内控成熟度“234”评价体系构建研究与实践

内控新闻 2023年09月19日 11:10 1009 内控网

根据国际内部审计师协会发布的《选择、运用和创建成熟度模型：可用于确认和咨询业务的一种工具》，审计人员可在审计工作中有效应用成熟度模型，或在没有可利用模型的情况下创建模型。为此，笔者认为要坚持以风险为导向，加快构建以内控成熟度评估为基础的“两维三层四步”内控评价体系（简称“234”内控评价体系），即通过由内控成熟度评估及基础信息采集组成“3个评价层次”（即组织“点线面”）的内控评价表单，并运用风险导向的 “4步审计方法”（即“闻望切诊”）进行企业内部控制审计，同时运行“2维评价机制”（即风险的影响性、可能性）深挖问题内涵，有效分析内控缺陷，持续提升内控水平。以下，将余杭农商银行（以下简称该行）的实践，就此进行粗浅的探索。

一、“闻”— 审前评估。准备阶段，该行根据案防、合规（包括员工行为）等运营条线制度规范，并结合历年检查（审计）发现的问题设计了《内控（审计）调查问卷》，对被评价单位员工及中层进行突击调查，由调查对象现场作答，内容涉及柜面授权业务、存款结算业务、电子银行业务、理财业务等风险环节，以及信贷会计操作“二十四条禁令”，重点了解员工内控制度掌握情况及内控合规意识现状等。

二、“望”—审时测试。实施阶段，该行采取计算机辅助审计系统数据筛查、OCR 系统凭证查阅、监控调阅、相关资料查阅等方法实施。其中通过计算机辅助审计系统导出风险数据线索开展非现场测试；同时，创新应用穿透流程法，开展现场测试。穿透流程法，是该行借鉴计算机系统测试方法，采取现场察看、调阅监控等方式，对某项业务全流程和所有关键环节实施穿行测试，以发现内控流程缺陷的审计新方法。

三、“切”— 审后分析。评估阶段，该行从组织的“点线面”三个层次构建内控成熟度评价模型，其中“面”即内控五要素，将其作为审计的五个方面；“线”即业务条线，根据实际，对重要业务按五要素进行分解；“点”即控制关键点，具体针对前两类指标的实现情况进行具体指标问题的设置，分为流程指标和控制指标两类。实践中，该行分别对组织决策、信贷管理、票据业务、中间业务、财务及账户管理、会计出纳与科技管理、安全保卫等七个项目（“线”），以及消费者权益保护、反洗钱工作事项进行评价。同时，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等内控五要素（“面”），对七个项目分别设计《内部控制评价计分表》（“点”），按百分制明确评价内容及标准，采用加权计分的方式，对支行内控情况进行综合计分，并最终根据评价得分划定内控成熟度等级，从低到高可分为原始级、成长级、规范级、精益级、战略级共五个等级。此外，针对评价发现的问题，运用风险矩阵分析法，从影响性、可能性两个“维”度，分别划分五个等级，其中影响性，主要依据问题对应的内控机制或现有防控措施强弱程度，分为可忽略、微小、一般、严重和关键，依次赋值1至5分；可能性，主要依据现场测试及历年各项检查发现同类问题的次（笔）数，分为极不可能、不可能、可能、极可能和频繁，依次赋值1至5分，实施内控缺陷（风险）的定量分析。

四、“诊”—后续改进。在矩阵分析量化的基础上，该行采用波达（borda）序值法对发现的问题进行波达数排序，重点实施量化评价，列明问题所属内控要素，并按风险严重程序予以定性排序和缺陷认定，从borda序数来看，数值越小反映缺陷越严重。即可以根据borda序数对内控缺陷实施定性分类，依次分为重大、重要和一般共三大类。从而为下一步优化资源配置，有效促进成果转化提供科学依据，并有力推动风险揭示与防范的评价目标实现。此外，在评价报告形成前，评价小组现场召开以被评价单位管理人员为主要参加对象的运营诊断会，一方面就评价发现的问题，与被审计单位直接沟通，分析原因，揭示风险，并对发现的问题，跟踪落实整改和明确责任；另一方面就机构高效运营、风险隐患、人员管理等方面进行座谈讨论，特别是针对前期分类定性的内控缺陷，收集内控管理和安全运营的意见建议，形成防控重点及改进意见。（倪卫东）

来源：浙江余杭农村商业银行

近期课程安排：

《国际注册内部控制师CICS资格认证》网络课程学习班：

报名链接：https://www.neikong.com/s/pc/#/course/detail/1527212/1473841/info?parentId=905884

联系电话：010-68004176、68004186

联系人：孙老师、邱老师

报名咨询二维码：