一個中小銀行信息科技風險監測模型

劉建鴻+熊俊

近幾年來，我國中小商業銀行尤其是地方區域性銀行組織不斷發展壯大，成為提高地方融資效率、穩定金融市場的重要力量。當前，我國銀行監管部門和大型商業銀行正在探索適合中國國情的銀行業信息科技風險控制戰略與具體實施措施。中小商業銀行與大型銀行相比，由于科技投入、人力資源、管理經驗等各方面存在先天不足，在信息科技風險的控制中面臨更大的挑戰。針對中小商業銀行特異性，本文從我國中小商業銀行信息科技風險的監管角度和內控的角度，總結了我國商業銀行尤其是中小商業銀行信息科技風險治理現狀和面臨的問題，探討了解決問題的基本思路，并從中進行指標的選取和分類。

中小銀行信息科技風險管理特點

隨著信息科技產業和金融業的迅猛發展以及相關技術的不斷突破創新，信息產業和金融業的融合度日益提升。銀行的生存、發展在各個層面都已經離不開現代信息技術的支持甚至是主導。然而信息技術也是一把雙刃劍，在極大地推動了銀行業發展的同時，也放大了銀行業面臨的信息科技風險，為銀行業的健康穩定發展帶來了潛在的嚴重威脅。

針對國內外銀行業信息科技風險管理現狀的研究，COBIT、URSIT、ISO/IEC17799、CAMELS等國際標準及體系，為中小銀行信息科技風險監測指標的選取、分類提供了一些參考和依據。中國銀監會作為我國銀行業的主要監管部門，針對信息科技風險的特點，從業務連續性、數據、外包等多個方面制定了一系列政策，并加強對銀行的現場和非現場監管，力圖建立起抵御信息科技風險的有效防御體系。傳統大型銀行憑借其雄厚的資金實力、強大的科技投入、豐富的風險管理經驗、完善的信息安全體系而在國內商業銀行信息科技風險治理工作中走在了前列。

與資金、技術力量雄厚的國有大型銀行相比較，中小銀行有以下大致特點：

員工結構特點。中小銀行員工的薪酬待遇和發展空間綜合來看不如大型銀行，導致其對人才的吸引力較低，引進人才整體素質較低，人才流失嚴重，高等級技術人員匱乏，科技部門編制緊張，非在編人員比例較大、流動性強。這對中小銀行的經營和發展帶來了不小的影響。

信息系統特點。由于中小銀行資金、技術力量較為薄弱，其信息系統建設和運維很多外包給專業公司，信息系統整體規模偏小，技術成熟度不高，可負載度較低。

客戶習慣特點。中小商業銀行客戶群體交易方式和習慣具有特定屬性。如農村金融機構服務三農，主要客戶是農民及農民工群體。農民工群體的存貸款交易具有季節性特點，大批量交易集中于傳統節日前后，這會對規模較小、負荷能力有限的中小銀行信息系統造成沖擊。

中小商業銀行的信息科技風險管理面臨復雜的風險來源，因此其應對措施也應該是多維度、廣視角的，本研究必須從組織、決策、意識、監測等方面綜合把握，因此應建立信息科技風險指標監測體系。

中小銀行信息科技風險核心監測指標

銀行信息技術風險的種類繁多、成因復雜、危害性大，備受各國銀行及其監管當局的關注。在借鑒美國、歐盟、新加坡、香港等金融信息科技風險治理框架的基礎上，遵照國內銀行監管要求，結合分析近年中國中小商業銀行信息科技風險暴露出的關鍵問題，本研究提出并實施了一套適合自身特點的信息科技風險核心監測指標體系。該體系包括指標體系架構、量化評估方法，以及正在研發的一套符合區域性中小商業銀行自身發展和風險控制需求的監測系統。

本研究在選取指標時針對中小商業銀行特點，遵循了敏感性、全面性、易操作性、拓展性四項原則：

數據是指標體系的靈魂。在指標體系構建過程中，需要選取正確的方式來采集相關數據。針對中小銀行日常數據監控力度較低的現狀，本研究按照取得數據方式分為系統自動成表、系統日志查詢和人工填送報表。這三種方式，按數據錄入的操作信度是依次降低的，較低的信度不利于后續動態監管系統的實現，需要通過制度和系統優化來加強數據的信度。

本研究在國內第一次提出了“四類”的指標體系：控制性指標，穩定性指標，效率性指標和安全性指標（見圖1）。這樣的考慮是有其邏輯性與現實意義的。在把好人員控制關的基礎上，要保證整個信息科技系統的穩定性，在穩定的基礎上，再來看效率，效率性指標往往可以直觀迅速地反映接近風險閾值的現實狀況，而所有穩定性和效率性指標都必須在安全性指標框架的保障下運行。

具體來看，在控制性指標下分有三個一級指標，分別是非在編人員（臨時工）占比，科技人員流失率和高級科技人員占比。在穩定性指標下，有六個一級指標，分別是交易量，系統主機參數，系統可用率，電子渠道賬戶變化率，活躍用戶數和網絡流量。效率性指標下分三個一級指標：系統響應速率、交易頻率及成功率。安全性指標下分五個一級指標：假冒網站成功率、災備系統覆蓋率、應急演練頻率、投產變更成功率及安全事件數。各一級指標繼續細化分級后最終形成88項細化指標。

依據以上指標體系結構，本研究于2013年上半年進行了包括兄弟銀行及行內各網點、直屬科技部門的人員針對信息管理、維護、運行等方面的抽樣問卷評估調查，根據信息科技工作經驗來衡量88項細化指標的風險級別，從低到高進行1～5分的打分。根據專家打分情況，整理出了如下數據（見圖2）。

接下來，基于層次分析法，來確立具有特征權重的顯著指標。

加權平均分可以部分地反映專家打分的大致傾向，但精度較差。而通過對指標的打分分層進行的模糊層次分析法能夠實現定量與定性相結合的多目標決策，但由于其結果受主觀思維的影響仍然較大，每位專家的整體衡量基準不在一個水平線上，依然會對結果的準確產生不利影響。本研究采用迭代法來計算精度更高的排序向量，對初始排序向量進行迭代運算，最終確立具有特征權重的顯著指標。在以排除主觀衡量基準不一為目的的迭代算法實現后，具有顯著權重特征的指標可以在圖3清晰地顯現出來，而這些顯著的交易量指標、系統響應速率指標、系統交易頻率以及系統交易成功率等特征突出指標正是本研究當前在制定指標體系、選取適合中小商業銀行而區別大型銀行的各類指標，而安全性指標是在無論大小商業銀行的運行中均得到廣泛認識的范疇。這樣的結果很好的說明本研究初選的指標具有廣泛的中小商業銀行認可性、合理性。隨著各中小商業銀行資金、技術、管理水平的提升，通過在不同發展階段進行相應計算，初選的指標群還能夠依照該方法進行權重的調整甚至剔除在該發展時期某些非核心指標。endprint

在把各個指標的運行數據進行統一標準化處理后，針對同一時間序列內各指標的波動率進行計算，按照相應權重進行累加和百分制處理，最終得出各時段內指標體系的綜合評估得分，如圖4。

評估得分介于93%到99%之間平緩波動，通過小波變換將其去噪，得到的應該是趨勢平緩曲線，其平均值為94.6%。可以由此得出對該系統在2013年4月1日至2013年6月31日的基本運行結果為優良水平。

信息科技風險核心指標檢測系統

進一步，針對前面在錄入指標數據時遇到的需要表內日志查詢和人工報送的數據信度問題，加上本身具有的全省2000余個網點急需進行有效監控的問題，本研究規劃了一套中小商業銀行核心指標監測系統，這個系統，既能實現銀監部門對各銀行各類指標的監控，更使用LBS基于地理位置框架，將各網點的指標狀況監測起來。

中小商業銀行信息科技風險核心指標檢測系統由銀監部門子系統、銀行部門子系統、網點部門子系統三部分構成。銀監部門子系統部署在銀行監管機構，能夠及時查看各銀行及網點的各項指標，風險指數，安全等級和異常狀況，并對異常情況進行預警，以便使銀監部門能夠更及時的對異常情況做出反應。首先，每一時間段數據更新后，系統綜合安全性、穩定性、效率性和控制性指標等各項指標計算出該銀行的風險指數，一個安全等級對應一段風險指數區間，計算出的風險指數落入哪一段風險指數區間就對應地顯示哪一安全等級。其次，將每一時間段（如按天）交易筆數與數據庫中歷史時段的交易筆數的平均值進行對比，如該分鐘的交易筆數小于或大于歷史平均交易筆數的50%（該閾值可依據監管要求動態調整），則認為該分鐘的交易異動較大，將其標記為交易異常。假如連續幾分鐘都標記為異常，意味著該時間段內出現了業務交易嚴重異常。最后，本系統將這種業務交易異常時段直觀地展現給監管人員，并自動匹配該時間段內銀行已主動上報的運行風險事件。監管人員不僅對業務異常情況一目了然，還能反過來考察銀行是否及時主動上報。銀監部門子系統中還具有數據審核功能，能夠對銀行部門提交的數據進行審核處理。銀行部門子系統部署在銀行部門內部，可以向銀監部門提交指標信息，還可以查看自身的評級結果以便根據結果做出相應的反應。銀監和銀行部門子系統都可以通過LBS查詢查看各網點的信息和實時狀態，查看評級系統的歷史記錄，全面掌握銀行的運行狀況。而銀行網點子系統部署在銀行網點內部，可以向銀行提交數據、更新網點信息和查看歷史記錄，來掌握本網點的各項信息。

通過本系統，銀監部門、銀行部門、銀行網點部門之間可以形成有效的監管預警體系，銀監部門、銀行能夠詳細了解銀行及網點的運行狀況，防患于未然，及時對潛在風險和異常情況進行及時有效處理。

總結與展望

當前，中國的銀行業正處于轉型的十字路口，面臨著日益嚴峻的挑戰，相對于擁有較為雄厚的資金、技術實力的國有大型銀行，以農村金融機構和城市商業銀行為代表的國內中小銀行則因其較為薄弱的資金、技術力量而更難以應對信息科技風險的挑戰。中小銀行應該采取怎樣的措施，來有效解決信息科技風險問題，推動自身的健康穩定運行和成功轉型，成為擺在所有中小銀行面前的重要問題。

中小商業銀行信息科技風險核心監測指標體系的提出，為銀監部門加強對中小銀行信息安全的監管，以及中小銀行對自身信息科技風險的監測提供了強有力的工具。有了中小銀行信息科技風險核心監測指標體系這一有力的工具，將推動中小銀行的信息科技風險治理走向規范化、科學化，從而有利于中小銀行抵御信息科技風險，保證銀行正常運行，維護金融業健康運行。

依靠采用信息科技風險核心監測指標體系或是其他技術手段，還不能從根本上推動中小銀行信息科技風險治理能力的提高。中小銀行信息科技風險問題歸根結底屬于發展中的問題，需要用動態、發展的眼光加以看待。只有加快中小銀行的發展，正視困擾中小銀行的資金結構、自主技術力量的問題，才能使中小銀行整體在信息系統和信息監測上投入更多的資金和人力，在根本上提升信息系統性能和信息監測水平，最終構筑起抵御信息科技風險的有力長城，實現自身的跨越式發展。

（作者單位：湖北省農村信用社聯合社）endprint