第一篇：商业银行内部控制评价试行办法
中国银行业监督管理委员会关于加大防范操作风险工作力度的通知
1．切实加强稽核建设 单选：
在加强商业银行的稽核建设中，（）和稽核部门应对业务单位，特别是基层业务单位组织实施独立的、交叉的突击检查。B A．会计部门 B．业务主管部门 C．监管部门 D．业务部门 多选：
下列关于加强稽核建设的说法，正确的有（）。ABCD A．要不断完善稽核体制，充实稽核力量 B．加强对稽核队伍的培训，提高政治业务素质
C．总行及相关上级行要对跟踪检查制度的执行情况进行监督和评价 D．要建立对疑点和薄弱环节的持续跟踪检查制度 判断：
总行及相关下级行要对跟踪检查制度的执行情况进行监督和评价，要强调有效性、严肃性和独立性。错误
2．加强对基层行合规性监督的措施 单选：
对权力过大而监督管理又不到位的基层行，要重点加强监督，促其及时整改，这个监督措施属于对基层监管的（）措施。C A．防范操作风险的规章制度建设 B．切实加强稽核建设 C．加强对基层行的合规性监督
D．建立和实施基层主管轮岗轮调和强制性休假制度 多选：
下列选项中，属于加强对基层行合规性监督的措施有（）。ABC A．对权力过大而监督管理又不到位的基层行，要重点加强监督，促其及时整改 B．要加强对权力的监管和监控 C．防止权力滥用和监督缺位
D．要建立对疑点和薄弱环节的持续跟踪检查制度 3．行务管理公开制度 多选：
下列关于商业银行坚持相关行务管理公开制度的说法，正确的有（）。ABC A．对薄弱环节要定期自我评估，并请外审机构进行独立评估 B．要进一步扩大社会和新闻舆论对银行的监督 C．通过公众监督，防止银行懈怠操作风险管理
D．通过监管机构监督，防止管理人员玩忽职守和滥用权力 4．订立职责制，明确总行及各级分支机构责任 多选：
关于订立职责制，明确总行及各级分支机构责任的措施中，说法正确的有（）。ABCD A．各级管理人员特别是各行主要负责人和分管的高管人员，要认真履责，敢抓敢管，以身作则
B．对出现大案、要案，或措施不得力的，要从严追究高管人员和直接责任人责任 C．订立职责制，形成明确的制度保障
D．反复发生大案要案，问题长期得不到有效解决的单位，要从严追究有关高管人员和管理人员的法律责任 判断：
对出现大案、要案，或措施不得力的，要从严追究高管人员和直接责任人责任，并相应追究稽核部门及人员的责任。正确
反复发生大案要案，问题长期得不到有效解决的单位，要从严追究有关高管人员和管理人员的法律责任。正确
5．严格规范重要岗位和敏感环节工作人员八小时内外的行为 单选：
为严格规范重要岗位和敏感环节工作人员八小时内外的行为，（）应就这些岗位、环节工作人员的买卖股票行为建立内部报告制度。D A．审计部门 B．业务部门 C．会计部门 D．稽核部门 多选：
下列关于严格规范重要岗位和敏感环节工作人员八小时内外行为的说法，正确的有（）。ACD A．建立相应的行为失范监察制度
B．会计部门应就这些岗位、环节工作人员的买卖股票行为建立内部报告制度 C．发现有涉黄、涉赌、涉毒、以及未报告的股票买卖和经商办企业等行为的，要即行调离原岗位，并对其进行审计
D．要及时、深入了解情况，对行为失范的员工要及时进行教育，情节严重的，要依法依规严肃处理 判断：
发现有涉黄、涉赌、涉毒以及未报告的股票买卖和经商办企业等行为的，要即行调离原岗位，并对其进行审计。正确 6．银行与客户、银行与银行、银行内部的对账制度 多选：
商业银行应加强和完善（）之间的适时对账制度，对对账频率、对账对象、可参与对账人员等做出明确规定。BCD A．客户与客户 B．银行与银行 C．银行内部业务台账与会计账 D．银行与客户 7．新客户大额存款和开设账户遵循的原则 单选：
商业银行对（），要严格遵循“了解你的客户”和“了解你的客户业务”的原则，洞察和了解该客户的一切主要情况，了解其业务及财务管理的基本状况和变化。B A．大额出账和走账 B．新客户大额存款和开设账户 C．所有客户出账业务的用途 D．客户对账 判断：
对新客户大额存款和开设账户，要严格遵循公开、公正的原则，洞察和了解该客户的一切主要情况，了解其业务及财务管理的基本状况和变化。错误
（七）商业银行操作风险管理指引
1．总则
（1）操作风险的含义 单选：
（）是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成商业银行损失的风险。A A．操作风险 B．市场风险 C．法律风险 D．信用风险 2．操作风险管理
（1）操作风险管理体系包括的基本要素 多选：
操作风险管理体系的具体形式不要求统一，但至少应包括的要素有（）。ABCD A．董事会的监督控制 B．高级管理层的职责
C．适当的组织架构 D．操作风险管理政策、方法和程序 判断：
操作风险管理体系的具体形式要求统一。错误（2）商业银行董事会、高级管理层对操作风险的主要职责 单选：
商业银行的（）应将操作风险作为商业银行面对的一项主要风险，并承担监控操作风险管理有效性的最终责任。B A．高级管理层 B．董事会 C．股东 D．业务主管 多选：
商业银行董事会在操作风险管理方面的职责主要包括（）。ABC A．制定与本行战略目标相一致且适用于全行的操作风险管理战略和总体政策 B．定期审阅高级管理层提交的操作风险报告，充分了解本行操作风险管理的总体情况、高级管理层处理重大操作风险事件的有效性以及监控和评价日常操作风险管理的有效性
C．制定适当的奖惩制度，在全行范围有效地推动操作风险管理体系的建设 D．确保本行操作风险管理体系接受业务部门的监督检查
商业银行高级管理层在操作风险管理方面的职责主要包括（）。ACD A．在操作风险的日常管理方面，对董事会负最终责任
B．建立并组织实施操作风险识别、评估、缓释（包括内部控制措施）和监测方法以及全行的操作风险报告程序
C．及时对操作风险管理体系进行检查和修订,定期向董事会提交操作风险总体情况的报告
D．为操作风险管理配备适当的资源
（3）操作风险管理部门、相关部门、内审部门对操作风险管理的主要职责 多选：
商业银行操作风险管理部门的职责主要包括（）。ABC A．拟定本行操作风险管理政策、程序和具体的操作规程，提交高级管理层和董事会审批
B．协助其他部门识别、评估、监测、控制及缓释操作风险
C．建立并组织实施操作风险识别、评估、缓释和监测方法以及全行的操作风险报告程序
D．监测关键风险指标，定期通报本部门操作风险管理的总体状况，并及时通报重大操作风险事件
商业银行相关部门对操作风险的管理情况负直接责任，主要职责包括（）。ABD A．指定专人负责操作风险管理，其中包括遵守操作风险管理的政策、程序和具体的操作规程
B．根据本行统一的操作风险管理评估方法，识别、评估本部门的操作风险，并建立持续、有效的操作风险监测、控制/缓释及报告程序
C．建立适用全行的操作风险基本控制标准 D．监测关键风险指标，定期向负责操作风险管理的部门或牵头部门通报本部门操作风险管理的总体状况，并及时通报重大操作风险事件 判断：
商业银行的内审部门直接负责或参与其他部门的操作风险管理。错误（4）操作风险管理政策与方法 多选：
商业银行操作风险管理政策的主要内容包括（）。ABCD A．操作风险的定义
B．适当的操作风险管理组织架构、权限和责任 C．操作风险的识别、评估、监测和控制/缓释程序 D．操作风险报告程序
商业银行制定的操作风险管理政策应当与银行业务的（）相适应。ABCD A．性质 B．规模 C．复杂程度 D．风险特征
商业银行对操作风险进行管理的具体方法主要包括（）。ABCD A．评估操作风险和内部控制
B．损失事件的报告和数据收集 C．关键风险指标的监测 D．内部控制的测试和审查 判断：
商业银行制定的操作风险管理政策只需与银行的业务性质和风险特征相适应。错误（5）商业银行操作风险管理的有效手段及措施 单选：
商业银行应当将加强（）作为操作风险管理的有效手段。B A．外部控制 B．内部控制 C．文件控制 D．记录控制 多选：
商业银行应当将加强内部控制作为操作风险管理的有效手段，与此相关的内部措施至少应当包括（）。ABCD A．密切监测遵守指定风险限额或权限的情况 B．对接触和使用银行资产的记录进行安全监控
C．员工具有与其从事业务相适应的业务能力并接受相关培训 D．识别与合理预期收益不符及存在隐患的业务或产品 判断：
商业银行应当将加强内部控制作为操作风险管理的有效手段。正确（6）制定与外包业务有关的风险管理政策的注意事项 多选：
下列关于商业银行制定与外包业务有关风险管理政策的说法，正确的有（）。ABC A．确保业务外包有严谨的合同 B．确保业务外包有严谨的服务协议 C．各方的责任义务规定明确
D．为操作风险提取充足的资本 判断：
商业银行应当制定与外包业务有关的风险管理政策，确保业务外包有严谨的合同和服务协议、各方的责任义务规定明确。正确 3．操作风险监管
（1）商业银行及时向银监会或其派出机构报告的重大操作风险事件 单选：
对于抢劫商业银行或运钞车（）万元以上的案件，商业银行应及时向银监会或其派出机构报告。C A．100 B．50 C．30 D．10 多选：
商业银行应及时向银监会或其派出机构报告的重大操作风险事件有（）。BC A．抢劫商业银行或运钞车、盗窃银行业金融机构现金20万元以上的案件 B．盗窃、出卖、泄漏或丢失涉密资料，可能影响金融稳定，造成经济秩序混乱的事件
C．高管人员严重违规
D．发生不可抗力导致严重损失，造成直接经济损失500万元以上的事故、自然灾害
（2）银监会对商业银行有关操作风险管理的检查的主要内容 单选：
银监会对商业银行有关操作风险管理程序的（）进行定期的检查评估。B A．充分性 B．有效性 C．全面性 D．统一性 多选：
银监会对商业银行有关操作风险管理的政策、程序和做法进行定期的检查评估，其内容主要包括（）。ABCD A．商业银行操作风险管理程序的有效性
B．商业银行及时有效处理操作风险事件和薄弱环节的措施 C．商业银行灾难恢复和业务连续方案的质量和全面性 D．计提的抵御操作风险所需资本的充足水平判断： 银监会应对商业银行有关操作风险管理的政策、程序和做法进行定期的检查评估。正确 4．附则-附录
（1）操作风险事件的含义 单选：
商业银行的（）是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部因素所造成财务损失或影响银行声誉、客户和员工的事件。B A．信用风险事件 B．操作风险事件 C．法律风险事件 D．声誉风险事件 多选：
商业银行操作风险的具体事件包括（）。ABCD A．内部欺诈 B．就业制度和工作场所安全 C．客户、产品和业务活动 D．实物资产的损坏 判断：
操作风险事件不包括由于外部因素所造成财务损失或影响银行声誉、客户和员工的事件。错误
（2）商业银行用于识别、评估操作风险的常用工具 单选：
商业银行用于识别、评估操作风险的常用工具中，（）是代表某一风险领域变化情况并可定期监控的统计指标。B A．操作风险事件 B．关键风险指标
C．自我风险评估 D．操作风险所需资本充足水平多选：
商业银行用于识别、评估操作风险的常用工具主要有（）。BC A．操作风险事件 B．关键风险指标
C．自我风险评估 D．操作风险所需资本充足水平判断：
关键风险指标可用于监测可能造成损失事件的各项风险及控制措施，并作为反映风险变化情况的早期预警指标。正确（3）法律风险包括的内容 单选：
商业银行的（）包括但不限于下列风险：商业银行签订合同因违反法律或行政法规可能被依法撤销或者确认无效的；商业银行因违约、侵权或者其他事由被提起诉讼或者申请仲裁，依法可能承担赔偿责任的等。C A．信用风险 B．市场风险 C．法律风险 D．操作风险 多选：
下列选项中，属于商业银行法律风险的有（）。ACD A．商业银行签订的合同因违反法律法规可能被依法撤销或者确认无效的 B．商业银行因不完善或有问题的内部程序所财务损失的
C．商业银行因违约、侵权被提起诉讼或者申请仲裁，依法可能承担赔偿责任的 D．商业银行的业务活动违反法律或行政法规，依法可能承担行政责任或刑事责任的
（八）商业银行合规风险管理指引
1．总则
（1）合规、合规风险、合规管理部门的含义 单选：
（）是指商业银行因没有遵循法律、规则和准则可能遭受法律制裁、监管处罚、重大财务损失和声誉损失的风险。B A．信用风险 B．合规风险 C．市场风险 D．操作风险 多选：
《商业银行合规风险管理指引》所称的合规，是指使商业银行的经营活动应与（）相一致。ABD A．法律 B．规则 C．计划 D．准则
《商业银行合规风险管理指引》所称的法律、规则和准则，应主要包括适用于银行业经营活动的（）。ABCD A．法律、行政法规、部门规章 B．自律性组织的行业准则 C．经营规则 D．行为守则和职业操守 判断：
风险管理部门，是指商业银行内部设立的专门负责合规管理职能的部门、团队或岗位。错误
合规管理部门，是指商业银行内部设立的专门负责合规管理职能的部门、团队或岗位。正确
（2）合规管理的内容 多选：
商业银行在合规管理中，应综合考虑合规风险与（）的关联性，确保各项风险管理政策和程序的一致性。ABCD A．信用风险 B．市场风险 C．操作风险 D．其他风险 下列关于商业银行合规管理的说法，正确的有（）。ABCD A．合规管理是商业银行一项核心的风险管理活动
B．商业银行应综合考虑合规风险与信用风险、市场风险的关联性 C．商业银行应综合考虑合规风险与操作风险的关联性 D．确保各项风险管理政策和程序的一致性（3）合规风险管理的目标 多选：
商业银行合规风险管理的目标主要包括（）。ABCD A．建立健全合规风险管理框架 B．实现对合规风险的有效识别和管理 C．促进全面风险管理体系建设 D．确保依法合规经营 判断：
商业银行法律风险管理的目标是通过建立健全合规风险管理框架，实现对风险的有效识别和管理，促进全面风险管理体系建设，确保依法合规经营。错误（4）合规文化建设 单选：
商业银行应加强合规文化建设，并将合规文化建设融入（）的全过程。A A．企业文化建设 B．操作风险管理 C．合规风险管理 D．法律风险管理 多选：
下列关于商业银行合规建设的说法，正确的有（）。ACD A．董事会和高级管理层应确定合规的基调 B．合规主要是商业银行董事会和高级管理层的责任 C．在全行推行诚信与正直的职业操守和价值观念 D．提高全体员工的合规意识
2．董事会、监事会和高级管理层的合规管理职责（1）合规风险管理体系的基本要素 多选：
下列选项中，属于商业银行合规风险管理体系基本要素的有（）。ACD A．合规政策 B．审计部门的组织结构和资源 C．合规风险管理计划 D．合规风险识别和管理流程 判断：
合规风险管理体系应包括合规政策、风险管理部门的组织结构和资源、合规培训与教育制度等基本要素。错误（2）合规政策的内容 多选：
商业银行的合规政策应明确（）需要遵守的基本原则，以及识别和管理合规风险的主要程序。BD A．风险管理部门 B．所有员工 C．董事会和高级管理层 D．业务条线
下列选项中，属于商业银行合规政策内容的有（）。ABCD A．合规管理部门的功能、职责与权限
B．合规管理部门与风险管理部门、内部审计部门等其他部门之间的协作关系 C．设立业务条线和分支机构合规管理部门的原则
D．确保合规负责人和合规管理人员的合规管理职责与其承担的任何其他职责之间不产生利益冲突 判断：
商业银行的合规政策包括合规管理部门与风险管理部门、内部审计部门等其他部门之间的协作关系。正确
（3）董事会、高级管理层的合规管理职责 单选：
（）负责识别商业银行所面临的主要合规风险，审核批准合规风险管理计划，确保合规管理部门与风险管理部门、内部审计部门以及其他相关部门之间的工作协调。C A．董事会 B．监事会 C．高级管理层 D．合规负责人 多选：
高级管理层应履行的合规管理职责主要包括（）。AB A．贯彻执行合规政策，确保发现违规事件时及时采取适当的纠正措施，并追究违规责任人的相应责任
B．任命合规负责人，并确保合规负责人的独立性 C．对商业银行管理合规风险的有效性作出评价
D．授权审计委员会对商业银行合规风险管理进行日常监督
董事会对商业银行经营活动的合规性负最终责任，应履行的合规管理职责主要包括（）。AC A．审议批准商业银行的合规政策，并监督合规政策的实施
B．明确合规管理部门及其组织结构，为其履行职责配备充分和适当的合规管理人员
C．商业银行章程规定的其他合规管理职责 D．及时向监事会报告任何重大违规事件 判断：
监事会负责制定书面的合规政策，并根据合规风险管理状况以及法律、规则和准则的变化情况适时修订合规政策，报经董事会审议批准后传达给全体员工。错误（4）合规风险评估报告包括的内容 单选：
（）包括报告期合规风险状况的变化情况、已识别的违规事件和合规缺陷、已采取的或建议采取的纠正措施等。B A．合规风险管理体系 B．合规风险评估报告 C．合规风险反馈报告 D．合规风险管理计划 多选：
商业银行合规风险评估报告应包括的内容主要有（）。ABCD A．报告期合规风险状况的变化情况 B．已识别的违规事件 C．已识别的合规缺陷 D．已采取的或建议采取的纠正措施 判断：
合规风险评估报告包括但不限于以下内容：报告期合规风险状况的变化情况、已识别的违规事件和合规缺陷、已采取的或建议采取的纠正措施。正确
合规负责人不得分管业务条线。正确（5）商业银行的绩效考核体现的内容 单选：
商业银行的（）应体现倡导合规和惩处违规的价值观念。A A．合规绩效考核 B．合规风险管理 C．合规风险评估 D．合规风险识别 多选：
商业银行合规绩效考核制度应体现（）的价值观念。BC A．公平竞争 B．倡导合规 C．惩处违规 D．诚实守信 3．合规管理部门职责（1）合规管理部门的基本职责 单选：
（）应持续关注法律、规则和准则的最新发展，正确理解法律、规则和准则的规定及其精神，准确把握法律、规则和准则对商业银行经营的影响，及时为高级管理层提供建议。D A．风险管理部门 B．审计管理部门 C．会计部门 D．合规管理部门 多选：
商业银行合规管理部门应履行的基本职责有（）。ABCD A．制定并执行风险为本的合规管理计划 B．协助相关培训和教育部门对员工进行合规培训
C．积极主动地识别和评估与商业银行经营活动相关的合规风险 D．收集、筛选可能预示潜在合规问题的数据
商业银行合规管理部门制定并执行风险为本的合规管理计划，其内容主要包括（）。ABCD A．特定政策和程序的实施与评价 B．合规风险评估 C．合规性测试 D．合规培训与教育 判断：
合规管理部门应在高级管理层的管理下协助合规负责人有效识别和管理商业银行所面临的合规风险。错误
商业银行各业务条线和分支机构的负责人应对本条线和本机构经营活动的合规性负首要责任。正确
（2）合规管理方面的协作机制 判断：
商业银行应建立合规管理部门与风险管理部门在合规管理方面的协作机制。正确（3）合规管理职能与内部审计职能分离机制 单选：
商业银行合规管理职能的履行情况应受到（）定期的独立评价。A A．内部审计部门 B．风险管理部门 C．法律部门 D．会计部门 判断：
商业银行合规管理职能应与风险管理部门职能分离，合规管理职能的履行情况应受到风险管理部门定期的独立评价。错误
商业银行合规管理职能应与内部审计职能分离，合规管理职能的履行情况应受到内部审计部门定期的独立评价。正确（4）内部审计方案的内容 单选：
商业银行应明确合规管理部门与内部审计部门在合规风险评估和合规性测试方面的职责。内部审计部门应随时将合规性审计结果告知（）。B A．监事会 B．合规负责人 C．董事会 D．高级管理层 多选：
商业银行的内部审计方案应包括合规管理职能的（）的审计评价。BC A．全面性 B．适当性 C．有效性 D．充分性 判断：
风险管理部门应负责商业银行各项经营活动的合规性审计。错误（5）董事会和高级管理层应对合规管理部门工作的外包遵循的要求 多选：
（）应对合规管理部门工作的外包遵循法律、规则和准则负责。AD A．董事会 B．监事会 C．风险管理部门 D．高级管理层 判断：
商业银行应确保任何合规管理部门工作的外包安排都受到合规负责人的适当监督，不妨碍银监会的有效监管。正确 4．合规风险监管
（1）商业银行风险相关情况的报告制度 单选：
商业银行在合规负责人离任后的（）个工作日内，应向银监会报告离任原因等有关情况。C A．三 B．五 C．十 D．十五 多选：
下列关于商业银行合规风险监管的说法，正确的有（）。BCD A．商业银行应及时将合规政策、合规管理程序和合规指南等内部制度向银监会报批
B．商业银行应及时向银监会报送合规风险管理计划和合规风险评估报告 C．商业银行发现重大违规事件应按照重大事项报告制度的规定向银监会报告 D．商业银行任命合规负责人，应按有关规定报告银监会 判断：
商业银行任命合规负责人，不需报告银监会。错误（2）银监会对商业银行合规风险管理的分类监管的重要依据 单选：
银监会应定期对商业银行合规风险管理的（）进行评价，评价报告作为分类监管的重要依据。B A．全面性 B．有效性 C．充分性 D．审慎性 判断：
银监会应定期对商业银行合规风险管理的有效性进行评价，评价方法作为分类监管的重要依据。错误
（3）确定合规风险现场检查的频率、范围和深度的依据及检查的内容 多选： 银监会应根据商业银行的合规记录及合规风险管理评价报告，确定合规风险现场检查的（）。ABD A．频率 B．范围 C．地点 D．深度
银监会应根据商业银行的合规记录及合规风险管理评价报告，确定合规风险现场检查的频率、范围和深度，检查的主要内容包括（）。ABCD A．商业银行合规风险管理体系的适当性和有效性
B．商业银行董事会和高级管理层在合规风险管理中的作用
C．商业银行绩效考核制度、问责制度和诚信举报制度的适当性和有效性 D．商业银行合规管理职能的适当性和有效性 判断：
银监会应根据商业银行的合规记录及合规风险管理评价报告，确定合规风险现场检查的地点、范围和深度，检查商业银行合规管理职能的充分性和风险性。错误
（九）商业银行授权、授信管理暂行办法
1．总则
（1）商业银行的法人授权管理制度 单选：
商业银行必须建立法人授权管理制度，实行（）法人体制。D A．四级 B．三级 C．二级 D．一级 多选：
商业银行必须建立法人授权管理制度，应在法定经营范围内对有关的（）进行授权。BCD A．控股公司 B．业务职能部门 C．分支机构 D．关键业务岗位 判断：
目前，我国商业银行实行二级法人体制。错误（2）授权与授信的含义 单选：
（）是指商业银行对其所属业务职能部门、分支机构和关键业务岗位开展业务权限的具体规定。B A．授信 B．授权 C．额度 D．担保 多选：
商业银行授信的具体范围包括（）。ABCD A．贷款 B．贴现 C．承兑 D．担保 判断： 受权，是指商业银行对其所属业务职能部门、分支机构和关键业务岗位开展业务权限的具体规定。错误（3）授权人与受权人 单选：
在商业银行授权、授信活动中，（）为商业银行的业务职能部门和分支机构。B A．受权人或受信人 B．受权人 C．受信人 D．授权人 多选：
下列关于商业银行授权、授信的说法，正确的有（）。ABC A．授权人为商业银行总行
B．授信人为商业银行业务职能部门和分支机构 C．受权人为商业银行业务职能部门和分支机构 D．受信人为商业银行总行 判断：
在商业银行授权、授信活动中，授权人为商业银行业务职能部门和商业银行分支机构。错误
（4）商业银行对其业务职能部门和分支机构授权遵循的原则 多选：
商业银行对其业务职能部门和分支机构授权应遵循的原则有（）。BCD A．应在法定经营范围内，对其业务职能部门和分支机构实行总行授权
B．应根据各业务职能部门和分支机构的经营管理水平、风险控制能力、主要负责人业绩等，实行区别授权
C．应根据各业务职能部门和分支机构的经营管理业绩、风险状况、授权制度执行情况及主要负责人任职情况，及时调整授权
D．业务职能部门和分支机构超越授权，应视越权行为性质和所造成的经济损失，追究主要负责人及直接责任人相应的责任
商业银行应根据各业务职能部门和分支机构的（）等情况，及时调整授权。ABD A．经营管理业绩 B．风险状况
C．授信制度执行情况 D．主要负责人任职情况 判断：
商业银行业务职能部门和分支机构超越授权，应视越权行为性质和所造成的经济损失，追究主要负责人及直接责任人相应的责任。主要负责人离开现职时，必须要有本级部门做出的离任审计报告。错误（5）商业银行对其业务职能部门和分支机构所辖服务区及其客户授信遵循的原则 多选：
商业银行对其业务职能部门和分支机构所辖服务区及客户授信应遵循的原则有（）。ABD A．根据不同地区的经济发展水平、经济和金融管理能力、信贷资金占用和使用情况、金融风险状况等因素，实行区别授信
B．根据不同客户的经营管理水平、资产负债比例情况、贷款偿还能力等因素，确定不同的授信额度
C．各地区和客户的授信额度可以长期不调整
D．在确定的授信额度内，根据当地及客户的实际资产需要、还款能力、信贷政策和银行提供贷款的能力，具体确定每笔贷款的额度和实际贷款总额 判断：
授信额度不是计划贷款额度，而是分配的贷款规模。错误 2．授权、授信的方式
（1）商业银行授权、授信的两种方式 单选：
（）是指商业银行对法定经营范围内的特殊业务，如创新业务、特殊融资项目所规定的权限。B A．基本授权 B．特别授权 C．基本授信 D．特别授信
（）是指商业银行对法定经营范围内的常规业务经营所规定的权限。A A．基本授权 B．特别授权 C．基本授信 D．特别授信 多选：
商业银行授权、授信可分为（）两种方式。AB A．基本授权、授信 B．特别授权、授信 C．全部授权、授信 D．部分授权、授信 判断：
基本授信是指商业银行根据国家政策、市场情况变化及客户特殊需要，对特殊融资项目及超过基本授信额度所给予的授信。错误（2）商业银行授权的两个层次 多选：
商业银行的授权可分为（）两个层次。AB A．直接授权 B．转授权 C．一般授权 D．特殊授权 判断：
转授权是指商业银行总行对总行有关业务职能部门和管辖分行的授权。错误（3）商业银行转授权与原授权的关系 多选：
下列关于商业银行转授权与原授权关系的说法，正确的有（）。AD A．商业银行的授权不得超过银监会核准的业务经营范围 B．商业银行的转授权不得小于原授权
C．商业银行的授权可以超过银监会核准的业务经营范围 D．商业银行的转授权不得大于原授权 判断：
商业银行的授权不得超过银监会核准的业务经营范围。正确（4）授权书、授信书的内容 多选：
商业银行授信书应包括的内容主要有（）。AB A．授信人全称 B．受信人全称 C．授权范围 D．授权限期 判断：
授权书应包括授权人全称和法定代表人姓名、受权人全称和主要负责人姓名等。正确
3．授权、授信的范围
（1）基本授权、特别授权的范围 单选：
商业银行（）的范围包括营运资金的经营权限、单笔贷款（贴现）及贷款总额审批权限、证券买卖权限、利率浮动权限等。A 多选：
下列选项中，属于商业银行基本授权范围的有（）。ABC A．营运资金的经营权限
B．单笔贷款（贴现）及贷款总额审批权限 C．单笔承兑和承兑总额审批权限 D．业务创新权限 判断：
商业银行基本授权的范围包括辖区内资金调度权限、利率浮动权限、经济纠纷处理权限和业务创新权限。错误（2）基本授信、特别授信的范围 单选：
商业银行（）的范围应包括全行对各个地区的最高授信额度、全行对单个客户的最高授信额度及单个分支机构对所辖服务区的最高授信额度。C A．基本授权 B．特别授权 C．基本授信 D．特别授信
商业银行（）范围包括因地区、客户情况的变化需要增加的授信、因国家货物信贷政策和市场的变化及特殊项目融资的临时授信等。D A．基本授权 B．特别授权 C．基本授信 D．特别授信 多选：
下列选项中，属于商业银行基本授信范围的有（）。BCD A．特殊项目融资的临时授信 B．全行对各个地区的最高授信额度 C．全行对单个客户的最高授信额度
D．单个分支机构对所辖服务区的最高授信额度 判断：
特别授信范围包括因地区、客户情况的变化需要增加的授信，因国家货物信贷政策和市场的变化，超过基本授信所追加的授信及单个分支机构对所辖服务区的最高授信额度。错误
（3）对客户授信的报告、统计、监督制度 单选：
各行不同业务部门和分支机构同一地区及同一客户的授信额度之和，（）全行对该地区及客户的最高授信额度。A A．不得超过 B．不得小于 C．大于 D．等于 多选：
下列关于商业银行授信的说法，正确的有（）。ABC A．各商业银行应建立对客户授信的报告、统计、监督制度
B．各行不同业务部门和分支机构同一地区及同一客户的授信额度之和不得超过全行对该地区及客户的最高授信额度
C．各行不同业务部门和分支机构同一地区及同一客户的授信额度之和可以小于全行对该地区及客户的最高授信额度
D．各行不同业务部门和分支机构同一地区及同一客户的授信额度之和可以超过全行对该地区及客户的最高授信额度 判断：
各行不同业务部门和分支机构同一地区及同一客户的授信额度之和可以超过全行对该地区及客户的最高授信额度。错误 4．授权、授信的期限、调整与终止（1）商业银行授权和授信的有效期 单选： 商业银行授权和授信的有效期均为（）。B A．半年 B．1年 C．2年 D．3年（2）授权人应调整以至撤销授权的情况 多选：
商业银行授权、授信活动中，授权人应调整以至撤销授权的情形主要有（）。ABC A．受权人发生重大越权行为 B．受权人失职造成重大经营风险 C．经营环境发生重大变化 D．受权人发生分立、合并（3）原授权应终止的情况 多选：
商业银行授权、授信活动中，原授权应终止的情形主要有（）。BCD A．受权人发生重大越权行为 B．受权权限被撤销 C．受权人发生分立、合并或被撤销 D．授权期限已满 判断：
商业银行授权、授信活动中，如果授权期限已满，则原授权应终止。正确（4）商业银行应调整直至取消授信额度的情况 多选：
商业银行授权、授信活动中，商业银行应调整直至取消授信额度的情形主要有（）。ABCD A．受信地区发生或潜伏重大金融风险 B．受信企业发生重大经营困难和风险 C．市场发生重大变化 D．货币政策发生重大调整 判断：
当出现企业机制发生重大变化（包括分立、合并、终止等）、企业还款信用下降等情况时，原授权应终止。错误
（5）商业银行对授权、授信进行调整或授权、授信终止的报备 5．授权、授信的监督管理
（1）对其内部授权执行情况进行全面检查的频率（2）稽核监察部门对授权、授信的职责
（3）向人行报送授权、授信实施及风险情况的报告（4）商业银行制定授权、授信制度的要求 多选：
商业银行制定授权、授信制度应与其他内部管理制度相协调，形成（）的内部控制制度。BCD A．公开透明 B．权责一致 C．相互制约 D．相互补充 6．罚则
（1）商业银行对受权人超越授权范围等行为给予的处分
（十）商业银行实施统一授信制度指引 1．统一授信、最高综合授信额度的含义 单选：
商业银行对单一法人客户提供的各类信用余额之和（）该客户的最高综合授信额度。C A．可以超过 B．等于 C．不得超过 D．不得小于 多选：
下列关于统一授信、最高综合授信额度的说法，正确的有（）。AC A．统一授信是指商业银行对单一法人客户或地区统一确定最高综合授信额度，并加以集中统一控制的信用风险管理制度
B．统一授信包括贷款、贸易融资、贴现、承兑、信用证、保函、担保等表内外信用发放形式的本币综合授信
C．最高综合授信额度是指商业银行在对单一法人客户的风险和财务状况进行综合评估的基础上，确定的能够和愿意承担的风险总量
D．银行对单一法人客户提供的各类信用余额之和可以超过该客户的最高综合授信额度
2．实施统一授信制度要求的四个统一 多选：
下列选项中，属于商业银行统一授信要做到的“四个统一”的有（）。BCD A．授信客体的统一 B．授信形式的统一 C．授信对象的统一 D．不同币种授信的统一 判断：
不同币种授信的统一，要做到本外币授信的统一，将对本币业务的授信和外币业务的授信置于不同授信额度之下。错误
3．确定对法人客户的最高授信额度时考虑的担保因素 判断：
商业银行对每一个法人客户都应确定一个最高授信额度。商业银行在确定对法人客户的最高授信额度的同时，应根据风险程度获得相应的抵押。错误 4．集团各个法人设定的最高授信额度与总体最高授信额度的关系 多选：
下列关于集团各个法人设定的最高授信额度与总体最高授信额度的说法，正确的有（）。AD A．对由多个法人组成的集团公司客户，商业银行应确定一个对该集团客户的总体最高授信额度
B．对跨国集团公司客户，商业银行应确定一个对该集团客户的总体最低授信额度 C．商业银行对该集团各个法人设定的最高授信额度之和不得小于总体最高授信额度
D．商业银行对该集团各个法人设定的最高授信额度之和不得超过总体最高授信额度 判断：
商业银行对集团各个法人设定的最高授信额度之和不得小于总体最高授信额度。错误
5．风险分析、评估模型的定性标准的内容 多选：
商业银行风险分析、评估模型的定性标准应包括的内容主要有（）。ABCD
A．客户的风险状况 B．银行的风险状况
C．外部经济、金融环境 D．自然因素 判断：
商业银行的风险分析、评估模型的定性标准中，客户的风险状况是指包括客户行业的发展现状和前景、市场所占份额、国家风险等。错误 6．授信管理组织机构的设置原则 单选：
商业银行授信管理组织机构设置的原则是（）。B A．规范透明 B．审贷分离 C．公开公正 D．诚实守信 多选：
下列关于商业银行授信管理的说法，正确的有（）。ABD A．应根据统一授信管理制度的要求设置相应的组织机构和职能部门 B．组织机构的设置应体现审贷分离原则 C．授信额度审批部门与执行部门相互兼容 D．形成健全的内部制约机制
7．统一授信审核、批准部门与执行部门的协调运作 单选： 下列选项中，属于由信贷管理部门负责的是（）。A A．各种具体授信形式的发放审批 B．授信形式发放的业务操作 C．相应的风险防范 D．相应的风险处置 8．统一授信的审批程序的流程 多选：
商业银行应确定统一授信的审批程序，审批程序应包括（）的全过程。ABCD A．信息收集 B．信息核实 C．授信审核 D．授信审批 判断：
商业银行应确定统一授信的审批程序，包括信息收集、核实，授信审核、审批的全过程。正确
9．人行对商业银行统一授信管理方式的监督时重点审查的内容 10．人行对没有实行统一授信管理方式的商业银行的处理措施
（十一）商业银行授信工作尽职指引 1．总则
（1）授信的含义与分类 多选：
授信按照期限可以划分为（）。BC A．表内授信 B．短期授信 C．中长期授信 D．表外授信 下列选项中，属于表内授信的主要有（）。ABC A．贷款 B．项目融资 C．透支 D．贷款承诺 判断：
《商业银行授信工作尽职指引》规定，授信包括对自然人客户和对非自然人客户的表内外授信。错误
短期授信是指一年以内（含一年）的授信，中长期授信指一年以上的授信。正确 2．客户调查和业务受理尽职要求 单选：
下列关于商业银行授信客户调查和业务受理尽职要求的说法，错误的是（）。C A．应根据本行确定的业务发展规划及风险战略，拟定明确的目标客户 B．应根据授信种类搜集客户基本资料，建立客户档案
C．不得向社会中介机构索取相关资料，来验证客户提供材料的真实性 D．对从其他商业银行获得的授信信息，应注意保密，不得用于不正当业务竞争 多选：
商业银行在对授信客户的调查中，应对客户提供的身份证明、授信主体资格、财务状况等资料的（）进行认真核实，并将核实过程和结果以书面形式记载。ABD A．合法性 B．真实性 C．完整性 D．有效性 3．分析与评价尽职要求（1）分析评价尽职要求 单选：
下列关于商业银行对授信客户进行分析评价的说法，错误的是（）。C A．根据不同授信品种特点，对授信业务进行分析评价，重点关注影响授信安全的因素
B．认真评估客户财务报表，对影响客户财务状况的各项因素进行分析评价
C．对客户的非财务因素进行分析评价，以预测客户未来的财务和经营管理情况 D．应对客户的信用等级进行评定 多选：
下列关于商业银行对授信客户分析评价报告的说法，正确的有（）。ABD A．应详细注明客户的经营、管理、财务、行业和环境等状况 B．分析评价报告内容应真实、简洁、明晰 C．分析评价报告报出后不得更改
D．分析评价报告报出后，不得在原稿上作原则性更改
商业银行应对授信客户的第二还款来源进行分析评价，以确认（）。ABCD A．保证人享有保证主体资格 B．保证人具有代为清偿债务能力
C．抵押具有合法性、充分性和可实现性 D．质押具有合法性、充分性和可实现性 判断：
商业银行应对授信客户的第一还款来源进行分析评价，以确认保证人的保证主体资格和代偿能力，以及抵押、质押的合法性、充分性和可实现性。错误（2）商业银行应重新进行授信分析评价的重大事项 多选：
在客户信用等级和客户评价报告有效期内，对发生（）等重大事项的，商业银行应重新进行授信分析评价。ABCD A．客户在其他银行交叉违约的历史记录 B．客户组织结构或主要领导人发生变动 C．客户的担保超过所设定的担保警戒线 D．客户涉及重大诉讼 判断：
在客户信用等级和客户评价报告有效期内，客户财务收支能力发生重大变化的，商业银行应重新对该客户进行授信分析评价。正确 4．授信决策与实施尽职要求
（1）商业银行不得进行授信的业务范围 多选：
商业银行不得对以下（）等用途的业务进行授信。BCD A．房地产开发 B．股本权益性投资
C．股票、期货、金融衍生产品等投资 D．国家明令禁止的产品或项目 判断：
商业银行授信决策应在书面授权范围内进行，特殊情况下可以超越权限进行授信。错误
（2）商业银行不得提供授信的情形 多选：
客户未按国家规定取得以下（）等文件之一的，商业银行不得提供授信。ABC A．项目批准文件 B．环保批准文件 C．土地批准文件 D．自有资金到位文件（3）商业银行实施有条件授信应遵循的原则 多选：
被授权签署借款合同的授信工作人员在签字前必须对（）等内容进行确认，以确保借款合同的合法性。ABCD A．客户确切的法律名称 B．被授权代表客户签名者的授权证明文件 C．签名者身份证明 D．签署的授信法律文件合法性 判断：
商业银行实施有条件授信时，授信条件未落实或条件发生变更未重新决策的，不得实施授信。正确
5．授信后管理和问题授信处理尽职要求（1）商业银行授信实施后的重点监测内容 多选： 商业银行授信实施后，应重点监测的内容主要包括（）。ABCD A．客户是否按约定用途使用授信 B．授信项目是否正常进行
C．客户的法律地位是否发生变化 D．客户的财务状况是否发生变化 判断：
商业银行应严格按照谨慎性原则，对已实施授信进行分类。错误 商业银行授信实施后，应对所有可能影响还款的因素进行持续监测。正确（2）预警信号风险提示 单选：
商业银行授信过程中，与客户品质有关的预警信号是（）。A A．客户不愿意提供与信用审核有关的文件 B．客户在银行的头寸不断减少 C．管理层行为异常 D．付息或还本拖延
商业银行授信过程中，与业务运营环境变化有关的预警信号是（）。C A．业务领域收缩 B．市场份额下降
C．库存水平的异常变化 D．资产或抵押品高估 多选: 商业银行授信过程中，反映客户在银行账户变化的预警信号主要包括（）。BCD A．有些债务未在资产负债表上反映或列示 B．对授信的长期占用 C．缺乏财务计划 D．经常接到供货商查询核实头寸情况的电话
商业银行授信过程中，反映客户管理层变化的预警信号主要包括（）。BCD A．客户频繁更换会计人员或主要管理人员 B．对竞争变化或其他外部条件变化缺少对策
C．缺乏技术工人或有劳资争议 D．与以往合作的伙伴不再进行合作（3）商业银行对问题授信可以采取的措施 多选：
商业银行可根据偿还能力和现金流量，对客户授信进行的调整措施主要包括（）。ABC A．展期 B．增加或缩减授信
C．要求借款人提前还款 D．要求增加保证人或追加抵、质押品 商业银行对问题授信可以采取的措施主要包括（）。ABC A．确认实际授信余额 B．重新审核所有授信文件
C．对于没有实施的授信额度，依照约定条件和规定予以终止 D．电话通知所有可能受到影响的分支机构并要求采取必要的措施 6．授信工作尽职调查要求
（1）商业银行需对授信工作人员依法、依规追究责任的各种情节 多选：
商业银行进行授信工作尽职调查的方式主要包括（）。ABCD A．现场调查 B．非现场调查
C．聘请外部专家进行调查 D．委托专业机构开展调查工作
商业银行应根据授信工作尽职调查人员的调查结果，对具有（）等情节的授信工作人员依法、依规追究责任。ABC A．进行虚假记载、误导性陈述或有重大疏漏 B．授信决策过程中超越权限、违反程序审批 C．不配合授信尽职调查人员工作或提供虚假信息
D．根据预警信号虽及时采取必要保全措施但仍造成一定损失 判断：
商业银行应设立独立的授信工作尽职调查岗位。正确
商业银行授信工作尽职调查岗位可以由人力资源部门人员兼任。错误 从事授信尽职调查的人员应具备较完备的授信、法律、财务等知识。正确 从事授信尽职调查的人员应依照独立和公平原则开展工作。错误 7．附录
（1）主要授信种类的风险 多选：
下列关于主要授信种类风险提示的说法，正确的有（）。ABCD A．票据承兑是否对真实贸易背景进行核实 B．公司贷款是否严格审查客户的资产负债状况 C．贴现票据是否符合票据法规定的形式和实质要件
D．担保授信是否对保证人的偿还能力，违反国家规定担当保证人，抵押物、质押物的权属和价值以及实现抵押权、质押权的可行性进行严格审查（2）客户基本信息 多选：
下列选项中，属于客户基本信息的有（）。ABCD A．营业执照(副本及影印件)和年检证明 B．法定代表人身份证明及其必要的个人信息
C．近三年经审计的资产负债表、损益表、业主权益变动表以及销量情况 D．董事会成员和主要负责人、财务负责人名单和签字样本等（3）主要授信品种风险 多选：
商业银行对流动性短期资金需求应关注的风险点主要包括（）。BCD A．市场变化 B．融资需求的时间性
C．存货的周期 D．应收账款的质量与坏账准备情况
商业银行对中长期授信需求应关注的风险点主要有（）。ACD A．利率风险 B．项目可行性
C．法规和政策变动可能给客户带来的影响 D．客户的投资或负债率过大，影响其还款能力
商业银行对贸易融资需求应关注的风险点主要有（）。ABC A．汇率风险 B．国家风险 C．法律风险 D．还款方式（4）非财务因素分析 多选：
下列选项中，属于客户非财务因素分析风险提示内容的主要有（A．成本和费用失控 B．客户的产品风险 C．客户生产过程的风险 D．客户的行业风险
在对客户非财务因素进行分析时，对客户的管理者风险应重点关注（ACD A．历史经营记录及其经验 B．价格控制与工资调整
C．领导后备力量和中层主管人员的素质 D．经营者相对于所有者的独立性
在对客户非财务因素进行分析时，识别客户的产品风险应重点关注（ACD A．产品定位、分散度与集中度 B．生产是劳动密集型还是资本密集型 C．产品研发 D．产品实际销售（5）客户履约能力风险 多选：
。BCD）。）。）下列选项中，属于反映客户履约能力的风险因素主要有（）。ABCD A．客户现金流出现问题 B．欺诈
C．客户产品或服务的市场需求下降 D．还款记录不正常
第二篇：商业银行内部控制评价试行办法
商业银行内部控制评价试行办法
中国银行业监督管理委员会令[2004]第9号
颁布时间：2004-12-25发文单位：中国银行业监督管理委员会
《商业银行内部控制评价试行办法》已经2004年8月20日中国银行业监督管理委员会第25次主席会议通过，现予公布，自2005年2月1日起施行。
主席 刘明康
二○○四年十二月二十五日
商业银行内部控制评价试行办法
第一章 总 则
第一条 为规范和加强对商业银行内部控制的评价，督促其进一步建立内部控制体系，健全内部控制机制，为全面风险管理体系的建立奠定基础，保证商业银行安全稳健运行，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，制定本办法。
第二条 商业银行内部控制评价是指对商业银行内部控制体系建设、实施和运行结果独立开展的调查、测试、分析和评估等系统性活动。
内部控制评价包括过程评价和结果评价。过程评价是对内部控制环境、风险识别与评估、内部控制措施、监督评价与纠正、信息交流与反馈等体系要素的评价。结果评价是对内部控制主要目标实现程度的评价。
第三条 商业银行内部控制体系是商业银行为实现经营管理目标，通过制定并实施系统化的政策、程序和方案，对风险进行有效识别、评估、控制、监测和改进的动态过程和机制。
第四条 商业银行应建立并保持系统、透明、文件化的内部控制体系，定期或当有关法律法规和其他经营环境发生重大变化时，对内部控制体系进行评审和改进。
第五条 商业银行内部控制评价由中国银行业监督管理委员会（以下简称银监会）及其派出机构组织实施。
第六条 内部控制评价人员应接受有关内部控制评价知识和技能的培训，具备相应的资质和能力。
第二章 评价目标和原则
第七条 商业银行内部控制评价的目标主要包括：
（一）促进商业银行严格遵守国家法律法规、银监会的监管要求和商业银行审慎经营原则。
（二）促进商业银行提高风险管理水平，保证其发展战略和经营目标的实现。
（三）促进商业银行增强业务、财务和管理信息的真实性、完整性和及时性。
（四）促进商业银行各级管理者和员工强化内部控制意识，严格贯彻落实各项控制措施，确保内部控制体系得到有效运行。
（五）促进商业银行在出现业务创新、机构重组及新设等重大变化时，及时有效地评估和控制可能出现的风险。
第八条 内部控制评价应从充分性、合规性、有效性和适宜性等四个方面进行：
（一）过程和风险是否已被充分识别。
（二）过程和风险的控制措施是否遵循相关要求、得到明确规定并得以实施和保持。
（三）控制措施是否有效。
（四）控制措施是否适宜。
第九条 内部控制评价应遵循以下原则：
（一）全面性原则。评价范围应覆盖商业银行内部控制活动的全过程及所有的系统、部门和岗位。
（二）统一性原则。评价的准则、范围、程序和方法等应保持一致，以确保评价过程的准确及评价结果的客观和可比。
（三）独立性原则。评价应由银监会或受委托评价机构独立进行。
（四）公正性原则。评价应以事实为基础，以法律法规、监管要求为准则，客观公正，实事求是。
（五）重要性原则。评价应依据风险和控制的重要性确定重点，关注重点区域和重点业务。
（六）及时性原则。评价应按照规定的时间间隔持续进行，当经营管理环境发生重大变化时，应及时重新评价。
第三章 评价内容
第一节 内部控制环境
第十条 商业银行公司治理。
商业银行应建立以股东大会、董事会、监事会、高级管理层等为主体的公司治理组织架构，保证各机构规范运作，分权制衡。
（一）完善股东大会、董事会、监事会及下设的议事和决策机构，建立议事规则和决策程序。
（二）明确董事会和董事、监事会和监事、高级管理层和高级管理人员在内部控制中的责任。
（三）建立独立董事制度，对董事会讨论事项发表客观、公正的意见。
（四）建立外部监事制度，对董事会、董事、高级管理层及其成员进行监督。
第十一条 董事会、监事会和高级管理层责任。
董事会负责保证商业银行建立并实施充分而有效的内部控制体系；负责审批整体经营战略和重大政策并定期检查、评价执行情况；负责确保商业银行在法律和政策的框架内审慎经营，明确设定可接受的风险程度，确保高级管理层采取必要措施识别、计量、监测并控制风险；负责审批组织机构；负责保证高级管理层对内部控制体系的充分性与有效性进行监测和评估。
监事会负责监督董事会、高级管理层完善内部控制体系；负责监督董事会及董事、高级管理层及高级管理人员履行内部控制职责；负责要求董事、董事长及高级管理人员纠正其损害商业银行利益的行为并监督执行。
高级管理层负责制定内部控制政策，对内部控制体系的充分性与有效性进行监测和评估；负责执行董事会决策；负责建立识别、计量、监测并控制风险的程序和措施；负责建立和完善内部组织机构，保证内部控制的各项职责得到有效履行。
董事会和高级管理层还应培育良好的内部控制文化，提高员工的风险意识和职业道德素质，建立通畅的内外部信息沟通渠道，确保及时获取与内部控制有关的人力、物力、财力、信息以及技术等资源。
第十二条 内部控制政策。
商业银行应在各项业务和管理活动中制定明确的内部控制政策，规定内部控制的原则和基本要求，并为制定和评审内部控制目标提供指导。内部控制政策应：
（一）与商业银行的经营宗旨和发展战略相一致；
（二）体现持续改进内部控制的要求；
（三）符合现行法律法规和监管要求；
（四）体现出侧重控制的风险类型；
（五）体现出对不同地区、行业、产品的风险控制要求；
（六）传达给适用岗位的员工，指导员工实施风险控制措施；
（七）可为风险相关方所获取，并寻求互利合作；
（八）定期进行评审，确保其持续的适宜性和有效性。
第十三条 内部控制目标。
商业银行应在相关职能和层次上建立并保持内部控制目标。内部控制目标应符合内部控制政策，并体现对持续改进的要求。
在建立和评审内部控制目标时，应考虑法律法规、监管要求和其他要求，以及技术、财务、经营和风险相关方等因素，尤其应考虑监管部门的内部控制指标要求。
内部控制目标应可测量。有条件时，目标应用指标予以量化。
第十四条 组织结构。
商业银行应建立分工合理、职责明确、报告关系清晰的组织结构，明确所有与风险和内部控制有关的部门、岗位、人员的职责和权限，并形成文件予以传达。特别应考虑：
（一）建立相应的授权体系，实行统一法人管理和法人授权。
（二）必要的职责分离，以及横向与纵向相互监督制约关系。
（三）涉及资产、负债、财务和人员等重要事项变动均不得由一个人独自决定。
（四）明确关键岗位、特殊岗位、不相容岗位及其控制要求。
（五）建立关键岗位定期或不定期的人员轮换和强制休假制度。
商业银行应设立负有内部控制体系建立、实施特殊责任的专门委员会或部门，明确其责任、权限和报告路线。
商业银行应设立全行系统垂直管理、具有充分独立性的内部审计部门。内部审计部门应
配备具有相应资质和能力的审计人员；应有权获得商业银行的所有经营、管理信息；应根据对辖属机构的风险评级结果确定审计频率，以及对机构和业务的审计覆盖率，定期或不定期对内部控制的健全性和有效性实施检查、评价；应及时向董事会或董事会审计委员会提交审计报告；董事会及高级管理层应保证审计报告中指出的内部控制的缺失得到及时纠正整改；总行内部审计负责人的聘任和解聘应当经董事会或监事会同意。
第十五条 企业文化。
商业银行应培育健康的企业文化，对企业文化的内涵及其策划、渗透、评估与改进做出明确的规定。特别应向员工传达遵守法律法规和实施内部控制的重要性，引导员工树立合规意识和风险意识，提高员工职业道德水准，规范员工职业行为。
第十六条 人力资源。
商业银行应完善人力资源政策和程序，确保与风险和内部控制有关人员具备相应的能力和意识。
商业银行应明确与风险和内部控制有关人员的适任条件，明确有关教育、工作经历、培训和技能等方面的要求，以确保相关人员的胜任。
高级管理人员必须满足监管机构对高级管理人员资质的要求。
商业银行应制定并保持培训计划，以确保高级管理层和全体员工能够完成其承担的内部控制方面的任务和职责。培训计划应定期评审，并应考虑不同层次员工的职责、能力和文化程度以及所面临的风险。
商业银行应对员工引进、退出、选拔、绩效考核、薪酬、福利、专业技术职务管理处罚等日常人事管理做出详细规定，并充分考虑人力资源管理过程中的风险。
第二节 风险识别与评估
第十七条 经营管理活动风险识别与评估。
商业银行应建立和保持书面程序，以持续对各类风险进行有效的识别与评估。商业银行的主要风险包括信用风险、市场风险（含利率风险）、操作风险、国家和转移风险、流动性风险、法律风险以及声誉风险等。
应识别并确定常规和非常规的业务和管理活动，并识别这些活动中的风险（无论是否由内部产生），考虑其类型、来源及其影响范围，特别应考虑计算机系统的运用可能带来的风险。
应依据法律法规、监管要求以及内部控制政策确定风险是否可接受，以确定是否进一步采取措施。风险可接受时，应监测并定期评审，以确保其持续可接受；风险不可接受时，应制定控制措施。
商业银行对各类风险进行识别与评估时应充分考虑内部和外部因素。其中，内部因素包括组织结构的复杂程度、银行业务性质、机构变革以及员工的流动等；外部因素包括经济形势的波动、行业变动趋势等。
当环境和条件发生变化时，应及时对风险进行再识别和再评估，以确保任何新的和以前未曾予以控制的风险得到识别和控制。
风险识别与评估应：
（一）依据业务范围、性质和时限主动进行。
（二）评估风险的后果、概率和风险级别。
（三）必要时开发并运用风险量化评估的方法和模型。
第十八条 法律法规、监管要求和其他要求的识别。
商业银行应建立并保持识别和获取适用法律法规、监管要求和其他要求的程序，作为风险识别与评估、制订控制目标和控制方案的依据。
商业银行应及时更新法律法规、监管要求和其他要求的信息，并将这些信息传达给相关员工和其他风险相关方。
第十九条 内部控制方案。
商业银行应制定内部控制方案，以控制已识别的不可接受风险。内部控制措施方案应包括以下内容：
（一）为实现对风险的控制而规定的相关职责与权限。
（二）控制的策略、方法、资源需求和时限要求。
若涉及到组织结构、流程、计算机系统等方面的重大变更，应考虑可能产生的新风险。
第三节 内部控制措施
第二十条 运行控制。
商业银行应确定需要采取控制措施的业务和管理活动，依据所策划的控制措施或已有的控制程序对这些活动加以控制。
（一）控制措施包括：
1.高层检查。董事会与高级管理层应要求下级部门及时报告经营管理情况和特别情况，以检查内部控制的实施状况以及在实现内部控制目标方面的进展。高级管理层应根据检查情况提出内部控制缺失情况，督促职能管理部门改进。
2.行为控制。各级职能管理部门审查每天、每周或每月收到的经营管理情况和特别情况专项报表或报告，提出问题，要求采取纠正整改措施。
3.实物控制。主要的控制措施包括实物限制、双重保管和定期盘存等。
4.风险暴露限制的审查。审查遵循风险暴露限制方面的合规性，违规时继续跟踪检查。
5.审批与授权。根据若干限制条件对各项业务、管理活动进行审批与授权，明确各级的管理责任。
6.验证与核实。验证各项业务、管理活动以及所采用的风险管理模型结果，并定期核实相关情况，及时发现需要修正的问题，并向职能管理部门报告。
7.不兼容岗位的适当分离。实行适当的职责分工，认定潜在的利益冲突并使之最小化。
（二）控制要点包括：
1.对于可能导致偏离内部控制政策、目标的运行情况，应建立并保持书面程序和要求，并在程序中规定操作和控制标准。
2.对于重要活动应实施连续记录和监督检查。
3.在可能的情况下，应考虑运用计算机系统进行控制。
4.对于采购或外包的设施、设备、系统和服务中已识别的风险，应建立并保持控制程序，并将有关程序和要求通报供方，确保其遵守商业银行相关的控制要求。
5.对于产品、组织结构、流程、计算机系统的设计过程，应建立有效的控制程序。
第二十一条 计算机系统环境下的控制。
商业银行应考虑计算机系统环境下的业务运行特征，建立信息安全管理体系，对硬件、操作系统和应用程序、数据和操作环境，以及设计、采购、安全和使用实施控制，确保信息的完整性、安全性和可用性。明确计算机信息系统开发部门、管理部门与应用部门的职责，建立和健全计算机信息系统风险防范的制度，确保计算机信息系统设备、数据、系统运行和系统环境的安全。
第二十二条 应急准备与处置。
商业银行应建立并保持预案和程序，以识别可能发生的意外事件或紧急情况（包括计算
机系统）。意外事件和紧急情况发生时，应及时做出应急处置，以预防或减少可能造成的损失，确保业务持续开展。
商业银行应定期检查、维护应急的设施、设备和系统，确保其处于适用状态。如可行，应定期测试应急预案。
商业银行应评审其应急预案，特别是意外事件或紧急情况发生之后。应急准备应与可能发生的意外事件或紧急情况（包括事故、险情）的性质相适应。
第四节 监督评价与纠正
第二十三条 内部控制绩效监测。
商业银行应建立并保持书面程序，通过适宜的监测活动，对内部控制绩效进行持续监测。
监测内容包括：
（一）内部控制目标实现程度。
（二）法律、法规及监管要求的遵循程度。
（三）事故、险情和其他不良的内部控制绩效的历史情况。
第二十四条 违规、险情、事故处置和纠正及预防措施。
商业银行应建立并保持书面程序，对违规、险情、事故的发现、报告、处置和纠正及预防措施做出规定，包括：
（一）发现违规、险情、事故并及时报告，必要时，可越级报告。
（二）及时处置违规、险情、事故。
（三）制定纠正与预防措施，防止违规、险情、事故的发生和再发生，并与问题的大小和风险危害程度相一致。
（四）纠正与预防措施在实施之前应进行风险评估。
（五）实施并跟踪、验证纠正与预防措施。
（六）险情和事故的责任追究。
第二十五条 内部控制体系评价。
商业银行应建立并保持书面程序，对内部控制体系实施评价，确保内部控制体系的充分
性、合规性、有效性和适宜性。程序应包括评价的目的、准则、范围、频率、方法以及职责与要求。
评价应考虑活动的风险评估结果、业务和管理流程和以前的评价结果等，覆盖体系范围内的所有活动。
可根据评价结果确定内部控制水平的等级。被评价机构的管理者应采取措施消除违规原因，并验证所采取措施的效果。
评价应由与评价的活动无直接责任的人员进行，评价人员应具备相应的知识，能够胜任评价工作。
第二十六条 管理评审。
董事会应采取措施保证定期对内部控制状况进行评审，确保体系得到持续、有效的改进。
（一）管理评审应包括以下方面的内容：
1.内部控制体系评价的结果。
2.内部控制政策执行情况和内部控制目标实现情况。
3.对内部控制体系有重要影响的外部信息，如法律、法规的重大变化。
4.组织结构的重大调整。
5.事故和险情以及重大纠正和预防措施的状况。
6.以往管理评审的跟踪情况。
7.内部控制体系改进的建议。
（二）管理评审应就以下方面提出改进措施并落实：
1.内部控制体系及其过程的改进。
2.内部控制政策、目标的变更。
3.与内部控制有关资源的需求。
第二十七条 持续改进。
商业银行应利用内部控制政策、内部控制目标、评价结果、绩效监测和数据分析、纠正和预防措施以及管理评审等，持续提高内部控制体系有效性。
第五节 信息交流与反馈
第二十八条 交流与沟通。
商业银行应建立并保持信息交流与沟通的程序，明确对财务、管理、业务、重大事件和市场信息等相关信息识别、收集、处理、交流、沟通、反馈、披露的渠道和方式。
商业银行应识别其内部和外部的风险相关方，考虑他们的要求和目标，建立与这些相关方进行信息交流的机制，确保：
（一）董事会和高级管理层能够及时了解业务信息、管理信息以及其他重要风险信息。
（二）所有员工充分了解相关信息、遵守涉及其责任和义务的政策和程序。
（三）险情、事故发生时，相关信息能得到及时报告和有效沟通。
（四）及时、真实、完整地向监管机构和外界报告、披露相关信息。
（五）国内外经济、金融动态信息的取得和处理，并及时把与企业既定经营目标有关的信息提供给各级管理层。
信息交流与沟通应考虑信息的安全性和保密性要求。相关信息报告、发布、披露应经过授权。
为保持信息交流沟通的可追溯性，必要时，应保持相关信息交流与沟通的记录。
第二十九条 内部控制体系对文件的要求。
建立和保持文件化体系是实现信息交流与反馈的重要途径。商业银行应建立并保持必要的内部控制体系文件，包括：
（一）对内部控制体系要素及其相互作用的描述。
（二）内部控制政策和目标。
（三）关键岗位及其职责与权限。
（四）不可接受的风险及其预防和控制措施。
（五）控制程序、作业指导、方案和其他内部文件。
第三十条 文件控制。
商业银行应建立并保持书面程序，以确保内部控制体系所要求的文件满足下列要求：
（一）易于查询。
（二）实施前得到授权人的批准。
（三）定期评审，必要时予以修订并由授权人员确认其适宜性。
（四）所有相关岗位都能得到有效版本。
（五）失效时，及时从所有发放处和使用处收回，或采取其他措施防止误用。
（六）及时识别、处置外来文件并进行标识，必要时转化为内部文件。
（七）留存的档案性文件和资料应予以适当标识。
第三十一条 记录控制。
商业银行应建立并保持书面程序，以规定内部控制相关活动中所涉及记录的标识、生成、贮存、保护、检索、保存期限和处置。
记录应保持清晰、易于识别和检索，以提供符合要求和内部控制体系有效运行的证据，并可追溯到相关的活动。
第四章 评价程序和方法
第三十二条 内部控制评价程序一般包括评价准备、评价实施、评价报告形成和反馈等步骤。
第三十三条 评价准备。
组成评价组。评价组应考虑组成人员的背景和能力。必要时，可聘请业务或管理方面的专家。
制订评价实施方案。实施方案应明确本次评价的目的、范围、准则、时间安排和相应的资源配置。
准备必要的工作文件。主要包括评价问卷、抽样计划、被评价机构的内部控制体系文件及相关记录等。
在现场评价前应先与被评价机构建立初步联系，以便确认有关评价事项和安排。
第三十四条 评价实施。
评价组应按照既定的评价方案实施评价。在评价实施中应就评价组内部以及评价组与被评价机构之间的沟通做出正式安排，通过适当的方法收集与评价目的、范围和准则有关的信息，根据评价方案对被评价项目进行测试，对有关数据进行确认和分析，并予以记录。
评价实施的具体方法见第三十九条至四十三条。
第三十五条 评价报告形成。
评价组根据评价实施情况，撰写评价报告，应重点分析以下方面：
（一）被评价机构内部控制体系现状、存在问题及趋势分析。
（二）同类银行比较。
（三）监管建议。
（四）可能的谅解因素。
第三十六条 评价反馈。
对被评价机构内部控制体系进行综合评价后，应与被评价机构管理层沟通，以核对数据，确认事实，并就评价中的问题征求意见。
第三十七条 银监会及其派出机构根据评价报告，依据有关法律和规定，做出评价结论和处理决定，并以书面形式正式发送被评价机构，限期整改。同时，评价结论应报上级机构。
第三十八条 内部控制评价方法是为实现评价目的，对被评价机构内部控制体系进行分析和评价而采取的技术和手段的总称。
第三十九条 内部控制评价实施包括：
了解内部控制体系。应了解被评价机构内部控制体系的基本情况，确认评价范围，确定被评价机构的内部控制体系的健全程度，然后决定实施测试所采取的方法。
实施测试和分析。实施测试和分析是在了解内部控制体系的基础上，评价内部控制体系的运行与绩效。具体可以采取符合性测试和指标分析等，其中，对内部控制过程评价主要采取符合性测试法；对内部控制结果评价，主要采取指标分析法。
第四十条 了解内部控制体系。
了解被评价机构内部控制体系主要通过询问、查阅、观察、流程图等方法进行，以初步评价被评价机构内部控制体系的充分性和合规性。
第四十一条 符合性测试。
符合性测试是获得评价证据以证实内部控制在实际中的合规性、有效性和适宜性，即相关规定在实际中是否被一贯执行，控制措施能否达到控制目的，控制措施是否恰当。符合性测试分为两种形式：
（一）业务测试，即对重要业务或典型业务进行测试，按照规定的业务处理程序进行检查，确认有关控制点是否符合规定并得到认真执行，以判断内部控制的遵循情况。
（二）功能测试，即对某项控制的特定环节，选择若干时期的同类业务进行检查，确认该环节的控制措施是否一贯或持续发挥作用。
符合性测试的具体方法包括抽样法、穿行测试法、证据检查法和压力测试法等。
第四十二条 测试抽样。
抽样样本取决于被评价机构或被评价项目的风险、业务频次、重要性等。可在根据业务频次抽样的基础上，结合被评价项目的风险和重要性进行调整。
根据业务频次确定的抽样量参考标准如下：
（一）每月执行一次的业务或事项，抽样量应保持在2-6个之间。
（二）每周执行一次的业务或事项，抽样量应保持在4-10个之间。
（三）每日执行一次的业务或事项，抽样量应保持在10-25个之间。
（四）每日执行多次的业务或事项，全年10000次以下的，抽样量应保持在25-50个之间；全年10000次以上的，抽样量应保持在50个以上。
第四十三条 指标分析。
应收集被评价机构内部控制结果指标的相关信息，进行核实、对比分析和趋势分析，从而对内控目标实现情况做出评价。
第五章 评分标准和评价等级
第四十四条 内部控制评价采取评分制。对内部控制的过程和结果分别设置一定的标准分值，并根据评价得分确定被评价机构的内部控制等级。
第四十五条 内部控制过程评价的标准分为500分，其中：内部控制环境100分、风险识别与评估100分、内部控制措施100分、信息交流与反馈100分、监督评价与纠正100分。上述五部分评价得分加总除以5，得到过程评价的实际得分。
第四十六条 在对内部控制过程评价时，应按照第三章评价内容的要求，结合本办法第
八条的四个方面展开，转换为具体评价问题，并根据测试情况对被评价项目进行评分。
第四十七条 初次实施内部控制评价时，须对所有业务活动、管理活动和支持保障活动进行评价。再次评价时，至少应包括：授信业务、资金业务、存款及柜台业务、主要中间业务、计划财务、会计管理、计算机信息系统等。其他活动在每三次再次评价周期内应至少覆盖一次。
第四十八条 内部控制过程评价的具体评分标准如下：
（一）被评价对象的过程和风险已被充分识别的，可得该项分值的百分之二十。
（二）在满足前项的基础上，被评价项目的过程和对风险的控制措施被规定并遵循要求的，可得该项分值的百分之三十。
（三）在满足前两项的基础上，被评价项目的规定得到实施和保持，可再得该项分值的百分之三十。
（四）在满足前三项的基础上，被评价项目在实现风险控制的结果方面，控制措施有效且适宜的，可再得该项分值的百分之二十。
第四十九条 在测试过程中遇有业务缺项或问题不适用时，应将涉及到的分值在评价项目总分中扣减。为了保持可比性，在得出其余适用项的总分后，还应将该评价项目的总得分进行调整。
调整后评价项目总得分= 所有适用项目得分（评价项目总分/-不适用项目总分）×100%
单项分值小计和总分分值有小数时四舍五入。
第五十条 若涉及到需要采取抽样测试确定评价结论的，应根据以下情况确定：
（一）如果在抽样范围内未发现违规，该项评价得满分；在抽样范围内，发现两项以上违规（含两项），该项评价不得分；仅发现一项违规的，应扩大一倍抽样，在扩大抽样范围内未发现新的违规的，可得该评价项目分值的50%，在扩大抽样范围内又发现新的违规的，该评价项目不得分。
（二）发现险情或事故的，直接扣除该评价项目的分值。
第五十一条 内部控制的结果评价。结果评价主要评价内部控制目标的实现情况，对这些指标的量化评价可以通过非现场的方式进行。结果评价主要包括十项指标：资本利润率、资产利润率、成本收入比、大额风险集中度指标、关联方交易指标、资产质量指标、不良贷款拨备覆盖率、资本充足指标、流动性指标、案件指标等，指标说明及控制比例见附录。内控结果评价指标的标准分值为500分，转化为百分制后得出实际得分。
银监会可以根据商业银行整体风险情况、经济金融情况和银监会工作的重点，补充、修
订或调整有关评价指标及其标准分值。
第五十二条 根据过程评价和结果评价综合确定内部控制体系的总分。其中，过程评价的权重为70％，结果评价的权重为30％，两项得分加总得出综合评价总分。
第五十三条 根据综合评价总分确定被评价机构的内部控制体系评价等级，应按评分标准对被评价机构内部控制项目逐项计算得分，确定评价等级。定级标准为：
一级：综合评分90分 以上（含90分）。指被评价机构有健全的内部控制体系，在各个环节均能有效执行内部控制措施，能对所有风险进行有效识别和控制，无任何风险控制盲点，控制措施适宜，经营效果显著。
二级：综合评分80－89分。指被评价机构内部控制体系比较健全，在各个环节能够较好执行内部控制措施，能对主要风险进行识别和控制，控制措施基本适宜，经营效果较好
三级：综合评分70-79 分。指被评价机构内部控制体系一般，虽建立了大部分内部控制，但缺乏系统性和连续性，在内部控制措施执行方面缺乏一贯的合规性，存在少量重大风险，经营效果一般。
四级：综合评分60 －69 分。被评价机构内部控制体系较差，内部控制体系不健全或重要的内部控制措施没有贯彻执行或无效，管理方面存在重大问题，业务经营安全性差。
五级：综合评分60分以下（不含60分）。被评价机构内部控制体系很差，内部控制体系存在严重缺失或内部控制措施明显无效，存在明显的管理漏洞，经营业务失控，存在重大金融风险隐患。
上述等级也适用于单项评级，单项评级结果主要用于对比分析。
第五十四条 若被评价机构在评价期内发生重大责任事故，应在上述评级的基础上下调一级。
重大责任事故包括：
（一）因安全防范措施不当，发生金融诈骗、盗窃、抢劫、爆炸等案件，造成重大影响或损失。
（二）因经营管理不善发生挤提事件。
（三）业务系统故障，造成重大影响或损失。
（四）经查实的重大信访事件。
第五十五条 内部控制体系连续在三个评价期内得不到改善的机构，其内部控制评价等级应适当下调。
第六章 组织和实施
第五十六条 内部控制评价按照统一领导，分级管理的原则进行。
第五十七条 根据评价的范围，内部控制评价可分为以下层次：
（一）银监会及其派出机构对商业银行法人机构的整体评价，原则上每两年一次。
（二）银监会及其派出机构对商业银行总部的评价，原则上每两年一次。
（三）银监会及其派出机构对商业银行不同层次分支机构的评价，每三年一个评价周期，每年至少覆盖三分之一以上的分支机构，三年内必须覆盖全部分支机构。
第五十八条 应当根据风险大小和重要性确定对商业银行及其分支机构内部控制评价的频率和范围，当商业银行发生管理层重大变动、重大的并购或处置、重大的营运方法改变或财务信息处理方式改变等情况，或银监会认为必要时，应对商业银行内部控制进行整体评价。
第五十九条 银监会对商业银行法人机构整体评价时，总部占整体评价得分的60%，分支机构平均得分占整体评价得分的40%，形成最终评级结果。其中，初次整体评价时，应覆盖总行和所有分支机构；再次进行整体评价时，应抽取不少于三分之一的分支机构。
银监会各派出机构对辖内商业银行分支机构的内部控制评价可比照进行。
第六十条 银监会及其派出机构应及时整理、分析和掌握被评价机构报送的非现场监管数据、国家审计部门的审计结果和被评价机构的内部审计信息，充分利用监管部门对被评价机构的各种现场检查结果。
第六十一条 银监会或其派出机构应对被降价机构内部控制体系的改进情况进行后续跟踪，责令被评价机构针对发现的违规或风险隐患制定纠正措施，并对纠正情况及其有效性进行验证。
第六十二条 内部控制评价各阶段涉及的有关记录、表格、评价报告以及跟踪验证的相关资料均应作为监管档案妥善保管。
第六十三条 银监会可根据需要委托外部中介机构对商业银行内部控制体系进行评价。受托中介机构和人员必须熟悉商业银行业务和运作，具备商业银行内部控制体系建立或评价方面的经验。各派出机构选聘中介机构时，必须报银监会批准。
受托中介机构对商业银行的内部控制评价须按照本办法执行。
第七章 罚 则
第六十四条 银监会根据评级结果及评价报告所反映的情况，针对被评价机构内部控制
体系存在问题的性质及严重程度，可分别采取以下一项或多项监管措施：
（一）约见被评价机构第一负责人或董事长。
（二）就评价对象内部控制体系存在问题可能引发的风险，向被评价机构进行提示和警告。
（三）要求被评价机构对内部控制体系存在的问题限期整改。
（四）加大现场检查力度及频率。
（五）建议调整管理层。
（六）取消有关人员一定期限或终身银行业从业资格。
（七）责令整顿或暂停办理相关业务。
（八）延缓批准或拒绝受理增设分支机构、开办新业务的申请。
第六十五条 对内部控制评价中发现的违规、违法行为，应根据有关规定，采取相应处罚措施。
第六十六条 未经批准或许可，任何单位和个人不得对外公布对被评价机构的内部控制体系等级评定结果。凡擅自公布等级评定结果，应追究有关人员的责任。
第八章 附 则
第六十七条 本办法涉及的重要名词术语解释如下：
（一）体系：相互关联或相互作用的一组要素。
（二）文件：信息及其承载媒体。媒体可以是纸张，计算机磁盘、光盘或其他电子媒体，或其组合。
（三）程序：为进行某项活动或过程所规定的途径。程序可以形成文件，也可以不形成文件；当程序形成文件时，通常称为书面程序。
（四）风险相关方：与商业银行在风险及其控制方面有利益关系的个人或团体。风险相关方包括风险直接承担者和间接利害关系者，前者如商业银行投资者、顾客或员工，后者如监管机构。
（五）内部控制绩效：根据内部控制政策和目标，在控制风险方面所取得的可测量的结果（绩效测量包括内部控制活动和结果的测量）。
（六）事故：造成损失的非预期事件。
（七）险情：可能造成损失的事件。
（八）违规：未满足规定的要求，既可能是人员主观造成的，也可能是其他客观原因导致的。
（九）预防措施：为消除潜在违规、险情或事故的原因所采取的措施。
（十）纠正措施：为消除己发现的违规、险情和事故的原因所采取的措施。
第六十八条 商业银行应根据本办法制定相应的实施细则并报银监会或其派出机构备案。
第六十九条 本办法适用于在中华人民共和国境内依法设立的国有商业银行、股份制商业银行、外资商业银行、城市商业银行、农村商业银行、农村合作银行和邮政储蓄机构。对政策性银行、城乡信用社和非银行金融机构的评价可参照本办法执行。
第七十条 未进行股份制改造的商业银行、农村合作银行和邮政储蓄机构、政策性银行、城乡信用社和非银行金融机构，应由高级管理层负责内部控制体系的建立、维护和改进，并明确相对独立的决策、监督和执行的职责和权限。
第七十一条 本办法由银监会负责解释与修订。
第七十二条 本办法自2005年2月1日起施行。
附录：
一、结果评价指标及控制比例
┌──────────────────────┬────────────┐ │
评价指标
│
控制比例
│ ├──────────────────────┼────────────┤ │
一、资本利润率
│
≥13％
│ ├──────────────────────┼────────────┤ │
二、资产利润率
│
≥0.6％
│ ├──────────────────────┼────────────┤ │
三、收入成本比
│
≤35％
│ ├──────────────────────┼────────────┤ │
四、大额风险集中度指标
│
－
│ ├──────────────────────┼────────────┤ │
（一）单一客户授信余额比例
│
≤10％
│ ├──────────────────────┼────────────┤ │
（二）十大客户授信余额比例
│
≤30％
│ ├──────────────────────┼────────────┤
│
（三）集团客户授信余额比例
│
≤15％
│ ├──────────────────────┼────────────┤ │
五、关联方交易指标
│
－
│ ├──────────────────────┼────────────┤ │
（一）单个关联方授信余额比例
│
≤10％
│ ├──────────────────────┼────────────┤ │
（二）单个关联法人或其他组织所在集团客户的授│
≤15％
│ │信余额比例
│
│ ├──────────────────────┼────────────┤ │
（三）全部关联方授信余额比例
│
≤50％
│ ├──────────────────────┼────────────┤ │
六、资产质量指标
│
－
│ ├──────────────────────┼────────────┤ │
（一）新发生不良贷款率
│
≤0.1％
│ ├──────────────────────┼────────────┤ │
（二）不良贷款衡量指标
│
－
│ ├──────────────────────┼────────────┤ │1.不良贷款率
│
≤3％
│ ├──────────────────────┼────────────┤ │2.不良贷款额降低率
│
≥10％
│ ├──────────────────────┼────────────┤ │3.五级分类偏离度
│
≤2％
│ ├──────────────────────┼────────────┤ │4.正常及关注类贷款迁徙率
│
≤3％
│ ├──────────────────────┼────────────┤ │5.次级及可疑类贷款迁徙率
│
≤8％
│ ├──────────────────────┼────────────┤ │
七、不良贷款拨备覆盖率
│
≥80％
│ ├──────────────────────┼────────────┤ │
八、资本充足指标
│
－
│ ├──────────────────────┼────────────┤ │
（一）资本充足率
│
≥8％
│ ├──────────────────────┼────────────┤ │
（二）核心资本充足率
│
≥4％
│ ├──────────────────────┼────────────┤ │
九、流动性指标
│
－
│ ├──────────────────────┼────────────┤ │
（一）准备金比例
│
≥10％
│ ├──────────────────────┼────────────┤ │
（二）存贷比
│
≤75％
│ ├──────────────────────┼────────────┤ │
（三）中长期贷款比例指标
│
≤120％
│ ├──────────────────────┼────────────┤ │
（四）资产流动性指标
│
≥25％
│
├──────────────────────┼────────────┤ │
十、案件指标
│
－
│ ├──────────────────────┼────────────┤ │
（一）案件损失率
│
≤0.1‰
│ ├──────────────────────┼────────────┤ │
（二）发案率
│
≤1％
│ ├──────────────────────┼────────────┤ │合计
│
－
│ └──────────────────────┴────────────┘
二、结果评价指标说明
1.资本利润率
利润期末总额
资本利润率＝──────────×100％
资本期末总额
2.资产利润率
利润期末总额
资产利润率＝──────────×100％
资产期末总额
3.收入成本比
〔业务管理费（不含税金）＋业务宣传费＋业务招待费＋折旧〕
成本收入比率＝────────────────────────────×100％
〔净利息收入＋金融机构往来净收入＋手续费净收入＋汇兑净收入＋其
他营业净收入＋投资收益〕
4.大额风险集中度指标
（1）单一客户授信余额比例：
对同一借款客户授信余额
单一客户授信余额比例＝────────────×100％
资本净额
（2）十大客户授信余额比例：
对最大十家客户发放的授信总额
十大客户授信余额＝─────────────────×100％
资本净额
（3）集团客户授信余额比例：
集团客户授信余额
集团客户授信余额比例＝─────────────×100％
资本净额
5.关联方交易指标
（1）单个关联方授信余额比例
对单个关联方授信余额
单个关联方授信余额比例＝─────────────×100％
资本净额
（2）单个关联法人或其他组织所在集团客户的授信余额比例
单个关联法人或其他组织
所在集团客户的授信余额
单个关联法人或其他组织所在集团客户的授信余额比例＝────────────×100％
资本净额
（3）全部关联方授信余额比例
全部关联方授信余额
全部关联方授信余额比例＝──────────────×100％
资本净额
6.资产质量指标
评价期新发生不良贷款额
（1）新发生不良贷款率＝───────────────×100％
评价期新发生贷款总额
（2）不良贷款衡量指标
①不良贷款率
（次级类贷款＋可疑类贷款＋损失类贷款）
不良贷款率＝────────────────────×100％
贷款余额
②不良贷款额降低率
（评价期不良贷款额－基期不良贷款额）
不良贷款额降低率＝───────────────────×100％
基期不良贷款额
③五级分类偏离度：《办法》中五级分类偏离度是不良贷款比例偏离度，指检查 调整后的不良贷款比例减去原不良贷款比例所得百分点。
④正常及关注类贷款迁徙率
（期初正常贷款中转为不良贷款的余额
＋关注类贷款转为不良贷款的余额）
正常及关注类贷款迁徙率＝────────────────────×100％
（期初正常类贷款余额＋关注类贷款余额）
⑤次级及可疑贷款迁徙率
（期初次级贷款中转为损失类贷款的余额
＋可疑类贷款转为损失类贷款的余额）
次级及可疑类贷款迁徙率＝────────────────────×100％
（期初正常类贷款余额＋关注类贷款余额）
7.不良贷款拨备覆盖率
一般准备＋专项准备＋特种准备
拨备覆盖率＝────────────────────×100％
次级类贷款＋可疑类贷款＋损失类贷款
8.资本充足指标
（1）资本充足率
资本净额
资本充足率＝──────────────────×100％
表内、外风险加权资产期末总额
注：资本净额＝资本总额－扣减项
（2）核心资本充足率：
核心资本
核心资本充足率＝────────────────×100％
表内、外风险加权资产期末总额
9.流动性指标
（1）准备金比例
（在人民银行备付金存款＋库存现金）期末余额
准备金比例＝───────────────────────×100％
各项存款期末余额
（2）存贷比
各项贷款期末余额
存贷比：＝────────────────×100％
各项存款期末余额
（3）中长期贷款比例指标
余期一年期以上（不含一年期）中长期贷款期末余额
中长期贷款比例指标＝───────────────────────×100％
余期一年期以上（不含一年期）存款期末余额
（4）资产流动性指标
流动性资产期末余额
资产流动性指标＝────────────────×100％
流动性负债期末余额
10.案件指标
（1）案件损失率
案件损失金额
案件损失率＝────────────×100％
总资产额
（2）发案率
发案件数
发案率＝──────────────×100％
分支机构数
第三篇：商业银行内部控制评价试行办法（xiexiebang推荐）
【发布单位】中国银行业监督管理委员会
【发布文号】中国银行业监督管理委员会令2004年第9号 【发布日期】2004-12-25 【生效日期】2005-02-01 【失效日期】
【所属类别】国家法律法规
【文件来源】法律图书馆新法规速递
商业银行内部控制评价试行办法
（中国银行业监督管理委员会令2004年第9号）
《商业银行内部控制评价试行办法》已经2004年8月20日中国银行业监督管理委员会第25次主席会议通过，现予公布，自2005年2月1日起施行。
主席 刘明康
二○○四年十二月二十五日
商业银行内部控制评价试行办法
第一章 总 则
第一条 为规范和加强对商业银行内部控制的评价，督促其进一步建立内部控制体系，健全内部控制机制，为全面风险管理体系的建立奠定基础，保证商业银行安全稳健运行，根据《 中华人民共和国银行业监督管理法》、《 中华人民共和国商业银行法》等法律法规，制定本办法。
第二条 商业银行内部控制评价是指对商业银行内部控制体系建设、实施和运行结果独立开展的调查、测试、分析和评估等系统性活动。
内部控制评价包括过程评价和结果评价。过程评价是对内部控制环境、风险识别与评估、内部控制措施、监督评价与纠正、信息交流与反馈等体系要素的评价。结果评价是对内部控制主要目标实现程度的评价。
第三条 商业银行内部控制体系是商业银行为实现经营管理目标，通过制定并实施系统化的政策、程序和方案，对风险进行有效识别、评估、控制、监测和改进的动态过程和机制。
第四条 商业银行应建立并保持系统、透明、文件化的内部控制体系，定期或当有关法律法规和其他经营环境发生重大变化时，对内部控制体系进行评审和改进。
第五条 商业银行内部控制评价由中国银行业监督管理委员会（以下简称银监会）及其派出机构组织实施。
第六条 内部控制评价人员应接受有关内部控制评价知识和技能的培训，具备相应的资质和能力。
第二章 评价目标和原则
第七条 商业银行内部控制评价的目标主要包括：
（一）促进商业银行严格遵守国家法律法规、银监会的监管要求和商业银行审慎经营原则。
（二）促进商业银行提高风险管理水平，保证其发展战略和经营目标的实现。
（三）促进商业银行增强业务、财务和管理信息的真实性、完整性和及时性。
（四）促进商业银行各级管理者和员工强化内部控制意识，严格贯彻落实各项控制措施，确保内部控制体系得到有效运行。
（五）促进商业银行在出现业务创新、机构重组及新设等重大变化时，及时有效地评估和控制可能出现的风险。
第八条 内部控制评价应从充分性、合规性、有效性和适宜性等四个方面进行：
（一）过程和风险是否已被充分识别。
（二）过程和风险的控制措施是否遵循相关要求、得到明确规定并得以实施和保持。
（三）控制措施是否有效。
（四）控制措施是否适宜。
第九条 内部控制评价应遵循以下原则：
（一）全面性原则。评价范围应覆盖商业银行内部控制活动的全过程及所有的系统、部门和岗位。
（二）统一性原则。评价的准则、范围、程序和方法等应保持一致，以确保评价过程的准确及评价结果的客观和可比。
（三）独立性原则。评价应由银监会或受委托评价机构独立进行。
（四）公正性原则。评价应以事实为基础，以法律法规、监管要求为准则，客观公正，实事求是。
（五）重要性原则。评价应依据风险和控制的重要性确定重点，关注重点区域和重点业务。
（六）及时性原则。评价应按照规定的时间间隔持续进行，当经营管理环境发生重大变化时，应及时重新评价。
第三章 评价内容
第一节 内部控制环境
第十条 商业银行公司治理。
商业银行应建立以股东大会、董事会、监事会、高级管理层等为主体的公司治理组织架构，保证各机构规范运作，分权制衡。
（一）完善股东大会、董事会、监事会及下设的议事和决策机构，建立议事规则和决策程序。
（二）明确董事会和董事、监事会和监事、高级管理层和高级管理人员在内部控制中的责任。
（三）建立独立董事制度，对董事会讨论事项发表客观、公正的意见。
（四）建立外部监事制度，对董事会、董事、高级管理层及其成员进行监督。
第十一条 董事会、监事会和高级管理层责任。
董事会负责保证商业银行建立并实施充分而有效的内部控制体系；负责审批整体经营战略和重大政策并定期检查、评价执行情况；负责确保商业银行在法律和政策的框架内审慎经营，明确设定可接受的风险程度，确保高级管理层采取必要措施识别、计量、监测并控制风险；负责审批组织机构；负责保证高级管理层对内部控制体系的充分性与有效性进行监测和评估。
监事会负责监督董事会、高级管理层完善内部控制体系；负责监督董事会及董事、高级管理层及高级管理人员履行内部控制职责；负责要求董事、董事长及高级管理人员纠正其损害商业银行利益的行为并监督执行。
高级管理层负责制定内部控制政策，对内部控制体系的充分性与有效性进行监测和评估；负责执行董事会决策；负责建立识别、计量、监测并控制风险的程序和措施；负责建立和完善内部组织机构，保证内部控制的各项职责得到有效履行。
董事会和高级管理层还应培育良好的内部控制文化，提高员工的风险意识和职业道德素质，建立通畅的内外部信息沟通渠道，确保及时获取与内部控制有关的人力、物力、财力、信息以及技术等资源。
第十二条 内部控制政策。
商业银行应在各项业务和管理活动中制定明确的内部控制政策，规定内部控制的原则和基本要求，并为制定和评审内部控制目标提供指导。内部控制政策应：
（一）与商业银行的经营宗旨和发展战略相一致；
（二）体现持续改进内部控制的要求；
（三）符合现行法律法规和监管要求；
（四）体现出侧重控制的风险类型；
（五）体现出对不同地区、行业、产品的风险控制要求；
（六）传达给适用岗位的员工，指导员工实施风险控制措施；
（七）可为风险相关方所获取，并寻求互利合作；
（八）定期进行评审，确保其持续的适宜性和有效性。
第十三条 内部控制目标。
商业银行应在相关职能和层次上建立并保持内部控制目标。内部控制目标应符合内部控制政策，并体现对持续改进的要求。
在建立和评审内部控制目标时，应考虑法律法规、监管要求和其他要求，以及技术、财务、经营和风险相关方等因素，尤其应考虑监管部门的内部控制指标要求。
内部控制目标应可测量。有条件时，目标应用指标予以量化。
第十四条 组织结构。
商业银行应建立分工合理、职责明确、报告关系清晰的组织结构，明确所有与风险和内部控制有关的部门、岗位、人员的职责和权限，并形成文件予以传达。特别应考虑：
（一）建立相应的授权体系，实行统一法人管理和法人授权。
（二）必要的职责分离，以及横向与纵向相互监督制约关系。
（三）涉及资产、负债、财务和人员等重要事项变动均不得由一个人独自决定。
（四）明确关键岗位、特殊岗位、不相容岗位及其控制要求。
（五）建立关键岗位定期或不定期的人员轮换和强制休假制度。
商业银行应设立负有内部控制体系建立、实施特殊责任的专门委员会或部门，明确其责任、权限和报告路线。
商业银行应设立全行系统垂直管理、具有充分独立性的内部审计部门。内部审计部门应配备具有相应资质和能力的审计人员；应有权获得商业银行的所有经营、管理信息；应根据对辖属机构的风险评级结果确定审计频率，以及对机构和业务的审计覆盖率，定期或不定期对内部控制的健全性和有效性实施检查、评价；应及时向董事会或董事会审计委员会提交审计报告；董事会及高级管理层应保证审计报告中指出的内部控制的缺失得到及时纠正整改；总行内部审计负责人的聘任和解聘应当经董事会或监事会同意。
第十五条 企业文化。
商业银行应培育健康的企业文化，对企业文化的内涵及其策划、渗透、评估与改进做出明确的规定。特别应向员工传达遵守法律法规和实施内部控制的重要性，引导员工树立合规意识和风险意识，提高员工职业道德水准，规范员工职业行为。
第十六条 人力资源。
商业银行应完善人力资源政策和程序，确保与风险和内部控制有关人员具备相应的能力和意识。
商业银行应明确与风险和内部控制有关人员的适任条件，明确有关教育、工作经历、培训和技能等方面的要求，以确保相关人员的胜任。
高级管理人员必须满足监管机构对高级管理人员资质的要求。
商业银行应制定并保持培训计划，以确保高级管理层和全体员工能够完成其承担的内部控制方面的任务和职责。培训计划应定期评审，并应考虑不同层次员工的职责、能力和文化程度以及所面临的风险。
商业银行应对员工引进、退出、选拔、绩效考核、薪酬、福利、专业技术职务管理处罚等日常人事管理做出详细规定，并充分考虑人力资源管理过程中的风险。
第二节 风险识别与评估
第十七条 经营管理活动风险识别与评估。
商业银行应建立和保持书面程序，以持续对各类风险进行有效的识别与评估。商业银行的主要风险包括信用风险、市场风险（含利率风险）、操作风险、国家和转移风险、流动性风险、法律风险以及声誉风险等。
应识别并确定常规和非常规的业务和管理活动，并识别这些活动中的风险（无论是否由内部产生），考虑其类型、来源及其影响范围，特别应考虑计算机系统的运用可能带来的风险。
应依据法律法规、监管要求以及内部控制政策确定风险是否可接受，以确定是否进一步采取措施。风险可接受时，应监测并定期评审，以确保其持续可接受；风险不可接受时，应制定控制措施。
商业银行对各类风险进行识别与评估时应充分考虑内部和外部因素。其中，内部因素包括组织结构的复杂程度、银行业务性质、机构变革以及员工的流动等；外部因素包括经济形势的波动、行业变动趋势等。
当环境和条件发生变化时，应及时对风险进行再识别和再评估，以确保任何新的和以前未曾予以控制的风险得到识别和控制。
风险识别与评估应：
（一）依据业务范围、性质和时限主动进行。
（二）评估风险的后果、概率和风险级别。
（三）必要时开发并运用风险量化评估的方法和模型。
第十八条 法律法规、监管要求和其他要求的识别。
商业银行应建立并保持识别和获取适用法律法规、监管要求和其他要求的程序，作为风险识别与评估、制订控制目标和控制方案的依据。
商业银行应及时更新法律法规、监管要求和其他要求的信息，并将这些信息传达给相关员工和其他风险相关方。
第十九条 内部控制方案。
商业银行应制定内部控制方案，以控制已识别的不可接受风险。内部控制措施方案应包括以下内容：
（一）为实现对风险的控制而规定的相关职责与权限。
（二）控制的策略、方法、资源需求和时限要求。
若涉及到组织结构、流程、计算机系统等方面的重大变更，应考虑可能产生的新风险。
第三节 内部控制措施
第二十条 运行控制。
商业银行应确定需要采取控制措施的业务和管理活动，依据所策划的控制措施或已有的控制程序对这些活动加以控制。
（一）控制措施包括：
1.高层检查。董事会与高级管理层应要求下级部门及时报告经营管理情况和特别情况，以检查内部控制的实施状况以及在实现内部控制目标方面的进展。高级管理层应根据检查情况提出内部控制缺失情况，督促职能管理部门改进。
2.行为控制。各级职能管理部门审查每天、每周或每月收到的经营管理情况和特别情况专项报表或报告，提出问题，要求采取纠正整改措施。
3.实物控制。主要的控制措施包括实物限制、双重保管和定期盘存等。
4.风险暴露限制的审查。审查遵循风险暴露限制方面的合规性，违规时继续跟踪检查。
5.审批与授权。根据若干限制条件对各项业务、管理活动进行审批与授权，明确各级的管理责任。
6.验证与核实。验证各项业务、管理活动以及所采用的风险管理模型结果，并定期核实相关情况，及时发现需要修正的问题，并向职能管理部门报告。
7.不兼容岗位的适当分离。实行适当的职责分工，认定潜在的利益冲突并使之最小化。
（二）控制要点包括：
1.对于可能导致偏离内部控制政策、目标的运行情况，应建立并保持书面程序和要求，并在程序中规定操作和控制标准。
2.对于重要活动应实施连续记录和监督检查。
3.在可能的情况下，应考虑运用计算机系统进行控制。
4.对于采购或外包的设施、设备、系统和服务中已识别的风险，应建立并保持控制程序，并将有关程序和要求通报供方，确保其遵守商业银行相关的控制要求。
5.对于产品、组织结构、流程、计算机系统的设计过程，应建立有效的控制程序。
第二十一条 计算机系统环境下的控制。
商业银行应考虑计算机系统环境下的业务运行特征，建立信息安全管理体系，对硬件、操作系统和应用程序、数据和操作环境，以及设计、采购、安全和使用实施控制，确保信息的完整性、安全性和可用性。明确计算机信息系统开发部门、管理部门与应用部门的职责，建立和健全计算机信息系统风险防范的制度，确保计算机信息系统设备、数据、系统运行和系统环境的安全。
第二十二条 应急准备与处置。
商业银行应建立并保持预案和程序，以识别可能发生的意外事件或紧急情况（包括计算机系统）。意外事件和紧急情况发生时，应及时做出应急处置，以预防或减少可能造成的损失，确保业务持续开展。
商业银行应定期检查、维护应急的设施、设备和系统，确保其处于适用状态。如可行，应定期测试应急预案。
商业银行应评审其应急预案，特别是意外事件或紧急情况发生之后。应急准备应与可能发生的意外事件或紧急情况（包括事故、险情）的性质相适应。
第四节 监督评价与纠正
第二十三条 内部控制绩效监测。
商业银行应建立并保持书面程序，通过适宜的监测活动，对内部控制绩效进行持续监测。
监测内容包括：
（一）内部控制目标实现程度。
（二）法律、法规及监管要求的遵循程度。
（三）事故、险情和其他不良的内部控制绩效的历史情况。
第二十四条 违规、险情、事故处置和纠正及预防措施。
商业银行应建立并保持书面程序，对违规、险情、事故的发现、报告、处置和纠正及预防措施做出规定，包括：
（一）发现违规、险情、事故并及时报告，必要时，可越级报告。
（二）及时处置违规、险情、事故。
（三）制定纠正与预防措施，防止违规、险情、事故的发生和再发生，并与问题的大小和风险危害程度相一致。
（四）纠正与预防措施在实施之前应进行风险评估。
（五）实施并跟踪、验证纠正与预防措施。
（六）险情和事故的责任追究。
第二十五条 内部控制体系评价。
商业银行应建立并保持书面程序，对内部控制体系实施评价，确保内部控制体系的充分性、合规性、有效性和适宜性。程序应包括评价的目的、准则、范围、频率、方法以及职责与要求。
评价应考虑活动的风险评估结果、业务和管理流程和以前的评价结果等，覆盖体系范围内的所有活动。
可根据评价结果确定内部控制水平的等级。被评价机构的管理者应采取措施消除违规原因，并验证所采取措施的效果。
评价应由与评价的活动无直接责任的人员进行，评价人员应具备相应的知识，能够胜任评价工作。
第二十六条 管理评审。
董事会应采取措施保证定期对内部控制状况进行评审，确保体系得到持续、有效的改进。
（一）管理评审应包括以下方面的内容：
1.内部控制体系评价的结果。
2.内部控制政策执行情况和内部控制目标实现情况。
3.对内部控制体系有重要影响的外部信息，如法律、法规的重大变化。
4.组织结构的重大调整。
5.事故和险情以及重大纠正和预防措施的状况。
6.以往管理评审的跟踪情况。
7.内部控制体系改进的建议。
（二）管理评审应就以下方面提出改进措施并落实：
1.内部控制体系及其过程的改进。
2.内部控制政策、目标的变更。
3.与内部控制有关资源的需求。
第二十七条 持续改进。
商业银行应利用内部控制政策、内部控制目标、评价结果、绩效监测和数据分析、纠正和预防措施以及管理评审等，持续提高内部控制体系有效性。
第五节 信息交流与反馈
第二十八条 交流与沟通。
商业银行应建立并保持信息交流与沟通的程序，明确对财务、管理、业务、重大事件和市场信息等相关信息识别、收集、处理、交流、沟通、反馈、披露的渠道和方式。
商业银行应识别其内部和外部的风险相关方，考虑他们的要求和目标，建立与这些相关方进行信息交流的机制，确保：
（一）董事会和高级管理层能够及时了解业务信息、管理信息以及其他重要风险信息。
（二）所有员工充分了解相关信息、遵守涉及其责任和义务的政策和程序。
（三）险情、事故发生时，相关信息能得到及时报告和有效沟通。
（四）及时、真实、完整地向监管机构和外界报告、披露相关信息。
（五）国内外经济、金融动态信息的取得和处理，并及时把与企业既定经营目标有关的信息提供给各级管理层。
信息交流与沟通应考虑信息的安全性和保密性要求。相关信息报告、发布、披露应经过授权。
为保持信息交流沟通的可追溯性，必要时，应保持相关信息交流与沟通的记录。
第二十九条 内部控制体系对文件的要求。
建立和保持文件化体系是实现信息交流与反馈的重要途径。商业银行应建立并保持必要的内部控制体系文件，包括：
（一）对内部控制体系要素及其相互作用的描述。
（二）内部控制政策和目标。
（三）关键岗位及其职责与权限。
（四）不可接受的风险及其预防和控制措施。
（五）控制程序、作业指导、方案和其他内部文件。
第三十条 文件控制。
商业银行应建立并保持书面程序，以确保内部控制体系所要求的文件满足下列要求：
（一）易于查询。
（二）实施前得到授权人的批准。
（三）定期评审，必要时予以修订并由授权人员确认其适宜性。
（四）所有相关岗位都能得到有效版本。
（五）失效时，及时从所有发放处和使用处收回，或采取其他措施防止误用。
（六）及时识别、处置外来文件并进行标识，必要时转化为内部文件。
（七）留存的档案性文件和资料应予以适当标识。
第三十一条 记录控制。
商业银行应建立并保持书面程序，以规定内部控制相关活动中所涉及记录的标识、生成、贮存、保护、检索、保存期限和处置。
记录应保持清晰、易于识别和检索，以提供符合要求和内部控制体系有效运行的证据，并可追溯到相关的活动。
第四章 评价程序和方法
第三十二条 内部控制评价程序一般包括评价准备、评价实施、评价报告形成和反馈等步骤。
第三十三条 评价准备。
组成评价组。评价组应考虑组成人员的背景和能力。必要时，可聘请业务或管理方面的专家。
制订评价实施方案。实施方案应明确本次评价的目的、范围、准则、时间安排和相应的资源配置。
准备必要的工作文件。主要包括评价问卷、抽样计划、被评价机构的内部控制体系文件及相关记录等。
在现场评价前应先与被评价机构建立初步联系，以便确认有关评价事项和安排。
第三十四条 评价实施。
评价组应按照既定的评价方案实施评价。在评价实施中应就评价组内部以及评价组与被评价机构之间的沟通做出正式安排，通过适当的方法收集与评价目的、范围和准则有关的信息，根据评价方案对被评价项目进行测试，对有关数据进行确认和分析，并予以记录。
评价实施的具体方法见第三十九条至四十三条。
第三十五条 评价报告形成。
评价组根据评价实施情况，撰写评价报告，应重点分析以下方面：
（一）被评价机构内部控制体系现状、存在问题及趋势分析。
（二）同类银行比较。
（三）监管建议。
（四）可能的谅解因素。
第三十六条 评价反馈。
对被评价机构内部控制体系进行综合评价后，应与被评价机构管理层沟通，以核对数据，确认事实，并就评价中的问题征求意见。
第三十七条 银监会及其派出机构根据评价报告，依据有关法律和规定，做出评价结论和处理决定，并以书面形式正式发送被评价机构，限期整改。同时，评价结论应报上级机构。
第三十八条 内部控制评价方法是为实现评价目的，对被评价机构内部控制体系进行分析和评价而采取的技术和手段的总称。
第三十九条 内部控制评价实施包括：
了解内部控制体系。应了解被评价机构内部控制体系的基本情况，确认评价范围，确定被评价机构的内部控制体系的健全程度，然后决定实施测试所采取的方法。
实施测试和分析。实施测试和分析是在了解内部控制体系的基础上，评价内部控制体系的运行与绩效。具体可以采取符合性测试和指标分析等，其中，对内部控制过程评价主要采取符合性测试法；对内部控制结果评价，主要采取指标分析法。
第四十条 了解内部控制体系。
了解被评价机构内部控制体系主要通过询问、查阅、观察、流程图等方法进行，以初步评价被评价机构内部控制体系的充分性和合规性。
第四十一条 符合性测试。
符合性测试是获得评价证据以证实内部控制在实际中的合规性、有效性和适宜性，即相关规定在实际中是否被一贯执行，控制措施能否达到控制目的，控制措施是否恰当。符合性测试分为两种形式：
（一）业务测试，即对重要业务或典型业务进行测试，按照规定的业务处理程序进行检查，确认有关控制点是否符合规定并得到认真执行，以判断内部控制的遵循情况。
（二）功能测试，即对某项控制的特定环节，选择若干时期的同类业务进行检查，确认该环节的控制措施是否一贯或持续发挥作用。
符合性测试的具体方法包括抽样法、穿行测试法、证据检查法和压力测试法等。
第四十二条 测试抽样。
抽样样本取决于被评价机构或被评价项目的风险、业务频次、重要性等。可在根据业务频次抽样的基础上，结合被评价项目的风险和重要性进行调整。
根据业务频次确定的抽样量参考标准如下：
（一）每月执行一次的业务或事项，抽样量应保持在2-6个之间。
（二）每周执行一次的业务或事项，抽样量应保持在4-10个之间。
（三）每日执行一次的业务或事项，抽样量应保持在10-25个之间。
（四）每日执行多次的业务或事项，全年10000次以下的，抽样量应保持在25-50个之间；全年10000次以上的，抽样量应保持在50个以上。
第四十三条 指标分析。
应收集被评价机构内部控制结果指标的相关信息，进行核实、对比分析和趋势分析，从而对内控目标实现情况做出评价。
第五章 评分标准和评价等级
第四十四条 内部控制评价采取评分制。对内部控制的过程和结果分别设置一定的标准分值，并根据评价得分确定被评价机构的内部控制等级。
第四十五条 内部控制过程评价的标准分为500分，其中：内部控制环境100分、风险识别与评估100分、内部控制措施100分、信息交流与反馈100分、监督评价与纠正100分。上述五部分评价得分加总除以5，得到过程评价的实际得分。
第四十六条 在对内部控制过程评价时，应按照第三章评价内容的要求，结合本办法第八条的四个方面展开，转换为具体评价问题，并根据测试情况对被评价项目进行评分。
第四十七条 初次实施内部控制评价时，须对所有业务活动、管理活动和支持保障活动进行评价。再次评价时，至少应包括：授信业务、资金业务、存款及柜台业务、主要中间业务、计划财务、会计管理、计算机信息系统等。其他活动在每三次再次评价周期内应至少覆盖一次。
第四十八条 内部控制过程评价的具体评分标准如下：
（一）被评价对象的过程和风险已被充分识别的，可得该项分值的百分之二十。
（二）在满足前项的基础上，被评价项目的过程和对风险的控制措施被规定并遵循要求的，可得该项分值的百分之三十。
（三）在满足前两项的基础上，被评价项目的规定得到实施和保持，可再得该项分值的百分之三十。
（四）在满足前三项的基础上，被评价项目在实现风险控制的结果方面，控制措施有效且适宜的，可再得该项分值的百分之二十。
第四十九条 在测试过程中遇有业务缺项或问题“不适用”时，应将涉及到的分值在评价项目总分中扣减。为了保持可比性，在得出其余适用项的总分后，还应将该评价项目的总得分进行调整。
调整后评价项目总得分= 所有适用项目得分/(评价项目总分-不适用项目总分)×100%
单项分值小计和总分分值有小数时四舍五入。
第五十条 若涉及到需要采取抽样测试确定评价结论的，应根据以下情况确定：
（一）如果在抽样范围内未发现违规，该项评价得满分；在抽样范围内，发现两项以上违规（含两项），该项评价不得分；仅发现一项违规的，应扩大一倍抽样，在扩大抽样范围内未发现新的违规的，可得该评价项目分值的50%，在扩大抽样范围内又发现新的违规的，该评价项目不得分。
（二）发现险情或事故的，直接扣除该评价项目的分值。
第五十一条 内部控制的结果评价。结果评价主要评价内部控制目标的实现情况，对这些指标的量化评价可以通过非现场的方式进行。结果评价主要包括十项指标：资本利润率、资产利润率、成本收入比、大额风险集中度指标、关联方交易指标、资产质量指标、不良贷款拨备覆盖率、资本充足指标、流动性指标、案件指标等，指标说明及控制比例见附录。内控结果评价指标的标准分值为500分，转化为百分制后得出实际得分。
银监会可以根据商业银行整体风险情况、经济金融情况和银监会工作的重点，补充、修订或调整有关评价指标及其标准分值。
第五十二条 根据过程评价和结果评价综合确定内部控制体系的总分。其中，过程评价的权重为70％，结果评价的权重为30％，两项得分加总得出综合评价总分。
第五十三条 根据综合评价总分确定被评价机构的内部控制体系评价等级，应按评分标准对被评价机构内部控制项目逐项计算得分，确定评价等级。定级标准为：
一级：综合评分90分 以上（含90分）。指被评价机构有健全的内部控制体系，在各个环节均能有效执行内部控制措施，能对所有风险进行有效识别和控制，无任何风险控制盲点，控制措施适宜，经营效果显著。
二级：综合评分80－89分。指被评价机构内部控制体系比较健全，在各个环节能够较好执行内部控制措施，能对主要风险进行识别和控制，控制措施基本适宜，经营效果较好
三级：综合评分70-79 分。指被评价机构内部控制体系一般，虽建立了大部分内部控制，但缺乏系统性和连续性，在内部控制措施执行方面缺乏一贯的合规性，存在少量重大风险，经营效果一般。
四级：综合评分60 －69 分。被评价机构内部控制体系较差，内部控制体系不健全或重要的内部控制措施没有贯彻执行或无效，管理方面存在重大问题，业务经营安全性差。
五级：综合评分60分以下（不含60分）。被评价机构内部控制体系很差，内部控制体系存在严重缺失或内部控制措施明显无效，存在明显的管理漏洞，经营业务失控，存在重大金融风险隐患。
上述等级也适用于单项评级，单项评级结果主要用于对比分析。
第五十四条 若被评价机构在评价期内发生重大责任事故，应在上述评级的基础上下调一级。
重大责任事故包括：
（一）因安全防范措施不当，发生金融诈骗、盗窃、抢劫、爆炸等案件，造成重大影响或损失。
（二）因经营管理不善发生挤提事件。
（三）业务系统故障，造成重大影响或损失。
（四）经查实的重大信访事件。
第五十五条 内部控制体系连续在三个评价期内得不到改善的机构，其内部控制评价等级应适当下调。
第六章 组织和实施
第五十六条 内部控制评价按照“统一领导，分级管理”的原则进行。
第五十七条 根据评价的范围，内部控制评价可分为以下层次：
（一）银监会及其派出机构对商业银行法人机构的整体评价，原则上每两年一次。
（二）银监会及其派出机构对商业银行总部的评价，原则上每两年一次。
（三）银监会及其派出机构对商业银行不同层次分支机构的评价，每三年一个评价周期，每年至少覆盖三分之一以上的分支机构，三年内必须覆盖全部分支机构。
第五十八条 应当根据风险大小和重要性确定对商业银行及其分支机构内部控制评价的频率和范围，当商业银行发生管理层重大变动、重大的并购或处置、重大的营运方法改变或财务信息处理方式改变等情况，或银监会认为必要时，应对商业银行内部控制进行整体评价。
第五十九条 银监会对商业银行法人机构整体评价时，总部占整体评价得分的60%,分支机构平均得分占整体评价得分的40%，形成最终评级结果。其中，初次整体评价时，应覆盖总行和所有分支机构；再次进行整体评价时，应抽取不少于三分之一的分支机构。
银监会各派出机构对辖内商业银行分支机构的内部控制评价可比照进行。
第六十条 银监会及其派出机构应及时整理、分析和掌握被评价机构报送的非现场监管数据、国家审计部门的审计结果和被评价机构的内部审计信息，充分利用监管部门对被评价机构的各种现场检查结果。
第六十一条 银监会或其派出机构应对被降价机构内部控制体系的改进情况进行后续跟踪，责令被评价机构针对发现的违规或风险隐患制定纠正措施，并对纠正情况及其有效性进行验证。
第六十二条 内部控制评价各阶段涉及的有关记录、表格、评价报告以及跟踪验证的相关资料均应作为监管档案妥善保管。
第六十三条 银监会可根据需要委托外部中介机构对商业银行内部控制体系进行评价。受托中介机构和人员必须熟悉商业银行业务和运作，具备商业银行内部控制体系建立或评价方面的经验。各派出机构选聘中介机构时，必须报银监会批准。
受托中介机构对商业银行的内部控制评价须按照本办法执行。
第七章 罚 则
第六十四条 银监会根据评级结果及评价报告所反映的情况，针对被评价机构内部控制体系存在问题的性质及严重程度，可分别采取以下一项或多项监管措施：
（一）约见被评价机构第一负责人或董事长。
（二）就评价对象内部控制体系存在问题可能引发的风险，向被评价机构进行提示和警告。
（三）要求被评价机构对内部控制体系存在的问题限期整改。
（四）加大现场检查力度及频率。
（五）建议调整管理层。
（六）取消有关人员一定期限或终身银行业从业资格。
（七）责令整顿或暂停办理相关业务。
（八）延缓批准或拒绝受理增设分支机构、开办新业务的申请。
第六十五条 对内部控制评价中发现的违规、违法行为，应根据有关规定，采取相应处罚措施。
第六十六条 未经批准或许可，任何单位和个人不得对外公布对被评价机构的内部控制体系等级评定结果。凡擅自公布等级评定结果，应追究有关人员的责任。
第八章 附 则
第六十七条 本办法涉及的重要名词术语解释如下：
（一）体系：相互关联或相互作用的一组要素。
（二）文件：信息及其承载媒体。媒体可以是纸张，计算机磁盘、光盘或其他电子媒体，或其组合。
（三）程序：为进行某项活动或过程所规定的途径。程序可以形成文件，也可以不形成文件；当程序形成文件时，通常称为书面程序。
（四）风险相关方：与商业银行在风险及其控制方面有利益关系的个人或团体。风险相关方包括风险直接承担者和间接利害关系者，前者如商业银行投资者、顾客或员工，后者如监管机构。
（五）内部控制绩效：根据内部控制政策和目标，在控制风险方面所取得的可测量的结果（绩效测量包括内部控制活动和结果的测量）。
（六）事故：造成损失的非预期事件。
（七）险情：可能造成损失的事件。
（八）违规：未满足规定的要求，既可能是人员主观造成的，也可能是其他客观原因导致的。
（九）预防措施：为消除潜在违规、险情或事故的原因所采取的措施。
（十）纠正措施：为消除己发现的违规、险情和事故的原因所采取的措施。
第六十八条 商业银行应根据本办法制定相应的实施细则并报银监会或其派出机构备案。
第六十九条 本办法适用于在中华人民共和国境内依法设立的国有商业银行、股份制商业银行、外资商业银行、城市商业银行、农村商业银行、农村合作银行和邮政储蓄机构。对政策性银行、城乡信用社和非银行金融机构的评价可参照本办法执行。
第七十条 未进行股份制改造的商业银行、农村合作银行和邮政储蓄机构、政策性银行、城乡信用社和非银行金融机构，应由高级管理层负责内部控制体系的建立、维护和改进，并明确相对独立的决策、监督和执行的职责和权限。
第七十一条 本办法由银监会负责解释与修订。
第七十二条 本办法自2005年2月1日起施行。
本内容来源于政府官方网站，如需引用，请以正式文件为准。
第四篇：内部控制评价办法
内部控制评价办法
第一章 总则
第一条 为规范和加强对内部控制的评价，督促进一步建立内部控制体系，健全内部控制机制，为全面风险管理体系的建立奠定基础，保证公司稳健运行，根据《企业内部控制基本规范》，制定本办法。
第二条 内部控制评价是指对内部控制体系建设、实施和运行结果独立开展的调查、测试、分析和评估等系统性活动。
内部控制评价包括过程评价和结果评价。过程评价是对内部控制环境、风险识别与评估、内部控制措施、监督评价与纠正、信息交流与反馈等体系要素的评价。结果评价是对内部控制主要目标实现程度的评价。
第三条 内部控制体系是为实现经营管理目标，通过制定并实施系统化的政策、程序和方案，对风险进行有效识别、评估、控制、监测和改进的动态过程和机制。
第四条 内部控制评价人员应接受有关内部控制评价知识和技能的培训，具备相应的资质和能力。
第二章 评价目标和原则
第五条 内部控制评价应从充分性、合规性、有效性和适宜性等四个方面进行：
（一）过程和风险是否已被充分识别。
（二）过程和风险的控制措施是否遵循相关要求、得到明确规定并得以实施和保持。
（三）控制措施是否有效。
（四）控制措施是否适宜。
第六条 内部控制评价应遵循以下原则：
（一）全面性原则。评价范围应覆盖内部控制活动的全过程及所有的系统、部门和岗位。
（二）统一性原则。评价的准则、范围、程序和方法等应保持一致，以确保评价过程的准确及评价结果的客观和可比。
（三）独立性原则。评价应由公司专职人员独立进行。
（四）公正性原则。评价应以事实为基础，以法律法规、监管要求为准则，客观公正，实事求是。
（五）重要性原则。评价应依据风险和控制的重要性确定重点，关注重点区域和重点业务。
（六）及时性原则。评价应按照规定的时间间隔持续进行，当经营管理环境发生重大变化时，应及时重新评价。
第三章 评价内容 第一节 内部控制环境
第六条 公司治理。
公司应建立以股东大会、董事会、监事会、高级管理层等为主体的公司治理组织架构，保证各机构规范运作，分权制衡。
（一）完善股东大会、董事会、监事会及下设的议事和决策机构，建立议事规则和决策程序。
（二）明确董事会和董事、监事会和监事、高级管理层和高级管理人员在内部控制中的责任。
（三）建立独立董事制度，对董事会讨论事项发表客观、公正的意见。
（四）建立外部监事制度，对董事会、董事、高级管理层及其成员进行监督。
第七条 董事会、监事会和高级管理层责任。
董事会负责保证公司建立并实施充分而有效的内部控制体系；负责审批整体经营战略和重大政策并定期检查、评价执行情况；负责确保公司在法律和政策的框架内审慎经营，明确设定可接受的风险程度，确保高级管理层采取必要措施识别、计量、监测并控制风险；负责审批组织机构；负责保证高级管理层对内部控制体系的充分性与有效性进行监测和评估。
监事会负责监督董事会、高级管理层完善内部控制体系；负责监督董事会及董事、高级管理层及高级管理人员履行内部控制职责；负责要求董事、董事长及高级管理人员纠正其损害公司利益的行为并监督执行。
高级管理层负责制定内部控制政策，对内部控制体系的充分性与有效性进行监测和评估；负责执行董事会决策；负责建立识别、计量、监测并控制风险的程序和措施；负责建立和完善内部组织机构，保证内部控制的各项职责得到有效履行。
董事会和高级管理层还应培育良好的内部控制文化，提高员工的风险意识和职业道德素质，建立通畅的内外部信息沟通渠道，确保及时获取与内部控制有关的人力、物力、财力、信息以及技术等资源。
第八条 内部控制政策。
公司应在各项业务和管理活动中制定明确的内部控制政策，规定内部控制的原则和基本要求，并为制定和评审内部控制目标提供指导。内部控制政策应：
（一）与公司的经营宗旨和发展战略相一致；
（二）体现持续改进内部控制的要求；
（三）符合现行法律法规和监管要求；
（四）体现出侧重控制的风险类型；
（五）体现出对不同地区、行业、产品的风险控制要求；
（六）传达给适用岗位的员工，指导员工实施风险控制措施；
（七）可为风险相关方所获取，并寻求互利合作；
（八）定期进行评审，确保其持续的适宜性和有效性。
第十三条 内部控制目标。
公司应在相关职能和层次上建立并保持内部控制目标。内部控制目标应符合内部控制政策，并体现对持续改进的要求。
在建立和评审内部控制目标时，应考虑法律法规、监管要求和其他要求，以及技术、财务、经营和风险相关方等因素，尤其应考虑监管部门的内部控制指标要求。
内部控制目标应可测量。有条件时，目标应用指标予以量化。
第十四条 组织结构。
公司应建立分工合理、职责明确、报告关系清晰的组织结构，明确所有与风险和内部控制有关的部门、岗位、人员的职责和权限，并形成文件予以传达。特别应考虑：
（一）建立相应的授权体系，实行统一法人管理和法人授权。
（二）必要的职责分离，以及横向与纵向相互监督制约关系。
（三）涉及资产、负债、财务和人员等重要事项变动均不得由一个人独自决定。
（四）明确关键岗位、特殊岗位、不相容岗位及其控制要求。
（五）建立关键岗位定期或不定期的人员轮换和强制休假制度。
公司应设立负有内部控制体系建立、实施特殊责任的专门委员会或部门，明确其责任、权限和报告路线。
公司应设立全行系统垂直管理、具有充分独立性的内部审计部门。内部审计部门应配备具有相应资质和能力的审计人员；应有权获得公司的所有经营、管理信息；应根据对辖属机构的风险评级结果确定审计频率，以及对机构和业务的审计覆盖率，定期或不定期对内部控制的健全性和有效性实施检查、评价；应及时向董事会或董事会审计委员会提交审计报告；董事会及高级管理层应保证审计报告中指出的内部控制的缺失得到及时纠正整改；总部内部审计负责人的聘任和解聘应当经董事会或监事会同意。
第十五条 企业文化。
公司应培育健康的企业文化，对企业文化的内涵及其策划、渗透、评估与改进做出明确的规定。特别应向员工传达遵守法律法规和实施内部控制的重要性，引导员工树立合规意识和风险意识，提高员工职业道德水准，规范员工职业行为。
第十六条 人力资源。
公司应完善人力资源政策和程序，确保与风险和内部控制有关人员具备相应的能力和意识。
公司应明确与风险和内部控制有关人员的适任条件，明确有关教育、工作经历、培训和技能等方面的要求，以确保相关人员的胜任。
高级管理人员必须满足监管机构对高级管理人员资质的要求。
公司应制定并保持培训计划，以确保高级管理层和全体员工能够完成其承担的内部控制方面的任务和职责。培训计划应定期评审，并应考虑不同层次员工的职责、能力和文化程度以及所面临的风险。对员工引进、退出、选拔、绩效考核、薪酬、福利、专业技术职务管理处罚等日常人事管理做出详细规定，并充分考虑人力资源管理过程中的风险。
第二节 风险识别与评估
第十七条 经营管理活动风险识别与评估。
建立和保持书面程序，以持续对各类风险进行有效的识别与评估。
应识别并确定常规和非常规的业务和管理活动，并识别这些活动中的风险（无论是否由内部产生），考虑其类型、来源及其影响范围，特别应考虑计算机系统的运用可能带来的风险。
应依据法律法规、监管要求以及内部控制政策确定风险是否可接受，以确定是否进一步采取措施。风险可接受时，应监测并定期评审，以确保其持续可接受；风险不可接受时，应制定控制措施。
对各类风险进行识别与评估时应充分考虑内部和外部因素。其中，内部因素包括组织结构的复杂程度、业务性质、机构变革以及员工的流动等；外部因素包括经济形势的波动、行业变动趋势等。
当环境和条件发生变化时，应及时对风险进行再识别和再评估，以确保任何新的和以前未曾予以控制的风险得到识别和控制。
风险识别与评估应：
（一）依据业务范围、性质和时限主动进行。
（二）评估风险的后果、概率和风险级别。
（三）必要时开发并运用风险量化评估的方法和模型。
第十八条 法律法规、监管要求和其他要求的识别。
应建立并保持识别和获取适用法律法规、监管要求和其他要求的程序，作为风险识别与评估、制订控制目标和控制方案的依据。
应及时更新法律法规、监管要求和其他要求的信息，并将这些信息传达给相关员工和其他风险相关方。
第十九条 内部控制方案。
制定内部控制方案，以控制已识别的不可接受风险。内部控制措施方案应包括以下内容：
（一）为实现对风险的控制而规定的相关职责与权限。
（二）控制的策略、方法、资源需求和时限要求。
若涉及到组织结构、流程、计算机系统等方面的重大变更，应考虑可能产生的新风险。
第三节 内部控制措施
第二十条 运行控制。
应确定需要采取控制措施的业务和管理活动，依据所策划的控制措施或已有的控制程序对这些活动加以控制。
控制措施包括：
1.高层检查。董事会与高级管理层应要求下级部门及时报告经营管理情况和特别情况，以检查内部控制的实施状况以及在实现内部控制目标方面的进展。高级管理层应根据检查情况提出内部控制缺失情况，督促职能管理部门改进。
2.行为控制。各级职能管理部门审查每天、每周或每月收到的经营管理情况和特别情况专项报表或报告，提出问题，要求采取纠正整改措施。
3.实物控制。主要的控制措施包括实物限制、双重保管和定期盘存等。
4.风险暴露限制的审查。审查遵循风险暴露限制方面的合规性，违规时继续跟踪检查。
5.审批与授权。根据若干限制条件对各项业务、管理活动进行审批与授权，明确各级的管理责任。
6.验证与核实。验证各项业务、管理活动以及所采用的风险管理模型结果，并定期核实相关情况，及时发现需要修正的问题，并向职能管理部门报告。
7.不兼容岗位的适当分离。实行适当的职责分工，认定潜在的利益冲突并使之最小化。
第二十一条 计算机系统环境下的控制。
应考虑计算机系统环境下的业务运行特征，建立信息安全管理体系，对硬件、操作系统和应用程序、数据和操作环境，以及设计、采购、安全和使用实施控制，确保信息的完整性、安全性和可用性。明确计算机信息系统开发部门、管理部门与应用部门的职责，建立和健全计算机信息系统风险防范的制度，确保计算机信息系统设备、数据、系统运行和系统环境的安全。
第四节 监督评价与纠正
第二十三条 内部控制绩效监测。
应建立并保持书面程序，通过适宜的监测活动，对内部控制绩效进行持续监测。
监测内容包括：
（一）内部控制目标实现程度。
（二）法律、法规及监管要求的遵循程度。
（三）事故、险情和其他不良的内部控制绩效的历史情况。
第二十四条 违规、险情、事故处置和纠正及预防措施。
应建立并保持书面程序，对违规、险情、事故的发现、报告、处置和纠正及预防措施做出规定，包括：
（一）发现违规、险情、事故并及时报告，必要时，可越级报告。
（二）及时处置违规、险情、事故。
（三）制定纠正与预防措施，防止违规、险情、事故的发生和再发生，并与问题的大
小和风险危害程度相一致。
（四）纠正与预防措施在实施之前应进行风险评估。
（五）实施并跟踪、验证纠正与预防措施。
（六）险情和事故的责任追究。
第二十五条 内部控制体系评价。
应建立并保持书面程序，对内部控制体系实施评价，确保内部控制体系的充分性、合规性、有效性和适宜性。程序应包括评价的目的、准则、范围、频率、方法以及职责与要求。
评价应考虑活动的风险评估结果、业务和管理流程和以前的评价结果等，覆盖体系范围内的所有活动。
可根据评价结果确定内部控制水平的等级。被评价机构的管理者应采取措施消除违规原因，并验证所采取措施的效果。
评价应由与评价的活动无直接责任的人员进行，评价人员应具备相应的知识，能够胜任评价工作。
第二十六条 管理评审。
董事会应采取措施保证定期对内部控制状况进行评审，确保体系得到持续、有效的改进。
（一）管理评审应包括以下方面的内容：
1.内部控制体系评价的结果。
2.内部控制政策执行情况和内部控制目标实现情况。
3.对内部控制体系有重要影响的外部信息，如法律、法规的重大变化。
4.组织结构的重大调整。
5.事故和险情以及重大纠正和预防措施的状况。
6.以往管理评审的跟踪情况。
7.内部控制体系改进的建议。
（二）管理评审应就以下方面提出改进措施并落实：
1.内部控制体系及其过程的改进。
2.内部控制政策、目标的变更。
3.与内部控制有关资源的需求。
第二十七条 持续改进。
商业银行应利用内部控制政策、内部控制目标、评价结果、绩效监测和数据分析、纠正和预防措施以及管理评审等，持续提高内部控制体系有效性。
第五节 信息交流与反馈
第二十八条 交流与沟通。
应建立并保持信息交流与沟通的程序，明确对财务、管理、业务、重大事件和市场信息等相关信息识别、收集、处理、交流、沟通、反馈、披露的渠道和方式。
应识别其内部和外部的风险相关方，考虑他们的要求和目标，建立与这些相关方进行信息交流的机制，确保：
（一）董事会和高级管理层能够及时了解业务信息、管理信息以及其他重要风险信息。
（二）所有员工充分了解相关信息、遵守涉及其责任和义务的政策和程序。
（三）险情、事故发生时，相关信息能得到及时报告和有效沟通。
（四）及时、真实、完整地向监管机构和外界报告、披露相关信息。
（五）国内外经济、行业动态信息的取得和处理，并及时把与企业既定经营目标有关的信息提供给各级管理层。
信息交流与沟通应考虑信息的安全性和保密性要求。相关信息报告、发布、披露应经过授权。
为保持信息交流沟通的可追溯性，必要时，应保持相关信息交流与沟通的记录。
第二十九条 内部控制体系对文件的要求。
建立和保持文件化体系是实现信息交流与反馈的重要途径。公司应建立并保持必要的内部控制体系文件，包括：
（一）对内部控制体系要素及其相互作用的描述。
（二）内部控制政策和目标。
（三）关键岗位及其职责与权限。
（四）不可接受的风险及其预防和控制措施。
（五）控制程序、作业指导、方案和其他内部文件。
第三十条 文件控制。
应建立并保持书面程序，以确保内部控制体系所要求的文件满足下列要求：
（一）易于查询。
（二）实施前得到授权人的批准。
（三）定期评审，必要时予以修订并由授权人员确认其适宜性。
（四）所有相关岗位都能得到有效版本。
（五）失效时，及时从所有发放处和使用处收回，或采取其他措施防止误用。
（六）及时识别、处置外来文件并进行标识，必要时转化为内部文件。
（七）留存的档案性文件和资料应予以适当标识。
第三十一条 记录控制。
应建立并保持书面程序，以规定内部控制相关活动中所涉及记录的标识、生成、贮存、保护、检索、保存期限和处置。
记录应保持清晰、易于识别和检索，以提供符合要求和内部控制体系有效运行的证据，并可追溯到相关的活动。
第四章 评价程序和方法
第三十二条 内部控制评价程序一般包括评价准备、评价实施、评价报告形成和反馈等步骤。
第三十三条 评价准备。
组成评价组。评价组应考虑组成人员的背景和能力。必要时，可聘请业务或管理方面的专家。
制订评价实施方案。实施方案应明确本次评价的目的、范围、准则、时间安排和相应的资源配置。
准备必要的工作文件。主要包括评价问卷、抽样计划、被评价机构的内部控制体系文件及相关记录等。
在现场评价前应先与被评价机构建立初步联系，以便确认有关评价事项和安排。
第三十四条 评价实施。
评价组应按照既定的评价方案实施评价。在评价实施中应就评价组内部以及评价组与被评价机构之间的沟通做出正式安排，通过适当的方法收集与评价目的、范围和准则有关的信息，根据评价方案对被评价项目进行测试，对有关数据进行确认和分析，并予以记录。
评价实施的具体方法见第三十九条至四十三条。
第三十五条 评价报告形成。
评价组根据评价实施情况，撰写评价报告，应重点分析以下方面：
（一）被评价机构内部控制体系现状、存在问题及趋势分析。
（二）同类企业比较（如适用）。
（三）可能的谅解因素。
第三十六条 评价反馈。
对被评价机构内部控制体系进行综合评价后，应与被评价机构管理层沟通，以核对数据，确认事实，并就评价中的问题征求意见。
第三十八条 内部控制评价方法是为实现评价目的，对被评价机构内部控制体系进行分析和评价而采取的技术和手段的总称。
第三十九条 内部控制评价实施包括：
了解内部控制体系。应了解被评价机构内部控制体系的基本情况，确认评价范围，确定被评价机构的内部控制体系的健全程度，然后决定实施测试所采取的方法。
实施测试和分析。实施测试和分析是在了解内部控制体系的基础上，评价内部控制体系的运行与绩效。具体可以采取符合性测试和指标分析等，其中，对内部控制过程评价主要采取符合性测试法；对内部控制结果评价，主要采取指标分析法。
第四十条 了解内部控制体系。
了解被评价机构内部控制体系主要通过询问、查阅、观察、流程图等方法进行，以初步评价被评价机构内部控制体系的充分性和合规性。
第四十一条 符合性测试。
符合性测试是获得评价证据以证实内部控制在实际中的合规性、有效性和适宜性，即相关规定在实际中是否被一贯执行，控制措施能否达到控制目的，控制措施是否恰当。符合性测试分为两种形式：
（一）业务测试，即对重要业务或典型业务进行测试，按照规定的业务处理程序进行检查，确认有关控制点是否符合规定并得到认真执行，以判断内部控制的遵循情况。
（二）功能测试，即对某项控制的特定环节，选择若干时期的同类业务进行检查，确认该环节的控制措施是否一贯或持续发挥作用。
符合性测试的具体方法包括抽样法、穿行测试法、证据检查法和压力测试法等。
第四十二条 测试抽样。
抽样样本取决于被评价机构或被评价项目的风险、业务频次、重要性等。可在根据业务频次抽样的基础上，结合被评价项目的风险和重要性进行调整。
第四十三条 指标分析。
应收集被评价机构内部控制结果指标的相关信息，进行核实、对比分析和趋势分析，从而对内控目标实现情况做出评价。
第五章 评分标准和评价等级
第四十四条 内部控制评价采取评分制。对内部控制的过程和结果分别设置一定的标准分值，并根据评价得分确定被评价机构的内部控制等级。
第四十五条 内部控制过程评价的标准分为500分，其中：内部控制环境100分、风险识别与评估100分、内部控制措施100分、信息交流与反馈100分、监督评价与纠正100分。上述五部分评价得分加总除以5，得到过程评价的实际得分。（需根据情况修改）
第四十六条 在对内部控制过程评价时，应按照第三章评价内容的要求，结合本办法第八条的四个方面展开，转换为具体评价问题，并根据测试情况对被评价项目进行评分。
第四十七条 初次实施内部控制评价时，须对所有业务活动、管理活动和支持保障活动进行评价。
第四十八条 内部控制过程评价的具体评分标准如下：
（一）被评价对象的过程和风险已被充分识别的，可得该项分值的百分之二十。
（二）在满足前项的基础上，被评价项目的过程和对风险的控制措施被规定并遵循要
求的，可得该项分值的百分之三十。
（三）在满足前两项的基础上，被评价项目的规定得到实施和保持，可再得该项分值的百分之三十。
（四）在满足前三项的基础上，被评价项目在实现风险控制的结果方面，控制措施有效且适宜的，可再得该项分值的百分之二十。
第四十九条 在测试过程中遇有业务缺项或问题“不适用”时，应将涉及到的分值在评价项目总分中扣减。为了保持可比性，在得出其余适用项的总分后，还应将该评价项目的总得分进行调整。
调整后评价项目总得分= 所有适用项目得分/(评价项目总分-不适用项目总分)×100%
单项分值小计和总分分值有小数时四舍五入。
第五十条 若涉及到需要采取抽样测试确定评价结论的，应根据以下情况确定：
（一）如果在抽样范围内未发现违规，该项评价得满分；在抽样范围内，发现两项以上违规（含两项），该项评价不得分；仅发现一项违规的，应扩大一倍抽样，在扩大抽样范围内未发现新的违规的，可得该评价项目分值的50%，在扩大抽样范围内又发现新的违规的，该评价项目不得分。
（二）发现险情或事故的，直接扣除该评价项目的分值。
第五十一条 内部控制的结果评价。结果评价主要评价内部控制目标的实现情况，对这些指标的量化评价可以通过非现场的方式进行。结果评价主要包括XXXX项指标：XXX、XXX等。内控结果评价指标的标准分值为500分，转化为百分制后得出实际得分。（需根据情况修改）
第五十二条 根据过程评价和结果评价综合确定内部控制体系的总分。其中，过程评价的权重为70％，结果评价的权重为30％，两项得分加总得出综合评价总分。
第五十三条 根据综合评价总分确定被评价机构的内部控制体系评价等级，应按评分标准对被评价机构内部控制项目逐项计算得分，确定评价等级。定级标准为：
一级：综合评分90分 以上（含90分）。指被评价机构有健全的内部控制体系，在各个环节均能有效执行内部控制措施，能对所有风险进行有效识别和控制，无任何风险控制盲点，控制措施适宜，经营效果显著。
二级：综合评分80－89分。指被评价机构内部控制体系比较健全，在各个环节能够较好执行内部控制措施，能对主要风险进行识别和控制，控制措施基本适宜，经营效果较好
三级：综合评分70-79 分。指被评价机构内部控制体系一般，虽建立了大部分内部控制，但缺乏系统性和连续性，在内部控制措施执行方面缺乏一贯的合规性，存在少量重大风险，经营效果一般。
四级：综合评分60 －69 分。被评价机构内部控制体系较差，内部控制体系不健全或重要的内部控制措施没有贯彻执行或无效，管理方面存在重大问题，业务经营安全性差。
五级：综合评分60分以下（不含60分）。被评价机构内部控制体系很差，内部控制体系存在严重缺失或内部控制措施明显无效，存在明显的管理漏洞，经营业务失控，存在重大金融风险隐患。
上述等级也适用于单项评级，单项评级结果主要用于对比分析。
第五十四条 若被评价机构在评价期内发生重大责任事故，应在上述评级的基础上下调一级。
重大责任事故包括：（需根据情况修改）
第五十五条 内部控制体系连续在三个评价期内得不到改善的机构，其内部控制评价等级应适当下调。
第五篇：商业银行内部控制
第一章：
一、内部控制的产生与发展
1、内部牵制阶段，在20世纪40年代前，用如结绳计数等方法为标志。到15世纪末，以
意大利出现的复式记账方法为标志。
2、内部控制制度阶段，它产生与20世纪40年代至70年代初，3、内部控制结构阶段，产生于20世纪80年代，标志是美国注册会计协会于1988年5
月发布的《审计准则公告第55号》
4、内部控制整体框架阶段，产生于20世纪90年代后，标志是COSO报告。
定义：COSO报告是有企业的管理人员设计的，为实现营业的效果和效率、财务报告的可靠及合法合规目标提供合理保证，通过董事会、管理人员和其他职业实施的一种过程。认为内部控制由5个要素组成：
控制环境：是指职员履行其控制责任、开展业务活动所处的氛围，包括志愿的品性和
经营环境
风险评估: 它是指对应项作业目标达成的相关风险的辨认和分析，其前提是目标的确
定。
控制活动：它是指企业制定并予以执行的政策和程序，以帮助确保其用于处理影响目
标达成的风险之管理人员指令得到有效落实。
信息与沟通：它是指以一定形式和在一定的时间段内辨认、获得的，为员工在执行、管理和控制作业过程中所需的信息，以及信息的交换和传递。
监控：它是指评估内部控制运作质量的过程，包括持续性监控活动和个别评估。
二、内部控制设计和实施中存在的缺陷
对内部控制制度的认识不到位，违规经营时有发生
法人治理结构不完善，缺乏监督制约机制
内控制度不健全，不适应业务发展的需要
稽核机制不健全，影响内部控制的有效落实
风险控制系统不健全，对内部控制的评价与监督不够
三、内部控制的局限性
COSO报告强调了内部控制的局限性，为实现企业目标提供合理的而非绝对的保证，这
也是为什么说内部控制为发现和防止错误或舞弊只是提供“合理的”而非“绝对的”保 证的原因。主要表现在一下几方面
1、成本限制。一般来说，控制程序的成本不能超过风险或错误可能造成的损失和浪费，否则再好的控制措和方法也将失去其降低成本的意义
2、串通舞弊。不相容责任的恰当分离可以避免单独的一人从事和隐瞒不合规行为提供
合理的保证，但两个或更多人合伙作弊即可逃避这类控制，内控失效。
3、人为错误。内控系统发挥作用关键是取决于执行人员的实际运作，不能期望人们在执行控制职责时始中正确无误，人为错误会造成控制失效
4、管理越权。任何程序也不能发现和防止那些负责监督控制的管理人员滥用职权，管
理当局的干预一直是导致许多重大舞弊发生和会计报表是真的重要原因
5、修订跟不上环境的变化。被审单位为便于生存和保持竞争能力，势必要经常调整经
营策略，这就可能导致控制程序对新增业务内容失去了控制作用。
第二章
一、商业银行内部控制定义：内部控制是商业银行为实现经营目标，通过制定和实施一系列制度、程序和方法，对风险进行事前防范、事中控制、事后监督和纠正的动态过程和机制。
二、商业银行内部控制系统的基本要素及相互关系
商业银行内部控制应当包括以下要素：内部控制环境、风险识别与评估、内部控制措施、信息交流与反馈、监督评价与纠正。要素的相互连结、相互作用就形成了内部控制系统
相互关系：内部控制环境是整个系统的基础，是影响商业银行内部控制作用发挥的各种内部因素；风险识别与评估旨在发现和计量商业银行实现其目标的过程中存在的不确定性，为控制活动指明了方向；内部控制措施是商业银行内部控制系统的核心，是具体实施内部控制的过程；信息交流与反馈为各个要素的沟通，引导内部控制系统有效运行，确保控制目标的实现提供个信息支持。监督评价与纠正是高管对内部控制的管理监督和内部稽核部门对内部控制的在监督、再评价与纠正偏差活动的总称，处于内部控制系统的最高顶层。
三、商业银行风险定义
是指商业银行在经营过程中，由于不确定因素的影响而导致银行蒙受经济损失或获取而外收益的机会和可能性。
四、内部控制措施（案例）
主要包括：岗位设置控制、授权批准控制、程序控制或标准化控制、会计系统控制、预
算控制、事物控制（限制直接接触、定期盘点、记录保护、财产保险）、内
部审计控制、风险防范控制
第三章
一、控制测试与了解内部控制的不同
控制测试指的是测试控制运行的有效性，这一概念需要与了解内部控制进行区分，了解
内部控制包括两层含义：
1、评价控制的设计
2、确定控制是否得到执行，测试控制运 行的有效性与去顶控制是否得到执行所需获取的审计证据是不同的二、对商业银行内部控制所做的研究和评价
1、了解商业银行的内部控制情况，并作出相应的记录
2、实施符合性测试程序，证实有关内部控制的设计和执行的效果
3、评价内部控制的强弱，即评价控制风险，发现风险点
三、内部控制的描述
内部控制描述是指测评人员对于调查了解的内部控制情况和所做的控制风险初步评价进行适当的记录。内部控制调查记录的方法通常有：调查表、文字表述、流程图等。
四、内部控制的测试
定义：控制测试又称符合性测试，是在对内部控制初步了解和评价的基础上，对内部 控制制度的状况以及是否得到贯彻执行而进行的测试，其目的是确定商业银行的业务 处理是否符合内部控制制度的规定，判断内部控制制度的遵循程度，进而确定风险点 和关键控制点符合性测试的对象包括：控制设计、控制执行
五、控制风险的评价标准
控制风险的评价标准分为高、较高、中、低四个层次。风险低的标志是：内部控制健全、合理，且在测试检查有关业务活动时，未发现任何差错或仅发现极少的差错。风险中的标志是；内部控制比较健全、合理，还存在一定缺陷，且在测试检查有关业务活动时，发现有一定程度的差错。风险较高的标志是：内部控制设计不够完善或虽然设计了良好的内部控制，但实际运行中差错发生效率高。风险高的标志是：内部控制设计不完善或虽然设计了良好的内部控制，但实际运行中差错发生效率很高。
点击咨询 