操作风险管理(第三讲)

第二章操作风险管理操作风险管理第一节、操作风险的概述广义的操作风险观念：把市场风险和信用风险以外的所有风险都视为操作风险狭义的操作风险观念：只有金融机构中与运营部门有关的风险才是操作风险，即由于眼控制、系统及运营过程中的错误或疏忽而可能引致潜在损失的风险《巴塞尔新资本协议》中对操作风险的定义：操作风险是银行面对的一项重要风险，银行应为抵御操作风险造成的损失安排资本。

在巴塞尔II的框架下，操作风险的定义是，由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险。

本定义包括法律风险，但不包括策略风险和声誉风险。

操作风险按风险类型分为：内部操作流程人为因素体制因素外部因素操作风险按风险因素分为：内部欺诈外部欺诈客户、产品和业务活动的安全问题 业务中断和系统错误操作风险不仅仅存在于金融机构，核工业、石油、天然气及建筑等行业都存在操作风险，在各个行业领域，操作风险管理已经在通过法规条例以及内部控制等手段开始进行。

一般可以将操作风险细分为以下几类：控制性风险、流程风险、名誉风险、人力资源风险、法律风险、收购风险、营销风险、系统风险、技术老化风险、税收变更、监管变更、营运能力、项目风险、安全性风险、供应商风险、自然灾害风险、人为灾害风险等。

控制性风险:主要是由于以下两项原因导致的不可预见的损失：缺乏有效的控制机制；有效控制机制的运行效率低下。

相应的控制性风险可以分为非系统风险和系统风险，前者指由于个别的特殊的商业行为所导致的、于内部控制无关的风险；后者指在保证实效性的基础上，现有的内部控制框架难以事先预警、及时调整，因而不可避免地带来失误以及损失的风险。

流程风险:是指由于业务运作过程的低效率而导致的不可预见的损失的风险。

名誉风险:是指企业由于名誉受损导致股价下跌、营业收人减少等不可预测损失的风险。

如衍生工具交易的失误就可能带来这一风险。

人力资源风险:包括人力资源部门的运作导致的风险，以及存在于操作控制领域本身或者在进行绩效评估时存在于评估过程本身的风险。

比如，一些银行曾遇到职员欺诈带来的损失风险。

法律风险可以细分为四类：由于产品质量或雇员行为引起索赔诉讼的风险；针对某一事项已有的肯定的法律意见在法庭上却被认定为是错误的风险；法律协议涉及的交易过于复杂，以致其中的部分现金流量未纳人企业的会计核算或清算系统所导致的风险；某一管辖法下的法律判决在另一管辖法下的可执行程度差异带来的风险。

收购风险:是一项高度战略性风险，’可以通过使收购本身变得非常不经济来控制风险。

营销风险:是一类处于业务运营控制核心的风险，通常可能发生的环境是在营销宣传材料中没有如实对产品功效进行说明或是错误的营销策略导致产品失去市场。

技术风险:广义的定义涵盖了所有的系统性风险，因而也包括由外部压力所带来的风险；如果某一家公司只专注于内部的风险管理，它就可能因跟不上日新月异的技术革新而面临技术风险。

对于投资银行业务，技术风险控制处于风险控制的核心地位。

系统风险:是由影响整个经济环境的风险因素所引起的，这些因素包括经济周期、国家宏观经济政策的变动等。

税收变更:人们会发现税收的变更可能导致某一事项或业务变得无利可图，不动产折旧抵扣规定的调整就是一个很好的例证。

一般而言，在产品定价时就应考虑可能的税收变动造成的影响，最终归结为一个决策：是由企业还是消费者承担税收变更风险。

监管变更:这往往是公司需要密切关注的。

其变更会给公司的业务开展和运营带来极大的影响，相应公司的受益波动的风险就会显著增加。

营运能力:包括人力资源和IT 基础。

如果一个运营链中，营运能力难以支撑业务的进一步拓展，那么整个业务系统崩溃的风险就非常高了。

项目风险:绝大多数公司都非常关注项目风险，特别是一些大的项目。

因为一旦项目失败，其所带来的严重后果是不堪设想的和难以估计的，甚至可能导致整个公司的崩溃。

安全性风险:主要是针对公司的存款或持有的证券／贷款以及各项无形资产的损失风险。

供应商风险:如果公司业务的开展在某种程度上取决于第三方的运作状况，那么就可能面临着供应商风险；而且，在如今社会分工细化的基础上，公司经营愈多地依赖第三方，那么所面临的供应商风险也就愈大。

自然灾害风险:往往是造成经济损失的主要原因,历史资料通常是估计此类风险的主要依据。

人为灾害风险:比如纵火、爆炸以及传染病的流行等都属于此类风险。

第二节操作风险的计量《巴塞尔新资本协议》的三个支柱―最低资本要求、监管当局对资本充足率的监督检查、信息披露（市场纪律）在操作风险资本要求框架中具有重要作用。

新协议对第一支柱的修改中，明确提出将操作风险纳人资本监管的范畴，即将操作风险作为银行资本比率分母的一部分。

在充分听取各方意见后，在新协议修改稿中规定了由简到繁的三种计算方法：基本指数法、标准法、高级计量法,供不同条件、不同情况的银行选择适用，以提高资本监管的风险敏感度。

内部数据的处理银行必须跟踪收集记录内部数据。

对内部损失事件数据的跟踪记录，是开发出可信的操作风险计量系统并使其发挥作用的前提。

为建立银行的风险评估与其实际损失之间的联系，内部损失数据也十分重要。

建立此种联系有以下几种方式：将内部损失数据作为风险估计实证分析的基础将其作为验证银行风险计量系统输人与输出变量的手段将其作为实际损失与风险管理、控制决策之间的桥梁银行收集内部损失数据的流程必须符合以下标准：为有助于监管当局的验证，银行必须将内部损失历史数据按照损失事件分类详表和产品线对应表中监管当局规定的组别对应分类，并按照监管当局要求随时提供这些数据。

银行的内部损失数据必须综合全面，涵盖所有重要的业务活动，反映所有相应的子系统和地区的风险暴露情况。

除了收集总损失数额信息外，银行还应收集损失事件发生时间、总损失中收回部分等信息，以及致使损失事件发生的主要因素或起因的描述性信息。

如果损失是由某一中心控制部门（如信息技术部门）引起或由跨业务类别的活动及跨时期的事件引起的话，银行就应确定如何分配损失的具体标准。

外部数据银行的操作风险计量系统必须利用相关的外部数据（无论是公开数据还是行业集合数据），尤其是当有理由相信银行面临非经常性的、潜在的严重损失时。

外部数据应包括实际损失金额数据、发生损失事件的业务范围信息、损失事件的起因和情况、或其他有助于评估银行损失事件相关性的信息。

银行必须建立系统性的流程，以确定什么情况下必须使用外部数据以及使用方法（如放大倍数、定性调整、或告知情景分析的改进情况）。

应定期对外部数据的使用条件和使用情况进行检查，修订有关文件并接受独立检查。

情景分析银行必须对外部数据配合采用专家的情景分析，求出严重风险事件下的风险暴露。

采用这种方法合理评估可能发生的损失，有赖于有经验的业务经理和风险管理专家的知识水平。

例如，专家提出的评估结果可能成为假设的损失统计分布的参数。

此外，应当采用情景分析来衡量：偏离银行的操作风险计量框架的相关性假设时，造成的影响有多大，特别是评估多项导致操作风险损失的事件同时发生的潜在损失。

对这些评估结果应通过与实际损失的对比，随时进行验证和重新评估，以确保其合理性。

业务经营环境和内部控制因素业务经营环境和内部控制因素会改变银行的操作风险轮廓使银行的风险评估更具有前瞻性，更能直接反映银行的控制和经营环境的质量。

出于满足监管资本要求的需要，银行在风险计量框架中使用这些因素时必须符合以下标准：要将每次因素调整成为有意义的风险要素，应基于实际经验，并征求专家对相关业务领域的意见。

银行的风险估计对这些因素变动的敏感度和不同因素相对权重的设定必须合理。

该框架及各种实施情况，包括针对实际评估所作调整的理由，都应当有文件支持，并接受银行内部和监管当局的独立审查。

第三节操作风险的管理对操作风险的管理，它必须在操作风险量化的基础上进行。

因此，操作风险的管理既包括对银行业务运作中各个操作环节制定相应的政策、规章制度、操作规范制度层面上的安排，也包括了对所有的业务流程操作风险的严格定义与规范。

这种管理会根据银行的业务种类和流程，制订相应的操作风险管理流程和框架，同时在此基础上对这些政策、制度及流程规范执行情况进行检查、事故调查、危机处理等相应的管理和保障措施等操作风险的管理在银行操作风险的量化与管理上，国际银行业还处于初级阶段，国内银行业也是刚开始。

如英国的外汇交易员里森违规操作导致霸林银行破产，澳大利亚最大的国民银行因为4个交易员私自操作在3个月内导致1.4亿美元损失等，这些都是操作风险之危机。

巴塞尔委员会在2002年举行的一次全球性针对操作风险的调查表明，参加调查的银行一共报告了47029件损失超过1万欧元的操作风险事件，平均每家银行在这一年间发生了528起由此引发的操作风险事件，其中有5家在这一年间发生了超过2000起操作风险事件，其造成的损失一年近80亿欧元。

这足见操作风险在银行风险中所发生的普遍性国内银行业的操作风险也十分严重。

如“中行开平分行事件”造成4.83亿美元巨额亏损。

操作风险的管理一、金融机构内部控制的概念及其建立的目标金融机构内部控制是金融机构的一种自律行为，是金融机构为完成既定的工作目标和防范风险，对内部各职能部门及其工作人员从事的业务活动进行风险控制、制度管理和相互制约的方法、措施和程序的总称。

由上述定义，我们可以得出金融机构内部控制的目标以及它的一个重要特点：金融机构内部控制是一种自我调节、自我制约的内在机制，是金融机构的自律行为。

金融机构内部控制要达到以下目标：确保国家法律法规和中央银行监管规章的贯彻执行确保将各种风险控制在规范的范围之内确保自身发展战略和经营目标的全面实施有利于查错防弊，堵塞漏洞，消除隐患，保证业务稳健运行金融机构内部控制应贯彻的原则：内控的健全性：首先，内控应当贯穿于经营活动的所有方面、体现全过程性，金融机构的产品设计、投资研究、投资决策、交易执行等各个业务环节都需要有相应的内部控制制度；其次，内控应涵盖所有的部门和人员；最后，内控还要体现系统性，内控体系是各部门各岗位形成的相互制约、纵横交错的统一整体，以保证各部门各岗位均能按特定的目标相互协调地发挥作用，实现内控的总体目标和功能。

内控的有效性：内控制度要合法合规，把国家法律、法规、政策等体现到内控制度中；内控制度要适时，应当随着金融机构经营战略、经营方针、经营理念等内部环境的变化进行及时地修改或完善。

内控制度要合理适用，需要根据机构的组织规模、业务特点、技术条件、人员素质等具体特点和要求建立内控制度。

金融机构内部控制应贯彻的原则：内控的独立性：独立性标准要求内部控制的检查、评价部门必须独立于内部控制的建立和执行部门，直接的操作人员和直接的控制人员必须适当分开，并向不同的管理人员报告工作；在存在管理人员职责交叉的情况下，要为负责控制的人员提供可以直接向最高管理层报告的渠道。