操作风险管理的国际监管动态及启示

内容提要：虽然新资本协议已要求在第一支柱下对操作风险进行管理和计量，但是一方面巴塞尔委员会并未对操作风险的日常管理及精细化的计量提供较为具体的指导原则，另一方面，近年来全球银行业经营模式也发生了深远的变化，尤其是金融危机以来，银行操作风险形态出现了很多新形态。因此巴塞尔委员会在2010年以来进行了一系列研究工作，并先后了2011年版《操作风险管理的稳健做法》、《操作风险高级计量法监管指引》等规范性文件。本文将从解读这两份新监管文件入手，辅以对巴塞尔委员会的一些研究动态的分析，归纳国际监管方面的动向，并提出对我国操作风险管理和监管实践的思考和启示。

关键词：商业银行 操作风险 治理架构 国际监管

中图分类号：F832 文献标识码：A 文章编号：1006-1770(2011)08-024-04

编者按：巴塞尔委员会新资本协议II将操作风险作为一项单独风险纳入第一支柱，中国银监会相应出台了《商业银行操作风险管理指引》和《商业银行操作风险监管资本计量指引》。根据这些标准与指引，中国的商业银行开始探索集中统一的操作风险管理之路。日前，银监会召集部分准备实施新协议的商业银行在广西南宁举行研讨会，就操作风险管理的最新监管动态、日常管理机制、信息系统研发、业务连续性管理和高级计量法实施等议题进行讨论。现选取部分会议成果予以刊发，以供读者参考。

操作风险是一项有银行业务经营活动以来就存在的风险。但是直到2004年的新资本协议，国际监管组织才正式将其视作一项独立风险进行管理和计量。由此，操作风险被列为与信用风险、市场风险并列的三大风险之一，在第一支柱下单独针对其计提监管资本，并针对操作风险管理提出了专门的要求。

但是由于操作风险管理作为独立风险类型加以管理的时间较短，因此其管理和计量即便在发达国家也仍处于起步阶段，新资本协议的虽为操作风险计量提供了规范，但在操作风险管理方面，长期以来只有巴塞尔委员会2003年的《操作风险管理和监管的稳健做法》(简称03版《稳健做法》)。直到2010年10月，巴塞尔委员会公布了研究文件《保险在操作风险建模中的缓释作用》，2010年12月，巴塞尔委员会又了更新后的《稳健做法》征求意见稿，同时了《操作风险高级计量法监管指引》的征求意见稿。2011年6月，巴塞尔委员会经讨论同意这两份文件；2011年7月，新版的《稳健做法》(简称2011年版《稳健做法》)和《操作风险高级计量法监管指引》正式并生效。我们注意到，上述的动态变化是操作风险管理向专业化、精细化方向发展的必然，而对于我国银行业来说，更为具体和精细化的管理要求将有利于推进操作风险管理和监管水平。本文介绍了2010年以来巴塞尔委员会在操作风险管理及监管方面的最新动态，然后分析这些监管动态对我国银行业推进操作风险管理的启示。

一、操作风险管理的治理架构

完善健全的治理架构是实现有效操作风险管理的基础，2011年版的《稳健做法》最主要的亮点即在于强化了操作风险治理架构方面的具体要求，更加明确了不同层级的操作风险管理职责与问责。

(一)操作风险管理的治理架构

首先，《稳健做法》明确要求董事会应对操作风险管理承担最终责任，并应当确保全行操作风险管理制度及其执行的有效性。董事会亦应定期对全行操作风险状况及其管理情况进行核验。另外，新版《稳健做法》还提出，董事会不仅应负责在全行建立良好的操作风险管理文化，还应该负责确定本行操作风险偏好及容忍度的设置。

与之相对应的是，《稳健做法》也要求银行的高管层将董事会制定的操作风险管理框架加以落实，并强调高管层应确保本行负责操作风险管理的专业人员能有效履职。

此外，对于较大规模及业务复杂的银行来说，《稳健做法》还要求其建立专司操作风险管理的风险委员会。操作风险委员会应包含操作风险管理专职人员、业务条线专业人员等，委员会定期召开会议并向董事会风险委员会进行直接报告。

(二)思考与启示

2010年版《稳健做法》厘清了操作风险治理架构的一些具体问题，但是仍然留存了一些模糊地带和争议。如虽然董事会的职责得到了强化，但是一方面对董事会如何履责仍然失之笼统，而另一方面却又对董事会提出了诸如定期核验操作风险管理制度等执行层面的要求，这显然又同高管层的职责产生了交叉。此外，从当前的国际实践来看，操作风险偏好和容忍度的概念仍然模糊，因为操作风险与信用风险及市场风险在风险来源和本质上差异很大，操作风险不仅包含银行内生的风险(如流程、内部欺诈等)，也包含了很多外生性的风险，即便其中的内生性操作风险可以进行估量，外生性操作风险则很难界定其风险暴露。因此，如果操作风险暴露难以确定，则设置操作风险容忍度和风险偏好将变得非常困难。2011年版的《稳健做法》也并未在这方面提出明确的操作方案。

不过从总体上看，2011年版《稳健做法》提出的治理架构方面的要求不仅令操作风险管理职责划分更加明确，也为银行建立操作风险管理体系提供了普遍标准。至于如何将已经用于信用风险和市场风险管理的一些理念和做法(如职责分工、专业委员会机制、风险偏好和容忍度设置等)合理有效地用于操作风险管理，我们认为这些都是开拓性和建设性的命题，而且这些问题本身也并无一致性的解答案，《稳健做法》也给予了商业银行实践的弹性，银行在关注这些要素的基础上，宜制定与自身特点相匹配的落实方案。

二、强化操作风险全流程管理

新资本协议将操作风险纳入第一支柱进行管理和计量后，自然也必须建立相应的操作风险全流程管理框架，《稳健做法》再次确认了操作风险管理所包含的识别、评估、监测、报告、控制及缓释的流程，并对流程的各个环节提出了具体的要求。

(一)全流程管理新要求

2003年版《稳健做法》在全流程管理方面仅包含了风险自我评估(RCSA)、关键风险指标(KRI)、风险计量以及风险映射四项内容，而2011年版《稳健做法》还提出操作风险的识别和评估也应包括内部损失数据以及外部损失数据的收集和分析、情景分析以及对不同工具运行结果的综合分析。此外，新业务和新产品上线前除了应评估其蕴含的操作风险外，还应将相应风险因素纳入其定价机制。而在报告机制方面，2011年版《稳健做法》也提出银行应建立常规报告和压力场景报告两种机制，并且必须包含本行操作风险实际情况与制定的风险偏好和容忍度吻合情况等。

(二)分析及启示

我们不难发现，上述新要求其实也有着丰富的内涵，且隐含了巴塞尔委员会在操作风险管理方面的总体思路。

首先，将内部损失数据和外部损失数据收集及分析列为对所有银行的普遍要求，而不仅仅局限在实施高级计量法的银行，这表明巴塞尔委员会再次强调损失数据收集是操作风险评估的核心，也是全流程管理的起点。我们甚至不难推断，提出更严格的损失数据收集要求，表明巴塞尔委员会认为即便对于实施基本指标法和标准法的银行而言，进行更为精细化的损失数据收集也是必须的，也部分矫正了先前的一种观点，即认为损失数据收集和情景分析的目的主要是为实施高级计量法的银行建模所需。事实上，巴塞尔委员会的2011年版的《稳健做法》给出了明确的信号，损失数据收集的作用不仅是用于建模，更应用于收集全行操作风险状况，并且不仅应包含“收集”，更应把落脚点放在“分析”，且应融合内部数据和外部数据，做到“回顾”和“前瞻”相结合，形成对操作风险管理提供参考依据的合力。

其次，对不同工具运行提出综合比较分析的要求表明，巴塞尔委员会明确要求操作风险管理工具之间应当建立良好的互动关系，而这点正是目前操作风险管理实践中所缺乏的。尤其是在我国，一方面前期已经着手建立操作风险管理框架的银行在开发和推广工具方面尚处于起步阶段，对工具运行结果的分析也很不足，更难以建立不同管理工具之间的互动机制，另一方面由于不同管理工具往往在开发、运行和维护上会由不同团队负责，甚至可能会由不同部门主持，因此建立不同工具之间的互动就面临更大的挑战。

第三，要求把操作风险评估加入定价机制表明，巴塞尔委员会将继续推动把操作风险管理与计量结合的实践。尽管操作风险在定义、边界界定、定量等方面还争议较大，但是银行应当建立评估操作风险暴露的机制，并且将操作风险暴露的概念运用于日常管理，一方面对业务条线的经营运营起到规范制约的作用，另一方面也对提高操作风险管理水平起到促进作用。

第四，提出了在压力场景下的报告机制，可以认为是对报告机制的一种完善。结合我国银行业实践，我们可以认为这是对各行已经执行的重大事件报告的一种规范化。因为操作风险事件往往具有突发性、不可预期性和外生性的特点，因此及时对外部压力场景做出反馈，通过报告体系使高管层或董事会知晓，是十分重要的环节。

当然，如果我们仔细斟酌，也容易发现，2011年版《稳健做法》虽然提出了不少新理念和规范，但是在实际操作上仍然缺少具体方法的指导，如对于操作风险的定价仍然囿于多种不确定性而难以准确执行，而操作风险管理工具之间如何建立互相补充完善的机制也不明确。此外，如何定义压力场景的报告、如何将操作风险偏好和容忍度执行纳入操作风险报告等问题，也都需要各方努力研究具体的执行方法。

三、细化的高级计量法要求

(一)《操作风险高级计量法监管指引》的主要内容

由于巴塞尔委员会在制定新资本协议时就隐含了鼓励银行实施更为高级的计量方法的意向，因此不少计量手段较为成熟的银行即着手开发操作风险高级计量法(AMA)。随着高级计量法的铺开，出台比新资本协议相关内容更为具体的规范性文件也显得非常迫切，而《操作风险高级计量法监管指引》(以下简称《监管指引》)正是在这样的背景下出台的，主要覆盖了高级计量法的治理架构、数据和建模三个部分。

首先，在治理架构方面，《监管指引》区分了对操作风险计量的验证(validation)以及对操作风险管理框架的核验(verification)，即验证应当作为操作风险计量体系的一个有机组成部分，对高级计量法的建模进行验证，而对于包括计量和管理在内的完整的操作风险管理框架，则仍需要由独立团队再次对其进行有效性核验(见下图)。另外，《监管指引》还明确指出，实施高级法的银行应当更加注重通过使用测试(use test)将计量结果运用于操作风险管理实践，并起到促进操作风险管理水平的作用。

其次，《监管指引》明确了一些数据方面的要求，大致包括：

1.毛损失与净损失的确认：银行可以选择毛损失或净损失进行数据收集，但是应足够审慎，如损失挽回消耗大量时间，则必须用毛损失作为建模依据，且银行在计算净损失时不得先行使用保险缓释进行扣减，银行如使用合格保险缓释，需要建立单独的模型。

2.损失数据收集门槛：银行应明确其收集数据的门槛值，对于门槛值可以是全行统一的，也可以设置不同的门槛值，但是银行必须足够审慎并确保其设置的门槛值能将实质性风险事件均包括在内。同时，鼓励银行根据操作风险形态进行分类，对于同一分类的事件或条线设置相同的门槛值。

3.损失时间点：明确了可供选择的时间点限于发生日、发现日和会计结算日三项，并认为结算日是比较稳健的做法。

第三，在建模方面，对于建模数据来源、分布假设等提出了要求：

1.数据来源。再次确认了高级计量法建模数据来源必须包括内部数据、外部数据、情景分析以及经营环境和内部控制要素这四项要素，其中内部数据是建模的主体，外部数据则是针对肥尾分布的校准，情景分析作为对可重复损失事件的评估，也构成数据来源的重要部分，而经营环境与内部控制要素由于主观性过强，目前尚难以直接植入模型。

2.精细化程度(granularity)。实施高级法的银行应根据操作风险形态进行归类，并用于情景分析等场合。

3.分布假设。由于建立合适的分布是高级计量法的核心，因此银行应确保选取了合适的损失频度及严重程度的分布假设，并应保证进入内部损失数据库的数据均已包含在建模数据中，同时银行可以针对分布的不同部分采用不同的假设，但是银行应建立完整的数据清洗、模型选取、拟合等环节的文档记录。

(二)分析与启示

我们认为，一方面高级计量法尚处于起步阶段，另一方面高级计量法本身亦允许了较大的操作弹性。《监管指引》虽然在治理、数据和建模三方面提出了一些规范，但是实践中仍然有大量的弹性空间。从一些发达国家银行实施高级计量法的经验看，内部数据、外部数据和情景分析在模型中的比重差异非常大。事实上，某些银行的建模较大依赖了情景分析，而并非如很多人认为来自于内部损失数据，这可能因为各国银行经营和管理模式的差异，也可能因为不同银行数据基础和质量的差异。而《监管指引》在多个部分亦强调，巴塞尔委员会将在持续收集数据和调研的基础上，在合适的范围内对可以确定的良好实践予以明确。

四、第一支柱与第二支柱统筹

除了公开征求意见并提交高层讨论的2011年版《稳健做法》和《监管指引》外，巴塞尔委员会还对操作风险管理和计量实践的一些问题进行了研究，其中比较重要的一项工作是在第二支柱框架下评估操作风险监管资本充足情况。

事实上，虽然新资本协议将操作风险纳入了第一支柱，但是由于操作风险计量的不确定性，新资本协议也指出，监管当局将在第二支柱框架下评估银行操作风险监管资本的充足情况，并且可以对操作风险资本不足的银行提出附加资本要求。本轮金融危机后，各国监管当局和巴塞尔委员会都发现银行实际操作风险暴露可能远远大于实际计提资本的数量，而基本指标法和标准法由于风险敏感度较低，对实际损失覆盖的有效性也需要评估，可是在实践中，一方面监管当局并无明确提出在第二支柱下如何评估未覆盖的操作风险暴露，银行在亦没有在第二支柱下对操作风险暴露的覆盖情况进行评估。但是与之对应的是，由于操作风险与内控和合规管理不可分割的关系，不少监管当局和银行内部都制定过一些对内控及合规执行情况进行评估的规章，但是这些零散的文件却并未纳入操作风险管理和监管体系。正是在这样的背景下，巴塞尔委员会亦打算研究在第二支柱下开展操作风险资本充足情况的良好实践。

反观我国的银行业实践，虽然新资本协议启动时间不长，但是操作风险管理却是一直存在的，尽管其表现形式主要是内控合规管理，而监管当局的注意力也多集中在案件防控等领域。我们认为，我国的一些实践做法在原则上是符合巴塞尔委员会的研究动向的，但是我国监管和管理实践可能存在规章零散、缺乏统筹等问题。例如，我国的商业银行在传统上都非常重视对内部欺诈等重大操作风险损失事件的监控，无论是银行内控部门、风险部门还是监管部门都先后出台过多种规章进行约束，其中也包括将重大损失事件数与损失金额与经济资本计量和分配挂钩的做法，这无疑是一种在第二支柱下探索操作风险管理的积极尝试，也可以对国际监管和管理提供积极的反馈，但是我们在实践中，也有必要梳理整合现有规章，评估实践中的优缺点，思考如何建立较为统一的第二支柱框架。同时我们也应该注意到，就操作风险管理而言，第一支柱确立了原则性的规范体系，第二支柱只是对其的补充和调整，不能将第二支柱的作用无限扩大，更不能给予操作风险资本计量和分配以无限的自由裁量权，同时也必须将第一支柱和第二支柱进行统筹考虑，既要在第二支柱下考量第一支柱未覆盖的风险，也要避免因出现在两大支柱下重复计量而造成银行不合理负担的情况。

五、总结与展望

随着各国商业银行操作风险管理实践的不断演进，国际监管组织（巴塞尔委员会等）等制定的操作风险管理与监管规制也在不断更新与演进。总体而言，体现了以下几个趋势：一是管理与计量结合，即在强调对操作风险准确计量的同时更好地将操作风险计量结果纳入到操作风险管理决策当中来；二是前瞻性与可操作性相结合，在不断探索优化内控和操作风险管控流程以及管理工具的同时不断将操作风险管理关口前移，推动操作风险事件的“事后管理”向“事前防范”模式转变；三是无论在定性管理还是定量管理上，操作风险管理与监管的要求更为精细化，确保银行各级管理层对操作风险管理做到“心中有数”；四是更强调操作风险管理的文化建设，引导商业银行建立与完善操作风险管理激励约束机制，确保操作风险“管控”模式向“服务”模式转变，实现以人为本的管理机制与以风险为本的管理机制相结合。