商業銀行操作風險管理淺議

梁璐

[提要] 本文依據“巴塞爾新資本協議”要求和商業銀行管理先進經驗，重點對商業銀行面臨的操作風險進行分析，并對操作風險的控制和管理思路進行探討，從而闡述操作風險管理在商業銀行管理中的重要意義。

關鍵詞：商業銀行；巴塞爾新資本協議；操作風險管理框架

中圖分類號：F83 文獻標識碼：A

收錄日期：2015年12月29日

一、商業銀行操作風險的實質、內涵和管理要求

（一）全面認識操作風險的實質和內涵。認識事物是改造事物的前提和關鍵，對操作風險的認知程度越高，才能有效地提升操作風險管理的地位和管理的水準，有了對正確的操作風險的認識，才能夠上升到宏觀的決策和微觀的具體落實。張吉光認為：“商業銀行在操作風險管理中，對操作風險的認識存在五大方面錯誤或偏差”。通過對操作風險管理理論的研究，筆者認為：解決操作風險管理認識上存在錯誤或偏差，成為提高操作風險管理水平的關鍵。具體而言，要全面認識和了解操作風險，需要消除以下幾個誤區：

1、操作風險不能等同于操作性風險和操作中的風險。根據巴塞爾新資本協議的定義，操作風險可以分為四類：人員因素引起的操作風險、流程因素引起的操作風險、系統因素引起的操作風險和外部事件引起的操作風險。人員因素引起的操作風險包括操作失誤、違法行為（員工內部欺詐/內外勾結）、違反用工法、關鍵人員流失等情況。流程因素引起的操作風險又分為流程設計不合理和流程執行不嚴格兩種情況。而系統因素引起的操作風險包括系統失靈和系統漏洞兩種情況。外部事件引起的操作風險主要是指外部欺詐、突發事件以及銀行經營環境的不利變化等情況。其中，屬于操作性風險的僅包括人員因素引起的操作風險中的操作失誤、違法行為、越權行為和流程因素引起的操作風險中的流程執行不嚴格的情況。顯然，操作性風險不能等同于操作風險，盡管操作性風險是操作風險中發生頻率最大、占比最高的風險類型。從筆者搜集整理的近幾年來國內商業銀行發生的近50起操作風險案例的數據顯示，操作性風險占總數的比例為70%。將操作風險狹隘地定義為操作性風險的做法，往往會使得建立在這一認識基礎上的操作風險管理體系不能覆蓋所有的操作風險，從而使銀行難以防范那些突發事件的沖擊，如前一段時間工商銀行北京市分行出現的系統癱瘓、美國發生的“911”恐怖襲擊等。

2、操作風險不能等同于金融犯罪。金融犯罪僅是操作風險中的主要類型，并不能涵蓋所有類型的操作風險。根據我國對金融犯罪的定義，金融犯罪是指在金融活動中，侵害金融管理制度、金融市場秩序以及其他社會經濟關系，依照我國刑法規定，應當受到刑法處罰的行為。對比巴塞爾委員會關于操作風險的定義，金融犯罪顯然不包括那些由于銀行自身不完善的流程和系統漏洞以及外部事件等因素造成的操作風險。最簡單的例子就是操作失誤，比如銀行員工誤將取款操作成存款，或者數字錄入錯誤等均屬于操作風險的范疇，但并不構成犯罪。

3、操作風險是可以計量的，應該為操作風險配置資本。表面上看操作風險確實無規律可循。事實上，這只是由于人們觀察問題的角度不正確造成的。如果我們就單個年份來看，一些操作風險事件是無規律的，一旦將這些操作風險事件放在很長一段時間和同類型的大量數據中來看，我們會發現，這些操作風險往往會以某種穩定的概率發生。這正是人們量化操作風險的基礎。最早提出操作風險量化模型的是Duncan Wilson。他在1995年12月的《risk》雜志中發表了“操作Var”的文章。文章認為，操作風險可以使用“在險值（Var）”技術進行測度，銀行可以建立來自于內部和外部的操作損失事件數據庫，并從數據擬合操作損失的分布，通過設置一個置信區間，比如95%，銀行就可以計算出操作風險的Var，也就可以為其分配資本了。操作風險分配資本的最大好處就在于，當銀行遭受某種災難性損失的時候不至于癱瘓，甚至于倒閉。在不可量化思想的支配下，很難想象銀行會致力于操作風險量化模型的開發。這或許是國內商業銀行操作風險管理水平難以提升的重要原因之一。

（二）巴塞爾委員會對管理操作風險提出的要求

1、建立適當的風險管理環境。巴塞爾委員會認為，對銀行來說，應當首先建立適當的風險管理環境，這要求董事會應當了解作為一個獨特的、可以控制的風險種類——銀行操作風險的主要方面，應當批準和定期審查銀行的操作風險戰略。該戰略應該能夠反映銀行的風險容忍程度及其對這種風險種類的特定特征的理解。巴塞爾委員會也承認，銀行組織內部的信息流程在建立和維持一個有效的操作風險管理框架方面可以發揮重要作用。

2、風險管理過程：識別、衡量、監督和控制。巴塞爾委員會認為，銀行應當建立識別操作風險的類別、衡量操作風險的方法、監督操作風險的手段和控制操作風險的機制等的電子化管理系統。對操作風險的整個過程進行跟蹤，有效地管理操作風險的全過程。建立衡量操作風險的必要方法，實施可以持續監督操作風險暴露和重大業務損失的應用系統。

3、監管者的作用。在建立適當的風險環境和全程的風險管理過程的基礎上，監管者應對銀行與操作風險相關的戰略、政策、程序和做法直接或間接地進行定期的獨立評價，使之可以及時地修正錯誤的環節。并保證銀行具備一個有效的報告機制，使他們可以及時了解銀行操作風險管理執行過程是否按照既定的方針政策行事，使監管者亦可了解政策方針落實的進展情況。

4、信息披露的作用。準確、及時、完整的信息披露是管理操作風險的重要環節之一，在操作風險管理和監管中發揮著重要的作用。巴塞爾委員會要求銀行應向公眾進行充分的信息披露，使市場參與者可以對銀行的操作風險暴露及其操作風險管理質量進行評估，從而選擇各自的風險偏好，由市場機制評價和吸納操作風險帶來的可能性風險。

二、商業銀行操作風險管理方法及建議

第一，要健全商業銀行操作風險管理體系。商業銀行要逐步建立一套從決策層、執行層直到監督層，從國內到海外，從總行到分支的全球化的操作風險管理體系，由風險管理委員會制定操作風險管理的大政方針、決策操作風險的風險資本配置、批準核銷操作風險損失準備，等等。執行層按照既定的操作風險策略具體執行和落實操作風險的管理內容。最終，由操作風險的監管層負責跟蹤評價操作風險的管理過程。決策、執行與監督，層層到位，各司其職，才能有效地管理和控制操作風險。

第二，商業銀行要界定操作風險管理的范圍。根據巴塞爾新資本協議要求，操作風險范圍主要包括內部程序、人員、系統三部分，商業銀行要針對內部程序制定操作規程，針對人員制定員工的行為規范，針對系統制定規章制度，對整個商業銀行的運營制定應急方案，減少和降低因操作風險事故帶來的損失，有了清晰的操作風險范圍界定，事后評價操作風險和監督操作風險的政策執行情況才能有的放矢。

第三，需要培育商業銀行操作風險管理的文化。商業銀行的操作風險管理不是一時之需，追趕時髦，而是伴隨商業銀行發展的不朽主題。就像企業需要建立企業文化，操作風險的管理文化要深入人心。人人意識到操作風險，商業銀行的各階層都來重視操作風險。

第四，商業銀行要制定操作風險管理方法。如何確定和量化操作風險，還需要有科學的方法和計量手段。目前，國際上先進的軟件、模型已開始被商業銀行應用，商業銀行的操作風險管理手段和方法也在不斷的完善和進步。

立足于國際金融界的經驗，商業銀行在引入操作風險管理、建立操作風險管理框架和健全操作風險管理體系時，需要重點注意以下幾個方面的問題：

（一）健全操作風險管理框架模式

1、建立基本運作程序的同時，從容易衡量的領域著手。從具體的實施過程看，國際金融界的經驗是，首先建立一套相對策略的、但是比較完整的操作風險管理體系、緩釋、監控、報告等環節，在此基礎上建立覆蓋整個機構的操作風險管理戰略和政策，從相對簡略的領域出發，在實際運作中逐步完善，擴大其覆蓋的操作風險的領域。

2、金融機構在著手管理操作風險時，重點要建立與信用風險和市場風險相一致的操作風險管理框架，確定不同職位的人員在操作風險管理中的責任。如業務管理人員，其中特別是零售業務部門的操作人員、中臺人員、稽核人員、風險管理部門等。在此基礎上，風險管理委員會等高層機構應當確定打算選用的風險管理方法和策略，業務部門應當據此采集關于操作風險的各種數據，向市場尋求專業的咨詢和支持，逐步建立初步的操作風險管理體系。嚴格地說，整個金融機構范圍內管理不同風險的基本原則和方法應當一致，這意味著新建立的操作風險管理框架必須要整合到與信用風險和市場風險管理相一致的框架中去，操作風險所運用的方法和原理也應當與整個商業銀行在風險管理方面運用的方法和原理相協調。

3、風險管理部門并不是風險管理的唯一部門，具體的業務部門、法律部門、稽核部門都承擔著進行操作風險管理的責任。如果說市場風險和信用風險的管理日趨強調集中化的話，那么操作風險的管理必須強調分散化。嚴格地說，具體的業務部門在操作風險管理方面應承擔第一位的責任。這是由操作風險的特征所決定的，當然關于操作風險管理的具體原則應當由風險管理部門提供。

（二）建立操作風險報告與考核機制

1、操作風險的報告體系。操作風險的報告系統應當獨立于業務部門，并且應當能夠敏感地反映操作風險的變動，主要數據自動生成，在整個機構采用的采集方法保持一致。

2、操作風險體系中的激勵和考核機制。在具體的管理人員介入操作風險系統的運行時，就存在著其機會主義地運用這一系統的可能性，因此建立完善的激勵機制和績效考核制度在操作風險管理中同樣十分重要。同時，即使一個機構中建立了相當自動化的操作風險報告體系，但是如果高級管理人員不能動態地介入整個管理過程、不能將報告的結果與員工和部門的績效考核有機的結合起來，這個系統的運作也會大打折扣。

3、操作風險的報告和考核都離不開操作風險的衡量方法和技術，謹慎選擇適當的操作風險衡量方法和技術顯得非常重要。在多種計算資本撥備方法中，一般的銀行可以先采用單一指標法進行測試（即一定的風險系數×毛收入），向金融機構管理層提供參考數據，有條件的銀行還可以考慮采用標準化方法的具體措施。按標準化方法，銀行業務將分類，并以各類業務的毛收入去計算總操作風險資本金的配置要求。對于一些風險管理能力較強的銀行來說，應當注意及時跟進監管機構及業界有關計提操作風險資本金配置要求的最新發展，著手積累各類操作風險損失的數據，并在此基礎上考慮使用更精確的方法。

（三）參與操作風險的管理者應各司其職。（1）董事會和高級管理層在操作風險的管理中應當承擔更大的責任，包括建立清晰的管理結構、明確的責任分工，并且保證操作風險的管理框架能夠覆蓋所有相關領域，還應當建立清晰的關于操作風險的管理和報告程序。所有的業務部門和支持性部門都應當整合在整個操作風險的管理框架中；（2）尋求合格的、充足的操作風險管理人員。從人員結構看，一些國際金融機構中的操作風險管理人員主要有不同部門的管理經理、法律或者稽核人員、業務計劃人員、信息安全人員等。較之信用風險和市場風險，操作風險管理方面有實際經驗的人員相對較少，大部分需要金融機構結合自身的實際情況進行培訓，還有一部分需要向外部招聘。

（四）選擇操作風險管理的主要類型。目前，全球范圍內管理操作風險主要采取三種方法：總部集中管理型、總部集中管理與分散化支持型、稽核部門占據主導作用型。選擇其中任何一種類型，主要取決于各自企業文化和董事會的風險偏好、自身的風險管理能力和風險管理水平等。針對性地選擇操作風險管理的類型有利于操作風險管理框架的建立和實施。

三、結論

對操作風險管理有怎樣的認識，就會映射出怎樣的管理水平。第一，重視操作風險的管理首先要從清醒地認識和了解操作風險入手；第二，要從戰略的高度制訂操作風險的管理策略；第三，要有與之配套的管理工具，主要指電子化的操作風險管理應用系統；第四，還要具備操作風險管理的具體方法，主要包括：操作風險的計量工具和管理模型；第五，要有高素質的操作風險管理人員和團隊具體實施；第六，還需要建立起監督和后評價的機制。

總之，只有建立健全的操作風險管理流程、框架和體系，才能夠使操作風險得到有效的管理和控制，才能使因操作風險帶來的損失降到最低限度。商業銀行的操作風險管理要求不是一時之需，而是伴隨商業銀行發展的長期任務，我國的商業銀行如果要想保持現有的競爭優勢，甚至在國際金融市場取得一定的地位，就必須不斷提高自身的操作風險管理水平。