操作风险

操作风险1定义：巴塞尔银行监管委员会对操作风险的正式定义是：由于内部程序、人员和系统的不完备或失效，或由于外部事件造成损失的风险。

2分类：2.1巴塞尔分类方法：按照发生的频率和损失大小，巴塞尔委员会将操作风险分为七类：2.1.1内部欺诈：有机构内部人员参与的诈骗、盗用资产、违犯法律以及公司的规章制度的行为；2.1.2外部欺诈：第三方的诈骗、盗用资产、违犯法律的行为；2.1.3雇用合同以及工作状况带来的风险事件：由于不履行合同，或者不符合劳动健康、安全法规所引起的赔偿要求；2.1.4客户、产品以及商业行为引起的风险事件：有意或无意造成的无法满足某一顾客的特定需求,或者是由于产品的性质、设计问题造成的失误；2.1.5有形资产的损失：由于灾难性事件或其他事件引起的有形资产的损坏或损失；2.1.6经营中断和系统出错：例如，软件或者硬件错误、通信问题以及设备老化；2.1.7涉及执行、交割以及交易过程管理的风险事件：例如，交易失败、与合作伙伴的合作失败、交易数据输入错误、不完备的法律文件、未经批准访问客户账户，以及卖方纠纷等。

2.2商业银行分类方法：2.2.1流程风险：因为对产品、服务或变化没有切实有效地制作文档记录、处理或执行所造成的风险。

流程风险还包括与未能以完整、准确和及时的方式记录和报告财务及管理信息有关的风险；2.2.2人员风险：因管理上的不足、组织结构的缺陷、人力资源不充足或人力资源方面的其他不足造成业务需求无法得到满足的风险；2.2.3系统风险：因业务活动支撑系统或技术的缺陷、复杂性和不稳定而造成的风险。

系统行动计划也可能同时涉及技术及处理风险。

这是不同类型操作风险彼此重叠的一个范例；2.2.4外部事件风险：因公司直接控制以外的因素造成的风险，包括与供应商、联盟伙伴和服务提供商有关的风险，以及政治、社会、文化、环境因素3特点：3.1操作风险中的风险因素很大比例上来源于银行的业务操作,属于银行可控范围内的内生风险。

单个操作风险因素与操作损失之间并不存在清晰的、可以界定的数量关系；3.2从覆盖范围看,操作风险管理几乎覆盖了银行经营管理所有方面的不同风险。

既包括发生频率高、但损失相对较低的日常业务流程处理上的小纰漏，也包括发生频率低、但一旦发生就会造成极大损失,甚至危及到银行存亡的自然灾害、大规模舞弊等。

因此,试图用一种方法来覆盖操作风险的所有领域几乎是不可能的；3.3对于信用风险和市场风险而言，风险与报酬存在一一映射关系，但这种关系并不一定适用于操作风险；3.4业务规模大、交易量大、结构变化迅速的业务领域，受操作风险冲击的可能性最大；3.5操作风险是一个涉及面非常广的范畴，操作风险管理几乎涉及银行内部的所有部门。

因此，操作风险管理不仅仅是风险管理部门和内部审计部门的事情。

4国内特点：4.1损失事件主要集中在商业银行公司业务和零售银行业务,主要可以归因于内部欺诈、外部欺诈,占到损失事件比例最大的是商业银行业务中的内部欺诈；4.2单笔损失金额的均值相差很大，在度量操作风险时,应该分别考虑每个业务部门和每个风险事件组合下的损失分布情况；4.3损失事件的多少与银行的总资产规模成正相关，但损失金额多少与总资产没有明显的相关性；4.4从损失事件数目和损失金额的地区分布看，操作风险不一定发生在经济发达的分支机构,但是肯定会发生在管理薄弱、风险控制意识不强的地区。

5国内成因：5.1公司治理结构不健全：5.1.1一是所有者虚位，导致对代理人监督不够；5.1.2二是内部制衡机制不完善，董事会、监事会、经营管理层之间的制衡机制还未真正建立起来；5.1.3三是存在“内部人”控制现象。

由于国有商业银行所有者虚位，很容易导致银行高管人员利用政府产权上的弱控制而形成事实上的“内部人”控制，进行违法违纪活动；5.1.4四是内部控制能力逐级衰减。

国有商业银行的“五级”直线式管理架构，由于内部管理链条过长，信息交流不对称，按照“变压器”原理，总行对分支机构的控制力层层衰减，管理漏洞比较多；5.2内控制度建设尚不完备：5.2.1一是没有形成系统的内部控制制度，控制不足与控制分散并存，业务开拓与内控制度建设缺乏同步性，特别是新业务的开展缺乏必要的制度保障，风险较大；5.2.2二是内控制度的整体性不够。

对所属分支机构控制不力，对决策管理层缺乏有效的监督。

对业务人员监督得多，而对各级管理人员监督得较少、制约力不强；5.2.3三是内控制度的权威性不强。

审计资源配置效率低下，稽核审计职能和权威性没有充分发挥，内部审计部门没有完全起到查错防漏、控制操作风险的作用。

5.3风险管理方法落后，信息技术的运用严重滞后；5.4员工队伍管理不到位：5.4.1银行管理人员在日常工作中重业务开拓，轻队伍建设；5.4.2重员工使用，轻员工管理，对员工思想动态掌握不够；5.4.3举报机制不健全，使本来可以超前防范的操作风险不能及时发现和制止；5.5与风险控制有冲突的考核激励政策容易诱导操作风险；5.6社会转型及银行变革容易引发操作风险：5.6.1当前社会治安形势仍然严峻，针对银行的抢劫、诈骗、盗窃等犯罪时有发生；5.6.2从银行内部来看，国有银行正在进行股改，伴随机构撤并，也带来了大量富余人员消化问题，并导致各种矛盾的尖锐化。

6改革政策：6.1加大改革力度：6.1.1建立完善的公司法人治理结构。

我国商业银行要建立规范的股东大会、董事会、监事会制度，设立独立董事，构建以股东大会－董事会－监事会－行长经营层之间的权力划分和权力制衡有效结构，通过高级管理层权力制衡，抑制“内部人”控制、“道德风险”的发生；6.1.2按照“机构扁平化、业务垂直化”的要求，推进管理架构和业务流程再造，从根本上解决操作风险的控制问题；6.1.3改革考核考评办法。

正确引导分支机构在调整结构和防范风险的基础上提高经营效益，防止重规模轻效益。

要合理确定任务指标，把风险及内控管理纳入考核体系，切实加强和改善银行审慎经营和管理，严防操作风险。

不能制定容易引发偏离既定经营目标或违规经营的激励机制；6.2不断完善内部控制制度：商业银行在坚持过去行之有效的内部控制制度的同时，要把握形势，紧贴业务，不断研究新的操作风险控制点，完善内部控制制度，及时有效地评估并控制可能出现的操作风险，把各种安全隐患消除在萌芽状态6.2.1建立相应的授权体系，实行统一法人管理和法人授权；6.2.2建立必要的职责分离，以及横向与纵向相互监督制约关系的制度；6.2.3明确关键岗位、特殊岗位、不相容岗位及其控制要求；6.2.4对于重要活动应实施连续记录和监督检查；6.2.5对于产品、组织结构、流程、计算机系统的设计过程，应建立有效的控制程序；6.2.6建立信息安全管理体系，对硬件、操作系统和应用程序、数据和操作环境，以及设计、采购、安全和使用实施控制；6.2.7建立并保持应急预案和程序，确保业务持续开展；6.3全面落实操作风险管理责任制：6.3.1通过层层签订防范操作风险责任合同，使风险防范责任目标与员工个人利益直接挂钩，形成各级行一把手负总责，分管领导直接负责，相关部门各司其职、各负其责，一线员工积极参与的大防范工作格局；6.3.2落实问责制。

要明确各级管理者及每位操作人员在防范操作风险中的权力与责任，并进行责任公示。

今后银行发生大案，既要有人及时问责，又要深入追查事件责任人。

对出现大案、要案，或措施不得力的，要从严追究高管人员和直接责任人的责任，并相应追究检查部门、审计部门及人员对检查发现的问题隐瞒不报、上报虚假情况或检查监督整改不力的责任；6.4切实改进操作风险管理方法：6.4.1不断摸索，逐步完善操作风险计量方法。

虽然目前对操作风险的计量还没有一个十分完善的方法，但是随着商业银行全面风险管理的深入开展，准确计量操作风险并计提准备金是一个必然的发展趋势；6.4.2加强信息技术应用。

在数据大集中的进程中，要加强业务系统操作平台建设，全面查找设计上的漏洞，完善系统软件；6.4.3建立健全操作风险识别和评估体系。

要借鉴国际先进经验并运用现代科技手段，逐步建立覆盖所有业务类别操作风险的监控、评价和预警系统，识别和评估所有当前和未来潜在的操作风险及其性质；6.4.4建立和完善内部信息交流制度。

针对近年来多发的管理人员带头实施违规，强迫命令下属违规操作，形成案件和资金风险的问题，银行要建立和完善员工举报制度，依靠和发动一线员工，鼓励检举违法违规问题，坚决遏制各类案件特别是大案要案的高发势头；6.5加强人员管理：6.5.1牢固树立以人为本的经营思想，充分发动和依靠广大员工抓好操作风险管理工；6.5.2加强思想政治教育。

要深入开展矛盾纠纷和不安定因素排查化解工作，多方面、多层次将矛盾纠纷和不安定因素化解在单位内部和萌芽状态；6.5.3加强风险意识教育。

要坚持不懈地进行安全形势教育、典型案例教育、规章制度教育，提高全行员工安全防范意识和遵纪守法观念；6.5.4及时、深入了解重要岗位人员工作、生活情况，掌握思想和行为变化动态，对行为失范的员工要及时进行教育疏导和诫免谈话，情节严重的，要严肃处理。

7风险完善办法：7.1打造“学习型”银行，促规章制度内化于心：7.1.1规章制度没有得到有效的执行，而影响执行力的一个重要因素是规章制度管理不到位；7.1.2进行制度重检，使一项业务活动仅由一份制度文件受控；7.1.3制度文件按岗位分类，在内部网站上发布，便于员工查询；7.1.4强化制度学习培训与测试，使员工将规章制度内化于心，促使制度文件成为员工业务操作的标准、工作检查的依据和岗位培训的教材，以最大限度地降低基层员工因不了解、不熟知业务规定而产生的操作风险；7.2强化岗位管理，前移风险管理关口：7.2.1进行科学的岗位设计，前移风险管理关口，明晰岗位职责，落实岗位责任，实施差别授权；7.2.2在岗位安排上要防止不相容岗位由一人兼任或不同时期兼任，在人员调配上要向基层一线倾斜；7.2.3因不同岗位的“风险度”不同，基层机构应重点加强三类岗位人员的管理：7.2.3.1新上岗人员。

要把好从业人员入关口，防止有赌博、吸毒、诈骗等劣行的人员进入银行；要加强对新员工的岗前培训，把获得岗位资格作为员工上岗的必备条件；7.2.3.2重要岗位人员。

不仅要关注其8小时内的工作表现，还要关注其经济往来、社会交往和家庭关系等方面出现的异常现象，及时进行风险排查；同时要认真落实重要岗位人员的强制休假、轮岗或异地交流顶岗制度；7.2.3.3基层机构负责人。

他们承担着所在机构操作风险防范的首要责任，其本身的行为和态度对操作风险管理具有重大影响。

当前对基层机构负责人的管理，普遍存在上级监督太远、同级监督太软、下级监督太难等问题；7.2.4需在基层机构推行行务公开、任期考核、民主评议、离任审计等制度外，还要在人员任用上坚持德才兼备的原则，防止“带病提拔”、“一用就病”的现象发生；7.3开展教育警示活动，营造合规经营、诚实守信氛围：7.3.1“教育警示”法就是通过培训、参观、考察、演讲、报告会、内部刊物、多媒体课堂等生动活泼的形式，着眼于人生观和职业道德教育，引导员工爱岗敬业、克己奉公，对自己、家庭、银行、社会负责；7.3.2着眼于法规和廉洁从业教育，引导员工“慎微”、“慎独”，做到“身在钱海常筑坝”、“常在河边不湿鞋”；7.3.3着眼于健康风险文化的培育，引导员工树立“内控优先”、“合规守法”、“速度、规模、质量和效益的协调发展”等理念，让先进、健康的风险文化内化为员工的职业信念和工作习惯；7.3.4基层机构管理团队要成为健康风险文化的倡导者、建设者、传播者和模范执行者，促进合规经营、防范风险、廉洁从业、诚实守信成为一种工作氛围；7.4进行员工风险自评，提升风险识别、防范能力：7.4.1通过员工根据岗位职责、业务及管理流程，识别主要风险点，重点关注制度本身有无缺陷、制度执行是否有效、业务操作系统有无缺陷、哪些环节存在控制缺失或控制过度或容易出现操作不当等问题，形成《员工风险报告》后报上一级管理部门研究解决；7.4.2“自我评估”法不仅有利于基层员工主动提示风险，促进问题的及时解决，减少管理层与基层机构之间的信息不对称问题，也有利于提高员工工作的参与度和满意度，促进员工熟识岗位风险因素并有意识地进行防范；7.5有的放矢，实施风险重点监控：7.5.1银行的业务品种多、操作流程复杂、风险点也多，不分轻重缓急平均用力的操作风险控制并不可取；7.5.2事件发生频率较高、影响程度较大的重点环节、重点时段和重点对象则是操作风险管理的重点；7.5.3就基层机构而言，柜员卡、现金单证、印章印鉴、账户和代客服务是重点环节，节前假末是重点时段，基层机构负责人是重点对象；7.5.4对重点环节，应通过加强岗位制衡、检查稽核、授权控制、计算机和录相监控、行为排查等措施实施管理；7.5.5对重点时段，基层机构应保持高度的警惕，投入更多的精力；7.5.6重点人员的管理，则应从人员甄选、制度约束和考核评价等方面入手；7.6检查纠正到位，整改提高：7.6.1检查工作贵在效率、重在效果，实施中应注意做到“四个到位”：7.6.1.1筹划到位。