银行操作风险管理（BORMP）解决方案
4.3.3 接口约束 ------------------------------------------------------------------------------------------------- 35
第五章 系统平台建设路线规划 ---------------------------------------------------------- 36
邵磊 V
银行操作风险管理（BORMP）解决方案
第一章 概述
1.1 背景简述
随着金融服务的全球化以及近年来信息技术在金融业的应用和发展，随着银行规模不断扩大、交易金额迅速放大、经营复杂程度不断加剧，银行业所面临的风险变得更加复杂。由操作风险管理不足引发的风险损失事件层出不穷，对金融机构的操作风险管理提出了严峻的挑战。
巴塞尔银行监管委员会于2004年6月发布了《巴塞尔新资本协议》，将操作风险正式纳入风险管理框架之内，并对国际银行业操作风险的度量和管理提出了更深层次的要求。目
前，实施新资本协议的国家都按照新协议要求，明确将操作风险纳入资本监管范畴，国际上已形成了对操作风险加强监管的共识，已经形成了相关制度和监管标准。
为推进巴塞尔新资本协议在中国的实施，推动商业银行增强风险管理能力，提升资本监管有效性，中国银监会印发了《中国银行业实施新资本协议指导意见》，要求商业银行应实施巴塞尔新资本协议。并在近年来出台了一系列关于操作风险管理的监管规章和指引，2007年出台《商业银行操作风险管理指引》，为我国境内商业银行建立操作风险管理体系提出了应对策略和方向。
1.2 操作风险概要
1.2.1 定义界定
操作风险已经成为国际银行界关注的焦点，同市场风险和信用风险并列为三大风险，但对于其定义的界定却一直未能达成一致。目前，在国际上最具有代表性的有三种对于操作风险的定义，它们分别来自巴塞尔委员会，全球风险专业人员协会（Global Association of Risk Professional，GARP）以及英国银行家协会（British Banker Association，BBA）。
根据2004年公布的巴塞尔新资本协议，操作风险定义为由于不完善或失灵的内部程序、人员和系统或外部事件导致损失的风险，包括法律风险，但不包括战略和声誉风险。在此定义之下，操作风险损失事件被分成了七类：内部欺诈、外部欺诈、雇员活动和工作场所安全性、客户产品及业务操作、实物资产损坏、业务中断和系统问题、以及执行、交易及流程管理。来自全球风险专业人员协会（GARP）的定义则将操作风险分为了操作失败风险和操作战略风险。操作失败风险是指在操作业务过程中发生失败而导致损失的可能性，操作战略风险则指的是由于环境的变化而导致业务或者流程失败的可能性。在两大类的下面，GARP又将操作风险细分为16类具体风险。英国银行家协会（BBA）则从操作风险产生的来源将操作风险定义为“由于内部程序、人员、系统的不完善或失误，或外部事件造成直接和间接损
邵磊 1
银行操作风险管理（BORMP）解决方案
失的风险”，并且从因素、行为和具体事件三个层次给出了操作风险损失事件的分类。
1.2.2 特点及分类
与信用风险和市场风险相比，操作风险主要有以下几个特点： ?
内生性
除自然灾害等外部事件引起的操作风险损失外，操作风险大多是在银行可控范围内的内生风险。 ?
广泛性
操作风险的覆盖的范围相当广泛，与市场风险主要存在于交易类业务和信用风险主要存在于授信业务不同，操作风险普遍存在于商业银行的业务和管理中。 ?
风险收益无关性
对于信用风险和市场风险来说，风险越高，收益越高，存在风险与收益的对应关系，而操作风险和收益没有太多联系。
虽然对于操作风险的定义界定存在着几种不同的认识，但总的来说，具有一个共识，即操作风险的来源可以划分为四类因素：人员、流程、系统以及外部事件。因此，据此操作风险主要表现为以下需加以识别和管理的四种类型。
（一）、人员因素
主要为内部欺诈、主观违规、操作失误。主观违规有超授权授信行为、逆程序、过度信任造成管理缺位、岗位设置不合理造成监督空位、不良爱好（如涉毒、涉赌、涉黄）引发的违法违规。操作失误是由于员工技能水平不高、态度不认真在业务过程中的失误造成的，如数字输入错误、将取款记作存款等。由银行员工操作失误引起的操作风险一般具有损失小(当然不排除特殊情况)、发生频率高、难以事先预测的特征，因而非常难以防范。人员因素引发的操作风险，有的是作为，如主观违规，有的是不作为，如业务不熟出错，疏忽大意。
（二）、流程因素
包括操作程序遗漏或忽略、产品设计缺陷、业务流程设计不合理等。过去认为流程越复杂、相互制约性越强越好。事实上，流程越简单越易于操作，流程越短越便于管理，设计越合理越利于控制。这样才能适应变化，确保效率和风险管理，流程设计不合理，有瑕疵，往往容易出现风险隐患。
（三）、系统因素
信息系统是现代商业银行赖以生存的命脉。无论是业务发展如网上银行、现金管理还是风险监控，都离不开信息系统紧密支持。但商业银行高度依赖信息系统，信息数据高度集中也给银行带来新的风险管理难题，如系统安全稳定、IT技术风险防范、数据和信息质量，系统设计和开发战略风险等等。系统出现如故障、瘫痪，系统不安全、通讯中断以及系统兼
邵磊
2
银行操作风险管理（BORMP）解决方案
容性、稳定性、适宜性方面的操作风险很容易给银行带来巨大的经济损失和无法估量的信誉损失。此外，从操作风险发生的门径来看，当前与系统有关的操作风险日益增加。由于系统原因和流程问题导致犯罪分子利用系统漏洞实施金融诈骗已经成为妨碍我国银行业资金安全重大问题。
（四）、外部环境因素
银行经营都是处于一定的政治、社会、经济环境中的，经营环境的变化、外部突发事件都会影响到银行的经营活动，甚至会产生损失。外部事件引起银行损失的范围非常广泛，包括外部欺诈、外部突发事件与外部经营环境的不利变化。外部人员的蓄意欺诈行为是近年来给银行造成损失最大、发生频率最高的操作风险之一，而内外勾结作案更是令商业银行防不胜防。外部欺诈包括骗贷、抢劫、偷盗、爆炸等风险因素。外部突发风险包括遭受冰冻雨雪、地震等自然灾害以及恐怖袭击、火灾等给商业银行带来的损失。外部经营环境的不利变化引起的操作风险是由于受宏观经济环境、银行监管法规变化使银行发生损失的风险。宏观经济环境的不利变化会给商业银行带来意想不到的损失。
1.2.3 问题及现状
目前，实施巴塞尔新资本协议的国家都按照新协议要求，明确将操作风险纳入资本监管范畴，国际上已形成了对操作风险加强监管的共识，已经形成了相关制度和监管标准。巴塞尔新资本协议对操作风险的有关规定是近年来国际金融界日益注重操作风险管理的制度体现，也是加强全面风险管理方面的新要求。
目前，我国操作风险管理与监管尚处在一个较为初期的发展阶段，我国商业银行操作风险管理还存在着自身特殊的问题及现状：
（一）、对操作风险存在认识偏差
各商业银行普遍制定了一定的操作风险防范和控制措施，建立了授权审批制度、岗位分离制度、重要环节控制制度、对账制度、内部审计制度等，在管理流程和业务运营方面也有严格的操作规范，但目前基层商业银行操作风险管理仍然处于初级阶段，对操作风险没有形成一个全面、系统的认识。如误认为操作风险就是前台柜面人员操作上的行为风险，或者只是直接面对各项业务操作的经营性风险，认为各种风险操作事件往往具有突发性、偶然性，难以预测，也毫无联系，因而无法计量等。同时，一些商业银行认为操作风险管理职责只存在于会计结算部门或内部审计部门，与安全保卫部门、科技部门、后勤事务部门等无关，这种认识上的局限性，造成了国内银行业对操作风险理解上的误区，成为制约我国银行业操作风险管理发展的主要因素，是我国商业银行操作风险损失不断发生的意识根源。
（二）、操作风险管理理念错误
对操作风险认识不足，导致普遍存在管理理念不健全和管理手段单一缺陷。一是不能平
邵磊
3
银行操作风险管理（BORMP）解决方案
衡业务发展与操作风险管理之间的关系，要么片面强调业务发展、资产规模和市场占有率，而忽略建立与之相适应的操作风险管理程序；要么强调操作风险管理和内控，而放松市场开拓和业务发展；二是由于商业银行从以前的国有企业制度延续下来的层层上报方式，致使操作风险管理存在“重基层、轻高层；重事后、轻事前；重个案、轻全面；重信任、轻原则”等现象，从而引发了大量的操作风险。
（三）、操作风险管理框架体系不健全
健全的风险管理框架体系是实现全面风险管理的前提。目前，国内商业银行设置统一的操作风险管理机构的并不太多，只有个别商业银行设立了委员会形式的管理机构。大多商业银行的操作风险管理职责分散在诸如风险管理部、内部审计部门、法律与法规部门等部门，缺乏统一的操作风险管理体系，这种分散管理的模式，导致各相关部门的管理职责不清，沟通协调不顺畅，无法建立持续监控的操作风险管理机制。操作风险管理和内部控制缺乏系统性、计划性和操作性，没有形成科学、完整的管理体系。从目前的情况看，我国银行业在操作风险管理框架上的缺陷表现在：一是管理职责分散，缺乏专门的管理部门；二是基层分支机构操作风险管理职能缺失；三是对银行的某些活动缺乏足够的风险评估；四是内部审计部门权威性不强。
（四）、操作风险管理制度不完备
制度是员工行为的准则和业务操作的规范，商业银行的一切活动都要严格按照制度的规定执行。银行在操作风险管理方面的制度不完备导致不少基层行员工缺乏风险防范意识，有章不循、麻痹大意较为普遍，违规经营、越权操作时有发生，以信任代替管理、以习惯代替制度、以情面代替纪律，致使制度防线失控。此外，一些制度本身就存在问题，有的不够精细化，对某些关键风险点的规定存在遗漏；有的更新迟缓，未能与业务拓展和产品创新保持同步；有的制度之间缺乏衔接，甚至相互矛盾。
（五）、操作风险管理方法落后、技术滞后
我国银行在操作风险管理方面的管理模式，管理手法相对还比较单一，主要依靠内部审计的力量，电子化手段缺乏，在管理上较多地依赖规章制度来约束员工的行为，执行制度不力，问责不严。目前，国际性大银行已大量采用数理统计模型、金融工程等先进手段，而我国商业银行在技术上相对滞后，致使我国银行业操作风险管理所需的大量损失事件与损失数据欠缺，无法建立相应的操作风险管理模型，从而影响了银行操作风险管理决策的科学性。
（六）、操作风险管理的专业人才短缺
目前，与国外商业银行大多拥有一支专业的操作风险管理队伍相比，我国商业银行风险管理人才严重匮乏。现有的风险人员仍专注于信用风险，对操作风险尚未有深入研究，还不具备专业操作风险管理人员的一般条件。人才的缺乏将成为国内商业银行操作风险管理进程中的最大制约因素。
邵磊
4