操作风险管理体系建设项目全行推广培训-操作风险管理基本概念说明

1、操作风险体系建设项目培训-操作风险管理基本概念说明 学习目标了解操作风险的定义熟悉操作风险管理体系及三大工具的内容1大纲什么是操作风险？操作风险管理体系及三大工具内容简介银监会对新资本协议操作风险管理体系的相关规范(简要说明)2什么是操作风险?系统瘫痪，业务停办，造成客户与银行的损失柜员窃取空白凭证，偷盖印章，冒领客户款项。理财经理盗领客户存款，让客户存款一夜之间成空外汇交易超过行内的规定限额贷前调查失真，以假合同骗贷上亿元。员工监守自盗我们银行的人员素质佳、风控意识强、高经控管好、制度又健全其他银行发生的这些事我们银行绝对不会发生！面临蕴藏风险的选择时，信心会被过去同一事件发生的频率影响操作

2、风险管理的误区（1/2）4人性本善过去没发生过我们都有规定大家都很资深内控一定会落实常常都在倡导我们是好银行这不可能行员都很优秀内控设计肯定有效人的行为都是理性的社会的转型环境的改变人心的转变科技的变化过去的经验与信息风险不会发生操作风险管理的误区（2/2）5银行过去利用内控或保险等措施来管控操作风险，但随着大环境的转变，各种操作风险事件越来越难被确认和掌控，因此才使得操作风险越加被重视。6操作风险受重视的原因金融业全球化发展趋势，让操作风险的重要性更加被重视：使用高度自动化的科技电子化商务的成长大型的并购与整合银行混业经营逐渐成为大量服务的提供者业务外包的风潮正风行大量使用金融技术来降低市场

3、风险，但是可能造成操作风险的增加一直以来操作风险多不被银行所重视，主要原因在于操作风险太难被定义，但三大风险中，往往影响并危及银行运营的最主要风险就是操作风险。操作风险管理的难点操作风险的管理上有许多困难，包括操作风险多源自于内部问题，基于家丑不外扬，很难收集到大量资料不同机构所面对的操作风险皆不相同，无法一体化适用引发操作风险的原因与损失的机率或规模，很难建立起关联性 大型且危及到生存的操作风险事件并不常见，此外，大多数可能的操作风险事件，在大部分银行的历史上从未发生。7重大操作风险事件案例（1/2）82008年1月法国兴业银行爆发全球金融史上最大弊案，一位年轻交易员越权作多欧洲股价指数期货

4、，造成该行亏损49亿欧元（72亿美元），使得兴业银行当年全年营收净利剩下亿欧元，比前年下跌82%。2001年11月UBS交易员把每股61万日圆，卖出16股打成每股16日圆，卖出61万股，在几秒钟内使公司损失7,100万英镑。1995年1月巴林银行 (Barings)倒闭之案例： 流程控管的监督失衡 :总行稽核与里森间的信任与放任 系统控管 :超过限额的风险预警机制未发挥作用系统安全 : 李森同时具有设定系统权限与限额的能力。 2006年交行某分行发生一起涉案金额约2亿元人民币的客 户资金诈骗案。2009年12月底某基金公司“乌龙门”事件(申购赎回清单计算偏差)。思考内控做得再好，是否能杜绝或有

5、效降低此类外部事件发生的频率或影响程度？重大操作风险事件案例（2/2）2001年美国911事件，许多设在世界贸易中心的金融公司丧失了大量财产、员工与数据数据。 2006年12月26日晚间恒春大地震造成国际海缆中断，台湾及东亚各地网络与 服务都因此受到严重影响。2008年汶川大地震造成在地震受灾严重地区，银行运营活动停止(绵竹市某家大型商业银行营业网点)9重要观念Operational Risk Operation Risk操作风险管理不是作业管理或作业流程管理，而应该是银行的运营风险管理。操作风险的定义操作风险定义繁多，例如：市场风险和信用风险以外的所有风险均视为操作风险JP摩根对于操作风险的

6、定义是，操作风险是各公司业务和支持活动中内生的一种风险因素，这类风险表现为各种形式的错误、中断或停滞，可能导致财务损失或者给公司带来其他方面的损害英国银行家协会（British Banker Association，BBA）将操作风险定义为“由于内部程序、人员、系统的不完善或失误，或外部事件造成直接或间接损失的风险”10操作风险是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风险。本定义所指操作风险包括法律风险，但不包括策略风险和声誉风险。操作风险涵盖范围: 起因于(a)内部程序(b)员工 (c)信息科技系统 的风险(包含经营行为违反法律法规产生的风险)。 起因于外

7、部事件的风险(包含法律制定和废止所产生的风险)特别说明 操作风险不包含下列风险:策略风险: 因策略问题导致的风险(因为策略错误是原因，策略错误可能会导致种种衍生的风险)声誉风险：声誉受损的风险(因声誉受损是结果，声誉受损往往是其他风险所造成的)操作风险定义(续)依据银监会于2007年5月发布的商业银行操作风险管理指引，操作风险的定义为：11操作风险管理体系及三大工具内容简介操作风险管理体系与内部控制制度的关系内部控制环境风险识别与评估内部控制措施信息交流与反馈监督评价与纠正四大目标确保国家法律规定和商业银行内部规章制度的贯彻执行；确保商业银行发展战略和经营目标的全面实施和充分实现；确保风险管理

8、体系的有效性；确保业务记录、财务信息和其他管理信息的及时、真实和完整。国内的商业银行内部控制制度国内有关内部控制的权威规定主要有两个：中国人民银行制定的加强金融机构内部控制的指导原则和银监会会制定的商业银行内部控制指引与商业银行内部控制评价试行办法。两者在不同程度上都借鉴了COSO内部控制整体控制的理念。14操作风险管理体系主要包括：操作风险治理架构(操作风险偏好、组织及政策)应用操作风险管理工具(RCSA/KRI/LDC)，进行风险的识别、评估、监控与控制/缓释操作风险资本计量(下图以高级计量法为例)操作风险管理体系说明15操作风险管理是立基于银行的内部控制制度上进行的。透过操作风险管理体系

9、的强化，以及损失数据搜集、风险与控制自评以及关键风险指标等管理工具的设计与应用，在操作风险管理的领域之内达到内部控制制度的目标。内部控制制度框架操作风险管理体系框架操作风险管理体系与内部控制制度的关联性16新体系建设的目的我们已有的操作风险管理相关制度建设目前的操作风险管理相关的制度建设业务管理制度内部控制措施检查制度反洗钱制度反欺诈制度流程梳理及流程标准化流程优化培训体系绩效考核制度.为何现在还要谈建立操作风险体系?18现在要建立的操作风险管理工具体系，如同航天员身上的智能型航天服功能类型：规律的侦测与分析航天员的健康状态与活动状态。依据航天员的健康状态、活动状态以及所面临的外部环境威胁，定

10、期的评估航天员所暴露的风险。监控航天员所面对的风险，并提供预警信息收集航天员所犯的错误，并给予总结性的分析报告。协助航天员持续不断的自我修正，降低自己的风险暴露。航天服功能：确保航天员在不断挑战艰难任务时，有一套科学化的方式协助进行自我诊断与自我修正新资本协议操作风险管理体系的目的、特色、内容目前的运营管理体系业务管理制度内部控制措施检查制度反洗钱制度反欺诈制度流程梳理及流程标准化流程优化操作手册撰写与维护制度培训体系绩效考核制度.新资本协议操作风险管理体系为系统性、架构化、科学化且与现行体系相互反馈的体系通过三大工具的实施持续进行操作风险识别、评估、监测、控制与缓释将预防损失转变为风险暴露管

11、理由被动应变转变为积极主动式的管理为落地至银行所有单位、网点的体系运行成果可与高级的资本计量方法结合确保银行在业务不断创新与发展的过程中，操作风险暴露仍能控制在可容忍范围内的管理体系。6大特点：操作风险管理不是一个新名词，它自始至终贯穿于银行的经营管理过程中。本项目是按照巴塞尔新资本协议和银监会有关操作风险体系建设的要求，将我行的操作风险管理予以系统化、架构化、科学化，不仅可达到合规的目的，更重要的是提升我行的操作风险管理效率和水平。20新建立的体系可以帮您解答的问题问题1：目前哪些类型的操作风险，对您的威胁比较大?问题2：目前哪些类型的控制措施，控制效果较差?问题3：目前哪几个网点操作风险暴

12、露较高，哪些操作风险暴露较低?问题4：目前操作风险暴露较高的网点，主要是因为哪些类型的控制措施做得较差?问题5：目前有哪些预警机制，可以在损失事件发生前，让相关人员可以提早知悉，并立即采取行动方案问题6：目前检查制度没有办法完全覆盖的角落，有多大的操作风险暴露存在?新体系完善建立与实施后，您将可以回答以下您现在可能无法回答的问题：21三大工具简要介绍功能类型：规律的侦测与分析航天员的健康状态与活动状态。(操作风险体系内的流程分析)依据航天员的健康状态、活动状态以及所面临的外部环境威胁，定期的评估航天员所暴露的风险。 (操作风险体系中三大工具的风险与控制自我评估(RCSA)监控航天员所面对的风险

13、，并提供预警信息。 (操作风险体系中三大工具的关键风险指标(KRI)收集航天员所犯的错误，并给予总结性的分析报告。 (操作风险体系中三大工具的损失数据收集(LDC)协助航天员持续不断的自我修正，降低自己的风险暴露。(操作风险管理体系的行动计划)现在要建立的操作风险管理工具体系，就像是套在航天员身上的智能型航天服航天服功能：确保航天员在不断挑战艰难任务时，有一套科学化的方式协助进行自我诊断与自我修正什么是操作风险管理的三大工具？本项目所指的操作风险管理三大工具，包括风险与控制自我评估(RCSA)、损失数据收集（LDC)和关键风险指标（KRI)。三大工具贯穿操作风险管理始终，为高效率、系统化的操作

14、风险管理提供帮助。风险识别风险评估风险监测风险控制流程分析：识别主要业务流程或业务活动中固有的操作风险事件以及目前本行具备的相应控制措施损失数据收集：针对操作风险事件的相关信息，进行数据收集、内容分析、整改分析设计与执行、损失分配、内外部报告等程序风险与控制自我评估：通过流程分析，识别和评估流程中潜在操作风险以及自身业务活动的控制措施、适当程度及有效性的操作风险管理工具。关键风险指标：代表某一风险领域变化情况并可定期监控的统计指标,可用于监测可能造成损失事件的各项风险及控制措施，并作为反映风险变化情况的早期预警指标。行动计划：通过三大工具的应用，根据对风险暴露严重程度的判断，采取相应的措施，将

15、风险暴露降低到可接受的水平24流程分析与RCSA总体性程序个别流程分析流程梳理步骤说明进行产品与流程盘点(产品与流程清单)确认流程RCSA评估标的(流程字典库流程RCSA问卷清单)进行流程分析并予以架构化(流程综合说明表)(流程图)确认全行业务执行流程(本项目试点范围)所涵盖的产品与流程，并依据新资本协议的定义，将各产品/流程与8条业务线进行匹配。进行流程、风险与控制匹配透过下列步骤，以科学化及架构化的方式，完成流程梳理工作。依据流程RCSA执行的需求，将前述梳理出的产品进行归类与整理，最后汇总为项目试点范围内的流程RCSA执行标的，确认项目试点范围内流程RCSA的问卷数量。以RCSA执行标的

16、流程为基础，进行项目试点范围内的流程分析。并将流程分析结果予以架构化，奠定科学化进行操作风险分析所需的数据架构基础。在完成RCSA的风险与控制识别后，建立流程内容(流程步骤)与风险与控制的关联性。完成流程库、控制字典库、风险字典库的总体关联性架构。流程盘点(全行流程项目确认)目的暸解全行操作风险来源作为风险识别之执行标的(RCSA流程项目)作为规划或调整RCSA执行计划的基础作为描绘风险轮廓之基础(风险分析标的)参考依据业务专家经验银行操作规范文件或SOP银行实践经验运营与管理/支持流程盘点工作说明流程盘点表架构说明业务大类业务类别主流程(RCSA执行标的)子流程主流程牵头部门子流程负责部门依

17、据主流程的业务属性，将流程划分为以下七大业务别：公司业务国际业务会计业务零售业务资金业务离岸业务其他业务业务大类的子项。例如，公司业务项下有以下的业务类别：公司授信理财服务有价证券在业务类别项下，遵循切割原则（请参见说明）所梳理出的流程项目(端对端流程)。主流程项下，主要的执行步骤。主流程的业务设计部门或制度设计部门。子流程主要步骤的执行部门。28主流程划分原则：原则一(完整性原则)：某项业务中所存在的固有风险与其匹配的控制措施，必须完整涵盖在同一主流程项下。不可将彼此有风险与控制对应关系的子流程，独立为主流程。原则二(可合并原则)：在不违反上述原则的前提下，可将操作人员、程序及使用的信息系统

18、类似的产品流程在子流程层次加以汇总或单独表列，并合并在某一主流程项下。28流程盘点表架构说明-以公司条线部份业务为例29业务大类业务类别主流程(RCSA执行标的)子流程主流程牵头部门子流程负责部门公司授信业务公司授信公司授信（到批复截止）贷前调查授信管理部公司业务部公司授信业务公司授信公司授信（到批复截止）抵质押物评估风险管理部公司授信业务公司授信公司授信（到批复截止）授信审查及审批授信管理部公司授信业务公司授信一般授信提款提款申请受理及贷款提交落实风险管理部公司业务部公司授信业务公司授信一般授信提款提款审查放款中心公司授信业务公司授信一般授信提款放款放款中心公司授信业务公司授信贷后管理（含还

19、本计息、垫款）贷后日常监控风险管理部风险管理部公司授信业务公司授信贷后管理（含还本计息、垫款）还本付息会计结算部公司授信业务公司授信贷后管理（含还本计息、垫款）垫款资产保全部公司授信业务公司授信贷后管理（含还本计息、垫款）贷后预警风险管理部公司授信业务公司授信贷后管理（含还本计息、垫款）五级分类风险管理部公司授信业务公司授信贷后管理（含还本计息、垫款）抵质押物出库放款中心公司授信业务公司授信贷后管理（含还本计息、垫款）抵质押物管理风险管理部29流程分析与RCSA的主要工作以及辅助工具执行流程分析制作RCSA问卷进行RCSA问卷填答(风险/控制评分)设计与执行行动方案流程分析与RCSA的主要工作

20、为以下四项：流程分析模板操作风险字典库控制字典库RCSA问卷模板RCSA评分标准风险地图行动方案模版质量检查模板30流程分析风险1风险2.风险N现有控制1现有控制2现有控制3现有控制N员工流程信息系统外部因素流程分析是使用操作风险管理工具的基础工作，主要目的在识别主要业务流程或业务活动中固有的操作风险事件以及目前本行具备的相应控制措施。流程分析工作定期由总行部门发起，原则上以各业务条线管理部门业务所梳理的主流程为标的。31确认先天的外部环境(外部法规)。收集分析先天的内部环境以及控制制度所需的材料(内部规范)。内外部相关规范确认相关操作与复核人员（员工）、主要的步骤以及相关的投入与产出（流程）

21、、使用的设备与系统（信息系统）以及外部供货商、交易对手等（外部事件）的细节。识别流程中所配备的控制措施。识别操作风险（事件及因子）建立流程、风险、控制的连结关系，作为未来科学化分析操作风险的基础。综合说明表确认有关员工、流程、信息系统、外部环境的先天运营环境状况，以作为未来分析风险因子以及设计风险缓释方案的依据。运营环境说明确认下次RCSA自评前，可能对运营环境、控制措施产生重大影响的规划，一方面将此纳入评估控制有效性的考虑的要素，另一方面，也提醒相关负责人应该在该项目发生前再进行一次自评。未来规划针对流程中总体性的控制措施(例如工作权责划分、代理人员轮调制度等）做总体性的说明，避免接下来必须

22、在综合说明表中重复描述这些控制措施。总体性控制措施通过对过去操作风险损失事件以及重大的稽核缺失事件的收集与分析，协助识别操作风险事件、思考控制的有效性以及事件的可能影响效果。历史事件收集表流程分析模板内容说明(各子表单主要目的简述)321.梳理每个子流程所包含的流程步骤，识别涉及的人员和系统。来源于流程盘点表综合说明表示例公司授信(到批复截止)332.识别每个步骤中的控制措施编号和类型由控制字典库中挑选34综合说明表示例公司授信(到批复截止)3.识别每项控制措施所针对的风险事件和风险因子编号和类型从风险字典库_风险事件分类表中挑选编号和类型从风险字典库_风险因子分类中挑选标的风险类型35综合说

23、明表示例公司授信(到批复截止)补充说明：操作风险与控制字典库在德勤大中华字典库的基础上，建立符合交行使用需求的操作风险字典库与控制字典库。36公司授信（到批复截止）流程综合说明表4.通过以上3步骤生成综合说明表，如下图所示3412以流程为视角，展现每个流程步骤中可能发生的风险标的风险类型37综合说明表示例公司授信(到批复截止)5.用前面所得的综合说明表，利用宏工具，生成风险控制关联表，对流程分析结果进行检查。3412公司授信（到批复截止）风险控制关联表转为以风险为视角，展现每种风险所关联的流程、步骤和控制措施风险控制关联表示例公司授信(到批复截止)386.在风险控制关联表的基础上，通过选择风险

24、因子、识别损失类型、确定评估单位和频率、整理风险综合说明等步骤，生成RCSA问卷，如下图所示RCSA问卷示例公司授信(到批复截止)39补充说明：直接损失与间接损失的定义DL5：无法追索资产或资金 (丧失求偿权)因操作疏失，银行未能在时限内提出法定请求权而承受之损失。DL6：实体资产价值减损（行舍/营运设备毁损）因操作风险事件，例如人为疏忽、天灾或其他外部因素(外部人员恶意破坏或恐怖攻击活动)导致银行办公或经营场所/营运设备实质(体)资产毁损。DL7：账面资产减损因操作风险事件，导致银行的资产账面价值减损。DL8：利息或手续费少收因操作风险事件，导致利息或费用少收。DL1: 支付赔偿费用因操作风

25、险事件导致银行须赔偿外部人员委外厂商、交易对手、客户或其他外部第三人或员工的民事赔偿。DL2：支付诉讼相关费用因审判、清算、和解协议所需的法律费用支出及其他与法律诉讼相关的费用支出。DL3：支付罚款因违反相关金融监理法规所需缴纳的行政罚款。DL4：支付其他费用因操作风险事件损失衍生的其他相关费用。操作风险事件的影响效果，分为直接损失与间接损失两大类型1. 直接损失：将影响到资产负债表或损益表数字，且能够估计出实质损失金额的损失影响效果类型。分为以下8个子类型：40补充说明：直接损失与间接损失的定义LI01: 声誉严重受损因操作风险事件而使银行声誉受损。例如：因发生重大的操作风险事件，媒体大规模

26、的进行负面报导，导致银行的声誉严重受损。LI02：监管行动因操作风险事件，导致监管机构对银行采取强制性的监管行动。例如：因银行发生重大操作风险事件，监管机构到现场进行大规模调查，限制银行业务发展或限制营业等。2. 间接损失：不会直接影响到资产负债表或损益表且较难以估计出实质损失金额，但是银行管理层所关注的焦点。LI03：运营中断因天灾、人祸或信息系统等原因，导致银行特定业务运营中断。例如：核心或重要的业务信息系统故障，导致重要业务的运营中断。LI04：广大客户服务质量受损因操作风险事件而影响客户服务质量。例如：信用卡对帐单的相关数据错误，导致大量的客户收到错误的对帐单。LI05：员工安全因操作

27、风险事件，导致员工健康与安全遭受损伤。例如：银行广告牌坠落砸伤员工操作风险事件的影响效果，分为直接损失与间接损失两大类型41工作成果流程盘点与流程分析42板块主流程数子流程数固有操作风险识别数控制措施识别数公司业务板块17802881,377会计业务板块271533081,343零售业务板块1055172787国际业务板块201013171,933资金业务板块14692011,074离岸业务板块16681971,082其他板块61964267合计1105451,5477,863所有银行总体端对端业务流程区分为七大业务板块，合计110个主流程数(RCSA问卷数)，545个子流程数。4243针对一

28、项操作风险事件，风险评估的整体框架包含：固有风险暴露评估、控制措施效果评估和剩余风险暴露评估三大部分。其中，固有风险暴露定义为当控制措施完全失效时，操作风险事件可能引发的损失；剩余风险暴露定义为考虑了控制措施的影响后，操作风险事件仍可能引发的损失。评估者可通过对频率和严重度的评估，依逻辑计算出风险暴露值，通过对控制措施设计和落实度的评估，依逻辑计算出单项控制措施的有效性，通过剩余风险暴露在风险地图中的落点，得出对控制措施的总体性效果的评估。固有风险暴露控制措施的效果剩余风险暴露扣除近似于操作风险事件控制措施-1设计落实度控制措施1-2设计落实度控制措施 2有效性频率严重度固有风险暴露操作风险事

29、件频率严重度剩余风险暴露自行评估依逻辑自动计算风险地图落点总体控制有效性设计落实度有效性操作风险评估整体框架431345672R20204：外部人员伪造/变造钞券/有价证券/单证/卡片进行业务申请或交易R11201：产品/服务的内容或对象违反法规依据操作风险暴露评估结果，将主流程项下各个风险事件标注在风险地图上，并判断是否应该采取应对方案。不能容忍范围警戒范围加强监控范围安全范围44风险分析：检视在风险地图落点上的风险事件考量剩余风险间接损失的评分结果，由评分人员依据专业经验调整风险地图的落点依据剩余风险直接损失的评分结果，自动计算的风险地图落点依据剩余风险间接损失的评估结果，调整风险地图落点

30、的颜色区块，并判断是否应该采取应对方案。不能容忍范围警戒范围加强监控范围安全范围风险分析：检视在风险地图落点上的风险事件(续)45本例中，某项控制措施在设计层面有很大的改善空间，且在日常运营过程中几乎未被落实。因此，本项控制措施不论是在设计面或是执行面，均有整改的空间。除了检视各项控制措施的有效性外，也应该思考是否有些应该具备、但目前却未配备的控制措施。若有此类状况，也应该积极采取应对方案。46分析风险暴露较高的原因应对方案可由总行、分行或网点的相关部门发起与执行。业务条线必须监控管辖单位的应对方案执行进度及质量。风险管理部门，也必须监控行内各项应对方案的实施状况。行动方案：授信业务权限管控负

31、责人：内容：实际进度说明：相关任务一：细化系统的权限管控功能说明：执行人员：规划开始时间：规划完成时间：相关任务二：开展权限管控抽查行动说明：执行人员：规划开始时间：.01规划完成时间：47风险回应设计、实施及监控应对方案KRI的意义与类型关键风险指标(KRI ; key risk indicator)是指能代表操作风险水平变化情况并可定期监控的统计指标。关键风险指标可用在监测可能造成损失事件的各项风险及控制措施，以及作为反映风险水平变化情况的早期预警指标。KRI 的意义与可以产生的效果原可能发生的损失事件可能因此而未发生KRI在预警信息产生后，立刻启动行动方案49关键风险指标的类型风险指标

32、(RI)控制指标 (CI)暴露指标(EI)反映风险因子变化状况指标反映异常状况指标反映差错状况指标反映控制落实状况指标反映检查结果指标控制落实度评估汇总结果*操作风险事件件数*操作风险事件损失金额合计数*操作风险评估汇总结果*银行层级流程层级以总体的角度，依据操作风险偏好/容忍度，监控银行所关注的焦点监控在流程分析的过程中所识别的风险点与控制点以及实际的损失状况关键风险指标可依两种不同的视角进行分类。依据层级划分：分为银行层级和流程层级；银行层级以总体的角度监控银行所关注的焦点， 流程层级以流程的角度监控流程分析中所识别的风险点、控制点与实际损失状况。依据警示内容划分：分为风险指标、控制指标和

33、暴露指标(*)由RCSA结果反馈，(*)由LDC结果反馈50银行层级KRI 的意义员工的道德操守供应商关系运营合规电子交易安全员工资质操作质量业务持续运营工作场所安全风险偏好风险容忍度银行关注的焦点(操作风险范畴内)指标设计核心系统中断服务次数核心系统中断服务时间核心系统恢复服务时间门槛设定门槛门槛门槛小时将银行对操作风险的偏好以及对特定操作风险可以容忍的程度，转化为银行层级KRI以及相应的门槛。通过银行层级KRI的监控，可以了解银行所关注的操作风险的风险暴露，是否控制在可以容忍的范围内，并可在预警信息产生时，及时采取应对方案。51流程层级KRI 的意义钞券收付错误员工离职率高支付赔偿费用权责

34、人员的复核内部欺诈不当的培训制度支付罚款交易/业务的检查操作风险与控制识别指标特性分析流程分析时所识别的操作风险(因子、事件、影响效果)与控制措施类型指标设计员工平均培训时间专业培训比率新上岗员工培训时数门槛设定门槛60小时/年门槛70%门槛40小时依据流程分析过程中所识别的操作风险事件、风险因子、影响效果以及相应的控制措施，设计可以反映风险与控制水平变化的指标，并通过指标值的监控与行动方案的及时启动，将操作风险暴露控制在特定业务领域可以接受的范围之内。52流程层级KRI设计程序说明流程层级关键风险指标(KRI)-指标设计4个工作步骤：风险与控制识别结果分析指标设计候选指标列表建立KRI指标选

35、定与定义在流程分析完成后，通过因子覆盖范围分析与控制覆盖范围分析，筛选出影响操作风险事件发生的关键风险因子与控制措施。识别出可反映操作风险及控制水平变化或是总结实际损失次数或金额的指标依据数据可取得性、指标特性及专家意见等考量要素，筛选出将即刻使用的KRI定义关键风险指标(包括计算公式、收集频率等)定义门槛及设定门槛区间与容忍度的关联性依据所设计出的所有关键风险指标，建立候选指标列表建立候选指标与风险因子、事件、控制类型以及新资本协议损失形态的关联性列表定义每项候选指标的门槛设定逻辑54关键风险指标(KRI)设计依据与类型特定事件类型关键控制类型关键风险因子类型流程分析数据分析及专家判断KRI

36、类型风险指标(反映因子变化/异常状况)控制指标(反映差错/落实度/检查结果)指标设计依据主要可分为关键风险因子类型、关键控制类型以及特定事件类型等三方面，并可据以设计分别反映不同状况的指标类型，如下图所示：55关键风险指标(KRI)指标筛选实际运用的KRI数据机密性低数据可取得性高数据收集成本不高数据更新频率高指标实际参考性高置于候选列表的KRI数据机密性高(例如高管薪酬增长率)数据可取得性低(例如个金客户经理个人股票持有数额)数据收集成本高数据更新频率低(例如每年才变动一次)指标参考性低(专家意见)KRI指标的筛选是依据指标相关数据的可取得性(是否易取得/更新)、指标特性(属性/周期是否合适

37、)及专家意见，从KRI候选列表中挑选出即刻使用的KRI。实际运用的KRI通常具备以下特点：数据机密性低、可取得性高、收集成本不高、更新频率高以及实际参考性高。56关键风险指标(KRI)门槛的意义指标 :柜员培训时数达成率分行一门槛1=5%门槛2=20%门槛3=95%分行二门槛1=20%门槛2=95%指标 :柜员平均加班时数条线一门槛=8小时/月不能容忍范围警戒范围加强监控范围安全范围通过门槛的设定，银行可依据KRI实际数值的落点，了解风险与控制水平是否在可容忍的范围之内，并据此采取应对方案。一个KRI可有多个门槛，银行可依据风险管理的需求，赋予门槛值的前后区间不同的意义。57关键风险指标(KR

38、I)门槛的设定方式依据风险偏好与容忍度与风险偏好相关的KRI，在设定门槛时，须依据操作风险的容忍度进行设置。例如：内部欺诈事件数(门槛=0)核心系统宕机回复时间(门槛=2小时)依据现况与操作质量或运作效能相关，且历史数据相对齐备的指标，在KRI体系运作初期，可依据目前的水平，设定KRI门槛。例如：柜员处理单笔交易的平均花费时间(门槛=5分钟)ATM交易未成功笔数(门槛=50笔/台/月)依据设定的目标与业务管理、人力资源管理等管理目标相结合的KRI，可依据既定的管理目标，进行KRI门槛的设定。例如： 正式员工的平均训练成本金库盘点的次数依据专家意见其他状况下，可依据业务经验丰富的专家经验，进行K

39、RI门槛值的设定。人员离职率 (门槛1=5%，门槛2=10%)关键岗位空缺数(门槛=3/部门)KRI门槛设定可依循的原则，通常有以下四种。依据不同原则所设定的门槛，可同时存在一个KRI之内。58关键风险指标(KRI)数据收集模板下列所示为KRI数据收集模板，KRI字段信息收集的内容主要包括：KRI基本信息、KRI组成、KRI门槛、意义及实际值、KRI属性、KRI数据收集负责人、KRI录入及改善行动计划。59关键风险指标(KRI)风险监控本例中，KRI 的数据先是跨越警戒门槛，经过一个月的改善，虽然让数据下降，但下一个月却又立即上升，且上升至危险水平。若有此类状况，除了积极采取应对方案，也应思考

40、是否改善的方向是否不全面或是需要调整。不能容忍门槛警戒门槛加强监控门槛依据KRI定期收集之数据，观察数据趋势及数据所代表的详细信息，并即时采取应对方案。60以下列举部份业务条线确认要进行收集的关键风险指标：板块指标名称指标类型指标值更新频率指标说明个金业务个金客户经理销售违规受处罚的次数风险指标反映异常状况每月每月统计个金客户经理销售违规受处罚的次数单位沃德客户经理平均管理沃德客户数控制指标反映控制落实度状况每月每月统计单位个金客户经理平均管理客户数国际业务国际业务条线员工离职率风险指标反映因子变化状况每季每季度定期统计岗位上员工离职比例国际业务结算系统当日取消记帐比率控制指标反映差错状况每周

41、每周定期统计结算系统中当日取消记帐次数占当日业务笔数比例关键风险指标(KRI)范例61板块候选指标数风险因子覆盖率控制覆盖率总覆盖率确认展开数据收集的指标数公司业务授信业务2692%90%100%待确认中间业务2193%96%100%待确认会计业务3090%88%100%待确认零售业务授信业务2099%89%100%待确认个金业务2697%88%100%6国际业务1895%90%100%11资金业务1999%81%100%5离岸业务1088%89%96%10其他业务-企业年金帐户管理11100%100%100%待确认其他业务-资产托管1190%81%86%待确认先前已完成下列各业务板块的候选K

42、RI设计，相关KRI数目及覆盖率数值如下表列示：工作成果初步设计关键风险指标(KRI)体系62损失数据收集范围与程序损失数据收集范围类型一：重大操作风险事件类型二：损失金额达认定起点的事件银监会规定范围及我行特别关注的重大操作风险事件非第一类事件但总损失金额达到认定起点以上的事件银监会规定应收集的事件我行特别关注的事件。包含：监管机关处分事件、员工欺诈事件、员工安全事件、核心业务服务中断事件、重大信息系统安全或中断事件、影响我行对广大客户的服务质量以及严重影响我行声誉的事件。除第一类事件外，本行的损失数据收集至少应涵盖外部欺诈事件、实体资产损坏事件、操作失误事件。各部门可依据自身的管理需求，调

43、低操作失误事件认定起点(注)和/或扩大收集范围注：不同业务类别的认定起点详见交通银行损失数据收集管理办法64抢劫商业银行或运钞车、盗窃银行业金融机构现金30万元以上的案件，诈骗商业银行或其他涉案金额1000万元以上的案件；造成商业银行重要数据、账册、重要空白凭证严重损毁、丢失，造成在涉及两个或两个以上省(自治区、直辖市)范围内中断业务3小时以上，在涉及一个省(自治区、直辖市)范围内中断业务6小时以上，严重影响正常工作开展的事件；盗窃、出卖、泄漏或丢失涉密资料，可能影响金融稳定，造成经济秩序混乱的事件；高管人员严重违规；发生不可抗力导致严重损失，造成直接经济损失1000万元以上的事故、自然灾害；

44、其他涉及损失金额可能超过商业银行资本净额1的操作风险事件；银监会规定其他需要报告的重大事件。65银监会特别强调的操作风险事件收集范围依据商业银行操作风险管理指引，当发生以下类型的重大操作风险事件时，我行应当收集并及时向银监会或其派出机构报告：信息 反馈信息 反馈信息 反馈沟通与汇报信息收集数据录入事件分析改善行动数据验证损失分配事件发掘事件识别数据收集事件处理验证及管理总体性监控监管报表报送监控与报告事件追踪损失事件帐务处理缓释处理1-11-22-12-23-13-23-34-14-24-35-15-2操作风险事件收集执行程序6667下列所示为本行未来将使用的LDC模板，LDC字段信息收集的内

45、容主要包括：事件基本信息、事件影响效果、损失金额会计入帐、风险/控制、行动计划、缓释方案信息、损失分配、事件连结损失数据收集模板操作风险事件数据字段规划事件基本信息事件发生说明/管理单位事件发现/发生日期损失事件类型/业务条线/产品类别风险/控制风险事件/损失事件类型/风险因子/控制措施损失金额会计入账借方会计科目代码/名称借方金额/入账日行动计划名称/内容/负责人员/核准人员/预算/优先等级/状态损失分配损失分配单位/业务条线说明/分摊金额和比例大项信息重点内容事件影响效果损失事件影响类型/最大预估损失金额缓释方案信息缓释类型/缓释名称/说明/索赔日/回收金额/贷方会计科目代码/入账日事件连

46、结损失事件ID/名称损失发生单位/发现日工作成果完成损失数据收集模版设计68RCSAKRILDC流程梳理风险识别控制措施识别监控与报告数据搜集数据收集损失识别主要执行步骤工具风险与控制有效性评估指标设计操作风险管理三大工具执行程序符合新巴塞尔资本协议的操作风险管理工具，可以协助银行在既定的内部控制环境之下，达到内部控制制度对风险识别与评估、信息交流与反馈、监督评价与纠正的要求。另外，透过控制措施的识别以及各种与控制措施改善相关的行动方案的推动，可以达到持续强化控制措施的效果。行动方案设计与执行（含控制措施改善）操作风险管理三大工具与内部控制制度的关系69三大工具与操作风险轮廓的关联性通过操作风

47、险管理工具的运用，可得知银行的操作风险轮廓(risk profile)，也就是银行主要流程、业务条线风险暴露状况所组合的轮廓。分析风险轮廓时，应以包含了完整的风险与控制状况的端对端流程的视角察看各个主要流程的风险暴露(risk exposure)状况。若须更进一步得到业务板块或是部门的风险暴露信息，可在此基础上，再进行数据的汇总或分解。损失数据收集(LDC)关键风险指标(KRI)流程分析风险缓释/行动方案高级计量法工具及模型标准法阶段高级法阶段端对端业务流程操作风险类别风险与控制自评(RCSA)操作风险管理工具操作风险轮廓70架构化与科学化的操作风险管理方式：示例总行牵头部门业务上海分行A分行

48、北京分行太原分行南京分行武汉分行授信管理部公司授信公司理财会计结算部会计国际业务部国际业务零售信贷部.授信待完成科学化与架构化的操作风险管理体系后，银行将可通过三大工具的实施，实时了解银行的操作风险暴露状况(风险轮廓)。注：操作风险管理三大工具 (1) 损失数据收集 (LDC ; loss data collection), (2) 操作风险与控制自我评估 (RCSA ; risk and control self-assessment), (3) 关键风险指标 (KRI ; key risk indicator)注：以上灯号定义为依据操作风险偏好与容忍度所设定不能容忍警戒加强监控安全分行及中

49、心的业务板块操作风险暴露71架构化与科学化的操作风险管理方式：示例-续A分行内所面对的固有操作风险类型业务流程本类风险事件相关的RCSA、KRI及损失数据除了总体性的监控外，银行亦可探究造成风险暴露高的原因。以本例而言，A分行所面对的众多操作风险中，内部人员伪冒申请业务或服务的风险暴露为较高的项目。虽然无相关的损失事件发生，但依据RCSA的评估结果，本项风险的风险暴露落在警戒区域且关键风险指标值也已落到不能容忍的范围。72架构化与科学化的操作风险管理方式：示例-续在宏观管理方面，除了风险暴露监控外，银行业务管理单位亦可据此分析辖下单位普遍较弱的控制点。以本例而言，A分行可监控辖下支行各项控制措

50、施的落实程度，并知悉哪几种类型的控制是应该全面加强执行力度。A分行各支行的控制落实度自评结果(依据RCSA)应特别注意的网点应特别加强执行力度的控制措施73新建立的体系可以帮您解答的问题问题1：目前哪些类型的操作风险，对您的威胁比较大?问题2：目前哪些类型的控制措施，控制效果较差?问题3：目前哪几个网点操作风险暴露较高? 哪些操作风险暴露较低?问题4：目前操作风险暴露较高的网点，主要是因为哪些类型的控制措施做得较差?问题5：目前有哪些预警机制，可以在损失事件发生前，让相关人员可以提早知悉，并立即采取行动方案问题6：目前检查制度没有办法完全覆盖的角落，有多大的操作风险暴露存在?新体系完善建立与实

51、施后，您将可以回答以下您现在可能无法回答的问题：74新建立的体系可以帮您解答的问题问题1：目前哪些类型的操作风险，对您的威胁比较大?问题2：目前哪些类型的控制措施，控制效果较差?问题3：目前哪几个网点操作风险暴露较高? 哪些操作风险暴露较低?问题4：目前操作风险暴露较高的网点，主要是因为哪些类型的控制措施做得较差?问题5：目前有哪些预警机制，可以在损失事件发生前，让相关人员可以提早知悉，并立即采取行动方案问题6：目前检查制度没有办法完全覆盖的角落，有多大的操作风险暴露存在?VVVVVV新体系完善建立与实施后，您将可以回答以下您现在可能无法回答的问题：75操作风险管理体系的建设效益以宏观的角度看操作风险管理体系的效益以科学化的方式进行全行或总体业务板块操作风险暴露管理，可协助总行及分行业务管理单位实时掌握操作风险轮廓，知悉管控资源应如何进行有效的部署，并针对共性的问题及时采取应对方案(例如流程改造、特定内部控制措施的全面整改等)。以微观的角度看操作风险管理体系的效益业务单位或经