巴塞尔协议的演进与商业银行操作风险管理框架探析

黄万银 张玉

中国建设银行重庆市分行

前言：新巴塞尔协议之前，商业银行风险管理仅包含信用风险和市场风险，而忽略了操作风险管理，直到发生了一系列银行风险事件后，新巴塞尔协议才将操作风险纳入管理框架，操作风险才正式的被各国商业银行纳入日常风险管理。

一、巴塞尔协议的演进历程

（一）旧巴塞尔协议

上世纪70年代布雷顿森林体系崩溃后，银行业的经营逐步市场化，迫于生存压力开始经营风险业务，监管当局也放松了银行的监管。直到美国富兰克林国民银行等一系列大银行破产倒闭，各国监管机构开始意识到对商业银行监管出了问题，这也是巴塞尔协议产生的经济背景。

1974年，巴塞尔委员会在十国集团中央银行行长的倡议下成立，1975年9月，第一个巴塞尔协议出台，该协议极其简单，核心内容仅突出强调任何商业银行的国外机构都不得逃避监管、母国和东道国都应共同承担职责两点内容。第一个巴塞尔协议经过反复修订后于1988年7月通过了《关于统一国际银行的资本计算和资本标准的报告》（学界称旧巴塞尔协议），旧巴塞尔协议曾被认为是银行风险管理的 “神圣条约”，其构建了全面风险管理的基本理念和框架，但是未对风险管理包含的详细内容作阐述，因而对商业银行全面风险管理理念仍处在理论认证阶段，对于这三类风险计量几乎未涉及。

（二）新巴塞尔协议

1997年，英国银行家协会第一次对“操作风险”给出定义，1998年，巴塞尔委员会发布《有效银行监管的核心原则》，沿用了英国银行家协会对“操作风险”的定义，巴塞尔委员会并分别于2001年1月在《新巴塞尔协议》第一次征求意见稿、2001年9月巴塞尔委员会的工作报告对操作风险定义进行了修订，并在2004年6月出台最终版新巴塞尔协议给出操作风险的最终定义，并给出了计量操作风险资本的三种方法供各商业银行选择，分别是基本指标法、标准法和高级计量法。

与旧巴塞尔协议相比，新巴塞尔协议最重要的突出贡献在于银行主要风险资本计量加入了操作风险，并且给出了三种操作风险资本的计量方法，供各商业银行根据实际情况选择，第一次使操作风险即可定性也可以定量。

（三）巴塞尔协议Ⅲ

2008年次贷危机爆发，对全球金融机构造成冲击，全球金融监管机构开始审视对金融机构的监管，这也是促使各国迅速达成巴塞尔协议Ⅲ的重要因素。巴塞尔协议Ⅲ由巴塞尔委员会于2010年提出，于次年11月在韩国举行的G20峰会上获准实施。巴塞尔协议Ⅲ要求，商业银行一级资本充足率由4%上调至6%，核心资本充足要求达到8.5%-11%，总资本充足率维持8%不变，另外，还引入了以降低商业银行流动性风险的指标，以提升防范抵御金融危机的能力。

2017年12月7日，巴塞尔委员会公布了《巴塞尔协议Ⅲ：最终版》并公布了一系列新的规定，包括将于2022年1月1日开始实施的《操作风险最低资本要求》，该要求将计算操作风险资本的方法统一为 “新标准法”，新标准法能更为动态和细化地反映商业银行业务中存在的真实操作风险损失，也可以将操作风险损失反映在资本要求里。

二、基于巴塞尔协议操作风险的定义及分类

（一）操作风险的定义

世界各组织从不同角度对操作风险给出了不同的定义，但新巴塞尔协议给出的操作风险定义最具权威，并得到了大多数商业银行的采纳，获得了金融界的普遍认同，笔者也采用新巴塞尔协议的定义作为操作风险的定义。

新巴塞尔协议认为：操作风险（Ope rational Risk）是指由不完善或有问题的内部程序、员工、信息科技系统以及外部事件所造成损失的风险，包括法律风险，但不包括策略风险和声誉风险。

（二）操作风险的分类

结合银行实务中，按操作风险的来源分为以下四类：(1)由于操作失误导致的操作风险，主要是由于操作人员对受理的业务不熟或未按操作规程操作造成的，且大多为柜面违规操作造成，比如代客户保管重要凭证或证件、违规将系统柜员号及密码交由他人使用、泄露重要客户信息等造成商业银行资金损失。（2）内外欺诈带来的操作风险，该风险分为内部欺诈和外部欺诈两类，是以个人利益而损害客户和商业银行利益，近年来，内外串通欺诈时有发生，对商业银行造成巨大经济损失和恶劣的社会影响。（3）由于业绩压力等银行内部人员主观违规导致的操作风险，银行业务趋于同质化，竞争愈演愈烈，不少商业银行都在推行全员营销，商业银行柜员为了完成业绩或迫于业务部门完成业绩压力，放弃了制度规定，主观违规操作。（4）由于技术变革带来的操作风险，银行的发展离不开信息技术的进步，尤其是近几年金融科技迅猛发展，而新的技术在商业银行的运用过程中由于测试不到位、培训不足或技术不成熟导致的技术漏洞等都可能给商业银行带来操作风险，造成商业银行的损失。

三、商业银行操作风险管理框架

（一）建立健全风险管理组织机构

商业银行是风险经营的主体，风险管理也是商业银行日常管理的重要内容。首先，建立科学合理的高层风险管理架构。一方面董事会是商业机构最高管理和决策机构，是管理责任的最终承担者，商业银行的通行做法是在董事会设置风险管理委员会，负责撰写商业银行风险管理的战略、政策和程序，提交董事会批准，是风险管理最高的常设机构。另一方面建立具有较强执行力的高级管理层，负责执行董事会制定的风险管理策略以及董事会授权范围内的操作风险决策。高级管理层的执行力是商业银行操作风险管理的基石。其次是重视基层的“三道防线”建设。第一道防线是基层设置风险专管员，负责分析和收集各业务部门、业务流程的操作风险，实时评估和调整风险防控措施。第二道防线是设置风险管理团队，负责建立商业银行操作风险政策体系，对各基层组织提供专业的咨询和指导。第三道防线是建立内部审计和稽核团队，负责对操作风险管理体系运行的有效性进行事后跟踪。“三道防线”合理分工、相互配合，最重要的是保持相对的独立性，确保操作风险管理体系的有效性。

（二）建立良好的操作风险文化

商业银行制度很多，但是由于受传统文化的影响，出现了一些不成文的规则，人情的力量大于了制度的要求，结果是违规操作，造成商业银行的资金损失，此时就需要强有力的操作风险文化来约束操作人员的行为。操作风险文化能促使工作人员传承优秀的做法，文化具有强大的导向功能也能约束人的主观行为，消除隔阂，维持商业银行的经营秩序，自觉抵制不良行为，从而有效的防范操作风险。商业银行可以从提升基层人员操作风险识别和评估能力、引入国外先进风险管理文化、管理层将风险管理文化融入各项工作等方面入手，建立属于本企业的操作风险文化。

（三）注重“德”“才”两手抓，培养德才兼备人才

银行建立操作风险文化，离不开员工操作风险意识的提升，员工操作风险意识提升又巩固企业银行风险文化建设，二都相辅相成，缺一不可。银行业务都是由“人”来完成，人是导致操作风险的主要原因，让高素质、优秀的人来完成工作，操作风险就会下降很多。首先是注重员工素质培养，一方面是为德才兼备员工提供通畅的职业发展道路，另一方面是鼓励员工自学和为员工提供学习平台，以提升员工的积极性和个人素质。其次要实施定期轮岗制，这样既能为员工提供多岗历练的机会，培养业务多面手和干部储备，也能避免长期在同一个岗位形成的懈怠、串通作案，防范案件风险。

（四）降低信息技术变革带来的损失

商业银行的发展离不开运用新技术、新方法，技术的发展也能有效促进商业银行的发展和促进操作风险的控制，商业银行在面对新技术运用时，首先要注重系统开发的一致性，即系统开发时新系统界面及路径尽量与旧系统保持一致，避免由于系统更新后柜员不熟悉导致操作风险。其次是新的技术、新信息系统运用初期应当经过充分测试和培训，减少上线初期运行带来的风险。

结语：巴塞尔协议的演进代表着商业银行监管的趋势，巴塞尔协议也获得多国认可，当前，我国商业银行操作风险管理水平已经有长足发展，但与发达国家相比仍有差距。因此，我国商业银行应当按照巴塞尔协议Ⅲ要求重视操作风险管理。