毕马威：2026年度第二季度商业银行内审观察报告（42页）.pdf

核心结论速览： 上半年监管罚单1,720张，罚没金额10.61亿元：罚单数量同比下降近三成，罚没金额却上升超五成，单均罚没金额约62万元，上升超一倍，严监管态势持续强化。 处罚到人成为常态：机构罚单平均关联1.6个被问责个人，处罚层级从总行部门负责人至基层支行行长及客户经理层面均有覆盖。 信贷业务、内控合规、数据治理为处罚集中领域：数据错报漏报、未履行客户身份识别义务、贷款“三查”不尽职位列处罚案由前三。 八部门联合发布《金融产品网络营销管理办法》 ：2026年9月30日正式实施，要求金融机构建立总部集中统一的营销宣传内容审核机制，划定第三方平台合规红线。 《网络数据安全风险评估办法》8月20日起施行：重要数据处理者每年度开展风险评估，一般数据处理者至少每3年开展一次，评估机构不得转委托。 衍生品交易监管办法填补制度空白：2026年11月16日起施行，明确证券公司、期货公司开展衍生品业务需满足最近6个月净资本持续不低于5亿元。 银行业保险业AI安全开发应用指导意见出台：首次对涉及资金交易、信贷审批等高风险AI应用实施准入管理，明确禁止将个人信息用于模型训练。H2：研究背景与金融行业监管全景图谱。研究背景：2026年上半年，财政部、中国人民银行、国家金融监督管理总局、中国证券监督管理委员会等监管机构共发布重要新规及征求意见稿145项，涵盖金融监管、信贷业务、金融市场业务、同业业务、代理销售、托管业务、资本市场业务、运营管理、反洗钱、人工智能等多个业务及管理领域，旨在进一步完善金融市场体系、强化风险管理、优化资源配置以及推动经济高质量发展。监管处罚趋势：2026年上半年，三大金融监管机构针对银行业金融机构及其从业人员共发布罚单1,720张，罚没金额共计人民币10.61亿元。较去年同期，罚单数量下降近三成，罚没金额却上升超五成；单均罚没金额约人民币62万元，上升超一倍。金融监管总局罚单数量最多，罚没总额最高；人民银行单均罚没金额最高。处罚十大案由：报送监管统计数据错报漏报（248张）、未按规定履行客户身份识别义务（185张）、贷款“三查”不尽职（168张）、非法查询泄露客户信息（156张）、贷后管理不到位（154张）、消费者金融信息使用管理不到位（153张）、账户管理不到位（147张）、贷前调查不尽职（135张）、违规发放贷款（132张）、假币鉴别收缴保管不当（118张）。H2：上半年重点监管新规精读。《金融产品网络营销管理办法》 ：4月21日，人民银行、金融监管总局、证监会等八部门联合印发，明确于2026年9月30日正式实施。新规确立金融机构对营销活动的主体责任，要求建立总部集中统一的管理机制，实现营销宣传的标准化、规范化管理。重点内容包括：总部集中统一的内容审核机制、第三方平台责任边界的界定、消费者权益保护措施强化。内审需重点关注营销宣传内容真实合规性、合作机构准入与持续监督管理、营销数据全生命周期安全治理。《网络数据安全风险评估办法》 ：6月18日，网信办、工信部、公安部联合公布，自2026年8月20日起施行。重要数据处理者应当每年度开展风险评估，一般数据处理者至少每3年开展一次。评估机构不得转委托，同一机构及其关联机构不得连续3次以上对同一主体开展年度评估。重要数据处理者在年度评估完成后20个工作日内报送风险评估报告并至少保存3年。内审需关注评估频次、触发评估机制、报告报送时效及评估机构独立性。《衍生品交易监督管理办法（试行）》 ：填补了此前场外衍生品监管的制度空白，明确证券公司、期货公司申请开展衍生品业务需满足最近6个月净资本持续不低于人民币5亿元的门槛。要求经营机构建立完备的风险隔离机制，建立逐日盯市、压力测试等风险管理制度。上市公司及其控股股东、实际控制人、董事、监事、高级管理人员等被禁止开展涉及本公司股票的衍生品交易。自2026年11月16日起施行，设立六个月过渡期。《关于银行业保险业人工智能安全开发应用的指导意见》 ：6月，金融监管总局发布，从治理架构、开发应用、数据治理、算力建设和风险管理等方面提出系统性规范要求。首次对涉及资金交易、信贷审批、承保理赔等高风险AI应用实施准入管理，在高风险应用关键环节建立人工监督和干预机制。明确禁止将个人信息用于模型训练。要求将AI风险纳入全面风险管理体系，定期开展AI应用风险评估审查和AI模型算法审计。H2：监管处罚三大观察与审计建议。观察一：关注绩效指标的合理性。2026年上半年多张罚单涉及绩效指标设定不合理、考核机制不合规。央行、金融监管总局、外管局三大监管机构同步推进树立和践行正确政绩观学习教育，清晰传递从源头矫正经营导向的监管决心。多家具有较好管理基础的国有大型商业银行、股份制商业银行暴露出“退步型”基础管理问题，背后原因可能为业绩驱动下风险合规文化的侵蚀。内审部门需关注绩效指标的合理性，从机制上封堵由不当考核引发的违规冲动。观察二：信息科技管理领域监管强化。信息科技管理领域的监管处罚较去年同期有所上升，处罚案由广泛涉及信息科技基础管理、网络安全、数据安全、重要信息系统应急管理、突发事件报告等。近期网络安全与数据安全领域立法步伐不断提速，金融监管总局已就《银行业保险业网络安全管理办法（征求意见稿）》公开征求意见；随着人工智能的快速发展，预计未来监管检查与非现场监测将更加深度地覆盖信息科技领域。观察三：审计署报告揭示金融问题需高度重视。2026年6月23日，审计署审计长报告了2025年度审计情况，揭示多项金融领域违规问题：科技金融“叫好不叫座”（创新积分贷积分悬空、知识产权质押贷产权陷阱、科技企业并购贷协同虚化）；利用金融优惠政策不当牟利（通过私募包装公募逃避税23.67亿元）；“内卷式”竞争拉动存贷款规模增加1.41万亿元；违规掩盖或处置不良资产634.41亿元；违规向低风险承受能力客户销售高风险资产公募基金20.39亿元等。观察四：监管配合与数据报送。处罚中涉及数据报送及配合检查的案由呈现增多且多样化的趋势。商业银行在日常数据报送和接受检查时常面临时间紧、资源缺的双重压力，影响检查结果。内审部门需重点关注监管配合流程的有效性，以降低合规风险。H2：敏捷审计专题——风险文化审计与常态化监控。欧洲央行2024年《公司治理与风险文化指引（草案）》将“以文化为证明依据”作为审慎评估的基石，标志着一项重大监管变革——优质的风险文化现已成为与财务韧性直接相关的可量化指标。多数欧盟成员国正对标欧洲央行监管思路，将行为评估嵌入审慎审查与监管会谈环节。澳大利亚审慎监管局出台风险文化十维度完整评估框架；美国联邦储备委员会亦将文化要素纳入日常监管评价。风险文化五步法框架：定义→评估→优化→实施→常态化监测。风险文化成熟度模型分四个阶段：缺失型（无成型风险文化）、零散型（执行标准不一）、融合型（深度嵌入业务）、成熟领先型（全面贯穿决策全流程）。内审核心思路：从“查制度”转向“查行为、查证据、查一致性”。六大审计关注领域：公司治理与高层基调、风险偏好传导、“重业绩轻风险”文化、合规与风险文化落地、问责文化、员工行为与道德文化、信息沟通。审计方法包括证据链审计、数据化监测、穿透审计、结构化访谈、机器学习分析等。H2：国际内审动态与理论发展。国际内部审计师协会《从数据到决策：通过可视化与故事叙述强化内部审计》 （2026年5月）：指出内部审计正通过数据可视化与故事叙述革新传统报告模式。可视化通过仪表盘、交互式报告替代传统文本密集型报告；故事叙述技术通过结构化逻辑将复杂数据转化为连贯叙事。数据质量是可视化应用的关键，内审人员须判断所呈现的数据是否质量过硬。《董事会需知的企业风险管理监督》 （2026年4月）：指出在不确定性加剧的商业环境中，董事会需强化对企业风险管理（ERM）的主动监督。董事会六大核心职责包括：确立风险偏好与战略一致性、监督文化建设、确保治理结构有效、审查风险报告、评估内部审计职能、关注新兴风险。内部审计可成为董事会提升ERM的重要合作伙伴，90%受访者认为风险管理与内部审计协作带来益处。国际银行内审动态：花旗银行与IBM合作的AI审计平台持续扩展应用，新增基于AI的控制评分和NLP驱动的文档分析功能，已节省数十万小时人工工作量。摩根大通2026年专门为AI划拨近20亿美元增量预算，整体技术预算198亿美元。汇丰银行2026年5月宣布已基本完成贷款政策和实践审查，任命Richard Henry Meddings为集团审计委员会主席。如需了解行业趋势与战略洞察，可返回查看本报告深度分析页面。数据来源说明。本页面所有数据均来源于毕马威《商业银行内审观察2026年度第二季度》（2026年7月）及相关监管机构公开数据。