关于商业银行操作风险防范管理的几点建议

摘要:自20世纪90年代以来,由于银行内控机制不完善引致的操作风险问题越来越突出。我国商业银行存在内控体系不完备,操作风险管理机制失衡;内部控制执行力不足以及信息披露制度未能有效贯彻等不足之处,文章就以上缺陷进行简要分析,并提出了下列的措施建议:建立完善商业银行操作风险管理信息系统,加强信息沟通和信息披露制度;实行业务条线管理,全面落实操作风险管理责任制;并对商业银行操作风险进行资本计量等。

关键词:操作风险;内控机制;信息披露

巴塞尔委员会把操作风险界定为:“由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险”,在此定义中,突出强调了操作风险形成的原因。近年来银行操作风险案件的频发才使操作风险的控制逐渐受到全球银行界的高度重视。如美国所罗门兄弟公司因账务处理错误形成的6000万美元的损失;日本大和银行因操作风险控制制度缺失导致的11亿美元的损失。我国此类案件也不乏其数,如中行的“高山卷款10亿潜逃案”,建行的“吉林金融诈骗案”,农行的“邯郸金库5500万被盗案”等。从表面上看,引发这些案件的原因林林总总,但本质上,均是由于银行业内部混乱的内部控制与风险管理体系所导致的,规范、科学、运行良好的内部控制制度,能从根本上起到规避和减少操作风险的作用。因此,从内控视角来研究探讨操作风险防范管理对我国商业银行的经营实践有着积极的意义。

一、引致商业银行操作风险的内部控制机制存在的不足之处

从国内外发生的商业银行操作风险损失事件类型和业务类型来看,商业银行操作风险主要集中在商业银行业务和零售银行业务这2个业务部门,而且一旦发生带来的损失也最大。内部欺诈和外部欺诈以及内外部相勾结的欺诈行为是操作风险发生的最经常形式。这说明目前我国商业银行的内部控制机制还不健全,对内部控制制度的执行还不够有效。反思我国商业银行操作风险形成的原因,其内控制度方面主要存在以下不足:

(一)商业银行内控体系不完备,操作风险管理机制失衡

1、董事会未在操作风险管理中发挥积极作用。操作风险带有隐蔽性和突发性,在日常工作中未能得到董事会的充分重视。大多数银行不同类型的操作风险在经营层面分由不同的部门负责,未设立专门的操作风险管理职能部门来统一谐调。对于对同一类型的操作风险,即使在同一银行的不同分行做法也各不相同,表现出较强的随意性和自发性。

2、操作风险管理主要由各行业务部门按照本部门的理解和工作目标进行管理,缺乏信用风险、市场风险和操作风险信息协调、沟通与共享机制。目前,我国银行操作风险管理只是在部分风险点有所突破,操作风险管理战略和政策不明确,风险标准不统一,风险偏好和容忍度不清晰,缺乏一套规范的操作风险定义、识别、监控、转嫁等管理系统。

3、管理层与业务部门信息不对称。近年来,尽管各国有商业银行通过对人事、财务和信贷审批等方面进行了重大改革,大大加强了对分支行的控制,但由于信息不对称,总行在与分支机构的博弈中依然处于相对弱势的地位。相反,各分支机构随着行长负责制的推行,使得岗位监督制约成为一种摆设。

(二)内控机制执行力弱,操作风险管理未能实现全面覆盖

内控机制是对银行内部管理活动进行衡量和纠正的一整套制度安排,其最初目的是为了减少和控制商业银行徇私舞弊、弄虚作假、盗用公款等行为的发生,它属于操作风险管理最传统、最原始的手段。从我国银行业最近暴露出的操作风险的诸多案件看,规章制度不落实、执行不严格、监督管理不到位的问题在一定范围内还比较严重。例如,在信贷管理上,违规向非借款主体发放贷款,超权限违规发放贷款,未按要求落实贷款限制条款,贷款担保抵押不合规,对外出具虚假存款保证金证明,签发无存款保证金或保证金不足的银行承兑汇票;在财务上,

虚列支出、截留收入、私设“小金库”等。因此,加强内部控制机制建设,消除操作风险管理中的“蚁穴”,已是当前各家商业银行面临的现实任务。

操作风险未能全面覆盖。其突出问题在于产品创新管理混乱,缺乏面向市场的产品管理组织框架,“新产品开发-评估论证-申报审核-研究设计-完善内控-成熟移交-形成品牌”的创新流程尚未建立。

(三)操作风险信息披露制度未能有效贯彻

在信息披露方面,我国银行业虽已迈出了很大一步,从2002年以前没有一家银行披露到2008年有14家上市银行、6家股份制银行对操作风险进行披露。由于政府高层和社会各界对商业银行发案情况格外关注,各行普遍将依法合规经营纳入分支机构负责人经营目标责任制考核,并与各种资源分配挂钩,“发案率”对各级行管理层是十分敏感的指标,在某种程度上其重要性甚至超过利润指标。由于信息在银行内部不能及时、全面上传,结果失去了较早采取管理措施的机会。

二、商业银行内控机制不健全,操作风险管理缺陷原因分析

(一)管理职责分散

根据巴塞尔委员会的定义,操作风险有人员、系统、流程和外部事件等四类因素引起,几乎涉及到银行的各个职能部室。人员因素涉及到人力资源部,系统因素涉及到科技部,流程因素涉及公司金融、个人金融等业务部门及事后监督内部审计等后台部门,而外部事件会涉及安全保卫、事务等部门。从我国的情况来看,虽然各家银行已先后设立了风险管理委员会和内控委员会,但不同类型的操作风险由不同的部门负责,部门之间的协调不足,这样的分散管理还使得有些操作风险因无人管理而陷入真空状态。

(二)基层分支机构操作风险管理不到位

国外对操作风险的研究显示,操作风险大多集中于基层分支机构。因此,国外银行一般会在基层分支机构设置风险经理一职,负责总行风险管理政策在基层的贯彻落实,对基层分支机构进行监督管理,并保持与总行风险管理信息的沟通。与之形成鲜明对比的是,国内银行总分行之间以及对业务部门进行直接的操作风险管理这块基本上由内部审计部门和风险管理委员会负责,这些部门仅在总行有设置,在基层机构基本没有专门控制操作风险管理的部门,这就造成基层分支机构操作风险管理职能不到位。

(三)制度建设跟不上,制度执行不力

从某种程度上讲,防范操作风险最有效的办法就是制订尽可能详尽的业务规章制度和操作手册。凡是那些风险管理做得比较好的银行,其在制度建设方面必定是完善的。在这方面,外资银行的做法显然值得国内银行学习。他们对每种业务都会制订详尽的操作手册,并列示所有潜在风险点。这在很大程度上减少了操作人员因操作不当引发操作风险的可能,并为操作风险管理部门的监督提供指导。而国内商业银行的制度和体系建设还有待进一步建立和完善。此外,制度执行不力也是我国银行业在操作风险管理上的一大问题。有些制度形同虚设,则会失去约束力。

三、完善商业银行内控制度,防范和管理操作风险的几点建议

(一)建立完善商业银行操作风险管理信息系统,加强信息沟通和信息披露制度

1、建立完善的操作风险管理信息系统。完善的信息系统能有效提高商业银行操作风险管理的效率,该管理系统既能够支持操作风险和控制措施的自我评估,关键风险指标的监测、报告程序,又能够辅助生成风险识别、评估和检测报告。在该管理系统提供的分析工具,包括对

操作风险机构分布、业务缝补、发展趋势以及控制状态的相关数据进行多维度的分析,并且能够记录和存储与操作风险损失相关的数据。

2、在完善该信息系统的同时还要加强损失数据库的建立。新协议中对损失数据的重要性进行了强调:“委员会认为,根据统一的损失风险和业务归属的定义,各银行有序的收集数据并且在银行业内进行合理的共享,对于操作风险计量的高级计量法十分重要。若没有这些数据,委员会在制定操作风险最低资本限额时将采取保守的假设。”可见,为了我国可以尽快采用先进的操作风险度量方法,提高风险管理水平,各银行就应提前作好损失数据的收集整理工作,建立各业务部门的损失数据库。

3、建立有效的信息沟通、传递系统,完善信息披露制度。商业银行操作风险的发生有很大一部分是支行在刚开始发现问题时,隐瞒不报,导致风险进一步恶化,损失进一步扩大。如果相关信息采用恰当的形式并在恰当的时间内沟通,这样相关的管理和审计人员能够有效履行职责,采取适当的行动,防范和控制风险。建立一个有效地沟通机制,使相关信息能在总行分行之间,在管理层之间及时共享,使相关个层面拥有所需信息。

(二)实行业务条线管理,全面落实操作风险管理责任制。

1、实行业务条线管理。我国的操作风险损失案件一再证明了商业银行的基层分支机构是操作风险的易发点,这与基层行监督制约机制薄弱有重大关系,因此内部控制制度加强对银行管理链条的末端――基层营业网点的有效监督,尤其要加强对基层分支机构“一把手”和重要岗位人员的监督,从源头上防范和控制操作风险损失事件的发生。具体做法为改变原来的行政条线管理为业务条线管理,银行的管理活动是按业务条线垂直进行的。

在制定业务部门流程及政策时,充分考虑操作风险管理和内部控制的要求,保证各级操作风险管理人员参与各项重要的程序、控制措施和政策的审批,以确保与操作风险管理政策的一致性。此外,拟定、监测部门关键风险指标、容忍度指标,定期向操作风险管理职能部门报告本部门操作风险管理状况,及时报告重大操作风险事件。

2、真正落实问责制。明确各级管理者及每位操作人员在防范操作风险中的权利与责任,并进行责任公示,不仅让责任者完全知晓个人责任与权利,在此权责范围内行事;而且也让本单位内部干部员工、上级来监督该责任人对权责的履行情况,并通过各种渠道来评估、反映来自不同方面的意见。

(三)对商业银行操作风险进行资本计量,探索操作风险度量模型

对商业银行操作风险进行量化管理是现代银行经营管理的发展趋势。操作风险资本计量是按照银监会规定的操作风险资本计量的方法和要求进行计量,并合理配置操作风险经济资本的过程。根据《巴塞尔新资本协议》,巴塞尔银行监管委员会为银行提供了3种可供选择的操作风险资本计量方法,即基本指标法、标准法和高级计量法。

我国商业银行操作风险的模型化发展基本上还处于零阶段,这就造成操作风险的管理始终停留在内部审计和主观判断的低层次。只有把操作风险量化研究与控制框架结合起来,才能为操作风险管理提供科学的依据,这是国际活跃银行管理操作风险的趋势,也是我国商业银行的最终选择。在现有数据条件下,可以按巴塞尔委员会的标准法提取资本金,不断熟悉、完善该操作方法的具体过程,不断积累操作风险度量的经验,为将来采用精度更强、灵敏度更高的度量模型做准备。

(四)将操作风险纳入管理文化建设中,打造基层行操作风险管理文化

第一,加强职业道德教育、提高员工素质,尤其对于新入行员工,要在他们踏上工作岗位的第一天,就将内控文化理念灌输到他们的思想中,为操作风险的防范做好最基本的准备。第二,加强内控安全意识教育。一方面要提高员工对内控安全重要性的认识;另一方面,通过认真解析一些典型案例,强化柜员自觉规范操作的意识。第三,强化内控优先的意识。正确处理业务发展与制度执行的关系,将内控贯穿于业务发展的全过程,克服制度阻碍业务发展的偏见,自

觉执行各项规章制度。