操作風險管理

操作風險的定義與分類本章目錄1操作風險的度量2操作風險管理

3第一節操作風險的定義與分類1995年2月，巴林銀行駐新加坡的衍生證券交易員尼克·里森違規買進大量期貨合同并隱瞞累積虧損，使得該銀行損失11億美元，最終導致這家“百年老店”破產；2002年2月，由于交易員約翰·魯斯南克把他3年來外匯交易中的損失一直隱藏在該行的一個分支機構里，使得愛爾蘭聯合銀行損失6.91億美元；2008年1月，法國興業銀行爆出丑聞。該行的交易員違規進行期指買賣，導致該銀行損失高達71.4億美元；德國國家發展銀行在2008年9月15日，也就是雷曼兄弟公司提交破產申請的同一天，通過自動付款系統向雷曼兄弟公司轉入3億歐元。這使得德國國家發展銀行在金融危機的原有損失基礎上，平添3億歐元(約合4.35億美元)的損失。操作風險一直以來都在銀行業中大量發生。但長期以來，操作風險作為“其它風險”的一種，未能受到如同信用風險、市場風險一般的重視，學術界對操作風險的定義也沒有定論。第一節操作風險的定義與分類1.操作風險的定義國際上被廣泛公認的定義是在巴塞爾資本協議中的定義：操作風險是由不完善或有問題的內部程序、人員及系統或外部事件所造成損失的風險，其中包括法律風險，但不包括策略風險和聲譽風險。我國銀監會對操作風險的定義出現在2007年發布的《商業銀行操作風險管理指引》中。該指引將操作風險定義為：操作風險是由不完善或有問題的內部程序、員工和信息科技系統，以及外部事件所造成損失的風險，其中包括法律風險，但不包括策略風險和聲譽風險。第一節操作風險的定義與分類操作風險具有以下特征：（1）風險來源以內生為主絕大部分的操作風險都來自于銀行的內部業務操作失誤、內部系統失靈、內部人員控制和制度失效等，只有很少一部分來源于外部的欺詐、自然災害等。

（2）操作風險包括的范圍廣泛，具有普遍性（3）風險與收益的不對稱性

操作風險產生于企業內部控制行為，是一種純粹的風險。（4）操作風險損失數據呈現厚尾特征由于大部分的操作風險事件屬于高頻率—低損失類型，只有極少數的屬于低頻率—高損失類型，在損失數據的統計結果中極端值出現的概率要比正態分布數據出現極端值的概率大現象即叫做厚尾。

第一節操作風險的定義與分類2.操作風險的分類根據巴塞爾銀行監管委員會對操作風險的定義中對造成操作風險損失來源的表述，可以把操作風險分為人員因素導致的操作風險、內部程序因素導致的操作風險、系統因素導致的操作風險以及外部因素導致的操作風險四類。

其中，前三種操作風險是有商業銀行內部原因所導致的，包括未授權交易、泄露秘密、頭寸計價錯誤等。第四種為商業銀行外部因素所導致的，包括黑客攻擊、盜竊、搶劫以及臺風、地震等自然災害。第一節操作風險的定義與分類巴塞爾協議Ш采用了一種二維分類方式。

1）按照事件類型，巴塞爾銀行監管委員將損失事件分為內部欺詐，外部欺詐，就業政策和工作場所安全性，客戶、產品及業務操作，實體資產損壞，業務中斷和系統失敗，執行、交割及流程管理七類；2）根據發生操作風險的業務環節，將商業銀行的業務分為八個類型：公司金融、交易和銷售、零售銀行業務、商業銀行業務、支付和清算業務、代理服務、資產管理業務以及零售經紀業務。

通過事件類型和產品線兩個維度的劃分，對任意的操作風險損失事件都可以在事件類型和產品線構成的7×8矩陣中找到唯一對應的位置。第一節操作風險的定義與分類示例內部欺詐事件類型如下：第一節操作風險的定義與分類示例公司金融、交易和銷售產品線如下：第一節操作風險的定義與分類除了上述的分類方法，學術界還存在一些其它的分類方法。一種常見的分類方式是按照操作風險發生的頻率以及損失的程度將操作風險進行劃分。

操作風險發生的頻率指一定時間內操作風險損失事件發生的數目，操作風險的損失程度指操作風險事件發生時導致的影響。按照這種思路，可以把操作風險分為低頻率/低損失，低頻率/高損失，高頻率/低損失，高頻率/高損失四種類型。還可以把頻率分為低頻率、中頻率、高頻率三類，把損失分為低損失、中損失、高損失三類，由此得到一種九類的分類方法。第一節操作風險的定義與分類第二節操作風險的度量1.定性分析定性分析常采用的方法有自我評估法、關鍵風險指標法以及積分卡法。（1）自我評估法自我風險評估是商業銀行識別和評估潛在操作風險以及自身業務活動的控制措施、適當程度及有效性的操作風險管理工具。

操作風險自我評估法涵蓋了商業銀行的所有業務部門，在產品線層次上展開，包括每個產品線的每個流程中的固有風險、控制風險和剩余風險。其中，固有風險是指在沒有任何管理控制措施的情況下，經營管理過程本身所具有的風險；控制風險是指對操作風險沒有良好的內部控制或內部控制無效，致使經營活動中的操作風險不能被及時發現而造成損失；剩余風險是指在實施了旨在改變風險可能性和影響強度的管理控制活動仍然保留的風險。第二節操作風險的度量自我評估通常的做法是通過調查問卷、系統性檢查或公開討論的方式，利用銀行內部人員以及外部專家的專業知識和從業經驗識別和評估操作風險事件。具體方法包括：①調查問卷法，即將事先設計好的問卷分發到各業務部門，由相關人員對業務和產品控制點進行回答，幫助其確認風險水平和相應的控制措施；②敘述法，即從業務部門界目標和風險出發，由各部門管理人員對采取的控制措施進行答辯，檢查對預期控制的執行效果；③專家預測法，即采取匿名方式由專家對風險控制點進行考核、分析，提出意見；經修改、論證、匯集完成控制點的優化。自我評估方法常作為商業銀行內部稽核的工具。第二節操作風險的度量（2）關鍵風險指標法

關鍵風險指標分析法就是通過對關鍵風險指標進行分析來反映銀行的風險水平，監督風險變化，對風險狀況進行早期的預警。

關鍵風險指標可用于監測可能造成損失事件的各項風險及控制措施，并作為反映風險變化情況的早期預警指標。

實施關鍵風險指標法，首先是選取具體的指標。關鍵風險指標既可以是財務指標，也可以是非財務指標，具體可以包括：每億元資產損失率、營業額增幅降低百分比或業績下滑金額、關鍵崗位人員流失數、系統遭受黑客攻擊次數、設備的老化程度、顧客投訴次數等等。

其次，所設計的指標要能夠敏感的反映相關業務的操作風險的變化；

第三，指標要易于觀察、獲得、測量和跟蹤。

第二節操作風險的度量（3）積分卡法積分卡法是巴塞爾銀行監管委員會提出了三種操作風險高級計量法之一。它是是銀行對操作風險與內控的自我評估，評估內容包括風險事件、風險擁有者、風險發生的可能性、風險影響力、緩釋風險的控制措施、控制實施者、控制設計等。積分卡法的實質上是商業銀行賦予每個操作風險損失事件一個數值，這個值既可以是影響值，也可以是損失事件發生的可能性，并根據這個數值對不同的操作風險進行排序、比較和分析。更進一步則可估計出操作風險的預期損失，達到量化操作風險的目的。

積分卡法的關鍵是找出與操作風險相關的風險因素，設計出具有前瞻性的風險指標，在此基礎上由專家對其打分，最終估計出操作風險的影響發生頻率并進而計算出風險資本金。

第二節操作風險的度量2.定量分析概述現階段，操作風險度量模型大致可以分為自上而下法和自下而上法兩種類型。自上而下法是從宏觀入手，著眼于整體損失，而不必分別考慮各種風險事件和損失因素的影響。自上而下法的優點在于不需要花費很多的時間和精力來收集各種資料、數據和進行計算。這一類的模型主要包括操作杠桿模型、收入模型、開支模型等。自下而上法則是從微觀入手，在識別風險事件和損失因素的基礎上，將各種潛在損失納入總資本要求。自下而上法的優點是能夠解釋呈現銀行的操作風險是怎樣形成的。這一類的模型主要包括精算模型、隨機模型和可靠性模型等。第二節操作風險的度量不管是自上而下法，還是自下而上法，在操作風險的計量中都應該遵循一些共同的原則：⑴客觀性⑵一致性⑶操作性⑷透明性⑸全行性⑹完備性第二節操作風險的度量3.巴塞爾協議指導的操作風險計量框架

操作風險資本計量方法，依照業務復雜程度及風險敏感性，由簡至繁分別為基本指標法（BasicIndicatorApproach）、標準法（theStandardizedApproach）及高級計量法（AMA,advancedmeasurementapproach）。

第二節操作風險的度量（1）基本指標法采用基本指標法時，銀行持有的操作風險資本應等于前三年總收入的平均值乘上一個固定比例（用α表示）。資本計算公式如下：其中：：前三年總收入n：前三年總收入是正值的年數

=15%，由巴塞爾委員會設定，旨在將行業范圍的監管資本要求與行業范圍的指標聯系起來。第二節操作風險的度量（2）標準法標準法是按各業務條線計算總收入，而不是在整個分支機構層面計算。計算各業務條線資本要求的方法是，用銀行某業務條線的總收入乘以一個該業務條線適用的系數（用β值表示）。β值代表整個銀行業在特定業務條線的操作風險損失經驗值與該業務條線總收入之間的關系。其中：：遵循基本指標法關于總收入的定義，8個業務條線中各產品線（或業務條線）過去三年的年均總收入；β：由巴塞爾委員會設定的固定比率。值詳見表9-3：第二節操作風險的度量第二節操作風險的度量第二節操作風險的度量標準化方法（TSA）和替代標準化方法(ASA)的優點與基本指標法(BIA)的相同，由于不同業務線的操作風險披露程度被考慮進去了，所以他們比基本指標法(BIA)更精確。但是，標準化方法（TSA）和替代標準化方法(ASA)存在四個缺點：（1）對風險不夠敏感：使用業務線總收入的固定部分并沒有考慮到對于一個特定銀行，這類業務線可能具有的不同特點。（2）不同業務線之間隱含著相關性。（3）可能導致高估了真實的操作風險資本要求。（4）對于大型國際活躍銀行不適用。

第二節操作風險的度量（3）高級計量法高級計量法（AMA）是指銀行采用一定的定量和定性標準，通過內部的操作風險計量系統計算監管資本要求的方法。使用高級計量法必須獲得監管當局的批準。采用高級計量法時，銀行除了將經營活動劃分為8個業務條線外，還必須把各種操作風險損失劃分為7種類型，將銀行的操作風險將被區分為56個業務條線/風險損失種類。實踐中，由于高級計量法是基于銀行內部管理體系和業務構架的，因此各銀行具體的計量方法各不相同，但大致有以下3種：①內部衡量法②損失分布法③機制理論法第二節操作風險的度量①內部衡量法

內部衡量法根據銀行業務條線和損失類型，構成56個業務類型/損失類型組合，銀行用內部的歷史損失數據來計算每一組合的期望損失值（EL），風險資本則由期望損失EL（損失分布的均值）和非預期的損失UL（損失分布的尾部）的關系來確定。如果二者之間呈線形關系，則風險資本為：如果二者之間不具備線形關系，則風險資本為：其中，是風險特征指數。第二節操作風險的度量②損失分布法損失分布法是根據每種業務條線/損失類型估計操作風險損失在一定期間（如1年）內發生的概率。這種方法通常要使用蒙特卡羅模擬等方法或者事先假設具體的概率分布形式，如假定損失次數服從泊松分布，損失強度（損失金額）服從對數正態分布或威布爾分布等。損失分布法主要通過計算VaR值來直接衡量非預期損失，而不是通過假設期望損失與非預期損失之間的關系而得到的，因此，損失分布法具有更強的風險敏感性。第二節操作風險的度量③機制理論法在操作風險中，較為危險的并非日常的高頻低危類事件，而是類似于里森事件的低頻/高危的極端事件。因此，極值理論被許多國際活躍銀行運用于測量操作風險。

極值法的特點在于：1）極值理論模型直接處理損失分布的尾部，且沒有對損失數據預先假設任何分布，而是直接利用數據本身說話，而且對可能超過VaR值的操作風險損失作出了預測，因此它更適合對低頻高危類型的操作風險進行防范；2）運用極值理論需要處理一系列的不確定性：首先，參數的不確定性：參數估計仍存在偏差；其次，模型的不確定性：可能有很好的數據，但模型很差；最后，數據的不確定性：極值分析中永遠不會有充足的數據。第二節操作風險的度量基本指標法、標準法與高級計量法的比較第二節操作風險的度量基本指標法、標準法與高級計量法的比較第二節操作風險的度量4.中國銀監會提出的計量方法在2008年9月頒布的《商業銀行操作風險監管資本計量指引》中，明確了計量監管資本的方法為：標準法、替代標準法和高級計量法。為了達到巴塞爾協議III的資本監管要求，2011年8月12日，中國銀監會發布了《商業銀行資本管理辦法（征求意見稿）》（簡稱意見稿），該意見稿取消了2008年《商業銀行操作風險監管資本計量指引》中的替代標準法，增加了基本指標法，將商業銀行操作風險資本的計量確定為：基本指標法、標準法或高級計量法。第二節操作風險的度量（1）基本指標法

其中，為商業銀行用基本指標法計算的操作風險資本要求；n為過去三年中總收入為正的年數；α為18%。GI為過去三年中每年正的總收入，總收入范圍參照表9-4；第二節操作風險的度量第二節操作風險的度量（2）標準法

商業銀行采用標準法，應將其業務劃分為公司金融、交易和銷售、零售銀行、商業銀行、支付和清算、代理服務、資產管理、零售經紀和其他業務等9個業務條線。標準法計算操作風險監管資本的公式為：的含義是前三年操作風險監管資本的算術平均數；的含義是當年的操作風險資本要求為負數的，用零表示；GI為各業務條線當年的總收入；各業務條線對應的系數。第二節操作風險的度量表9-6業務條線的劃分1級目錄2級目錄業務種類示例公司金融公司和機構融資并購重組服務、包銷、承銷、上市服務、退市服務、證券化，研究和信息服務，債務融資，股權融資，銀團貸款安排服務，公開發行新股服務、配股及定向增發服務、咨詢見證、債務重組服務、財務顧問與咨詢，其他公司金融服務等。政府融資投資銀行咨詢服務交易和銷售銷售交易賬戶人民幣理財產品、外幣理財產品、在銀行間債券市場做市、自營貴金屬買賣業務、自營衍生金融工具買賣業務、外匯買賣業務、存放同業、證券回購、資金拆借、外資金融機構客戶融資、貴金屬租賃業務、資產支持證券、遠期利率合約、貨幣利率掉期、利率期權、遠期匯率合約、利率掉期、掉期期權、外匯期權、遠期結售匯、債券投資、現金及銀行存款、中央銀行往來、系統內往來、其他資金管理等。做市商交易自營業務資金管理零售銀行零售業務零售貸款、零售存款、個人收入證明、個人結售匯、旅行支票、其他零售服務。私人銀行業務高端貸款、高端客戶存款收費、高端客戶理財、投資咨詢、其他私人銀行服務。銀行卡業務信用卡、借記卡、準貸記卡、收單、其他銀行卡服務。商業銀行商業銀行業務單位貸款、單位存款、項目融資、貼現、信貸資產買斷賣斷、擔保、保函、承兌、委托貸款、進出口貿易融資、不動產服務、保理、租賃、單位存款證明、轉貸款服務、擔保/承諾類、信用證、銀行信貸證明、債券投資（銀行賬戶）、其他商業銀行業務。支付和結算〔注〕客戶債券結算代理、代理外資金融機構外匯清算、代理政策性銀行貸款資金結算、銀證轉賬、代理其他商業銀行辦理銀行匯票、代理外資金融機構人民幣清算、支票、企業電子銀行、商業匯票、結售匯、證券資金清算、彩票資金結算、黃金交易資金清算、期貨交易資金清算、個人電子匯款，銀行匯票、本票、匯兌、托收承付、托收交易、其他支付結算業務。第二節操作風險的度量代理服務托管證券投資基金托管、QFII、QDII托管、企業年金托管、其他各項資產托管、交易資金第三方賬戶托管、代保管、保管箱業務、其他相關業務。公司代理服務代收代扣業務、代理政策性銀行貸款、代理財政授權支付、對公理財業務、代客外匯買賣、代客衍生金融工具業務、代理證券業務、代理買賣貴金屬業務、代理保險業務、代收稅款、代發工資、代理企業年金業務、其他對公代理業務。公司受托業務企業年金受托人業務、其他受托代理業務。資產管理全權委托的資金管理投資基金管理、委托資產管理、私募股權基金、其他全權委托的資金管理。非全權委托的資金管理投資基金管理、委托資產管理、企業年金管理、其他全權委托的資金管理。零售經紀零售經紀業務執行指令服務、代銷基金、代理保險、個人理財、代理投資、代理儲蓄國債、代理個人黃金業務、代理外匯買賣、其他零售經紀業務。其他業務其他業務無法歸入以上八個業務條線的業務種類。第二節操作風險的度量第二節操作風險的度量

與基本指標法一樣，標準法的總收入指凈利息收入加上凈非利息收入。總收入未扣除營業費用，應扣除銀行賬戶上“持有至到期日”和“可供出售”兩類證券出售實現的損益，扣除保險業務收入。各業務總收入組成項目，應遵循相關的企業會計準則。總收入的具體構成亦如表9-4。第二節操作風險的度量中國銀監會發布的意見稿規定，商業銀行使用標準法計量操作風險資本要求，應符合以下條件：（1）商業銀行應建立清晰的操作風險管理組織架構、政策、工具、流程和報告路線。

（2）商業銀行應建立與本行的業務性質、規模和產品復雜程度相適應的操作風險管理系統。（3）商業銀行應系統性地收集、跟蹤和分析與操作風險相關的數據，包括各業務條線的操作風險損失金額和損失頻率。

（4）商業銀行應制定操作風險評估制度，將風險評估整合入業務處理流程，建立操作風險和控制自我評估或其他評估工具，定期評估主要業務條線的操作風險，并將評估結果應用到風險考核、流程優化和風險報告中。（5）商業銀行應建立關鍵風險指標體系，實時監測相關指標，并建立指標突破閥值情況的處理流程，積極開展風險預警管控。第二節操作風險的度量（6）商業銀行應制定全行統一的業務連續性管理政策措施，建立業務連續性管理應急計劃。（7）商業銀行負責操作風險管理的部門應定期向業務管理部門、高級管理層和董事會提交全行的操作風險管理與控制情況報告，報告中應包括主要操作風險事件的詳細信息、已確認或潛在的重大操作風險損失等信息、操作風險及控制措施的評估結果、關鍵風險指標監測結果，并制定流程對報告中反映的信息采取有效行動。（8）商業銀行的操作風險管理系統和流程應接受內部獨立審查，內部審查應覆蓋業務部門活動和全行各層次的操作風險管理活動。（9）商業銀行應投入充足的人力和物力支持在業務條線實施操作風險管理，并確保內部控制和內部審計的有效性。（10）商業銀行的操作風險管理體系及其審查情況應接受銀監會的監督檢查。第二節操作風險的度量（3）高級計量法

第二節操作風險的度量

在使用高級計量法的前提條件方面，中國銀監會從治理結構、數據處理和模型建立等三方面提出了要求。（1）治理結構第二節操作風險的度量（2）數據處理商業銀行操作風險計量系統的建立應基于內部損失數據、外部損失數據、情景分析、業務經營環境和內部控制等四個基本要素，并對其操作風險計量系統中的作用和權重做出書面合理界定。

第二節操作風險的度量第二節操作風險的度量（3）模型建立和計量a.操作風險計量系統應具有較高的精確度，考慮到非常嚴重和極端損失事件發生的頻率和損失的金額。b.商業銀行如不能向銀監會證明已準確計算出了預期損失并充分反映在當期損益中，就應在計量操作風險監管資本時綜合考慮預期損失和非預期損失之和。c.商業銀行在加總不同類型的操作風險監管資本時，可以自行確定相關系數，但要書面證明所估計的各項操作風險損失之間相關系數的合理性。d.商業銀行可以將保險作為操作風險高級計量法的緩釋因素。保險的緩釋最高不超過操作風險監管資本要求的20%。第三節操作風險管理

根據我國銀監會的要求，操作風險管理框架至少應包括以下基本要素：董事會的監督控制、高級管理層的職責、適當的組織架構、操作風險管理政策、方法和程序以及計提操作風險所需資本的規定。一般說來，操作風險管理最核心的要素是：操作風險的管理戰略和政策、組織結構和管理流程。第三節操作風險管理1.操作風險管理戰略風險管理戰略為銀行設定了包括業務目標、風險容忍度和操作風險管理政策在內的最終目標和基本方法。銀行的風險管理戰略與業務目標應是一致的。

風險容忍度是風險戰略的核心內容。商業銀行在制定操作風險管理政策時，首先，應當從本行操作風險的特點出發，使管理政策與銀行的業務性質、規模、復雜程度和風險特征相適應；其次，需要考慮操作風險容忍度與經營戰略目標的一致性。第三節操作風險管理2.操作風險管理的組織框架有什么樣的業務管理模式就有什么樣的風險管理組織框