商业银行内部控制评价试行办法（2004年）

第一章 总则

第一条 为规范和加强对商业银行内部控制的评价，督促其进一步建立内部控制体系，健全内部控制机制，为全面风险管理体系的建立奠定基础，保证商业银行安全稳健运行，根据《中华人民… 第二条 商业银行内部控制评价是指对商业银行内部控制体系建设、实施和运行结果独立开展的调查、测试、分析和评估等系统性活动。 第三条 商业银行内部控制体系是商业银行为实现经营管理目标，通过制定并实施系统化的政策、程序和方案，对风险进行有效识别、评估、控制、监测和改进的动态过程和机制。 第四条 商业银行应建立并保持系统、透明、文件化的内部控制体系，定期或当有关法律法规和其他经营环境发生重大变化时，对内部控制体系进行评审和改进。 第五条 商业银行内部控制评价由中国银行业监督管理委员会（以下简称银监会）及其派出机构组织实施。 第六条 内部控制评价人员应接受有关内部控制评价知识和技能的培训，具备相应的资质和能力。

第二章 评价目标和原则

第七条 商业银行内部控制评价的目标主要包括： 第八条 内部控制评价应从充分性、合规性、有效性和适宜性等四个方面进行： 第九条 内部控制评价应遵循以下原则：

第三章 评价内容

第一节 内部控制环境

第十条 商业银行公司治理。 第十一条 董事会、监事会和高级管理层责任。 第十二条 内部控制政策。 第十三条 内部控制目标。 第十四条 组织结构。 第十五条 企业文化。 第十六条 人力资源。

第二节 风险识别与评估

第十七条 经营管理活动风险识别与评估。 第十八条 法律法规、监管要求和其他要求的识别。 第十九条 内部控制方案。

第三节 内部控制措施

第二十条 运行控制。 第二十一条 计算机系统环境下的控制。 第二十二条 应急准备与处置。

第四节 监督评价与纠正

第二十三条 内部控制绩效监测。 第二十四条 违规、险情、事故处置和纠正及预防措施。 第二十五条 内部控制体系评价。 第二十六条 管理评审。 第二十七条 持续改进。

第五节 信息交流与反馈

第二十八条 交流与沟通。 第二十九条 内部控制体系对文件的要求。 第三十条 文件控制。 第三十一条 记录控制。

第四章 评价程序和方法

第三十二条 内部控制评价程序一般包括评价准备、评价实施、评价报告形成和反馈等步骤。 第三十三条 评价准备。 第三十四条 评价实施。 第三十五条 评价报告形成。 第三十六条 评价反馈。 第三十七条 银监会及其派出机构根据评价报告，依据有关法律和规定，做出评价结论和处理决定，并以书面形式正式发送被评价机构，限期整改。同时，评价结论应报上级机构。 第三十八条 内部控制评价方法是为实现评价目的，对被评价机构内部控制体系进行分析和评价而采取的技术和手段的总称。 第三十九条 内部控制评价实施包括： 第四十条 了解内部控制体系。 第四十一条 符合性测试。 第四十二条 测试抽样。 第四十三条 指标分析。

第五章 评分标准和评价等级

第四十四条 内部控制评价采取评分制。对内部控制的过程和结果分别设置一定的标准分值，并根据评价得分确定被评价机构的内部控制等级。 第四十五条 内部控制过程评价的标准分为500分，其中：内部控制环境100分、风险识别与评估100分、内部控制措施100分、信息交流与反馈100分、监督评价与纠正100分。上… 第四十六条 在对内部控制过程评价时，应按照第三章评价内容的要求，结合本办法第八条的四个方面展开，转换为具体评价问题，并根据测试情况对被评价项目进行评分。 第四十七条 初次实施内部控制评价时，须对所有业务活动、管理活动和支持保障活动进行评价。再次评价时，至少应包括：授信业务、资金业务、存款及柜台业务、主要中间业务、计划财务、会… 第四十八条 内部控制过程评价的具体评分标准如下： 第四十九条 在测试过程中遇有业务缺项或问题“不适用”时，应将涉及到的分值在评价项目总分中扣减。为了保持可比性，在得出其余适用项的总分后，还应将该评价项目的总得分进行调整。 第五十条 若涉及到需要采取抽样测试确定评价结论的，应根据以下情况确定： 第五十一条 内部控制的结果评价。结果评价主要评价内部控制目标的实现情况，对这些指标的量化评价可以通过非现场的方式进行。结果评价主要包括十项指标：资本利润率、资产利润率、成本… 第五十二条 根据过程评价和结果评价综合确定内部控制体系的总分。其中，过程评价的权重为70％，结果评价的权重为30％，两项得分加总得出综合评价总分。 第五十三条 根据综合评价总分确定被评价机构的内部控制体系评价等级，应按评分标准对被评价机构内部控制项目逐项计算得分，确定评价等级。定级标准为： 第五十四条 若被评价机构在评价期内发生重大责任事故，应在上述评级的基础上下调一级。 第五十五条 内部控制体系连续在三个评价期内得不到改善的机构，其内部控制评价等级应适当下调。

第六章 组织和实施

第五十六条 内部控制评价按照“统一领导，分级管理”的原则进行。 第五十七条 根据评价的范围，内部控制评价可分为以下层次： 第五十八条 应当根据风险大小和重要性确定对商业银行及其分支机构内部控制评价的频率和范围，当商业银行发生管理层重大变动、重大的并购或处置、重大的营运方法改变或财务信息处理方式… 第五十九条 银监会对商业银行法人机构整体评价时，总部占整体评价得分的60%，分支机构平均得分占整体评价得分的40%，形成最终评级结果。其中，初次整体评价时，应覆盖总行和所有… 第六十条 银监会及其派出机构应及时整理、分析和掌握被评价机构报送的非现场监管数据、国家审计部门的审计结果和被评价机构的内部审计信息，充分利用监管部门对被评价机构的各种现场… 第六十一条 银监会或其派出机构应对被降价机构内部控制体系的改进情况进行后续跟踪，责令被评价机构针对发现的违规或风险隐患制定纠正措施，并对纠正情况及其有效性进行验证。 第六十二条 内部控制评价各阶段涉及的有关记录、表格、评价报告以及跟踪验证的相关资料均应作为监管档案妥善保管。 第六十三条 银监会可根据需要委托外部中介机构对商业银行内部控制体系进行评价。受托中介机构和人员必须熟悉商业银行业务和运作，具备商业银行内部控制体系建立或评价方面的经验。各派…

第七章 罚则

第六十四条 银监会根据评级结果及评价报告所反映的情况，针对被评价机构内部控制体系存在问题的性质及严重程度，可分别采取以下一项或多项监管措施： 第六十五条 对内部控制评价中发现的违规、违法行为，应根据有关规定，采取相应处罚措施。 第六十六条 未经批准或许可，任何单位和个人不得对外公布对被评价机构的内部控制体系等级评定结果。凡擅自公布等级评定结果，应追究有关人员的责任。

第八章 附则

第六十七条 本办法涉及的重要名词术语解释如下： 第六十八条 商业银行应根据本办法制定相应的实施细则并报银监会或其派出机构备案。 第六十九条 本办法适用于在中华人民共和国境内依法设立的国有商业银行、股份制商业银行、外资商业银行、城市商业银行、农村商业银行、农村合作银行和邮政储蓄机构。对政策性银行、城乡… 第七十条 未进行股份制改造的商业银行、农村合作银行和邮政储蓄机构、政策性银行、城乡信用社和非银行金融机构，应由高级管理层负责内部控制体系的建立、维护和改进，并明确相对独立… 第七十一条 本办法由银监会负责解释与修订。 第七十二条 本办法自2005年2月1日起施行。