李振新 内部控制与操作风险的理论差异及实务边界1017v3

1、，内部控制与操作风险的理论差异和实践界限，李振鑫，2019年11月，TGES论坛，本文仅代表个人观点，供本次论坛学术讨论。1.内部控制和运营风险从何而来？二、内部控制和操作风险为什么总是在一起？第三，如何做好内部控制和操作风险？一、内部控制及相关风险概念的国际发展，对中国内部控制影响最大的是COSO的内部控制及相关风险概念。COSO是美国反虚假财务报告委员会发起委员会的英文缩写。它是一个自发的私人组织，旨在通过改善商业道德、建立健全有效的内部控制和公司治理来提高财务报告的质量。中国内部控制和操作风险的演变，1990-2001，内部控制，财政部：会计人员权限规定，财政部：中华人民共和国会计法，内

2、部会计控制，财政部：基本会计工作准则，财政部：基本内部会计控制准则，货币资金，2006，综合风险控制，国资委：中央企业综合风险管理指引，原中国保监会：寿险公司内部控制评价办法(试行)， 上海证券交易所/深圳证券交易所：内部控制指引，2007，原银监会：商业银行合规风险管理指引，中国证监会：上市公司信息披露办法，原银监会：商业银行内部控制指引，财政部：企业内部控制标准-基本准则(征求意见稿)，原银监会：商业银行操作风险管理指引，2008-2010，五部委：企业内部控制基本准则及配套指引， 原中国保监会：保险公司内部控制基本准则、2014-2016年寿险公司全面风险管理实施指引、原银监会：银行业金

3、融机构全面风险管理指引、原中国保监会：第二代支付17条监管规定、原银监会：修订商业银行内部控制指引、内部控制定义及主要要求、五部委企业内部控制基本规范、原银监会商业银行内部控制指引。 内部控制是由董事会、监事会、经理和全体员工为实现控制目标而实施的过程。主要要求：符合条件的企业应按照内部控制五要素及相关配套指引组织实施内部控制，进行内部控制自我评价，聘请外部审计师进行独立的内部控制评价。内部控制是商业银行董事会、监事会、高级管理层和全体员工共同参与的动态过程和机制，通过制定和实施系统的制度、流程和方法来实现控制目标。主要要求：商业银行应明确内部控制职责，建立和实施内部控制，开展内部控制评价，加

4、强内部控制审计。内部控制是指保险公司各级机构和人员根据各自职责采取适当措施，合理防范和有效控制经营管理中的各种风险，防止公司经营偏离发展战略和经营目标的机制和过程。主要要求：保险公司应明确内部控制职责，建立和实施内部控制，并进行内部控制评价和报告。原中国保监会保险公司内部控制基本指引、操作风险的定义和主要要求、原中国银监会商业银行操作风险管理指引、操作风险是指因内部程序不完善或存在问题、员工和信息技术系统以及外部事件造成损失的风险。该定义中的运营风险包括法律风险，但不包括战略风险和声誉风险。主要要求：明确操作风险责任，识别、评估、管理和报告操作风险，特别是加强损失数据收集和重大操作风险事件报告

5、，明确“强化，原中国保监会寿险公司全面风险管理实施指引、保险公司偿付能力监管规则第11号：偿付能力风险管理要求与评价，以及内部控制与操作风险的理论区别。从定义来看：对于内部控制，虽然各监管机构对内部控制的定义各有侧重，但强调内部控制是从董事会到普通员工的过程，旨在实现一定的控制目标。在操作风险方面，原银监会和原保监会对操作风险的定义基本一致，均将操作风险定义为内部操作流程、人员、系统不完善或外部事件造成直接或间接损失的风险。从主要要求来看：对于内部控制，各监管机构的主要要求是明确内部控制职责，建立和实施内部控制，进行内部控制评价，以及加强内部控制的内部或外部审计。在操作风险方面，原银监会和原保

6、监会主要要求明确操作风险责任，识别、分析、管理和报告操作风险，并对操作风险监控、损失事件数据库/数据和操作风险自我评估提出了特殊要求。因此，单纯从理论角度来看，内部控制和操作风险在定义和监管要求方面的差异是比较大的，但是为什么在实践中内部控制和操作风险经常被比较呢？在我看来，内部控制和操作风险在实践中经常被比较的主要原因在于其实质性工作内容的相似性和主要责任部门的高度重叠。从实质性工作内容来看，两者都要求覆盖总行、分行和子公司。从本质上讲，它们都需要充分的参与，这是不可分割的。从牵头责任部门来看：在许多金融企业中，操作风险的牵头管理部门通常是内部控制的牵头管理部门。，内部控制，操作风险管理，内

7、部控制和操作风险管理的实际工作，内部控制体系建设，内部控制过程审核，内部控制评价，缺陷整改，操作风险管理体系建设，风险识别(定性)，风险自我评估/调查，损失事件管理，风险识别(定量)指标监控，内部控制审计，以及无止境的工作范围困境，困难，工作深度困难，人员太少，反应不及时，风险在哪里，缺乏信心，如何有效地开展内部控制和操作风险管理的实际工作(1/6)，1。构建统一的内部控制和操作风险管理框架、顶层体系、内部控制管理政策、内部控制实务手册、权限管理体系和操作风险事件管理体系、缺陷管理体系、销售、运营、财务、投资、信息、人力、行政等领域的管理体系、子领域体系、特殊风险管理体系、销售行为管理、自保管

8、理、业务计划管理、内部控制评价手册、对接、综合风险管理政策、操作风险管理体系、内部控制、操作风险管理、如何有效开展内部控制和操作风险管理实务工作等。内部控制体系建设、内部控制流程审核、内部控制评价、缺陷整改、操作风险管理体系建设、风险识别(定性)、风险自我评估/调查、损失事件管理、风险识别(定量)指标监控、内部控制审计，2。内部控制和操作风险管理的内容整合，如何有效开展内部控制和操作风险管理的实际工作(3/6)，如何有效开展内部控制和操作风险管理实践(4/6)；3.建立统一的内部控制和操作风险管理信息系统，如何有效地进行内部控制和操作风险管理实践(5/6)；4.明确三条防线的风险管理责任，建立真正的风险管理文化。5.匹配适当的风险管理组织结构和人员配备，以提高人员的风险控