一、客户信息风险的基本构成要素分析
信息风险是指由于客户内部控制的不完善或内部控制失效，各种资信信息片面或扭曲反映其信用水平的可能性。依据其产生的来源不同，它又可分为固有风险(InherentＲisk，简称为IHＲ)和控制风险(ControlＲisk，简称为CＲ)两类。其中，固有风险是指因客户自身内部控制系统的不完善使银行内部评级结果失真的可能性，而控制风险是指因客户自身内部控制系统的失效使银行内部评级结果失真的可能性。图1反映了客户信息风险的组成要素及其产生的原因。
二、评价客户内部控制系统的风险水平
通过对内部控制系统风险程度的评价，有助于真实评价客户信息风险水平。商业银行内部评级人员在评价贷款企业内部控制系统的健全程度后，需继续测试其内部控制系统的符合性，以得到贷款企业内部控制发挥其功能的有效信息。最后，银行信贷人员再根据获取的有效信息，客观评价申请贷款企业内部控制的风险水平。
(一)信贷企业内部控制系统风险水平的分类。内部控制系统的风险水平即是反映内部控制的可信赖程度，银行信贷人员由此决定的评级方法、进行的评级程序和作出的评级结论，偏离客户客观事实的可能性。实际上，内部控制系统的风险水平即是本文论及的信息风险水平。对于内部控制系统风险水平的评价，在银行信贷实务中可划分为高、中、低三个等级，逐一代表内部控制失效或不完善所导致评级结论偏离客户实际信用水平的可能性。根据银行信贷数据，高风险水平大于40%，中等风险处于10%至40%之间，低风险则低于10%。
(二)客户内部控制系统风险的评价结果。根据内部控制系统可信赖程度的高低，对客户内部控制的评价结论划分为三种不同类型。1．高信赖度。高信赖度是指信贷企业内部控制系统比较健全，且能有效发挥作用。银行评级人员能够信赖客户的内部控制数据，在实际评级时可适当减少信用评级指标。2．中等信赖度。中等信赖度是指信贷企业的内部控制系统不太健全，有部分环节不健全、不完善，会一定程度影响评级信息的真实可靠。银行信贷人员在利用内部控制数据时应保持适度的警惕性，并且完善评级方法，补充定量评级指标。3．低信赖度。低信赖度是指信贷企业的内部控制系统设计有大缺陷，在实际内控中无法有效实施，导致大部分经济业务和财务数据出错，使得内部控制数据严重背离企业事实，从而导致银行根本无法信赖企业的内部控制。基于此种情况，信贷人员必须重新设计评级程序，扩大对业务循环过程和企业实际财务数据收集工作，进而获得足够有效的评级信息。此外，也要大幅度增加评级中财务指标，以提高最后评级结论的真实性。当信贷企业内部控制的可信赖度低于正常水平时，银行评级人员可以考虑拒绝接受客户的贷款申请。对客户的内部控制系统风险水平的评价，根本目的在于决定后面评价方法和评价指标的选择。表1反映了内部控制系统产生的三种风险之间的数量关系。
三、运用符合性测试有效规避客户信息风险
强化信贷企业内部控制系统的评价，可以借鉴审计中经常使用的符合性测试。符合性测试是指对信贷企业生成信用信息有关内部控制数据的有效性进行全方位分析，并测试该内部控制系统是否正常有效运转。通过分析和测试信贷企业的内部控制系统，既可以初步评价信贷企业所提供的财务数据真实性和完整性，还可据以拟定后续评级的范围、评级程序及实施流程。
(一)商业银行内部评级运用符合性测试的具体方法。大多情况下，统计抽样法是银行对信贷企业的内部控制符合性测试常用方法。具体操作时，通常采用了以下几种方法:1．抽查数据法。银行信贷人员检查与信贷企业经济业务相关的各种原始凭证、账簿和财务报表等财务资料是否严格按照内部控制系统的规定执行，在整个财务制度运转中是否经过必要的手续。2．验证法。银行信贷人员按照信贷企业内部控制系统的相关规定，重新描述一遍企业实际经济业务，以核对企业财务及相关人员是否严格遵循了企业内部控制系统的规定，产生了真实有效的企业经营数据。3．实地观察法。银行信贷人员在不告知企业经营管理人员的情况下，到企业工作现场实际观察公司职员是否按内部控制制度的规定进行业务处理。比如支付款项时，观察财务人员是否会严格审核报销单的附件，附件金额的合计数是否与报销单上列明的金额正好相等，付款后的附件是否都加盖了“付讫”戳记等。
(二)商业银行内部评级运用符合性测试的注意事项。银行信贷人员在选择符合性测试的对象时，应重点关注以下六个企业经常出问题的方面:货币资金和财产物资的实际管控情况;采购和销售业务的控制情况;各项费用的预算执行情况;往来款项的清查核对情况;利润分配和留存收益的形成和分配情况;日常账务处理的内部牵制情况。
作者：付源 单位：成都文理学院会计学院
