欧洲央行2024年《公司治理与风险文化指引（草案）》将“以文化为证明依据”作为审慎评估的基石，标志着监管重心从核查制度架构合规转向评判公司治理落地至实操层面的决策模式与从业操守。德国、法国、意大利、澳大利亚、美国等各国监管机构纷纷跟进，将行为层面监管要求嵌入监管规则体系。毕马威报告系统解读了风险文化的定义、五步法框架、成熟度模型，并提出了商业银行内审从“查制度”转向“查行为、查证据、查一致性”的六大审计领域与五种审计方法，为内审部门开展风险文化审计提供了实操性工具箱。
监管变革——“以文化为证明依据”的全球趋势
欧洲央行引领，各国监管机构跟进
欧洲央行2024年《公司治理与风险文化指引（草案）》将“以文化为证明依据”作为审慎评估的基石，要求各金融机构举证治理架构、风险报告机制和问责规范如何在风险偏好框架内转化为可量化的结果。多数欧盟成员国正对标这一监管思路，典型监管机构包括德国联邦金融监管局、法国审慎监管局、意大利公司治理委员会与意大利证监会。澳大利亚审慎监管局出台风险文化十维度完整评估框架，覆盖高层基调、经营决策、风险上报、价值理念落地四大板块；美国联邦储备委员会亦将文化要素纳入日常监管评价。
风险文化定义与五步法框架
巴塞尔银行监管委员会定义：风险认知、风险承担与风险管理的组织行为
根据巴塞尔银行监管委员会定义，风险文化是银行围绕风险认知、风险承担与风险管理形成的行为准则、理念态度及实操行为，是左右各项风险决策的内控基础。风险文化具备动态属性，会随内部经营变化与外部环境影响持续演化。“五步法框架”包含定义、评估、优化、实施、常态化监测五大环节，指引机构将自身风险文化与战略发展目标统筹适配，把理想化的文化建设愿景转化为可落地的实操举措与可量化的成果指标。
风险文化成熟度模型
四个层级：缺失型、零散型、融合型、成熟领先型
缺失型——无成型风险文化，对风险事件仅被动应对，企业未建立内部风险上报渠道，员工对风险文化认知极低。零散型——具备基础认知但执行标准不一，制度落地不均衡，全员对风险文化重视仅停留在合规应付层面。融合型——统一连贯的风险文化深度嵌入业务运营，主动开展风险管理，员工敢于主动发声上报各类风险事件。成熟领先型——风险文化全面贯穿决策全流程，持续评估、学习，企业将风险文化视作核心成功要素，几乎所有风险事件均会上报并视作组织优化契机。
商业银行内审六大审计领域
高层基调、风险偏好传导、合规落地、问责文化、员工行为、信息沟通
审计思路应从“查制度”转向“查行为、查证据、查一致性”。公司治理与高层基调：董事会/高管层是否公开、持续、一致传递“重视合规、风险可控”信号，高管是否存在绕过制度、干预审批痕迹。风险偏好传导：全行风险偏好是否分解到条线、分行并可执行可考核，绩效考核是否过度重视规模而合规与风险权重过低。合规与风险文化落地：员工是否主动上报风险还是“多一事不如少一事”。问责文化：违规处罚是否标准一致、公平公正，是否“大事化小”“内部消化”。员工行为与道德文化：关键岗位是否轮岗、强制休假、亲属回避到位。信息沟通：风险信息、不良、问题是否真实、完整、及时上报还是层层隐瞒。
审计方法建议与相关服务
证据链审计、数据化监测、穿透审计、结构化访谈、高级分析
证据链审计：不只看制度，重点抽取会议纪要、邮件、审批流、举报记录、绩效数据、处罚档案、系统日志，形成文化行为证据链。数据化监测：建立文化风险指标库（上报率、处罚一致性、培训覆盖率、举报处理时效等），定期跟踪预警。穿透审计：从总行穿透到分行、支行、客户经理，看文化是否层层衰减、变形。结构化访谈：挖掘文化错位背后的认知盲区、内部矛盾及根本诱因。高级分析：借助机器学习技术（聚类分析、异常检测、情绪分析等），将原始数据转化为具备预判价值的业务洞察。毕马威可助力内审部门精准聚焦监管重点与行业风险热点，设计敏捷审计方案，贯穿“监管要求-控制设计-执行验证”全流程。
