第三节　操作风险管理

　　考纲要求：

　　掌握操作风险管理体系、要点和实践方法;

　　掌握重要操作风险的类别和特征。

　　一、操作风险管理概述

　　(一)操作风险的定义、分类和管理原则

　　《商业银行操作风险管理指引》中将操作风险定义为：“操作风险是指由于不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风险。本定义所指操作风险包括法律风险，但不包括战略风险和声誉风险。”

　　2013年起施行的《商业银行资本管理办法(试行)》在附件《操作风险资本计量监管要求》中，将操作风险的损失事件类型划分为7类：

　　其次，为了更具针对性，根据发生操作风险的业务部门或业务流程环节，该办法将商业银行的业务分为九类，包括公司金融、交易和销售、零售银行、商业银行、支付和结算、代理服务、资产管理、零售经纪和其他业务，将商业银行的操作风险损失事件分为三级，在此基础上，通过对事件类型和业务性质的组合将操作风险损失事件分成86个类别。

　　中国银监会要求，商业银行应当根据以下规定并结合本机构的实际，制定操作风险损失数据收集统计实施细则：

　　(二)操作风险的特点和表现形式

　　1.操作风险的特点

　　(1)操作风险来源广泛。

　　(2)操作风险是一种管理成本。

　　(3)操作风险损失大小难以确定。

　　(4)操作风险的控制和缓释往往必须通过管理来实现，而不能纯粹依靠计量的手段。

　　(5)操作风险损失数据不易收集。

　　2.操作风险损失形态

　　3.操作风险损失事件认定的金额起点和范围界定

　　(1)银行应当根据操作风险损失事件统计工作的重要性原则，合理确定操作风险损失事件统计的金额起点。银行对设定金额起点以下的操作风险损失事件和未发生财务损失的操作风险事件也可进行记录和积累。

　　(2)银行应当依据本办法合理区分操作风险损失、信用风险损失和市场风险损失界限，对于跨区域、跨业务种类的操作风险损失事件，商业银行应当合理确定损失统计原则，避免重复统计。

　　4.操作风险损失事件统计的主要内容

　　银行的操作风险损失事件统计内容应至少包含：

　　损失事件发生的时间、发现的时间及损失确认时间、业务条线名称、损失事件类型、涉及金额、损失金额、缓释金额、非财务影响、与信用风险和市场风险的交叉关系等。

　　5.操作风险报告制度

　　操作风险报告程序包括报告的责任、路径、频率等。中国银监会《商业银行操作风险管理指引》对应当向监管机构报送的重大操作风险事件给予明确的界定范围：

　　(1)抢劫商业银行或运钞车、盗窃银行业金融机构现金30万元以上的案件，诈骗商业银行或其他涉案金额1000万元以上的案件。

　　(2)造成商业银行重要数据、账册、重要空白凭证严重损毁、丢失，造成在涉及两个或两个以上省(自治区、直辖市)范围内中断业务3小时以上，在涉及一个省(自治区、直辖市)范围内中断业务6小时以上，严重影响正常工作开展的事件。

　　(3)盗窃、出卖、泄漏或丢失涉密资料，可能影响金融稳定，造成经济秩序混乱的事件。

　　(4)高管人员严重违规。

　　(5)发生不可抗力导致严重损失，造成直接经济损失1000万元以上的事故、自然灾害。

　　(6)其他涉及损失金额可能超过商业银行资本净额1‰的操作风险事件。

　　(7)中国银监会规定其他需要报告的重大事件。

　　(三)操作风险控制

　　1.操作风险控制环境

　　公司治理

　　业务部门对操作风险的管理情况负直接责任，应指定专人负责操作风险管理。内部审计部门负责定期检查评估商业银行操作风险管理体系的运作情况，监督操作风险管理政策的执行情况，对新出台的操作风险管理方案进行独立评估，直接向董事会报告操作风险管理体系运行效果的评估情况。

　　内部控制

　　内部控制失效是造成商业银行案件频发的直接原因，而隐藏在内部控制失效背后的则是内部控制要素的缺失和内部控制运行体系的紊乱。

　　合规文化

　　只有把先进的合规文化贯穿到商业银行的发展战略中，根植于整个银行的运行之中，内化为员工的职业态度和工作习惯，才能构建起抵御风险的坚强防线。

　　信息系统

　　操作风险管理信息系统则主要用于建立损失数据库、操作风险识别和评估、风险指标监测与报告、风险管理辅助决策和建立资本模型方面。

　　2.操作风险缓释手段

　　(1)连续营业方案

　　商业银行应当建立完备的灾难应急恢复和连续营业方案，涵盖可能遭受的各种意外冲击，明确那些对迅速恢复服务至关重要的关键业务程序，明确在中断事件中恢复服务的备用机制。连续营业方案应当是一个全面的计划，具体包括：业务和技术风险评估、面对灾难时的风险缓释措施、危机和事故管理等方面。

　　(2)商业保险

　　购买商业保险作为操作风险缓释的有效手段，一直是商业银行管理操作风险的重要工具。在商业银行投保前，不论是商业银行还是保险机构都要充分评估商业银行操作风险的状况、风险管理能力及财务承受能力，最终确定商业银行自担风险还是保险机构承保。国内商业银行在利用保险进行操作风险缓释方面还处于探索阶段。

　　商业银行在计量操作风险监管资本时，可以将保险理赔收入作为操作风险的缓释因素，但保险的缓释最高不超过操作风险监管资本要求的20%。

　　(3)业务外包

　　商业银行必须对外包业务的风险进行管理，一些关键过程和核心业务，如账务系统、资金交易业务等不应外包出去。商业银行仍然是外包过程中出现的操作风险的最终责任人。

　　选择外包服务提供者时要对其财务状况、信誉状况和双方各自的独立程度进行评估。业务外包必须有严谨的合同或服务协议。对于关键业务，还要考虑应急方案，包括外部替代方的可行性以及可能在短期内转换外部合同方所需要的资源和成本。