呂天君

最近十幾年是國內(nèi)銀行信息系統(tǒng)快速發(fā)展的時代，各家銀行以核心系統(tǒng)為基礎(chǔ)，開發(fā)了一系列圍繞核心系統(tǒng)，支撐各類業(yè)務(wù)的業(yè)務(wù)管理及風險管理的系統(tǒng)。不過在內(nèi)部控制領(lǐng)域，銀行仍較多地停留在傳統(tǒng)的“人控”階段，如較多的前、中臺的檢查仍然是手工方式進行，內(nèi)部稽核也多以手工核對、現(xiàn)場檢查為主。內(nèi)控效果不佳、稽核難度大等問題一直較為突出，而完善的信息化系統(tǒng)以及充分的自動化控制可以幫助改善這一情況。因此，“內(nèi)控信息化”這一概念應(yīng)運而生。

所謂內(nèi)控信息化主要包含兩個層面，一是基于銀行業(yè)務(wù)流程中控制活動的梳理，提煉和設(shè)計出可在系統(tǒng)中固化的控制活動，遵循系統(tǒng)開發(fā)的生命周期，將提出的內(nèi)控需求注入到正在開發(fā)的系統(tǒng)中，并且對開發(fā)完成的系統(tǒng)進行測試以及上線后再評估，最終在系統(tǒng)中實現(xiàn)相關(guān)應(yīng)用系統(tǒng)控制的過程。二是通過信息系統(tǒng)進行內(nèi)控稽核工作，將龐大、繁雜的內(nèi)控稽核工作通過系統(tǒng)流程進行管理。

優(yōu)勢

整體而言，內(nèi)控信息化與業(yè)務(wù)流程緊密結(jié)合、固化在系統(tǒng)中，有效縮短內(nèi)控管理半徑，構(gòu)筑零距離的內(nèi)控防線。內(nèi)控信息化為業(yè)務(wù)發(fā)展、內(nèi)部運營和風險管理等方面帶來了便利和優(yōu)勢，主要體現(xiàn)在以下幾個方面：

提升管理效率

內(nèi)控信息化是一項跨部門、跨業(yè)務(wù)的系統(tǒng)工程。內(nèi)控信息化的建設(shè)過程中充分考慮了內(nèi)控對風險管理的要求，把跨部門、跨業(yè)務(wù)條線的各項業(yè)務(wù)，以風險管理為紐帶放在銀行的整體運營平臺上，把握銀行面臨的重要風險，從整體協(xié)調(diào)的角度優(yōu)化業(yè)務(wù)流程，最大限度地提高了信息系統(tǒng)與銀行實際業(yè)務(wù)需求、內(nèi)控需求的結(jié)合度，并促使銀行及時識別、評估、掌握和控制信息系統(tǒng)自身的風險，制定相應(yīng)的控制措施。

從某種程度上講，借助于計算機信息系統(tǒng)進行的“機控”比傳統(tǒng)的“人控”更有效率。傳統(tǒng)的“人控”方式，由于工作人員容易受到思想、情緒、業(yè)務(wù)技能等主觀因素及金錢誘惑、權(quán)力壓制等客觀因素的影響，內(nèi)控的效果會大打折扣，甚至流于形式。而完善的操作系統(tǒng)和信息系統(tǒng)可以使某項業(yè)務(wù)整個流程的各個環(huán)節(jié)置于不同部門、不同崗位的監(jiān)督之下，可以對操作人員形成強有力的約束。內(nèi)控信息化建設(shè)可以降低原本手工進行操作的內(nèi)控工作成本，通過“機控”代替“人控”，從而減少人力資源的投入，提高銀行信息科技投資的回報。

優(yōu)化業(yè)務(wù)流程

內(nèi)控管理是一個全員參與、覆蓋全部業(yè)務(wù)范圍的全過程管理方式。這要求在各個業(yè)務(wù)流程和環(huán)節(jié)上分析確定出重要風險，并有針對性地制定控制措施。在內(nèi)控信息化的實施過程中，不僅包括理順業(yè)務(wù)操作的程序和步驟，還包括針對重要風險的明確的控制措施和標準，滿足以風險管理為核心的內(nèi)控體系建設(shè)的要求。將風險管理的理念融入和體現(xiàn)到業(yè)務(wù)信息系統(tǒng)的建設(shè)過程中，在確保重要風險得到適當防范和控制的前提下優(yōu)化業(yè)務(wù)流程。

改善數(shù)據(jù)質(zhì)量

數(shù)據(jù)質(zhì)量是數(shù)據(jù)分析的主要基礎(chǔ)，而內(nèi)控信息化可以對數(shù)據(jù)質(zhì)量提供保障，銀行可以利用其數(shù)據(jù)資源在交叉營銷、產(chǎn)品創(chuàng)新、市場細分以及客戶挖掘方面大有作為。在零散無序的歷史數(shù)據(jù)中挖掘業(yè)務(wù)規(guī)律，預(yù)測未來發(fā)展，根據(jù)對客戶需求變化的敏感度開展業(yè)務(wù)產(chǎn)品的創(chuàng)新，充分利用數(shù)據(jù)分析的結(jié)果，使發(fā)展手段和方向更為精確，打造不可復制的競爭力。

體系

如前文述及，內(nèi)控信息化的主要內(nèi)容之一就是在信息系統(tǒng)中注入應(yīng)用控制的過程。在國際內(nèi)控權(quán)威機構(gòu)ISACA發(fā)布的《信息系統(tǒng)和技術(shù)控制目標及應(yīng)用控制管理指導》一書中指出，應(yīng)用控制是指為實現(xiàn)與既定的自動化解決方案相關(guān)的目標提供合理保證而設(shè)計的政策、流程和活動，是業(yè)務(wù)流程中內(nèi)嵌的信息系統(tǒng)相關(guān)控制，其目標是保證系統(tǒng)中業(yè)務(wù)處理的有效性、完整性和準確性，可分為輸入控制、處理控制、輸出控制、邊界控制、審計痕跡控制、授權(quán)控制等六類。

以哈爾濱銀行為例，信貸業(yè)務(wù)包括個人貸款、對公貸款、農(nóng)貸和小企業(yè)貸款。在信貸系統(tǒng)中，業(yè)務(wù)信息化可以在系統(tǒng)中對不同的信貸類型、產(chǎn)品和模塊實行系統(tǒng)集中管理，不同系統(tǒng)間存在接口，實現(xiàn)全行統(tǒng)一的授信、客戶管理和貸款管理的功能，改善了以往只能通過手工進行貸款審批、出賬審核、貸后管理和對貸款進行五級分類的處理方式。在內(nèi)控信息化的概念下，系統(tǒng)可以自動生成交易日志，并自動對可疑的交易進行篩選和識別，對發(fā)生頻率較高的業(yè)務(wù)出錯或提示，系統(tǒng)要求業(yè)務(wù)主管或管理層定期審核日志報告。自動化的控制可以保證業(yè)務(wù)員在系統(tǒng)中的操作有據(jù)可依，防止數(shù)據(jù)未經(jīng)授權(quán)的更改和刪除。

再以人力資源方面為例，人力資源系統(tǒng)僅在總行實施，分支機構(gòu)無法直接訪問人力資源系統(tǒng)。分支行人員入職、離職以及職級變化信息無法及時被更新，傳統(tǒng)意義上只能采取手工的方式計算薪酬，并需要通過郵件等方式將數(shù)據(jù)發(fā)送給總行。在業(yè)務(wù)信息化的驅(qū)動下，系統(tǒng)可以實現(xiàn)薪酬自動準確計算的功能，且總行可以隨時采集各分支行的薪酬信息，實現(xiàn)集中、區(qū)域化管理。但從內(nèi)控的角度而言，薪酬專員同時擁有系統(tǒng)管理員的權(quán)限，會引起權(quán)責未分離并進一步引起薪資不準確、存在虛擬員工的風險，如果將內(nèi)控注入人力資源系統(tǒng)，則可限制業(yè)務(wù)人員擁有業(yè)務(wù)所需的最小權(quán)限，且遵循不相容職責分離的原則，定期對系統(tǒng)權(quán)限進行審閱和清理。

在對系統(tǒng)進行內(nèi)控需求注入后，還須對內(nèi)控需求進行評估，衡量其可實現(xiàn)性和可操作性。系統(tǒng)在開發(fā)實施后，需要對系統(tǒng)模塊及其功能進行驗收測試，如有未落實的需求，則在整改后進行驗收工作。在此基礎(chǔ)上可以進行內(nèi)控自評系統(tǒng)的實施作為內(nèi)控信息化的輔助手段，對內(nèi)控信息化進行測試和評估。傳統(tǒng)方式中，由于業(yè)務(wù)流程繁多，分支機構(gòu)范圍較大，內(nèi)部控制自我評估需要耗費大量的人力物力以及時間，而內(nèi)控自評系統(tǒng)的實施可以改善這一問題。

內(nèi)控信息化能夠幫助銀行業(yè)更全面、高效地防范中小額貸款中存在的風險，為支柱業(yè)務(wù)的運營和發(fā)展奠定扎實基礎(chǔ)。作為內(nèi)控體系建設(shè)的延續(xù)，內(nèi)控信息化還能持續(xù)改造傳統(tǒng)內(nèi)控體系中大量的手工控制，切實提升各業(yè)務(wù)流程的風控管理水平。另外，內(nèi)控信息化也是提升銀行操作風險管理能力的主要手段，它為風險控制自我評估、關(guān)鍵風險指標和損失事件操作風險的三大工具的運用提供了良好平臺，IT系統(tǒng)的投資回報率也將因此得到大幅度提升。

挑戰(zhàn)及展望

內(nèi)控與信息技術(shù)的結(jié)合也面臨許多挑戰(zhàn)。內(nèi)控點的梳理是否完全厘清了銀行對內(nèi)控管理的要求;內(nèi)控需求是否能完整、準確地轉(zhuǎn)化為系統(tǒng)需求;內(nèi)控需求是否會對系統(tǒng)的功能性需求產(chǎn)生影響;系統(tǒng)開發(fā)時內(nèi)控需求是否能夠有效注入;內(nèi)控信息化注入后是否有持續(xù)改進的機制等等都是銀行面臨的現(xiàn)實挑戰(zhàn)。

其中，制度的整體架構(gòu)與管理問題是開展內(nèi)控信息化以及其他內(nèi)控合規(guī)工作中遇到的難點。制度是開展內(nèi)控信息化工作的前提，是整個內(nèi)控管理工作的基石。然而，隨著業(yè)務(wù)的不斷發(fā)展以部門架構(gòu)、業(yè)務(wù)條線的調(diào)整，“政出多門”、“野蠻生長”、“重業(yè)務(wù)輕內(nèi)控”等破壞性制度建設(shè)行為較為突出，亟需通過結(jié)構(gòu)性的制度架構(gòu)及機制對整個制度體系、運作管理進行規(guī)范化、標準化，進而為內(nèi)控工作奠定堅實基礎(chǔ)。

此外，加強內(nèi)控一道防線建設(shè)、釋放一道防線的控制效能，作為內(nèi)控信息化工作的線下重要補充機制建設(shè)是未來開展內(nèi)控信息化工作的重心之一，也是工作的難點。一道防線效能的發(fā)揮有賴于崗位職責的明晰，以及在此基礎(chǔ)上的崗位自查與機構(gòu)自查的檢查體系，以此兩個方面為切入點進行一道防線的強化建設(shè)，與內(nèi)控信息化形成“崗位職責—自動化控制—檢查體系”三維立體的一道防線控制網(wǎng)絡(luò)。

毫無疑問，內(nèi)控信息化對于銀行的內(nèi)控管理工作是非常有益的嘗試，未來銀行內(nèi)控信息化的發(fā)展方向是大幅提升銀行業(yè)務(wù)流程的整體內(nèi)控信息化比率，實現(xiàn)所有主要內(nèi)控管理工作圍繞信息系統(tǒng)來開展，讓信息系統(tǒng)服務(wù)于業(yè)務(wù)支撐的同時也能夠起到內(nèi)控管理的職能，充分實現(xiàn)信息系統(tǒng)“一份投入、雙重功用”的效果，從而全面提升銀行的內(nèi)控管理水平，為銀行實現(xiàn)經(jīng)營目標保駕護航。

（作者系哈爾濱銀行副行長）