商业银行操作风险识别与评估 原理、方法与应用.doc

商业银行操作风险识别与评估 原理、方法与应用-权威资料 本文档格式为WORD,若不是word文档,则说明不是原文档。 最新最全的 学术论文 期刊文献 年终总结 年终报告 工作总结 个人总结 述职报告 实习报告 单位总结 摘要：近年来，由于国际金融业案件频发，各种风险不断暴露，国际银行业逐渐意识到操作风险管理的重要性。银监会2012年6月发布的商业银行资本管理办法（试行）对操作风险管理工具的使用提出更加明确的要求。识别与评估风险是各项风险管理措施的基础，本文就操作风险识别与评估（RCSA）的方法原理、实施步骤、注意事项等问题进行探讨，并提出相关建议。 关键词：商业银行；操作风险；风险识别 F830.31 B 1674-0017-2013（2）-0064-05 界定操作风险是识别操作风险的基础。国际上普遍认为，操作风险分布于商业银行的各个经营管理层次，贯穿于经营管理活动的始终。广义操作风险将信用风险和市场风险之外的所有风险都视为操作风险，而在新资本协议中，巴塞尔银行业监管委员会对操作风险给出如下界定：由于内部程序、人员和系统的不完备或失效，或由于外部事件造成损失的风险。识别风险是风险管理流程的开端，也是对风险采取各项管控措施的基础。 一、操作风险识别与控制评估的原理与方法 目前我国商业银行普遍存在业务流程不清晰、岗责不明确、管理系统投入不足的问题，这就造成管理层无法对所有岗位和流程中的操作风险进行有效识别，从而决定哪些风险可以接受，哪些风险不能接受且应当采取的相应措施。全面且有针对性地识别评估操作风险，是风险监测与控制的依据，是银行各项操作风险管理的基础。 （一）RCSA的原理。操作风险与控制识别评估（Risk and Control Self-Assessment，简称RCSA） 是指银行风险管理部门、业务经营部门等通过自我观察、分析和判断，对产品流程、业务经营活动中的操作风险进行持续识别、评估和报告，并提出优化方案，使防范风险、扼制重大操作风险事件的关口前移，提高内控有效性，将操作风险降低至银行容忍范围内。RCSA是操作风险管理三大工具之一，是识别操作风险的重要方法，对于商业银行操作风险部门来说，RCSA有以下几点作用： 1、掌握风险状况的基础。RCSA通过对各个业务条线、产品经营活动自上而下以及自下而上的评估，能够对银行所面临的各种操作风险有更全面和直观的了解，提高操作风险管理效率。 2、完善内控的依据。根据COSO内部控制框架，风险评估是企业内部控制五要素之一，是各项内控管理机制、监督检查机制以及评价机制的基础。银行通过全面的RCSA，及时发现内控制度存在的漏洞，并对识别的风险进行分析和排序，确定关注重点和优先控制的风险，为完善和优化内部控制提供依据。 3、形成良好文化的推进器。通过全员上下共同参与操作风险的识别和评估，强化员工风险管控责任意识，提高员工对于操作风险的认识和管理能力，有利于形成良好的操作风险管理文化氛围。 4、操作风险语言推广的平台。操作风险的原因、事件和影响构成操作风险架构，国际上对于操作风险识别、评估、计量和分析都是从这三者出发的，所以银行推行RCSA，使用操作风险统一语言，可以为引入各项操作风险管理工具奠定基础。 （二）RCSA的方法。考虑到商业银行管理体系的差异性与业务的复杂性，银行在进行RCSA的时候，可根据评审对象的不同，采用情景分析法、流程图法、专家工作组和问卷调查等一种或多种方法，同时充分利用关键风险指标监测数据、损失事件历史数据以及各类业务检查报告等相关资料进行风险与控制的识别评估。 1、情景分析法。对于大量的新业务、新流程，银行既没有实践操作流程也没有损失教训，只有通过模拟情景进行分析。情景分析法就是就某一主体或某一主题所处的宏观环境进行分析的一种特殊研究方法。这是一种事先识别的方法，一般适用于新的金融产品或业务风险分析或对外部突发事件的分析。情景分析法需要对内部环境进行充分的了解，同时需要经验丰富的专家发挥主观想象力，分析得到RCSA结果。 2、流程图法。流程图法是目前各家商业银行普遍采取的一种方法，是基于商业银行已经根据业务和产品的操作过程梳理勾画出操作流程图，专家工作组的业务骨干根据以往的工作经验，识别出流程中可能发生操作风险的风险点，并评估潜在的“风险点”数据信息。流程图描述业务流程或管理流程中人员、资源相关信息，揭示和掌握封闭系统中人员和资源的运动状况。用流程图作为辅助诊断工具，它能够帮助决策制定，让管理者清楚地知道，问题可能出在什么地方，从而确定出可供选择的行动方案。 3、专家工作组法。专家工作组法是由风险管理部门与各业务部门成员组成工作小组，通过讨论会议的形式，集中分析业务流程和产品经营管理中所存在的操作风险。专家工作组法以头脑风暴的形式激发组员的思维，充分讨论以全面地识别操作风险。专家小组成员需要在会议前就讨论主题和需要解决的问题做好事前准备，会议讨论时需要由经验丰富的专业人员主持和协调，以帮助解决讨论中所反映出来的各种难题，顺利促进组员达成一致结论。即使如此，用会议讨论形式识别风险，必然导致大量的时间和人力成本投入，尤其对于规模较大的、业务条线复杂的银行，专家工作组进行RCSA的成本，是银行要考虑的一个问题。实施专家工作组法的一个前提条件是需要银行具有报告风险而不是隐藏风险的良好文化，这样才有利于员工积极参与讨论，揭示风险。 4、调查问卷法。调查问卷法是对操作风险或内部控制部门设置针对性的问题，在相关条线收集问题回答，通过对问卷回答的评分和分析，了解银行操作风险和内控执行现状。具体根据调查问卷的不同还可以细分为勾选式调查问卷和开放式调查问卷。风险管理部在设置问题时可参考内外部的历史损失数据库，制作调查问卷时，问题设置应简单明了，避免不同人员对于问题的理解出现差异。使用调查问卷法可以在多个条线同时开展RCSA，节省大量资源，但该方法对于调查问卷本身提出较高要求，问题设置不合理将直接影响RCSA结果质量。 5、非业务部门评估法。由风险管理部门在对各项流程进行了解后，以其独立客观的立场进行RCSA。与由业务部门直接参与的风险识别评估相比，由非业务部门进行风险识别评估能够更加真实地暴露风险状况，降低风险低估的可能。但是风险管理部门不是日常执行各项业务的部门，需要对业务的操作流程和管理要求进行熟悉，这就对评估人员的素质提出较高要求。 二、操作风险识别与控制评估的实施步骤 RCSA需要在确定的流程下进行。在正式实施RCSA之前，商业银行首先要对全行的业务流程进行梳理，并形成书面流程文件，清晰的业务流程是RCSA的基础，否则RCSA将陷入无效。此外，关键风险损失事件数据、风险指标监测数据以及各类业务检查报告等资料也将影响RCSA的有效性。RCSA更多是专家的主观判断，人为影响因素较大，而风险损失事件数据、关键风险指标监测数据等历史资料为RCSA提供了识别依据和验证手段。正式实施RCSA前，牵头部门需要在全行范围内针对操作风险原理、RCSA操作等组织各项培训，确保每一位参加人员都掌握RCSA的各项要求并熟练使用RCSA系统工具。 （一）确定RCSA对象与范围。RCSA牵头部门根据银行业务的风险特征选定RCSA对象机构与业务范围。一般而言，重要业务、频繁发生操作风险的业务、新业务、需要依托新系统的业务等都是优先进行自我评估的对象。操作风险控制薄弱的分支机构，或者业务量较大、地位重要的分支机构优先开展自我评估。 （二）成立专家工作组。根据RCSA实施的对象和范围，成立专家工作组。工作组成员既要有对业务流程熟悉的业务专家，也要有能够熟练掌握RCSA工具的风险专家。牵头部门要对工作组成员进行培训，使得大家对RCSA的实施意义、各项要求以及评估标准达成共识。 （三）制定明确的工作计划。牵头部门需制定RCSA工作方案，明确时间进度、人员安排、操作要点等相关信息，对于某项具体活动流程而言，RCSA专家组成员需要至少由1至2名风险管理专家以及2至3名业务条线骨干组成。明确的工作计划是有效推进工作的基础，计划制定既要合理安排专家们的时间，防止工作过于拖延，又要考虑到实施过程中可能遇到的各种困难，使得整个工作能够顺利推进。同时工作计划还要明确报告机制和信息沟通渠道，以便及时将评估结果报告给风险管理部门、业务管理部门以及高层管理者，便于根据评估结果改善操作风险管理。 （四）识别和评估操作风险点。目前我国商业银行一般是通过梳理流程的方法识别风险点。风险可能发生的环节包括职能接口环节、流程衔接的环节以及人机交互的环节。专家组根据以往的工作经验、本行及外部的历史事件、损失事件分类表等识别出操作风险。在进行RCSA时，专家组成员应理解操作风险的定义和内涵，避免将信用风险、市场风险作为操作风险。同时，操作风险点的描述应当准确，避免引起歧义，如“银行汇票受理审核环节可能存在持票人身份虚假”，该风险点应表述为“未审核发现持票人身份虚假”。对于识别出的操作风险，应按照事件分为内部欺诈、外部欺诈、就业制度和工作场所安全问题、执行交割和流程管理、实物资产的损坏、信息科技系统故障、客户产品和业务活动七大类事件，造成的损失包括法律成本、监管罚没、资产损失、对外赔偿、追索失败等直接损失，以及名誉损失、监管行动、弃置营收等间接损失。 专家工作组首先评估固有风险，固有风险是指在不考虑内部控制的前提下，由于内部因素和客观环境的影响所导致的风险。针对固有风险，银行可以采取一定的控制手段。对于现有的控制和风险管理技术下，遗留或未被管理的风险，就称作剩余风险。 在进行RCSA时，专家组首先就固有风险发生的可能性与影响程度达成共识，可能性可以分为几乎不可能、不大可能、比较可能、很可能、极有可能五类，风险影响可以分为极小、较小、中等、较大、严重五类。综合考虑风险可能性等级和影响等级，形成固有风险的风险等级，分为极高风险、高风险、中等风险、低风险以及极低风险。在多人参与操作风险评估时，一般采取折衷原则（取平均值），但对于风险较大的领域，可以采取悲观原则（取最大值），一般不采取乐观原则（取最小值）。 我们以支票柜面操作作业流程中的持票人向付款人提示付款子流程为例，专家工作组依据流程图识别出在票价审核阶段存在“未及时发现无效票据信息”的风险点。根据巴塞尔新资本协议中的相关规定，该风险损失事件属于“执行、交割和流程管理事件”分类项下的“交易认定，执行和维护”子分类，造成该风险的原因是由于操作人员“没有有效遵守内部程序/内部控制/政策/外部法规（的监控）”，造成银行“补偿金，法律成本，追索失败，其他”方面的直接损失，以及“名誉损失，监管行动，时间差异，额外的工作/无效率，其他影响”方面的间接损失。综合考虑风险可能性和风险影响程度，专家们认为在没有控制措施的情况下该风险点固有风险等级是“高风险”。 （五）评估控制措施。专家组需要逐一审视固有风险是否对应有效的控制措施，控制措施分为流程内控制与流程外控制，包括：管理层审核、不相容岗位分离、授权审批、权限监控、会计系统监控、财产保护控制、运营分析、预算控制、绩效考核等。实施控制措施以后的风险是剩余风险，剩余风险也和固有风险一样分为极高风险、高风险、中等风险、低风险以及极低风险五个风险等级，其中极高风险、高风险与中等为不可接受风险，需要引起董事会、高级管理层的注意和重视，采取控制措施，避免负面影响和财务损失。 对比控制前后风险等级的变化之后，专家组需要评估控制措施的有效性，控制措施有效性等级包括：控制有效、控制基本有效、控制不足与控制过度，其中控制不足意味着当采取控制措施后，风险水平虽有所降低，等级仍处于不可接受时，需要进一步采取控制措施。 仍然以持票人向付款人提示付款流程中在票价审核阶段存在“未及时发现无效票据信息”的风险点为例，专家组识别出银行采取了“通过验印系统核对印鉴”的系统控制以及“换人复核、审核客户有效证明文件”的人工控制，该风险的风险等级降低为“低风险”，所以银行对于该风险的控制措施有效，无需再进行进一步的控制活动。 我们再以监控守库员工作作业流程中的监控守库员交接班作业的子流程为例，存在的“守库员在交接班时有遗漏或隐瞒风险事件”的风险，银行只能通过“提高值班人员素质，加强业务培训”来进行事后控制，专家工作组认为在采取了该控制手段以后，剩余风险依然达到中等，存在“控制不足”，相关人员需要考虑进一步采取措施，优化控制流程，如“制定相关制度明确守库员在交接班时的工作要求，加大违规的惩罚力度”，“增加监控设备，通过监控室远程监控，监督守库员遗漏或隐瞒风险的可能”等。 （六）制定优化方案。优化方案是用于纠正控制薄弱环节的行动方案。优化方案的制定是一个协作性流程，需要多方合作，其中包括RCSA负责人、负责该控制的人员、业务专家等。优化方案应详细说明控制的薄弱环节以及识别该问题的方法，说明缺乏控制或当前控制不足之处而导致的连带影响，解释说明用于减轻重大风险的补偿机制或者作为临时措施的补偿控制，提出可行性方案，制定实施优化方案的实际目标日期。 （七）报告RCSA评估结果。商业银行需向操作风险管理层和财务部门提交RCSA季度、年度报告。具体内容包括问题说明、受影响的业务部分、问题性质、修正行动方案及纠正目标日期、潜在的财务影响。 三、有关建议 （一）盲目强调评估精确是误区。RCSA是帮助银行识别评估操作风险的工具，不要陷入盲目精确计量风险的误区。监管当局鼓励商业银行实施RCSA，是为了精确计量操作风险，逐步实施高级计量法，从而计提充足的资本覆盖风险，减少银行破产的可能性。而商业银行实施RCSA更多的是为了发现风险点，采取有效的控制措施，减低操作风险事件发生的可能性或事件发生后果影响，减少银行的损失，主要是以定性的手段为主。我国商业银行，尤其是“以服务地方经济”为目标的城市商业银行，不要盲目陷入精确计量风险的误区，非常精确地计量操作风险既不符合我国目前管理的实际情况，也会由于投入太大偏离了银行日常风险管理的需要。 （二）管理层高度关注是保障。银行高管层对RCSA高度重视是顺利实施RCSA的保障。由于历史原因，城市商业银行流程体系不完整，而实施RCSA的前提就是梳理流程体系文件，将全行各项活动流程画成流程图，必然需要投入巨大的人力物力，这就需要管理层尤其是高级管理层高度重视RCSA在管理操作风险方面的重要性，高管层的积极参与将起到示范效应，有利于协调各部门的工作，形成全员的操作风险管理意识。 （三）统一的评估标准是关键。全行范围内对操作风险统一、深刻的理解是影响RCSA质量的关键因素。风险的评估结果是由专家组成员讨论决定的，主观性很强，如何在全行范围内“用同一把尺子”衡量操作风险是影响最后形成识别评估结果质量的关键因素。专家组成员业务背景、经验不同造成对于风险理解不同，这就需要牵头部门前期做好详尽深刻风险培训，同时在讨论会让专家们充分讨论，以提高评估的客观性。 （四）建立长效机制是手段。建立实施RCSA的长期规划和机制才能真正提高银行操作风险管理水平。单独一次的RCSA就像给银行当时的操作风险状况拍了一张照片，虽然详尽却不能为银行强化风险管理起到任何效果，从长期看，只有建立RCSA的长期规划和机制，持续实施，不断优化，形成识别、评估、监测、报告、控制、优化的管理循环，才是真正保障银行的操作风险管理不断提升。银行应当建立相关制度，规定在新业务、新产品、新系统等出现时触发实施RCSA，对于现有的流程，银行应当保证每年实施一次RCSA，重新审视以前的RCSA评估结果，检查各项控制措施是否到位。 风险管理流程包括识别、评估、监测、控制（缓释），RCSA既是风险管理流程的开始，也是验证整个风险管理流程是否有效的检验工具。在不断实施RCSA的过程中，银行不断地提高风险管理水平，强化风险意识，这才是RCSA作为风险管理工具真正的用途。 参考文献 1巴曙松.巴塞尔新资本协议研究M.北京：中国金融出版社，2003。 2巴曙松.巴塞尔新资本协议框架下的操作风险衡量与资本金约束J.经济理论与经济管理.2003，（2）：17-24。 3巴曙松.论操作风险管理在金融机构中的引入J.经济研究参考，2001，（65）：16-20。 4厉吉斌.中国商业银行操作风险管理研究D.西安：西安交通大学，2007。 5刘新星.银行操作风险度量方法比较研究J.财经问题研究，2006，（1）：61-67。 The Identification and Assessment of Operational Risks of Commercial banks： Theory， Method and Application ZHOU Kai HU Huanhuan （Bank of Nanjing， Nanjing Jiangsu 210008） Abstract：In recent years， due to the high frequency of the international financial industry cases and the exposure of all kinds of risks， the international banking has gradually realized the importance of operational risk management. Measures on Capital Management of Commercial Banks （Trial） issued by Chin