在银行业年度“大考”——ESG报告披露季，江苏常熟农村商业银行股份有限公司（601128.SH，下称“常熟银行”）于近期发布了2025年度可持续发展（ESG）报告。
与此同时，该行2025年年报及2026年一季报亦于4月下旬出炉，营收净利“双增”的业绩表现看似稳健，但这份光鲜财报背后，一场涉及高管缺位与数据隐私合规“爆雷”的双重风暴，正在考验这家素有A股上市农商行“优等生”之称的金融机构。
营收净利双增背后的“隐秘角落”
从账面数据来看，常熟银行交出了一份可圈可点的成绩单。
2025年全年，常熟银行实现营业收入116.19亿元，同比增长6.51%；归母净利润42.19亿元，同比增长10.65%；总资产年末达到4030.79亿元，首次突破4000亿元大关。不良贷款率稳定在0.76%的行业低位，拨备覆盖率高达451.25%。
进入2026年，业绩增长曲线进一步上扬。一季度实现营业收入31.71亿元，同比增长6.74%；归母净利润12.04亿元，同比增长11.10%。不良率更进一步降至0.75%，拨备覆盖率保持在438.10%的高位。净息差虽有小幅下行，但2.50%的水平在银行业整体收息压力增大的背景下仍属领先。
不过值得关注的是，2025年末加权平均净资产收益率（ROE）为14.05%，系近五年来首次下降。此外，有市场分析指出，常熟银行2025年的利息收入已出现同比下滑，下滑趋势在2026年一季度仍在延续。
在ESG环境（E）维度，常熟银行在绿色金融方面不乏亮点。报告显示，截至2025年末，该行绿色信贷余额32.16亿元，同比增幅达17.42%；燕谷数据中心入选国家六部门联合发布的“2025年度国家绿色算力设施”名单，系江苏金融领域首家获此认定的法人机构。在环境治理层面，该行将绿色低碳理念纳入授信审核全流程，对环保不过关、安全生产不过关的企业实行“一票否决制”。
持续推动多元化绿色金融产品创新，聚焦"三农"、小微企业的绿色融资需求，推出包含"苏碳融""太阳能分布式发电能源按揭贷款""环保贷""排污贷"等标准化贷款融资模式和低碳金融产品。截至2025年末，该行科技型企业贷款户数超过2,300户，贷款余额超过156亿元。
行长“代履职”超半年，高管团队持续动荡
就在银行体系持续强调“稳健经营”的当下，常熟银行在公司治理（G）层面却频现剧烈震荡。
2025年11月13日，常熟银行发布重磅人事变动公告。执行董事、行长包剑因“工作变动”提出辞呈，提前一年多结束任期。
同日，副行长李勇亦告辞职。出生于1981年的包剑曾是常熟银行微贷业务的核心创始人之一，2023年底受聘为行长时，曾是A股上市银行中最年轻的行长。
接棒者是1986年出生的副行长陆鼎昌，聘任为行长兼首席合规官。然而截至2026年5月，陆鼎昌的代履职行长状态已持续超过半年，其行长任职资格仍未获得国家金融监督管理总局苏州监管分局的批复。据公开信息，陆鼎昌的董事任职资格已于2026年3月获监管核准，但行长一职仍悬而未决。
行长长期“代履职”在当前银行业环境下极为罕见，尤其是在强监管、严合规的政策基调下，“首席合规官”长期缺位将对该行的内控执行力形成严峻考验。据不完全统计，常熟银行2025年内共有8名高管变动，包括4名高管离任。
从股权维度看，该行股东结构亦处于微妙博弈期。截至2026年一季度末，常熟银行第一大股东仍为交通银行，持股9.01%；常熟市投资控股集团持股3.98%。2026年5月，深陷主业亏损的江苏有线宣布拟以不超过9亿元收购常熟银行不超过3.5%股份，意在加码“文化+金融”布局，这也意味着常熟银行的股权结构近期可能再度发生变化。
在管理层面，常熟银行构建了"董事会及其专门委员会统筹、高管层牵头、职能部门执行"的三级可持续发展管理架构。
常熟银行锚定党建引领核心，健全现代化公司治理结构。根据报告披露，该行独立董事占比达38.46%，法律合规培训参与人次2319人次，参与普法教育人次47759人次，反洗钱培训参与人次13320人次。2025年度，该行研发投入31321.29万元，体现科技驱动治理现代化的战略导向。
报告强调"加强内控合规"作为治理篇的核心议题之一。常熟银行通过完善风险防控屏障，深化数字化转型实践，恪守商业道德准则，以稳健合规的经营底色推动可持续、高质量发展。在实质性议题矩阵中，"风险合规""反洗钱管理""信息安全与客户隐私保护"均被列为高度重要议题，显示该行对合规经营的重视程度。
但值得注意的是，常熟银行去年至今多次被监管部门处罚。2025年8月，常熟银行因员工行为管理不到位、贷款资金回流做银票保证金被罚款85万；4月，又因个人消费贷款“三查”不到位被罚款25万元；1月，因贷前调查不到位被罚款30万元。此外，常熟银行旗下的多家村镇银行也在年内收到多张罚单。
“飞燕”折翼于数据隐私红线
如果将常熟银行的社会责任（S）评价视为考量其“服务三农”和“普惠金融”承诺的重要标尺，那么近期发生的一起事件为这份评价增添了不确定性。
常熟银行在ESG报告中用大量篇幅介绍了其在普惠金融、农村服务方面的成果，包括全行从事三农金融业务的人员达2867人、组建上门服务团队“小圆服务队”76支等。然而，这些以数字化为手段的农村金融触达，在数据合规方面却触到了监管红线。
2026年4月底，国家计算机病毒应急处理中心发布专项通报，指出67款移动应用存在违法违规收集使用个人信息问题。其中，常熟银行开发的“常熟农商银行”APP（版本6.0.0）及其控股子公司兴福村镇银行开发的“兴福村镇银行”APP（版本2.5.0）双双被点名。
通报指出，两款APP均未在隐私政策中逐一列出APP（包括委托的第三方或嵌入的第三方代码、插件）收集使用个人信息的目的、方式、范围。根据《个人信息保护法》第六条与第十七条，个人信息处理者应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知个人信息处理者的名称、处理目的、处理方式、信息种类及保存期限等。常熟银行的这一行为已明显违反上述法条，存在合规瑕疵。
更令人担忧的是，常熟农商银行APP在通过自动化决策向用户进行信息推送和商业营销时，未同时提供不针对其个人特征的选项，也未向个人提供便捷的拒绝方式。《个人信息保护法》第二十四条明确规定，通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。常熟银行的做法与法律要求存在显著差距。
这一事件的特殊性在于，常熟银行及其控股子公司兴福村镇银行均被点名，在集团层面暴露出了数据合规治理的系统性短板。而问题的严重性在于，就在2025年度ESG报告中，该行花费大量篇幅洋洋洒洒地介绍了“客户隐私保护”，声称已制定《客户金融信息安全管理办法》《外部数据管理办法》等一系列制度，甚至表态已完成“数据安全风险评估”。这份承诺与现实的巨大落差，令人质疑该行是否在执行层面出现了脱节。
根据ESG报告显示，在数字金融方面，该行以综合化、数字化、生态化为导向，通过业数融合、业技融合、技数融合，打破传统条块化分割的服务模式。2025年，该行手机银行APP总用户数突破200万，同比增长9.5%，MAU峰值达75万，增长15.2%，交易总金额超1,000亿元。
两场大考的交织
ESG报告强调的高管薪酬透明度、数据安全以及绿色信贷的扩张，与现实境况形成了复杂对照。
报告显示，2025年该行董事长薛文年薪189.20万元，代行长陆鼎昌年薪166.44万元。全行员工7473人，成本收入比35.66%也实现了同比压降，一定程度上体现了数字化转型提效的成果。但金融APP的隐私违规，本质上暴露出“重产品获客、轻用户权益”的经营惯性仍未改变。
值得关注的是，常熟银行已定于2026年5月26日召开2025年度暨2026年第一季度业绩说明会，董事长薛文、副行长程鹏飞、董事会秘书唐志锋、独立董事周梅将出席，就投资者关心的问题进行交流。届时，数据隐私违规事件的整改方案、高管任职资格审批进展、股东结构变动影响以及ESG治理完善计划等敏感议题，或将成为投资者追问的重点。
一边是以“小而美”“支农支小”著称的普惠金融标兵，另一边是屡次触碰监管红线的数据合规薄弱。常熟银行的这份ESG答卷，得分与失分同样醒目。在金融服务日益与数据深度绑定的今天，如何在“数智化”转型的狂飙中守住“以客户为中心”的初心，是这家农商行“优等生”下一步必须直面的考题。