银行与合规性挑战.doc

银行与合规性挑战2006年3月16日，巴塞尔委员会会计工作组主席，荷兰央行执行董事Arnold Schilder 在于曼谷召开的亚洲银行家峰会上以银行与合规性挑战为题发表演讲。全文如下：合规风险正成为银行所面临的主要风险之一。日益发展的全球化趋势、综合化金融机构的公司治理问题、不断变化的法律和监管规定及对于稳健风险管理构成要素的理解以及持续发展的金融产品使得跨境经营的银行面临复杂的局面。人们不禁要问已有的合规管理框架是否足够健全，能否有效管理上述快速变化的因素。创造一个最优的合规管理框架似乎成为向前迈进的最佳途径。发展和实施这种合规管理框架的挑战不亚于实施巴塞尔新资本协议所面临的挑战。引言我演讲的题目是当今银行面临的合规性挑战。你们可能要问，为什么会选择这个话题？主要原因是大家都看到近来不断有银行卷入与合规相关的问题。里格斯银行（Riggs Bank）出现的问题就是一个典型的例子。在2004年7月，美国参议院政府事务委员会下常设调查委员会就里格斯银行的问题发布报告。经该调查委员会人员审核的证据表明，至少从1997年起，里格斯银行忽视其反洗钱的义务，使其反洗钱计划形同虚设；并且该行纵容，有时甚至积极协助可疑的金融活动。 见美国参议院政府事务委员会下常设调查委员会于2004年7月15日发布的涉及里格斯银行的案例分析第2页。更近的一个例子是荷兰央行联合有关的美国监管机构向荷兰银行(ABN AMRO Bank) 发出停止令（Cease and Desist order）。发出该指令的原因也与合规问题有关。荷兰银行面临的问题，虽不及里格斯银行的影响重大，同样也是有关合规缺陷的案例。我选择这个话题的另一个原因是巴塞尔银行监管委员会于2005年4月发布了文件合规和银行内部合规部门。在相关的2005年4月29日的新闻稿上，巴塞尔委员会主席卡如纳说：“合规已经成为银行系统内风险管理的一个独特分支。” 见/press/p050429.htm，2005年4月29日新闻稿。所以在此次以银行稳健风险管理为主题的大会上探讨合规话题是非常适当和及时的。合规风险正迅速成为银行所面临的主要风险之一。因此银行的合规工作在规模和重要性方面可以和银行实施巴塞尔新资本协议的努力相提并论。然而，与新资本协议讨论的各类风险不同，持有额外的资本以覆盖合规风险并不能缓解风险，需要有其他方面的措施。在我演讲的第一部分，我将简要讨论如何理解合规，然后我会更深入地探讨银行，乃至整个金融界所面临的合规问题的本质。之后，我将进一步阐述合规到底有何影响，以及国际规则制定机构如何看待合规。再接下来，我将讨论荷兰银行案例中所涉及的一些问题及其教训。最后我就如何面对今后的合规性挑战提供一些看法。合规范围和定义“合规”的字面意思是“遵从”和“尽职”。因其涉及面很广，对于合规有着各种诠释。为避免对我演讲内容的误解，我先向大家提供巴塞尔委员会对合规的定义。在巴塞尔委员会关于合规部门的文件中，合规风险被定义为“银行因没有遵循适用于银行经营活动的法律、监管规定、规则、相关自律性组织制定的标准和行为准则可能导致法律制裁、监管处罚、重大财务损失、声誉损失的风险。” 见巴塞尔银行监管委员会2005年4月发布的合规与银行合规部门的第3段。因此，合规一般包括遵循适当的市场行为准则，管理利益冲突以及公平对待消费者等。同时，合规一般还包括一些特定领域，如反洗钱和反恐怖融资，也可能扩展至与银行产品结构或客户咨询相关的税收方面的法律。 见巴塞尔银行监管委员会2005年4月发布的合规与银行合规部门的第4段。我认为，合规部门应保护金融机构不涉入非法行为，并强化金融机构的道德意识。合规问题的动因作为监管者，我们向金融部门提供框架和指引以促进金融业功能的发挥，虽然我清楚业界可能并不总是认同我们的努力。然而，最终金融业和其监管者的目标是一致的，即在世界范围内创造一个稳定和繁荣的金融业。这其中必不可少的是客户对金融机构稳健运营的信心，并确信存入银行帐户的薪水是安全的。因此，金融业和准则制定机构应不断反思市场出现的异常情形，并考虑目前风险控制框架是否充分，是否能确保稳定。所谓充分是指框架应对金融业和监管当局来说是有效的。因此，考察最近发生的合规异常情形的潜在动因是很有必要的。如果我们观察一下当今的金融界，一个最为重大的挑战是世界经济的快速全球化。中国、印度等新兴经济体正在崛起，迅速地吸引众多投资者和金融机构。这个全球化发展趋势不仅只局限于传统方式，即通过在相关国家开设企业的方式。我个人感到很有趣的现象是目前有关外包、离岸外包和“智慧外包”（smart sourcing）的发展趋势。不久前，我观察到印度的服务供应商甚至通过根据客户的时区安排员工的上班时间，与处于不同时区的客户开展业务。全球化运作的金融机构首先碰到的问题是公司治理，特别是机构总部的监督问题。当然，董事会应核准和监督银行的战略目标，并确立良好的合规文化。同样，董事会应确保金融机构有充分的政策和程序以保证总部对各业务条线经营活动的监督。然而，由于跨国金融机构的业务日益综合化，要达到要求并不容易。董事会应确保有充分的控制措施来监督由高级管理层作出的决定，还应确保整个机构根据设定的目标以及良好的合规文化行事。这关系到各种各样的组织和管理问题，从业务条线应有的自主权到有关控制框架和报告线路的问题。要解决所有这些问题并非易事。其次，金融机构必须确保它们遵循经营所在地的适用法律和监管规定。由于全球化的日益发展，今天的金融机构必须确保它们遵循具有域外效力的法律。这些不同的法律要求给跨境经营的金融机构带来挑战。另一个挑战是我们对良好经营管理的理解不断地变化。五年前我们大家所认为的良好经营管理不再适用。最近由巴塞尔委员会发布的最佳做法文件表明，对良好经营管理的理解正在迅速改变。 例如巴塞尔委员会发布的关于内部审计部门、合规部门、操作风险及（新近发布的）公司治理文件。银行必须遵循的准则和监管规定数量巨大，而且它们并不完全是根据银行在实践中的经营方式来制定的。新产品的开发以及金融机构提供的日益复杂的产品，使得风险管理更加困难。银行应当对这些复杂产品及其全球销售的特定风险进行分析，并将其纳入全球风险管理框架。鉴于亚洲金融市场的不断发展，亚洲的金融机构，和我们的一样，务必要分析与所销售金融产品相关的合规风险，尤其是在这些产品还要继续发展的情形下。日益发展的全球化趋势、综合化金融机构的公司治理问题、不断改变的对良好经营管理的理解、法律和监管规定的不断变化以及持续发展的产品，再加上政府和监管机构反洗钱、反恐怖融资和打击其他非法金融交易的决心，使得跨境经营的银行面临复杂的形势。因此，不可避免地，银行需要用全球化的风险管理计划来应对这些合规性挑战，并且最严格的要求快速成为对行业的基准要求。当人们反思这些挑战时，可能要问现有的合规管理框架是否足够健全，能否有效管理金融机构面临的挑战和风险？那么，合规管理框架的最新发展如何呢？对合规的深入观察在过去的两三年里，各种国际准则制定组织就有关合规问题发布文件。比如，为应对日益复杂的洗钱技术，金融行动工作组（Financial Action Task Force）在2003年修改了其推荐建议。 此外，巴塞尔银行监管委员会分别于2001年和2004年发布文件银行客户尽职调查和KYC统一管理。 银行客户尽职调查由巴塞尔银行监管委员会于2001年10月发布；KYC风险统一管理由巴塞尔银行监管委员会于2004年10月发布。这些文件出台的原因是世界各地的监管机构日益认识到银行通过充分的控制措施和程序了解其交易客户至关重要。再有，2005年巴塞尔委员会发布了关于合规管理的组织安排及合规管理职能的文件。该文件为合规管理的组织安排嵌入信贷机构提供了指引。巴塞尔委员会对合规的定义中考虑了金融机构因没有遵循法律、监管规定和准则而遭受的处罚或声誉损失。由于法律、监管规定和准则不断在变，合规成为一个移动目标。由此引发的问题是我们必须不停地问自己：“我如何才能确信我的银行是合规的？”变化速度如此之快，今天合规不能保证明天仍合规。今日的挑战在明天将成为历史。巴塞尔委员会关于合规部门的文件强调合规从高层做起。当企业文化强调诚信与正直的准则时，合规才最为有效，或者说才可能有效。董事会和高级管理层应率先垂范。高层设定的基调对于合规意识上的文化形成至关重要。董事会负责监督银行的合规风险管理。为此，董事会或其下设委员会应每年至少一次评估银行管理合规风险的有效性。 见巴塞尔银行监管委员会2005年4月发布的合规与银行合规部门第14段。然而，合规管理需要得到董事会和高级管理层的持续关注，他们的合规职责并不局限于年度评估。合规管理需要董事会身体力行，因为董事会对银行的稳健运行负有最终责任已成为大家的共识。 见巴塞尔银行监管委员会2006年2月发布的加强银行的公司治理第17段。虽然董事会对合规负有最终责任，但有效管理银行合规风险的职责在于高级管理层。高级管理层最重要的合规职责是确保每年至少一次识别和评估银行面临的主要合规风险问题。随后，在合规部门的协助下，高级管理层必须确保管理那些合规风险的计划准备就绪。这些计划应包括：为确保合规风险得到有效管理，计划解决相关政策和程序及其贯彻执行中所存在的任何缺陷；针对年度合规风险评估新识别的合规风险，计划修订相关政策和程序的必要性。 见巴塞尔银行监管委员会2005年4月发布的合规与银行合规部门第18段。这种风险评估以及随后对控制框架的改进是确保充分控制银行面临各种风险的持续性流程中的关键步骤。除了阐述董事会和高级管理层的合规职责之外，巴塞尔委员会的文件还提出了关于合规部门地位和职责的原则。合规部门应在银行内部享有正式的地位，以使其具备适当的定位、权限及独立性。 见巴塞尔银行监管委员会2005年4月发布的合规与银行合规部门第22段。合规部门的职责应是协助高级管理层有效管理银行的合规风险。具体而言，合规部门应：向高级管理层提供建议；向员工提供有关合规问题的指导和教育；识别、量化和评估合规风险；对合规进行监测和测试，并依照银行内部风险管理程序，通过报告路线报告测试结果。我想再次强调及时识别、量化和评估合规风险的重要性。正如巴塞尔委员会关于合规部门的文件所阐述的，“合规部门应积极主动地识别、书面说明和评估与银行经营活动相关的合规风险，包括新产品和新业务的开发，新业务方式的拓展，新客户关系的建立，或者这种客户关系的性质发生重大变化所产生的合规风险等。”该文件还提到合规部门应考虑量化合规风险的方式（例如，应用绩效指标），并运用这些计量方法加强合规风险的评估。合规部门应评估银行各项合规程序和指引的适当性，立即深入调查任何已识别的缺陷，并系统地提出修改建议。 见巴塞尔银行监管委员会2005年4月发布的合规与银行合规部门第37段。金融机构应根据其客户和产品的风险分类制定控制措施，并根据各类客户和产品的相关合规风险的性质和严重性实施特定的控制措施。因此，你们每个人都将需要替你们所在的机构回答的一个问题是：“我如何确信我的机构是合规的？”荷兰银行的案例 本节内容来自下列网站发布的公开信息：www.dnb.nl, , . 近来，作为荷兰最大的信贷机构之一和世界上大型国际银行之一，荷兰银行内部发生的一系列事件说明了充分到位的合规管理职能的重要性。如果你们看过荷兰银行2005年12月19日发布的新闻稿，以及荷兰和美国监管当局在网站发布的相关消息，或之后的新闻报道，那么对于这个案例就比较清楚。而对于那些不了解该案例的人，我先简要介绍一下。在2004年7月，针对美国银行业监管机构发现的荷兰银行在纽约的美元结算业务中存在的合规方面的缺陷，荷兰银行与美国银行业监管机构签订了一份所谓的书面协议。这些缺陷与违反美国银行保密法和外国资产控制署（OFAC）的规定有关。该书面协议涉及荷兰银行的反洗钱政策、程序和做法，旨在纠正上述缺陷。为落实该书面协议，荷兰银行加强了其合规管理职能及其在纽约的反洗钱计划，并采取了许多措施使其合规管理计划达到最优。诸多的措施包括了从合规部门的集中化及其职能的增加到新IT支持系统的使用。然而，在整改过程中，荷兰银行自己又发现了其一家海外机构的其他合规缺陷。其审计部门的调查表明，这家海外分支机构的某些雇员在没有本机构外任何人知情或强制要求的情况下，不遵守荷兰银行有关代表利比亚和伊朗客户向该行纽约美元结算中心发出美元支付指令的政策和准则。根据欧盟法律，荷兰银行可以跟上述交易对手交易。然而，美国的外国资产控制署对此有限制。该行的进一步调查表明，上述分支机构在业务程序中有意在相关支付指令中略去客户信息，以确保支付可以通过该行纽约结算中心按照外国资产控制署的规定进行的过滤审核，而不被发觉和阻止。美国银行监管机构和荷兰中央银行在收到荷兰银行关于上述业务程序的报告后，认为这种做法是不安全和不妥当的，为此必须有进一步的强制措施。 见荷兰中央银行和美国监管机构同意发出的停止令（Order to Cease and Desist）第3页。在2005年12月19日，两国的监管机构联合发出停止令，要求荷兰银行在已有的贯彻书面协议的措施之外采取综合的附加措施。其中包括：上交一份美国法律合规管理计划，以确保持续遵循美国联邦和州的法律；改善总部的监督功能，以确保其对国外分支机构的监督和有效控制；完成一份改善在美国的管理监督有效性的书面计划。除了停止令之外，美国银行监管机构对荷兰银行处以7500万美元的罚款及500万对伊利诺斯银行检查人员教育基金的主动捐款。吸取的教训当然事后银行的监事会和董事会分别下令对违规事件进行详细分析，以确保从中吸取的教训有益于将来。除了金融机构以外，监管机构也必须从中吸取教训。考虑到此类事件的严重影响，监管机构和金融机构有必要反思一下所谓的“原则为本”的监管方法是否足够有效。现实是适当的合规意味着遵循各个国家和地区的许多规则。因此，即使监管者采用原则为本的监管方法，至少金融机构自身需要将原则为本的方法与基于规则的指令相结合。一些银行引入了风险为本与规则为本相结合的合规方案。我的观点是监管机构和银行业都需要对其范式进行反思。不应单一地采用原则为本或规则为本的方法，而是应将原则和规则巧妙地结合在一起。另一个有必要深入思考的问题是“意识培育”问题。合规应在员工的思想意识中占据首要位置。然而，在美元支付指令上做手脚就是员工故意规避内部和外部规章制度的一个例子。很明显，这些员工缺乏良好的思维方式。培训和指导仍是培养良好思维方式的非常重要的工具， 能有助于员工不仅更好地理解监管要求和规定本身，而且理解为什么需要这些监管要求。不幸的是，单靠培训往往不足以让合规意识深入人心。处理好这个问题仍有难度，但其他的解决方案并非没有可能。毋庸置疑，你们作为被监管机构的高级管理层在各自的机构中持续发挥着示范作用。这使你们能够通过率先垂范影响员工的行为。此外，作为高级管理层可以考虑的一个有趣方法和员工的年度考核有关。除了通常主导考核流程的传统业务指标之外，不妨考虑包含合规方面的指标。当然，这些指标难以量化，因此需要仔细考虑；谚语“欲速则不达”用在这里很合适。然而，越来越多的像荷兰银行那样利用绩效指标作为工具来影响员工行为的做法表明，如果运用得当，这种方法确有其优点。我相信上述因素的重要性将继续增强，无论是在荷兰还是在亚洲。最后，虽然上面提到的因素无疑有助于对内外部要求和规制的遵循，但我认为实现合规的最佳手段仍然是控制措施与执行力的结合。“控制措施”是通过增加审计和合规管理等内部控制职能，或依赖诸如银行业监管机构等外部监管当局，提高发现违规情况的可能性。而“执行力”是为了严格遵循规则、监管规定及其他要求。与巴塞尔新资本协议同等重要在我演讲的开头，我将合规和巴塞尔新资本协议作了简要比较。我可以想象你们可能要问，我前面讲的内容与巴塞尔新资本协议有何关系。确实，新资本协议的资本要求与当今的合规性挑战并无太多关联。然而，我想强调一下两者之间的一些有趣联系。“合规风险”正快速成为信贷机构面临的最重要风险动因之一。首先，监管机构不会容忍信贷机构没有防止诸如洗钱或恐怖融资的充分控制措施。荷兰银行在美国遭受的处罚说明监管机构会毫不犹豫地对违规机构采取正式的处罚措施。第二，可能是更重要的一点，卷入严重的违规事件可能导致声誉损害，其影响有可能比监管处罚更严重。由于信心是金融业的基础之一，银行的声誉遭受严重损害完全有可能导致其崩溃。虽然巴塞尔新资本协议要求银行计提资本以覆盖信用风险、市场风险和操作风险，但“合规风险”没有被覆盖。这是不是一个监管盲点？新资本协议的起草小组是否应考虑“合规资本”的概念？以我之见，要求银行为覆盖违规事件带来的损失而计提资本并非问题的关键。我认为巴塞尔委员会不将合规风险纳入新资本协议是有道理的。虽然潜在的信贷损失可以通过持有额外资本得到补偿，违规事件带来的损失却不能用财务手段缓释。毕竟，违规事件将影响信贷机构的声誉，而此类损失是无法用财务手段计量的。合规不是财务问题，是原则问题。然而，关于合规的地位问题仍在困扰我。你们当然都清楚新资本协议第二支柱（所谓监管检查流程）含有对未被第一支柱监管要求完全覆盖的风险的处理方法。 见巴塞尔新资本协议第724段。新资本协议要求银行处理资本评估流程中遇到的所有重大风险，甚至包括那些不能计量或准确计量的风险。 见巴塞尔新资本协议第732段。银行被期望进一步开发技术用以管理诸如声誉风险等不能量化的风险。 见巴塞尔新资本协议第742段。虽然新资本协议的语言给人的影响是需要采取某种措施，但同时也暗示持有额外资本并非解决方案。那么，解决方案是什么？我想指出，虽然缓释合规风险很有必要，但同样必需的是一个更具结构化和连贯性的方法。如前