商业银行风险与管理审计之悟

做商业银行风险与管理审计已经多年了，有些感悟，综述如下。

一、商业银行风险审计与管理审计是可分的吗？

从现实来看，商业银行风险审计与管理审计是可分的。大量的审计实务证明，我们一直以来从审计立项到审计依据、审计抽样、审计查证、审计结论等等都是围绕着商业银行的风险所展开的，且这个风险既包括了事实风险，也包括潜在风险，可谓是十足的风险审计；在没有提出管理审计之前，一直都是风险审计在担纲，只有在审计业务发展到管理审计阶段，才提出并逐步实践管理审计。

从本质来看，商业银行风险审计与管理审计是不可分的。我们知道，商业银行是一家以货币为载体的经营风险的企业。这是我们商业银行的一体两面，表面看经营的是货币，实质上经营的是风险。众所周知，商业银行的所有风险包括来自外部的客户风险、汇率风险、市场风险甚至国别风险、地震战争等等风险，都是可以施加管理的，且能通过良好的管理将风险降低到最低限度，否则，风险将如期而至。简要地说，管理就是风险的催化剂，正向催化和逆向催化都是催化。在商业银行，风险审计与管理审计，实质上就是经营审计与管理审计。

本质上不可分的经营与管理审计，却让我们长期分置了，至少是侧重了风险审计、忽略了管理审计，注重了显性的、忽略了隐性的，注重了比较好识别和确认的、忽略了比较不好识别和确认的，这就产生了商业银行风险审计之殇。

二、商业银行风险审计之殇

商业银行风险审计之殇，殇在违背经营管理规律之后的黔驴技穷。多年的风险审计，风险少了吗？答案是不仅没有少，反而此查彼犯、前查后犯、屡查屡犯成了普遍现象。这倒不是说风险审计无功，如果不做风险审计，风险事件会更多，早玩完了，但这说明分置了管理审计的风险审计功力有限。

我们不妨就商业银行风险审计之殇稍加分析。我们知道，风险是结果，即便是潜在风险，也是我们站在当下所预测的未来的大概率结果，否则，风险审计所判断的潜在风险不能由被审计对象所接受，亦不能由审计委员会所接受。这在马克思主义看来，审计部门仅仅做到了实事，但尚未做到求是，仅仅看到了表，尚未探究其里，这是分置了管理审计的风险审计之规律殇。现实中的情况亦是如此，风险审计疲于应付且无更多改善和建树，进入了穷途末路，此乃分置了管理审计的风险审计之末路殇。

好在管理审计应运而生，水到渠成；审计之春天来了，我们要为管理审计，尤其是结合了风险审计的管理审计唱一曲颂歌。

三、商业银行管理审计之赋

商业银行经营与管理，是商业银行的外与内。商业银行以外的客户和客户的业务要通过商业银行的经营去实现，商业银行以内的业务和客户、业务管理的要通过商业银行内部管理去实现。这算是一种商业银行经营与管理的分野，长期以来，我们很多人是没有这种分野意识的。没有这种经营与管理的分野意识，也就不可能有风险审计与管理审计的分野意识。从所有权来看，只有属于我们的，我们才能有资格去管理，那些不属于我们的，我们只能落得经营的份；比如客户，仅仅只在我们商业银行通过经营获得以后，商业银行才有可能实现对客户的有限的部分的管理权。在这时，是经营与管理并存，哪部分多一些，随情势而变。这是商业银行经营与管理的分野意识，商业银行经营与管理的联系又何在呢？

管理是为经营服务的，管理的本质是促进经营的成功。商业银行的经营要依靠管理来支撑实现，商业银行管理的本质投射为实现经营的成功。这就是商业银行经营与管理的内在联系。从以上商业银行经营与管理的分野、内在联系出发，我们看到了商业银行风险审计与管理审计的区别和内在联系。商业银行风险审计更多侧重两个方面，即外部客户风险向银行内部传导的可能和商业银行内部管理未遵从依法合规、未实现充分有效内部控制、未实现内部控制与效率的平衡而致这种风险传导成为事实。风险与管理在这里天然地结合在一起了。商业银行对外经营的是客户，在客户尚未营销成功时，银行与客户是没有实质关系的，银行对客户只有经营（营销）的份，而无任何管理之实，但客户一旦营销成功进入银行，客户就转化表现为银行的某类业务了，最多加一个标识-某某客户的什么业务。在银行内部是以业务和产品来施加管理之实的，即便现在提倡的客户价值管理、客户关系管理，在银行还是以业务来作为载体的，只有通过办理银行业务，银行才能从客户那里获得客户的价值让渡。因此，我们完全可以将商业银行风险与管理审计理解为就是商业银行经营与管理审计，其不同，仅仅是将经营的行为抽象为经营行为背后的风险，管理名称虽不变，但管理也从管理的行为抽象为管理为经营服务、促进经营成功这个本质上来了。认识提高到管理的本质上来以后，管理审计与风险审计的关系就到位了，管理审计就海阔天空，审计的春天就来了。

四、商业银行风险审计与管理审计之比翼齐飞

商业银行经营、管理之分野和内在联系，揭示了商业银行风险审计与管理审计的分野和内在联系。将商业银行风险审计与管理审计放在一起，并称风险与管理审计或者并称为风险管理审计是这一两年的事。一来是存在风险审计之殇，二来是存在管理审计之赋，风险审计向管理审计转型，由果溯因，由表及里，起承转合，商业银行审计价值增值大有可为。

商业银行的风险与管理审计，就阶段论，目前应该是处于初始阶段，初始阶段的表现形式是：从风险审计进去，从管理审计出来。进一步解释，就是通过风险审计，追根溯源，挖掘风险背后的成因-管理问题。

就像风险审计有审计依据、标准一样，管理审计同样也需要解决审计标准问题。风险审计是遵从性的合规审计，是有明确的审计标准的，涉及风险的识别与确认；而管理审计则不然，管理审计的标准则取决于最高决策层-董事会。按照公司治理基本逻辑，审计的权力来源于董事会，而审计的对象是董事会所聘请的行使代理权力获得代理权利的经营管理群体。董事会确定的愿景无一例外都是要建设成业界卓越的商业银行，那么管理审计的高标准，从长远来看，就要与此相适应、逐步对接到业界卓越商业银行的核心价值观、经营管理理念、经营管理技术、经营管理胜任能力上去。这也就是管理审计所要参照的高标准，这个标准当然要到国际金融同业去寻找卓越管理作为标杆标准了，既可以是与一家卓越管理的同业全面对标，也可以是寻找不同方面的卓越管理对标。现实的比较靠谱的中标准大概就是国内金融同业的优秀和本行系统内的优秀管理参照了，至少也应该是平均管理水平所对应的管理参照。低标准则是与自己的过去纵向比较，以有进步为标准。管理审计的高中低三类参照标准大概这么分，应该是业界普遍能接受的了。因此，为便于管理审计参照，董事会是要明确管理审计高中低三类标准参照体系的；我们商业银行审计界，也应该研究商业银行卓越管理的核心价值观、经营管理理念、经营管理技术、经营管理胜任能力的具体内涵，并以此作为管理审计的参照标准，促进商业银行经营管理向卓越管理看齐、逐步提升。

说到这里，不妨多说几句。商业银行价值观，是存在高下、真假之分的，就像一个家族的家道一样，有的就能长盛不衰，有的则不然。综观国内商业银行价值观，五花八门，不忍卒读。有的把手段当成了价值追求，没有触及商业银行的本质；仅有一家银行的核心价值观中将“和谐”列将其中。商业银行，千百年以来，第一离不开“诚信”，因此“诚信立业”是商业银行经营管理之中首要的核心价值观，讲的是银行与客户相互之间的诚信；第二离不开“稳健”，稳健的内涵很多，但集中在风险偏好稳健上，只有稳健才能行远，因此“稳健行远”是商业银行经营管理之中的第二位的核心价值观；第三要讲商业银行的利益相关者之间的关系准则，商业银行利益相关者很多，偏向谁都不是可取之举，各自取利益最大化将致关系不可持续，大家都退一步才有腾挪空间，因此“共赢和谐”就理所当然成为商业银行处理诸多纷繁复杂利益相关者的核心价值观。商业银行核心价值观有这三条就够了，个中理由不赘述。作为风险管理审计，商业银行上上下下经营管理中是否存在危害核心价值观的行为，是需要切实关注的。商业银行经营理念是风险管理审计中继核心价值观之后需要重点关注的，这既是核心价值观的实践又是核心价值观的审视，一个在前，一个在后。联系前面所述，商业银行经营的是外部客户，需要选择客户，选择客户的同时还要注重选择行业，即定位客户以及客户所在行业是否是本商业银行所需要的，是否符合本商业银行的核心价值观。因此，“以客户为中心、以市场为导向”就成为商业银行经营理念的一部分，这还不够，还需要加上“以平衡效益与责任为目标”这最关键的一部分。中国特色社会主义制度下的商业银行，无论国有与否，均承担了责任，均给其资本套上了“中国特色社会主义”的笼头，否则，早就已经是一匹脱缰的野马了，这方面大家不妨找来《大道之行：中国共产党与中国社会主义》及其系列书，一读便知。若单纯“以效益为目标”则仅仅只是体现了市场的银行这一身份。因此，中国特色社会主义制度下的商业银行，其经营理念就只能是“以客户为中心，以市场为导向，以平衡效益与责任为目标。”；这样就好了，党和国家、人民的利益关切与资本的追求就融合形成了一个复合的经营目标“效益+责任”，且二者之间还需要避免“只要效益不要责任、只顾责任不顾效益”的非平衡关系，做到二者兼顾、相得益彰。商业银行管理理念亦是如此，回到前述，管理的本质是促进经营的成功。管理理念无疑是需要承接经营理念且能够充分有效支撑起经营理念的。客户营销进入银行以后，一个个不同的客户就华丽转身为银行各种各样的业务了，管理理念之一就是“以业务为中心”；客户参与市场竞争需要效率，银行在办理业务过程中，各内设部门以及上下级机构之间就需要“以效率为导向”以满足客户参与市场竞争之所需；内部管理的最后一个问题来了，“以业务为中心、以效率为导向”不能“萝卜快了不洗泥”，“稳健行远”的核心价值观是航标，不能偏离，因此，商业银行最后需要“以平衡效益与风险为目标”。因此，商业银行管理理念无疑只能是“以业务为中心，以效率为导向，以平衡效益与风险为目标。”怎么平衡法？大家都是行家里手，在此不赘述。大家再把经营理念“以客户为中心，以市场为导向，以平衡效益与责任为目标。”搬来与管理理念比照一下，是不是就很有意思了？这样的管理理念才是真正为促进经营理念成功的管理理念，既真又正。管理审计怎么审？还是那句话，大家都是行家里手，在此不赘述。

近日拜读《金融文化》2018年2月第一期《银行家》杂志中的《好银行的七个标准》，作者先生说：在中国当前现实条件下，好银行应具备风气正、爱学习、班子强、能用最便捷的服务让顾客快乐、实践普惠金融、资源向绿色信贷倾斜、持续提升公司价值等七个方面的标准。好银行的标准是否果真如此，尚可讨论商榷；以前，央行也提出过“良好银行”的评价标准，但似乎没有坚持下来。世界范围内，虽无好银行的完全标准，但也有一个相对公认的标准，那就是能够平衡好各利益相关者权利义务的公司治理结构、共赢和谐的价值观、平衡效益与责任的经营理念、平衡效益与风险的内部管理理念、平衡激励与约束的员工成长机制、较强的持续盈利能力、良好的市场满意度等等。

商业银行管理审计到底采用高中低哪一层级管理审计参照标准、高中低层级管理审计标准具体如何，真还有得讨论。

商业银行管理审计，当遵循高标准、严要求、宽处理的原则；高标准起参照引领作用，严要求起监督促进作用，宽处理起鼓励作用。真如是，管理审计的价值力量就能显现出来了。

管理审计需要确定抽样的准则，即按照管理的关联程度来确定抽样。比如一级分行的管理审计，按照商业银行干部下管一级的管理原则，在机构抽样方面，下伸一级机构就可以了。具体来说，一级分行管理审计，就应该抽样一级分行班子及其内设各部门、辖属的二级分行；二级分行的管理审计，机构抽样则以二级分行班子及其内设各部门、辖属一级支行为主；一级支行的管理审计，机构抽样则以一级支行班子及其内设部门、辖属二级支行。但现实中，案件上追两级，遵循此原则并与此原则相适应，在机构抽样方面，下伸两级机构就是管理审计中比较科学和审慎的做法了。两种不同的经营管理原则、不同的抽样准则，其背后代表了两种不同的经营管理理念，原则之辩、准则之辨，其实是理念之辨，没有对错，但存在着管理粗细之分、能力高低之分、格局大小之分、境界高下之分。近期，我们欣喜地看到，很多商业的总行都已经要求二级分行要穿透式管理到二级支行（网点），重点把网点规划、风险防控、考核评价等核心工作作为二级分行的管理责任压实。这样的穿透式管理就与案件上追两级的原则是对应的，打破了干部下管一级、业务经营管理也只下管一级的传统；同时，我们还看到，商业银行总行还要求实行“双线管理”，各级行班子成员、各条线、各部门除了承担业务发展责任之外，还要承担本条线业务人员风险合规责任，从业务条线实现责权利的统一。这实在是一个很大的突破和转变，也为我们实施管理审计提供了良好的参照。

管理审计的抽样维度还有很多，但准则只有一个，那就是与被审计对象的关联紧密程度。这条把握不准，管理审计就难有说服力。

管理审计尚处于初始阶段，但有良好开端，各家商业银行总行都十分重视，实在是管理审计的幸事。我们做审计的，当百倍努力、持之以恒地钻研管理审计业务，好好地将风险审计与管理审计结合起来，做好风险管理审计。

来源：李天况 审计实践