商业银行银行卡业务的内部控制和控制测试

第九章　商业银行银行卡业务审计

银行卡是指商业银行向单位和个人发行的、凭以向特约单位(如商店、旅馆、娱乐场所和酒店等)消费和向银行存取现金,且具有消费信用的特制载体卡片。银行卡的外观为带有卡名、卡号、持卡人姓名、有效期、信息磁条和防伪标志等内容的卡片。银行卡广泛运用于商品经济的支付与结算,具有“电子货币”功能。随着计算机技术和网络技术的发展,银行卡业务在商业银行金融业务中的比重日趋增加,故而银行卡业务审计是商业银行中间业务审计中的一项重要内容。

第一节　商业银行银行卡业务的特点

一、商业银行银行卡业务概述

自20世纪770年代以来,由于科学技术的飞速发展,特别是电子计算机的运用,使银行卡的使用范围不断扩大。不仅减少了现金和支票的流通,而且使银行业务由于突破了时间和空间的限制而发生了根本性的变化。银行卡自动结算系统的运用,使一个“无支票、无现金社会”的到来不久将成为现实。银行卡的大小一般为85.60mm×53.98 mm((3.370×2.1255 英寸),但是也有比普通卡小43%的迷你卡和形状不规则的异型卡。

经过20多年的发展,银行卡已经成为我国居民普遍使用的金融工具。目前,,我国境内已有660家银行业金融机构开办了信用卡业务。截至20110年第一季度,我国银行业金融机构已经发行银行卡21.4亿张,其中信用卡占1.7亿张。在信用卡发卡量增长的同时,消费金额也有了较大增长。

商业银行开办银行卡业务应当具备下列条件:(1)开业3年以上,具有办理零售业务的良好业务基础;(2)符合中国人民银行颁布的资产负债比例管理监控指标,经营状况良好;(3)已就该项业务建立了科学、完善的内部控制制度,有明确的内部授权审批程序;(4)有合格的管理人员和技术人员及相应的管理机构;(5)有安全、高效的计算机处理系统;(6)发行外币卡还须具备经营外汇业务 的资格和相应的外汇业务经营管理水平;(7)中国人民银行规定的其他条件。

符合上述条件的商业银行,可向中国人民银行申请开办银行卡业务,并提交下列材料:(1)申请报告,论证必要性、可行性,进行市场预测;(2)银行卡章程或管理办法、卡样设计草案;(3)内部控制制度、风险防范措施;(4)由中国人民银行科技主管部门出具的有关系统安全性和技术标准合格的测试报告;(5)中国人民银行要求提供的其他材料。

发卡银行各类银行卡章程应载明下列事项:(1)卡的名称、种类、功能与用途;(2)卡的发行对象、申领条件与申领手续;(3)卡的使用范围(包括使用方面的限制)及使用方法;(4)卡的账户适用利率,面向持卡人的收费项目及标准;(5)发卡银行、持卡人及其他有关当事人的权利与义务;(6)中国人民银行要求的其他事项。

常见的银行卡一般分两种,即借记卡(Debit Card)和贷记卡(Credit Card),借记卡还可分为转账卡、专用卡和储值卡,而贷记卡还可分为贷记卡和准贷记卡。借记卡是储蓄卡,而贷记卡是信用卡。

借记卡可以在网络或POS机消费或者通过ATM机转账和提款,不能透支,卡内的金额按活期存款计付利息。消费或提款时资金直接从储蓄账户划出。借记卡在使用时一般需要密码(Pin)。借记卡按等级可以分为普通卡、金卡和白金卡;按使用范围可以分为国内卡和国际卡。

贷记卡是指发卡银行给予持卡人一定的信用额度,持卡人可在信用额度内先消费后还款的信用卡。它具有以下特点:先消费后还款,享有免息缴款期(最长可达56天),并设有最低还款额,客户出现透支可自主分期还款。客户需要向申请的银行交付一定数量的年费,各银行不相同。

准贷记卡是一种存款有息、刷卡消费以人民币结算的单币种、单账户信用卡,具有转账结算、存取现金、信用消费与网上银行交易等功能。当刷卡消费或取现账户存款余额不足支付时,持卡人可在规定的有限信用额度内透支消费、取现,并收取一定的利息,其不存在免息还款期。准贷记卡是一种具有中国特色的信用卡种类,国外并没有这种类型的信用卡。20世纪80年代后期,中国银行业从国外引入信用卡产品,因为当时中国个人信用体制并不是很完善,中国银行业对国外的信用卡产品进行了一定的更改,将国外传统的信用卡存款无利息、透支有免息期更改为存款有利息、透支不免息。准贷记卡兼具贷记卡和借记卡的部分功能,一般需要缴纳保证金或提供担保人,使用时先存款后消费,存款计付利息。持卡人消费时可以在发卡行核定的额度内进行小额透支,但透支金额自透支之日起计息,欠款必须一次还清,没有免息还款期和最低还款额,其基本功能是转账结算和购物消费。准贷记卡的主要特点有:(1)申请准贷记卡一般需要缴纳保证金或提供担保人;(2)在准贷记卡内存款是计算利息的;(3)准贷记卡可以透支,但是透支款项没有免息还款期,从透支当日就可以计算利息,且必须一次还清,没有最低还款额。准贷记卡作为中国信用卡产业发展过程中的过渡产品正在逐步退出历史舞台,在我们现实生活中准贷记卡的使用量、使用意义都在逐步减小。

除了上述基本分类,银行卡业务还有其他分类方法:(1)依据结算的币种不同,可分为人民币卡和外币卡;(2)按照使用对象的不同,可分为单位卡(商务卡)和个人卡;(3)按照载体材料的不同,可分为磁条卡和智能卡(IC卡);(4)按照信用对象信誉等级的不同,可分为金卡和普通卡;(5)按照流通范围的不同,可分为国际卡和地区卡;(6)其他分类方式,包括商业银行与营利性机构/非营利性机构合作发行联名卡/认同卡。

二、商业银行银行卡业务涉及的会计科目、主要凭证、会计记录和主要业务活动^[1]

(一)商业银行银行卡业务涉及的会计科目

银行卡存款、其他短期贷款、存放同业贷款、辖内往来、存入保证金、其他应收款、其他应付款、应收利息、应付利息、利息收入、利息支出、中间业务收入、营业外收入、手续费支出、呆账准备和汇兑损益。

表外科目包括有价单证(如有初始发行值的智能卡和纪念卡)、待销毁有价单证(如作废卡和作废密码信封)、待保管有价值品(如已打未发卡、没收卡和已打未发密码信封)和待处理抵押质押品。

(二)商业银行银行卡业务涉及的主要凭证与会计记录

1.电子文件

银行卡业务系统的账户/卡信息文件、卡管理文件(如卡的代码管理)、授权管理文件、黑名单信息文件、商户信息文件、银行卡业务/交易流水、银行卡透支清单及相关的系统操作说明等,譬如数据库结构、字段含义、数据字典以及参数表。

2.相关内部控制

商业银行总行授权文件、银行卡章程或业务管理办法、授信与风险管理制度、岗位责任制度、授权审批制度和计算机系统控制制度等。

3.报表、账册

(1)银行卡业务资产负债表和利润表(业务收支报表);银行卡业务相关科目日报表、余额表、月报表和年报表;应收应付科目分户明细表和应付利息计提明细表。

(2)各种登记簿,包括开销户登记簿、抵(质)押登记簿、空白重要凭证登记簿、授权登记簿、大额存取款登记簿、库存现金登记簿、接收止付名单登记簿、空白卡出/入库情况登记簿、打卡登记簿、密码信封交接登记簿、成品卡交接登记簿、成品卡库存登记簿、发卡登记簿、特约商户交单登记簿、挂失登记簿和催收透支登记簿。

(3)各种凭证和清单,包括签购单、退货单、存款单、取现单、转账单、收费单、汇计单、POS凭证和银行卡授权记录单;ATM交易借/贷明细清单、ATM/POS转账收入/付出交易清单、异地牡丹卡交易清单、同城通存通兑本代他/他代本借/贷明细清单、取现交易清单、POS消费清单、POS消费分配清单、特约单位入账清单、保证金划入/划出交易清单、贷款清单、收息收贷清单、联行来账清单、代收/代付业务交易明细清单、滞纳金/超限费扣收清单、利息清单和打卡清单等。

4.其他文件

(1)各类业务统计报表,如银行卡业务统计报表,包括发卡数量、特约单位数量、代理单位数量(签订代收代付合约,通过银行卡开展代理收、付款业务)、特约单位业务量、地区业务量、单位存款余额、个人存款余额、透支余额、交易金额(消费、存取现金和转账)与交易笔数等。银行卡透支月报表,包括透支期限、月均总透支余额、180天以上月均透支余额和恶意透支月均余额等。

(2)中国人民银行的批准文件、联名双方协议书和特约客户协议书等。

(三)商业银行存款业务涉及的主要业务活动

1.受理申请

到商业银行柜台或者向客服人员打电话取得申请表,部分商业银行网上申请也可以,按申请表格式进行填写。按银行相关要求附上以下身份财力证明:(1)身份证明,如身份证或工作证等;(2)财力证明,由单位出具的收入证明,有房产证、车本的也可作为相关财力证明,或者近3个月来的水电煤的交费回单,其他银行的信用卡的还款回单,其中第一项比较重要,其他的都可做参照;(3)如果申请人是大型企业领导、国家公务人员、大学教授等特殊族群的话,可以将身份证明提交得详细些,而财力证明可略少些。

2.资信调查和评估

商业银行对申请人进行资信调查和评估,确定银行卡的授信额度和授信条件,具体包括透支额度、透支期限和透支利率等。

3.开户和发卡

商业银行与银行卡领用人签订银行卡领用合约,确定卡的使用范围和使用方法、卡账户适用的利率和相关收费项目及标准,发卡银行、持卡人和其他有关当事人的权利和义务。商业银行为银行卡领用人开立存款账户并发放银行卡。

4.交易和授权

持卡人利用银行卡进行存款、取款、转账和消费等交易活动,对超过授权限额的交易、累计交易金额(或交易次数)超过规定限额(或次数)等特定情况下,需要向发卡商业银行索取授权。

5.收单和清算

交易完毕,在每日营业终了,特约单位应将当日受理的信用卡签购单汇总,并按规定比率计算出应交给开户商业银行的手续费用,在交易总额中扣除后得出净额,然后将总额、银行卡手续费、净额、签购单张数和结算日期等计入“汇计单”(或“总计单”)。将汇计单(一式三联)、签购单(第二和第三联)以及进账单(一式两联))一并送交收单银行办理进账。发卡商业银行收取银行卡交易单据,从而进行资金清算。资金清算分同城与异地清算、系统内与跨系统清算、人民币与外币清算,根据相应的清算渠道进行。

6.挂失

各大银行的挂失手续不完全相同,如果丢失了银行卡,可以先使用电话或者网上银行进行临时挂失,并带上本人身份证等证明材料 去银行柜台挂失。

第二节　商业银行银行卡业务的内部控制和控制测试

商业银行的内部控制是商业银行的董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制的目标是合理保证商业银行经营管理合法合规、资产安全、财务报告及相关信息真实完整,提高经营效率和效果,促进商业银行实现发展战略。具体而言,在现代商业银行中,完善的内部控制体系能够发挥如下四个方面的重要作用:((1)能够保护商业银行财产物资的安全完整;(2)能够提高商业银行会计资料的正确性和可靠性;(3)能够保证国家对商业银行的宏观控制;(4)能够保证商业银行可以高效率经营。

银行卡业务的内部控制乃商业银行内部控制的一个重要组成部分,审计人员通过对银行卡业务内部控制的测试,确定被审计单位是否建立健全内部控制,内部控制的设计是否科学、执行是否到位,各项控制措施是否真实地运作于业务活动当中,所有操作人员在实际执行过程中是否确实遵守了内部控制。内部控制测试和评价是内部控制审计的核心内容,开展企 业内部控制测试和评价可以降低审计风险、节约审计成本、提高审计工作效率。

一般而言,对商业银行银行卡业务的内部控制测评可以分为三个步骤:第一步,调查了解商业银行银行卡业务的内部控制;第二步,健全性测试,将银行卡业务的内部控制实际情况与已绘制的流程图相比照,确定银行卡控制系统的关键控制点是否齐全、控制点设计是否科学合理,所运用的凭证文件是否反映控制要求,业务处理程序是否可以互相牵制和 自动校验;第三步,符合性测试,在确定了内部控制系统值得依赖后,对已建立的关键控制点的遵循情况进行检查评审,目的是测试其执行情况是否符合内部控制要求的程度。

一、商业银行银行卡业务的内部控制^[2]

为了消除银行卡业务中存在的各种风险,银行必须控制住主要的风险控制环节并建立和完善相关的内部控制制度,这里主要介绍商业银行银行卡业务的内部控制。

(一)业务管理制度方面的内部控制

(1)建立严格的岗位责任制、业务操作规程、授权责任管理制度和风险管理制度。

(2)信用卡操作人员统一编号,操作员密码不得泄露,调整业务计算机程序时,业务人员要在场。

(3)及时、准确掌握透支情况,将各项透支风险指标控制在规定的比例之内,对恶意透支采取有效的防范措施,若客户逾期不还,则要采取有效、得力的措施予以追讨。

(4)建立严格的业务复核和授权审批制度。

(5)指定专人负责银行卡档案管理,按规定年限保存各类信用卡业务资料,设立信用卡档案调阅制度,建立档案调阅登记簿。

(6)对涉及银行卡业务的计算机系统的风险进行严格控制,银行卡操作员进入计算机系统要签到,使用完毕则应立即签退,每日工作完毕要关闭终端,计算机资料要备份。

(7)有关负责人应每天查看计算机稽核文件、工作日记,若发现异常,应及时处理。

(8)加强对重要空白凭证的管理,建立对空白卡、成品卡和废卡的管理制度。

(9)建立业务/库存的定期检查制度。

(10)商户管理应当规范,建立商户档案并定期培训商户。

(二)业务规章方面的内部控制

1.要加强分工

银行卡业务的授权、复核、记录、打卡、保管银行卡和发卡应由不同岗位的人员来负责。

2.开立银行卡的申请和审查

(1)接到客户的开户申请表后,经办人应按照规定的开户发卡条件认真核对开户申请表。(2)在经办人员初步审核的基础上,由业务主管对客户的开户申请进行审批并最终确定是否同意向其发卡。

(3)当个人申领银行卡时,商业银行应当核实其身份证件,由他人代领的,代领人应提供其和申请人的身份证件,经办人核对无误后,在领卡表上抄列两者的身份证,并请代领人签名。

(4)当单位申领银行卡时,商业银行应审核其企业营业执照或法人资格证明、中国人民银行核发的开户许可证、单位证明、主持卡人和副持卡人的有效身份证件等资料。

(5)若涉及担保,则商业银行应审核申请人提供担保方式的合法性和有效性,并在某些特定情况下对其进行公正确认,且评估抵押品抑或质押品的足值性。担保人如提前退出担保地位,应向发卡行提出书面申请并通知被担保人。

(6)银行应严格按照规定对银行卡申请人进行资信调查、评估和审核,进而确定申请人的授信额度和授信条件,且需要有关人员对其签署初审意见和复审意见。

(7)将客户资料和经审批的授信资料完整无误地输入电脑,且要配备专人对其进行复核和监控。

(8)因期满而换发新卡的,持卡人应填写换卡申请表,信控人员应对该持卡人的资信进行重新审核并提出审核意见,并依此决定是否核发新卡。

3.开户

发卡商业银行应当为客户开立记名账户并签订银行卡领用合约。

4.发卡

(1)对银行卡的制作、调拨、存放、发放、回收和销毁等严格管理。

(2)商业银行在发放银行卡时,要再次验证领卡人身份的合法性和真实性,且要做好登记和签收手续。

(3)空白卡保管、打卡机密码或钥匙保管、打卡文件抑或密码文件的生成、打卡、打印密码信封、成品卡保管、密码信封保管和发卡等应有明确的职责分工。

(4)打卡清单要与成品卡保持一致。

(5)涉及开户和发卡的各个环节要做好登记、签收和交接手续。

(6)正确处理作废卡和回收卡,对其进行妥善保管、定期销毁并做好销毁记录。

5.银行卡的存款、取款和转账结算

(1)不允许将企业的销售收入存入单位卡账户,而应当从其基本存款账户转账存入。

(2)单位外币卡账户的资金应从该单位的外汇账户转账存入。

(3)不能从单位卡账户存取现金/外币现钞。

(4)个人外币卡账户的资金应从以其个人持有的外币现钞存入或从其外汇账户转账存入。

(5)在持卡人取款时,商业银行的经办人应认真审查银行卡的真伪和有效性,核对注销卡名单及紧急止付令,检查身份证,核对签名,终端若无自动授权功能,则应笔笔授权。

(6)在单位卡的持卡人通过转账方式取款时,不可将款项转存入持卡人的个人账户。

(7)办理个人卡现金支取应符合有关现金管理规定。

(8)建立银行卡大额取现登记备案表制度。

(9)用个人外币卡在境内提取外币现钞时应当按照有关个人外汇管理制度办理。

(10)单位人民币卡在办理商品交易和劳务供应款项的结算时不能透支。

(11)发卡商业银行应对银行卡的取现、累计交易金额和交易次数实行限额管理。

6.银行卡授权

(1)授权之前要弄清请求授权方及交易卡是否属于发卡行的授权范围。

(2)制定严格的银行卡交易授权制度。

(3)对银行卡中信用卡的交易授权,要配备专职授权人员,实行24小时授权值班,保证授权渠道畅通,及时处理突发事件。

(4)合理设定相关人员的授权权限和授权限额。

(5)做好银行卡的授权记录,妥善保管授权登记簿及授权记录书等。

(6)严格执行经办、主管和主管领导三级授权审批制度,严格执行授权限额,除上级行代授权外,严格限制给予手工授权号。

(7)授权人员应按照操作规程对每笔授权业务及当班情况进行详细登记和记录,部门负责人应当每天查看记录,签章确认并及时处理有关情况。

7.银行卡的收单

在银行卡交易完毕后,商业银行应收取有关交易单、同城交换或联行划来的报单及签购单,审核银行卡的有效性、签购单及其压印的内容等。

8.银行卡的结算

(1)商业银行在审核有关交易单据或电子交易信息后,应扣取约定的结算手续费,之后应向特约客户划付款项。

(2)结算手续费的收取以及跨行交易下发卡行与收单行、信息交换中心分配比例的确定应符合相关规定。

9.银行卡的计息

(1)银行卡存款应按月计息,其计息范围、计息办法和利率应符合有关规定。

(2)不能对贷记卡账户和储值卡账户内的存款计息。

(3)银行卡透支利息计算应符合有关规定。

(4)对信用卡备用金账户而言,系统应做到按交易日期计算利息,并兼有冲账和补账的功能,持卡人交易记录的保存期限应足够满足倒计息的要求。

10.银行卡的风险管理

(1)建立银行卡保证金制度。

(2)发卡银行给予银行卡透支的有关透支期限、免息还款期及首月最低还款额等条件应符合法律规定。

(3)银行卡在透支时,发卡银行应按照有关规定计收利息、滞纳金和超限费。

(4)不可将信用卡的手续费收入截留、转移并私设“小金库”。

(5)不能为了达到拓展市场的目的与竞争对手恶性竞争,低于规定比例收取手续费抑或变相返还手续费。

(6)建立恰当的银行卡业务风险控制指标。

(7)对银行卡交易实行实时监控或事后监督,当银行卡交易出现异常时应及时报告并及时采取应急补救措施。

(8)制定对持卡人和特约商户的日常信用监控措施,定期对持卡人和特约客户的资信状况进行评估,并根据评估结果及时调整信用等级,进而相应调整其信用额度。

(9)及时编发、更新和核对止付名单、黑名单且要及时发放。

(10)定期向贷记卡持卡人提供对账服务,按月向持卡人提供账户结单。

(11)设立专门岗位对银行卡透支实施监控并建立持卡人透支档案,采取有效的措施防范恶意透支,对透支后逾期不还的持卡人进行追讨,对伪造、涂改和冒用银行卡骗取资金和恶意透支的行为,还要配合公安、司法等机关追究持卡人的刑事责任。

(12)将各项透支风险控制指标控制在规定的比例之内。

(13)根据银行卡其他短期贷款年末余额的1%提取呆账准备金。

(14)根据银行卡应收利息年末余额的3‰提取透支坏账准备金。

(15)制定呆账准备的提取政策和银行卡业务损失的核销程序。

11.银行卡挂失和止付

(1)在商业银行受理银行卡持卡人的挂失申请时,应要求其填写挂失申请书,同时要验证申请人的真实身份,在经相关职能部门授权后对挂失进行办理。

(2)应向申请挂失的持卡人收取手续费。

(3)应设专门的账簿对申请挂失的银行卡进行登记。

(4)对申请挂失的银行卡及时做好止付处理。

12.银行卡的销户

(1)在银行卡持卡人申请销户时,商业银行应对其进行审核,在确定其全部还清交易款项、透支本息和有关费用后方可注销银行卡。

(2)在对银行卡销户时,单位人民币卡账户的资金应转入其基本存款账户,单位外币卡账户的资金应转回相应的外汇账户。

一般而言,可通过编制银行卡业务内部控制调查表、流程图抑或描述法等形式来了解银行卡业务的内部控制,具体采用何种方式可由审计人员因地因时制宜。

二、评估商业银行银行卡业务的重大错报风险

随着银行卡业务的迅速扩张和竞争的日趋激烈,全国各地有关银行卡方面的投诉、纠纷、案件频发,银行卡业务风险处于多发、高发期。商业银行银行卡业务有以下重大错报风险。

(一)外部欺诈风险

在各类银行卡风险中,外部欺诈风险是目前最严重、危害最大的一类风险。欺诈目的的实现渠道主要有三种:ATM机取现、POS机套现(消费)或网络(电话)转账。从欺诈的手段看,主要有伪卡欺诈、直接骗取客户资金和利用ATM机骗卡三类。

巴塞尔银行委员会于2002年6月开始进行“操作风险损失数据调查”,分析目前国际活跃银行所面临的主要操作风险。并根据对银行提交的损失信息按照巴塞尔委员会定义的8种业务线和7种操作风险事件类型进行细化。从操作风险损失事件类型来看,损失事件主要集中在外部欺诈(42.39%),执行、交割以及流程管理(35.07%),就业政策及工作场所安全性(8.52%),客户、产品以及业务操作引起的风险事件(7.17%)。上述4种事件类型引发的风险事件占到了总数的93.15%。其中,外部欺诈事件发生频率最高,达到42.39%,但损失金额占比为15.54%,平均每个事件的损失很少,仅为6万欧元。不过外部人员一旦与内部人员勾结合谋欺诈,就会对银行造成巨大的损失。外部欺诈风险主要表现为系统安全性,譬如黑客攻击、盗窃密码、盗窃和欺诈、抢劫。目前中国对于银行卡外部欺诈问题的主要方案为提升银行卡本身的防伪能力,升级为智能卡。智能卡类产品主要有“智能IC卡”、“指纹智能信用卡”和“声音智能信用卡”等。智能卡是普通磁条卡价格的10倍,如果全面采用此安全解决方案,中国有37万家特约商户的近56万台POS机、21亿张卡片和8万台ATM机需要进行技术更新,存在巨额成本的消化问题。

(二)中介机构交易风险

中介机构交易风险主要是指特约商户非法交易或违章操作引起持卡人或发卡机构资金损失的风险。中介机构的交易风险主要体现为两类:(1)部分不法商户提供信用卡套现交易,为犯罪目的的实现提供了渠道,引发交易风险;(2)中介机构或者个人不规范(甚至是非法)的信用卡营销行为引发的风险。

(三)内部操作风险

内部操作风险是指银行工作人员因违规操作或操作失误造成银行资金损失,或者工作人员利用职务之便,与不法分子勾结、串通作案,引起发卡行或客户资金损失的风险。与外部欺诈风险和中介机构交易风险相比,此类案件不具有普遍性,但由于是内部专业人员作案,手段更加隐蔽,对银行声誉的损害也更严重。与信用风险和市场风险不同,操作风险是指由于不完善或有问题的内部程序、人员及系统或外部事件而造成损失的风险。传统的银行卡处理模式一般是对银行卡对应账户数据库资金余额数据和信用等级进行简单判断及调拨。国内外现行系统尚未出现成熟的针对银行卡系统核心数据处理模式进行变革、通过银行卡账户状态信息事中判断和规避操作类风险的安全机制。

(四)持卡人信用风险

当前各行在信用卡业务的发展上,重规模、轻质量,不能有效区分潜在客户,对客户授信未予以严格把关,发卡对象有向高风险群体扩展的现象,过度消费、透支炒股等高风险事件时有发生。另外,不少银行向收入不稳定人群(包括没有固定收入的青少年和在校生等)发放信用卡,也埋下了较大的风险隐患。这些均反映出部分商业银行盲目追求发卡量而对申请人状况审查不严或者降低门槛的问题。

(五)其他风险

(1)对空白银行卡特别是重要空白银行卡的管理缺乏制度规定。

(2)对银行卡的调拨、领取、发放、回收和销毁等环节未进行严格管理。

(3)商业银行无视国家法规,利用信用卡可以透支的特点,搞协议透支,超规模发放贷款。

(4)商业银行制定的银行卡发行量计划过于冒进,迫使银行职员乱拉存款,虚增存款。

(5)银行卡持卡人不能按时足额归还透支款项和利息,给银行带来损失。

(6)不法分子恶意透支,骗领、冒用、使用伪造、变造或作废的银行卡。

(7)利用信用卡转移财政性存款。

(8)特约单位诈骗给银行造成经济损失。

(9)银行虚拟存款单位或盗用他人账户进行账外经营、截留存放银行资金以及套取现金。

(10)银行未严格实施授权管理(如大额存款授权)、不相容岗位职责未分离、逆程序操作,造成银行内部人员监守自盗或合伙作案,违规套取银行资金(如空存实取)。

(11)银行截留银行卡业务收入,如年费、滞纳金等,存放于账外。

(12)银行卡业务网络系统不完善、运行不稳定或通信不稳定等技术缺陷,给银行造成经济损失。

三、商业银行银行卡业务的控制测试^[3]

在调查了解银行卡业务中的主要风险后,审计人员应针对上述风险产生的原因对银行卡业务循环的内部控制进行全面调查和测试,以评价控制风险。在实际工作中,审计人员一般用询问、观察、检查书面文件或记录、流程图、抽样、穿行测试和压力测试等形式来对商业银行银行卡业务内部控制的相关内容进行测评,并最终对控制风险做出评价。

(一)询问

(1)取得银行卡业务规定或章程、授权审批规定、授信与风险管理规定、计算机系统的风险控制制度等有关制度规定,审查其完善性、恰当性和合法性。

(2)取得有关交易监控报告或业务统计报表,询问银行卡业务部门执行有关规定的实际情况,有无发生重大诈骗案件、重大责任事故或违反规定的行为。

(3)询问有关业务监督部门的银行卡业务检查情况以及客户投诉情况。

(二)观察

(1)实地观察银行卡业务不相容职务的分离情况,查看相关内部控制制度的实际执行效果。

(2)实地观察重要空白凭证、有价单证、质押品和有价值品,查看其是否安全存放和保管。

(三)检查书面文件或记录

1.检查银行卡的申领和审批

(1)调阅持卡人档案,审查银行卡部门是否严格执行申领、资信调查及审批制度,是否存在为无稳定职业、收入、固定住所和无合法担保的申领人发放银行卡的现象,是否存在把关不严导致违法分子使用虚假证件骗领银行卡的现象。

(2)调阅银行卡持卡人档案,检查持卡人和发卡商业银行之间是否签订银行卡领用合约。(3)调阅持卡人档案,将有关客户资料和授信资料与银行卡业务系统保存的电子文档核对,审查是否完整、正确录入电脑。

(4)抽查打卡清单、打卡日志和成品卡登记簿,核对是否相互一致。

2.检查银行卡的发放

调阅空白卡出/入库登记簿、打卡登记簿、密码信封交接登记簿、成品卡交接登记簿、成品卡库存登记簿、发卡登记簿和银行卡销毁登记簿,检查空白卡的保管、领取和打卡是否由专人管理,领销登记制度是否完备,制卡打号与编制密码两个岗位是否严格分开。

3.检查银行卡的开销户

(1)检查是否在没有中国人民银行核发开户许可证的情况下便为客户开立单位卡账户进而导致单位违规多头开户。

(2)检查是否存在持卡人未还清全部交易款项、投资本息和其他有关费用的情况下便为其办理开销户的现象。

4.检查银行卡的消费

(1)抽查卡存款账户、卡交易流水、有关凭证和授权记录单,审查银行卡消费超过规定限额是否索取授权,授权是否符合制度规定。

(2)调阅特约商户协议书、特约商户存款账户、有关汇/总计单和签购单/交易单,审核有关单据的交易笔数、交易金额和回扣金额(结算手续费)等内容是否一致,结算手续费的收取是否符合规定,资金划拨是否正确。

5.检查银行卡的代收代付业务

抽查相关资料,审查银行卡部门是否违规为借记卡持卡人垫付资金。

6.检查银行卡的取现管理

(1)抽查相关资料,审查银行卡每日累计取现(含ATM机)是否控制在规定的限额之内。

(2)抽查相关资料,审查有无向单位卡支取现金和个人卡透支支付现金的违规套现问题。(3)抽查相关资料,审查跨行交易和ATM机跨行取款情况下,手续费分配比例是否符合有关规定或约定。

7.检查银行卡存取款和转账

(1)抽查卡存款账户和有关凭证,审查存款资金来源是否符合规定。

(2)抽查卡存款账户和有关凭证,审查转账取款和取现是否符合规定。

(3)调阅银行卡存款账户、利息支出账户、利息清单,审查利息范围、计息办法和利率是否符合有关规定。

(4)调阅银行卡透支余额表、利息收入账户、营业外收入账户和有关凭证,审查银行卡透支是否在规定限额和规定透支期限内,是否按照有关规定计收利息、滞纳金和超限费。

8.检查银行卡的收单和清算业务

抽查相关资料,审查银行卡的收单和清算业务是否符合规定,收费标准是否符合国家规定,是否存在乱收费的现象。

9.检查银行卡的风险管理

(1)抽查相关资料,审查银行卡部门是否存在不遵守国家规定的信用卡业务风险控制指标限额,向客户提供超额、超期透支的问题。

(2)调阅银行卡保证金账户和有关凭证,审查是否严格保证金管理,保证金专户资金的收入和付出是否经过有关部门和授权人员审核批准,保证金是否不允许提前支取或挪作他用,相互串用。

(3)取得银行卡透支明细报表、有关催收单和催收工作报告,检查银行卡部门对透支是否实行了限额管理、授权止付和透支催收等手段,对伪造、涂改和冒用银行卡骗取资金和恶意透支的行为,,是否采取有效措施,配合公安和司法机关追究其刑事责任。

(4)检查呆账准备账户和有关凭证,审查呆账准备的提取、银行卡业务损失的核销是否符合规定,有关手续是否完备,是否经有关人员复核与审批。

(5)取得对持卡人和特约商户的评估报告,检查是否执行相关风险控制措施。

(四)流程图法

审计人员利用流程图来表示被审计商业银行银行卡业务的处理程序、职责分工和各种记录等,了解被评价机构银行卡业务内部控制体系的运行状况、业务的风险控制点和控制措施,从而有助于发现内部控制体系的缺失,进而确定评价的重点。

(五)抽样法

审计人员通过抽取一定数量代表性样本进行调查和测试,并据此推断总体状况。

(六)穿行测试法

审计人员在银行卡业务流程中选择一笔或若干笔业务,从头到尾检查其实际处理过程,以验证所描述业务流程内部控制的合规性和有效性。

(七)压力测试法

审计人员测试被评价机构银行卡业务处理程序和控制措施能够承受的压力程度,以及在承受相应压力时银行卡业务的相关内部 控制措施发挥的作用。

第三节　商业银行银行卡业务的实质性程序

一、商业银行银行卡业务的审计目标

(一)与银行卡业务的交易和事项相关的审计目标

1.发生

确认已记录的银行卡交易是真实的。譬如,没有发生银行卡业务,但在商业银行的相关账目中却记录了一笔该业务,则违反了该项审计目标。

该项审计目标所要解决的问题是商业银行的管理层是否把那些不曾发生的项目列入银行卡业务的相关科目,它主要与财务报表中 有关银行卡业务的相关会计科目的高估有关。

2.完整性

确认已发生的银行卡交易确实已经记录。譬如,发生了一笔银行卡交易,却没有将其记录在相关的账目中,则违反了该目标。

3.准确性

确认已记录的银行卡交易是按照正确的金额反映的。譬如,在计算银行卡手续费时,所用的本金与实际不符,则违反了该目标。

显然,准确性与发生、完整性之间存在着区别。譬如,记录的银行卡交易是不应当记录的,则即使账目金额是准确的,仍违反了发生目标。又如,已入账的银行卡交易是对真实银行卡业务的记录,不过金额计算错误,则违反了准确性目标,但是没有违反发生目标。在完整性与准确性之间也存在着同样的关系,在此不拟赘述。

4.截止

确认接近于资产负债表日的银行卡交易记录于恰当的期间。譬如,将本会计期间的银行卡交易延缓到下期,或是将下一个会计期间的银行卡交易提前到本期,则违反了截止目标。重点是检查有无人为提前(或推后)截止期来达到隐瞒(或虚增)银行卡的目的,检查有无通过调整计提利息支出的会计期间来达到调节利润的目的。

5.分类

确认被审计商业银行记录的银行卡交易经过适当分类。譬如,将人民币卡存款记录为外币卡存款,则会导致银行卡交易分类的错误,违反了分类的审计目标。

(二)与银行卡业务的期末账户余额相关的审计目标

1.存在

确认记录的金额确实存在。譬如,不存在某笔银行卡存款,在银行卡存款明细账中却列示了该笔存款,则违反了存在性目标。

2.权利

资产属于被审计商业银行的权利。譬如,将不属于被审计商业银行的银行卡存款计入账内,则违反了义务审计目标。

3.完整性

确认已存在的银行卡金额均已记录。譬如,存在某客户的银行卡,在相关的账目却没有记录,则违反了完整性的审计目标。

4.计价和分摊

银行卡类账户以恰当的金额包括在被审计商业银行的财务报表中,与之相关的计价或分摊调整已被恰当记录。

(三)与银行卡业务的列报相关的审计目标

1.发生及权利

将没有发生的银行卡类交易和事项,或与被审计商业银行无关的银行卡类交易和事项包括在财务报告中,则违反了该审计目标。

2.完整性

如果应披露的与银行卡业务有关的事项没有包括在被审计商业银行的财务报告中,则违反了该项审计目标。譬如,检查被审计商业银行的关联方和关联交易,以验证其在财务报告中是否得到充分披露,即是对列报的完整性审计目标的实现。

3.分类和可理解性

被审计商业银行的银行卡信息已被恰当地列报和描述,且披露内容表述清楚。譬如,检查银行卡的主要类别是否披露,是否将银行卡存款列入存入保证金,即是对列报的分类和可理解性的目标的实现。

4.准确性和计价

被审计商业银行的银行卡信息已公允披露且金额恰当。譬如,检查被审计商业银行的财务报告附注是否对有关银行卡信息做了恰当的说明。

二、商业银行银行卡业务的实质性测试^[4]

在完成银行卡业务的内部控制测评后,审计人员即可确定审计检查所要达到的保证程度,并在综合分析的基础上运用职业判断来确定审计的重点和范围,应用各种审计程序去开展银行卡业务的实质性测试。

(一)银行卡申领及审批的实质性测试

调阅银行卡部门业务档案保管库中有关银行卡业务申请表的资料,检查是否存在申请资料不全、项目空缺或者简化审批资料等情况。

(二)银行卡发卡的实质性测试

(1)将柜台空白卡保管登记簿与会计部门表外“空白重要凭证”科目总账和分账进行核对,审查两者的数据是否一致。

(2)审计人员要实地查看空白卡的保管情况及其数额,以核对其账实是否相符。

(3)取得被审计商业银行自身开立银行卡账户的情况,审查其有无私自开立单位卡抑或违规开立个人卡的问题。

(三)银行卡开销户的实质性测试

(1)调阅银行卡存款开销账户登记簿、持卡人档案、“保证金”账户、抵(质)押登记簿,审查开户是否合规,持卡人是否符合银行卡申领条件,是否提交有效身份证件或企业营业执照或法人资格证明、中国人民银行核发的开户许可证和单位证明等,有关担保方式是否真实、合法、有效,审查有无私自或违规开立单位卡和个人卡的问题。

(2)审阅银行卡开销户登记簿等档案资料,审查银行卡账户的销户是否符合有关销户条件的规定。

(3)调阅开销户登记簿、卡存款账户和有关凭证,抽查银行卡销户的办理,审核持卡人是否已经还清全部交易款项、透支本息和有关费用,同时审核销户资金的处理是否符合相关规定。

(4)利用计算机检索“银行卡存款”账户、银行卡存款开销户登记簿,掌握被审计商业银行各部门各自开立银行卡账户的情况,调阅有关卡交易流水,审查其交易是否异常。

(四)总体核对

(1)取得银行卡业务资产负债表、利润表(业务收支报表)、相关科目报表(业务状况表、余额表)、总账、分户账,核对账表、账账是否相符,如果不符,须查明原因。

(2)取得银行卡业务相关电子数据,利用计算机完成从流水账、分户账到总账的核对,并生成有关会计报表,与纸质报表相核对,审查银行卡部门会计报表是否真实和完整,有无人为调整账表的问题。

(3)取得银行卡业务系统数据、会计系统数据和有关银行卡业务的统计报表,核对单位卡存款余额、个人卡存款余额、透支余额、发卡数量、交易金额(消费、库存现金和转账)、交易笔数等内容是否一致,审查银行是否完整、正确记载该项业务。

(五)银行卡一般业务收支的实质性测试

(1)对银行卡业务量执行分析性复核,取得银行卡业务统计报表、银行卡业务资产负债表、利润表,将单位卡存款余额、个人卡存款余额、透支余额与上年度比较,与本年度其他月份比较,判断变动是否正常,趋势是否合理。

(2)取得透支科目/其他短期贷款明细账户、营业外收入账户、卡存款明细账户、有关卡的信用额度,审查当贷记卡持卡人未偿还最低还款额和超信用额度用卡时,发卡银行是否分别按最低还款额未还部分、超过信用额度部分的5%收取滞纳金和超限费,是否正确记入有关收入账户。

(3)对结算手续费收入执行分析性复核,取得年度及各月份银行卡业务统计报表,根据特约客户交易量、平均结算手续费率、约定分配比例(对跨行交易),估算手续费收入可以达到的预期水平,与实际收入相比较,分析差异是否重大。

(4)利用计算机检查银行卡业务费率表的参数设置是否符合规定,有无随意调整收费标准、调节利润的问题。

(5)检查银行卡业务汇兑损益的确认是否正确。取得“单位卡存款”账户、卡交易流水和有关凭证,审查大额交易的合法性和真实性,并抽查部分存款交易流水,审查单位卡存款是否从其基本存款账户或外汇账户转账存入,有无将销货收入存入单位卡账户、将单位卡资金转账存入个人账户、单位卡转账结算出现透支和存取现金等问题。

(6)取得“个人卡存款”账户、卡交易流水和有关凭证,审查大额交易的合法性和真实性,并抽查部分存取款交易流水,审查有无将单位资金存入个人卡账户、大额取现未经审批和登记、累计取现超过规定限额和银行卡透支支取现金等问题。

(7)调阅“保证金”账户和有关凭证,审查是否严格实行保证金制度,有无存在提前支取挪用保证金、保证金未专款专用和未实行专户管理和将其他业务资金存放于此账户等问题。

(六)银行卡代收代付业务的实质性测试

将代收代付清单与“其他应付款”科目逐笔进行核对,审查是否存在代收业务不通过“其他应付款”等中间科目划转或代付业务为代付单位垫付资金的问题。

(七)银行卡取现业务的实质性测试

(1)审阅取款清单,检查是否存在借记卡账务日累计交易超过5 000元的记录或贷记卡账户日累计交易超过2 000元的记录。

(2)对银行卡的全部交易进行检索,检查是否存在单位卡违规取现的问题。

(3)审查个人卡账户对账单,检查是否存在导致余额为红字“取现”的交易类型。

(八)银行卡利息的实质性测试

(1)对银行卡利息支出执行分析性复核,取得银行卡业务资产负债表、利润表和卡存款科目明细表,根据各卡种存款月/年平均余额、规定的利息范围、计息办法和利率,估算利息支出可以达到的预期水平,与实际利息支出比较,分析差异是否重大。

(2)取得应付利息计提明细表、利息支出账户、应付利息账户、卡存款明细账户和利息清单,审查银行卡存款利息的计提是否符合规定,使用利率是否正确,有无对贷记卡账户的存款计付利息。

(3)取得与银行卡存款和计息有关的电子数据,利用计算机审查卡存款计息范围、计息办法和适用利率的正确性,重新计算利息支出水平,再与实际利息支出相比较。

(4)测试银行卡业务收支入账时间,抽查结账日前后的大额利息收入、利息支出及手续费收入记录,核对有关凭证,审查其入账时间是否正确,有无存在跨年度入账从而造成损益不实的问题。

(九)银行卡收单及清算业务的实质性测试

对银行卡部门的营业柜台进行实地检查,审查其收单及清算工作是否合规。

(十)银行卡透支的实质性测试

(1)对银行卡透支利息收入执行分析性复核,取得银行卡业务资产负债表和利润表、银行卡透支月报表和透支科目明细报表,根据各卡月均透支余额、规定的计息办法和利率,估算利息收入可以达到的预期水平,与实际利息收入相比较,分析差异是否重大。

(2)取得透支科目/其他短期贷款明细账户、利息清单和有关凭证,审查卡透支利息的计算是否正确,透支利率是否符合规定,准贷记卡透支是否按月计收单利,贷记卡透支是否按月计收复利。准贷记卡透支有无享受免息还款期和最低还款额待遇,贷记卡免息还款期有无超过60天、首月最低还款额有无低于其当月透支余额10%,贷记卡持卡人选择最低还款方式或超过发卡银行批准的信用额度用卡时,有无继续享受免息还款待遇。

(3)取得与银行卡透支有关的电子数据,利用计算机重新计算利息收入水平,与实际利息收入(包含应收利息)相比较,审查透支利息的计算是否正确。

(4)取得银行卡透支统计报表、银行卡透支或其他短期贷款账户、呆账准备账户和有关凭证,审查呆账准备的提取是否恰当和充分。

(5)取得银行卡透支月报表、调阅银行卡存款账户或银行卡透支账户(或其他短期贷款账户)、卡交易流水,审查银行卡透支是否符合条件,是否在规定的透支期限和透支限额内,有无存在协议透支和变相违规放贷问题。

(6)取得银行卡透支月报表、银行卡存款账户或银行卡透支账户(或其他短期贷款账户),审查银行卡业务风险指标是否控制在规定的范围内,如单笔透支发生额、同一账户月透支余额、外币卡透支额和180天以上月均透支余额等。

(7)取得呆账准备账户、银行卡透支统计报表和有关凭证,审查是否根据资产风险状况计提损失准备,呆账准备是否充分;审查银行卡透支损失的核销是否符合规定,有关手续是否完备。

(十一)重大项目或可疑项目审查

(1)取得银行卡透支月报表、银行卡透支余额表,调阅有关透支档案,了解恶意透支的具体情况,分析原因,判断损失的可能性和大小。

(2)取得有关收入和支出账户,重点关注红字冲销分录和调整分录,调阅有关凭证和证明文件,审查有关处理的正确性。

(3)检查卡存款明细账户有无长期不动户与休眠户,若有,应深入分析调查其原因。

(4)利用计算机检索卡存款账户户名异常、卡账户信息异常、频繁发生大额资金收付等可疑情况,调阅开销户资料和存取款凭证,追查资金来源和去向,审查有无利用银行卡从事账外经营和洗钱等问题。

【注释】

[1]本部分内容主要参考资料为:中华人民共和国审计署金融审计司编著,《商业银行审计指南》,中国金融出版社2003年版,第155~156页。

[2]本部分内容主要参考了如下资料:中华人民共和国审计署金融审计司编著,《商业银行审计指南》,中国金融出版社2003年版,第158~160页;车迎新主编、阎庆民副主编,《商业银行内部控制评价办法实施指南》,中国金融出版社2006年版,第138~162页;刘琳、张金城主编,《商业银行审计》,中国金融出版社2007年版,第75~80页。

[3]本部分内容参考了如下资料:中华人民共和国审计署金融审计司编著,《商业银行审计指南》,中国金融出版社2003年版,第161~163页;车迎新主编、阎庆民副主编,《商业银行内部控制评价办法实施指南》,中国金融出版社2006年版,第165~192页;刘琳、张金城主编,《商业银行审计》,中国金融出版社2007年版,第159~163页。

[4]本部分内容主要参考了如下资料:中华人民共和国审计署金融审计司编著,《商业银行审计指南》,中国金融出版社2003年版,第164~166页;车迎新主编、阎庆民副主编,《商业银行内部控制评价办法实施指南》,中国金融出版社2006年版,第202~①3页;刘琳、张金城主编,《商业银行审计》,中国金融出版社2007年版,第158~162页。