关于商业银行操作风险管理研究

关于商业银行操作风险管理研究 这是一篇商业银行操作风险管理研究，商业银行操作 风险管理研究，只有建立健全的操作风险管理流程、框架 和体系，才能够使操作风险得到有效的管理和控制，才能 使因操作风险带来的损失降到最低限度。 商业银行操作风险管理研究论述正确的认识是操作风 险管理的关键所在，建立健全的流程、框架和体系是操作 风险管理的保障。 随着我国金融体制改革的逐步深化和商业银行股份制 改造的稳步推进，金融市场竞争不断加剧，金融产品日新 月异，与此同时，银行经营在必须控制和管理一些传统的 风险如信用风险、市场风险、国家风险等之外，不得不面 临着一类新的风险“操作风险”的挑战。 操作风险是指由于银行内部程序、人员、系统不充足 或者运行失当以及因为外部事件的冲击等导致直接或间接 损失的可能性的风险。例如，1995 年的巴林银行倒闭、 1996 年三井住友银行的巨额亏损以及 XX 年中国银行的开平 案件，均可视为由操作风险所致。这类风险一旦发生，往 往给银行带来巨大损失，严重时会直接导致银行的破产和 倒闭，甚至还会对整个金融行业或国民经济运行都产生巨 大的影响，因而越来越引起投资者、金融界、监管当局的 重视。自然地，防范和控制操作风险也成为银行经营管理 者的一个重要课题。 本文将首先介绍银行操作风险的内涵和实质，并揭示 当前商业银行在操作风险管理方面的现状。之后，分析造 成操作风险的主要原因，然后，在前面论述的基础上提出 加强银行操作风险管理的方法和建议。 一、商业银行操作风险的实质、内涵和管理要求 巴塞尔新资本协议把操作风险定义为：操作风险是指 由于银行内部程序、人员、系统不充足或者运行失当以及 因为外部事件的冲击等导致直接或间接损失的可能性的风 险。从操作风险的定义中不难看出操作风险包括内部程序、 人员、系统三大方面的主要内容，也是认识操作风险的关 键环节。 (一)全面认识操作风险的实质和内涵 认识事物是改造事物的前提和关键，对操作风险的认 知程度越高，才能有效的提升操作风险管理的地位和管理 的水准，有了正确的操作风险的认识，才能够上升到宏观 的决策和微观的具体落实。张吉光认为：“商业银行在操 作风险管理中，对操作风险的认识存在五大方面错误或偏 差” 。 (注 1)通过对操作风险管理理论的研究，笔者认为： 解决操作风险管理认识上存在错误或偏差，成为提高操作 风险管理水平的关键。具体而言，要全面认识和了解操作 风险，需要消除以下几方面的误区。 1、操作风险不能等同于操作性风险和操作中的风险 根据巴塞尔新资本协议的定义，操作风险可以分为四 类：人员因素引起的操作风险、流程因素引起的操作风险、 系统因素引起的操作风险和外部事件引起的操作风险。人 员因素引起的操作风险包括操作失误、违法行为(员工内部 欺诈/内外勾结)、违反用工法、关键人员流失等情况。流 程因素引起的操作风险又分为流程设计不合理和流程执行 不严格两种情况。而系统因素引起的操作风险包括系统失 灵和系统漏洞两种情况。外部事件引起的操作风险主要是 指外部欺诈、突发事件以及银行经营环境的不利变化等情 况。其中，属于操作性风险的仅包括人员因素引起的操作 风险中的操作失误、违法行为、越权行为和流程因素引起 的操作风险中的流程执行不严格的情况。显然，操作性风 险不能等同于操作风险，尽管操作性风险是操作风险中发 生频率最大、占比最高的风险类型。从笔者搜集整理的近 几年来国内商业银行发生的近 50 起操作风险案例的数据显 示，操作性风险占总数的比例为 70%。将操作风险狭隘地定 义为操作性风险的做法，往往会使得建立在这一认识基础 上的操作风险管理体系不能覆盖所有的操作风险，从而使 银行难以防范那些突发事件的冲击，如前一段时间工商银 行北京市分行出现的系统瘫痪、美国发生的“911”恐怖袭 击等。 2、操作风险不能等同于金融犯罪 金融犯罪仅是操作风险中的主要类型，并不能涵盖所 有类型的操作风险。根据我国对金融犯罪的定义，金融犯 罪是指在金融活动中，侵害金融管理制度、金融市场秩序 以及其他社会经济关系，依照我国刑法规定，应当受到刑 法处罚的行为。对比巴塞尔委员会关于操作风险的定义， 金融犯罪显然不包括那些由于银行自身不完善的流程和系 统漏洞以及外部事件等因素造成的操作风险。最简单的例 子就是操作失误，比如银行员工误将取款操作成存款，或 者数字录入错误等均属于操作风险的范畴，但并不构成犯 罪。将操作风险等同于金融犯罪，往往会使商业银行无意 识地缩小操作风险的管理范围，错误地将操作风险管理等 同于金融犯罪管理，从而将操作风险管理职责不恰当地赋 予内部审计或安全保卫部门。这恰恰是造成目前我国商业 银行操作风险管理进展缓慢的原因所在。 3、操作风险是可以计量的，应该为操作风险配置资本 表面上看操作风险确实无规律可循。事实上，这只是 人们观察问题的角度不正确造成的。如果我们就单个年份 来看，一些操作风险事件是无规律的，一旦将这些操作风 险事件放在很长一段时间和同类型的大量数据中来看，我 们会发现，这些操作风险往往会以某种稳定的概率发生。 这正是人们量化操作风险的基础。最早提出操作风险量化 模型的是 Duncan Wilson。他在 1995 年 12 月的risk杂 志中发表了“操作 Var”的文章。文章认为，操作风险可以 使用“在险值(Var)”技术进行测度，银行可以建立来自于 内部和外部的操作损失事件数据库，并从数据拟合操作损 失的分布，通过设置一个置信区间，比如 95%，银行就可以 计算出操作风险的 Var，也就可以为其分配资本了。为操作 风险分配资本的最大好处就在于，当银行遭受某种灾难性 损失的时候不至于瘫痪，甚至于倒闭。在不可量化思想的 支配下，很难想象银行会致力于操作风险量化模型的开发。 这或许是国内商业银行操作风险管理水平难以提升的重要 原因之一。 4、操作风险事件之间是相互联系的而不是孤立的 从表面看，工作人员的操作失误、银行员工的欺诈以 及关键人员的流失三者之间并无多大联系。而停电、诈骗 以及“非典”之间更是风马牛不相及。由此，很多人得出 “各种操作风险事件之间是孤立的、毫无联系的，从而操 作风险是突发事件”的结论。这其实是忽略了隐藏在不同 表面现象背后的共性本质，忽略了众多随机变量近似地服 从正态分布的统计原理。以工作人员操作失误、银行员工 欺诈和关键人员流失三类风险事件来看，它们的本质均是 人的因素引起的操作风险，且在足够长期限和足够多数据 的情况下可以近似地描绘出其概率分布。停电、诈骗与 “非典”之间的关系与此相似，三者均属于外部因素造成 的操作风险，且众多上述事件同样会近似地服从正态分布。 只有看到各种操作风险事件之间的联系，才能准确地描述 银行面临的操作风险，进而从整体上把握操作风险。这正 是巴塞尔委员会关于操作风险定义的基础所在。那种以孤 立的、隔离的眼光看待操作风险的做法只能将各个操作风 险视作突发事件，也就无法从整体上把握银行面临的操作 风险，更不用说对其进行科学有效的管理了。目前国内很 多银行就存在这一问题，当面对“非典”冲击之时，当遭 受系统瘫痪之时，银行并未从操作风险的角度对之进行系 统分析和把握，只是将其看作突如其来的偶然事件，应付 过去。如此一来，银行根本不会想到为其准备应急预案和 分配经济资本。再次面对类似事件，银行只能是屡屡受损， 甚至于出现灾难性的后果。 操作风险的认识还应注意到操作风险的管理不仅仅是 稽核审计部门的事，应该是业务生产各环节的管理要求;管 理者非常容易对市场风险和信用风险管理产生偏好，不应 该因此而忽视操作风险的重要地位;操作风险应重视资源的 投入，尤其是更多的人力(培养专业的操作风险管理人才， 建设操作风险管理的团队)、财力(投入资金用于操作风险 的模型和系统建设)、物力(配置更多的固定资产资源，为 操作风险管理的实施提供环境和保障)等等方面的投入。只 有对操作风险有了清醒认识、足够的重视，才能上升到如 何落实和实施操作风险的管理过程及事后的评价。 (二)、巴塞尔委员会对管理操作风险提出的要求 巴曙松在巴塞尔新资本协议研究一书中曾经提到： “操作风险的管理需要强调风险管理环境、风险管理过程、 监管者的作用和信息披露的作用”(注 2)。巴塞尔委员会在 总结国际金融界经验的基础上，将管理操作风险归纳为四 部分的具体要求： 1、建立适当的风险管理环境 巴塞尔委员会认为，对银行来说，应当首先建立适当 的风险管理环境，这要求董事会应当了解作为一个独特的、 可以控制的风险种类-银行操作风险的主要方面，应当 批准和定期审查银行的操作风险战略。该战略应该能够反 映银行的风险容忍程度及其对这种风险种类的特定特征的 理解。巴塞尔委员会也承认，银行组织内部的信息流程在 建立和维持一个有效的操作风险管理框架方面可以发挥重 要作用。 2、风险管理过程：识别、衡量、监督和控制 巴塞尔委员会认为，银行应当建立识别操作风险的类 别、衡量操作风险的方法、监督操作风险的手段和控制操 作风险的机制等的电子化管理系统。对操作风险的整个过 程进行跟踪，有效的管理操作风险的全过程。建立衡量操 作风险的必要方法，实施可以持续监督操作风险暴露和重 大业务损失的应用系统。 3、监管者的作用 在建立适当的风险环境和全程的风险管理过程的基础 上，监管者应对银行与操作风险相关的战略、政策、程序 和做法直接或间接地进行定期的独立评价，使之可以及时 的修正错误的环节。并保证银行具备一个有效的报告机制， 使他们可以及时了解银行操作风险管理执行过程是否按照 计定的方针政策行事，使监管者亦可了解政策方针落实的 进展情况。 4、信息披露的作用。 准确、及时、完整的信息披露是管理操作风险的重要 环节之一，在操作风险管理和监管中发挥着重要的作用。 巴塞尔委员会要求银行应向公众进行充分的信息披露，使 市场参与者可以对银行的操作风险暴露及其操作风险管理 质量进行评估，从而选择各自的风险偏好，由市场机制评 价和吸纳操作风险带来的可能性风险。 二、商业银行操作风险管理的现状 商业银行的发展史已有三百多年。 “操作风险”一个曾 经不被人们重视而却与商业银行发展伴生的风险种类，越 来越显示出它的重要性，由于商业银行对操作风险的管理 重视不够、认识不清、手段单一、方法陈旧、人才匮乏， 致使操作风险肆虐，使商业银行付出了沉重的代价。 (一)、商业银行忽视操作风险所带来的沉重代价 商业银行中流传这样一句话：“谁忽视了操作风险， 谁将为之付出惨痛的代价。 ”事实也证明了 这一点。近十年，金融界的重量级案件频发，从 95 年 巴林银行的李森事件到 05 年中国银行分理处主任高山的票 据诈骗案等，短短十年间，一系列由操作风险而引发的案 例给商业银行造成了数以亿计的巨大损失(参见附表)。 商业银行操作风险形成损失的典型案例统计表 涉案银行名称 案件时间 案情简述 造成损失 总结教 训 巴林银行 1995 年 交易员李森私自开立“88888”账户 隐瞒投机日经指数期货亏损。 14 亿美元 管理松懈，监督 不利，有章不循。 大和银行 1995 年 交易员井口俊英从事 3 万笔未经授 权的账外买卖美国联邦债券的交易形成损失。 11 亿美元 越权违规，缺乏制衡，授权无度。 三井住友银行 1996 年 交易员滨中泰男从事投机铜的 期货交易造成亏损。 40 亿美元 违规操作，监控不利。忽 视管理。 中国银行开平支行 XX 年 交易及管理人员余振东等人 从事外汇买卖、账外贷款、盗用联行资金等方式造成银行 损失。 亿美元 超权越权，违规违法，作假藏真，监控失 灵。 中国银行河松街分理处 XX 年 分理处的负责人高山内 外勾结，私自开出假票据，私自挪用客户的存款，使银行 形成损失。 10 亿人民币 内外勾结，违规违法，监控失灵。 (数据来源：摘自中国经营报和国际金融报) 操作风险带来的黑洞使一些商业银行付出惨痛的代价。 触目惊心的案件应该让监管者意识到监管的乏力。 (二)、商业银行对操作风险管理存在诸多错误的认识 操作风险之所以越来越给商业银行的经营带来难以承 受的风险压力，究其原因主要是因为对操 作风险的认识出现了偏差。归纳起来主要有以下几个 方面： 1、认为操作风险就是操作性风险或操作中的风险。 如果仅从字面上去理解操作风险，很容易将其理解为 操作中的风险。这实际上是大错特错，极大地缩小了操作 风险所包含的范畴。 2、认为操作风险等同于金融犯罪。 国际上商业银行业风险管理的实践表明，人们对操作 风险的认识是从金融犯罪开始的。百年老店巴林银行的倒 闭正是交易员李森犯罪所致。人们对金融犯罪的熟悉程度 远高于操作风险，所以容易误认为金融犯罪就是操作风险。 3、认为操作风险是无法计量的，不可以量化的。 长期以来，人们对操作风险的描述更多的是局限于定 性内容，很少有定量内容。这是由操作风险的特点所决定 的。 4、认为各种操作风险事件之间是孤立的、毫无联系的。 表面看来，工作人员的操作失误、银行员工的欺诈以 及关键人员的流失三者之间是相对独立的事件，相互之间 并无多大联系。 5、认为操作风险管理只是内部稽核审计部门的事情， 与其他部门无关。 很多商业银行的管理者将操作风险等同于操作性风险 或操作中的风险。这种认识误区往往会导致另外一种错误 认识，即认为操作风险管理只是银行内部稽核审计部门的 事情，与其他部门无关，进而将操作风险管理职责不恰当 地赋予内部稽核审计部门。 6、认为决策层只重视信贷风险和市场风险，商业银行 就可高枕无忧。 许多管理者认为：商业银行的信用风险和市场风险是 最重要的，操作风险只是日常业务处理过程中的一般差错， 并不会对银行的资本构成多大的威胁。 7、认为操作风险的控制手段可以简化，不需要浪费更 多的人力、财力和物力。 大多数的商业银行操作风险的控制手段和方法还一直 停留在简单的、手工的、事后检查的模式上。认为不需要 对操作风险付出更多的人力、财力和物力成本。 商业银行暴露出的对操作风险的诸多错误认识，往往 是导致操作风险管理失败的主要原因。有针对性的及时纠 正错误的操作风险认识将有利于提高操作风险的管理能力。 从这个意义上来讲，商业银行对于操作风险的错误认识应 该是修正的时候了。 三、对加强商业银行操作风险管理的方法和建议 目前，国际范围内在操作风险管理方面水平相对较高 的商业银行，通常都建立了强有力的操作风险管理流程和 框架，并将操作风险与管理其他风险所采用的方法和框架 有机整合起来，形成操作风险管理的体系，而且通过有效 管理操作风险减少了收入的波动性，其中有些机构还改进 了自身的外部评级水平。巴塞尔新资本协议的颁布及实施， 就促使操作风险管理进一步向更多的商业银行扩展。陈四 清曾经说过：“商业银行的操作风险管理是整个风险管理 体系中的重要组成部分，同样需要考虑操作风险管理的范 围、文化、方法、计量、监督等方面的内容” 。(注 3) 首先，要健全商业银行操作风险管理的体系，商业银 行要逐步建立一套从决策层、执行层直到 监督层;从国内到海外;从总行到分支的全球化的操作 风险管理体系，由风险管理委员会制定操作风险管理的大 政方针、决策操作风险的风险资本配置、批准核销操作风 险损失准备等等。执行层按照计定的操作风险策略具体执 行和落实操作风险的管理内容。最终，由操作风险的监管 层负责跟踪评价操作风险的管理过程。决策、执行与监督， 层层到位，各司其职，才能有效的管理和控制操作风险。 其次，商业银行要界定操作风险管理的范围。根据巴 塞尔新资本协议的要求操作风险的范围主要包括内部程序、 人员、系统三部分，商业银行要针对内部程序制定操作规 程，针对人员制定员工的行为规范，针对系统制定规章制 度，对整个商业银行的运营制定应急方案，减少和降低因 操作风险事故带来的损失，有了清晰的操作风险范围界定， 事后评价操作风险和监督操作风险的政策执行情况才能有 的放矢。 第三、需要培育商业银行操作风险管理的文化。商业 银行的操作风险管理不是一时之需，追赶时髦，而是伴随 商业银行发展的不朽主题。就像企业需要建立企业文化， 操作风险的管理文化要深入人心。人人意识到操作风险， 商业银行的各阶层都来重视操作风险。 第四、商业银行要制定操作风险管理的方法。如何确 定和量化操作风险，还需要有科学的方法和计量手段。目 前，国际上先进的软件、模型已开始被商业银行应用，商 业银行的操作风险管理手段和方法也在不断的完善和进步。 第五、跟踪商业银行操作风险管理的过程。操作风险 管理包括风险识别、风险评估、风险决策、风险防范、风 险处理、风险监督和风险评价的多个步骤，具有环节多、 领域广、隐蔽性、突发性等特点的繁杂过程，只有全过程 的跟踪操作风险才能够总结经验教训，不断提高操作风险 的防范能力。 立足于国际金融界的经验，商业银行在引入操作风险 管理、建立操作风险管理框架和健全操作风险管理体系时， 需要重点注意以下几个方面的问题： (一)、健全操作风险管理框架模式 1、建立基本运作程序的同时，从容易衡量的领域着手。 从具体的实施过程看，国际金融界的经验是，首先建立一 套相对策略的、但是比较完整的操作风险管理体系、缓释、 监控、报告等环节，在此基础上建立覆盖整个机构的操作 风险管理战略和政策，从相对简略的领域出发，在实际运 作中逐步完善，扩大其覆盖的操作风险的领域。 2、金融机构在着手管理操作风险时，重点要建立与信 用风险和市场风险相一致的操作风险管理框架，确定不同 职位的人员在操作风险管理中的责任，如业务管理人员， 其中特别是零售业务部门的操作人员;中台人员;稽核人员; 风险管理部门等。在此基础上，风险管理委员会等高层机 构应当确定打算选用的风险管理方法和策略，业务部门应 当据此采集关于操作风险的各种数据，向市场寻求专业的 咨询和支持，逐步建立初步的操作风险管理体系。严格地 说，整个金融机构范围内管理不同风险的基本原则和方法 应当一致，这意味着新建立的操作风险管理框架必须要整 合到与信用风险和市场风险管理相一致的框架中去，操作 风险所运用的方法和原理也应当与整个商业银行在风险管 理方面运用的方法和原理相协调。 3、风险管理部门并不是风险管理的惟一部门，具体的 业务部门、法律部门、稽核部门都承担着进行操作风险管 理的责任。如果说市场风险和信用风险的管理日趋强调集 中化的话，那么，操作风险的管理必须强调分散化。严格 地说，具体的业务部门在操作风险管理方面应承担第一位 的责任。这是由操作风险的特征所决定的，当然关于操作 风险管理的具体原则应当由风险管理部门提供。 (二)、建立操作风险的报告与考核机制 1、操作风险的报告体系。操作风险的报告系统应当独 立于业务部门，并且应当能够敏感地反映操作风险的变动， 主要数据自动生成，在整个机构采用的采集方法保持一致。 2、操作风险体系中的激励和考核机制。在具体的管理 人员介入操作风险系统的运行时，就存在着其机会主义地 运用这一系统的可能性，因此，建立完善的激励机制和绩 效考核制度在操作风险管理中同样十分重要。同时，即使 一个机构中建立了相当自动化的操作风险报告体系，但是 如果高级管理人员不能动态地介入整个管理过程、不能将 报告的结果与员工和部门的绩效考核有机的结合起来，这 个系统的运作也会大打折扣。 3、操作风险的报告和考核都离不开操作风险的衡量方 法和技术，谨慎选择适当的操作风险衡量方法和技术显得 非常重要。在多种计算资本拨备方法中，一般的银行可以 先采用单一指标法进行测试(即一定的风险系数毛收入)， 向金融机构管理层提供参考数据，有条件的银行还可以考 虑采用标准化方法的具体措施。按标准化方法，银行业务 将分类，并以各类业务的毛收入去计算总操作风险资本金 的配置要求。对于一些风险管理能力较强的银行来说，应 当注意及时跟进监管机构及业界有关计提操作风险资