銀監會向社會征求商業銀行內控評價辦法意見

　　中新網9月30日電 中國銀行業監督管理委員會今日發布公告稱，為規范和加強對商業銀行內部控制評價，督促商業銀行建立內部控制體系，健全內部控制機制，保證商業銀行穩健運行，銀監會起草了《商業銀行內部控制評價試行辦法(征求意見稿)》。即日起上網公示征求社會各界意見，公示期為一個月。

　　商業銀行內部控制評價試行辦法(征求意見稿)

　　第一章 總 則

　　第一條為規范和加強對商業銀行內部控制的評價，督促其進一步建立內部控制體系，健全內部控制機制，保證商業銀行安全穩健運行，根據《中華人民共和國銀行業監督管理法》、《中華人民共和國商業銀行法》等法律法規，制定本辦法。

　　第二條 商業銀行內部控制評價是指對商業銀行內部控制體系建設、實施和運行結果獨立開展的調查、評估、測試和分析的系統性活動。

　　內部控制評價包括過程評價與結果評價。過程評價側重對內部控制過程的充分性、合規性、有效性、適宜性的評價，結果評價是對內部控制主要目標實現程度的評價。

　　第三條商業銀行內部控制體系是商業銀行為實現經營管理目標，通過制定和實施系統化的政策、程序和方案，對風險進行識別、評估、控制、監測和改進的動態過程和機制,由內部控制環境、風險識別與評估、內部控制措施、監督評價與糾正、信息交流與反饋五個相互關聯、相互作用的過程構成。

　　第四條商業銀行應建立并保持系統的、透明的、文件化的內部控制體系，將內部控制活動與業務經營管理活動緊密地結合起來；定期或在有關法律法規和其他經營環境發生重大變化時，對內部控制體系進行評審和改進。

　　第五條 商業銀行內部控制評價由中國銀行業監督管理委員會(以下簡稱銀監會)及其各級派出機構組織實施。

　　第六條 商業銀行內部控制評價人員應經過有關內部控制評價知識和技能的培訓，具備相應的資質和能力。

　　第二章 內部控制評價目標和原則

　　第七條商業銀行內部控制評價的目標是通過評價商業銀行內部控制體系的充分性、合規性、有效性和適宜性，促使商業銀行切實加強內部控制體系的建設并認真執行。具體評價目標如下：

　　(一)促進商業銀行嚴格遵守國家法律法規、銀監會的監管要求和商業銀行審慎經營原則；

　　(二)促進商業銀行提高風險管理水平，保證其發展戰略和經營目標的實現；

　　(三)促進商業銀行增強業務、財務和管理信息的真實性、完整性和及時性；

　　(四)促進商業銀行各級管理者和員工強化內部控制意識，嚴格貫徹落實各項控制措施，確保內部控制體系得到有效運行；

　　(五)促進商業銀行在出現業務創新、機構重組及新設等重大變化時，及時有效地評估和控制可能出現的風險。

　　第八條 為實現上述內部控制評價目標，應從以下四個方面對內部控制體系進行評價：

　　(一)過程和風險是否已被充分識別；

　　(二)過程和風險的控制措施是否遵循相關要求、得到明確規定并得以實施和保持；

　　(三)控制措施是否有效；

　　(四)控制措施是否適宜。

　　第九條 內部控制評價應遵循以下原則：

　　(一)系統性原則。評價范圍應滲透覆蓋商業銀行內部控制活動的全過程，覆蓋所有的系統、部門和崗位。

　　(二)統一性原則。評價應保持目標、范圍和準則的一致，以確保評價過程的準確，以及評價結果的客觀、可比。

　　(三)獨立性原則。評價應由銀監會及其派出機構或受委托評價機構獨立進行，不受任何單位和個人干擾。

　　(四)公正性原則。評價應以事實為基礎，以法律法規、監管要求為準則，客觀公正，實事求是。

　　(五)重要性原則。評價應依據風險和控制的重要性確定重點。

　　(六)及時性原則。應按照規定的時間間隔持續進行評價。當經營管理環境發生重大變化時，應及時進行評價。

　　第三章 內部控制評價內容

　　第一節內部控制環境

　　第十條 商業銀行公司治理

　　商業銀行應建立以股東大會、董事會、監事會、高級管理層等為主體的公司治理組織架構，保證各機構規范運作、分權制衡。

　　(一)完善股東大會、董事會、監事會及下設的議事和決策機構，建立議事規則和決策程序；

　　(二)明確董事會和董事、監事會和監事、高級管理層和高級管理人員在內部控制中的責任；

　　(三)建立獨立董事制度，對董事會討論事項發表客觀、公正的獨立意見；建立外部監事制度，對董事會、董事、高級管理層及其成員進行監督。

　　第十一條 董事會、監事會和高級管理層責任

　　董事會負責保證商業銀行建立并實施充分而有效的內部控制；負責審批整體經營戰略和重大政策并定期檢查、評價執行情況；負責確保商業銀行在法律和政策的框架內審慎經營，明確設定可接受的風險程度，確保高級管理層采取必要措施認定、計量、監督并控制風險；負責審批組織機構；負責保證高級管理層對內部控制制度的充分性與有效性進行監測和評估。

　　監事會負責監督董事會、高級管理層完善內部控制；負責監督董事會及董事、高級管理層及高級管理人員履行內部控制職責；負責要求董事、董事長及高級管理人員糾正其損害商業銀行利益的行為并監督執行。

　　高級管理層負責制定內部控制政策，對內部控制的充分性與有效性進行監測和評估；負責執行董事會決策；負責建立認定、計量、監督并控制風險的程序和措施；負責建立和完善內部組織機構，保證內部控制的各項職責得到有效履行。

　　董事會和高級管理層還應培育良好的內部控制文化，提高員工的風險意識和職業道德素質，建立通暢的內外部信息溝通渠道，確保及時獲取與內部控制有關的人力、物力、財力、信息以及技術等資源。

　　第十二條 內部控制政策

　　商業銀行應在各項業務和管理活動中制定明確的內部控制政策，規定內部控制的方向和原則，并為制定和評審內部控制目標提供指導。內部控制政策應：

　　(一)與商業銀行的經營宗旨和發展戰略相一致；

　　(二)體現持續改進內部控制的要求；

　　(三)符合現行法律法規和監管要求；

　　(四)體現出側重控制的風險類型；

　　(五)體現出對不同地區、行業、產品的風險控制要求；

　　(六)傳達給適用崗位的員工，指導員工實施風險控制措施；

　　(七)可為風險相關方所獲取，并尋求互利合作；

　　(八)定期進行評審，確保其持續的適宜性和有效性。

　　第十三條 內部控制目標

　　商業銀行應在相關職能和層次上建立并保持內部控制目標。內部控制目標應符合內部控制政策，并體現對持續改進的要求。

　　在建立和評審內部控制目標時，應考慮法律法規、監管要求和其他要求，以及技術、財務、經營和風險相關方等因素。

　　內部控制目標應可測量。有條件時，目標應予以量化。

　　第十四條 組織結構

　　商業銀行應建立分工合理、職責明確、報告關系清晰的組織結構，明確所有與風險和內部控制有關的部門、崗位、人員的職責和權限，并形成文件予以傳達。特別應考慮：

　　(一)必要的職責分離，以及橫向與縱向相互監督制約關系；

　　(二)涉及資產、負債、財務和人員等重要事項變動均不得由一個人獨自決定；

　　(三)建立關鍵崗位定期或不定期的人員輪換和強制休假制度；

　　(四)建立相應的授權體系，實行統一法人管理和法人授權。

　　商業銀行應設立負有內部控制體系建立、實施特殊責任的專門委員會或部門，明確其責任、權限和報告路線。

　　商業銀行應設立全行系統垂直管理、具有充分獨立性的內部審計部門。內部審計部門應配備具有相應資質和能力的審計人員；應有權獲得商業銀行的所有經營、管理信息；應根據對轄屬機構的風險評級結果確定審計頻率，以及對機構和業務的審計覆蓋率，定期或不定期對內部控制的健全性和有效性實施檢查、評價；應及時向董事會或董事會審計委員會提交審計報告；董事會及高級管理層應保證審計報告中指出的內部控制的缺失得到及時糾正整改；總行內部審計負責人的聘任和解聘應當經董事會或監事會同意。

　　第十五條 企業文化

　　商業銀行應培育健康的企業文化，對企業文化的內涵、組織機制、傳播機制、評估機制以及活動機制做出明確的規定，向員工傳達遵守法律法規和實施內部控制的重要性，引導員工樹立良好的合規意識和較強的風險意識，促進員工職業道德水平的提高，規范員工行為，營造良好的內部控制環境。所有員工都應了解自己在內部控制中的作用，全面參與內部控制體系建設。

　　第十六條人力資源

　　商業銀行應完善人事制度和程序，確保與風險和內部控制有關人員具備相應的能力和風險意識。

　　商業銀行應規定所有崗位的職責、權限和人員適任條件，明確關鍵崗位、特殊崗位、不相容崗位及其控制要求。

　　商業銀行應明確與風險和內部控制有關人員的必要的能力要求。應根據其教育水平、工作經驗、考核和接受過的培訓對能力進行鑒定。尤其應滿足監管機構對高級管理人員資質的要求，不滿足任職資格的不得擔任高級管理職務。

　　商業銀行應制定并保持培訓計劃，以確保高級管理層和全體員工能夠完成其承擔的內部控制方面的任務和職責。培訓計劃應定期評審，并應考慮不同層次員工的職責、能力和文化程度以及所面臨的風險。

　　商業銀行應對員工引進、退出、選拔、績效考核、薪酬、福利、專業技術職務管理處罰等日常人事管理做出詳細規定，并充分考慮人力資源管理過程中的風險。

　　第二節風險識別與評估

　　第十七條 經營管理活動風險識別與評估

　　商業銀行應建立和保持書面程序，以持續對各類風險進行有效的識別與評估。商業銀行的主要風險包括信用風險、操作風險、市場風險、國家和轉移風險、利率風險、流動性風險、法律風險以及聲譽風險等。

　　應識別并確定常規和非常規的業務和管理活動，并識別這些活動中的風險(無論是否由內部產生)，考慮其類型、來源及其影響范圍，特別應考慮計算機系統的運用可能帶來的風險。

　　應依據法律法規、監管要求以及內部控制政策確定風險是否可接受，以確定是否進一步采取措施。風險可接受時，應監測并定期評審，以確保其持續可接受；風險不可接受時，應制定控制措施。

　　商業銀行對各類風險進行有效的識別與評估時應充分考慮內部和外部因素，內部因素包括組織結構的復雜程度、銀行業務性質、機構變革以及員工的流動等；外部因素包括經濟形勢的波動、行業變動趨勢等。

　　環境和條件發生變化時，應及時對風險進行再識別和再評估，以確保任何新的和以前未曾予以控制的風險得到識別和控制。

　　風險識別與評估應：

　　(一)依據業務范圍、性質和時限主動進行；

　　(二)評估風險的后果、可能性和風險級別；

　　(三)必要時開發并運用風險量化評估的方法和模型。

　　第十八條 法律法規、監管要求和其他要求識別

　　商業銀行應建立并保持識別和獲取適用法律法規、監管要求和其他要求的程序，作為風險識別與評估、制訂控制目標和控制方案的依據。

　　商業銀行應及時更新法律法規、監管要求和其他要求的信息，并將這些信息傳達給相關員工和其他風險相關方。

　　第十九條 內部控制方案

　　商業銀行應制定內部控制方案，以控制所識別的不可接受風險。內部控制措施策劃方案應包括以下內容：

　　(一)為實現對風險的控制而規定的相關層次的職責與權限；

　　(二)控制的策略、方法、資源需求和時限要求。

　　內部控制措施若涉及到組織結構、流程、計算機系統等方面的重大變更，應考慮采取此種措施后可能產生的新風險。

　　第三節內部控制措施

　　第二十條 運行控制

　　商業銀行應確定需要采取控制的業務和管理活動，依據所策劃的控制措施或已有的控制程序對這些活動加以控制。

　　控制措施包括：

　　(一)高層檢查。董事會與高級管理層要求下級部門及時報告經營管理情況和特別情況，以檢查銀行在實現內部控制目標方面的進展。高級管理層根據檢查情況提出內部控制缺失，督促職能管理部門改進。

　　(二)行為控制。各級職能管理部門審查每天、每周或每月收到的經營管理情況和特別情況專項報表或報告，提出問題，要求采取糾正整改措施。

　　(三)實物控制。主要的控制措施包括實物限制、雙重保管和定期盤存。

　　(四)遵循風險暴露限制的情況。審查遵循風險限制方面的合規性，在不合規的情況下繼續跟蹤檢查。如遵循對借款人的信用額度限制，減少風險集中程度，有助于分散風險。

　　(五)審批與授權。根據若干限制條件對各項業務、管理活動進行審批與授權，明確各級管理責任。

　　(六)驗證與核實。驗證各項業務、管理活動，以及所采用的風險管理模型結果，并定期核實相關情況，及時發現需要修正的問題，向職能管理部門報告。

　　(七)不兼容崗位的適當分離。實行適當的職責分工，認定潛在的利益沖突并使之最小化。

　　控制要點包括：

　　(一)對于可能導致偏離內部控制政策、目標的運行情況，應建立并保持書面程序和要求，并在程序中規定操作和控制標準；

　　(二)對于重要活動應實施連續記錄和監督檢查；

　　(三)在可能的情況下，應考慮運用計算機系統進行控制；

　　(四)對于采購或外包的設施、設備、系統和服務中已識別的風險，應建立并保持控制程序，并將有關程序和要求通報供方，確保其遵守商業銀行相關的控制要求；

　　(五)對于產品、組織結構、流程、計算機系統的設計過程，應建立有效的控制程序。

　　第二十一條 計算機系統環境下的控制

　　商業銀行應考慮計算機系統環境下的業務運行特征，建立信息安全管理體系，對硬件、操作系統和應用程序、數據和操作環境，以及設計、采購、安全和使用實施控制，確保信息的完整性、安全性和可用性。明確計算機信息系統開發部門、管理部門與應用部門的職責，建立和健全計算機信息系統風險防范的制度，確保計算機信息系統設備、數據、系統運行和系統環境的安全。

　　第二十二條 應急準備與響應

　　商業銀行應建立并保持預案和程序，以識別可能發生的意外事件或緊急情況(包括計算機系統)。意外事件和緊急情況發生時，應及時做出應急響應，以預防或減少可能造成的損失，確保業務持續開展。

　　商業銀行應定期檢查、維護應急的設施、設備和系統，確保其處于適用狀態。如可行，應定期測試應急預案。

　　商業銀行應評審其應急預案，特別是意外事件或緊急情況發生之后。應急準備應與可能發生的意外事件或緊急情況(包括損失、險情)的性質相適應。

　　第四節監督評價與糾正

　　第二十三條 內部控制績效的監測

　　商業銀行應建立并保持書面程序，通過適宜的監測活動，對內部控制績效進行持續監測。監測內容包括：

　　(一)內部控制目標實現程度的監測；

　　(二)法律、法規及監管要求的遵循程度；

　　(三)適用的法律法規、監管要求及其他要求的符合情況；

　　(四)損失、險情和其他不良的內部控制績效的歷史情況；

　　第二十四條 違規、險情、事故處置和糾正與預防措施

　　商業銀行應對違規、險情、事故的發現、報告、處置和糾正與預防措施做出規定，包括：

　　(一)發現違規、險情、事故并及時報告，必要時，可越級報告；

　　(二)及時處置違規、險情、事故；

　　(三)制定糾正與預防措施，防止違規、險情、事故的發生和再發生，并與問題的大小和風險危害程度相一致；

　　(四)糾正與預防措施在實施之前應進行風險評估；

　　(五)實施并跟蹤、驗證糾正與預防措施；

　　(六)險情和事故的責任追究。

　　第二十五條 內部控制體系評價

　　商業銀行應按策劃的方案對內部控制體系實施評價，確保內部控制體系的符合性和有效性。

　　評價方案的制定，應以活動的風險評估結果、業務和管理流程及相關區域的狀況和以前的評價結果為依據。評價方案應包括評價的目的、準則、范圍、頻率和方法，以及執行評價和結果報告的職責與要求。評價應覆蓋體系范圍內的所有活動，被評價機構的管理者應采取措施消除違規原因，并驗證所采取措施的效果。應根據評價的結果對內部控制體系做出評價，必要時可根據評價結果確定內部控制水平的等級。評價結果的信息提供給管理層參考和決策。

　　評價應由所評價的活動無直接責任的人員進行，評價人員應能夠勝任評價工作。

　　第二十六條 管理評審

　　董事會應采取措施保證商業銀行定期組織對內部控制狀況進行評審，確保體系得到持續、有效的改進。

　　管理評審應包括以下方面的內容：

　　(一)內部控制體系評價的結果；

　　(二)內部控制政策執行情況和內部控制目標實現情況；

　　(三)對內部控制體系有重要影響的外部信息，如法律、法規的重大變化；

　　(四)組織結構的重大調整；

　　(五)事故和險情以及重大糾正和預防措施的狀況；

　　(六)以往管理評審的跟蹤情況；

　　(七)內部控制體系改進的建議。

　　管理評審應就以下方面提出建議：

　　(一)內部控制體系及其過程的改進；

　　(二)內部控制政策、目標的變更；

　　(三)與內部控制有關資源的需求。

　　第二十七條 持續改進。

　　商業銀行應利用內部控制政策、內部控制目標、評價結果、績效監測和數據分析、糾正和預防措施以及管理評審，持續提高內部控制體系有效性。

　　第五節信息交流與反饋

　　第二十八條 交流與溝通

　　商業銀行應建立和保持信息交流與反饋的程序，對財務、管理、業務、重大事件和市場信息等相關信息，明確其識別、收集、處理、交流、溝通、反饋、披露的渠道和方式。

　　商業銀行應識別其內部和外部的風險相關方，考慮他們的要求和目標，建立與這些相關方進行信息交流的機制，確保：

　　(一)董事會和高級管理層能夠及時了解業務信息、管理信息以及其他重要風險信息；

　　(二)所有員工充分了解相關信息、遵守涉及其責任和義務的政策、程序；

　　(三)險情、事故發生時，相關信息能得到及時報告和有效溝通；

　　(四)及時、真實、完整地向監管機構和外界報告、披露相關信息；

　　(五)國內外經濟、金融動態信息的取得和處理，并及時把與企業既定經營目標有關的信息提供給各級管理層。

　　信息交流與溝通應考慮信息的安全性和保密性要求。相關信息報告、發布、披露應經過授權。

　　為保持信息交流溝通可追溯性，必要時，應保持相關信息交流與溝通的記錄。

　　第二十九條 內部控制體系對文件的要求

　　建立和保持文件化體系是實現信息交流與反饋的重要途徑。商業銀行應建立并保持必要的內部控制體系文件，包括：

　　(一)對內部控制體系核心過程要素及其相互作用的描述；

　　(二)內部控制政策和目標；

　　(三)關鍵崗位及其職責與權限；

　　(四)不可接受的風險及其預防和控制措施；

　　(五)控制程序、作業指導、方案和其他內部文件。

　　第三十條 文件控制

　　商業銀行應建立并保持書面程序，以確保內部控制體系所要求的文件滿足下列要求：

　　(一)文件和資料易于查詢；

　　(二)實施前得到授權人的批準；

　　(三)定期進行評審，必要時予以修訂并由授權人員確認其適宜性；

　　(四)所有相關崗位都能得到有效版本；

　　(五)失效時，及時從所有發放處和使用處收回，或采取其他措施防止誤用；

　　(六)及時識別、處置外來文件并進行標識，必要時轉化為內部文件。

　　(七)留存的檔案性文件和資料應予以適當標識。

　　第三十一條 記錄控制

　　商業銀行應建立并保持書面程序，以規定內部控制相關活動中所涉及記錄的標識、生成、貯存、保護、檢索、保存期限和處置。

　　記錄應保持清晰、易于識別和檢索，以提供符合要求和內部控制體系有效運行的證據，并可追溯到相關的活動。

　　第四章 內部控制評價程序和方法

　　第三十二條 內部控制評價程序一般包括評價準備、評價實施、形成評價報告和反饋等步驟。

　　第三十三條 評價準備。

　　在評價實施前應組成評價組。評價組的成員構成應考慮到相關人員的背景和能力構成。必要時，可聘請相應的業務或管理專家。

　　評價組應根據內部控制評價的安排制訂評價方案，評價方案應明確本次評價的目的、范圍、準則、時間安排和相應的資源配置。

　　評價組應準備必要的工作文件，用于評價實施過程的參考和記錄。這些工作文件可以包括評價問卷、抽樣計劃、被評價機構的內部控制體系文件等。

　　在現場評價前應先與被評價機構建立初步聯系，以便確認有關評價事項和安排。

　　第三十四條 評價實施

　　評價組應按照確定的評價方案實施評價。在評價實施中有必要對評價組內部以及評價組與被評價機構之間的溝通做出正式安排。在評價實施過程中，應當通過適當的方法進行收集與評價目的、范圍和準則有關的信息，根據抽樣計劃對被評價項目進行測試，評價證據應當予以記錄。收集信息和測試的方法見本辦法附件的。

　　第三十五條 形成評價報告

　　評價組根據評價及測試情況，在綜合評價的基礎上，出具被評價機構的內部控制評價報告。報告內容主要包括概述、評價組工作開展情況、被評價機構內部控制體系狀況、綜合評價、存在問題及原因、整改意見等。

　　報告還應包括以下方面的內容：

　　(一)對被評價機構的內部控制體系現狀，存在問題與上次評價結果和連續多次評價結果進行趨勢比較分析。找出本期新出現的薄弱環節，分析判斷商業銀行內控的薄弱環節是否已得到改進和加強。

　　(二)將被評價機構存在的主要問題、缺失與同類銀行進行比較，對于普遍存在且受外圍環境制約的問題，在評價結論中作為可諒解因素列出。

　　(三)對被評價對象內部控制體系有效性進行分析評價后，監管部門應根據分析評價結果和已采取措施的有效程度，提出今后的監管建議。

　　(四)評價報告應根據內部控制評價對象的層次，突出重點和關鍵點。例如，對商業銀行總部的評價應突出管理方面的問題和薄弱點以及制度規定方面的缺失，而對分支機構的評價應側重執行方面的問題。

　　第三十六條 評價結論反饋

　　評價組對被評價銀行內部控制體系做出綜合評價后，應召集被評價機構管理層和部門負責人會議，核對數據和事實，征求意見，在現行法律和政策規定基礎上統一認識。評價組應將本次評價的評審報告和結論報送授權的監管機構。

　　第三十七條監管機構根據評價組的結論，依據有關法律和規定，對被評價機構做出評價結論和處理決定，以書面形式正式發送被評價機構并限期改正反饋。

　　第三十八條內部控制評價方法是為實現評價目的，運用基本的評價技術對商業銀行的內部控制體系進行分析和評價而采取的技術和手段的總稱。

　　第三十九條 內部控制評價的實施分為了解內部控制體系階段和實施測試階段。

　　評價人員首先應了解被評價機構內部控制體系的基本情況，確定評價范圍，確定被評價機構的內部控制體系的健全程度，然后決定實施測試所采取的方法。

　　實施測試是在了解內部控制體系的基礎上對被評價機構的內部控制體系開展的進一步評價活動。實施測試側重于評價內部控制體系的運行與績效，具體可以采取符合性測試和實質性測試。當初步評價被評價機構的內部控制體系為基本可信賴時，可以采用符合性測試；被評價機構內部控制體系有重大缺失或許多規定在實際工作中無法執行時，應對其內部控制進行實質性測試。

　　第四十條 了解內部控制體系

　　主要通過詢問法、查閱法、觀察法、流程圖法等方法了解被評價機構內部控制體系的設計和執行情況，初步評價被評價機構內部控制體系的充分性和制度的合規性，即評價主要活動和重要的風險是否被充分識別，相關制度是否符合法律法規和監管要求，各部門、各崗位是否嚴格執行了有關規定，內部控制體系能否達到控制目的和要求。

　　第四十一條 符合性測試

　　符合性測試是獲得評價證據以證實內部控制在實際中的合規性、有效性和適宜性，即相關規定在實際中是否被一貫執行，控制措施能否達到控制目的，控制措施是否恰當。符合性測試分為兩種形式：

　　(一)業務測試，即對重要業務或典型業務進行測試，按照規定的業務處理程序進行檢查，確認有關控制點是否符合規定并得到認真執行，以判斷內部控制的遵循情況。

　　(二)功能測試，即對某項控制的特定環節，選擇若干時期的同類業務進行檢查，確認該環節的控制措施是否一貫或持續發揮作用。

　　符合性測試的具體方法包括抽樣法、穿行測試法、證據檢查法、壓力測試法、否定驗證法等(具體描述見附錄一)。

　　第四十二條 符合性測試抽樣。符合性測試需要通過抽樣測試被評價商業銀行內部控制體系的建立、執行和監督情況。

　　抽取樣本的多少取決于被評價機構或被評價項目的風險、業務頻次、重要性等。可在根據業務頻次確定抽樣量的基礎上，再根據被評價項目的風險和重要性進行調整。

　　根據業務頻次確定的各年度抽樣量參考標準如下：

　　(一)每月執行一次的業務或事項，抽樣量應保持在2-6個之間；

　　(二)每周執行一次的業務或事項，抽樣量應保持在4-10個之間；

　　(三)每日執行一次的業務或事項，抽樣量應保持在10-25個之間；

　　(四)每日執行多次的業務或事項，全年10000次以下的，抽樣量應保持在25-50個之間；全年10000次以上的，抽樣量應保持在50個以上。

　　第四十三條 實質性測試

　　評價人員為了獲取對被評價機構各項評價認定真實、公允的證據，可采取實質性測試全面評價商業銀行內部控制體系。實質性測試主要包括詳細檢查和分析性復核兩種(具體描述見附錄一)。

　　第五章 內部控制評價的評分標準和等級評定

　　第四十四條為確保評價結果的可比性，對內部控制的過程或結果評價的項目，均分別設置一定的標準分值，根據評價的實際得分確定被評價機構的評價等級。

　　第四十五條對內部控制過程的過程評價共設置標準分500分，各過程的標準分值分別是：內部控制環境100分、風險識別與評估100分、內部控制措施100分、信息交流與反饋100分、監督評價與糾正100分。五個過程評得總分加總后除以5后換算成對過程評價的得分(對內部控制體系各過程主要項目設置的分值見附錄二)。

　　內部控制評價的具體對象可以根據評價范圍的需要確定，但必須覆蓋被評價機構開展的所有業務和管理活動。

　　第四十六條在對內部控制過程評價時，應按照第三章評價內容的要求，結合本辦法第八條的四個方面展開，轉換為具體評價問題(評價要點見附錄三)，并根據調查測試情況對被評價項目進行綜合評分。

　　第四十七條初次實施內部控制評價時，須對附錄二“內部控制過程評價分值表”中所有業務活動、管理活動和支持保障活動進行評價；再次評價時，至少應包括：授信業務、資金業務、存款及柜臺業務、主要中間業務、計劃財務、會計管理、計算機信息系統等。

　　第四十八條 內部控制過程評價的具體評分標準如下：

　　(一)被評價對象的過程和風險已被充分識別的，可得該項分值的百分之二十。

　　(二)在滿足前項的基礎上，被評價項目的過程和對風險的控制措施被規定并遵循要求的，可得該項分值的百分之三十。

　　(三)在滿足前兩項的基礎上，被評價項目的規定得到實施和保持，可再得該項分值的百分之三十。

　　(四)在滿足前三項的基礎上，被評價項目在實現風險控制的結果方面，控制措施有效且適宜的，可再得該項分值的百分之二十。

　　第四十九條在調查和測試過程中遇有業務缺項或問題“不適用”時，評價人員應將涉及到的分值在評價項目總分中扣減。為了保持可比性，在得出其余適用項的總分后，還應將該評價項目的總得分進行調整。調整后的評價項目總得分=(項目所有適用問題得分)/(評價項目總分-不適用問題總分)?100

　　單項分值小計和總分分值不設小數，有小數時四舍五入。

　　第五十條 若涉及到需要采取抽樣測試確定評價結論的，應根據以下情況確定：

　　(一)如果在抽樣范圍內發現違規率在10%(含)以下的，該項評價得滿分；在10-30%(含)之間的，可得該評價項目分值的50%；在30%以上的，該項評價不得分。

　　(二)發現險情或事故的，直接扣除該評價項目的分值。

　　第五十一條內部控制的結果評價。結果評價主要評價內部控制目標的實現情況，對這些指標的量化評價可以通過非現場的方式進行。結果評價主要包括十項指標：資本利潤率、資產利潤率、收入成本比、大額風險集中度指標、關聯方交易指標、資產質量指標、不良貸款撥備覆蓋率、資本充足指標、流動性指標、案件損失指標。內控結果評價指標的分值為500分(具體指標和計分方式詳見附錄二)。

　　銀監會可以根據商業銀行整體風險情況、宏觀經濟金融情況和銀監會工作的重點，補充、修訂或調整有關評價指標及其標準分值。

　　第五十二條根據過程評價和結果評價綜合確定內部控制體系的總分。其中，過程評價占比分權重為70%，結果評價占比分權重為30%，兩項得分相加得出綜合評價總分(過程評價計分表、結果評價計分表和匯總計分表見附錄二)。

　　第五十三條根據綜合評價總分對被評價銀行的內部控制體系進行定級，定級評價應按評分標準對被評價銀行內部控制項目逐項計算得分，確定評價等級。定級標準為：

　　一級：綜合評分90分(含)以上；指被評價機構有健全的內部控制體系，在各個環節均能有效執行內部控制措施，能對所有風險進行有效識別和控制，無任何風險控制盲點，控制措施適宜，經營效果顯著。

　　二級：綜合評分80-89分；指被評價機構內部控制體系比較健全，在各個環節能夠較好執行內部控制措施，能對主要風險進行識別和控制，控制措施基本適宜，經營效果較好。

　　三級：綜合評分70-79分；指被評價機構內部控制體系一般，雖建立了大部分內部控制，但缺乏系統性和連續性，在內部控制措施執行方面缺乏一貫的合規性，存在少量重大風險，經營效果一般。

　　四級：綜合評分60-69分；被評價機構內部控制體系較差，內部控制體系不健全或重要的內部控制措施沒有貫徹執行或無效，管理方面存在重大問題，會計記錄失真，業務經營安全性差。

　　五級：綜合評分60分以下；被評價機構內部控制體系很差，內部控制體系存在嚴重缺失或內部控制措施明顯無效，存在明顯的管理漏洞，經營業務失控，會計記錄不可信，存在重大金融風險隱患。

　　上述評分等級適用于對單項評價的定級，對單項評價定級時，應將單項評價的總分換算成百分制。單項評價定級僅用于對比分析，不作為最終結論。

　　若評級結果對外公布，可能會對上市公司造成較大的影響，則可以內部掌握，不對外公布。

　　第五十四條 若被評價機構在評價期內發生重大責任事故，應在內部控制初步評價等級的基礎上降低一級。重大責任事故包括：

　　(一)因安全防范措施不當，發生金融詐騙、盜竊、搶劫、爆炸等案件，造成重大影響和損失；

　　(二)因經營管理不善發生擠提事件；

　　(三)業務系統故障，造成重大影響和損失；

　　(四)經查實的重大信訪事件。

　　第五十五條內部控制體系連續在三個評價期內得不到改善的機構，其內部控制評價等級應適當降低；內部控制體系狀況不斷好轉的，應酌情予以適當的加分，但不得提升評價等級。

　　第六章 內部控制評價組織和實施

　　第五十六條 內部控制評價按照“統一領導，分級管理”的原則進行。

　　第五十七條 根據評價的范圍，內部控制評價可分為以下層次：

　　(一)銀監會及其派出機構對商業銀行法人機構的整體評價；

　　(二)銀監會對商業銀行總部的評價；

　　(三)銀監會及其派出機構對商業銀行不同層次分支機構的評價。

　　第五十八條銀監會對商業銀行法人機構整體的綜合評價，取對總部評價得分的70%和抽取部分分支機構評價平均得分的30%，形成最終評級結果。

　　銀監會各派出機構對轄內商業銀行分支機構的內部控制評價可比照進行。

　　第五十九條銀監會可根據需要委托外部中介機構對商業銀行內部控制體系進行評價。受托中介機構和人員必須熟悉商業銀行業務和運作，具備內部控制體系建立或評價方面的相關經驗。各派出機構選聘中介機構進行內部控制評價時，必須報銀監會批準。

　　受托中介機構對商業銀行的內部控制評價按照本辦法執行。

　　第六十條銀監會及其派出機構應及時整理、分析和掌握被監管機構報送的非現場監管數據、國家審計部門的審計結果和被監管機構的內部審計信息，充分利用監管部門對被監管機構的各種現場檢查結果。

　　第六十一條應當根據風險大小和重要性確定對商業銀行及其分支機構內部控制評價的頻率和范圍，對內部控制整體情況評價的間隔期，一般不超過二年。當商業銀行發生重大策略改變、管理層變動、重大的并購或處置、重大的營運方法改變或財務信息處理方式改變等情況，或銀監會有監管需要時，應對內部控制整體情況進行評價。

　　第六十二條對內部控制體系存在缺失的評價對象，銀監會或其派出機構應對其內部控制體系的改進情況進行后續跟蹤，責令其針對評價發現的違規或風險隱患制定糾正措施，并對糾正情況及有效性進行檢查測試。

　　第六十三條內部控制評價各階段涉及的有關記錄、表格、內部控制評價報告、銀監會或其派出機構的監管措施及跟蹤監管情況均應作為監管檔案妥善保管，評價結果應上報上級機構。

　　第七章 罰 則

　　第六十四條根據評級結果及評價報告所反映情況，監管機構可針對被評價機構內部控制體系所存在問題的性質及嚴重程度分別采取以下一項或多項監管措施：

　　(一)約見被評價機構第一負責人或董事長；

　　(二)就評價對象內部控制體系的薄弱環節和存在問題所可能引發的風險，向被評價機構進行提示和警告；

　　(三)要求被評價機構對內部控制體系中存在的問題進行限期整改；

　　(四)加大對內部控制體系存在薄弱環節的機構或業務的現場檢查力度及頻率；

　　(五)建議更換有關管理層人員；

　　(六)取消有關管理層人員一定期限或終身銀行業從業資格；

　　(七)責令對內部控制體系存在嚴重缺失的業務進行整頓或暫停辦理該項業務；

　　(八)延緩或拒絕受理增設分支機構、開辦新業務的申請。

　　第六十五條對內部控制評價中發現的評價對象的違規、違法行為，應根據有關規定，按照其違規、違法行為類型及性質，采取相應處罰措施。

　　第六十六條未經批準或許可，任何單位和個人不得對外公布對被評價機構的內部控制體系等級評定結果。凡擅自公布等級評定結果，造成重大不良影響的，要追究有關人員的責任。

　　第八章 附 則

　　第六十七條 商業銀行應根據本指引制定相應的實施細則并報銀監會或其派出機構備案。

　　第六十八條 本辦法涉及的重要名詞術語解釋如下：

　　(一)體系：相互關聯或相互作用的一組要素。內部控制體系的要素是內部控制環境、風險識別與評估、內部控制措施、監督評價與糾正、信息交流與反饋五個過程。

　　(二)文件：信息及其承載媒體。媒體可以是紙張，計算機磁盤、光盤或其他電子媒體，或其組合；

　　(三)程序：為進行某項活動或過程所規定的途徑。程序可以形成文件，也可以不形成文件；當程序形成文件時，通常稱為書面程序。

　　(四)風險相關方：與商業銀行在風險及其控制方面有利益關系的個人或團體。風險相關方包括風險直接承擔者和間接利害關系者，前者如商業銀行投資者、顧客或員工，后者如監管機構。

　　(五)內部控制績效：根據內部控制政策和目標，在控制風險方面所取得的可測量的結果(績效測量包括內部控制活動和結果的測量)。

　　(六)事故：造成損失的非預期事件。

　　(七)險情：可能造成損失的事件。

　　(八)違規：未滿足規定的要求，既可能是人員違規或疏忽造成的，也可能是其他客觀原因導致的。

　　(九)預防措施：為消除潛在違規或其他潛在不期望情況的原因所采取的措施。

　　(十)糾正措施：為消除己發現的違規或其他不期望情況的原因所采取的措施。

　　(十一)審核：確定活動及其結果是否符合計劃的安排，以及計劃安排是否實施并適合于達到內部控制政策和目標的系統檢查。

　　第六十九條本辦法適用于在中華人民共和國境內依法設立的國有商業銀行、股份制商業銀行、外資商業銀行、城市商業銀行、農村商業銀行、農村合作銀行和郵政儲蓄機構。對政策性銀行、城鄉信用社和非銀行金融機構的評價可參照本辦法執行。

　　第七十條沒有進行股份制改造的商業銀行、農村合作銀行和郵政儲蓄機構、政策性銀行、城鄉信用社和非銀行金融機構，應由高級管理層負責內部控制體系的建立、維護和改進，并明確相對獨立的決策、監督和執行職責和權限。

　　第七十一條 本辦法由中國銀行業監督管理委員會負責解釋與修訂。

　　第七十二條 本辦法自發布之日起施行。