建立在多個法人機構重組整合基礎上的城商行，由于受起點低、規模小、人員素質不高以及特殊的內部控制環境等因素的制約，整體內部控制狀況相較股份制銀行和國有銀行更為薄弱。城商行的內部控制狀況仍不容樂觀，問題較為突出，亟待完善。

　　健全有效的內部控制是商業銀行持續安全運行的基礎。建立在多個法人機構重組整合基礎上的城商行，由于受起點低、規模小、人員素質不高以及特殊的內部控制環境等因素的制約，整體內部控制狀況相較股份制銀行和國有銀行更為薄弱。雖然近年來在監管機構的大力推動和自身的不斷努力下，城商行的內部控制狀況有很大改善。但日前財政部發布的《會計信息質量檢查公告（第十七號）》顯示，城商行的內部控制狀況仍不容樂觀，問題較為突出，亟待完善。

　　城商行內控存在的九大問題

　　從目前情況來看，城商行內部控制存在的問題可以總結為九大方面：

　　1、認識不到位，內控意識仍顯薄弱。近年來城商行操作風險案件時有發生，很重要的原因就是城商行的內部控制存在缺陷。而這又跟城商行對內控和風險管理認識不到位，內控意識薄弱密切相關。這集中表現為“一種現象、兩個替代和三種錯誤理念”。“一種現象”，即上熱下冷、忽熱忽冷，意思是說城商行在對內部控制的認識和推進內部控制建設上，往往是總行積極性較高，分支行較為冷淡；在監管機構開展檢查和開展案件防控活動時，全行上下態度較為積極，對內部控制較為重視，一旦活動結束，“原形畢露”，態度又趨于冷淡。反映出城商行內控意識較為薄弱，內控優先理念未得到真正落實。“兩個替代”，一是指以規章制度建設替代內部控制建設；二是指以運動式的監督檢查代替連續性的內部控制。“兩個替代”說明城商行對內部控制本質的認識不到位，存在偏差。“三種錯誤理念”，即“重發展，輕內控；重營銷，輕風管；重放貸，輕管理”。“三重三輕”理念反映了城商行粗放式的發展模式。在這種理念的指導下，必然將內部控制和風險管理讓位于業務發展，一些內控措施得不到執行，內控失效也就在所難免。

　　2、內控組織體系不健全，決策與建設職能缺失。雖然城商行初步建立了由決策、建設與執行、監督評價、持續改正等四個環節組成的內部控制組織體系，但受公司治理不完善、人員缺乏以及整個銀行組織架構不健全等因素的影響，城商行的內控組織體系仍存在較多問題。集中表現在：第一，由于公司治理不完善，董事會與高級管理層之間（尤其是董事長與行長之間）的職責劃分并不清晰，導致董事會與高級管理層的內控職責混亂和缺失，董事會未能充分承擔起內控建設的最終決策職能，監事會對董事會和高級管理層完善內控體系的監督職能也形同虛設；第二，除少數城商行設立了專門的部門或委員會負責全行的內部控制建設外，絕大多數城商行沒有專門的機構負責該項工作，內控建設職能分散于各相關部門，而各相關部門僅從本部門職責角度承擔內控的相關職能，造成內控體系缺乏整體性，控制過度與控制不足并存。

　　3、內控制度不完善，整體性、長期性考慮不足。健全的制度體系是商業銀行內部控制的基礎，決定著內部控制的完整性和有效性。城商行內部控制存在的缺陷和不足在很大程度上正是由于內控制度的不完善所造成的。具體來說：一是大多數城商行沒有制定內控戰略，內部控制的長期目標、方向以及風險戰略和偏好缺乏，造成內控建設和運行的持續性不足，影響內控的有效性；二是除各業務條線的規章制度、管理辦法等基礎性內控制度外，大多數城商行沒有制定旨在明確全行內部控制框架和各相關部門的內控職責定位的綱領性內控文件，導致內控建設缺乏整體性，內控職責得不到有效落實；三是各條線出臺的規章制度和管理辦法之間銜接不夠，時常出現不一致甚至沖突的情況。

　　4、全面風險管理體系尚未形成，操作風險管理較為粗放。城商行初步建立了以風險管理部為核心，涵蓋信用風險、市場風險和操作風險的風險管理體系，并建立起相應的風險識別與評估機制。但離全面風險管理的要求以及業務快速發展的需要仍有不小距離。大多數城商行的風險管理部的主要職責是信用風險管理，尚未將其他各類風險納入管理范疇。就信用風險管理而言，量化管理水平仍有待提高，風險監控手段較為落后；部分城商行仍未實現審貸分離，授權制度不完善，貸后管理較為薄弱。雖然相當一部分城商行都按照監管要求設立了合規部門，但并未充分承擔起合規風險管理的職能，更多的是制度梳理和法律事務。此外，城商行普遍存在操作風險管理較為粗放的問題，缺乏專門的操作風險管理部門，也未建立起相應的管理制度，更多的是以內部審計、業務檢查以及案件防控替代操作風險管理。

　　5、制度執行不力，制度后評價機制缺乏。制度執行不力是城商行普遍面臨的問題，也是導致內控失效的主要原因。從以往案例來看，制度執行不力，既有基層分支機構風險合規意識不強的原因，也有制度本身以及制度建設方面的問題。具體表現在三個方面：首先，由于人才缺乏，城商行總行業務管理部門大多缺少具有業務經驗的管理人員，從而使得其制定的制度與業務本身存在差距，執行性打折扣；其次，制度培訓和教育機制不完善，基層分支機構難以迅速、全面掌握制度的要求，從而出現現實操作與制度要求不相符的情況；最后，制度后評價機制缺乏，城商行大多存在“重視制度制定，忽視跟蹤評價”的情形，制度出臺后，沒有專門的崗位和部門根據外部環境、法律法規以及銀行自身情況的變化對制度的適用性進行評價，也沒有對制度出臺后的執行情況進行跟蹤反饋，從而出現現行制度滯后于外部法律法規要求，甚至滯后于業務發展的情況。

　　6、關鍵內控措施流于形式，內控效果打折扣。為防范操作風險，尤其是內部員工的道德風險，《商業銀行內部控制指引》要求，商業銀行應明確各崗位職責，并建立相互監督制約的機制；對于關鍵崗位應實行定期或不定期的人員輪換和強制休假制度。這構成商業銀行內控的基本和核心控制措施。這方面城商行仍然較為薄弱，尤其是規模較小的城商行，成本約束壓力較大，大多實行精簡的人員策略，無論是總行部門還是分支機構，一人兼多崗現象均較為普遍，從而使得崗位之間（尤其是不相容崗位）的監督制約落空；強制休假和人員輪換更是形同虛設。此外，出于業務穩定的考慮，對分支行行長實行強制休假的情況也不容樂觀，有的支行甚至從成立伊始從未更換過行長。

　　7、內控電子化水平不高，內控的實時性、有效性受影響。從現實情況來看，城商行內部控制的電子化系統應用水平較低，更多地是依靠傳統的崗位制約、制度控制、監督檢查、內部審計等實現對風險的識別和控制。就城商行內控的電子化情況來看，大多數城商行沒有開發上線風險實時預警系統，尤其是操作風險預警系統，造成風險識別的實時性不足；部分城商行沒有專門的信貸風險管理系統，仍處于半手工狀態，工作效率低下，風險控制能力不高；大多數城商行沒有管理信息系統，經營管理數據的可獲得性、及時性受影響，且經常出現數據不一致的問題，在很大程度上影響管理活動的開展。此外，從整個系統來看，城商行的系統普遍存在面向業務處理和交易的功能較強，而面向管理和風險控制的功能較弱的問題。甫翰咨詢公司與清華大學于2006年發布的《中國城市商業銀行內控調查研究報告》也顯示，城商行的信息系統建設普遍薄弱，內控活動在較大程度上還依賴人工控制。

　　8、內審體系不完善，內控監督評價機制薄弱。強有力的監督評價機制是確保內控缺陷被及時發現并得到持續改正的關鍵。內部審計則是內控監督評價機制中的核心。絕大多數城商行都設立了內部審計部門（也有的城商行稱為稽核監督部），并據此建立起內控監督評價機制，但與監管要求相比仍存在較大差距。首先，有相當一部分城商行沒有定期對內控體系進行評價，相應的評價程序和制度缺乏；其次，大部分城商行未能按照《商業銀行內部控制評價試行辦法》的要求，由董事會采取措施定期對內控狀況進行管理評審，以確保內控體系得到持續、有效改進；最后，幾乎所有的城商行都設立了獨立的內部審計部門，負責定期或不定期對內控的健全性和有效性實施檢查；但大多數城商行的審計部門未能做到直接向董事會匯報，而是向高級管理層匯報，從而影響到審計的獨立性和最終效果。此外，大多數城商行的內部審計人員配備未能達到1%的監管要求，即審計人員數量與銀行員工總數之比不低于1%。加之現有內審人員的專業水平和業務能力不高，從而影響到內部審計的效果。

　　9、激勵約束機制不科學，逆向激勵問題明顯。城商行內控意識薄弱、違規現象時有發生、制度執行不力等問題在很大程度上與其不科學的激勵約束機制有直接關系。迫于發展壓力，大多數城商行在設計考核指標時更關注業務發展指標，而忽視風險和內部控制指標，有的城商行甚至沒有將內部控制納入考核。這必然造成基層分支機構不顧風險地盲目擴張。在業務考核壓力下，打擦邊球、違規經營屢見不鮮。城商行還普遍存在資源過度向營銷傾斜的問題。幾乎所有的城商行都對營銷設置獎勵，但很少有城商行對風險管理給予獎勵，從而進一步扭曲分支機構的風險理念。此外，大多數城商行在薪酬設計上，尤其是對風險管理崗位、客戶經理崗位和高級管理人員，沒有引入延期支付，基本上是按照當年業績實時兌現薪酬。但由于風險的滯后性，很多情況下會出現，當年業績、資產質量較好，過兩年出現風險和不良貸款，但當事人的薪酬獎勵早已兌現。這往往會導致經營管理的短期行為—為了追求短期利益而盡量做大業務規模，尤其是那些短期內不會出現風險的中長期貸款，從而不利于銀行的長期發展。