第二条　金融机构内部控制是金融机构的一种自律行为，是金融机构为完成既定的工作目标和防范风险，对内部各职能部门及其工作人员从事的业务活动进行风险控制、制度管理和相互制约的方法、措施和程序的总称。

　　第三条　完善金融机构内部控制是金融监管工作的重要组成部分，是规范金融机构经营行为、有效防范风险的关键，也是衡量金融机构经营管理水平高低的重要标志。

　　第四条　本指导原则的适用范围是政策性银行、国有独资商业银行、其他商业银行、城乡信用社、信托投资公司、证券机构、保险机构、财务公司、融资租赁公司、典当行等非银行金融机构。

　　第五条　建立健全有效的内部控制运行机制是各金融机构管理层的基本职责，管理层可以根据自身经营的规模和业务特点，制定实施各自的内控模式，分支机构可以制订实施细则，但这些细则不得与机构本身的内部控制制度相抵触。

　　第二章　内部控制的目标、原则

　　第六条　金融机构内部控制要达到以下目标：

　　（一）确保国家法律法规和中央银行监管规章的贯彻执行；

　　（二）确保将各种风险控制在规定的范围之内；

　　（三）确保自身发展战略和经营目标的全面实施；

　　（四）有利于查错防弊，堵塞漏洞，消除隐患，保证业务稳健运行。

　　第七条　金融机构要按照合法、合规、稳健的要求，确定明确的经营方针，建立“自主经营、自担风险、自负盈亏、自我约束”的经营机制，坚持资金营运“安全性、流动性、效益性”相统一的经营原则。在内部控制建设方面要遵循以下原则：

　　（一）有效性原则。各种内部控制制度包括最高决策层所制订的业务规章和发布的指令，必须符合国家和监管部门的规章，必须具有高度的权威性，必须真正落到实处，成为所有员工严格遵守的行动指南；执行内控制度不能存在任何例外，任何人（包括董事长、总经理）不得拥有超越制度或违反规章的权力。

　　（二）审慎性原则。内部控制的核心是有效防范各种风险，任何制度的建立都要以防范风险、审慎经营为出发点。

　　（三）全面性原则。内部控制必须渗透到金融机构的各项业务过程和各个操作环节，覆盖所有的部门和岗位，不能留有任何死角。

　　（四）及时性原则。新设立的金融机构或开办新的业务种类，必须树立“内控优先”的思想，首先建章立制，采取有效的控制措施。

　　（五）独立性原则。内部控制的检查、评价部门必须独立于内部控制的建立和执行部门，直接的操作人员和直接的控制人员必须适当分开，并向不同的管理人员报告工作；在存在管理人员职责交叉的情况下，要为负责控制的人员提供可以直接向最高管理层报告的渠道。

　　第三章　内部控制的要素及内容

　　第八条　金融机构内部控制包括：金融机构内部组织结构的控制、资金交易风险的控制、衍生工具交易的控制、信贷资金风险的控制、保险基金的风险控制、会计系统的控制、授权授信的控制、计算机业务系统的控制等。

　　第九条　金融机构组织结构的控制要按照决策系统、执行系统、监督反馈系统互相制衡的原则来设置。

　　（一）金融机构要制定明确、成文的决策程序，全部经营管理决策要按照规定程序并保留可核实的记录，防止个人独断专行、超越或违反决策程序。

　　（二）金融机构的各级经营管理机构要严格执行上级的决策，并在各自职责和权限范围内办理业务、行使职权。

　　（三）金融机构要建立有效的内部监督系统，建立各项业务风险评价、内部控制的检查评价机制和对内部违规违章行为的处罚机制，及时发现问题，堵塞漏洞，有效防止内部的侵吞、挪用和外部的盗窃、诈骗。

　　第十条　金融机构对资金交易（包括本、外币拆借，下同）、证券交易、衍生金融产品交易，要建立完善的内部监督和风险防范制度。

　　（一）资金交易必须遵从管理层制定的操作规程，资金的交易额、交易策略、交易品种、市场范围要严格按授权办理。

　　（二）建立资金交易、证券交易、衍生工具交易业务的会计和统计记录制度以及头寸核查和交易损益的核算制度。

　　（三）建立用于测量和监控风险头寸以及分析潜在亏损、风险大小并对其进行控制和管理的系统，包括风险定量分析方法，信用、市场、法律、操作风险管理等。

　　（四）按照中国人民银行制订的有关资产负债比例管理办法的规定，按月、按季对各项监控、监测指标进行自我监测和考核，对达不到指标要求的分支机构要制订适当的处罚措施。

　　第十一条　金融机构要围绕防止和降低信贷风险、提高信贷资产质量、优化信贷资产结构建立有效的内部控制制度。

　　（一）对各类贷款的发放的使用必须实行严格控制，并符合国家的法律、行政法规和监管部门发布的行政规章。金融机构应遵循贷款的“效益性、安全性和流动性”原则，建立管理与操作人员行为控制的信贷管理制度。

　　（二）建立以风险评估和控制为核心的信贷风险管理制度。对贷款必须遵循“贷前调查，贷时审查，贷后检查”的原则。

　　（三）建立以贷款立项、调查、贷款审核认定、贷款决策、贷款检查监督为内容的信贷资产管理责任制，做到明确责任，逐级负责。任何人不得超越职权和违反程序发放贷款。

　　（四）建立监测信贷风险的预警系统、监测借款企业经营风险的预警系统、监测信贷风险的考核指标体系。

　　第十二条　金融机构要建立严密的会计控制系统。会计记录、帐务处理和经营成果核算要完全独立，会计部门只接受其主管的领导；会计主管不得参与具体经营业务的经办。

　　（一）会计制度制定的唯一依据只能是国家颁布的会计准则和财务通则。会计制度必须明确规定有效会计凭证的要素。会计人员进行帐务记录必须是经严格审定的有效会计凭证，除此以外，会计人员不得接受任何指令。会计人员进行的任何帐务记录如果没有有效的会计凭证，其主管人员和会计人员应受到严厉的处罚。

　　（二）会计记录必须能够确定业务活动发生的时间，并在适当的会计期间得到反映。通过电子数据处理系统录入会计数据时，必须保证只有在识别特殊密码状态下才能进入该系统。修改会计记录必须履行必要的手续，得到适当的授权，并详细记录在案，在电子数据处理系统中修改会计记录，处理系统要能够自动识别授权密码并自动记录在案。

　　（三）会计控制系统的建立应遵循以下基本原则：

　　规范化原则。会计帐务处理须按照会计制度的要求，建立并执行规范化的操作程序。

　　授权分责原则。对会计帐务处理实行分级授权。会计人员不得超越权限范围处理会计帐务和增删改会计帐务事项或参数；上级授权处理的事项须履行必要的手续；建立并执行财务收支审批制度。会计帐务处理必须实行岗位分工，明确岗位职责，严禁一人兼岗或独自操作全过程。会计岗位实行定期或不定期轮换。

　　监督制约原则。对会计帐务处理的有效依据如业务用章、密押、空白凭证实行专人分管；资金与实物分别核算与管理，会计部门对重要空白凭证和有价单证要进行表外登记，应有独立于会计部门之外的部门管理现金、有价证券及其他实物形态的资产。对会计帐务处理的全过程要实行监督，即事前监督——受理业务时，临柜人员对业务的合法性、真实性，手续的完整性及数据的准确性进行审核；事中监督——对会计处理的凭证、帐表内容和数据均须复核，重大事项须由会计主管复核；事后监督——对已经处理过的会计帐务实行再核对，重点监督重要业务的处理。会计部门须设置相应岗位，配备必需人员，落实监督事项。

　　帐务核对原则。对会计帐务，须坚持“六个核对相符”，即帐帐、帐据、收款、帐实、由表及内外帐务核对相符；根据制度要求对不同帐务采取每日核对或定期核对的办法。要建立和完善外部对帐制度，定期按户对帐。

　　安全谨慎原则。会计部门须妥善保管密押、重要空白凭证和业务用章，防止遗失或被盗；妥善保管会计档案，严格会计资料的调阅手续，防止会计数据的散失和流弊。会计人员调离须办理交接手续。

　　第十三条　保险公司要建立内控机制，增强自控能力。

　　（一）建立健全以核保、核赔、投资风险控制为主要内容的内部控制制度，严格防范各种保单、批单、保险协议等可能带来的风险；坚持“双人勘查、交叉复核、分级核损、终审归案”的原则，防止假赔、骗赔案的发生；严格控制高风险、低流动性资产比例，加强资产负债匹配和现金流量管理。

　　（二）建立各项准备金提取与管理制度，以提高偿付能力。各保险机构要按规定及时、足额提取未到期责任准备金，未决赔款准备金以及公积金、保险保障基金，并加强集中管理，资金运用限存入商业银行或购买政府、金融债券。

　　（三）加强保险条款管理。各公司对寿险条款要实行高度集中管理，所有寿险条款均由总公司统一制订；建立寿险精算部门，并逐步建立产险精算制度，提高精算水平，控制经营风险。

　　（四）保险公司要设立再保险管理部门，制定再保险规章制度，严格执行法定分保规定，合理确定每一风险单位的计算方法和分保办法，制定巨灾风险的计划安排和管理措施，严格控制巨灾风险。

　　第十四条　金融机构要建立合理的授权分责制度，要按照业务工作程序和授权，健全完善各种审批手续。

　　（一）按照各自经营活动的性质和功能，建立以局部风险控制为内涵的内部授权、授信管理制度。对各分支机构授权、授信要定期检查、确保授权、授信范围适当，有据可查，所授权限和信用额度不得超越和突破。

　　（二）针对部门的工作性质、人员的岗位职责，赋予相应的工作任务和职责权限。

　　（三）各种授权都要以书面形式确认，逐级下达。

　　（四）辖属分支机构、各职能部门及各级管理操作人员，要在各自岗位上按所授予的权限开展工作，并对职责范围的工作负责。

　　（五）凡对外开办的每一笔业务都要按业务授权进行审核批准，对特别授权的业务要经过特别批准。

　　第十五条　金融机构要建立科学的金融计算机系统风险控制制度。要对计算机系统的项目立项、设计、开发、测试、运行和维护整个过程实施严格管理，明确业务主管部门和稽核监督部门的职责，严格划分软件设计、业务操作和技术维护诸方面的责任。

　　（一）系统的业务需求由主管业务部门提出，应符合金融法律、法规的规定，明确防范风险控制的要求，并经过稽核监督等部门的确认。

　　（二）系统的设计开发由科技部门负责，应该符合国家、金融行业软件工程标准的要求，编写完整的技术资料；在实现金融业务电子化时，应设置保密系统和相应控制机制，并保证计算机系统的可稽核性。

　　（三）系统投入运行前，必须经过业务、科技、稽核等部门的试验运行，提供必备的测试资料，正式投入运行应经过业务、科技和稽核部门的联合验收，由金融机构法人（或法人代表）批准。

　　（四）系统投入运行后，应按照操作管理制度进行经常性和定期相结合的稽核检查，完善业务数据保管等安全措施，进行排除故障、灾难恢复的演习，确保系统可靠、稳定、安全地运行。

　　（五）采用商品软件应经过金融电子化设计人员和稽核监督部门的测试确认，购买计算机系统设备合同中应明确厂商承担的责任，租用公共网络时应确定经营机构承担的责任。

　　（六）严禁系统设计、软件开发等技术人员介入实际的业务操作。用户使用的密码口令要定期更换，不得向他人泄露。对系统的数据资料必须建立备份，异地存放。系统应具备严密的数据存取控制措施，数据录入应依照合法、完整的业务凭证照实输入，数据的修改要经过适当的批准。

　　第四章　对建立内部控制的基本要求

　　第十六条　金融机构要设立顺序递进的三道监控防线，建立完善内部控制制度。

　　（一）各金融机构对涉及信贷的立项审查和发放、资金拆借、证券买卖、外汇交易、衍生工具交易等重要交易的办法与管理必须由两个系统或两个以上职能部门共同执掌；会计业务和使用自动数据处理系统时，要有适当的程序和措施，保证职能分工，实行相互监督约束，共同负责。

　　（二）建立一线岗位双人、双职、双责为基础的第一道监控防线。属于单人单岗处理业务的，必须有相应的后续监督机制。

　　（三）建立相关部门、相关岗位之间相互监督制约的工作程序作为第二道监控防线。要建立业务文件在相关部门和相关岗位之间传递的标准，明确文件签字的授权。

　　（四）建立以内部监督部门对各岗位、各部门各项业务全面实施监督反馈的第三道防线。内部监督部门作为对业务的事后监督机构，必须独立地监督各项业务活动，同时及时将检查评价的结果反馈给最高管理层。

　　第十七条　金融机构在业务运营过程中要实行恰当的责任分离制度。

　　（一）实行对货币、有价证券的保管与帐务记录相分离。

　　（二）重要空白凭证的保管与使用相分离。

　　（三）资金交易业务的授权审批与具体经办相分离，前台交易与后台结算相分离。

　　（四）信用的受理发放与审查相分离。

　　（五）损失的确认与核销相分离。

　　（六）电子数据处理系统的技术人员与业务经办人员及会计人员相分离等。

　　（七）风险评定人员与业务办理岗位相分离。

　　（八）对直接接触客户的业务，必须复核或事后监督把关，重要业务必须实行双签有效的“四眼原则”。

　　第十八条　金融机构在操作层要建立完善的岗位责任制度和规范的岗位管理措施。

　　（一）要推行内部工作的目标管理，制定规范的岗位责任制度、严格的操作程序和合理的工作标准。

　　（二）按照不同的岗位，明确工作任务，赋予各岗位相应的责任和职权，建立相互配合、相互督促、相互制约的工作关系。

　　（三）对重点岗位、重点业务、重要空白凭证、重要财物等要特别加强监控和管理。

　　（四）对资金交易、信贷管理和会计财务等重要岗位实行定期或不定期轮换和强制休假制度。

　　第十九条　金融机构要建立完整的信息资料保全系统，必须真实、全面、及时地记载每一笔业务，正确进行会计核算和业务核算，建立完整的会计、统计和各种业务资料的档案，并妥善保管，确保原始记录、合同契约、各种信息资料数据的真实完整。

　　第二十条　金融机构要建立有效的预警预报系统。

　　（一）围绕经营行为、业务管理、风险防范、资产安全，建立定期业务分析、信贷资产质量评价、保险标的风险评估、资金运用风险评估制度。

　　（二）建立定期实物盘点、各种帐证、帐表的核对制度以及业务活动的事前、事中和事后监督制度。

　　（三）健全完善内部控制系统的评审和反馈，以及对带有苗头性、倾向性问题的预测预报系统。

　　（四）建立保险风险考核指标体系。

　　第二十一条　金融机构要建立有效的应急应变措施。尤其是各个重要部位、营业网点等遇到断电、失火、火灾、抢劫等紧急情况时，要确保应急应变措施及时到位，真正发挥作用。应急应变措施要考虑各种可能因素，分别依次设定具体的应急应变步骤。

　　第二十二条　金融机构要进一步加强和完善检查监督手段。

　　（一）内部稽核（审计）部门要行使综合性的内部监督职责，实行对一级法人负责，以保证其独立地履行监督检查职能。

　　（二）建立制度规章，保证内部稽核部门的独立性和权威性，按“下查一级”的要求实行“派驻制”。

　　（三）对下属机构的全面稽核应实行“周期制”，循环反复进行，同时安排一定数量的专项稽核，对重大事项要随时报告。

　　（四）稽核人员的配备在数量上、质量上要适应完成以上任务的需要。

　　（五）建立稽核处罚制度和稽核检查制度，督促内部各项管理措施和规章制度的贯彻实施。

　　（六）内部稽核（审计）部门和有关检查人员要认真履行其职责，真实及时地反映情况，对隐瞒不报、上报虚假情况和监督检查不力，造成重大案件和出现金融风险的要追究法律责任。

　　第二十三条　金融机构要按各自的业务经营范围和特点，制定全面、系统、具体的内部控制制度，并在辖属分支机构、各职能部门、各岗位人员之间，建立既有分工负责，又有相互制约的内部控制系统。

　　第二十四条　金融机构制定的内部控制制度既要有切实的制约措施，又要有利于发挥辖属分支机构、各职能部门及人员的工作积极性，以合理的控制成本保证内控目标得到全面实现。

　　第二十五条　金融机构要对自身制定的内部控制制度定期进行检查，并随经营业务的发展、国家政策的变更和法律环境的改变进行修订。

　　第二十六条　金融机构的内部控制制度要具备普遍适用性和可操作性。

　　第二十七条　金融机构要通过培训、考试、考核等方式，确保员工熟悉岗位基本要求，理解和掌握有关内部控制制度。

　　第五章　内部控制制度的管理与监督

　　第二十八条　内部控制制度的综合管理，要由各金融机构稽核（审计）部门具体负责、其具体职责是：

　　（一）对各项业务提出内部控制建议。

　　（二）检查和评价有关内部控制制度。

　　（三）对有关内部控制的问题进行专题检查。

　　（四）对违反内部控制的单位和人员给予纪律处分。

　　第二十九条　中央银行负责对金融机构内部控制的监督和稽核。

　　（一）中央银行在对金融机构实施业务稽核的同时，要对金融机构内部控制状况做出评价。

　　（二）中央银行可以委托外部审计部门对金融机构的内部控制状况做出评价。

　　（三）对内部控制存在问题的金融机构，中央银行可以提出整改建议，情节严重的给予处罚。

　　（四）对因内部控制制度长期不健全或执行监督不力造成重大资产损失，或导致发生重大金融犯罪案件的负有个人责任或直接领导责任的金融机构高级管理人员，中央银行可以依据有关规定，根据情节轻重及后果，取消一定期限内甚至终身的任职资格。

　　第六章　附则

　　第三十条　对在中华人民共和国注册的外资、中外合资金融机构应参照本指导原则，建立健全内部控制机制。

　　第三十一条　本指导原则由中国人民银行负责解释。

　　第三十二条　本指导原则自发布之日起由金融机构实行。