《商業銀行內部控制指引》（2014）第五章講“內部控制評價”，從第三十四條第四十二條，共計九條。作為內控體系的一部分，內控評價這九個條款可梳理為三大塊內容：
一 內控評價概念及總的要求
1.內控評價概念。“商業銀行內部控制評價是對商業銀行內部控制體系建設、實施和運行結果開展的調查、測試、分析和評估等系統性活動”（第三十四條）。此定義的要害點可概括為：第一，內控評價是一個系統性活動。第二，內控評價針對的是內控體系，包括其建設、實施、運行結果。第三，內控評價的具體動作包括調查、測試、分析、評估等。可見在此語境下，內控評估是內控評價的一部分。
需注意，由這個第三點又引出兩個矛盾點：一是內控職能部門的職責概括中，有“牽頭內控體系的檢查評估”（本指引第十一條），此“評估”與彼“評估”有何不同，是不是一回事。考慮是在同一個制度文件中出現，應當是一回事。二是內控五要素當中內部監督組織架構的規定指出，“商業銀行應指定不同的機構或部門分別負責內部控制的建設、執行和內部控制的監督、評價，內控建設與內控評價部門進行分離”（商業銀行內控評價指南5.6.1），這是否意味著內控評價的牽頭部門，不可以是內控職能部門？顯然是這個意思。一方面，內控職能部門的職責中有“評估”，而“評估”是“評價”的一部分，另一方面，內控建設部門與內控評價部門需分離，即內控職能部門不可以做“評價”。這二者顯然是有些矛盾的，實務工作中具體如何擺布，還需細細思量。
2.要有內控評價制度并規范進行。“商業銀行應當建立內部控制評價制度，規定內部控制評價的實施主體、頻率、內容、程序、方法和標準等，確保內部控制評價工作規范進行”（第三十五條）。這個建內控評價制度的工作，應由內控評價部門牽頭，而非內控建設部門。
3.內控評價年度報告報送的監管要求。“商業銀行年度內部控制評價報告經董事會審議批準后，于每年4月30日前報送銀監會或對其履行法人監管職責的屬地銀行業監督管理機構。商業銀行分支機構應將其內部控制評價情況，按上述時限要求，報送屬地銀行業監督管理機構”（第四十二條）。此監管要求很明確，時間要求與信披報告一致，可見其重要性。必須明確內控評價部門，扎扎實實做好各個動作點，防止手忙腳亂疲于應付，或者表面上誰也負責、實際上誰也不負責。
另，央行《內控評價指南》4.9.2對報告路徑做了描述：先審計委員會審議，次董事會審議決定，再報監事會和做信披。這個做信披的要求應予以關注。
二 內控評價相關工作要求的元素化分解
4.主體。“商業銀行內部控制評價應當由董事會指定的部門組織實施”（第三十六條）。按照本指引劃分的三類部門，內控評價的組織實施工作由內控職能部門承擔和由內部審計部門承擔，似乎都可以。但前提是需經董事會確認、授權。此項工作的管理責任部門只能是董事會，無論哪個具體部門牽頭組織實施，本質上只是操作責任部門。董事會必須對內控負責，內控評價、內控審計本質上都是董事會層面的工作。如何指定這個牽頭部門，需考慮評估與評價的厘清（如上所述）、評價與審計的厘清、內控建設部門與內控職能牽頭部門的厘清。
5.客體（對象、范圍）。“商業銀行應當對納入并表管理的機構進行內部控制評價，包括商業銀行及其附屬機構”（第三十七條）。需注意并表的概念，內控評價的范圍要弄對。其實并表管理是個常識，只是常常易被忽略掉罷了。
6.頻率。“商業銀行應當根據業務經營情況和風險狀況確定內部控制評價的頻率，至少每年開展一次。當商業銀行發生重大的并購或處置事項、營運模式發生重大改變、外部經營環境發生重大變化，或其他有重大實質影響的事項發生時，應當及時組織內部控制評價”（第三十八條）。按這個規定，一年一次是最低的頻率了。《商業銀行內控評價指南》（央行，4.3.5）對此也有規定，“原則上宜每年開展一次”，也可根據情況“調整評價頻率”，“并在對外披露的內控評價報告中予以說明”。這兩個規定總體上一致，但在具體用語上有所差異。按央行指南，似乎內控評價頻率高于一年一次和低于一年一次都可以。同時按央行指南，內控評價報告原則上是應當做信披的，需引起關注。
7.標準。“商業銀行應當制定內部控制缺陷認定標準，根據內部控制缺陷的影響程度和發生的可能性劃分內部控制缺陷等級，并明確相應的糾正措施和方案”（第三十九條）。這個標準，顯然也應當由內控評價部門制定。內控牽頭部門制定是否也可以？似乎也行。按央行的《商業銀行內控評價指南》具體要求，分為業務標準、認定標準，其中業務標準又分為公司層面業務標準、流程層面業務標準、信息科技層面業務標準，認定標準又分為內控缺陷認定標準、內控有效性認定標準。本指引此條是講的內控缺陷認定標準。
8.程序。“商業銀行應當建立內部控制評價質量控制機制，對評價工作實施全流程質量控制，確保內部控制評價客觀公正”（第四十條）。此條主要講內控評價程序中的質控問題，是原則性規定。央行《商業銀行內控評價指南》4.7對內控評價程序做了詳細分解，在此基礎上，對每個階段、步驟應有具體的質控要求。
三 內控評價結果的運用
9.內控評價結果要充分、合理運用。“商業銀行應當強化內部控制評價結果運用，可將評價結果與被評價機構的績效考評和授權等掛鉤，并作為被評價機構領導班子考評的重要依據”（第四十一條）。這里講到至少要三掛鉤：與機構考評掛鉤、與機構授權掛鉤、與班子考評掛鉤。央行《內控評價指南》4.9.3對此有更廣泛、更詳盡的規定。
總體上看，內控評價是內控體系中一個最緊要、最為提綱挈領的環節，央行專門制訂了《商業銀行內部控制評價指南》（2015）。將《指南》與本指引條款對照著研讀，可更為精準地理解其中一些要義，進而在具體工作中更好地把握。
版權聲明：本文內容由互聯網用戶自發貢獻，該文觀點僅代表作者本人。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。如發現本站有涉嫌抄襲侵權/違法違規的內容， 請發送郵件至 舉報，一經查實，本站將立刻刪除。