“內控不是某個部門的事情，也不是獨立于業務之外的東西，我們將制度融入流程里，流程融入系統里，這樣就很難違規。因為對業務流程的每個控制點如何，業務部門最清楚，真正提升內控的意識，人人有責，制度加執行，內控文化必須落到實處。”這是平安的董事長馬明哲說的。企業如何做好內控，首先得有這樣的意識，尤其是公司最高領導層。 “公司的敗績都是由內部控制失敗引起的。” 如今，內控制度越來越成為企業發展戰略中的非常核心的內容。內控制度的好壞，直接影響到企業的風險管理，乃至企業的可持續發展戰略。相比于一般企業，內控對金融機構的意義更是非同尋常，一旦內部控制和風險管理出現漏洞和疏忽，造成的損失可能是一個巨大的天文數字，其災難性和危險性不僅限于企業本身，將會波及經濟實體的各個層面。 　　對于中國的大多數企業而言，內部控制更像是一個昂貴的“消防栓”，付出成本進行內控體系、流程和規則搭建，主要是為了應付合規需要和突發事件，能把內控做到形具而又不拘于形的企業不多。在過去的二十多年，從體制、機制到企業文化，中國平安不經意間將內控——這一高深的管理藝術熟諳，已經成為內控和風險管理領域的杰出標桿。 　　公司治理是內控的核心保證 　　“內部控制，簡單說就是確保集團運作過程中不出問題。”葉素蘭說這番話時嫣然一笑。 　　這位中國平安集團總經理助理兼首席稽核執行官看似輕松的吐露，其實潛藏著一份胸有成竹。誰都清楚，面對保險、銀行、投資三大板塊業務，近11000億元的龐大資產，其間對風險的防范需要何等的控制力。而事實上，中國平安就憑借著卓越的治理、高效的風險管控和高速成長的經營業績，已經成為中國金融業的一面旗幟，一根標桿。 　　作為金融國際化的先行者，中國平安不斷吸收引進境外金融業巨擘成熟的管理經驗，實現了從運營、管理和治理脫胎換骨的進化。2002年10月引入匯豐集團這個戰略投資者之后，公司風險管理和內控體系的完善，也很自然地融入匯豐的理念；2008年6月，隨著《企業內部控制基本規范》的正式發布，平安率先落實內控法規要求，進一步整合升級內控體系，形成了自身鮮明的特點。 　　目前，中國平安建立了“集團控股、分業經營、分業監管、整體上市”的組織架構。其中，集團的定位是“有所為，有所不為”，創造集團整體協同價值，發揮戰略方向盤、經營紅綠燈和業務加油站的作用，落實到董事會層面，負責戰略決策，合規風控，代表股東管理和分配資本，并行使監督職責等；集團和監管部門共同構成雙重監督體制，各金融子公司分業經營，分別接受對應監管部門的監管；子公司間設有嚴格的防火墻，嚴控治理風險、資金風險、財務風險、信用風險、交易風險、信息風險等的傳遞與系統性風險；集團由于整體上市，公司治理層次清晰、運作透明、信息披露真實及時全面，可以有效根據發展需求動態、均衡配置資源，降低整體風險。 　　集團董事會專設“審計與風險管理委員會”，由6位獨立董事組成，領導集團內控管理中心，與運營、產品等業務模塊獨立。內控管理中心下轄合規部、風險管理部和稽核監察部，由集團總經理助理兼首席稽核執行官統領履行職責。內控中心將內控嵌入業務和流程，融入日常化運作，確立了內控評價機制，確保實現內控人人參與、合規人人有責，同時實現內部控制體系的整合升級。 　　據悉，中國平安目前從集團到各子公司，甚至各子公司的分公司，都已基本搭建完成內控和風險管理的架構和體系，確立了以“促進整個集團有效益可持續健康發展”為公司內控與風險管理的戰略定位和長期目標，建立了“覆蓋全面、運作規范、針對性強、執行到位、監督有力”的“三位一體、三道防線”風險管控運行機制，確保集團并督促子公司經營管理合法合規、符合監管要求，確保單一/累積風險低于公司可接受水平，確保整個集團健康持續發展。 　　“三位一體、三道防線”主要是體現了在風險管控過程中的角色與職責劃分，協作與聯動機制，不同企業會有不同的內涵、外延和組成形式。據介紹，平安根據各類相關法律法規和監管規定，風險管控要求，以及綜合金融戰略發展與經營管理需要構建了符合平安實際情況的風險管控的組織架構、職責分工和協同機制，并在平安規范的公司治理，清晰的集團定位，緊密的集團管控，強大的執行力文化基礎上履行職能、緊密配合、彰顯價值，有效管控風險，樹立典范和領先。平安的“三位一體”是三個專業部門在風險管控過程中分工、配合與協作，是強化事前、事中、事后風險管控三個環節的功能，通過建立與完善制度機制、技術平臺、監督和文化，提升風險管控的水平和價值。其中，合規部門主要履行“風險事前策劃應對”；風險管理部門主要履行“風險事中監測控制”；稽核監察部門主要履行“風險事后監督報告”。“三道防線”反映了平安的風險管理策略，業務部門是第一道防線，通過建立內控評價與考核問責，將內部控制與日常經營管理融合，嵌入業務和流程，確立內部控制的核心驅動力，將風險管控盡可能的前置。合規部門和風險管理部門是第二道防線，稽核監察部門是第三道防線。同時，平安聘請國際會計師、國際咨詢公司等外部獨立機構定期對公司進行獨立審計、對內部控制的有效性進行獨立評價、對風險管理體系的進一步完善和優化提供咨詢與建議。金融企業經營的是風險，作為綜合金融集團的平安更是如此。對于風險管控，平安善于將合規的制度基因植入流程，流程嵌入系統。通俗地說，就是把復雜的事情簡單化，簡單的事情流程化，流程的事情標準化，標準的事情IT化。 　　在集團層面，平安建立了統一的風險定義和分類，統一的風險計量和匯總方法，為集團風險的并表管理打下了基礎。“每家子公司都有風險監控的體系，在集團，我們主要是并表管理，每季度進行壓力測試。某些風險在單一子公司可能不是問題，但并表到集團，就有可能變成高風險。”葉素蘭表示。 　　憑借著豐富的信息系統管理經驗，她善于運用“風險熱圖”監控風險。“我們現在的常規稽核完全是風險導向的。我們每年把過去一兩年發生的風險做成風險熱圖，通過綠橙紅等標示不同風險等級的顏色，能夠直觀發現整個系統內哪些風險點比較高。而平安的全國運營管理中心也在實施很多非現場的監控和風險預警。” 　　為了持續改進，集團內控管理中心每年都會對一些重要的流程進行評估，檢視流程有沒有因為新的業務、產品而產生新的風險。目前，平安還正在實施國內首家綜合金融集團全面風險管理(簡稱ERM)項目，覆蓋投資風險等主要風險類別，結合動態風險量化工具和技術，設定相應風險預警限額，完善限額監控機制，為科學合理地建立公司風險偏好體系提供盡可能全面準確的風險動態量化分析，確保單一/累積風險低于公司可接受水平。“我們現在是并表管理，希望以后變成一個可以在后臺的監控，更好地動態度量風險。”葉素蘭說。 　　事實上，類似三道防線的說法在國內其他企業并不鮮見，為什么有些企業的重大風險屢屢出現？“做好內控和風險管理工作的核心，是治理架構和發揮人的作用。”集團董事長馬明哲指出，只有董事會及下屬專業委員會充分發揮作用，高管層高度重視自覺參與，并且守規矩去做每一件事，才能真正做好內控。 　　葉素蘭透露，為了持續完善和改進內控與風險管理，中國平安目前著力打造專業高效內控管理團隊和不斷創新內控管理手段。創新的內控管理手段包括內部控制有效性評估、三位一體風險管控、全面風險管理、戰略項目合規支持與“四新”合規評審、風險并表管理、動態風險監控與預警、專項/遠程/突擊/IT/任中審計、機構風險評級與管理層評價、強大的IT系統支持、紅黃藍牌處罰、內控/案件問責等11個方面。創新手段為主導，常規稽核重點轉為風險導向合理化建議。 　　“公司如果不守規矩，代價就太大了。任何單位和部門一旦有重大案件發生，就可能會失去業務或機構拓展的機會或資格，從而會影響發展速度。證券部門則會評級下降，喪失推廣新產品的機會。個人也一樣，集團高管大約一半來自海外，包括我自己，如果事業上有任何污點，將影響我們未來的職業生涯。”她感言。 　　自上而下合規理念的滲透、傳遞和內化，背后彰顯著強大企業文化的生命力，而“法規+1”則是踐行這一文化的行動準則。在2003 年度的系統工作會上，馬明哲董事長提出了“法規＋1”的概念。法規有明確規定的，堅決嚴格執行；法規未明確規定的，按照更高的道德自律標準確定行為規范，堅決“不打擦邊球”，不鉆政策空子，要保證公司的經營行為經得起任何法規、時間和道德標準的考驗。換句話說，“法規＋ 1”就是要用高于法規原則的道德標準來處理事情。或許有人認為企業做到“遵紀守法”就夠了，為什么還要提出“法規＋ 1”的概念，用高于法律的道德標準給企業套上“籠頭”，這不是給自己“找麻煩”嗎？馬明哲董事長說這是“建設最高道德標準企業”對我們提出的要求。 　　中國平安一直在全系統不遺余力地倡導和建立“自覺合規、健康發展”的內控環境與文化，眼下“不敢違、不能違、不愿違”的合規意識深入人心。“不敢違規，是因為檢查很容易發現問題，包括在線遠程的異常指標提取和分析，威懾力是很大的。如果干壞事就會被發現，僥幸心理大大降低；不能違規，說的是通過制度、機制等，讓人沒有做壞事的機會，或者無法一個人完成；公司通過文化、激勵機制引導，也讓員工不愿意違規。”集團合規部副總經理張云平表示，中國平安倡導“內控合規使你持續成功”，合規并不是簡單的提出問題，還要幫助解決問題。“內部控制與風險管理工作不僅僅是公司和專業內控部門的事情，它和每一位員工的利益密切相關，它按統一標準建立起員工履職盡責的記錄、樹立個人品牌、獲取他人信賴，它使員工職業生涯更安全更長久，它鼓勵員工尋求最佳實踐、提高工作效率。”張云平解釋說。 　　內部控制和風險管理已然領先的平安備受外界關注。除了境內外媒體的贊賞評獎不斷外，來自央行等國內權威部門和行業巨頭也紛紛調研取經“平安模式”。但公司并未就此止步，采訪中記者獲悉，集團內控管理中心已經有了一系列新的計劃安排，月底還準備到香港的廉政公署考察取經。 　　改革、創新與風控，被平安視作有效益可健康持續發展的永恒主題。如何妥善處理三者之間的關系？董事長馬明哲頗有遠見地指出，隨著社會經濟的日益繁榮與發展，科學技術的進步，人們生活水平的不斷提高，生活節奏的持續加快，引發了消費者對金融產品和服務需求的變化，這成為金融創新的核心推動力，也促使“金融超市”、“一站式金融服務”等綜合金融成為發展趨勢。平安始終致力于探索“綜合金融”道路，堅持“在競爭中求生存，在創新中求發展”。當然，創新會面臨風險，會存在諸多障礙與問題，但平安仍將瞄準國際一流現代金融企業的經營管理機制標桿，踐行“法規＋1”、風險管控與健康發展，持續提高抵御風險的內控機制保障能力。 　　三位一體保駕運營 　　董事長馬明哲曾說過，“小勝靠個人，中勝靠機制，大勝靠平臺。要取信于人，一定是一個系統工程。平臺，是所有方方面面的整合。”平安的內控和風險管理體系具體究竟如何運轉？ 　　在內控體系中，根據定位，合規部門主要履行風險事前策劃應對，具體包括戰略合規支持、合規評審、合規風險提示、合規檢視、制度體系完善等；風險管理部門主要履行風險事中監測控制，包括風險量化監測、風險預警追蹤、風險評級應對等。而稽核監察部門負責違規案件查處、經營效益審計、紅黃藍牌處罰、風險事后監督報告和內控文化建設等。 　　在中國平安，事前事中事后的風險管控已經融為一體。首先在“事前”進行風險識別與評估，定期更新、維護風險列表，分析法律法規、監管規定和行業自律規則的變動情況，提示風險出現的可能和應對策略；在“事中”執行統一的風險管理政策、風險指標和實施標準，監控和報告異常風險情況；在“事后”通過垂直、獨立的稽核監察架構，實施風險導向的稽核審計，實地查處，威懾違法違規人員，執行事后懲戒機制，并通過審計工作平臺、預警系統，實現稽核的階段性監督向日常性監督轉變，發揮風險監控最后防線作用。 　　“我們是前瞻性地創新合規內控，確保風險持續可控。內控做得不好，我們有問責措施，這是跟業績掛鉤的。”葉素蘭認為，“事前風險的管控很重要，價值很高。” 　　形與神各具，平安集團旗下各子公司的內控既統一于集團整體，又頗有各自的神韻，嚴格合法合規、風險可控，確保有效益可持續健康發展。 　　其中，已成功躋身國內第二大產險公司的平安產險，繼實現“健康超越”后，今年又提出打造“行業典范”的鮮明口號。“合規經營”就是“行業典范”最重要的內涵之一。 　　“我們合規管理方面有三項重要措施：首先是實行對制度出臺前的合規評審，特別像平安產險這么大的公司，總部細分為二三十個部門，管理制度上難免產生一些交叉甚至沖突，我們在2008年初就出臺了新制度合規評審辦法，每出臺一項制度，都要符合國家有關規定和公司內控合規管理的要求。”平安產險董事會秘書王仕永介紹說。 　　其次是系統的制度管理平臺，這是平安產險的一個創新。這個平臺按部門、業務對外部監管和公司制度文件進行歸集索引，還融合了公司的組織架構和各業務部門的作業指導，共4大模塊，所有制度文件和工作流程，在這個網絡平臺上集中管理、實時更新發布，非常易于查找，目的是讓員工及時掌握和執行公司制度，做到有章可循。 　　內控評價和合規檢視也是合規平臺的重要舉措。“我們分別從公司層面和具體業務流程層面，定期對經營管理中的風險點進行識別和評估，并運用集團統一的內控評價系統平臺統一管理，通過抽取樣本覆蓋來測試控制效果的好壞，測試結果都顯示在系統里，而集團內控管理中心也能一目了然，這就能夠很好地掌握公司內控狀況。”王仕永表示，內控評價時，公司嚴格規定了程序和工具，甚至包括具體業務環節的細致入微的風險信息、控制措施及針對每一個控制點的具體測試程序，“有嚴格的工具和表格保證內控測試結果不是拍腦袋出來的，而是經過嚴格、扎實地測試出來的，能夠反映實際內控體系設計和運行狀況的”。 　　平安產險合規部除了日常工作以外，還有一個重要職責是開展合規培訓教育，提高全員合規意識。部門定期匯總編輯一份《合規動態》，使員工能夠及時接觸到最新的政策法規、合規理念和實際案例。 　　2009年2月，新《保險法》出臺，更加強調保護被保險人的利益，同時拓展了資金運用的渠道，強化了監管的力度。對于新《保險法》和舊《保險法》之間的差異，集團法律部門制作下發了一個詳細的解讀，但產險公司不滿足，重點抓學習效果和實際落實，借此深入推進合規經營。“集團全系統的知識競賽一共設六個獎項，平安產險得了其中五個獎項。” 　　平安產險管理層非常強調合規從高層做起、從干部做起，每年都組織合規知識競賽等活動。更絕的是，平安產險的所有干部，不分年齡大小、資歷深淺，都必須參加新出臺的法規知識的閉卷考試。為此，公司搭建了相應的學習及考試平臺，每個人必須從自己的賬號登錄學習參加考試。考試結束張榜公布成績，優異者的“獎勵”是一摞法規書籍。 　　王仕永絲毫不懷疑考試的重要性和作用。“合規經營，干部的觀念和法規知識水平是關鍵，全員合規意識是基礎，通過學習平臺和知識競賽、強制考試，平安產險的全員合規意識和法規知識得到提升，這是平安產險提高合規管理水平的重要手段。” 　　平安銀行的內控實例 　　作為中國平安的子公司，平安銀行其實還是一個新生的銀行。從2007年平安集團整合前深圳商業銀行算起，到現在也就三年的時間。甫一開始，集團就空降了豪華的外籍高管團隊。如果說開始是為了更好的國際化，現在，平安銀行則實現了更好的相互借鑒、相互促進，實現了國際化背景下的本土化成長。 　　由于銀行業的風險具有累積性和突發性的特征，因此，必須要有一個強大的風險管控機制來支撐企業的可持續發展。平安銀行代行長葉望春指出，這兩年，平安銀行的評級從五級提升到兩級，其中一個不可忽視的因素就是認真落實監管部門對合規的要求，重點是實施了后臺集中，而這種后臺集中在其他銀行還沒有做到。 　　他舉例說，假定平安銀行的某一個柜臺接收一張原始憑證，該憑證會很快被掃描到上海張江后臺中心進行錄入，再由張江中心把數字傳送到成都的核算中心審核、記賬，以確保核算的合規合法性，這是平安銀行的內控優勢所在。 　　有觀點指出，平安銀行及深發展的下一步整合，主要取決于內控。尤其是中國平安內部能不能在各子公司之間形成有效的防火墻進行有效地風險隔離。事實是，中國平安已經構建了一系列符合其風險管控要求的防火墻機制，并有完善的關聯交易控制機制，嚴禁出現價格非公允的利益轉移或輸送，做到合規、公允、有序。 　　“如果我們跟信托投資公司有合作，這些都需要合規也有額度的限制。我們是獨立的法人，系統也是獨立的。”葉望春表示。 　　“關聯交易一定要有防火墻，還要有非常健全的統計、報送和審批機制，我們董事會設立了關聯交易委員會，專門關注此類事項。”平安銀行法律合規部副總經理李峻峰解釋說，平安銀行按照前中后臺徹底分離的方式，在戰略布局上，合規搭建了風險管控的整體框架。集團已經給各子公司搭建了一個比較好的風險管理和內控平臺，平安銀行的風險管理是在全面風險管理的基礎上更加強調條線化，也就是流程化。“流程化銀行要求你的風險管理專業化，除了前中后臺分離的內控要求外，必須按照信用風險、流動性風險，市場風險、操作風險、聲譽風險等系列化分類，把所面臨的全部風險識別、區分出來，從風險文化、資源配置、規劃分析、制度安排、系統支持、動態監督和信息反饋等多維度開展全流程管理。” 　　采訪中，記者注意到，在整個平安集團，目前已經實現了公章集中管理。因為分支機構掌握著實體公章會蘊藏潛在的道德風險。一旦出現問題，當事人雖然會受到懲處，但是公司的風險已經形成。公章集中管理后，可以保證每蓋一個公章，都要經過流程的審核，通過內控措施和IT系統的結合來防范風險。 　　和產險高管的考試不同，平安銀行的外籍高管有自己獨特的合規文化推行方式。 　　平安銀行的高管團隊以外籍人士為主，包括首席執行官、首席風險官、首席財務官等，在合規事項的推動方面，他們都有著豐富的國際先進經驗。集團之所以選聘外籍高管，是因為他們是行業中的典范。對于金融機構要求盡快做大做強的訴求和風險管控的實際從客觀上來說是有沖突的，走得越快，出現問題的可能性也就越大。平安銀行高級管理層很好地解決了這一難題。 　　平安銀行高級管理層不僅讓平安銀行快速穩健地發展起來，而且合規意識非常強，注重從細節上推動、支持合規工作。平安銀行每年都舉行合規考試，高管主動、帶頭參加考試；總行行長們每年分頭深入支行宣講合規；還有就是在每次合規活動期間，總行行長親自抽查各級干部的參與程度。有段時間，每天中午一點半，李峻峰都要到前任行長理查德的辦公室，把全行干部的名單給他，他從幾百人的名單中隨機撥打電話，就活動中的具體內容進行提問，進行現場翻譯，電話中答不上來的人就會很被動。問題雖小，但是干部很容易感受到高層是真正重視，而不是開開會走走過場就完事。 　　從銀行角度來講，合規與內控是銀行健康、穩健發展的必備基礎。從董事會、高管層到執行層，合規與內控的要求無時不在。合規與內控狀況是銀監會對銀行評級的重要參考因素，也是衡量一個銀行抵御各類風險和經營管理水平高低的重要標準。在內控方面，平安銀行希望通過鞏固和堅持不相容職責分離等內控原則，始終保持業務發展中的“零”案件，形成全面覆蓋、管控有效的內控體系。任何細節，不管是審核的，還是業務發起端的，都很難作假。在合規方面，平安銀行希望通過塑造良好的合規文化和有效規范員工行為來建立起支撐業務高速發展的合規體系。近年來，陸續舉行了“合規促強大”、“牢記合規”、“整序興誠”等合規文化活動，建立了整改跟蹤與員工異常行為監控與舉報等合規機制。“一天的業務下來，都會有人檢查合規的落實情況。查出來就會上報。誰出了合規的問題，就要得到紅黃藍牌的處罰。這些制度、宣傳、活動、機制已逐步使合規成為大家的自覺行動。”代行長葉望春說。 　　內控評價體系 　　內控做得好不好，不是自己隨口說了算，而是必須遵循《企業內部控制基本規范》要求，建立健全內控評價體系。“內控評價實際上是給了大家一套方法，讓大家對履職過程中的風險和制度流程的控制力進行持續的評價。如果發現薄弱環節，就必須改進。”葉素蘭說。 　　為此，中國平安采取了相應的內控評價體系：一是合規部門指導業務部門進行自評；二是稽核監察部門的進行獨立評價，主要看業務部門的自評是否到位，然后進行抽查，看看是否存在內控缺陷；三是外部審計機構對內控情況的審計，并出具審計報告。 　　有了評價還要與考核掛鉤，平安的做法是將合規與風險狀況、內控評價結果融入KPI指標，進行考核與問責。通過實施紅黃藍牌處罰制度、員工違規行為處理執行標準、案件責任追究制度等進行事后懲戒。從經營成果真實性、經營行為合規性、內部控制有效性和經營決策科學性等方面形成管理層績效評價，作為考核晉職獎懲依據。評價之后是整改追蹤和外部機構的獨立審計和監督。 　　“內控不是某個部門的事情，也不是獨立于業務之外的東西，我們將制度融入流程里，流程融入系統里，這樣就很難違規。因為對業務流程的每個控制點如何，業務部門最清楚，真正提升內控的意識，人人有責，制度加執行，內控文化必須落到實處。”董事長馬明哲表示。 　　在平安看來，有效管控風險僅是基礎，樹立最高道德標準和企業典范，提升客戶、股東、員工與社會的信賴是平安風險管控工作更遠的目標，將信賴建立在制度與標準上，將信賴建立在流程與機制上，促進平安有效益可持續健康發展，為民族金融業的安全穩定、發展強大而不懈努力。他們是這樣想的，也正在這樣做。