商业银行内部控制指引（2025修订）

商业银行内部控制指引（2025修订）第一章总则本指引旨在为商业银行构建科学、严谨、高效的内部控制体系提供标准与规范，以适应日益复杂的金融环境与数字化转型趋势。内部控制是商业银行为实现经营目标，通过制定制度、实施措施和执行程序，对风险进行识别、评估、防范和控制的动态过程。商业银行内部控制应当遵循以下基本原则：第一，全面性原则。内部控制应当贯穿决策、执行和监督的全过程，覆盖各项业务流程和管理活动，覆盖所有部门、岗位和人员，确保不存在盲区和空白点。任何业务环节和管理活动的缺失都可能导致风险敞口的扩大。第二，重要性原则。内部控制应当在全面控制的基础上，关注重要业务事项和高风险领域。针对信贷、投资、交易、IT系统等关键领域，以及资金调动、客户信息管理等关键环节，应当采取更为严格的控制措施。第三，制衡性原则。内部治理结构应当权责分明、相互制约。机构设置、岗位设置及权责分配应当符合制衡要求，确保不同部门、岗位之间在业务上既相互配合又相互检查、相互监督。前台业务操作、中台风险控制与后台支持保障应当实现有效隔离。第四，适应性原则。内部控制应当与经营规模、业务范围、风险特点及外部环境相适应。随着金融科技的发展和市场环境的变化，商业银行应当定期评价并适时调整内部控制政策与程序，保持体系的灵活性和有效性。第五，成本效益原则。内部控制应当在权衡成本与预期收益的基础上，以合理的成本实现有效的控制。这不仅包括直接的经济成本，还包括操作效率、客户体验等隐性成本，力求在风险可控的前提下实现价值最大化。第二章内部控制环境良好的内部控制环境是实施有效内部控制的基础。商业银行应当从治理结构、组织架构、企业文化、人力资源及社会责任等多维度优化内控环境。在治理结构层面，董事会承担内部控制的最终责任。董事会应当负责建立并维持有效的内部控制体系，审议批准年度内部控制评价报告，监督管理层的设计与执行情况。监事会应当对董事会和高级管理层在内部控制方面的履职情况进行监督。高级管理层负责组织领导内部控制的日常运行，确保内部控制措施得到有效落实。董事会下设的风险管理委员会、审计委员会及关联交易控制委员会等专门机构，应当具备专业的履职能力，为内控体系建设提供专业支持。在组织架构层面，商业银行应当建立清晰的组织架构，明确各部门、各分支机构的职责权限，确保汇报路线清晰。应当建立“三道防线”模型：第一道防线由业务部门组成，负责业务的直接操作和风险的第一道把关；第二道防线由风险管理和合规部门组成，负责制定政策、监测风险和合规审查；第三道防线由内部审计部门组成，负责独立评价和审计。三道防线之间应当保持独立，信息沟通顺畅。在企业文化层面，商业银行应当培育廉洁、合规、审慎的风险文化。高级管理层应当以身作则，倡导全员参与内控的理念，将内控意识融入员工的日常行为中。应当建立举报机制，鼓励员工报告违规行为和风险隐患，并严格保护举报人。在人力资源政策层面，商业银行应当制定科学的人力资源政策，确保员工的素质与岗位要求相匹配。关键岗位人员应当具备专业资格和从业经验，并实行定期轮岗制度和强制休假制度。应当建立完善的绩效考核和薪酬激励机制，将风险合规指标纳入考核体系，防止因短期利益冲动而忽视风险控制。第三章风险评估风险评估是内部控制的核心环节，商业银行应当建立健全的风险评估机制，及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。商业银行应当建立覆盖信用风险、市场风险、流动性风险、操作风险、信息科技风险、声誉风险、战略风险及法律合规风险的全面风险管理体系。风险评估应当贯穿业务发展的全过程，包括新产品新业务的设计、现有业务流程的优化以及重大决策的制定。在风险识别方面，应当运用定性与定量相结合的方法，收集内外部风险信息。内部信息包括历史交易数据、审计报告、监管检查意见、客户投诉等；外部信息包括宏观经济形势、行业政策变化、市场价格波动、技术进步、竞争对手动态等。特别是针对数字化转型带来的模型风险、数据安全风险及网络安全风险，应当制定专门的识别清单和评估指标。在风险分析方面，应当评估风险发生的可能性和影响程度。应当运用压力测试、情景分析等先进工具，模拟在极端市场环境下的风险承受能力。对于信用风险，应当重点关注借款人还款能力的变化、抵押物价值的波动及行业集中度风险；对于操作风险，应当重点关注流程漏洞、人为失误、系统故障及外部欺诈。在风险应对方面，应当根据风险评估结果，结合风险承受度，权衡风险与收益，确定风险应对策略。策略包括风险规避、风险降低、风险分担和风险承受。对于超出承受度的风险，应当实行规避策略；对于可控的风险，应当采取控制程序降低其发生概率或影响程度。商业银行应当建立动态更新的风险数据库和风险地图，定期（至少每季度）对风险评估结果进行复盘和更新，确保风险评估结果能够真实反映当前的风险状况。第四章内部控制措施商业银行应当根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。控制措施应当贯穿于业务活动的各个环节，包括但不限于职责分工、授权审批、会计系统、财产保护、预算控制、运营分析及绩效考评等。第一节授信业务控制授信业务是商业银行的核心业务，也是风险高发区。商业银行应当建立统一的授信管理制度，实行全流程管理。1.授信审批机制：必须建立审贷分离、分级审批的机制。信贷调查、审查、审批、贷后管理岗应当职责分离。授信审批应当依据借款人的信用状况、还款能力、担保情况及风险承受度进行独立决策，不得受行政命令或外部势力干预。2.客户准入与尽职调查：严格落实“了解你的客户”（KYC）原则，对客户进行身份识别、资信调查和风险评级。对于集团客户，应当实行统一授信，防止多头授信和过度授信。3.担保管理：规范抵质押品的受理、评估、登记及保管流程。定期对抵质押品进行价值重估，确保其足值有效。4.贷后管理：建立持续的贷后监控机制，跟踪借款人的经营状况、财务状况及担保物变化。建立风险预警信号体系，一旦发现逾期或违约迹象，立即启动催收或资产保全程序。表：授信业务关键风险点与控制措施对照表关键环节主要风险点控制措施客户受理身份虚假、资料造假、合规准入未达标实名身份核查系统联网、工商信息比对、反洗钱名单筛查、现场尽职调查授信调查信息不完整、隐瞒不利信息、评估偏差标准化调查模板、双人调查制、交叉验证、外部大数据征信辅助授信审查审查流于形式、未发现明显风险点独立审查官制度、审查要点清单化、合规性审查与风险性审查并行授信审批逆程序审批、超权限审批、道德风险授信审批会议集体决议、权限管理系统硬控制、审批轨迹永久保留合同签订合同要素填写错误、担保未落实标准合同文本、要素逻辑校验系统、抵质押物落实核实确认贷后管理资金流向监控不力、风险预警滞后资金受托支付管理、定期贷后检查系统提醒、自动化风险预警模型第二节资金业务控制资金业务包括同业拆借、债券投资、外汇买卖等，具有高流动性、高杠杆和高风险特征。1.前中后台分离：前台交易负责执行交易指令，中台监控负责风险限额管理和价格监控，后台结算负责资金清算和账务处理。严禁中后台人员兼任前台交易，严禁交易人员拥有清算权限。2.限额管理：严格设定交易限额、风险限额和止损限额。所有交易必须在授权额度内进行，超出限额的交易必须经过特别审批。3.交易确认与核对：建立强制性的交易确认机制，所有交易完成后应当及时与对手方进行确认。坚持日终清账制度，确保账务与交易记录一致，做到账账、账实相符。4.应急机制：针对市场剧烈波动、系统故障等突发事件，制定详细的应急预案，定期进行演练，确保在极端情况下能够迅速平盘或处置风险敞口。第三节存款及柜台业务控制存款及柜台业务直接面对客户，是操作风险和声誉风险的高发区域。1.账户管理：严格执行账户实名制，加强对开户资料的审核。加强对长期不动户、频繁大额交易账户的监控，防范洗钱和电信诈骗风险。2.现金管理：严格执行现金收付、运送、保管、调拨的制度。库房管理应当实行双人管库、双人守库，定期查库，确保账款相符。3.印章与凭证管理：建立严格的印章、重要空白凭证管理制度。印章的使用应当经过审批，重要空白凭证的出入库、使用应当逐笔登记，定期盘点。4.柜面操作规范：推行柜面业务操作标准化、流程化。对于大额存取款、挂失、冲正等高风险业务，必须实行授权复核制度。第四节信息科技控制随着金融科技的发展，信息科技风险已上升为商业银行的战略性风险。1.系统开发与维护：建立规范的IT项目立项、开发、测试、上线及变更流程。开发环境、测试环境与生产环境必须严格隔离。2.网络安全与数据安全：建立多层次的网络防御体系，部署防火墙、入侵检测系统等安全设备。加强数据加密、脱敏处理，严格控制数据访问权限，防止客户信息泄露。3.业务连续性管理：建立异地灾备中心，定期进行灾难恢复演练。确保在发生重大灾难或系统故障时，能够在规定时间内恢复核心业务系统的运行。第五节会计核算控制商业银行应当依据国家统一的会计制度，制定本行的会计核算规范，确保会计信息的真实、完整、准确。1.账务处理：坚持不相容岗位分离，记账人员与复核人员、经办人员与审批人员应当相互分离。严禁由一人办理货币资金业务的全过程。2.账务核对：建立定期对账制度，包括与客户的对账、与同业的对账、内部账务的对账。对账工作应当由非经办人员独立进行，确保账务核对结果的真实性。3.财务报告：建立财务报告编制、审核、报送的流程。财务报告应当经过内部审计部门的独立审计，确保披露信息真实可靠。第五章信息与沟通商业银行应当建立有效的信息收集、传递、处理和反馈机制，确保内部控制相关信息能够及时、准确地在内部之间以及与外部之间进行沟通。内部沟通方面，应当建立畅通的纵向和横向沟通渠道。纵向沟通确保上情下达和下情上报，高级管理层的决策能够迅速传达到基层执行单位，基层的风险信息能够及时反馈给管理层；横向沟通确保部门之间的信息共享和业务协同，打破信息孤岛。商业银行应当建立举报投诉制度和举报人保护制度。设立专门的举报渠道（如热线电话、电子邮箱），鼓励员工和客户举报违规行为。对于举报信息，应当建立档案，及时调查处理，并将处理结果反馈给举报人，同时对举报人的信息严格保密，禁止打击报复。外部沟通方面，商业银行应当加强与监管部门、股东、债权人及社会公众的沟通。按照监管要求及时报送报表和报告，真实反映经营状况和风险状况。建立信息披露机制，确保信息披露的真实性、准确性和完整性。商业银行应当加强对信息系统的建设和应用，利用大数据、人工智能等技术手段提升信息处理的效率和质量。建立数据治理架构，明确数据所有权和管理责任，确保数据的标准一致、质量可靠。第六章内部监督内部监督是确保内部控制体系有效运行的重要保障。商业银行应当建立健全的内部监督体系，包括日常监督、专项监督和内部审计。内部控制评价是对内部控制体系建立和执行情况的全面检查。董事会应当每年对内部控制体系的有效性进行评价，出具内部控制评价报告。评价报告应当涵盖内部控制的设计有效性和运行有效性，揭示存在的问题和缺陷，并提出改进措施。内部审计部门应当对内部控制体系的运行情况进行独立审计。内部审计部门应当直接对董事会或其下设的审计委员会负责，保持独立性，不受其他部门和人员的干预。审计范围应当覆盖所有业务部门和分支机构，审计频率应当根据风险等级确定。对于监督检查中发现的问题，应当建立问题整改台账，明确整改责任人和整改时限，实行销号制度。对于重大违规事件，应当启动问责程序，追究相关人员的责任。商业银行应当建立内部控制缺陷认定标准。对于发现的缺陷，应当区分一般缺陷、重要缺陷和重大缺陷，并采取相应的整改措施。对于重大缺陷，应当立即向董事会和监管部门报告，并采取紧急补救措施。第七章管理与责任商业银行应当明确内部控制的责任主体，建立责任追究机制。董事会是内部控制的决策者，对内部控制的建立健全和有效实施负最终责任。董事长是第一责任人。高级管理层是内部控制的执行者，对内部控制的日常运行负直接责任。行长（总经理）是直接责任人。监事会是内部控制的监督者，对董事会和高级管理层的履职情况负监督责任。各部门负责人是本部门内部控制的第一责任人，对本部门内部控制的有效性负责。员工应当严格遵守内部控制制度，对自己经办的业务负直接责任。对于违反内部控制制度的行为，应当依据有关规定进行处理。处理措施包括但不限于：责令限期改正、经济处罚、警告、记过、降级、撤职、解除劳动合同等。对于涉嫌犯罪的，应当移交司法机关处理。商业银行应当建立与绩效考核挂钩的内部控制激励机制。对于在内部控制工作中做出突出贡献的部门和人员给予表彰和奖励；对于内部控制执行不力、造成重大风险或损失的，实行“一票否决”制，取消其评优评先资格和绩效奖金。第八章附则本指引适用于在中华人民共和国境内依法设立的商业银行，包括中资商业银行、外商独资银行、中外合资银行。外国银行分行及村镇银行等其他银行业金融机构参照本指引执行。商业银行应当依据本指引，结合自身实际情况，制定具体的内部控制实施细则，并报监管机构备案。本指引由国务院银行业监督管理机构负责解释。本指引自发布之日起施行。原相关规定与本指引不一致的，以本指引为准。商业银行应当充分认识到，内部控制体系建设是一个持续的、不断改进的过程。在当前经济金融形势复杂多变、金融科技迅猛发展的背景下，商业银行必须不断优化内部控制环