中国银行业操作风险管理研究进展

申请免费试用、咨询电话：400-8352-114

1. 引言

银行业的健康发展是社会进步和经济繁荣的基本保障，而能否有效地对银行的各种风险进行科学的管理和防范直接关系到银行的健康发展。随着银行业的产品日趋多元化、业务流程日趋复杂化、人文环境不断变化，操作风险日益受到关注。巴塞尔委员会2002年对操作风险进行的全球性调查数据表明，操作风险损失高达77．95亿欧元。与信用风险、市场风险相比，操作风险管理在金融实践中地位日趋彰显。伴随国家审计署的“审计风暴”和银监会公布的金融机构处理涉案人员的人数、发生经济案件和违规经营案件数，我国业界对银行操作风险的关注程度也日趋深入。不论是金融监管部门，还是金融从业机构，都前所未有地加大了对操作风险的管理和控制的力度。银监会发布的《关于加大防范操作风险工作力度的通知》、《商业银行操作风险管理指引》等文件也说明银行监管机构对操作风险管理系统化、规范化的高度重视。由于我国大多数银行还处在向真正的商业银行转型的过程中，内部控制机制还不完善，因此，操作风险广泛存在，而且也给银行带来了巨大损失。目前，银行业的风险管理研究文献主要集中在信用风险、市场风险、利率风险领域，而操作风险研究由于缺少足够的数据以及成熟的研究方法而罕见报道。此外，操作风险的研究较为匮乏，有关操作风险事件和数据积累也十分贫乏。因此，研究操作风险管理对于丰富操作风险管理的理论研究内容并指导我国银行的风险管理实践具有十分重要的理论意义和现实意义。

2. 操作风险定义与范畴

金融业风险主要划分成信用风险、市场风险、利率风险和操作风险。2004年6月国际清算银行（BIS，Bank of International Settlements）颁布新《巴塞尔新资本协议》，将操作风险引入资本要求框架，并明确指出IT 风险是操作风险的重点。Basel II协议从风险监管的角度将操作风险因素划分为七种类型，包括：内部欺诈；外部欺诈（External fraud）；雇员活动和工作场所的安全问题；客户、产品和业务活动的安全问题；银行维系经营的实物资产损坏；业务中断和系统错误；行政、交付和过程管理等。该定义强调资料和数据的易得性、可监控性和可计量性。英国银行家协会（British Banker Association, BBA）主要从人、流程、系统和外部事件四个方面对操作风险进行归类，并划分成24个二级项，并分别针对每个二级项的明细进行了说明，由于其界定更为详细，分类也更为清晰，并且三者之间具有明确的因果关系，人、流程和系统的风险是应对外部事件的基础，因此有助于银行业在操作风险管理上进行优先序的排列。JP Morgan对于操作风险的定义是，操作风险是各公司业务和支持活动中内生的一种风险因素，这类风险表现为各种形式的错误、中断或停滞，可能导致财务损失或者给公司带来其他方面的损害。英国银行家协会（BBA）将操作风险定义为“由于内部程序、人员、系统的不完善或失误，或外部事件造成直接或间接损失的风险”。全球风险专业人员协会定义是：由于组织对政治、税收、监管、政府、社会、竞争等环境因素作出反应时选择不当战略的风险以及在在实现特定战略时由于人、过程和技术等因素而导致的损失，将风险归类为控制性风险、流程风险、名誉风险、人力资源风险、法律风险、收购风险、营销风险、技术风险、税收改变风险、监管变更风险、运营能力风险、安全性风险、项目风险、供应商风险、自然灾害风险、人为灾害风险等16类。该定义不限于银行，对工业、石化及建筑等其他行业也适用，是从企业角度定义操作风险的。

尽管目前对操作风险的界定还不完善，但将操作风险按其损失风险因素划分界定已经得到了国内外理论和实务界的公认，我国现阶段的起步研究基本上也是在此基础上进行的。操作风险可分为由内部因素和外部因素引发的操作风险。内部因素主要包括人员因素、流程因素和系统因素。其中人员因素主要指操作失误、违法行为（员工内部欺诈/内外勾结）、越权行为、违反用工法、关键人员流失。流程因素主要指流程设计不合理、流程执行不严格。系统因素指系统失灵、系统漏洞、数据信息安全等。外部因素主要指外部事件，包括外部欺诈、突发事件（自然灾害、抢劫、工作场所安全等）和经营环境的不利变化。

金融机构的操作风险主要表现在由于顾客、不足的内部控制、系统或控制失败以及不可控制的事件所引起的收入或者现金流的波动。与其他两种风险相比，操作风险主要具有以下特点：（1）因为操作风险主要来源于企业的日常营运，人为因素在引发操作风险的因素中占有直接的、重要的地位。在Basel银行监管委员会定义的7种操作风险损失事件类型种，有6种直接与人为操作有关。广义的操作风险是指除信用风险和市场风险之外的风险，绝大多数的操作风险则更多可以归因于有意或无意的、来自企业内部或外部的人为操作失误。（2）操作风险事件具有发生频率很低、但是一旦发生就会造成极大的损失，甚至危及到银行的存亡的特点。例如，1992－1995年间，巴林银行交易员里森的错误交易以及在出现损失后继续隐瞒，最终给巴林银行带来86000万英镑的损失，致使其破产。1995年，华夏银行3名职员非法拆借3.4亿多元的贷款，致使华夏银行2亿多元资金无法收回。因为以上的两个特性，导致了操作风险难以度量、难以管理。如何使用定量的方法来度量操作风险，将操作风险纳入整个银行的风险管理体系，都是目前待解决的问题。

3. 操作风险的度量方法

操作风险的度量和控制研究在我国有着重要的现实意义。尽管我国商业银行由操作风险引发的损失事件数量较大，但是有关操作风险事件和数据的积累却十分贫乏，给操作风险的度量研究带来很大的困难。造成这种贫乏的原因，一方面是历史的原因，过去对操作风险更多地是从管理制度方面考虑，很少有定量分析的意识，因而不注重历史数据的积累；另一方面是我国商业银行的产权和信息披露制度的原因，银行不但没有压力披露操作风险事件，相反却有主动隐藏风险事件的动机。目前对操作风险采用的度量方法较常用的几种方法有：

（1）统计方法。樊欣，杨晓光等通过从公开媒体报道中所有可能搜集到的国内商业银行的操作风险损失事件，从损失事件类型、业务部门、四大专业银行、区域分布等维度，对操作风险损失事件的频度和幅度进行定量分析，试图对我国银行业目前面临的操作风险的状况给出一个初步的定量概括归纳。从业务部门来分析，需要引起银行注意的是商业银行业务和零售银行业务。这两个部门中，操作风险发生的几率最高，而且一旦发生带来的损失也最大。从损失事件类型来分析，可以发现在我国的商业银行内，操作风险发生的最经常的形式是内部欺诈和外部欺诈以及内外部相勾结的欺诈行为。这类行为一旦发生，一般隐匿事件较长，银行的损失极大。这也说明目前我国商业银行的内部控制机制还不健全，或者说对于内部控制制度的执行还不够严格。操作风险的大小与银行的规模有一定联系，但是并不由其决定。商业银行的风险管理水平以及对内部控制的执行程度决定了操作风险的大小。

（2）基本指标法。基本指标法是指银行持有的操作风险资本应等于前三年总收入的平均值乘上一个固定比例，这个比例通常由巴塞尔委员会设定。这种方法将银行视为一个整体来衡量操作风险, 只分析银行整体的操作风险水平, 而不对其构成进行分析。巴塞尔委员会认为, 基本指标法更适用于进行简单业务活动的国内的小银行，虽然无论银行的复杂程度如何, 都可以采用基本指标法。但不希望大型银行或比较活跃的银行采用基本指标法。

（3）标准法。使用这种方法的银行是数据收集能力和分析能力有限的银行。这种方法将银行业务分为八个不同的产品线, 每个产品线分别确定操作风险的 β值（β是由委员会设定的固定百分数, 建立 8 个产品线中各产品线的总收入与资本要求之间的联系）。先分别计算各个产品线的操作风险资本准备, 然后再将其汇总, 得出整个银行的操作风险及其所需要的资本准备。这种方法虽然比基本指标法对操作风险的衡量更详细一些, 但是它只是基本指标法的简单的延伸, 并没有克服基本指标法的缺陷。

（4）内部衡量法。内部衡量法在标准化方法的基础上进一步对每个业务类别划分了 7 个事故类型。对于每个业务类别 / 事故类型组合(共 56个组合), 银行被允许使用自己的损失数据来计算该组合的期望损失值。这种方法更为细致地考虑了各个产品的操作风险。优势主要在于银行可以采用自身的损失数据去计算应持有的风险资本，这更加真实地反映了银行所承受的操作风险。它的不足之处在于容易造成与金融机构内部的业务单位和损失类型不相匹配。另外，数据的收集也比较困难。

（5）损失分布法。损失分布法的思路是：根据损失资料库中每一种业务类别的损失特征选取拟合度最优的模型，对损失发生的概率和损失程度做出假设，得到操作风险损失在未来时期内的可能分布，比如假设损失发生的概率服从泊松分布，而损失的程度服从对数正态分布，以此来估计该类业务操作风险所需资本金，整个银行操作风险要求的资本金总额是各个业务类别资本金的加总。

（6）记分卡法。在记分卡法下，与内部衡量法和损失分布法相似，银行的业务同样被划分为若干种业务类型和事故类型。银行首先依据行业标准为风险制定一个初始值，然后通过记分卡法不断修正，使其更能反映潜在风险和适应不同业务类型的风险控制环境。与其他高级衡量法相比，记分卡法较少依赖于历史数据，而更多偏重于全面的定性分析，用银行的风险控制能力来反映其资本水平。同时，作为高级衡量法的一种，记分卡法必需建立在良好的定量基础之上，并通过历史数据来确证其风险评估。