银行内控与操作风险管理一体化之路

银行内控与操作风险管理一体化之路 操作风险是被“忽视”的风险

从19xx年,英国的外汇交易员里森违规操作导致巴林银行破产,到20xx年,一名驻巴黎交易员在股指期货上的违规操作,导致法国兴业集团损失49亿欧元,再到20xx年,中国齐鲁银行被外部人员诈骗,涉案金额高达101亿元人民币,银行日常的经营无时无刻不在面临着操作风险,而对其的重视程度也是近10年才显得愈加重要起来。常见的操作风险的管理思路、方式、手段、工具以及与之配套的管理信息系统仍处于初级阶段,其计量更是不同于信用风险与市场风险,难以用风险概率分布方式进行量化。对于操作风险这样或那样的模糊认识,加之对其如何系统性的进行管理尚无经验可循,操作风险管理经常被管理者有意或无意地“忽视”着。

操作风险是什么

简单的讲,银行只要开门营业,就会面临各种由于人员、流程、系统以及外部环境冲击所带来的风险。例如,客户带来欺诈、伪造、纠纷等风险,内部人员发生越权、勾结、差错、盗窃的可能性,以及系统宕机、产品瑕疵、管理不当的风险。仅在20xx年,全年银行业发案量达92件,涉案金额高达21亿元,而上述数据仅是进入银监会统计口径的数据,更多的操作风险事件几乎每天都在我们身边发生,提醒着我们操作风险不容小觑。

操作风险管理目的究竟是什么

做事情总是要考虑清楚了再动手,操作风险管理也是如此,要想清楚了风险管理的目的何在,然后再付诸于行动,我们可以把操作风险的管理目的用三种不同的层次或境界来阐述:

首先,从监管达标的角度来看,巴塞尔委员会编制的新资本协议明确提出了操作风险组织架构、政策、工具、流程和报告路线方面的监管要求,中国银监会也在20xx年6月发布了《商业银行资本管理办法(试行)》,对这一监管要求做出了承接与细化,并要求在20xx年前要达标。讲得直接点,操作风险管理最赤裸裸的目的是为了达银监会的标。我们称这是管理目的的第一层境界;

达标这第一层境界相对容易做到,那么达标之外,对银行有无实际效益呢?第二层境界就是从成本效益角度来讲,在可以承受的资源投入条件下,将操作风险可能造成的损失降低到管理者的风险容忍之内。简单的讲就是不干亏本的买卖,风险管理看到的效益一定要大于成本的投入;

最后的第三层境界,也是本文即将讨论的重点,即从管理提升的角度来分析。操作风险管理的目的不应仅仅在于孤立的风险管控,更要思考的是如何将管理的思路、方式、手段和工具与既有的内部控制体系相结合,形成一体化建设的整合模式,达到1+1>2的效果。

当然,其实操作风险管理的目的绝不仅仅是上面这三个层次这么简单,长远看来,甚至会有第四层、第五层、乃至第六层。例如,从风险资本计提的角度来说,在操作风险高级计量法的框架下,通过计量工具,有效降低操作风险计提资本,释放银行的业务发展动能。说穿了,就是通过精细量化操作风险,少计提点风险资本,节省下来的钱拿去发展业务;这些层次暂不在本文要讲述的范围内,也就不多提了。 如何管理操作风险

那么操作风险如何进行管理呢?新协议提供了“风险与控制自我评估”、“关键风险指标风险”与“损失数据收集”三大操作风险管理工具,要求商业银行应当评估各业务条线的操作风险暴露金额与频率,并系统性地收集、跟踪和分析与操作风险相关的数据。在此基础上建立操作风险评估机制,将风险评估整合入业务处理流程,引入操作风险和控制自我评估或其他评估工具,定期评估主要业务条线的操作风险暴露,并将评估结果应用到风险考核、流程优化和风险报告中。与此同时,通过建立关键风险指标体系,及时监测相关指标,并明确指标突破阈值情况的处理流程,积极开展风险预警管控。

通过三大工具的建设和应用,帮助银行构建操作风险识别、评估、监控和预警处理的管理流程,可以确保管理层了解所面临的操作风险,并根据自身的承受能力和发展策略采取针对性的风险应对措施,以合理的成本达到预期的风险管理效果。

有了操作风险管理工具就能高枕无忧吗

然而,上述操作风险管理工具若要在银行实际落地运用,并看到实质上的效果,就必须要与银行既有的内控体系结合起来。究其原因,银行在运营的过程中,对操作风险发挥最主要也是最实际的控制效果的就是内部控制体系。良好的内部控制建设,可以有效防范起因于内部管理流程、人员以及系统的操作风险。在此基础上,我们再通过操作风险三大工具以及其配套的机制,建立操作风险识别与评估、监测与报告、控制与缓释的机制,便可让银行的操作风险管理智能化,依据自身的风险偏好与容忍度,及时监控各项业务的操作风险暴露对业务的影响,以及发掘风险管理薄弱的环节。

为什么要提内控、操风一体化建设

事实上,内控管理工作与操作风险管理工作既存在重叠,也各有侧重,就像唇与齿,缺一不可,但是独立的开展这两项管理工作势必会给银行带来很高的管理成本,因此,银行业开始探索并应用能够兼顾内控管理和操作风险管理工作的一体化管理思路,从组织与职责、体系与流程、管理工具和信息系统等各个方面将内控管理与操作风险管理两项工作整合起来。组织职责整合就是“两块牌子、一套人马”,由同一个部门和团队负责内控与操作风险管理,实现知识和人力资源的共享;体系流程与工具整合就是以操作风险管理三大工具为核心,搭载内控和操作风险管理的流程,将内控梳理、损失数据收集、风险与控制评估程序、问题与缺陷整改、风险报告及考核体系有机整合,同时兼顾内控管理和操作风险管理的需要;信息系统整合就是搭建同一的管理信息系统平台,同时收集内控与操作风险所需的数据,在统一的平台进行风险评估、监测预警、评估、学习和考核。

一体化的组织、流程、工具和信息系统管理避免了内控与操作风险管理中的重复工作,节约了时间成本与人力资源。以控制自我评估为例,它既是内控评价的重要组成部分,又是操作风险管理的重要工具,一体化的管理可以减轻基层业务人员内控与风险管理的压力。与此同时,借鉴操作风险的监控指标、风险

容忍度地图、风险监测仪表盘等监控和分析决策工具,可以使得银行采取的内控管理决策更加科学,以成本效益的角度采取适当的控制措施。例如,采取风险容忍度地图方法确定管理层对操作风险容忍的底线,确定“不可接受”区间,将日常风险评估的结果落在风险地图中,如果落在“不可接受”区间,则必须立即采取措施完善内部控制。借助一体化管理信息系统绘制的风险监测仪表盘,将内控与风险管控现状、内控薄弱环节与风险暴露高发领域等评估结果进行图表与图形化展示,生成相关报告,供管理者决策,带来管理上的意义。

目前,内控与操作风险一体化管理体系已经在我国部分股份制商业银行与大型城市商业银行中开始运作,并已初见成效,各中小银行也渐渐开始思考采用这一方式。相信更多的金融机构会加入此行列,完善内部控制,提升操作风险管理能力。

 

第二篇:浅谈我国银行操作风险管理

浅谈我国银行操作风险管理

经济学系 10Z国贸 088330133 罗文亚

摘要:随着金融管制的放松,银行经营业务范围及产品进一步多样化和复杂化,操作风险的破坏力和影响力愈发显现,对其研究和管理迫在眉睫。目前,我国银行业普遍存在着内部控制不完善的问题,导致了操作风险的频发,主要原因是银行业内部体制不健全,操作风险管理意识薄弱,因此,应在内部控制体系的构建入手,设计出一套适合我国商业银行操作风险的管理体系。

关键词:操作风险;公司治理结构;内部控制

长期以来,社会各界对银行业的风险管理都聚焦于信用风险和市场风险,而对操作风险并未予以足够的重视,对其认识和管理都处于较低水平。然而,随着金融管制的放松、银行经营业务范围及产品的多样化和复杂化,操作风险的破坏力和影响力愈发显现,对其研究和管理也迫在眉睫。在此背景下,20xx年的巴塞尔新资本协议规范了操作风险的定义①,并提出操作风险的最低资本要求,为各国银行业加强操作风险管理敲响警钟和提供指导;中国银监会于20xx年6月发布了《商业银行操作风险管理指引》(以下简称《指引》),为加强银行业操作风险管理、推进完善银行业公司治理结构、提升风险管理能力提供指导。

一、我国银行业操作风险危机四伏

受旧体制等不利影响,我国银行业面临着严重的操作风险。表1列示了近年来部分银行操作风险事件。

通过综合分析我国银行业操作风险损失事件,其具有的特点主要有:

1 操作风险主要形式是欺诈。欺诈包括内部员工的欺诈、外部人员的欺诈以及内外部勾结的欺诈,其中内部员工欺诈和内外部勾结的欺诈是我国当前存在的主要形式,并且这种类型的损失事件一旦发生,就具有单笔损失金额大和社会影响力大的特点。

2 操作风险大都发生在基层分支机构,且与上层机构的控制力负相关。我国银行的业务运作大多数集中在基层机构,总、分行则更偏重于行使管理职能,当分支机构距离较远、受到的监管较弱时,分支机构的一些违规操作就不易被发现,操作风险发生的可能性就更大。

二、我国银行业操作风险的影响因素

目前,我国银行业普遍存在内部控制制度不完善的问题,这是导致操作风险频发的最主要原因。我国银行业内部控制不健全性主要表现在:

1.操作风险管理意识薄弱。目前,我国银行业的主营业务仍以信贷为主,因此银行风险管理的焦点都集中于信用风险,而对于操作风险,从管理层到基层员工对其管理的意识都有待于提高。

2.操作风险专业化管理部门缺位。我国绝大多数银行均未设立独立的专业化的操作风险管理部门,对其管理主要是依靠非专业部门负责,以定性管理为主,主要依赖专家的主观判断,缺乏科学和专业的管理。此外,根据巴塞尔新资本协议,用于计算监管资本的内部操作风险计量法,必须建立在对内部损失数据至少5年的观察基础上,而我国由于缺乏数据,很少采用定量分析控制操作风险的科学方法。

3.分行制的组织形式不利于监管。我国银行主要采用分行制,该体制下的直线管理职能削弱了内部控制的力度和有效性,各层次的负责人横向权利过大,为操作风险的孕育提供了空间。

4.管理体系不完善。我国银行业普遍存在管理层次多而繁杂,各层次权责不清,缺乏相互制衡、权责明晰和相互独立的管理体系,容易出现管理的真空地带和重复低效管理。

5.管理制度不健全。我国银行业风险管理所需的制度建设不健全,现有的制度大都流于形式,存在不切实际、难以执行的问题,此外,仍有部分正常经营所必备的规章制度缺位,导致管理盲点的存在。

三、完善我国银行业操作风险管理体系

由于我国银行业对操作风险的重视长期不足,导致银行对操作风险的管理长期处于低效率和不足的水平。因此,克服各种不利因素,及时建立完善的操作风险管理体系,具有重要的现实意义。银行操作风险管理和内部控制在内容、对象和范围上有着密切的联系,因此健全内部控制机制的形成有助于银行操作风险的高效管理。本文结合COSO委员会关于内部控制五要素的阐述和银监会发布的《指引》,设计一套适合我国银行业操作风险管理的体系。 COSO委员会所述的内部控制包括五要素:控制环境、风险评估、控制活动、信息与沟通和监控,以下分别从这五方面构建操作风险管理体系。

(一)控制环境

控制环境是指对建立、加强或削弱特定政策、程序及其效率产生影响的各种因素。控制环境塑造企业风险管理文化,影响银行内部各成员的风险意识,关系着风险管理控制制度的贯彻和执行。

《指引》指出,操作风险管理需要创造一个良好的控制环境。首先,银行董事会应充分了解本行的主要操作风险所在,把它作为一种必须管理的主要风险类别,努力促进这种公司文化的建立,并且提供充足的资源支持在各职能部门实施操作风险管理,还应当把操作风险管理纳入到业绩评估程序中,强调风险管理为银行关注重点。其次,应建立一个能够有效执行操作风险管理框架要求的组织架构,该组织架构应明确界定各职能部门的责权关系、上下级报告关系,并且制定严格的监管审计制度。最后,应根据本行对操作风险的承受能力,制定规范的操作风险管理政策,该政策应对存在于本行各类业务中的操作风险进行界定,列明本行操作风险的具体构成,应明确识别、评估、监测与控制操作风险所应依据的原则、政策和方法。

(二)风险评估

风险评估是指操作风险管理部根据职能部门的信息,识别、量化和分析相关风险以实现既定目标,从而形成操作风险管理的核心内容。风险评估系统包括以下三个子系统:

1.风险识别子系统

风险识别子系统的作用是将操作风险进行定义和分类,它的主要部分是“知识库”。“知识库”是一种风险映射,将职能部门的业务与风险类别之间建立对应关系。具体来说,“知识库”将银行业务分为若干个风险档次,并将所有的业务归类到相应的风险档次之中,并存储在数据库的相应位置。

2.风险计量子系统

风险计量子系统由“模型库”和“预警库”组成。该系统在初步识别原始数据的基础上,利用“模型库”中的风险计量模型对风险进行量化,将定性的操作风险数字化。其中风险计量模型利用数理统计方法量化银行操作风险,“模型库”再将风险计量模型计算机程序化,即编写计算机软件以实现风险计量模型的功能。而“预警库”则是预先在系统内设定的不同职能部门的市场风险限额指标,在“模型库”计算出风险值之后,“预警库”就可以对实际风险承担与预先设定的风险限额自动比较,若发生超限额的情况,“预警库”会将该信息同时反馈到风险评价子系统中,实现实时风险监控的功能。

3.风险评价子系统

风险评价子系统主要提供风险汇总报告,并对各职能部门风险承担状况进行评价,为风险管理决策层提供支持。“报告库”针对经“模型库”风险计量子系统测量的风险结果,根据指定的报告模式进行综合汇总,为管理层提供银行风险的数据。“评价库”是对综合报告进行的深入分析,通过对具体风险的分析评价,提出风险改进意见。

总的说来,风险评估系统中,风险识别子系统归类操作风险,风险计量子系统量化操作风险,评价子系统评价并报告操作风险。这一系列活动的完成,关键在于设计出一整套计算机程序以实现上述几个子系统的功能。我国银行应当根据本行业务的特点,设计出自己的风险管理程序,或者直接从专业公司引进成熟又适合自身的风险管理系统。

(三)控制活动

控制活动是指那些有助于管理层决策顺利实施的政策和程序,主要包括明确银行各部门的职责、对各部门活动的控制和对偏离授权的行为进行调整。

首先,《指引》明确规定了各组织层次在操作风险管理系统中的职责,以便整个系统有条不紊的运作,各层次的职责具体为:银行高层负责制定操作风险管理的战略和总体政策;风险管理委员会建立风险管理的操作方法;各职能部门具体实施。

其次,对各职能部门活动的控制分为两个层次:第一个层次是各职能部门,应定期向负责操作风险管理的部门通报本部门操作风险管理的总体状况,及时通报重大操作风险事件;第二个层次是操作风险管理部门应当提供风险预警指标,将风险限额建立在各业务部门的不同的层面,然后为每个关键风险指标设定门槛值,一旦风险值超过门槛值则启动预警系统。 最后,操作风险部门应当对于超过门槛值的采取必要的整改措施,及时修正执行中的偏差。

(四)信息与沟通

各职能部门的信息沟通是整个操作风险系统的基础,系统的数据来源于各职能部门。只有将信息及时有效地传递给操作风险管理部,才能及时进行信息分类。《指引》规定,职能部门应当根据统一的操作风险管理评估方法,建立持续、有效的操作风险报告程序,从制度上建立有效的信息和沟通机制。此外,《指引》要求建立案件查处和相应的信息披露制度,通过对案件查处的信息披露有良好的警示作用,对案件的及时总结能有效地避免同类风险事件的发生。

(五)监控

监控的核心在于监控的制度性和监控的独立性。《指引》规定,监控的制度性建设要求风险管理委员会应当建立指向清晰的定期监控体系,清晰的监控系统可以明确监管者的责任范围,而定期监查行为有利于快速发现并且纠正操作风险。监控独立性依靠操作风险管理部与其他职能部门相对保持独立,不能存在从属关系,应当受董事会或其下属的审计委员会直接领导。

与此同时,银行还需要对其内部监管人员进行严格培训,使其对银行各项业务活动和岗位责任的执行情况依据相关制度标准进行监控,及时预见潜在风险并极力阻止其发生,实现银行操作风险的有效管理。

相关推荐