XX银行操作风险管理办法

XX银行操作风险管理办法

第一章总则

第一条为加强操作风险管理，促进业务健康发展，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》以及中国银监会《商业银行操作风险管理指引》要求，参照巴塞尔新资本协议的技术标准，结合本行实际，制订本办法。

第二条本办法所称操作风险系指由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险。

本定义包括法律风险，但不包括策略风险和声誉风险。

第三条操作风险管理是全面风险管理的重要组成部分，其管理的目标是：

（一）降低操作风险的不确定性，避免突发性事件的发生，将操作风险控制在可接受的合理范围内；

（二）提高服务效率，实现流程优化，促进全行业务健康发展；

（三）降低管理成本，提高收益水平。

第四条本行操作风险管理遵循“全面管理、职责明确、分散控制、奖罚分明”的原则。

“全面管理”系指本行操作风险管理覆盖各级机构、岗位、经营管理活动和操作环节。

“职责明确”系指操作风险管理通过建立完善的制度体系和操作风险防范的责任体系,明确和落实各级机构、部门和员工的具体责任。

“分散控制”系指根据操作风险的特征，在遵循全行统一的操作风险偏好下，实行各业务条线指导与监督下的、分层级控制模式。

“奖罚分明”系指鼓励各级机构和人员主动管理和报告操作风险，对于及时发现报告操作风险，有效避免或降低损失的行为给予奖励；对造成重大操作风险的责任人，按照有关规定严格问责。

第二章操作风险管理的职责分工

第五条操作风险管理职责分工

董事会承担监控操作风险管理有效性的最终责任。董事会及其下设的风险管理委员会是本行操作风险管理的最高领导机构，制定适用于本行的操作风险管理战略和总体政策。

（一）高级管理层

高级管理层是操作风险管理政策实施的具体组织者，对全行操作风险管理工作负责。

1.总行行长职责：

（1）在操作风险的日常管理方面，对董事会负最终责任；

（2）根据董事会制定的操作风险管理战略及总体政策，负责批准、定期审查和监督执行操作风险管理的政策、程序和具体的操作规程，并定期向董事会提交操作风险总体情况的报告；

（3）明确界定各部门的操作风险管理职责，督促各部门切实履行操作风险管理职责，以确保操作风险管理体系的正常运行；

（4）全面掌握本行操作风险管理的总体状况，特别是各项重大的操作风险事件或项目；

（5）为操作风险管理配备适当的资源，包括但不限于提供必要的经费、设置必要的岗位、配备合格的人员、为操作风险管理人员提供培训、赋予操作风险管理人员履行职务所必需的权限等。

2.主管行长职责：

（1）督促识别本行所面临的主要操作风险，审核批准操作风险管理计划，协调操作风险管理部门与内部审计部门以及其他相关部门之间的工作；

（2）及时督促相关部门对操作风险管理体系进行检查和修订，以便有效地应对内部程序、产品、业务活动、信息科技系统、员工，及外部事件和其他因素发生变化所造成的操作风险损失事件；

（3）确保所有部门和员工明确自身操作风险管理方面的权责。

（二）风险管理部

风险管理部是全行操作风险管理的具体实施部门，负责协调、指导、评估、监督各分支机构、总行各业务部（室）、后台保障部门的操作风险管理活动。主要职责包括：

1.负责设计全行的操作风险管理框架；

2.负责研究拟定全行的操作风险管理政策、原则、管理流程和风险评价与控制标准，并指导协调全行范围内的操作风险管理；

3.负责督促实施全行操作风险识别、计量、控制、缓释工作；

4.负责督促新产品、活动、流程和系统推广和实施前开展的操作风险评估工作;

5.负责监控、分析全行操作风险状况，定期或不定期向高级管理层报告；

6.负责督促各业务部门建立本业务条线操作风险关键风险指标、损失数据库，并指导推广实施；

7.协助相关部门对员工进行操作风险培训，包括新员工的操作风险培训，以及所有员工的定期操作风险培训；协助各部门提高操作风险管理水平、履行操作风险管理的各项职责。

（三）总行各部门

各分支机构、总行各业务部门、后台保障部门和员工构成本行防范操作风险的第一道防线，是操作风险的直接承担者和管理者，负有对操作风险进行管理的重要职责。总行各部门主要职责包括：

1.在业务活动中遵循并贯彻操作风险政策、制度和流程等各项规定；

2.负责制定本部门所辖各项业务的操作风险管理制度和流程，并确保其适宜有效；负责督导分、支行对口条线落实操作风险管理制度，建立健全操作风险管理程序；

3.指定专人负责操作风险管理，其中包括遵守操作风险管理的政策、程序和具体的操作规程；

4.根据条线管理职责，做好对本条线下属各级分支机构部门操作风险识别管理工作的监督、指导、检查，以及风险信息提示等工作，并定期对操作风险管理防控措施的落实情况和执行效果进行自我检查和评价；

5.确保本部门业务条线下新产品、活动、流程和系统推广和实施前，所有的外包产品或活动开展前，以及各业务产品的重要操作流程在新制订或做重大修订时，应当对相关的操作风险进行充分识别和后续重检工作；

6.负责对分、支行上报的本业务条线的操作风险点进行认定、汇总；负责对部门在各项检查中发现的操作风险点进行识别、评估、汇总，并定期形成本业条线的操作风险防范手册；

7.负责制定并实施部门职责范围内的操作风险控制、缓释措施，不断优化流程，完善内控，保证业务健康持续发展；

8.负责本业务条线操作损失事件的数据收集、分类、准确性验证和报告；

9.负责建立本业务条线关键风险指标，监测和管理本部门操作风险状况，并定期将本业务条线的操作风险管理情况报送总行风险管理部。

（四）总行各部门操作风险联系人

总行各部门需设立操作风险联系人，协助主要负责人做好操作风险管理工作，并负责操作风险管理政策标准的落实检查。工作职责如下：

1.负责收集分、支行提交的操作风险识别表，归类总结各业务风险点，并提交总行风险管理部；

2.负责落实所发现操作风险问题的解决情况；

3.负责协助、指导本业务条线开展操作风险自评工作；

4.配合总行风险管理部完成其他操作风险管理事项的工作。

（五）分行操作风险管理负责人

分行行长是辖内操作风险的第一责任人。分行需设立操作风险管理负责人，协助主要负责人做好操作风险管理工作，

并负责所辖分、支行的操作风险管理政策标准的落实检查。工作职责如下：

1.贯彻执行总行的操作风险管理政策，确保如有任何重大操作风险事项发生，应及时上报总行并采取合适的方案进行处置；

2.负责协助、指导所辖分、支行开展操作风险自评工作；

3.负责对所辖分、支行提交的操作风险报告进行检查和评估，有效执行操作风险管理的评估与监督；

4.负责为分支机构的业务条线提供操作风险管理的业务咨询；

5.负责制定年度培训计划，并根据总行总体计划落实培训内容；

6.配合总行风险管理部完成其他操作风险管理事项的工作。

（六）分、支行操作风险联系人

分、支行行长是辖内操作风险的第一责任人。分、支行需设立操作风险联系人，协助主要负责人做好操作风险管理工作，并负责操作风险管理政策标准的落实检查。每个岗位、员工均是操作风险的直接管理者。分、支行操作风险联系人的工作职责：

1.根据本行操作风险管理政策制度，负责协调、指导、评估、监督本级相关部门和所辖机构落实操作风险管理政策制度；

2.负责汇总统计并上报本分、支行的操作风险识别表；

3.负责辖区内操作风险损失事件的统计汇总和分析；

4.按照上级机构要求，负责协助、指导本级相关部门开展操作风险自评工作。

（七）稽核部

总行稽核部不直接负责或参与其他部门的操作风险管理，但应定期检查评估本行的操作风险管理体系运作情况，监督操作风险管理政策的执行情况，对新出台的操作风险管理政策、程序和具体的操作规程进行独立评估，并向高级管理层报告操作风险管理体系运行效果的评估情况。

第三章操作风险的分类

第六条本行的操作风险可按照风险成因或事件类型等标准进行分类，以满足操作风险管理需要。

第七条按风险成因分类

按风险成因，操作风险可分为内部程序、人员因素、系统因素和外部事件等四类。

（一）内部程序。因银行业务流程、制度管理存在不当或偏差，没有及时完善，导致操作或执行困难，甚至给蓄意不法者留下漏洞造成的损失。

（二）人员因素。人员风险源于主观和客观因素，前者为本行员工不遵守职业道德，违法、违规或违章操作，单独或参与骗取、盗用银行资产和客户资产，工作疏忽等行为导致的损失；后者为员工的自身能力与岗位对人员素质要求不符导致的损失。

（三）系统因素。因IT系统（包括运行环境、软件、硬件和网络系统等）故障造成系统服务中断或服务出错，以及由于系统数据异常影响业务的正常运行导致的损失。

（四）外部事件。由于外部主观或客观的破坏性因素导致的损失。外部事件既包括外部人员的主观行为，又包括外部环境造成的客观事件。

第八条按事件类型分类

按事件类型，操作风险可分为内部欺诈、外部欺诈、就业制度和工作场所安全事件、客户、产品和业务活动事件、实物资产的损坏、信息科技系统事件、执行、交割和流程管理事件等七类。

（一）内部欺诈事件。指故意骗取、盗用财产或违反监管规章、法律或公司政策导致的损失事件，此类事件至少涉及内部一方，但不包括歧视及差别待遇事件。

（二）外部欺诈事件。指第三方故意骗取、盗用、抢劫财产、伪造要件、攻击商业银行信息科技系统或逃避法律监管导致的损失事件。

（三）就业制度和工作场所安全事件。指违反就业、健康或安全方面的法律或协议，个人工伤赔付或者因歧视及差别待遇导致的损失事件。

（四）客户、产品和业务活动事件。指因未按有关规定造成未对特定客户履行份内义务（如诚信责任和适当性要求）或产品性质或设计缺陷导致的损失事件。

（五）实物资产的损坏事件。指因自然灾害或其他事件（如恐怖袭击）导致实物资产丢失或毁坏的损失事件。

（六）信息科技系统事件。指因信息科技系统生产运行、应用开发、安全管理以及由于软件产品、硬件、网络设备、运行环境及服务供应商等因素,造成系统无法正常处理业务或系统运行异常所导致的损失事件。

（七）执行、交割和流程管理事件。指因交易处理或流程管理失败，以及与交易对手方、外部供应商及销售商发生纠纷导致的损失事件。

第四章操作风险管理流程

第九条本行操作风险的管理流程包括操作风险识别、评估、控制、缓释、监测、报告等环节。

第十条操作风险识别

操作风险的识别系指对XX银行经营活动和业务流程中潜在的风险及其特征进行定义和描述。

第十一条操作风险评估

操作风险的评估系指采用一定的方法和标准，对风险影响程度、发生频率与控制效率进行分析和评价，以准确掌握操作风险的分布状况和程度，采取相应的控制、缓释措施，优化流程，降低成本。

本行通过定性与定量相结合的方法，评估各类操作风险，建立操作风险评估体系。

第十二条操作风险控制、缓释

操作风险控制、缓释系指根据操作风险识别评估的结果，结合XX银行发展战略、业务规模与复杂性，通过采取流程控制、行为监控、电子化、保险等一系列控制、缓释方法，

对操作风险进行转移、分散、降低、回避，将其调整到可接受的风险水平。

本行鼓励各级机构将操作风险管理贯穿于业务发展之中，主动、有效地控制操作风险，降低成本，提高收益。限制开展收益无法覆盖操作风险的业务。

任何部门或人员不应夸大缓释工具的作用，不得以缓释工具代替内部控制和操作风险管理的责任。

第十三条操作风险监测

操作风险监测系指通过对各类风险指标的日常监测，对操作风险状况及其控制、缓释措施的质量实施动态、持续的监测。

本行开发并使用操作风险自我评估、损失数据库、关键风险指标等工具监测操作风险。

操作风险损失数据是本行操作风险评估、监测的重要工具，各级机构和部门应当对报告损失数据的真实性、准确性、完整性和时效性负责。

第十四条操作风险报告

操作风险报告系指各报告单位进行操作风险信息收集、加工与传输、汇总报告的过程。

操作风险报告对全行面临的各类操作风险进行研究、分析，并及时、全面、真实地向业务条线负责人、高管层、董事会提供操作风险管理的整体情况，为合理配置资本和制定本行发展战略提供决策支持。

操作风险报告至少包括以下信息：

（一）面临或潜在的关键操作风险；

（二）操作风险损失情况，主要的风险事件描述；

（三）识别出的重大操作风险以及采取的优化控制措施，优化控制措施的状态和效果；

（四）加强操作风险管理的建议。

操作风险报告采取矩阵式报告路线，分支机构应当定期向上级对口业务条线管理部门和风险管理部门逐级报告本机构的操作风险管理情况；总行各部门应定期汇总本业务条线操作风险管理情况并报送总行风险管理部。

第五章操作风险管理考评

第十五条操作风险管理能力是本行部门、机构和人员考核机制的关键组成部分。风险管理部牵头制定实施操作风险的考评方案。

第十六条本行鼓励各级机构和员工严格执行操作风险管理政策制度，鼓励积极、主动和持续改进操作风险管理。

第十七条本行逐步采用操作风险识别评估、损失分布、关键指标管理、操作风险事件管理等多种方式，对各业务部门和分支机构的操作风险考评。

第十八条对于操作风险考评结果未达标的分支机构，上级机构将加强监督和指导，通过调整授权权限、限制部分业务的开展等手段督促其提高操作风险管理能力。

第六章附则

第十九条本办法由总行风险管理部负责解释，由董事会审议修订。

第二十条原有规定与本办法相冲突的，以本办法为准。

第二十一条本办法自董事会审议通过后实施。