結合新巴塞爾協議淺議我國商業銀行操作風險的管理

[摘 要] 為了保持商業銀行和我國經濟的可持續發展，在新巴塞爾協議的框架下，實行全面、集中、量化的操作風險管理是所有商業銀行風險管理的必經之路。文章結合新巴塞爾協議的管理框架和計算方法，提出樹立新的資本配置觀，建立內部風險控制文化等建議。

[關鍵詞] 商業銀行 操作風險 新巴塞爾協議

長期以來，商業銀行的風險管理主要局限于信用風險和市場風險。隨著銀行業務品種的快速增加，業務流程的日趨復雜，以及對電腦設施和技術手段越來越多的依賴，大量的損失發生在信用風險、市場風險和流動性風險以外的領域。鑒于此，巴塞爾委員會早在1998年就提出了操作風險的概念，并在2001年的“新資本協議草案”中提出將其納入到監管資本框架中。操作風險有廣義和狹義的范疇，通常意義上所講的操作風險都是指狹義的操作風險，衡量操作風險也是通過一些定性的方法。但隨著世界銀行業的不斷發展和新巴塞爾協議在各國的逐步推行，采用量化的手段管理操作風險將是大勢所趨。雖然新巴塞爾協議的制定，主要考慮的是十國集團成員國“國際活躍銀行”(internationally active banks)的需要，并沒有充分考慮發展中國家的國情。同發達國家相比，我國銀行的風險管理水平和金融監管水平還存在較大的差距。如果實施新協議，不僅難度大，還可能給我國銀行業的運行和監管帶來一定的負面影響。但是實行全面、集中、量化的操作風險管理將是所有商業銀行風險管理的必經之路。所以，如何將操作風險的度量和管理引入到商業銀行目前的風險管理體系中，是絕大多數銀行所面臨的一個挑戰。

一、操作風險的定義和分類

狹義的操作風險是指存在于“運營”部門的操作性風險，即由于控制、系統及運營過程的錯誤或疏忽而可能引致潛在損失的風險。其他的操作風險，如名譽、法律、人力資源則或者交于一個全面風險管理機構管理，或隸屬某個特殊部門。廣義的操作風險定義一般采用新巴塞爾協議中的定義，是指由于不完善或有問題的內部程序、人員及系統或外部事件所造成的損失的風險，這個定義包括法律風險，但不包括策略風險和聲譽風險。

操作風險的損失可能來自于內部或外部事件、宏觀趨勢，以及不能為公司決策機構和內部控制體系、信息系統、行政機構組織、道德準則或其他主要控制手段和標準所洞悉并阻止的變動。新巴塞爾協議將操作風險納入風險資本的計算和監管框架，引起了國際上對操作風險的廣泛關注和討論。

目前常見的操作風險分類方法將其劃分為以下七種事件類型：（1）內部欺詐：故意欺騙、盜用財產或違反規則、法律、公司政策的行為。（2）外部欺詐：第三方故意欺騙、盜用財產或違反法律的行為。（3）雇員活動和工作場所安全：由個人傷害賠償金支付或差別及歧視事件引起的違反雇員、健康或安全相關法律或協議的行為。（4）客戶、產品和業務活動：無意或由于疏忽沒能履行對特定客戶的專業職責，或者由于產品的性質或設計產生類似結果。（5）實物資產的損壞：自然災害或其他事件造成的實物資產損失或損壞。（6）業務中斷和系統錯誤：業務的意外中斷或系統出現錯誤。（7）行政、交付和過程管理：由于與交易對方的關系而產生的交易過程錯誤或過程管理不善。

二、新巴塞爾協議中操作風險的管理框架

1.操作風險管理組織結構

為了確保操作風險管理活動被很好地理解和執行，管理層應該為操作風險管理確定一個組織結構，設定個人在風險管理過程中的任務和責任，并使每個人清楚地了解自己的任務和責任。

在上述管理架構中，第一，關于高級管理層的任務。操作風險管理的最終責任應由高級管理層(董事會，或同等的機構)承擔，這種責任要求高級管理對本銀行的產品、業務過程和相關風險有全面的了解。第二，關于操作風險管理職能部門。操作風險管理職能部門，其任務是輔助高級管理層完成其操作風險管理責任。這一任務將通過兩方面活動完成，一方面是評估、監控和報告銀行整體的操作風險，另一方面是評定風險管理活動是否按照操作風險管理戰略和政策執行了。

2.操作風險管理戰略和政策

就操作風險管理戰略而言，為了使操作風險管理框架有效運行，一家銀行需要識別其利益相關人，并了解他們的要求和銀行對他們的義務，這有助于在決定操作風險管理戰略時識別關鍵業務的驅動者和相關目標。明確了這些目標后，銀行應該考慮它在實現這些目標的過程中面臨的戰略挑戰，以及不去實現這些目標的后果，從而建立起一套操作風險管理戰略。至于制定操作風險管理戰略，以及確保其與銀行的整體業務目標相統一的責任，應該由高級管理層承擔。

3.操作風險管理過程

（1）風險識別

操作風險識別過程應該以當前和未來潛在的操作風險兩方面為重點。這個過程應該考慮到以下六方面的因素：①潛在操作風險的整體情況；②銀行運行所處的內外部環境；③銀行的戰略目標； ④銀行提供的產品和服務；⑤銀行的獨特環境因素；⑥內外部的變化，以及變化的速度。識別操作風險的過程中，應該考慮到風險的所有潛在原因，包括交易過程、銷售活動、管理過程、人力資源、賣方、技術、外部環境、災害、越權及非法行為等等。

（2）風險評估和量化

操作風險被識別出來后，就應該加以評估，決定哪些風險具有不可接受的性質，應該作為風險緩解的目標。風險評估和量化的作用在于，它使管理層得以將操作風險與風險管理戰略和政策進行比較，識別銀行不能接受或超出機構風險偏好的那些風險暴露，選擇合適的緩解機制并對需要緩解的風險進行優先排序。

進行這一步驟時，通常需要通過考察一項操作風險的驅動者和原因，估計該項風險可能發生的概率；此外，還應在不考慮控制戰略影響的情況下，評估一項操作風險可能的影響。這里對風險可能影響的評估，不僅要考慮經濟上的直接影響，還應該更廣泛地考慮風險對公司目標實現的影響。銀行應該選擇或開發適當的模型，以適應每一種風險的量化需要。

（3）風險管理和風險的緩釋工具

銀行應該設計并實施具有成本效益的風險緩釋工具，使操作風險降低到能夠接受的水平。在風險管理和緩釋的步驟中，重要的一點是要將實施措施的責任明確地分配下去，并確保責任人有實施措施的動力。風險管理和內部控制程序應該由各個業務單元建立，但可能需要風險管理職能部門的指導。

盡管對每一家銀行來說，適用的緩解措施的范圍和性質可能有所不同，但適當的緩解措施都需要考慮以下領域：①外部責任(例如外部監管、法律或其他要求)；②變革管理；③新的交易對手和客戶；④內部控制；⑤責任的界定；⑥協調；⑦信息系統管理；⑧對附屬或參股的第三方提供服務；⑨專業人員和人力資源；⑩業務連續性規劃；⑾內部審計和風險管理職能部門的責任； ⑿保險。在上述過程中，我們尤其想強調的是，應當將內部審計從以平級審計轉向以自上而下的垂直審計為主，并且審計部門出具的結果應該直接向總行董事會匯報并落實相應的改進措施。

（4）風險監控

高級管理層應該建立一套操作風險監控程序，以實現以下目標：①對銀行面臨的所有類型操作風險的定性和定量評估進行監控；②評估緩解活動是否有效和適當，包括可識別的風險能在多大程度上被轉移至銀行外部； ③確保控制充分、風險管理系統正常運行。應該為操作風險建立風險衡量標準或“關鍵風險指標”(Key Risk Indicator，KRI)，以確保重大風險事件的相關信息被傳遞至適當的管理層級。在風險評估階段建立KRI是最容易的。內部審計部門或其他有資格的部門應該實施定期的檢查，分析控制環境、檢測已實施的控制的有效性，從而確保業務運作在有效的控制下展開。

（5）風險報告

操作風險報告過程應該涵蓋諸如銀行面臨的關鍵操作風險或潛在操作風險、風險事件，以及有意識的補救措施、已實施的措施的有效性、管理風險暴露的詳細計劃、操作風險即將明確發生的壓力領域、為管理操作風險而采取步驟的狀態等方面的信息。并且這些信息應該足以滿足以下要求：①使高級管理層和經營者能夠確定風險管理職責的委派是有效的，并且他們對操作風險管理的要求得到了滿足；②使整體風險預測能夠與銀行的風險戰略和偏好相比較，得到評定；③使關鍵風險指標得到監控，可以判斷出采取措施的需要；④使業務單元能夠確定對關鍵風險的控制成功地實施了，有關信息得到了傳遞； ⑤風險管理過程的重復。以上所述的風險管理過程是一個不斷重復的過程。風險管理職能部門應該確保關鍵操作風險管理活動以適當的頻率重復進行，例如每年或每半年一次。

三、新巴塞爾協議對操作風險最低資本要求的計算方法

新巴塞爾協議提供了三種計算操作風險資本金的方法：基本指標法(The Basic Indicator Approach)、標準法(The Standardized Approach)，以及高級計量法(Advanced Measurement Approach，AMA法)。這三種方法在復雜性和風險敏感度方面漸次加強。為此，委員會還制定了一套標準，用來衡量一家銀行是否有資格使用某計算方法。

四、樹立新的操作風險管理理念

中國人民銀行于2002年9月發布并開始實施《商業銀行內部控制指引》，對我國銀行建立操作風險管理和控制框架提出了要求，但是到目前為止，我國商業銀行的操作風險管理仍然存在很多問題，風險管理水平和金融監管水平與發達國家相比還存在較大的差距。商業銀行操作風險的組織基礎工作薄弱，銀行內部控制制度建設滯后，相關的信息披露嚴重不足，缺乏操作風險的計量模型和損失數據等問題。基于巴塞爾新資本協議的要求和我國銀行業操作風險管理的現狀，要解決上述問題，建立起適應我國銀行業發展要求的操作風險管理體系，還是從以下幾個方面著手。

1.確立對風險足夠敏感的資本配置觀

資本充足率是新巴塞爾協議的第一支柱。不論是提出更加復雜也更加精確的內部計量方法，還是將操作風險納入資本充足率計算，都反映了巴塞爾委員會對資本充足性一貫的關注。但對資本充足率的意義不能僅僅停留在如何滿足巴塞爾協議的角度，而應該理解新巴塞爾協議所做的種種努力，都是試圖使得銀行對風險更為敏感而已。

總體而言，資本充足率偏低卻是我國銀行長期以來的現實情況。造成這種現狀的原因是多方面的，一是近年來我國銀行資產增長較快，銀行處于快速擴張期，資本的動態配置不足；二是銀行盈利空間有限，通過自身積累增加資本的能力不足；三是由于我國資本市場相對不發達，銀行缺乏有效的外部注資渠道。就市場、信用和操作等諸多風險中，也許操作風險是僅次于銀行官本位的第二大風險因素。僅僅將新巴塞爾協議視為監管要求是不夠的，需要從司庫、監管、風險管理和股東權益等多方面考慮資本配置的必要性，以及商業銀行操作風險框架的確立問題，使得商業銀行在監管資本、經濟資本和權益資本等多視覺的考慮中求得平衡。

2.關于對操作風險的認識

操作風險包含的范圍廣泛，種類多樣，涉及銀行的各種業務領域，管理人員和基層業務人員都擔負著控制操作風險的責任。因此必須加強銀行全員對操作風險的認識，建立內部風險控制文化，以營造出良好的操作風險管理和控制環境。

建立風險控制文化需要從諸多方面著手，一是要著手增強人的能力，這是指全體員工在從事業務活動時遵守統一的行為規范，所有員工都清晰了解本行的操作風險管理政策，對風險的敏感程度、承受水平、控制手段有足夠的理解和掌握。二是要著手完善計算機系統，對歷史數據進行分析和利用。三是內控制度的建設，對資產業務的流程進行基于風險管理的再造，在內部風險控制文化的建設中，高級管理層應首先了解本行的主要操作風險所在，在日常的管理中積極倡導建立有力的風險控制文化，將本行的內部控制戰略和政策準確無誤地傳達給各個層級的每一位管理者和員工，使操作風險控制成為全體員工日常工作中的一個目標。四是要對外部供應和自然災難造成的銀行失敗有足夠的預案準備。

3.關于操作風險管理框架

要解決內部控制建設滯后，部分制度不切合實際，部分制度針對性差，執行流于形式等問題，使我國銀行擁有適應業務發展水平的有效操作風險管理框架，并能利用該框架實現操作風險的有效控制，應從以下幾方面入手：①構建責權明晰的風險管理架構。其中董事會對銀行風險管理負有最終責任；風險管理委員會隸屬于董事會，向董事會提供獨立支持；必要時設立首席風險管理官，使風險管理部門獨立于業務部門，對董事會風險管理委員會負責；各部門業務主管和業務經理對所在的業務中的風險事件負責。②從現代商業銀行管理和銀行內部風險控制的要求出發配置人力資源，形成有效的橫向制約機制。有效的橫向制約機制對內部人員欺詐和操作疏忽帶來的操作風險的控制非常重要。③人的因素在操作風險的產生方面占有很大的比重，員工的道德水平、有關風險的知識、業務熟練程度等方面的素質，對操作風險的預防和控制都有很大的影響。因此，從道德、知識和業務方面全面提高員工的素質，是構建有效的操作風險管理和控制框架過程中不可忽視的一項工作。

參考文獻：

[1]薛敏．新巴塞爾協議對建立我國商業銀行操作風險量化管理模型的啟示[J]．西南金融，2007，（7）

[2]姜燕．新巴塞爾協議框架下中國商業銀行操作風險的度量與管理[D]．對外經濟貿易大學，2006

[3]張海鵬．《巴塞爾新資本協議》下的商業銀行操作風險管理[J]．遼寧經濟，2010，（3）

[4]婁眉卿．新巴塞爾協議條件下完善我國商業銀行操作風險管理的思考[J]．商場現代化，2009（6）

[5]潘再見，陳振．商業銀行操作風險管理：亞太經驗及其對中國的啟示[J]．國際金融研究，2010，（4）

[6]馬宏澤．構建我國商業銀行操作風險管理體系的思考[J]．上海金融學院學報，2009，（8）

[7] 李金迎，劉睿．我國商業銀行操作風險管理體系建設問題研究——基于新資本協議實施的建議[J]．現代管理科學，2009，（10）

[8] 董紅，邱菀華，林直友．商業銀行操作風險管理的實踐與探討[J]．中國經濟評論金融理論與實踐，2009，（5）