賴婧華

違規風險的控制是現代商業銀行經營與管理過程中的重點。在現階段，郵儲銀行的違規風險發現機制主要包括以下幾種方式：行內業務條線、區域檢查中心、外部監管單位的檢查，包括現場檢查、非現場檢查和專項檢查；會計核算稽核中心的事后稽核；定期召開風險委員會，由各個部門提出風險議題，統一組織討論；不定期組織的，主題各異的，全行性開展的內控風險排查活動。

一、現行違規風險發現機制的弊端

現行的違規風險發現機制較為傳統和簡單，同時存在一定的弊端。

1.發現風險的被動性。風險固有而存在，但現行機制下對風險的發現往往以違規事實為依據，通過發現違規事實從而發現風險，總是提示已經造成一定負面效應的風險，而對還未產生負面效應的風險盲然不覺。換言之，風險的發現與解決存在著較大的被動性。

2.判斷風險的標準性。目前在對風險的判斷上，缺乏統一的標準。對于風險，不同的檢查主體對業務的了解程度不同，對風險承受能力不一，導致在不同主體的判定下，對是否為風險的認定不一致，對風險影響程度的定性不統一。

3.報告風險的主動性。現行機制下，違規風險的報告者與發現者均為后臺人員，作為直接接觸違規風險的直接執行人員，反而缺乏直接發現與報告風險的動力和機制。

二、違規風險發現機制的完善與發展

（一）風險識別

1.風險識別的基本要求。（1）風險識別標準的統一性。在風險識別中，管理部門需要識別不確定性的存在，即不確定一項風險是否將會發生，何時發生，或它發生時的精確影響。管理部門首先應對一系統列的違規風險進行判斷與定義，直接執行人員、主管部門、監管部門三者對風險的判斷標準應趨于統一。（2）風險識別的聯系性。構成風險的事件通常不是孤立發生的。一個事件會波及另一個事件，它們總是并存發生的。在風險事件的識別中，管理層應當明白一個事件怎樣與另外的事件相關聯。通過評估風險事件之間的關系，來決定管理者的著力點應著重于何處。同時，將潛在的風險事件歸納起來分類是必要而有用的。通過在行內至下而上地歸集匯總風險事件，有助于逐步理解了風險事件之間的關系，獲得用于風險評估的基礎信息。通過對同類風險事件的歸類，有助于管理部門更好地確定機遇和風險。（3）風險識別的雙面性。某個事件的發生總是有消極的影響或積極的影響，或者二者兼而有之。產生消極影響的事件代表風險，風險的消極影響是指某個事件將要發生并對完成目標有不利影響。它要求管理部門做出評估并反饋。產生積極影響的事件代表機遇，或削弱風險的消極影響。機遇是指某個事件將要發生，并有可能對預定目標和創新價值產生積極作用。機遇事件能促進管理部門策略或目標實現的進程，因此管理行為應與機遇相適應。管理部門不應只識別消極影響的事件，而應同時對產生積極影響的事件產生回應。

2.風險識別的基本方法。（1）風險委員會的功能完善。明晰風險委員會的目標。提倡風險委員會以收集企業整體對事件清單的知識為目標，同時引入職能不同的部門代表作為討論主體。會議的結果好壞通常取決于參加者的層次是否多樣化，因為層次的多樣化決定了會議中所能得到信息的廣度，也在一定程度上決定了討論的深度。在會議開始之前，會議組織者應促進各討論主體對所討論議題充分地進行內部溝通，并且使各討論主體找出最有效的方式以表達本單位的想法；在研討會的開始，建立討論的基本規則；認可參加者不同的風格和人格類型，考慮怎么優化他們的貢獻；確認要關注哪些目標，哪類目標，哪類事件；受邀請的會議參加者數量控制在15人之內；實際地確定預期結果，以確定討論會所欲達到的目標。會議議程至少應包括以下幾個環節：①介紹。解釋會議背景和各個參加者被邀請的理由，解釋基本規則。②解釋會議流程。明確會議流程，對每個目標，將提示從以下因素討論相關事件及他們的相互作用：外部、內部、經濟、基礎設施、自然環境、人員、政治、進程、社會、技術；解釋會議流程制定的原因。③探索目標。確認會議討論的目標事件，并確定目標事件的關聯事件；確認對風險的評價標準，在此基礎上，確認內部機構對風險容忍程度和公眾輿論對風險的可接受程度；討論影響目標事件的潛在內外部因素；確定哪些事件代表風險，哪些事件代表機會；考慮多個風險因素如何影響目標事件，以及各風險因素之間的相互關系。④下階段和結束 。發布研討會結果，要求所有參加者在48 小時之內明確下一步行動計劃。（2）圖表分析法。用圖表來列示有代表性的業務流程，以使參與者更好地理解輸入元素、參與者、輸出和所負責任之間的內在關系。一旦發生風險事件，參與者就能迅速辨別風險并考慮問題處理的方式。在流程分析中，不僅應通過圖表表示過程，還應明確描述過程中的各關鍵步驟及其潛在風險。（3）最重要事件指示器。 最重要事件顯示器，也叫最重要風險顯示器，是洞察潛在風險事件的一種定性或定量分析方法。由特定機構將重要的風險事件收集整理，優化排序，最重要風險顯示器必須及時供給那些依靠信息的管理者， 可以是每日、每周、每月，甚至是隨時。（4）損失事件數據追蹤。持續監測已發生損失事件的相關數據，并對其進行運用，有助于預測將來可能發生的風險事件，并量化其伴生的損失。將所收集的數據整理成損失事件數據庫，該數據庫需包含標準的事件信息，并能及時將信息反饋給管理者。在建立損失事件數據庫的基礎上，結合對已發生事件的認識，結構性的知識，以及對損失事件相互關系的了解，有助于開發預測模型以辨認風險事件。數據追蹤和預測模型的開發可考慮在簽訂合同的基礎上外包至第三方服務提供者。

（二）風險評估

風險評估是風險識別的輔助與補充，通過風險評估，能更好地確認風險對企業的影響，并能更好地幫助企業的管理人員對風險做出反饋與處理。

1.同時關注內在風險與追加風險。風險包括內在的風險和追加的風險。內在風險對企業來說是某些行為缺失造成的風險，管理部門可以通過采取措施改變風險發生的可能性或影響；追加風險是管理部門對風險做出反饋之后又產生的風險。風險評估首先針對的是內在風險，一旦風險反饋已完成，管理部門就開始考慮追加風險。

2.關注風險的可能性與影響。風險評估包括兩個方面：可能性和影響。可能性意味著事件發生的可能，而影響意味著它的后果。可能性和影響被普遍應用于各個方面，“可能性”意味著事件在性質方面發生的可能，比如高、低，或其他評判標準，“可能”意味著一種量上的標準，比如百分比、發生概率或其他數量上的尺度。

3.合理配置企業資源。如何確定與評估風險，并進行合理的企業資源分配是困難且富有挑戰性的。低發生率和潛在影響小的風險通常不被更進一步的考慮；另一方面，具有高發生率和重要意義的潛在風險需要受到更多的關注；而介于這兩個極端之間的情形的風險通常更加難以確認和評估，謹慎小心的分析是十分重要的。

（三）其他注意事項

1.在任何制度下發生，應伴隨有唯一的違規風險判別標準。該判別標準不僅包括是否違規的風險判斷，還應包括風險等級的判斷。

2.在系統建設時，系統自身應有良好的邏輯判斷，對一些關鍵參數應有系統設置與監控。良好的系統不僅應能幫助直接操作人員遵循規章制度進行操作，還應能及時向管理者與監控者反饋違規信息：哪些環節的差錯沖擊較多較頻繁，從而使管理者能及時收集直接操作人員的行為偏好，并對直接操作人員的行為進行規范。

3.并非所有的違規風險都具有消極作用，部分違規風險的存在也能提示管理者與規章制定者，規章制度本身存在問題。管理者與規章制定者應及時通過風險識別與風險評估技術處理這些積極的信息，使規章制度本身更具規范性與可操作性。

（作者單位：中國郵政儲蓄銀行福建省分行）