[摘要]2008年1月法國興業銀行“交易員事件”再次將全球金融界目光聚焦在操作風險上。相比信用風險和市場風險，操作風險的內涵更為廣泛，操作風險事件更為復雜。主要有人為、流程、系統因素和外部事件所造成的風險事故。本文論述了商業銀行操作風險及其特點，探討了操作風險的管理現狀，提出了預防和控制商業銀行操作風險的對策和措施。

[關鍵詞]風險管理；操作風險；發展趨勢

一、商業銀行操作風險及特點

　　風險就是未來結果的不確定性。不確定性越高，風險就越大。由于分析角度不同，對銀行風險分類的標準也不一。一般可分為市場風險(利率、匯率和資產價格)、信用風險、流動性風險、操作風險、法律風險、道德風險和國家風險。一般業界所說的三大風險是指信用風險、市場風險和操作風險。這是國際上巴塞爾委員會要求提取資本金的三類風險，是國際銀行業和銀行監管機構重點關注的三類風險。

　　對我國商業銀行來說，操作風險是個新概念，但這并不表明我國商業銀行中沒有操作風險管理活動。事實上，各商業銀行一直都有自己的操作風險管理實踐，但一般使用“內部控制”一類的表述，而且，在多年內控管理過程中，各商業銀行都程度不一地建立和制定了相關的管理框架、制度和措施。不過，相對于信用風險、市場風險管理而言，操作風險管理還缺乏識別標準、管理模式、數據積累等。

　　操作風險是指由不完善或有問題的內部程序、員工和信息科技系統，以及外部事件所造成損失的風險。操作風險包括法律風險，但不包括策略風險和聲譽風險。具體表現就是商業銀行因辦理業務或內部管理出了差錯；由于內部人員監守自盜，外部人員欺詐得手；電子系統硬件軟件發生故障，網絡遭到侵襲；通信、電力中斷；自然災害、恐怖襲擊等原因導致損失的銀行風險，這些都屬于操作風險。可見，操作風險不僅僅包括操作中的風險，還包括內部程序、信息科技系統和外部事件所帶來的損失。

　　與信用風險和市場風險相比，操作風險主要有幾個特點。第一，具有內生性，除自然災害等外部事件引起的操作風險損失外，操作風險大多是在銀行可控范圍內的內生風險，信用風險和市場風險則為外生風險。第二，廣泛性，操作風險的覆蓋的范圍相當廣泛，與市場風險主要存在于交易類業務和信用風險主要存在于授信業務不同，操作風險普遍存在于商業銀行的業務和管理中。此外，對于信用風險和市場風險來說，風險越高，收益越高，存在風險與收益的對應關系，而操作風險和收益沒有太多聯系。

二、操作風險識別和管理

　　操作風險主要表現為以下幾種類型，商業銀行在經營中需加以識別和管理。

　　(一)人為因素。主要為內部欺詐、主觀違規、操作失誤。主觀違規有超授權授信行為、逆程序、過度信任造成管理缺位、崗位設置不合理造成監督空位、不良愛好(如涉毒、涉賭、涉黃)引發的違法違規。操作失誤是由于員工技能水平不高、態度不認真在業務過程中的失誤造成的，如數字輸入錯誤、將取款記作存款等。由銀行員工操作失誤引起的操作風險一般具有損失小(當然不排除特殊情況)、發生頻率高、難以事先預測的特征，因而非常難以防范。人員因素引發的操作風險，有的是作為，如主觀違規，有的是不作為，如業務不熟出錯，疏忽大意。

　　(二)流程因素。包括操作程序遺漏或忽略、產品設計缺陷、業務流程設計不合理等。過去認為流程越復雜、相互制約性越強越好。事實上，流程越簡單越易于操作，流程越短越便于管理，設計越合理越利于控制。這樣才能適應變化，確保效率和風險管理，流程設計不合理，有瑕疵，往往容易出現風險隱患。

　　(三)系統因素。系統是現代商業銀行賴以生存的命脈。無論是業務發展如網上銀行、現金管理還是風險監控，都離不開信息系統緊密支持。但是，商業銀行高度依賴信息系統，信息數據高度集中也給銀行帶來新的風險管理難題，如系統安全穩定、IT技術風險防范、數據和信息質量，系統設計和開發戰略風險，等等。系統出現如故障、癱瘓，系統不安全、通訊中斷以及系統兼容性、穩定性、適宜性方面的操作風險很容易給銀行帶來巨大的經濟損失和無法估量的信譽損失。此外，從操作風險發生的部位來看，當前與系統有關的操作風險日益增加。由于系統原因和流程問題導致犯罪分子利用系統漏洞實施金融詐騙已經成為妨礙我國銀行業資金安全重大問題。

　　(四)外部因素。銀行經營都是處于一定的政治、社會、經濟環境中的，經營環境的變化、外部突發事件都會影響到銀行的經營活動，甚至會產生損失。外部事件引起銀行損失的范圍非常廣泛，包括外部欺詐、外部突發事件與外部經營環境的不利變化。外部人員的蓄意欺詐行為是近年來給銀行造成損失最大、發生頻率最高的操作風險之一，而內外勾結作案更是令商業銀行防不勝防。外部欺詐包括騙貸、搶劫、偷盜、爆炸等風險因素。外部突發風險包括遭受冰凍雨雪、地震等自然災害以及恐怖襲擊、火災等給商業銀行帶來的損失。外部經營環境的不利變化引起的操作風險是由于受宏觀經濟環境、銀行監管法規變化使銀行發生損失的風險。宏觀經濟環境的不利變化會給商業銀行帶來意想不到的損失。

三、商業銀行操作風險管理的現狀

　　目前，我國操作風險管理與監管尚處在一個較為初期的發展階段。由銀行監管部門以規范性文件發布關于操作風險監測方法或者具體操作模式還為時尚早。監管機構主要把重點放在提高操作風險(或內部控制)管理質量上，并且要求銀行提高對操作風險的重視。

　　(一)商業銀行操作風險的監管要求。2004年6月，巴塞爾委員會發布了新的資本協議，對銀行操作風險提出了新的資本要求。據巴塞爾委員會估計，在銀行業所有風險中，操作風險所造成的損失已經僅次于信用風險。2006年10月巴塞爾委員會發布的新版《有效銀行監管核心原則》中，專門為“操作風險的監管”新增一條原則，制定了評估該原則執行情況的標準，提出了商業銀行操作風險管理的最佳做法和監管指引。

　　目前，實施新資本協議的國家都按照新協議要求，明確將操作風險納入資本監管范疇，國際上已形成了對操作風險加強監管的共識，已經形成了相關制度和監管標準。巴塞爾新資本協議對操作風險的有關規定是近年來國際金融界日益注重操作風險管理的制度體現，也是加強全面風險管理方面的新要求。

　　在未來幾年內，我國銀行界按照新資本協議的要求實施操作風險管理已是大勢所趨。根據中國銀監會《商業銀行操作風險指引》要求，操作風險監管機構是中國銀監會和派出機構。商業銀行要履行報告義務，提交有關方面的審議報告，對有關政策和程序要報備。銀監會定期要進行檢查評估。對于高管嚴重違規、重大搶劫銀行等操作風險事件商業銀行必須報告銀監會和其派出機構。另外，《商業銀行操作風險指引》要求商業銀行要根據自身實際操作風險管理的政策、選擇適當的方法進行管理，采取一定的措施控制、降低操作風險。

　　(二)操作風險機制建設。國際上巴塞爾協議將人們的視線更多地集中于操作風險的'監管資本要求上。但實際上，一個銀行的資本量多少并不是管理成功與否的關鍵，加強操作風險管理最關鍵是加強商業銀行操作風險的機制建設。

　　1.關于操作風險管理體系建設。關于操作風險管理的組織體系，各銀行間存在著重大差異。各商業銀行主要依據銀監會《商業銀行操作風險管理指引》要求逐步建立和探索適應本行的操作風險管理體系。該體系主要包括董事會的監督控制；高級管理層的職責；適當的組織架構；操作風險管理政策、方法和程序；計提操作風險所需資本等基本要素。董事會從總體上履行操作風險管理的職責。如制定總體戰略、政策、定期審批報告等。高級管理層在操作風險管理中職責主要為執行董事會的有關決議，定期向董事會報告。各商業銀行一般以與自身的風險管理戰略和組織結構相匹配成立管理操作風險的部門。具體執行中操作風險人員可能被放在一個部門——操作風險管理部門，主要擬定本行操作風險管理政策、程序和具體的操作規程；建立并組織實施操作風險識別、評估、緩釋(包括內部控制措施)和監測方法；定期檢查操作風險的管理情況。有些銀行在總行層面上建立了首席風險官，在各營運業務條線設置風險經理，對主要業務的關鍵、高發風險點進行實時監測。有些銀行在專業領域內如法規部門、審計監察部門設立單獨的風險監管部門，在管理好本部門的操作風險的基礎上，為其他部門管理操作風險提供相關資源和支持。

　　2.商業銀行操作風險管理有關政策。各商業銀行正積極探索制定有效管理操作風險的政策和方法。首先，在操作風險政策制定方面，部分商業銀行已經制定《操作風險管理政策框架》、《操作風險管理政策》，進一步明確了各行各級機構和部門在操作風險中的管理職責。針對操作風險的執行，制定具體執行措施，如詳細的《案件防控及整改方案》、《基層機構關鍵風險點監控檢查內容與操作指引》，同時，將操作風險控制基本要求植入業務流程改造和IT藍圖建設中。其次，為衡量分析操作風險建立操作風險管理技術標準。各商業銀行正在積極研發風險控制與評估、關鍵風險指標、重大事件報告制度、損失數據收集和業務持續經營計劃等工具。再次，識別操作風險，制定有關制度措施。根據銀行風險的特點，加大對操作風險的識別，并針對性地制定制度措施，如對系統風險、外部等操作風險，有關行制定了詳細的風險應急預案，增加應急措施；建立與新產品、新業務發展相對應的制度規定；修改更新產品和流程，塑造流程銀行，按流程操作；增加制度執行建設，強化日常檢查的頻率，加強員工行為排查，等等。