操作风险十年之痒

张吉光

历史总是惊人相似。十年前的2006年，以中国银行四马路支行9亿元票据大案为代表，国内银行业先后发生多起票据大案，中国银监会为此专门下发《关于票据业务风险提示的紧急通知》，在通报案件情况、分析案发原因的同时，提出监管意见。十年后的2016年，农业银行39亿元票据大案又一次拉开票据案件多发期的序幕，中信银行、天津银行相继爆出票据案件，中国人民银行、银监会联合紧急下发《关于加强票据业务监管，促进票据市场健康发展的通知》，再次对票据业务的发展提出监管意见。对比十年前后的案件，虽然业务操作形式略有不同，但发案领域依然是被认为低风险的传统票据业务，同样是内外勾结和制度执行不力，就连监管部门发出的两份通知所重申的监管意见，在一些条款上也几无二致。

经过十年的改革发展，国内银行无论是国有银行、股份制商业银行、城市商业银行，还是农村金融机构，不管是规模实力，还是盈利能力，抑或是经营管理水平都已不可同日而语。有相当一部分银行迈入全球银行业1000强之列。但最近接连发生的算不上高级的票据案件告诉我们，国内商业银行的操作风险管理状况似无太大改观，管理能力的提升难言乐观。随着金融深化程度的不断加深，经济进入新常态，商业银行所处经营环境的不确定性与日俱增，风险管理尤其是操作风险管理能力将成为影响甚至决定商业银行持续健康发展的关键因素。在此背景下，通过案例分析，深入剖析商业银行操作风险管理漏洞和缺陷，总结经验教训，无论是对监管机构，还是商业银行而言，都是极为重要的。

缺陷一：操作风险认识错误和理念缺乏依然存在

对操作风险的认识错误和理念缺乏是导致国内商业银行大案频发的深层原因。认识上的错误往往导致行动上的错误和被动，理念的缺乏通常导致管理上的偏差和失效。首先，从认识来看，自英国银行家协会最早给出相对规范的操作风险定义至今，已有近二十年时间，但国内银行业仍普遍存在错误认识，简单将操作 风险等同于操作性风险，认为操作风险主要存在于柜面业务和会计操作领域，从而采取的措施也主要集中于这些业务的操作性环节，忽视了其他操作风险领域的管理，导致据此建立的管理职责和管理体系残缺不全，管控效果大打折扣。其次，认为操作风险的发生随机性强，难以甚至不可主动管理，因而更多采取以事后处罚和总结教训为主的防御性管理策略，造成被动应对，事前管理缺乏，难以及时识别操作风险隐患。最后，认为合规风险与操作风险严格隔离，没有交集，在管理上无法有效衔接；本质上合规风险属于操作风险的一部分，在管理上需要相关部门形成协同，但这种认识错误导致现实中两类风险分别由两个部门独立负责，缺乏有效沟通，一方面导致合规管理部门因绕开操作风险管理领域，职能弱化为法律文本的审核和有关制度的解读，另一方面操作风险管理丧失了事前管理的有效手段，最终效果差强人意。

操作风险理念的缺乏集中体现为“三重三轻”，即“重发展，轻风管”、“重信用风险管理，轻操作风险管理”、“重高风险业务，轻低风险业务”。经过十多年的改革发展，尤其是股份制改革和上市，以发展为主线和追求利润最大化的发展理念已深入人心，但在过于强调发展以及宏观经济持续保持快速增长的情况下，商业银行对风险管理的重视程度明显弱化，在风险管理方面采取的措施和投入的资源因此受到影响，风险管理的改善和能力提升与发展速度出现偏离，当发展到一定阶段，同时外部经营环境恶化时，风险暴露在所难免。更重要的是，长期以来国内商业银行的风险管理主要是对信用风险的管理，较少涉及其他风险，尤其是操作风险。这跟风险管理部门大多由原来的信贷管理部演变而来有很大关系。近年来，在监管的推动下，商业银行风险管理职责有很大拓展，从形式上覆盖了信用风险、市场风险和操作风险，但在传统理念的主导下，日常工作仍较多围绕信用风险展开，对操作风险的管理仍较薄弱。在日常风险管理中，商业银行更关注高风险业务，对低风险业务则给予较大风险容忍度。这种理念和做法仍然是信用风险管理思维的结果，操作风险的高低与信用风险有很大不同，以不时爆出操作风险大案的票据业务为例，就信用风险而言，票据业务是低风险业务，但就操作风险来说，则是发生概率较大且损失较大（即高频高损）的业务领域。如果把票据业务作为低风险、高收益的业务大力推广，在纸质票据大量依靠手工操作的情况下，随着规模的增大，必然带来巨大操作风险隐患。

缺陷二：制度执行不力仍较普遍

有章不循、制度执行不力是操作风险大案屡屡发生的直接和关键原因。十年前的中国银行四马路支行9亿元票据大案之所以发生，很关键的一点在于支行未严格执行票据作废销毁制度，截流空白汇票，流入不法分子之手；十年后的农业银行39亿元票据大案得以发生，原因在于当事分行未严格执行票据保管制度，开展票据买入返售业务时没有对票据实物进行认真清点交接，出入库制度形同虚设，也没有定期查账、查库，导致票据被挪用。两个案件发生的业务环节虽然不同，但皆起因于有章不循。由于没有按制度开展业务，留下风险隐患，让作案人员有机可乘，长期有章不循又使得制度约束失效，导致案件难以被及时发现。从国内情况来看，商业银行仍有大量业务，以及大量业务环节需要人工操作完成，如果缺乏完善的制度和流程，差错和风险案件的发生在所难免。制定各项制度的核心就在于通过岗位制约、流程控制促使员工实现各业务环节的规范有序操作，防止风险发生。正因为此，针对票据案件频发的现状，无论是十年前，还是十年后，监管部门首先推出的是重申票据业务的各项制度要求。

经过长期的实践积累，国内商业银行已经建立起相对较完善的制度体系，尤其是针对存款、贷款、票据等传统业务领域。但大案频发的现状说明这些制度的执行情况并不乐观。深入分析制度执行不力的原因，可归纳为三方面：

第一，理念上将风险让位于发展，把追求业务发展、实现利润最大化作为首要目标。在此目标主导下，总行设计的考核体系大多以业务发展为主，为了完成考核指标，实现考核利润，经营单位必然想法设法拓展业务，在风险理念缺乏的情况下，打擦边球、绕开制度规定甚至不执行制度的情况随之产生。特别是在经济下滑，企业因市场不景气而出现现金流紧张，迫切需要资金支持，同时银行业务竞争激烈，发展面临较大压力，或者股市、期市快速上涨，存在投机炒作空间时期，内外部压力和利益冲动会进一步加剧有章不循现象。

第二，人员不足使得制度难以执行。在当前银行利润增长快速下滑而考核越来越精细化，更多关注人均利润、人均存款以及成本收入比等效率指标的情况下，经营单位对人员总数的控制日益严格，使得岗位制约、双人复核、收支分离、强制轮岗等关键制度要求的执行遇到困难，制度设计初衷最终落空。

第三，事后监督检查和责任追究不力。制度执行的动力一方面来自正向激励，另一方面来自负向约束，即监督检查和责任追究，负向约束通常发挥更大作用。但现实中对基层制度执行情况的监督检查，要么频率过低，难以及时识别风险隐患和内控缺陷，要么检查走过场，起不到应有作用。责任追究的情况就更不乐观，业绩为王的理念仍占主导地位，除非发生案件和风险给银行带来实际损失，那些有章不循的行为，只要带来业绩，就不会得到处罚，或者处罚较轻，起不到惩戒作用。相同性质的操作风险案件屡有发生跟此情况密不可分。

缺陷三：操作风险管理手段传统单一

操作风险大案频发反映出国内银行操作风险管理手段的缺乏。从实践来看，一套有效的操作风险管理手段至少包括三方面：首先是有效的约束手段，使相关人员不能作案；然后是及时的风险识别手段，使相关人员不敢作案；最后是有力的惩戒手段，使相关人员不想作案，以此形成覆盖事前、事中、事后各环节的有效管理机制。除去系统和外部突发事件外，操作风险大多跟人的因素有关，由人员操作引发。因而将操作风险管理融入业务系统，实现电子化控制，是最有效的管理手段。以年初以来发生的三起票据大案为例，共同之处在于涉案业务都涉及对实物票据的多个手工操作环节，反映出实物票据在交易过程中，由于需要人工验票、交付、查库，往往容易发生截流票据、假票诈骗、多次质押等操作风险。解决的根本途径在于推广电票交易，实现票据业务的电子化操作。

操作风险管理的系统化管控包括两方面，一方面是实现银行业务的系统化处理，尽量减少手工操作，并将操作风险管理要求内嵌入系统中；另一方面是开发操作风险预警识别系统，根据历史经验，设定监控指标和阀值，实时从业务系统中抓取数据和交易记录，通过与监控目标值对比，及时发现异常情况，起到防控操作风险的目的。总体来看，国内商业银行操作风险管理手段的改进不明显，尤其是系统化控制方面尚未广泛运用，仍主要依赖人工检查。造成这种状况的原因，一是国内银行的操作风险管理工作起步较晚，且重视程度不够，整体资源投入不足，尤其是人才缺乏；二是大量业务仍在很大程度上依赖手工操作，难以实现系统化管控，尤其是近年来商业银行业务创新步伐加快，新推出的诸多同业业务无法得到现有系统的支持，只能手工处理、手工记账，对这些业务的操作风险管控只能依赖人工检查。此外，成本约束意识不强也导致商业银行缺乏足够动力开发操作风险管理系统以取代人工检查。随着商业银行利润增长的快速下滑，成本的约束将越来越强，从而促使商业银行从形成规模效益、降低成本角度逐步提高操作风险的系统化管控程度。

缺陷四：操作风险管理架构还不健全

十年来，国内商业银行操作风险大案时有发生，同类低级案件屡禁不止，反映出操作风险管理效果不佳，很重要的体制方面的原因在于操作风险管理架构不健全。概括起来，目前国内商业银行的操作风险管理架构有三种形式：第一种，对包括操作风险在内的各类风险实行归口管理，大多由风险管理部负责，下设专门的操作风险管理团队或者操作风险管理二级部；第二种，由法律合规部门承担操作风险管理职责，风险管理部仅负责信用风险和市场风险的管理；第三种，未明确专门的部门负责操作风险管理，相关职能分散在信贷管理、会计结算、审计、合规管理等部门。大多数中小银行属于第三种情况。这种分散管理模式，由于缺乏统筹安排，往往管理真空和管理过度的情况并存，且无法从整体上对全行操作风险状况进行评估和协同管理。而第二种情况，受制于目前各银行对合规管理部门资源投入不足，操作风险管理职能最终未能有效落地，更多停留在制度完善、法律文本审查等合规管理领域。

即使是做得相对比较好的第一种模式，也存在两大突出问题：其一，风险管理部下设的操作风险管理团队受多种因素制约，职能主要集中在制度制定、工具引入和对各条线部门操作风险监测情况的汇总，还没有能力开展直接管理；一旦发生操作风险案件，通常情况下由所属业务条线管理部门进行查处、整改，责任追究和处罚则由监察部门和人力资源部门负责，操作风险管理部门在其中的职责定位还不清晰。这导致的结果是操作风险管理整体上缺乏顶层设计，案件查而不止、屡禁屡犯。其二，虽然明确了风险管理部门的操作风险牵头管理职能，但该职能在业务条线和基层经营单位缺乏对应的部门对接落地，使得总行操作风险管理缺乏向下延伸的触角。对国内外银行业操作风险发生情况进行总结分析，可以得出一个结论，商业银行的操作风险管理有一个辐射半径，决定半径长度的是总行操作风险管理部门的能力以及操作风险管理架构在条线和基层的延伸。之所以国内一些操作风险案件发生在层级较低、较偏远的基层网点，就是因为这些网点超出了该银行的操作风险管理辐射半径。解决该问题的关键是尽快在分行层面完善操作风险管理架构，以充分传导总行管理意图，落实管理措施，实现操作风险管理辐射半径的向下延伸。

缺陷五：对分支机构的有效管控尚未形成

国内商业银行操作风险案件大都发生在分支机构，且越到基层情况越严重，很重要的原因在于总行对分支机构缺乏有效管控，并且总行对分行、分行对支行、支行对网点的管控力层层递减。如果分析过去几年操作风险案件在不同类型银行的分布，则更能说明这一问题。十年前，操作风险案件主要发生于大型银行的支行，尤其是一些相对较偏远的支行，很重要的原因在于大型银行管理层级多，对底层的管控力较弱。彼时，中小银行由于在单一地区开展业务，实行总支行管理模式，对支行的管控力尚能与业务发展匹配。而股份制银行尚未大量开设网点，总行整体管控水平尚可。近几年的情况有所改变，大型银行经过股份制改革，管理架构逐步完善，对分支机构的管控能力明显提升，基层操作风险案件，尤其是大案要案明显减少。而股份制银行和中小银行由于快速扩张，总行管控能力没有及时跟上，分支机构发生操作风险案件的情况相对增多。这一变化也反映出商业银行对分支机构建立有效管控模式的重要性。

目前国内商业银行对分支机构的管控总体较传统，主要依赖对人的管理，尤其是对一把手的管理，因而分支机构的独立性相对较大。一些中小银行的情况更加突出，其分支机构在某种程度上带有加盟店的性质，还谈不上管控模式，很容易失控。近年来，逐步建立健全了对分支机构的财务和信贷授权管理，有的银行还实行了审计和风险经理垂直管理。但总体上没有形成规范有效的管控模式，在日常经营管理中，主要依靠分支机构的自觉性以及自身能力，分行对支行的管理尤其如此。显然在操作风险系统管控程度较低的情况下，总行很难防范分支机构出现操作风险，尤其是内部关键人员作案的情况。从统一法人和整体协同的角度来看，国内商业银行应探索建立覆盖事前、事中、事后各环节、全方位的分支机构管控模式。事前，主要审批分支机构的战略和年度经营计划，确保与总行发展方向一致；事中，主要通过授权，确保分支机构的财务、人员以及风险管理规范有序，并通过考核和评估确保分支机构按照既定计划开展经营，符合总行管理意图，同时定期向总行相关部门进行汇报；事后，主要通过监督检查、审计等手段，及时发现分支机构经营管理中存在的问题，尤其是总行管理体系中存在的漏洞，进而持续整改提高。

十年时间，无论是对一个人，还是对一家银行来说，都不算短。十年过后，相似案件再次频繁发生，不能不让人担忧国内银行的操作风险管理状况和管理能力。这一境地也应引起包括监管机构在内的各有关方面的警醒：是时候高度关注，并下决心解决操作风险管理问题了。

（作者单位：上海银行总行计划财务部）