操作风险管理大全11篇

绪论：写作既是个人情感的抒发，也是对学术真理的探索，欢迎阅读由发表云整理的11篇操作风险管理范文，希望它们能为您的写作提供参考和启发。

篇（1）

一、操作风险的定义及基本内容

操作风险的定义有广义和狭义之分，广义上的操作风险是指市场风险和信用风险以外的所有风险；而狭义上的操作风险则指与金融机构中运营部门相关的风险。1998年9月，巴塞尔银行监督委员会首次了《操作风险管理》文件，并将操作风险正式纳入新巴塞尔协议的三大风险之中。新协议沿用英国银行家协会(BBA)对操作风险的定义，把操作风险定义为：“操作风险是指由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险。”这个定义包括法律风险，但不包括策略风险和信誉风险。事实上，银行操作风险不仅仅与银行的操作相关，与银行操作之外的其他领域也相关，如欺诈交易、报告和会计体系出现问题等。

根据新巴塞尔协议的定义，操作风险包含的内容很广，但由于对它的重要性才刚刚认识到，目前还没有一个对它统一标准的内容界定。对于商业银行操作风险包含的内容，目前有三个划分；

第一，是普遍认同的内容，几乎所有的机构都认为这些内容应当属于操作风险。包括银行清算损失、交易记录失误、火灾和洪灾等意外灾害。

第二，是部分认同的内容，只有部分金融机构认为这些内容应当属于操作风险。包括内部舞弊、外部舞弊、虚假交易、不适当的销售技术和战略决策错误等。

第三，是少数认同的观点，大多数金融机构不认为这些内容属于操作风险。包括市场逆转导致的损失和交易对手违约等。

本文沿用大多数金融机构的意见，认为操作风险主要包括第一和第二部分的内容，对操作风险的计量主要针对这些风险类型。

二、操作风险计量的基本框架

操作风险的计量是操作风险防范和监督的前提与基础，是确定资本充足水平的重要依据。目前对操作风险的计量方法远远不如对市场风险和信贷风险的计量方法完善。根据新巴塞尔协议的建议，对操作风险的计量主要有三种方法：基本指标法、标准法和高级计量法。其中高级计量法又可以分为内部衡量法、损失分布法和计分卡法，本文探讨的操作风险计量方法就是损失分布法的一种。

操作风险的特殊性决定了对其计量也不同于市场风险和信贷风险。首先是操作风险发生的突发性和不可预测性。对于市场风险，可以根据市场因素的变化对标的资产的价值变化进行预测；对于信贷风险，可以对目标企业的经营状况进行评估来对信贷资产的价值进行衡量。而操作风险通常是突发的，没有可以据以预测其发生的客观指标对其发生进行判断，就如同财产和灾害保险中的索赔事件的发生，因此具有更大程度的不可预测性。其次是操作风险损失的不可预测性。对于市场风险，可以根据市场因素变化的程度计算出标的资产相应的损失状况，而市场因素变化的范围通常是可以大致估计的；对于信贷风险，根据目标企业经营及资产状况，对信贷资金的回收状况可以有一个大致的评估。但操作风险发生造成的损失，不同的事件发生造成的损失是不一样的，即使同样的事件发生造成的损失也通常是不一样的，这样造成了操作风险损失上的不可预测性。第三是操作风险分布的不平衡性。对于市场风险，当市场因素变化时银行标的资产在不同部门、不同分支机构的损失状况是基本相同的。而操作风险在不同的部门、不同的分支机构中分布是不同的，在业务规模大、交易量大、结构变化迅速的业务领域操作风险的损失也较大。

由于操作风险的这些特性，对它直接进行计量具有很大的困难，因此在对操作风险计量的时候首先根据操作风险的内容将操作风险划分为两个部分：低频高冲击事件风险和高频低冲击事件风险。所谓高频低冲击事件风险是指发生概率比较高，发生时损失比较小，在经营过程中经常会发生的事件给银行带来的风险。对于这一类风险，可以建立比较准确的计量模型，并且对未来预期损失作出较为准确的估算。这一类风险主要是日常业务流程处理上的小错误，比如清算失误、交易记录错误等。所谓低频高冲击事件风险是指发生的概率比较小，很难对它准确预期，一旦发生就会对银行造成很大损失的事件发生给银行带来的风险。对于这一类风险，属于一种极端的情况，通常并不会发生，因此对它的测度要采用情景分析的方法。这类风险主要是导致损失较高的自然灾害、大规模舞弊等。对待不同特性的风险类型需要采用不同的计量方法对其计量，最后将风险资产的数额加总获得银行面临的全部操作风险的度量。这个过程如图1所示。

三、商业银行操作风险的损失分布法计量

根据前面论述的风险计量框架，本文分别对低频高冲击事件风险和高频低冲击事件风险进行计量，并在此基础上获得对整体操作风险的计量。

1．高频低冲击事件风险计量

高频低冲击事件风险是商业银行在日常操作中不可避免的程序性失误，对于这一类风险的防范除了监管和内部控制外最重要的是银行事先预备一定数量的准备金，采用风险承受的策略，也就是新巴塞尔协议对资本充足率的要求。同风险防范的策略相对应，对这一部分风险的计量也主要是测量在给定置信区间和持有期间上、在正常经营条件下银行资产可能遭受的最可能损失数额。为了叙述方便，本文引入以下符号：设分析区间为[0，T]，有n个离散点，分别为1，2，3，……，n；记银行某业务部门在该期间发生的高频低冲击事件损失为随机变量x，n个样本点的值分别为x1，x2，x3，……，xn。

(1)平均损失程度的度量

损失程度可以用最大损失量或平均损失量计量。由于最大损失量偶然性较大，使用平均损失量能够更好代表操作风险损失的大致水平，故本文采用平均损失量计量损失程度。

首先需要计量银行在计量期间内发生的损失序列的平均值与损失发生频率，二者的乘积构成银行操作风险损失的期望损失值的度量。用p2(p)表示损失序列均值，有：

式中：N1是在[0，T]区间上，xj>0的样本点数。式(2)中，计算的平均损失，是剔除了0值点后损失序列的平均值。

设损失序列中不为0的个数为N1，x的观测点数为n，则损失的概率p1(a)为：

平均损失程度计量指标R1是在计量期间内操作风险损失的期望值，是损失序列的损失程度p2(p)与损失概率p1(a)的乘积。

(2)考虑损失易变性的修正计量指标

平均损失程度计量指标R1仅反映出损失的平均水平，而无法反映出不同的操作事件导致的损失差异

的大小，因此还要在平均损失程度指标的基础上引人损失的易变性，以衡量时间序列数据的波动性。

根据损失易变性越大风险越大的基本观点，将损失序列的标准差引人计量指标，有：

式中：σ(x)——损失序列x的均方差，用于描述风险的易变性；

k>0——调整系数，反映易变性对银行操作风险的影响，也可以说是银行对操作风险的态度。

式(2)的基本含义是，风险随着损失序列均值和易变性的增加而增加，但它们对风险的贡献是不同的，E(x)的贡献是主要的，σ(x)的贡献是处于第二位的。式(2)中的“1”是指：当σ(x)=0时，风险的测度值为R1，这就是说，即使损失无变化，但只要存在损失，仍存在风险，这与Fishburn(1984)对风险的认识是相同的；当σ(x)>0时，损失变化的风险应大于具有同样损失均值但无损失变化的风险。因此，本文认为，σ(x)对风险的作用是在原有风险基础上进行的调整，而不是完全取代或简单地用σ(x)去加上R1，这样可以突出可能损失在风险中的作用。k的选取没有统一的规定，它取决于投资者在计量风险时对待损失易变性的重视程度。一般k越大，越突出损失易变性对风险的影响；反之，k越小，表明投资者对损失易变性看得越轻；当k=0时，投资者则不考虑损失的易变性。另一方面，kσ(x)指的是k个单位的标准差，很容易将选取的置信区间同风险计量联系起来，这样可以将低频高冲击事件风险和高频低冲击事件风险的计量统一到相同的置信区间计量。

尽管在计量操作风险负面性强度时，本文开始选用了平均损失，但R2将E(x)与σ(x)结合在一起，实质上间接考虑了最大损失的问题。

(3)考虑损失频率的修正计量指标

考虑到操作风险分布的不平衡性，仅仅考虑到损失的可能的程度是不够的，在不同时期业务量大小不一样带来的操作风险发生的可能性也会不同，因此在对高频低冲击事件风险的计量时还应当考虑到损失的频率。

设银行某业务部门单位时间内发生高频低冲击事件的次数为f，最大发生损失的次数为fm，则定义该业务部门高频低冲击事件风险的频度系数为：

fr=f／fm

式中，fm的数值规定与规定的时间单位有关，在单位时间确定后，fm为一常数。通常可以选择单位时间包含的天数作为最大损失次数。根据波动系数的计算，将操作风险计量公式再一次修正，可以有：

式中，k2≥0，为损失频率调整系数。它反应了损失频率对操作风险的影响程度。这个系数的数值通常是由银行自行选择的，如果认为损失频率对风险的影响程度大，可以将k2取大一些，当k2=0时，意为在计量风险的时候不考虑波动频率。

至此，本文建立了对高频低冲击事件风险的计量方法，该方法通过一个简单的公式将该类风险损失的可能性、损失的可能程度、损失的易变性以及损失的期间统一起来。

2．低频高冲击事件风险计量

低频高冲击事件风险具有更大的偶发性及损失程度的不确定性，并且每次发生造成的损失都是巨大的。对于这一类操作风险的防范，银行一次性提取某一固定比例的准备金会面临两个问题：第一，固定提取比例选择的问题。根据新巴塞尔协议有关操作风险计量的标准法，对于不同的业务类型规定不同的提取比例，但不同的商业银行会有不同的具体情况，同一商业银行不同分行、支行也会有不同的情况，很难用统一的提取比例对其进行规定。第二，即使确定一个固定的提取比例，银行一次性的提取大数额的资金作为风险准备金，但这部分损失发生的几率却是很小，而却要将相当一部分资产变成了不生息或是只产生微薄收入的准备金，不利于银行的经营效率的提高。因此对这一部分风险的计量本文采用不同于传统情景分析的方法，而是以一个类似于保险精算的模型解决上述两个问题。

(1)损失发生频率计量

低频高冲击事件的发生具有很大的偶然性，每一次事件的发生与其他事件的发生通常没有关联，可以认为是各自相互独立的。又由于风险事故发生的稀有性，因此可以假定损失次数过程N(t)具有如下特征：

首先，在时间起点，操作风险损失次数为0，即N(0)=0。

其次，在一个足够短的时间内，最多只能发生一次低频高冲击事件，且发生一次损失的概率与此时间的长度成正比，而发生两次或两次以上损失的概率是时间长度的高阶无穷小量，即：

最后，在两个不相交的时间区间内发生的损失次数相互独立，而且在每一时间区间内发生损失次数只与时间长度有关而与时间起点无关，也就是说，N(t)是一平衡独立增量过程，有：

可以证明，满足上述三个条件的随机过程为泊松过程，有：

不失一般性，假设时间长度为0，即令t=1，则上式简化为：

由此可见，在一个单位时间内，低频高冲击事件风险的损失次数服从参数为入的泊松分布。由基本的统计学知识可有期望损失发生次数为其均值，即参数入。

(2)损失程度计量

低频高冲击事件风险的损失是很难事先估计的，但仍然有一个大致的估量方法，当损失发生时，损失的程度不能大于该操作风险发生的部门或岗位能够动用的最高限额。用x表示损失的实际金额，S表示某一业务部门能够动用的，即能够损失的最高限额，有损失分布函数为：

该式说明，当损失金额小于最高限额时，即x

式中：p(x)——损失事件发生的概率。

(3)提取风险准备金的计量

银行提取的用于低频高冲击事件风险的准备金总额就应当等于期望的损失次数与期望的损失程度的乘积，结合公式(4)和公式(5)可以有：

单位时间提取的风险准备金数额为：

式中，R1——在第t期提取的有关低频高冲击事件操作风险准备金数额。

为了安全起见，银行需要留出一定程度的富余以防备可能出现的超出平均水平的损失，这主要是为了防止超出预期次数的损失出现。因此需要对期望损失次数做一下调整，通常是考虑在一定的置信水平下期望损失次数的变化幅度。这里介绍一种简化的方法对相关变量进行调整。在一定精确度的条件下计提风险准备金的单位时间数可以用一个简单的数学公式表示：

式中：N''''——在某精确程度下计提风险准备金的时间单位数。E——相对于预期损失次数而言实际损失变动的次数与总数的比率，表示所需要的精确度。S——实际损失与预期损失相差的标准差的个数，s值可以说明对所有获得的结果的置信程度。P——某一特定标的发生损失的概率。这样，考虑到一定置信水平下损失的波动性后每一个单位时期计提的全部有关低频高冲击事件操作风险准备金为：

3．整体操作风险计量

在高频低冲击事件风险和低频高冲击事件风险计量的基础上，可以获得在任意一个时期整体操作风险的计量。它就等于该年度计提的高频低冲击事件操作风险准备金的数额加上截至这一时期累计提取的低频高冲击事件操作风险准备金数额之和。

式中：n——截至计算期为止经过的单位时期的期数。

篇（2）

中图分类号：F832 文献标识码：A 文章编号：1006-1770(2011)08-024-04

编者按：巴塞尔委员会新资本协议II将操作风险作为一项单独风险纳入第一支柱，中国银监会相应出台了《商业银行操作风险管理指引》和《商业银行操作风险监管资本计量指引》。根据这些标准与指引，中国的商业银行开始探索集中统一的操作风险管理之路。日前，银监会召集部分准备实施新协议的商业银行在广西南宁举行研讨会，就操作风险管理的最新监管动态、日常管理机制、信息系统研发、业务连续性管理和高级计量法实施等议题进行讨论。现选取部分会议成果予以刊发，以供读者参考。

操作风险是一项有银行业务经营活动以来就存在的风险。但是直到2004年的新资本协议，国际监管组织才正式将其视作一项独立风险进行管理和计量。由此，操作风险被列为与信用风险、市场风险并列的三大风险之一，在第一支柱下单独针对其计提监管资本，并针对操作风险管理提出了专门的要求。

但是由于操作风险管理作为独立风险类型加以管理的时间较短，因此其管理和计量即便在发达国家也仍处于起步阶段，新资本协议的虽为操作风险计量提供了规范，但在操作风险管理方面，长期以来只有巴塞尔委员会2003年的《操作风险管理和监管的稳健做法》(简称03版《稳健做法》)。直到2010年10月，巴塞尔委员会公布了研究文件《保险在操作风险建模中的缓释作用》，2010年12月，巴塞尔委员会又了更新后的《稳健做法》征求意见稿，同时了《操作风险高级计量法监管指引》的征求意见稿。2011年6月，巴塞尔委员会经讨论同意这两份文件；2011年7月，新版的《稳健做法》(简称2011年版《稳健做法》)和《操作风险高级计量法监管指引》正式并生效。我们注意到，上述的动态变化是操作风险管理向专业化、精细化方向发展的必然，而对于我国银行业来说，更为具体和精细化的管理要求将有利于推进操作风险管理和监管水平。本文介绍了2010年以来巴塞尔委员会在操作风险管理及监管方面的最新动态，然后分析这些监管动态对我国银行业推进操作风险管理的启示。

一、操作风险管理的治理架构

完善健全的治理架构是实现有效操作风险管理的基础，2011年版的《稳健做法》最主要的亮点即在于强化了操作风险治理架构方面的具体要求，更加明确了不同层级的操作风险管理职责与问责。

(一)操作风险管理的治理架构

首先，《稳健做法》明确要求董事会应对操作风险管理承担最终责任，并应当确保全行操作风险管理制度及其执行的有效性。董事会亦应定期对全行操作风险状况及其管理情况进行核验。另外，新版《稳健做法》还提出，董事会不仅应负责在全行建立良好的操作风险管理文化，还应该负责确定本行操作风险偏好及容忍度的设置。

与之相对应的是，《稳健做法》也要求银行的高管层将董事会制定的操作风险管理框架加以落实，并强调高管层应确保本行负责操作风险管理的专业人员能有效履职。

此外，对于较大规模及业务复杂的银行来说，《稳健做法》还要求其建立专司操作风险管理的风险委员会。操作风险委员会应包含操作风险管理专职人员、业务条线专业人员等，委员会定期召开会议并向董事会风险委员会进行直接报告。

(二)思考与启示

2010年版《稳健做法》厘清了操作风险治理架构的一些具体问题，但是仍然留存了一些模糊地带和争议。如虽然董事会的职责得到了强化，但是一方面对董事会如何履责仍然失之笼统，而另一方面却又对董事会提出了诸如定期核验操作风险管理制度等执行层面的要求，这显然又同高管层的职责产生了交叉。此外，从当前的国际实践来看，操作风险偏好和容忍度的概念仍然模糊，因为操作风险与信用风险及市场风险在风险来源和本质上差异很大，操作风险不仅包含银行内生的风险(如流程、内部欺诈等)，也包含了很多外生性的风险，即便其中的内生性操作风险可以进行估量，外生性操作风险则很难界定其风险暴露。因此，如果操作风险暴露难以确定，则设置操作风险容忍度和风险偏好将变得非常困难。2011年版的《稳健做法》也并未在这方面提出明确的操作方案。

不过从总体上看，2011年版《稳健做法》提出的治理架构方面的要求不仅令操作风险管理职责划分更加明确，也为银行建立操作风险管理体系提供了普遍标准。至于如何将已经用于信用风险和市场风险管理的一些理念和做法(如职责分工、专业委员会机制、风险偏好和容忍度设置等)合理有效地用于操作风险管理，我们认为这些都是开拓性和建设性的命题，而且这些问题本身也并无一致性的解答案，《稳健做法》也给予了商业银行实践的弹性，银行在关注这些要素的基础上，宜制定与自身特点相匹配的落实方案。

二、强化操作风险全流程管理

新资本协议将操作风险纳入第一支柱进行管理和计量后，自然也必须建立相应的操作风险全流程管理框架，《稳健做法》再次确认了操作风险管理所包含的识别、评估、监测、报告、控制及缓释的流程，并对流程的各个环节提出了具体的要求。

(一)全流程管理新要求

2003年版《稳健做法》在全流程管理方面仅包含了风险自我评估(RCSA)、关键风险指标(KRI)、风险计量以及风险映射四项内容，而2011年版《稳健做法》还提出操作风险的识别和评估也应包括内部损失数据以及外部损失数据的收集和分析、情景分析以及对不同工具运行结果的综合分析。此外，新业务和新产品上线前除了应评估其蕴含的操作风险外，还应将相应风险因素纳入其定价机制。而在报告机制方面，2011年版《稳健做法》也提出银行应建立常规报告和压力场景报告两种机制，并且必须包含本行操作风险实际情况与制定的风险偏好和容忍度吻合情况等。

(二)分析及启示

我们不难发现，上述新要求其实也有着丰富的内涵，且隐含了巴塞尔委员会在操作风险管理方面的总体思路。

首先，将内部损失数据和外部损失数据收集及分析列为对所有银行的普遍要求，而不仅仅局限在实施高级计量法的银行，这表明巴塞尔委员会再次强调损失数据收集是操作风险评估的核心，也是全流程管理的起点。我们甚至不难推断，提出更严格的损失数据收集要求，表明巴塞尔委员会认为即便对于实施基本指标法和标准法的银行而言，进行更为精细化的损失数据收集也是必须的，也部分矫正了先前的一种观点，即认为损失数据收集和情景分析的目的主要是为实施高级计量法的银行建模所需。事实上，巴塞尔委员会的2011年版的《稳健做法》给出了明确的信号，损失数据收集的作用不仅是用于建模，更应用于收集全行操作风险状况，并且不仅应包含“收集”，更应把落脚点放在“分析”，且应融合内部数据和外部数据，做到“回顾”和“前瞻”相结合，形成对操作风险管理提供参考依据的合力。

其次，对不同工具运行提出综合比较分析的要求表明，巴塞尔委员会明确要求操作风险管理工具之间应当建立良好的互动关系，而这点正是目前操作风险管理实践中所缺乏的。尤其是在我国，一方面前期已经着手建立操作风险管理框架的银行在开发和推广工具方面尚处于起步阶段，对工具运行结果的分析也很不足，更难以建立不同管理工具之间的互动机制，另一方面由于不同管理工具往往在开发、运行和维护上会由不同团队负责，甚至可能会由不同部门主持，因此建立不同工具之间的互动就面临更大的挑战。

第三，要求把操作风险评估加入定价机制表明，巴塞尔委员会将继续推动把操作风险管理与计量结合的实践。尽管操作风险在定义、边界界定、定量等方面还争议较大，但是银行应当建立评估操作风险暴露的机制，并且将操作风险暴露的概念运用于日常管理，一方面对业务条线的经营运营起到规范制约的作用，另一方面也对提高操作风险管理水平起到促进作用。

第四，提出了在压力场景下的报告机制，可以认为是对报告机制的一种完善。结合我国银行业实践，我们可以认为这是对各行已经执行的重大事件报告的一种规范化。因为操作风险事件往往具有突发性、不可预期性和外生性的特点，因此及时对外部压力场景做出反馈，通过报告体系使高管层或董事会知晓，是十分重要的环节。

当然，如果我们仔细斟酌，也容易发现，2011年版《稳健做法》虽然提出了不少新理念和规范，但是在实际操作上仍然缺少具体方法的指导，如对于操作风险的定价仍然囿于多种不确定性而难以准确执行，而操作风险管理工具之间如何建立互相补充完善的机制也不明确。此外，如何定义压力场景的报告、如何将操作风险偏好和容忍度执行纳入操作风险报告等问题，也都需要各方努力研究具体的执行方法。

三、细化的高级计量法要求

(一)《操作风险高级计量法监管指引》的主要内容

由于巴塞尔委员会在制定新资本协议时就隐含了鼓励银行实施更为高级的计量方法的意向，因此不少计量手段较为成熟的银行即着手开发操作风险高级计量法(AMA)。随着高级计量法的铺开，出台比新资本协议相关内容更为具体的规范性文件也显得非常迫切，而《操作风险高级计量法监管指引》(以下简称《监管指引》)正是在这样的背景下出台的，主要覆盖了高级计量法的治理架构、数据和建模三个部分。

首先，在治理架构方面，《监管指引》区分了对操作风险计量的验证(validation)以及对操作风险管理框架的核验(verification)，即验证应当作为操作风险计量体系的一个有机组成部分，对高级计量法的建模进行验证，而对于包括计量和管理在内的完整的操作风险管理框架，则仍需要由独立团队再次对其进行有效性核验(见下图)。另外，《监管指引》还明确指出，实施高级法的银行应当更加注重通过使用测试(use test)将计量结果运用于操作风险管理实践，并起到促进操作风险管理水平的作用。

其次，《监管指引》明确了一些数据方面的要求，大致包括：

1.毛损失与净损失的确认：银行可以选择毛损失或净损失进行数据收集，但是应足够审慎，如损失挽回消耗大量时间，则必须用毛损失作为建模依据，且银行在计算净损失时不得先行使用保险缓释进行扣减，银行如使用合格保险缓释，需要建立单独的模型。

2.损失数据收集门槛：银行应明确其收集数据的门槛值，对于门槛值可以是全行统一的，也可以设置不同的门槛值，但是银行必须足够审慎并确保其设置的门槛值能将实质性风险事件均包括在内。同时，鼓励银行根据操作风险形态进行分类，对于同一分类的事件或条线设置相同的门槛值。

3.损失时间点：明确了可供选择的时间点限于发生日、发现日和会计结算日三项，并认为结算日是比较稳健的做法。

第三，在建模方面，对于建模数据来源、分布假设等提出了要求：

1.数据来源。再次确认了高级计量法建模数据来源必须包括内部数据、外部数据、情景分析以及经营环境和内部控制要素这四项要素，其中内部数据是建模的主体，外部数据则是针对肥尾分布的校准，情景分析作为对可重复损失事件的评估，也构成数据来源的重要部分，而经营环境与内部控制要素由于主观性过强，目前尚难以直接植入模型。

2.精细化程度(granularity)。实施高级法的银行应根据操作风险形态进行归类，并用于情景分析等场合。

3.分布假设。由于建立合适的分布是高级计量法的核心，因此银行应确保选取了合适的损失频度及严重程度的分布假设，并应保证进入内部损失数据库的数据均已包含在建模数据中，同时银行可以针对分布的不同部分采用不同的假设，但是银行应建立完整的数据清洗、模型选取、拟合等环节的文档记录。

(二)分析与启示

我们认为，一方面高级计量法尚处于起步阶段，另一方面高级计量法本身亦允许了较大的操作弹性。《监管指引》虽然在治理、数据和建模三方面提出了一些规范，但是实践中仍然有大量的弹性空间。从一些发达国家银行实施高级计量法的经验看，内部数据、外部数据和情景分析在模型中的比重差异非常大。事实上，某些银行的建模较大依赖了情景分析，而并非如很多人认为来自于内部损失数据，这可能因为各国银行经营和管理模式的差异，也可能因为不同银行数据基础和质量的差异。而《监管指引》在多个部分亦强调，巴塞尔委员会将在持续收集数据和调研的基础上，在合适的范围内对可以确定的良好实践予以明确。

四、第一支柱与第二支柱统筹

除了公开征求意见并提交高层讨论的2011年版《稳健做法》和《监管指引》外，巴塞尔委员会还对操作风险管理和计量实践的一些问题进行了研究，其中比较重要的一项工作是在第二支柱框架下评估操作风险监管资本充足情况。

事实上，虽然新资本协议将操作风险纳入了第一支柱，但是由于操作风险计量的不确定性，新资本协议也指出，监管当局将在第二支柱框架下评估银行操作风险监管资本的充足情况，并且可以对操作风险资本不足的银行提出附加资本要求。本轮金融危机后，各国监管当局和巴塞尔委员会都发现银行实际操作风险暴露可能远远大于实际计提资本的数量，而基本指标法和标准法由于风险敏感度较低，对实际损失覆盖的有效性也需要评估，可是在实践中，一方面监管当局并无明确提出在第二支柱下如何评估未覆盖的操作风险暴露，银行在亦没有在第二支柱下对操作风险暴露的覆盖情况进行评估。但是与之对应的是，由于操作风险与内控和合规管理不可分割的关系，不少监管当局和银行内部都制定过一些对内控及合规执行情况进行评估的规章，但是这些零散的文件却并未纳入操作风险管理和监管体系。正是在这样的背景下，巴塞尔委员会亦打算研究在第二支柱下开展操作风险资本充足情况的良好实践。

篇（3）

中图分类号:F832.33文献标识码:A文章编号:1006-1428(2007)07-0052-03

一､商业银行三大风险的比较

相对而言，国内商业银行对信用风险的研究较早，对市场风险､操作风险管理的比较研究较晚，因而对三大风险的认识程度､管理方式､投入的资源等不尽相同(详见表1)。

二､目前国内商业银行操作风险管理的两种模式

尽管国内商业银行操作风险管理起步较晚，与外资银行相比存在较大差距，但仍有一些优秀的国内商业银行较为重视操作风险，采取了多种措施，也投入了一定的资源来防范和控制操作风险(详见表2)。

三､国内商业银行操作风险管理存在的不足

(一)风险管理认识上还存在误区

由于尚未引入全面风险管理理念，国内商业银行对操作风险还存在一些认识误区，认为操作风险就是“操作性风险”，将操作风险等同于“金融犯罪”;或者认为操作风险往往具有突发性､偶然性，难以预测，也毫无联系，因而无法计量，也不能为其分配资本。同样，还有的商业银行认为操作风险管理只是会计结算部门或者内部审计部门的事情，与其他部门如安全保卫部门､科技部门､后勤事务部门等无关，进而将操作风险管理职责仅赋予会计结算部门或者内部审计部门。甚至有的商业银行的分支行，认为营销和操作风险管理是对立的，在分支行行长忽视操作风险管理，而重视营销的极端情况下，也有的营销人员会产生错误的思想，认为风险管理人员是依靠他们养活的，有些强势的分支行行长有可能叫板风险管理部门。

(二)风险管理信息传递链条过长

在统一法人体制的分级授权经营模式下，国内商业银行的管理层级往往达到五个层级或者更多。这种授权经营模式一方面与国内金融资源的层级分布相关，另一方面也与国内商业银行的信息技术落后相关，而且这种经营模式也适合目前商业银行的经营管理能力。但是这种多层次的委托关系，将导致信息传递的强度减弱，对下级单位的控制和管理能力下降，操作风险隐患也会因为委托关系链条的增加而增大。在体制改变时，如果实行“先体制架构，后流程､规章”的推行模式，制度建设慢一拍，管理链条就会出现危机，使操作环节风险环生。

(三)风险管理体系不健全

国内商业银行中目前设置统一的操作风险管理机构的并不太多，只有个别商业银行设立了委员会形式的管理机构。如工行上海市分行成立了操作风险委员会，下设“临柜业务”､“离柜业务”､“业务监测”三个专家小组，来提高操作风险管理防范水平。大部分商业银行一般都尚未设立专门的部门负责全面管理操作风险，操作风险管理职责分散在诸如风险管理部､内部审计部门､法律与合规部门等部门，缺乏统一的操作风险管理体系。这种分散管理的模式，导致各相关部门的管理职责不清､沟通协调不顺畅，管理效率低下。有的商业银行在基层分支机构往往只设一名行长，主要负责业务推进，操作风险无人负责。

(四)风险管理政策不统一

在整个银行层面上，没有形成从股东大会､董事会､高级管理层､各经营单位以及到各个业务部门､内审部门的操作性风险管理职责，并制定明确的操作风险管理程序，包括风险的识别､评估､计量､监控､化解等。在各个业务部门制定具体的操作规程时，没有将操作风险管理的整体程序贯穿于各个管理层级和各个业务条线，也没有明确各个管理层级的权利和应承担的职责。因而，从最高层面的董事会，到最低层面的操作人员没有形成全行统一的目标和管理政策。

(五)风险管理制度执行力不强

根据中国银监会去年的统计，操作风险的发生，80%是因为有制度却没有严格执行而造成的，制度不全和制度残缺造成漏洞形成案件的不到20%，操作风险的发生与制度执行力不强存在相当大的联系。从商业银行操作风险的实践来看，操作风险多的银行往往执制不严现象较为突出，员工执制意识薄弱，违章违规行为不能及时纠正。例如，有的未严格执行开户资料审查､印鉴比对､可疑支付交易报告等会计制度;有的未按要求进行账户监控和账务核对;有的未执行同城交换制度､印章管理制度､权限管理制度;致使案犯接连突破风险控制防线。甚至“五缺”情况下办业务的现象严重:缺图章(公章或授权人私章)､缺签名､缺决议(如董事会决议)､缺证件(如房产贷款四证缺一证)､缺授权(如法人代表授权委托书)，就办业务。同时，部分业务内控制度存在盲点，管理制度､操作流程存在漏洞和缺失。一些重要业务领域如账户管理､业务授权､票据交换､外汇开证､批量代扣业务等方面操作不规范，存在较大操作风险隐患。

(六)风险发现能力不够

多数国内商业银行没有将操作风险的发生当作连续发生的必然事件来处理，并建立数据库，进行量化计算，一般都是采取一些被动的短期补救措施。正因为没将风险的发生当作是偶然的､孤立的､无法计量的事件，因此根本没有投入资源进行操作风险管理计量工具的开发。由于长期以来没有建立数据库，因而即使引进了国外操作风险计量工具和模型，也因为缺乏足够的数据分析支撑，不能使分析管理工具真正发挥作用。因此操作风险的识别､计量､管理能力缺乏，管理的关口无法前移，不能进行主动的事前管理。

四､多管齐下提高商业银行操作风险管理能力

(一)强化操作风险管理的外部监管

监管机构应及时制定《商业银行操作风险管理指引》，指导和推动国内商业银行全面加强操作风险管理。监管部门按照高风险､高频率监管，低风险､低频率监管的原则，对各商业银行执行防范操作风险“十三条”和“十个联动”的情况及时进行事后评价，推行监管的问责制度。强制商业银行将操作风险管理的信息披露给公众，通过外部力量迫使商业银行加强操作风险管理。根据中国银监会提出的“三个挂钩”(即将操作风险的防范和整改工作同激励约束机制挂钩，同银行的评级挂钩，市场准入挂钩)，加大对商业银行操作风险的监管力度。

(二)建立统一的操作风险管理体制

应按照巴塞尔委员会的建议，由各级高层管理人员组成操作风险管理委员会，制定操作风险管理政策，建立自我评估､风险评判及稽核体系，对全行操作风险进行有效管理。在各级网点设立风险经理，负责网点操作风险控制的具体管理，进行网点风险自我评估，组织网点对评估中或内､外部检查中发现的问题进行纠正。通过一系列操作风险管理流程和框架的再造，对操作风险进行全面识别､评估､监控､报告､改进，建立循环的､持续改进的管理过程，构筑较为完整的操作风险管理体制，同时建立操作风险管理责任制度，明确不同职位的人员在操作风险管理中应担负的责任。

(三)构建完善的操作风险监控体系

一是形成检查制度。加强规章制度执行情况的监督检查，加大对储蓄､会计､出纳､信贷､保卫等重要部门､重要人员和三授权卡､印鉴密押､空白凭证､金库尾箱､查询对账､轮岗休假等易发案件部位和环节的监督检查力度。二是充分发挥稽核监督职能。形成独立的内部审计体系，提升非现场稽核手段能力，大力借助外部审计手段，将合规性审计向合规性审计与风险性审计并重，突出风险性审计。三是建立持续改进机制。检查监督是对是否符合要求进行发现，要建立和完善纠错机制，实施有效的纠正和预防措施，建立一个持续的､循环的操作风险改进过程，确保可能产生风险的每一个环节和过程得到有效控制。

(四)提高操作风险的识别控制能力

对发生的每一次风险事件进行监控和记录，并分析导致每次风险的因素和产生风险的环节点，度量这些因素对风险的具体影响，同时对风险的程度进行数量化的度量记录。在已有的几种度量方法中，基本指标法和标准法相对简单但过于保守，不能满足资本金对风险的敏感度，而内部度量法､VaR法､损失分布法等均需要较多的历史损失数据，因而应从积累日常数据开始建立损失数据库，记录损失及其程度。根据历史数据设置好关键指标体系，对操作风险进行识别和度量，为其配置相应的资本金;另一方面应对操作风险进行评估､监控和管理，按风险的可接受程度对风险进行排序，对不可接受的风险要进行缓释､转移，对可防范的风险要从损失数据库的记录中总结经验，从具体业务流程中找出风险点，制定详细的规章制度，进行控制，按照“一个岗位对应一本岗位手册､一条业务线对应一套操作程序”的原则，逐渐形成健全的内部控制制度。

(五)培育良好的操作风险管理文化

由银行高级管理人员积极推动，建立起共同的风险管理价值观。将操作风险文化贯穿于完善风险管理体系的整个过程，不断将操作风险管理新理念､原理､工具等传递给相关人员。各层次管理人员对操作风险形成全面､足够的了解，并高度重视，带头防范。积极倡导诚信理念，鼓励员工积极关注操作风险，注重员工思想道德的培育､法律意识的培养及工作技能的培训，使其自觉遵守各项规章制度和操作规程。建立违规举报机制，增强员工合规意识。建立全面､科学､可操作的风险管理激励约束机制，纠正片面“重营销激励､轻违规约束”的做法，充分调动员工加强风险管理的积极性和主动性。

参考文献:

[1]顾京圃.中国商业银行操作风险管理.中国金融出版社，2006

[2]巴曙松.巴塞尔新资本协议研究.中国金融出版社，2003

篇（4）

中图分类号：F83 文献标识码：A

收录日期：2014年1月27日

一、中外资银行操作风险管控主要差异

（一）认识差异。中资银行对操作风险缺乏全面、系统的认识，不能准确把握操作风险的本质。一是认为操作风险就是一线人员操作中产生的风险，将操作风险等同于金融犯罪；二是认为各种操作风险事件之间是孤立的、无法计量，也不能为其分配资本。

外资银行对操作风险的认识较为系统、全面，形成了自己的操作风险管理文化和理念。一是认为操作风险涉及银行各个业务领域，银行全员都担负着防范和控制操作风险的责任；二是认为表面上孤立的各操作风险事件之间存在内在联系，在有足够数据支持的情况下可以进行定量分析。同时，外资银行管理层注重加强银行全员对操作风险的认识和建立内部风险控制文化，营造良好的操作风险管理和控制环境。

（二）管理架构差异。中资银行实行统一法人体制下的分级授权经营模式，其内部组织结构一般有4～5个层级，管理链条过长，易导致决策权力层次过多、责任界限不清，总行对下级分行的掌控能力削弱。尽管不少中资商业银行近年来进行了扁平化管理改革尝试，但由于技术、人力资源等因素所限，实际效果不太理想。

外资银行组织结构逐渐向扁平化发展，多采用矩阵式管理模式。这种管理模式下总行对分行的业务风险控制主要通过各职能部门实现，银行管理层次减少。银行通过建立横向与纵向交错的组织管理系统和报告关系，能够促进业务运作在横向和纵向上的交叉制约，有利于强化风险管理和内部控制。

（三）管理政策差异。中资银行缺乏全行统一的、标准化的操作风险管理政策。一是中资银行在操作风险管理上权责不明确，政策执行不力；二是关键业务的操作风险管理标准和目标不一致，不同部门及人员之间理解存在偏差，无法确保政策执行的一致性。

外资银行的操作风险管理政策一般包括两个层次：一是在整个银行层面的管理政策，明确了从董事会、管理层到各业务部门、内审部门的操作风险管理职责，同时制定了操作风险管理的整体程序；二是各个部门的具体操作规程。以操作风险管理的整体程序为指导，贯穿于操作规程各个方面。外资银行统一的操作风险管理政策标准和目标，有助于对业务活动及其支持过程进行监控、计量和管理，使银行基本能够识别、计量和监控重大的操作风险。

（四）识别、评估和量化管理差异。中资银行操作风险管理尚不能进行主动的、事前性管理，在风险事件发生后一般采取“亡羊补牢”式的被动补救措施。由于中资商业银行未能建立全面的损失计量数据库，即使引进了国外操作风险计量工具和模型，但因缺乏足够的数据支撑，相关计量工具也很难得到有效应用。

外资银行建立了操作风险量化模型，使操作风险的定量分析得以实施。外资银行对操作风险的评估和量化使管理层能够识别银行能否承担多大的风险，对需要缓释的风险进行优先排序，从而实现操作风险管理端口前移。此外，操作风险的定量监测还能为银行设立风险限额、对未来损失进行预测以及将操作风险纳入绩效考核。在具体的管理手段上，外资银行对操作风险管控十分注重风险的事前控制。以笔者所在的外资银行为例，在所有分行中除设有专职合规负责人以外，还设有日监查人员。该日监查人员主要负责对本日所发生的所有业务单据进行合规性检查，包括签章是否完备、业务单据是否符合内控制度要求等。由于银行日常业务均有复核人员把控操作风险的第一道关口，但是设立日监查人员可以再次对操作风险进行把控。

（五）管理报告机制差异。中资银行尚未建立完善的操作风险报告制度。一是报告制度不够标准化，缺乏统一的报送模板；二是报送时效性差，实行逐层报告制度，总行难以及时了解那些影响全行的重大事项；三是报告覆盖不够全面，对日常性的、单笔损失较小但发生频率较高的操作风险事件尚未建立统计报告制度。

外资银行制定了详尽的操作风险报告制度。一是确定了统一的报送模板，对报送时限、数据确认等其他方面也进行了详细的规定；二是操作风险报告涵盖面较广，包括银行面临的关键操作风险、拟实施的应对措施、已实施措施的有效性等信息；三是操作风险报告机制的系统化和标准化使银行管理层能够全面及时地掌握银行所面临的操作风险，及时采取防范措施。

（六）外部制约差异。中资银行外部压力较小。一是由于监管部门的监管重点长期集中于信贷风险和市场风险，没有专门针对中资银行操作风险管理的监管规章；二是由于市场环境、会计准则差异、信息披露要求等因素，中资银行操作风险信息披露压力较轻。

外资银行的外部压力较大。一是由于巴塞尔协议将操作风险纳入资本监管体系，同时针对不同银行的风险状况和管理环境，对内部资本评估程序进行检查；二是发达国家信息披露制度较为严格，从监管部门的要求到国际会计准则都对银行信息披露制定了严格、明确的规定。

二、对中资银行相关建议

（一）把握操作风险本质，培育操作风险管理文化。中资银行应结合自身实际，准确把握操作风险本质，全面、系统地认识操作风险；充分识别和评估所有业务和系统中的操作风险；改变操作风险不可量化的思想，致力于操作风险量化模型的开发。管理层应充分了解本行操作风险现状，积极倡导建立覆盖面广、执行有力的操作风险控制文化，从经营理念、管理制度、价值标准、行为规范等方面形成本行的风险管理文化。

（二）建立健全保障机制，确保矩阵式管理有效性。中资银行在深化扁平化管理改革的同时，应大力强化对分支机构的约束，加大风险控制力度，并试行矩阵式管理模式。为提高矩阵式管理的有效性，中资银行应健全相关保障机制。一是进一步明晰内部权责关系；二是及早建立业绩评价系统，科学量化业务考核标准；三是全面完善信息系统。

（三）统一管理政策，明确操作规范。中资银行应建立全行统一的操作风险管理政策，确定操作风险管理标准和目标，全过程、立体化监控操作风险。在明确各部门操作风险管理权责的基础上，中资银行应将相应的风险管理方法和程序蕴含于操作风险管理政策之中，并根据银行的风险状况和风险承受能力及时更新和调整，同时将其清晰地传达给各个部门，以维持全行标准统一，并通过加强培训和督促整改等措施，确保统一执行。

篇（5）

银行业是一个高风险的行业，对风险的防范、管理和化解是银行业发展的永恒主题。由操作风险导致银行倒闭的深刻案例之一是巴林银行由于没有将交易与清算业务分开这个制度上的缺陷以及其内部审计的松散与监管不力，直接走向了倒闭的命运。1995年2月英国中央银行英格兰银行宣布一条消息：巴林银行不得继续从事交易活动并将申请资产清理。10天后，又以1英镑的象征性价格被荷兰国际集团收购。巴林银行总损失为13亿美元，资本损失100%，从违规到灾难发生的时间仅为三年 。

近些年以来，国内金融业发生了一系列因操作风险导致金融机构陷入危机甚至倒闭破产的事件，这些事件严重影响了政府、公众和潜在海外投资者对中国商业银行的信心。我国在与国际金融业接轨的同时，我国的银行业面临的操作风险正在逐渐显现，控制操作风险迫在眉睫。

一、操作风险及其影响因素分析

（一）《巴塞尔新资本协议》对操作风险的界定

在对操作风险的定义方面，学术界已有颇多的探讨，他们分别从不同的方面进行界定，使得目前尚没有形成统一的操作风险定义。目前，最具影响力的操作风险定义是《巴塞尔新资本协议》给出的界定：“操作风险是指由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险。”

（二）操作风险影响因素分析

1、人员因素。主要包括员工的思想道德素质、员工的业务能力、内部欺诈、失职违规、知识/技能匮乏、越权和行为、核心雇员流失、违反用工法等。人是操作风险防范的主体，在操作风险的控制过程中发挥着不可或缺的作用。同时随着我国法律制度的不断健全和完善，银行和内部员工之间的劳资和法律纠纷，员工因意外伤害而要求赔偿的事例也不断出现，增加了操作风险的损失。

2、内部流程制度因素。主要包括财务会计错误、文件合同缺陷、产品设计缺陷、错误监控、支付结算错误、交易定价错误、制度的不完善、滞后性、执行不力等。一些银行财会制度不完善、管理流程不清晰。目前，各商业银行的制度建设正朝规范化和标准化方向发展，但由于内控制度和各程序设计上存在缺陷，许多制度都执行不力从而流于形式；制度的滞后性使得制度的建设跟不上业务创新的需要。

3、系统因素。包括软件、硬件设备、操作系统网络等。目前，银行都实现了网络化，这样系统的评估与升级、系统日常维护、系统安全保护就显得尤为重要，一旦出现失误，就会产生操作风险。在业务处理过程中，由于网络故障，可能会出现存款重复入款、取款未下账等。如果被不法分子利用将钱取走将使银行蒙受无谓的损失。 商业银行的技术部门应当与业务部门相互协调，确保系统的整体稳定运行，核心银行系统与相关系统有效兼容，保持业务和管理需求的适宜性。

4、外部事件因素。主要包括外部欺诈、洗钱、政治风险、监管规定、业务外包、自然灾害、恐怖威胁等。例如抢劫、黑客攻击、盗窃以及地震、经济萧条、战争等不可抗因素都会给商业银行造成损失。从短期来看，操作风险主要来自内部欺诈和外部欺诈，在银行的实践中可以看出，由于内部和外部欺诈所产生的损失额约占到全部损失的70%，损失频度和强度均高于其他类型；从长期来看，随着银行业电子化程度不断提高，黑客攻击等技术性因素产生的操作风险越来越多。

二、商业银行操作风险现状及问题分析

自我国商业银行体制改革以来，各商业银行都在完善自身内控制度、加强监督检查、提高从业人员素质等方面做了非常不懈的努力，但我国商业银行对操作风险的认识和防范仍处在探索阶段。无论是在操作风险管理理念、管理框架还是操作风险的度量、管理和化解手段上，都处于初级阶段，在实践中还存在很多需要解决的问题。

（一）错误的操作风险管理理念

一直以来，我国商业银行都把对信用风险和市场风险的防范做为商业银行风险防范的重点。操作风险与之相比，不论是在制度规则和认识水平上都比较低，尚未形成全面的内控文化。我国商业银行以往是以“人治”为主，以信任代替管理，以习惯代替制度。只有当发生重大事件时，才采取强硬的处罚手段来进行管理，试图以严厉的处罚遏制风险的出现，缺乏事前和事中的控制，使许多重要的防范制度形同虚设，未能做到防范于未然。

（二）内控体系不完善

篇（6）

引言：风险管理逐渐受到金融机构的关注。科学合理的金融风险管理可以让金融机构进行有效的、健康的发展，并且，还可以将企业的防范风险的资金成本降低，提升企业的竞争能力。当前，金融机构所要面对的风险大致上可以分为：市场风险、信用风险和操作风险。市场风险指的是因为特殊的环境风险因素的转变，让净收入或投资组合价值出现波动。当前由于我国的经济处在转型阶段，认为目前的市场经济的法律及规章制度具有许多不完善的地方，加上社会的变化，使得各种违规与欺诈的事情不断涌现。所以，操作风险是我国金融机构需要面对的主要风险，操作风险的管理对于金融机构具有极其特殊的含义。

一、操作风险的含义

金融操作风险的含义为：操作风险与金融投资业务紧密相连，是由于外部因素、技术体系以及内部因素的影响下，导致无法掌控的损失，这些损失和金融市场上出现的波动以及交易方的信用问题无关。所以，通过引起风险发生的内部原因可以发现，金融投资的操作风险主要出自以下几个方面：

1、操作结算风险。由于交易指令、定价、结算以及交易能力等问题引起的损失；

2、技术风险。因为技术的局限或者硬件方面的原因，导致公司无法有效、正确的收集、解决、传导信息所引发的损失；

3、内部失控风险。因为超风险限额而没有被发现、越权交易或者是后台部门的欺诈行为造成的损失。

当然，想要为金融投资的操作风险给出一个非常明确的定义是具有难度的。在进行风险操作管理时，很多国外的金融投资机构运用了对于市场风险以及信用风险认同的方法及管理方式，也就是针对风险进行详细划分，掌握操作风险的含义，了解哪些类型的风险应当归入到操作风险当中，哪些类型的操作风险应当归入到风险管理当中，并且进行详细的分析来确定是否要进行整体风险的控制，通过实践表明，这样的方式确实非常有效。

二、金融投资面对的风险分析

风险管理的目的并非消除风险，而是将风险管理降到最低的过程，在风险管理的过程里，要先针对金融投资里的风险进行辨别，这是投资者做风险管理的先决条件，只有真正辨别出投资过程里的风险，才可以运用合理的方法进行风险管理。而在金融投资的过程里，最为常见的风险有以下几种：

1、市场风险。市场风险也可以称作价格风险，指的是通过金融工具的市场价格进行转变，从而引发的亏损风险。因为金融投资工具频繁出现价格的转变，因此投资者在面对市场风险是最常见的一种风险。通过市场风险的不同来源可以进行不同的分类，大致可以把市场风险分成系统性和非系统性风险，系统性风险通常是指因为宏观原因的转变，造成投资组合净值的转变。非系统性风险指的是投资的某一品种引发的风险。投资者在面对系统性风险及非系统性风险时所采用的房里方法也不同，而系统性风险是无法动摇的，非系统性风险可以透过投资重组进行分散。

2、流动性风险。流动性风险指的是通过投资重组将金融工具进行集中，引发投资产品短期内变现困难，并且持有的流动资金无法进行正常支付时产生的风险。常规情况下，如果投资者的金融产品价格波动正常，并且投资金额占总资金的比重不大时，流动性风险就不会非常严重。流动性风险往往出现在市场波动较大，交易量迅速降低，投资者必须要大批先进的状况下，才容易造成严重的损失，因为这样的状况下，投资者通常要用较低的价格将手中投资的金融资产销售掉。

3、操作风险。操作风险作为金融投资过程里最关键的风险，包含了很多已经识别出的风险。详细来说，操作风险指的是因为投资者内部经营管理问题以及投资策略失误引起的风险。通常包含以下几点：

（1）投资研究员的专业素养、职业道德以及风险意识所引起的投资决策风险；

（2）因为投资者的管理能力有限所引起的经营风险。

这些风险都会给金融投资造成损失。操作风险融入于金融投资过程当中的方方面面，是投资者必须基于关注和防范的风险。

4、信用风险。信用风险也是金融投资风险当中非常重要的一种，它主要指在金融交易的过程里可能会引发的交收违约，也可能会引起债券持有发行人违约或者拒绝支付到期款而引发的金融投资资产损失的风险。由于我国金融市场的不断发展，货币、债券等固定收益的金融工具逐渐变成重要的投资类型，甚至是国内短期的融资券的发行也在不断扩大，由于这些金融投资品种的风险不断累积，最大程度的避免金融投资信用风险成为了投资者必须关注的问题。

三、操作风险的度量

操作风险作为金融活动当中最为普遍的风险表现形式，从历史的角度来讲，很多度量操作风险的失败原因，大多是没有适当的方式以及可以用在量化分析的客观数据，而信用风险和市场风险则存在许多例如价格变动、违约率等可以利用的外部分析数据，相对而言较为容易进行风险度量。因为影响操作风险的原因大多是金融机构内部原因，并且风险因素和产生的可能性及损失的大小之间不具备明显的关联，所以，在实际操作中，很难有人寻求到一种方式可以清晰的描绘出操作风险，自然对于操作风险的度量来讲，也具有非常大的困难。已经掌握的操作风险度量模型有三种：

第一种：创建于数据之上的统计模型，此模型最具代表性的方式就是损失分步法，也被称为LDA。此方式会先对单个损失的发生频率以及大小通过参数进行评估，之后运用连接函数的方式将各种影响因素进行综合；

第二种：依旧是统计模型的计算操作风险，可是主要应当通过定性方法进行校对模型，定性方法大致包含了风险排序法、情景分析法、排查法、权衡打分法等；

第三种：创建于操作风险过程的功能模拟智商的模型，透过单一的过程相互依存的方式来模仿影响因素之间的关联性。

当然，就目前的操作风险度量方法而言，有两种模型应当重点说明：第一种是用于测量操作风险的VaR技术。它的主要论点在于操作风险可以通过VaR技术进行测量，以建立来自内部和外部的操作损失数据库为基本思想，并通过数据的操作损失分布，来确定一个置信区间，这样就可以将VaR的操作风险计算出来。但也可以通过分析收益波动性来计算操作风险，也就是通过收益当中将市场风险以及信用风险的相关收益剔除掉，把剩下的收益当成和操作风险有关的收益，可是就这一点而言争议性非常大；第二种是贝叶斯推断网络模型，也可以称之为BBN模型，贝叶斯网络逐渐被使用在度量以及模拟操作风险方面，其主要原因有以下四个方面：

第一，BBN推断网络模型描绘了对操作风险具有影响的各类因素，所以可以提供行为改变的原因；

第二，BBN可以使用在情景分析方面，计算出度量的最大经营损失，并将市场风险以及信用风险有效结合；

第三，BBN适合用在度量以及模拟不同种类的操作风险方面；

第四，运用决策节点以及效用来充实BBN，来提升管理决策的明朗化。

BBN的结构属于一种直接的非循环类的图形，其中节点的意思是随机变量，连线的意思是影响因素，BBN结构属于一种流转过程同各类因素的融合。BBN较为容易进行情景分析，投资经理在进行债券交易的同时，对即将要执行的交易通过情景模拟的方式来计算出预计的结算损失有多少，BBN较容易通过情景分析让风险经理针对外来的交易风险进行掌控，并且风险经理可以透过针对市场风险因素以及信用风险因素的情景模拟，判断出操作风险是怎样同市场风险以及信用风险有效结合的。

贝叶斯推断网络模型可以用在一系列的度量操作风险上，针对同一个问题可以创建出很多个BBN网络大框，并且决策人员可以透过返回检验的方法来判定哪种是最佳的网络设计。通过理论以及实践可以发现，贝叶斯推断网络模型非常值得金融投资机构使用操作风险度量以及模拟方式进行操作。

总之，操作风险度量大致有以下三种方式：

第一种，分析方式。这种方式对于损失产生的次数以及大小都给出了非常强硬的假定，之后通过一些统计模型来获得操作风险的大小，大致上来讲属于一种定量测量的方式；

第二种，主观判定方式。在执行操作风险的度量时，由于缺少操作风险的损失数据，因此，想要通过数据进行评估操作损失的分布就变得尤为困难，至少对当前而言，用评估操作损失分布的方式来判断金融投资的操作风险是不符合逻辑的。因此，当前国外的金融体系运用的操作风险度量方式普遍以定性评价方式为主，这种方式通过独立的部门，经由事先预定的风险评估指标针对每一个业务的缺陷进行评估，之后，再进一步进行细分；

第三种，定性和定量相结合的方式。这种混合的方式，使得相对风险排序、主观方式的运用以及损失时间数据库的建立进行有效结合。

四、操作风险的控制与管理

操作风险管理不仅要系统的进行分析预期损失以及未预期损失的缘由，并且也要评估风险，为风险的预防、降低转移和为风险分配资本等做出努力。操作风险管理的步骤大致包括以下几点：

1、明确风险管理的范畴以及目标。

高层的管理人员询问过董事会之后，应当同企业的经营策略、风险偏好相结合，为风险管理建立一个范畴以及目标。并且，还要制定一些短期的具体目标，以确保风险管理的工作可以稳定的发展。这些短期的具体目标可以分为以下方面：

（1）明确定义一些关键的损失事件并进行命名，这样才可以确保在未来的管理工作里可以更加方便的进行探讨和分析；

（2）创建一个损失事件簿，为定量分析操作风险模型积攒数据；

（3）创建统计模型分析特定损失时间的原因以及相互之间的关联；

（4）采取由于风险进行的资源配置和情景分析。

2、明确重要的风险。

员工通过高级管理人员的支持后，一定要明确哪些才是重要的风险。操作风险管理之所以失败，是由于内容过于宽泛，所以在明确的同时，一定要严格依照高层规定的目标进行操作。

3、针对风险进行评估。

运用不同渠道获得的数据，用来评估一些较为重要的过程以及资源的操作风险，评估的内容不仅包含了风险形成的冲击，还包含了损失事件产生的概率。针对无法定量分析的风险，一定要找到产生这些风险的原因和可以通过怎样的方式进行评估。并且，风险不同，相互间的依赖就不同，所以需要对她们之间的依赖性进行评估。

4、分析。

通过以上内容后，已经初步判断出各部门潜在的操作风险。随之而来的，就是要为这些风险进行分析。先进行风险加总，然后进行可行的风险管理措施，之后要分析单独的损失事件，再分析风险的过程以及资源的分配，分析出关键的风险因素，最后，针对风险管理的措施进一步进行分析。

5、通过措施消除存在于经营过程以及资源当中的风险。

可以通过风险回避以及风险因素管理的措施、损失预报的措施、损失预防的措施、损失掌控的措施、降低损失的措施、应急措施和风险融资的措施进行管理。

6、针对操作风险的检测报告。

一个规范的报告制度是一个成功的风险管理的首要条件。针对风险采取连续的检测，并定期进行报告的方式可以有效的检测出操作风险管理的需求，所以，持续的检测对于任何一种风险管理来讲都是必不可少的环节。

结束语：通过世界的角度来看，针对操作风险管理的分析才刚刚开始，虽然在金融部门的投资过程里运用了一系列的操作风险管理的方法，可是显然这些管理方式还不够健全，也缺少理论作为指导。操作风险在金融机构进行投资的过程里需要面对的主要风险，金融投资风险的管理成效如何完全在于怎样操作风险管理。投资者应当建立长期的投资目标，以完善的风险政策进行总结和评论，进而为风险建立一个完善的制度及管理的支持。（作者单位：贵州省茅台集团财务有限公司）

参考文献：

[1]黎仁华，马丽莎.商业银行风险预警测度指标的定位分析——基于操作风险导向的审计模式[A].中国会计学会财务成本分会2006年年会暨第19次理论研讨会论文集（下）[C].2006.

篇（7）

中图分类号:F830文献标识码:A文章编号:16723198(2009)22003403

随着经济环境的不断变化,操作风险爆发的频率大幅攀升,而且往往造成巨额损失,巴林银行和大和银行的倒闭事件充分证实了操作风险的危害性以及对其进行管理的重要性。2001年以来巴塞尔银行监管委员会连续三次发表长篇咨询报告,与业界磋商如何建立稳妥的操作风险管理和监管机制。不论是金融从业机构,还是金融监管部门,都前所未有地加大了对操作风险的管理和控制的力度。

1 操作风险定义中的内控因素

巴塞尔委员会根据英国银行家协会(BBA)、国际掉期和衍生品交易协会、风险管理协会以及普华永到咨询公司的意见,将操作风险定义为“由不完善或有问题的内部程序、人员、系统或外部事件造成的直接或间接损失的风险”。首先,从定义中可以看出,操作风险与内部操作有直接相关关系。内部操作通常就是银行及其员工的作为或不作为,银行能够也应该能够对其施加影响,也就是强调了内部控制系统所具有的重要作用。其次,人员和人员失误对操作风险的产生起到了决定性作用。操作风险主要源于银行日常的经营活动,人为因素在引发操作风险的因素中占有重要的、直接的地位。巴塞尔新资本协议规定的7类操作风险中有6类都与人为操作有直接关系。

巴塞尔委员会和反对虚假财务报告组织委员会(COSO)提出了内部控制的“三元目标”:业绩目标、信息目标、合规性目标。我国监管当局确立了“四元目标”,即在三元目标的基础上增加了“风险管理有效性目标”。可见,商业银行内部控制以防范和化解风险为出发点,是一个风险管理的动态过程。商业银行内部控制同样也强调了人的作用,政策制定主体是董事会,实施主体是高级管理人员,控制主体是员工。

单纯从概念内涵中可以初步得到两者之间的关系:管理的内容相同,都对操作风险进行管理;管理的对象有重叠,都对人员的作为与不作为进行控制;管理的特征相同,都注重过程,而不是单纯的阶段性管理。同样,两者之间的区别在于:管理的重点不同,操作风险管理强调“区别”管理,区分出可忍受的风险、可转移的风险,并对其采用不同的管理手段;内控机制强调机制、制度建设。管理的方式方法不同,操作风险管理主要通过技术手段,而内控机制主要通过银行内部组织构架和制度建设来实现管理的需求。

2 操作风险案例实证

通过案例实证,我们想证明的是内部控制与操作风险高度的相关关系,操作风险的产生大部分是由于银行内部控制机制的不健全造成的。

为了说明,首先将操作风险按照损失事件的类型分类。根据巴塞尔新资本协议,将操作风险分为以下几类:

分类内容

内部欺诈例如,故意误报头寸、员工偷窃、员工通过自己账户的内部交易

外部欺诈例如,抢劫、伪造、空头支票、计算机黑客的破坏。

营业中断和系统瘫痪例如,计算机硬件和软件的损毁、通讯故障、供电中断。

执行、传递和程序管理例如,数据录入错误、抵押管理失败、不完全的法律文件、非法进入客户账户、非客户的交易对手操作失误和供应商纠纷。

雇佣制度和工作场所安全例如,工人补偿申诉、有组织的工会行动、侵害员工健康和安全条例。

顾客、产品和业务做法例如,信用违约、客户秘密信息的滥用、洗钱、银行账户上不正当交易行为和未经许可产品的销售。

实物资产的损坏例如,恐怖行为、破坏行为、地震、火灾和洪灾。

2.1 国际案例

除了著名的巴林银行倒闭事件以外,还有很多操作风险的案例。

1992年,标准渣打银行被印度政府指控违反印度银行法和指引,包括:投资国债、代公司客户投资、给经纪人融资去投资孟买市场,损失4.4亿美元。

日本大和银行由于在资金交易的前台、后台没有很好的隔离,高级管理层对操作风险缺乏认识等原因,其在长达11年的资金交易中,有3万笔交易没有经过授权,最终在1995年累积爆发,最终的损失达11亿美元。

1995年3月15日,由于内部管理不善、贷款和投资出现严重问题,法国三大银行之一的里昂信贷银行出现了高达500亿法国法郎(约100.6亿美元)的坏账。

1997年,摩根格雷费资产管理公司(德意志银行)一名基金经理违反规定,投资于三大共同基金的非上市证券,造成损失超过6个亿。

2001年由于高级管理人员挪用和贷款欺诈,导致基斯顿第一国民银行倒闭。

2001年纽约共和银行在普林斯顿国际经济公司销售的证券中担任管理人,该公司编制虚假财务报表并且混合客户资金,该行因此支付了6.11亿美元的赔偿金和罚金。

2001年FSB超级银行因在证券化的次级优惠贷款中截留利息,会计报表失真,导致该行倒闭,损失金额4.4亿美元。

20002年美洲银行因为解决与国民银行合并之后的诉讼(诉讼美洲银行隐瞒与D.E.Shaw公司的关系),损失4.9亿美元。

2002年爱尔兰联合银行由于在过去5年内发生非授权交易蒙受近7亿美元的亏损。

2002年J.P.摩根大通因为与安然公司有关的诉讼和监管事宜,已经拨备9亿美元的储备金。

就以上有限的案例分类分析,至少可以说明,国际案例中操作风险主要集中在:执行、传递、程序管理和顾客、产品、业务做法两大块内容中。相对而言,防范内部欺诈和外部欺诈是对内控制度的基础要求,而防范执行、传递、程序管理和顾客、产品、业务做法中的操作风险是对内控制度的高级要求。如果内控制度相对完善,那么欺诈行为出现的频率也会有所降低(当然,这种结论存在着片面和不确定性,不排除其他没有搜集到的案例也存在其他方面的巨额损失)。

2.2 国内案例

除此以外,为了更加强调研究问题的现实意义,缩小研究范围,有必要对我国的操作风险情况做出比较细致的讨论。

通过媒体报道,搜集了部分操作风险损失的典型案例。当然,这是不全面的,因为发生损失的金额大小与报道的频率呈正相关,也就是说,操作风险损失金额越大,报道的概率就越高。但是尽管不全面,由于目前我国操作风险的数据库尚未建立,而且很难搜集,对其分析研究就只能通过媒体报道来完成。

由于我国目前正处于经济转型时期,市场经济所需要的制度环境仍不健全,而金融领域的改革相对其他领域滞后,管理经验不足,软硬件设备不够先进,致使操作风险在我国商业银行系统内广泛存在,重要的是由于内部控制机制不完善在很大程度上加剧了发生操作风险的频率,并带来了巨大的损失。搜集的34个案例的时间跨度长达15年(1992年2006年),损失金额少则72万,多则高达74亿。而实际上,就2004年一年期间,仅仅工、农、中、建四家国有商业银行发生操作类风险案件高达300多起,涉案金额4亿多元。我国商业银行的操作风险损失总体数量、总数额、单笔损失额呈快速上升趋势。

对我国操作风险来讲,可暂且忽略雇佣制度和工作场所安全以及实物资产的损坏这两类操作风险损失。根据其他5项将34个操作风险案例进行划分。

2.3 结论

(1)内部控制制度设立的不完善、执行的不严格是我国商业银行操作风险形成的主要原因。由于内部控制制度不严,为各种各样的来自银行内部的违规操作提供了可能。大部分案件当事人都是因为钻内控制度不健全的空子,牟取暴利。特别是,存在大量欺诈案件这个事实提醒了我们“人本思想”的内控体制建设还有待极大的发展和完善。

(2)通过对国际案例和国内案例的比较分析,可以得出结论:欺诈性操作风险的多发表明我国商业银行的内部控制机制存在基础性的问题和缺陷。如果内部控制高度健全,操作风险仍然无法完全消除,但发生范围会逐步缩小到主要由自然事故而非人为因素所导致的操作风险上来。也就是说,内控制度越不完善,发生欺诈性操作风险的频率越高,内控制度基础因素相对完善,发生欺诈性操作风险的频率也会随之下降。相比较而言,欺诈行为是我国商业银行操作风险的主要表现形式,而在发达国家的商业银行中却较少出现,这说明我国商业银行内控制度建设相对发达国家还很落后,存在基础层面上的缺陷,特别是内控制度中基础文化的树立。

(3)在欺诈风险内部分析中,如果一个内控制度相对健全的商业银行中,由于内部欺诈导致的损失不会大于外部欺诈。在具体分析中,我们发现26个欺诈案件中,内部欺诈数量占35%,外部欺诈数量占19%,内部欺诈导致的损失金额占欺诈案件的达24%,而外部欺诈导致的损失金额只有5%。由此可见,我国商业银行内部欺诈导致的损失要大于外部欺诈导致的损失,这又进一步说明了我国商业银行内部控制制度存在严重的漏洞和缺陷。

(4)从现实案例来看,欺诈是我国商业银行操作风险的主要类型,而其中内外勾结的欺诈行为相对比较严重。这类行为一旦发生,一般隐匿时间较长,银行的损失极大。这也说明目前我国商业银行的内控机制还不很健全,或者说内控制度执行不严格、力度不到位。这些内外勾结的欺诈案例大部分是由于高层管理人员掌握着人力、财力、物力等大权,其危害性要远大于基层操作人员。

(5)除这些欺诈案件之外,其他损失类型也与内控制度的不健全密切相关,只是相关的层面不同而已,欺诈性操作风险与内控制度的基本层面相关,而例如,顾客、产品和业务做法以及执行、传递和程序管理等操作风险与内控制度相对较高层面相关,对它们的防范要求更为严格、更为缜密的内控制度建设。

(6)不仅操作风险所分类型之间不能完全区分,操作风险和信用风险、市场风险之间在某种程度上也不能完全割裂开来。金融机构有时很难清楚地区分客户不能偿还贷款,是由于“正常的”信用风险导致的,还是由于信贷人员本该认真审查而事实上却没有的操作风险造成的。也就是说,在目前的风险测量体系中,有相当一部分所谓的“信用风险”实质上应属于“操作风险”。

3 内控视角的操作风险管理

当然,我们并不能完全将操作风险的形成归结为内控制度的不完善,但至少可以说明后者是前者频繁发生的重要原因之一。所以,管理、防范操作风险主要从内部控制制度的完善和执行方面入手。这也是各商业银行建立现代企业制度、开展公司治理结构的改革所不可或缺的内容。

(1)观念上,树立商业银行内控制度的基本文化思想,这属于企业文化的一个子集。培养员工,使其具有最基本的防范操作风险的意识,树立防范、管理操作风险的责任观,认为这是作为银行一员所必须的基本原则和责任。提出操作风险管理的宗旨,定期举办培训会议,举行操作风险防范管理的评比活动并施以不同的奖惩措施。

(2)业务上,建立动态的全过程的风险管理线,完善内控制度的过程管理。

风险管理线包括操作风险内部的和外部的管理程序。

操作风险涉及领域非常广泛,业务操作的各个环节都有可能发生操作风险。所以必须建立一个从预防、监控到缓解的动态的、全过程的风险管理线。目前,我国商业银行内控程序主要是单一程序而不是复合程控,管理压力主要集中于风险管理部门,业务部门没有防范操作风险的意识和动力,而实际上,业务部门是操作风险的“发源地”,需要严加防范。所以,应当在业务一线设立操作风险的预警机制,培养业务人员的操作风险防范意识,确立奖惩机制。具体的法律部门、稽核部门也应当承担操作风险管理的责任。

操作风险与信用风险、市场风险存在重叠或交叉的部分,不能完全将它们割裂开。所以全过程的管理线还要关注三大风险之间的转化,及早在管理部门之间建立交流机制和渠道,防止风险的“真空地带”和迅速转化。

(3)人员上,确立合理的激励约束机制,但激励机制的建立也要考虑操作风险的因素。

除了对业务的风险管理之外,更重要的是对人员的风险管理。从案例分析发现,高层管理人员欺诈导致的损失是操作风险中不可小觑的一部分。由于历史原因,我国商业银行的董事会、监事会、股东大会三会的治理结构建立仍处于起步阶段,三会不能有效发挥作用已是不争的事实。尤其是监事会,很难起到监督管理的作用,高层管理人员由于没有受到有效的约束,滋生了谋取暴利的动机,导致金融腐败在操作风险上集中暴露。因此,建立对高管层的控制机制,实施有效的激励约束作用是关键之举。当然也不能忽视对基层一线人员的激励。

现有的银行激励制度的设计往往过分看重盈利性指标,忽略了风险指标。在对银行高层管理者进行评价时,没有区分其经营业绩的取得是建立在冒险型策略还是稳健型策略(策略风险是操作风险的一种)的基础之上,也没有相应的对报酬予以调整,那么这就鼓励了银行雇员采取冒险型策略以获取更大利润可能性的动机,使银行面临更大的操作风险,因为风险就是一种损失发生的不确定性,一时的利润可能潜伏着巨大亏损的可能性。所以,必须将操作风险水平纳入报酬激励设计中,这样才能有效控制操作风险。

(4)组织机构上,健全三会一高的内控制度,重塑内审的权威性。在我国,通常执行这一职能的机构是内部审计部门。与国外商业银行不同的是,我国银行的内审部门与一般不是平行设置,并不是直接隶属于监事会,往往对分支机构的稽核监督容易,对总行层面的稽核监督难以开展,其权威性、独立性受到极大程度的制约。因此,从内控角度讲,应尽快健全监事会的作用,提升内部审计部门的独立性和权威性,最直接、最有效的方法就是将其纳入监事会的独立框架中。

参考文献

[1]樊欣,杨晓光.从媒体报道看我国商业银行业操作风险状.管理评论[J].2003,15(11):4347.

[2]巴曙松.巴塞尔新资本协议框架下的操作风险衡量与资本金约束[J].经济理论与经济管理,2003,(2).

[3]罗平.巴塞尔新资本协议研究文献及评述[M].北京:中国金融出版社,2004.

篇（8）

住房公积金操作风险目前还没有权威定义，参照银行业的定义，操作风险是指由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险。该定义不包括策略风险和声誉风险，但包括法律风险。住房公积金操作风险在我国公积金行业中普遍存在，但没有引起足够的重视，也没有对住房公积金操作风险管理进行系统研究，本文试图从住房公积金操作风险管理的现状入手，分析原因，提出相应对策。

一、现状

住房公积金制度自1999年《住房公积金管理条例》颁布以来，在推进住房制度改革，帮助职工家庭解决基本住房需求，解决和改善城镇居民的住房问题的同时，住房公积金管理水平也得到了较快的提升。但在住房公积金管理中，操作风险在各公积金管理中心以不同的类型的事件显现。

（一）内部欺诈损失案件屡破记录

我国住房公积金在内部管理和监督层面上缺乏风险防范以及未建立有效的风险管理考核指标、责任追究机制和未建立健全监督机制，导致公积金对内部的管理失控，内部欺诈案件数额一件比一件惊人。例如，湖南省郴州市住房公积金管理中心原主任李树彪贪污、挪用公积金一案，被称为当时（2004年）的“全国住房公积金第一案”，1999年9月至2004年1月，李树彪利用其职务便利，撇开单位内部的审核、管理环节，与商业银行和其他金融机构恶意串通，作案29次，从银行和其他金融机构非法获取贷款6675.5万元，实际占用6229.1061万元。郴州市中级人民法院一审判决李树彪死刑。2009年，据《中国经营报》报道，北京市住房公积金管理中心朝阳区分中心（下称朝阳分中心）原主任刘毅被检查部门带走，其任职期间先后挪用近9000万元住房公积金。2014年，爆出吉林通化公积金挪用案，案件涉嫌金额惊人，又破历史纪录。

（二）外部欺诈案件常见报端

住房公积金的外部欺诈案件主要发生现在贷款和支取两个领域上。在贷款方面的表现为：申请人冒名贷款或虚构申请人骗取贷款，或贷款后潜逃；申请人明知自己无履行合同的实际能力或担保能力，采取欺骗手段申请贷款的；未将贷款按规定用途使用，任意挥霍致使贷款无法偿还的；为争取不正当利益，改变贷款用途，造成重大经济损失，致使贷款无法偿还的；隐匿贷款去向，贷款到期后拒不偿还的。例如，刘凡等3人利用他人名义冒顶替，使用欺骗手段在北京住房公积金管理中心骗取管理中心借款1376万元。在支取方面表现为：提交虚假材料和授权委托书代替他人支取公积金；伪造退休证、身份证等相关证件，提前支取公积金；虚构建房、大修房屋手续，支取公积金。此类情况一旦发生，追缴公积金存在很大的不确定性。例如，中山首例非法套取住房公积金案15人被公诉，南宁对非法骗提住房公积金行为立案51起 查处48起，安徽宣城判处骗提公积金者有期徒刑……。

（三）信息系统损失事件鲜为人知

由于维护不到位，操作不规范，或雷电短路损毁，使用不规范介质，或人为故意所致，甚至地震等等导致计算机系统失灵和系统漏洞以及系统崩溃，造成系统瘫痪、数据丢失和信息混乱，这给我国的住房公积金带来致命性的打击。

（四）资产隐形损失事件时有发生

住房公积金的资产在资产负债表上分为存款、应收款、国债、委托贷款和逾期贷款等，这些资产显性的损失易被发现，而隐形损失不易发现但时有发生。隐形损失主要表现为资产配置不合理，资产收益率低，在公积金满足住房贷款后，公积金配置存款和国债的年限和种类会影响流动性和收益。有的公积金管理中心没有争取银行存款的上浮政策，未获得或少获得利率上浮区间的利息收益，也造成资产的隐形损失。

（五）业务办理不规范埋下败诉苦果

住房公积金管理中心在日常业务办理应当遵守相关的管理制度和法律原则。在这个过程中，因为业务办理不规范，无法满足或违反法律要求，在法律诉讼案件中时有败诉案件发生，给住房公积金管理中心造成了经济损失，在这些败诉案件中主要有三类：诉讼时效和法定执行时效过期、主体资格不适用、不作为等。第一类是法定时效过期案件败诉，此类案件主要发生在贷款追缴方面，管理中心因为错过法定期间或诉讼时效，导致诉讼无效，丧失追索权，形成损失。逾期贷款的诉讼时效期间为2年，超过2年后进行诉讼就是无效诉讼，只能进行协议协商；保证人承担保证责任的时效是保证期间，一旦超过保证期间，保证人就会免除保证责任；在抵押权存续期满未处置抵押物将导致抵押权的消灭，如果对法定的时效没有进行主张权利，就很容易形成法律风险。第二类为主体资格不适用败诉，有的公积金管理中心在受理贷款、担保和提取公积金时不实行当事人当面进行身份认证和签字的操作办法，当出现法律纠纷时，多会因主体资格问题而败诉；在保证担保实践中，一些管理中心把《担保法》规定不得作为保证人的国家机关、以公益为目的事业单位、社会团体（如学校、幼儿园、医院等）、企业法人的分支机构、职能部门作为保证人，这也会因担保无效而败诉。第三类第为不作为案件败诉，有的管理中心在汇缴，拒绝接受合规贷款申请及破产改制补缴工作中，对少缴、停缴、欠缴的单位没有按规定进行催建，置之不理，放任自流，形成工作中的“不作为”，那么缴存人有权依法要求管理中心承担因行政“不作为”带来的责任和损失。

二、原因

造成以上风险事件的原因是多方面的，归纳起来主要有有六个方面。一是新兴行业，积累操作风险管理经验少，住房公积金制度建立在我国仅有30多年的历史，是一个新兴行业，没有现成的管理经验可借鉴，全国的公积金管理在设区的市成立管委会进行分散管理，各地管理模式还处在全委托银行、半委托银行、自主管理三种模式并存的探讨阶段，操作风险管理积累的经验很少。二是认识误区，把操作风险管理等同于内审、廉政管理，内部审计是指组织内部的一种独立客观的监督和评价活动，它通过审查和评价经营活动及内部控制的适当性、合法性和有效性来促进组织目标的实现；廉政管理是对工作人员在履行其职能时不，办事公正廉洁等方面的管理；操作风险管理是指对操作风险从识别到分析乃至采取应对措施等一系列过程的管理。三是机构缺位，没有设置操作风险管理机构，当今住房公积金操作风险管理机构不健全，机构缺失，主要表现在：操作风险管理职责分散，缺乏专门的管理部门；基层分支机构操作风险管理职能缺失。长此以往，这种缺失的操作风险管理机构将严重阻碍我国住房公积金的发展。四是人才匮乏，没有操作风险管理的人才，目前从我国住房公积金风险控制中看出，领导对风险管理人才重视不够，招录、引进、培养、留住风险管理人才的工作措施不得力；五是政策缺失，没有统一的操作风险管理指引，在住房公积金操作管理这一块，没有建立一套正确的统一的操作风险管理政策。如果没有一套统一的操作风险管理指引，那么就会出现各行其是的效果，上级管理部门对下属部门无法进行有效的管理和控制，各单位也没统一的操作风险管理指引可遵循，从而给单位各方面带来操作风险。六是流程失范，创造了风险事件发生的环境，目前，在住房公积金大多数管理中心已实现了流程管理，但在流程管理中隐含了大量的风险事件没有引起足够的重视。

三、对策

通过对目前住房公积金操作风险管理现状的分析，要提高操作风险管理水平，笔者建议应从以下六个方面入手：

（一）提高认识，把操作风险管理与业务管理同等重视

树立操作风险管理理念，全力营造操作风险管理的文化氛围，把科学的操作风险管理理念深入到各级公积金管理部门，植入到公积金管理中心的每一位员工，让上下各级、全部员工形成惯性思维。

（二）统一政策，出台操作风险管理指引

就全国而言，住房和城乡建设部要制定住房公积金操作风险管理指引，通过统一政策出台操作风险管理指引能够更好落实住房公积金的相关规定和做到防范风险。在单位各方面利益得到维护时，不合法的操作管理也将难以隐藏，同时便于更好的业务规范操作。

统一的操作风险管理指引能进一步完善住房公积金内部治理结构，提升操作风险管理能力。住房公积金操作风险管理指引要至少应包括以下基本要素：公积金管理委员会的监督控制、公积金管理中心管理层的职责、操作风险管理架构、操作风险管理政策、方法和程序，住房和城乡建设行政主管部门对操作风险的监管。

（三）成立机构，公积金管理中心设立操作风险管理机构

建立健全操作风险管理机构，各独立机关要在全系统建立风险管理委员会。在综合管理部门、归集部门、支取转移部门、个贷部门、财务部门要明确问责制、承诺机制、考核机制，并完善这些部门的程序、方法和操作风险计量、计提所需资金；完善操作风险管理机构，对重要的岗位、要害环节、敏感的业务风险点明确内控规定；严格授权、授信制度；建立完善事中控制和事后监督机制；建立操作风险信息预警报告制度，构建“人控、制控、机控一条龙”管理体系，从而，杜绝操作风险管理盲区和“断层”。此外，还必须在成立机构的同时保证做到整合操作风险管理资源，构建内控与内审联动、互动机制。

（四）重视人才，强化培养与引进操作风险管理人才

首先建立与行业要求相适应的教育培训体系是培养符合住房公积金操作风险管理人才的基础。我国住房公积金改革进程不断加快也对操作风险管理人才提出了更多的要求，除了熟悉专业的风险管理知识外，还要具有较高的发现评估风险的能力与风险规避缓释管理的技能。因此，国家住房和城乡建设部对外要助推知名大学开设公积金管理专业，专门设置操作风险管理课程；对内要成立住房公积金风险管理研究团队，培训全国公积金操作风险管理人员。

（五）强化研究，重视操作风险管理工具的研究

操作风险管理工具有三大类：RSCA――风险与控制自我评估、KRI――关键风险指标、LDC――损失数据收集。要重视风险与控制自我评估，对自身进行诊断和完善。住房公积金要对单位综合管理、归集个贷、提取转移、财务管理等进行自我观察、分析和判断，对可能出现的风险和采取什么样的相应控制方法进行评估，对不可接受的风险提出流程优化方案。

要重视关键风险指标，预警和应对信息监控。结合归集岗位、个贷岗位、支取转移岗位等流程分析和梳理，设计一系列反映关键操作风险状况的指标并确定预警阀值，定期跟踪监测值和变动情况，确保潜在风险或风险事件及时得到控制。

要重视损失数据收集，收集和整改事情。根据广泛性、重要性、及时性等原则，以2012年事业单位会计制度为最低要求收集损失数据，并对损失数据进行识别、汇总、分析与报告，以改善内部管理。

（六）规范流程，铲除操作风险发生的土壤。

提高流程设计科学性，在流程框架设计时层次要合理，必须设置到标准作业流程层次，从而避免公积金业务操作随意性大、责任不够清晰的现象；在设计流程环节时，关键环节要设置审核、复合环节，有的还要设置审批和内部审计监督环节。

参考文献：

[1]胡杰武，万里霜，企业风险管理[M].清华大学出版社有限公司.2009.09

[2]郭延安.风险管理[M].清华大学出版社.2010.02

篇（9）

[中图分类号]F832．1[文献标识码]A [文章编号]1673－291X（2006）04－0045－04

操作风险是指由不完善或有问题的内部操作过程、人员、系统或外部事件而导致的直接或间接损失风险（Basel II，2003）。“操作风险伴随着每一笔信贷业务而如影随形。”（Alexander J． Muermann，2001）实践与研究成果显示，操作风险长期以来未受到与其他类别风险同等的重视，匮乏的研究也难以提供较为成熟的风险管理技术（樊欣等，2003）。1995年，巴林银行破产案给国际银行界极大震动。该案揭示“即使银行符合资本充足性的要求，也可能因为操作风险而陷入经营困境”。（Hoffman，1998）

一、操作风险管理的重要意义

随着金融服务的全球化以及信息技术在金融业的应用和发展，银行业务经营及其风险组合变得更为复杂。技术系统的更新、交易量的提高、日趋复杂的交易工具和交易战略、网络银行的发展、法律和监管体系的调整和监管要求的日趋严格等，都增大了金融机构面临的操作风险。实践证明，操作风险比信用风险和市场风险更为广泛地分布于银行经营管理的方方面面，并给银行经营造成了越来越多的损失（Hoffman，1998）。继巴林银行破产案后相继发生的大和银行11亿美元的亏损事件以及2001年爱尔兰联合银行的7亿美元亏损事件等都源自操作性风险。巴塞尔委员会风险管理小组2002年6月的一项调查表明，损失巨大的突发事件导致大额损失报告事项增加是一个明显的趋势（Padraic Walsh，2003）。操作风险的客观存在及其增长，迫使金融机构提升其运作效率和可靠性，加强操作性风险的监控和管理。

在银行业操作性风险损失明显增长的背景下，从业者对操作风险管理日益关注。《巴塞尔新资本协议》于1999年6月、2001年1月和2003年4月，分别了三个版本的新协议征求意见稿，把操作风险、信用风险和市场风险一并纳入对金融机构的监管框架，既是近年来国际金融界日益注重操作风险管理的制度体现，同时，也是从全面风险管理和保持银行体系稳定的角度对操作风险管理的新要求。因此，以新协议的公布和实施为标志，商业银行必将面临一个如何根据新的监管要求有效引入操作风险管理的现实问题（Christine．M，2001）。

二、操作风险管理的相关研究：问题与争议

有关金融风险的研究一直是金融经济学的核心内容，由于全球金融系统的一体化进程加快以及金融工具的不断创新，风险管理的理论和实践都得到了极大的发展。然而，这种发展是不均衡的，其中有关市场风险度量和管理理论与实践最丰富，信用风险的研究开展得最早，近来也形成了一个研究的，唯有操作风险的研究至今未形成统一的理论框架。

1．操作风险的界定

对于操作风险的定义现在有多种看法（Hoffman，1998；BBA／ISDA／RMA，2000），讨论的焦点是哪种风险应该计入操作风险以及哪种操作风险应该是开展风险管理活动关注的焦点。几年前，银行通常将操作风险定义为除了信用风险或市场风险之外的所有风险（Jams Lam，2001），如今业内则普遍接收了巴塞尔委员会的定义：操作风险是指由不完善或有问题的内部操作过程、人员、系统或外部事件而导致的直接或间接损失风险。但Andy Kuritzkes（2001）对银行操作风险进行分类，认为如果风险定义为收益的不稳定性，则操作风险是指除金融风险（信用、市场、ALM、保险）外的非金融风险。而非金融风险可以进一步划分为三类：内部事件风险（由于内部失误造成的损失）；外部事件风险（由于不可控的外部事件造成的损失）；以及业务风险（由残余的收益不稳定性造成的损失，而不是来自事件风险）。他将全部的非金融风险粗计为资产的2．0％，而将BIS II界定的操作风险定义为内部和外部事件风险，粗计为资产的0．8％。Andrew和Hal（2002）在2002年6月26日举行的就资本充足率进行讨论的国际金融系统讨论会上，对新巴塞尔资本协议提出的通过资本准备金控制操作风险的做法也提出了异议。Andrew和Hal将银行风险分为金融风险和非金融风险，指出新巴塞尔协议定义的操作风险仅仅是非金融风险的一个子集，包括了内部事件风险和外部事件风险，而将业务风险排除在外。James Lam（2001）则认为，巴塞尔委员会的定义是就“一般意义”而言的，建议银行构造符合自身目标的定义，关键问题是是否将业务风险和名誉风险作为操作风险定义的一部分。而对于风险事件发生的频率以及影响力的讨论，现在比较一致的看法是，虽然频率高影响小的事件仍然是内部管理的重点，但操作风险管理的重点应该是频率低影响大的事件。

2．操作风险的度量

自操作风险管理系统提出之后，存在两种截然不同的学院派观点。一个学派认为，如果没有度量就没有管理，因此，集中研究操作风险的量化工具，例如，损失分布，风险指示器以及经济资本模型。继1998年巴塞尔委员会公布了关于操作风险的报告之后，1999年巴塞尔委员会又在其咨询意见稿中确立了包括操作风险在内的银行风险最小监管资本要求原则，这是推动操作风险模型化的标志性事件。一时间，操作风险量化模型得到了极大发展。

而另一个学派则坚信操作风险无法有效量化，因此，集中关注更人性化的定性方法，如自我评价、风险绘图以及稽核调查。John Drzik（2001）认为，操作风险管理应该更注重改善管理实践而不应过于强调操作风险的度量。监管者的最佳作用是通过要求银行机构评述所采用的控制操作风险的适当步骤来推进有效的操作风险管理。

两个学派之争是人与机器的典型战争。如今，操作风险管理的实践者越来越认识到，最好的操作风险管理实践是将两者结合起来。James Lam（2003）基于一致化操作风险管理基准体系的关键特性，提出了7因子经济资本模型。他认为，一致化操作风险管理基准体系应满足两个基本要求。首先，它应同时支持操作风险的度量与管理。其次，ORM基准体系应将相互依赖的信用、市场和操作风险结合起来，作为企业全面风险管理（EWRM）程序的一部分。基于这两个要求，操作风险管理基准体系有五个关键特性：（1）平衡定性和定量工具；（2）提供早期警告并逐步升级；（3）影响业务活动；（4）反映环境变化；（5）合并互相依赖的风险因素。根据这五个关键特性，Jams Lam提出了包含收益乘数、操作边际、内部指示器、外部指示器、模型风险、系统风险、金融风险乘数7个因素的经济资本模型。

3．操作风险的管理手段

关于操作风险的管理手段，《巴塞尔新资本协议》对操作风险提取监管资本的要求引起了银行业和一些学者的极大关注，人们关注的焦点除了在于如何衡量操作风险，以便适当地配置监管资本外，更有不少学者产生质疑。

Alexander Muermann（2001）认为，操作风险管理是银行依据特殊目的用于限制资金暴露而进行的特别保险，而监管者的资本要求可能是不必要的，因为在银行操作风险的特殊性质下资本的再分配未必一定能规避像巴林银行这样的重大事件。

Karen Petrou（2001）强调了操作风险管理的两个重点：（1）监管者的作用不应该是利用不明智的风险承担来防范银行个体的失误，相反，他应该防范由于整个行业内薄弱的风险管理造成的系统性银行失误。因此，监管资本并非最佳办法。（2）第二支柱和保险的作用应该是监管者关注的重点，这会促使银行度量自身风险并采取适当措施进行缓解。Petrou还评论了美国、欧洲和日本银行系统间的差异，以及这些差异导致在欧洲和日本，预留资本准备金成为天然的解决办法。然而，内部控制和良好的度量手段是美国的最佳解决方案。其中，主要差异在于美国的监管水平较高但监管范围较小，只有银行处于监管中。

Charles和Richard（2002）认为，新巴塞尔协议提出的用最低资本要求控制操作风险的方法并不适宜。私人保险和过程监管在控制操作风险方面比资本要求更有效。私人保险有如下好处：将操作风险转移给第三方，引入市场监管和约束以及具有风险敏感性的保险成本。过程监管则通过要求金融机构在适当的地方采取适当的过程和程序识别、度量、监督和控制操作风险，加强风险控制的私人市场动机。相反，巴塞尔协议中提出的控制操作风险的资本要求并不像私人保险和过程监管一样具有风险敏感性。而且利用过程监管和私人保险可以进一步避免在巴塞尔协议中由于差别对待低风险企业的反竞争效果。

Andrew和Hal（2002）认为，与银行为获取金融回报有意识地主动承担的金融风险不同，操作风险是银行业务不受欢迎的副产品。银行可以在事前采取重要步骤来减轻操作风险暴露，而不是在事后依靠资本准备金来吸收损失。银行管理操作风险时面对的并非风险与收益的权衡，而是风险和规避成本的权衡。规避操作风险的方法也因内部事件和外部事件风险而不同。内部事件风险从本质上讲是内生的，它们来自于内部过程、人员或系统的失误。防御内部事件风险的第一条战线应该是管理控制。银行安全防御操作失误的关键决定因素并不是它所持有的资本水平，相反，如何管理好银行则处于首要地位。即使预留更多资本准备，操作失误照样会发生，交易损失会继续攀升直至资本耗尽。外部事件风险是由企业不能控制的外生因素引起的。因此，外部事件不包括道德风险并且存在互不相关的倾向，这使得它们成为保险的良好对象。对大多数银行来说，保险是防御外部事件风险的第一条战线。在利用保险将风险暴露转移给第三方的同时，银行还可以采取内部手段来减轻外部事件带来的后果。相对于有效的管理控制和保险而言，资本准备至多是银行防御操作风险的次优机制。但荒谬的是，从最低操作风险资本要求来看，资本准备实际上充当了减少操作风险的障碍。因为如果银行必须预留出最低操作风险资本准备金，就无法有足够的资金进行管理控制或购买保险以减少操作风险，使其低于与最低资本要求一致的风险水平。

综观前人对操作风险的相关研究，我们发现目前存在以下问题和争议，有待进一步深入研究：

（1）操作风险的界定问题：寻求“共性”还是“个性”？

（2）操作风险的度量工具如何选择？

（3）如何确定一致化的操作风险管理（ORM）基准体系？

（4）如何综合利用监管资本要求、内部控制和保险有效管理操作风险？

三、操作风险管理对我国商业银行的挑战

从全球范围看，尽管操作风险已经给不少金融机构造成了相当严重的损失，新协议也从制度化的角度对操作风险管理提出了近乎标准化的要求，但迄今为止已经建立起有效操作风险管理体系的银行并不多见，操作风险的管理结构、程序、方法、工具和模型也远远没有信用风险管理和市场风险管理那样成熟。2000年6月，巴塞尔委员会风险管理小组进行的一次调查表明，大部分金融机构对操作风险的量化仍处于初级阶段，多数银行对风险指标的追踪还处于起步阶段（Haggerty,2001），还有很多银行根本没有进行这方面的工作。即使追踪数据的银行在风险管理或分配经济资本时对如何使用数据也不十分清楚。同时，多数银行还不具备将风险定义、数据收集、风险评估和管理、资本配置以及管理机制完全统一起来的程序。

国际商业银行在操作风险管理方面尚处于初级阶段，“我国商业银行的操作风险管理尚在起步阶段，定量研究几近于无”（樊欣等，2003），主要原因是：银行业务类型与国外银行相比有很多空白，银行董事会和管理层对操作风险缺乏足够的重视，全面风险管理的意识和理念尚未真正确立起来；银行内部和管理层次过多，风险控制机制不完善，操作风险管理的基础工作相当薄弱；操作风险的管理结构、程序、方法、工具和模型远远没有建立起来甚至处于空白的状态，操作风险管理体系建设明显滞后；操作风险管理人才不足，激励机制不健全，操作风险管理缺乏有力的支持和保障（王廷科， 2003）。

[参考文献]

[1] Alexander J． Muermann (2001)，Extreme Value Theory for Risk Managers．Risk Publication,2001．

[2] Andres P． Knritzkes and Hal S． Scott(2002), Sizing Operational Risk and the Effect of Insurance: Implications for the Basel II Capital Accord．International Financial Systems Colloquium, June 26,2002．

[3] Charles W． Calomiris and Richard J． Herring(2002), The Regulation of Operational Risk in Investment Management Companies, Perspective．Investment Company Institute, Vol 8, No．1, September 2002．

[4] Christine M． Cumming and Beverly J． Hirtle(2001), The Challenges of Risk Management in Diversified Financial Companies．Economic Policy Review, Federal Reserve Bank of NewYork, March 2001．

[5] Hoffman, D． G． Ed(1998), Operatioanl Risk and Financial Institutions． Risk Publication． 1998．

[6] ISDA／BBA／RMA Survey Report (February 2000), Operational Risk－The Next Frontier． http:／／www．isda．org．

[7] James Lam(2001), Defining and Mannageing Operational Risk at Community Banks．Risk Publication． 2001．

[8] James Lam,(2003), A Unified Management and Capital Framework for Operational Risk． The RMA Journal, February 2003．

[9] John Drzik(2001), Doug Hoffman(2001), Andy Kuritakes(2001), Karen Petrou(2001), Assessing and Managing Operational Risk． Wharton Financial Institutions Center Risk Roundable, Sponsored by Oliver, Wyman ＆ Company, April 18－19,2001．

[10] Michael A Lewis(2003)． Cause，consequence and control: Towards a theoretical and practical model of operational risk．Journal of Operations Management． Columbia: Mar 2003． Vol． 21， Iss． 2．

[11] Padraic Walsh(2003), Operational Risk and the New Basel Accord． Hyperion, October 2003．

[12] Robert M Wiseman, Anthony H Catanach Jr． (1997),A longitudinal disaggregation of operational risk under changing regulations: Evidence from the savings and loan industry． Academy of Management Journal． Mississippi State: Aug 1997． Vol．40．

Relative Research on Operational Risk Management: Problems and Disputations

LU Xian－wen

篇（10）

[中图分类号] F830.4 [文献标识码] A [文章编号] 1006-5024(2008)07-0175-03

[作者简介] 乐友华，农行江西省分行经济师，法律顾问，硕士，研究方向为金融保险法。(江西 南昌 330008)

一、商业银行操作风险及特点

风险就是未来结果的不确定性。不确定性越高，风险就越大。由于分析角度不同，对银行风险分类的标准也不一。一般可分为市场风险(利率、汇率和资产价格)、信用风险、流动性风险、操作风险、法律风险、道德风险和国家风险。一般业界所说的三大风险是指信用风险、市场风险和操作风险。这是国际上巴塞尔委员会要求提取资本金的三类风险，是国际银行业和银行监管机构重点关注的三类风险。

对我国商业银行来说，操作风险是个新概念，但这并不表明我国商业银行中没有操作风险管理活动。事实上，各商业银行一直都有自己的操作风险管理实践，但一般使用“内部控制”一类的表述，而且，在多年内控管理过程中，各商业银行都程度不一地建立和制定了相关的管理框架、制度和措施。不过，相对于信用风险、市场风险管理而言，操作风险管理还缺乏识别标准、管理模式、数据积累等。

操作风险是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风险。操作风险包括法律风险，但不包括策略风险和声誉风险。具体表现就是商业银行因办理业务或内部管理出了差错；由于内部人员监守自盗，外部人员欺诈得手；电子系统硬件软件发生故障，网络遭到黑客侵袭；通信、电力中断；自然灾害、恐怖袭击等原因导致损失的银行风险，这些都属于操作风险。可见，操作风险不仅仅包括操作中的风险，还包括内部程序、信息科技系统和外部事件所带来的损失。

与信用风险和市场风险相比，操作风险主要有几个特点。第一，具有内生性，除自然灾害等外部事件引起的操作风险损失外，操作风险大多是在银行可控范围内的内生风险，信用风险和市场风险则为外生风险。第二，广泛性，操作风险的覆盖的范围相当广泛，与市场风险主要存在于交易类业务和信用风险主要存在于授信业务不同，操作风险普遍存在于商业银行的业务和管理中。此外，对于信用风险和市场风险来说，风险越高，收益越高，存在风险与收益的对应关系，而操作风险和收益没有太多联系。

二、操作风险识别和管理

操作风险主要表现为以下几种类型，商业银行在经营中需加以识别和管理。

(一)人为因素。主要为内部欺诈、主观违规、操作失误。主观违规有超授权授信行为、逆程序、过度信任造成管理缺位、岗位设置不合理造成监督空位、不良爱好(如涉毒、涉赌、涉黄)引发的违法违规。操作失误是由于员工技能水平不高、态度不认真在业务过程中的失误造成的，如数字输入错误、将取款记作存款等。由银行员工操作失误引起的操作风险一般具有损失小(当然不排除特殊情况)、发生频率高、难以事先预测的特征，因而非常难以防范。人员因素引发的操作风险，有的是作为，如主观违规，有的是不作为，如业务不熟出错，疏忽大意。

(二)流程因素。包括操作程序遗漏或忽略、产品设计缺陷、业务流程设计不合理等。过去认为流程越复杂、相互制约性越强越好。事实上，流程越简单越易于操作，流程越短越便于管理，设计越合理越利于控制。这样才能适应变化，确保效率和风险管理，流程设计不合理，有瑕疵，往往容易出现风险隐患。

(三)系统因素。系统是现代商业银行赖以生存的命脉。无论是业务发展如网上银行、现金管理还是风险监控，都离不开信息系统紧密支持。但是，商业银行高度依赖信息系统，信息数据高度集中也给银行带来新的风险管理难题，如系统安全稳定、IT技术风险防范、数据和信息质量，系统设计和开发战略风险，等等。系统出现如故障、瘫痪，系统不安全、通讯中断以及系统兼容性、稳定性、适宜性方面的操作风险很容易给银行带来巨大的经济损失和无法估量的信誉损失。此外，从操作风险发生的部位来看，当前与系统有关的操作风险日益增加。由于系统原因和流程问题导致犯罪分子利用系统漏洞实施金融诈骗已经成为妨碍我国银行业资金安全重大问题。

(四)外部因素。银行经营都是处于一定的政治、社会、经济环境中的，经营环境的变化、外部突发事件都会影响到银行的经营活动，甚至会产生损失。外部事件引起银行损失的范围非常广泛，包括外部欺诈、外部突发事件与外部经营环境的不利变化。外部人员的蓄意欺诈行为是近年来给银行造成损失最大、发生频率最高的操作风险之一，而内外勾结作案更是令商业银行防不胜防。外部欺诈包括骗贷、抢劫、偷盗、爆炸等风险因素。外部突发风险包括遭受冰冻雨雪、地震等自然灾害以及恐怖袭击、火灾等给商业银行带来的损失。外部经营环境的不利变化引起的操作风险是由于受宏观经济环境、银行监管法规变化使银行发生损失的风险。宏观经济环境的不利变化会给商业银行带来意想不到的损失。

三、商业银行操作风险管理的现状

目前，我国操作风险管理与监管尚处在一个较为初期的发展阶段。由银行监管部门以规范性文件关于操作风险监测方法或者具体操作模式还为时尚早。监管机构主要把重点放在提高操作风险(或内部控制)管理质量上，并且要求银行提高对操作风险的重视。

(一)商业银行操作风险的监管要求。2004年6月，巴塞尔委员会了新的资本协议，对银行操作风险提出了新的资本要求。据巴塞尔委员会估计，在银行业所有风险中，操作风险所造成的损失已经仅次于信用风险。2006年10月巴塞尔委员会的新版《有效银行监管核心原则》中，专门为“操作风险的监管”新增一条原则，制定了评估该原则执行情况的标准，提出了商业银行操作风险管理的最佳做法和监管指引。

目前，实施新资本协议的国家都按照新协议要求，明确将操作风险纳入资本监管范畴，国际上已形成了对操作风险加强监管的共识，已经形成了相关制度和监管标准。巴塞尔新资本协议对操作风险的有关规定是近年来国际金融界日益注重操作风险管理的制度体现，也是加强全面风险管理方面的新要求。

在未来几年内，我国银行界按照新资本协议的要求实施操作风险管理已是大势所趋。根据中国银监会《商业银行操作风险指引》要求，操作风险监管机构是中国银监会和派出机构。商业银行要履行报告义务，提交有关方面的审议报告，对有关政策和程序要报备。银监会定期要进行检查评估。对于高管严重违规、重大抢劫银行等操作风险事件商业银行必须报告银监会和其派出机构。另外，《商业银行操作风险指引》要求商业银行要根据自身实际操作风险管理的政策、选择适当的方法进行管理，采取一定的措施控制、降低操作风险。

(二)操作风险机制建设。国际上巴塞尔协议将人们的视线更多地集中于操作风险的监管资本要求上。但实际上，一个银行的资本量多少并不是管理成功与否的关键，加强操作风险管理最关键是加强商业银行操作风险的机制建设。

1.关于操作风险管理体系建设。关于操作风险管理的组织体系，各银行间存在着重大差异。各商业银行主要依据银监会《商业银行操作风险管理指引》要求逐步建立和探索适应本行的操作风险管理体系。该体系主要包括董事会的监督控制；高级管理层的职责；适当的组织架构；操作风险管理政策、方法和程序；计提操作风险所需资本等基本要素。董事会从总体上履行操作风险管理的职责。如制定总体战略、政策、定期审批报告等。高级管理层在操作风险管理中职责主要为执行董事会的有关决议，定期向董事会报告。各商业银行一般以与自身的风险管理战略和组织结构相匹配成立管理操作风险的部门。具体执行中操作风险人员可能被放在一个部门――操作风险管理部门，主要拟定本行操作风险管理政策、程序和具体的操作规程；建立并组织实施操作风险识别、评估、缓释(包括内部控制措施)和监测方法；定期检查操作风险的管理情况。有些银行在总行层面上建立了首席风险官，在各营运业务条线设置风险经理，对主要业务的关键、高发风险点进行实时监测。有些银行在专业领域内如法规部门、审计监察部门设立单独的风险监管部门，在管理好本部门的操作风险的基础上，为其他部门管理操作风险提供相关资源和支持。

2.商业银行操作风险管理有关政策。各商业银行正积极探索制定有效管理操作风险的政策和方法。首先，在操作风险政策制定方面，部分商业银行已经制定《操作风险管理政策框架》、《操作风险管理政策》，进一步明确了各行各级机构和部门在操作风险中的管理职责。针对操作风险的执行，制定具体执行措施，如详细的《案件防控及整改方案》、《基层机构关键风险点监控检查内容与操作指引》，同时，将操作风险控制基本要求植入业务流程改造和IT蓝图建设中。其次，为衡量分析操作风险建立操作风险管理技术标准。各商业银行正在积极研发风险控制与评估、关键风险指标、重大事件报告制度、损失数据收集和业务持续经营计划等工具。再次，识别操作风险，制定有关制度措施。根据银行风险的特点，加大对操作风险的识别，并针对性地制定制度措施，如对系统风险、外部等操作风险，有关行制定了详细的风险应急预案，增加应急措施；建立与新产品、新业务发展相对应的制度规定；修改更新产品和流程，塑造流程银行，按流程操作；增加制度执行建设，强化日常检查的频率，加强员工行为排查，等等。

四、对商业银行操作风险管理的几点启示

(一)引入全面风险管理。全面风险管理体系(Enterprise

wide Risk Management 简称ERM)是西方商业银行比较成熟的风险控制理念和技术。全面风险是风险管理的最终目标，全面风险管理，主要体现在它的全面性、全程性、全员性和系统性。操作风险与市场风险、信用风险有高度的相关性，操作风险与其他风险结合将导致风险更加复杂、更加分散，风险损失更加显著，将数倍、数十倍地被放大。因此，在风险管理中应将操作风险与市场风险、信用风险等各种风险联系起来进行全面的风险管理，保证风险管理政策统一、工作协调。同时，操作风险遍布商业银行内部各业务环节、产品线和不同的管理层面，不仅仅是依赖于一两个专门的部门监管，应该从本行、本部门、个人操作抓起。各商业银行应及时上升层次，逐步建立全面风险管理委员会下辖操作风险、信用风险和市场风险等风险管理委员会，制定全面风险管理政策，形成总体规划，发挥资本在风险覆盖、部门配置方面的作用。

(二)操作风险的缓释。操作风险是客观存在的，只要有人群、行为和活动，就一定存在操作风险，应尽量降低其发生的频率和所造成的损失。从操作风险的规避角度分析，操作风险可以分为可规避的操作风险、可降低的操作风险、可缓释的操作风险。除极少数应承担的操作风险外，大部分操作风险都有规律可循，其发生过程类似多米诺骨牌，有前因后果的连锁关系。因此，要查找出其发生规律，通过技术手段切断引发操作风险的关键环节，并通过必要的管理措施加以缓释。

1.商业银行一揽子保险和打包保险。火灾、自然灾害等引起的商业银行财产损失，商业银行的内外部欺诈，对高级管理层和员工的责任险等都可以通过保险公司一揽子保险和打包保险承保予以缓释，通过承保转移给保险公司。然而，目前国内保险公司尚未开发更多的针对商业银行操作风险的保险产品，保险方式、有关保险业务品种还有待保险公司创新。另外，保险公司对银行风险管理能力和财务承受能力还不能准确精算评估，各保险公司保费收取也存在重大分歧。如对于内外部欺诈引发的操作风险，各保险公司普遍收费高，无疑增加了银行的成本管理，也直接约束了操作风险的缓释。不过，相信随着金融市场的逐步开放，这一局面将逐步得到改善。

2.业务外包。除保险外，商业银行可以通过业务外包来缓释操作风险。将技术含量高、专业性强的有关业务交由专业机构管理，增加操作风险管理的效益性。如有关法律风险可聘请具有符合条件的外聘律师诉讼和仲裁；对于风险性高的守护、保卫、押运可聘请符合资质条件的保安公司管理；对于产品评估、网络维护、系统开发也可招标专业公司。当然，选择外包公司，不可能一包了事，也需加强双方之间的沟通，通过签订合同，明确双方权利和义务，合理转移风险。事实上基于双方的委托关系，最终的权利和义务应由商业银行承担。

(三)建立健全制度管理，狠抓制度落实。总结有关操作风险损失案例，其中大部分为有法不依，有章不循，制度落实不到位，管理缺位造成的风险损失。因此，要建立健全制度管理，狠抓制度落实，才能够使操作风险得到有效管理和控制，才能使因操作风险损失降到最低限度。一是做到制度到位，及时立、改、废有关制度，形成制度数据库，并根据实际情况将有关规章制度分解到各个部门、各个环节、各个岗位，形成操作指南和岗位流程；二是责任到人，处理到人。要及时跟踪检查执行，增加检查的频率和有效性，加大违规处罚力度，把隐患消灭在萌芽状态。

(四)加强合规管理与合规文化教育。商业银行要倡导和强化全员合规文化，引导全行员工树立对风险管理的责任意识，使风险意识突破传统的部门界限，真正融入全行各个部门、每位员工的行为规范和工作习惯之中，让员工认识到自身岗位关键风险点，形成防范风险的有效屏障。

总之，我国商业银行的操作风险管理要求不是一时之需，而是伴随商业银行发展的长期任务，如果要想保持现有的竞争优势，甚至在国际金融市场取得一定的地位，就必须不断提高自身的操作风险管理水平，全面加强风险管理。

参考文献：

[1]陈余化，赵榄.警惕商业银行操作风险监管走向误区[J].经济论坛，2006，(13).

[2]姜燕. 新巴塞尔协议框架下中国商业银行操作风险的度量与管理[D].北京：对外经济贸易大学， 2006.

篇（11）

《商业银行操作风险管理指引》第七条规定要为操作风险管理配备适当的资源。对城商行来讲，应根据各分支机构面临操作风险的实际程度来分配资源。一些业务量不大、管理力量薄弱、硬件设施不够齐全的分支机构，往往是操作风险最易发生的机构。因此，城商行在加强操作风险管理时，应在对各分支机构充分研究分析的基础上“按需分配”资源，避免传统的资源分配方式，造成强者恒强、弱者恒弱的“马太效应”，而一旦因资源不足的分支机构发生操作风险，后果可能会非常严重，也最终给城商行造成巨大损失。

制度设计的羊群效应

目前，监管部门对城商行操作风险管理的体系建设未作统一规定和要求，这既为各城商行制定操作风险管理体系留下较大的发挥空间，同时也会出现一些力量薄弱的城商行模仿大银行风险管理体系建设的现象。尽管银行之间业务种类的差异性较小，但城商行与大银行之间毕竟在内控制度、发展基础、人员素质、企业文化及资金力量等方面存在区别，部分要素的差别甚至相当大，这就要求各城商行必须在借鉴国内外先进银行操作风险管理经验的基础上，一定要通过认真学习和消化吸收，制定切合自身实际的操作风险管理体系，避免直接照搬大银行做法的“羊群效应”，既花费了大量的人力和才力，实际效果却不理想。

风险扩散的蝴蝶效应