论文部分内容阅读
近年来，我国银行监管机构和商业银行均越来越关注合规风险的管理。由于历史和现实的诸多制约因素，境内银行（尤其是中资商业银行）面对合规风险管理问题缺乏清醒的认识，虽然陆续建立了内部的合规部门，但是合规管理的水平与国际先进银行的差距仍然甚远。本文就中资商业银行合规管理中需重点关注的几个问题作一分析。
把握合规定义，培育正确风险理念
关于合规（compliance）的定义有一些分歧，但是综观多数国家的立法以及国际银行业的实践，合规是指遵守国家法律、法规及监管部门各项规定之行为的总称。我国银监会《商业银行合规风险管理指引》（以下简称“指引”）界定了何谓合规以及合规风险。该“指引”所称合规，是指使商业银行的经营活动与法律、规则和准则相一致；而该“指引”所称“合规风险”，则是指商业银行因没有遵循法律、规则和准则可能遭受法律制裁、监管处罚、重大财务损失和声誉损失的风险。从这里的规定来看，合规风险既包括了违反监管规则和准则的问题，也包括了违反法律的问题，这意味着合规风险在一定意义上包含了“法律风险”。
当前中资商业银行虽然采取了一定的措施落实银监会“指引”的要求，但是银行内部在合规及其风险控制理念方面仍然存在诸多偏差。首先要改变当前中资银行普遍存在的重合规风险的事后防控，轻合规风险的事前防控，尤其是容易疏忽把合规风险的控制渗透到各种经营活动的决策和研发过程中去，把违反法律的风险与违反监管规章风险的预防有机结合起来。尤其是在缺乏专门法律或者合规机构的中小银行更是如此。其次，要强化董事、高级管理人员的合规风险意识。中资银行更多地倾向于把合规风险的防控当成基层分支机构业务中防控操作风险的工作来做，疏忽了董事会决策、高级管理人员落实董事会决议以及从事日常经营管理活动中的违法违规风险问题，尤其是各种业务管理政策和操作规程的制作以及新产品新工具拓展中的合规风险意识淡薄。再次，要把市场份额与盈利的关注与合规风险防控有机兼顾。针对银行内部各级管理人员强化市场和盈利的目标，往往容易把合规当成妨碍市场拓展和实现盈利目标的阻力，而不是把合规风险的防控当成经营效益提升的重要保障。鉴于此，银行需要强化合规风险意识，并且在经营绩效的评价中将合规风险的防控作为重要的因素。合规风险理念需要银行健全的合规文化来滋润。正如巴塞尔委员会文件《合规与合规部门》的引言指出：“合规应从高层做起。当企业文化强调诚信与正直，并且董事会和高级管理层作出表率，合规才最为有效。合规与银行内部的每一位员工都相关，应被视为银行经营活动的组成部分。银行在开展业务时应坚持高标准，并始终力求遵循法律的规定与精神。如果银行疏于考虑经营行为对股东、客户、雇员和市场的影响，即使没有违反任何法律，也可能会导致严重的负面影响和声誉损失。”“合规应成为银行文化的一部分。合规并不只是专业合规人员的责任。”
厘清部门职能，协调部门间的关系
由于“指引”将合规风险管理置于很高的地位，并将“合规管理”称之为“是商业银行一项核心的风险管理活动”，要求商业银行“应综合考虑合规风险与信用风险、市场风险、操作风险和其他风险的关联性，确保各项风险管理政策和程序的一致性。”这种定位使得合规部门及其职能也被提升到显要的位置上。
“指引”所称合规管理部门，是指商业银行内部设立的专门负责合规管理职能的部门、团队或岗位。商业银行合规风险管理的目标是通过建立健全合规风险管理框架，实现对合规风险的有效识别和管理，促进全面风险管理体系建设，确保依法合规经营。“指引”对合规部门的职责也做了详尽的列举，概括起来有以下九大类：（1）持续关注法律、规则和准则的最新发展，把握法规对商业银行经营的影响，及时为高级管理层提供合规建议；（2）制定并执行风险为本的合规管理计划；（3）审核评价商业银行各项政策、程序和操作指南的合规性；（4）协助相关培训和教育部门对员工进行合规培训；（5）组织制定合规管理程序以及合规手册、员工行为准则等合规指南，并评估合规管理程序和合规指南的适当性；（6）积极主动地识别和评估与商业银行经营活动相关的合规风险；（7）收集、筛选可能预示潜在合规问题的数据，建立合规风险监测指标，确定合规风险的优先考虑序列；（8）实施充分且有代表性的合规风险评估和测试；（9）保持与监管机构日常的工作联系，跟踪和评估监管意见和监管要求的落实情况。
从上述职责来看，尤其是其中持续关注法律、规则和准则的最新发展、审核评价商业银行各项政策、程序和操作指南的合规性、积极主动地识别和评估与商业银行经营活动相关的合规风险等内容则直接与银行内部法律部门的职责相交叉。这种定位对于法律部门与合规部门合并设立的银行没有问题，可是对于法律部门与合规部门分设的银行来说，则势必带来尴尬。尤其是一些两者分设的背景中，合规部门往往来自银行传统的“内控”或“稽核”部门，这些部门的法律专业人员极为有限，要让他们承担监管规章所要求的职责几乎不可行。况且因为法律部门的相对独立存在，也势必使得从事法律审查与咨询的法律部门与合规部门的职责重叠，且可能导致责任不清。
鉴于此，对于银行内部将合规与法律部门分立的管理架构中，必须厘清法律部门与合规部门的关系，并且应将法律与合规部门结合起来共同承担起合规风险防控职责。
另外，合规部门与审计部门的关系的妥善处理对于有效防控合规风险甚为重要，借助审计部门的审计监督有助于确保合规风险防控接受适当的监督和约束。“指引”第二十二条明确规定：商业银行合规管理职能应与内部审计职能分离，合规管理职能的履行情况应受到内部审计部门定期的独立评价；内部审计部门应负责商业银行各项经营活动的合规性审计；内部审计方案应包括合规管理职能适当性和有效性的审计评价，内部审计的风险评估方法应包括对合规风险的评估；商业银行应明确合规管理部门与内部审计部门在合规风险评估和合规性测试方面的职责；内部审计部门应随时将合规性审计结果告知合规负责人。
从合规职能的有效履行角度看，合规部门要确保合规风险的有效防控，需要建立有效的保障合规部门独立性的机制。“指引”有两处涉及了独立性的保障：一是从银行合规政策角度，要求银行明确所有员工和业务条线需要遵守的基本原则，以及识别和管理合规风险的主要程序，并对合规管理职能的有关事项做出规定，其中包括“保证合规负责人和合规管理部门独立性的各项措施，包括确保合规负责人和合规管理人员的合规管理职责与其承担的任何其他职责之间不产生利益冲突等”；二是从高级管理层职责角度，要求其应有效管理商业银行的合规风险，履行合规管理职责中包括了“任命合规负责人，并確保合规负责人的独立性”。可见这里从合规部门及负责人的独立性角度，强调了“独立性”的保障重要性。2005年4月29日巴塞尔委员会发布的《合规与银行内部合规部门》对合规部门的独立性给予了高度关注，将其作为一项专门的原则来规范，明确要求“银行的合规部门应该是独立的”，并阐析了“独立性”的四个相关要素：第一，合规部门应在银行内部享有正式地位；第二，应由一名集团合规官或合规负责人全面负责协调银行的合规风险管理；第三，在合规部门职员特别是合规负责人的职位安排上，应避免他们的合规职责与其所承担的其他职责产生利益冲突；第四，合规部门职员为履行职责，应能够获取必需的信息并能接触到相关人员。此外，还在合规部门及其负责人、利益冲突、信息获取和人员接触、资源等方面涉及了合规部门的独立性问题。
从国内中资商业银行的实践来看，合规部门的独立性欠缺仍然是一个普遍性问题，这也是合规风险有效防控的重要障碍之一。该问题的解决一方面需要监管机构的引导和监督，另一方面更重要的是有赖于银行内部董事会和高级管理层合规理念的强化。
构建责任机制，强化管理层的管理责任
从目前国内商业银行（尤其是中资银行）有关合规风险管理的现状来看，虽然不少银行内部已经设立合规部门，甚至有的也在内部管理制度中明确了董事、监事和高级管理层在合规管理上的权责。但是总体来看存在以下问题：一是对董事、监事和高级管理层的合规职责规定过于原则化，缺乏有效的约束和监督机制；二是管理架构中倾向于强化管理层对合规事宜的负责，而淡化董事会、监事会在合规管理中的重要作用；三是合规风险管理架构的系统化建设缺陷明显，不少的银行仅仅把合规风险作为操作风险来管理而已，或者把合规管理当成事后稽核监督来落实，尤其是在缺乏相對独立的法律合规部门的银行中更是如此。
针对上述问题，笔者认为商业银行应从以下几方面来改进：其一，银行应确立董事会负责监督合规风险管理的机制。董事会应该审批银行的合规政策，包括对组建常设的、有效的合规部门文件，董事会或董事会下设的委员会应该对银行有效管理合规风险的情况每年至少进行一次评估；董事会应监督合规政策的实施，包括确保合规问题都由高级管理层在合规部门的协助下得到迅速有效的解决。其二，明确高级管理层在合规风险管理上的基本职责。银行应落实“指引”有关高级管理层在合规风险管理方面的职责，高级管理层应向董事会报告合规风险管理情况，确保合规政策得以遵守；应建立识别和评估银行所面临的主要合规风险问题以及管理这些合规风险问题的计划和机制；应采取必要的措施构建一个常设的、有效的并符合监管要求的合规部门；应建立对各级管理人员合规绩效的考核制度。其三，必须构建有效的合规问责制度，严格对违规行为的责任认定与追究，并采取有效的纠正措施，及时改进经营管理流程，适时修订相关政策、程序和操作指南。
提升管理人员素质，改善风险定量和防控的方法
我国商业银行合规管理人员多数来源于传统的银行稽核、审计部门，对于法律与合规部门合一的则是以法律人员为主体，这种背景下的合规人员结构制约了合规管理的纵深发展，以致多数银行都停留于以定性分析为主，严重缺乏量化分析，在风险识别、度量、监测等方面科学性不够，管理方法落后。对于法律部门与合规部门分设的银行，则甚至连合规中定型化的合法合规审核也因缺乏法律专业人员而无法有效落实相关职责。为了克服人员方面的制约，银行一方面有必要在缺乏法律专业人员的合规机构适当增加熟悉银行业相关法律法规和规章的专业人才，另一方面则有必要强化借鉴国际先进银行的经验，适当吸纳能从事合规风险定量分析的专业人才。
合规风险的管理不是简单地检查业务操作流程或规章是否在具体经营活动中得到落实，而应有一套识别、评估和控制合规风险的方法和技术。首先，应逐步考虑各种量化合规风险的方法(例如，应用评价指标等)的引进，并积极运用这些计量方法加强合规风险的评估。评价指标可借助技术工具，通过收集或筛选可能预示潜在合规问题的数据(例如，消费者投诉的增长数、异常的交易或支付活动等)的方式来设计。银行可结合实际情况和借鉴国际银行经验，并聘请专业化机构指导基础上，不断改进合规风险识别和评估的方法和技术。其次，银行应逐步建立合规监测和测试的技术体系。银行合规部门应该通过实施充分和有代表性的合规测试对合规进行监测和测试。合规测试的结果应依照银行内部风险管理程序，通过合规部门报告路线向上级报告。合规负责人应定期报告所进行的合规风险评估（包括基于运用诸如评价指标的相关计量方法所反映的合规风险状况的任何变化），概述所有已识别的违规问题和(或)缺陷，以及所建议的纠正措施，已经采取的各项纠正措施。
（作者单位：中国工商银行法律事务部）
把握合规定义，培育正确风险理念
关于合规（compliance）的定义有一些分歧，但是综观多数国家的立法以及国际银行业的实践，合规是指遵守国家法律、法规及监管部门各项规定之行为的总称。我国银监会《商业银行合规风险管理指引》（以下简称“指引”）界定了何谓合规以及合规风险。该“指引”所称合规，是指使商业银行的经营活动与法律、规则和准则相一致；而该“指引”所称“合规风险”，则是指商业银行因没有遵循法律、规则和准则可能遭受法律制裁、监管处罚、重大财务损失和声誉损失的风险。从这里的规定来看，合规风险既包括了违反监管规则和准则的问题，也包括了违反法律的问题，这意味着合规风险在一定意义上包含了“法律风险”。
当前中资商业银行虽然采取了一定的措施落实银监会“指引”的要求，但是银行内部在合规及其风险控制理念方面仍然存在诸多偏差。首先要改变当前中资银行普遍存在的重合规风险的事后防控，轻合规风险的事前防控，尤其是容易疏忽把合规风险的控制渗透到各种经营活动的决策和研发过程中去，把违反法律的风险与违反监管规章风险的预防有机结合起来。尤其是在缺乏专门法律或者合规机构的中小银行更是如此。其次，要强化董事、高级管理人员的合规风险意识。中资银行更多地倾向于把合规风险的防控当成基层分支机构业务中防控操作风险的工作来做，疏忽了董事会决策、高级管理人员落实董事会决议以及从事日常经营管理活动中的违法违规风险问题，尤其是各种业务管理政策和操作规程的制作以及新产品新工具拓展中的合规风险意识淡薄。再次，要把市场份额与盈利的关注与合规风险防控有机兼顾。针对银行内部各级管理人员强化市场和盈利的目标，往往容易把合规当成妨碍市场拓展和实现盈利目标的阻力，而不是把合规风险的防控当成经营效益提升的重要保障。鉴于此，银行需要强化合规风险意识，并且在经营绩效的评价中将合规风险的防控作为重要的因素。合规风险理念需要银行健全的合规文化来滋润。正如巴塞尔委员会文件《合规与合规部门》的引言指出：“合规应从高层做起。当企业文化强调诚信与正直，并且董事会和高级管理层作出表率，合规才最为有效。合规与银行内部的每一位员工都相关，应被视为银行经营活动的组成部分。银行在开展业务时应坚持高标准，并始终力求遵循法律的规定与精神。如果银行疏于考虑经营行为对股东、客户、雇员和市场的影响，即使没有违反任何法律，也可能会导致严重的负面影响和声誉损失。”“合规应成为银行文化的一部分。合规并不只是专业合规人员的责任。”
厘清部门职能，协调部门间的关系
由于“指引”将合规风险管理置于很高的地位，并将“合规管理”称之为“是商业银行一项核心的风险管理活动”，要求商业银行“应综合考虑合规风险与信用风险、市场风险、操作风险和其他风险的关联性，确保各项风险管理政策和程序的一致性。”这种定位使得合规部门及其职能也被提升到显要的位置上。
“指引”所称合规管理部门，是指商业银行内部设立的专门负责合规管理职能的部门、团队或岗位。商业银行合规风险管理的目标是通过建立健全合规风险管理框架，实现对合规风险的有效识别和管理，促进全面风险管理体系建设，确保依法合规经营。“指引”对合规部门的职责也做了详尽的列举，概括起来有以下九大类：（1）持续关注法律、规则和准则的最新发展，把握法规对商业银行经营的影响，及时为高级管理层提供合规建议；（2）制定并执行风险为本的合规管理计划；（3）审核评价商业银行各项政策、程序和操作指南的合规性；（4）协助相关培训和教育部门对员工进行合规培训；（5）组织制定合规管理程序以及合规手册、员工行为准则等合规指南，并评估合规管理程序和合规指南的适当性；（6）积极主动地识别和评估与商业银行经营活动相关的合规风险；（7）收集、筛选可能预示潜在合规问题的数据，建立合规风险监测指标，确定合规风险的优先考虑序列；（8）实施充分且有代表性的合规风险评估和测试；（9）保持与监管机构日常的工作联系，跟踪和评估监管意见和监管要求的落实情况。
从上述职责来看，尤其是其中持续关注法律、规则和准则的最新发展、审核评价商业银行各项政策、程序和操作指南的合规性、积极主动地识别和评估与商业银行经营活动相关的合规风险等内容则直接与银行内部法律部门的职责相交叉。这种定位对于法律部门与合规部门合并设立的银行没有问题，可是对于法律部门与合规部门分设的银行来说，则势必带来尴尬。尤其是一些两者分设的背景中，合规部门往往来自银行传统的“内控”或“稽核”部门，这些部门的法律专业人员极为有限，要让他们承担监管规章所要求的职责几乎不可行。况且因为法律部门的相对独立存在，也势必使得从事法律审查与咨询的法律部门与合规部门的职责重叠，且可能导致责任不清。
鉴于此，对于银行内部将合规与法律部门分立的管理架构中，必须厘清法律部门与合规部门的关系，并且应将法律与合规部门结合起来共同承担起合规风险防控职责。
另外，合规部门与审计部门的关系的妥善处理对于有效防控合规风险甚为重要，借助审计部门的审计监督有助于确保合规风险防控接受适当的监督和约束。“指引”第二十二条明确规定：商业银行合规管理职能应与内部审计职能分离，合规管理职能的履行情况应受到内部审计部门定期的独立评价；内部审计部门应负责商业银行各项经营活动的合规性审计；内部审计方案应包括合规管理职能适当性和有效性的审计评价，内部审计的风险评估方法应包括对合规风险的评估；商业银行应明确合规管理部门与内部审计部门在合规风险评估和合规性测试方面的职责；内部审计部门应随时将合规性审计结果告知合规负责人。
从合规职能的有效履行角度看，合规部门要确保合规风险的有效防控，需要建立有效的保障合规部门独立性的机制。“指引”有两处涉及了独立性的保障：一是从银行合规政策角度，要求银行明确所有员工和业务条线需要遵守的基本原则，以及识别和管理合规风险的主要程序，并对合规管理职能的有关事项做出规定，其中包括“保证合规负责人和合规管理部门独立性的各项措施，包括确保合规负责人和合规管理人员的合规管理职责与其承担的任何其他职责之间不产生利益冲突等”；二是从高级管理层职责角度，要求其应有效管理商业银行的合规风险，履行合规管理职责中包括了“任命合规负责人，并確保合规负责人的独立性”。可见这里从合规部门及负责人的独立性角度，强调了“独立性”的保障重要性。2005年4月29日巴塞尔委员会发布的《合规与银行内部合规部门》对合规部门的独立性给予了高度关注，将其作为一项专门的原则来规范，明确要求“银行的合规部门应该是独立的”，并阐析了“独立性”的四个相关要素：第一，合规部门应在银行内部享有正式地位；第二，应由一名集团合规官或合规负责人全面负责协调银行的合规风险管理；第三，在合规部门职员特别是合规负责人的职位安排上，应避免他们的合规职责与其所承担的其他职责产生利益冲突；第四，合规部门职员为履行职责，应能够获取必需的信息并能接触到相关人员。此外，还在合规部门及其负责人、利益冲突、信息获取和人员接触、资源等方面涉及了合规部门的独立性问题。
从国内中资商业银行的实践来看，合规部门的独立性欠缺仍然是一个普遍性问题，这也是合规风险有效防控的重要障碍之一。该问题的解决一方面需要监管机构的引导和监督，另一方面更重要的是有赖于银行内部董事会和高级管理层合规理念的强化。
构建责任机制，强化管理层的管理责任
从目前国内商业银行（尤其是中资银行）有关合规风险管理的现状来看，虽然不少银行内部已经设立合规部门，甚至有的也在内部管理制度中明确了董事、监事和高级管理层在合规管理上的权责。但是总体来看存在以下问题：一是对董事、监事和高级管理层的合规职责规定过于原则化，缺乏有效的约束和监督机制；二是管理架构中倾向于强化管理层对合规事宜的负责，而淡化董事会、监事会在合规管理中的重要作用；三是合规风险管理架构的系统化建设缺陷明显，不少的银行仅仅把合规风险作为操作风险来管理而已，或者把合规管理当成事后稽核监督来落实，尤其是在缺乏相對独立的法律合规部门的银行中更是如此。
针对上述问题，笔者认为商业银行应从以下几方面来改进：其一，银行应确立董事会负责监督合规风险管理的机制。董事会应该审批银行的合规政策，包括对组建常设的、有效的合规部门文件，董事会或董事会下设的委员会应该对银行有效管理合规风险的情况每年至少进行一次评估；董事会应监督合规政策的实施，包括确保合规问题都由高级管理层在合规部门的协助下得到迅速有效的解决。其二，明确高级管理层在合规风险管理上的基本职责。银行应落实“指引”有关高级管理层在合规风险管理方面的职责，高级管理层应向董事会报告合规风险管理情况，确保合规政策得以遵守；应建立识别和评估银行所面临的主要合规风险问题以及管理这些合规风险问题的计划和机制；应采取必要的措施构建一个常设的、有效的并符合监管要求的合规部门；应建立对各级管理人员合规绩效的考核制度。其三，必须构建有效的合规问责制度，严格对违规行为的责任认定与追究，并采取有效的纠正措施，及时改进经营管理流程，适时修订相关政策、程序和操作指南。
提升管理人员素质，改善风险定量和防控的方法
我国商业银行合规管理人员多数来源于传统的银行稽核、审计部门，对于法律与合规部门合一的则是以法律人员为主体，这种背景下的合规人员结构制约了合规管理的纵深发展，以致多数银行都停留于以定性分析为主，严重缺乏量化分析，在风险识别、度量、监测等方面科学性不够，管理方法落后。对于法律部门与合规部门分设的银行，则甚至连合规中定型化的合法合规审核也因缺乏法律专业人员而无法有效落实相关职责。为了克服人员方面的制约，银行一方面有必要在缺乏法律专业人员的合规机构适当增加熟悉银行业相关法律法规和规章的专业人才，另一方面则有必要强化借鉴国际先进银行的经验，适当吸纳能从事合规风险定量分析的专业人才。
合规风险的管理不是简单地检查业务操作流程或规章是否在具体经营活动中得到落实，而应有一套识别、评估和控制合规风险的方法和技术。首先，应逐步考虑各种量化合规风险的方法(例如，应用评价指标等)的引进，并积极运用这些计量方法加强合规风险的评估。评价指标可借助技术工具，通过收集或筛选可能预示潜在合规问题的数据(例如，消费者投诉的增长数、异常的交易或支付活动等)的方式来设计。银行可结合实际情况和借鉴国际银行经验，并聘请专业化机构指导基础上，不断改进合规风险识别和评估的方法和技术。其次，银行应逐步建立合规监测和测试的技术体系。银行合规部门应该通过实施充分和有代表性的合规测试对合规进行监测和测试。合规测试的结果应依照银行内部风险管理程序，通过合规部门报告路线向上级报告。合规负责人应定期报告所进行的合规风险评估（包括基于运用诸如评价指标的相关计量方法所反映的合规风险状况的任何变化），概述所有已识别的违规问题和(或)缺陷，以及所建议的纠正措施，已经采取的各项纠正措施。
（作者单位：中国工商银行法律事务部）