kpmg -商业银行内审观察（2026年度第二季度）

毕马威“内审观察”系列为商业银行内部审计服务专题报告。我们持续跟踪国内外内部审计理论发展、银行业重要法规及监管政策变化、监管检查与处罚动态、市场变化及舆情信息等，并运用毕马威专家团队丰富的行业经验及专业解读，及时与您分享内部审计相关的风险洞察与应对建议。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司销管理办法》《网络数据安全风险评估办法》《衍生品交易监督管理办法（试行）》《关于银行业保险业人工智能安全开发应用的指导意见》4预算执行和其他财政收支的审计工作报告》金融国际内部审计师协会报告《从数据到决策：通过可视化与故事叙述强化内部审计》《董事会需知花旗银行、摩根大通、汇丰银行等近期内部审计务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司2026年上半年，财政部、中国人民银行、国家金融监督管理总局、中国证券监督管理委员会、国家外汇管理局、中国银行业协会、中国保险行业协会、中国证券投资基金业协会等监管机构、行业自律组织和交易所等，共发布重要新规及征求意见稿145项。从涉及领域与重点规范事项来看，主要涵盖金融监管、信贷业务、金融市场业务、同业业务、代理销售、托管业务、资本市场业务、运营管理、反洗钱、人工智能等多个业务及管理领域，旨在进一步完善金融市场体系、强化风险管理、优化资源配置以及推动经济高质量发展。延续一季度新规分析，我们梳理了二季度重点领域的核心法规要点及关注事项，供内部审计工作参考。《金融产品网络营销管理办法》（本篇纳入重点篇章分析）信贷业务代理销售业务•新规确立了从营销内容制作、审核、发布到事后监督的全流程管控框架，强调金融机构对营销活动的主体责任，要求建立总部集中统一的管理机制，实现营销宣传的标准化、规范化管理。内部审计应重点关注银行是否建立了完善的营销宣传管理制度，包括总部集中审查机制、分级授权审批流程、营销内容标准化模板、违规问责机制等。•新规明确划分了金融机构与第三方平台的职责边界，禁止第三方平台介入合同签订、资金划转、适当性测评等核心业务环节，防止风险传导和责任不清。要求金融机构对合作方进行事前评估、事中监控和事后追责。《进一步深化和规范“银税互动”工作的通知》信贷业务税务管理•该通知明确税务部门与银行建立省对省合作机制，推进数据直连链路升级，规范涉税数据提供内容与方式，强调企业授权与最小必要原则，落实数据安全保密责任。内部审计应抽查企业授权书，核实是否存在捆绑授权、超期授权或超范围使用情形。•该通知要求银行优化信贷服务并持续监测贷款模型有效性，鼓励依托信用评价结果完善授信定价模型。内部审计应评估涉税数据信贷模型的运行有效性及变量选取合理性，核查是否存在模型偏差导致的授信决策系统性缺陷。说明：根据监管机构网站公开发布信息自行编制。一季度监管规务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司《关于做好2026年小微企业金融服务工作的通知》信贷业务普惠金融•该通知要求银行业金融机构着力提供与经济发展相适应、与小微企业需求相匹配的信贷供给，实现贷款质的有效提升和量的合理增长，并围绕新质生产力加强科技和创新型小微企业金融服务。内部审计应关注小微企业信贷投放是否切实匹配区域经济实际需求，以及科创小微企业授信审批标准是否与风险特征相匹配。•该通知要求坚持线上、线下并重加强科技赋能，提升尽职调查、授信评审及风险管理水平，并拓展“信贷+”综合服务能力。内部审计应评估线上化尽调与授信流程的内控有效性，以及“信贷+”综合服务是否在风险可控前提下开展。•该通知要求保持对小微企业信贷业务内部资源适当倾斜，在信贷配置、绩效考核、人员配备、内部资金转移定价等方面给予充分保障。内部审计应核查内部资源倾斜政策是否落实到位，绩效考核是否片面追求规模而忽视风险成本。《中国人民银行管理领域严重失信主体名单管理办法（征求意见稿）》信贷业务•该办法适用于票据、支付、人民币流通、征信等领域严重失信主体名单管理，明确擅自设立票据交易机构、非法从事支付或征信业务、挪用备付金、签发大额空头支票等应列入名单的情形。新规正式发布时，内部审计应排查相关业务领域是否存在触发列入名单的违规行为。•该办法规定列入程序含告知、陈述申辩、认定决定及复议诉讼程序，管理期限一般3年，满12个月且符合履行义务等条件可申请提前移出。新规正式发布时，内部审计应评估被列入名单的处置程序是否合规，移出条件触发后是否及时申请。《关于调整银行业金融机构境外贷款业务有关事宜的通知》信贷业务•本次调整是宏观审慎管理框架下对跨境融资政策的优化，通过上调杠杆率和设立保底额度，扩大了银行业金融机构支持实体经济的跨境融资能力。银行应按照新规要求重新测算并报备境外贷款余额上限，实际业务中严格遵守额度限制，对期末境外贷款余额建立预警机制。•随着境外贷款额度的扩大，国别风险管理的重要性进一步提升。内部审计应评估银行国别风险管理制度的健全性，检查是否建立了国别风险评级体系，是否定期进行国别风险评估，是否计提了充足的国别风险准备金。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司《关于建立企业信用状况综合评价体系的实施方案》信贷业务•该方案明确企业信用状况综合评价主要包括公共信用评价和市场化信用评价，鼓励金融机构依托全国一体化融资信用服务平台网络，合理使用公共信用评价结果完善授信、风险评价和息费定价模型。内部审计应关注银行获取和使用公共信用评价结果的流程是否合规，是否将评价结果合理嵌入授信审批与风险定价环节。•该方案鼓励对信用评价等级较高的企业降低抵质押担保要求，逐步扩大信用贷款覆盖面、提升信用贷款比重。内部审计应评估银行依据信用评价等级调整授信策略的执行情况，是否存在过度依赖单一评价来源导致的风险识别盲区，以及信用贷款占比提升过程中的风险管控措施是否同步到位。《国家金融监督管理总局农村中小银行机构行政许可事运营管理•该办法将农村商业联合银行准入政策、金融机构合规管理办法、银行业金融机构董事和高级管理人员任职资格管理办法等最新监管要求纳入行政许可，对部分行政许可事项的内部审查流程、审批事权划分及报告路径进行调整优化。内部审计应关注农村中小银行机构行政许可事项的申报材料是否完整合规，内部审查流程是否按新规执行，审批事权划分是否清晰。《全国统一集中账户管理系统业务处理办法（征求意见稿）》运营管理•该办法规范银行通过全国统一集中账户管理系统办理核准类、备案类账户业务，明确开户、变更、撤销时电子信息与影像资料报送要求及人民银行审核规则。新规正式发布时，内部审计应关注账户业务报送资料是否完整准确，核准与备案流程是否合规。•该办法细化一般户、专用户、临时户与基本户信息一致性校验及退出情形，规定批量迁移、账号变更的申请条件及久悬标识管理要求。新规正式发布时，内部审计应核查账户信息一致性校验是否到位，久悬账户标识管理是否规范。《期货公司监督管理办法（征求意见稿）》《关于实施<期货公司监督管理办法》有关事项的公告（征求意见稿）》子公司管理•该办法拟重构期货公司监管框架，将原经期货业协会备案、由风险管理子公司经营的做市交易和衍生品交易业务，调整为由期货公司经营并纳入许可准入和行政监管。新规正式发布时，内部审计应关注业务架构调整过渡期内相关业务资质是否及时转换，是否在取得许可前违规展业。•该办法同时强化对期货公司子公司、分支机构的监管。新规正式发布时，内部审计应评估子公司和分支机构监管覆盖是否到位，是否存在监管真空区域。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司《基金管理公司绩效考核管理指引》子公司管理薪酬绩效管理•该指引要求基金管理公司搭建以基金投资收益为核心的考核体系，三年以上中长期业绩指标权重不低于80%，对高管、权益基金经理、销售人员设置差异化量化考核权重，并建立薪酬总额管控、绩效薪酬阶梯奖惩及三年延期支付机制。内部审计应关注考核指标权重设置是否符合监管要求，差异化考核执行是否到位。•该指引上调高管与基金经理绩效奖金中的持基跟投比例，新增股东分红约束条款，将公司整体基金盈亏纳入分红限制。内部审计应核查持基跟投比例是否达标，股东分红限制条款执行是否合规，利益绑定机制是否有效运转。•该指引旨在强化从业人员、股东与基民利益深度绑定，抑制短期投机、完善行业长效风控激励机制。内部审计应评估长效激励机制的制度设计合理性与实际执行效果。《证券公司建立稳健薪酬制度指引》子公司管理薪酬绩效管理•该指引要求证券公司正确处理好功能性和盈利性的关系，发挥薪酬管理制度的正向引导作用。内部审计应关注薪酬制度是否体现功能性优先原则，是否存在过度激励短期业绩而忽视合规风控的导向偏差。•该指引要求证券公司确保合规底线要求，完善公司治理、明确各方责任、强化监督机制，确保激励约束机制与合规管理的有效衔接。内部审计应评估薪酬激励与合规管理衔接机制的设计有效性与执行情况。•该指引要求加强内部治理，根据关键岗位人员岗位职责对其实行长周期考核。内部审计应核查关键岗位人员长周期考核机制是否建立并有效运行。《期货公司接入外部信息系统管理规则》子公司管理信息科技管理•该规则要求期货公司确立“看不清、管不住则不展业”原则，要求搭建业务、合规风控、信息技术三位一体管理架构，完善尽职调查、系统测试、实时监控、异常处置全流程机制。内部审计应审查准入审批完整性，是否存在未经尽职调查即接入的情形，并评估三位一体架构运行及关键控制点执行情况。•该规则严格管控分账户、子账户使用，列明六类禁止行为，配套承诺书及风险提示标准化模板。内部审计应审查分账户管理规范性，通过交易日志与资金流水排查六类禁止行为违规操作，并核实标准化文件是否签署完整并存档备查。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司《创业投资基金享受税收政策相关申请证明材料准备工作的通知子公司管理税务管理•该通知规范创投基金税收优惠资格申报流程与材料标准，符合实缴资本、投资期限、团队人员、投资比例等硬性条件的基金由管理人每年4月底前通过“私募税收优惠”模块线上申报。内部审计应关注申报材料的完整性与真实性，以及申报时点是否满足监管时限要求。•该通知明确监管部门20个工作日内完成核查并出具意见，将不定期抽查基金投资运作与税收优惠使用情况，明确逾期补报、材料不齐的处置要求。内部审计应评估基金投资运作是否持续符合优惠条件，是否存在因材料不齐或运作偏离而被撤销资格的风险。《衍生品交易监督管理办法（试行）》（本篇纳入重点篇章分析）金融市场业务子公司管理•证券公司、期货公司申请开展衍生品业务需满足最近6个月净资本持续不低于人民币5亿元的门槛，监管层保留提高该标准的权限。要求经营机构建立完备的风险隔离机制，确保衍生品业务与其他存在利益冲突的业务相分离，建立逐日盯市、压力测试等风险管理制度。•本办法将衍生品界定为“期货交易以外的，互换合约、远期合约和非标准化期权合约及其组合的交易”，填补了此前监管的制度空白。通过明确适用范围，确立了证监会对场外衍生品市场的统一监管框架。•内部审计应对银行或证券子公司涉及的衍生品业务进行全面合规性审计，重点检查业务资质是否齐全、交易者适当性管理是否到位、是否存在上市公司关联方违规交易等情况。《中国证监会行政处罚案件违法所得认定办法（征求意见监管合规•该办法明确违法所得包括违法获利或避免的损失，交易类违法行为按交易盈亏及相关经济利益认定，非交易类原则上按违法收入认定。新规正式发布时，内部审计应关注公司内部合规监控机制能否有效识别并及时报告可能触发违法所得认定的违规情形。•该办法规定共同违法按整体利益计算违法所得，不同独立违法行为盈亏不得相抵，并细化内幕交易、操纵市场等情形计算口径，明确可扣除及不得扣除项目。《违规转让证券案件行政处罚实施规则（征求意见稿）》监管合规案防管理•该规则明确“转让证券”“在限制转让期内转让证券”“转让股票不符合规定”的内涵及具体情形，以及一致行动人的违法主体认定。新规正式发布时，内部审计应关注自营及资管业务中是否存在限制期内违规转让证券的情形，一致行动人认定是否准确。•该规则区分四种类型差异化设定裁量阶次，对量罚调整情节做列举式规定，并对并罚与从一重处情形作提示性规定。新规正式发布时，内部审计应评估合规监控机制是否有效捕捉并报告上述异常交易信号。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司《小型个人信息处理者个人信息保护简化措施规定（征求意见稿）》个人信息保护•该规定适用于处理不满10万人个人信息的小型处理者，可通过简化版处理规则、统一规则、平台规则替代等方式履行告知义务，并规范了线下线上收集及合并分立转移信息等场景的简化告知方式。新规正式发布时，内部审计应关注告知义务履行方式的合规性，核实是否适用简化措施的前提条件，以及合并分立等场景下信息转移是否履行了必要的告知程序。•该规定明确敏感信息处理、个人权利受理、停止服务后无法删除信息报告路径，允许至少每五年开展一次简化合规审计、按表开展影响评估并设最低保存期限，细化数据出境豁免及不予处罚、从轻减轻处罚条件。新规正式发布时，内部审计应评估敏感信息处理的报告路径是否畅通，合规审计和影响评估是否按要求开展，数据出境是否在豁免边界内操作。《关于深化创业板改革更好服务新质生产力发展的意见》投行业务•该意见增设第四章上市标准，支持优质未盈利创新企业及新型消费、现代服务业企业上市，建立IPO预先审阅机制，改革新股发行定价机制，试点地方政府推送拟上市企业信息。银行内部审计应核查自身在承做或参与该类创新企业IPO相关业务时，是否建立健全针对未盈利企业盈利模式与经营风险的专项尽调指引，以及是否将预先审阅机制纳入项目质量管控流程，确保信息披露重大缺陷在申报前被有效识别与整改。•该意见推出再融资储架发行制度、优化简易程序，支持发行科创债和绿色债券，同时加强发行定价监管、财务造假和欺诈发行查处，完善退市制度及中介机构责任，并引入做市商、大宗交易实时成交确认等机制。内部审计应核查再融资及债券承销业务合规性，评估做市商交易及大宗交易内部控制是否健全，及中介机构责任落实是否到位。《关于促进和规范电子单证应用规定》贸易融资•该规定鼓励货物贸易、物流、金融领域认可和使用电子单证，要求电子单证系统具备全程可追溯、不可篡改、签发人可识别等功能，可转让电子单证还应满足唯一性、排他性控制和控制转移要求。内部审计应关注电子单证系统功能是否满足可追溯、不可篡改等合规要求，可转让单证的控制权转移机制是否健全有效。•该规定明确身份核验、风险管理、可靠性认证，以及网络安全等级保护、数据分类分级保护、数据出境和监督检查、法律责任等要求。内部审计应评估身份核验与服务协议管理的合规性，核查网络安全等级保护和数据分类分级保护是否落实到位，数据出境是否履行必要安全评估程序。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全《城市商业银行银行汇票业务依托大额支付系统处理办法（征求意见稿）》票据业务•该办法将汇票专用章由核准改为备案，删除手工编制密押、大额支付系统推广等过时内容，完善票据审核与查询查复流程，取消统一收取违约金要求。新规正式发布时，内部审计应关注汇票专用章备案管理是否落实，票据审核流程是否按新规执行到位。•该办法优化银联卡清算规则，补充国库经收业务清算时限，新增即时转账功能覆盖券款对付、外币拆借等业务，清理失效报文并更新名称。新规正式发布时，内部审计应评估支付清算系统升级后业务处理是否合规，失效报文是否已彻底停用。《上市公司董事会秘书监管规公司治理•该规则明确董事会秘书在信息披露、公司治理、内外部沟通中的职责，要求组织定期和临时报告编制披露，办理暂缓豁免披露、内幕信息管理和舆情核实等事项。内部审计应评估信息披露流程中董秘职责履行是否到位，暂缓豁免披露的依据是否充分合规。•该规则规定董秘任职需具备相关经验或专业资格，由提名委员会审查，不得兼任经理、分管经营业务的副经理、财务负责人。内部审计应核查董秘任职资格合规性与独立性，是否存在兼任禁止性岗位的情形。•该规则要求公司配备证券事务代表和分管部门，保障其查阅资料、参加会议等履职权利，并建立履职评价与责任追究机制。内部审计应评估履职保障机制是否有效运行，责任追究制度是否覆盖信息披露重大违规情形。《公开募集证券投资基金主题投资风格管理指引》代理销售托管业务子公司管理•该指引要求主题基金名称与投资方向一致，基金合同及招募说明书须明确投资风格、范围及风格库入库标准，风格库主动更新每年不超过12次。内部审计应关注主题基金名称与投资方向一致性，风格库标准是否明确且更新频次合规。•该指引要求管理人成立后10个工作日内向托管人发送风格库，托管人5个工作日内审查，持仓比例连续不符等情形托管人应报告证监局和协会，存量基金12个月内完成整改。内部审计应核查风格库报送与托管人审查是否按时完成，持仓偏离是否触发报告义务，整改是否按期推进。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全《基金经理兼任私募资产管理计划投资经理工作指引》代理销售子公司管理•该指引要求管理人近1年未受刑事或行政处罚，兼任人员近5年未受相关处罚且具备5年以上投资管理经验，原则上同一人员管理公募基金和私募资管计划不超过10只。内部审计应核查管理人及兼任人员的合规记录与从业资质是否满足条件。•该指引要求强化公私募业务在场地、人员、账户、资金信息等方面隔离，完善公平交易与异常交易监测报告机制。禁止兼任人员及其直系亲属投资其管理的私募资管计划。内部审计应评估隔离机制是否有效，异常交易报告渠道是否畅通，以及直系亲属投资禁令是否落实。《公开募集证券投资基金可持续投资策略应用指引（试行）》代理销售子公司管理•该指引适用于应用可持续投资策略的公募基金，明确策略包括负面剔除、正面筛选、整合投资，主要应用该策略的基金至少同时采用整合投资方法，并结合负面剔除或正面筛选，且策略覆盖非现金基金资产80%以上。内部审计应核查基金实际投资运作是否符合策略覆盖比例要求。•该指引要求管理人建立评价指标体系，至少每年评估一次，并对不符合规定的存量基金按要求调整。内部审计应评估评价指标体系是否建立健全，年度评估是否按期执行，不合规存量基金的整改进展是否按计划推进。《公开募集证券投资基金投资者适当性管理细则》代理销售子公司管理•该细则要求建立基金风险等级划分指标体系，结合股票仓位、业绩比较基准、净值波动率、最大回撤等定量定性因素综合评级，并至少每年复核一次。内部审计应关注风险等级划分指标体系的完整性与合理性，以及年度复核是否按期执行。•该细则规定普通投资者风险评估单日不得超两次、十二个月累计不得超过八次，评估结果有效期不超过十二个月，风险等级或承受能力变化导致不匹配的应及时告知。内部审计应核查风险评估频次控制是否有效执行，超期或等级变化后是否及时启动重评与告知程序。•该细则要求向65周岁以上普通投资者销售高风险基金应履行特别注意义务，非现场销售应确保适当性管理全流程留痕可回测。内部审计应评估对老年投资者销售高风险基金的特别保护措施是否到位，以及留痕机制是否完整覆盖销售全过程。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全《私募投资基金信息披露实施细则》《私募投资基金信息披露重要内容模板》代理销售托管业务信息披露•中基协同步发布细则与6套标准化披露模板，差异化区分私募证券、股权创投基金信披要求。私募证券基金需披露份额净值、累计净值、收益率及业绩比较基准等。银行若作为私募基金销售机构不得篡改、误导管理人提供的信息。若作为私募基金的投资者，有权要求管理人、托管人、销售机构按新规履行信息披露义务，保障自身的知情权。内部审计应关注信披内容与模板格式是否合规，差异化要求是否区分执行到位。•私募证券基金需披露对净值有重大影响的估值信息，以及期末投资资产类别、金额及比例。私募股权基金需披露半年报、基金净资产及变动、投资者变动、收益费用、估值及投资组合明细。内部审计应核查估值信息的完整性及准确性，投资组合披露是否全面反映资产构成。《关于加强监管防范风险促进私募投资基金高质量发展的指导意见》代理销售托管业务•该意见要求各地区、各有关部门强化源头防控，发挥企业登记前综合研判会商和私募基金登记备案的审核把关作用，加强信息共享与工作衔接。内部审计应关注私募基金管理人登记备案环节的准入审核是否严格，是否存在前端把关不严导致风险入场。•该意见要求健全制度体系弥补信息披露、资金募集、托管等领域规则短板，落实分类分级监管与穿透监管，严厉打击违法违规行为，同时加强国资基金规范管理防止国有资产流失。内部审计应评估信息披露与资金募集的合规性，穿透式风险识别机制是否有效运作。•该意见要求稳妥处置风险，坚决清退不合规管理人，防范其他机构以私募基金名义违法违规展业，细化央地化解风险的分工协作。内部审计应核查清退程序是否合规完整，其他机构冒用私募基金名义展业的风险监测是否到位。《上海国际金融中心发展离岸金融行动方案》离岸金融•该方案支持银行业金融机构依托自由贸易账户（FT账户为符合条件的企业主体开展离岸贸易、离岸租赁、离岸航运、全球财资管理等特定离岸业务提供金融服务。内部审计应关注FT账户项下离岸业务开展是否符合资质条件，客户准入是否合规。•该方案支持浦东发展人民币离岸交易、跨境贸易结算和海外融资服务，按照“成熟一类、实施一类”原则小切口稳步探索离岸金融试点业务。内部审计应评估试点业务的风险评估是否充分，业务范围是否严格限定在试点批复框架内。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全《网络数据安全风险评估办法》（本篇纳入重点篇章分析）信息科技网络数据安全•该办法规定重要数据处理者每年度开展风险评估，数据安全状态发生重大变化应及时评估；一般数据处理者至少每3年开展一次。评估机构不得转委托，同一机构及其关联机构不得连续3次以上对同一主体开展年度评估。内部审计应关注评估频次是否符合规定，重大变化情形下是否触发临时评估。•该办法要求重要数据处理者在年度评估完成后20个工作日内报送风险评估报告并至少保存3年，监管部门可核验报告真实性。内部审计应核查报告是否按时报送并妥善保存，以及评估机构选聘是否符合独立性要求。《人工智能科技伦理审查与服务信息科技人工智能•该办法规定人工智能科技伦理审查程序主要包括申请、受理、开展审查、专家复核、作出审查决定、审查申诉及跟踪审查，跟踪审查间隔一般不超过12个月，纳入复核清单的活动不超过6个月。内部审计应核查审查程序是否完整履行，跟踪审查频次是否符合规定时限要求。•该办法要求开展伦理审查重点围绕人类福祉、公平公正、可控可信、透明可解释、责任可追溯、隐私保护六个方面，包括训练数据选择标准、算法模型设计合理性、是否防止偏见歧视等。内部审计应评估审查标准是否覆盖上述六个维度，算法公平性与数据选择合规性审查是否到位。•该办法明确需开展专家复核的三类人工智能科技活动：对人机融合系统的研发、具有舆论社会动员能力的算法模型及系统研发、高度自主能力的自动化决策系统研发。内部审计应核查本单位是否存在上述三类活动，如存在是否按规定履行专家复核程序。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全《关于银行业保险业人工智能安全开发应用的指导意见》（本篇纳入重点篇章分析）信息科技人工智能•该意见要求金融机构建立健全人工智能全生命周期管理体系，加强应用场景和业务流程管理，完善开发与测评体系，实现模型开发部署全流程管理。内部审计应关注AI全生命周期管理体系的完整性，模型开发部署各环节控制是否到位。•该意见要求完善数据管理运营体系，提升数据服务能力，推进高质量数据集和知识工程建设，并按需布局建设自主可控的智能算力底座。内部审计应评估数据治理能力是否满足AI应用需求，算力基础设施建设的安全可控水平是否符合监管导向。•该意见要求将人工智能风险纳入全面风险管理体系，实施风险分类分级管理和高风险应用准入管理，于高风险应用关键环节建立人工监督和干预机制。内部审计应评估AI风险分类分级标准是否明确，人工监督与干预机制是否有效运行，外包和供应链风险管理是否到位。毕马威《金融监管合规参要》综合收录国际国内金融业重要法规及政策变化、同业合规管理动态、典型合规案例分析、合规风险热图等，协助金融机构有效应对监管务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全《金融产品网络营销管理办法》随着数字金融快速普及，互联网已成为各类金融产品营销推广的核心渠道。线上营销具备传播快、覆盖面广、触达门槛低的优势，但行业长期缺乏统一规范，野蛮生长问题凸显，各类违规营销乱象频发；比如进行虚假和误导宣传、营销行为涉嫌垄断和无序竞争、营销宣传内容违背社会公序良俗等。此类乱象不仅严重侵害金融消费者知情权、公平交易权，极易引发个人金融风险，还滋生非法金融活动，扰乱金融市场秩序，加剧行业合规风险。为补齐线上金融营销监管短板，规范全行业经营行为，人民银行、金融监管总局、证监会等八部门于2026年4月21日联合印发《办法》，并明确于2026年9月30日正式实施，实现全品类金融产品网络营销监管标准统一。新规明确各方主体权责，压实持牌金融机构首要责任，划定第三方合作平台合规红线，全面约束直播营销、短视频推广、算法智能推荐等新型营销模式。短期将提升金融机构渠道管控、内容审核及平台合作的合规成本，长期能够彻底整治行业乱象、阻断非法引流路径、健全投资者适当性保护体系，推动线上金融营销朝着规范化、透明化、法治化方向发展，筑牢金融行业稳健经营根基。《办法》明确了金融机构应当建立总部集中统一的营销宣传内容审核机制，确保线上推广材料合法合规。宣传内容须与合同条款保持一致，清晰展示产品关键信息。官方渠道需公示产品信息及合作机构名单。严禁使用虚假或误导性内容；禁止承诺保本保收益；禁止夸大保险责任或违规类比；禁止利用监管备案作背书；严禁采用“极速放款”“零成本”“高回报”等具有煽动性质的词汇。内审关注建议：•总部集中审核机制是否已建立并有效运行，审核流程是否完整覆盖所有营销渠道如官网、APP、微信公众号、小程序、直播等；审核标准是否明确且与监管要求一致。•对于存量营销内容是否已完成全面排查和整改，是否存在使用煽动性词汇宣传、隐瞒风险提示、虚假宣传等违规情况。系统设置是否与业务规则相符，审核留痕是否完整可追溯。•对于直播、短视频等新型营销方式，是否建立了专门的内容审查流程和可回溯机制，出镜人员是否为金融机构从业人员，是否具备相应的从业资格。•重点排查自营和通过第三方开展营销的存量营销内容合规性，对不符合新规要求的宣传物料及时下架或整改。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全《办法》明确了金融机构与第三方平台需以书面协议明确权责划分，第三方平台不得介入销售合同签订、资金划转、金融消费者和投资者适当性测评、贷款额度测评等核心销售环节。第三方平台须清晰展示产品提供方标识，避免品牌混同。获取客户信息须获授权，保障数据安全，严禁非法获取或使用数据。第三方平台须遵循平等自愿原则，严禁垄断及不正当竞争行为。内审关注建议：•是否在合作协议中明确要求各方落实综合融资成本明示要求的责任和义务，是否清晰界定第三方平台不得介入的核心业务环节如合同签订、资金划转、适当性测评、额度测评等。•是否建立了合作方尽职调查和动态评估机制，对现有合作的第三方平台是否进行了全面梳理，是否存在越界介入核心销售环节的情况。•是否建立了合作方违规行为的监测和处置机制，对于发现的合作方违规行为是否及时采取了纠正措施，包括终止合作、依法追偿损失、追究法律责任等。______________消费者权益保护措施强化《办法》要求多类别产品需分别设立展示专区。非银行支付机构不得在支付选项中列入贷款或资管产品。禁止利用算法诱导过度消费，发送营销信息须提供退订选项。弹窗广告须具备一键关闭功能。组合销售须显著提示，严禁违法搭售或默认勾选。通过自媒体或直播营销的，必须是具备资质的从业人员，机构需承担管理与回溯责任。内审关注建议：•自营及通过第三方合作机构营销的产品展示界面是否设置了清晰的分类专区。消费金融、场景金融等支付环节是否明显区分支付渠道与贷款或资管产品，是否存在违规嵌入信贷或资管产品诱导使用的情况。•如利用算法开展营销，算法是否经过消费者权益保护审查，是否不存在诱导过度消费现象，是否设置不应用个性化推荐。•弹窗广告是否具备有效的一键关闭功能，营销短信是否提供了便捷的退订渠道。可通过用户体验测试的方式验证相关功能的实际效果。《办法》将于2026年9月30日正式施行，建议银行充分利用过渡期完成以下工作：一是完成存量营销内容的全面排查与整改；二是完成与合作平台的协议修订；三是完成内部审查流程的优化升级；四是开展全员合规培训，确保一线营销人员充分理解新规要求。内审关注建议：•是否制定了详细的过渡期整改计划和时间表，各项整改措施是否按计划推进。•是否开展了全员合规培训，一道防线营销人员与二道防线审查人员是否充分理解新规要求，培训内容是否覆盖了所有相关岗位。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全《网络数据安全风险评估办法》2026年6月18日，国家网信办、工业和信息化部、公安部联合公布《网络数据安全风险评估办法》，自2026年8月20日起施行。该《办法》是对《中华人民共和国数据安全法》《网络数据安全管理条例》等上位法中关于数据安全风险评估原则性规定的细化与落地。当前，我国数字经济持续发展，网络数据规模稳步增长，网络空间安全形势更趋复杂。长期以来，实务界存在将风险评估片面理解为形式化合规成本的认知偏差。《办法》的出台为网络数据安全风险评估搭建了全景式操作框架，将宏观的法律规定转化为微观操作规范，标志着我国网络数据安全治理迈入精细化、标准化的新阶段。《办法》的施行推动内审角色从传统的合规性检查者，向数据安全治理体系评价者和风险预警者转变，要求内审工作更聚焦于数据安全与业务战略的协同性、治理架构的有效性以及风险偏好的适配性。内审职能需从董事会及高管层视角，审视全行数据安全管理的顶层设计是否健全，评估数据安全文化是否融入日常经营决策。同时，该《办法》促使内审部门重新定义自身的专业能力边界，强化对新型数字风险的前瞻性研判，将网络数据安全审计纳入机构整体风险管理框架，实现从分散的“点状监督”向系统化“网状防控”的升级。______________年度评估与触发评估《通知》明确了重要数据处理者应当每年度开展风险评估。重要数据安全状态发生重大变化可能对数据安全造成不利影响的，应当及时对发生变化及其影响的部分开展风险评估。鼓励处理一般数据的网络数据处理者至少每3年开展一次风险评估。内审关注建议：•审查银行是否已完成重要数据识别，并建立重要数据清单的动态更新与维护机制。•核查年度评估计划是否纳入全行年度工作安排，评估范围是否覆盖所有重要数据处理活动。•评估银行是否建立触发评估的监控预警机制，当重要数据因业务拓展、系统变更、第三方合作等发生状态变化时能否及时启动补充评估。《通知》要求重要数据处理者应当在年度风险评估完成后的20个工作日内按照有关主管部门要求向其报送风险评估报告。主管部门不明确的，向省级网信部门或者国家网信部门报送。内审关注建议：•核查从评估启动、完成到报告报送的全流程时限管理是否形成闭环，是否存在超期风险。•审查风险评估报告的内容完整性，是否涵盖数据分类分级情况、重要数据识别情况、数据处理活动情况、安全措施有效性、安全风险研判结论等法定要素。•建立对评估报告质量的独立复核机制，重点关注报告结论与实际情况的一致性，防范因报告失实引发的合规风险。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全《办法》要求省级以上网信部门、电信主管部门、公安机关和其他有关部门在风险评估报告核验、监督检查等工作中发现网络数据处理者有以下情形之一的，可以要求其委托通过认证的评估机构开展风险评估1）网络数据处理活动存在较大安全风险，可能危害国家安全、公共利益的2）发生网络数据安全事件，导致重要数据或者大规模个人信息泄露、被窃取的3）有关部门规定的其他情形。对同一网络数据安全事件或者风险，不得重复要求网络数据处理者委托评估机构开展风险评估。内审关注建议：•检查银行是否建立评估发现问题的台账管理制度，明确整改责任人、时限要求和验收标准。•核查整改完成后是否在规定时间内向主管部门报送整改情况报告，是否形成“发现问题—整改落实—效果验证—报告反馈”的完整闭环。•前瞻性审视银行是否具备应对外部检查核验的配合能力，包括数据访问权限提供、评估机构协调等预案准备。•评估银行是否已建立评估机构备选库及快速响应机制。______________行业规定衔接与监管检查《办法》要求风险评估工作应当按照《中华人民共和国数据安全法》和《网络数据安全管理条例》相关规定，参照数据安全风险评估的国家标准开展。有关主管部门对本行业、本领域风险评估工作另有规定的，从其规定。有关主管部门应当按照“谁管业务、谁管业务数据、谁管数据安全”的原则，定期组织并开展本行业或本领域的风险评估工作。根据实际需要，主管部门还应对处理重要数据的网络数据处理者进行风险评估情况的检查，并于每年1月底前将年度风险评估检查计划报送国家网信部门。内审关注建议：•检查银行是否已全面梳理金融行业数据安全管理相关监管要求，采用孰严原则制定内部管理制度要求，确保《办法》与行业规定同时满足、不留盲区。•在监管部门开展行业风险评估检查前，内审应提前安排自查自纠，主动识别并弥补合规差距。《办法》明确了评估机构及其工作人员应当对在风险评估过程中获得的数据、商业秘密、保密商务信息等依法予以保密，不得泄露或者非法向他人提供，在风险评估结束后及时删除或者按照合同约定妥善处置相关信息。内审关注建议：•审查委托评估机构的遴选管理是否规范，包括资质审核、合同签订等环节是否齐备。•关注委托合同条款是否明确约定禁止转委托、报告质量责任、数据保密义务等关键内容。•对第三方出具的评估报告独立审阅，确保对报告真实有效的主体责任不因委托第三方而转移。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全會《衍生品交易监督管理办法（试行）》會近年来，随着利率市场化改革持续推进以及汇率双向波动常态化发展，企业和金融机构利用利率、汇率、信用及商品衍生品进行风险管理的需求不断增长。与此同时，部分机构在衍生品业务开展过程中存在产品结构复杂、交易目的不清晰、风险计量不足、销售管理不规范等问题，个别案例甚至出现投机交易、风险错配及投资者损失事件，引发监管部门高度关注。《办法》进一步明确衍生品业务应坚持服务实体经济和风险管理导向，强化机构主体责任，要求经营机构建立覆盖产品准入、交易授权、风险监测、估值管理及压力测试的全流程管理体系。同时，加强客户适当性管理和信息披露要求，防范客户因产品复杂性导致的认知偏差和风险误判。本次新规是我国衍生品监管体系的重要完善，有助于统一监管标准、提升市场透明度和风险管理水平。对于金融机构而言，需要全面梳理现有衍生品业务管理制度，完善风险控制机制和客户管理体系，加强交易数据管理和估值管理能力建设，推动衍生品业务在依法合规前提下稳健发展。《办法》将自2026年11月16日起施行。《办法》明确了证券公司、期货公司申请开展衍生品业务需满足最近6个月净资本持续不低于人民币5亿元的门槛，监管层保留提高该标准的权限。对于不满足新规要求的存量业务，采取“不得新增业务，存量业务到期了结”的处理方式。内审关注建议：•对于银行附属的证券公司或期货公司，是否对照新规要求进行了自查，净资本等资质指标是否持续达标。•对于尚未取得衍生品业务资格的机构，是否提前准备了申请材料，待监管部门公布行政许可安排后及时提交申请。•对于存量业务，是否全面梳理了现存衍生品业务，识别不符合新规要求的存量合约，是否制定了有序的退出计划。《办法》明确了上市公司及其控股股东、实际控制人、董事、监事（如有）、高级管理人员等主体被禁止开展涉及本公司股票及其他具有股权性质证券的衍生品交易。进行风险对冲的企业可申请部分豁免。内审关注建议：•是否建立了专门的筛查和拦截机制，防止上市公司关联方违规参与衍生品交易。•对于申请豁免的风险对冲企业，是否严格审核了其豁免资格，豁免理由是否充分，是否有相应的风险控制措施。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全《办法》要求经营机构建立完备的风险隔离机制，确保衍生品业务与其他存在利益冲突的业务相分离，建立逐日盯市、压力测试等风险管理制度。交易双方必须通过缴纳保证金等形式来确保合同义务的履行，建立逐日盯市机制。内审关注建议：•衍生品业务与其他业务之间是否实现有效的风险隔离，包括人员、系统、资金等方面的隔离。•是否建立了逐日盯市制度、压力测试模型、限额管理等风险管理制度，风险管理措施在极端市场条件下是否有效。•通过情景分析和压力测试的方法，验证风险管理措施的有效性，评估对市场风险、信用风险、流动性风险的识别和计量能力。•是否建立交易对手准入、授信、持续监测及风险预警机制，对重点客户、关联客户及高集中度客户风险敞口管理是否到位。《办法》明确了规范交易场所、结算机构及报告库管理，要求建立数据共享与跨市场监测机制。证监会将构建信息共享平台以及跨市场的风险追踪体系，防范系统性风险。内审关注建议：•信息系统是否能够满足新规对数据报送、跨市场监测等要求，是否能够准确、及时地向监管机构报送交易数据。•是否建立了与交易场所、结算机构的数据对接机制，实现数据的自动化传输，数据质量是否得到保证。•是否建立了有效的跨市场风险监测机制，是否能够及时识别和应对跨市场风险传导，风险预警指标体系是否科学有效。《办法》自2026年11月16日起施行，设立六个月过渡期。对于不满足新规要求的存量业务，采取“不得新增业务，存量业务到期了结”的处理方式。相关行政许可安排将后续公布。内审关注建议：•是否制定了详细的过渡期整改计划和时间表，各项整改措施是否按计划推进。•对于存量业务退出，是否制定了有序的计划，确保在过渡期结束前完成存量业务的到期了结，避免违规新增业务。•应将衍生品新规的合规整改纳入内部审计的重点跟踪事项，定期检查整改进展情况，对于整改滞后的情况，及时向管理层报告并提出改进建议。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全《关于银行业保险业人工智能安全开发应用的指导意见》近期，2026世界人工智能大会在上海成功举办，强调人工智能技术正深刻改变人类生产生活方式与全球产业格局。大会金融论坛指出，我国金融行业应持续加大AI资源投入，加快核心业务场景应用落地，目前大模型已在信贷审批、资产评估、风险定价等环节广泛渗透。但部分金融机构存在“为新而新、为用而用”的盲目跟风倾向，模型黑箱、算法歧视、数据安全及隐私泄露等风险隐患日益凸显。大会主席声明亦强调，必须重视AI安全风险，推动分类分级管理和风险预警体系建设。为进一步落实党中央、国务院关于加强人工智能治理的战略部署和《国务院关于深入实施“人工智能+”行动的意见》精神，推动数字金融高质量发展，国家金融监督管理总局发布《关于银行业保险业人工智能安全开发应用的指导意见》，对银行业保险业人工智能的治理架构、开发应用、数据治理、算力建设、风险管理等方面提出系统性规范要求。《指导意见》从治理架构、开发应用、数据治理、算力建设和风险管理等方面提出32项指导意见，涵盖了全生命周期管理、开发测评、数据隐私保护、算力共享以及高风险场景准入等关键要求，其中明确禁止将个人信息用于模型训练，并首次对涉及资金交易、信贷审批、承保理赔等高风险应用实施准入管理。上述安排为金融机构提供了清晰的合规框架和操作指引，有助于引导行业AI应用回归业务价值导向，有效防控技术风险。同时，政策调整也体现了监管部门在统筹安全与发展背景下，推动人工智能与金融业务有序融合、促进健康发展的导向。《指导意见》明确了开发应用人工智能的银行业保险业金融机构，董（理）事会应指定专门委员会对人工智能开发应用管理负责，统筹制定发展规划，推进能力体系建设，制定制度规范，明确牵头部门和跨业务、科技、数据职能部门的协同机制，加强人才队伍建设。内审关注建议：•审查董事会是否已指定专门委员会负责AI开发应用管理，相关职责和授权是否明确。•评估银行是否已明确牵头部门，跨业务、科技、数据职能的协同机制是否建立并有效运转。•审查AI相关制度规范是否完善，是否覆盖模型研发、数据治理、安全运行、外包管理等基本方面。《指导意见》《指导意见》要求金融机构应将人工智能风险纳入全面风险管理体系，实施风险分类分级管理和高风险应用准入管理，在高风险应用关键环节要建立人工监督和干预机制，明确紧急停用及模型退出条件，建立备用系统或人工替代流程。内审关注建议：•审查银行是否已建立AI高风险应用的识别、分类和准入审批制度。•检查已上线的高风险AI应用是否经过准入审批，审批流程是否完整合规。•评估高风险AI应用关键环节的人工监督和干预机制是否有效运行，紧急停用及模型退出条件是否明确。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全《指导意见》明确了金融机构应建立健全人工智能应用需求分析、数据准备、训练开发、部署运行、维护迭代、评估退出的全生命周期管理体系，规范模型研发、应用及资产管理，加强数据安全评估、算法风险筛查、伦理审查评估、责任追溯机制建设，实施人工智能应用风险分类分级管理。探索建立业务价值导向的人工智能应用绩效评估机制。内审关注建议：•评估银行是否已建立覆盖AI全生命周期的管理制度和流程要求，各阶段的管理要求是否落实到位。•审查AI应用风险分类分级管理机制是否建立。•检查银行是否已探索建立业务价值导向的AI应用绩效评估机制，评估机制设计是否合理。《指导意见》要求金融机构开发应用人工智能应坚持安全发展，严格落实国家网络安全和信息化工作要求，遵守网络安全、数据安全各项法律法规制度。加强人工智能安全开发应用能力，持续增强人工智能模型稳健性，加强网络安全、数据安全与个人信息保护。严格管理外包过程中的数据安全。内审关注建议：•审查银行AI开发应用中的数据安全和个人信息保护制度是否完善并有效执行。•检查银行是否已建立覆盖数据全生命周期的管理流程。•评估银行在AI模型训练和应用中是否遵守网络安全、数据安全各项法律法规制度。《指导意见》要求金融机构应加强人工智能应用透明度管理，为高风险场景应用制定透明度和可解释性标准。可解释性不足的人工智能技术在高风险场景应用时，仅能作为辅助工具，应由人工进行最终决策。人工智能模型应用于涉及客户权益或有实质性财务影响的关键决策时，须设置人工复核节点，完整保留原始数据、推理路径及阈值触发记录，确保责任可追溯。内审关注建议：•审查银行AI模型的可解释性水平，评估高风险场景应用是否满足透明度和可解释性标准。•检查可解释性不足的AI技术在高风险场景中，是否仅作为辅助工具使用，是否由人工进行最终决策。•评估涉及客户权益或实质性财务影响的关键决策是否设置了人工复核节点，原始数据、推理路径及阈值触发记录是否完整保留。•审查银行是否建立定期审计机制，对AI模型算法开展审计。2.监管处罚洞察2026年上半年，严监管态势依然持续，中国人民银行、国家金融监督管理总局、国家外汇管理局三大金融监管机构及其派出机构，针对银行业金融机构及其从业人员共发布罚单1,720张，罚没金额共计人民币10.61亿元。从监管处罚特点来看，重罚典型违规机构，处罚追责到人，强监管威慑力持续提升。一是罚单数量下降，但处罚金额上升，单笔处罚力度加大。较去年同期，虽然罚单数量下降近三成，罚没金额却上升超五成；单均罚没金额约人民币62万元，上升超一倍；二是“处罚到人”逐渐从原则导向转变为数据现实，机构罚单平均关联1.6个被问责个人，处罚层级从总行部门负责人至基层支行行长及客户经理层面均有覆盖。从监管处罚集中领域来看，信贷业务、内控合规、数据治理、支付结算、运营管理、代理业务、国际业务、信息科技管理、存款业务等领域罚单较为集中。00规定履行客户身份识别义务查询、泄露客户信息者金融信息使用管理不到位发放贷款、办理信贷业务鉴别、收缴和保管不当说明：根据毕马威监管情报站收录监管规则数据、监管处罚数据务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全从监管机构的处罚特点来看，金融监管总局的罚单数量最多，罚没总额最高。人民银行单均罚没金额最高，大额罚单罚没金额最大；上半年开出的两张千万元大额罚单的罚没金额均在人民币4,000万元以上。从受罚机构的特点来看，较去年同期，国有大型商业银行在罚单数量小幅增长的同时，罚没金额大幅增长127%；城市商业银行罚单数量增长11%，罚没金额增长89%。此外，股份制商业银行、农村金融机构和外资银行在罚单数量下降的同时，罚没金额均有较大增长。数据反映出监管机构在整体为金融机构经营减负的环境下，调整监管资源聚焦重点机构、重点业务及管理领域的监管特点。23002025年上半年的监管处罚中，注意到两条新兴案由，一条反映出监管机构对商业银行财务指标的关注，对调节财务指标等违规行为保持高压态势；另一条表明操作风险管理已进入监管检查视野；供内审部门参考。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全综合分析2026年上半年的监管处罚特点、典型案例以及数据变化，结合近期监管动态及关注重点，我们总结了重点领域的典型问题及趋势苗头，提示内部审计部门关注：2026年上半年，人民银行、金融监管总局和外管局等三大金融监管机构已同步推进树立和践行正确政绩观学习教育，清晰传递出从源头矫正经营导向的监管决心。上半年监管机构对金融机构出具的处罚中，多张罚单涉及绩效指标设定不合理、考核机制不合规等问题，直指部分银行“指挥棒”方向偏离，催生短期套利与弄虚作假行为的深层隐患。叠加近期净息差持续收窄、银行ROE（净资产收益率）回归均值、市场竞争日益激烈等经济金融环境变化，以及由变化带来的考核指标间矛盾冲突，目标导向不一致等问题，商业银行亟需对整体经营目标及各业务条线的绩效指标重新回顾校准。内审部门亦需关注绩效指标的合理性，从机制上封堵由不当考核引发的违规冲动。涉及领域涉及领域主要违规形态主要违规形态绩效考核绩效考核考核指标不合规，违规设定考核指标违规设置时点考核指标绩效考评指标和机制不合规，导致存贷款虚增通过买断式转贴现业务调节经营指标贷款阶段划分不审慎并通过调整贷款阶段划分实施调节财务指标在绩效考核体系外制定考核办法并设立存款时点性考评指标存款考核指标设立违反监管规定，违规下达存款考核指标存款考核不规范同时，我们关注到，部分商业银行为应对规模、利润、风险等考核压力，存在主动放松业务准入及审批标准，通过人为干预以掩盖真实资产质量，延缓风险暴露等问题。多家具有较好管理基础的国有大型商业银行、股份制商业银行亦在2026年上半年暴露出一些“退步型”基础管理问题，其背后原因可能为业绩驱动下风险合规文化的侵蚀，需引起内审部门的关注。涉及领域涉及领域主要违规形态主要违规形态利用票据业务利用票据业务调节信贷规模违规办理票据业务、票据业务不合规、票据业务违规票据业务管理不到位、票据业务管理不审慎对票据承兑申请人资信调查不尽职票据业务审核不严、票据业务贸易背景审查不严票据贴现资金被挪用于银票保证金、票据保证金审查不尽职、本行信贷资金用作银行承兑汇票保证金违法违规发放贷款，贷款业务严重违反审慎经营规则向无实际资金需求的借款人发放贷款超过借款人实际资金需求发放贷款放松作业标准放松作业标准完成信贷投放务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全涉及领域主要违规形态放松作业标准放松作业标准完成信贷投放（续）延缓风险暴露掩盖真实资产质量集团授信管理违规考核完成指标以同日或近期开立的存单作质押发放无实际需求贷款、发放无实际用途存单质押贷款虚增业务规模发放不符合条件的贷款、个人经营贷款准入资格审查不严格、发放用途不真实的贷款冒用客户名义办理贷款违法发放借名贷款、违法发放农户借名贷款、违规向员工发放借名贷款贷款“三查”严重不尽职，相关贷款业务严重失职，贷前调查不尽职，贷中审查不到位，贷后管理不到位违反监管规定放松对借款人还款能力真实性审查要求贷款条件落实不到位、未落实授信条件即发放贷款、未落实审批条件发放贷款、未落实放款条件核准放款资产质量管理不审慎、资产质量分类不准确、未真实反映资产质量、资产质量不实人为调整结息方式掩盖资产质量违规发放贷款延缓风险暴露通过借新还旧或展期，延缓风险暴露、通过借新还旧掩盖贷款风险以贷还贷掩盖不良发放流动资金贷款偿还垫款隐匿不良贷款、掩盖不良贷款贷款被挪用于归还本行银承垫款个贷资金被挪用于承接银行不良债权未对集团客户统一授信、集团客户统一授信管理不到位、集团客户授信管理不审慎、集团客户管理不到位关联企业未纳集团统一授信、未对关联企业按照集团客户进行统一授信冲时点发放贷款虚增存贷款规模对比2025年上半年，信息科技管理领域的监管处罚较去年同期有所上升，人民银行、金融监管总局均有涉及信息科技管理领域的罚单，处罚案由广泛涉及信息科技基础管理、网络安全、数据安全、重要信息系统应急管理、突发事件报告等。近期，网络安全与数据安全领域的立法步伐不断提速，金融监管总局已就《银行业保险业网络安全管理办法（征求意见稿）》公开征求意见；随着人工智能的快速发展与普及，金融监管总局亦发布《关于银行业保险业人工智能安全开发应用的指导意见》，预计未来监管检查与非现场监测亦将更加深度地覆盖信息科技领域。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全涉及领域与环节信息科技基础管理网络安全数据安全信息安全金融科技主要违规形态主要违规形态信息科技管理不到位系统安全管控不尽职灾备恢复能力建设不足重要信息系统投产变更风险管控不到位重要信息系统对外服务异常事件应报未报未按规定报告重要信息系统突发事件重要信息系统应急管理不足违反网络安全管理规定未按规定履行网络安全保护义务未采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施，未采取有效措施防范计算机病毒未制定网络安全事件应急预案违反数据安全管理规定未有效监测漏洞类业务数据安全风险未及时处置数据安全漏洞风险信息安全管理不到位、信息安全管理不足违规泄露客户信息违反金融科技管理规定2026年6月23日，审计署审计长在第十四届全国人民代表大会常务委员会第二十三次会议上，报告了2025年度中央预算执行和其他财政收支的审计情况；其中揭示了多项金融领域的违规问题，涉及政策执行与合规性、资产质量真实性、公司治理与内部控制、金融科技与数据安全、从业人员管理与整改问责等，需引起内部审计部门高度重视，对照问题进行整改或开展风险排查。问题分类问题描述问题分类问题描述科技金融专属产品和服务科技金融专属产品和服务未精准对接企业融资急难愁盼，“叫好不叫座”一是旨在增强科创企业贷款信用的“创新积分贷”积分悬空。4家银行的126家省级分行未将科创企业创新能力量化积分作为敢认敢贷的依据。人民币642.22亿元贷款发放时未考虑创新积分，仅在事后统计时贴上“标签”。二是旨在缓解传统抵押物不足痛点的“知识产权质押贷”产权陪绑。4家银行的人民币478.5亿元贷款中，有人民币101.09亿元已足额提供传统抵押物或无需抵押物。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全问题分类问题描述科技金融专属产品和服务科技金融专属产品和服务未精准对接企业融资急难愁盼，“叫好不叫座”三是旨在支持科创企业扩大协同效应的“科技企业并购贷”协同虚化。4家银行发放的人民币54.37亿元贷款，未起到对成熟期科创企业并购同类企业或上下游企业的支持作用，实为企业股权回购和普通融资工具。四是部分科技金融服务名不副实。4家银行的970家科技支行中，有194家实无科技特色，个别科技支行的科技贷款余额占比远低于非科技支行；4家银行未严格落实对小微型科技企业设置更高不良贷款容忍度的要求，一些科创产品不良率刚到2%或3%即暂停业务。2021年12月至2025年8月贷前审查不严，违规向非高标准农田项目发放贷款人民币110.66亿元，部分资金被挪用于购买理财、偿还债务等。贷前审查不严，违规向非贷前审查不严，违规向非高标准农田项目发放贷款对部分绝对控股子公司未对部分绝对控股子公司未控制决策权，对部分直管子公司管控不力至2025年8月底，对部分绝对控股子公司未控制决策权，对部分直管子公司管控不力，个别子公司滥用其字号。利用金融优惠政策不当利用金融优惠政策不当牟利，如逃避税2023年4月至2025年8月，安排2家下属金融机构作为通道，通过装入大量出资1元至100元的本行员工等“凑人头”，将11只私募基金包装成公募基金，利用公募基金免收所得税的政策优惠逃避税人民币23.67亿元。以“内卷式”竞争拉动存以“内卷式”竞争拉动存贷款规模以虚假或让利方式增加债券业务规模违规掩盖或处置不良资产违规开展信贷业务，涉及个人经营贷款/个人住房按揭贷款/个人消费贷款以“内卷式”竞争拉动存贷款规模增加人民币1.41万亿元。3户金融企业2023年至2025年8月通过“先存后贷”、“即贷即收”等虚增人民币6,156.7亿元；通过超低利率抢贷款、出资为客户开发信息系统换存款等增加人民币4,723.04亿元；通过降低审核标准、放松风控要求等增加人民币3,241.27亿元。以虚假或让利方式增加债券业务规模人民币7,569.59亿元。1户金融企业通过组织境内外分支机构相互交易，虚增跨境债券交易量人民币3,893.6亿元；通过引导内部员工及客户“即买即卖”频繁交易，虚增境内交易量44.88亿元。2户金融企业为追求债券承销规模或市场排名，低于发行价出售债券，以让渡差价导致亏损人民币2.42亿元的代价，换取承销规模增加人民币3,631.11亿元。违规掩盖或处置不良资产人民币634.41亿元。主要通过设置超长宽限期不下调分类、下调原贷款利率以减少还贷金额、发放新贷款置换原不良资产等，人为掩盖不良资产；违反核销程序和竞争择优等原则，通过“零对价”回购发行的不良资产处置项目、向地方政府指定方定向转让不良资产等方式，虚假或违规处置不良资产。违规开展信贷业务人民币676.16亿元。如1户金融企业2021年至2025年8月向150多名资质不符人员违规发放个人经营贷款人民币15.17亿元；向未封顶住房等项目和持虚假收入证明等人员违规发放住房按揭贷款人民币28.12亿元；通过为企业办理个人信贷等违规发放个人消费贷款人民币330.78亿元。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全问题分类问题描述违规向低风险承受能力客违规向低风险承受能力客户销售投向高风险资产的公募基金如1户金融企业2023年4月至2025年8月，违规向低风险承受能力客户销售投向高风险资产的公募基金20.39亿元。1户金融企业所属信托公司2023年8月至2025年8月通过违规设立的非金融子公司无资质销售信托产品1,491.78亿元，并在监管部门明确叫停后继续违规刚性兑付20.42亿元。随着监管持续强化，近期处罚中涉及数据报送及配合检查的案由呈现增多且多样化的趋势。商业银行在日常数据报送和接受检查时，常面临时间紧、资源缺的双重压力，影响检查结果。因此，建议内部审计部门重点关注监管配合流程的有效性，以降低合规风险。涉及领域与环节涉及领域与环节主要违规形态主要违规形态监管配合及数据报送监管配合及数据报送存在非现场监管报表数据错报违法行为监管统计数据不准确，监管统计报表数据错报、漏报非现场监管指标数据不准确、整改不到位向监管部门提供虚假材料未如实向监管部门反映妨碍独立董事履职独立性的情形未按规定时限向监管部门报送人员处罚信息存在未按要求开放系统权限等情况，阻碍现场检查监管检查发现问题整改落实不到位务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全3.敏捷审计专题敏捷审计（AgileAuditing）是一种将敏捷软件开发的原则和实践应用于审计活动的创新方法，其核心目标是提升审计效率、响应速度和价值创造。敏捷审计通过将审计工作分解为更小、更频繁的交付单元，聚焦于特定风险领域或控制要素，将审计资源始终投入到能带来最大价值的地方。敏捷审计的优势在于动态响应业务与环境的变化，通过持续改进与反馈循环帮助组织实现管理提升。结合市场热点问题及专家洞察，每期我们将选择1至2个敏捷审计专题进行深入探讨，内审部门可以考虑将其纳入审计计划调整或融入现有的审计方案与程序中。欧洲央行2024年《公司治理与风险文化指引（草案）》（以下简称“《草案》”）将“以文化为证明依据（CultureasEvidence）”作为审慎评估的基石。央行要求各金融机构举证：治理架构、风险报告机制和问责规范如何在风险偏好框架内转化为可量化的结果。《草案》标志着一项重大监管变革：现在，优质的风险文化是一个与财务韧性直接相关的可量化指标。多数欧盟成员国正对标欧洲央行“以文化为证明依据”监管思路，将行为评估嵌入审慎审查与监管会谈环节。上述变化体现监管重心的深层转变：监管不再局限于核查制度架构合规，转而聚焦评判公司治理落地至实操层面的决策模式与从业操守，由此，风险文化成为监管机构可落地核查、可开展审计的实质性监管要素。实施这一举措的典型监管机构包括德国联邦金融监管局、法国审慎监管局、意大利公司治理委员会与意大利证监会等。除欧盟外，各国监管机构同样强化对风险文化的重视程度，将行为层面监管要求嵌入监管规则体系。澳大利亚审慎监管局出台风险文化十维度完整评估框架，覆盖高层基调、经营决策、风险上报、价值理念落地四大板块；美国联邦储备委员会亦将文化要素纳入日常监管评价。上述监管实践印证：董事会履职效能、风险报告机制与行为量化指标是保障银行业稳健经营的核心抓手。根据巴塞尔银行监管委员会（BCBS）的定义，风险文化是银行围绕风险认知、风险承担与风险管理形成的行为准则、理念态度及实操行为，是左右各项风险决策的内控基础。作为组织文化的组成部分，风险文化体现全员共识、通用准则与日常履职行为，贯穿客户全生命周期、产品全流程及配套业务运营模式的全链条风险管理活动。它的作用突破规章制度范畴，引导主体做出审慎决策，影响员工应对不确定性、上报风险疑点、权衡风险与收益而作出的行为选择。风险文化具备动态属性，会随内部经营变化与外部环境影响持续演化。风险文化在任何机构中都是一种动态产物：它要么由人为规划逐步演变，要么随发展自然成型。机构主动把控风险文化至关重要，尤其需要确保风险文化贴合战略目标、助力科学决策落地、夯实合规操守建设。“五步法框架”包含定义、评估、优化、实施、常态化监测五大环节，指引机构将自身风险文化与战略发展目标统筹适配。各环节环环相扣、层层递进，把理想化的文化建设愿景，转化为可落地的实操举措与可量化的成果指标。务所，及毕马威会计师事务所—香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全风险文化五步法框架：明确定位统筹企业战略与伦理价值观，从文化维度确立企业发展定位，明确目标风险文化的标准与内涵。摸清现状摸排当前企业风险文化现状，对标理想标准查找现存差距；梳理行为驱动要素，形成管理层落地行动倡议。落地执行制定达成目标风险文化的实施路径，落地企业文化变革体系；包含修订相关制度流程、开展访谈调研、锁定针对性优化提升的切推动执行按落地路线图实施，设置成效考核标准；通过实际参与关键活动强化风险文化，确保整个组织的长效留存风险文化成熟度模型风险文化成熟度模型用于评估企业风险文化各组成要素的建设与管控水平，评判企业风险管理实操的落地成效与完备程度，以及全体员工对待风险文化的态度。该模型能够识别风险文化中的优势与短板，助力企业满足监管合规要求、回应各利益相关方对风险管理的期成熟度阶梯成熟度阶梯1