中国银行操作风险管理

中国银行操作风险管理

3中国银行操作风险管理现状分析

3.1中国银行操作风险管理存在的主要问题及原因

3.1.1公司治理机制仍不完善

目前，中国银行通过股份制改革已在内部建立健全了公司治理机制，建立“三会一层”(股东大会、董事会、监事会、高级管理层)，公司治理取得初步成效，但仍有部分问题尚未完全解决:

3.1.1.1存在银行公司治理中的“内部人”控制问题

公司治理理论中的“内部人”控制，是指经理班子通过对公司经营管理权的控制，追求自身利益而损害外部人利益现象。现在我们要分析的是，在中国银行公司治理中，作为“内部人”的总行高管层，“非职业经理人”身份和干部管理体制决定了他们的利益与委托人的利益是一致的，也决定了他们虽然控制着银行的经营管理权，但绝不会轻易利用权力去追求自身的利益而损害委托人利益。但大量的事实证明，银行的不良资产的较大比重集中在一线，而不良贷款的形成并非源于银行的风险管理能力不足，而在于银行员工被利诱、拉拢和收买。银行案件多集中在基层机构的事实，也似乎证明了“内部人”控制发生了“层级性位移”，同时，也说明大型银行公司治理中多层级“内部人”控制问题是严重的。

3.1.1.2监事会尚未充分发挥监督作用

我国公司治理制度属于平行式二元模式(不同于的传统的二元模式?)，董事会与监事会均由股东大会产生，其法律地位平等，董事会只对股东大会负责无需对监事会负责，而监事会只有监督权并无决策权，更不能任免董事会成员，或否决董事会决策;另一方面，监事会成员都来自于股东和内部员工，而这些人在行政上受制

于董事会或管理层，其独立性不可避免地受到多种因素的制约，因而其对董事会和管理层的监督职能难以真正实现。

3.1.1.3激励机制仍需进一步改进

科学激励机制的基础在于建立公正、公开的绩效评价标准和程序。中国银行还尚未建立有效地董事、监事绩效评价标准和程序。董事会和监事会尚未对其成员履行职责的情况进行评价，并依据评价结果对其进行奖励或处罚，从而难以对董事和监事起到激励和约束的作用。董事会也未普遍建立书面的、制度化的对高级经营层成员绩效进行评价的标准和程序，仅对每年高级经营层确定的目标任务进行认定，对高级经营层年度奖金的确定和发放也主要以任务完成情况为主，缺乏系统的立足长远发展的考核。

3.1.2缺乏明确合理的操作风险容忍度

所谓操作风险的容忍度，是指银行依据本行的风险偏好确定的可接受的操作风险敞口(暴露)。目前，银行在操作风险管理的风险容忍度方面存在两个问题:

3.1.2.1容忍度尚不明确

近年来，中国银行为了控制操作风险，普遍加强了操作风险管理、积极开展案件治理工作，但各银行的操作风险容忍度还不够明确，己确定了“适中”的风险偏好，但还未能依据此确定具体的风险容忍度，部分银行简单的把案件防控目标作为操作风险的容忍度。

按照《巴塞尔新资本协议》的要求，风险容忍度应由董事会确定，并在全行逐级分解落实，容忍度应当逐步量化。容忍度不明晰的原因，一方面是操作风险的量化工作正在起步，损失数据收集正在开展或不能据以形成合理的风险管理标准，但主要原因是银行董事会对于此问题的重视和研究仍不够充分。

3.1.2.2容忍度过于严格

实践中，中国银行各级机构普遍执行了从严控制操作风险的态度，其原因主要是由于全行没有明确的容忍度，各级管理者为了规避管理责任，防止责任追究，采取了以牺牲管理成本换取管理绩效的做法。各级管理者从本位主义出发，不断增加控制手段，最终导致控制的重叠、冗余，加重了基层机构的管理负担，不仅影响到业务经营发展，甚至诱发新的操作风险。此外，部分管理者忽视了操作风险管理只能为银行的经营发展提供合理保证而非绝对保证，操作风险管理不能防止类似“黑天额事件，，@的发生也不能防止日常的操作失误的产生，类似“911”的重大的灾难性的事件商业银行是难以有效控制的，业务差错率也不可能为零。合理的操作风险容忍度，必须是银行在风险管理成本与收益平衡下的一种选择。

3.1.3制度流程的操作性、整合度不高

3.1.3.1制度流程操作性不强，设计不合理

国内银行普遍存在一个错误认识，认为制度流程越复杂、相互制约性越强越好。因此，总行各个部门、机构从自己出发，每个环节层层加码，严格建章立制，看似制度很完备、风险以控制，但制度流程的可操作性差，经营效率难以提高，风险也难以得到有效控制。事实上，流程越简单越易于操作，流程越短越便于管理，设计越合理越利于控制。这样才能适应变化，确保效率和风险管理。 3.1.3.2制度流程缺乏整合

在中国银行的制度流程存在的另一各主要问题就是“部门银行”的现象仍然存在。由于部门林立，政出多门，一项业务往往有多个制度约束，并且制度间缺乏衔接，因此员工很容易在操作时顾此失彼。

3.1.4传统风险管理手段控制效果低下

“屡查屡改屡犯”是银行操作风险管理中普遍面临的困境，也是个长期困扰检查者与被检查者的难题。

3.1.

4.1稽核检查的质量不高

稽核检查是银行传统的操作风险识别、监督手段，目前仍是商业银行风险控制的重要途径，中国银行建立了专门的稽核检查队伍，通过现场或非现场的方式对各级机构的操作风险情况进行不定期的排查，每年初各银行均会确定年度的检查计划，对于检查的机构、检查内容、覆盖率和频率也有相应的要求。尽管检查的数量、频度教高，但由于检查不够深入、方法和手段落后，发现的问题主要是操作性的问题，发现的深层次问题不多，发现的风险不多，对以往检查发现问题的跟进不够，对于引发违规操作的深层次原因(如制度流程的设计与可操作性、lT系统功能、岗位制约机制、被检查机构的风险管理机制等)缺乏深入的分析，因此发现的问题属于表象，被检查机构整改的也是表象，因此，虽然投入了大量的人力物力，但操作风险状况并未因此得到根本改观。

3.1.

4.2检查后的整改不到位

目前，对中国银行而言，及时深入的改正问题、消除风险比通过检查发现问题更加重要和紧迫。检查发现问题的目的和价值在于推动被检查机关及时改正，如果不能及时改正，所有的检查和发现都将是徒劳的。过去，银行在各种检查上耗费了大量精力，但实际效果并不尽如人意，和重要的一点是整改工作的表面化、随意性和监控不到位。整改工作中经常存在“头痛医头、脚痛医脚”的现象，甚至是仅就检查发现的个案进行改正，而未触及问题的根源;此外，整改的流程不规范也是导致整改效果不佳的原因，由于没有建立规范的整改流程，整改的计划、执行、时限、

记录、监督、考核、报告等问题，难以保证整改工作的效果，难以形成纠偏和纠错的长效机制。

3.1.5IT系统风险不断增大

IT系统的”钢性”控制和防范是管理操作风险的有效途径，但由于对系统过多依赖、信息数据高度集中，也给银行带来新的风险管理课题。银行的业务交易量

越来越大，一旦遇到IT系统故障，问题会被进一步放大。银行的外部服务渠道(网上银行、手机银行、银企直联、POS等)呈几何级增长，内部应用系统数量和用户群也在不断扩大，银行的IT风险不断增加。在满足银行改革与创新带来的新需求的同时，这些业务需求也会带来新的rr风险。在银行业日新月异的竞争情况下，如何保证IT能力与市场变化同步，已成为银行着重考虑的问题。lT风险己成为银行最大的风险之一。

3.1.6基层机构风险相对突出

中国银行的业务运作大多数集中在基层机构，总部、中国银行苏州分行更偏重于行使管理职能，由于基层机构众多，管理链条过长，基层机构的监管相对最弱，违规操作发现也不够及时。此外，由于培训不足等原因，基层员工的业务素质参差不齐，整体素质不高，风险观念淡薄，重视业务拓展，轻视业务的风险控制，有章不循现象时有发生，操作风险发生的可能性相对较大。从己发生的许多案件看，许多制度在基层机构形同虚设，如查库制度、授权制度流于形式;金库管理制度、现金提取、现金调拨程序管理不严，导致工作人员利用职务之便截取库款、盗用现金;网点管理不到位、重要空白凭证管理失控，工作人员私自开户购买支票挪用银行资金等。部分员工业务学习滞后，对制度流程理解不深、不透，导致了许多风险隐患。基层机构人力资源匿乏的现象较为严重，难以有效执行强制休假制度和重要岗位的定期轮换制度。因此，中国银行操作风险主要集中在基层分支机构。 3.2中国银行苏州分行操作风险管理现状分析

3.2.1内部控制环境

按照中国银行总行内控体系建设要求，中国银行苏州分行不断完善内控组织架构，2005年10月中国银行苏州分行成立了内控委员会，负责维护全行内部控制体系的总体运行;2007年建立了以职能管理、合规控制、内部稽核为主要内容的内控三道防线，按照规范化的要求稳步推进内控管理工作。通过积极的探索和不懈的努

力，中国银行苏州分行的内控环境总体良好，一道防线的自我管控能力有所提高，员工的合规意识明显提升，二道防线逐步规范各项管控工作，并建立了内控考核与问责机制，促进中国银行苏州分行整体绩效进步。但中国银行苏州分行内控工作总体处于起步阶段，面对新的形势和要求，当前内部控制环境还存在较多不足，急需加以改善，以支持并推进其他控制要素的整体良性发展:

1、内控委员会的决策作用有待发挥。目前中国银行苏州分行内控委员会更多履行的是对经营活动过程中内控工作的了解以及侧重于具体问题的解决，对全行内部控制体系建设和规划、评估内部控制体系及制度的有效性，识别内部控制体系的不足和缺陷等方面尚显不足，不利于促进全行内控管理能力的提升和系统风险的防范。

2、内控三道防线的组织架构、职责与分工有待进一步理顺。在业务架构与流程整合前中国银行苏州分行内部只有二道防线的组织架构，第三道防线的职能由省行稽核部履行。中国银行苏州分行的二道防线由中国银行苏州分行法规部、各职能部门兼职内控合规员以及各支行兼职内控合规员组成，职责定位中法规部更多的承担了检查及案件防控职能，在体系运行中存在:一是法规部内控、操作风险的牵头管理

职责不到位，更多的陷于具体的检查和防控工作中;二是二道防线其他部门及支行因人员问题等，对一道防线的检查、辅导和监督的职责履行存在不足，专业化能力有待提高;三是组织架构中牵头部门、职能部门及支行层面的内控职责分工不明晰，导致协调运转机制的不畅，未形成合力，存在控制重复与效率不高等问题。 3、内控考核和问责的科学性和合理性有待完善。中国银行苏州分行在绩效考核中设置了“内部控制与合规经营”的考核维度，对加强内控管理起到了重要作用，但在考核体系中考核维度的设置、评价标准和评价手段还有较大局限，考核内容以“点”为主，缺乏系统性和全面性，尚未建立起科学、全面的内控评价体

系，无法充分反映被考核机构内控管理的整体状况。在问责管理中，问责标准还不统一，缺乏科学性和合理性，还未做到严格区分一般失误与故意违规的界限，保护员工发展业务和创新的积极性。

4、内控理念不统一，内控定位与目标有待清晰。中国银行苏州分行现有各项内控措施主要是为了防范各类案件的发生而逐步出台的，在这特殊背景下，外部监管机构、部分管理层纷纷对操作风险管理采取“零容忍”的风险偏好，导致内控措施逐级逐层加码，且不成体系，在一些领域存在过多、过严、重叠控制的弊端。但同时，随着业务发展的不断加快，业务发展的压力不断加大，一些员工也把合规操作要求当作业务发展的绊脚石，不能正确处理好业务发展和合规的关系，使内控工作形同虚设，或者过多注重合规的形式，而不是合规的实质，不能正确理解合规的内涵。如此种种现象，表明当前中国银行苏州分行各级员工的内控理念还不统一，内控定位与目标还有待清晰。

3.2.2风险评估分析

风险评估是及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确立风险应对策略。相对于信用风险、市场风险的管理，

操作风险管理对中国银行苏州分行来说是一个崭新的领域与课题，由于总行相关操作风险的评估工作在二级中国银行苏州分行没有全面推广，所以操作风险评估是中国银行苏州分行目前内控管理中最薄弱的一项内容。目前中国银行苏州分行的风险评估工作仅在一定范围内展开和尝试，未形成体系，如内部控制监测数据的收集、对新产品的风险评审，管理成效还需不断提升。

l、内部控制监测数据的分析预警功能未发挥。中国银行苏州分行根据总行要求建立了内部控制监测数据的收集工作，对人力资源、系统失灵、业务差错等十一大类86项内控数据进行收集，由于数据收集时间较短，且采用各部门手工填报方式，数据的准确性和完整性不能保证，其分析预警功能没有发挥，且总中国银

行苏州分行的关注指标的适用性有差异，未能有效实现对风险进行评估的功能。

2、操作风险评估工作尚未全面开展。目前在操作风险管理上各业务条线还未定期、持续对各业务流程进行评估，明确各条线操作风险关键风险指标，也未建立分产品、分业务的可供参考的量化的容忍度指标。现有下发的各种制度大多从案件防控角度体现了从严控制操作风险的态度，而各级管理者从管理责任考虑，或多或少也存在以牺牲管理成本换取管理绩效的倾向，不断增加控制手段，最终导致控制的重叠、冗余，加重了管理负担。中国银行苏州分行受大环境的影响，部分业务也存在控制过度的情况，通过对业务流程的风险评估，寻求合理的操作风险容忍度，是中国银行苏州分行在风险管理成本与收益平衡下的一种必然选择。

3、对新产品、新业务、新管理范畴的风险识别、评估与监控仍需加强。在加大业务创新和管理创新的同时，中国银行苏州分行也不断加强对新业务、新产品的制度建设和管理规范，但相对而言，对新产品、新业务、新管理范畴的风险评估与监控尚未形成规范要求，缺乏统一标准和评估方法，且后评价工作未有效开展。

3.2.3控制活动分析

中国银行苏州分行贯彻总行《规章制度管理办法》和《授权管理办法》要求，建立了中国银行苏州分行的制度、授权管理框架，管理工作逐步规范化，2007年至今，经过定期的清理评估，中国银行苏州分行目前自拟在用的规章制度有337个，相关制度定期及时维护入总行规章制度库内，对指导全行业务操作起到了重要作用。按照新的权限和架构，中国银行苏州分行正积极梳理授权管理体系，明确在三年内构建完成中国银行苏州分行“主体明确、授权有限、权责对等、人岗匹配”的科学授权决策体系。同时中国银行苏州分行也在不断优化业务流程，加强业务集中管理、强化重点环节控制、深化信息科技支撑，来加强对各项业务的有效管控，但中国银行苏州分行的内部控制活动比照国际最佳实践还有较大距离，内控政策和程序的有效性函待提升:

1、规章制度的质量与可操作性有待进一步提高。前台操作部门对中国银行苏州分行规章制度的质量与可操作性问题的反响长久以来都比较大。一是规章制度质量不高。存在制度表述不清，使用者理解困难，产生歧异;原则性内容多，指导具体操作的内容少，执行不一;制度的制定建立在管理部门免责的基础上，制度是完美的，但实际操作难执行等问题。二是规章制度转化传导不尽职。一级中国银行苏州分行是制度传导和转化为可操作指南的重要环节，但现有管理中仍存在满足于“收发室”功能，照转照抄严重，导致基层员工陷于大量长篇累犊的制度汪洋，无力消化; 自上而下的传导渠道不畅，执行人员不能及时领会掌握，影响执行。三是制度缺失问题。一些新业务、新产品、新管理范畴的领域内或多或少存在制度空白;总行新增赋予中国银行苏州分行的管理权限还存在大量制度空白。四是制度评估工作未落实。定期制度评估流于形式，存在只要有制度就行了、只要将就能用就行了、只要没什么风险就行了的思想，缺乏让制度更适应客户需求、更适应前台操作的主动管理意识。

2、授权管理基础薄弱。中国银行苏州分行的授权管理工作从去年起步，在工作推进的过程中表现出基础薄弱的问题:一是受权主体和权限内容不够明确，各部门牵头成立的决策机构还有待进一步梳理或调整;二是一些权限缺少制度支撑，一些制度表述模糊无法确定权限内容和受权主体，同时，流程不清晰也是权限梳理工作推进中的难点;三是职责和权限界定不清，上级行各条线部门把握的标准也不尽一致，混淆严重;四是权限的种类、性质、概念尚无制度规范，操作中难以把握。

3、建立‘。以客户为中心”的流程银行还存在差距。中国银行苏州分行长期以来按照“部门银行”模式设立和管理内部机构，难免存在业务条线划分过细、战略业务单元松散、条块关系不清晰、双重或多重控制等问题。近年来，中国银行苏州分行也在致力于流程优化工作，逐步建立“以客户为中心”的现代流程银

行，但在实际操作中仍或多或少存在本位主义、免责文化，缺乏全局意识和责任意识的现象，最终与目标实现存在一定差距。

4、员工的合规意识、业务素养和执行力仍需不断提升。近两年中国银行苏州分行多策并举重点抓员工合规教育，取得了良好的效果。但从今年检查和8月份刚结束的综合业务大检查来看，业务一线新员工多，员工的合规意识、业务素养不高，执行规章不力，仍然是当前影响业务健康发展的重要因素之一，表现在:一是制度执行简单化、表面化。员工素质不高，学习制度不得要领，理解不深、不透，有的机械执行、有的执行中扭曲变形，起不到应有的控制效果;二是基层行制度规定传达不及时、政令不够畅通，影响制度执行力;三是个别机构仍存在抵触性执行、选

择性执行的现象。制度执行上有政策，下有对策;执行制度断章取义，为我所用，随意性大等。内控合规教育这一永恒的主题，前路漫漫任重而道远。 3.2.4操作风险管理与合规管理的关系

合规管理与操作风险管理的异同也是银行面临的另一个困惑，其缘由与内控管理和操作风险的关系存在类似之处，即监管部门对于合规管理也有独立于操作风险管理的监管要求。

国际上，在吸取大量案件的教训后，合规问题日益引起监管者和银行业的高度关注和重视，合规管理作为专门的银行风险管理技术也日益得到全球银行业的普遍认同。2005年4月，巴塞尔委员会发布了《合规与银行内部合规部门》文件，提出了合规管理十项原则，向各国银行业金融机构及监管当局推荐有效管理合规风险的最佳做法，敦促并指导银行业金融机构建立有效的合规政策和程序，推进银行机构的稳健经营。

国内方面，为加强银行合规管理，银监会在借鉴国外银行业和监管机构合规风险管理的经验的基础上，于2006年发布了《商业银行合规风险管理指引》，明确

了合规是指使商业银行的经营活动与法律、规则和准则相一致。合规风险是指商业银行因没有遵循法律、规则和准则可能遭受法律制裁、监管处罚、重大财务损失和声誉损失的风险。

所谓合规管理，就是通过建立一套机制，使公司能够有效识别、评估、监测合规风险，主动避免违法违规行为发生，从而免受法律制裁或财务、声誉等方面的损失，防范操作风险。实践中，银行员工执行的“规”有两个来源:第一是直接来源于外部的“规”，主要是国家法律法规和行业自律规则，它是内部“规”的基础与源泉。第二个来源于银行内部的“规”，主要是银行根据国家法法规，结合本行实际进一步细化或制定的各类管理制度、规定，这个“规”应当是比外部的“规”更加严格、细致的“规”。通常情况下，银行遵守了内部的“规”，同时就遵守了外的“规”，就可以实现合规的目标。但由于制度建设的原因，内部的“规”不能完全覆盖外部的“规”，因此合规强调的是遵守内部、外部两个规。

而银行操作风险的主要表现之一就是流程执行不到位(也可称为有章不循)，

就是员工没有严格执行银行的内部规章制度。以某大型银行为例，2008年内外部检查发现的14万个问题中80%的问题属于有章不循，可见违规操作的现象仍较为普遍。因此防范违规行为，倡导合规操作，是操作风险管理的重要内容。上述分析表明，倡导按章操作，防范违规风险，既是合规管理的基本要求，也是操作风险管理的重要内容。但合规管理除了强调倡导遵守银行内部的规章制度，同时还要求遵守外部的法律、法规和监管要求，操作的合规性管理不同于合规管理。而操作风险管理主要强调的是内部制度的执行，并且操作风险管理的范围除了制度执行外，还涉及lT等风险的管理，操作风险管理也不仅限于操作的合规性管理。因此合规管理与操作风险管理即存在交叉，但各有侧重。二者关系如图2所不:

3.2.5信息与沟通分析

中国银行苏州分行目前存在较多形式的内部信息沟通渠道，主要是企业文化网页、NOTES、支行部门网页、交流论坛、培训、召开不同层级的会议、发布各种月刊或季刊等;建立了95566客服热线，加强与客户的沟通;同时也不断加强与当地银监、人行等监管机构的沟通，及时掌握监管信息。中国银行苏州分行的内外部沟通渠道是多样的，但也存在:一是未建立规范的信息管理机制，非重要信息拥堵缺少整合，但有时重要信息传达不到位或传达效率低下;外部信息沟通未形成规范的沟通机制。二是未建立重要信息的双向反馈机制。管理部门征求基层意见很多，但几乎没有对意见的反馈机制，基层反映意见很多，能得到反馈的很少，影响基层行主动沟通的积极性。

3.2.6检查与监督分析

中国银行苏州分行由法律合规部牵头检查工作的管理，目前延续省行的检查管理要求和检查工作指引规范各条线部门、支行开展检查工作，审核制定全行检查计划，同时依托检查整改管理系统督导、考核部门、支行检查工作的开展和整改工作的落实。现行的检查形式一般以下查一级为主，逐级管理，条线部门主要检查支行本部，支行主要负责对网点的检查，检查工作的开展对及时发现风险隐患起到了重要作用，但现有检查工作的方式和成效仍存在相当不足，需予以完善。 1、检查的深度、广度以及检查人员的专业化能力需提升。一是检查专业化水平不高，检查

工作侧重于对表面合规性的检查，对实质性风险控制及业务关联性、逻辑性是否合理的深层次检查不够，总体检查工作的质效不高。二是检查工作更多停留在被动满足频率和覆盖面的要求，而未将检查作为职能部门对制度的制定、执行和完善的内在管理需要，导致对检查工作的整体规划和执行效果重视不够。三是检查工具、手段欠缺。各职能部门、支行检查大多停留在原始手工检查状态，科技运用工具的开发和使用进展不快，检查技巧和方法掌握不够，难以有效揭示问题。四是检查主体多元化，各条线部门分头检查加大了被检查机构特别是支行层面的受检频率。

2、检查整改的力度和深度不足。一是忽视对检查情况的分析总结，揭示问题发生的原因，查找问题的根源，未有效利用检查成果来完善制度、优化流程，使检查工作的质效大打折扣。大部分整改工作就检查发现的现象进行整改，未对问题的本

质进行深入分析并采取措施纠正，以至于同样的问题在屡次检查中依然存在。二是检查整改管理系统利用效果欠佳，存在信息反映不全、信息反映标准不统一，检查信息与事实存在偏差的现象，使中国银行苏州分行的检查管理工作及内控执行状况不能得到全面真实地反映，对中国银行苏州分行内控决策的准确判断带来影响。

4中国银行操作风险管理的对策

4.1中国银行系统操作风险管理对策

4.1.1改善内控环境

4.1.1.1完善公司治理结构

(l)按照权力制衡的原则完善公司治理的组织结构。中国银行要积极改革现有的干部管理体制，提高董事、高级管理层的市场化选择的比例，改变通过行政手段选派管理人员的做法，逐步实现高管人员的市场化选择，促使高管层真正为经营决

策的后果负责。要建立高管人员到任审计，离任审计，薪酬制度和其他的股权、期权的激励相容制度，以及对高管人员的亲属，朋友，子女的关联贷款的自动回避等制度，确立高管人员的良好行为准则。要加强监事会建设，充分发挥监事会的监督职能，监事长和非职工监事必须由股东大会选举产生，监事长和监事会成员不应在公司担任行政职务。要保证1/3的监事由职工代表大会选举产生，为职工负责，并考虑聘请专业人士担任外部监事。

(2)建立有效的激励约束机制。建立股东大会对董事、监事绩效评价标准和程序的制度，按照评价结果给予董事、监事相应的奖励或惩罚。要制定书面化、规范化的对高管层成员绩效评价的标准和程序，以完善对高管层的薪酬激励机制。要实现按岗定酬的分配方式，进一步完善对员工的考核机制，以真实反映员工的工作表现，加大收入中与员工绩效挂钩的部分，以加强薪酬的激励作用。要拉开不同岗位人员以及同一岗位不同表现人员工资收入的差距，充分发挥薪酬分配吸引人、激励人和稳定人的作用。将操作风险管理与与个人的职业发展挂钩，将员工所在部门机构的绩效与个人绩效相结合，将业务发展与风险管理的考核先集合，加大对违规行为的惩处力度，提高违规成本，促进员工利益与银行的利益的统一。 (3)强化信息披露制度监督。信息披露是公司治理结构是否有效的重要因素之一，同时也是防止银行“内部人控制”的有效手段。高管层作为公司的经营者，掌握着公司的大量信息，如果缺乏透明度，股东、董事会和监事会将很难把握其行为，就有可能出现高管层的“内部人控制”现象。因此，银行要尽快建立完善的重大事项及重大操作风险的报告制度和信息沟通制度，及时准确地提供银行风险变化信息，从而加强对高级管理层的监督。

4.1.1.2制定明确的操作风险管理战略并监督实施

(l)银行的董事会应根据本行的发展战略，制定本行的操作风险管理中远期战略，明确操作风险管理的偏好和容忍度，旗帜鲜明地表明对操作风险的管理策略和

容忍度。实现对操作风险的有效防控和管理是银行的一项长期任务，董事会和高管层必须全力支持和参与操作风险管理，推动全行将操作风险管理融入到经营战略中去，实现业务发展与操作风险管理的有机融合。董事会应制定操作风险管理的基本政策，对本行各类业务中的操作风险进行界定，列明本行操作风险的具体构成，明确识别、评估、监测与控制操作风险所应依据的原则、政策和方法。 (2)银行的董事会应充分了解本行的主要操作风险所在，把它作为一种必须管理的主要风险类别，努力促进这种公司文化的建立，并且提供充足的资源支持各职能部门开展操作风险管理活动，还应把操作风险管理纳入到业绩评估程序中，把操作风险管理作为银行经营中的关注重点。各银行的董事会应当加强对操作风险管理战略执行情况的监督，定期听取管理层关于战略实施情况及全行操作风险体系建设、风险状况、重大操作风险事件的报告，及时重审操作风险管理战略并与调整，及时指导管理层开展操作风险管理活动。

4.1.1.3推进业务流程再造

从操作风险的定义不难看出，操作风险重要的原因就是因流程引起，一类是制度流程设计不合理，二是制度流程执行不到位，其中制度流程执行不到位(有章不循)的现象是商业银行主要操作风险之一，而导致制度执行不到位的重要原因之一就是制度设计的不合理、操作性不强。因此，流程问题对于操作风险影响重大。抓好流程设计是解决操作风险的基本方法。通过修补有缺陷的流程、规则，阻断操作风险的其它诱因，可以达到事半功倍的管理效果。

国内商业银行长期以来按照“部门银行”模式设立和管理内部机构，难免存在重复、冗余的管理控制环节，以及职能重叠、责任不清晰、双重或多重控制等问题。近年来，部分商业银行(如工商银行、招商银行、民生银行)通过引进现代经营管理理念，在发展战略中明确“以客户为中心”，并以此指导银行组织架构和业务流程的优化，探索构建“流程银行”，着力提高集约化经营水平和风险管理

水平。中国银行应在开展‘似客户为中心”业务流程再造的同时实现风险管理流程的再造，将操作风险控制机制嵌入到业务流程之中。一是建立相应的授权体系，实行统一法人管理和法人授权;二是建立必要的职责分离，以及横向与纵向相互监督制约关系的制度;三是明确关键岗位、特殊岗位、不相容岗位及其控制要求;四是建立关键岗位定期或不定期的人员轮换和强制休假制度;五是对于可能导致偏离风险管理政策、目标的运行情况，应建立并保持书面程序和要求，并在程序中规定操作和控制标准;六是对于重要业务应实施连续记录和监督检查;七是对于产品、组织结构、流程、计算机系统的设计过程，应建立有效的控制程序;八是建立信息安全管理体系，对硬件、操作系统和应用程序、数据和操作环境，以及设计、采购、安全和使用实施控制;九是建立并保持应急预案和程序，确保业务持续开展。制度流程的再造应坚持以下原则:

(l)科学性。科学性体现在既方便服务客户又易于强化风险管控。制度流程的

设计需围绕“以客户为中心”展开，建立统一标准，简化内部操作，既要便利客户，又要控制风险。科学性还体现在制度制定过程的规范性、论证的充分性，制度的制定应当由相关专家充分的参与，以此保证制度的专业化和不同部门间的相互衔接。制度制定应后还需由专门的部门进行审核，以保证全行制度的统一性。新制度还需由实际业务部门进行测试、修改、完善，反复多次直至制度可行才最终下发。 (2)前瞻性。面对激烈的市场竞争和产品创新步伐的加快，制度制定方面有一定的前瞻性，新业务上开展前要组织有关人员研究、然后组织制度测试，经过内部调整、磨合和准备，新产品方可推出。

(3)易操作性。风险管理也要树立‘以客户为中心’的理念，银行内部的一线

部门就是风险工作的客户，风险管理部门要根据掌握的经验、技术和信息为一线服务，在流程中控制风险、创造价值。实践中，规章制度得不到落实的重要原因之一就是，制度制定后没有采取有效的形式向员工传达、贯彻。银行的规章制度

多，并且不断更新，一线的员工一来不易全部掌握，二来由于对一项业务有多个制度约束，员工很容易在操作时顾此失彼，因此制度制订者应将复杂的问题简单化，应当将制度细化成员工手册或岗位手册，“操作指南”、表格化的方式进行列示，方便员

工掌握和执行。

(4)统一性。银行应避免过度强调分支机构的差异性，全行范围内的业务管理、操作应尽可能统一化、标准化，提高管理的规范性和强制性，防止因管理、操作的弹性和随意性诱发的风险。银行应在提高制度流程的科学性、易操作性的基础上，强调制度的统一性、提高制度的强制力，尽可能减少管理与操作的差异化、个性化实现全行业务操作的标准化、规范化。

4.1.1.4建立合理的组织架构

合理的组织架构对风险管理的效果也起着至关重要的作用。一个能够有效执行操作风险管理框架要求的组织架构应明确界定各职能部门的责权关系、上下级报告关系，清楚地规定操作风险事件的收集和汇报路线，也就是操作风险的事情发生了，由谁向谁汇报。

国外商业银行经过多年发展，己经形成了日趋成熟的风险管理组织框架。《巴塞尔新资本协议》以及《企业风险管理整合框架》中体现的现代风险管理理念对国内银行风险管理组织框架的建设具有重要指导意义。国内银行应以风险控制为立足点，以业务流程再造为突破口，加强风险垂直管理与部门间的横向制约机制，确立合理的组织管理形式。横向上在合理分工、职责分明的基础上做到既相对独立又相互牵制:纵向上做到减少管理层次，精简机构，加强对下级机构的控制。银行应当建立包含以下内容的操作风险管理组织架构:

(l)董事会应作为银行风险管理的最高决策机构，负责对风险管理进行整体战略决策，建立操作风险管理的基本政策。董事会下可设立专门委员会(如风险管理

委员会)作为全行操作风险管理的最高协调及议事机构，依据董事会的风险管理战略，推动风险管理体系建设。该委员会可由各个涉及操作风险的部门组成，负责对全行性、跨部门的问题进行协调。

(2)高级管理层负责执行董事会批准的操作风险管理战略和政策框架，其主要职责包括:根据董事会制定的操作风险管理战略和政策框架，负责制定、定期审查和监督执行操作风险管理的政策、程序和具体的操作规程，并定期向董事会提交操作风险总体情况的报告;全面掌握本行操作风险管理的总体状况，特别是各项重大的操作风险事件或项目;确界定分支机构的操作风险管理职责以及操作风险报告的路径、频率、内容，督促其切实履行操作风险管理职责，以确保操作风险管理框架的正常运行;为操作风险管理配备适当的资源，如提供必要的经费、设置必要的岗位、配备合格的人员、为操作风险管理人员提供培训、赋予操作风险管理人员履行职务所必需的权限等;及时对操作风险管理制度流程进行检查和修订，以便有效地应对内部程序、产品、业务活动、信息科技系统、员工及外部事件和其他因素发生变化所造成的操作风险损失事件。

(3)在总部设置独立的风险管理部门负责对全行操作风险的集中管理和协调，以制度形式明确和规范职责分工、管理方法、报告线路等具体运作机制，推进操作风险管理的各项措施并向高管层进行定期报告。审计部门应负责对操作风险管理政策、制度的实施情况进行独立评价与检验。

(4)分支机构层面应设置独立操作风险管理职能部门或专职岗位，逐级对上负责，将风险管理部门、岗位与业务部门、岗位区别开来，以改变基层机构偏重业务扩张而忽视风险控制、导致风险管理部门事实上无法从组织上制衡业务部门的弊端。

(5)在设置风险经理的基础上设立首席风险官。国际先进银行业风险管理方面通用的做法是设立风险官，目的是通过加强专业化管理，提高风险管理水平。国内

银行可在总、中国银行苏州分行两级设立首席风险官，负责本机构的风险管理。风险经理保持相对独立性，对首席风险控制官负责，侧重于区域、行业、客户、产品的风险分析与防范。

(6)建立独立的内部审计部门。银行要保证内部控制体系运转有效，必须对其进行连续的监管。通过设立只对最高决策层负责的地位独立、监督权威的内部审计部门，由内审部门独立行使综合性内部监督职能并对内控制度的有效性和符合性进行评价。建立健全合理有序的内部审计检查制度和非现场审计制度，加大监督检查的频率和力度，对银行内控制度的总体有效性进行连续性监管，推进银行内控体系的建立与完善。

4.1.1.5建立操作风险三道防线

近年来，国际、国内银行在完善内部的操作风险管理机制进行了积极探索，并在内部建立分工、制衡的风险管理机制，以提升对风险的识别、控制、监督、缓释能力，许多银行提出了“内控三道防线”、“内控四道防线”等理念。有人认为三道防线应如下构成:第一道防线—高管层及前台人员、第二道防线—风险管理职能部门、第三道防线—内部审计;也有人认为第一道防线—前台人员、第二道防线—风险管理职能部门、第三道防线—内部审计、高管层及董事会。尽管，国内主要银行都建立了“内控三道防线”，但内涵也不尽相同。国内主要银行关于内控三道防线的表述如表1所示:

操作风险三道防线是内部的风险管理的促进和制衡机制，有助于明确全行员工的风险管理职责，推动操作风险管理工作的有序开展，但有效的三道防线应坚持以下的功能定位:

操作风险管理第一道防线应体现操作风险管理的全员参与。操作风险无处不在、无时不有的特点决定了操作风险管理必须全员参与。银行的各级业务经营机构、业务管理部门和每个员工在承担业务发展任务的同时也应承担操作风险管理的责任，既是业务的直接经办者，又是操作风险的所有人，是操作风险管理的第一道防线。第一道防线应通过对风险的自我识别、评估、控制来履行风险管理职能，实现“自己管自己”。银行应当以制度的形式明确全体员工的操作风险管理职责，特别业务部门员工的职责，并将此理念不断的传导到每一员工，这是实现操作风险管理关口前移、和实现全面风险管理的重要举措。

操作风险管理的第二道防线应当体现的是对操作风险的专业化管理。第二道防线应包括各级机构的操作风险管理部门及操作风险管理人员。二道防线应通过制定操作风险管理的制度、标准和要求，为一道防线提供操作风险管理的方法、工具、流程，促进本行操作风险管理的一致性和有效性，评估和监控一道防线操作风险状况，对其工作提供指导，确保一道防线内部控制的有效性。

内部审计是操作风险管理的第三道防线，内部审计部门应在人员、财务方面与管理层相对独立，直接对董事会或董事会下设的内部审计委员会负责，内部审计部门应通过系统化和规范化的方式，监督评价本行的经营活动、风险管理和公司治理的适当性和有效性，以协助董事会和管理层履行职责，保证国家法律法规、方针政策、监管部门规定的贯彻执行，改善组织运营效率、有效控制风险、增加银行价值。