证券市场作为国家金融体系的重要组成部分，其平稳运行对国家经济安全至关重要。证券公司作为证券市场核心承担主体，其经营发展和管理问题受到社会各界的重点关注。根据现阶段的实际情况来看，中小券商与头部券商面对的外部监管环境相同，而内部控制体系建设由于起步晚、实践短、缺乏经验，仍有一定的改进空间。在金融监管不断深化推进，严监管、细监管态势持续延续的大背景下，建设完善的内部控制体系既是满足外部监管要求的必行之路，亦是中小券商提升核心竞争力的内在需要。
　　一、内部控制体系建设难点
　　内部控制是公司为了提高经营管理效率、保证信息质量真实可靠、保护资产安全完整、促进法律法规有效遵循和发展战略得以实现，由公司董事会、管理层和员工共同实施的权责明确、制衡有力、动态改进的管理过程。
　　随着证券市场的发展，中小券商在内控体系建设方面面临一些典型的管理难点，需要在体系建设过程中，加以重点考虑和完善，具体包括以下几个方面：
　　一是内部控制体系与公司整体战略、风险偏好的一致性。承接公司的经营目标和整体战略，证券公司需明确自身愿意且有能力承担的整体风险水平，即风险偏好，并通过开展经营与管理过程中的风险识别、评价和管理的制度安排、组织体系和控制措施等，确保战略目标的执行落地。实际中，中小券商内部控制体系的设计，往往可能由于多个部门发起、缺少自上而下的统一论证、统一标准、统一语言，而导致以不同部门管理要求的方式存在于管理体系当中，缺少与战略目标、风险偏好等的联动与承接，使得内部控制体系不能有效服务于战略落地。
　　二是新出现的风险因素、不确定的市场环境等，内控应对往往存在一定的滞后性。证券行业发展变化迅速，近年诸如互联网平台展业等新型业态首现监管罚单，业务发展呈现出很多前所未有的新增风险点。随着外部环境和内部业务的发展变化，中小券商对外部风险的识别能力较头部券商有所不足，存在未能及时识别新的风险并优化管控的问题，导致内部控制体系和管理机制作用减弱甚至完全失效，难以有效的控制风险。
　　三是多以制度条文为承载，内部传导机制不连贯。目前中小券商的内控体系建设仍在初级阶段，多以制度条文为承载，而由于制度发起部门不同，各自基于自身管理要求的制度建设往往缺乏一致的管控逻辑，导致战略目标、管理偏好等进一步向下分解时衔接不畅，体现为职能管控、架构权责、流程落地等要求的不一致，并最终影响了执行效果。
内部控制体系传导路径失效示意
　　四是监督评价与责任追究机制不完善。及时监督评价与责任追究，是检验公司现有内部控制体系能否有效运行的必要手段，再通过采取必要的措施来修复检查出的缺陷，确保不存在内部控制的空白和漏洞。实际上，中小券商常态化、主动性的监督评价手段较少，准确和到位的责任追究机制也不够健全，同时普遍存在项目风险周期与激励绩效周期不完全匹配的现实情况，导致往往只能在发生重大经营亏损、资产贬值、操作失误以及监管处罚等风险事件后，才启动真正意义的监督评价和责任追究工作，为时已晚。
　　二、中小券商内部控制体系构建的目标
　　凡事得控则强，失控则弱。内部控制体系建设是中小券商集中优势资源，实践流程驱动管理，实现内控信息统一，为实现多维度流程或数据驱动系统搭建提供引擎基础，从而提升管理效率，降低制度性交易成本，由“通不通”向“好不好”管理转变的迫切需要。
内部控制体系构建思路与目标
　　三、中小券商内部控制体系构建路径
　　证券公司内部控制体系的构建，强调机构、人员、流程的全覆盖，通过优化机构、部门和岗位，渗透到决策、执行和监督等各个环节。随着中小券商业务发展趋势的变化，内控系统还需实现“全机构、全员工、全流程、全产品、全系统、全过程”的统一管控。具体来看，实现上述管控维度的内部控制体系构建路径主要包括如下方面：
　　（一）业务现状调研
　　1、通过高管及部门访谈、现场调研等确认控制环境
　　控制环境的确认工作可以通过公司高管及部门访谈、现场调研和制度公文收集梳理的方式进行。重点关注的风险问题包括：法人治理结构是否完善，三道防线对机构和业务的覆盖是否健全；决策机制方面，重大投融资事项和决策是否有既定、清晰的决策程序或会议，决策参与部门和人员的覆盖是否全面，决策过程是否有足够的信息和专业技能；部门和岗位职责划分是否清晰，是否存在身兼多职的现象等。
　　2、控制风险及主要缺陷识别确认
　　风险识别和评估采用的主要方法为差距分析，对标的对象包括了行业内控较佳实践、行业监管处罚典型案例、行业突发风险事件、内外部检查发现问题、重大损失及风险事件等。对识别的风险需开展分析与评估，常用定性和定量两种方式。其中，对于可以计量的风险，选择风险价值、风险敞口等关键风险指标，以及通过压力测试等方法或模型来计量和评估风险。对于定性的风险，可采用风险评估问卷打分的方式进行，由专业部门/人员从公司发展战略出发，紧密结合内外部经营环境变化与管理需求，重检风险承受能力和风险偏好，基于专业能力以及广泛征求内部意见，汇总形成风险评估结果。
　　值得关注的是，风险识别除了常态化开展外，还应建立动态更新和调整机制，保持对外部行业、市场，内部展业情况的高度敏感性，持续观察，并时刻监视内外环境中可能发生的新的风险主体，要深入调查分析潜在风险，不放过每一个潜在风险点。此外，针对预测和评估的风险，公司应提前考虑、计划早期预警措施，确保及时识别反馈风险并采取有效措施，在风险未扩大之际将其快速解决。
　　（二）流程与控制梳理
　　内部控制体系建设的重中之重，是通过梳理内控框架及授权体系，编制内控矩阵和评价矩阵，实现制度规定、业务规则、岗位角色、评价标准的一体化工作。
　　1、以内控框架梳理、流程诊断等实现初步的内部控制识别确认
　　首先是内控框架梳理。梳理公司内部组织架构，锁定内部各项事务的管理流程及所属部门。对内控架构设计情况进行对标梳理，开展二次评价和缺陷确认，为进一步完善组织架构、决策机制改进奠定基础，确保责任分配、权力职责划分清晰有效，各个机构/员工的岗位权责与公司的内部控制要求相匹配。
　　其次是具体流程的梳理。内控措施是要嵌入流程中的，从内控框架为出发，列明各项二级职能、业务管理流程，在此基础上对各项管理工作的控制现状进行梳理与反馈。管理流程与业务流程需重点关注不同维度：管理流程方面，应全面覆盖制度、授权、固定资产、资金、档案、人力资源、费用、采购、反洗钱、关联交易、集中运营等各职能维度；业务流程方面，可分级分类覆盖从大类到细分具体业务的不同层级，明确各业务流程涉及的决策环节及其重要性程度。与此同时，考虑到很多内部控制措施通过系统化方式进行落地，还需全面覆盖包括信息系统开发与变更、信息安全、信息科技规划以及运行管理等在内的信息科技维度，列明各项流程控制活动的关键信息，形成内部控制矩阵并详细地记录，为后续再造做准备。
全流程框架示意图
　　2、以制度、岗位梳理等为抓手，完成规则标准刻画，实现内部控制的穿行确认
　　岗位职责方面，梳理公司各职能管理部门、业务部门对于相关职能及业务管理全流程的职责分工，以及工作流程上的衔接需要去作出明确的隔离划分，为业务流程运行更加顺畅高效提供依据。
　　制度梳理方面，通过整合公司及业务、管理层级日常须遵循的相关法律、行政法规、监管要求和行业协会规范，列明制度列表，帮助各相关成员快速了解现行制度层级、范围及内容，为构建全面、完善的内控体系提供制度依据。同时，制度不是一成不变的，要不定期根据经营环境和监管要求的变化对制度建设工作进行再细化、再完善、再梳理、再提升，以制度优势完善治理体系、提升治理效能，为更好的履行各项控制措施提供制度指导依据。
　　在此阶段，通过以制度、岗位职责梳理等为抓手的二次调研，完成对业务规则和标准的刻画。需要重点关注的是，为保证流程刻画的深度，制度及岗位职责梳理方面，自上而下的穿行测试需全面考虑监管偏好、公司文化特性、管理偏好、部门职能、业务规则、绩效考核等各方面管理要求，识别关键风险/控制评价要点，对包括规定、办法、细则及指引在内的各项管理制度，以及管理人员、操作人员等执行标准进行系统梳理，并进一步完善内部控制矩阵。
　　（三）完善内部控制手册及相关文件
　　在通过全面调研确认控制环境、主要风险和缺陷，并完成内控框架、具体流程、岗位职责及各项制度梳理的基础上，依托调研及梳理文件，需全面总结并对照相关问题形成内控体系系列文件或对已有内容进行优化。完善的内部控制体系相关文件，可以以内控手册为核心，并辅助以业务流程图、内部控制矩阵、岗位角色说明等相关文件，形成明确的公司内部控制标准。
　　一般来讲，内部控制标准需涵盖的公司业务及管理维度包括如下方面：
　　《内控手册》作为核心管理工具，通过合理界定岗位职责及权力运行结构，梳理优化业务及管理流程，规范管理活动和业务活动，对潜在风险进行全面评估，强化对权力运行的制约，为促进内部治理水平提高提供长效保障机制，并需随着外部经济环境、法律法规、标准及公司发展战略与经营管理要求的变化，持续检视、不断优化。
　　（四）内部控制文化宣贯
　　首先，全面树立和传递内部控制管理的意识和理念。证券公司由于其特有的性质，对员工有巨大的利益诱惑，公司应重视员工道德水平，加强全员的内部控制意识，加强员工法律意识、规章制度的教育，以避免出现利益诱惑下的违规行为。
　　其次，积极开展专项培训。证券业务灵活、复杂和多变，需要前、中、后全流程的参与人员具备较高的专业技能和执业素养。公司应加强针对包括法律、金融、会计、审计、信息技术等专业知识，以及基于各岗位的技能培训，确保员工具备胜任其岗位的专业技能，及时获取最新的有关内部控制的文件和其有关的法律、条例、行为守则，充分了解和掌握所在岗位的操作规程、工作要求、主要风险和对应的核心风险措施，让每个参与内部控制管理活动的员工都承担相应的内控管理职责。
　　最后，优化绩效考核体系。单纯以提高业绩为核心、以赚钱为目标的考核体系，常常易在增加业绩的同时忽略了经营过程中的控制问题，从而导致风险频发。公司应基于内部控制管理的需要，充分考量内部控制管理的有效性与风险把控效果的管理维度，将其纳入激励约束机制中。同时，建立严格的问责制度，列明内部质控纪律，完善评估标准并科学运用考核结果，通过对员工的绩效考核、评价制度达到鼓励员工合理合法的追逐效益的效果，做到让责任“归位”，使监督“强硬”，对失职和渎职的人员进行责任追究，从而促进从严治企，依法行企。
　　中小券商可通过以上过程，逐步构建完整清晰的内部控制框架及其流程规范，鉴别每一位员工在流程中的角色，认清各自的岗位职责，波浪式推进以人为驱动、到以流程为驱动，再到以数据为驱动的管理升级，进而重塑和夯实公司内控体系，实现长效风险管理机制。
（文章来源：中国证券报）