我國商業銀行全面風險管理框架選擇研究
——基于巴塞爾資本協議與COSO—ERM的比較

中信銀行總行審計部 韓楊

我國商業銀行全面風險管理框架選擇研究
——基于巴塞爾資本協議與COSO—ERM的比較

中信銀行總行審計部 韓楊

在商業銀行全面風險管理領域，巴塞爾資本協議和COSO全面風險管理框架是兩大主流思想，這兩大思想在實踐中各有所長。本文通過對比分析這兩大管理思想的差異和利弊，有利于二者揚長避短，從而可以更好地指導商業銀行的管理實踐工作。

風險管理 巴塞爾資本協議 COSO

隨著我國全面深化改革，經濟增速逐漸放緩、結構不斷調整，我國經濟已步入“新常態”。隨之而來，我國商業銀行也開始經歷轉型的陣痛。對此，商業銀行一方面積極創新，努力謀求轉型發展；另一方面著力加強內部管理，重點防范風險事件造成的損失，而這一任務在當前經營環境下顯得更為迫切和重要，因而，推行全面風險管理成為眾多商業銀行的必然選擇。在商業銀行全面風險管理領域，巴塞爾資本協議和COSO［1］全面風險管理框架（Enterprise Risk Management- Integrated Framework，簡稱 COSO—ERM）是兩大主流思想，二者制定的基本目的都是全面識別并管理企業面臨的風險，但在風險管理目標、思路、管理技術等方面又存在著諸多差異。為更好地指導商業銀行全面風險實踐，需要對兩大管理框架體系進行對比分析，明確差異、揚長避短。

1　風險管理目標

巴塞爾資本協議制定之初主要為了解決國際銀行在跨國經營中因各國監管政策不一出現的不平等競爭及監管漏洞。因商業銀行在金融及經濟領域的特殊重要地位，巴塞爾委員會不斷對監管協議進行修改、完善，以促使商業銀行提高風險管理能力，審慎經營，進而保持銀行體系的穩定性。由此可以看出，巴塞爾協議主要站在監管的角度提出了微觀及宏觀管理方面雙重目標。

COSO在《企業風險管理——整體框架》中將風險管理的好處/目的總結為“使管理者能在充滿風險的環境中更加有效地經營”，具體包括以下內容：能夠將企業的風險偏好和企業戰略相結合，將企業成長、風險和收益聯系起來，增加風險反應決策，使企業的經營意外和損失最小化，確認和管理企業的總體風險，針對多重風險提供完整的反應方案，抓住機遇，合理分配資源。可見該目標的提出主要源自微觀層面的目的。

2　風險管理思路

巴塞爾協議的風險管理思路是以資本作為抵御風險的手段，通過風險識別和計量技術分析判斷商業銀行面臨的各種風險是否在其資本可以承受的范圍內，根據資本約束采取 各種風險緩釋方法鎖定損失、爭取資本收益最大化，再輔以資本充足率評估、壓力測試、監督檢查與市場紀律，強化內外部的監督約束。在具體運作之中通過“全員參與風險管理工作、全面的風險管理范圍、全員的風險管理文化、全球的風險管理體系、全額的風險計量評估、全力創新風險管理方法、全程的風險管理監控和全面評價風險管理效果”［2］來實現。

COSO認為全面風險管理是在內部控制基礎上發展起來的，主要站在企業內部的角度審視風險，強調企業或內部任意一個層級實施風險管理過程時，需要首先分析和判斷企業或者該主體所處的內部環境，包括管理者的風險管理理念、風險偏好、組織管理架構、授權職責劃分、企業文化與道德價值觀、人力資源管理準則、績效水平及分配等情況；其次明確主體經營目標包括戰略目標、經營目標、報告目標、合規目標；隨后通過事項識別，判別影響目標實現的各類事項；接著運用定性和定量結合的方法分析影響的程度，得到固有風險；然后針對固有風險提出包括風險回避、降低、分擔或承受的對策；之后根據風險對策組織資源采取控制措施，力圖控制風險；再次由管理者對上述工作進行檢查評價，找出缺陷并進行整改，并由內部審計機構對管理者進行評價。在上述七項工作進展的同時，董事會、管理層、各級人員保持風險管理信息能夠縱向、橫向地暢通傳遞，確保及時有效溝通。雖然COSO強調該過程并非一個嚴格的順序過程，而是一個多方向、反復的過程，但其采用的主要是一套流程化的管理思路，主要依靠企業內部控制的力量。

3　風險分類

巴塞爾委員會根據風險性質的不同將風險劃分為信用風險、市場風險、操作風險等，對于信用風險、市場風險、操作風險提出了計量方法并要求進行最低資本測算，對于超越三大風險之外的其他實質性風險，例如信用集中度等納入第二支柱管理，將法律風險作為一種特殊的操作風險管理。

COSO-ERM中并未對風險進行分類，只是在事項識別要素中指出“將潛在的事項進行分類對管理者而言是非常有用的。通過在企業內各層面上對事項進行匯總、在營運部門內部對事項進行垂直地匯總，管理者能夠對事項之間的相互關系有一個了解，這些信息也可以作為風險評估的基礎”。COSO并未對針對企業風險制定出一套具體分類標準，主要是考慮方便企業在實踐中根據自身情況靈活掌握和運用。

4　風險評估與計量

巴塞爾資本協議中對于信用風險和市場風險都形成了比較成熟的計量方法，其基本方法為：可預見風險損失=風險敞口×損失發生的概率×損失比率。而操作風險的基本法和標準法的計量思路都是按照總收入的一定比例計算，高級法由于數據采集的困難，目前尚處于研發階段。

COSO通過內部風險/固有風險（inherent risk）、內部控制/控制質量（control quality）、組合風險/剩余風險（composite risk）來評估風險。具體關系為：內部風險-內部控制=組合風險。但對如何計量出內部風險和內部控制，COSO—ERM并未制定出具體測算方法，因而僅得出了一個比模糊的結論。

通過比較可以看出，巴塞爾資本協議在風險分類、風險計量方面明顯走在了風險管理領域的前沿，其科學性、全面性、針對性得到了各國金融機構及監管部門的認可。相比之下COSO-ERM缺乏風險分類及計量手段，因而在風險識別、計量方面適用性差。但另一方面，商業銀行的風險主要通過業務流程體系，而COSO—ERM是建立在企業內部控制基礎上，站在銀行經營管理的角度，按照事件識別-風險評估-風險應對-內部控制-監督糾正與信息溝通的流程設計風險管理程序，貼近于商業銀行管理流程，更加容易被銀行內部管理者和員工理解并遵循，并且其框架提出的內部環境包括公司治理、內部控制、風險文化、管理戰略、風險偏好、組織架構等方面的管理措施與商業銀行日常經營管理密切相關，易于推行并取得良好效果。

2007年2月28日，中國銀監會發布了《中國銀行業實施新資本協議指導意見》，標志著我國正式啟動了實施《巴塞爾新資本協議》的工程。但近年來，國內各家商業銀行在實施巴塞爾資本監管協議中，普遍存在董事會和高管層參與不足，基層員工理解不深入，技術和應用、政策和執行“兩張皮”等問題。針對目前存在的政策落地困難或執行不徹底的問題，需要從治理架構、政策流程、風險計量、數據系統、業務應用等方面實施全方位的變革，而COSO-ERM因其與內部管理框架和流程設計的良好契合形式，正可以從這方面提供切實的幫助。因此，在管理實踐中，建議我國商業銀行吸收兩大風險管理思想的精髓，結合自身實際探索一套適合易于推廣、行之有效的管理模式。

表1　COSO-ERM與巴塞爾資本協議差異對比

［1］ 巴塞爾銀行監管委員會.巴塞爾協議III：綜合版［M］.楊力，等，譯.北京：中國金融出版社，2014.

［2］ 張琴，陳柳欽.論全面風險管理（ERM）框架體系的構建［DB/ OL］.http：//wenku.baidu.com/link？url=o0CPVzuBDLJM t0_7Qph1T7TtdFOzu7O-apIpvaWbIYMz8ZWqBneGqI8LG tLdqpuKk2lNWSuAPF8debBfxxaRKbBmck5ukwXAPNw 3u_KXy4O，百度文庫，2008.

［3］ 周瑋.商業銀行操作風險管理暨內部控制評價理論與方法［M］.北京：中國金融出版社，2014.

［4］ 賈默月，葉新年，陳永健，等.現代商業銀行風險管理［M］.北京：首都經濟貿易大學出版社，2008.

［5］ 白駿.現代商業銀行風險管理研究——基于內部審計的視角［D］.西南財經大學，2007.

F832.3

A

2096-0298（2016）07（a）-071-02

韓楊（1987-），女，漢族，河南省鄧州人，中信銀行總行審計部工作，西南財經大學雙學士畢業，中國人民大學在職金融學研究生，主要從事社會主義金融方面的研究。