上市银行内部控制实质性漏洞问卷调查与分析.doc

上市银行内部控制实质性漏洞问卷调查与分析* 本文为国家社会科学基金项目中国上市银行内部控制实质性漏洞评价体系与风险预警机制研究（项目批准号：10CJY012）及教育部人文社会科学研究青年项目中国上市银行内部控制实质性漏洞信息披露机制研究：基于公司治理及银行监管视角（项目号：09YJC790219）的阶段性成果。瞿 旭 杨 丹 瞿彦卿 School of Accountancy Southwestern University of finance and economics瞿 旭 作者1，西南财经大学会计学院副教授，博士学位。主要研究方向为内部控制、公司治理、环境审计等。 副教授 单位:西南财经大学会计学院通讯地址：四川省成都温江市（县） 柳台大道（路） 555 号邮编:610041电话:[phone]Email：quxu18yahoo。com。cn杨 丹 作者3，西南财经大学会计学院硕士研究生单位：西南财经大学会计学院通讯地址：四川省 成都温江市(县) 柳台大道（路) 555 号邮编：611130电话：[phone]瞿彦卿 作者2，西南财经大学会计学院硕士研究生 （通讯作者）单位：西南财经大学会计学院通讯地址:四川省 成都温江市(县） 柳台大道（路) 555 号邮编：611130电话：[phone]E-mail: quyanqinggmail。com上市银行内部控制实质性漏洞问卷调查与分析* 本文为国家社会科学基金项目中国上市银行内部控制实质性漏洞评价体系与风险预警机制研究（项目批准号：10CJY012）及教育部人文社会科学研究青年项目中国上市银行内部控制实质性漏洞信息披露机制研究：基于公司治理及银行监管视角（项目号：09YJC790219）的阶段性成果。摘要：实质性漏洞是内部控制理论重要组成部分，及时发现、应对实质性漏洞有利于优化上市银行公司治理和提高监管效率。基于内部控制理论，本文设计了由管理监督与控制文化、风险识别与评估、控制活动与职责分工、信息与交流、监督评审与纠正5个主层次以及22个次级层构成的评价体系,对上市银行实质性漏洞进行了调查，并采用李克特量表法（Likert scales) 分析.问卷分析结果表明：上市银行中控制活动与职责划分是最重要的内部控制组成部分，是实质性漏洞影响最严重的区域；其次是风险评估、管理监督与控制文化与监督评审与纠正措施；信息与交流沟通实质性漏洞影响较轻.关键词：内部控制 实质性漏洞 问卷调查 上市银行 JEL分类号: G21，M41，M49The Analysis of Questionnaire Survey on Material Weakness in Listed Banks Internal ControlAbstract: Material weaknesses have become an important part of the theory of internal control。 Detecting material weakness and protecting against them could be helpful for banks to improve corporate governance and promote supervision efficiency. Based on internal control theory， we use the framework from Basle committee on Banking Supervision to form an integral evaluating system。 Under this system， we explore the material weaknesses in listed banks internal control by using questionnaire survey and analyze the result by using Likert scales. The findings show that control activities and segregation of duties are most important and being most affected in the listed banks internal control while information and communication is the least. Key words: internal control， material weakness， questionnaire survey, listed banksJEL Classification： G21，M41,M49上市银行内部控制实质性漏洞问卷调查与分析* 本文为国家社会科学基金项目中国上市银行内部控制实质性漏洞评价体系与风险预警机制研究（项目批准号：10CJY012）及教育部人文社会科学研究青年项目中国上市银行内部控制实质性漏洞信息披露机制研究：基于公司治理及银行监管视角（项目号：09YJC790219）的阶段性成果。摘要：实质性漏洞是内部控制重要组成部分，及时发现、应对实质性漏洞有利于优化上市银行公司治理和提高监管效率.基于内部控制理论,本文设计了由管理监督与控制文化、风险识别与评估、控制活动与职责分工、信息与交流、监督评审与纠正5个主层次以及22个次级层构成的评价体系，对上市银行实质性漏洞进行了调查,并采用李克特量表法(Likert scales) 分析。问卷分析结果表明:上市银行中控制活动与职责划分是最重要的内部控制组成部分，是实质性漏洞影响最严重的区域；其次是风险评估、管理监督与控制文化与监督评审与纠正措施;信息与交流沟通实质性漏洞影响较轻。关键词：内部控制 实质性漏洞 问卷调查 上市银行 一、研究背景实质性漏洞概念源于美国安然公司破产案,政府决定对资本市场严格监管，成立PCAOB.随后PCAOB发布审计准则第2号（AS2），提出实质性漏洞（material weakness）概念,将其定义为“有一定可能导致年度或中期报告中的重大错报未被防止或发现的一个重大缺陷或多个重大缺陷的组合”，它比传统内部控制重大缺陷更严重(瞿旭等，2009）.因为实质性漏洞将极大地扭曲财务报告信息，误导投资者错误决策，PCAOB要求所有美国上市公司必须评价内部控制状况，如果存在实质性漏洞，应在财务报告中予以披露.尽管我国对实质性漏洞没有提出硬性的制度要求，但我国颁布的诸多上市银行内部控制相关法律法规从一定层面上包含了对实质性漏洞的规定。内部控制作为银行的“免疫系统， 如果银行内控体系存在“实质性漏洞，会妨碍上市银行抵御内外部风险，对上市银行的稳健经营进行有效控制产生重大障碍，其公司治理与外部监管的有效性将难以保证.由于上市银行在中国金融体系占据核心地位，对市场经济发展起着关键作用,其非正常经营会产生“蝴蝶效应”,存在负外部性；同时杠杆化经营、金融中介功能、借入资产与贷出资产期限与结构不匹配决定了银行存在内生脆弱性(Diamond and Rajan，2002),银行经营存在高风险，风险控制是银行生存发展的基础。随着对银行内部控制研究的深入,实质性漏洞日益受到理论界和实务界的关注。本文通过问卷调查和访谈,研究分析我国上市银行内部控制与风险管理中的实质性漏洞情况；为完善上市银行内控管理和监管机构加强上市银行监管提供若干建议.二、问卷设计（一）实质性漏洞基础和指标选择本次问卷调查设计基于巴塞尔银行监管委员会1998年发布的银行机构内部控制框架，通过对大量银行经营失败案例的研究，委员会将成员国有问题银行内部缺陷分为五类：（1）管理监督与控制文化.（2）风险识别与评估。(3)控制活动与职责分工。（4）信息与交流。（5）监督评审活动与纠正措施。杨军、陈朝豹(2003）比较了美国COSO报告确立的内控五要素与巴塞尔委员会的经验总结,发现它们的认识是基本一致的:普遍认为五大要素部分构造了银行内部控制系统的整体框架。表一:巴塞尔内控要素与COSO比较巴塞尔要素经验总结COSO确立的内控要素管理监督与控制文化控制环境风险识别与评估风险评估控制活动与职责分工控制活动信息与交流信息与交流监督评审活动与纠正措施监督评审资料来源：巴塞尔(1998）,杨海群（2001）以上两个权威机构的比较研究表明,五要素法是目前最优的评价内部控制的方法，本文运用五要素法设计问卷，探寻识别上市银行内部控制与风险管理中的实质性漏洞，并加以具体分析.1. 管理监督与控制文化管理监督与控制文化是所有要素的基础，良好的管理监督与控制文化对于银行内部控制机制中实质性漏洞格外敏感，有利于内部控制系统的动态运行和各个要素之间相互联系、补充。由于管理监督和控制文化的基础性作用，其存在实质性漏洞会给银行造成严重的影响。主要包括:管理者责任与理念、岗位责任制、人力资源政策、内部控制文化、公司治理结构、组织结构。2. 风险识别与评估风险识别与评估是银行计量信用风险、市场风险、法律风险的过程,是风险应对的基础。如果计量过程中的内部控制存在实质性漏洞，风险信息被错误传递，管理层的决策基础偏离，对于任何银行的打击可能是毁灭性.其主要包括：风险管理组织架构、信用风险评估、市场风险评估、操作风险与合规评估.3. 控制活动与职责分工控制活动的有效实施在一定程度上能降低银行经营不确定性，强化银行抵御风险的能力.恰当职责分工可能是最有效的控制活动,确保工作职责之间不应产生冲突.基于整个银行控制活动系统观，每一个控制活动中的实质性漏洞不仅影响其所对应风险,更会影响控制系统。主要包括：授权管理岗位分离、岗位分离风险控制、经营风险管理、财务会计风险控制、运行管理风险控制。4。 信息与交流信息与交流在内部控制系统中作用如同联系控制系统机能各部分的网络，银行内部各级管理层之间缺乏充分的信息交流，内部控制有效性无法得到保证。因为董事会和管理层可能不明白银行目前承担经营风险和运营状况，因此应防止在信息交流与沟通方面出现实质性漏洞。它主要包括:管理层与治理层沟通、信息上报处理机制、部门之间交流沟通、外部信息交流。5. 监督评审活动与纠正措施监督评审活动与纠正措施通过持续的监控活动、个别评价或是两者结合的方式完成，是整个系统运行的反馈环节,构成系统循环,监督评审活动与纠正措施的有效性直接关系到能否实质性漏洞的识别与应对。它主要包括：经营管理部门、内外部检查、信贷作业监督、前台业务。根据以上关于银行内部控制各个要素分析，我们设计了银行内部控制实质性漏洞问卷调查，问卷由5个主层次和22个次层及其细化指标构成(见图一）。图一：银行内部控制实质性漏洞问卷调查项目图监督评审与纠正措施控制活动与职责划分风险识别与评估管理层与治理层沟通管理层理念、规章制度、通知下达信息上报处理机制度、程序、请示、措施部门间交流沟通交流制度、频率、正式程度。外部信息交流协查客户、违规披露职责划分职责、权力有无冲突授权管理授权流程、政策经营业务风险控制信贷资产、票据融资、贸易融资与结算汇、银行卡、电子银行、中间业务财务会计控制审批、入账、报账、挂账、报表编制运行管理控制空白凭证、印章、协议条款、资料的控制管理者责任与理念诚信道德价值观念，经营理念与风格人力资源政策招聘、培训、绩效薪酬内部控制文化组织文化一部分，是否支持内部控制公司治理结构董事会监督独立性、监事会独立监察、内外部审计沟通平衡机制组织结构设计信息沟通的机制性障碍风险管理组织架构风险管理机构设置、报告路径、总部与地方分支信用风险评估信贷风险识别、越权审批、客户评级与授信市场风险评估利率、汇率风险识别计量、趋势判断操作风险与合规评估违规操作、内外部欺诈管理监督与控制文化信息与沟通经营管理部门检查监督机制、频率、覆盖面、报告路径、处罚、跟踪情况内外部检查整改工作、发现问题落实情况、处理机制信贷作业监督监督岗位设置、人员配备、档案资料完整、防控措施前台业务岗位分离、监督三、调查方法与过程本次调查以向上市银行高管及核心员工发放问卷进行，共100份问卷.截止2010年5月13日总共回收问卷67份,有效回收率达到67。调查对象均任职于银行业重要岗位,包括上市的国有三大银行、全国性区域性银行以及上市的地方银行，来自于银行各个不同部门，包括财务部、风险管理部、零售银行部、企业银行部、资金部以及发展规划部等。回收问卷后,通过对比分析问卷调查结果,未发现系统性偏差,信度和效度得以保证.四、实质性漏洞调查结果分析本问卷采用李克特量表法（ Likert scales）,对每一个指标分别从两个方面进行调查：(1）发生频率调查。（2）严重程度调查.每一个指标有五个选项（很不严重、不严重、一般、比较严重、非常严重).上面两个方面调查的每一个选项根据被调查者评分被赋予了相应的选项漏洞等级（1、2、3、4、5)，每个指标都根据受访者的分数进行汇总统计，以此对上市银行各方面实质性漏洞进行分析。本次问卷总体统计情况见表二。表二：上市银行实质性漏洞问卷调查总体概貌 上市银行内部控制实质性漏洞及披露机制问卷调查项目得分项目问题数影响程度管理监督与控制文化44。03ABCDE1。1 管理者责任46。1111 1。2 人力资源政策43。206 1.3 内部控制文化41。925 1.4 公司治理结构45。604 1.5 组织构架43。317 风险识别与评估44.302。1 风险管理组织构架44。994 2.2 信用风险管理状况44。6420 2.3 市场风险管理44.089 2。4 操作风险和合规风险控制43。4519 控制活动与职责划分48。11*3.1 授权管理控制48。263 3。2 岗位分离风险控制51.6514 3。3 经营业务风险控制48。351803。4 财务会计控制45.33233。5 运行管理控制46。9361监督评审与纠正措施43。064。1 经营管理部门42。708 4.2 内外部检查42。403 4。3 信贷作业监督42.804 4。4 前台业务44。325 信息与交流沟通38.395。1 管理层与治理层40。404 5。2 信息上报处理机制37.445 5。3 部门之间36.533 5。4 外部信息交流39。208 注:加的表示由次级项目计算的平均值。（一）总体性分析为了对上市银行实质性漏洞现状有一个整体的把握，我们设计了银行内部控制实质性漏洞评价指数。该指数是根据问卷中对管理监督与控制文化、风险识别与评估、控制活动与职责划分、监督评审与纠正措施、信息与交流沟通五个方面的重要性和频率程度得分汇总并乘以相应权重所得。 细化指标漏洞权重 = 选项分数 选项分数二级项目漏洞指数= (细化指标选择人数 细化指标漏洞权重）一级项目漏洞指数 = 二级项目漏洞指数 二级项目个数 根据等级分数设置，选项漏洞程度最高的权重为33。33；选项漏洞程度非常高的权重为26.27%；选项漏洞程度高的权重为20;选项漏洞程度中等的权重为13。33%；选项漏洞程度较轻的权重为6.67%。同时我们将实质性漏洞水平划分为A（最高）、B(非常高)、C（高)、D（中等)、E(较轻)五个层次，其分数依次对应50以上48，4846,4644,4442，4240以下，通过漏洞指数对上市银行实质性漏洞进行总括性分析与分项分析.通过对回收的67份问卷调查统计，得到管理监督与控制文化漏洞指数为44。03，风险识别与评估漏洞指数为44。30,控制活动与职责划分漏洞指数为48。11，监督评审与纠正措施漏洞指数为42。88，信息与交流沟通漏洞指数为38。15。调查结果显示,控制活动与职责划分是最重要的内部控制组成部分，是A类实质性漏洞影响最严重的区域。其次是风险评估、管理监督与控制文化与监督评审与纠正措施，相比较，信息与交流沟通要素的实质性漏洞影响较轻。（二）分项分析1管理监督与控制文化调查结果表明，在内部控制环境中,管理者责任与公司治理结构对上市银行内控环境影响(46。11）最大，我们从中选取了最容易出现实质性漏洞的2个项目进行分析.（1）管理者责任（最高层基调）管理者责任中项目百分比分析见表三. 表三：管理者责任百分比分析表 单位:编号调查项目摘选很不严重不严重一般比较严重非常严重1.1.1管理者不重视内控工作,未对经营管理中的内控风险分析、研究,措施缺乏针对性11。7610.355.7724。4964。871。1。4制定的规则与程序存在明显的缺陷0。009.325.1454.1547.241。1。5未按规定和程序进行决策5。8810.0333.4633.5250。421。1.10内控组织机构职责存在明显缺陷5。889。9716。6153.1042。45问卷调查与访谈结果显示,银行管理者在内部控制制度建设、方案执行与监督方面起到不可替代的作用，有64。87%的人认为管理者对内控工作的缺失造成的实质性漏洞非常严重.管理者的基调，如自身的诚信与道德价值观念，经营理念与风格等严重影响到银行整体对于内部控制的重视程度.调查者表示，高级管理者对于内部控制的重视并不仅体现在制定内部控制制度的政策与程序，合理架构内控组织机构,同时还需将内部控制与风险管理机制嵌入银行日常经营过程中，持续向职员强调内部与风险管理对于银行实现目标的重要性。(2）公司治理结构公司治理中项目百分比分析见表四。 表四:公司治理百分比分析表 单位：编号调查项目摘选很不严重不严重一般比较严重非常严重1。5。1股东大会、董事会、监事会及下设的议事和决策机构设置不合理,议事规则和决策程序有明显缺陷0.0014。0616。3632。6158.071。5。2董事会和董事、监事会和监事、高级管理层和高级管理人员在内部控制中责任不明确0.0014。2927。7846.1542.861.5.4外部监事制度存在缺陷，未能对董事会、董事、高级管理层级成员进行监督0。0024。3538。6352.4522。06调查结果表明，在内部控制环境中，公司治理结构重要性仅次于管理者责任.尽管我国上市银行改革以及金融开放化以来，银监会成立、注资重组、引入战略投资者、各部委颁布的规范上市银行公司治理的法规极大程度上改善了银行公司治理结构，但是上市银行公司治理结构仍然存在问题。58.07的人认为股东大会、董事会、监事会以及下设的议事和决策机构设置不合理,议事规则和决策程序有明显实质性漏洞，且非常严重。42。86的人认为董事会和董事、监事会和监视、高级管理层和管理人员在内部控制中权责分配不明确的实质性漏洞非常严重。还有52.45%的人认为独立董事与监事制度存在的缺陷比较严重。（二）风险识别与评估上市银行由于其经营的特殊性，更为偏向以风险为基础的内部控制。根据2004年修正的新巴塞尔资本协议，银行面临的主要风险包括：信用风险、市场风险、操作风险与法律风险。有效利用内部控制应对和防范这些风险时,首要步骤是风险识别与评估.调查结果显示，风险识别与评估环节得分为44。30，综合影响程度超过管理监督与控制文化，其四类风险具体的实质性漏洞情况如表四。表四:风险识别与评估实质性漏洞重要项目摘选编号项目项目分析信用风险：得分等级频率损失2。2。1未能按规定方法和要求对各类信贷资产风险进行识别48A2.2。8存在越权审批信用等级或授信情况51。20 A2.2。9存在违规提高信用等级或提高综合授信情况48。80 A2。2。13未按要求对集团关联客户进行集中管理与统一授信46。40 B市场风险：2。3。1市场风险委员会或确认的市场风险46。40 B牵头管理部门未按规定履行职责2。3。4对风险因素未判断变化趋势44.00 C2.3.5主要市场风险因素变化时未及时制定风险防范措施48。00 A2.3。6未规定资金头寸控制流程与规则43。20 D操作风险与法律风险：2。4。2风险监控指标未按规定进行监测、计量与预算其变化45。60 C2。4。3对违规操作、内外部欺诈等操作风险事项未进行评估46。40 B2。4。6操作风险因素发生变化时未制定相应的风险防范措施48。80 A注：打的项目表示我们调查发现发生频率和损失较大的项目.从调查结果摘取的列表中可以看出，信用风险依然是最重要的风险，漏洞等级最高，有三项是A类评定。其中存在越权审批信用等级或授信情况的实质性漏洞最为严重，达到51.20；违规提高信用等级或提高综合授信、未能按规定方法和要求对各类信贷资产风险进行识别的实质性漏洞情况也比较严重，分别为48和48。80。这与上市银行通过不同手段非客观性地调整风险评级，致使信用风险不断积聚有关.市场风险控制缺陷有增加的趋势，主要体现在两方面：市场风险委员会或确认的市场风险牵头管理部门未按规定履行职责,其漏洞指数为46.4；未按规定方法和要求对利率、汇率风险识别与计量，其漏洞指数高达48。操作风险中的实质性漏洞主要是操作风险因素发生变化时未制定相应的风险防范措施,其漏洞指数为48。80。分析问卷调查结果，市场风险、操作风险漏洞产生于职员道德风险与专业胜任能力不足，这反映出人力资源政策、职业道德守则等存在问题。（三)控制活动与职责划分根据规定，银行董事会负有监督管理层设计实施有效控制政策、维护银行正常运营的职责。管理层应该在董事会监督下建立有效的控制结构，保持控制活动能够及时、准确地做出风险反应。从调查问卷总体性分析中可知，控制活动是内部控制系统五要素中影响最为重大的实质性漏洞，得分46。50。控制活动中,最重要的实质性漏洞又为职责划分（岗位分离制）以及不恰当的授权管理，漏洞等级评定均为A类，得分为51。66,48。27，其次是各类具体业务漏洞。然而各项具体业务存在的最大问题仍然体现在岗位分离制缺失，因此我们将分析重点放在岗位分离制缺失（见表五）.表五:岗位分离中重要的实质性漏洞项目编号项目得分等级项目分析频率损失3。2。1资金营运、财务会计等重要业务岗位未适当分离54。4A3。2。2资金营运、财务会计等存在缺漏岗或兼职岗情况53.32A3.2.3电子银行岗位未设置管理员、操作员、与主管柜员、记账员审核未恰当分离51.20A3。2。7运行岗位设置上,汇票业务印、押、证未分离56。79A3.2.8业务公章、本票专用章同其他配套空白凭证未岗位分离55。87A3。2。10办理同城业务的经办员、复核员与交换员未分离54。4A3。2。12管库员与库守员、调款员、记账柜员未分离55。99A注：打的项目表示我们调查发现发生频率和损失较大的项目.通过问卷调查，上市银行岗位责任制出现的实质性漏洞主要两方面包括：部门、机构职责不符合横向与纵向相互监督的要求；岗位设置不符合职责分离和内控要求。现实中，岗位责任制分离不当是发生最频繁和破坏程度较高的实质性漏洞.从表六看各细化项目的漏洞得分都在50以上,说明上市银行在岗位分离上的实质性漏洞很严重。其中运行岗位设置上，汇票业务印、押、证未分离最为严重，漏洞指数为56.79；业务公章、本票专用章同其他配套空白凭证未岗位分离和管库员与库守员、调款员、记账柜员未分离漏洞现象也很明显，其漏洞指数分别为56。79和55。99，表明上市银行在运营过程中职责权限划分存在漏洞,没有严格按照规定实施岗位分离制度.（四）信息交流与沟通问卷调查结果显示，信息交流与沟通得分为37.85,在所有五项要素中是最低的.我们认为信息交流与沟通方面的实质性漏洞被低估了.巴塞尔委员会研究失败银行的案例，发现大多数是由于银行内部缺乏充分的信息交流,尤其在问题上报方面所致.所以高层管理者应确保信息传递过程中不存在实质性漏洞以充分掌握财务、经营状况、以及影响决策的事件条件的内外部信息。上市银行信息交流与沟通重要实质性漏洞见表六。表六：信息交流与沟通重要实质性漏洞编号项目得分等级管理层与治理层沟通活动：40。02 5。1。2管理层理念要求未能按规定方式和途径传达到相关人员39。21E5。1.3规章制度、管理办法、通报、通知等未能按照文件40.82D要求为相关部门、相关人员所获知信息上报处理机制36。17*5.2。1未建立信息上报处理制度36。01E5.2。4辖属机构和员工请示、反映问题未能按照制度规定受理36。33E外部信息交流:39。395.4。2外部信息获取不及时、不完整36。23E5.4。4违反规定对外披露有关信息42.56A跟踪反馈和投诉举报38.02E5。7。2未对下级行请示及时、明确回复38.02E表六显示,信息交流与沟通尽管被低估,仍然表明存在实质性漏洞,其中管理层与治理层之间的沟通活动的实质性漏洞影响最为严重,其漏洞指数为40.02,其次是外部信息交流、跟踪反馈与举报机制以及信息上报处理机制，分别为39.39、38.02、36。17。（五）监督评审活动与纠正措施监督评审与纠正活动为银行提供了独立评估银行内部控制与风险控制的机会，有利于发现、纠正内部控制中的实质性漏洞、重大缺陷以提出、实施应对措施,维护内部控制系统正常运行.巴塞尔委员会认为,日常的独立评估活动成为操作环境一部分并具有定期审查报告时，监督是最有效的。我国上市银行监督与评审活动中重要的实质性漏洞项目见表七。表七:监督与评审活动中重要的实质性漏洞项目编号摘选项目得分等级经营管理部分4。1.1未建立检查监督制度47。20B4.1。5检查监督未制定完善的检查计划和方案40.00E内外部检查4。2.1管理层对检查监督发现问题的整改工作不重视，内外部检查监督发现的问题未落实整改44。79C4。2。2对责任人未按要求进行处罚40。81E信贷作业监督4.3。2信贷作业监督岗位设置、人员配备达不到规定要求，对信贷业务未按照规定的要求进行监督、审查、审核43.23D4。3.3信贷档案资料在完整性、有效性、合规性方面存在问题没有及时发现41。59E前台作业4。4.1监督中心设置监督机构和业务岗位不符合规定，与前台核算业务在空间、人员上未实行分离44.12D4。4。3核算业务监督未能保持序时性、及时性和连续性41。60E表七显示，监督与评审活动中实质性漏洞影响大的是上市银行未建立严格的检查监督制度，其得分是47.2，漏洞等级为比较严重；其次是管理层对检查监督发现问题的整改工作不重视，内外部检查监督发现的问题未落实整改,其漏洞指数为44。79;监督中心设置监督机构和业务岗位不符合规定,与前台核算业务在空间、人员上未实行分离漏洞影响也比较严重，其漏洞指数为44.12.深入分析,监督与评审活动存在的实质性漏洞与前面所讨论的管理层责任、岗位分离等联系密切，说明上市银行的实质性漏洞关联性很强,其他基础性的内部控制出现问题，会导致其他相关的控制措施产生缺陷.五、总结与建议综合上述问卷调查结果与分析，我们认为实质性漏洞是上市银行内部控制失效的主因，是妨碍其抵御内外部风险和对企业经营进行有效控制的重大障碍，为此本文提出以下建议：1. 内部控制和风险管理的意识与文化应被视为“最高层基调”不断得以在银行内部加以强调,配合恰当的人力资源政策（包括薪酬、晋升制度与绩效考核），将制度与流程融入银行经营管理过程中，内控与风险管理不再是额外负担,而是银行在是市场竞争中形成的表征性意识与文化基因.2. 以新巴塞尔资本协议为技术支撑,转变计划体制下的行为惯性与思维定势，追求硬性规模扩张与风险漠视的理念，控制信用风险的同时，重视市场风险、操作风险与法律风险等非传统风险的评估与识别,积极改革有利于风险管控的组织结构与公司治理。3。 平衡控制活动与成本管理，恰当职责分工和授权管理可能是最有效的控制活动。只有当控制活动成为银行日常活动的必要组成部分,而不是“附加物”时，控制活动才能以高效低耗地最大限度发挥作用。4。 覆盖面广、多样性、多向性的信息沟通网络有利于管理者以各种方式使所有相关执行人员理解银行政策、政策执行力度，有效的信息上报机制是管理者处理新问题的决策基础.充分利用外部监督，比如外部审计、资本市场，的力量完善、改造银行的内控组织系统。主要参考文献：【1】毛新述，杨有红。 2008。 内部控制与风险管理-中国会计学会2009内部控制专题学术研讨会综述。 会计研究，5:9395【2】潘琰，郑仙萍. 2008。 论内部控制理论之构建：关于内部控制基本假设的探讨。 会计研究，3：6367 【3】黄秋敏。 2008. 上市银行内部控制信息披露状况分析-20012006年度报告为研究对象。 审计研究，1:8289【4】杨雄胜。 2005。 内部控制理论新视野. 会计研究，7：4954【5】杨军,陈朝豹。 2003. 国有商业银行内部控制系统探析. 审计研究，3：4144【6】巴塞尔新资本协议征求意见稿。 2006。 中国银行业监督管理委员会。 3240，98106【7】Beneish，M。D， M.B Billing。 and L.D。Hodder。，(2008)， Internal Control Weaknesses and Information Uncertainty, Accounting Review， May2008， 83 （3）, pp。665。【8】Ge, W. and McVay， S.，（2005)， The Disclosure of Material Weakness in Internal Control after the Sarbanes-Oxley Act， Accounting Horizons，19（3），pp。137158.【9】Hollis Ashbaugh-Skaife, Daniel W。Collins, William R。Kinney JR。 （2009）, The Effect of SOX Internal Control Deficiencies on Firm Risk and Cost of Equity， Journal of Accounting Research，47（2009)，pp。141【10】Doyle， J。， W。 Ge, and S。 McVay,(2007), Determinants of weaknesses in internal control over financial reporting， Journal of Accounting and Economics， 44（2007），pp.193223。【11】M。 Franklin, （2007）, Sarbanes Oxley Section 404： Can Material Weakness be Predicted and Modeled？ An Examination of the ZETA Model in Prediction of Material Weakness， Doctoral Dissertation。 Walden University。， pp。313【12】K。 Raghunandan and Dasaratha Rama， (2005)， SOX Section 404 Material Weakness Disclosures and Audit Fees， Auditing【13】Krishnan, J.,（2005）, Audit committee quality and internal control： An empirical analysis， The Accounting Review，80（2），pp。649675。9