商业银行内部控制指引

第五章　存款和柜台业务的内部控制

　　第七十二条　商业银行存款及柜台业务内部控制的重点是：对基层营业网点、要害部位和重点岗位实施有效监控，严格执行账户管理、会计核算制度和各项操作规程，防止内部操作风险和违规经营行为，防止内部挪用、贪污以及洗钱、金融诈骗、逃汇、骗汇等非法活动，确保商业银行和客户资金的安全。

　　第七十三条　商业银行应当严格执行账户管理的有关规定，认真审核存款人身份和账户资料的真实性、完整性和合法性，对账户开立、变更和撤销的情况定期进行检查，防止存款人出租、出借账户或利用存款账户从事违法活动。

　　第七十四条　商业银行应当严格管理预留签章和存款支付凭据，提高对签章、票据真伪的甄别能力，并利用计算机技术，加大预留签章管理的科技含量，防止诈骗活动。

　　第七十五条　商业银行应当对存款账户实施有效管理，建立和完善银行与客户、银行与银行以及银行内部业务台账与会计账之间的适时对账制度，对对账频率、对账对象、可参与对账人员等做出明确规定。

　　第七十六条　商业银行应当对内部特种转账业务、账户异常变动等进行持续监控，发现情况应当进行跟踪和分析。

　　第七十七条　商业银行应当对大额存单签发、大额存款支取实行分级授权和双签制度，按规定对大额款项收付进行登记和报备，确保存款等交易信息的真实、完整。

　　第七十八条　商业银行应当对每日营业终了的账务实施有效管理，当天的票据当天入账，对发现的错账和未提出的票据或退票，应当履行内部审批、登记手续。

　　第七十九条　商业银行应当严格执行“印、押、证”三分管制度，使用和保管重要业务印章的人员不得同时保管相关的业务单证，使用和管理密押、压数机的人员不得同时使用或保管相关的印章和单证。

　　使用和保管密押的人员应当保持相对稳定，人员变动应当经主管领导批准，并办好交接和登记手续。

　　人员离岗，“印、押、证”应当落锁入柜，妥善保管。

　　第八十条　商业银行应当对现金收付、资金划转、账户资料变更、密码更改、挂失、解挂等柜台业务，建立复核制度，确保交易的记录完整和可追溯。

　　柜台人员的名章、操作密码、身份识别卡等应当实行个人负责制，妥善保管，按章使用。

　　第八十一条　商业银行应当对现金、贵金属、重要空白凭证和有价单证实行严格的核算和管理，严格执行入库、登记、领用的手续，定期盘点查库，正确、及时处理损益。

　　第八十二条　商业银行应当建立会计、储蓄事后监督制度，配置专人负责事后监督，实现业务与监督在空间与人员上的分离。

　　第八十三条　商业银行应当认真遵循“了解你的客户”的原则，注意审查客户资金来源的真实性和合法性，提高对可疑交易的鉴别能力，如发现可疑交易，应当逐级上报，防止犯罪分子进行洗钱活动。

　　第八十四条　商业银行应当严格执行营业机构重要岗位的请假、轮岗制度和离岗审计制度。

　第六章　中间业务的内部控制

　　第八十五条　商业银行中间业务内部控制的重点是：开展中间业务应当取得有关主管部门核准的机构资质、人员从业资格和内部的业务授权，建立并落实相关的规章制度和操作规程，按委托人指令办理业务，防范或有负债风险。

　　第八十六条　商业银行办理支付结算业务，应当根据有关法律规定的要求，对持票人提交的票据或结算凭证进行审查，并确认委托人收、付款指令的正确性和有效性，按指定的方式、时间和账户办理资金划转手续。

　　第八十七条　商业银行办理结汇、售汇和付汇业务，应当对业务的审批、操作和会计记录实行恰当的职责分离，并严格执行内部管理和检查制度，确保结汇、售汇和收付汇业务的合规性。

　　第八十八条　商业银行办理代理业务，应当设立专户核算代理资金，完善代理资金的拨付、回收、核对等手续，防止代理资金被挤占挪用，确保专款专用。

　　第八十九条　商业银行应当对代理资金支付进行审查和管理，按照代理协议的约定办理资金划转手续，遵循银行不垫款的原则，不介入委托人与其他人的交易纠纷。

　　第九十条　商业银行应当严格按照会计制度正确核算和确认各项代理业务收入，坚持收支两条线，防止代理收入被截留或挪用。

　　第九十一条　商业银行发行借记卡，应当按照实名制规定开立账户。

　　对借记卡的取款、转账、消费等支付业务，应当制定并严格执行相关的管理制度和操作规程。

　　第九十二条　商业银行发行贷记卡，应当在全行统一的授信管理原则下，建立客户信用评价标准和方法，对申请人相关资料的合法性、真实性和有效性进行严格审查，确定客户的信用额度，并严格按照授权进行审批。

　　第九十三条　商业银行应当对贷记卡持卡人的透支行为建立有效的监控机制，业务处理系统应当具有实时监督、超额控制和异常交易止付等功能。

　　商业银行应当定期与贷记卡持卡人对账，严格管理透支款项，切实防范恶意透支等风险。

　　第九十四条　商业银行受理银行卡存取款或转账业务，应当对银行卡资金交易设置必要的监控措施，防止持卡人利用银行卡进行违法活动。

　　第九十五条　商业银行发卡机构应当建立和健全内部管理机制，完善重要凭证、银行卡卡片、客户密码、止付名单、技术档案等重要资料的传递与存放管理，确保交接手续的严密。

　　第九十六条　商业银行应当对银行卡特约商户实施有效管理，规范相关的操作规程和处理手续，对特约商户的经营风险或操作过失应当制定相应的应急和防范措施。

　　第九十七条　商业银行从事基金托管业务，应当在人事、行政和财务上独立于基金管理人，双方的管理人员不得相互兼职。

　　第九十八条　商业银行应当以诚实信用、勤勉尽责的原则保管基金资产，严格履行基金托管人的职责，确保基金资产的安全，并承担为客户保密的责任。

　　第九十九条　商业银行应当确保基金托管业务与基金代销业务相分离，基金托管的系统、业务资料应当与基金代销的系统、业务资料有效分离。

　　第一百条　商业银行应当确保托管基金资产与自营资产相分离，对不同基金独立设账，分户管理，独立核算，确保不同基金资产的相互独立。

　　第一百零一条　商业银行应当严格按照会计制度办理基金账务核算，正确反映资金往来活动，并定期与基金管理人等有关当事人就基金投资证券的种类、数量等进行核对。

　　第一百零二条　商业银行开展咨询顾问业务，应当坚持诚实信用原则，确保客户对象、业务内容的合法性和合规性，对提供给客户的信息的真实性、准确性负责，并承担为客户保密的责任。

　　第一百零三条　商业银行开办保管箱业务，应当在场地、设备和处理软件等方面符合国家安全标准，对用户身份进行核验确认。

　　对进入保管场地和开启保管箱，应当制定相应的操作规范，明确要求租用人不得在保管箱内存放违禁或危险物品，防止利用商业银行场地保管非法物品。

　　第七章　会计的内部控制

　　第一百零四条　商业银行会计内部控制的重点是：实行会计工作的统一管理，严格执行会计制度和会计操作规程，运用计算机技术实施会计内部控制，确保会计信息的真实、完整和合法，严禁设置账外账，严禁乱用会计科目，严禁编制和报送虚假会计信息。

　　第一百零五条　商业银行应当依据企业会计准则和国家统一的会计制度，制订并实施本行的会计规范和管理制度。

　　下级机构应当严格执行上级机构制定的会计规范和管理制度，确保统一的会计规范和管理制度在本行得到实施。

　　第一百零六条　商业银行应当确保会计工作的独立性，确保会计部门、会计人员能够依据国家统一的会计制度和本行的会计规范独立地办理会计业务，任何人不得授意、暗示、指示、强令会计部门、会计人员违法或违规办理会计业务。

　　对违法或违规的会计业务，会计部门、会计人员有权拒绝办理，并向上级机构报告，或者按照职权予以纠正。

　　第一百零七条　商业银行会计岗位设置应当实行责任分离、相互制约的原则，严禁一人兼任非相容的岗位或独自完成会计全过程的业务操作。

　　第一百零八条　商业银行应当明确会计部门、会计人员的权限，各级会计部门、会计人员应当在各自的权限内行事，凡超越权限的，须经授权后，方可办理。

　　第一百零九条　商业银行应当对会计账务处理的全过程实行监督，会计账务应当做到账账、账据、账款、账实、账表和内外账的六相符。

　　凡账务核对不一致的，应当按照权限进行纠正或报上级机构处理。

　　第一百一十条　商业银行应当对会计主管、会计负责人实行从业资格管理，建立会计人员档案。

　　会计主管、会计负责人和会计人员应当具有与其岗位、职位相适应的专业资格或技能。

　　第一百一十一条　商业银行下级机构会计主管的变动应当经上级机构会计部门同意。

　　会计人员调动工作或离职，应当与接管人员办清交接手续，严格执行交接程序。

　　第一百一十二条　商业银行应当对会计人员实行强制休假制度，联行、同城票据交换、出纳等重要会计岗位人员和会计主管还应当定期轮换，落实离岗(任)审计制度。

　　第一百一十三条　商业银行应当实行会计差错责任人追究制度，发生重大会计差错、舞弊或案件，除对直接责任人员追究责任外，机构负责人和分管会计的负责人也应当承担相应的责任。

　　第一百一十四条　银行应当做到会计记录、账务处理的合法、真实、完整和准确，严禁伪造、变造会计凭证、会计账簿和其他会计资料，严禁提供虚假财务会计报告。

　　第一百一十五条　商业银行应当建立规范的信息披露制度，按照规定及时、真实、完整地披露会计、财务信息，满足股东、监管当局和社会公众对其信息的需求。

　　第一百一十六条　商业银行应当完善会计档案管理，严格执行会计档案查阅手续，防止会计档案被替换、更改、毁损、散失和泄密。

　　第八章　计算机信息系统的内部控制

　　第一百一十七条　商业银行计算机信息系统内部控制的重点是：严格划分计算机信息系统开发部门、管理部门与应用部门的职责，建立和健全计算机信息系统风险防范的制度，确保计算机信息系统设备、数据、系统运行和系统环境的安全。

　　第一百一十八条　商业银行应当明确计算机信息系统开发人员、管理人员与操作人员的岗位职责，做到岗位之间的相互制约，各岗位之间不得相互兼任。

　　各级机构应当配备计算机安全管理人员，明确计算机安全管理人员的职责。

　　第一百一十九条　商业银行应当对计算机信息系统的项目立项、开发、验收、运行和维护整个过程实施有效管理，开发环境应当与生产环境严格分离。

　　技术部门与业务部门之间应当进行沟通协调，确保系统的整体安全。

　　第一百二十条　商业银行购买计算机软、硬件设备，应当对供应商的资格条件进行严格审查，在使用前进行试用性安全测试，明确产品供应商对产品在使用期间应当承担的责任，确保产品的正常使用和有效维护。

　　第一百二十一条　商业银行计算机机房建设应当符合国家的有关标准，出入计算机机房应当有严格的审批程序和出入记录，确保计算机硬件、各种存储介质的物理安全。

　　计算机机房和营业网点应当有完备的计算机监控系统，确保计算机终端的正常使用。

　　第一百二十二条　商业银行应当建立和健全网络管理系统，有效地管理网络的安全、故障、性能、配置等，并对接入国际互联网实施有效的安全管理。

　　第一百二十三条　商业银行应当对计算机信息系统实施有效的用户管理和密码(口令)管理，对用户的创建、变更、删除、用户口令的长度、时效等均应当有严格的控制。

　　员工之间严禁转让计算机信息系统的用户名或权限卡，员工离岗后应当及时更换密码和密码信息。

　　第一百二十四条　商业银行应当对计算机信息系统的接入建立适当的授权程序，并对接入后的操作进行安全控制。

　　输入计算机信息系统的数据应当核对无误，数据的修改应当经过批准并建立日志。

　　第一百二十五条　商业银行应当及时更新系统安全设置、病毒代码库、攻击特征码、软件补丁程序等，通过认证、加密、内容过滤、入侵监测等技术手段，不断完善安全控制措施，确保计算机信息系统的安全。

　　第一百二十六条　商业银行的网络设备、操作系统、数据库系统、应用程序等均应当设置必要的日志。

　　日志应当能够满足各类内部和外部审计的需要。

　　第一百二十七条　商业银行应当严格管理各类数据信息，数据的操作、数据备份介质的存放、转移和销毁等均应当有严格的管理制度。

　　第一百二十八条　商业银行运用计算机处理业务，应当具有可复核性和可追溯性，并为有关的审计或检查留有接口。

　　第一百二十九条　商业银行的电子银行服务应当具备客户身份识别、安全认证等功能，防止发生泄密事件，确保交易安全。

　　第一百三十条　商业银行应当尽可能利用计算机信息系统的系统设定，防范各种操作风险和违法犯罪行为。

　　第一百三十一条　商业银行应当建立计算机安全应急系统，制定详细的应急方案，并定期进行修订和演练。

　　数据备份应当做到异地存放，应当建立异地计算机灾难备份中心。

　　第九章　内部控制的监督与纠正

　　第一百三十二条　商业银行应当指定不同的机构或部门分别负责内部控制的建设、执行和内部控制的监督、评价。

　　内部控制的建设、执行部门负责设计内部控制体系，组织、督促各业务部门、分支机构建立和健全内部控制。

　　内部控制的监督、评价部门负责组织检查、评价内部控制的健全性和有效性，督促管理层纠正内部控制存在的问题。

　　第一百三十三条　商业银行应当建立内部控制的报告和信息反馈制度，业务部门、内部审计部门和其他控制人员发现内部控制的隐患和缺陷，应当及时向董事会、管理层或相关部门报告。

　　第一百三十四条　商业银行内部控制的监督、评价部门应当对内部控制的制度建设和执行情况定期进行检查评价，提出改进建议，对违反规定的机构和人员提出处理意见。

　　第一百三十五条　商业银行上级机构应当根据自身掌握的内部控制信息，对下级机构的内部控制状况定期做出评价，并将评价结果作为经营绩效考核的重要依据。

　　第一百三十六条　商业银行应当建立内部控制问题和缺陷的处理纠正机制，管理层应当根据内部控制的检查情况和评价结果，提出整改意见和纠正措施，并督促业务部门和分支机构落实。

　　第一百三十七条　商业银行应当建立内部控制的风险责任制：

　　(一)董事会、高级管理层应当对内部控制的有效性负责，并对内部控制失效造成的重大损失承担责任。

　　(二)内部审计部门应当对未执行审计方案、程序和方法导致重大问题未能被发现，对审计发现隐瞒不报或者未如实反映，审计结论与事实严重不符，对审计发现问题查处整改工作跟踪不力等行为，承担相应的责任。

　　(三)业务部门和分支机构应当及时纠正内部控制存在的问题，并对出现的风险和损失承担相应的责任。

　　(四)高级管理层应当对违反内部控制的人员，依据法律规定、内部管理制度追究责任和予以处分，并承担处理不力的责任。