风险管理 第五章 操作风险管理

5.3 操作风险控制
5.3.1 操作风险控制环境 5.3.2 操作风险缓释 5.3.3 主要业务操作风险控制
5.3.1 操作风险控制环境
包括公司治理、内部控制和风险文化等要 素。
5.3.2 操作风险缓释
1.业务连续性管理计划（BCP） 对于低频高损事件 是指为实现业务连续性而制定的各类规划及实施 的各项流程。 商业银行应定期检查灾难恢复和连续营业方案， 保证其与目前的经营和业务战略吻合，并对这些 方案进行定期测试，确保商业银行发生业务中断 时，能够迅速执行既定方案。 2. 商业保险 购买保险只是操作风险缓释的一种措施。预防和 减少操作风险事件的发生，根本上还是要靠商业 银行不断提高自身的风险管理水平。
案例篇
5.2 操作风险评估
5.2.1 操作风险评估的定义与原理 5.2.2操作风险评估的原则 5.2.3操作风险评估的步骤 5.2.4操作风险评估的价值 5.2.5操作风险评估与其他管理流程的结合 应用
5.2.1 操作风险评估的定义与原理
操作风险评估(RCSA)，是指操作风险所有 人持续识别、评估并报告业务流程的操作 风险及其控制状况的过程。原理：固有风 险-控制措施=剩余风险 采取定性和定量相结合的方法
Hale Waihona Puke 5.1.4操作风险的分类 可按人员因素、内部流程、系统缺陷和外部事件 四大类别分类 1.人员因素 主要是指因商业银行员工发生内部欺诈、失职违 规，以及因员工的知识技能匮乏、核心雇员流失、 违反用工法等造成损失或者不良影响而引起的风 险。 （1）内部欺诈 是指故意骗取、盗用财产或违反监管规章、法律 或公司政策导致的损失，此类事件至少涉及内部 一方，但不包括歧视及差别待遇事件 主要集中于内部人作案和内外勾结作案两种，属 于最常见的操作风险类型。
5.关键风险指标与其他管理流程的结合应 用 LDC是对操作风险损失事件的跟踪和记录， 客观反映全行操作风险的实际损失和分布， 为RACA流程产生的评估风险敞口提供实 际损失数据验证。实际发生的风险也可引 起整改流程。操作风险重大事件报告 （SERP）的财务损失数据是操作风险损失 数据收集（LDC)的重要数据来源。损失数 据也可为风险发生机构的内控考核提供依 据。
5.3.3 主要业务操作风险控制
1. 柜台业务 2. 法人信贷业务 大致分为评级授信、贷前调查、信贷审查、信贷 审批、贷款发放、贷后管理六个环节。 3. 个人信贷业务 4. 资金交易业务 可分为前台交易、中台风险管理、后台结算/清算 环节 5. 代理业务
5.4 操作风险监测与报告
1.操作风险原因，是指诱发操作风险转变 为操作风险损失事件的原由，通常一个操 作风险损失事件可由一个或多个操作风险 原因引发 一级操作风险原因分类有信息科技系统、 流程、人员、经营活动、环境、政治、监 管和破坏或事故等八类。 2.操作风险损失事件分类援用了银监会的 操作风险损失事件分类 分为一级、二级、三级
5.1.3操作风险的监管规则
1.国际监管规则 主要是巴塞尔委员会的监管规则，主要有《有效银 行监管的核心原则》、《操作风险管理》、《操作 风险管理与监管的稳健办法》、《巴塞尔新资本协 议》等文件。 2.国内监管规则 主要执行的是银监会的系列监管规定，主要有《关 于加大防范操作风险工作力度的通知》（“操作风 险13条”）、《商业银行操作风险管理管理指引》、 《商业银行资本管理办法（试行）》等文件。
3. 业务外包 从本质上说，业务操作或服务虽然可以外包，但 其最终责任并未被“包”出去。外包并不能减少 或免除董事会和高级管理层确保第三方行为的安 全稳健以及遵守相关法律的责任。过多的外包也 会产生额外的操作风险或其他隐患 商业银行仍然是外包过程中出现的操作风险的最 终责任人，对客户和监管者承担着保证服务质量、 安全、透明度和管理汇报的责任。 外包服务管理实施流程分立项、采购、合同管理、 持续管理与监督等四个环节
4.损失数据收集的价值 （1）全面了解一定损失规模以上的损失操作风 险损失事件的定性信息和定量财务影响，帮助把 握全行操作风险损失在损失额和损失发生频率两 个维度的分布情况。 （2）识别、跟踪操作风险损失金额较大和损失 事件发生较为频繁的部门和流程。 （3）符合巴塞尔新资本协议标准法的资本标准 （4）为实施巴塞尔新资本协议高级计量法计算 操作风险监管资本提供数据基础。在高级计量法 下，用于损失计量和验证的内部损失数据至少要 有5年内的观测值，如果银行初次使用高级计量 法，允许使用3年的内部历史数据。
5.2.2操作风险评估的原则
1.业务流程所有人负第一评估责任原则 2.动态管理原则 3.重要性原则
5.2.3操作风险评估的步骤
准备阶段：包括确认评估对象、绘制流程 图、收集整理操作风险信息； 评估阶段：包括识别和评估固有风险、识 别和评估现有控制、评估剩余风险、提出 优化方案； 报告阶段：包括整合评估成果和提交报告 两个步骤
4. 外部事件 商业银行是在一定的政治、经济和社会环 境中运营的，经营环境的变化、外部突发 事件等都会影响其正常的经营活动甚至造 成损失。外部事件可能是内部控制失败或 内部控制的薄弱环节，也可能是外部因素 对商业银行运作或声誉造成的“威胁”. （1）外部欺诈（2）洗钱（3）政治风险 （4）监管规定（5）业务外包 （6）自然灾害（7）恐怖威胁
5.1.1操作风险的定义与特点
定义：是指由不完善或有问题的内部程序、 员工、信息科技系统以及外部事件所造成 损失的风险。险包括法律风险，但不包括 声誉风险和战略风险。 特点： 具体性；分散性；差异性；复杂性；内生 性；转化性
5.1.2操作风险相关概念辨析
1.COSO委员会和巴塞尔委员会于2004年 在“内部控制”和“全面风险管理”的理 解上趋于一致，操作风险属于全面风险管 理的组成部分。 2.合规是操作风险的管理目标，二者在实 践中存在重叠。
第五章 操作风险管理
主要内容
5.1 操作风险概述 5.2 操作风险评估 5.3 操作风险控制 5.4 操作风险监测与报告 5.5 操作风险资本计量
《商业银行资本管理办法（试行）》将 信用风险、市场风险和操作风险同步纳 入银行资本计量与监管的范围
5.1 操作风险概述
5.1.1操作风险的定义与特点 5.1.2操作风险相关概念辨析 5.1.3操作风险的监管规则 5.1.4操作风险的分类 5.1.5操作风险识别方法

2.关键风险指标监控的原则 整体性 重要性 敏感性 可靠性 有效性
3.关键风险指标法的应用流程 关键风险指标法可选择已经识别出来的主 要操作风险因素，并结合商业银行的内、 外部操作风险损失事件数据形成统计分析 指标，用于评估商业银行整体的操作风险 水平。 关键风险指标监控由设置风险指标、监控 分析、报告关键风险指标、更新关键风险 指标等步骤。
5.1.5 操作风险的识别
1.自我评估法 是在商业银行内部控制体系的基础上，通过开展 全员风险识别，识别出全行经营管理中存在的风 险点，并从影响程度和发生概率两个角度来评估 操作风险的重要程度。 2.因果分析模型 在综合自我评估结果和各类操作风险报告的基础 上，利用因果分析模型能够对风险损失、风险成 因和风险类别进行逻辑分析和数据统计，进而形 成三者之间相互关联的多远分布。
5.关键风险指标与其他管理流程的结合应 用
5.4.2损失数据收集
1.损失数据收集的定义（LDC） 指操作风险损失数据的搜集、汇总、监控、 分析和报告工作。 2.损失数据收集的原则 重要性原则；准确性原则；统一性原则； 谨慎性原则。
3.损失数据收集的步骤 （1）损失事件识别：主要是明确收集范围和判 断损失金额是否达到收集门槛 （2）损失事件填报：事件的真实情况、总体的 财务损失金额以及逐笔损失、成本或挽回的明细 信息。 （3）损失金额确定：是指操作风险事件造成的 直接损失和成本金额，也即事件直接导致的对银 行收益或股东权益造成的负面影响，或直接导致 的运营成本或费用的额外增加。判断是否应纳入 的决定因素是：损失和成本是否直接由操作风险 事件导致，或者与操作风险事件直接相关，且是 真正的经济损失。 （4）损失事件信息审核：事件完整性和事件属 性 （5）损失数据收集验证
4.关键风险指标监控的价值 商业银行可自主选择一些能够充分反映本 行经营特色的关键风险指标，并为其设定 阀值，同时根据这些关键风险指标所反映 的风险状况确定适当的监测频率，使得操 作风险管理部门能够及时向高级管理层发 出预警，及时对异常风险状况采取行动。 商业银行通过监控和分析不同时期自身关 键风险指标的变化，并与同类金融机构进 行横向比较，有助于深入理解操作风险状 况的变化趋势，为操作风险管理提供早期 预警。
当前商业银行操作风险监控主要关键指标 有：关键风险指标和损失数据搜集两种 5.4.1关键风险指标法 5.4.2损失数据的搜集 5.4.3风险报告
5.4.1关键风险指标法
1.关键风险指标的定义（KRI） 是指对一个或多个操作风险敞口，通过反 映操作风险发生可能性或影响度或某一控 制有效性，对该风险或控制进行定性或定 量跟踪监测的操作风险管理流程。 通常包括交易量、员工水平、技能水平、 客户满意度、市场变动、产品成熟度、地 区数量、变动水平、产品复杂程度和自动 化水平等
（2）失职违规 商业银行内部员工因过失没有按照雇佣合 同、内部员工守则、相关业务及管理规定 操作或者办理业务造成的风险，主要包括 过失、未经授权的业务以及超越授权的活 动。员工越权行为包括滥用职权、对客户 进行误导、支配超出其权限的资金额度， 致使商业银行发生损失的风险。
（3）知识/技能匮乏 主要有三种： ① 自己意识不到缺乏必要的知识技能，按照自己 认为正确而实际错误的方式工作； ② 意识到自己缺乏必要的知识/技能，但由于颜 面或其他原因，未向管理层提出或声明其无法胜 任或不能正确处理面对的情况； ③ 意识到自己缺乏必要的知识/技能，并进而利 用这种缺陷危害商业银行的利益。 在前两种情况下，如果其负责核心业务方面的工 作，则很可能给商业银行带来经济或声誉方面的 损失。第三种情况则被认为属于内部欺诈。