操作風險管理大全11篇

緒論：寫作既是個人情感的抒發，也是對學術真理的探索，歡迎閱讀由發表云整理的11篇操作風險管理范文，希望它們能為您的寫作提供參考和啟發。

篇（1）

一、操作風險的定義及基本內容

操作風險的定義有廣義和狹義之分，廣義上的操作風險是指市場風險和信用風險以外的所有風險；而狹義上的操作風險則指與金融機構中運營部門相關的風險。1998年9月，巴塞爾銀行監督委員會首次了《操作風險管理》文件，并將操作風險正式納入新巴塞爾協議的三大風險之中。新協議沿用英國銀行家協會(BBA)對操作風險的定義，把操作風險定義為：“操作風險是指由不完善或有問題的內部程序、人員及系統或外部事件所造成損失的風險。”這個定義包括法律風險，但不包括策略風險和信譽風險。事實上，銀行操作風險不僅僅與銀行的操作相關，與銀行操作之外的其他領域也相關，如欺詐交易、報告和會計體系出現問題等。

根據新巴塞爾協議的定義，操作風險包含的內容很廣，但由于對它的重要性才剛剛認識到，目前還沒有一個對它統一標準的內容界定。對于商業銀行操作風險包含的內容，目前有三個劃分；

第一，是普遍認同的內容，幾乎所有的機構都認為這些內容應當屬于操作風險。包括銀行清算損失、交易記錄失誤、火災和洪災等意外災害。

第二，是部分認同的內容，只有部分金融機構認為這些內容應當屬于操作風險。包括內部舞弊、外部舞弊、虛假交易、不適當的銷售技術和戰略決策錯誤等。

第三，是少數認同的觀點，大多數金融機構不認為這些內容屬于操作風險。包括市場逆轉導致的損失和交易對手違約等。

本文沿用大多數金融機構的意見，認為操作風險主要包括第一和第二部分的內容，對操作風險的計量主要針對這些風險類型。

二、操作風險計量的基本框架

操作風險的計量是操作風險防范和監督的前提與基礎，是確定資本充足水平的重要依據。目前對操作風險的計量方法遠遠不如對市場風險和信貸風險的計量方法完善。根據新巴塞爾協議的建議，對操作風險的計量主要有三種方法：基本指標法、標準法和高級計量法。其中高級計量法又可以分為內部衡量法、損失分布法和計分卡法，本文探討的操作風險計量方法就是損失分布法的一種。

操作風險的特殊性決定了對其計量也不同于市場風險和信貸風險。首先是操作風險發生的突發性和不可預測性。對于市場風險，可以根據市場因素的變化對標的資產的價值變化進行預測；對于信貸風險，可以對目標企業的經營狀況進行評估來對信貸資產的價值進行衡量。而操作風險通常是突發的，沒有可以據以預測其發生的客觀指標對其發生進行判斷，就如同財產和災害保險中的索賠事件的發生，因此具有更大程度的不可預測性。其次是操作風險損失的不可預測性。對于市場風險，可以根據市場因素變化的程度計算出標的資產相應的損失狀況，而市場因素變化的范圍通常是可以大致估計的；對于信貸風險，根據目標企業經營及資產狀況，對信貸資金的回收狀況可以有一個大致的評估。但操作風險發生造成的損失，不同的事件發生造成的損失是不一樣的，即使同樣的事件發生造成的損失也通常是不一樣的，這樣造成了操作風險損失上的不可預測性。第三是操作風險分布的不平衡性。對于市場風險，當市場因素變化時銀行標的資產在不同部門、不同分支機構的損失狀況是基本相同的。而操作風險在不同的部門、不同的分支機構中分布是不同的，在業務規模大、交易量大、結構變化迅速的業務領域操作風險的損失也較大。

由于操作風險的這些特性，對它直接進行計量具有很大的困難，因此在對操作風險計量的時候首先根據操作風險的內容將操作風險劃分為兩個部分：低頻高沖擊事件風險和高頻低沖擊事件風險。所謂高頻低沖擊事件風險是指發生概率比較高，發生時損失比較小，在經營過程中經常會發生的事件給銀行帶來的風險。對于這一類風險，可以建立比較準確的計量模型，并且對未來預期損失作出較為準確的估算。這一類風險主要是日常業務流程處理上的小錯誤，比如清算失誤、交易記錄錯誤等。所謂低頻高沖擊事件風險是指發生的概率比較小，很難對它準確預期，一旦發生就會對銀行造成很大損失的事件發生給銀行帶來的風險。對于這一類風險，屬于一種極端的情況，通常并不會發生，因此對它的測度要采用情景分析的方法。這類風險主要是導致損失較高的自然災害、大規模舞弊等。對待不同特性的風險類型需要采用不同的計量方法對其計量，最后將風險資產的數額加總獲得銀行面臨的全部操作風險的度量。這個過程如圖1所示。

三、商業銀行操作風險的損失分布法計量

根據前面論述的風險計量框架，本文分別對低頻高沖擊事件風險和高頻低沖擊事件風險進行計量，并在此基礎上獲得對整體操作風險的計量。

1．高頻低沖擊事件風險計量

高頻低沖擊事件風險是商業銀行在日常操作中不可避免的程序性失誤，對于這一類風險的防范除了監管和內部控制外最重要的是銀行事先預備一定數量的準備金，采用風險承受的策略，也就是新巴塞爾協議對資本充足率的要求。同風險防范的策略相對應，對這一部分風險的計量也主要是測量在給定置信區間和持有期間上、在正常經營條件下銀行資產可能遭受的最可能損失數額。為了敘述方便，本文引入以下符號：設分析區間為[0，T]，有n個離散點，分別為1，2，3，……，n；記銀行某業務部門在該期間發生的高頻低沖擊事件損失為隨機變量x，n個樣本點的值分別為x1，x2，x3，……，xn。

(1)平均損失程度的度量

損失程度可以用最大損失量或平均損失量計量。由于最大損失量偶然性較大，使用平均損失量能夠更好代表操作風險損失的大致水平，故本文采用平均損失量計量損失程度。

首先需要計量銀行在計量期間內發生的損失序列的平均值與損失發生頻率，二者的乘積構成銀行操作風險損失的期望損失值的度量。用p2(p)表示損失序列均值，有：

式中：N1是在[0，T]區間上，xj>0的樣本點數。式(2)中，計算的平均損失，是剔除了0值點后損失序列的平均值。

設損失序列中不為0的個數為N1，x的觀測點數為n，則損失的概率p1(a)為：

平均損失程度計量指標R1是在計量期間內操作風險損失的期望值，是損失序列的損失程度p2(p)與損失概率p1(a)的乘積。

(2)考慮損失易變性的修正計量指標

平均損失程度計量指標R1僅反映出損失的平均水平，而無法反映出不同的操作事件導致的損失差異

的大小，因此還要在平均損失程度指標的基礎上引人損失的易變性，以衡量時間序列數據的波動性。

根據損失易變性越大風險越大的基本觀點，將損失序列的標準差引人計量指標，有：

式中：σ(x)——損失序列x的均方差，用于描述風險的易變性；

k>0——調整系數，反映易變性對銀行操作風險的影響，也可以說是銀行對操作風險的態度。

式(2)的基本含義是，風險隨著損失序列均值和易變性的增加而增加，但它們對風險的貢獻是不同的，E(x)的貢獻是主要的，σ(x)的貢獻是處于第二位的。式(2)中的“1”是指：當σ(x)=0時，風險的測度值為R1，這就是說，即使損失無變化，但只要存在損失，仍存在風險，這與Fishburn(1984)對風險的認識是相同的；當σ(x)>0時，損失變化的風險應大于具有同樣損失均值但無損失變化的風險。因此，本文認為，σ(x)對風險的作用是在原有風險基礎上進行的調整，而不是完全取代或簡單地用σ(x)去加上R1，這樣可以突出可能損失在風險中的作用。k的選取沒有統一的規定，它取決于投資者在計量風險時對待損失易變性的重視程度。一般k越大，越突出損失易變性對風險的影響；反之，k越小，表明投資者對損失易變性看得越輕；當k=0時，投資者則不考慮損失的易變性。另一方面，kσ(x)指的是k個單位的標準差，很容易將選取的置信區間同風險計量聯系起來，這樣可以將低頻高沖擊事件風險和高頻低沖擊事件風險的計量統一到相同的置信區間計量。

盡管在計量操作風險負面性強度時，本文開始選用了平均損失，但R2將E(x)與σ(x)結合在一起，實質上間接考慮了最大損失的問題。

(3)考慮損失頻率的修正計量指標

考慮到操作風險分布的不平衡性，僅僅考慮到損失的可能的程度是不夠的，在不同時期業務量大小不一樣帶來的操作風險發生的可能性也會不同，因此在對高頻低沖擊事件風險的計量時還應當考慮到損失的頻率。

設銀行某業務部門單位時間內發生高頻低沖擊事件的次數為f，最大發生損失的次數為fm，則定義該業務部門高頻低沖擊事件風險的頻度系數為：

fr=f／fm

式中，fm的數值規定與規定的時間單位有關，在單位時間確定后，fm為一常數。通常可以選擇單位時間包含的天數作為最大損失次數。根據波動系數的計算，將操作風險計量公式再一次修正，可以有：

式中，k2≥0，為損失頻率調整系數。它反應了損失頻率對操作風險的影響程度。這個系數的數值通常是由銀行自行選擇的，如果認為損失頻率對風險的影響程度大，可以將k2取大一些，當k2=0時，意為在計量風險的時候不考慮波動頻率。

至此，本文建立了對高頻低沖擊事件風險的計量方法，該方法通過一個簡單的公式將該類風險損失的可能性、損失的可能程度、損失的易變性以及損失的期間統一起來。

2．低頻高沖擊事件風險計量

低頻高沖擊事件風險具有更大的偶發性及損失程度的不確定性，并且每次發生造成的損失都是巨大的。對于這一類操作風險的防范，銀行一次性提取某一固定比例的準備金會面臨兩個問題：第一，固定提取比例選擇的問題。根據新巴塞爾協議有關操作風險計量的標準法，對于不同的業務類型規定不同的提取比例，但不同的商業銀行會有不同的具體情況，同一商業銀行不同分行、支行也會有不同的情況，很難用統一的提取比例對其進行規定。第二，即使確定一個固定的提取比例，銀行一次性的提取大數額的資金作為風險準備金，但這部分損失發生的幾率卻是很小，而卻要將相當一部分資產變成了不生息或是只產生微薄收入的準備金，不利于銀行的經營效率的提高。因此對這一部分風險的計量本文采用不同于傳統情景分析的方法，而是以一個類似于保險精算的模型解決上述兩個問題。

(1)損失發生頻率計量

低頻高沖擊事件的發生具有很大的偶然性，每一次事件的發生與其他事件的發生通常沒有關聯，可以認為是各自相互獨立的。又由于風險事故發生的稀有性，因此可以假定損失次數過程N(t)具有如下特征：

首先，在時間起點，操作風險損失次數為0，即N(0)=0。

其次，在一個足夠短的時間內，最多只能發生一次低頻高沖擊事件，且發生一次損失的概率與此時間的長度成正比，而發生兩次或兩次以上損失的概率是時間長度的高階無窮小量，即：

最后，在兩個不相交的時間區間內發生的損失次數相互獨立，而且在每一時間區間內發生損失次數只與時間長度有關而與時間起點無關，也就是說，N(t)是一平衡獨立增量過程，有：

可以證明，滿足上述三個條件的隨機過程為泊松過程，有：

不失一般性，假設時間長度為0，即令t=1，則上式簡化為：

由此可見，在一個單位時間內，低頻高沖擊事件風險的損失次數服從參數為入的泊松分布。由基本的統計學知識可有期望損失發生次數為其均值，即參數入。

(2)損失程度計量

低頻高沖擊事件風險的損失是很難事先估計的，但仍然有一個大致的估量方法，當損失發生時，損失的程度不能大于該操作風險發生的部門或崗位能夠動用的最高限額。用x表示損失的實際金額，S表示某一業務部門能夠動用的，即能夠損失的最高限額，有損失分布函數為：

該式說明，當損失金額小于最高限額時，即x

式中：p(x)——損失事件發生的概率。

(3)提取風險準備金的計量

銀行提取的用于低頻高沖擊事件風險的準備金總額就應當等于期望的損失次數與期望的損失程度的乘積，結合公式(4)和公式(5)可以有：

單位時間提取的風險準備金數額為：

式中，R1——在第t期提取的有關低頻高沖擊事件操作風險準備金數額。

為了安全起見，銀行需要留出一定程度的富余以防備可能出現的超出平均水平的損失，這主要是為了防止超出預期次數的損失出現。因此需要對期望損失次數做一下調整，通常是考慮在一定的置信水平下期望損失次數的變化幅度。這里介紹一種簡化的方法對相關變量進行調整。在一定精確度的條件下計提風險準備金的單位時間數可以用一個簡單的數學公式表示：

式中：N''''——在某精確程度下計提風險準備金的時間單位數。E——相對于預期損失次數而言實際損失變動的次數與總數的比率，表示所需要的精確度。S——實際損失與預期損失相差的標準差的個數，s值可以說明對所有獲得的結果的置信程度。P——某一特定標的發生損失的概率。這樣，考慮到一定置信水平下損失的波動性后每一個單位時期計提的全部有關低頻高沖擊事件操作風險準備金為：

3．整體操作風險計量

在高頻低沖擊事件風險和低頻高沖擊事件風險計量的基礎上，可以獲得在任意一個時期整體操作風險的計量。它就等于該年度計提的高頻低沖擊事件操作風險準備金的數額加上截至這一時期累計提取的低頻高沖擊事件操作風險準備金數額之和。

式中：n——截至計算期為止經過的單位時期的期數。

篇（2）

中圖分類號：F832 文獻標識碼：A 文章編號：1006-1770(2011)08-024-04

編者按：巴塞爾委員會新資本協議II將操作風險作為一項單獨風險納入第一支柱，中國銀監會相應出臺了《商業銀行操作風險管理指引》和《商業銀行操作風險監管資本計量指引》。根據這些標準與指引，中國的商業銀行開始探索集中統一的操作風險管理之路。日前，銀監會召集部分準備實施新協議的商業銀行在廣西南寧舉行研討會，就操作風險管理的最新監管動態、日常管理機制、信息系統研發、業務連續性管理和高級計量法實施等議題進行討論。現選取部分會議成果予以刊發，以供讀者參考。

操作風險是一項有銀行業務經營活動以來就存在的風險。但是直到2004年的新資本協議，國際監管組織才正式將其視作一項獨立風險進行管理和計量。由此，操作風險被列為與信用風險、市場風險并列的三大風險之一，在第一支柱下單獨針對其計提監管資本，并針對操作風險管理提出了專門的要求。

但是由于操作風險管理作為獨立風險類型加以管理的時間較短，因此其管理和計量即便在發達國家也仍處于起步階段，新資本協議的雖為操作風險計量提供了規范，但在操作風險管理方面，長期以來只有巴塞爾委員會2003年的《操作風險管理和監管的穩健做法》(簡稱03版《穩健做法》)。直到2010年10月，巴塞爾委員會公布了研究文件《保險在操作風險建模中的緩釋作用》，2010年12月，巴塞爾委員會又了更新后的《穩健做法》征求意見稿，同時了《操作風險高級計量法監管指引》的征求意見稿。2011年6月，巴塞爾委員會經討論同意這兩份文件；2011年7月，新版的《穩健做法》(簡稱2011年版《穩健做法》)和《操作風險高級計量法監管指引》正式并生效。我們注意到，上述的動態變化是操作風險管理向專業化、精細化方向發展的必然，而對于我國銀行業來說，更為具體和精細化的管理要求將有利于推進操作風險管理和監管水平。本文介紹了2010年以來巴塞爾委員會在操作風險管理及監管方面的最新動態，然后分析這些監管動態對我國銀行業推進操作風險管理的啟示。

一、操作風險管理的治理架構

完善健全的治理架構是實現有效操作風險管理的基礎，2011年版的《穩健做法》最主要的亮點即在于強化了操作風險治理架構方面的具體要求，更加明確了不同層級的操作風險管理職責與問責。

(一)操作風險管理的治理架構

首先，《穩健做法》明確要求董事會應對操作風險管理承擔最終責任，并應當確保全行操作風險管理制度及其執行的有效性。董事會亦應定期對全行操作風險狀況及其管理情況進行核驗。另外，新版《穩健做法》還提出，董事會不僅應負責在全行建立良好的操作風險管理文化，還應該負責確定本行操作風險偏好及容忍度的設置。

與之相對應的是，《穩健做法》也要求銀行的高管層將董事會制定的操作風險管理框架加以落實，并強調高管層應確保本行負責操作風險管理的專業人員能有效履職。

此外，對于較大規模及業務復雜的銀行來說，《穩健做法》還要求其建立專司操作風險管理的風險委員會。操作風險委員會應包含操作風險管理專職人員、業務條線專業人員等，委員會定期召開會議并向董事會風險委員會進行直接報告。

(二)思考與啟示

2010年版《穩健做法》厘清了操作風險治理架構的一些具體問題，但是仍然留存了一些模糊地帶和爭議。如雖然董事會的職責得到了強化，但是一方面對董事會如何履責仍然失之籠統，而另一方面卻又對董事會提出了諸如定期核驗操作風險管理制度等執行層面的要求，這顯然又同高管層的職責產生了交叉。此外，從當前的國際實踐來看，操作風險偏好和容忍度的概念仍然模糊，因為操作風險與信用風險及市場風險在風險來源和本質上差異很大，操作風險不僅包含銀行內生的風險(如流程、內部欺詐等)，也包含了很多外生性的風險，即便其中的內生性操作風險可以進行估量，外生性操作風險則很難界定其風險暴露。因此，如果操作風險暴露難以確定，則設置操作風險容忍度和風險偏好將變得非常困難。2011年版的《穩健做法》也并未在這方面提出明確的操作方案。

不過從總體上看，2011年版《穩健做法》提出的治理架構方面的要求不僅令操作風險管理職責劃分更加明確，也為銀行建立操作風險管理體系提供了普遍標準。至于如何將已經用于信用風險和市場風險管理的一些理念和做法(如職責分工、專業委員會機制、風險偏好和容忍度設置等)合理有效地用于操作風險管理，我們認為這些都是開拓性和建設性的命題，而且這些問題本身也并無一致性的解答案，《穩健做法》也給予了商業銀行實踐的彈性，銀行在關注這些要素的基礎上，宜制定與自身特點相匹配的落實方案。

二、強化操作風險全流程管理

新資本協議將操作風險納入第一支柱進行管理和計量后，自然也必須建立相應的操作風險全流程管理框架，《穩健做法》再次確認了操作風險管理所包含的識別、評估、監測、報告、控制及緩釋的流程，并對流程的各個環節提出了具體的要求。

(一)全流程管理新要求

2003年版《穩健做法》在全流程管理方面僅包含了風險自我評估(RCSA)、關鍵風險指標(KRI)、風險計量以及風險映射四項內容，而2011年版《穩健做法》還提出操作風險的識別和評估也應包括內部損失數據以及外部損失數據的收集和分析、情景分析以及對不同工具運行結果的綜合分析。此外，新業務和新產品上線前除了應評估其蘊含的操作風險外，還應將相應風險因素納入其定價機制。而在報告機制方面，2011年版《穩健做法》也提出銀行應建立常規報告和壓力場景報告兩種機制，并且必須包含本行操作風險實際情況與制定的風險偏好和容忍度吻合情況等。

(二)分析及啟示

我們不難發現，上述新要求其實也有著豐富的內涵，且隱含了巴塞爾委員會在操作風險管理方面的總體思路。

首先，將內部損失數據和外部損失數據收集及分析列為對所有銀行的普遍要求，而不僅僅局限在實施高級計量法的銀行，這表明巴塞爾委員會再次強調損失數據收集是操作風險評估的核心，也是全流程管理的起點。我們甚至不難推斷，提出更嚴格的損失數據收集要求，表明巴塞爾委員會認為即便對于實施基本指標法和標準法的銀行而言，進行更為精細化的損失數據收集也是必須的，也部分矯正了先前的一種觀點，即認為損失數據收集和情景分析的目的主要是為實施高級計量法的銀行建模所需。事實上，巴塞爾委員會的2011年版的《穩健做法》給出了明確的信號，損失數據收集的作用不僅是用于建模，更應用于收集全行操作風險狀況，并且不僅應包含“收集”，更應把落腳點放在“分析”，且應融合內部數據和外部數據，做到“回顧”和“前瞻”相結合，形成對操作風險管理提供參考依據的合力。

其次，對不同工具運行提出綜合比較分析的要求表明，巴塞爾委員會明確要求操作風險管理工具之間應當建立良好的互動關系，而這點正是目前操作風險管理實踐中所缺乏的。尤其是在我國，一方面前期已經著手建立操作風險管理框架的銀行在開發和推廣工具方面尚處于起步階段，對工具運行結果的分析也很不足，更難以建立不同管理工具之間的互動機制，另一方面由于不同管理工具往往在開發、運行和維護上會由不同團隊負責，甚至可能會由不同部門主持，因此建立不同工具之間的互動就面臨更大的挑戰。

第三，要求把操作風險評估加入定價機制表明，巴塞爾委員會將繼續推動把操作風險管理與計量結合的實踐。盡管操作風險在定義、邊界界定、定量等方面還爭議較大，但是銀行應當建立評估操作風險暴露的機制，并且將操作風險暴露的概念運用于日常管理，一方面對業務條線的經營運營起到規范制約的作用，另一方面也對提高操作風險管理水平起到促進作用。

第四，提出了在壓力場景下的報告機制，可以認為是對報告機制的一種完善。結合我國銀行業實踐，我們可以認為這是對各行已經執行的重大事件報告的一種規范化。因為操作風險事件往往具有突發性、不可預期性和外生性的特點，因此及時對外部壓力場景做出反饋，通過報告體系使高管層或董事會知曉，是十分重要的環節。

當然，如果我們仔細斟酌，也容易發現，2011年版《穩健做法》雖然提出了不少新理念和規范，但是在實際操作上仍然缺少具體方法的指導，如對于操作風險的定價仍然囿于多種不確定性而難以準確執行，而操作風險管理工具之間如何建立互相補充完善的機制也不明確。此外，如何定義壓力場景的報告、如何將操作風險偏好和容忍度執行納入操作風險報告等問題，也都需要各方努力研究具體的執行方法。

三、細化的高級計量法要求

(一)《操作風險高級計量法監管指引》的主要內容

由于巴塞爾委員會在制定新資本協議時就隱含了鼓勵銀行實施更為高級的計量方法的意向，因此不少計量手段較為成熟的銀行即著手開發操作風險高級計量法(AMA)。隨著高級計量法的鋪開，出臺比新資本協議相關內容更為具體的規范性文件也顯得非常迫切，而《操作風險高級計量法監管指引》(以下簡稱《監管指引》)正是在這樣的背景下出臺的，主要覆蓋了高級計量法的治理架構、數據和建模三個部分。

首先，在治理架構方面，《監管指引》區分了對操作風險計量的驗證(validation)以及對操作風險管理框架的核驗(verification)，即驗證應當作為操作風險計量體系的一個有機組成部分，對高級計量法的建模進行驗證，而對于包括計量和管理在內的完整的操作風險管理框架，則仍需要由獨立團隊再次對其進行有效性核驗(見下圖)。另外，《監管指引》還明確指出，實施高級法的銀行應當更加注重通過使用測試(use test)將計量結果運用于操作風險管理實踐，并起到促進操作風險管理水平的作用。

其次，《監管指引》明確了一些數據方面的要求，大致包括：

1.毛損失與凈損失的確認：銀行可以選擇毛損失或凈損失進行數據收集，但是應足夠審慎，如損失挽回消耗大量時間，則必須用毛損失作為建模依據，且銀行在計算凈損失時不得先行使用保險緩釋進行扣減，銀行如使用合格保險緩釋，需要建立單獨的模型。

2.損失數據收集門檻：銀行應明確其收集數據的門檻值，對于門檻值可以是全行統一的，也可以設置不同的門檻值，但是銀行必須足夠審慎并確保其設置的門檻值能將實質性風險事件均包括在內。同時，鼓勵銀行根據操作風險形態進行分類，對于同一分類的事件或條線設置相同的門檻值。

3.損失時間點：明確了可供選擇的時間點限于發生日、發現日和會計結算日三項，并認為結算日是比較穩健的做法。

第三，在建模方面，對于建模數據來源、分布假設等提出了要求：

1.數據來源。再次確認了高級計量法建模數據來源必須包括內部數據、外部數據、情景分析以及經營環境和內部控制要素這四項要素，其中內部數據是建模的主體，外部數據則是針對肥尾分布的校準，情景分析作為對可重復損失事件的評估，也構成數據來源的重要部分，而經營環境與內部控制要素由于主觀性過強，目前尚難以直接植入模型。

2.精細化程度(granularity)。實施高級法的銀行應根據操作風險形態進行歸類，并用于情景分析等場合。

3.分布假設。由于建立合適的分布是高級計量法的核心，因此銀行應確保選取了合適的損失頻度及嚴重程度的分布假設，并應保證進入內部損失數據庫的數據均已包含在建模數據中，同時銀行可以針對分布的不同部分采用不同的假設，但是銀行應建立完整的數據清洗、模型選取、擬合等環節的文檔記錄。

(二)分析與啟示

我們認為，一方面高級計量法尚處于起步階段，另一方面高級計量法本身亦允許了較大的操作彈性。《監管指引》雖然在治理、數據和建模三方面提出了一些規范，但是實踐中仍然有大量的彈性空間。從一些發達國家銀行實施高級計量法的經驗看，內部數據、外部數據和情景分析在模型中的比重差異非常大。事實上，某些銀行的建模較大依賴了情景分析，而并非如很多人認為來自于內部損失數據，這可能因為各國銀行經營和管理模式的差異，也可能因為不同銀行數據基礎和質量的差異。而《監管指引》在多個部分亦強調，巴塞爾委員會將在持續收集數據和調研的基礎上，在合適的范圍內對可以確定的良好實踐予以明確。

四、第一支柱與第二支柱統籌

除了公開征求意見并提交高層討論的2011年版《穩健做法》和《監管指引》外，巴塞爾委員會還對操作風險管理和計量實踐的一些問題進行了研究，其中比較重要的一項工作是在第二支柱框架下評估操作風險監管資本充足情況。

事實上，雖然新資本協議將操作風險納入了第一支柱，但是由于操作風險計量的不確定性，新資本協議也指出，監管當局將在第二支柱框架下評估銀行操作風險監管資本的充足情況，并且可以對操作風險資本不足的銀行提出附加資本要求。本輪金融危機后，各國監管當局和巴塞爾委員會都發現銀行實際操作風險暴露可能遠遠大于實際計提資本的數量，而基本指標法和標準法由于風險敏感度較低，對實際損失覆蓋的有效性也需要評估，可是在實踐中，一方面監管當局并無明確提出在第二支柱下如何評估未覆蓋的操作風險暴露，銀行在亦沒有在第二支柱下對操作風險暴露的覆蓋情況進行評估。但是與之對應的是，由于操作風險與內控和合規管理不可分割的關系，不少監管當局和銀行內部都制定過一些對內控及合規執行情況進行評估的規章，但是這些零散的文件卻并未納入操作風險管理和監管體系。正是在這樣的背景下，巴塞爾委員會亦打算研究在第二支柱下開展操作風險資本充足情況的良好實踐。

篇（3）

中圖分類號:F832.33文獻標識碼:A文章編號:1006-1428(2007)07-0052-03

一､商業銀行三大風險的比較

相對而言，國內商業銀行對信用風險的研究較早，對市場風險､操作風險管理的比較研究較晚，因而對三大風險的認識程度､管理方式､投入的資源等不盡相同(詳見表1)。

二､目前國內商業銀行操作風險管理的兩種模式

盡管國內商業銀行操作風險管理起步較晚，與外資銀行相比存在較大差距，但仍有一些優秀的國內商業銀行較為重視操作風險，采取了多種措施，也投入了一定的資源來防范和控制操作風險(詳見表2)。

三､國內商業銀行操作風險管理存在的不足

(一)風險管理認識上還存在誤區

由于尚未引入全面風險管理理念，國內商業銀行對操作風險還存在一些認識誤區，認為操作風險就是“操作性風險”，將操作風險等同于“金融犯罪”;或者認為操作風險往往具有突發性､偶然性，難以預測，也毫無聯系，因而無法計量，也不能為其分配資本。同樣，還有的商業銀行認為操作風險管理只是會計結算部門或者內部審計部門的事情，與其他部門如安全保衛部門､科技部門､后勤事務部門等無關，進而將操作風險管理職責僅賦予會計結算部門或者內部審計部門。甚至有的商業銀行的分支行，認為營銷和操作風險管理是對立的，在分支行行長忽視操作風險管理，而重視營銷的極端情況下，也有的營銷人員會產生錯誤的思想，認為風險管理人員是依靠他們養活的，有些強勢的分支行行長有可能叫板風險管理部門。

(二)風險管理信息傳遞鏈條過長

在統一法人體制的分級授權經營模式下，國內商業銀行的管理層級往往達到五個層級或者更多。這種授權經營模式一方面與國內金融資源的層級分布相關，另一方面也與國內商業銀行的信息技術落后相關，而且這種經營模式也適合目前商業銀行的經營管理能力。但是這種多層次的委托關系，將導致信息傳遞的強度減弱，對下級單位的控制和管理能力下降，操作風險隱患也會因為委托關系鏈條的增加而增大。在體制改變時，如果實行“先體制架構，后流程､規章”的推行模式，制度建設慢一拍，管理鏈條就會出現危機，使操作環節風險環生。

(三)風險管理體系不健全

國內商業銀行中目前設置統一的操作風險管理機構的并不太多，只有個別商業銀行設立了委員會形式的管理機構。如工行上海市分行成立了操作風險委員會，下設“臨柜業務”､“離柜業務”､“業務監測”三個專家小組，來提高操作風險管理防范水平。大部分商業銀行一般都尚未設立專門的部門負責全面管理操作風險，操作風險管理職責分散在諸如風險管理部､內部審計部門､法律與合規部門等部門，缺乏統一的操作風險管理體系。這種分散管理的模式，導致各相關部門的管理職責不清､溝通協調不順暢，管理效率低下。有的商業銀行在基層分支機構往往只設一名行長，主要負責業務推進，操作風險無人負責。

(四)風險管理政策不統一

在整個銀行層面上，沒有形成從股東大會､董事會､高級管理層､各經營單位以及到各個業務部門､內審部門的操作性風險管理職責，并制定明確的操作風險管理程序，包括風險的識別､評估､計量､監控､化解等。在各個業務部門制定具體的操作規程時，沒有將操作風險管理的整體程序貫穿于各個管理層級和各個業務條線，也沒有明確各個管理層級的權利和應承擔的職責。因而，從最高層面的董事會，到最低層面的操作人員沒有形成全行統一的目標和管理政策。

(五)風險管理制度執行力不強

根據中國銀監會去年的統計，操作風險的發生，80%是因為有制度卻沒有嚴格執行而造成的，制度不全和制度殘缺造成漏洞形成案件的不到20%，操作風險的發生與制度執行力不強存在相當大的聯系。從商業銀行操作風險的實踐來看，操作風險多的銀行往往執制不嚴現象較為突出，員工執制意識薄弱，違章違規行為不能及時糾正。例如，有的未嚴格執行開戶資料審查､印鑒比對､可疑支付交易報告等會計制度;有的未按要求進行賬戶監控和賬務核對;有的未執行同城交換制度､印章管理制度､權限管理制度;致使案犯接連突破風險控制防線。甚至“五缺”情況下辦業務的現象嚴重:缺圖章(公章或授權人私章)､缺簽名､缺決議(如董事會決議)､缺證件(如房產貸款四證缺一證)､缺授權(如法人代表授權委托書)，就辦業務。同時，部分業務內控制度存在盲點，管理制度､操作流程存在漏洞和缺失。一些重要業務領域如賬戶管理､業務授權､票據交換､外匯開證､批量代扣業務等方面操作不規范，存在較大操作風險隱患。

(六)風險發現能力不夠

多數國內商業銀行沒有將操作風險的發生當作連續發生的必然事件來處理，并建立數據庫，進行量化計算，一般都是采取一些被動的短期補救措施。正因為沒將風險的發生當作是偶然的､孤立的､無法計量的事件，因此根本沒有投入資源進行操作風險管理計量工具的開發。由于長期以來沒有建立數據庫，因而即使引進了國外操作風險計量工具和模型，也因為缺乏足夠的數據分析支撐，不能使分析管理工具真正發揮作用。因此操作風險的識別､計量､管理能力缺乏，管理的關口無法前移，不能進行主動的事前管理。

四､多管齊下提高商業銀行操作風險管理能力

(一)強化操作風險管理的外部監管

監管機構應及時制定《商業銀行操作風險管理指引》，指導和推動國內商業銀行全面加強操作風險管理。監管部門按照高風險､高頻率監管，低風險､低頻率監管的原則，對各商業銀行執行防范操作風險“十三條”和“十個聯動”的情況及時進行事后評價，推行監管的問責制度。強制商業銀行將操作風險管理的信息披露給公眾，通過外部力量迫使商業銀行加強操作風險管理。根據中國銀監會提出的“三個掛鉤”(即將操作風險的防范和整改工作同激勵約束機制掛鉤，同銀行的評級掛鉤，市場準入掛鉤)，加大對商業銀行操作風險的監管力度。

(二)建立統一的操作風險管理體制

應按照巴塞爾委員會的建議，由各級高層管理人員組成操作風險管理委員會，制定操作風險管理政策，建立自我評估､風險評判及稽核體系，對全行操作風險進行有效管理。在各級網點設立風險經理，負責網點操作風險控制的具體管理，進行網點風險自我評估，組織網點對評估中或內､外部檢查中發現的問題進行糾正。通過一系列操作風險管理流程和框架的再造，對操作風險進行全面識別､評估､監控､報告､改進，建立循環的､持續改進的管理過程，構筑較為完整的操作風險管理體制，同時建立操作風險管理責任制度，明確不同職位的人員在操作風險管理中應擔負的責任。

(三)構建完善的操作風險監控體系

一是形成檢查制度。加強規章制度執行情況的監督檢查，加大對儲蓄､會計､出納､信貸､保衛等重要部門､重要人員和三授權卡､印鑒密押､空白憑證､金庫尾箱､查詢對賬､輪崗休假等易發案件部位和環節的監督檢查力度。二是充分發揮稽核監督職能。形成獨立的內部審計體系，提升非現場稽核手段能力，大力借助外部審計手段，將合規性審計向合規性審計與風險性審計并重，突出風險性審計。三是建立持續改進機制。檢查監督是對是否符合要求進行發現，要建立和完善糾錯機制，實施有效的糾正和預防措施，建立一個持續的､循環的操作風險改進過程，確保可能產生風險的每一個環節和過程得到有效控制。

(四)提高操作風險的識別控制能力

對發生的每一次風險事件進行監控和記錄，并分析導致每次風險的因素和產生風險的環節點，度量這些因素對風險的具體影響，同時對風險的程度進行數量化的度量記錄。在已有的幾種度量方法中，基本指標法和標準法相對簡單但過于保守，不能滿足資本金對風險的敏感度，而內部度量法､VaR法､損失分布法等均需要較多的歷史損失數據，因而應從積累日常數據開始建立損失數據庫，記錄損失及其程度。根據歷史數據設置好關鍵指標體系，對操作風險進行識別和度量，為其配置相應的資本金;另一方面應對操作風險進行評估､監控和管理，按風險的可接受程度對風險進行排序，對不可接受的風險要進行緩釋､轉移，對可防范的風險要從損失數據庫的記錄中總結經驗，從具體業務流程中找出風險點，制定詳細的規章制度，進行控制，按照“一個崗位對應一本崗位手冊､一條業務線對應一套操作程序”的原則，逐漸形成健全的內部控制制度。

(五)培育良好的操作風險管理文化

由銀行高級管理人員積極推動，建立起共同的風險管理價值觀。將操作風險文化貫穿于完善風險管理體系的整個過程，不斷將操作風險管理新理念､原理､工具等傳遞給相關人員。各層次管理人員對操作風險形成全面､足夠的了解，并高度重視，帶頭防范。積極倡導誠信理念，鼓勵員工積極關注操作風險，注重員工思想道德的培育､法律意識的培養及工作技能的培訓，使其自覺遵守各項規章制度和操作規程。建立違規舉報機制，增強員工合規意識。建立全面､科學､可操作的風險管理激勵約束機制，糾正片面“重營銷激勵､輕違規約束”的做法，充分調動員工加強風險管理的積極性和主動性。

參考文獻:

[1]顧京圃.中國商業銀行操作風險管理.中國金融出版社，2006

[2]巴曙松.巴塞爾新資本協議研究.中國金融出版社，2003

篇（4）

中圖分類號：F83 文獻標識碼：A

收錄日期：2014年1月27日

一、中外資銀行操作風險管控主要差異

（一）認識差異。中資銀行對操作風險缺乏全面、系統的認識，不能準確把握操作風險的本質。一是認為操作風險就是一線人員操作中產生的風險，將操作風險等同于金融犯罪；二是認為各種操作風險事件之間是孤立的、無法計量，也不能為其分配資本。

外資銀行對操作風險的認識較為系統、全面，形成了自己的操作風險管理文化和理念。一是認為操作風險涉及銀行各個業務領域，銀行全員都擔負著防范和控制操作風險的責任；二是認為表面上孤立的各操作風險事件之間存在內在聯系，在有足夠數據支持的情況下可以進行定量分析。同時，外資銀行管理層注重加強銀行全員對操作風險的認識和建立內部風險控制文化，營造良好的操作風險管理和控制環境。

（二）管理架構差異。中資銀行實行統一法人體制下的分級授權經營模式，其內部組織結構一般有4～5個層級，管理鏈條過長，易導致決策權力層次過多、責任界限不清，總行對下級分行的掌控能力削弱。盡管不少中資商業銀行近年來進行了扁平化管理改革嘗試，但由于技術、人力資源等因素所限，實際效果不太理想。

外資銀行組織結構逐漸向扁平化發展，多采用矩陣式管理模式。這種管理模式下總行對分行的業務風險控制主要通過各職能部門實現，銀行管理層次減少。銀行通過建立橫向與縱向交錯的組織管理系統和報告關系，能夠促進業務運作在橫向和縱向上的交叉制約，有利于強化風險管理和內部控制。

（三）管理政策差異。中資銀行缺乏全行統一的、標準化的操作風險管理政策。一是中資銀行在操作風險管理上權責不明確，政策執行不力；二是關鍵業務的操作風險管理標準和目標不一致，不同部門及人員之間理解存在偏差，無法確保政策執行的一致性。

外資銀行的操作風險管理政策一般包括兩個層次：一是在整個銀行層面的管理政策，明確了從董事會、管理層到各業務部門、內審部門的操作風險管理職責，同時制定了操作風險管理的整體程序；二是各個部門的具體操作規程。以操作風險管理的整體程序為指導，貫穿于操作規程各個方面。外資銀行統一的操作風險管理政策標準和目標，有助于對業務活動及其支持過程進行監控、計量和管理，使銀行基本能夠識別、計量和監控重大的操作風險。

（四）識別、評估和量化管理差異。中資銀行操作風險管理尚不能進行主動的、事前性管理，在風險事件發生后一般采取“亡羊補牢”式的被動補救措施。由于中資商業銀行未能建立全面的損失計量數據庫，即使引進了國外操作風險計量工具和模型，但因缺乏足夠的數據支撐，相關計量工具也很難得到有效應用。

外資銀行建立了操作風險量化模型，使操作風險的定量分析得以實施。外資銀行對操作風險的評估和量化使管理層能夠識別銀行能否承擔多大的風險，對需要緩釋的風險進行優先排序，從而實現操作風險管理端口前移。此外，操作風險的定量監測還能為銀行設立風險限額、對未來損失進行預測以及將操作風險納入績效考核。在具體的管理手段上，外資銀行對操作風險管控十分注重風險的事前控制。以筆者所在的外資銀行為例，在所有分行中除設有專職合規負責人以外，還設有日監查人員。該日監查人員主要負責對本日所發生的所有業務單據進行合規性檢查，包括簽章是否完備、業務單據是否符合內控制度要求等。由于銀行日常業務均有復核人員把控操作風險的第一道關口，但是設立日監查人員可以再次對操作風險進行把控。

（五）管理報告機制差異。中資銀行尚未建立完善的操作風險報告制度。一是報告制度不夠標準化，缺乏統一的報送模板；二是報送時效性差，實行逐層報告制度，總行難以及時了解那些影響全行的重大事項；三是報告覆蓋不夠全面，對日常性的、單筆損失較小但發生頻率較高的操作風險事件尚未建立統計報告制度。

外資銀行制定了詳盡的操作風險報告制度。一是確定了統一的報送模板，對報送時限、數據確認等其他方面也進行了詳細的規定；二是操作風險報告涵蓋面較廣，包括銀行面臨的關鍵操作風險、擬實施的應對措施、已實施措施的有效性等信息；三是操作風險報告機制的系統化和標準化使銀行管理層能夠全面及時地掌握銀行所面臨的操作風險，及時采取防范措施。

（六）外部制約差異。中資銀行外部壓力較小。一是由于監管部門的監管重點長期集中于信貸風險和市場風險，沒有專門針對中資銀行操作風險管理的監管規章；二是由于市場環境、會計準則差異、信息披露要求等因素，中資銀行操作風險信息披露壓力較輕。

外資銀行的外部壓力較大。一是由于巴塞爾協議將操作風險納入資本監管體系，同時針對不同銀行的風險狀況和管理環境，對內部資本評估程序進行檢查；二是發達國家信息披露制度較為嚴格，從監管部門的要求到國際會計準則都對銀行信息披露制定了嚴格、明確的規定。

二、對中資銀行相關建議

（一）把握操作風險本質，培育操作風險管理文化。中資銀行應結合自身實際，準確把握操作風險本質，全面、系統地認識操作風險；充分識別和評估所有業務和系統中的操作風險；改變操作風險不可量化的思想，致力于操作風險量化模型的開發。管理層應充分了解本行操作風險現狀，積極倡導建立覆蓋面廣、執行有力的操作風險控制文化，從經營理念、管理制度、價值標準、行為規范等方面形成本行的風險管理文化。

（二）建立健全保障機制，確保矩陣式管理有效性。中資銀行在深化扁平化管理改革的同時，應大力強化對分支機構的約束，加大風險控制力度，并試行矩陣式管理模式。為提高矩陣式管理的有效性，中資銀行應健全相關保障機制。一是進一步明晰內部權責關系；二是及早建立業績評價系統，科學量化業務考核標準；三是全面完善信息系統。

（三）統一管理政策，明確操作規范。中資銀行應建立全行統一的操作風險管理政策，確定操作風險管理標準和目標，全過程、立體化監控操作風險。在明確各部門操作風險管理權責的基礎上，中資銀行應將相應的風險管理方法和程序蘊含于操作風險管理政策之中，并根據銀行的風險狀況和風險承受能力及時更新和調整，同時將其清晰地傳達給各個部門，以維持全行標準統一，并通過加強培訓和督促整改等措施，確保統一執行。

篇（5）

銀行業是一個高風險的行業，對風險的防范、管理和化解是銀行業發展的永恒主題。由操作風險導致銀行倒閉的深刻案例之一是巴林銀行由于沒有將交易與清算業務分開這個制度上的缺陷以及其內部審計的松散與監管不力，直接走向了倒閉的命運。1995年2月英國中央銀行英格蘭銀行宣布一條消息：巴林銀行不得繼續從事交易活動并將申請資產清理。10天后，又以1英鎊的象征性價格被荷蘭國際集團收購。巴林銀行總損失為13億美元，資本損失100%，從違規到災難發生的時間僅為三年 。

近些年以來，國內金融業發生了一系列因操作風險導致金融機構陷入危機甚至倒閉破產的事件，這些事件嚴重影響了政府、公眾和潛在海外投資者對中國商業銀行的信心。我國在與國際金融業接軌的同時，我國的銀行業面臨的操作風險正在逐漸顯現，控制操作風險迫在眉睫。

一、操作風險及其影響因素分析

（一）《巴塞爾新資本協議》對操作風險的界定

在對操作風險的定義方面，學術界已有頗多的探討，他們分別從不同的方面進行界定，使得目前尚沒有形成統一的操作風險定義。目前，最具影響力的操作風險定義是《巴塞爾新資本協議》給出的界定：“操作風險是指由不完善或有問題的內部程序、人員及系統或外部事件所造成損失的風險。”

（二）操作風險影響因素分析

1、人員因素。主要包括員工的思想道德素質、員工的業務能力、內部欺詐、失職違規、知識/技能匱乏、越權和行為、核心雇員流失、違反用工法等。人是操作風險防范的主體，在操作風險的控制過程中發揮著不可或缺的作用。同時隨著我國法律制度的不斷健全和完善，銀行和內部員工之間的勞資和法律糾紛，員工因意外傷害而要求賠償的事例也不斷出現，增加了操作風險的損失。

2、內部流程制度因素。主要包括財務會計錯誤、文件合同缺陷、產品設計缺陷、錯誤監控、支付結算錯誤、交易定價錯誤、制度的不完善、滯后性、執行不力等。一些銀行財會制度不完善、管理流程不清晰。目前，各商業銀行的制度建設正朝規范化和標準化方向發展，但由于內控制度和各程序設計上存在缺陷，許多制度都執行不力從而流于形式；制度的滯后性使得制度的建設跟不上業務創新的需要。

3、系統因素。包括軟件、硬件設備、操作系統網絡等。目前，銀行都實現了網絡化，這樣系統的評估與升級、系統日常維護、系統安全保護就顯得尤為重要，一旦出現失誤，就會產生操作風險。在業務處理過程中，由于網絡故障，可能會出現存款重復入款、取款未下賬等。如果被不法分子利用將錢取走將使銀行蒙受無謂的損失。 商業銀行的技術部門應當與業務部門相互協調，確保系統的整體穩定運行，核心銀行系統與相關系統有效兼容，保持業務和管理需求的適宜性。

4、外部事件因素。主要包括外部欺詐、洗錢、政治風險、監管規定、業務外包、自然災害、恐怖威脅等。例如搶劫、黑客攻擊、盜竊以及地震、經濟蕭條、戰爭等不可抗因素都會給商業銀行造成損失。從短期來看，操作風險主要來自內部欺詐和外部欺詐，在銀行的實踐中可以看出，由于內部和外部欺詐所產生的損失額約占到全部損失的70%，損失頻度和強度均高于其他類型；從長期來看，隨著銀行業電子化程度不斷提高，黑客攻擊等技術性因素產生的操作風險越來越多。

二、商業銀行操作風險現狀及問題分析

自我國商業銀行體制改革以來，各商業銀行都在完善自身內控制度、加強監督檢查、提高從業人員素質等方面做了非常不懈的努力，但我國商業銀行對操作風險的認識和防范仍處在探索階段。無論是在操作風險管理理念、管理框架還是操作風險的度量、管理和化解手段上，都處于初級階段，在實踐中還存在很多需要解決的問題。

（一）錯誤的操作風險管理理念

一直以來，我國商業銀行都把對信用風險和市場風險的防范做為商業銀行風險防范的重點。操作風險與之相比，不論是在制度規則和認識水平上都比較低，尚未形成全面的內控文化。我國商業銀行以往是以“人治”為主，以信任代替管理，以習慣代替制度。只有當發生重大事件時，才采取強硬的處罰手段來進行管理，試圖以嚴厲的處罰遏制風險的出現，缺乏事前和事中的控制，使許多重要的防范制度形同虛設，未能做到防范于未然。

（二）內控體系不完善

篇（6）

引言：風險管理逐漸受到金融機構的關注。科學合理的金融風險管理可以讓金融機構進行有效的、健康的發展，并且，還可以將企業的防范風險的資金成本降低，提升企業的競爭能力。當前，金融機構所要面對的風險大致上可以分為：市場風險、信用風險和操作風險。市場風險指的是因為特殊的環境風險因素的轉變，讓凈收入或投資組合價值出現波動。當前由于我國的經濟處在轉型階段，認為目前的市場經濟的法律及規章制度具有許多不完善的地方，加上社會的變化，使得各種違規與欺詐的事情不斷涌現。所以，操作風險是我國金融機構需要面對的主要風險，操作風險的管理對于金融機構具有極其特殊的含義。

一、操作風險的含義

金融操作風險的含義為：操作風險與金融投資業務緊密相連，是由于外部因素、技術體系以及內部因素的影響下，導致無法掌控的損失，這些損失和金融市場上出現的波動以及交易方的信用問題無關。所以，通過引起風險發生的內部原因可以發現，金融投資的操作風險主要出自以下幾個方面：

1、操作結算風險。由于交易指令、定價、結算以及交易能力等問題引起的損失；

2、技術風險。因為技術的局限或者硬件方面的原因，導致公司無法有效、正確的收集、解決、傳導信息所引發的損失；

3、內部失控風險。因為超風險限額而沒有被發現、越權交易或者是后臺部門的欺詐行為造成的損失。

當然，想要為金融投資的操作風險給出一個非常明確的定義是具有難度的。在進行風險操作管理時，很多國外的金融投資機構運用了對于市場風險以及信用風險認同的方法及管理方式，也就是針對風險進行詳細劃分，掌握操作風險的含義，了解哪些類型的風險應當歸入到操作風險當中，哪些類型的操作風險應當歸入到風險管理當中，并且進行詳細的分析來確定是否要進行整體風險的控制，通過實踐表明，這樣的方式確實非常有效。

二、金融投資面對的風險分析

風險管理的目的并非消除風險，而是將風險管理降到最低的過程，在風險管理的過程里，要先針對金融投資里的風險進行辨別，這是投資者做風險管理的先決條件，只有真正辨別出投資過程里的風險，才可以運用合理的方法進行風險管理。而在金融投資的過程里，最為常見的風險有以下幾種：

1、市場風險。市場風險也可以稱作價格風險，指的是通過金融工具的市場價格進行轉變，從而引發的虧損風險。因為金融投資工具頻繁出現價格的轉變，因此投資者在面對市場風險是最常見的一種風險。通過市場風險的不同來源可以進行不同的分類，大致可以把市場風險分成系統性和非系統性風險，系統性風險通常是指因為宏觀原因的轉變，造成投資組合凈值的轉變。非系統性風險指的是投資的某一品種引發的風險。投資者在面對系統性風險及非系統性風險時所采用的房里方法也不同，而系統性風險是無法動搖的，非系統性風險可以透過投資重組進行分散。

2、流動性風險。流動性風險指的是通過投資重組將金融工具進行集中，引發投資產品短期內變現困難，并且持有的流動資金無法進行正常支付時產生的風險。常規情況下，如果投資者的金融產品價格波動正常，并且投資金額占總資金的比重不大時，流動性風險就不會非常嚴重。流動性風險往往出現在市場波動較大，交易量迅速降低，投資者必須要大批先進的狀況下，才容易造成嚴重的損失，因為這樣的狀況下，投資者通常要用較低的價格將手中投資的金融資產銷售掉。

3、操作風險。操作風險作為金融投資過程里最關鍵的風險，包含了很多已經識別出的風險。詳細來說，操作風險指的是因為投資者內部經營管理問題以及投資策略失誤引起的風險。通常包含以下幾點：

（1）投資研究員的專業素養、職業道德以及風險意識所引起的投資決策風險；

（2）因為投資者的管理能力有限所引起的經營風險。

這些風險都會給金融投資造成損失。操作風險融入于金融投資過程當中的方方面面，是投資者必須基于關注和防范的風險。

4、信用風險。信用風險也是金融投資風險當中非常重要的一種，它主要指在金融交易的過程里可能會引發的交收違約，也可能會引起債券持有發行人違約或者拒絕支付到期款而引發的金融投資資產損失的風險。由于我國金融市場的不斷發展，貨幣、債券等固定收益的金融工具逐漸變成重要的投資類型，甚至是國內短期的融資券的發行也在不斷擴大，由于這些金融投資品種的風險不斷累積，最大程度的避免金融投資信用風險成為了投資者必須關注的問題。

三、操作風險的度量

操作風險作為金融活動當中最為普遍的風險表現形式，從歷史的角度來講，很多度量操作風險的失敗原因，大多是沒有適當的方式以及可以用在量化分析的客觀數據，而信用風險和市場風險則存在許多例如價格變動、違約率等可以利用的外部分析數據，相對而言較為容易進行風險度量。因為影響操作風險的原因大多是金融機構內部原因，并且風險因素和產生的可能性及損失的大小之間不具備明顯的關聯，所以，在實際操作中，很難有人尋求到一種方式可以清晰的描繪出操作風險，自然對于操作風險的度量來講，也具有非常大的困難。已經掌握的操作風險度量模型有三種：

第一種：創建于數據之上的統計模型，此模型最具代表性的方式就是損失分步法，也被稱為LDA。此方式會先對單個損失的發生頻率以及大小通過參數進行評估，之后運用連接函數的方式將各種影響因素進行綜合；

第二種：依舊是統計模型的計算操作風險，可是主要應當通過定性方法進行校對模型，定性方法大致包含了風險排序法、情景分析法、排查法、權衡打分法等；

第三種：創建于操作風險過程的功能模擬智商的模型，透過單一的過程相互依存的方式來模仿影響因素之間的關聯性。

當然，就目前的操作風險度量方法而言，有兩種模型應當重點說明：第一種是用于測量操作風險的VaR技術。它的主要論點在于操作風險可以通過VaR技術進行測量，以建立來自內部和外部的操作損失數據庫為基本思想，并通過數據的操作損失分布，來確定一個置信區間，這樣就可以將VaR的操作風險計算出來。但也可以通過分析收益波動性來計算操作風險，也就是通過收益當中將市場風險以及信用風險的相關收益剔除掉，把剩下的收益當成和操作風險有關的收益，可是就這一點而言爭議性非常大；第二種是貝葉斯推斷網絡模型，也可以稱之為BBN模型，貝葉斯網絡逐漸被使用在度量以及模擬操作風險方面，其主要原因有以下四個方面：

第一，BBN推斷網絡模型描繪了對操作風險具有影響的各類因素，所以可以提供行為改變的原因；

第二，BBN可以使用在情景分析方面，計算出度量的最大經營損失，并將市場風險以及信用風險有效結合；

第三，BBN適合用在度量以及模擬不同種類的操作風險方面；

第四，運用決策節點以及效用來充實BBN，來提升管理決策的明朗化。

BBN的結構屬于一種直接的非循環類的圖形，其中節點的意思是隨機變量，連線的意思是影響因素，BBN結構屬于一種流轉過程同各類因素的融合。BBN較為容易進行情景分析，投資經理在進行債券交易的同時，對即將要執行的交易通過情景模擬的方式來計算出預計的結算損失有多少，BBN較容易通過情景分析讓風險經理針對外來的交易風險進行掌控，并且風險經理可以透過針對市場風險因素以及信用風險因素的情景模擬，判斷出操作風險是怎樣同市場風險以及信用風險有效結合的。

貝葉斯推斷網絡模型可以用在一系列的度量操作風險上，針對同一個問題可以創建出很多個BBN網絡大框，并且決策人員可以透過返回檢驗的方法來判定哪種是最佳的網絡設計。通過理論以及實踐可以發現，貝葉斯推斷網絡模型非常值得金融投資機構使用操作風險度量以及模擬方式進行操作。

總之，操作風險度量大致有以下三種方式：

第一種，分析方式。這種方式對于損失產生的次數以及大小都給出了非常強硬的假定，之后通過一些統計模型來獲得操作風險的大小，大致上來講屬于一種定量測量的方式；

第二種，主觀判定方式。在執行操作風險的度量時，由于缺少操作風險的損失數據，因此，想要通過數據進行評估操作損失的分布就變得尤為困難，至少對當前而言，用評估操作損失分布的方式來判斷金融投資的操作風險是不符合邏輯的。因此，當前國外的金融體系運用的操作風險度量方式普遍以定性評價方式為主，這種方式通過獨立的部門，經由事先預定的風險評估指標針對每一個業務的缺陷進行評估，之后，再進一步進行細分；

第三種，定性和定量相結合的方式。這種混合的方式，使得相對風險排序、主觀方式的運用以及損失時間數據庫的建立進行有效結合。

四、操作風險的控制與管理

操作風險管理不僅要系統的進行分析預期損失以及未預期損失的緣由，并且也要評估風險，為風險的預防、降低轉移和為風險分配資本等做出努力。操作風險管理的步驟大致包括以下幾點：

1、明確風險管理的范疇以及目標。

高層的管理人員詢問過董事會之后，應當同企業的經營策略、風險偏好相結合，為風險管理建立一個范疇以及目標。并且，還要制定一些短期的具體目標，以確保風險管理的工作可以穩定的發展。這些短期的具體目標可以分為以下方面：

（1）明確定義一些關鍵的損失事件并進行命名，這樣才可以確保在未來的管理工作里可以更加方便的進行探討和分析；

（2）創建一個損失事件簿，為定量分析操作風險模型積攢數據；

（3）創建統計模型分析特定損失時間的原因以及相互之間的關聯；

（4）采取由于風險進行的資源配置和情景分析。

2、明確重要的風險。

員工通過高級管理人員的支持后，一定要明確哪些才是重要的風險。操作風險管理之所以失敗，是由于內容過于寬泛，所以在明確的同時，一定要嚴格依照高層規定的目標進行操作。

3、針對風險進行評估。

運用不同渠道獲得的數據，用來評估一些較為重要的過程以及資源的操作風險，評估的內容不僅包含了風險形成的沖擊，還包含了損失事件產生的概率。針對無法定量分析的風險，一定要找到產生這些風險的原因和可以通過怎樣的方式進行評估。并且，風險不同，相互間的依賴就不同，所以需要對她們之間的依賴性進行評估。

4、分析。

通過以上內容后，已經初步判斷出各部門潛在的操作風險。隨之而來的，就是要為這些風險進行分析。先進行風險加總，然后進行可行的風險管理措施，之后要分析單獨的損失事件，再分析風險的過程以及資源的分配，分析出關鍵的風險因素，最后，針對風險管理的措施進一步進行分析。

5、通過措施消除存在于經營過程以及資源當中的風險。

可以通過風險回避以及風險因素管理的措施、損失預報的措施、損失預防的措施、損失掌控的措施、降低損失的措施、應急措施和風險融資的措施進行管理。

6、針對操作風險的檢測報告。

一個規范的報告制度是一個成功的風險管理的首要條件。針對風險采取連續的檢測，并定期進行報告的方式可以有效的檢測出操作風險管理的需求，所以，持續的檢測對于任何一種風險管理來講都是必不可少的環節。

結束語：通過世界的角度來看，針對操作風險管理的分析才剛剛開始，雖然在金融部門的投資過程里運用了一系列的操作風險管理的方法，可是顯然這些管理方式還不夠健全，也缺少理論作為指導。操作風險在金融機構進行投資的過程里需要面對的主要風險，金融投資風險的管理成效如何完全在于怎樣操作風險管理。投資者應當建立長期的投資目標，以完善的風險政策進行總結和評論，進而為風險建立一個完善的制度及管理的支持。（作者單位：貴州省茅臺集團財務有限公司）

參考文獻：

[1]黎仁華，馬麗莎.商業銀行風險預警測度指標的定位分析——基于操作風險導向的審計模式[A].中國會計學會財務成本分會2006年年會暨第19次理論研討會論文集（下）[C].2006.

篇（7）

中圖分類號:F830文獻標識碼:A文章編號:16723198(2009)22003403

隨著經濟環境的不斷變化,操作風險爆發的頻率大幅攀升,而且往往造成巨額損失,巴林銀行和大和銀行的倒閉事件充分證實了操作風險的危害性以及對其進行管理的重要性。2001年以來巴塞爾銀行監管委員會連續三次發表長篇咨詢報告,與業界磋商如何建立穩妥的操作風險管理和監管機制。不論是金融從業機構,還是金融監管部門,都前所未有地加大了對操作風險的管理和控制的力度。

1 操作風險定義中的內控因素

巴塞爾委員會根據英國銀行家協會(BBA)、國際掉期和衍生品交易協會、風險管理協會以及普華永到咨詢公司的意見,將操作風險定義為“由不完善或有問題的內部程序、人員、系統或外部事件造成的直接或間接損失的風險”。首先,從定義中可以看出,操作風險與內部操作有直接相關關系。內部操作通常就是銀行及其員工的作為或不作為,銀行能夠也應該能夠對其施加影響,也就是強調了內部控制系統所具有的重要作用。其次,人員和人員失誤對操作風險的產生起到了決定性作用。操作風險主要源于銀行日常的經營活動,人為因素在引發操作風險的因素中占有重要的、直接的地位。巴塞爾新資本協議規定的7類操作風險中有6類都與人為操作有直接關系。

巴塞爾委員會和反對虛假財務報告組織委員會(COSO)提出了內部控制的“三元目標”:業績目標、信息目標、合規性目標。我國監管當局確立了“四元目標”,即在三元目標的基礎上增加了“風險管理有效性目標”。可見,商業銀行內部控制以防范和化解風險為出發點,是一個風險管理的動態過程。商業銀行內部控制同樣也強調了人的作用,政策制定主體是董事會,實施主體是高級管理人員,控制主體是員工。

單純從概念內涵中可以初步得到兩者之間的關系:管理的內容相同,都對操作風險進行管理;管理的對象有重疊,都對人員的作為與不作為進行控制;管理的特征相同,都注重過程,而不是單純的階段性管理。同樣,兩者之間的區別在于:管理的重點不同,操作風險管理強調“區別”管理,區分出可忍受的風險、可轉移的風險,并對其采用不同的管理手段;內控機制強調機制、制度建設。管理的方式方法不同,操作風險管理主要通過技術手段,而內控機制主要通過銀行內部組織構架和制度建設來實現管理的需求。

2 操作風險案例實證

通過案例實證,我們想證明的是內部控制與操作風險高度的相關關系,操作風險的產生大部分是由于銀行內部控制機制的不健全造成的。

為了說明,首先將操作風險按照損失事件的類型分類。根據巴塞爾新資本協議,將操作風險分為以下幾類:

分類內容

內部欺詐例如,故意誤報頭寸、員工偷竊、員工通過自己賬戶的內部交易

外部欺詐例如,搶劫、偽造、空頭支票、計算機黑客的破壞。

營業中斷和系統癱瘓例如,計算機硬件和軟件的損毀、通訊故障、供電中斷。

執行、傳遞和程序管理例如,數據錄入錯誤、抵押管理失敗、不完全的法律文件、非法進入客戶賬戶、非客戶的交易對手操作失誤和供應商糾紛。

雇傭制度和工作場所安全例如,工人補償申訴、有組織的工會行動、侵害員工健康和安全條例。

顧客、產品和業務做法例如,信用違約、客戶秘密信息的濫用、洗錢、銀行賬戶上不正當交易行為和未經許可產品的銷售。

實物資產的損壞例如,恐怖行為、破壞行為、地震、火災和洪災。

2.1 國際案例

除了著名的巴林銀行倒閉事件以外,還有很多操作風險的案例。

1992年,標準渣打銀行被印度政府指控違反印度銀行法和指引,包括:投資國債、代公司客戶投資、給經紀人融資去投資孟買市場,損失4.4億美元。

日本大和銀行由于在資金交易的前臺、后臺沒有很好的隔離,高級管理層對操作風險缺乏認識等原因,其在長達11年的資金交易中,有3萬筆交易沒有經過授權,最終在1995年累積爆發,最終的損失達11億美元。

1995年3月15日,由于內部管理不善、貸款和投資出現嚴重問題,法國三大銀行之一的里昂信貸銀行出現了高達500億法國法郎(約100.6億美元)的壞賬。

1997年,摩根格雷費資產管理公司(德意志銀行)一名基金經理違反規定,投資于三大共同基金的非上市證券,造成損失超過6個億。

2001年由于高級管理人員挪用和貸款欺詐,導致基斯頓第一國民銀行倒閉。

2001年紐約共和銀行在普林斯頓國際經濟公司銷售的證券中擔任管理人,該公司編制虛假財務報表并且混合客戶資金,該行因此支付了6.11億美元的賠償金和罰金。

2001年FSB超級銀行因在證券化的次級優惠貸款中截留利息,會計報表失真,導致該行倒閉,損失金額4.4億美元。

20002年美洲銀行因為解決與國民銀行合并之后的訴訟(訴訟美洲銀行隱瞞與D.E.Shaw公司的關系),損失4.9億美元。

2002年愛爾蘭聯合銀行由于在過去5年內發生非授權交易蒙受近7億美元的虧損。

2002年J.P.摩根大通因為與安然公司有關的訴訟和監管事宜,已經撥備9億美元的儲備金。

就以上有限的案例分類分析,至少可以說明,國際案例中操作風險主要集中在:執行、傳遞、程序管理和顧客、產品、業務做法兩大塊內容中。相對而言,防范內部欺詐和外部欺詐是對內控制度的基礎要求,而防范執行、傳遞、程序管理和顧客、產品、業務做法中的操作風險是對內控制度的高級要求。如果內控制度相對完善,那么欺詐行為出現的頻率也會有所降低(當然,這種結論存在著片面和不確定性,不排除其他沒有搜集到的案例也存在其他方面的巨額損失)。

2.2 國內案例

除此以外,為了更加強調研究問題的現實意義,縮小研究范圍,有必要對我國的操作風險情況做出比較細致的討論。

通過媒體報道,搜集了部分操作風險損失的典型案例。當然,這是不全面的,因為發生損失的金額大小與報道的頻率呈正相關,也就是說,操作風險損失金額越大,報道的概率就越高。但是盡管不全面,由于目前我國操作風險的數據庫尚未建立,而且很難搜集,對其分析研究就只能通過媒體報道來完成。

由于我國目前正處于經濟轉型時期,市場經濟所需要的制度環境仍不健全,而金融領域的改革相對其他領域滯后,管理經驗不足,軟硬件設備不夠先進,致使操作風險在我國商業銀行系統內廣泛存在,重要的是由于內部控制機制不完善在很大程度上加劇了發生操作風險的頻率,并帶來了巨大的損失。搜集的34個案例的時間跨度長達15年(1992年2006年),損失金額少則72萬,多則高達74億。而實際上,就2004年一年期間,僅僅工、農、中、建四家國有商業銀行發生操作類風險案件高達300多起,涉案金額4億多元。我國商業銀行的操作風險損失總體數量、總數額、單筆損失額呈快速上升趨勢。

對我國操作風險來講,可暫且忽略雇傭制度和工作場所安全以及實物資產的損壞這兩類操作風險損失。根據其他5項將34個操作風險案例進行劃分。

2.3 結論

(1)內部控制制度設立的不完善、執行的不嚴格是我國商業銀行操作風險形成的主要原因。由于內部控制制度不嚴,為各種各樣的來自銀行內部的違規操作提供了可能。大部分案件當事人都是因為鉆內控制度不健全的空子,牟取暴利。特別是,存在大量欺詐案件這個事實提醒了我們“人本思想”的內控體制建設還有待極大的發展和完善。

(2)通過對國際案例和國內案例的比較分析,可以得出結論:欺詐性操作風險的多發表明我國商業銀行的內部控制機制存在基礎性的問題和缺陷。如果內部控制高度健全,操作風險仍然無法完全消除,但發生范圍會逐步縮小到主要由自然事故而非人為因素所導致的操作風險上來。也就是說,內控制度越不完善,發生欺詐性操作風險的頻率越高,內控制度基礎因素相對完善,發生欺詐性操作風險的頻率也會隨之下降。相比較而言,欺詐行為是我國商業銀行操作風險的主要表現形式,而在發達國家的商業銀行中卻較少出現,這說明我國商業銀行內控制度建設相對發達國家還很落后,存在基礎層面上的缺陷,特別是內控制度中基礎文化的樹立。

(3)在欺詐風險內部分析中,如果一個內控制度相對健全的商業銀行中,由于內部欺詐導致的損失不會大于外部欺詐。在具體分析中,我們發現26個欺詐案件中,內部欺詐數量占35%,外部欺詐數量占19%,內部欺詐導致的損失金額占欺詐案件的達24%,而外部欺詐導致的損失金額只有5%。由此可見,我國商業銀行內部欺詐導致的損失要大于外部欺詐導致的損失,這又進一步說明了我國商業銀行內部控制制度存在嚴重的漏洞和缺陷。

(4)從現實案例來看,欺詐是我國商業銀行操作風險的主要類型,而其中內外勾結的欺詐行為相對比較嚴重。這類行為一旦發生,一般隱匿時間較長,銀行的損失極大。這也說明目前我國商業銀行的內控機制還不很健全,或者說內控制度執行不嚴格、力度不到位。這些內外勾結的欺詐案例大部分是由于高層管理人員掌握著人力、財力、物力等大權,其危害性要遠大于基層操作人員。

(5)除這些欺詐案件之外,其他損失類型也與內控制度的不健全密切相關,只是相關的層面不同而已,欺詐性操作風險與內控制度的基本層面相關,而例如,顧客、產品和業務做法以及執行、傳遞和程序管理等操作風險與內控制度相對較高層面相關,對它們的防范要求更為嚴格、更為縝密的內控制度建設。

(6)不僅操作風險所分類型之間不能完全區分,操作風險和信用風險、市場風險之間在某種程度上也不能完全割裂開來。金融機構有時很難清楚地區分客戶不能償還貸款,是由于“正常的”信用風險導致的,還是由于信貸人員本該認真審查而事實上卻沒有的操作風險造成的。也就是說,在目前的風險測量體系中,有相當一部分所謂的“信用風險”實質上應屬于“操作風險”。

3 內控視角的操作風險管理

當然,我們并不能完全將操作風險的形成歸結為內控制度的不完善,但至少可以說明后者是前者頻繁發生的重要原因之一。所以,管理、防范操作風險主要從內部控制制度的完善和執行方面入手。這也是各商業銀行建立現代企業制度、開展公司治理結構的改革所不可或缺的內容。

(1)觀念上,樹立商業銀行內控制度的基本文化思想,這屬于企業文化的一個子集。培養員工,使其具有最基本的防范操作風險的意識,樹立防范、管理操作風險的責任觀,認為這是作為銀行一員所必須的基本原則和責任。提出操作風險管理的宗旨,定期舉辦培訓會議,舉行操作風險防范管理的評比活動并施以不同的獎懲措施。

(2)業務上,建立動態的全過程的風險管理線,完善內控制度的過程管理。

風險管理線包括操作風險內部的和外部的管理程序。

操作風險涉及領域非常廣泛,業務操作的各個環節都有可能發生操作風險。所以必須建立一個從預防、監控到緩解的動態的、全過程的風險管理線。目前,我國商業銀行內控程序主要是單一程序而不是復合程控,管理壓力主要集中于風險管理部門,業務部門沒有防范操作風險的意識和動力,而實際上,業務部門是操作風險的“發源地”,需要嚴加防范。所以,應當在業務一線設立操作風險的預警機制,培養業務人員的操作風險防范意識,確立獎懲機制。具體的法律部門、稽核部門也應當承擔操作風險管理的責任。

操作風險與信用風險、市場風險存在重疊或交叉的部分,不能完全將它們割裂開。所以全過程的管理線還要關注三大風險之間的轉化,及早在管理部門之間建立交流機制和渠道,防止風險的“真空地帶”和迅速轉化。

(3)人員上,確立合理的激勵約束機制,但激勵機制的建立也要考慮操作風險的因素。

除了對業務的風險管理之外,更重要的是對人員的風險管理。從案例分析發現,高層管理人員欺詐導致的損失是操作風險中不可小覷的一部分。由于歷史原因,我國商業銀行的董事會、監事會、股東大會三會的治理結構建立仍處于起步階段,三會不能有效發揮作用已是不爭的事實。尤其是監事會,很難起到監督管理的作用,高層管理人員由于沒有受到有效的約束,滋生了謀取暴利的動機,導致金融腐敗在操作風險上集中暴露。因此,建立對高管層的控制機制,實施有效的激勵約束作用是關鍵之舉。當然也不能忽視對基層一線人員的激勵。

現有的銀行激勵制度的設計往往過分看重盈利性指標,忽略了風險指標。在對銀行高層管理者進行評價時,沒有區分其經營業績的取得是建立在冒險型策略還是穩健型策略(策略風險是操作風險的一種)的基礎之上,也沒有相應的對報酬予以調整,那么這就鼓勵了銀行雇員采取冒險型策略以獲取更大利潤可能性的動機,使銀行面臨更大的操作風險,因為風險就是一種損失發生的不確定性,一時的利潤可能潛伏著巨大虧損的可能性。所以,必須將操作風險水平納入報酬激勵設計中,這樣才能有效控制操作風險。

(4)組織機構上,健全三會一高的內控制度,重塑內審的權威性。在我國,通常執行這一職能的機構是內部審計部門。與國外商業銀行不同的是,我國銀行的內審部門與一般不是平行設置,并不是直接隸屬于監事會,往往對分支機構的稽核監督容易,對總行層面的稽核監督難以開展,其權威性、獨立性受到極大程度的制約。因此,從內控角度講,應盡快健全監事會的作用,提升內部審計部門的獨立性和權威性,最直接、最有效的方法就是將其納入監事會的獨立框架中。

參考文獻

[1]樊欣,楊曉光.從媒體報道看我國商業銀行業操作風險狀.管理評論[J].2003,15(11):4347.

[2]巴曙松.巴塞爾新資本協議框架下的操作風險衡量與資本金約束[J].經濟理論與經濟管理,2003,(2).

[3]羅平.巴塞爾新資本協議研究文獻及評述[M].北京:中國金融出版社,2004.

篇（8）

住房公積金操作風險目前還沒有權威定義，參照銀行業的定義，操作風險是指由不完善或有問題的內部程序、人員及系統或外部事件所造成損失的風險。該定義不包括策略風險和聲譽風險，但包括法律風險。住房公積金操作風險在我國公積金行業中普遍存在，但沒有引起足夠的重視，也沒有對住房公積金操作風險管理進行系統研究，本文試圖從住房公積金操作風險管理的現狀入手，分析原因，提出相應對策。

一、現狀

住房公積金制度自1999年《住房公積金管理條例》頒布以來，在推進住房制度改革，幫助職工家庭解決基本住房需求，解決和改善城鎮居民的住房問題的同時，住房公積金管理水平也得到了較快的提升。但在住房公積金管理中，操作風險在各公積金管理中心以不同的類型的事件顯現。

（一）內部欺詐損失案件屢破記錄

我國住房公積金在內部管理和監督層面上缺乏風險防范以及未建立有效的風險管理考核指標、責任追究機制和未建立健全監督機制，導致公積金對內部的管理失控，內部欺詐案件數額一件比一件驚人。例如，湖南省郴州市住房公積金管理中心原主任李樹彪貪污、挪用公積金一案，被稱為當時（2004年）的“全國住房公積金第一案”，1999年9月至2004年1月，李樹彪利用其職務便利，撇開單位內部的審核、管理環節，與商業銀行和其他金融機構惡意串通，作案29次，從銀行和其他金融機構非法獲取貸款6675.5萬元，實際占用6229.1061萬元。郴州市中級人民法院一審判決李樹彪死刑。2009年，據《中國經營報》報道，北京市住房公積金管理中心朝陽區分中心（下稱朝陽分中心）原主任劉毅被檢查部門帶走，其任職期間先后挪用近9000萬元住房公積金。2014年，爆出吉林通化公積金挪用案，案件涉嫌金額驚人，又破歷史紀錄。

（二）外部欺詐案件常見報端

住房公積金的外部欺詐案件主要發生現在貸款和支取兩個領域上。在貸款方面的表現為：申請人冒名貸款或虛構申請人騙取貸款，或貸款后潛逃；申請人明知自己無履行合同的實際能力或擔保能力，采取欺騙手段申請貸款的；未將貸款按規定用途使用，任意揮霍致使貸款無法償還的；為爭取不正當利益，改變貸款用途，造成重大經濟損失，致使貸款無法償還的；隱匿貸款去向，貸款到期后拒不償還的。例如，劉凡等3人利用他人名義冒頂替，使用欺騙手段在北京住房公積金管理中心騙取管理中心借款1376萬元。在支取方面表現為：提交虛假材料和授權委托書代替他人支取公積金；偽造退休證、身份證等相關證件，提前支取公積金；虛構建房、大修房屋手續，支取公積金。此類情況一旦發生，追繳公積金存在很大的不確定性。例如，中山首例非法套取住房公積金案15人被公訴，南寧對非法騙提住房公積金行為立案51起 查處48起，安徽宣城判處騙提公積金者有期徒刑……。

（三）信息系統損失事件鮮為人知

由于維護不到位，操作不規范，或雷電短路損毀，使用不規范介質，或人為故意所致，甚至地震等等導致計算機系統失靈和系統漏洞以及系統崩潰，造成系統癱瘓、數據丟失和信息混亂，這給我國的住房公積金帶來致命性的打擊。

（四）資產隱形損失事件時有發生

住房公積金的資產在資產負債表上分為存款、應收款、國債、委托貸款和逾期貸款等，這些資產顯性的損失易被發現，而隱形損失不易發現但時有發生。隱形損失主要表現為資產配置不合理，資產收益率低，在公積金滿足住房貸款后，公積金配置存款和國債的年限和種類會影響流動性和收益。有的公積金管理中心沒有爭取銀行存款的上浮政策，未獲得或少獲得利率上浮區間的利息收益，也造成資產的隱形損失。

（五）業務辦理不規范埋下敗訴苦果

住房公積金管理中心在日常業務辦理應當遵守相關的管理制度和法律原則。在這個過程中，因為業務辦理不規范，無法滿足或違反法律要求，在法律訴訟案件中時有敗訴案件發生，給住房公積金管理中心造成了經濟損失，在這些敗訴案件中主要有三類：訴訟時效和法定執行時效過期、主體資格不適用、不作為等。第一類是法定時效過期案件敗訴，此類案件主要發生在貸款追繳方面，管理中心因為錯過法定期間或訴訟時效，導致訴訟無效，喪失追索權，形成損失。逾期貸款的訴訟時效期間為2年，超過2年后進行訴訟就是無效訴訟，只能進行協議協商；保證人承擔保證責任的時效是保證期間，一旦超過保證期間，保證人就會免除保證責任；在抵押權存續期滿未處置抵押物將導致抵押權的消滅，如果對法定的時效沒有進行主張權利，就很容易形成法律風險。第二類為主體資格不適用敗訴，有的公積金管理中心在受理貸款、擔保和提取公積金時不實行當事人當面進行身份認證和簽字的操作辦法，當出現法律糾紛時，多會因主體資格問題而敗訴；在保證擔保實踐中，一些管理中心把《擔保法》規定不得作為保證人的國家機關、以公益為目的事業單位、社會團體（如學校、幼兒園、醫院等）、企業法人的分支機構、職能部門作為保證人，這也會因擔保無效而敗訴。第三類第為不作為案件敗訴，有的管理中心在匯繳，拒絕接受合規貸款申請及破產改制補繳工作中，對少繳、停繳、欠繳的單位沒有按規定進行催建，置之不理，放任自流，形成工作中的“不作為”，那么繳存人有權依法要求管理中心承擔因行政“不作為”帶來的責任和損失。

二、原因

造成以上風險事件的原因是多方面的，歸納起來主要有有六個方面。一是新興行業，積累操作風險管理經驗少，住房公積金制度建立在我國僅有30多年的歷史，是一個新興行業，沒有現成的管理經驗可借鑒，全國的公積金管理在設區的市成立管委會進行分散管理，各地管理模式還處在全委托銀行、半委托銀行、自主管理三種模式并存的探討階段，操作風險管理積累的經驗很少。二是認識誤區，把操作風險管理等同于內審、廉政管理，內部審計是指組織內部的一種獨立客觀的監督和評價活動，它通過審查和評價經營活動及內部控制的適當性、合法性和有效性來促進組織目標的實現；廉政管理是對工作人員在履行其職能時不，辦事公正廉潔等方面的管理；操作風險管理是指對操作風險從識別到分析乃至采取應對措施等一系列過程的管理。三是機構缺位，沒有設置操作風險管理機構，當今住房公積金操作風險管理機構不健全，機構缺失，主要表現在：操作風險管理職責分散，缺乏專門的管理部門；基層分支機構操作風險管理職能缺失。長此以往，這種缺失的操作風險管理機構將嚴重阻礙我國住房公積金的發展。四是人才匱乏，沒有操作風險管理的人才，目前從我國住房公積金風險控制中看出，領導對風險管理人才重視不夠，招錄、引進、培養、留住風險管理人才的工作措施不得力；五是政策缺失，沒有統一的操作風險管理指引，在住房公積金操作管理這一塊，沒有建立一套正確的統一的操作風險管理政策。如果沒有一套統一的操作風險管理指引，那么就會出現各行其是的效果，上級管理部門對下屬部門無法進行有效的管理和控制，各單位也沒統一的操作風險管理指引可遵循，從而給單位各方面帶來操作風險。六是流程失范，創造了風險事件發生的環境，目前，在住房公積金大多數管理中心已實現了流程管理，但在流程管理中隱含了大量的風險事件沒有引起足夠的重視。

三、對策

通過對目前住房公積金操作風險管理現狀的分析，要提高操作風險管理水平，筆者建議應從以下六個方面入手：

（一）提高認識，把操作風險管理與業務管理同等重視

樹立操作風險管理理念，全力營造操作風險管理的文化氛圍，把科學的操作風險管理理念深入到各級公積金管理部門，植入到公積金管理中心的每一位員工，讓上下各級、全部員工形成慣性思維。

（二）統一政策，出臺操作風險管理指引

就全國而言，住房和城鄉建設部要制定住房公積金操作風險管理指引，通過統一政策出臺操作風險管理指引能夠更好落實住房公積金的相關規定和做到防范風險。在單位各方面利益得到維護時，不合法的操作管理也將難以隱藏，同時便于更好的業務規范操作。

統一的操作風險管理指引能進一步完善住房公積金內部治理結構，提升操作風險管理能力。住房公積金操作風險管理指引要至少應包括以下基本要素：公積金管理委員會的監督控制、公積金管理中心管理層的職責、操作風險管理架構、操作風險管理政策、方法和程序，住房和城鄉建設行政主管部門對操作風險的監管。

（三）成立機構，公積金管理中心設立操作風險管理機構

建立健全操作風險管理機構，各獨立機關要在全系統建立風險管理委員會。在綜合管理部門、歸集部門、支取轉移部門、個貸部門、財務部門要明確問責制、承諾機制、考核機制，并完善這些部門的程序、方法和操作風險計量、計提所需資金；完善操作風險管理機構，對重要的崗位、要害環節、敏感的業務風險點明確內控規定；嚴格授權、授信制度；建立完善事中控制和事后監督機制；建立操作風險信息預警報告制度，構建“人控、制控、機控一條龍”管理體系，從而，杜絕操作風險管理盲區和“斷層”。此外，還必須在成立機構的同時保證做到整合操作風險管理資源，構建內控與內審聯動、互動機制。

（四）重視人才，強化培養與引進操作風險管理人才

首先建立與行業要求相適應的教育培訓體系是培養符合住房公積金操作風險管理人才的基礎。我國住房公積金改革進程不斷加快也對操作風險管理人才提出了更多的要求，除了熟悉專業的風險管理知識外，還要具有較高的發現評估風險的能力與風險規避緩釋管理的技能。因此，國家住房和城鄉建設部對外要助推知名大學開設公積金管理專業，專門設置操作風險管理課程；對內要成立住房公積金風險管理研究團隊，培訓全國公積金操作風險管理人員。

（五）強化研究，重視操作風險管理工具的研究

操作風險管理工具有三大類：RSCA――風險與控制自我評估、KRI――關鍵風險指標、LDC――損失數據收集。要重視風險與控制自我評估，對自身進行診斷和完善。住房公積金要對單位綜合管理、歸集個貸、提取轉移、財務管理等進行自我觀察、分析和判斷，對可能出現的風險和采取什么樣的相應控制方法進行評估，對不可接受的風險提出流程優化方案。

要重視關鍵風險指標，預警和應對信息監控。結合歸集崗位、個貸崗位、支取轉移崗位等流程分析和梳理，設計一系列反映關鍵操作風險狀況的指標并確定預警閥值，定期跟蹤監測值和變動情況，確保潛在風險或風險事件及時得到控制。

要重視損失數據收集，收集和整改事情。根據廣泛性、重要性、及時性等原則，以2012年事業單位會計制度為最低要求收集損失數據，并對損失數據進行識別、匯總、分析與報告，以改善內部管理。

（六）規范流程，鏟除操作風險發生的土壤。

提高流程設計科學性，在流程框架設計時層次要合理，必須設置到標準作業流程層次，從而避免公積金業務操作隨意性大、責任不夠清晰的現象；在設計流程環節時，關鍵環節要設置審核、復合環節，有的還要設置審批和內部審計監督環節。

參考文獻：

[1]胡杰武，萬里霜，企業風險管理[M].清華大學出版社有限公司.2009.09

[2]郭延安.風險管理[M].清華大學出版社.2010.02

篇（9）

[中圖分類號]F832．1[文獻標識碼]A [文章編號]1673－291X（2006）04－0045－04

操作風險是指由不完善或有問題的內部操作過程、人員、系統或外部事件而導致的直接或間接損失風險（Basel II，2003）。“操作風險伴隨著每一筆信貸業務而如影隨形。”（Alexander J． Muermann，2001）實踐與研究成果顯示，操作風險長期以來未受到與其他類別風險同等的重視，匱乏的研究也難以提供較為成熟的風險管理技術（樊欣等，2003）。1995年，巴林銀行破產案給國際銀行界極大震動。該案揭示“即使銀行符合資本充足性的要求，也可能因為操作風險而陷入經營困境”。（Hoffman，1998）

一、操作風險管理的重要意義

隨著金融服務的全球化以及信息技術在金融業的應用和發展，銀行業務經營及其風險組合變得更為復雜。技術系統的更新、交易量的提高、日趨復雜的交易工具和交易戰略、網絡銀行的發展、法律和監管體系的調整和監管要求的日趨嚴格等，都增大了金融機構面臨的操作風險。實踐證明，操作風險比信用風險和市場風險更為廣泛地分布于銀行經營管理的方方面面，并給銀行經營造成了越來越多的損失（Hoffman，1998）。繼巴林銀行破產案后相繼發生的大和銀行11億美元的虧損事件以及2001年愛爾蘭聯合銀行的7億美元虧損事件等都源自操作性風險。巴塞爾委員會風險管理小組2002年6月的一項調查表明，損失巨大的突發事件導致大額損失報告事項增加是一個明顯的趨勢（Padraic Walsh，2003）。操作風險的客觀存在及其增長，迫使金融機構提升其運作效率和可靠性，加強操作性風險的監控和管理。

在銀行業操作性風險損失明顯增長的背景下，從業者對操作風險管理日益關注。《巴塞爾新資本協議》于1999年6月、2001年1月和2003年4月，分別了三個版本的新協議征求意見稿，把操作風險、信用風險和市場風險一并納入對金融機構的監管框架，既是近年來國際金融界日益注重操作風險管理的制度體現，同時，也是從全面風險管理和保持銀行體系穩定的角度對操作風險管理的新要求。因此，以新協議的公布和實施為標志，商業銀行必將面臨一個如何根據新的監管要求有效引入操作風險管理的現實問題（Christine．M，2001）。

二、操作風險管理的相關研究：問題與爭議

有關金融風險的研究一直是金融經濟學的核心內容，由于全球金融系統的一體化進程加快以及金融工具的不斷創新，風險管理的理論和實踐都得到了極大的發展。然而，這種發展是不均衡的，其中有關市場風險度量和管理理論與實踐最豐富，信用風險的研究開展得最早，近來也形成了一個研究的，唯有操作風險的研究至今未形成統一的理論框架。

1．操作風險的界定

對于操作風險的定義現在有多種看法（Hoffman，1998；BBA／ISDA／RMA，2000），討論的焦點是哪種風險應該計入操作風險以及哪種操作風險應該是開展風險管理活動關注的焦點。幾年前，銀行通常將操作風險定義為除了信用風險或市場風險之外的所有風險（Jams Lam，2001），如今業內則普遍接收了巴塞爾委員會的定義：操作風險是指由不完善或有問題的內部操作過程、人員、系統或外部事件而導致的直接或間接損失風險。但Andy Kuritzkes（2001）對銀行操作風險進行分類，認為如果風險定義為收益的不穩定性，則操作風險是指除金融風險（信用、市場、ALM、保險）外的非金融風險。而非金融風險可以進一步劃分為三類：內部事件風險（由于內部失誤造成的損失）；外部事件風險（由于不可控的外部事件造成的損失）；以及業務風險（由殘余的收益不穩定性造成的損失，而不是來自事件風險）。他將全部的非金融風險粗計為資產的2．0％，而將BIS II界定的操作風險定義為內部和外部事件風險，粗計為資產的0．8％。Andrew和Hal（2002）在2002年6月26日舉行的就資本充足率進行討論的國際金融系統討論會上，對新巴塞爾資本協議提出的通過資本準備金控制操作風險的做法也提出了異議。Andrew和Hal將銀行風險分為金融風險和非金融風險，指出新巴塞爾協議定義的操作風險僅僅是非金融風險的一個子集，包括了內部事件風險和外部事件風險，而將業務風險排除在外。James Lam（2001）則認為，巴塞爾委員會的定義是就“一般意義”而言的，建議銀行構造符合自身目標的定義，關鍵問題是是否將業務風險和名譽風險作為操作風險定義的一部分。而對于風險事件發生的頻率以及影響力的討論，現在比較一致的看法是，雖然頻率高影響小的事件仍然是內部管理的重點，但操作風險管理的重點應該是頻率低影響大的事件。

2．操作風險的度量

自操作風險管理系統提出之后，存在兩種截然不同的學院派觀點。一個學派認為，如果沒有度量就沒有管理，因此，集中研究操作風險的量化工具，例如，損失分布，風險指示器以及經濟資本模型。繼1998年巴塞爾委員會公布了關于操作風險的報告之后，1999年巴塞爾委員會又在其咨詢意見稿中確立了包括操作風險在內的銀行風險最小監管資本要求原則，這是推動操作風險模型化的標志性事件。一時間，操作風險量化模型得到了極大發展。

而另一個學派則堅信操作風險無法有效量化，因此，集中關注更人性化的定性方法，如自我評價、風險繪圖以及稽核調查。John Drzik（2001）認為，操作風險管理應該更注重改善管理實踐而不應過于強調操作風險的度量。監管者的最佳作用是通過要求銀行機構評述所采用的控制操作風險的適當步驟來推進有效的操作風險管理。

兩個學派之爭是人與機器的典型戰爭。如今，操作風險管理的實踐者越來越認識到，最好的操作風險管理實踐是將兩者結合起來。James Lam（2003）基于一致化操作風險管理基準體系的關鍵特性，提出了7因子經濟資本模型。他認為，一致化操作風險管理基準體系應滿足兩個基本要求。首先，它應同時支持操作風險的度量與管理。其次，ORM基準體系應將相互依賴的信用、市場和操作風險結合起來，作為企業全面風險管理（EWRM）程序的一部分。基于這兩個要求，操作風險管理基準體系有五個關鍵特性：（1）平衡定性和定量工具；（2）提供早期警告并逐步升級；（3）影響業務活動；（4）反映環境變化；（5）合并互相依賴的風險因素。根據這五個關鍵特性，Jams Lam提出了包含收益乘數、操作邊際、內部指示器、外部指示器、模型風險、系統風險、金融風險乘數7個因素的經濟資本模型。

3．操作風險的管理手段

關于操作風險的管理手段，《巴塞爾新資本協議》對操作風險提取監管資本的要求引起了銀行業和一些學者的極大關注，人們關注的焦點除了在于如何衡量操作風險，以便適當地配置監管資本外，更有不少學者產生質疑。

Alexander Muermann（2001）認為，操作風險管理是銀行依據特殊目的用于限制資金暴露而進行的特別保險，而監管者的資本要求可能是不必要的，因為在銀行操作風險的特殊性質下資本的再分配未必一定能規避像巴林銀行這樣的重大事件。

Karen Petrou（2001）強調了操作風險管理的兩個重點：（1）監管者的作用不應該是利用不明智的風險承擔來防范銀行個體的失誤，相反，他應該防范由于整個行業內薄弱的風險管理造成的系統性銀行失誤。因此，監管資本并非最佳辦法。（2）第二支柱和保險的作用應該是監管者關注的重點，這會促使銀行度量自身風險并采取適當措施進行緩解。Petrou還評論了美國、歐洲和日本銀行系統間的差異，以及這些差異導致在歐洲和日本，預留資本準備金成為天然的解決辦法。然而，內部控制和良好的度量手段是美國的最佳解決方案。其中，主要差異在于美國的監管水平較高但監管范圍較小，只有銀行處于監管中。

Charles和Richard（2002）認為，新巴塞爾協議提出的用最低資本要求控制操作風險的方法并不適宜。私人保險和過程監管在控制操作風險方面比資本要求更有效。私人保險有如下好處：將操作風險轉移給第三方，引入市場監管和約束以及具有風險敏感性的保險成本。過程監管則通過要求金融機構在適當的地方采取適當的過程和程序識別、度量、監督和控制操作風險，加強風險控制的私人市場動機。相反，巴塞爾協議中提出的控制操作風險的資本要求并不像私人保險和過程監管一樣具有風險敏感性。而且利用過程監管和私人保險可以進一步避免在巴塞爾協議中由于差別對待低風險企業的反競爭效果。

Andrew和Hal（2002）認為，與銀行為獲取金融回報有意識地主動承擔的金融風險不同，操作風險是銀行業務不受歡迎的副產品。銀行可以在事前采取重要步驟來減輕操作風險暴露，而不是在事后依靠資本準備金來吸收損失。銀行管理操作風險時面對的并非風險與收益的權衡，而是風險和規避成本的權衡。規避操作風險的方法也因內部事件和外部事件風險而不同。內部事件風險從本質上講是內生的，它們來自于內部過程、人員或系統的失誤。防御內部事件風險的第一條戰線應該是管理控制。銀行安全防御操作失誤的關鍵決定因素并不是它所持有的資本水平，相反，如何管理好銀行則處于首要地位。即使預留更多資本準備，操作失誤照樣會發生，交易損失會繼續攀升直至資本耗盡。外部事件風險是由企業不能控制的外生因素引起的。因此，外部事件不包括道德風險并且存在互不相關的傾向，這使得它們成為保險的良好對象。對大多數銀行來說，保險是防御外部事件風險的第一條戰線。在利用保險將風險暴露轉移給第三方的同時，銀行還可以采取內部手段來減輕外部事件帶來的后果。相對于有效的管理控制和保險而言，資本準備至多是銀行防御操作風險的次優機制。但荒謬的是，從最低操作風險資本要求來看，資本準備實際上充當了減少操作風險的障礙。因為如果銀行必須預留出最低操作風險資本準備金，就無法有足夠的資金進行管理控制或購買保險以減少操作風險，使其低于與最低資本要求一致的風險水平。

綜觀前人對操作風險的相關研究，我們發現目前存在以下問題和爭議，有待進一步深入研究：

（1）操作風險的界定問題：尋求“共性”還是“個性”？

（2）操作風險的度量工具如何選擇？

（3）如何確定一致化的操作風險管理（ORM）基準體系？

（4）如何綜合利用監管資本要求、內部控制和保險有效管理操作風險？

三、操作風險管理對我國商業銀行的挑戰

從全球范圍看，盡管操作風險已經給不少金融機構造成了相當嚴重的損失，新協議也從制度化的角度對操作風險管理提出了近乎標準化的要求，但迄今為止已經建立起有效操作風險管理體系的銀行并不多見，操作風險的管理結構、程序、方法、工具和模型也遠遠沒有信用風險管理和市場風險管理那樣成熟。2000年6月，巴塞爾委員會風險管理小組進行的一次調查表明，大部分金融機構對操作風險的量化仍處于初級階段，多數銀行對風險指標的追蹤還處于起步階段（Haggerty,2001），還有很多銀行根本沒有進行這方面的工作。即使追蹤數據的銀行在風險管理或分配經濟資本時對如何使用數據也不十分清楚。同時，多數銀行還不具備將風險定義、數據收集、風險評估和管理、資本配置以及管理機制完全統一起來的程序。

國際商業銀行在操作風險管理方面尚處于初級階段，“我國商業銀行的操作風險管理尚在起步階段，定量研究幾近于無”（樊欣等，2003），主要原因是：銀行業務類型與國外銀行相比有很多空白，銀行董事會和管理層對操作風險缺乏足夠的重視，全面風險管理的意識和理念尚未真正確立起來；銀行內部和管理層次過多，風險控制機制不完善，操作風險管理的基礎工作相當薄弱；操作風險的管理結構、程序、方法、工具和模型遠遠沒有建立起來甚至處于空白的狀態，操作風險管理體系建設明顯滯后；操作風險管理人才不足，激勵機制不健全，操作風險管理缺乏有力的支持和保障（王廷科， 2003）。

[參考文獻]

[1] Alexander J． Muermann (2001)，Extreme Value Theory for Risk Managers．Risk Publication,2001．

[2] Andres P． Knritzkes and Hal S． Scott(2002), Sizing Operational Risk and the Effect of Insurance: Implications for the Basel II Capital Accord．International Financial Systems Colloquium, June 26,2002．

[3] Charles W． Calomiris and Richard J． Herring(2002), The Regulation of Operational Risk in Investment Management Companies, Perspective．Investment Company Institute, Vol 8, No．1, September 2002．

[4] Christine M． Cumming and Beverly J． Hirtle(2001), The Challenges of Risk Management in Diversified Financial Companies．Economic Policy Review, Federal Reserve Bank of NewYork, March 2001．

[5] Hoffman, D． G． Ed(1998), Operatioanl Risk and Financial Institutions． Risk Publication． 1998．

[6] ISDA／BBA／RMA Survey Report (February 2000), Operational Risk－The Next Frontier． http:／／www．isda．org．

[7] James Lam(2001), Defining and Mannageing Operational Risk at Community Banks．Risk Publication． 2001．

[8] James Lam,(2003), A Unified Management and Capital Framework for Operational Risk． The RMA Journal, February 2003．

[9] John Drzik(2001), Doug Hoffman(2001), Andy Kuritakes(2001), Karen Petrou(2001), Assessing and Managing Operational Risk． Wharton Financial Institutions Center Risk Roundable, Sponsored by Oliver, Wyman ＆ Company, April 18－19,2001．

[10] Michael A Lewis(2003)． Cause，consequence and control: Towards a theoretical and practical model of operational risk．Journal of Operations Management． Columbia: Mar 2003． Vol． 21， Iss． 2．

[11] Padraic Walsh(2003), Operational Risk and the New Basel Accord． Hyperion, October 2003．

[12] Robert M Wiseman, Anthony H Catanach Jr． (1997),A longitudinal disaggregation of operational risk under changing regulations: Evidence from the savings and loan industry． Academy of Management Journal． Mississippi State: Aug 1997． Vol．40．

Relative Research on Operational Risk Management: Problems and Disputations

LU Xian－wen

篇（10）

[中圖分類號] F830.4 [文獻標識碼] A [文章編號] 1006-5024(2008)07-0175-03

[作者簡介] 樂友華，農行江西省分行經濟師，法律顧問，碩士，研究方向為金融保險法。(江西 南昌 330008)

一、商業銀行操作風險及特點

風險就是未來結果的不確定性。不確定性越高，風險就越大。由于分析角度不同，對銀行風險分類的標準也不一。一般可分為市場風險(利率、匯率和資產價格)、信用風險、流動性風險、操作風險、法律風險、道德風險和國家風險。一般業界所說的三大風險是指信用風險、市場風險和操作風險。這是國際上巴塞爾委員會要求提取資本金的三類風險，是國際銀行業和銀行監管機構重點關注的三類風險。

對我國商業銀行來說，操作風險是個新概念，但這并不表明我國商業銀行中沒有操作風險管理活動。事實上，各商業銀行一直都有自己的操作風險管理實踐，但一般使用“內部控制”一類的表述，而且，在多年內控管理過程中，各商業銀行都程度不一地建立和制定了相關的管理框架、制度和措施。不過，相對于信用風險、市場風險管理而言，操作風險管理還缺乏識別標準、管理模式、數據積累等。

操作風險是指由不完善或有問題的內部程序、員工和信息科技系統，以及外部事件所造成損失的風險。操作風險包括法律風險，但不包括策略風險和聲譽風險。具體表現就是商業銀行因辦理業務或內部管理出了差錯；由于內部人員監守自盜，外部人員欺詐得手；電子系統硬件軟件發生故障，網絡遭到黑客侵襲；通信、電力中斷；自然災害、恐怖襲擊等原因導致損失的銀行風險，這些都屬于操作風險。可見，操作風險不僅僅包括操作中的風險，還包括內部程序、信息科技系統和外部事件所帶來的損失。

與信用風險和市場風險相比，操作風險主要有幾個特點。第一，具有內生性，除自然災害等外部事件引起的操作風險損失外，操作風險大多是在銀行可控范圍內的內生風險，信用風險和市場風險則為外生風險。第二，廣泛性，操作風險的覆蓋的范圍相當廣泛，與市場風險主要存在于交易類業務和信用風險主要存在于授信業務不同，操作風險普遍存在于商業銀行的業務和管理中。此外，對于信用風險和市場風險來說，風險越高，收益越高，存在風險與收益的對應關系，而操作風險和收益沒有太多聯系。

二、操作風險識別和管理

操作風險主要表現為以下幾種類型，商業銀行在經營中需加以識別和管理。

(一)人為因素。主要為內部欺詐、主觀違規、操作失誤。主觀違規有超授權授信行為、逆程序、過度信任造成管理缺位、崗位設置不合理造成監督空位、不良愛好(如涉毒、涉賭、涉黃)引發的違法違規。操作失誤是由于員工技能水平不高、態度不認真在業務過程中的失誤造成的，如數字輸入錯誤、將取款記作存款等。由銀行員工操作失誤引起的操作風險一般具有損失小(當然不排除特殊情況)、發生頻率高、難以事先預測的特征，因而非常難以防范。人員因素引發的操作風險，有的是作為，如主觀違規，有的是不作為，如業務不熟出錯，疏忽大意。

(二)流程因素。包括操作程序遺漏或忽略、產品設計缺陷、業務流程設計不合理等。過去認為流程越復雜、相互制約性越強越好。事實上，流程越簡單越易于操作，流程越短越便于管理，設計越合理越利于控制。這樣才能適應變化，確保效率和風險管理，流程設計不合理，有瑕疵，往往容易出現風險隱患。

(三)系統因素。系統是現代商業銀行賴以生存的命脈。無論是業務發展如網上銀行、現金管理還是風險監控，都離不開信息系統緊密支持。但是，商業銀行高度依賴信息系統，信息數據高度集中也給銀行帶來新的風險管理難題，如系統安全穩定、IT技術風險防范、數據和信息質量，系統設計和開發戰略風險，等等。系統出現如故障、癱瘓，系統不安全、通訊中斷以及系統兼容性、穩定性、適宜性方面的操作風險很容易給銀行帶來巨大的經濟損失和無法估量的信譽損失。此外，從操作風險發生的部位來看，當前與系統有關的操作風險日益增加。由于系統原因和流程問題導致犯罪分子利用系統漏洞實施金融詐騙已經成為妨礙我國銀行業資金安全重大問題。

(四)外部因素。銀行經營都是處于一定的政治、社會、經濟環境中的，經營環境的變化、外部突發事件都會影響到銀行的經營活動，甚至會產生損失。外部事件引起銀行損失的范圍非常廣泛，包括外部欺詐、外部突發事件與外部經營環境的不利變化。外部人員的蓄意欺詐行為是近年來給銀行造成損失最大、發生頻率最高的操作風險之一，而內外勾結作案更是令商業銀行防不勝防。外部欺詐包括騙貸、搶劫、偷盜、爆炸等風險因素。外部突發風險包括遭受冰凍雨雪、地震等自然災害以及恐怖襲擊、火災等給商業銀行帶來的損失。外部經營環境的不利變化引起的操作風險是由于受宏觀經濟環境、銀行監管法規變化使銀行發生損失的風險。宏觀經濟環境的不利變化會給商業銀行帶來意想不到的損失。

三、商業銀行操作風險管理的現狀

目前，我國操作風險管理與監管尚處在一個較為初期的發展階段。由銀行監管部門以規范性文件關于操作風險監測方法或者具體操作模式還為時尚早。監管機構主要把重點放在提高操作風險(或內部控制)管理質量上，并且要求銀行提高對操作風險的重視。

(一)商業銀行操作風險的監管要求。2004年6月，巴塞爾委員會了新的資本協議，對銀行操作風險提出了新的資本要求。據巴塞爾委員會估計，在銀行業所有風險中，操作風險所造成的損失已經僅次于信用風險。2006年10月巴塞爾委員會的新版《有效銀行監管核心原則》中，專門為“操作風險的監管”新增一條原則，制定了評估該原則執行情況的標準，提出了商業銀行操作風險管理的最佳做法和監管指引。

目前，實施新資本協議的國家都按照新協議要求，明確將操作風險納入資本監管范疇，國際上已形成了對操作風險加強監管的共識，已經形成了相關制度和監管標準。巴塞爾新資本協議對操作風險的有關規定是近年來國際金融界日益注重操作風險管理的制度體現，也是加強全面風險管理方面的新要求。

在未來幾年內，我國銀行界按照新資本協議的要求實施操作風險管理已是大勢所趨。根據中國銀監會《商業銀行操作風險指引》要求，操作風險監管機構是中國銀監會和派出機構。商業銀行要履行報告義務，提交有關方面的審議報告，對有關政策和程序要報備。銀監會定期要進行檢查評估。對于高管嚴重違規、重大搶劫銀行等操作風險事件商業銀行必須報告銀監會和其派出機構。另外，《商業銀行操作風險指引》要求商業銀行要根據自身實際操作風險管理的政策、選擇適當的方法進行管理，采取一定的措施控制、降低操作風險。

(二)操作風險機制建設。國際上巴塞爾協議將人們的視線更多地集中于操作風險的監管資本要求上。但實際上，一個銀行的資本量多少并不是管理成功與否的關鍵，加強操作風險管理最關鍵是加強商業銀行操作風險的機制建設。

1.關于操作風險管理體系建設。關于操作風險管理的組織體系，各銀行間存在著重大差異。各商業銀行主要依據銀監會《商業銀行操作風險管理指引》要求逐步建立和探索適應本行的操作風險管理體系。該體系主要包括董事會的監督控制；高級管理層的職責；適當的組織架構；操作風險管理政策、方法和程序；計提操作風險所需資本等基本要素。董事會從總體上履行操作風險管理的職責。如制定總體戰略、政策、定期審批報告等。高級管理層在操作風險管理中職責主要為執行董事會的有關決議，定期向董事會報告。各商業銀行一般以與自身的風險管理戰略和組織結構相匹配成立管理操作風險的部門。具體執行中操作風險人員可能被放在一個部門――操作風險管理部門，主要擬定本行操作風險管理政策、程序和具體的操作規程；建立并組織實施操作風險識別、評估、緩釋(包括內部控制措施)和監測方法；定期檢查操作風險的管理情況。有些銀行在總行層面上建立了首席風險官，在各營運業務條線設置風險經理，對主要業務的關鍵、高發風險點進行實時監測。有些銀行在專業領域內如法規部門、審計監察部門設立單獨的風險監管部門，在管理好本部門的操作風險的基礎上，為其他部門管理操作風險提供相關資源和支持。

2.商業銀行操作風險管理有關政策。各商業銀行正積極探索制定有效管理操作風險的政策和方法。首先，在操作風險政策制定方面，部分商業銀行已經制定《操作風險管理政策框架》、《操作風險管理政策》，進一步明確了各行各級機構和部門在操作風險中的管理職責。針對操作風險的執行，制定具體執行措施，如詳細的《案件防控及整改方案》、《基層機構關鍵風險點監控檢查內容與操作指引》，同時，將操作風險控制基本要求植入業務流程改造和IT藍圖建設中。其次，為衡量分析操作風險建立操作風險管理技術標準。各商業銀行正在積極研發風險控制與評估、關鍵風險指標、重大事件報告制度、損失數據收集和業務持續經營計劃等工具。再次，識別操作風險，制定有關制度措施。根據銀行風險的特點，加大對操作風險的識別，并針對性地制定制度措施，如對系統風險、外部等操作風險，有關行制定了詳細的風險應急預案，增加應急措施；建立與新產品、新業務發展相對應的制度規定；修改更新產品和流程，塑造流程銀行，按流程操作；增加制度執行建設，強化日常檢查的頻率，加強員工行為排查，等等。

四、對商業銀行操作風險管理的幾點啟示

(一)引入全面風險管理。全面風險管理體系(Enterprise

wide Risk Management 簡稱ERM)是西方商業銀行比較成熟的風險控制理念和技術。全面風險是風險管理的最終目標，全面風險管理，主要體現在它的全面性、全程性、全員性和系統性。操作風險與市場風險、信用風險有高度的相關性，操作風險與其他風險結合將導致風險更加復雜、更加分散，風險損失更加顯著，將數倍、數十倍地被放大。因此，在風險管理中應將操作風險與市場風險、信用風險等各種風險聯系起來進行全面的風險管理，保證風險管理政策統一、工作協調。同時，操作風險遍布商業銀行內部各業務環節、產品線和不同的管理層面，不僅僅是依賴于一兩個專門的部門監管，應該從本行、本部門、個人操作抓起。各商業銀行應及時上升層次，逐步建立全面風險管理委員會下轄操作風險、信用風險和市場風險等風險管理委員會，制定全面風險管理政策，形成總體規劃，發揮資本在風險覆蓋、部門配置方面的作用。

(二)操作風險的緩釋。操作風險是客觀存在的，只要有人群、行為和活動，就一定存在操作風險，應盡量降低其發生的頻率和所造成的損失。從操作風險的規避角度分析，操作風險可以分為可規避的操作風險、可降低的操作風險、可緩釋的操作風險。除極少數應承擔的操作風險外，大部分操作風險都有規律可循，其發生過程類似多米諾骨牌，有前因后果的連鎖關系。因此，要查找出其發生規律，通過技術手段切斷引發操作風險的關鍵環節，并通過必要的管理措施加以緩釋。

1.商業銀行一攬子保險和打包保險。火災、自然災害等引起的商業銀行財產損失，商業銀行的內外部欺詐，對高級管理層和員工的責任險等都可以通過保險公司一攬子保險和打包保險承保予以緩釋，通過承保轉移給保險公司。然而，目前國內保險公司尚未開發更多的針對商業銀行操作風險的保險產品，保險方式、有關保險業務品種還有待保險公司創新。另外，保險公司對銀行風險管理能力和財務承受能力還不能準確精算評估，各保險公司保費收取也存在重大分歧。如對于內外部欺詐引發的操作風險，各保險公司普遍收費高，無疑增加了銀行的成本管理，也直接約束了操作風險的緩釋。不過，相信隨著金融市場的逐步開放，這一局面將逐步得到改善。

2.業務外包。除保險外，商業銀行可以通過業務外包來緩釋操作風險。將技術含量高、專業性強的有關業務交由專業機構管理，增加操作風險管理的效益性。如有關法律風險可聘請具有符合條件的外聘律師訴訟和仲裁；對于風險性高的守護、保衛、押運可聘請符合資質條件的保安公司管理；對于產品評估、網絡維護、系統開發也可招標專業公司。當然，選擇外包公司，不可能一包了事，也需加強雙方之間的溝通，通過簽訂合同，明確雙方權利和義務，合理轉移風險。事實上基于雙方的委托關系，最終的權利和義務應由商業銀行承擔。

(三)建立健全制度管理，狠抓制度落實。總結有關操作風險損失案例，其中大部分為有法不依，有章不循，制度落實不到位，管理缺位造成的風險損失。因此，要建立健全制度管理，狠抓制度落實，才能夠使操作風險得到有效管理和控制，才能使因操作風險損失降到最低限度。一是做到制度到位，及時立、改、廢有關制度，形成制度數據庫，并根據實際情況將有關規章制度分解到各個部門、各個環節、各個崗位，形成操作指南和崗位流程；二是責任到人，處理到人。要及時跟蹤檢查執行，增加檢查的頻率和有效性，加大違規處罰力度，把隱患消滅在萌芽狀態。

(四)加強合規管理與合規文化教育。商業銀行要倡導和強化全員合規文化，引導全行員工樹立對風險管理的責任意識，使風險意識突破傳統的部門界限，真正融入全行各個部門、每位員工的行為規范和工作習慣之中，讓員工認識到自身崗位關鍵風險點，形成防范風險的有效屏障。

總之，我國商業銀行的操作風險管理要求不是一時之需，而是伴隨商業銀行發展的長期任務，如果要想保持現有的競爭優勢，甚至在國際金融市場取得一定的地位，就必須不斷提高自身的操作風險管理水平，全面加強風險管理。

參考文獻：

[1]陳余化，趙欖.警惕商業銀行操作風險監管走向誤區[J].經濟論壇，2006，(13).

[2]姜燕. 新巴塞爾協議框架下中國商業銀行操作風險的度量與管理[D].北京：對外經濟貿易大學， 2006.

篇（11）

《商業銀行操作風險管理指引》第七條規定要為操作風險管理配備適當的資源。對城商行來講，應根據各分支機構面臨操作風險的實際程度來分配資源。一些業務量不大、管理力量薄弱、硬件設施不夠齊全的分支機構，往往是操作風險最易發生的機構。因此，城商行在加強操作風險管理時，應在對各分支機構充分研究分析的基礎上“按需分配”資源，避免傳統的資源分配方式，造成強者恒強、弱者恒弱的“馬太效應”，而一旦因資源不足的分支機構發生操作風險，后果可能會非常嚴重，也最終給城商行造成巨大損失。

制度設計的羊群效應

目前，監管部門對城商行操作風險管理的體系建設未作統一規定和要求，這既為各城商行制定操作風險管理體系留下較大的發揮空間，同時也會出現一些力量薄弱的城商行模仿大銀行風險管理體系建設的現象。盡管銀行之間業務種類的差異性較小，但城商行與大銀行之間畢竟在內控制度、發展基礎、人員素質、企業文化及資金力量等方面存在區別，部分要素的差別甚至相當大，這就要求各城商行必須在借鑒國內外先進銀行操作風險管理經驗的基礎上，一定要通過認真學習和消化吸收，制定切合自身實際的操作風險管理體系，避免直接照搬大銀行做法的“羊群效應”，既花費了大量的人力和才力，實際效果卻不理想。

風險擴散的蝴蝶效應