关于我国商业银行操作风险管理框架设计的探讨

曲绍强　解丽娟

摘要：2007年，中国银监会颁布了《商业银行操作风险管理指引》，明确要求我国商业银行应建立与本行的业务性质、规模和复杂程度相适应的操作风险管理体系，有效地识别、评估、监测和控制/缓释操作风险。本文从操作风险管理体系(以下称框架)构建的理论基础、系统特征、设计思路和管理框架构成与层次等方面进行了探讨，以期对我国的操作风险管理提供有益帮助。

关键词：操作风险；管理框架；思路；层次

中图分类号：F830.2文献标识码：A文章编号：1674-2265(2009)01-0055-05

一、前言

2007年5月14日，中国银监会颁布了《商业银行操作风险管理指引》(以下简称《指引》)。《指引》中明确指出，操作风险是由不完善或有问题的内部程序、员工和信息科技系统。同时《指引》提出，商业银行应当按照本指引要求。建立与本行的业务性质、规模和复杂程度相适应的操作风险管理体系，有效地识别、评估、监测和控制/缓释操作风险。如何建立?这是一个值得深深思考的问题。本文从操作风险管理体系(以下称框架)构建的理论基础、框架的系统特征、框架的设计思路和管理框架构成与层次等方面进行了探讨，以期对我国的操作风险管理提供有益帮助。

二、操作风险管理框架设计的理论基础

任何管理手段的开发都离不开理论指导，对操作风险进行管理也是如此。此处简单陈列了系统理论和风险管理理论。

(一)各种系统理论简介

系统概念同其他认识范畴一样，描述的是一种理想客体，这一客体在形式上表现为诸要素的集合。系统必须具备三个条件：一是系统必须由两个以上的要素所组成，要素是构成系统的基本单位。二是要素与要素之间存在着一定的有机联系，从而在系统的内部和外部形成一定的结构或秩序。三是任何系统都有特定的功能，这是整体具有不同于各个组成要素的新功能。同时系统理论认为系统具有四大特征：整体性、相关性、目的性和环境适应性。

1、一般系统论。该理论的创始人是奥地利生物学家贝塔朗菲。在该理论中，贝塔朗菲总结了机体论发展的成就，把协调、秩序、目的性等概念用于研究有机体，提出了下列三个基本点：系统观点、动态的观点和等级观点。一般系统论用相互关联的综合思维来取代分析事物的分散思维，突破了以往分析方法的局限性，它把对象作为一个有机整体来加以考察，从整体与部分相互依赖、相互制约关系中揭示系统的特征和运动规律。可以帮助我们解决复杂的系统问题。

2、控制论。控制论是由美国数学家维纳在总结前人经验的基础上创立的学科。我国科学家钱学森给出的定义为“控制论的对象是系统”；“为了实现系统自身的稳定和功能，系统需要取得、使用、保持和传递能量、材料和信息，也需要对系统的各个构成部分进行组织”；“控制论研究系统各个部分如何进行组织，以便实现系统的稳定和有目的的行为”。因而，控制论是研究系统的调节和控制的一般规律的科学。

3、信息论。信息论是美国科学家申农提出的一门研究信息传输和信息处理系统中一般规律的学科。基本思想和特有方法完全撇开了物质与能量的具体运动形态，而把任何通讯和控制系统看作一个信息的传输和加工处理系统，把系统的有目的的运动抽象为一个信息变换过程，通过系统内部的信息交流才使系统维持正常的、有目的性的运动。任何实践活动都可简化为多股流。即人流、物流、财流、能流和信息流等，其中信息流起着支配作用，通过系统内部的信息流作用，才能使系统维持正常的有目的性的运动，它调节着其它流的数量、方向、速度、目标，并控制人和物有目的、有规律的活动。

4、协同学理论。该理论是由德国著名理论物理学家哈肯创立的。协同学理论强调协同效应。协同效应是指在复杂大系统中，各子系统的协同行为产生出的超越各要素自身的单独作用，从而形成整个系统的统一作用和联合作用。协同作用是任何复杂系统本身所固有的自组织能力，是形成系统有序结构的内部作用力。“协同导致有序”是这一理论的高度概括。

(二)风险管理理论

1、人为因素管理理论。这种理论认为风险管理应重视对人为因素的管理，包括加强安全制度的建设，进行安全教育来杜绝导致事故发生的不安全行为。建立在人为因素管理理论基础上的风险管理策略，主张采取改变人们行为的方法来控制和管理风险，教导人们正确操作机器，远比改善机器缺陷更能有效防止伤害和损失的产生。

2、机械和物质因素管理理论。这种理论认为风险管理应重视对机械和物质因素的管理。主张要为人们创造一个更为安全的物质环境。建立在机械和物质因素管理理论上的风险管理策略，主要强调利用工程和物理的方法来控制风险、减少损失，其推荐的风险控制措施包括防止能量集中、降低能量集中的数量、防止能量的释放、调整能量释放的速率和空间分配以及不同时空间隔能量释放等。

3、多因果关系理论。风险因素引发风险事件，而风险事件导致损失，因此，消除风险因素是控制风险的关键。多因果关系理论认为损失的发生是许多因素综合作用的结果，它既包括物质因素，也包括人为因素和管理制度方面的原因。因此，损失控制应针对多方面的原因进行，而不像上述两种风险管理理论只强调导致风险发生的某一方面原因。

4、系统安全理论。该理论认为，任何事物都可以看成是一个系统并由更小的相关系统组成，当系统中人为或物质因素丧失应有功能时。风险事故就会发生。系统安全理论告诉我们，风险管理工作是一个系统工程，它涉及人、程序、机械和环境等方方面面，各因素之间是一个有机联系的整体，一旦哪个环节出了问题，就会出现整个系统的瘫痪。因此，风险管理工作不是系统中个别部门的责任，而是全方位的工作。

三、操作风险管理的系统特征

无论从操作风险管理的现有理论还是从国内外的操作风险管理实践来看，操作风险管理都是一个在形式上表现为诸要素的有机整体，在整体中各要素相互作用和相互依赖，以发挥整体的特定风险管理功能。

(一)操作风险管理的多要素构成性

从操作风险定义看出，引起操作风险的原因有人员、内部流程、硬件系统和外部突发事件等，操作风险管理流程有风险识别、风险评估、风险控制、风险监测和风险报告等，这些都清晰地说明操作风险管理不是单要素有机体，而是由诸多要素组合的多要素有机整体。

(二)要素与要素之间的相关性

从已有的操作风险管理过程可以看出，风险管理战略决定风险管理流程的设计，风险评估依赖于风险识别，风险控制依赖于风险评估，风险监测依赖于风险控制，风险报告依赖于风险监测等等。反过来，风险报告又对风险战略、风险管理流程的改进起着催化剂作用。这说明操作风险管理中要素之间存在着一定的有机联系和互相制约，从而在系统的内部和外部形成一定的结构或秩序。如果某一要素发生了变化，则

对应的与之相关联的要素也要相应地改变和调整。以保持系统整体的最佳状态。

(三)操作风险管理的整体性

操作风险管理过程中，每一要素都有自己的特定功能，例如，风险管理战略起着决定方向的功能，风险识别起着察觉风险的功能，风险控制起着具体防范风险的功能，等等。如果把它们隔离开来，它们只能发挥各自的作用，而不会有超功能出现。但是，如果把这些要素有机组合在一起，利用它们的有机联系和结构顺序则表现为具有整体功能，即整体功能不是各组成要素功能的简单叠加，而是呈现出各组成要素所没有的新功能，即“系统整体不等于其部分之和”，而是“整体大于部分之和”。这从现有的操作风险管理实践已得到有力证明。

(四)操作风险管理的目的性

“目的”是指人们在行动中所要达到的结果和意愿。在操作风险管理中，任何商业银行都有自己的目的，这是不容置疑的。例如，银行对操作风险进行管理是为了创造更多的价值，是为了降低成本，是为了保持自己的现金流稳定，是为了具有良好的外部形象，等等。

(五)风险管理的环境适应性

环境是指存在于系统以外的事物的总称。在操作风险管理进程中，风险管理也时刻处于环境之中。例如，外部的突发事件可以引起银行的操作风险发生；环境的改变能引起银行的战略目标发生转移，从而引起风险管理政策的变化，等等。这说明环境的变化对风险管理有很大的影响。当然，若银行的风险管理十分有效，也可改变外界对银行的看法，这也说明风险管理与环境是相互依存的。从已有的成功经验来看，风险管理必须适应外部环境的变化，能够经常与外部环境保持最佳适应状态，只有这样才是理想的风险管理。

从上述的论述我们可以得出，操作风险管理是一个系统。是一个管理系统工程理论认可的系统，因此。可以采用系统工程的观点对我国商业银行的操作风险管理框架进行设计。

四、我国商业银行操作风险管理框架设计的原则与约束

既然我国商业银行操作风险管理具有系统理论所述的系统的所有特征，那么操作风险管理框架的建立应遵循系统的结构和功能原则，受操作风险管理的特殊性约束。

(一)结构原则：稳定性、层次性、相对性和开放性

结构是指系统内部各组成要素之间的相互联系、相互作用的方式或秩序，即各要素在时间上或空间上排列和组合的具体形式。操作风险管理框架作为一个系统存在，它要保持框架内各构成要素之间有着稳定的联系，使框架整体状态能持续出现，并且趋向于保持良好的状态。保持良好的状态需要框架具有层次性，即框架可以从纵向上分为若干等级，其中低一级的结构是高一级结构的有机组成部分。在横向上，同一级可以分为若干互相联系又各自独立的平行部分。框架结构的层次性也决定了框架结构和要素的相对性。风险管理是无限的，框架的结构形式也是无限的，在框架结构的元限层次中，高一级的内部结构要素又包含着低一级的结构，因此，结构与要素是相对于框架的等级和层次而言的。风险管理框架总是存在于一定的环境之中的，总要与外界进行各种交换，并且在这种不断的交换过程中由量变到质变，这就是风险管理框架的开放性，绝不可以违背。

(二)功能原则：整体性、易变性、相对性和控制性

功能是指系统与外部环境相互作用所反映的能力，它体现了一个系统与外部环境之间的物质、能量、信息的输入和输出的转换关系。框架的建立要强调整体性，强调整体的优化，使框架的整体功能大于各组成部分功能的简单相加。框架对外部环境发挥功能总要遵循一定的规律，环境变化将相应地引起框架功能的变化，所以在框架建立过程中要注意环境的变化，以使框架不断地获取新的功能。框架功能与框架结构一样也存在着相对性。在框架内部，其要素之间的相互作用本来属于结构关系，但如果把每个要素作为一个子系统来看。则子系统之间的相互作用又转化为子系统之间的功能关系，这一点应引起重视。控制性是指在功能管理的活动中要有进行监督和控制的管理机构，它的任务是对管理对象进行调查(测定)，求出该对象的状态和输出的管理特征值，并与管理目标进行比较，通过比较找出差距并进行判断，必要时采取适当的行动。风险管理框架是一个多级的大系统。构建中要全面统筹，使整个框架接近满意的目标。

(三)管理框架的约束

在针对企业方面，1992年美国COSO委员会出版了“内部控制——整合框架”报告，1999年英国Turnbull出台了《内部控制指南》，2002年6月美国国会出台了由美国众议院金融服务委员会主席奥克斯利和参议院银行委员会主席萨班斯联合提出，又被称作《2002年萨班斯—奥克斯利法案》(Sarbanes-Ox-ley法案)的《2002年公众公司会计改革和投资者保护法案》。该法案第302条提出建立有效的控制程序以确保提交资料的正确性，并对有签字权的官员的职责提出了一系列的要求；第404条提出建立有效的控制程序以确保财政报告的准确性。2004年9月COSO发布了《企业风险管理——整体框架》的最终文本，这份文件拓展了内部控制，更有力、更广泛地关注于企业风险管理这一更加宽泛的领域。

我国银监会对操作风险的管理也非常重视，2005年3月27日发布了我国银行业第一个关于操作风险的管理指引——《关于加大防范操作风险工作力度的通知》，2007年5月14日颁布了《商业银行操作风险管理指引》。上述文件从各个方面对银行的操作风险管理进行了制度规范，应作为操作风险管理框架构建的强力约束。

五、我国商业银行操作风险管理框架构成与层次

良好的操作风险管理框架既是商业银行进行日常风险管理的基础。也是其有效进行长期风险管理的重要前提。系统论认为，结构是系统的内在根据，功能是要素与结构的外在表现，一定的结构总是表现为一定的功能，一定的功能总是由具有一定结构的系统实现的。管理系统工程理论根据系统论、控制论、信息论和协同论等理论和方法，成功地总结了一个系统的结构与功能设计方法，即系统初步设计和系统详细设计，其中系统初步设计主要包括系统目标设计、系统功能设计和系统整体设计。本文根据巴塞尔新资本协议，借鉴国际活跃银行在操作风险方面的管理经验，结合我国商业银行的实际，利用管理系统工程理论的系统设计方法，对我国商业银行的操作风险管理框架的设计进行了初步设计，即框架目标设计、框架功能设计和框架整体设计。

(一)框架目标设计——我国商业银行操作风险管理战略

根据系统理论，操作风险管理框架的目标设计是指对框架及其子系统的工作目标所进行的设计，它是确定框架的功能、任务、结构、管理方式和方法的依据，是框架设计的首要问题。对于我国商业银行而言，它们存在的目的都是在面临风险与不确定性的大环境中如何为它的利益相关者提供最大的价值。这就

给商业银行提出了一个问题：在诸如全球化、技术、重组、变化中的市场、竞争和管制等不确定的因素影响下，准备承受多大的风险、多大的操作风险，以达到为它的利益相关者提供尽可能多的价值，即追求怎样的价值与不确定之间的均衡。达到这种均衡首要任务是银行应选择自己的风险管理战略，并制定贯穿于银行之中的、与战略相协调和相关联的其他目标。目标之间应保持一致性，即各种目标之间纵向横向之间的协调一致。目标应体现出关键性与全面性，尽可能量化，并能根据环境的变化可适当地对目标进行修正调整。

(二)框架功能设计——我国商业银行操作风险管理

框架的目标是通过发挥框架内各项功能的作用来实现的，因此，功能的设计起着一个非常关键的作用。根据系统论观点，需将整体功能进行分类，并将它们整理为若干既相互联系又相互独立的子系统，构造出一个具有有机联系并能最大限度地发挥效率的功能框架，以保证框架整体目标的实现。

1、基础管理功能——我国商业银行操作风险管理流程。操作风险管理框架的主要功能就是对操作风险进行有效控制。风险管理理论中的多因果关系理论认为，风险因素引发风险事件，而风险事件导致损失。因此，消除风险因素是控制风险的关键。该理论又认为损失的发生是许多因素综合作用的结果，它既包括物质因素，也包括人为因素和管理制度方面的原因，因此，损失控制应针对多方面的原因进行。美国系统工程学者霍尔在其提出的系统工程三维结构——逻辑思维中指出，每一工作阶段都可使用系统工程七步骤方法来思考和解决问题。笔者在这里以上述理论作指导，并根据巴塞尔银行的《操作风险管理和监督的稳健做法》、我国银监会的《指引》的约束，参照国际互换和衍生品协会总结业界操作风险管理的领先做法，按照风险管理的逻辑思维，提出操作风险管理流程可以分为循环往复的五个环节：风险识别、风险评估和量化、风险管理和风险转移、风险监测和风险报告。

2、管理功能载体——我国商业银行操作风险管理组织架构。系统论认为，从系统的形成原因来看，系统可以分为自然系统和人造系统。人造系统是为了达到人类所需要的目的，由人类设计和建造的系统。系统论又认为管理系统是一种人造系统，即管理系统是由一定的制度、组织、程序和手续等构成，组织在系统中起着管理功能载体的作用。由此可以看出组织在管理系统中的重要性。操作风险管理框架作为一种风险管理系统，操作风险的风险管理理念、策略和政策都需要通过具体的风险管理部门来实施，独立的操作风险管理组织架构是操作风险管理战略得以落实、政策得以实施、过程得以体现的保障。通过它，可以促进统一操作风险管理理念和方法的形成，提高银行整体操作风险管理水平，促进操作风险管理责任的进一步分解和落实，提高风险管理效率。当然，在组织设计时要考虑银行的地域分布，管理技术的复杂性、管理人员的素质等，以使组织架构的形成达到令人满意的状态。

3、支持功能——我国商业银行操作风险管理基础设施。系统理论中的信息论认为，可完全撇开物质与能量的具体运动形态，而把任何实践活动都可简化为多股流。即：人流、物流、财流、能流和信息流等，其中信息流起着支配作用，通过系统内部的信息流作用才能使系统维持正常的有目的性的运动，它调节着其它流的数量、方向、速度、目标，并控制人和物有目的、有规律的活动。由此可以看出，信息、数据和方法在系统有效运转过程中具有不可替代的支持作用。对于操作风险管理框架而言，主要由管理信息系统、数据、程序和方法等构成的基础设施，它与操作风险管理的关系，就好比建筑物的地基与基上部分，依据坚实的基础设施，可以为操作风险管理过程提供系统的、数据的、方法的强有力支持，为有效的操作风险管理提供可靠的保障。

4、辅助与保证——我国商业银行操作风险管理环境。环境是指存在于系统以外的事物的总称。系统时刻处于环境之中，环境的变化对系统有很大的影响，系统与环境是相互依存的，系统必须要与环境产生物质、能量和信息的交换，因此，系统必须适应环境的变化。系统论的这种观点对操作风险管理框架也不例外。另外，人为因素管理理论认为，意外事故的发生与人为因素有非常密切的关系，依其因果由先天遗传的个性和社会环境、人为的失误、危险的动作或机械上的缺陷、意外事故本身和伤害组成。主张采取改变人们行为的方法来控制和管理风险。所有这些都说明了环境在操作风险管理框架中的地位。对我国商业银行而言，作为主要由风险文化、人员培训、沟通交流等构成，对任何员工在任何时候和任何活动中都产生影响力和约束力的意识氛围，对风险管理行为产生重要影响的境况，一个银行对它重视与否，从根本上决定了操作风险管理的有效性和可操作性。

(三)框架整体设计——我国商业银行操作风险管理层次及有机联系

框架整体设计是在对目标、各功能设计完成之后所进行的整体结构设计，其目的是根据框架的目标和框架功能要求，设计各子系统之间的有机联系，设置框架的管理层次，以达到框架的整体功能。

一般系统论认为，把孤立的各组成部分的活动性质和方式简单相加，不能说明高一级水平的活动性质和方式。不过，如果我们了解各组成部分之间存在的全部关系后，则高一级水平的活动就能从各组成部分推导出来。该理论同时认为，一切有机体都是一个整体系统，系统的性质取决于复合体内部组成要素和它们的特定关系；系统本身都处于积极的运动状态；各种有机体都按严格的等级组织起来，层次分明，等级森严，通过各层次逐级的组合，而形成越来越高级、越来越庞大的系统，处于不同层次上的要素都具有不同功能，而处于同一层次的事物，尽管形态各异，但都具有类似的结构和功能。系统就是由结构和功能组成的统一体。

协同学理论强调在复杂大系统中，各子系统的协同行为产生出的超越各要素自身的单独作用，从而形成整个系统的统一作用和联合作用。“协同导致有序”是这一理论的高度概括。所有这些都成为我国商业银行操作风险框架整体设计的重要理论基础。

根据上述理论及各子系统所述的功能，按照管理系统工程中的系统结构设计理论的稳定性、层次性、相对性和开放性要求，参照国际活跃银行的实践，根据我国的操作风险管理现状，笔者对我国商业银行操作风险管理战略、操作风险管理流程、操作风险管理组织架构、操作风险管理基础设施和操作风险管理环境进行了安排，建立了我国商业银行的操作风险管理框架，具体如下：

第一层次：操作风险管理战略，由业务目标、风险容忍和风险政策等构成；

第二层次：操作风险管理流程，主要有操作风险识别、评估、控制、绩效监测和风险报告构成；

第三层次：操作风险管理组织机构，主要由董事会、监事会、高级管理层、风险管理部门、业务管理层、内审部门、合规部门和后勤保障部门等组成；

第四层次：操作风险管理基础设施，由管理信息系统、数据、程序、方法等构成；

第五层次：操作风险管理环境，主要由风险文化、培训、沟通交流等构成。

第一层次是我国商业银行操作风险管理的目标，第二层次是操作风险管理的基础管理功能，第三层次是操作风险管理的管理功能载体，第四层次对操作风险管理具有支持功能，第五层次对操作风险管理起着重要的辅助与保证作用。其中上一层次指导下一层次，是下一层次发挥作用的指南针。下一层次对上一层次提供支持作用，是上一层次有效发挥作用的不可或缺的保障。

责任编辑：刘西顺