构建我国商业银行操作风险管理长效机制的若干思考.doc

构建我国商业银行操作风险管理长效机制的若干思考 摘要：本文分析了操作风险所具有的特征，在研究目前我国商业银行基层机构操作风险防控工作所面临的突出问题的基础上，借鉴巴塞尔新资本协议关于操作风险管理的原则，提出了建立良好的风险管理文化、健全操作风险管理组织架构、完善内部控制体系、优化操作风险管理流程、加快电子信息技术应用、推广先进的操作风险资本计量方法等一系列构建我国商业银行操作风险长效机制的策略。关键词：商业银行；操作风险；新巴塞尔协议 Suggestions on How to Establish a Constantly Efficient Mechanism of Operational Risk Management for Commercial Banks in ChinaCui Chengbin（China Construction Bank,Haizhu Branch,Guangzhou 510220, China）Abstract: Characteristics of the operational risk are described. The strategies of establishing a constantly efficient mechanism of operational risk for the commercial banks in China are explored. The strategies come from the analysis of main challenges of the risk prevention and control in the root of the commercial banks in China, with the principles concerning risk management in New Basel Capital Agreement for reference. The strategies are as follows: creating a favorable environment of risk management, streamline a risk management organization structure, refining the internal control system, optimizing the risk management procedure, speeding the application of electric information technology and popularizing the advanced risk capital measurement. Key Words: Commercialbanks; Operational Risk; New Basel Capital Agreement 操作风险是商业银行面临的最古老的风险，是与商业银行运行始终相伴的一种风险。近年来，我国商业银行大案频发，这些案件大多发生在基层分支机构，多属于操作风险范畴，反映出我国商业银行操作风险管理水平亟待提高。构建操作风险管理长效机制已经成为完善我国商业银行风险管理体系的一个关键课题。本文从分析操作风险的特征入手，剖析当前银行基层机构操作风险防控工作所面临的突出问题，并借鉴新巴塞尔协议操作风险管理原则的要求，探讨构建我国商业银行操作风险管理长效机制的策略。一、操作风险的特征分析巴塞尔银行监管委员会于2004年6月26日公布的“新巴塞尔协议”第644条将操作风险定义为：由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险，包括法律风险，但不包括策略风险和声誉风险。新巴塞尔协议附录7“损失事件分类详表”把操作风险分为内部欺诈行为，外部欺诈行为，就业政策和工作场所安全性引起的风险事件，客户、产品及商业行为失误或低效，意外事件产生的有形资产损失，业务中断和系统出错，执行、交割及流程管理失误等7种类型。操作风险与信用风险、市场风险并称为商业银行面临的三大风险，相比较于其他两类风险，操作风险主要具有以下明显特征：（一） 操作风险的广泛性与主要存在于授信业务的信用风险和主要存在于交易类业务的市场风险不同，操作风险涉及到商业银行业务和管理的每个环节，贯穿于商业银行运营的始终。有的操作风险事件尽管发生概率较低，但是一旦发生就会造成极大的损失，甚至可能危及到银行的生存，例如操作系统崩溃、重大违规交易等。（二）操作风险的内生性引发信用风险和市场风险的源头主要来自于商业银行外部，属外生性风险。相反，除自然灾害、恐怖袭击等外部事件引起的操作风险损失外，操作风险主要是由商业银行内部因素所引发的，例如业务流程不完善、内控失效、系统失灵、人员违规等，具有较强的内生性。（三） 操作风险的复杂性 与信用风险和市场风险相比，操作风险事件发生领域较为分散，诱发因素较为复杂，不同类别的操作风险之间的性质差异较大，而且通常单个可以监测和识别的操作风险因素同由此可能导致的损失频率、规模之间不存在清晰的、可以界定的数量关系，这在一定程度上增加了对操作风险进行度量和管理的难度。（四） 操作风险的可转化性在商业银行经营实践中，操作风险有时可以转化为信用风险和市场风险，并且能够进一步放大信用风险和市场风险发生的频率和损失。例如，法国兴业银行内部控制缺陷和交易员盖维耶尔的欺诈行为最终转化为该银行在欧洲股指期货交易市场上的巨大风险；转轨时期我国国有商业银行信贷流程的漏洞和信贷人员的违规放贷行为最终转化为严重的信用风险，造成银行体系形成巨额不良贷款。二、当前我国商业银行基层机构操作风险防控工作所面临的突出问题（一） 对操作风险的认识和管理理念存在偏差1对操作风险管理认识不到位。基层行长期以来对操作风险管理缺乏足够的重视，对操作风险的内涵和特征理解不深入，往往将操作风险理解为操作性风险和业务差错，没有把制度缺陷、流程缺陷、系统漏洞等因素所引发的操作风险考虑在内，例如，倾向于将信贷损失归结于债务人违约和偿债能力恶化等信用风险因素，而忽视信贷流程不合理、人情贷款、贷后管理不到位等操作风险因素。2把操作风险管理的责任全部归于风险管理部门。基层行经营部门往往认为操作风险管理是风险管理部门的事，忽视了自身所应当承担的操作风险管理“第一道防线”的职责，容易造成前台风险防控“流于形式”，后台风险管理人员疲于复核、检查的现象。3不能正确处理操作风险管理与业务发展的关系。基层行在强调业务发展时，往往容易忽视操作风险管理；在强调操作风险管理时，往往又放松了业务发展，未能实现操作风险防范与业务发展的有机统一。（二） 操作风险管理组织体系不健全 1风险管理人员配备不足。以某大型国有股份制商业银行为例，该行近年提出要在基层行搭建以委派会计主管、风险经理、纪检监察特派员为主体的监督平台，但在实践中遇到人才短缺、知识结构不合理等问题，基层行风险管理人员配备不足，风险经理的职责仍然只能局限在信贷管理领域，对网点的关键风险点监控工作主要依靠会计主管承担，而会计主管职责较多，不可能专注于网点关键风险点的监督，使基层行操作风险管理受到一定影响。 2操作风险管理资源分散。业务部门、操作风险管理职能部门以及审计、纪检监察等部门对操作风险管理都承担一定的责任，但部门之间缺乏信息共享机制，内部协调成本高，监督检查交叉重复，遇事容易相互推诿，未能形成管理合力。3. 业务部门没有配备专职的操作风险管理团队。业务部门作为防范操作风险的第一道防线，承担操作风险管理职责的人员大多是兼职性质，主要通过事后的合规检查来防控操作风险，缺乏对业务流程风险点的过程控制，操作风险的防控效果不尽理想。（三） 内控管理基础比较薄弱 1规章制度的系统性差，业务流程标准化不足。在一定程度上存在规章制度庞杂、政出多门问题，往往以“补充通知”的形式代替规章制度的更新和完善，部分规章制度对业务流程没有作出标准化的指引，对关键风险点把握不准确，令基层员工无所适从，在一定程度上助长了凭经验办事和违规操作现象的发生。 2合规意识淡薄，制度执行力不强。部分基层行工作人员缺乏主动合规意识，存在以牺牲制度为代价盲目追求效率的偏好，为图方便、图省事而逆流程、减流程操作，以习惯、信任、感情代替制度，使得不相容岗位之间失去了应有的岗位制约。3操作风险管理方法和手段落后。目前，我国商业银行操作风险管理主要以现场检查为主，重事后监督，轻事前防范，管理比较粗放。检查发现问题的整改工作多由基层行自身完成，“头痛医头，脚痛医脚”，违规行为屡查屡犯现象严重。操作风险信息零散，传递渠道不畅，银行内控体系缺陷往往得不到及时有效的纠正。许多关键风险点还主要依赖人工识别与防范，“技防”水平不高，IT系统分散开发，自成体系，流程不衔接，信息共享能力差，基层行往往要承担多个信息系统的数据维护工作，办理一笔业务必须分别在多个系统手工录入数据。三、构建我国商业银行操作风险管理长效机制的对策思考尽管我国商业银行在短期内还不具备实施新巴塞尔协议的条件，但新巴塞尔协议的监管原则无疑对于改善我国商业银行操作风险管理具有较强的指导意义。针对当前我国商业银行基层机构操作风险防控存在的突出问题，笔者借鉴新巴塞尔协议有关原则，提出构建我国商业银行操作风险管理长效机制的对策。（一）建立良好的风险管理文化操作风险管理的环境和文化是新巴塞尔协议操作风险管理框架中最为基本的要素层面，它从根本上决定整个操作风险管理框架的有效性。操作风险的广泛性、内生性、复杂性和可转化性特征决定了商业银行必须自上而下倡导全员、全过程、全方位的风险管理文化，使防范和控制操作风险成为全行的共识。我国商业银行董事会和高管层应当牢固树立“内控先行”的理念，把操作风险防控作为一项核心管理工作来推动，清晰厘定操作风险管理政策，统一全行的操作风险偏好。各级基层行高管人员应充分认识到操作风险管理是业务可持续发展的基础，带头认真执行操作风险管理政策和规章制度，做操作风险管理文化的倡导者和示范者。应加大教育培训力度，使广大员工牢固树立“每个岗位、员工均是操作风险的直接管理者”的意识，并掌握有效识别、防范和化解本岗位操作风险的技能。还应当在银行绩效考评当中增加操作风险管理指标的权重，清晰传导“内控先行”的价值理念，调动基层机构和员工主动识别和防范操作风险的积极性。（二） 健全操作风险管理组织架构新巴塞尔协议强调：“商业银行操作风险管理体系应当在整个银行组织结构中统一贯彻，而且所有层次的员工都应当明确自己在操作风险管理上的责任”。当前，我国商业银行应着力完善基层机构的操作风险管理架构，夯实操作风险管理的组织基础。首先，我国商业银行应加快流程银行建设，积极推进以“平行作业”和“垂直管理”为核心的风险管理体制改革，使操作风险管理有机嵌入业务流程，前移风险控制关口，提高风险管理条线的独立性和有效性；在各业务部门内部尽快设立专职操作风险管理岗位，按条线组建专业化操作风险管理团队，并积极推进风险经理派驻基层机构制度，确保操作风险管理体系“横向到边，纵向到底”。其次，应有效发挥银行各层级风险管理与内控委员会的操作风险管理平台功能，着力完善基层行操作风险信息传递、沟通、汇报、整合与反馈机制，消除操作风险管理的“盲区”，定期对全辖操作风险和内控整体情况进行评估并持续加以改进，确保总行制定的操作风险管理政策得到有效贯彻。第三，应从推进全面风险管理的实际需要出发，采取内部选拔、岗位交流、后备人才培养、外部招聘等多种方式充实我国商业银行风险管理人员队伍，并通过有效培训提高风险管理人员的专业化水平。（三）完善内部控制体系新巴塞尔协议指出：“内部控制是操作风险管理的重要工具，绝大多数操作风险事件都是与内控漏洞或者与不符合内控程序有关。”完善内控体系是建立我国商业银行操作风险管理长效机制的当务之急。首先，我国商业银行应建立规范化的制度重检机制，定期梳理并优化规章制度，提高制度的可操作性，使内控制度建设与业务发展同步；积极创新规章制度载体，编制标准化的体系文件，把制度规定和业务风险点防控要点融入流程图中，使基层员工得以从业务操作流程实际出发直观掌握规章制度要点。其次，应整合银行监督资源，组建跨部门、跨条线联合检查组，通过抓好监督检查来不断审视内控体系运作的有效性。对于检查发现问题，要实施部门联合会诊，从业务流程、规章制度、资源配置等多个维度剖析原因，坚持标本兼治，上下联动开展系统性整改，提升银行内控水平。第三，应落实“以人为本”的管理理念，建立公平合理的选人用人机制，帮助员工科学规划职业生涯发展，认真落实管理人员廉政谈话、强制休假、离任审计、不相容岗位分离与制衡、关键岗位人员轮换与交流、员工行为动态排查等人员管理制度，提高员工对银行的责任感和忠诚度，防范道德风险。（四）优化操作风险管理流程新巴塞尔协议鼓励商业银行建立完善的操作风险管理流程，这个流程包括操作风险识别、评估、控制/缓释、监测、报告等环节。当前，与国际先进银行相比，我国的操作风险管理流程和手段还比较落后，需要从机制层面加以优化。1建立操作风险识别与评估机制。新巴塞尔协议强调：“银行应当对所有具体产品，活动，流程和系统中的操作风险进行识别和评估，商业银行应当确保在新的产品，活动，流程和系统推广实施前，有关的操作风险已经得到适当的程序评估。”我国商业银行应充分运用操作风险自我评估这一管理工具，采用流程分析法、情景模拟法、专家预测法、调查问卷法等定量与定性相结合的方法，对业务活动和作业流程中的风险点加以识别，并从发生概率和影响程度两个维度来评估风险的大小，提高操作风险预测和主动防控能力。2建立操作风险控制/缓释机制。新巴塞尔协议强调：“银行应当建立政策，方法和流程来控制/缓释重大的操作风险。”根据操作风险识别与评估的结果，我国商业银行可以将操作风险分成高频高危、低频高危、高频低危、低频低危四种性质，采取差别化的风险控制/缓释策略。对于高频高危的操作风险，宜采取风险规避策略，避免开展收益无法覆盖操作风险损失的业务；对于高频低危的操作风险，宜采取加强内部控制的策略降低风险，还可运用提取操作风险准备金实现风险补偿的风险吸收策略；对于低频低危的操作风险，可以通过风险吸收的策略来应对；对于低频高危的操作风险，应作为风险防控重点，以实施严密的内部控制策略为主，并视具体情况不同辅以购买保险、业务外包等风险转嫁策略以及提取经济资本的吸收风险策略。3建立操作风险监测机制。新巴塞尔协议强调：“银行应当实施方法以定期监控操作风险轮廓和重大损失的可能性，并且应当对高层管理者和董事会定期报告与支持操作风险管理相关的信息。”我国商业银行一方面应积极探索运用关键风险指标法（KRI）实施日常监测，通过开发关键风险指标体系，将操作风险指标嵌入每个业务部门的系统和操作流程，使得监测结果一旦超过预先设定的指标临界值，系统就能自动发出预警提示，增强操作风险管理的前瞻性；另一方面应建设操作风险损失数据库，按照新巴塞尔协议的操作风险定义对银行内外部操作风险历史损失事件和数据进行收集、整理和汇总，提高操作风险监测的量化水平。4建立操作风险报告机制。我国商业银行宜采用矩阵式风险报告路线，由各级分支机构业务部门向上级业务管理部门和本级风险管理部门双线报告本部门操作风险管理情况；由各级风险管理部门汇总辖属层级机构的操作风险报告，向本级风险管理与内控委员会和上级风险管理部门双线汇报，确保操作风险信息能在银行各层级得到及时、完备的传递，有效提高银行应对操作风险的快速反应能力。（五）加快电子信息技术在操作风险管理领域的应用 首先，我国商业银行应提高IT系统的自动化水平，将关键操作风险点控制嵌入到系统流程当中，通过“技防”手段减少有效降低人为简化操作、逆程序操作、越权操作所引发的操作风险。其次，应从流程优化和操作风险防范需要出发对银行现有IT系统进行整合，避免低水平重复开发，提高系统之间的自