商业银行内审观察（2025年度）

刊物简介 毕马威“内审观察”系列为商业银行内部审计服务专题报告。我们持续跟踪国内外内部审计理论发展、银行业重要法规及监管政策变化、监管检查与处罚动态、市场变化及舆情信息等，运用毕马威专家团队丰富的行业经验及专业解读，及时与您分享内部审计相关的风险洞察与应对建议。 目录 1监管规则追踪 2025年监管新规变化、《商业银行托管业务监督管理办法（试行）》《金融机构产品适当性管理办法》《银行保险机构资产管理产品信息披露管理办法》等重点新规解读、内部审计关注事项及建议等 04 2监管处罚洞察 2025年度监管处罚变化整体分析、监管处罚重点及趋势洞察，内部审计关注建议及参考程序等 数字金融时代“黑灰产”的主要特征、典型案例、审计应对思路及敏捷审计专题实务建议 4内审理论动态 国际内部审计师协会报告《在完美风暴中打击欺诈》《2026年全球风险焦点报告》《内部审计：2035愿景——共创我们的未来》《可持续发展数据的内部控制》等主要内容及审计启示 38 5内审国际动态 花旗银行、瑞士银行、美国银行近期内部审计动态及较佳实践参考 1.监管规则追踪 监管新规变化 2025年，全国人民代表大会常务委员会、国务院、财政部、中国人民银行（“人民银行”）、国家金融监督管理总局（“金融监管总局”）、中国证券监督管理委员会（“证监会”）、国家外汇管理局（“外管局”）等监管机构、行业自律组织、交易所等共发布295篇重要新规及征求意见稿。从涉及领域和重点规范事项来看，主要影响信贷业务、金融市场业务、代理业务、投行业务、托管业务、支付结算等业务领域，以及公司治理、反洗钱管理、消费者权益保护、征信管理、运营管理、信息披露、数据安全、网络安全等管理领域。此外，为提振经济、促进产业升级，更好地支持“金融五篇大文章”，金融监管机构亦联合多部委发布了诸多经济促进与便民优惠政策，以及多领域的高质量发展行动方案。 从监管立法趋势来看，金融监管法制加快健全，“四级垂管”、“五大监管”持续强化，监管协调性进一步增强。预计2026年金融监管将持续聚焦行业高质量发展，监督各类银行保险机构专注主业、错位发展。配套出台的监管新规，亦将通过现场及非现场监管方式，严厉惩治违法违规行为。 内审关注要点 我们总结了重要的新规涉及领域、法规核心要点及关注事项，建议内部审计重点关注。 相关刊物 毕马威《金融新规热读》为监管动态跟踪专题报告，我们持续关注金融业重要法规及政策变化，协助金融机构有效应对监管变化，以持续优化合规管理效率和效果。 重点新规精读：资管业务专题 2025年，金融监管总局在资产管理领域集中发布了多项新规，包括《商业银行代理销售业务管理办法》《商业银行托管业务监督管理办法（试行）》《金融机构产品适当性管理办法》《银行保险机构资产管理产品信息披露管理办法》等，重点从金融消费者/投资权益保护出发，对合作机构管理、销售适当性管理以及信息披露等方面进行了规范，建议内部审计重点关注新规带来的业务流程调整、合同规范、存量业务整改、信息系统功能优化、个人信息保护与数据安全管理等方面。 《商业银行托管业务监督管理办法（试行）》 新规背景及影响 《办法》是监管部门第一次对商业银行托管业务进行系统性规范，填补了托管业务长期的制度空白。近年来，商业银行为理财产品、资金信托、证券投资基金、证券公司资管产品、保险资管产品、社保基金、养老金等提供托管服务，业务规模稳步扩大、服务种类不断增多、创新活动日趋活跃，但实务中也存在许多争议与纠纷。需注意的是，如商业银行开展公募基金、私募基金、私募资管产品等托管业务，除《办法》外，还需遵循证监会体系的监管规则。 从内容来看，《办法》要求商业银行开展托管业务应当建立健全托管业务治理架构，在管理体系和制度、业务独立性、授权控制、业务准入、宣传营销、数据保护等方面分别提出了规范。一是建立健全风险管理体系。要求商业银行建立与其托管业务规模和复杂程度相适应的风险管理体系，具备健全的托管业务管理制度，将托管业务授权纳入统一授权管理，并建立岗位制衡与流程约束机制。二是强化托管业务独立性。要求商业银行将托管业务与其他业务实施有效隔离，包括人员岗位、物理场所、账户资金、业务数据和信息管理系统等方面。三是强化数据保护。要求商业银行必须有效保护和合理利用托管业务数据和客户信息。四是加强托管产品和合作机构的尽职调查和管理。要求商业银行制定并实施托管业务客户资质、产品类别、资产类型的准入标准，实行名单制管理。 从管理框架来看，《办法》对比2022年12月29日发布的《商业银行托管业务监督管理办法（征求意见稿）》在结构上进行了优化调整，尤其在托管产品准入、非标资产托管、对垫资（主要针对快赎货币基金）的规定、信息系统要求以及风险资本计提上，《办法》提出了明确、系统化、精细化的要求。同时，《办法》还为存量业务提供了三年的过渡期。 对商业银行影响较大的条款及审计关注建议 管理体系优化 新规要求商业银行开展托管业务应当建立健全托管业务治理架构，在管理体系和制度、托管业务信息系统、风险管理体系、业务独立性、授权控制、业务准入、宣传营销、数据保护等方面分别提出具体规范。 此外，新规还提出了多方面具体要求，例如：设有托管业务专营部门；商业银行与产品管理人的对账频率应至少每半年一次；建立托管产品准入的禁止性负面清单；托管业务风险准备金及操作风险资本计提；建立托管业务内部审计和外部审计机制；业务资料保存等。 管理体系优化（续） 内审关注建议： •大型商业银行普遍已经建立较为完善的托管业务管理体系，但仍需对照新规查漏补缺，关注具体要求的落实情况，以及在业务流程、信息系统功能、岗位职责要求等方面的传导。开展托管业务的中小型商业银行需对托管业务管理体系开展整体评估与优化。•过渡期间，建议内部审计了解业务部门对于托管新规的落实思路、管理变化、过渡期安排及实施时间表等，前瞻性地评估业务合规挑战。•建议内部审计特别关注以往业务管理要求未特殊覆盖的托管业务信息系统、数据保护与网络安全等领域，以及对账频率、产品准入禁止性负面清单、风险准备金及操作风险资本计提、内外部审计覆盖情况、业务资料保存年限等具体事项规范。 完善托管业务合同 新规要求银行依照法律法规及托管合同约定，为托管产品提供账户开立、财产保管、清算交割、会计核算、资产估值、信息披露、投资监督等托管服务。 商业银行开展托管业务应签署托管合同。托管合同应当至少包括合同各方的权利义务、托管职责，合同的生效、变更和终止，违约责任和争议解决方式等内容。商业银行应当对托管合同条款进行评估，确保相关约定合规清晰、风险揭示充分，相关各方职责和权利义务明确。 银行应完善托管业务合同，将各项托管服务的职责与履职边界加以明确，细化各项条款的责任分配，规范重大事项报告路径、合同终止及资产移交流程，完善争议解决及责任分配条款，防范法律纠纷。同时，设定估值差异处置机制和投资监督拒绝执行机制，明确出现争议或违规情形时的处理流程。 内审关注建议： •《办法》将托管职责与履职要求压实在托管合同中。对照新规要求，内部审计需关注托管业务合同模板是否内容是否全面、合理，针对不同托管服务内容的责任分配与约定是否明晰，特别关注会计核算、资产估值、信息披露、投资监督等以往实务中容易产生纠纷的事项。 投资于非标准化资产的托管产品 新规要求托管产品约定的投资范围包括非标准化债权类资产、未上市企业股权等非标准化资产时，商业银行应当根据自身能力和服务水平，经充分评估后开展托管业务。 商业银行应当评估产品管理人的资本实力、公司治理、合规管理、风险控制、信息披露和市场影响力等方面，评估产品的交易结构、投资标的、退出方式、估值方法策略等方面。 内审关注建议： •《办法》对投资于非标准化资产的托管产品单独进行了风险提示，建议内部审计了解并评估行内此类托管产品的规模、管理机制、业务人才储备等，特别是管理人与产品的尽职调查具体流程，关注准入标准与审核过程是否合理。 规范托管产品资金账户命名 新规要求托管产品的资金账户应当具有明确标识，名称原则上应当包含开户主体和产品名称字样，确保资金账户名称与所托管的产品名称相对应。 内审关注建议： •建议检查托管产品资金账户清单，关注账户名称是否符合监管要求的命名标准；建议关注制度是否对托管产品资金账户命名规则进行规范；系统是否支持自动化命名或增加名称校验功能等。 规范会计核算 新规要求商业银行提供会计核算服务的，需在托管合同中明确各方职责与具体核算方法。 新规详细要求：产品管理人为会计责任方的，商业银行复核产品管理人提供的托管产品财务数据；可从第三方渠道获取可靠数据的，商业银行主要使用第三方数据进行会计核算。对仅依赖产品管理人所提供数据且无法从其他渠道获取可靠数据进行会计核算的，商业银行应在托管合同中明确约定数据来源和免责情形。 内审关注建议： •以往托管业务合同中，通常未对会计核算、数据来源及免责情形等进行详细的约定。建议内部审计关注对于提供会计核算服务的托管业务，不同情形下合同中是否明确职责与核算方法；特别关注对仅依赖产品管理人所提供数据且无法从其他渠道获取可靠数据进行会计核算的，托管合同中是否明确了约定数据来源和免责情形。 规范资产估值 新规要求商业银行提供资产估值服务的，应当在托管合同中明确约定估值对象、估值原则、估值方法、估值时间以及差错处理等内容，严格按照托管合同的约定进行资产估值。使用模型估值的，应当审慎确定模型参数，不得随意调整。商业银行估值结果与产品管理人无法达成一致的，商业银行应当及时提示产品管理人按照有关法律法规进行信息披露。 内审关注建议： •以往托管业务合同中，通常未对资产估值方法及模型等进行规范。建议内部审计关注未来与产品管理人商定估值模型、模型参数等，未来模型、参数重检及调整的工作机制。以及对于提供资产估值服务的托管业务，合同条款是否清晰约定监管要求的事项。 规范信息披露 新规要求商业银行应当在托管合同中对信息披露的职责、内容和方式进行明确约定。 对于产品管理人或其他相关方披露信息中需要商业银行复核的内容，商业银行应当根据自身能够获取的数据和信息进行复核，并与产品管理人或其他相关方明确约定，在其信息披露时说明商业银行所复核的数据和信息。 规范信息披露（续） 内审关注建议： •以往托管业务合同中，通常未对信息披露的职责与数据获取权限等进行详细规范。建议内部审计关注检查合同对于信息披露的约定是否清晰；特别关注对于产品管理人或其他相关方披露信息中需要商业银行复核的内容，信息披露报告中是否明确了银行复核的数据和信息，是否可以穿透获取所需信息，以及相关事项是否已明确在合同条款中。 规范投资监督 新规要求商业银行在充分获取所必需数据信息的前提下提供投资监督服务。投资监督的内容可以包括投资范围、投资比例、投资风格、投资限制、关联方交易等。商业银行不得提供或承诺提供无法有效履职的投资监督服务，并要求对信息的真实性、准确性等进行评估。 内审关注建议： •建议内部审计特别关注产品结构复杂、信息透明度较低的托管产品，综合评估是否具有有效履职能力、监督手段、数据来源与系统功能支撑程度等；特别是对于投资范围、投资比例、投资风格、投资限制、关联方交易等方面，是否能够对信息的真实性、准确性开展评估。 设置禁止性行为 新规明确商业银行不得承担托管产品财产的投资风险，不得以任何形式为托管产品提供显性或隐性担保，同时明确禁止财产混同管理、挪用、非法牟利等行为。 内审关注建议： •建议内部审计在业务整改过渡期间，前瞻性关注托管业务是否存在监管规定的禁止性行为，了解整改措施及落实进度等。 风险准备金及操作风险资本计提 新规要求商业银行应严格遵循会计准则和监管规定，按照实质重于形式的原则和穿透原则，从托管业务收入中计提风险准备金，主要用于弥补因违法违规、违反协议、操作错误或者技术故障等造成的损失。风险准备金的计提、使用等，按照相关规定执行。 商业银行