2026年度第二季度商业银行内审观察报告

刊物简介 毕马威“内审观察”系列为商业银行内部审计服务专题报告。我们持续跟踪国内外内部审计理论发展、银行业重要法规及监管政策变化、监管检查与处罚动态、市场变化及舆情信息等，并运用毕马威专家团队丰富的行业经验及专业解读，及时与您分享内部审计相关的风险洞察与应对建议。 目录 1监管规则追踪 2026年上半年监管新规变化、《金融产品网络营销管理办法》《网络数据安全风险评估办法》《衍生品交易监督管理办法（试行）》《关于银行业保险业人工智能安全开发应用的指导意见》等重点新规解读、内部审计关注事项及建议等 4 2监管处罚洞察 2026年上半年监管处罚整体分析、监管处罚重点及趋势洞察，审计署《国务院关于2025年度中央预算执行和其他财政收支的审计工作报告》金融领域问题发现，内部审计关注建议及参考程序等 23 “风险文化”审计与常态化监控30 4内审理论动态 国际内部审计师协会报告《从数据到决策：通过可视化与故事叙述强化内部审计》《董事会需知的企业风险管理监督》主要内容及审计启示36 5内审国际动态 花旗银行、摩根大通、汇丰银行等近期内部审计动态及较佳实践参考 1.监管规则追踪 监管新规变化 2026年上半年，财政部、中国人民银行、国家金融监督管理总局、中国证券监督管理委员会、国家外汇管理局、中国银行业协会、中国保险行业协会、中国证券投资基金业协会等监管机构、行业自律组织和交易所等，共发布重要新规及征求意见稿145项。从涉及领域与重点规范事项来看，主要涵盖金融监管、信贷业务、金融市场业务、同业业务、代理销售、托管业务、资本市场业务、运营管理、反洗钱、人工智能等多个业务及管理领域，旨在进一步完善金融市场体系、强化风险管理、优化资源配置以及推动经济高质量发展。 内审关注要点 延续一季度新规分析，我们梳理了二季度重点领域的核心法规要点及关注事项，供内部审计工作参考。 相关刊物 毕马威《金融监管合规参要》综合收录国际国内金融业重要法规及政策变化、同业合规管理动态、典型合规案例分析、合规风险热图等，协助金融机构有效应对监管变化，持续优化合规管理效率和效果。 重点新规精读 《金融产品网络营销管理办法》 新规背景及影响 随着数字金融快速普及，互联网已成为各类金融产品营销推广的核心渠道。线上营销具备传播快、覆盖面广、触达门槛低的优势，但行业长期缺乏统一规范，野蛮生长问题凸显，各类违规营销乱象频发；比如进行虚假和误导宣传、营销行为涉嫌垄断和无序竞争、营销宣传内容违背社会公序良俗等。此类乱象不仅严重侵害金融消费者知情权、公平交易权，极易引发个人金融风险，还滋生非法金融活动，扰乱金融市场秩序，加剧行业合规风险。 为补齐线上金融营销监管短板，规范全行业经营行为，人民银行、金融监管总局、证监会等八部门于2026年4月21日联合印发《办法》，并明确于2026年9月30日正式实施，实现全品类金融产品网络营销监管标准统一。新规明确各方主体权责，压实持牌金融机构首要责任，划定第三方合作平台合规红线，全面约束直播营销、短视频推广、算法智能推荐等新型营销模式。短期将提升金融机构渠道管控、内容审核及平台合作的合规成本，长期能够彻底整治行业乱象、阻断非法引流路径、健全投资者适当性保护体系，推动线上金融营销朝着规范化、透明化、法治化方向发展，筑牢金融行业稳健经营根基。 对商业银行影响较大的条款及审计关注建议 总部集中统一的内容审核机制 《办法》明确了金融机构应当建立总部集中统一的营销宣传内容审核机制，确保线上推广材料合法合规。宣传内容须与合同条款保持一致，清晰展示产品关键信息。官方渠道需公示产品信息及合作机构名单。严禁使用虚假或误导性内容；禁止承诺保本保收益；禁止夸大保险责任或违规类比；禁止利用监管备案作背书；严禁采用“极速放款”“零成本”“高回报”等具有煽动性质的词汇。 内审关注建议： •总部集中审核机制是否已建立并有效运行，审核流程是否完整覆盖所有营销渠道如官网、APP、微信公众号、小程序、直播等；审核标准是否明确且与监管要求一致。•对于存量营销内容是否已完成全面排查和整改，是否存在使用煽动性词汇宣传、隐瞒风险提示、虚假宣传等违规情况。系统设置是否与业务规则相符，审核留痕是否完整可追溯。•对于直播、短视频等新型营销方式，是否建立了专门的内容审查流程和可回溯机制，出镜人员是否为金融机构从业人员，是否具备相应的从业资格。•重点排查自营和通过第三方开展营销的存量营销内容合规性，对不符合新规要求的宣传物料及时下架或整改。 第三方平台责任边界的界定 《办法》明确了金融机构与第三方平台需以书面协议明确权责划分，第三方平台不得介入销售合同签订、资金划转、金融消费者和投资者适当性测评、贷款额度测评等核心销售环节。第三方平台须清晰展示产品提供方标识，避免品牌混同。获取客户信息须获授权，保障数据安全，严禁非法获取或使用数据。第三方平台须遵循平等自愿原则，严禁垄断及不正当竞争行为。 内审关注建议： •是否在合作协议中明确要求各方落实综合融资成本明示要求的责任和义务，是否清晰界定第三方平台不得介入的核心业务环节如合同签订、资金划转、适当性测评、额度测评等。•是否建立了合作方尽职调查和动态评估机制，对现有合作的第三方平台是否进行了全面梳理，是否存在越界介入核心销售环节的情况。•是否建立了合作方违规行为的监测和处置机制，对于发现的合作方违规行为是否及时采取了纠正措施，包括终止合作、依法追偿损失、追究法律责任等。 消费者权益保护措施强化 《办法》要求多类别产品需分别设立展示专区。非银行支付机构不得在支付选项中列入贷款或资管产品。禁止利用算法诱导过度消费，发送营销信息须提供退订选项。弹窗广告须具备一键关闭功能。组合销售须显著提示，严禁违法搭售或默认勾选。通过自媒体或直播营销的，必须是具备资质的从业人员，机构需承担管理与回溯责任。 内审关注建议： •自营及通过第三方合作机构营销的产品展示界面是否设置了清晰的分类专区。消费金融、场景金融等支付环节是否明显区分支付渠道与贷款或资管产品，是否存在违规嵌入信贷或资管产品诱导使用的情况。•如利用算法开展营销，算法是否经过消费者权益保护审查，是否不存在诱导过度消费现象，是否设置不应用个性化推荐。•弹窗广告是否具备有效的一键关闭功能，营销短信是否提供了便捷的退订渠道。可通过用户体验测试的方式验证相关功能的实际效果。 过渡期整改安排 《办法》将于2026年9月30日正式施行，建议银行充分利用过渡期完成以下工作：一是完成存量营销内容的全面排查与整改；二是完成与合作平台的协议修订；三是完成内部审查流程的优化升级；四是开展全员合规培训，确保一线营销人员充分理解新规要求。 内审关注建议： •是否制定了详细的过渡期整改计划和时间表，各项整改措施是否按计划推进。•是否开展了全员合规培训，一道防线营销人员与二道防线审查人员是否充分理解新规要求，培训内容是否覆盖了所有相关岗位。 《网络数据安全风险评估办法》 新规背景及影响 2026年6月18日，国家网信办、工业和信息化部、公安部联合公布《网络数据安全风险评估办法》，自2026年8月20日起施行。该《办法》是对《中华人民共和国数据安全法》《网络数据安全管理条例》等上位法中关于数据安全风险评估原则性规定的细化与落地。当前，我国数字经济持续发展，网络数据规模稳步增长，网络空间安全形势更趋复杂。长期以来，实务界存在将风险评估片面理解为形式化合规成本的认知偏差。《办法》的出台为网络数据安全风险评估搭建了全景式操作框架，将宏观的法律规定转化为微观操作规范，标志着我国网络数据安全治理迈入精细化、标准化的新阶段。 《办法》的施行推动内审角色从传统的合规性检查者，向数据安全治理体系评价者和风险预警者转变，要求内审工作更聚焦于数据安全与业务战略的协同性、治理架构的有效性以及风险偏好的适配性。内审职能需从董事会及高管层视角，审视全行数据安全管理的顶层设计是否健全，评估数据安全文化是否融入日常经营决策。同时，该《办法》促使内审部门重新定义自身的专业能力边界，强化对新型数字风险的前瞻性研判，将网络数据安全审计纳入机构整体风险管理框架，实现从分散的“点状监督”向系统化“网状防控”的升级。 对商业银行影响较大的条款及审计关注建议 年度评估与触发评估 《通知》明确了重要数据处理者应当每年度开展风险评估。重要数据安全状态发生重大变化可能对数据安全造成不利影响的，应当及时对发生变化及其影响的部分开展风险评估。鼓励处理一般数据的网络数据处理者至少每3年开展一次风险评估。 内审关注建议： •审查银行是否已完成重要数据识别，并建立重要数据清单的动态更新与维护机制。•核查年度评估计划是否纳入全行年度工作安排，评估范围是否覆盖所有重要数据处理活动。•评估银行是否建立触发评估的监控预警机制，当重要数据因业务拓展、系统变更、第三方合作等发生状态变化时能否及时启动补充评估。 报告报送与时效 《通知》要求重要数据处理者应当在年度风险评估完成后的20个工作日内按照有关主管部门要求向其报送风险评估报告。主管部门不明确的，向省级网信部门或者国家网信部门报送。 内审关注建议： •核查从评估启动、完成到报告报送的全流程时限管理是否形成闭环，是否存在超期风险。•审查风险评估报告的内容完整性，是否涵盖数据分类分级情况、重要数据识别情况、数据处理活动情况、安全措施有效性、安全风险研判结论等法定要素。•建立对评估报告质量的独立复核机制，重点关注报告结论与实际情况的一致性，防范因报告失实引发的合规风险。 监管核验与整改要求 《办法》要求省级以上网信部门、电信主管部门、公安机关和其他有关部门在风险评估报告核验、监督检查等工作中发现网络数据处理者有以下情形之一的，可以要求其委托通过认证的评估机构开展风险评估：（1）网络数据处理活动存在较大安全风险，可能危害国家安全、公共利益的；（2）发生网络数据安全事件，导致重要数据或者大规模个人信息泄露、被窃取的；（3）有关部门规定的其他情形。对同一网络数据安全事件或者风险，不得重复要求网络数据处理者委托评估机构开展风险评估。 内审关注建议： •检查银行是否建立评估发现问题的台账管理制度，明确整改责任人、时限要求和验收标准。•核查整改完成后是否在规定时间内向主管部门报送整改情况报告，是否形成“发现问题—整改落实—效果验证—报告反馈”的完整闭环。•前瞻性审视银行是否具备应对外部检查核验的配合能力，包括数据访问权限提供、评估机构协调等预案准备。•评估银行是否已建立评估机构备选库及快速响应机制。 行业规定衔接与监管检查 《办法》要求风险评估工作应当按照《中华人民共和国数据安全法》和《网络数据安全管理条例》相关规定，参照数据安全风险评估的国家标准开展。有关主管部门对本行业、本领域风险评估工作另有规定的，从其规定。有关主管部门应当按照“谁管业务、谁管业务数据、谁管数据安全”的原则，定期组织并开展本行业或本领域的风险评估工作。根据实际需要，主管部门还应对处理重要数据的网络数据处理者进行风险评估情况的检查，并于每年1月底前将年度风险评估检查计划报送国家网信部门。 内审关注建议： •检查银行是否已全面梳理金融行业数据安全管理相关监管要求，采用孰严原则制定内部管理制度要求，确保《办法》与行业规定同时满足、不留盲区。 •在监管部门开展行业风险评估检查前，内审应提前安排自查自纠，主动识别并弥补合规差距。 评估机构管理 《办法》明确了评估机构及其工作人员应当对在风险评估过程中获得的数据、商业秘密、保密商务信息等依法予以保密，不得泄露或者非法向他人提供，在风险评估结束后及时删除或者按照合同约定妥善处置相关信息。 内审关注建议： •审查委托评估机构的遴选管理是否规范，包括资质审核、合同签订等环节是否齐备。•关注委托合同条款是否明确约定禁止转委托、报告质量责任、数据保密义务等关键内容。•对第三方出具的评估报告独立审阅，确保对报告真实有效的主体责任不因委托第三方而转移