通知2018年第13号令关于商业银行和外国银行分行内部控制系统的规定

通知

关于商业银行内部控制体系的规定

外国银行分行

根据2010年6月16日《越南国家银行法》；

根据2010年6月16日《组织法》及其2017年11月20日修正案；

根据2017年2月17日政府第16/2017/NĐ-CP号法令关于越南国家银行职能、任务、权限和组织结构的规定；

根据监察专员的建议；

国家银行行长发布关于商业银行、外国银行分行的内部控制体系的通知。

第一章
总则

本通知规定了商业银行、外国银行分行的内部控制体系。

第二条 适用对象

1. 商业银行包括：国家商业银行、股份制商业银行、合资银行和外资独资银行。

二、外国银行分行。

在本通知中，下列术语定义如下：

1. 内部控制体系 是指商业银行、外国银行分行根据《组织法》、本通知及相关法律规定建立并组织实施的一系列机制、政策、流程、内部规章制度和组织结构，旨在监督、预防、发现和及时处理风险，并达到既定要求。内部控制体系实施高级管理层监督、内部审计、风险管理、内部资本充足评估和内部审计。

2. 高级管理层监督 是指董事会、股东会、总经理（经理）、母行对内部控制、风险管理、内部资本充足评估的监督，以及商业银行、母行、外国银行分行总经理（经理）对内部审计的监督。

3内部控制 是指对个人和部门在执行机制、政策、内部规章制度、职业道德标准和控制文化方面的检查和监督，以控制利益冲突、管理风险，并确保商业银行、外国银行分行的活动符合既定目标并遵守法律规定。

4. 风险管理 是指识别、衡量、监控和管理商业银行、外国银行分行活动中存在的风险。

5. 内部资本充足评估 是指商业银行、外国银行分行自行评估其资本充足水平，以确保符合国家银行规定的资本充足率要求并达到既定目标。

6. 控制文化 是指商业银行、外国银行分行的企业文化，体现了董事会、股东会、监事会、总经理（经理）及个人和部门对控制活动和风险管理重要性的共同认识。控制文化通过职业道德标准、内部规章制度、奖励和惩罚制度形成，旨在鼓励和确保个人和部门主动识别和管理自身活动及商业银行、外国银行分行活动中的风险。

7. 经济资本 是指商业银行、外国银行分行基于计算所需弥补重大风险的资本量并确保在不利情况下保持资本充足率而自行确定的资本水平。

8. 压力测试 是指评估不利变动或变化对资本充足率和流动性的影响程度，以确定商业银行、外国银行分行承受风险的能力。

9. 风险 是指可能导致收入减少、自有资本下降，从而降低资本充足率或限制实现商业银行、外国银行分行业务目标的风险。

10. 风险偏好 是指商业银行、外国银行分行在执行商业战略过程中愿意接受的风险水平，由本通知第二十四条第二款规定的比率和指标表示。

11. 风险状态 是指商业银行、外国银行分行的风险资产、风险负债和其他表外风险项目的价值。

12重要活动 是指商业银行、外国银行分行根据其内部规定，基于该活动规模与财务指标（股本、总资产、收入、费用或其他财务指标）之一的比例自行确定的活动。

13. 重大风险 包括：

b) 流动性风险、集中度风险；

c) 由重要活动产生的其他风险。

14. 流动性风险 是由以下原因造成的：

a) 商业银行、外国银行分行无法履行到期债务；或者

b) 商业银行、外国银行分行能够履行到期债务，但需支付高于市场平均水平的费用，按照商业银行、外国银行分行内部规定。

15. 集中度风险 是指商业银行、外国银行分行将经营活动集中在某一客户（包括关联方）、合作伙伴、产品、交易、行业、经济领域或货币类型上，这种集中程度会对收入状况和风险状态产生显著影响，按照商业银行、外国银行分行内部规定。

16. 利益冲突 是指个人或部门在其权限范围内做出的决策可能不符合或违背商业银行、外国银行分行的利益的情况。

17. 风险决策 是指商业银行、外国银行分行高级管理层做出的导致商业银行、外国银行分行风险发生或改变风险状态的决策。

18. 信贷风险决策 是指商业银行、外国银行分行在信贷活动中做出的风险决策，至少包括：信贷决策；信贷限额决策；超限额信贷决策；重新安排还款期限决策；调整贷款分类决策。

19. 存在问题的贷款 银行对由商业银行、外国银行分行规定作为最低保障的信贷额度，该额度被国家银行按照资产分类、提取比例、风险准备金设立方法和使用准备金处理风险的规定划分为第二类或以上类别。

20. 外包活动 商业银行、外国银行分行通过书面协议（外包服务合同）与企业、金融机构或其他外国银行分行（称为外包企业）约定，由外包企业代替商业银行、外国银行分行执行一项或多项活动（包括数据处理或业务流程中的某些步骤），并依照法律规定进行。

21. 内部审计员 是商业银行、外国银行分行内部审计部门的内部审计人员。

22. 母银行 在越南获得许可运营的外国银行。

第四条 适用相关法律法规

商业银行、外国银行分行的内部控制体系应遵循《组织法》、本通知和其他相关法律法规的规定。

第五条 内部控制体系的要求

一、商业银行、外国银行分行的内部控制体系必须满足以下要求：

（一）符合第四十条《组织法》第二款的规定；

（二）适应商业银行、外国银行分行的规模、条件和业务复杂程度；

（三）有足够的财务、人力资源和技术支持以确保内部控制体系的有效性；

（四）建立和维护内部控制文化，确立职业操守标准，适用于商业银行、外国银行分行。

二、商业银行、外国银行分行必须制定内部合规规定，遵守《组织法》第九十三条的规定，并确保以下要求：

（一）符合本通知和相关法律法规的规定；

（二）发布权限：

（一）对于商业银行：董事会、股东会负责制定关于商业银行组织结构、管理和运营的规定，但不包括股东大会或所有者权限范围内的事项；监事会负责制定监事会内部规定；总经理（总裁）负责制定内部程序和操作规程（以下简称内部程序）；

（二）对于外国银行分行：总经理（总裁）根据母行规定制定外国银行分行内部规定，或者采用母行制定的内部规定；

（三）符合本通知第十四条、第十五条第一款和第二款关于内部控制活动的要求和内容；

（四）定期评估，根据本通知和商业银行、外国银行分行关于适当性、法规遵从性和必要修改补充的规定进行。

三、内部控制体系必须有三条独立防线如下：

a) 第一道防线 具有识别、控制和减少以下部门产生的风险的功能：

（一）业务部门（包括产品开发部门）及其他产生收入的部门；作出具有风险决策的部门；

（二）分配风险限额、控制风险、降低风险（属于业务部门或独立部门）的部门，针对每种交易类型和业务活动；

（三）人事部门、会计部门；

b) 第二道防线 具有制定风险管理政策、内部管理风险规定、风险测量和跟踪以及法规遵从性的功能，由以下部门实施：

（一）遵守本通知第十八条规定的部门；

（二）根据本通知第二十二条规定的风险管理部门；

c) 第三道防线 具有内部审计功能，由内部审计部门根据《组织法》和本通知的规定执行。

四、在董事会、股东会、监事会、风险管理委员会、人事委员会、风险委员会、资本管理委员会、资产/负债管理委员会（ALCO委员会）会议中讨论（一致意见和不同意见）和关于内部控制系统的结论必须以书面形式记录。

五、对内部控制系统的独立评估应按照国家银行关于商业银行、外国银行分行独立审计的规定进行。

条 6. 内部控制系统档案和文件的保存

1. 商业银行、外国银行分行应制定内部规定，管理并保存关于内部控制系统的所有档案和文件。

2. 商业银行、外国银行分行应确保其档案和文件的管理与保存符合以下要求：

a) 遵守法律规定和国家银行关于银行业档案和文件保存期限的规定；

b) 完整保存，以便在内部审计、独立审计组织、有权机关进行内部审计、独立审计、检查、监察过程中提供所需资料。

条 7. 向国家银行报告内部控制系统

2. 内部控制体系报告包括：

a) 根据本通知附件1编制的年度自我检查和内部控制评估结果报告；

b) 根据本通知附件2编制的年度风险管理报告；

c) 根据本通知附件4编制的年度内部资本充足率评估报告；

d) 根据本通知附件5编制的年度内部审计报告及突发情况下的内部审计报告；

3. 报告期限：

a) 对于本条第2款a、b、c点规定的报告：自财政年度结束之日起45日内，商业银行、外国银行分行提交该财政年度的报告；

b) 对于本条第2款d点规定的报告：

(i) 自财政年度结束之日起60日内，商业银行提交该财政年度的内部审计报告；

(ii) 自内部审计结束之日起60日内，外国银行分行提交该财政年度的内部审计报告。如在财政年度内未进行内部审计，则外国银行分行无需提交报告；

(iii) 自突发内部审计结束之日起7个工作日内，商业银行、外国银行分行提交突发内部审计报告；

4. 根据本条第2款规定的内部控制系统报告必须更新整个商业银行（包括总部各部门、分行及其他附属单位，以及根据国家银行关于商业银行运营网络的规定确定的其他附属单位）和外国银行分行内部控制系统中存在的问题、限制和新出现的风险。

第二章
高级管理层监督

条 8. 高级管理层监督的要求

1. 商业银行应按照《组织信用机构法》的规定，并结合本通知的要求，建立董事会、股东会、监事会、总经理（总裁）的组织结构、职责和权限。

2. 母行应建立高级管理层监督的组织结构、职责和权限，以确保总经理（总裁）能够按照本通知的规定对外国银行分行实施高级监督。

3. 确保内部控制、风险管理、内部资本充足率评估和内部审计的有效执行，达到既定要求。

4. 清楚了解商业银行、外国银行分行的风险状况和风险管理政策的执行情况。

5. 采取措施及时预防和处理损失，提高商业银行、外国银行分行运营的安全性和效率。

条 9. 高级管理层监督组织结构

1. 商业银行董事会、股东会的监督组织结构应确保：

a) 按照中国人民银行关于发放许可证和商业银行、外国银行分行组织与运营的规定，设立风险管理委员会和人力资源委员会，并且每个委员会至少有一半以上（1/2）具有表决权的成员为非管理人员；

b) 根据需要设立其他委员会以协助董事会、股东会对高级管理层进行监督。

2. 监事会的监督组织结构按照《金融机构组织法》及相关内部规定执行。

3. 总经理（或董事）必须根据本通知第十二条第二款和第十三条第二款的规定，建立风险委员会、ALCO委员会和资本管理委员会，提出建议并辅助总经理（或董事），其组织结构应确保：

a) 风险委员会包括：由总部专职负责风险管理的管理人员（不是总经理或董事）担任主席，该人员需具备风险管理经验、知识及专业技能，并且其他成员来自相关内部部门；

b) ALCO委员会包括：由总经理（或董事）或其他总部管理人员担任主席，以及来自相关内部部门的其他成员；

c) 资本管理委员会包括：由总经理（或董事）或其他总部专职负责财务的管理人员担任主席，该人员需具备财务管理经验、知识及专业技能，并且其他成员来自相关内部部门；

d) 各委员会的工作制度由总经理（或董事）制定，至少应包括各委员会的功能和职责、成员数量及其职责；决策机制；定期会议（确保风险委员会和ALCO委员会每季度至少召开一次，资本管理委员会每半年至少召开一次）；临时会议及其他内容。

条 10. 高级管理层对内部控制的监督

1. 商业银行董事会、股东会对总经理（或董事）在以下方面进行监督：

a) 组织实施内部控制活动，运行和维护管理信息系统及信息交流机制；

b) 维护本通知第三条第六款规定的内部控制文化及第十五条第三款规定的行业道德标准；

c) 处理并解决内部控制存在的问题和不足，按照中国人民银行、独立审计机构和其他职能机关的要求和建议；

d) 处理违反法律法规、内部规定和行业道德标准的行为；

e) 董事会、股东会规定的其他内容。

2. 商业银行总经理（或董事）对个人和部门在以下方面进行监督：

a) 执行内部控制规定，保持内部控制文化；评估员工遵守职业道德规范的情况（不包括监事会成员和内部审计员的职业道德规范）；

b) 运行管理系统，评估（准确性、完整性、及时性和适用性），升级和完善管理系统，确保符合本通知第二十条的要求；

c) 执行董事会、股东会在处理和解决内部控制存在的问题和不足方面的指示，按照中国人民银行、独立审计机构和其他职能机关的要求和建议；

d) 定期每年或不定期地进行内部控制有效性自我评估，至少包括：

(i) 自我检查和评估各部门在管理和业务活动中执行内部控制规定的情况；

(ii) 审查和评估内部控制规定；

(iii) 向董事会、股东会提出解决内部控制存在问题和不足的方案；

e) 商业银行规定的其他内容。

3. 外国银行分行总经理（或董事）根据母行规定，在以下方面对个人和部门进行监督：

a) 实施内部控制；

b) 解决并纠正内部控制存在的问题和不足，按照中国人民银行、独立审计机构和其他职能机关的建议。

条 11. 高级管理人员对风险管理的监督

1. 商业银行董事会、股东会根据风险管理部门的建议和咨询，监督总经理（经理）在以下方面：

a) 制定并组织实施风险管理政策；

b) 处理并解决风险管理中存在的问题和限制，按照国家银行、独立审计组织和其他职能机构的要求和建议；

c) 董事会、股东会规定的其他内容。

2. 商业银行总经理（经理）根据风险委员会的建议和咨询，在以下方面监督个人和部门：

a) 制定建立和实施风险管理政策的程序；

b) 执行风险管理政策，并根据本通知第24条第3款的规定评估风险管理政策，以向董事会、股东会提出调整建议；

c) 建立和执行风险限额，提出按业务活动和业务操作分配风险限额的建议；采取措施处理未能达到风险限额的情况；

d) 组织执行董事会、股东会对按照国家银行、独立审计组织和其他职能机构的要求和建议处理和解决风险管理中存在的问题和限制的指示；

đ) 自我检查和评估风险管理，并向董事会、股东会提出处理和解决的措施建议；

e) 商业银行规定的其他内容。

3. 商业银行总经理（经理）根据资产负债管理委员会的建议和咨询，在以下方面监督个人和部门管理资产/负债：

a) 根据风险管理政策有效且适当地管理资产负债表；

b) 审查并提出资金筹集计划、资金使用计划以及内部资金转移定价原则；

c) 建立利率框架和其他产品的价格框架，以管理金融资产和金融负债；

d) 监控经营活动，确保遵守流动性风险限额和银行账簿利率风险限额，以及按银行账簿利率风险计算的总资产限额；

e) 商业银行规定的其他内容。

4. 外国银行分行总经理（经理）根据母行规定，在以下方面监督个人和部门：

a) 实施风险管理；

b) 按照国家银行、独立审计组织和其他职能机构的要求和建议处理并解决风险管理中存在的问题和限制。

条 12. 高级管理人员对内部资本充足评估的监督

1. 商业银行董事会、股东会对总经理（或董事）在以下方面进行监督：

a) 组织实施内部资本充足评估；

b) 按照国家银行、独立审计组织和其他职能机构的要求和建议处理并解决内部资本充足评估中存在的问题和限制；

c) 董事会、股东会规定的其他内容。

2. 商业银行总经理（经理）根据资本管理委员会的建议和咨询，在以下方面监督和指导个人和部门：

a) 实施内部资本充足评估；

b) 执行董事会、股东会对按照国家银行、独立审计组织和其他职能机构的要求和建议处理并解决内部资本充足评估中存在的问题和限制的指示；

c) 商业银行规定的其他内容。

3. 外国银行分行总经理（或董事）根据母行规定，在以下方面对个人和部门进行监督：

a) 实施内部资本充足评估；

b) 按照国家银行、独立审计组织和其他职能机构的要求和建议处理并解决内部资本充足评估中存在的问题和限制。

条 13. 高级管理层对内部审计的监督

1. 商业银行监事会实施对内部审计的监督包括：

a) 监督和评估审计委员会成员和内部审计员的职业道德标准执行情况；

b) 监督内部审计部门在以下方面的工作：

(i) 实施内部审计；

(ii) 审查、评估内部审计的有效性以及内部审计负责人履行职责的结果；

(iii) 处理并解决内部审计中存在的问题和不足，按照国家银行、独立审计组织和其他职能机构的要求和建议；

c) 其他由监事会规定的内容。

2. 外国银行分行总经理（或经理）根据母行的规定，监督个人和部门在以下方面的工作：

a) 实施内部审计；

b) 按照国家银行、独立审计组织和其他职能机构的要求和建议处理并解决内部审计中存在的问题和不足。

第三章
内部控制

条 14. 内部控制的要求

1. 内部控制应覆盖商业银行（包括总部、分行及其他附属单位）、外国银行分行的所有活动、业务流程和部门，以确保以下要求得到满足：

a) 商业银行、外国银行分行的活动遵守法律规定；

b) 控制利益冲突；及时发现并处理违规行为；

c) 提高个人和部门对内部控制角色和责任的认识，以建立和维护商业银行、外国银行分行的内部控制文化。

2. 内部控制通过控制活动、信息交流机制和管理信息系统来实现。

条 15. 控制活动

1. 商业银行、外国银行分行的控制活动至少应包括以下内容：

a) 批准权限的分级必须基于有权批准者的可靠程度和个人、部门的能力。批准权限应通过交易规模、风险限额和其他内部规定的界限来体现；

b) 规定从最低级别到最高级别的个人和部门在所有交易和业务流程中的职能和任务，确保以下原则：

(i) 董事会成员、股东会成员不参与审议和批准属于总经理（或经理）职能和任务的风险决策，除非董事会成员、股东会成员是总经理（或经理）；

(ii) 在交易和业务流程中分离职能和任务，以避免利益冲突或控制、防止利益冲突；一个个人不能控制整个交易或执行交易的过程；一个个人不能同时承担有利益冲突的任务；

(iii) 同一部门内或不同部门之间有独立的个人定期和不定期地进行检查，按照商业银行、外国银行分行的内部规定；

(iv) 如果按照b(ii)和b(iii)的规定执行仍然存在利益冲突的风险，发生违反内部规定的情况，商业银行、外国银行分行必须确定原因，并采取措施最大限度地减少运营风险，并加强监控，定期独立评估；

c) 对于每个个人和部门负责的资产（包括金融资产和实物资产），其管理责任（包括接收、保管、运输、检查、盘点）应根据资产的价值或其他具体的内部规定界限来划分；

d) 会计核算应符合会计准则和制度的规定；汇总编制并提交各种财务报告，符合法律规定和商业银行、外国银行分行的内部规定。会计核算应进行审查和核对，以及时发现和处理错误，并按商业银行、外国银行分行的内部规定向有权批准者报告；

e) 对于违反法律规定和内部规定的错误行为，采取预防和及时处理措施；

f) 根据每项商业活动和控制活动的需求合理分配人力资源（包括替代因员工缺席而产生的人员需求、招聘、调动和任命干部）；

2. 商业银行总部对分行和其他附属单位的控制活动必须确保：

a) 总部能够监督和控制分行和其他附属单位的交易和活动，包括通过分行和其他附属单位的控制活动人员进行监督和控制；

b) 有关职能、任务、报告机制、薪酬、奖励、纪律处分、干部调动等的规定，以确保分行和其他附属单位的控制活动人员与分行和其他附属单位其他人员之间的独立性和无利益冲突；

c) 为客户提供机制，使其能够查询、检查和核对在分行和其他附属单位进行的交易与商业银行总部的一致性。

3. 职业道德标准（除监事会成员和内部审计员的职业道德标准外）应由商业银行董事会、股东会和外国银行分行总经理（或经理）制定，确保以下原则：

a) 工作者和员工在各级执行任务和权限时，应诚实为商业银行、外国银行分行的利益服务；不得利用职务地位，使用商业银行、外国银行分行的信息、秘密、商业机会和资产以谋取个人利益或损害商业银行、外国银行分行的利益；

b) 负责的个人和部门应及时向有权限的上级报告发现本款a项规定的行为和其他违反内部规定的违法行为。

4. 商业银行、外国银行分行应定期或不定期地根据其内部规定，向有权限的上级提交内部控制内部报告。该内部报告包括对本条第1、2、3款规定内容的活动控制评估以及根据商业银行、外国银行分行内部规定的其他内容。

第十六条 对信贷活动的控制

1. 商业银行、外国银行分行的信贷活动控制必须遵守本通知第十五条第1、2款的规定。

2. 信贷活动必须进行利益冲突控制，遵循以下原则：信贷审批职能人员独立于以下职能人员：

a) 客户关系；

b) 再审（如有）；

c) 批准信贷决定；

d) 控制信贷风险限额；管理有问题的信贷；提取和使用准备金处理信贷风险。

第十七条 自营业务的控制活动

1. 商业银行、外国银行分行的自营业务控制活动必须遵守本通知第十五条第1、2款的规定。

2. 自营业务必须至少符合以下原则的控制：

a) 设立专门负责自营业务的单位（以下简称自营单位），明确自营单位内个人和部门的具体权限；自营交易员和个人部门必须独立于自营控制人员和自营结算人员；

b) 自营业务应在已规定的限额内进行，并履行交易承诺（包括取消交易或更改、补充条款的情况），并按照相关法律规定对自营业务进行账目记录和会计核算；

c) 自营业务的相关信息、文件和档案必须及时完整地提供给自营控制人员；

d) 必须制定内部程序来实施自营业务，符合本条第3款的规定，以及制定内部程序来处理自营业务结算，符合本条第4款的规定。

3. 实施自营业务的内部程序必须满足以下要求：

a) 交易员只能执行分配的交易类型、交易对手和权限内的交易；

b) 如果通过电话进行自营业务交易，交易员的通话必须录音并保存至少两个月。如果通过计算机系统进行自营业务交易，交易员只能用自己的交易员代码将自营业务数据输入内部交易管理系统。计算机系统自动记录交易日期、时间、交易代码，并不允许交易员更改这些信息；

c) 自营业务中的价格必须独立检查，确保与市场价格相符。

4. 处理自营业务结算的内部程序必须满足以下要求：

a) 自营结算人员应通过符合法律规定的形式发送和接收已完成的自营业务确认书（包括跟踪和检查客户确认书，如果未收到客户的确认书或确认书内容不完整、有错误，则通知客户）；

b) 确认书的内容包括交易条款和交易信息。如果自营业务通过经纪人进行，确认书中必须包含经纪人的信息；

c) 在结算过程中发现的任何差异必须由自营业务结算人员及时处理。

条18. 遵守部门

1. 根据业务规模、条件和复杂程度，商业银行、外国银行分行决定遵守部门的组织结构、职责和权限，确保其独立性和利益不冲突。

2. 商业银行、外国银行分行的总干事（经理）决定遵守部门的职责和权限，确保该部门至少承担以下任务：

a) 协助总干事（经理）进行：

（i）执行本通知第5条第2款d项的规定；

（ii）向董事会、股东会、母行、监事会报告严重违反法律规定的行为，以及根据商业银行、外国银行分行内部规定的变化修改相关法律规定；

（iii）审查和评估关于遵守部门职责和权限的规定，并在必要时提交总干事（经理）进行修订和补充；

b) 定期或不定期向总干事（经理）报告遵守法律规定的情况；向总干事（经理）报告并通知相关部门关于根据商业银行、外国银行分行内部规定变化的法律规定；

c) 支持相关部门制定和审查内部规定，以确保遵守法律规定；处理与遵守法律规定有关的问题，按照商业银行、外国银行分行内部规定处理。

条19. 信息交流机制

1. 商业银行、外国银行分行应建立信息交流机制，确保所有级别的个人和相关部门能够获得关于内部控制系统的通报、宣传和教育，以便充分理解政策、程序和业务目标，履行好自己的职责、任务和权限。

2. 信息交流机制通过管理信息系统和其他由商业银行、外国银行分行决定的信息交流机制实施。

3. 信息交流机制应遵循以下原则：

a) 关于目标、战略、政策和程序的信息从高级别传递到低级别，并传达给相关的个人和部门；

b) 关于内部控制体系和活动结果的信息从低级别传递到高级别（包括董事会、股东会、母行、监事会、总干事（经理）），以及从商业银行的分支机构和其他附属单位传递到总部，以便了解风险状态和商业银行、外国银行分行的经营情况；

c) 关于新产品、新市场活动、损失、欺诈以及可能发生的损失和欺诈的信息及时传递给风险管理部、内部审计部和其他相关部门；

d) 建立直接、独立且及时向有权机构报告违法行为、内部规定和职业道德标准的机制，确保信息保密和个人提供信息的安全；

đ) 信息交流频率应遵循风险越高则信息交流越频繁的原则。

条 20. 信息管理系统

1. 商业银行、外国银行分行应当建立信息管理系统，以向董事会、股东会、母行、监事会、总经理（总裁）及相关个人和部门提供内部信息和报告，履行确保遵守本通知规定的职能和任务。

2. 最低的信息管理系统包括：

a) 内部报告（至少包括内部控制、风险管理、内部资本充足评估程序和内部审计的内部报告，根据本通知第十五条第四款、第三十七条、第四十条、第四十七条、第五十二条、第五十五条、第五十八条、第六十三条和第七十二条的规定）和其他按照商业银行、外国银行分行内部规定管理的信息；

b) 管理信息系统组织结构和运行机制，其中明确规定相关个人和部门使用管理信息系统的责任；

c) 收集、处理、存储和提供信息；建立、发送、接收和处理报告；

d) 符合要求的信息技术基础设施。

3. 管理信息系统必须确保：

a) 支持实施本通知第十九条第一款和第三款规定的交换信息机制；

b) 提供完整、准确、及时的信息和数据，满足本通知和商业银行、外国银行分行内部规定的管理要求；信息和数据来源必须经过验证其可靠性；

c) 更新对法律法规和商业银行、外国银行分行内部规定的遵守情况；

d) 保证信息安全，确保信息存储和使用的安全、有效且不中断，并有备份系统；

e) 至少每年审查和重新评估一次，并根据商业银行、外国银行分行的管理信息需求、规模、结构和业务复杂程度进行定期升级和更新。

第四章 实施细则
风险管理

节 1
关于风险管理的一般规定

条 21. 风险管理要求

1. 商业银行、外国银行分行应实施风险管理，确保以下要求：

a) 管理商业银行、外国银行分行经营活动中的重大风险；

b) 全面识别、准确测量并持续监控重大风险，以便及时预防和减少重大风险；

c) 控制风险状态，确保遵守风险限额；

d) 涉及风险的决策必须透明、明确，并符合商业银行、外国银行分行的风险管理政策和风险限额。

条 22. 风险管理部门

1. 根据业务规模、条件和复杂程度，商业银行自行决定风险管理部门的组织结构，并至少具有以下功能：

a) 协助风险委员会：

（i）提出并建议本通知第十一条第二款规定的事项；

（ii）监控风险状态与风险限额之间的关系，以预警和早期识别风险和违反风险限额的可能性；

b) 与第一道防线合作，全面识别和监控新出现的风险；

c) 建立和使用风险评估和测量方法和模型；

d) 控制、预防并提出减少新出现风险的措施；

e) 参与与风险相关的决策过程，根据商业银行、外国银行分行内部规定，针对不同级别的权限；

f) 在与业务部门、合规部门及其他相关部门合作的基础上，根据本通知第二十八条第二款第一项的规定制定压力测试情景；

g) 按照商业银行内部规定编制风险管理内部报告。

2. 外国银行分行的风险管理部门的组织结构、职能和任务由母行决定。

条23. 内部规定关于风险管理

1. 商业银行、外国银行分行的内部控制系统内部规定的第二款第五条本通知规定，必须有内部规定关于风险管理，其中至少包括以下内容：

a) 制定、发布和执行风险管理政策；

b) 建立、发布和执行每种重要风险的风险限额（包括建立风险限额的方法、个人或部门负责建立风险限额、分配风险限额以及处理违反风险限额的情况）；

c) 识别、衡量、监控和控制每种重要风险（包括衡量方法、风险模型、风险控制）；

d) 压力测试；

戌) 内部风险管理报告机制；

e) 新产品、新市场活动的风险管理；

g) 根据每种重要风险的管理要求所需的其他内容。

2. 风险管理的内部规定必须符合以下原则：

a) 应与商业银行、外国银行分行的业务战略、内部控制文化、人力资源、信息技术条件和信息管理系统相适应；

b) 风险状态和违反风险管理的行为应及时、全面地向董事会、股东会、监事会、母行报告；对违反风险管理的行为应有处理机制。

条24. 风险管理政策

1. 商业银行的风险管理政策由董事会、股东会制定、修改和补充。外国银行分行的风险管理政策的制定、修改和补充权限按照母行的规定执行。

2. 最低风险管理政策包括以下内容：

a) 风险偏好，包括：

(i) 目标资本充足率；

(ii) 收入指标：权益回报率（ROE）；经风险调整后的资本回报率（RAROC）；

(iii) 其他根据商业银行、外国银行分行内部规定确定的指标；

b) 根据本通知规定的重大风险清单；

c) 针对每项重大风险的风险管理策略。

3. 风险管理政策必须满足以下要求：

a) 至少为三年但不超过五年，每年至少评估一次，并根据商业银行、母行的规定在商业环境和法律发生变化时及时进行评估以实现风险管理目标；

b) 符合商业银行、母行股东、所有者、出资人的利益，符合法律规定；

c) 符合自有资本水平和增加自有资本来源的可用性；

d) 具有连续性，以确保在经济周期中的可行性。

条25. 风险限额

1. 商业银行的风险限额由总经理（行长）制定、修改和补充（包括调整风险限额）。外国银行分行的风险限额的制定、修改和补充权限按照母行的规定执行。

2. 风险限额必须保证：

a) 遵守《商业银行法》和其他组织信用机构、外国银行分行活动限制的规定，以确保安全；

b) 对重要风险设定风险限额；

c) 遵守风险偏好、风险管理策略和分配给该风险的总风险资产；

d) 完整且具体，以控制从各种业务活动、参与高风险交易的部门产生的风险；

戌) 必须每年至少审查和重新评估一次，或者当发生重大变化影响风险状况时，根据商业银行、外国银行分行内部规定进行审查和重新评估。如果商业银行的风险限额调整放宽，总经理（行长）应在调整后向董事会、股东会报告；

e) 应向相关个人和部门公布。

3. 如果一项活动、交易、产品的不同风险有不同的风险限额，商业银行、外国银行分行必须采用更谨慎的风险限额。

条 26. 对新产品和新市场活动的风险管理

1. 经营许可业务的新产品和新市场活动风险管理必须满足以下要求：

a) 确定新产品的标准，以及在新市场的活动；

b) 新产品和新市场活动的提供流程应遵循以下原则：

(i) 对于商业银行，董事会或股东会根据总经理（主任）的建议批准提供新产品的方针和新市场活动。总经理（主任）批准提供新产品的计划和新市场活动；

(ii) 对于外国银行分行，新产品和新市场活动的方针和计划的批准按照母行的规定执行。

2. 提供新产品和新市场活动的计划必须由风险管理部门审查风险、风险管理措施，并至少确定以下内容：

a) 根据可能从提供新产品和新市场活动中产生的风险评估，确定提供新产品和新市场活动的规模和试验时间，以确保符合商业银行和外国银行分行的风险控制能力对自有资本和收入的影响；

b) 根据试验结果与商业银行和外国银行分行风险管理指标的比较，确定正式提供新产品和新市场活动的时间。

3. 正式提供新产品和新市场活动时，商业银行和外国银行分行必须制定关于提供新产品和新市场活动的规定和程序，并实施新产品和新市场活动的重要风险管理。

条 27. 风险识别、计量、监控和控制

1. 风险识别：

商业银行和外国银行分行必须识别重要风险及其相互作用，在交易、产品、活动、业务流程中，以及可能导致风险的威胁，并确定风险的原因。

2. 风险计量：

a) 商业银行和外国银行分行基于风险对短期和长期收入、资本充足率和实现商业银行和外国银行分行经营目标的影响来衡量风险程度；

b) 风险测量通过内部评级系统等方法和模型进行。这些方法和模型必须定期检查和评估其准确性和合理性，符合商业银行和外国银行分行的内部规定。用于风险测量的方法和模型的数据必须保证可靠性和可验证性；

c) 风险测量确保及时、准确地监控和有效控制风险。

3. 监控风险：

a) 商业银行和外国银行分行必须监控风险状态，及时评估并提前预警违反风险限额的可能性，以确保操作安全；

b) 内部风险监控报告必须及时、准确、完整，并发送给相关个人和部门。

4. 风险控制：

a) 商业银行和外国银行分行必须根据相应的风险限额控制风险状态、交易和活动；

b) 商业银行和外国银行分行必须采取预防、减少和及时处理风险的措施，以确保遵守风险限额和其他保障操作安全的限制，并建立监督和检查这些措施执行情况的机制。

条 28. 压力测试

1. 商业银行、外国银行分行应当实施压力测试，确保：

a) 至少每六个月进行一次定期流动性压力测试，并在必要时进行不定期测试；

b) 每年至少进行一次资本充足率压力测试，并在必要时进行不定期测试。

2. 压力测试应按以下方式进行：

a) 至少制定两个情景剧本，包括正常业务情景（business as usual scenario）和不利情景（stress scenario），并在下一轮压力测试中选择这些剧本。所选剧本必须基于对过去事件的分析和宏观经济走势预测来确定其发生的可能性；

b) 计算假设条件对每个剧本中的流动性和资本充足率的影响；

c) 编制压力测试结果报告（包括定量数据和定性分析及评估）。

3. 根据压力测试结果，商业银行、外国银行分行必须：

a) 评估遵守流动性覆盖率、贷款与存款比率、短期资金用于中期和长期贷款的比例以及其他确保安全运营的规定的情况；

b) 制定应对流动性要求不足情况下的预防计划；

c) 在不利情景下计算经济资本以确定目标资本。

节
信贷风险管理

条 29. 信贷风险管理要求、策略和风险限额

1. 信贷风险管理贯穿于信贷审查、审批、管理全过程，确保符合中国人民银行和相关法律法规的要求。

2. 信贷风险管理策略至少包括以下内容：

a) 目标不良贷款率、目标不良信贷比例，按客户类别、行业、经济领域划分；

b) 确定信贷风险准备金费用的方法，在利率计算和信贷产品定价（pricing）中反映客户信贷风险水平的原则；

c) 减少信贷风险措施的应用原则（包括批准减少信贷风险措施的权限）。

3. 信贷风险限额至少包括以下限额：

a) 客户类别、行业、经济领域的信贷限额，根据客户的偿债能力和行业、经济领域的信贷风险设定；

b) 产品类型、担保形式的信贷限额，根据相应的产品和担保形式的信贷风险设定。

条 30. 内部信用评级系统

1. 商业银行、外国银行分行必须建立内部信用评级系统，符合中国人民银行关于资产分类、提取标准、风险准备金计提方法以及使用风险准备金处理风险的规定。

2. 内部信用评级系统必须满足以下要求：

a) 评级模型必须量化评估客户违约概率的标准（包括宏观经济和社会因素、影响客户还款能力的商业环境因素）；

b) 必须有数据库和数据管理方法，以量化信贷风险的要求；

c) 内部信用评级系统的评级结果必须独立评估；

d) 必须提供足够的信息，以便根据内部审计、独立审计组织和其他职能机构的要求进行内部审计、检查、监督和独立审计。

条 31. 测量、监控和信贷风险控制

1. 商业银行、外国银行分行必须使用内部信用评级系统、方法和损失计量模型来测量信贷风险。

2. 商业银行、外国银行分行必须对每笔信贷和整个信贷组合进行监控和信贷风险管理，并在信贷质量下降时采取措施，至少确保满足以下要求：

a) 监控信贷分类结果；

b) 根据国家银行的规定评估风险准备金的充足性；

c) 控制实际信贷风险状态以遵守法律规定和商业银行、外国银行分行内部规定的信贷限额和信贷风险限额。

3. 信贷风险监控和控制至少包括以下内容：

a) 执行监控和信贷风险管理的个人和部门的角色和责任；

b) 实施信贷分类、提取和使用风险准备金处理信贷风险；

c) 评估和监控每笔信贷和信贷组合的信贷风险；

d) 根据分配给每笔信贷和信贷组合的信贷风险限额进行信贷风险控制，包括：最低远程和现场检查频率以收集用于信贷风险监控的信息；

e) 评估信贷质量和确定每笔信贷和信贷组合信贷质量下降的标准；建立早期预警机制，当客户信贷质量有下降风险时发出警告。

条 32. 信贷审批

1. 商业银行、外国银行分行实施信贷审批，至少包括以下内容：

a) 确定客户的关联方、客户的总信贷余额以及客户及其关联方；

b) 根据客户（如有）的信用评级结果，包括其他金融机构、外国银行分行的信用评级；

c) 对于有担保的信贷，评估担保物的文件完整性、法律状况和回收能力；

d) 审查第三方担保人履行其承诺义务的能力。

2. 在审查过程中，如果使用除商业银行、外国银行分行之外的其他信息渠道，商业银行、外国银行分行必须检查信息的质量和与被信贷方的信息渠道的独立性。

条 33. 风险信贷决策批准

商业银行、外国银行分行执行风险信贷决策批准，确保：

1. 风险信贷决策批准权限和向上级审批权限转移的情况应根据定量和定性标准确定。

2. 如果采用委员会批准机制，委员会必须有批准记录或等效形式，其中详细说明批准或不批准的理由，并记录（或附上）委员会成员的意见。委员会成员对其决定负责。

为批准风险信贷决策提供的信息必须完整且符合信贷规模和类型。关于作为批准风险信贷决策基础的信息目录的规定必须由风险管理部门评估，以确保有效管理信贷风险。

条 34. 信贷管理

1. 商业银行、外国银行分行应当实施符合以下要求的信贷管理：

a) 明确个人和部门在建立和保存信贷档案中的责任和权限，确保信贷档案完整符合法律规定；

b) 按照资金使用目的和信贷类型进行放款；

c) 监督贷款发放后应遵守以下原则：

(i) 检查借款资金使用情况，并执行信贷合同中其他条款；

（ii）评估影响客户还款能力的因素；

(iii) 根据本通知第36条的规定管理担保资产；

(iv) 跟踪还款计划，提醒客户按时履行还款义务，在客户有违约或延迟还款风险时及时向有权机关报告。

2. 商业银行、外国银行分行必须保存客户的信贷档案、履行还款义务的能力信息及还款历史和其他相关法律规定的信息。

条 35. 有问题贷款的管理

1. 商业银行、外国银行分行必须对有问题的贷款进行管理，以便及时采取措施处理。

2. 对有问题贷款的管理应满足以下要求：

a) 明确确定有问题贷款的标准和方法；

b) 加强对客户还款能力和从保障措施中回收债务的能力的评估；

c) 对存在问题的信贷额度采取处理措施和重组计划，制定回收债务计划；

d) 加强跟踪、监督和回收债务；

đ) 确定与不良贷款（如有）相关的个人和部门的责任，以便采取措施处理。

条 36. 担保资产管理

商业银行、外国银行分行必须实施符合以下要求的担保资产管理：

1. 明确商业银行、外国银行分行接受的符合法律规定类型的担保资产；

2. 制定根据法律规定或聘请具有评估职能的组织来确定市场价值、回收价值和处置时间的方法，作为内部管理担保资产的基础；确定符合条件的担保资产及其扣除比例，以设立准备金，按照中国人民银行的规定；

3. 定期或不定期地根据商业银行、外国银行分行的内部规定对担保资产进行评估，遵循担保资产价值波动越大则评估越频繁的原则；

4. 制定接收和安全保管担保资产的规定。

条 37. 内部信用风险报告

1. 商业银行、外国银行分行至少每季度或不定期编制本条第2款规定的内部信用风险报告。

2. 内部信用风险报告至少包括以下内容：

a) 各类贷款的质量，按客户对象、行业、经济领域分类的贷款组合质量；

b) 存在问题的贷款及处理措施；

c) 实际信贷余额超过本通知第29条第3款a项规定的信用风险限额的客户、行业、经济领域；

d) 各类担保资产的价值和清单；

e) 预备金提取情况和使用预备金处理信贷风险的情况；

f) 提前预警可能违反信贷风险限额的情况；

g) 管理信贷风险的违规行为及其原因；

h) 向报告接收方提出关于信用风险管理的建议和意见；

i) 内部审计、中国人民银行、独立审计机构和其他职能机构关于信用风险管理的要求和意见的执行结果。

节 3
市场风险的管理

条38. 市场风险管理战略和市场风险限额

1. 最低市场风险管理战略应包括以下内容：

a) 经营账户的市场风险状态水平，必须实施市场风险管理；

c) 应用市场风险防范措施的原则（其中明确列出市场风险防范工具，并规定批准市场风险防范措施的权限）。

2. 最低市场风险限额应包括：

a) 利率风险限额：交易产品组合的利率风险限额，交易员的限额，止损限额，经营账户的总利率风险状态限额；

d) 商品价格风险限额：交易产品组合的限额；交易员的限额；止损限额。

条39. 市场风险的测量、监控和控制

1. 商业银行和外国银行分行应实施市场风险的测量、监控和控制，确保：

a) 有独立于自营业务单位的个人或部门负责市场风险的测量、监控和控制；

b) 有信息技术基础设施和数据库以进行市场风险的测量、监控和控制；

c) 明确划分审批和执行市场风险防范措施的权限；

（i）全面评估影响自营业务交易价值和基础资产价值的因素；

（ii）基于从可靠来源收集的市场信息和数据进行估算。市场信息和数据必须根据商业银行和外国银行分行内部规定独立评估其可信度和适用性；

（iii）定期至少每年或在必要时审查和评估价格模型的准确性及其局限性，以便进行调整。

2. 测量和监控市场风险的方法和模型，针对利率风险、汇率风险、股票价格风险和商品价格风险，必须满足以下要求：

a) 测量和监控与每种金融资产、金融负债和表外项目相关的市场风险状态；

b) 参数和假设必须基于实际发展情况与这些方法和模型的结果进行比较和调整。

3. 市场风险控制必须确保：

a) 提前预警可能违反市场风险限额的情况；

b) 每个交易日结束时，商业银行和外国银行分行必须根据实际市场风险状态（包括所有市场风险防范交易）评估遵守市场风险限额的能力，并调整市场风险限额（如有必要）；

c) 调整市场风险限额的信息应及时告知交易员、交易单位及相关个人或部门，以便进行次日的自营业务和市场风险控制。

条 40. 内部市场风险报告

1. 最迟在营业日结束时，商业银行和外国银行分行应提交当日内部市场风险报告，至少包括以下内容：

a) 当日的总市场风险状况；

b) 自营交易活动监控发现的情况；

c) 自营交易的实际盈亏和按市场价格预估的盈亏；

d) 当日的交易限额及截至交易日结束时这些限额的使用情况。

2. 至少每六个月，商业银行和外国银行分行应提交内部市场风险报告，至少包括以下内容：

a) 报告时点的市场风险状况与市场风险限额的比较；

b) 对市场风险管理方法、模型测量和跟踪结果的审查和评估（如有）；

c) 自营交易的实际盈亏和按市场价格预估的盈亏；

d) 市场风险管理违规情况及其原因（如有）；

đ) 自营交易活动中异常情况，以及市场风险测量方法主要假设的变化；

e) 向报告接收方提出关于市场风险管理的建议和意见；

g) 内部审计、国家银行、独立审计组织和其他职能机构关于市场风险管理、自营交易活动要求和意见的执行结果。

第四节
操作风险的管理

条 41. 操作风险管理和操作风险限额策略

1. 操作风险管理和策略至少应包括以下内容：

a) 实施业务风险管理的原则；

b) 使用外包服务、购买保险、应用技术的原则；

c) 必须有连续运营计划的最低情况包括：

（i）重要文件、数据库丢失；

（ii）信息技术系统故障；

(iii) 不可抗力事件（战争、自然灾害、火灾等）。

2. 操作风险限额至少应包括以下限额：

b) 非财务损失限额（包括声誉、信用和法律义务）。

条 42. 操作风险识别、计量、监测和控制

1. 商业银行和外国银行分行必须全面识别所有产品、业务活动、业务流程、信息技术系统及其他管理系统中的操作风险。

2. 识别业务风险应针对以下情况：

a) 内部欺诈，由欺骗、盗窃资产、违反商业银行和外国银行分行的相关战略、政策和内部规定的行为引起，涉及至少一名银行员工（包括越权行为、盗窃、利用内部信息谋取私利）；

b) 外部欺诈，由外部人员实施的欺骗、盗窃资产行为，未得到商业银行和外国银行分行任何个人或部门的帮助或串通（包括盗窃、抢劫、伪造银行卡、银行凭证、入侵信息系统以获取数据或资金）；

c) 劳动政策和工作场所安全不符合劳动合同、劳动法律法规、健康和安全规定；

d) 无意违反客户相关法规、产品提供流程和产品特性，在履行授权职责时对客户的不当行为（包括违反客户信息安全、反洗钱规定、提供违规服务）；

đ) 由于不可抗力事件、人为因素或其他事件导致的财产、工具和设备损坏或丢失；

e) 由于信息技术系统故障导致的业务中断；

g) 交易流程、交易监控和管理中的限制和不足；

h) 商业银行和外国银行分行内部规定的其他情况。

a) 使用内部和独立审计发现（审计发现）；

b) 收集和分析内部和外部损失数据（内部和外部损失数据收集和分析），以确定内部和整个商业银行、外国银行分行系统的损失；

c) 操作风险自我评估（RCSA）以确定操作风险控制前后的效果；

d) 业务流程图（BPM）以确定每个业务流程的操作风险水平、业务流程的整体操作风险及其相互关系；

đ) 绩效指标和重要风险指标（风险和绩效指标）以跟踪影响操作风险的因素，并确定存在的限制、潜在损失；

e) 场景分析以确定操作风险来源和可能发生的场景和事件中减少操作风险的要求。

4. 商业银行和外国银行分行通过本通知第15条规定的控制活动和其他内部规定的措施来管理操作风险。如果实际损失超过操作风险限额，商业银行和外国银行分行必须采取加强措施以在未来控制和减少该操作风险。

条43. 外包业务操作风险的管理

1. 对外包活动的业务风险管理通过以下方式进行：

a) 根据本条第2款规定对外包活动进行管理；

b) 根据本通知第42条的规定，识别、衡量、监控和控制由外包活动产生的操作风险。

2. 外包活动管理至少包括：

a) 确定外包业务范围；

b) 分级审批外包活动的权限；

c) 在签订外包合同之前，评估外包企业的能力是否符合外包业务的要求和目标；在合同执行过程中，评估外包企业履行合同的能力；

d) 制定确保严密、完整、保护所有权和客户数据保密性、终止外包合同权利的原则；确定外包活动的程度和范围；明确商业银行、外国银行分行和外包企业在外包活动中的具体责任以及根据法律规定处理争议的条款；

e) 制定或要求外包企业制定外包活动连续运营计划，按照本通知第46条的规定进行；

条44. 应用技术的操作风险管理

1. 商业银行、外国银行分行通过以下方式管理应用电子交易、在线交易、自动交易、移动交易和其他技术（以下简称应用技术）的操作风险：

a) 按照本条第2款的规定管理应用科技；

b) 根据本通知第42条的规定，识别、衡量、监控和控制应用技术中产生的操作风险，至少应包括：

（i）识别与内部和外部网络系统、硬件、软件、应用程序、交易界面、运营以及人为因素相关的操作风险；

(ii) 基于发生操作风险时对业务损失的估计来衡量风险；

(iii) 监控并评估在应用技术中面临操作风险时保持稳定运行的能力；

(iv) 控制并采取措施减少操作风险（如有必要），以确保操作风险水平在可接受范围内；

2. 商业银行、外国银行分行的应用技术管理必须满足以下要求：

a) 至少包括以下内容的管理应用技术规定：

(i) 对信息技术系统和数据库的最低管理范围；

（ii）负责管理应用科技的个人和部门的任务、责任和权限；

（iii）在发生故障或应用科技变更时的有效管理；

(iv) 确保客户信息安全、交易安全和信息技术系统的认证系统；

b) 遵守国家银行关于银行业电子交易的规定；为提供网上银行服务的信息技术系统的安全性和保密性遵守相关规定及有关法律法规；

条45. 购买保险以减少操作风险损失

1. 商业银行、外国银行分行可以根据法律规定购买保险以减少操作风险造成的损失，确保与商业银行、外国银行分行的财务能力相匹配，并弥补其损失；

2. 商业银行、外国银行分行不得使用购买保险来替代操作风险管理，必须评估购买保险减少操作风险损失的效果，评估保险公司履行保险合同的能力以及可能存在的新风险。

条46. 维持连续运营计划

1. 商业银行、外国银行分行必须在本通 tư第41条第1点规定的情况下制定维持连续运营计划。

2. 连续运营计划至少应满足以下要求：

a) 符合商业银行、外国银行分行的性质和规模；

b) 具备人员备份系统、信息技术系统、信息数据库；

c) 采取措施减少因停止运营造成的损失；

d) 能够在要求的时间内恢复中断的业务活动至正常状态；

đ) 每年至少进行一次测试和定期审查，以确定维持连续运营计划的有效性并进行必要的修改。

条47. 内部操作风险报告

1. 至少每六个月或在必要时，商业银行、外国银行分行应根据本条第2款的规定提交内部操作风险报告。

2. 内部操作风险报告至少应包括以下内容：

a) 实施操作风险管理政策的情况以及遵守操作风险限额的情况；

b) 报告期内发生的操作风险事件及其原因；

d) 影响商业银行、外国银行分行操作风险的外部事件及其影响；

đ) 操作风险计量方法的变化；

e) 外包活动及其操作风险管理情况；

g) 应用技术的变化（如有）及其操作风险管理情况；

h) 关于操作风险管理的建议；

i) 内部审计、中国人民银行、独立审计组织和其他职能机构关于操作风险管理的要求和建议的执行结果。

节5
流动性风险的管理

条48. 流动性风险管理和流动性风险限额要求

1. 流动性风险管理必须满足以下最低要求：

a) 在商业银行、外国银行分行正常运营和流动性不利变化的情况下，保持足够的高流动性资产以满足流动性需求（包括确定市场流动性获取的成本和损失）；

b) 按照本通 tư第49条的规定实施流动性管理；

c) 确定满足流动性需求和流动性风险的成本，并将其纳入内部资本定价和重要业务活动（包括表内和表外）的业绩评估中。

2. 流动性风险管理策略至少应包括以下内容：

a) 流动性管理原则；

b) 多元化资金来源和资金期限的战略，以增加负债的稳定性，支持日常流动性；

c) 流动性承受能力检查原则。

3. 流动性风险限额包括：

a) 确保符合法律规定的能力支付比率、贷款与存款比率、短期资金用于中长期贷款的比率限额；

b) 商业银行、外国银行分行内部规定的其他限额。

条 49. 流动性管理

1. 商业银行、外国银行分行应当对以下方面实施流动性管理：

a) 商业银行、商业银行的其他附属机构、外国银行分行；

b) 越南盾和外币（至少包括美元，以及其他可兑换为美元的外币）。

2. 最低流动性管理应包括以下内容：

a) 实施日间流动性管理，确保跟踪日间流动性状况，确定资金来源并评估筹集这些资金的能力以保证日间流动性，预测可能引起日间流动性异常变化的情况，并提出处理措施；

b) 管理高流动性资产，根据市场价格和转换成现金的能力，在市场正常运作和流动性紧张的情况下满足流动性需求；

c) 管理资金筹集，确保统计至少30天内无固定期限存款的平均余额、稳定维持的存款（核心存款）和其他按商业银行、外国银行分行内部规定衡量的资金筹集指标；

d) 至少确保编制次日及具体时间段（一周、一月、三个月、六个月、一年）的资金流量表，通过比较资金流入和流出来确定资金流量差额，确保遵守国家银行关于商业银行、外国银行分行活动的安全限制和流动性比率等内部规定的其他比率；

e) 确保评估获取流动性来源的能力，以满足在市场正常运作和流动性紧张情况下未来的流动性需求。

条 50. 识别、计量、监测和控制流动性风险

1. 识别流动性风险必须确保：

a) 基于分析每项业务的流动性需求、流动性来源、资产负债结构和表内外项目的现金流、市场流动性获取能力的基础上进行；

b) 识别由信用风险、市场风险、操作风险、声誉风险及其他风险引发的流动性风险。

2. 至少确保以下要求的最低流动性风险计量和监测：

a) 应有适当的工具来计量最低流动性风险，包括：

(i) 资产负债未来的现金流量；

(ii) 不寻常的流动性需求和必须履行表外项目义务的情况；

(iii) 交易货币；

(iv) 银行代理、托管和支付业务；

b) 监测遵守偿付能力比率、贷款与存款总额比率、短期资金用于中长期贷款的比例以及其他流动性比率（如有）的情况。

3. 控制流动性风险必须确保：

a) 流动性风险状态符合流动性风险限额。

b) 设立早期预警指标，以便采取措施处理短期和长期流动性不足。

条51. 流动性承受能力检查

1. 商业银行、外国银行分行应有计算假设影响的方法，以评估履行义务、承诺和遵守流动性风险限额的能力。这些假设及其对流动性影响的计算方法必须进行审查，并自我评估其适当性。

2. 第二十八条第二点规定的不利情景至少应包括存款假设和信贷质量假设。

3. 第二十八条第三点规定的应急计划至少应包括以下内容：预计资金来源、资金使用、未来现金流，确保符合本条第一点规定的要求。

条52. 内部流动性风险报告

1. 商业银行、外国银行分行应定期至少每季度或在必要时编制内部流动性风险报告，如本条第二点所述。

2. 内部流动性风险报告至少应包括以下内容：

a) 对商业银行、外国银行分行的信用评级指标和市场流动性的评估；

b) 资产负债表结构；新的资金筹集产品；存款人；存款期限和利率；

c) 流动性来源、现金流量差额、资金期限和流动性风险限额遵守情况；

d) 报告期内流动性承受能力检查的结果（如有）；

đ) 向接收报告级别提出的关于流动性风险管理的建议和意见；

e) 内部审计、国家银行、独立审计组织和其他职能机构关于流动性风险管理要求和建议的执行结果。

节6
集中风险管理

条53. 集中风险管理和集中风险限额策略

1. 集中风险管理策略至少适用于：

a) 贷款业务；

b) 自营业务。

2. 集中风险管理策略至少包括以下内容：

a) 对于贷款业务：

(i) 确定按信贷产品、客户、行业和经济领域划分的集中信贷限额的原则；

(ii) 符合法律规定的客户关联方识别标准；

(iii) 确定信贷产品、行业和经济领域之间多样性和相互作用程度的原则；

b) 对于自营业务：

(i) 确定按交易对手、交易产品和货币类型划分的自营交易集中限额的原则；

(ii) 确定自营交易清单以应用自营交易集中限额，确保符合商业银行、外国银行分行规定的多样性和相互作用程度的标准；

3. 集中风险限额至少包括：

a) 对于贷款业务：

(i) 单一客户的贷款限额与总贷款余额的比例；

(ii) 根据信贷产品、行业和经济领域的贷款余额占总贷款余额的比例确定信贷产品的行业和经济领域的集中信贷限额；

b) 对于自营交易活动：根据交易对手、交易产品和货币类型的余额占总自营交易余额的比例确定交易对手、交易产品和货币类型的自营交易集中限额。

条54. 集中风险识别、计量和控制

1. 商业银行、外国银行分行必须至少在信贷发放活动和自营交易活动中识别集中风险，包括：

a) 商业银行、外国银行分行记入资产负债表内和表外项目的各项；

b) 法律规定未记账的项目。

2. 商业银行、外国银行分行应在评估每项信贷发放活动和自营交易活动对收入的影响的基础上进行集中风险计量。

3. 商业银行、外国银行分行应采取以下措施进行集中风险控制：

a) 监控并检查贷款余额和自营交易余额是否符合集中风险限额；提前预警接近或超过集中风险限额的贷款余额和自营交易；

b) 对超出集中风险限额的情况及时采取处理措施。

条55. 内部集中风险报告

1. 商业银行、外国银行分行应当至少每六个月或在必要时编制并提交本条第2款规定的内部集中风险报告。

2. 内部集中风险报告至少应包括以下内容：

a) 按信贷产品、客户、行业和经济领域划分的信贷结构；

b) 按交易对手、交易产品、货币种类划分的自营交易目录结构；

c) 集中风险限额执行情况及超出限额的原因（如有）；

d) 向接收报告方提出关于集中风险管理的建议和意见；

đ) 内部审计、国家银行、独立审计组织和其他职能机构关于集中风险管理的要求和意见的执行结果。

节 7
利率风险账户管理

条56. 账户利率风险的管理策略和限额

1. 账户利率风险的管理策略至少应包括以下内容：

a) 至少根据以下指标制定账户利率风险的管理原则：

（i）重新定价缺口状况（repricing gap profile）：金融资产和金融负债按重新设定利率或重新定价时间点的利率价值之间的差额；

（ii）利率变化影响度量指标，包括以下一个或两个指标：

- 净利息收入变化（Change in Net Interest Income – ΔNII）：由于金融资产、金融负债和账户表外项目利率变化导致的净利息收入的变化程度；

- 经济价值权益变化（Change in Economic Value of Equity – ΔEVE）：由于利率变化导致的金融资产流入现值与金融负债流出现值的变化程度；

b) 使用账户利率风险防范工具的原则（包括批准账户利率风险防范工具的权限）。

2. 账户利率风险的最低限额包括：

a) 金融资产和金融负债按重新设定利率或重新定价时间点的利率价值之间的差额限额；

b) 根据账户利率风险管理策略，因利率变化导致的净利息收入变化限额或经济价值权益变化限额。

条57. 识别、计量、监控和控制账户利率风险

1. 商业银行、外国银行分行应当至少满足以下要求，以识别、计量、监控和控制账户利率风险：

a) 应当按照商业银行、外国银行分行内部规定，至少每季度定期或在必要时进行识别、计量、监控和控制账户利率风险的程序；

b) 承担账户利率风险计量、监控和控制职责的部门必须独立于产生账户利率风险的业务部门；

c) 应当具备信息技术基础设施和数据库，用于计量、监控、控制和编制内部账户利率风险报告。

2. 识别账户利率风险必须确定导致账户利率风险的原因和因素（包括因实施账户利率风险防范措施而产生的新风险）。

3. 计量、监控账户利率风险必须确保：

a) 监控金融资产和金融负债的新利率设定时间和重新定价时间；

b) 采用符合本通知第56条第1款a项规定的账户利率风险管理和资本压力测试规定（见本通知第60条）的账户利率风险计量方法；

c) 对于商业银行、外国银行分行账面价值占总资产5%以上的有息项目（包括表内项目、表外项目、人民币或外币项目）进行计量；

d) 监控金融资产和金融负债的新利率设定时间和重新定价时间。如果无法确定到期日或新利率设定时间，商业银行、外国银行分行可以使用假设，并且所使用的假设必须获得商业银行、外国银行分行内部规定的有权审批人的批准。

4. 控制账户利率风险必须确保：

a) 账户利率风险状态符合账户利率风险限额；

b) 对接近账户利率风险限额的情况及时发出预警，并对超出账户利率风险限额的情况采取及时处理措施。

条 58. 内部利率风险报告

1. 商业银行、外国银行分行应当至少每季度或在必要时编制内部利率风险报告，该报告的内容应符合本条第2款的规定。

2. 内部利率风险报告至少应包括以下内容：

a) 利率缺口状态、净利息收入变动指标、经济资本价值变动指标（如有）；

b) 遵守利率风险限额的情况；

c) 利率风险管理工具以及这些工具实施的结果；

d) 向接收报告的管理层提出关于利率风险管理的建议和意见；

e) 内部审计、国家银行、独立审计机构和其他职能机构关于利率风险管理的要求和意见的执行结果。

第五章
内部资本充足性评估

条 59. 资本充足性内部评估的要求和内容

1. 资本充足性内部评估必须确保：

a) 遵守国家银行规定的资本充足比率规定；

b) 在正常运营场景和不利发展场景下保持目标资本充足比率；

c) 符合风险偏好，并基于重要风险的发展情况；

d) 作为制定和调整商业银行、外国银行分行业务计划的基础；

e) 至少每年定期进行，或在商业环境变化、可能影响风险和资金来源导致无法满足风险偏好的资本指标时立即进行。

2. 商业银行、外国银行分行应按照以下步骤至少每三年但不超过五年进行一次资本充足性内部评估：

a) 根据本通知附件3的指导原则，对重要风险进行风险测量并确定经济资本；

b) 进行资本承受力测试以确定不利发展场景下的经济资本；

c) 确定目标资本和预期自有资本，根据本通知附件3的指导原则；

d) 编制资本计划；

e) 监控资本充足性以管理目标资本并调整资本计划（如需）；

f) 审查资本充足性内部评估程序。

条 60. 资本承受力测试

a) 对于利率假设：基于利率假设，计算总风险资产（操作风险、市场风险（利率风险）、银行账簿利率风险）的变化对资本充足比率的影响；

b) 对于汇率假设：基于汇率假设，计算总风险资产（操作风险、市场风险（外汇风险））的变化对资本充足比率的影响；

c) 对于信贷质量假设：基于信贷质量假设，计算总风险资产（操作风险、信用风险）的变化对资本充足比率的影响。

2. 根据本条第1款规定的假设和计算方法，商业银行、外国银行分行应审查并自我评估其内部规定的适用程度。

条 61. 编制资本计划

1. 商业银行、外国银行分行必须编制至少包括以下内容的资本计划：

a) 在预计自有资本无法达到目标资本的情况下，增加资本的方案包括：

(i) 确保可行且符合法律规定的一级资本和二级资本的资金来源；

(ii) 增加资本的时间表和实施路径；

b) 在预计自有资本能够达到目标资本的情况下，确保满足目标资本要求的股息政策和利润分配政策；

c) 根据风险加权资产对重大风险进行目标资本分配，以确定风险限额；

d) 设定早期预警水平，以便监控和监督根据风险加权资产分配的风险限额，并及时采取措施。

2. 商业银行的资本计划由董事会或股东大会根据总经理（或行长）的提议批准。外国银行分行的资本计划按照母行的规定执行。

条 62. 审查内部资本充足评估程序

1. 内部资本充足评估程序必须每年至少一次或在必要时由独立于建立和执行该程序的部门的部门定期审查。

2. 审查内部资本充足评估程序至少应包括以下内容：

a) 内部资本充足评估程序规定的合理性（包括组织结构、职能和个人职责）；

b) 风险偏好与业务计划之间的适应性，以及风险加权资产与风险限额之间的适应性；

c) 输入数据的准确性和完整性；

d) 资本压力测试情景中使用的假设的合理性；

đ) 增资方案的可行性；

e) 向有权机构提出关于内部资本充足评估程序的意见和建议（如有）。

条 63. 内部资本充足评估报告

1. 商业银行、外国银行分行每年定期编制内部资本充足评估报告，规定在本条第2款中。

2. 内部资本充足评估报告至少应包括以下内容：

a) 目标资本和经济资本；

b) 资本压力测试结果；

c) 资本计划；

d) 资本分配结果；

đ) 按照本通知第62条的规定，内部资本充足评估程序审查的结果；

e) 内部审计、国家银行、独立审计组织和其他相关机构关于内部资本充足评估程序的要求和建议的执行结果。

第六章
内部审计

条 64. 内部审计原则

1. 内部审计遵循以下原则：

(i) 内部审计员、内部审计部门不得同时承担第一道防线和第二道防线个人或部门的工作任务和职责；

(ii) 内部审计不受第一道防线和第二道防线任何个人或部门的影响或干预；

(iii) 内部审计员不得对以下事项进行审计：

- 由该内部审计员制定的内部审计规定和内部审计计划；

- 其负责人是该内部审计员关联方的单位或部门；

- 该内部审计员在过去三年内负责或参与过的活动或部门；

(iv) 内部审计主管和内部审计员的薪酬标准必须与第一道防线和第二道防线单位或部门的经营成果和业绩无关；

b) 客观性原则：

(i) 内部审计报告中的记录必须基于仔细分析收集到的数据和信息；

(ii) 内部审计员在内部审计过程中进行报告和评价时必须诚实；

(iii) 内部审计员有权利和义务向有权机构报告内部审计过程中的任何与客观性有关的问题；

c) 专业性原则：

(i) 内部审计部门至少有一名内部审计员负责信息技术和应用技术的审计（以下简称“技术审计员”）；

(ii) 内部审计员必须符合本通知第66条的规定。

2. 内部审计必须采取措施确保在内部审计过程中（包括内部审计报告的编制和提交过程）遵守本条第1款规定的原则。内部审计主管应及时将违反或可能违反本条第1款规定原则的情况报告给监事会。

条65。 协调机制

1. 商业银行必须建立以下协调机制：

a) 按照本条第2款的规定，董事会、股东会和监事会以及内部审计部门之间的配合；

b) 总经理（或行长）、第一道防线和第二道防线的各部门与监事会、内部审计部门根据本条第3款的规定。

2. 商业银行董事会、股东会和监事会、内部审计部门的协调机制必须确保：

a) 董事会、股东会与内部审计部门合作，当内部审计涉及高级管理层对董事会、股东会的监督时；

b) 董事会、股东会在内部审计报告中有建议时，应执行监事会的建议并向监事会通报执行情况。

3. 商业银行总经理（或行长）、第一道防线和第二道防线的各部门与监事会、内部审计部门的协调机制必须确保：

a) 总经理（或经理）执行：

（i）在内部审计关于高级管理层对总经理（或经理）监督时与内部审计部门配合；

(ii) 指示风险管理部及相关部门提供足够的风险信息，供内部审计部门编制内部审计计划。

(iii) 总经理（董事）接收内部审计报告，组织落实董事会在内部审计结果报告中的建议（如有），并向董事会报告建议的执行情况；

b) 第一道防线和第二道防线的部分执行：

（i）根据内部审计部门的要求，提供完整、真实、准确的信息和文件；

(ii) 及时向内部审计部门通报发现的问题、违规行为、损失或潜在损失的风险；

（iii）为内部审计部门进行内部审计创造便利条件。

4. 外国银行分行必须建立总经理（董事）与外国银行分行内部审计部门之间的协调机制。

第六十六条 内部审计人员和董事会成员的标准

1. 商业银行董事会成员必须符合法律规定的要求和条件。

2. 商业银行必须为内部审计人员设立满足以下要求的标准：

a) 拥有经济学、工商管理、法律、会计或审计相关专业的大学学位及以上；拥有计算机科学或适合内部审计技术专业要求的大学学位及以上；

b) 在银行业、金融、会计或审计领域至少有两年工作经验的内部审计人员，在信息技术领域至少有两年工作经验的技术审计人员；担任内部审计负责人需至少有三年相关工作经验；

3. 外国银行分行内部审计人员的标准按照母行的规定执行。

第六十七条 内部审计人员和董事会成员的职业道德标准

1. 商业银行内部审计人员和董事会成员（包括内部审计负责人和其他内部审计部门职位）的职业道德标准至少应包括以下规则：

a) 正直：诚实地完成分配的工作；

b) 客观：公正地完成分配的工作；公平评价，不因个人利益或其他人的利益而偏颇；

c) 保密：遵守法律法规和商业银行、外国银行分行内部关于信息保密的规定；

d) 责任：确保工作按时按质完成；

e) 谨慎：基于以下因素谨慎地完成工作：

(i) 内部审计内容的复杂性和重要性；

(ii) 内部审计过程中发生重大错误的可能性。

2. 外国银行分行内部审计人员的职业道德标准按照母行的规定执行。

第六十八条 内部审计部门的组织结构、职责、权限和责任

1. 商业银行内部审计部门的组织结构、职责和权限由董事会根据《商业银行法》和本通知的规定决定。

2. 商业银行内部审计部门的职责至少包括以下内容：

a) 对商业银行总部、分行及其他附属单位进行内部审计；

b) 制定并审查以供董事会批准、修改或补充：

(i) 根据本通知第六十七条第1款规定的职业道德标准；

（ii）审计委员会内部规定；

（iii）内部审计计划；

c) 监督并评估董事会对董事会成员、股东会成员、总经理（董事）、个人或部门提出的建议的执行情况；

d) 执行中国人民银行、独立审计机构和其他职能机关对内部审计提出的建议；

e) 按照本通知第七条第2款第d项和第七十二条的规定编制内部审计报告。

3. 商业银行内部审计部门的权限至少包括以下内容：

a) 配备必要的资源（人力、资金、资产和其他工具）；

b) 获取内部审计所需的信息、文件和记录，包括董事会、股东会成员、总经理（董事）的会议纪要等文本；

c) 面谈与内部审计内容相关的个人；建议商业银行内部规定有权处理在内部审计过程中不合作的行为；

d) 根据商业银行章程和内部规定参加内部会议。

4. 商业银行内部审计部门和内部审计人员的责任至少包括以下内容：

a) 按照法律法规和商业银行内部规定保护文件和信息；

b) 向董事会负责其被分配的任务的执行情况；

c) 内部审计人员对其被分配的审计任务向法律和内部审计负责人负责。

5. 外国银行分行内部审计部门和内部审计人员的组织结构、职责、权限和责任按照母行的规定执行。

条 69. 内部审计的内部规定

商业银行监事会的内部规定必须包括以下关于内部审计的最低要求：

1. 根据本通知第68条规定的内部审计部门的组织结构、职责和权限；根据本通知第66条规定的企业内部审计人员的标准；根据本通知第67条规定的职业道德规范，监事会成员和企业内部审计人员。

2. 根据本通知第70条第2款a)、b)项规定的活动、流程、部门的风险程度、重要性程度和内部审计频率的标准；根据本通知第71条规定的内部审计内容。

3. 制定和实施内部审计计划的程序。

4. 对内部审计规定进行审查和评估，处理国家银行、独立审计组织和其他职能机构关于内部审计的意见。

5. 关于聘请外部专家或组织进行内部审计的规定。

6. 根据本通知第72条规定的内部审计报告制度。

条 70. 内部审计计划

1. 商业银行的内部审计按年度定期和临时按照监事会的内部规定执行。

2. 商业银行的年度内部审计计划由监事会根据内部审计负责人提议，并在参考董事会、股东会和总经理（主任）意见后发布。制定内部审计计划必须确保满足：

a) 风险导向原则：根据监事会的内部规定，对活动、流程、部门进行风险程度（高、中、低）评估。风险程度高的活动、流程、部门应集中资源优先进行审计，并每年至少审计一次；

b) 全面性：所有活动、流程、部门都必须进行内部审计。根据监事会的内部规定，重要的活动、流程、部门每年至少审计一次；

c) 为突发审计预留资源和时间；

d) 每年的定期内部审计计划应在有重大变化时调整，如业务规模、风险状态或内部审计资源的变化，根据监事会的内部规定。

3. 商业银行的年度内部审计计划必须在前一年的12月15日前发布，并包括以下内容：审计范围、审计对象、审计目标、审计时间、审计资源（包括聘请专家和外部组织）以执行内部审计及其他商业银行规定的事项。

4. 外国银行分行的内部审计计划由母行决定。

5. 自发布（修改、补充）之日起10个工作日内，商业银行和外国银行分行须将内部审计计划提交给国家银行（监管局）。

条 71. 内部审计内容

1. 商业银行的内部审计根据《银行业金融机构法》第41条第2款的规定，在以下内容基础上进行：

a) 独立检查和评估高级管理层监督、内部控制、风险管理及资本充足性评估机制、政策和内部规定的遵守情况，包括确定存在的问题、限制及其原因；

b) 独立审查和评估高级管理层监督、内部控制、风险管理及资本充足性评估机制、政策和内部规定的适当性和合规性，包括确定存在的问题、限制及其原因；

c) 向有权机构和相关部门提出建议和意见，以解决存在的问题和限制；

d) 根据内部审计部门的内部规定，其他相关内容。

2. 外国银行分行的内部审计内容根据母行的规定执行。

Điều 72. Báo cáo nội bộ về kiểm toán nội bộ

1. Ngân hàng thương mại phải lập báo cáo kết quả kiểm toán nội bộ theo quy định tại khoản 2 Điều này và báo cáo kết quả tự đánh giá kiểm toán nội bộ theo quy định tại khoản 3 Điều này như sau:

a) Sau khi kết thúc kiểm toán nội bộ, bộ phận kiểm toán nội bộ trình Ban kiểm soát phê duyệt báo cáo kết quả kiểm toán nội bộ để gửi Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc) theo quy định nội bộ của Ban kiểm soát của ngân hàng thương mại;

b) Trong thời hạn 30 ngày kể từ ngày kết thúc năm tài chính, bộ phận kiểm toán nội bộ trình Ban kiểm soát báo cáo kết quả tự đánh giá kiểm toán nội bộ theo quy định nội bộ của Ban kiểm soát.

2. Nội dung báo cáo kết quả kiểm toán nội bộ (kiểm toán nội bộ định kỳ hằng năm và kiểm toán nội bộ đột xuất) bao gồm các nội dung sau đây:

a) Tình hình thực hiện nội dung, phạm vi kiểm toán trong năm tài chính;

b) Việc tuân thủ cơ chế, chính sách, quy định nội bộ về giám sát của quản lý cấp cao, kiểm soát nội bộ, quản lý rủi ro và đánh giá nội bộ về mức đủ vốn của Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc), cá nhân, bộ phận;

c) Sự phù hợp, tuân thủ quy định của pháp luật và quy định tại Thông tư này của cơ chế, chính sách, quy định nội bộ về giám sát của quản lý cấp cao, kiểm soát nội bộ, quản lý rủi ro và đánh giá nội bộ về mức đủ vốn;

d) Các tồn tại, hạn chế được phát hiện khi thực hiện kiểm toán nội bộ và các kiến nghị đối với cấp có thẩm quyền và các bộ phận liên quan;

đ) Các nội dung khác.

3. Nội dung báo cáo kết quả tự đánh giá kiểm toán nội bộ bao gồm các nội dung sau đây:

a) Đánh giá kết quả thực hiện nhiệm vụ kiểm toán nội bộ trong năm báo cáo; rà soát, đánh giá lại (bao gồm đề nghị sửa đổi, bổ sung) quy định nội bộ của Ban kiểm soát; đề xuất và kiến nghị (nếu có);

b) Tình hình thực hiện các kiến nghị của Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc), cá nhân, bộ phận đối với kiểm toán nội bộ trong năm báo cáo;

c) Tình hình thực hiện các kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập và các cơ quan chức năng khác đối với kiểm toán nội bộ trong năm báo cáo;

d) Các nội dung khác.

4. Nội dung báo cáo nội bộ về kiểm toán nội bộ của chi nhánh ngân hàng nước ngoài thực hiện theo quy định của ngân hàng mẹ.

Chương VII
ĐIỀU KHOẢN THI HÀNH

Điều 73. Hiệu lực thi hành

1. Thông tư này có hiệu lực thi hành kể từ ngày 01 tháng 01 năm 2019, trừ nội dung quy định tại khoản 2 Điều này.

2. Ngân hàng thương mại, chi nhánh ngân hàng nước ngoài thực hiện các quy định về đánh giá nội bộ về mức đủ vốn tại Chương V Thông tư này kể từ ngày 01 tháng 01 năm 2021.

a) Sửa đổi Điều 1 như sau:

“Thông tư này quy định về hệ thống kiểm soát nội bộ và kiểm toán nội bộ của tổ chức tín dụng (trừ ngân hàng thương mại, chi nhánh ngân hàng nước ngoài)”.

b) Sửa đổi cụm từ “tổ chức tín dụng, chi nhánh ngân hàng nước ngoài” thành “tổ chức tín dụng” tại Thông tư số 44/2011/TT-NHNN ngày 29 tháng 12 năm 2011 của Thống đốc Ngân hàng Nhà nước quy định về hệ thống kiểm soát nội bộ và kiểm toán nội bộ của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài.

Điều 74. Tổ chức thực hiện

Chánh Văn phòng, Chánh Thanh tra, giám sát ngân hàng, Thủ trưởng các đơn vị thuộc Ngân hàng Nhà nước; Giám đốc Ngân hàng Nhà nước chi nhánh tỉnh, thành phố trực thuộc Trung ương; Chủ tịch Hội đồng quản trị, Chủ tịch Hội đồng thành viên và Tổng giám đốc (Giám đốc) ngân hàng thương mại, chi nhánh ngân hàng nước ngoài chịu trách nhiệm tổ chức thực hiện Thông tư này./.