建立在多个法人机构重组整合基础上的城商行，由于受起点低、规模小、人员素质不高以及特殊的内部控制环境等因素的制约，整体内部控制状况相较股份制银行和国有银行更为薄弱。城商行的内部控制状况仍不容乐观，问题较为突出，亟待完善。

　　健全有效的内部控制是商业银行持续安全运行的基础。建立在多个法人机构重组整合基础上的城商行，由于受起点低、规模小、人员素质不高以及特殊的内部控制环境等因素的制约，整体内部控制状况相较股份制银行和国有银行更为薄弱。虽然近年来在监管机构的大力推动和自身的不断努力下，城商行的内部控制状况有很大改善。但日前财政部发布的《会计信息质量检查公告（第十七号）》显示，城商行的内部控制状况仍不容乐观，问题较为突出，亟待完善。

　　城商行内控存在的九大问题

　　从目前情况来看，城商行内部控制存在的问题可以总结为九大方面：

　　—— 认识不到位，内控意识仍显薄弱。近年来城商行操作风险案件时有发生，很重要的原因就是城商行的内部控制存在缺陷。而这又跟城商行对内控和风险管理认识不到位，内控意识薄弱密切相关。这集中表现为“一种现象、两个替代和三种错误理念”。“一种现象”，即上热下冷、忽热忽冷，意思是说城商行在对内部控制的认识和推进内部控制建设上，往往是总行积极性较高，分支行较为冷淡；在监管机构开展检查和开展案件防控活动时，全行上下态度较为积极，对内部控制较为重视，一旦活动结束，“原形毕露”，态度又趋于冷淡。反映出城商行内控意识较为薄弱，内控优先理念未得到真正落实。“两个替代”，一是指以规章制度建设替代内部控制建设；二是指以运动式的监督检查代替连续性的内部控制。“两个替代”说明城商行对内部控制本质的认识不到位，存在偏差。“三种错误理念”，即“重发展，轻内控；重营销，轻风管；重放贷，轻管理”。“三重三轻”理念反映了城商行粗放式的发展模式。在这种理念的指导下，必然将内部控制和风险管理让位于业务发展，一些内控措施得不到执行，内控失效也就在所难免。

　　—— 内控组织体系不健全，决策与建设职能缺失。虽然城商行初步建立了由决策、建设与执行、监督评价、持续改正等四个环节组成的内部控制组织体系，但受公司治理不完善、人员缺乏以及整个银行组织架构不健全等因素的影响，城商行的内控组织体系仍存在较多问题。集中表现在：第一，由于公司治理不完善，董事会与高级管理层之间（尤其是董事长与行长之间）的职责划分并不清晰，导致董事会与高级管理层的内控职责混乱和缺失，董事会未能充分承担起内控建设的最终决策职能，监事会对董事会和高级管理层完善内控体系的监督职能也形同虚设；第二，除少数城商行设立了专门的部门或委员会负责全行的内部控制建设外，绝大多数城商行没有专门的机构负责该项工作，内控建设职能分散于各相关部门，而各相关部门仅从本部门职责角度承担内控的相关职能，造成内控体系缺乏整体性，控制过度与控制不足并存。

　　—— 内控制度不完善，整体性、长期性考虑不足。健全的制度体系是商业银行内部控制的基础，决定着内部控制的完整性和有效性。城商行内部控制存在的缺陷和不足在很大程度上正是由于内控制度的不完善所造成的。具体来说：一是大多数城商行没有制定内控战略，内部控制的长期目标、方向以及风险战略和偏好缺乏，造成内控建设和运行的持续性不足，影响内控的有效性；二是除各业务条线的规章制度、管理办法等基础性内控制度外，大多数城商行没有制定旨在明确全行内部控制框架和各相关部门的内控职责定位的纲领性内控文件，导致内控建设缺乏整体性，内控职责得不到有效落实；三是各条线出台的规章制度和管理办法之间衔接不够，时常出现不一致甚至冲突的情况。

　　—— 全面风险管理体系尚未形成，操作风险管理较为粗放。城商行初步建立了以风险管理部为核心，涵盖信用风险、市场风险和操作风险的风险管理体系，并建立起相应的风险识别与评估机制。但离全面风险管理的要求以及业务快速发展的需要仍有不小距离。大多数城商行的风险管理部的主要职责是信用风险管理，尚未将其他各类风险纳入管理范畴。就信用风险管理而言，量化管理水平仍有待提高，风险监控手段较为落后；部分城商行仍未实现审贷分离，授权制度不完善，贷后管理较为薄弱。虽然相当一部分城商行都按照监管要求设立了合规部门，但并未充分承担起合规风险管理的职能，更多的是制度梳理和法律事务。此外，城商行普遍存在操作风险管理较为粗放的问题，缺乏专门的操作风险管理部门，也未建立起相应的管理制度，更多的是以内部审计、业务检查以及案件防控替代操作风险管理。

　　—— 制度执行不力，制度后评价机制缺乏。制度执行不力是城商行普遍面临的问题，也是导致内控失效的主要原因。从以往案例来看，制度执行不力，既有基层分支机构风险合规意识不强的原因，也有制度本身以及制度建设方面的问题。具体表现在三个方面：首先，由于人才缺乏，城商行总行业务管理部门大多缺少具有业务经验的管理人员，从而使得其制定的制度与业务本身存在差距，执行性打折扣；其次，制度培训和教育机制不完善，基层分支机构难以迅速、全面掌握制度的要求，从而出现现实操作与制度要求不相符的情况；最后，制度后评价机制缺乏，城商行大多存在“重视制度制定，忽视跟踪评价”的情形，制度出台后，没有专门的岗位和部门根据外部环境、法律法规以及银行自身情况的变化对制度的适用性进行评价，也没有对制度出台后的执行情况进行跟踪反馈，从而出现现行制度滞后于外部法律法规要求，甚至滞后于业务发展的情况。

　　—— 关键内控措施流于形式，内控效果打折扣。为防范操作风险，尤其是内部员工的道德风险，《商业银行内部控制指引》要求，商业银行应明确各岗位职责，并建立相互监督制约的机制；对于关键岗位应实行定期或不定期的人员轮换和强制休假制度。这构成商业银行内控的基本和核心控制措施。这方面城商行仍然较为薄弱，尤其是规模较小的城商行，成本约束压力较大，大多实行精简的人员策略，无论是总行部门还是分支机构，一人兼多岗现象均较为普遍，从而使得岗位之间（尤其是不相容岗位）的监督制约落空；强制休假和人员轮换更是形同虚设。此外，出于业务稳定的考虑，对分支行行长实行强制休假的情况也不容乐观，有的支行甚至从成立伊始从未更换过行长。

　　—— 内控电子化水平不高，内控的实时性、有效性受影响。从现实情况来看，城商行内部控制的电子化系统应用水平较低，更多地是依靠传统的岗位制约、制度控制、监督检查、内部审计等实现对风险的识别和控制。就城商行内控的电子化情况来看，大多数城商行没有开发上线风险实时预警系统，尤其是操作风险预警系统，造成风险识别的实时性不足；部分城商行没有专门的信贷风险管理系统，仍处于半手工状态，工作效率低下，风险控制能力不高；大多数城商行没有管理信息系统，经营管理数据的可获得性、及时性受影响，且经常出现数据不一致的问题，在很大程度上影响管理活动的开展。此外，从整个系统来看，城商行的系统普遍存在面向业务处理和交易的功能较强，而面向管理和风险控制的功能较弱的问题。甫翰咨询公司与清华大学于2006年发布的《中国城市商业银行内控调查研究报告》也显示，城商行的信息系统建设普遍薄弱，内控活动在较大程度上还依赖人工控制。

　　—— 内审体系不完善，内控监督评价机制薄弱。强有力的监督评价机制是确保内控缺陷被及时发现并得到持续改正的关键。内部审计则是内控监督评价机制中的核心。绝大多数城商行都设立了内部审计部门（也有的城商行称为稽核监督部），并据此建立起内控监督评价机制，但与监管要求相比仍存在较大差距。首先，有相当一部分城商行没有定期对内控体系进行评价，相应的评价程序和制度缺乏；其次，大部分城商行未能按照《商业银行内部控制评价试行办法》的要求，由董事会采取措施定期对内控状况进行管理评审，以确保内控体系得到持续、有效改进；最后，几乎所有的城商行都设立了独立的内部审计部门，负责定期或不定期对内控的健全性和有效性实施检查；但大多数城商行的审计部门未能做到直接向董事会汇报，而是向高级管理层汇报，从而影响到审计的独立性和最终效果。此外，大多数城商行的内部审计人员配备未能达到1%的监管要求，即审计人员数量与银行员工总数之比不低于1%。加之现有内审人员的专业水平和业务能力不高，从而影响到内部审计的效果。

　　—— 激励约束机制不科学，逆向激励问题明显。城商行内控意识薄弱、违规现象时有发生、制度执行不力等问题在很大程度上与其不科学的激励约束机制有直接关系。迫于发展压力，大多数城商行在设计考核指标时更关注业务发展指标，而忽视风险和内部控制指标，有的城商行甚至没有将内部控制纳入考核。这必然造成基层分支机构不顾风险地盲目扩张。在业务考核压力下，打擦边球、违规经营屡见不鲜。城商行还普遍存在资源过度向营销倾斜的问题。几乎所有的城商行都对营销设置奖励，但很少有城商行对风险管理给予奖励，从而进一步扭曲分支机构的风险理念。此外，大多数城商行在薪酬设计上，尤其是对风险管理岗位、客户经理岗位和高级管理人员，没有引入延期支付，基本上是按照当年业绩实时兑现薪酬。但由于风险的滞后性，很多情况下会出现，当年业绩、资产质量较好，过两年出现风险和不良贷款，但当事人的薪酬奖励早已兑现。这往往会导致经营管理的短期行为—为了追求短期利益而尽量做大业务规模，尤其是那些短期内不会出现风险的中长期贷款，从而不利于银行的长期发展。