商業銀行內部控制指引（2025修訂）

商業銀行內部控制指引（2025修訂）第一章總則本指引旨在為商業銀行構建科學、嚴謹、高效的內部控制體系提供標準與規范，以適應日益復雜的金融環境與數字化轉型趨勢。內部控制是商業銀行為實現經營目標，通過制定制度、實施措施和執行程序，對風險進行識別、評估、防范和控制的動態過程。商業銀行內部控制應當遵循以下基本原則：第一，全面性原則。內部控制應當貫穿決策、執行和監督的全過程，覆蓋各項業務流程和管理活動，覆蓋所有部門、崗位和人員，確保不存在盲區和空白點。任何業務環節和管理活動的缺失都可能導致風險敞口的擴大。第二，重要性原則。內部控制應當在全面控制的基礎上，關注重要業務事項和高風險領域。針對信貸、投資、交易、IT系統等關鍵領域，以及資金調動、客戶信息管理等關鍵環節，應當采取更為嚴格的控制措施。第三，制衡性原則。內部治理結構應當權責分明、相互制約。機構設置、崗位設置及權責分配應當符合制衡要求，確保不同部門、崗位之間在業務上既相互配合又相互檢查、相互監督。前臺業務操作、中臺風險控制與后臺支持保障應當實現有效隔離。第四，適應性原則。內部控制應當與經營規模、業務范圍、風險特點及外部環境相適應。隨著金融科技的發展和市場環境的變化，商業銀行應當定期評價并適時調整內部控制政策與程序，保持體系的靈活性和有效性。第五，成本效益原則。內部控制應當在權衡成本與預期收益的基礎上，以合理的成本實現有效的控制。這不僅包括直接的經濟成本，還包括操作效率、客戶體驗等隱性成本，力求在風險可控的前提下實現價值最大化。第二章內部控制環境良好的內部控制環境是實施有效內部控制的基礎。商業銀行應當從治理結構、組織架構、企業文化、人力資源及社會責任等多維度優化內控環境。在治理結構層面，董事會承擔內部控制的最終責任。董事會應當負責建立并維持有效的內部控制體系，審議批準年度內部控制評價報告，監督管理層的設計與執行情況。監事會應當對董事會和高級管理層在內部控制方面的履職情況進行監督。高級管理層負責組織領導內部控制的日常運行，確保內部控制措施得到有效落實。董事會下設的風險管理委員會、審計委員會及關聯交易控制委員會等專門機構，應當具備專業的履職能力，為內控體系建設提供專業支持。在組織架構層面，商業銀行應當建立清晰的組織架構，明確各部門、各分支機構的職責權限，確保匯報路線清晰。應當建立“三道防線”模型：第一道防線由業務部門組成，負責業務的直接操作和風險的第一道把關；第二道防線由風險管理和合規部門組成，負責制定政策、監測風險和合規審查；第三道防線由內部審計部門組成，負責獨立評價和審計。三道防線之間應當保持獨立，信息溝通順暢。在企業文化層面，商業銀行應當培育廉潔、合規、審慎的風險文化。高級管理層應當以身作則，倡導全員參與內控的理念，將內控意識融入員工的日常行為中。應當建立舉報機制，鼓勵員工報告違規行為和風險隱患，并嚴格保護舉報人。在人力資源政策層面，商業銀行應當制定科學的人力資源政策，確保員工的素質與崗位要求相匹配。關鍵崗位人員應當具備專業資格和從業經驗，并實行定期輪崗制度和強制休假制度。應當建立完善的績效考核和薪酬激勵機制，將風險合規指標納入考核體系，防止因短期利益沖動而忽視風險控制。第三章風險評估風險評估是內部控制的核心環節，商業銀行應當建立健全的風險評估機制，及時識別、系統分析經營活動中與實現內部控制目標相關的風險，合理確定風險應對策略。商業銀行應當建立覆蓋信用風險、市場風險、流動性風險、操作風險、信息科技風險、聲譽風險、戰略風險及法律合規風險的全面風險管理體系。風險評估應當貫穿業務發展的全過程，包括新產品新業務的設計、現有業務流程的優化以及重大決策的制定。在風險識別方面，應當運用定性與定量相結合的方法，收集內外部風險信息。內部信息包括歷史交易數據、審計報告、監管檢查意見、客戶投訴等；外部信息包括宏觀經濟形勢、行業政策變化、市場價格波動、技術進步、競爭對手動態等。特別是針對數字化轉型帶來的模型風險、數據安全風險及網絡安全風險，應當制定專門的識別清單和評估指標。在風險分析方面，應當評估風險發生的可能性和影響程度。應當運用壓力測試、情景分析等先進工具，模擬在極端市場環境下的風險承受能力。對于信用風險，應當重點關注借款人還款能力的變化、抵押物價值的波動及行業集中度風險；對于操作風險，應當重點關注流程漏洞、人為失誤、系統故障及外部欺詐。在風險應對方面，應當根據風險評估結果，結合風險承受度，權衡風險與收益，確定風險應對策略。策略包括風險規避、風險降低、風險分擔和風險承受。對于超出承受度的風險，應當實行規避策略；對于可控的風險，應當采取控制程序降低其發生概率或影響程度。商業銀行應當建立動態更新的風險數據庫和風險地圖，定期（至少每季度）對風險評估結果進行復盤和更新，確保風險評估結果能夠真實反映當前的風險狀況。第四章內部控制措施商業銀行應當根據風險評估結果，采用相應的控制措施，將風險控制在可承受度之內。控制措施應當貫穿于業務活動的各個環節，包括但不限于職責分工、授權審批、會計系統、財產保護、預算控制、運營分析及績效考評等。第一節授信業務控制授信業務是商業銀行的核心業務，也是風險高發區。商業銀行應當建立統一的授信管理制度，實行全流程管理。1.授信審批機制：必須建立審貸分離、分級審批的機制。信貸調查、審查、審批、貸后管理崗應當職責分離。授信審批應當依據借款人的信用狀況、還款能力、擔保情況及風險承受度進行獨立決策，不得受行政命令或外部勢力干預。2.客戶準入與盡職調查：嚴格落實“了解你的客戶”（KYC）原則，對客戶進行身份識別、資信調查和風險評級。對于集團客戶，應當實行統一授信，防止多頭授信和過度授信。3.擔保管理：規范抵質押品的受理、評估、登記及保管流程。定期對抵質押品進行價值重估，確保其足值有效。4.貸后管理：建立持續的貸后監控機制，跟蹤借款人的經營狀況、財務狀況及擔保物變化。建立風險預警信號體系，一旦發現逾期或違約跡象，立即啟動催收或資產保全程序。表：授信業務關鍵風險點與控制措施對照表關鍵環節主要風險點控制措施客戶受理身份虛假、資料造假、合規準入未達標實名身份核查系統聯網、工商信息比對、反洗錢名單篩查、現場盡職調查授信調查信息不完整、隱瞞不利信息、評估偏差標準化調查模板、雙人調查制、交叉驗證、外部大數據征信輔助授信審查審查流于形式、未發現明顯風險點獨立審查官制度、審查要點清單化、合規性審查與風險性審查并行授信審批逆程序審批、超權限審批、道德風險授信審批會議集體決議、權限管理系統硬控制、審批軌跡永久保留合同簽訂合同要素填寫錯誤、擔保未落實標準合同文本、要素邏輯校驗系統、抵質押物落實核實確認貸后管理資金流向監控不力、風險預警滯后資金受托支付管理、定期貸后檢查系統提醒、自動化風險預警模型第二節資金業務控制資金業務包括同業拆借、債券投資、外匯買賣等，具有高流動性、高杠桿和高風險特征。1.前中后臺分離：前臺交易負責執行交易指令，中臺監控負責風險限額管理和價格監控，后臺結算負責資金清算和賬務處理。嚴禁中后臺人員兼任前臺交易，嚴禁交易人員擁有清算權限。2.限額管理：嚴格設定交易限額、風險限額和止損限額。所有交易必須在授權額度內進行，超出限額的交易必須經過特別審批。3.交易確認與核對：建立強制性的交易確認機制，所有交易完成后應當及時與對手方進行確認。堅持日終清賬制度，確保賬務與交易記錄一致，做到賬賬、賬實相符。4.應急機制：針對市場劇烈波動、系統故障等突發事件，制定詳細的應急預案，定期進行演練，確保在極端情況下能夠迅速平盤或處置風險敞口。第三節存款及柜臺業務控制存款及柜臺業務直接面對客戶，是操作風險和聲譽風險的高發區域。1.賬戶管理：嚴格執行賬戶實名制，加強對開戶資料的審核。加強對長期不動戶、頻繁大額交易賬戶的監控，防范洗錢和電信詐騙風險。2.現金管理：嚴格執行現金收付、運送、保管、調撥的制度。庫房管理應當實行雙人管庫、雙人守庫，定期查庫，確保賬款相符。3.印章與憑證管理：建立嚴格的印章、重要空白憑證管理制度。印章的使用應當經過審批，重要空白憑證的出入庫、使用應當逐筆登記，定期盤點。4.柜面操作規范：推行柜面業務操作標準化、流程化。對于大額存取款、掛失、沖正等高風險業務，必須實行授權復核制度。第四節信息科技控制隨著金融科技的發展，信息科技風險已上升為商業銀行的戰略性風險。1.系統開發與維護：建立規范的IT項目立項、開發、測試、上線及變更流程。開發環境、測試環境與生產環境必須嚴格隔離。2.網絡安全與數據安全：建立多層次的網絡防御體系，部署防火墻、入侵檢測系統等安全設備。加強數據加密、脫敏處理，嚴格控制數據訪問權限，防止客戶信息泄露。3.業務連續性管理：建立異地災備中心，定期進行災難恢復演練。確保在發生重大災難或系統故障時，能夠在規定時間內恢復核心業務系統的運行。第五節會計核算控制商業銀行應當依據國家統一的會計制度，制定本行的會計核算規范，確保會計信息的真實、完整、準確。1.賬務處理：堅持不相容崗位分離，記賬人員與復核人員、經辦人員與審批人員應當相互分離。嚴禁由一人辦理貨幣資金業務的全過程。2.賬務核對：建立定期對賬制度，包括與客戶的對賬、與同業的對賬、內部賬務的對賬。對賬工作應當由非經辦人員獨立進行，確保賬務核對結果的真實性。3.財務報告：建立財務報告編制、審核、報送的流程。財務報告應當經過內部審計部門的獨立審計，確保披露信息真實可靠。第五章信息與溝通商業銀行應當建立有效的信息收集、傳遞、處理和反饋機制，確保內部控制相關信息能夠及時、準確地在內部之間以及與外部之間進行溝通。內部溝通方面，應當建立暢通的縱向和橫向溝通渠道。縱向溝通確保上情下達和下情上報，高級管理層的決策能夠迅速傳達到基層執行單位，基層的風險信息能夠及時反饋給管理層；橫向溝通確保部門之間的信息共享和業務協同，打破信息孤島。商業銀行應當建立舉報投訴制度和舉報人保護制度。設立專門的舉報渠道（如熱線電話、電子郵箱），鼓勵員工和客戶舉報違規行為。對于舉報信息，應當建立檔案，及時調查處理，并將處理結果反饋給舉報人，同時對舉報人的信息嚴格保密，禁止打擊報復。外部溝通方面，商業銀行應當加強與監管部門、股東、債權人及社會公眾的溝通。按照監管要求及時報送報表和報告，真實反映經營狀況和風險狀況。建立信息披露機制，確保信息披露的真實性、準確性和完整性。商業銀行應當加強對信息系統的建設和應用，利用大數據、人工智能等技術手段提升信息處理的效率和質量。建立數據治理架構，明確數據所有權和管理責任，確保數據的標準一致、質量可靠。第六章內部監督內部監督是確保內部控制體系有效運行的重要保障。商業銀行應當建立健全的內部監督體系，包括日常監督、專項監督和內部審計。內部控制評價是對內部控制體系建立和執行情況的全面檢查。董事會應當每年對內部控制體系的有效性進行評價，出具內部控制評價報告。評價報告應當涵蓋內部控制的設計有效性和運行有效性，揭示存在的問題和缺陷，并提出改進措施。內部審計部門應當對內部控制體系的運行情況進行獨立審計。內部審計部門應當直接對董事會或其下設的審計委員會負責，保持獨立性，不受其他部門和人員的干預。審計范圍應當覆蓋所有業務部門和分支機構，審計頻率應當根據風險等級確定。對于監督檢查中發現的問題，應當建立問題整改臺賬，明確整改責任人和整改時限，實行銷號制度。對于重大違規事件，應當啟動問責程序，追究相關人員的責任。商業銀行應當建立內部控制缺陷認定標準。對于發現的缺陷，應當區分一般缺陷、重要缺陷和重大缺陷，并采取相應的整改措施。對于重大缺陷，應當立即向董事會和監管部門報告，并采取緊急補救措施。第七章管理與責任商業銀行應當明確內部控制的責任主體，建立責任追究機制。董事會是內部控制的決策者，對內部控制的建立健全和有效實施負最終責任。董事長是第一責任人。高級管理層是內部控制的執行者，對內部控制的日常運行負直接責任。行長（總經理）是直接責任人。監事會是內部控制的監督者，對董事會和高級管理層的履職情況負監督責任。各部門負責人是本部門內部控制的第一責任人，對本部門內部控制的有效性負責。員工應當嚴格遵守內部控制制度，對自己經辦的業務負直接責任。對于違反內部控制制度的行為，應當依據有關規定進行處理。處理措施包括但不限于：責令限期改正、經濟處罰、警告、記過、降級、撤職、解除勞動合同等。對于涉嫌犯罪的，應當移交司法機關處理。商業銀行應當建立與績效考核掛鉤的內部控制激勵機制。對于在內部控制工作中做出突出貢獻的部門和人員給予表彰和獎勵；對于內部控制執行不力、造成重大風險或損失的，實行“一票否決”制，取消其評優評先資格和績效獎金。第八章附則本指引適用于在中華人民共和國境內依法設立的商業銀行，包括中資商業銀行、外商獨資銀行、中外合資銀行。外國銀行分行及村鎮銀行等其他銀行業金融機構參照本指引執行。商業銀行應當依據本指引，結合自身實際情況，制定具體的內部控制實施細則，并報監管機構備案。本指引由國務院銀行業監督管理機構負責解釋。本指引自發布之日起施行。原相關規定與本指引不一致的，以本指引為準。商業銀行應當充分認識到，內部控制體系建設是一個持續的、不斷改進的過程。在當前經濟金融形勢復雜多變、金融科技迅猛發展的背景下，商業銀行必須不斷優化內部控制環