商业银行操作风险管理问题研究

郭琳

（齐商银行，山东 淄博 255000）

操作风险是商业银行全面风险管理体系的重要组成部分，是商业银行资本计量、商业银行资本充足率监管要求和内部资本充足评估的重要内容，但是操作风险被认识和管理只有近二十几年的时间，部分人员对操作风险的认识仍是网点柜面业务操作性的风险。近年来，各商业银行愈来愈重视对操作风险的管理，但如何更好地对操作风险进行管理，和内部控制管理一样，始终是商业银行需要探讨和研究的课题。

一、商业银行操作风险概述

（一）商业银行操作风险的定义

根据《商业银行资本管理办法（试行）》定义，操作风险是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风险，包括法律风险，但不包括策略风险和声誉风险。在人们所熟知的案例中，违反监管法规所遭受的监管处罚、原本能够通过抵押物追偿但由于工作失职、失误导致抵押物毁损无法追偿、内部案件造成客户资金损失的赔偿、由于员工工作失误所造成实物资产的直接毁坏、内外部欺诈导致的账面资产减值损失等均属于操作风险损失的范畴。

（二）商业银行操作风险事件的分类

根据发生频率和影响程度，商业银行操作风险事件分为“大白兔”低频低损的风险事件、“金丝猴”高频低损的风险事件、“黑天鹅”低频高损、不可预测的风险事件和“灰犀牛”高频高损潜在的风险事件。

对于处在“大白兔”区域的风险点事件，采取正常风险控制措施和配置风险控制资源即可；对于处在“金丝猴”区域的风险点事件，一般对该区域内相关风险控制采取有效的监控和确认，可通过设置能够量化的操作风险关键指标进行持续监测风险和控制的变化情况，以降低此类事件的发生；对于处在“黑天鹅”区域的风险点事件，一般会采取外包、保险的方式，用固定的小成本对冲低频高损的风险，需要重点考虑风险的累计影响，并在此基础上确认控制措施的有效性；对于处在“灰犀牛”区域的风险点事件，会尽量规避、回避，一般不会允许长期存在，需要通过大量改进和实施控制措施来降低风险，并制定行动计划、增加风险控制资源配置，为目标实现提供合理保证。对于“灰犀牛”和“黑天鹅”区域是操作风险管理领域所关注的重中之重。

图1

（三）商业银行操作风险的特点

商业银行操作风险主要存在的特点：一是内生性。商业银行内部人员因素导致的操作风险占大多数，属于通过加强内部控制管理可以降低的风险。二是隐蔽性。由于操作风险不易量化和缓释，因此商业银行各级管理人员较少关注这一风险，一旦发生有可能造成极大损失。三是分散性。分散在商业银行不同的业务领域和管理领域，既包括高频低损的业务和管理领域，也包括高频高损的业务和管理领域。四是多样性。引发操作风险的因素复杂多样，既有法律、员工舞弊、劳动就业、营业场所，还有系统、自然灾害等。五是风险与收益不匹配。对于信用风险和市场风险而言，借出或投放出风险类资金能够按一定利率赚取一定收益，但是操作风险即便增加资金投入加强基础管理，也无法保证员工舞弊等操作风险事件的发生，而且这种损失不仅是财务损失、资产损失，甚至带来声誉危机。而且根据“冰山原理”，间接损失是直接损失的6至53倍，也就是看不见的损失是看得见损失的6至53倍。

二、商业银行内部控制与操作风险的共同点

（一）覆盖范围

商业银行的内部控制是商业银行内部的组织活动，通过制度、程序、指令和员工来完成；内部控制的管理贯穿于决策、执行和监督全过程，覆盖商业银行各项业务流程和管理活动，覆盖各级部门、岗位和人员。商业银行操作风险管理是对操作风险识别、评估、监测、控制/缓释、计量和报告操作风险的过程；操作风险的管理要渗透到商业银行各项经营活动和业务过程中各个操作环节，覆盖商业银行各级部门和各分支机构，由全体人员执行。

（二）目标及理念

商业银行的内部控制管理和操作风险管理均以提升管理水平为目标。操作风险管理体系和内部控制管理体系从理论角度来看，两者都是为了实现商业银行稳健运行。从实际运作角度来看，两者在日常工作中相互融合，可用完善的操作风险管理工具去反映日常工作中操作风险事项的发生，来达到控制人员、时间、财务成本、减少资产损失的内部控制目标，从而推动商业银行内部控制架构不断完善，防范商业银行经营风险，实现商业银行财务和运营信息的可靠性和完整性、运营和程序的效率和效果、资产的安全、对法律、法规、政策、流程及合同的遵循的内部控制经营目标。健全的内部控制机制是防范商业银行操作风险的重要保障，对于提升内控管理水平和操作风险管理水平都具有十分重要的作用。

（三）实施方法

商业银行的内部控制和操作风险管理均基于业务流程。内部控制管理中监管部门要求商业银行的条线部门对各项业务活动和管理活动制定全面、系统、规范的业务制度和管理制度，并根据相应制度识别和梳理业务流程或管理流程中的风险点和控制点，执行标准统一的业务流程和管理流程。操作风险管理中操作风险与控制自我评估这一管理工具，也是以定期进行流程梳理为基础的，基于通过动态更新流程中的流程步骤、风险信息和控制信息，在准确的梳理出风险信息和控制信息基础上开展固有风险的评价、控制设计和执行有效性的评价及剩余风险的计量，以实现这一工具的有效运用。

（四）职责分工

商业银行的内部控制管理和操作风险管理均需实施监督检查。均由各级条线部门对流程中关键控制点的执行情况进行检查，各级内部控制牵头管理部门或操作风险管理牵头管理部门、内部审计部门采取抽样方法对流程中控制点即控制措施的设计和执行有效性进行复核检查，汇总检查结果向商业银行董事会或高级管理层汇报。

（五）结果运用

操作风险与控制自我评估评估、操作风险关键风险指标、操作风险损失事件与数据收集是操作风险三大管理工具。内部控制的检查成果、违法违规的监管处罚等事件是操作风险与控制自我评估评估的依据，内部控制中的案件部分属于操作风险管理损失事件的内容，内部控制的控制结果、检查成果、案防数据为制定操作风险关键风险指标阈值的提供了参考。因此内部控制结果与操作风险管理结果有着相互的应用关系。

三、商业银行操作风险存在的问题

（一）对操作风险管理认识不够

随着商业银行规模扩展和产品创新，操作风险导致的损失事件有趋多的趋势，部分商业银行对其认识和管理仍不够深入。一方面，操作风险管理理念认知度较低。商业银行操作风险被认识和管理是从20世纪90年代开始的，相较于信用风险、市场风险在时间上被人们了解和认知要晚得多，至今商业银行员工认为操作风险是在网点柜面业务操作性的风险还大有人在。其次，对操作风险的认识存在偏差。长期以来，商业银行对高频低损的柜台业务即时性、及时性的操作风险关注较多，对因违反内部程序和操作步骤办理的可拖延、可事后补救手续的授信业务或财务、印章管理等中后台业务关注较少，因而大部分员工对操作风险的认识仍是网点柜面业务操作性的风险，对操作风险的认识存在偏差。最后，员工缺乏主动学习和防范操作风险的意识。商业银行部分员工不能主动学习专业知识，对业务流程和管理流程不够熟练，仅凭“经验”、约定俗成来办理，缺乏足够的操作风险防范意识，为发生操作风险事件留下了风险后患，一定程度上也影响着商业银行内部控制的效果和效率。

（二）流程管理和执行不够重视

流程管理作为操作风险管理的抓手，对基础管理和落地执行不够重视。一方面，内部程序制定不及时。随着商业银行业务规模不断扩大，内部控制管理中各类制度应随监管要求和经营管理情况及时进行更新和调整，商业银行相关业务条线部门未能根据制度变化把内部程序流程步骤梳理作为日常基础管理工作来持续维护，造成相应内部控制制度和内部程序流程步骤不一致，存在“各说各话”的现象。另一方面，内部程序执行不够到位。由于商业银行间竞争激烈，有时为了谋求完成当前任务目标，采取不按照制度执行、不按内部程序流程步骤操作、省略操作步骤，为发生操作风险事件留下了风险隐患。

（三）操作风险三大管理工具未充分应用

操作风险管理体系自始至终贯穿于商业银行经营管理全过程，涉及全行、全经营过程、全体人员，由于认知中存在偏差，对于操作风险三大工具的很难在短时期内被各级管理人员所理解、掌握和应用。首先，商业银行操作风险损失事件和数据不易收集、没有数据积累。受“家丑不外扬”的传统思想影响，有损失、有事件、有数据一般不反映、不上报，即不能反映真实风险状况、也不能进行数量化分析。其次，关键风险指标数据收集困难。关键风险指标阈值对风险变化指标值和控制结果值的设定，商业银行相关管理人员需要一个长期关注、采集、分析、积累的过程。最后，操作风险与控制自我评估结果不准确。没有积累损失数据，内外部检查结果不共享，受评估人员的阅历、知识结构、工作经验的限制，操作风险与控制自我评估工作严重依赖于评估人员的个人经验、主观判断，评估结果存在不准确的现象。

四、完善商业银行操作风险管理的对策

（一）加强操作风险管理体系建设，提高操作风险管理认知

操作风险管理体系建设是循序渐进的过程，商业银行需通过不断增强操作风险认知，持续优化管理基础，合理保证各项业务活动和管理活动面临的操作风险控制在可以承受的范围内。首先，加强对操作风险管理概念及相关知识的传导。商业银行应营造操作风险管理须渗透全行经营活动的全过程、覆盖各级条线部门、覆盖全行人员，由全体人员执行的企业文化，加强操作风险文化的传导，提高全员对操作风险的认识。其次，确立操作风险覆盖全行经营过程的理念。商业银行应灌输操作风险覆盖全行经营管理过程各环节的意识，纠正操作不仅存在于前台柜面，而且覆盖全行经营管理全过程各环节，推动全员主动防范操作风险，不发生操作风险损失事件就是创造价值等理念。再次，加强员工操作风险理论的培训。传导操作风险大多由人员操作引发，有章不循、制度执行不力，特别是信贷、类信贷业务不按制度执行、不按流程开展业务，留下风险隐患是目前操作风险损失发生的直接和关键原因。另外，需加强商业银行人员操作风险知识和如何有效防范风险技巧的培训，以增强风险意识和工具的有效使用。同时，操作风险主要防范的是内外部欺诈行为，这就需要强化员工行为管理，加强员工职业道德教育，在全行推行诚信与正直的职业操守价值观念，提高全体员工的防范操作风险意识，努力营造“不敢违规、不能违规、不想违规”的工作氛围，增强员工的责任意识，推动内部控制各项制度和流程步骤贯彻落实执行到位，有效提高防范操作风险能力。

（二）强化流程管理，及时变更流程信息

商业银行无论是内部控制还是操作风险管理，无论是外部营销还是内部运营，所有活动都是通过流程实现的，因此内部控制和薄弱环节和操作风险隐患都隐藏在流程之中。所以，商业银行的内部控制管理和操作风险管理都应以风险识别为切入点和前提，以流程梳理为抓手，将制度分解到环节、流程梳理到环节、风险识别到环节、控制活动到环节、监督纠正到环节，并结合商业银行的经营战略、管理理念、外部经济发展趋势，持续、及时地进行流程信息的完善或更新，把责任目标具体落实到操作流程步骤的中，使流程管理更直观、更清晰、更便于推广和执行。通过流程能比较容易发现内部控制中的薄弱环节，持续加以整改，有利于执行标准统一的业务流程和管理流程的内部控制要求，更有利于推进商业银行稳健高质量可持续发展。

（三）加强操作风险三大管理工具传导和应用

不断完善操作风险系统建设，保证操作风险三大管理工具的传导和应用。建立与本行的业务性质、规模和产品复杂程度相适应的操作风险管理系统，系统性地收集、整理、跟踪和各种问题相关数据并可以进行多维度分析，为操作风险管理运行奠定信息科技技术支持。首先，摒弃“家丑不外扬”的传统思想，对操作风险损失事件和数据进行采集、汇总，定期对操作风险事件进行汇总分类、分析总结，对事件产生的原因，进行深刻剖析、举一反三，起到以点带面、相互借鉴的作用。其次，通过在系统中设置涵盖商业银行主要业务和管理流程、风险信息和控制信息的操作风险关键风险指标及其预警阈值，可以动态、持续地监测操作风险状况及其控制措施实施的变化情况，实现风险的有效识别，及时为决策层做出决策提供数据支持，以便对显现不良征兆的风险，快速采取相应的补救措施，从源头上监控操作风险的发生。最后，逐步提高操作风险与控制自我评估评估结果的准确性。鼓励商业银行各级人员加入操作风险与控制评估工作中，促进多方面、不同知识结构管理人员积极参与，根据商业银行自身现状、基于内外部检查结果、损失事件等历史数据的分析，结合经济形势、业务发展等因素的变化做出综合、全面的评估，以便如实反映评估部门风险管理现状、内部控制措施设计和执行的有效性，从而提高评估结果的准确性。

五、结束语

内部控制管理是操作风险管理的基础，操作风险的识别和管理工具运用是在商业银行当前内部控制环境的基础上进行的，其风险管理的组织、管理程序以及配套的绩效考核制度都是嵌入在内部控制体系中运作。同时，通过操作风险管理三大工具的有效运作，并在系统中直观地展现出来，易于发现控制薄弱环节，通过对薄弱环节的整改，对强化商业银行内部控制管理有关键影响，能够起到不断持续提高内部控制管理水平作用。综上，商业银行的内部控制管理和操作风险管理能够对商业银行的经营管理起到相会推动，协同进步，共同提高的作用。