證券市場作為國家金融體系的重要組成部分，其平穩運行對國家經濟安全至關重要。證券公司作為證券市場核心承擔主體，其經營發展和管理問題受到社會各界的重點關注。根據現階段的實際情況來看，中小券商與頭部券商面對的外部監管環境相同，而內部控制體系建設由于起步晚、實踐短、缺乏經驗，仍有一定的改進空間。在金融監管不斷深化推進，嚴監管、細監管態勢持續延續的大背景下，建設完善的內部控制體系既是滿足外部監管要求的必行之路，亦是中小券商提升核心競爭力的內在需要。

一、內部控制體系建設難點

內部控制是公司為了提高經營管理效率、保證信息質量真實可靠、保護資產安全完整、促進法律法規有效遵循和發展戰略得以實現，由公司董事會、管理層和員工共同實施的權責明確、制衡有力、動態改進的管理過程。

隨著證券市場的發展，中小券商在內控體系建設方面面臨一些典型的管理難點，需要在體系建設過程中，加以重點考慮和完善，具體包括以下幾個方面：

一是內部控制體系與公司整體戰略、風險偏好的一致性。承接公司的經營目標和整體戰略，證券公司需明確自身愿意且有能力承擔的整體風險水平，即風險偏好，并通過開展經營與管理過程中的風險識別、評價和管理的制度安排、組織體系和控制措施等，確保戰略目標的執行落地。實際中，中小券商內部控制體系的設計，往往可能由于多個部門發起、缺少自上而下的統一論證、統一標準、統一語言，而導致以不同部門管理要求的方式存在于管理體系當中，缺少與戰略目標、風險偏好等的聯動與承接，使得內部控制體系不能有效服務于戰略落地。

二是新出現的風險因素、不確定的市場環境等，內控應對往往存在一定的滯后性。證券行業發展變化迅速，近年諸如互聯網平臺展業等新型業態首現監管罰單，業務發展呈現出很多前所未有的新增風險點。隨著外部環境和內部業務的發展變化，中小券商對外部風險的識別能力較頭部券商有所不足，存在未能及時識別新的風險并優化管控的問題，導致內部控制體系和管理機制作用減弱甚至完全失效，難以有效的控制風險。

三是多以制度條文為承載，內部傳導機制不連貫。目前中小券商的內控體系建設仍在初級階段，多以制度條文為承載，而由于制度發起部門不同，各自基于自身管理要求的制度建設往往缺乏一致的管控邏輯，導致戰略目標、管理偏好等進一步向下分解時銜接不暢，體現為職能管控、架構權責、流程落地等要求的不一致，并最終影響了執行效果。

內部控制體系傳導路徑失效示意

四是監督評價與責任追究機制不完善。及時監督評價與責任追究，是檢驗公司現有內部控制體系能否有效運行的必要手段，再通過采取必要的措施來修復檢查出的缺陷，確保不存在內部控制的空白和漏洞。實際上，中小券商常態化、主動性的監督評價手段較少，準確和到位的責任追究機制也不夠健全，同時普遍存在項目風險周期與激勵績效周期不完全匹配的現實情況，導致往往只能在發生重大經營虧損、資產貶值、操作失誤以及監管處罰等風險事件后，才啟動真正意義的監督評價和責任追究工作，為時已晚。

二、中小券商內部控制體系構建的目標

凡事得控則強，失控則弱。內部控制體系建設是中小券商集中優勢資源，實踐流程驅動管理，實現內控信息統一，為實現多維度流程或數據驅動系統搭建提供引擎基礎，從而提升管理效率，降低制度性交易成本，由“通不通”向“好不好”管理轉變的迫切需要。

內部控制體系構建思路與目標

三、中小券商內部控制體系構建路徑

證券公司內部控制體系的構建，強調機構、人員、流程的全覆蓋，通過優化機構、部門和崗位，滲透到決策、執行和監督等各個環節。隨著中小券商業務發展趨勢的變化，內控系統還需實現“全機構、全員工、全流程、全產品、全系統、全過程”的統一管控。具體來看，實現上述管控維度的內部控制體系構建路徑主要包括如下方面：

（一）業務現狀調研

1、通過高管及部門訪談、現場調研等確認控制環境

控制環境的確認工作可以通過公司高管及部門訪談、現場調研和制度公文收集梳理的方式進行。重點關注的風險問題包括：法人治理結構是否完善，三道防線對機構和業務的覆蓋是否健全；決策機制方面，重大投融資事項和決策是否有既定、清晰的決策程序或會議，決策參與部門和人員的覆蓋是否全面，決策過程是否有足夠的信息和專業技能；部門和崗位職責劃分是否清晰，是否存在身兼多職的現象等。

2、控制風險及主要缺陷識別確認

風險識別和評估采用的主要方法為差距分析，對標的對象包括了行業內控較佳實踐、行業監管處罰典型案例、行業突發風險事件、內外部檢查發現問題、重大損失及風險事件等。對識別的風險需開展分析與評估，常用定性和定量兩種方式。其中，對于可以計量的風險，選擇風險價值、風險敞口等關鍵風險指標，以及通過壓力測試等方法或模型來計量和評估風險。對于定性的風險，可采用風險評估問卷打分的方式進行，由專業部門/人員從公司發展戰略出發，緊密結合內外部經營環境變化與管理需求，重檢風險承受能力和風險偏好，基于專業能力以及廣泛征求內部意見，匯總形成風險評估結果。

值得關注的是，風險識別除了常態化開展外，還應建立動態更新和調整機制，保持對外部行業、市場，內部展業情況的高度敏感性，持續觀察，并時刻監視內外環境中可能發生的新的風險主體，要深入調查分析潛在風險，不放過每一個潛在風險點。此外，針對預測和評估的風險，公司應提前考慮、計劃早期預警措施，確保及時識別反饋風險并采取有效措施，在風險未擴大之際將其快速解決。

（二）流程與控制梳理

內部控制體系建設的重中之重，是通過梳理內控框架及授權體系，編制內控矩陣和評價矩陣，實現制度規定、業務規則、崗位角色、評價標準的一體化工作。

1、以內控框架梳理、流程診斷等實現初步的內部控制識別確認

首先是內控框架梳理。梳理公司內部組織架構，鎖定內部各項事務的管理流程及所屬部門。對內控架構設計情況進行對標梳理，開展二次評價和缺陷確認，為進一步完善組織架構、決策機制改進奠定基礎，確保責任分配、權力職責劃分清晰有效，各個機構/員工的崗位權責與公司的內部控制要求相匹配。

其次是具體流程的梳理。內控措施是要嵌入流程中的，從內控框架為出發，列明各項二級職能、業務管理流程，在此基礎上對各項管理工作的控制現狀進行梳理與反饋。管理流程與業務流程需重點關注不同維度：管理流程方面，應全面覆蓋制度、授權、固定資產、資金、檔案、人力資源、費用、采購、反洗錢、關聯交易、集中運營等各職能維度；業務流程方面，可分級分類覆蓋從大類到細分具體業務的不同層級，明確各業務流程涉及的決策環節及其重要性程度。與此同時，考慮到很多內部控制措施通過系統化方式進行落地，還需全面覆蓋包括信息系統開發與變更、信息安全、信息科技規劃以及運行管理等在內的信息科技維度，列明各項流程控制活動的關鍵信息，形成內部控制矩陣并詳細地記錄，為后續再造做準備。

全流程框架示意圖

2、以制度、崗位梳理等為抓手，完成規則標準刻畫，實現內部控制的穿行確認

崗位職責方面，梳理公司各職能管理部門、業務部門對于相關職能及業務管理全流程的職責分工，以及工作流程上的銜接需要去作出明確的隔離劃分，為業務流程運行更加順暢高效提供依據。

制度梳理方面，通過整合公司及業務、管理層級日常須遵循的相關法律、行政法規、監管要求和行業協會規范，列明制度列表，幫助各相關成員快速了解現行制度層級、范圍及內容，為構建全面、完善的內控體系提供制度依據。同時，制度不是一成不變的，要不定期根據經營環境和監管要求的變化對制度建設工作進行再細化、再完善、再梳理、再提升，以制度優勢完善治理體系、提升治理效能，為更好的履行各項控制措施提供制度指導依據。

在此階段，通過以制度、崗位職責梳理等為抓手的二次調研，完成對業務規則和標準的刻畫。需要重點關注的是，為保證流程刻畫的深度，制度及崗位職責梳理方面，自上而下的穿行測試需全面考慮監管偏好、公司文化特性、管理偏好、部門職能、業務規則、績效考核等各方面管理要求，識別關鍵風險/控制評價要點，對包括規定、辦法、細則及指引在內的各項管理制度，以及管理人員、操作人員等執行標準進行系統梳理，并進一步完善內部控制矩陣。

（三）完善內部控制手冊及相關文件

在通過全面調研確認控制環境、主要風險和缺陷，并完成內控框架、具體流程、崗位職責及各項制度梳理的基礎上，依托調研及梳理文件，需全面總結并對照相關問題形成內控體系系列文件或對已有內容進行優化。完善的內部控制體系相關文件，可以以內控手冊為核心，并輔助以業務流程圖、內部控制矩陣、崗位角色說明等相關文件，形成明確的公司內部控制標準。

一般來講，內部控制標準需涵蓋的公司業務及管理維度包括如下方面：

《內控手冊》作為核心管理工具，通過合理界定崗位職責及權力運行結構，梳理優化業務及管理流程，規范管理活動和業務活動，對潛在風險進行全面評估，強化對權力運行的制約，為促進內部治理水平提高提供長效保障機制，并需隨著外部經濟環境、法律法規、標準及公司發展戰略與經營管理要求的變化，持續檢視、不斷優化。

（四）內部控制文化宣貫

首先，全面樹立和傳遞內部控制管理的意識和理念。證券公司由于其特有的性質，對員工有巨大的利益誘惑，公司應重視員工道德水平，加強全員的內部控制意識，加強員工法律意識、規章制度的教育，以避免出現利益誘惑下的違規行為。

其次，積極開展專項培訓。證券業務靈活、復雜和多變，需要前、中、后全流程的參與人員具備較高的專業技能和執業素養。公司應加強針對包括法律、金融、會計、審計、信息技術等專業知識，以及基于各崗位的技能培訓，確保員工具備勝任其崗位的專業技能，及時獲取最新的有關內部控制的文件和其有關的法律、條例、行為守則，充分了解和掌握所在崗位的操作規程、工作要求、主要風險和對應的核心風險措施，讓每個參與內部控制管理活動的員工都承擔相應的內控管理職責。

最后，優化績效考核體系。單純以提高業績為核心、以賺錢為目標的考核體系，常常易在增加業績的同時忽略了經營過程中的控制問題，從而導致風險頻發。公司應基于內部控制管理的需要，充分考量內部控制管理的有效性與風險把控效果的管理維度，將其納入激勵約束機制中。同時，建立嚴格的問責制度，列明內部質控紀律，完善評估標準并科學運用考核結果，通過對員工的績效考核、評價制度達到鼓勵員工合理合法的追逐效益的效果，做到讓責任“歸位”，使監督“強硬”，對失職和瀆職的人員進行責任追究，從而促進從嚴治企，依法行企。

中小券商可通過以上過程，逐步構建完整清晰的內部控制框架及其流程規范，鑒別每一位員工在流程中的角色，認清各自的崗位職責，波浪式推進以人為驅動、到以流程為驅動，再到以數據為驅動的管理升級，進而重塑和夯實公司內控體系，實現長效風險管理機制。

五礦證券有限公司