商业银行内部控制评价试行办法

　　第二十六条　管理评审。

　　董事会应采取措施保证定期对内部控制状况进行评审，确保体系得到持续、有效的改进。

　　（一）管理评审应包括以下方面的内容：

　　1.内部控制体系评价的结果。

　　2.内部控制政策执行情况和内部控制目标实现情况。

　　3.对内部控制体系有重要影响的外部信息，如法律、法规的重大变化。

　　4.组织结构的重大调整。

　　5.事故和险情以及重大纠正和预防措施的状况。

　　6.以往管理评审的跟踪情况。

　　7.内部控制体系改进的建议。

　　（二）管理评审应就以下方面提出改进措施并落实：

　　1.内部控制体系及其过程的改进。

　　2.内部控制政策、目标的变更。

　　3.与内部控制有关资源的需求。

　　第二十七条　持续改进。

　　商业银行应利用内部控制政策、内部控制目标、评价结果、绩效监测和数据分析、纠正和预防措施以及管理评审等，持续提高内部控制体系有效性。

第五节　信息交流与反馈

　　第二十八条　交流与沟通。

　　商业银行应建立并保持信息交流与沟通的程序，明确对财务、管理、业务、重大事件和市场信息等相关信息识别、收集、处理、交流、沟通、反馈、披露的渠道和方式。

　　商业银行应识别其内部和外部的风险相关方，考虑他们的要求和目标，建立与这些相关方进行信息交流的机制，确保：

　　（一）董事会和高级管理层能够及时了解业务信息、管理信息以及其他重要风险信息。

　　（二）所有员工充分了解相关信息、遵守涉及其责任和义务的政策和程序。

　　（三）险情、事故发生时，相关信息能得到及时报告和有效沟通。

　　（四）及时、真实、完整地向监管机构和外界报告、披露相关信息。

　　（五）国内外经济、金融动态信息的取得和处理，并及时把与企业既定经营目标有关的信息提供给各级管理层。

　　信息交流与沟通应考虑信息的安全性和保密性要求。相关信息报告、发布、披露应经过授权。

　　为保持信息交流沟通的可追溯性，必要时，应保持相关信息交流与沟通的记录。

　　第二十九条　内部控制体系对文件的要求。

　　建立和保持文件化体系是实现信息交流与反馈的重要途径。商业银行应建立并保持必要的内部控制体系文件，包括：

　　（一）对内部控制体系要素及其相互作用的描述。

　　（二）内部控制政策和目标。

　　（三）关键岗位及其职责与权限。

　　（四）不可接受的风险及其预防和控制措施。

　　（五）控制程序、作业指导、方案和其他内部文件。

　　第三十条　文件控制。

　　商业银行应建立并保持书面程序，以确保内部控制体系所要求的文件满足下列要求：

　　（一）易于查询。

　　（二）实施前得到授权人的批准。

　　（三）定期评审，必要时予以修订并由授权人员确认其适宜性。

　　（四）所有相关岗位都能得到有效版本。

　　（五）失效时，及时从所有发放处和使用处收回，或采取其他措施防止误用。

　　（六）及时识别、处置外来文件并进行标识，必要时转化为内部文件。

　　（七）留存的档案性文件和资料应予以适当标识。

　　第三十一条　记录控制。

　　商业银行应建立并保持书面程序，以规定内部控制相关活动中所涉及记录的标识、生成、贮存、保护、检索、保存期限和处置。

　　记录应保持清晰、易于识别和检索，以提供符合要求和内部控制体系有效运行的证据，并可追溯到相关的活动。

第四章　评价程序和方法

　　第三十二条　内部控制评价程序一般包括评价准备、评价实施、评价报告形成和反馈等步骤。

　　第三十三条　评价准备。

　　组成评价组。评价组应考虑组成人员的背景和能力。必要时，可聘请业务或管理方面的专家。

　　制订评价实施方案。实施方案应明确本次评价的目的、范围、准则、时间安排和相应的资源配置。

　　准备必要的工作文件。主要包括评价问卷、抽样计划、被评价机构的内部控制体系文件及相关记录等。

　　在现场评价前应先与被评价机构建立初步联系，以便确认有关评价事项和安排。

　　第三十四条　评价实施。

　　评价组应按照既定的评价方案实施评价。在评价实施中应就评价组内部以及评价组与被评价机构之间的沟通做出正式安排，通过适当的方法收集与评价目的、范围和准则有关的信息，根据评价方案对被评价项目进行测试，对有关数据进行确认和分析，并予以记录。

　　评价实施的具体方法见第三十九条至四十三条。

　　第三十五条　评价报告形成。

　　评价组根据评价实施情况，撰写评价报告，应重点分析以下方面：

　　（一）被评价机构内部控制体系现状、存在问题及趋势分析。

　　（二）同类银行比较。

　　（三）监管建议。

　　（四）可能的谅解因素。