前两年有报道称，民生银行北京分行航天桥支行的行长张颖涉嫌向百余名投资者销售虚假的理财产品，涉及资金30多亿元。还有的投资者称，他们收到的所谓“理财产品”的文书上，加盖有民生银行航天桥支行的储蓄章。

银行，是中国金融业的重要支柱，素以内控严密著称。无论是国有大型银行，还是中小股份制商业银行，无不在内控制度的建立和执行上花费了大量的人力、财力和物力。然而，银行业时不时会出现一些大案、要案，涉及金额巨大。例如伪造大额存单、承兑汇票、销售虚假理财产品、内外勾结骗取贷款等。我们不仅要问，银行风险管理、合规管理、内部控制和内部审计做了这么多年，也不断在完善和加强，为什么还是不能在大案、要案前发现风险的苗头呢？以下三种情况下，加大了银行以及金融企业的风险管控和内部控制的难度：

一是内部人员串通实施舞弊行为。企业组织内部控制体系设计的原理之一就是不相容岗位的互相牵制。即使是IT系统自动化控制，也可能会因为内部人员的串通而使控制失效。而金融企业，也不完全都是IT系统自动化控制。

二是游离内控系统外，脱离监控。像银行工作人员伪造虚假存单、销售虚假理财产品，往往是私刻印章，私印单证，是在银行的监控体系之外的。如果仅从银行的内控流程来检查，是发现不了问题的苗头的。

三是管理高层干预，导致内控失效。如果有金融企业有管理高层干预内控系统的中某项实施环节，施加影响，那么内控系统将对违规行为失去制约，导致内控失效。比如很多的违规贷款，都上面领导打了招呼，风险评估环节就流于形式了。

那么，采取什么样的对策使银行的大案、要案减少发生频率、涉及金额、涉及人员呢？想必每次一出现大案、要案，或者是疑似的大案、要案，总行就会召集管理层商量对策，安排下面的分行、支行进行风险排查。但能保证大案、要案不再发生吗？不能保证。那么，我们再缩小一些范围，就银行的风控部门和内审部门来说，应该有什么样的思路或者应该调整什么样的理念呢？

风险大多是来自于内控体系的外部而不是内部。即便是组织内部人员串通作案，经过定期或不定期的串行测试，还是有机会发现苗头的。而很多案件的发生，是组织内部人员在组织外部，也就是组织的内控体系之外，利用职务之便开展实施的。打个不一定恰当的比喻，比如一座戒备森严的监狱，有高墙、电网、岗楼、层层铁栏，但很多犯人越狱是通过挖地道而成功逃窜的。地道，是在监狱的控制体系之外的。

对于银行等金融单位或者其他企业组织的风控部门和内审部门，不能把眼光仅盯着组织内部的控制流程上，还要了解组织外部的动向，观察内部人员的异常行为，关注客户的投诉或咨询。风控部门和内审部门，如果条件允许，还可以设立举报热线，还可以暗中走访经营网点等等。