應經(jīng)過(guò)授權。
為保持信息交流溝通可追溯性，必要時(shí)，應保持相關(guān)信息交流與溝通的記錄。
第二十九條 內部控制體系對文件的要求
建立和保持文件化體系是實(shí)現信息交流與反饋的重要途徑。商業(yè)銀行應建立并保持必要的內部控制體系文件，包括：
(一)對內部控制體系核心過(guò)程要素及其相互作用的描述；
(二)內部控制政策和目標；
(三)關(guān)鍵崗位及其職責與權限；
(四)不可接受的風(fēng)險及其預防和控制措施；
(五)控制程序、作業(yè)指導、方案和其他內部文件。
第三十條 文件控制
商業(yè)銀行應建立并保持書(shū)面程序，以確保內部控制體系所要求的文件滿(mǎn)足下列要求：
(一)文件和資料易于查詢(xún)；
(二)實(shí)施前得到授權人的批準；
(三)定期進(jìn)行評審，必要時(shí)予以修訂并由授權人員確認其適宜性；
(四)所有相關(guān)崗位都能得到有效版本；
(五)失效時(shí)，及時(shí)從所有發(fā)放處和使用處收回，或采取其他措施防止誤用；
(六)及時(shí)識別、處置外來(lái)文件并進(jìn)行標識，必要時(shí)轉化為內部文件。
(七)留存的檔案性文件和資料應予以適當標識。
第三十一條 記錄控制
商業(yè)銀行應建立并保持書(shū)面程序，以規定內部控制相關(guān)活動(dòng)中所涉及記錄的標識、生成、貯存、保護、檢索、保存期限和處置。
記錄應保持清晰、易于識別和檢索，以提供符合要求和內部控制體系有效運行的證據，并可追溯到相關(guān)的活動(dòng)。
第四章 內部控制評價(jià)程序和方法
第三十二條 內部控制評價(jià)程序一般包括評價(jià)準備、評價(jià)實(shí)施、形成評價(jià)報告和反饋等步驟。
第三十三條 評價(jià)準備。
在評價(jià)實(shí)施前應組成評價(jià)組。評價(jià)組的成員構成應考慮到相關(guān)人員的背景和能力構成。必要時(shí)，可聘請相應的業(yè)務(wù)或管理專(zhuān)家。
評價(jià)組應根據內部控制評價(jià)的安排制訂評價(jià)方案，評價(jià)方案應明確本次評價(jià)的目的、范圍、準則、時(shí)間安排和相應的資源配置。
評價(jià)組應準備必要的工作文件，用于評價(jià)實(shí)施過(guò)程的參考和記錄。這些工作文件可以包括評價(jià)問(wèn)卷、抽樣計劃、被評價(jià)機構的內部控制體系文件等。
在現場(chǎng)評價(jià)前應先與被評價(jià)機構建立初步聯(lián)系，以便確認有關(guān)評價(jià)事項和安排。
第三十四條 評價(jià)實(shí)施
評價(jià)組應按照確定的評價(jià)方案實(shí)施評價(jià)。在評價(jià)實(shí)施中有必要對評價(jià)組內部以及評價(jià)組與被評價(jià)機構之間的溝通做出正式安排。在評價(jià)實(shí)施過(guò)程中，應當通過(guò)適當的方法進(jìn)行收集與評價(jià)目的、范圍和準則有關(guān)的信息，根據抽樣計劃對被評價(jià)項目進(jìn)行測試，評價(jià)證據應當予以記錄。收集信息和測試的方法見(jiàn)本辦法附件的相關(guān)內容。
第三十五條 形成評價(jià)報告
評價(jià)組根據評價(jià)及測試情況，在綜合評價(jià)的基礎上，出具被評價(jià)機構的內部控制評價(jià)報告。報告內容主要包括概述、評價(jià)組工作開(kāi)展情況、被評價(jià)機構內部控制體系狀況、綜合評價(jià)、存在問(wèn)題及原因、整改意見(jiàn)等。
報告還應包括以下方面的內容：
(一)對被評價(jià)機構的內部控制體系現狀，存在問(wèn)題與上次評價(jià)結果和連續多次評價(jià)結果進(jìn)行趨勢比較分析。找出本期新出現的薄弱環(huán)節，分析判斷商業(yè)銀行內控的薄弱環(huán)節是否已得到改進(jìn)和加強。
(二)將被評價(jià)機構存在的主要問(wèn)題、缺失與同類(lèi)銀行進(jìn)行比較，對于普遍存在且受外圍環(huán)境制約的問(wèn)題，在評價(jià)結論中作為可諒解因素列出。
(三)對被評價(jià)對象內部控制體系有效性進(jìn)行分析評價(jià)后，監管部門(mén)應根據分析評價(jià)結果和已采取措施的有效程度，提出今后的監管建議。
(四)評價(jià)報告應根據內部控制評價(jià)對象的層次，突出重點(diǎn)和關(guān)鍵點(diǎn)。例如，對商業(yè)銀行總部的評價(jià)應突出管理方面的問(wèn)題和薄弱點(diǎn)以及制度規定方面的缺失，而對分支機構的評價(jià)應側重執行方面的問(wèn)題。
第三十六條 評價(jià)結論反饋
評價(jià)組對被評價(jià)銀行內部控制體系做出綜合評價(jià)后，應召集被評價(jià)機構管理層和部門(mén)負責人會(huì )議，核對數據和事實(shí)，征求意見(jiàn)，在現行法律和政策規定基礎上統一認識。評價(jià)組應將本次評價(jià)的評審報告和結論報送授權的監管機構。
第三十七條 監管機構根據評價(jià)組的結論，依據有關(guān)法律和規定，對被評價(jià)機構做出評價(jià)結論和處理決定，以書(shū)面形式正式發(fā)送被評價(jià)機構并限期改正反饋。
第三十八條 內部控制評價(jià)方法是為實(shí)現評價(jià)目的，運用基本的評價(jià)技術(shù)對商業(yè)銀行的內部控制體系進(jìn)行分析和評價(jià)而采取的技術(shù)和手段的總稱(chēng)。
第三十九條 內部控制評價(jià)的實(shí)施分為了解內部控制體系階段和實(shí)施測試階段。
評價(jià)人員首先應了解被評價(jià)機構內部控制體系的基本情況，確定評價(jià)范圍，確定被評價(jià)機構的內部控制體系的健全程度，然后決定實(shí)施測試所采取的方法。
實(shí)施測試是在了解內部控制體系的基礎上對被評價(jià)機構的內部控制體系開(kāi)展的進(jìn)一步評價(jià)活動(dòng)。實(shí)施測試側重于評價(jià)內部控制體系的運行與績(jì)效，具體可以采取符合性測試和實(shí)質(zhì)性測試。當初步評價(jià)被評價(jià)機構的內部控制體系為基本可信賴(lài)時(shí)，可以采用符合性測試；被評價(jià)機構內部控制體系有重大缺失或許多規定在實(shí)際工作中無(wú)法執行時(shí)，應對其內部控制進(jìn)行實(shí)質(zhì)性測試。
第四十條 了解內部控制體系
主要通過(guò)詢(xún)問(wèn)法、查閱法、觀(guān)察法、流程圖法等方法了解被評價(jià)機構內部控制體系的設計和執行情況，初步評價(jià)被評價(jià)機構內部控制體系的充分性和制度的合規性，即評價(jià)主要活動(dòng)和重要的風(fēng)險是否被充分識別，相關(guān)制度是否符合法律法規和監管要求，各部門(mén)、各崗位是否嚴格執行了有關(guān)規定，內部控制體系能否達到控制目的和要求。
第四十一條 符合性測試
符合性測試是獲得評價(jià)證據以證實(shí)內部控制在實(shí)際中的合規性、有效性和適宜性，即相關(guān)規定在實(shí)際中是否被一貫執行，控制措施能否達到控制目的，控制措施是否恰當。符合性測試分為兩種形式：
(一)業(yè)務(wù)測試，即對重要業(yè)務(wù)或典型業(yè)務(wù)進(jìn)行測試，按照規定的業(yè)務(wù)處理程序進(jìn)行檢查，確認有關(guān)控制點(diǎn)是否符合規定并得到認真執行，以判斷內部控制的遵循情況。
(二)功能測試，即對某項控制的特定環(huán)節，選擇若干時(shí)期的同類(lèi)業(yè)務(wù)進(jìn)行檢查，確認該環(huán)節的控制措施是否一貫或持續發(fā)揮作用。
符合性測試的具體方法包括抽樣法、穿行測試法、證據檢查法、壓力測試法、否定驗證法等(具體描述見(jiàn)附錄一)。
第四十二條 符合性測試抽樣。符合性測試需要通過(guò)抽樣測試被評價(jià)商業(yè)銀行內部控制體系的建立、執行和監督情況。
抽取樣本的多少取決于被評價(jià)機構或被評價(jià)項目的風(fēng)險、業(yè)務(wù)頻次、重要性等�？稍诟鶕䴓I(yè)務(wù)頻次確定抽樣量的基礎上，再根據被評價(jià)項目的風(fēng)險和重要性進(jìn)行調整。
根據業(yè)務(wù)頻次確定的各年度抽樣量參考標準如下：
(一)每月執行一次的業(yè)務(wù)或事項，抽樣量應保持在2-6個(gè)之間；
(二)每周執行一次的業(yè)務(wù)或事項，抽樣量應保持在4-10個(gè)之間；
(三)每日執行一次的業(yè)務(wù)或事項，抽樣量應保持在10-25個(gè)之間；
(四)每日執行多次的業(yè)務(wù)或事項，全年10000次以下的，抽樣量應保持在25-50個(gè)之間；全年10000次以上的，抽樣量應保持在50個(gè)以上。
第四十三條 實(shí)質(zhì)性測試
評價(jià)人員為了獲取對被評價(jià)機構各項評價(jià)認定真實(shí)、公允的證據，可采取實(shí)質(zhì)性測試全面評價(jià)商業(yè)銀行內部控制體系。實(shí)質(zhì)性測試主要包括詳細檢查和分析性復核兩種(具體描述見(jiàn)附錄一)。
第五章 內部控制評價(jià)的評分標準和等級評定
第四十四條 為確保評價(jià)結果的可比性，對內部控制的過(guò)程或結果評價(jià)的項目，均分別設置一定的標準分值，根據評價(jià)的實(shí)際得分確定被評價(jià)機構的評價(jià)等級。
第四十五條 對內部控制過(guò)程的過(guò)程評價(jià)共設置標準分500分，各過(guò)程的標準分值分別是：內部控制環(huán)境100分、風(fēng)險識別與評估100分、內部控制措施100分、信息交流與反饋100分、監督評價(jià)與糾正100分。五個(gè)過(guò)程評得總分加總后除以5后換算成對過(guò)程評價(jià)的得分(對內部控制體系各過(guò)程主要項目設置的分值見(jiàn)附錄二)。
內部控制評價(jià)的具體對象可以根據評價(jià)范圍的需要確定，但必須覆蓋被評價(jià)機構開(kāi)展的所有業(yè)務(wù)和管理活動(dòng)。
第四十六條 在對內部控制過(guò)程評價(jià)時(shí)，應按照第三章評價(jià)內容的要求，結合本辦法第八條的四個(gè)方面展開(kāi)，轉換為具體評價(jià)問(wèn)題(評價(jià)要點(diǎn)見(jiàn)附錄三)，并根據調查測試情況對被評價(jià)項目進(jìn)行綜合評分。
第四十七條 初次實(shí)施內部控制評價(jià)時(shí)，須對附錄二“內部控制過(guò)程評價(jià)分值表”中所有業(yè)務(wù)活動(dòng)、管理活動(dòng)和支持保障活動(dòng)進(jìn)行評價(jià)；再次評價(jià)時(shí)，至少應包括：授信業(yè)務(wù)、資金業(yè)務(wù)、存款及柜臺業(yè)務(wù)、主要中間業(yè)務(wù)、計劃財務(wù)、會(huì )計管理、計算機信息系統等。
第四十八條 內部控制過(guò)程評價(jià)的具體評分標準如下：
(一)被評價(jià)對象的過(guò)程和風(fēng)險已被充分識別的，可得該項分值的百分之二十。
(二)在滿(mǎn)足前項的基礎上，被評價(jià)項目的過(guò)程和對風(fēng)險的控制措施被規定并遵循要求的，可得該項分值的百分之三十。
(三)在滿(mǎn)足前兩項的基礎上，被評價(jià)項目的規定得到實(shí)施和保持，可再得該項分值的百分之三十。
(四)在滿(mǎn)足前三項的基礎上，被評價(jià)項目在實(shí)現風(fēng)險控制的結果方面，控制措施有效且適宜的，可再得該項分值的百分之二十。
第四十九條 在調查和測試過(guò)程中遇有業(yè)務(wù)缺項或問(wèn)題“不適用”時(shí)，評價(jià)人員應將涉及到的分值在評價(jià)項目總分中扣減。為了保持可比性，在得出其余適用項的總分后，還應將該評價(jià)項目的總得分進(jìn)行調整。調整后的評價(jià)項目總得分=(項目所有適用問(wèn)題得分)/(評價(jià)項目總分-不適用問(wèn)題總分)?100
單項分值小計和總分分值不設小數，有小數時(shí)四舍五入。
第五十條 若涉及到需要采取抽樣測試確定評價(jià)結論的，應根據以下情況確定：
(一)如果在抽樣范圍內發(fā)現違規率在10%(含)以下的，該項評價(jià)得滿(mǎn)分；在10-30%(含)之間的，可得該評價(jià)項目分值的50%；在30%以上的，該項評價(jià)不得分。
(二)發(fā)現險情或事故的，直接扣除該評價(jià)項目的分值。
第五十一條 內部控制的結果評價(jià)。結果評價(jià)主要評價(jià)內部控制目標的實(shí)現情況，對這些指標的量化評價(jià)可以通過(guò)非現場(chǎng)的方式進(jìn)行。結果評價(jià)主要包括十項指標：資本利潤率、資產(chǎn)利潤率、收入成本比、大額風(fēng)險集中度指標、關(guān)聯(lián)方交易指標、資產(chǎn)質(zhì)量指標、不良貸款撥備覆蓋率、資本充足指標、流動(dòng)性指標、案件損失指標。內控結果評價(jià)指標的分值為500分(具體指標和計分方式詳見(jiàn)附錄二)。
銀監會(huì )可以根據商業(yè)銀行整體風(fēng)險情況、宏觀(guān)經(jīng)濟金融情況和銀監會(huì )工作的重點(diǎn)，補充、修訂或調整有關(guān)評價(jià)指標及其標準分值。
第五十二條 根據過(guò)程評價(jià)和結果評價(jià)綜合確定內部控制體系的總分。其中，過(guò)程評價(jià)占比分權重為70%，結果評價(jià)占比分權重為30%，兩項得分相加得出綜合評價(jià)總分(過(guò)程評價(jià)計分表、結果評價(jià)計分表和匯總計分表見(jiàn)附錄二)。
第五十三條 根據綜合評價(jià)總分對被評價(jià)銀行的內部控制體系進(jìn)行定級，定級評價(jià)應按評分標準對被評價(jià)銀行內部控制項目逐項計算得分，確定評價(jià)等級。定級標準為：
一級：綜合評分90分(含)以上；指被評價(jià)機構有健全的內部控制體系，在各個(gè)環(huán)節均能有效執行內部控制措施，能對所有風(fēng)險進(jìn)行有效識別和控制，無(wú)任何風(fēng)險控制盲點(diǎn)，控制措施適宜，經(jīng)營(yíng)效果顯著(zhù)。
二級：綜合評分80-89分；指被評價(jià)機構內部控制體系比較健全，在各個(gè)環(huán)節能夠較好執行內部控制措施，能對主要風(fēng)險進(jìn)行識別和控制，控制措施基本適宜，經(jīng)營(yíng)效果較好。
三級：綜合評分70-79分；指被評價(jià)機構內部控制體系一般，雖建立了大部分內部控制，但缺乏系統性和連續性，在內部控制措施執行方面缺乏一貫的合規性，存在少量重大風(fēng)險，經(jīng)營(yíng)效果一般。
四級：綜合評分60-69分；被評價(jià)機構內部控制體系較差，內部控制體系不健全或重要的內部控制措施沒(méi)有貫徹執行或無(wú)效，管理方面存在重大問(wèn)題，會(huì )計記錄失真，業(yè)務(wù)經(jīng)營(yíng)安全性差。
五級：綜合評分60分以下；被評價(jià)機構內部控制體系很差，內部控制體系存在嚴重缺失或內部控制措施明顯無(wú)效，存在明顯的管理漏洞，經(jīng)營(yíng)業(yè)務(wù)失控，會(huì )計記錄不可信，存在重大金融風(fēng)險隱患。
上述評分等級適用于對單項評價(jià)的定級，對單項評價(jià)定級時(shí)，應將單項評價(jià)的總分換算成百分制。單項評價(jià)定級僅用于對比分析，不作為最終結論。
若評級結果對外公布，可能會(huì )對上市公司造成較大的影響，則可以?xún)炔空莆�，不對外公布�?/p>
第五十四條 若被評價(jià)機構在評價(jià)期內發(fā)生重大責任事故，應在內部控制初步評價(jià)等級的基礎上降低一級。重大責任事故包括：
(一)因安全防范措施不當，發(fā)生金融詐騙、盜竊、搶劫、爆炸等案件，造成重大影響和損失；
(二)因經(jīng)營(yíng)管理不善發(fā)生擠提事件；
(三)業(yè)務(wù)系統故障，造成重大影響和損失；
(四)經(jīng)查實(shí)的重大信訪(fǎng)事件。
第五十五條 內部控制體系連續在三個(gè)評價(jià)期內得不到改善的機構，其內部控制評價(jià)等級應適當降低；內部控制體系狀況不斷好轉的，應酌情予以適當的加分，但不得提升評價(jià)等級。
第六章 內部控制評價(jià)組織和實(shí)施
第五十六條 內部控制評價(jià)按照“統一領(lǐng)導，分級管理”的原則進(jìn)行。
第五十七條 根據評價(jià)的范圍，內部控制評價(jià)可分為以下層次：
(一)銀監會(huì )及其派出機構對商業(yè)銀行法人機構的整體評價(jià)；
(二)銀監會(huì )對商業(yè)銀行總部的評價(jià)；
(三)銀監會(huì )及其派出機構對商業(yè)銀行不同層次分支機構的評價(jià)。
第五十八條 銀監會(huì )對商業(yè)銀行法人機構整體的綜合評價(jià)，取對總部評價(jià)得分的70%和抽取部分分支機構評價(jià)平均得分的30%，形成最終評級結果。
銀監會(huì )各派出機構對轄內商業(yè)銀行分支機構的內部控制評價(jià)可比照進(jìn)行。
第五十九條 銀監會(huì )可根據需要委托外部中介機構對商業(yè)銀行內部控制體系進(jìn)行評價(jià)。受托中介機構和人員必須熟悉商業(yè)銀行業(yè)務(wù)和運作，具備內部控制體系建立或評價(jià)方面的相關(guān)經(jīng)驗。各派出機構選聘中介機構進(jìn)行內部控制評價(jià)時(shí)，必須報銀監會(huì )批準。
受托中介機構對商業(yè)銀行的內部控制評價(jià)按照本辦法執行。
第六十條 銀監會(huì )及其派出機構應及時(shí)整理、分析和掌握被監管機構報送的非現場(chǎng)監管數據、國家審計部門(mén)的審計結果和被監管機構的內部審計信息，充分利用監管部門(mén)對被監管機構的各種現場(chǎng)檢查結果。
第六十一條 應當根據風(fēng)險大小和重要性確定對商業(yè)銀行及其分支機構內部控制評價(jià)的頻率和范圍，對內部控制整體情況評價(jià)的間隔期，一般不超過(guò)二年。當商業(yè)銀行發(fā)生重大策略改變、管理層變動(dòng)、重大的并購或處置、重大的營(yíng)運方法改變或財務(wù)信息處理方式改變等情況，或銀監會(huì )有監管需要時(shí)，應對內部控制整體情況進(jìn)行評價(jià)。
第六十二條 對內部控制體系存在缺失的評價(jià)對象，銀監會(huì )或其派出機構應對其內部控制體系的改進(jìn)情況進(jìn)行后續跟蹤，責令其針對評價(jià)發(fā)現的違規或風(fēng)險隱患制定糾正措施，并對糾正情況及有效性進(jìn)行檢查測試。
第六十三條 內部控制評價(jià)各階段涉及的有關(guān)記錄、表格、內部控制評價(jià)報告、銀監會(huì )或其派出機構的監管措施及跟蹤監管情況均應作為監管檔案妥善保管，評價(jià)結果應上報上級機構。
第七章 罰 則
第六十四條 根據評級結果及評價(jià)報告所反映情況，監管機構可針對被評價(jià)機構內部控制體系所存在問(wèn)題的性質(zhì)及嚴重程度分別采取以下一項或多項監管措施：
(一)約見(jiàn)被評價(jià)機構第一負責人或董事長(cháng)；
(二)就評價(jià)對象內部控制體系的薄弱環(huán)節和存在問(wèn)題所可能引發(fā)的風(fēng)險，向被評價(jià)機構進(jìn)行提示和警告；
(三)要求被評價(jià)機構對內部控制體系中存在的問(wèn)題進(jìn)行限期整改；
(四)加大對內部控制體系存在薄弱環(huán)節的機構或業(yè)務(wù)的現場(chǎng)檢查力度及頻率；
(五)建議更換有關(guān)管理層人員；
(六)取消有關(guān)管理層人員一定期限或終身銀行業(yè)從業(yè)資格；
(七)責令對內部控制體系存在嚴重缺失的業(yè)務(wù)進(jìn)行整頓或暫停辦理該項業(yè)務(wù)；
(八)延緩或拒絕受理增設分支機構、開(kāi)辦新業(yè)務(wù)的申請。
第六十五條 對內部控制評價(jià)中發(fā)現的評價(jià)對象的違規、違法行為，應根據有關(guān)規定，按照其違規、違法行為類(lèi)型及性質(zhì)，采取相應處罰措施。
第六十六條 未經(jīng)批準或許可，任何單位和個(gè)人不得對外公布對被評價(jià)機構的內部控制體系等級評定結果。凡擅自公布等級評定結果，造成重大不良影響的，要追究有關(guān)人員的責任。
第八章 附 則
第六十七條 商業(yè)銀行應根據本指引制定相應的實(shí)施細則并報銀監會(huì )或其派出機構備案。
第六十八條 本辦法涉及的重要名詞術(shù)語(yǔ)解釋如下：
(一)體系：相互關(guān)聯(lián)或相互作用的一組要素。內部控制體系的要素是內部控制環(huán)境、風(fēng)險識別與評估、內部控制措施、監督評價(jià)與糾正、信息交流與反饋五個(gè)過(guò)程。
(二)文件：信息及其承載媒體。媒體可以是紙張，計算機磁盤(pán)、光盤(pán)或其他電子媒體，或其組合；
(三)程序：為進(jìn)行某項活動(dòng)或過(guò)程所規定的途徑。程序可以形成文件，也可以不形成文件；當程序形成文件時(shí)，通常稱(chēng)為書(shū)面程序。
(四)風(fēng)險相關(guān)方：與商業(yè)銀行在風(fēng)險及其控制方面有利益關(guān)系的個(gè)人或團體。風(fēng)險相關(guān)方包括風(fēng)險直接承擔者和間接利害關(guān)系者，前者如商業(yè)銀行投資者、顧客或員工，后者如監管機構。
(五)內部控制績(jì)效：根據內部控制政策和目標，在控制風(fēng)險方面所取得的可測量的結果(績(jì)效測量包括內部控制活動(dòng)和結果的測量)。
(六)事故：造成損失的非預期事件。
(七)險情：可能造成損失的事件。
(八)違規：未滿(mǎn)足規定的要求，既可能是人員違規或疏忽造成的，也可能是其他客觀(guān)原因導致的。
(九)預防措施：為消除潛在違規或其他潛在不期望情況的原因所采取的措施。
(十)糾正措施：為消除己發(fā)現的違規或其他不期望情況的原因所采取的措施。
(十一)審核：確定活動(dòng)及其結果是否符合計劃的安排，以及計劃安排是否實(shí)施并適合于達到內部控制政策和目標的系統檢查。
第六十九條 本辦法適用于在中華人民共和國境內依法設立的國有商業(yè)銀行、股份制商業(yè)銀行、外資商業(yè)銀行、城市商業(yè)銀行、農村商業(yè)銀行、農村合作銀行和郵政儲蓄機構。對政策性銀行、城鄉信用社和非銀行金融機構的評價(jià)可參照本辦法執行。
第七十條 沒(méi)有進(jìn)行股份制改造的商業(yè)銀行、農村合作銀行和郵政儲蓄機構、政策性銀行、城鄉信用社和非銀行金融機構，應由高級管理層負責內部控制體系的建立、維護和改進(jìn)，并明確相對獨立的決策、監督和執行職責和權限。
第七十一條 本辦法由中國銀行業(yè)監督管理委員會(huì )負責解釋與修訂。
第七十二條 本辦法自發(fā)布之日起施行。
