江苏兴化农村商业银行于2015年6月启动了内审合规与操作风险管理系统（GRC）建设工作，旨在借助科技手段进一步整合各业务条线及内控监督职能部门的风险监控需求，建立以“优化合规内控机制、提升风险管理层次、把握审计监督重点”为目标的内审合规与操作风险控制体系。目前该系统已完成测试、培训并正式上线运行。

    系统建设背景

    在业务发展过程中，银行业缺乏有效的制度、方法、工具对内控、合规、风险实施过程和结果的控制，违规问题不断出现。目前，农村中小金融机构普遍存在以下几个方面的不足：一是法律、法规和规则变化快，难以保证内外部规则相一致；二是针对不同的业务设计了不同的流程，但是未能通过IT系统固化流程涉及的内外规、岗位、产品；三是缺乏有效的方法、工具管控操作风险；四是违规信息零散、孤立在各条线，未能集中和关联管理；五是检查控制仍以现场检查为主，非现场检查较少。

    为解决上述不足，兴化农商行启动实施了GRC系统的建设工作，系统建成后将规范制度、流程的管理、采用操作风险三大工具识别、计量、监测与控制风险，进一步通过科技手段提高内控管理精细化水平。

    系统功能介绍

    GRC系统以制度管理、流程管理、问题库和学习平台为根基，嵌入合规、操作风险、审计三大功能的特色做法，固化合规管理的痕迹，提升风险识别、监测与分析的能力，推动审计方式的转型。

    整合基础规则，实现系统功能的有机结合。该行将合规、操作风险管理和审计功能有机结合，植入了制度管理、流程管理、问题库和学习平台四个基础功能模块，形成了全新的GRC系统。

    一是内外规电子化管理。目前系统中已集中导入近年来国家颁布且正在使用的外规788个，该行正在使用的内部各项规章制度310个，实现规章制度的电子化管理；可以通过内外规名称、文号、时效性、发布单位、发布日期、废止日期等多个维度查询内外规；当内部规章制度是根据某一外规制定或与某一外规有联系时，可能通过内外规关联功能，在系统中导入内规时点击关联外规，从而可以实现在查询某一内规时，一并可以查询到与内规关联的外规。

    二是作业流程标准管理。该行利用GRC系统开展流程梳理工作，建立规范化的流程图，关联与流程相关的内外规、产品、涉及的岗位和信息系统，明确流程的所有操作环节和步骤，根据流程环节识别风险信息，针对风险信息提出控制措施，在此基础上建立标准化的作业指导书，包括流程的基本描述、流程涉及的岗位与职责、流程图、操作步骤、主要风险点与控制要求、流程涉及的内外规等内容，作为员工开展培训的教材、指导员工办理业务的依据。

    三是自动汇集全行问题。GRC系统建成后，能够将行内检查、行外检查、事后督查中心日常监测、审计模型发现的异常数据等四个方面形成的问题自动汇集，形成全行的问题库。目前，该行已收集今年及往年违规问题4600多个，共享全行的检查资源与信息，为管理者决策提供依据。

    四是提供实时学习平台。学习业务知识和规章制度是员工提高自律意识的形式，也是培养员工合规文化意识不可或缺的一个途径。但是员工系统化地学习需要提供一个平台，而利用GRC系统的功能，可以将各条线、部门日常培训资料上传至系统中，资料既包括人行、银监、省联社或其他外部组织的培训内容，也包括该行日常组织的各类培训内容。通过学习平台，方便员工在培训后能够继续进行后续学习，也便于转培训方式的实现。

    特色功能应用，实现内部控制的过程管理。GRC系统利用科技手段，实现合规检查的扎口管理、实时跟踪问题的整改过程、统一违规问题的处罚标准；强化合同的过程管理。

    一是利用工具实现对风险过程管理。GRC系统采用“风险与控制自我评估、关键风险指标、损失数据收集”操作风险三大工具识别、计量、监测和控制操作风险。操作风险与控制自我评估，是指以流程作为评估对象，持续识别、评估并报告业务或管理流程的操作风险及其控制状况的过程。目前，该行已对229个流程进行了风险与控制自我评估。通过评估，该行发现流程风险点1376个，设计了1446个控制措施。关键风险指标是指反映操作风险某一领域变化情况并可定期监控的统计指标，用于监测可能造成损失事件的潜在风险发生的可能性、影响度及其控制措施的有效性，是通过指标数据的变化趋势来分析当前的风险现状。目前，该行设置了资本充足率、员工离失率、员工违反行为禁令人数比率等170多个关键风险指标。损失数据收集是反映过去业务经营过程中的损失事件。目前，该行已收集470多个历史损失事件。通过分析，可以使管理者掌握风险程度和风险分布，以此为基础开展排查风险和案件防控治理工作，确保风险水平在风险容忍度范围内。

    二是强化合规管理工作的过程控制。GRC系统对合规检查的全流程管理和合同的规范化管理实现了过程控制，确保管理过程、环节无缝衔接。首先，规范合规检查。为整合检查资源，该行通过科技手段要求合规部对全行的检查实行扎口管理，规定职能部门提前将检查计划通过GRC系统提交合规部，合规部根据检查内容和时间整合全行检查计划，并在系统中发布检查计划。针对检查发现的问题，该行对需要处罚的由合规部统一录入处罚信息，检查部门无处罚权限。根据下发的整改通知书，系统提取整改工作期限，自动统计整改进度情况，对未在系统规定时间完成整改工作的，产生预警信息。

    其次，合同过程管理。合同的全流程管理有助于防范合同在起草、签订到调阅等环节的风险，一旦因合同条款等原因产生法律纠纷时，将会造成一定的经济或声誉风险，因此加强合同的过程管理显得尤为重要。一是加强合同审核的“痕迹”管理。合同从业务部门发起岗提交部门总经理审核到最终领导审批结束后，各岗位人员均需要签署审核、修改意见，留下审核意见“痕迹”。二是扎口合同归档。合同经领导审批结束后由办公室合同管理岗对合同进行归档处理，扎口全行的合同管理。三是规范合同调阅。合同归档后，需要调阅的由部门提出申请，经审批后查看需要调阅的合同。同时，系统提供查询合同调阅的历史记录，方便管理。

    三是利用模型对异常数据精准审计。该行在GRC系统中嵌入非现场审计功能，借助审计模型和审计场景的运用，可以达到跨机构、跨业务、跨领域作战，底层海量数据集中分析，精确制导、准确打击的目的，促进了审计方式的转型。目前，该行已经设计了员工与授信客户资金往来、贷款担保人为不良客户、虚增存贷款等15个审计模型，模型分布在信贷、运营、会计等领域。通过模型跑批，该行利用大数据分析，获取异常数据、可疑线索，对异常问题将通过系统的异常下发功能，要求存在问题的单位进行回复。同时，职能部门分析异常数据，确定审计重点。下一步，该行将逐步导入监管部门的200多个EAST模型至GRC系统中，实现风险控制手段的多样化。