操作风险管理发展的三条主线

操作风险管理发展的三条主线

巴塞尔新资本协议提出对操作风险计提监管资本，勾勒出了包括市场风险、信用风险和操作风险的全面风险管理框架，标志着银行风险管理发展到了新的历史阶段。尽管将操作风险作为独立的风险范畴进行系统研究是近些年的事，但操作风险并不是一种新的风险，

它同银行的历史一样悠久，伴生于银行的各项经营活动，对操作风险的管理活动一直是银行管理的重要内容，并形成了一些重要的实践和理论成果。研究和梳理这些管理成果对深化操作风险研究具有重要的意义。笔者认为商业银行操作风险管理实践沿着公司治理、内部控制和风险管理三条主线发展演进，并最终整合形成统一的操作风险管理理论体系。

一、公司治理

公司治理（Corporate Governance）这一术语在20 世纪80 年代正式出现在英文文献中。公司治理起源于对现代企业随着所有权和经营权的分离而产生的委托代理问题的关注。公司治理是现代公司企业的必然产物，它的出现和演化与现代公司制企业的产生和发展如影相随，并受外部环境的影响。现代企业所有权和控制权相分离，由此产生了委托人（投资者、外部人）与代理人（管理者、企业家、内部人）的代理关系。一般认为，掌握控制权的管理者（经理）会采取偏离股东利益的行动。他们往往努力不够，比如在外部活动上耗费更多的资源，只是为了方便而是企业中人浮于事，忽略内部控制

等。他们可能通过构建企业帝国、享受奢侈品等来获得个人利益的满足，甚至可能通过贪污养老金、向关联方支付不恰当的转移价格、参与内部交易等手段来为个人牟取利益。这就是代理问题。委托代理问题被认为是操作风险的重要根源。因此，公司治理一开始就同防范操作风险密切相关。公司治理的每一步发展往往都是针对公司失败或者系统危机做出的反应。例如，1997年的亚洲金融危机使人们对东亚公司治理模式有了清醒的认识；2001 年以安然、世界通信事件为代表的美国会计丑闻暴露了美国公司治理模式的重大缺陷。这些治理失败

的案件往往都是因为舞弊、欺诈或者不胜任等引起，而这些事件又促进了公司治理的改进。

公司治理通过协调各相关方利益来形成有效的激励与约束，进而达到规范企业行为，防范操作风险的目的。狭义的公司治理被认为是指公司董事会的功能、结构、股东的权利等方面的制度安排。主要解决所有权与控制权的分离所产生的委托代理问题。随着公司治理认识的深化，人们认识到股东与管理者的冲突只是诸多利益相关者冲突中的一种，需要从更广阔的视野来考察公司治理。现代公司治理关注与众多利益相关者(Stakeholders) 之间的利益平衡，科克伦(Philip L.Corchran) 和沃特克(Steven L.Wa-rtick) 在1988年发表的《公司治理一一文献回顾》一文中指出：“公司治理问题包括在高级管理层、股东、董事会和其他利益相关者的相互作用中产生的具体问题。”

现代企业的一个重要的特点是其社会性不断加强，企业问题涉及众多的利益相关者。对银行来说更是这样，金融是现代经济中的核

心部分，商业银行的行为涉及千家万户，影响整个国民经济的运行，关乎社会的稳定。防范操作风险，保持商业银行稳健经营是公司治理的重要目标。20 世纪90 年代以来，公司治理理论与实践取得了重要进展。1991年 5 月，英国成立了世界上第一个关于公司治理的委员会（Cadburv 委员会）。该委员会于1992 年12 月发表了题为《公司治理的财务方面》的报告。报告强调公司治理在企业发展中的关键作用和公司治理的外部人模式。强调外部非执行董事即独立董事在内部控制和审计委员会中的关键角色，突出了董事会的开放性、透明性、公正与责任。报告提出的一系列原则和理念，已成为公司治理最佳做法核心内容的一部分。经济合作与发展组织（OECD于1999年6月发布并于2004 年修订了《OECD^司治理原则》，包括股东权力保护、所有股东的平等对待、利益相关者合法权利的确认和保护、公司准确及时的信息披露、董事会对公司的战略性指导和对管理人员的有效监督等。我国也根据有关法律并参照国外公司治理实践中普遍认同的标准，出台了《上市公司治理准则》（2002），对我国境内上市公司的公司治理做出了规范。针对银行的情况，1999 年9 月，巴塞尔银行监管委员会发布了《健全银行的公司治理》专门文件。2005年7 月又发布了《加强银行的公司治理》文件的征求意见稿。文件中提出了银行文件公司治理的如下原则：确立银行的战略目标和价值准则，并在全行传达贯彻；制定并在全行贯彻明确的岗位责任制：确保董事会成员称职，清楚理解其在公司治理中的角色，并对银行的各项事务作出良好的独立判断：确保高级管理层适时适当的监督：充分

认识并有效发挥内外部审计及其他控制部门对稳健公司治理的重要促进作用：确保薪酬政策和具体做法与银行的道德价值观念、目标、战略及控制环境相一致：保持公司治理的透明度、持续了解银行的运营架构，包括在低透明度国家或在低透明度框架下的运营机构（了解银行的架构）等。巴塞尔银行监管委员会的许多文件也对银行公司治理有明确的规定，如《利率风险管理原则》（1997 年9 月），《银行机构的内部控制框架》（1998 年9月），《增强银行透明度》（1998 年9月），《信用风险管理原则》（2000 年9 月），《银行操作风险管理和监管稳健原则》（2003 年 2 月）以及2004年发布的巴塞尔新资本协议等。完善公司治理对促进我国商业银行稳健经营、健康发展、防范操作风险具有重要的作用，是国有商业银行改革的核心。2002年6月人民银行发布了《股份制商业银行公司治理指引》和《股份制商业银行独立董事和外部监事制度指引》，针对国有银行股份制改造，中国银监会于2004 年发布了《关于中国银行、中国建设银行公司治理改革与监管指引》。

公司治理是防范操作风险的有力手段，也是操作风险有效管理的基础。通过公司治理明确各利益相关者的权利和责任，建立有效的委托代理激励机制，以及相应的内外部治理机制等。不同的公司治理会形成不同的决策取向、风险偏好、企业文化以及经营管理环境等，这是操作风险管理与控制的前提和基础。

二、内部控制

内部控制(Intemal Control) 起源于对财务舞弊问题( 一种操作

风险) 的关注。目前。内部控制已涉及到银行面临的所有操作风险问题。银行内部控制的发展同银行操作风险事件息息相关。20世纪80年代后。银行风险损失事件很多都同内部控

制失效有关。美国货币监理署在对1979年?1987年间破产的162 家国民银行进行研究后发现，破产银行中分别有35％和11％是

由内部犯罪与金融诈骗引致。美联储的研究表明，在1990 年?1991 年破产的286 家银行中，有26％是由内部犯罪造成，61 ％的破产银行存在诈骗、非犯罪性违规、内部贷款损失等内部问题。巴塞尔银行监管委员会1997年在剖析英国巴林银行、法国里昂银行、日本大和银行等几起著名银行失败案例的原因时发现，除了内部控制失效外，很难再找到其他因素。

国外对内部控制理论的研究是从20世纪40 年代末50 年代初开始的，随着企业的发展和社会的进步，人们对内部控制的理解也不断深入。美国注册会计师协会(AIC-PA) 最早提出了内部控制的概念和基本理论。1992年，COS(委员会提出了著名的COSO 报告《内部控制整体框架》(I nternal Con trol-l ntegrated Framework)，并于1994年进行了增补。COSO艮告被誉为内部控制的里程碑。COSO报告认为内部控制是由企业的管理人员设计的，为实现营业的效果与效率、财务报告的可靠及合法合规目标提供合理保证，

通过董事会、管理人员和其他职员实施的一种过程。内部控制由控制环境、风险评估、控制活动、信息与沟通、监控等五个相互联系的要素组成。企业内部每一成员在实施内部控制方面都扮演着一定的角