风险管理操作风险.ppt

第十章：风险管理操作风险,房勇2012年12月,2,巴塞尔委员会调查结果,3,银行业务越来越依赖于集成的自动系统。广泛的自动化系统的使用将会把人为处理过程中的错误转化为系统出错的风险。电子商务蓬勃发展，所蕴涵的风险还没有被很好的理解。大规模的银行业的兼并、收购、分拆会带来新旧管理系统衔接的问题。银行需要为商业提供大规模的交易，这对高级的内部控制和后备系统的持续维护提出了很高的要求。银行使用了各种风险缓解技术（例如资产证券化、信用衍生产品的使用）来将风险转化为信用风险和市场风险，但是带来了新的风险，例如法律风险。更多的业务采用外包的形式，虽然减少了某些风险，但带来了新的风险。,操作风险引起重视的背景,4,操作风险引起重视的背景,社会转型法制的不健全社会道德体系社会流动性增加（国际、国内）腐败IT技术的快速发展与人员素质,5,操作风险的定义,巴塞尔委员会在2001年的银行操作风险管理文献中给出了操作风险的定义：源于不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险。这个定义包括了法律风险，但是将策略风险、信誉风险和系统风险排除在外。巴塞尔委员会允许银行在实践中使用不同的操作风险的定义，但是无论定义的形式如何，都应该能够涵盖以下这些风险：内部欺诈：有机构内部人员参与的诈骗、盗用资产、违犯法律以及公司的规章制度的行为。例如内部人员虚报头寸、内部人员偷盗、在职员的账户上进行内部交易等等。,6,外部欺诈：第三方的诈骗、盗用资产、违犯法律的行为。例如抢劫、伪造、开具空头支票以及黑客行为对计算机系统的损坏。雇用合同以及工作状况带来的风险事件：由于不履行合同、或者不符合劳动健康、安全法规所引起的赔偿要求。例如，工人赔偿要求、违犯雇员的健康安全规定、有组织的罢工以及各种应对顾客负有的责任。客户、产品以及商业行为引起的风险事件：有意或无意造成的无法满足某一顾客的特定需求，或者是由于产品的性质、设计问题造成的失误。例如受托人违约、滥用秘密的客户信息、银行账户上的不正确的交易行为、洗钱、销售未授权产品等。,操作风险的定义,7,操作风险的定义,有形资产的损失：由于灾难性事件或其他事件引起的有形资产的损坏或损失。例如恐怖事件、地震、火灾、洪灾等。经营中断和系统出错：例如软件或者硬件错误、通信问题以及设备老化。涉及执行、交割以及交易过程管理的风险事件：交易失败、过程管理出错、与合作伙伴、卖方的合作失败。例如交易数据输入错误、间接的管理失误、不完备的法律文件、未经批准访问客户账户、合作伙伴的不当操作以及卖方纠纷等。,8,操作风险导致的损失事件的特点,导致损失事件发生的原因非常复杂，可能是人为造成的（如欺诈），也可能是由客观条件造成的（如信息系统崩溃、灾害等）；可能是来自于金融内部的（内部人员舞弊），也可能是来自于金融机构外部的（外部人员欺诈），可能是由于主观蓄意造成的，也可能是无意的失误。损失事件造成的损失分布范围非常广。小至由于银行自动提款机错误发生的几百元的损失，大到由于内外部人员勾结进行欺诈造成数十亿元的损失。,9,操作风险导致的损失事件的特点,损失事件发生的频率具有很大的差别。一些在清算过程中的错误以及信用卡业务中的欺诈行为，在单个商业银行中每年发生的次数可能成百上千。但是一些极端的损失事件在很长事件内都没有先例可循。一般而言，金额巨大的损失事件发生频率较低，发生频率较大的损失事件损失金额一般较小。,操作风险损失数据的统计分类,操作风险损失数据的统计分类,操作风险损失数据的统计分类,操作风险损失数据的统计分类,操作风险损失数据的统计分类,所有涉及歧视的事件,操作风险损失数据的统计分类,操作风险损失数据的统计分类,操作风险损失数据的统计分类,18,损失事件对应到业务部门的原则,(a)所有业务活动必须按1级目录规定的8个业务部门对应归类，相互不重合，列举要达到穷尽；(b)对业务部门框架内业务起辅助作用的银行业务或非银行业务，如果无法按业务部门直接对应归类，必须归入其所辅助的业务部门。如果辅助多个业务部门，则必须采用客观标准归类；(c)在将总收入归类时，如果此业务无法与某一特定业务部门对应，则适用资本要求最高的业务部门。此业务部门也同样适用于任何相关的辅助业务；(d)如果银行总收入（按基本指标法计算）仍等于8个业务部门的总收入之和，银行可以使用内部定价方法在各业务部门间分配总收入；,19,(e)因计算操作风险将业务按业务部门归类时采用的定义，必须与计算其他类风险（如信用风险、操作风险）监管资本所采用的定义相同。一旦背离此原则，则需引起异议并明确记录；(f)银行采用的对应流程应当有明确的文字说明。尤其是业务部门的书面定义应清晰、详尽，使第三方可以复制业务部门对应的做法。文字说明中必须规定对违反情况应引起异议并保持记录；(g)必须制定新业务或产品对应的流程；(h)高级管理层负责制定业务部门对应政策（经董事会批准）；(i)业务部门对应流程必须接受独立审查。,损失事件对应到业务部门的原则,20,操作风险管理的一般步骤,1.确定风险管理的范围和目标：高层管理人员在咨询董事会后应当结合企业的经营策略、风险偏好为操作风险管理制定明确的范围和目标。另外，还应当制定一些具体、短期的目标，以保证风险管理工作稳步朝既定目标发展。这些短期目标可以是：l准确地定义一些重要的损失事件并为其命名，这样可以保证在以后的管理工作中更方便地讨论、分析这些风险。l建立一个损失事件日志，为建立定量分析操作风险的模型积累数据。l建立统计模型分析特定损失事件的成因以及它们之间的联系。l进行基于风险的资源配置以及情景分析。建立一个专门的操作风险管理组织，给予其充分的授权和资源支持。所有的规定、决议、模型应当以文本模式记录下来，并且保证相关人员可以方便地获得。,21,操作风险管理的一般步骤,2、确定重要的风险：职员在高级管理人员的支持下必须确定哪些是重要的过程、资源和损失事件。操作风险管理的失败在很多情况下是由于包括的内容太广泛，因此在确定的时候需要严格按照高层制定的精确的目标。首先必须对经营中重要的过程和资源有清楚的了解，然后再试图找出可能影响它们的操作风险。查找风险因素一方面可以直接向部门经理调查，另一方面可以通过研究企业内部、外部的损失数据，使用策略框架和与行业内运行较好的企业进行比较。需要特别关注的风险因素包括：操作杠杆、交易范围以及交易量、利率、金融产品和服务的复杂性、日期效应、操作中的变化以及管理中的自满情绪。最后应当确定存在哪些重要的损失事件。,22,操作风险管理的一般步骤,3、对风险进行估计：使用从各种途径得到的数据估计那些重要的过程、资源中的操作风险，估计的内容不但包括风险导致的冲击的大小，还包括损失事件发生的概率。对于不能定量分析的风险，必须找出这些风险的起因以及可以采取什么样的措施。另外，如果不同风险之间具有重要的依赖关系，还需要对它们的相关性进行估计。用来估计损失事件的频率以及严重程度的有三类方法：历史数据分析、主观风险评价以及根据依赖关系对风险进行估计。更进一步，可以使用统计方法来估计风险因素的频率以及损失程度的分布函数，常用的分布函数有三类：经验分布（EmpiricalDistribution）、形状分布（ShapeDistribution）、参数分布（ParametricDistribution）。最后建立操作风险数据库存储对于损失事件的确认和度量结果，以供后面的风险分析和资源分配使用。,23,操作风险管理的一般步骤,4、深度分析，步骤如下：（1）将这些风险加总：将风险按照事件或者因素加总，可以区分不同风险的先后次序，有效地进行资源配置，评价操作风险管理的执行情况。如果分析的目标是降低收入的波动性，那么只需要将本期的风险加总。如果分析的目标是保护资产负债表或者估计VaR的值，那么加总的范围将涉及到多个时期。（2）在确定了损失事件的风险以及损失事件所处的经营过程后，负责该过程的风险管理人员就要考虑可行的风险管理措施。,24,操作风险管理的一般步骤,（3）分析单个损失事件：a)了解引起损失的风险因素的发生概率、冲击大小。b)了解损失事件发生的先后顺序。c)确定该损失事件的发生次数随时间变化的趋势。d)确定可能引发该损失事件的其他事件。e)对比同类损失事件，以找出共同的风险因素。f)考虑企业可以在多大程度上控制该损失事件（可控制、可影响、不可控制），然后考虑可行的措施。,25,（4）分析具有风险的过程和资源：从整个企业的角度考虑操作风险和资源的分配。（5）分析重要的风险因素：分析风险因素是否在企业的控制范围之内，如果在企业的控制之下，企业应当设法预报风险、降低风险水平、改变风险因素的分布（例如降低它的方差）或者设法在企业内部抵消这种风险。如果风险因素在企业控制范围之外，那么可以借助保险等手段，将风险转移给一些可以更好处理这种风险的机构。（6）对风险管理措施进行评价：大多数风险管理措施都具有成本以及副作用。了解它们的成本并且权衡这种成本与管理带来的收益，最后决定是否有必要采取干涉措施。,操作风险管理的一般步骤,26,操作风险管理的一般步骤,5、采取措施消除处于经营过程和资源中的风险。一般采取的措施可以分为：(1)风险回避和风险因素管理（RiskAvoidanceandFactorManagement）：风险回避是指企业回避某些具有风险的经营活动甚至完全退出行业。风险因素管理通过降低风险因素水平、改变风险因素分布情况或者改变企业对风险因素的敏感程度来改善经营环境。(2)损失预报（LossPrediction）：损失预报的目标在于减少损失的不确定性，具体表现就是灾难性损失和未预期损失的降低。损失预报技术使得管理人员可以更好地估计未来的损失的频率和大小，改善对于重要风险因素的估计，了解哪些事件使得错误更可能发生。,27,操作风险管理的一般步骤,(3)损失预防（LossPrevention）：损失预防的主要目的是减少损失事件发生的可能性。可以采用的措施包括：重新设计经营过程、重新设计工作、重新设计产品和服务、功能自动化、人体工程学、欺诈的预防与侦测、企业资源规划、基于可靠性的维护。(4)损失控制（LossControl）：损失控制的主要作用是降低一些主要损失事件对企业的冲击，而在降低发生频率方面的效果则很有限。因此损失控制对一些发生频率较低、但一旦发生会对企业产生较大冲击的损失事件较为有效，而对那些发生频繁的损失事件作用不大。可以采用的措施包括：存货管理和缓冲、冗余系统、诊断控制、系统内部限制、遵守规章制度、财产安全管理、计算机安全管理、内部外部审计、质量控制。,28,操作风险管理的一般步骤,(5)降低损失以及应急措施（LossReductionandContingencyManagement）：降低损失是指能够降低损失的严重程度但是并不影响损失发生频率的风险管理措施。损失降低一般适用于一些难于预测的外部事件。降低损失的具体措施可以分为两类：一类是在损失事件发生前，制定各种紧急情况下的应急措施（ContingencyManagement）；另一种是在损失事件发生后通过危机管理（CrisisManagement）减轻损失。(6)风险融资（RiskFinancing）：风险融资是指企业将损失事件以一定的费用转移给外部团体或者通过改变资本结构来抵御风险。风险转移的具体形式包括对冲、保险、担保、合约、证券化和项目融资。改变资本结构的具体措施可以是提供更多的资本、降低债务水平、降低操作杠杆、经营分散化、自我保险。,29,6、对操作风险的监测和报告：良好、规范的报告制度是风险管理成功的重要前提。对风险进行连续的监测，定期的报告循环机制可以周期性地考察操作风险管理的需求、不断提高管理的有效性。,操作风险管理的一般步骤,30,操作风险的度量模型,由上至下法（Top-downApproaches）：由上至下法着眼点在于总体的目标（例如净收入、净资产），然后考虑风险因素和损失事件对其造成的影响。一般的步骤是：1确定目标变量。2确定可以影响目标变量的因素和事件。3建立模型，反映目标变量和因素、事件的关系4.计算变量的方差，将其中不能被外部因素解释的部分作为操作风险。,31,由上至下法举例：,证券因素模型:（StockFactorModel）可以用来分析上市公司的操作风险。选取的目标变量是股票的市值，解释变量是一些影响股票市值的因素。其中，是公司的股票的收益率，是第个风险因素的收益率，代表了对这些因素的敏感程度。我们在确定了影响股票收益的因素以后，可以通过数据回归出模型。然后将股票收益率的方差中不能被模型解释的部分作为由于企业内部管理因素而导致的风险，即操作风险。,32,由上至下法举例：,收入模型（Income-basedModels）的着眼点在于企业的收入。它将企业的历史收入作为目标变量，将企业外部的一些风险因素作为解释变量。这些因素可以是市场因素、行业因素以及信用因素等。与前面的证券模型相同，将这些外部因素不能解释的收入的方差值作为企业的操作风险。在很多情况下，历史数据可能不足，这时可以选取季度、甚至月份的收入数据。开支模型（Expense-basedModels）将企业的历史开支和操作风险联系起来。首先收集企业历史上的开支数据，然后调整这些数据以反映企业内部发生的结构性变化，最后将这些开支数据的波动率作为操作风险值。因为开支的波动可能来自于操作失误、罚款、经营中的损失。开支模型的特点是简单易行，但是它只能反映部分操作风险，对于信誉风险、机会成本以及影响收入的损失则没有考虑。,33,自下而上的方法（Bottom-upApproaches）：由下至上法则将总体目标分解成若干子目标，然后分别考虑风险因素和损失事件对它们的影响。一般地先选择企业运转的一些基本要素（例如资产、负债、重要的经营过程、重要的资源等），然后考虑这些因素的潜在的变化可能会对目标变量（以市场方式标价的资产价值、净收入等）带来怎样的影响。模型中一般使用风险因素或特定的损失事件来代表潜在的变化。,操作风险的度量模型,34,由下至上法一般步骤,1.确定目标变量，一般为损益值、成本、净资产价值。2.确定一些重要的过程和资源或者一些重要的资产和负债。在此过程中，需要牢记：往往大部分的风险蕴含在很少的几个重要过程和资源中。3.将这些过程和资源映射到一系列已经掌握了历史数据的风险因素和损失事件。4.模拟一定时间范围内的风险因素和损失事件的可能变化，同时也要考虑这些因素和事件之间的依赖关系。对于它们的统计分布，可以使用参数估计，也可以使用蒙特卡罗模拟（MonteCarloSimulation）。5.使用模拟得出的分布和前面使用的映射关系，给出对目标变量的可能影响。,35,由下至上法举例,市场因素模型（MarketFactorModels）主要用来衡量可在市场交易的资产的风险，这些资产的价值在很大程度上受到连续的市场因素的影响。在计算出这些市场因素的分布情况后，就可以得出资产的价值分布情况。VaR模型就是一个很好的例子。精算损失模型（ActuarialLossModel）主要被保险公司采用，用来估计现金的流入和流出。保险公司根据自己丰富的客户损失记录，可以计算出很多特定的损失事件的频率以及损失程度的分布。然后利用这些数据，估计未来的保费收入以及赔偿支出。,36,由下至上法举例,因果模型（CausalModel）把历史的损失数据和主观的对损失事件的因果关系假设结合起来，来估计当某一事件发生时特定损失事件发生的条件概率。一般的因果模型包括过错树（FaultTree）、事件树（EventTree）、事件模拟（EventSimulation）等。压力测试（StressTest）是一种极端的测试方法，它通过对风险因素或者损失事件的值给定某个极端的值，然后考察在这样的压力下公司的操作风险管理会出现什么样的问题，以检验管理中可能存在的不足。在检验过程中，通常可以忽略风险因素之间的相关性。,37,巴塞尔委员会的渐进度量模型,Basel委员会按照银行的风险管理水平由低到高以及对操作风险的认识逐渐提升，提出了三种方法度量操作风险，这些方法由低级到高级依次是：基本指标法、标准化方法和内部度量法。度量的方法越高级，需要的损失事件的信息越多，作为回报，最后计算出的商业银行需要为操作风险分配的资本就越少。,38,巴塞尔委员会的渐进度量模型,基本指标法（BasicIndicatorApproach）基本指标法选取一个反映银行经营规模的指标（例如总收入），乘以一个由监管当局确定的系数，这样就得出了需要分配的资本。计算公式KBIA=GIKBIA是基本指标法需要的资本，GI是前三年总收入的平均值,=15%，由巴塞尔委员会设定。总收入定义为：净利息收入加上非利息收入。基本指标法适用于内部控制尚不完善、而且也没有对历史的操作风险损失事件记录的银行。,39,巴塞尔委员会的渐进度量模型,标准化方法（StandardizedApproach）标准化方法将银行业务分为8个业务部门：公司金融、交易和销售、零售银行业务、商业银行业务、支付和清算、代理服务、资产管理和零售经纪；每个部门确定了不同的指标，而针对每个部门的系数也是由监管部门制定的。标准法的计算公式KSA=GIiiKSA是基本指标法需要的资本，GIi是对应部门前三年总收入的平均值,i是对应部门由巴塞尔委员会设定的固定百分数。,40,标准化各业务部门值,巴塞尔委员会的渐进度量模型,41,巴塞尔委员会的渐进度量模型,高级度量法（AdvancedMeasurementApproach）高级度量法的是依赖于银行自身的损失数据，由银行自身开发操作风险的度量模型，需要监管部门的批准。高级度量法包含三种方法：内部度量法、损失分布法损失分布法、打分卡方法。,42,内部度量法（InternalMeasurementApproach）内部度量法的基础是将银行业务分为若干个业务部门、损失事件分为若干类型，对每种类型度量操作风险的预期损失，进而来估计操作风险的监管资本。lKIMA=Kij=ijELij=ijPEijLGEijPE：在给定的时间段内，某种操作风险损失事件的发生概率；LGE：损失事件发生时可能导致的损失金额的大小；EL：预期损失。ij值可以由银行自己确定，但需要得到监管部门的批准。,巴塞尔委员会的渐进度量模型,43,巴塞尔委员会的渐进度量模型,损失分布法（LossDistributionApproach）损失分布法利用历史损失数据来估计每一个业务部门、损失事件类型组合在未来某个时间段中的损失分布情况,然后利用损失分布的分位数来确定监管资本。损失分布法需要估计损失事件发生频率（frequency）和损失金额（lossamount），并且给出二者的具体分布。发生频率描述在一定的时间长度内损失事件可以发生的次数，而损失金额则描述一次损失事件可能带给金融机构的损失大小。,44,巴塞尔委员会的渐进度量模型,描述损失强度的分布对数正态分布（高频率风险类型）g(x)=（1/x）(2)-1/2exp(-(lnx-u)/2)2/),x0。Possion分布：()是GAMMA函数，g(x)=(x-1exp(-x/)/(),x0。双参数双曲线分布：B()是Bessel函数,g(x)=exp(-（2+x2)1/2)/(2B(),x0。,45,巴塞尔委员会的渐进度量模型,描述损失事件发生频率分布：二项分布B(N,p),p损失事件发生频率,N是所有事件总数b(n)=（N/n）pn(1-p)N-n,n=0,1,N(严重缺点：需要知道N)。Possion分布：是损失事件发生期望频率b(n)=nexp(-)/n!,n=0,1,2,负二项分布：b(n)=（+n-1/n）(1/1+)(/1+)n,n=0,1,2,46,巴塞尔委员会的渐进度量模型,假设一定时间内损失事件数量是随机变量N，每个事件的损失强度是随机变量L且独立同分布，则这个时间内操作风险损失X的波动性为：Var(X)=E(N)Var(L)+Var(N)E(L)2假设N服从泊松分布，L服从指数分布，则有Var(N)=E(N),Var(L)=E(L)2于是Var(X)=2E(N)E(L)2,47,巴塞尔委员会的渐进度量模型,记分卡方法（ScorecardApproach）在记分卡方法中，银行（也可以是一个业务部门）首先设定一个初始的资本值，然后利用对风险控制环境打分的方法来对这个值进行调整。这种方法旨在计算资本需求时加入对未来的风险控制改善的考虑。打分标准可以建立在对实际风险度量的基础上，但通常都是使用一些可以反映风险的指标。记分卡方法与前面的两种方法不同，它更多的使用了定性的方法。,48,巴塞尔委员会的渐进度量模型,记分卡方法是银行对风险和内控的一个自我评估。评估的内容主要有；风险事件、风险事件发生的可能性、风险事件造成的损失强度、风险控制的有效性、风险控制的成效。需要主观给出：风险事件发生的概率、风险时间可能造成的损失额度、风险控制成功的百分比、实施风险控制前后风险减少的比例。,49,极值模型（ExtremeValueModel）,操作风险有很大的厚尾特性，通过简单的损失分布方法无法准确地估计发生在分布尾部的极端的损失值，而利用极值理论则可以较好地对损失分布的尾部进行估计。极值模型将损失事件按照损失金额的大小分为两个部分来考虑，位于分界值u以上的利用极值理论来拟合分布，位于分界值u以下的部分，则通过一般的损失分布法来拟合分布。最后将分布的两个部分结合在一起，就得到了极值模型下的损失分布。通常u的值都很大