银行操作风险管理办法(试行)

XX操作风险管理办法第一章总则第一条为规范和加强本行的操作风险管理工作，依据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《商业银行操作风险管理指引》以及其他有关法律法规，制定本办法。

第二条通过确定本行操作风险管理总体架构，明确操作风险管理职责，并逐步建立起对操作风险损失的测度、分类、统计、分析、考核评价制度，建立和健全操作风险管理体系，加强操作风险管理，有效缓释和控制操作风险，降低操作风险带来的损失。

第三条本办法适用于本行各分支机构、各业务部门及全体员工。

第四条本办法所称操作风险是指由于不完善或有问题的内部程序、人员、系统以及外部事件给本行造成损失的风险，包括法律风险（如商业银行签订的合同因违反法律或行政法规可能被依法撤销或者确认无效；商业银行因违约、侵权或者其他事由被提起诉讼或者申请仲裁，依法可能承担赔偿责任；商业银行的业务活动违反法律或行政法规，依法可能承担刑事责任、行政责任或者民事责任），但不包括策略风险和声誉风险。

操作风险引发的损失指某一操作风险事件发生后，按照本行适用的法律、法规反映在本行法定财务报表的损失，损失包括所有与该操作风险事件相联系的成本支出，但不包括为避免后续操作风险损失实施的相关成本支出。

第五条本行操作风险管理遵循全面管理、及时调整、有效缓解与控制、成本与效益匹配、责任追究的原则及以下的方针：（一）本行把操作风险作为影响银行安全和效益的重要风险进行专门管理，操作风险管理应符合监管当局的监管要求、与全行发展战略、方针相适应。

（二）操作风险存在于全员、全过程，要确保全员了解操作风险管理文化，形成对操作风险定义的一致性理解并具备良好的操作风险管理意识。

各业务及管理部门的负责人和承担操作风险管理职责的人员是操作风险管理的主要责任人，负责防范和化解风险的各项活动；操作风险管理范围应涵盖所有机构、产品、活动、流程和系统。

（三）合规风险部是全行操作风险管理的牵头部门；各业务部门是操作风险管理的第一道防线，承担着操作风险日常的重要管控职责。

（四）本行应制定控制和减轻重大操作风险的政策、流程和程序，并采用一定程序和系统来定期监测操作风险和重大损失暴露；定期审查风险限额和控制战略，根据总体风险承受能力和风险组合状况，采用适当的措施，对操作风险组合进行调整。

（五）本行应制定适当的应急管理程序和针对各类突发紧急事件的应急预案，以确保在发生严重破坏事件时能够继续营业和减少损失。

（六）应定期向董事会和高级管理层报告与支持操作风险的前置管理相关的信息。

（七）本行应确保内审部门对操作风险管理体系的监督评价具有独立性。

第六条操作风险管理政策的应用及维护：（一）拟订：拟订全行操作风险管理办法。

（二）审定：风险管理委员会负责组织审定各项操作风险管理办法。

（三）实施：各业务部门和分支机构贯彻、执行操作风险管理办法。

（四）检查：合规风险部对操作风险管理办法执行情况进行检查。

（五）监督、评价：稽核监察保卫部对操作风险管理办法的有效性、充分性和合规性角度进行独立的、全方位的监督和评价。

（六）修改、维护：当外部环境和内部环境发生重大变化以及年度总结时，合规风险部应组织进行系统评估，根据评估结果及时对操作风险管理政策提出调整意见，并按原程序进行审批。

第二章操作风险的分类第七条本行操作风险分类基于损失事件类型展开，包括七大类。

该分类将作为操作风险今后管理分级分类的原则。

具体内容包括但不限于：（一）内部欺诈。

指故意骗取、盗用财产或违反监管规章、法律或本行政策导致的损失事件，此类事件至少涉及内部一方，但不包括性别、种族歧视事件。

1.内部未经授权的活动，如交易不报告（故意）、交易品种未经授权（存在资金损失）、头寸计价错误（故意）；2.涉及内部的盗窃和欺诈，如欺诈、信贷欺诈、假存款、盗窃、勒索、挪用资金、抢劫、盗用资产、侵占资产、恶意损毁资产、伪造、多户头支票欺诈、走私、窃取账户资金、假冒开户人、违规纳税、逃税（故意）、贿赂、回扣、内幕交易（不用企业的账户）等。

（二）外部欺诈。

指第三方故意骗取、盗用、抢劫财产、伪造要件、攻击商业银行IT系统或逃避法律监管导致的损失事件。

1.涉及外部人员的盗窃和欺诈，如盗窃、抢劫、伪造、多户头支票欺诈；2.系统安全性导致操作风险，如黑客攻击损失、盗窃信息（存在资金损失）等。

（三）就业制度和工作场所安全事件。

指违反就业、健康或安全方面的法律或协议，个人工伤赔付或者因性别、种族歧视导致的损失事件。

1.劳资关系：薪酬、福利、雇佣合同终止后的安排，有组织的劳工行动；2.安全性环境：一般责任（如滑倒和坠落）、违反员工健康及安全规定事件、员工的劳保开支等；3.性别及种族歧视事件：所有涉及歧视的事件。

（四）客户、产品和业务活动事件。

指因未按有关规定造成未对特定客户履行份内义务（如信托责任和适当性要求）或产品性质或设计缺陷导致的损失事件。

1.适当性，披露和信托责任：违背信托责任、违反规章制度、适当性、披露问题（了解你的客户等）、违规披露零售客户信息、泄露私密、冒险销售、为多收手续费反复操作客户账户、保密信息使用不当、贷款人责任等；2.不良的业务或市场行为：反垄断、不良交易、市场行为、操纵市场、内幕交易（不用企业的账户）、未经有效批准的业务活动、洗钱等；3.产品瑕疵：产品缺陷（未经授权等）、模型误差等；4.客户选择，业务提起和风险暴露：未按规定审查客户、超过客户可能承受的风险限额等；5.咨询业务：咨询业务产生的纠纷。

（五）实物资产的损坏。

因自然灾害或其他事件（如恐怖袭击）导致实物资产丢失或毁坏的损失事件。

灾害和其他事件：自然灾害损失、外部原因（恐怖袭击、故意破坏）造成的人员伤亡。

（六）IT系统事件。

因信息科技系统生产运行、应用开发、安全管理以及由于软件产品、硬件设备、网络与通信线路、电力输送损耗或中断、服务提供商等第三方因素，造成系统无法正常办理业务或系统异常所导致的损失事件。

（七）执行、交割和流程管理事件。

因交易处理或流程管理失败，以及与交易对手方、外部供应商及销售商发生纠纷导致的损失事件。

1.交易认定，执行和维持：错误传达信息，数据录入、维护或登载错误、超过最后期限或未履行义务、模型、系统误操作、会计错误、交易方认定记录错误、其他任务履行失误、交割失败、担保品管理失败、交易相关数据维护；2.监控和报告：未履行强制报告职责、外部报告失准（导致损失）等；3.招揽客户和文件记录：客户许可、免则声明缺失、法律文件缺失、不完备等；4.个人、企业客户账户管理：未经批准登录账户、客户记录错误（导致损失）、客户资产因疏忽导致的损失或毁坏等；5.交易对手方：非客户对手方的失误、与非客户对手方的纠纷等；6.外部销售商和供应商：外包、与外部销售商的纠纷等。

第三章操作风险管理的组织架构第八条操作风险管理的组织结构图：第九条操作风险管理职责与权限：（一）董事会。

董事会是本行操作风险管理的最高决策机构，批准实施全行操作风险管理框架，就操作风险管理框架的原则向高级管理层提供明确的方向性指导意见，批准高级管理层拟定的操作风险管理相关办法，监督高级管理层有效履行操作风险管理的职责。

（二）高级管理层。

根据董事会关于操作风险管理框架的指导意见，负责组织设计并组织执行全行操作风险管理框架，明确权责分工和汇报关系，并确保该管理框架适宜有效；组织拟订相应的办法，以实施银行操作风险的管理架构；负责执行董事会及其下设的专门委员会做出的关于操作风险管理的各项决定。

（三）监事会应监督董事会和高级管理层操作风险管理职责的履行情况。

（四）董事会下设的风险管理委员会。

1.根据本行总体战略，审核适用于全行的操作风险管理的总体办法和关键的操作风险管理办法，对其实施情况及效果进行监督和评价，并向董事会提出建议；2.监督和评价风险管理部门的设置、组织方式、工作程序和效果，并向董事会提出改善意见；3.对高级管理层操作风险的控制情况进行监督；4.对本行操作风险及管理状况、本行对操作风险承受能力及水平进行定期评估。

（五）内控与合规委员会。

1.根据外部监管机构有关操作风险管理的规定和本行的实际管理水平，审议本行有关操作风险识别、评估、监测、控制、缓释等具体管理制度和报告制度；2.定期听取各项业务操作中存在的风险隐患或形成损失的情况报告，评估本行同内部控制体系建设相关的管理制度的有效性，监控相关管理制度的具体实施情况，识别相关管理制度的不足和缺陷，决定本行为完善内部控制体系而采取的重要措施或行动方案；3.就本行因内部控制体系不完善所引发重大操作风险事件提出应急处理方案；4.就加强本行内部控制和操作风险管理应履行的其它职责。

（六）合规风险部合规风险部是操作风险管理的牵头部门。

1.合规风险部负责设计全行操作风险管理框架，逐步建立全行操作风险管理的整体框架；和行内各相关部门密切合作，共同进行操作风险管理的机制建设，牵头建立适用全行的操作风险基本控制标准，设计、维护操作风险管理工具（风险识别、评估、监测、控制、缓释），包括操作风险自我评估、关键风险指标等；负责操作风险信息的汇集，定期或不定期向高级管理层、风险管理委员会汇报；2.支行由合规专员负责操作风险管理相关信息的汇集，定期或不定期向本支行管理层汇报，并向总行合规风险部报告。

（七）稽核监察保卫部。

1.稽核监察保卫部不直接负责或参与其他部门的操作风险管理，但应定期检查评估本行的操作风险管理体系运作情况，监督操作风险管理办法的执行情况，对新出台的操作风险管理办法、程序和具体的操作规程进行独立评估，并向董事会报告操作风险管理体系运行效果的评估情况。

2.负责对重要岗位、敏感环节员工八小时内外行为规范，对操作风险进行排查以及薄弱环节进行监督整改，对案件专项治理工作监督落实，建立健全对揭发违法违规行为的激励与保护制度，查案破案与处分(处理)适时、到位的双重考核制度，防控案件责任考核制度，案件查处和相应的信息披露制度，制定落实查处重大案件应急方案，防范和化解重大风险；3.及时向高级管理层、内控与合规委员会通报重大案件和重大违规事件查处情况、发现操作风险重大隐患及整改意见以及查办重大案件应急方案等。

（九）相关部门（包括各条线业务部门、综合管理部门、后台保障部门）。

1.负责确保本行的操作风险管理办法、流程和规程在本部门内得到正确、有效的执行，并配合合规风险部门拟定本部门或本系统操作风险管理工具等，并确保其适宜和有效；2.根据本行统一的操作风险管理评估方法，识别、评估本部门的操作风险，建立持续、有效的操作风险监测、控制、缓释程序，并组织实施；3.负责信息、数据的搜集，并按要求向操作风险管理牵头部门提供本部门操作风险管理的相关情况报告；4.通过对本部门操作风险持续的识别、评估、监测，对发现的问题积极采取缓释和控制措施，及时化解和防范操作风险；5.具有条线管理职能的部门，负责督导各分支机构相应部门完善操作风险管理制度，建立健全操作风险管理程序，并对本条线管理业务的操作风险状况进行监控、汇总、归集和分析，按要求定期或不定期报送操作风险牵头管理部门；6.合规风险部、稽核监察保卫部、综合管理部等部门在管理好本部门操作风险的同时，应在涉及其职责分工及专业特长的范围内为其他部门管理操作风险提供相关资源的支持；7.总行、支行各部门应指定专人负责操作风险管理，包括遵循操作风险管理办法、程序和具体的操作规程；收集损失数据并进行汇总统计后向操作风险牵头管理部门进行操作风险报告；负责监测所在部门的操作风险因素；为所在部门管理操作风险提供协助、培训等。