操作風險管理精選(九篇)
前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的操作風險管理主題范文，僅供參考，歡迎閱讀并收藏。
第1篇：操作風險管理范文
關(guān)鍵詞：移動保險 操作風險 風險源 風險評估
中圖分類號：F840.2 文獻標識碼：A
文章編號：1004—4914（2012）06—038—03
近年來，隨著我國移動互聯(lián)網(wǎng)的縱深發(fā)展，特別是智能手機的普及與移動技術(shù)的成熟，各種基于移動設(shè)備的保險應用紛紛出現(xiàn)。從手機保險網(wǎng)站、短信投保到移動理賠系統(tǒng)，移動保險采用了多種多樣的形式。本文所指的移動保險，指通過移動設(shè)備（包括智能手機、掌上電腦等）接入無線網(wǎng)絡(luò)實現(xiàn)保險經(jīng)營活動開展的一切形式。
在保險企業(yè)與IT企業(yè)的聯(lián)合推動下，移動保險迅猛發(fā)展，但是移動保險涵蓋的產(chǎn)品卻只是電腦網(wǎng)站的簡化版，險種也僅限于投保手續(xù)簡單的險種。對移動保險安全性和有效性的疑慮，是許多顧客不選擇移動終端投保的重要原因，指引性文件的空缺也使保險企業(yè)面臨法律訴訟的風險，怯于推廣復雜險種。在這樣的背景下，保險企業(yè)應該如何從人員、業(yè)務(wù)流程、系統(tǒng)、外部因素四個方面進行有效操作風險管理，減少由移動保險帶來的紛爭，值得探討。然而，目前操作風險管理研究仍然欠缺。本文意在借鑒移動電子商務(wù)風險管理以及保險企業(yè)操作風險管理研究的基礎(chǔ)上，通過對移動保險操作風險的源頭、特征、表現(xiàn)形式的初步探討，為強化移動保險風險評估和改善風險源提出建議。本研究將移動保險操作風險定義為在開展移動保險過程中由于人員、系統(tǒng)、業(yè)務(wù)流程、外部事件引起損失的風險。
一、移動保險操作風險源
進行有效的操作風險控制手段之一就是控制或者改善風險源。因此，有必要找出移動保險操作風險的風險源。根據(jù)現(xiàn)代企業(yè)風險管理理論，風險源指可能促成不利結(jié)果出現(xiàn)的危險因素的來源，移動保險的危險因素源自下列環(huán)境：
1.自然環(huán)境。自然環(huán)境對移動保險的開展的影響主要表現(xiàn)在對移動終端、移動通訊與相關(guān)人員的影響。惡劣的天氣、自然災害可能影響移動保險工作人員的工作狀態(tài)和安全狀況進而影響移動定損查勘等工作的開展，可能導致移動終端的破壞與丟失、移動通訊的中斷，進而導致保險信息的丟失。我們雖然無法控制自然環(huán)境，但是可以通過有效措施切斷風險的傳遞。
2.認知環(huán)境。移動保險的認知環(huán)境主要體現(xiàn)為移動保險企業(yè)的企業(yè)文化，包括企業(yè)價值觀、企業(yè)精神、企業(yè)道德、企業(yè)宗旨、企業(yè)使命和企業(yè)目標，對相關(guān)的工作人員起到導向、激勵、約束作用，影響企業(yè)資源整合。目前，我國保險企業(yè)操作風險管理理念不強，風險管理作為一種管理職能基本上還未納入保險企業(yè)管理，保險經(jīng)營還處于財務(wù)型控制被動經(jīng)營狀態(tài)，這樣的企業(yè)文化容易導致移動保險操作風險的產(chǎn)生。
3.運作環(huán)境。動保險的運作環(huán)境主要指保險企業(yè)的產(chǎn)權(quán)制度。目前，中國保險業(yè)形成了以大型國有控股企業(yè)為主導，多家股份制企業(yè)、中外合資企業(yè)和外國企業(yè)分企業(yè)并存的競爭格局，中國保險業(yè)的產(chǎn)權(quán)也演變?yōu)楣挟a(chǎn)權(quán)、私有產(chǎn)權(quán)并存的混合產(chǎn)權(quán)形式。移動保險企業(yè)中包含政府部門、保險企業(yè)管理層、移動保險開發(fā)商、移動保險合作方、保險企業(yè)員工及人、投保人和被保險人五個層次的委托關(guān)系，多層委托導致各級委托人信息不對稱，可能出現(xiàn)內(nèi)部人控制、逆向選擇、道德風險，產(chǎn)生操作風險。
4.技術(shù)環(huán)境。移動保險的技術(shù)環(huán)境主要指移動技術(shù)、移動保險操作系統(tǒng)、移動終端的研究成果以及國家保險信息化投入情況。近幾年學者紛紛開展移動保險主要技術(shù)（包括GPRS、WAP、J2ME、SMS等）的研究并指出各種技術(shù)的優(yōu)劣勢及改進方法，但是隨著技術(shù)發(fā)展，技術(shù)風險也不斷發(fā)展。值得注意的是，2011年中國保險行業(yè)信息化投入為65.5億元，較2010年同比增長12%，IT投入進入持續(xù)增長期，有利減少移動保險的操作風險。
5.法律環(huán)境。移動保險相關(guān)法律的欠缺導致操作風險的產(chǎn)生。我國對保險企業(yè)操作風險的研究、立法起步較慢，至今尚未有移動保險的操作風險及其管理的立法。這樣的情況下，解決移動保險帶來紛爭只能依據(jù)保險法，但是移動保險相關(guān)資料電子化、通過移動網(wǎng)絡(luò)傳遞，保單的生效條件、投保人如實告知義務(wù)和保險說明義務(wù)的履行形式與傳統(tǒng)保險應有所不同，保險法沒有做出與移動保險相適應的修改，保險合同雙方都面臨法律風險。
二、移動保險操作風險的特征
移動保險的操作風險與傳統(tǒng)保險具有共性：內(nèi)生性、非盈利性、普遍性、可控性。同時，移動保險由于終端的移動性和接入網(wǎng)絡(luò)的虛擬性，其操作風險相對傳統(tǒng)保險操作風險有以下突出特征：
1.成長性。移動保險操作風險的成長性源于移動技術(shù)的發(fā)展、應用程序的開發(fā)。
移動技術(shù)的發(fā)展可能消除移動保險原有的操作風險，同時也催生新的操作風險。移動保險正處于不斷變化階段，從手機保險網(wǎng)站、短信投保、移動理賠到自助保險卡，每一種形式的移動保險操作風險都具有不同的表現(xiàn)形式。隨著移動技術(shù)進步、移動保險形式更新，移動保險操作風險的表現(xiàn)形式、特征會不斷變化，具有成長性。
2.隱蔽性。移動保險操作風險的隱蔽性源于其運用網(wǎng)絡(luò)的虛擬性與保險信息的電子化。
移動保險的投保單、理賠資料等數(shù)據(jù)在移動終端中保存，通過無線網(wǎng)絡(luò)傳輸，這些電子信息不為人們所見，泄露、丟失、被竊取或修改都不易被發(fā)現(xiàn)。另外，人為破壞造成的機器硬件和手機終端表面損壞很小，風險產(chǎn)生后較少留下破壞痕跡或者很容易消除表面痕跡，移動保險操作風險不易被發(fā)現(xiàn)。
3.高科技性。移動保險的部分操作風險具有高科技性，這是由其運用平臺的高科技性決定的。
移動保險風險的有些制造者具有較高的科技知識背景與掌握較高的科技手段。黑客是其典型代表，他們利用自身的計算機技術(shù)知識和嫻熟的操作技能，搜尋移動網(wǎng)絡(luò)、移動終端系統(tǒng)的漏洞，伺機攻入移動保險的核心程序，通過更改程序、向計算機系統(tǒng)輸入非法指令等手法，盜取、偽造投保人信息和理賠資料，給移動保險企業(yè)帶來風險。
4.高傳導性。移動保險終端的可移動特點以及其接入的網(wǎng)絡(luò)虛擬的特點，使得移動保險操作風險可在地區(qū)間甚至全球的高速傳導。移動終端可移動、終端的持有人可移動、網(wǎng)絡(luò)信息的高速流動，三層流動決定了移動保險相關(guān)人員的失誤行為、犯罪行為帶來的后果可以高速傳導。
移動保險操作風險隱蔽、高科技、高傳導的特點決定了其后果的嚴重性。盡管移動保險風險復雜多變，但由于它是由于人員、系統(tǒng)、業(yè)務(wù)操作流程、外部因素經(jīng)內(nèi)部因素傳導引起的，具有內(nèi)生特點，仍然具有可控性，我們可以通過一定方法進行風險控制。
三、移動保險操作風險分析
（一）風險分類
為了對移動保險的操作風險有清晰的認識，奠定操作風險度量的基礎(chǔ)，本節(jié)在借鑒巴塞爾協(xié)議與傳統(tǒng)保險中操作風險分類的基礎(chǔ)上，對移動保險的操作風險進行分類。如表1。本分類只是對現(xiàn)有移動保險操作風險進行初步探討，隨著移動保險的創(chuàng)新，其操作風險的表現(xiàn)形式和具體描述需不斷改進。
（二）風險分析——以手機投保為例
目前國內(nèi)具有代表性的手機保險網(wǎng)站有中國平安、泰康人壽與人保財險的手機網(wǎng)。三家公司手機投保流程相似，如圖1所示，值得注意的有兩個問題：
一是保險條款閱讀僅作為選擇環(huán)節(jié)，免責條款需要用電腦登錄網(wǎng)站才能閱讀，投保人在利用手機投保時只能獲知保險保障金額與保障范圍。這會導致兩個方面的問題：投保人在不便于上網(wǎng)查看詳細條款的情況下，出于緊急需要直接投保，后期容易出現(xiàn)理賠糾紛；保險人設(shè)置責任免除條款閱讀的環(huán)節(jié)形同虛設(shè)，依據(jù)保險法該免責條款無效，保險企業(yè)面臨法律訴訟的風險。
二是被保險人的名字、身份證號碼對應的名字、信用卡持卡人姓名不一致仍然可以進行投保，產(chǎn)生利用他人的身份證號碼沒有經(jīng)過被保險人同意就為非法定可為其投保人投保，進行騙保的可能。雖然保險企業(yè)可以以投保人沒有充分證據(jù)證明經(jīng)被保險人同意為由拒賠，但是這樣就無法保護誤填信息的保險消費者。
相關(guān)數(shù)據(jù)表明，外部欺詐和執(zhí)行、交割以及流程管理的風險事件占我國保險企業(yè)操作風險損失事件的比例超過60%，手機投保流程導致的操作風險必須引起重視。
五、移動保險操作風險管理對策建議
（一）強化風險評估
1.運用模糊影響圖分析移動保險風險要素關(guān)聯(lián)情況。移動保險的操作風險產(chǎn)生的環(huán)境復雜，通過關(guān)聯(lián)因素高速傳導，一系列的風險事故或者多個風險事故組合到一起就會造成非常嚴重的后果，應對其相互關(guān)聯(lián)的風險因素一起評估。模糊影響圖是處理移動保險相關(guān)專家給出不夠精確、完整的模糊信息的有效工具。
2.融合專家意見，決定移動保險操作風險因素等級。移動保險操作風險不斷變化、隱蔽、高科技的特征，使得操作風險數(shù)據(jù)獲取極其困難，無法定量分析損失發(fā)生的頻率以及決定風險因素等級。因此，融合專家評價評估出風險因素等級就顯得非常必要。通過征集與移動網(wǎng)絡(luò)密切相關(guān)方面專家的意見，進行群決策，避免由于問題的模糊性、復雜性和專家對問題認識的局限性從而導致評估信息的不確定。
通過運用模糊影響圖分析移動保險風險要素關(guān)聯(lián)情況、融合專家意見決定移動保險操作風險因素等級，移動保險企業(yè)可以決定各類損失是否在自己的承受范圍內(nèi)，采取對應的措施。
（二）改善風險源
1.建立重視操作風險理念的企業(yè)文化氛圍。認知環(huán)境是操作風險生長的土壤，移動保險的操作風險管理應該從建立重視操作風險管理的企業(yè)文化氛圍開始。移動保險企業(yè)從三個角度著手改善企業(yè)文化氛圍：第一，從保險企業(yè)的董事會到基層機構(gòu)都明確各部門的風險管理目標，并且建立操作風險管理激勵機制；第二，通過日常規(guī)章制度規(guī)范操作，同時，適時地組織學習應對惡劣天氣、系統(tǒng)問題、意外事故等問題的技巧，從實踐中樹立重視操作風險管理的企業(yè)風險文化氛圍；第三，吸引、招納具備風險管理知識與經(jīng)驗的人才，讓他們推動重視操作風險管理的企業(yè)風險文化氛圍的建立。
2.完善移動保險業(yè)務(wù)操作流程。業(yè)務(wù)流程的不完善是移動保險操作風險產(chǎn)生的重要原因，保險企業(yè)加強與IT企業(yè)合作完善業(yè)務(wù)流程，是減少操作風險的重要措施。手機保險要進行推廣得從這些方面完善流程：把保險條款中可能引起爭議的條款做突出處理，對專業(yè)術(shù)語作詳細說明；把免責條款的閱讀作為投保的必要環(huán)節(jié)；減少數(shù)據(jù)傳輸可人為操作環(huán)節(jié)；建立精細有效的身份認證機制確保投保人的真實身份。
3.提高移動保險的安全性能。移動保險的安全性不高是阻礙其持續(xù)發(fā)展的最重要原因，改善技術(shù)環(huán)境既得有政府重視保險信息化投入，學者們技術(shù)研究，還需要保險企業(yè)重視操作風險管理，從物理層、網(wǎng)絡(luò)層安全和系統(tǒng)層三個方面進行安全防范。物理安全防范應從設(shè)備、線路、系統(tǒng)所處環(huán)境進行；網(wǎng)絡(luò)層可以通過防火墻安全技術(shù)、入侵檢測安全技術(shù)等防止黑客、病毒入侵，保護移動支付安全。系統(tǒng)層安全防范需要關(guān)注移動系統(tǒng)研究最新成果、及時進行系統(tǒng)升級、數(shù)據(jù)備份。
[項目基金：廣東省大學生創(chuàng)新實驗項目（1184611008）]
第2篇：操作風險管理范文
關(guān)鍵詞：商業(yè)銀行；操作風險；管理策略
中圖分類號：F830.33
文獻標識碼：A
文章編號：1007―4392(2007)09―0052―03
一、操作風險的性質(zhì)分析
(一)操作風險的異質(zhì)性
這是操作風險與市場風險、信用風險相比都很不同的一種特性。后兩者盡管在各產(chǎn)品和業(yè)務(wù)中的表現(xiàn)會各有差異，但同一類風險的影響因素具有共同的規(guī)律，如市場風險主要受到宏觀經(jīng)濟因素的影響，各金融產(chǎn)品本質(zhì)上具有同質(zhì)性，其價格波動受許多共同因素的影響，而信用風險都可以分解為違約率和違約損失率等因素來分析，而且也大都受到企業(yè)、行業(yè)和經(jīng)濟周期等大致相同的主要風險因素的影響。但是，操作風險由于覆蓋范圍廣泛，誘發(fā)因素多種多樣，不同操作風險之間表現(xiàn)出明顯的性質(zhì)差異。外部欺詐、計算機病毒引發(fā)的系統(tǒng)崩潰、地震以及恐怖襲擊等盡管都同屬于操作風險，但顯然其誘發(fā)因素和性質(zhì)的差異是很大的。這種性質(zhì)差異導致了操作風險的管理從量化到管理控制、監(jiān)測等各個方面都具有很大的挑戰(zhàn)性。
(二)操作風險的普遍性
與市場風險主要存在于交易類業(yè)務(wù)和信用風險主要存在于授信業(yè)務(wù)不同，操作風險普遍存在于商業(yè)銀行業(yè)務(wù)和管理的各個方面，包括前臺、和后臺，總行、分支機構(gòu)和子公司，交易業(yè)務(wù)、信貸業(yè)務(wù)和中間業(yè)務(wù)，等等。操作風險不僅存在于業(yè)務(wù)流程之中，也存在于風險管理本身的實施過程之中。操作風險的普遍性是商業(yè)銀行進行全面風險管理的重要原因之一。
(三)操作風險的不對稱性
這是指反映操作風險的操作損失分布是不對稱的。這與信用風險相似，而與市場風險相異。這主要反映在操作風險從發(fā)生頻率和損失嚴重程度上看可以分為兩類：一是發(fā)生頻率高、造成損失相對較小的日常業(yè)務(wù)流程處理上的小錯誤；二是發(fā)生頻率低但造成的損失相對大的自然災害、大規(guī)模舞弊等。這使得操作風險在分布上呈現(xiàn)出肥尾的非對稱特征。因此，試圖用一種方法來覆蓋操作風險的所有領(lǐng)域幾乎是不可能的。
(四)操作風險的非盈利性
這是操作風險與市場風險和信用風險相比另一個重要的特性。后兩者由于存在盈利的可能，商業(yè)銀行承擔它們的一個主要動機是為了獲得盈利，而操作風險卻并不能直接帶來盈利，商業(yè)銀行之所以承擔它是因為在業(yè)務(wù)開展和機構(gòu)管理中它不可避免。因此，在承擔市場風險和信用風險時，商業(yè)銀行追求風險和收益的平衡，并將這種管理風險和收益平衡能力視為其核心的競爭能力。而對于操作風險而言，由于不具備盈利性，商業(yè)銀行的基本策略就是盡可能降低，然而這必須受到成本支出的約束，因而需要追求的是降低操作風險和增加管理成本之間的平衡。
(五)操作風險的可轉(zhuǎn)化性
在實踐中，操作風險通常可以轉(zhuǎn)化為市場風險和信用風險。例如，巴林銀行的內(nèi)部控制缺陷和交易員里森的欺詐最終轉(zhuǎn)化為該銀行在日本金融市場上的巨大風險；一系列銀行信貸流程中的問題最終也會轉(zhuǎn)化為大量的信用風險。由于操作風險的這種可轉(zhuǎn)化性，人們往往難以將操作風險與市場風險和信用風險區(qū)別開來。一個典型的例子就是我國銀行體系大量的不良貸款，不少人由此認為我國銀行信用風險管理能力有缺陷，而實際上，大量不良貸款中相當一部分反映了商業(yè)銀行管理操作風險的水平欠缺。因為嚴格地講，只有由于借款人信用水平變化(而并非信用水平低)所導致的可能損失才算是真正意義的信用風險。即便是借款給欺詐者，銀行首先面臨的也并非信用風險，而是操作風險，因為借款者的信用水平并沒有發(fā)生變化，導致銀行可能損失的是銀行內(nèi)部識別和管理信用水平的能力和流程出現(xiàn)的問題。
二、操作風險管理的特點
(一)操作風險難以進行量化管理
在商業(yè)銀行所面臨的主要風險中，市場風險因交易數(shù)據(jù)豐富而最容易計量，信用風險的計量就困難得多，但近些年隨著貸款銷售和資產(chǎn)證券化導致信貸產(chǎn)品流動性加強，同時信用計量模型也不斷被開發(fā)出來，其計量的難度相對降低。而操作風險則成為當前最難計量的風險，其主要原因是構(gòu)成復雜，性質(zhì)各異，各風險因子之間的可比性差；損失數(shù)據(jù)，尤其是大額損失數(shù)據(jù)稀少且缺乏積累；大多數(shù)操作風險具有內(nèi)生性，與人的作用有關(guān)，難以客觀量化；風險量化模型的開發(fā)還處在非常初級的階段等。操作風險的量化困難目前已經(jīng)成為制約操作風險管理發(fā)展的重要因素。
(二)操作風險不易通過市場轉(zhuǎn)嫁
轉(zhuǎn)嫁風險是現(xiàn)代風險管理中最為引人注目的策略和技術(shù)之一，也是金融體系實現(xiàn)風險配置(即將風險由沒有承擔能力或意愿的參與者轉(zhuǎn)移到有承擔能力和意愿的參與者)的重要途徑。在市場風險和信用風險管理中，包括信用衍生產(chǎn)品在內(nèi)的各種市場轉(zhuǎn)嫁產(chǎn)品構(gòu)成了被稱之為金融工程和信用工程的現(xiàn)代風險管理的核心技術(shù)。然而，市場轉(zhuǎn)嫁策略在操作風險管理中的應用相對而言就困難得多，傳統(tǒng)上商業(yè)銀行可轉(zhuǎn)嫁的操作風險主要局限在保險公司愿意承保的火災、盜竊等風險范圍，其主要原因在于上述操作風險難以計量的管理特征。不能計量的風險，就不能定價，不能定價自然就不能交易轉(zhuǎn)讓。
(三)與業(yè)務(wù)線路的管理過程相融合
由于操作風險源自商業(yè)銀行各項業(yè)務(wù)的人員、系統(tǒng)和流程等因素，對這些因素的管理顯然與業(yè)務(wù)線路本身的管理是相互融合的。即便是審計、公司治理和獨立操作風險管理部門，其最終發(fā)揮作用仍然必須通過對業(yè)務(wù)線路的管理產(chǎn)生影響而實現(xiàn)。因此，在操作風險管理體系中，具體的業(yè)務(wù)部門應該首先對自身的操作風險負首要責任，董事會則應承擔最終的責任。
(四)治理結(jié)構(gòu)和內(nèi)部控制所決定的環(huán)境和文化具有決定性的關(guān)鍵作用
公司治理是關(guān)于利益相關(guān)者之間權(quán)責利關(guān)系的基本制衡結(jié)構(gòu)，直接決定了商業(yè)銀行內(nèi)部從事業(yè)務(wù)和管理各項活動的人的相應激勵機制，內(nèi)部控制是覆蓋商業(yè)銀行所有人員在內(nèi)為達到預定業(yè)績進行風險控制、制度管理和相互制約的方法、措施和程序，兩者共同作用決定了商業(yè)銀行操作風險及其管理的基本環(huán)境和文化。只有在良好的公司治理和有效的內(nèi)部控制制度的規(guī)范下，才能確保商業(yè)銀行整體上將其操作風險有效地控制在可以承受的范圍之內(nèi)。
(五)事前合規(guī)管理和事后稽核審查是主要管理手段
在操作風險管理中，各項外部法規(guī)和內(nèi)部制
度是管理的主要依據(jù)，而對這些法規(guī)和制度的違反正是導致?lián)p失的直接原因。因此，保持對相關(guān)內(nèi)外部法律和規(guī)章制度的遵循是成功的操作風險管理的關(guān)鍵。傳統(tǒng)上，審計活動(包括內(nèi)部審計和外部獨立審計)是確保各項法規(guī)和制度得到遵循的主要手段。近些年金融界出現(xiàn)了強調(diào)合規(guī)管理的發(fā)展趨勢，與審計相比，合規(guī)管理偏于事前，更加符合風險管理事前性的要求。
(六)人在操作風險管理中發(fā)揮關(guān)鍵作用
盡管操作風險被定義為來自于人員、系統(tǒng)流程和外部事件等多方面因素，但在操作風險管理中，人的因素始終是決定性的因素。這一方面表現(xiàn)在人是操作風險的主要來源，而且職位越高，風險越大，因為一旦位高權(quán)重的人犯下錯誤，其所導致的損失也相應大很多；另一方面表現(xiàn)在人也是操作風險管理動力的主要來源，人的級別越高，權(quán)力越大，其對風險管理的責任和作用也越大。
三、商業(yè)銀行操作風險管理的基本策略
(一)風險規(guī)避
商業(yè)銀行在面臨某一項業(yè)務(wù)所帶來的操作風險暴露時，其應對的策略可以分為基本的兩類：規(guī)避或者承擔。選擇規(guī)避策略，意味著商業(yè)銀行將拒絕開展該項業(yè)務(wù)，或者關(guān)閉已開展的該項業(yè)務(wù)。規(guī)避策略使得商業(yè)銀行徹底地消除了對該項業(yè)務(wù)操作風險的暴露，而且并不支付任何管理成本。很顯然，該策略的代價是在消除風險暴露的同時商業(yè)銀行也失去了開展該業(yè)務(wù)可能帶來的盈利。規(guī)避策略適用于操作風險很大和風險難以衡量、缺乏管理手段的新業(yè)務(wù)，也適用于操作風險水平和業(yè)務(wù)的盈利水平不匹配、不相稱的業(yè)務(wù)。操作風險規(guī)避策略盡管簡單，但其關(guān)鍵是如何科學地確定規(guī)避的風險對象，即什么樣的業(yè)務(wù)因操作風險過大應該規(guī)避。長期以來，商業(yè)銀行主要是依靠主觀經(jīng)驗判斷來確定風險規(guī)避的對象。近些年來，隨著經(jīng)濟資本配置技術(shù)和操作風險量化方法的發(fā)展，主要用于市場和信用風險的基于經(jīng)濟資本配置的風險和業(yè)務(wù)限額管理技術(shù)也逐漸開始用于操作風險，操作風險規(guī)避策略應用的技術(shù)基礎(chǔ)得以加強。
(二)內(nèi)部控制降低風險
內(nèi)部控制降低操作風險主要包括三個方面的內(nèi)容和方法：一是通過實施IT技術(shù)或項目管理方案等來改善業(yè)務(wù)部門本身的運行質(zhì)量和管理水平；二是通過審計稽核、合規(guī)檢查和操作風險管理等業(yè)務(wù)部門以外的管理部門的管理來降低業(yè)務(wù)的操作風險；三是通過改善公司治理和加強操作風險管理部門的獨立作用，在商業(yè)銀行建立起管理操作風險的良好環(huán)境和文化，制定合適的操作風險管理戰(zhàn)略和政策，健全操作風險管理流程。這一類方法的特點是通過內(nèi)部管理制度和方法的改進對所承擔的操作風險進行控制和降低。
(三)風險轉(zhuǎn)嫁
商業(yè)銀行并不能對所有承擔下來的操作風險都可以采取策略降低風險的，有些應該采取風險轉(zhuǎn)嫁的策略。這一方面是因為有些操作風險性質(zhì)過于復雜或者操作風險所涉及的知識領(lǐng)域并不是商業(yè)銀行核心競爭力所在的領(lǐng)域，商業(yè)銀行并不擅長管理和控制這一類操作風險，自己采取控制措施降低操作風險的投入成本相對較高，而經(jīng)濟體系中又存在著管理這類操作風險的專業(yè)機構(gòu)，合理的方法顯然是商業(yè)銀行以一定的代價將這一類操作風險轉(zhuǎn)嫁給擅長管理這類風險的機構(gòu)。典型的例子就是通過業(yè)務(wù)外包的形式將商業(yè)銀行并不擅長或在戰(zhàn)略上不愿意重點拓展的業(yè)務(wù)或管理環(huán)節(jié)委托給相應的外部專業(yè)機構(gòu)。另一方面，轉(zhuǎn)嫁風險是因為業(yè)務(wù)中的某些操作風險具有發(fā)生概率很小、但后果很嚴重的性質(zhì)，商業(yè)銀行本身缺乏管理的手段和承擔的能力，于是通過購買保險將該操作風險轉(zhuǎn)嫁給保險公司，而保險公司則通過在全社會中集合類似的操作風險，在全社會范圍內(nèi)分攤這種風險。保險不僅是商業(yè)銀行轉(zhuǎn)嫁操作風險，如自然災害、員工安全等的傳統(tǒng)手段，而且，隨著保險產(chǎn)品創(chuàng)新的發(fā)展，保險在商業(yè)銀行的風險轉(zhuǎn)嫁中發(fā)揮了越來越重要的作用。
(四)風險吸收
第3篇：操作風險管理范文
摘 要 金融投資作為一種可以擴大生產(chǎn)資本，增加獲利收益的經(jīng)濟行為，如今已被更多的公司及個人所應用。作為金融投資，其自身可與實物投資相分離，隨機性增強，這就加大了金融投資的風險性。金融投資的操作風險管理就是要保證金融投資這種經(jīng)濟行的穩(wěn)定性與可獲利性。隨著商品社會與市場經(jīng)濟的日益發(fā)展，現(xiàn)時的金融市場也在不斷地完善與發(fā)展，金融投資的形式也愈發(fā)的多種多樣，結(jié)合金融投資的不同方式種類，做到在盤間操作的風險可控，金融投資才可以做到穩(wěn)定獲利，金融投資才可以更好在生產(chǎn)和生活中發(fā)揮良性作用。
關(guān)鍵詞 金融投資 操作風險 可控 穩(wěn)定
一、影響金融投資產(chǎn)品風險的原因及控制措施
目前國內(nèi)常見的金融投資產(chǎn)品有：股票，期貨，債券，基金，黃金，外匯，現(xiàn)貨及信托等。結(jié)合金融投資產(chǎn)品的特點，將其風險主要劃分為：資本風險、價格風險、市場風險、利率風險以及匯率風險，根據(jù)這些風險成因逐一進行分析，得出相應的控制措施。
1.關(guān)于資本風險
資本風險體現(xiàn)在金融產(chǎn)品發(fā)行者的資金實力是否可靠，也常常延伸出一個新的風險即信用風險。股票、債券、基金及信托這些投資產(chǎn)品的主要風險就是信用風險。信用風險一般是指與金融產(chǎn)品的發(fā)行者相關(guān)聯(lián)的風險，以信托為例，信托公司倒閉，就是信用風險。控制措施在于選擇信用度高的發(fā)行者，并注重信用風險的分散，避免全部投資的資金與同一個的發(fā)行者相關(guān)聯(lián)。
2.關(guān)于利率風險與價格風險
利率風險是針對于所有與利率變化有關(guān)的風險。作為金融產(chǎn)品，其自身的收益好壞基本上都與目前的利率水平與后期的利率變化息息相關(guān)。他直接影響金融產(chǎn)品的價格漲跌，金融產(chǎn)品的價格風險直接受其影響。期貨與現(xiàn)貨的主要風險就是在于價格變化。利率風險及價格風向的控制措施在于根據(jù)變化趨勢的預判去決定相應的操作方向，即多頭還是空頭，這在現(xiàn)貨中經(jīng)常能夠遇到。同時調(diào)整好持倉量，控制好持倉量與資金的比例。
3.關(guān)于市場風險
投資者決定用資金去購買金融產(chǎn)品本身就是屬于一種買賣行為，這就構(gòu)成了市場風險的成因，即買賣雙方。內(nèi)、外需，供求關(guān)系，季節(jié)變化，國際戰(zhàn)爭，人文習慣，政策性原因還有市場的周期性，這些都會影響到市場的變化與走向，這些也是市場風險的所在，同時市場風險也會影響到價格風險。市場風險影響最深的是黃金，其次是現(xiàn)貨與期貨。控制措施在于洞悉市場信息，了解所操作的金融產(chǎn)品與那些市場有關(guān)，根據(jù)相關(guān)市場信息對價格進行短期與中長期預判，并進行行營的操作。例如現(xiàn)貨一般與農(nóng)產(chǎn)和季節(jié)相關(guān)，黃金一般與原油相關(guān)。現(xiàn)貨企業(yè)也要結(jié)合市場信息做好倉儲準備。
4.關(guān)于匯率風險
由于國際經(jīng)濟逐漸一體化，不同幣種之間的互換成為了常見的金融行為，匯率的波動加大了匯率風險。關(guān)于匯率的風險大多與國際形勢有關(guān)，外匯儲備、利率、通貨膨脹等都是主要影響匯率的原因。外匯與黃金的投資風險也受匯率影響。針對進出口企業(yè)可以進行合同方面的約定措施，約定雙方風險比例，或者與匯率鎖定公司簽訂匯率鎖定合約。對個人可以在操盤技巧與規(guī)律上進行控制。
二、操盤風險及管理
現(xiàn)在的金融投資產(chǎn)品大都應用了電子盤面進行價格走勢的規(guī)律性的分析。在股票、期貨、現(xiàn)貨、黃金與外匯的操作過程中都可以應用，關(guān)于操作技巧可以通過以下幾種方式進行：
1.盤面規(guī)律與K線
電子盤面是由一根根“K”線組成的，K線是反應一段時間內(nèi)（商品）的價格變化，K線具有多種形態(tài)，不同形態(tài)的K線的組成也會預示著一些現(xiàn)象的發(fā)生，掌握K線的規(guī)律是進行盤面操作風險可控的一種常見方法。
2.做好止盈與止損短線操作
大多數(shù)投資人在進行盤間操作時都會 有“眼熱”問題出現(xiàn)，見到盤勢大好的時候進行追單操作，或者在單子被套的時候持單，甚至是重倉持單，這種行為在盤間操作時是比較忌諱的，在操盤時常有兩句話叫“物極必反”與“見好就收”，在進行每一批進單操作時都要設(shè)置好止盈位置與止損位置。順勢追漲殺跌，宜追初漲，忌追高位，宜追初追，忌追地板。
3.倉位控制與鎖倉
統(tǒng)計好自己可以進行操作的倉位量，將倉位分成三份或者四份，依據(jù)行情每次進行操作時只用其中一份的倉位進行操作，并保證一方的進倉量不能超過全部倉位的一半，其余倉位為鎖倉做好準備。
4.成交量變化
在持續(xù)下跌的價格低位區(qū)，出現(xiàn)成交量增加價格趨穩(wěn)，說明底部在積聚上漲動力，可以適量買進待漲；成交量持續(xù)增加，價格逐漸上升，是最常見的多頭主動進攻模式，應積極進場買入；成交量顯著減少，價格大漲后出現(xiàn)橫盤，此為警戒出倉的信號；成交量繼續(xù)減少，價格逐漸下跌，此時應及時止損出倉；價格經(jīng)過多次大幅漲跌，出現(xiàn)成交量增加，此時忌空倉，如果多頭進場后發(fā)現(xiàn)為逆勢應及時離場觀望；在低價區(qū)出現(xiàn)增量有底部反彈的趨勢，此時不適宜進場，應做觀望。
三、結(jié)論
由此可見，縱使金融投資產(chǎn)品萬般變化，都無法擺脫其自身具有的商品屬性，抓住金融投資產(chǎn)品的特點與規(guī)律，加上對固有屬性的技術(shù)分析與方法應用，就可以做到操作風險的可控制管理，也可以發(fā)揮作為金融投資有強大的融資獲利的作用，也可以活躍商品市場，促進經(jīng)濟的快速發(fā)展。
參考資料：
[1]金融投資視頻講座大全.今朝成功網(wǎng).2011.9.7.
[2]李冰.西方經(jīng)濟學原理.今朝成功網(wǎng).2011.9.7.
[3]李平.投資學.今朝成功網(wǎng).2011.9.7.
[4]李維國.國際貿(mào)易.今朝成功網(wǎng).2011.9.7.
第4篇：操作風險管理范文
問題一：操作風險認識落后
對操作風險的理解和認識是商業(yè)銀行操作風險管理的基礎(chǔ)。與大型銀行高度重視操作風險，對其進行深入研究，并在此基礎(chǔ)上對本行面臨的操作風險進行界定形成對比，城商行對操作風險普遍不夠重視，認識相對落后。這也是城商行操作風險管理落后、案件頻發(fā)的重要原因。具體表現(xiàn)在四個方面：
第一，認為操作風險不如信用風險重要，因而重視程度不夠。城商行大都認為目前開展的業(yè)務(wù)主要是信貸業(yè)務(wù)，因而信用風險是城商行面臨的最大風險。相比較而言，操作風險沒那么重要，對操作風險的管理也就不夠重視。事實上，由于操作風險會影響到銀行的聲譽，往往會引發(fā)流動性風險。而城商行等中小銀行的信用和聲譽比大型銀行脆弱，操作風險有可能對中小銀行產(chǎn)生致命打擊。因此，城商行等中小銀行應更加重視操作風險及其管理。
第二，將操作風險等同于金融案件。現(xiàn)實中，由于操作風險發(fā)生后往往最終體現(xiàn)為案件，一些城商行風險管理人員就簡單地將操作風險等同于金融案件。對操作風險的管理也就被案件防控所替代。這實際上人為縮減了操作風險的范疇。
第三，認為操作風險就是操作性風險。有不少人僅從字面理解操作風險，從而將操作風險視同于操作性風險，即只在柜面存匯、會計等操作性崗位存在的操作失誤、差錯等風險。而這類操作性風險僅僅是操作風險中的一小部分，即“高頻低損”的那部分。從某種意義上說，此類“高頻低損”的操作風險對城商行的危害要遠低于“低頻高損”的那一類。
第四，認為操作風險不可控、不可測，無法主動管理。操作風險大都由人員因素引發(fā)，因而具有突發(fā)性、隱蔽性、事先難預測等特征。一些風險管理人員據(jù)此認為操作風險無法主動管理。事實上，通過對較長時期大量數(shù)據(jù)和案例進行分析可以發(fā)現(xiàn)，操作風險有一定的規(guī)律性，且可以通過完善業(yè)務(wù)流程、開發(fā)風險預警系統(tǒng)等實現(xiàn)事先發(fā)現(xiàn)、主動防控。而在“被動管理”認識的支配下，由于不能投入大量資源，操作風險管理基礎(chǔ)設(shè)施的建設(shè)無法有效開展，管理落后狀況也就在所難免。
問題二：操作風險管理理念薄弱
操作風險管理理念就是銀行開展操作風險管理活動的指導思想，是操作風險文化的重要組成部分。城商行操作風險管控能力不強、操作風險大案頻發(fā)，在很大程度上歸因于操作風險管理理念的薄弱。這一問題可歸納為“五重五輕”。
一是，重視業(yè)務(wù)發(fā)展，輕視操作風險管理。城商行普遍存在明顯的規(guī)模情節(jié)和速度情節(jié)，把發(fā)展放在第一位，追求跨越式發(fā)展，忽視操作風險管理；在考核壓力下，分支機構(gòu)甚至出現(xiàn)違規(guī)操作、打球等情形。特別是放松對一些低風險業(yè)務(wù)的控制，盲目做大業(yè)務(wù)，潛藏巨大風險。齊魯銀行票據(jù)詐騙案正是典型。
二是，重視事后管理，輕視事前防范。基于“操作風險不可控”的認識，城商行普遍重視操作風險的事后管理，通過加強審計、加大責任追究等措施，試圖通過嚴厲的處罰和懲戒起到警示作用，以達到降低操作風險的目的。事實證明，該管理思路的效果并不理想。
三是，重視個案查處，輕視全面分析。操作風險案件發(fā)生后，城商行通常情況下更強調(diào)對單個案件的查處和整改，但很少對銀行歷史上發(fā)生的操作風險案件及外部案件進行全面分析，從而使得操作風險管理的改善進程緩慢。
四是，重視基層人員管理，輕視高層人員管理。在“操作風險就是操作性風險”的認識下，城商行更加重視對基層一線操作人員的操作風險管理，無論是檢查力度、頻度，還是檢查深度、范圍，都遠超過對管理人員尤其是中高層管理人員的管理。但事實顯示，中高層管理人員引發(fā)的操作風險給銀行造成的損失大大超過基層操作人員。
五是，重視審計稽核，輕視全面管理。以審計稽核替代操作風險管理，操作風險管理覆蓋范圍小，管控水平不高。
問題三：操作風險管理架構(gòu)尚未建立
操作風險管理架構(gòu)是商業(yè)銀行開展操作風險管理活動的平臺，也是明確各相關(guān)部門職責，建立完善管理流程的關(guān)鍵。從目前情況來看，大多數(shù)城商行尚未建立起完善的操作風險管理架構(gòu)，導致操作風險管理缺乏總體負責部門，相關(guān)職責混亂不清，嚴重影響操作風險管理活動的開展。
首先，董事會和高級管理層下均設(shè)立了風險管理委員會，但這兩個委員會主要負責的是對信用風險和市場風險的統(tǒng)籌管理，尚未真正將操作風險納入管理范疇。
其次，各家城商行均設(shè)立了獨立的風險管理部，但該部門普遍僅負責信用風險管理，并不承擔操作風險管理職能。換句話說，大多數(shù)城商行沒有設(shè)置專門的操作風險管理部門，相關(guān)管理職能分散在多個部門，導致重復管理與管理真空并存、管理效率低下等問題。在此情況下，主要由風險管理部負責建設(shè)的所謂全面風險管理體系并未將操作風險納入其中，更多的是強調(diào)對信用風險的全流程、全覆蓋管理。
最后，分支機構(gòu)的操作風險管理職能缺失。與總行操作風險管理部門缺乏相對應，在分支機構(gòu)層面也沒有設(shè)置專門的部門或崗位負責操作風險管理，而是分散于會計主管、風險經(jīng)理、合規(guī)員以及審計經(jīng)理等不同條線的有關(guān)崗位上，缺乏總體協(xié)調(diào)。操作風險管理架構(gòu)的不完善還造成風險匯報路線不清晰，進而導致董事會及高管層不能及時、全面掌握銀行的操作風險總體狀況。
問題四：內(nèi)控體系不完善，操作風險管理手段單一
從現(xiàn)實來看，城商行操作風險管理手段單一，大多主要依靠內(nèi)部控制中的傳統(tǒng)流程控制和制度控制。而城商行普遍存在內(nèi)控體系不完善問題，從而使得操作風險管理能力不高，操作風險大案屢有發(fā)生。第一，內(nèi)部控制架構(gòu)不完善，導致內(nèi)控體系不健全。在公司治理層面，董事會未能承擔起內(nèi)控建設(shè)的最終職責，造成內(nèi)控建
設(shè)缺乏全面性、前瞻性和持續(xù)性。在經(jīng)營管理層沒有專門的部門負責內(nèi)控體系建設(shè)，各相關(guān)部門僅從條線管理角度開展內(nèi)控活動，使得內(nèi)控體系缺乏整體性。
第二，內(nèi)控制度不完善。相當一部分城商行尚未建立起由戰(zhàn)略層面、基本制度層面和操作層面等不同層面構(gòu)成的內(nèi)控制度體系，大多由各業(yè)務(wù)條線的業(yè)務(wù)管理辦法或操作手冊代替，制度對風險的控制力不強。
第三，內(nèi)控關(guān)鍵措施缺乏，內(nèi)控效果不高。關(guān)鍵崗位強制休假、輪崗輪調(diào)、不相容崗位相互分離等內(nèi)控關(guān)鍵措施對控制操作風險具有很好效果。但相當一部分城商行或由于人員不足，或由于不重視等原因并未建立起上述內(nèi)控舉措，或日常經(jīng)營管理活動中未能嚴格執(zhí)行，使得內(nèi)控效果打折扣。而很多操作風險案件的發(fā)生與這些內(nèi)控關(guān)鍵措施的缺乏直接相關(guān)。
第四，內(nèi)控監(jiān)督評價職能較弱，內(nèi)控持續(xù)改進機制沒有形成。由于歷史原因，城商行內(nèi)審普遍薄弱，而這恰恰是內(nèi)控監(jiān)督評價的核心因素。從而造成對內(nèi)控缺陷的識別能力不強，建立在此基礎(chǔ)上的內(nèi)控持續(xù)改進機制也就難以形成。
問題五：制度執(zhí)行的監(jiān)督評價機制缺乏，制度執(zhí)行力不高
制度執(zhí)行不力是很多城商行操作風險案件發(fā)生的直接原因，也是城商行操作風險管理中存在的普遍性問題。在很多情況下，有制度不執(zhí)行給銀行造成的危害更大，因為在有制度的情況下往往會讓風險管控人員放松警惕，進而發(fā)生風險。造成城商行制度執(zhí)行力不高的原因有以下兩方面：
第一，更加重視制度建設(shè)過程，對制度出臺后的執(zhí)行情況則重視不夠。在制訂制度的過程中，總行各相關(guān)部門均會積極參與，出謀策劃。但制度出臺后，在如何將總行的意圖和制度的內(nèi)含準確、完整、及時傳遞至分支機構(gòu)方面，則做得相對不夠。造成分支機構(gòu)不能準確把握政策意圖，影響制度的有效執(zhí)行。
第二，對制度執(zhí)行的監(jiān)督評價機制缺乏。制度出臺后，相關(guān)部門并未建立起一種評價機制，以了解制度執(zhí)行情況、執(zhí)行中碰到的問題，以及制度與外部環(huán)境的適應性等，以便于對制度進行調(diào)整完善，造成制度制定與制度執(zhí)行的脫節(jié)。此外，對有章不循、違規(guī)違章操作問題的處罰力度不夠，難以起到震懾作用，也是造成制度執(zhí)行不力的原因之一。
問題六：操作風險管理的電子化水平較低
研究顯示，操作風險大都跟人員因素有關(guān)。因此，傳統(tǒng)的制度控制、崗位制約等風險防控手段的效果不盡如人意。由于人容易受到自身感情、情緒以及外部環(huán)境等因素的影響，通過“人工控制”來防控操作風險還容易帶來衍生風險，如合謀作案等。換句話說，電子化的系統(tǒng)控制方式不易受到外部因素干擾，防控效果更好。這也是操作風險管理的未來發(fā)展方向。值得注意的是，城商行操作風險管理的電子化水平普遍較低。集中表現(xiàn)在：第一，業(yè)務(wù)系統(tǒng)的風險控制功能較弱，業(yè)務(wù)系統(tǒng)更大程度上是業(yè)務(wù)操作和處理系統(tǒng)，缺乏對各環(huán)節(jié)潛在操作風險的控制功能，對風險管理的支撐不夠。第二，城商行大都沒有建立專門的操作風險管理系統(tǒng)，不能對操作風險進行及時識別、實時監(jiān)控和預警。操作風險管理仍停留在傳統(tǒng)的“人工控制”階段，操作風險管理效率不高。第三，尚未在對銀行歷史上的操作風險進行全面梳理的基礎(chǔ)上，建立操作風險損失數(shù)據(jù)庫，以為操作風險的量化管理做好準備。鑒于操作風險的特殊性，全流程管理、全覆蓋監(jiān)控是有效管理操作風險的基本要求。但在缺乏專門的系統(tǒng)，電子化水平較低的情況下，城商行的操作風險管理很難做到這一點。
第5篇：操作風險管理范文
關(guān)鍵詞：商業(yè)銀行；風險管理；操作風險
中圖分類號：F832.2 文獻標識碼：A doi:10.3969/j.issn.1672-3309（x）.2011.11.39 文章編號：1672-3309（2011）11-86-02
從20世紀70年代以來，世界經(jīng)濟和政治格局發(fā)生了巨大的變化。全球經(jīng)濟一體化和金融交易電子化進程的不斷推進,促使各類金融創(chuàng)新層出不窮。同時，金融自由化的發(fā)展使得國際銀行業(yè)面臨的不確定性風險也在不斷增加，從而影響銀行體系的穩(wěn)定性。與較成熟并擁有完善理論的商業(yè)銀行信用風險和市場風險相比，操作風險被單獨提出是在20世紀90年代以后，對有關(guān)操作風險的識別、量化和管理等問題的研究并不透徹深入。但近些年商業(yè)銀行因操作風險引起的案件所涉及金額巨大，對社會秩序造成了不良影響，商業(yè)銀行操作風險管理越來越成為未來商業(yè)銀行風險管理的重中之重。
一、操作風險的定義與內(nèi)涵
操作風險是指由于不完善或失靈的內(nèi)部程序、人員和系統(tǒng)、外部事件導致的風險，包括法律風險，但不包括策略風險和聲譽風險，它涵蓋了商業(yè)銀行內(nèi)部最重大范圍內(nèi)的風險。最重大的操作風險在于銀行內(nèi)部控制及公司治理機制的失效。這種失效狀態(tài)可能因為失誤、欺詐、未能及時做出反應而導致銀行財務(wù)損失，或使銀行的利益在其他方面遭受損失，如銀行交易員、信貸員、其他工作人員越權(quán)、從事職業(yè)道德不允許的或風險過高的業(yè)務(wù)。操作風險的其他方面還包括信息技術(shù)系統(tǒng)的重大失效、火災及其他災難。
這樣的定義反映出操作風險涵蓋了商業(yè)銀行除市場風險和信用風險以外的所有風險。但從銀行業(yè)的現(xiàn)狀來看，大多數(shù)銀行并沒有建立操作風險損失數(shù)據(jù)庫，也沒有一個全球銀行業(yè)的操作風險評價標準，所以操作風險的量化存在著一定困難。如何建立有效合理的銀行操作風險評估模型和評價體系將是未來銀行業(yè)關(guān)注和研究的重點。
二、商業(yè)銀行發(fā)生操作風險的必然性
金融業(yè)向來被認為是高風險的行業(yè)，高風險高收益的定律在這個行業(yè)被充分體現(xiàn)。商業(yè)銀行作為金融業(yè)十分重要的參與者，其在追求利潤的同時，也越來越關(guān)注如何將風險控制在可承受的范圍之內(nèi)，在控制風險的前提下更好的開展業(yè)務(wù)。所以，對商業(yè)銀行操作風險的提出是深化銀行經(jīng)營管理和全面開展風險管理的必然趨勢。
（一）商業(yè)銀行風險管理理論不斷發(fā)展的結(jié)果
風險的度量方法并非一朝一夕產(chǎn)生，自風險管理理論運用到實踐以來，各國銀行一直將風險管理的重點放在信用風險上，1988年具有劃時代意義的國際銀行業(yè)管理與監(jiān)督協(xié)議――《巴塞爾協(xié)議》中確定了資產(chǎn)信用風險的度量方法。同時，金融市場的變化讓人們意識到金融市場的價格變動給銀行體系帶來的極大風險，在1996年《巴塞爾資本協(xié)議》修正案中就對市場風險提出了進一步的資本要求：為了應對可能出現(xiàn)的市場風險，銀行應持有額外的監(jiān)管資本。隨著經(jīng)濟全球化和金融創(chuàng)新的快速發(fā)展，金融體系的穩(wěn)定性接受了極大挑戰(zhàn)。在這種復雜的金融環(huán)境下，銀行已經(jīng)逐步將資產(chǎn)負債業(yè)務(wù)管理轉(zhuǎn)向全面風險管理。同時各種風險管理理論逐漸產(chǎn)生，并被迅速運用到實際的銀行經(jīng)營管理中，經(jīng)過實踐、修正、完善，銀行的風險管理水平不斷提高。商業(yè)銀行對于信用風險和市場風險的識別、度量以及建模等分析評價水平也已成熟，由于操作風險而造成銀行實際損失頻率的增加和數(shù)額巨大，操作風險已經(jīng)成為近代銀行業(yè)最主要的風險源之一。正因如此，關(guān)于操作風險管理的理論和研究也應運而生。
（二）銀行提供服務(wù)品種增多的要求
傳統(tǒng)銀行業(yè)的利潤來源主要來自于存貸差，但隨著存貸利率空間不斷縮小，依靠利息收入已經(jīng)不能滿足銀行對收益的要求。而國際間的資本流動引發(fā)了全球貨幣體系和信用體系的巨大變革，以往的監(jiān)管體系已經(jīng)不能適應金融全球化的發(fā)展。與此同時，全球科學技術(shù)的發(fā)展也達到了一個頂峰，這為金融創(chuàng)新提供了一個重要的媒介。在這些外部和內(nèi)部的因素共同影響下，一大批金融創(chuàng)新工具應運而生。這些新型的金融服務(wù)不但加速了資本的流動性和盈利性，同時也具有一定的避險能力。但是，金融服務(wù)創(chuàng)新是一把雙刃劍，它既可以規(guī)避風險、降低風險，也可以制造風險、擴大風險。駭人聽聞的巴林銀行事件就是一個很好的例子。期貨產(chǎn)品本可作為套期保值的金融工具，但該銀行交易員卻期望通過買賣獲利，在風險不可控制的情況下一意孤行，最后造成不可彌補的損失。這個例子是一個經(jīng)典的操作風險案例。首先，其是由內(nèi)部人員操作導致。其次，交易員越權(quán)操作風險過高的業(yè)務(wù)。從中我們可以看出，金融服務(wù)品種的不斷增多，極大地豐富了銀行的流動性和盈利能力，但是，這些業(yè)務(wù)品種往往有別于傳統(tǒng)銀行業(yè)務(wù)，其業(yè)務(wù)類型相對復雜，很多是基于信用體系建立起來的，這就賦予其產(chǎn)品自身很高的風險性，操作員的一點失誤，可能造成幾倍或幾十倍的損失。因此，大量金融創(chuàng)新的產(chǎn)生也帶來巨大的潛在操作風險，為了規(guī)避這些風險，商業(yè)銀行操作風險管理也被提到一個重要的位置。
三、對商業(yè)銀行操作風險進行管理的重要性
通過操作風險的定義并結(jié)合銀行的實際工作，我們從中不難看出，操作風險存在于銀行的各個業(yè)務(wù)環(huán)節(jié)，銀行幾乎所有事情都與操作風險息息相關(guān)。銀行高層管理者對操作風險帶來損失的擔心、監(jiān)管當局對操作風險的關(guān)注、公眾對于銀行體系統(tǒng)安全性的質(zhì)疑以及因金融全球化操作引發(fā)的操作風險增加等原因，使得人們對銀行操作風險管理日益關(guān)注。
（一）操作風險涵蓋廣泛的銀行風險
在日常的金融活動運行中，人們發(fā)現(xiàn)還存在著許多并不來自于信用風險和市場風險的風險損失，比如：人員舞弊、操作失誤、惡意詐騙以及系統(tǒng)癱瘓或者軟件漏洞等。當這些風險給銀行帶來巨大的損失時，人們開始關(guān)注這類不屬于信用風險和市場風險范疇的風險。20世紀90年代以來，全球爆發(fā)的許多金融危機幾乎都與人為因素風險、系統(tǒng)風險、法律風險等一系列風險有關(guān)，但這些風險并不能被歸入信用風險和市場風險的范圍，最后將其統(tǒng)稱操作風險。我們可以看出，操作風險涵蓋了商業(yè)銀行除信用風險和市場風險以外的所有風險，其廣泛的覆蓋面是任何一種風險所不能比擬的。然而，盡管大家意識到操作風險管理的重要性，但對其投入的重視并不夠。雖然，國內(nèi)各大商業(yè)銀行已經(jīng)在為之做出努力，紛紛采取不同的方式和方法建立和完善自身的風險管理體系，并取得一定的成效，但截至現(xiàn)在，操作風險還沒有一個統(tǒng)一的定義，沒有一個全球認可的度量標準，沒有可供獲取的數(shù)據(jù)庫，也沒有相應的系統(tǒng)軟件。所以如何對操作風險進行規(guī)避和管理將是商業(yè)銀行未來改革的重點。
（二）操作風險具有內(nèi)生性
從操作風險引發(fā)起的種種案例中可以看出，這些損失的發(fā)生往往來自于制度因素、人員因素以及系統(tǒng)因素等，而這些因素的性質(zhì)決定了我們很難在操作風險發(fā)生前對其充分預知，比如員工蓄意犯案、交易員操作失誤以及系統(tǒng)突然故障等等。所以說，操作風險具有內(nèi)生性，即使建立完善的風險管理制度和預警機制，也不可能完全避免操作風險的發(fā)生。一般來說，操作風險自身的性質(zhì)決定了其與信用風險和市場風險相比更加難以度量和評價。首先，操作風險涉及道德、不可抗力等領(lǐng)域，這些因素是沒有一個衡量標準的。與我們可以直觀看到的數(shù)據(jù)不同，我們很難對這些因素進行量化和建模。其次，類似操作失誤、系統(tǒng)故障之類的事件發(fā)生是沒有規(guī)律和端倪可尋的，這也給操作風險的度量帶來一定的障礙。因此，操作風險的管理更應該引起銀行經(jīng)營管理者和監(jiān)管者的高度重視。將事前防范、事中控制和事后審計相結(jié)合，同時建立完善的風險管理制度，力爭在風險發(fā)生之前有效識別，風險發(fā)生之時有效控制，風險發(fā)生之后有效管理，將操作風險對銀行的損失降到最低。
（三）操作風險給銀行帶來的損失巨大
眾所周知，巴林銀行、大和銀行、美國長期資本管理公司的倒閉事件引發(fā)了人們對操作風險的廣泛關(guān)注，而2008年發(fā)生的法國興業(yè)銀行巨額損失事件更是一個由銀行操作風險引發(fā)的經(jīng)典案例。據(jù)有關(guān)研究統(tǒng)計，在過去10年內(nèi)，僅美國金融機構(gòu)蒙受的超過1億美元以上的遭受操作風險的損失事件已超過100宗，代表性案件有：阿爾弗斯特金融公司（Allfirst Financial）的流氓交易損失達6.91億美元；家庭金融公司（Household Finance）因誤導銷售遭受損失達4.84億美元；“9.11”恐怖襲擊事件使紐約銀行損失1.4億美元。由此可見，操作風險給銀行帶來的損失是巨大的，甚至是毀滅性的。
參考文獻：
[1] 徐學鋒.商業(yè)銀行操作風險管理新論[M].北京:中國金融出版社，2009.
[2] 漢斯?烏里希?德瑞克.金融服務(wù)運營風險管理手冊(中文版)[M].北京:中信出版社，2004.
第6篇：操作風險管理范文
隨著銀行服務(wù)的全球化、技術(shù)系統(tǒng)的更新、交易量的提高、日趨復雜的交易工具和交易策略等,都增大了銀行機構(gòu)面臨的操作風險。對整個銀行業(yè)和國際監(jiān)管機構(gòu)引起巨大震撼的“巴林銀行”事件,從表面上來說是由于“關(guān)東大地震”所導致的日經(jīng)指數(shù)期貨暴跌,日本政府債券卻一路上揚,里森不幸在這兩個品種上都持有錯誤方向的籌碼。這種突然來臨的市場風險直接導致了里森的,及巴林銀行的清盤倒閉。但本質(zhì)上,卻是由于巴林銀行混亂的內(nèi)部控制與風險管理體系所導致的,徹頭徹尾是由于操作風險而招致的滅頂之災。巴林事件之所以能發(fā)生,關(guān)鍵在于:交易與清算之間應有的制度執(zhí)行缺失,業(yè)務(wù)流程應履行的監(jiān)督失靈所導致。
操作風險源自于內(nèi)部程序不完善、人為失誤、系統(tǒng)故障和外部事件的影響,而銀行業(yè)務(wù)流程是操作風險發(fā)生的主要載體,規(guī)范、科學、運行良好的業(yè)務(wù)流程,能從根本上起到規(guī)避和減少操作風險的作用。因此,從流程角度來研究操作風險管理是從商業(yè)銀行操作風險管理和流程管理理論的內(nèi)在耦合性出發(fā),對銀行操作風險管理所做的有益嘗試。
二、流程與操作風險
操作風險的核心概念是操作(operations),其本意是“運營或發(fā)揮功能的活動或流程(theactorprocessofoperatingorfunctioning,美國傳統(tǒng)辭典)”,中心詞是活動或流程(act或process)。實際上,商業(yè)銀行本身就是一個為最終滿足顧客需求、實現(xiàn)投資者價值最大化而運行的一系列有密切聯(lián)系的業(yè)務(wù)流程和活動的集合體。2005年中國銀監(jiān)會主席劉明康就指出“流程銀行”是商業(yè)銀行變革的方向之一,凸顯了“流程”在現(xiàn)代商業(yè)銀行中的重要地位。銀行提品或服務(wù)的過程,即是承擔風險、消耗資源使得價值從一個業(yè)務(wù)流程或活動轉(zhuǎn)移到下一個業(yè)務(wù)流程或活動的過程,最終商品或勞務(wù)既是全部業(yè)務(wù)流程的集合,也是全部資源、全部風險的集合。國內(nèi)外許多學者在這方面進行了研究,從國內(nèi)的研究看,主要集中在操作風險的管理框架、度量方法及風險值衡量、基于工作流的操作風險控制及基于流程管理的銀行信息化等方面。從國外看,Ebnotheretal.(2002)認為操作風險的衡量和管理一定是基于定義良好的流程,它們是操作風險管理的“精微平臺(microscopiclevel)”,該文獻中也提到了流程活動的概念,但它們只是作為流程的附屬存在。Leippoldetal.(2003)提出并應用價值鏈的概念來模型化操作風險,而價值鏈實質(zhì)就是基于流程展開的。這些研究雖然涉及到流程和操作風險之間的關(guān)系,但較為全面論述二者關(guān)系的文章還沒有見到,特別是將流程理論和操作風險緊密結(jié)合起來,重新審視操作風險管理。因此本文從流程出發(fā),以流程的視角分析操作風險管理的兩個重要內(nèi)容:內(nèi)部控制和風險度量,為銀行操作風險管理提供一個新的思路。
所謂流程,普適的定義是指為特定客戶和市場提品和服務(wù)而實施的一系列精心設(shè)計的有邏輯相關(guān)性的活動(Davenport&Short,1991)。流程進一步細分為活動(或稱為流程活動,activity),流程活動是流程的最基本要素。一個流程活動是接收某一種類型的輸入,并在某種規(guī)則控制下,利用某些資源,經(jīng)過特定變換轉(zhuǎn)化為輸出的過程,即:
流程活動={輸入,處理規(guī)則,資源,輸出}
其中,資源是指流程活動執(zhí)行者在執(zhí)行這一流程活動時所依賴的方法或憑借的手段。一個流程中的基本流程活動是不可再分的流程活動,其特征包括:明確的結(jié)果;清楚的邊界;獨立于其他流程活動。
銀行業(yè)務(wù)流程就是銀行實現(xiàn)自身價值所進行的一系列的業(yè)務(wù)活動,它是銀行的核心價值活動,也是隱含風險,造成損失的重要載體。
我國商業(yè)銀行現(xiàn)有的業(yè)務(wù)流程可以分為直接創(chuàng)造價值的前臺客戶服務(wù)流程和為直接創(chuàng)造價值活動服務(wù)的后臺支持流程,這兩個流程按照J·佩帕德和P·羅蘭的劃分分別屬于銀行的經(jīng)營流程和保障流程。對我國的商業(yè)銀行而言,前臺后臺的業(yè)務(wù)流程類型如圖1所示:
從流程的角度來考察操作風險,也可以從操作風險的定義中反映出來。巴塞爾委員會的定義是:“由于不當或失敗的內(nèi)部程序、人員和系統(tǒng)或外部事件導致?lián)p失的風險”,這一定義包含四類因素,即人員,程序,系統(tǒng)和外部事件,但都通過業(yè)務(wù)流程發(fā)生作用。瑞士信貸集團的定義是“由于以不當或失敗的方式操作流程活動而對業(yè)務(wù)帶來負面影響的風險,操作風險也可能是由外部因素造成的”。全球衍生產(chǎn)品研究小組曾經(jīng)給操作風險下過這樣一個定義:“操作風險是指由于控制和系統(tǒng)的不完善、人為的錯誤或管理不當所導致的損失的風險。”它是從人員、系統(tǒng)和操作流程三個方面對操作風險進行了界定,并且把管理作為防止操作風險的決定性因素。銀行操作風險涉及組織的各個方面,主要發(fā)生在銀行服務(wù)的各種流程活動之中,流程中的人、系統(tǒng)和操作程序就成為操作風險管理的重點。因而操作風險管理的重要內(nèi)容是規(guī)范、監(jiān)視和分析組織內(nèi)部的各種流程,同時將人和系統(tǒng)的因素考慮到流程之中。
由圖2可以看出,風險管理流程作為一項支持性的經(jīng)常活動,對其它流程有著監(jiān)督的作用,因而可以將風險管理流程和普通業(yè)務(wù)流程作為整體來考慮,即對流程的數(shù)據(jù)、知識和規(guī)則建模時,可以對每個業(yè)務(wù)流程活動和類型進行基于損失數(shù)據(jù)的風險評估和分析,做到每一個流程活動的流程管理和風險管理。
三、流程視角下的銀行內(nèi)部控制框架
自1992年美國COSO委員會《內(nèi)部控制框架》(簡稱COSO報告)以來,該內(nèi)部控制框架已經(jīng)被世界上許多銀行所采用,但理論界和實務(wù)界紛紛對內(nèi)部控制框架提出一些改進建議,強調(diào)內(nèi)部控制框架的建立應與銀行的風險管理尤其是操作風險相結(jié)合。新的全面風險管理框架就是在1992年的研究成果--《內(nèi)部控制框架》報告的基礎(chǔ)上,結(jié)合《薩班斯一奧克斯法案》(Sarbanes-OxleyAct)在報告方面的要求,進行擴展研究得到的。《薩班斯-奧克斯法案》是安然、世通等財務(wù)欺詐事件發(fā)生后,美國證監(jiān)會于2002年7月30日頒布并實施的強制所有在美國上市的公司在2006年財年結(jié)束前執(zhí)行的一項內(nèi)部控制法案,被美國總統(tǒng)布什稱為“自羅斯福總統(tǒng)以來美國商業(yè)界影響最為深遠的改革法案”。該法案要求組織機構(gòu)使用文檔化的財務(wù)政策和流程來改善可審計性,并更快地拿出財務(wù)報告。要求銀行針對產(chǎn)生財務(wù)交易的所有流程活動,都做到透明度、控制、通訊、風險管理和詐欺防治,并且這些流程必須詳加記錄到可追查交易源頭的地步。
在傳統(tǒng)的勞動分工原則下,職能部門把銀行的流程割裂成一個個獨立的環(huán)節(jié),關(guān)注的是單個任務(wù)或工作,其結(jié)果就是忽視內(nèi)部控制的動態(tài)性、系統(tǒng)性。從流程的視角出發(fā),就需要從顧客需求出發(fā),對銀行流程進行系統(tǒng)性的思考分析,或通過對銀行流程構(gòu)成要素的重新分解、組合,以此實現(xiàn)銀行流程徹底的改造和重新設(shè)計,從而獲得銀行績效的持續(xù)改進。它不再強調(diào)單個工作或任務(wù)自身是什么,而是這些工作是如何有效執(zhí)行的,因為銀行的一切經(jīng)營活動就是一系列富有邏輯關(guān)系的流程的有序集成,因而契合于銀行整個業(yè)務(wù)流程的內(nèi)部控制活動和程序,也將表現(xiàn)出如同流程再造那樣必須根據(jù)外界需求變化不斷檢視和調(diào)整的系統(tǒng)動態(tài)過程,這個過程也體現(xiàn)了銀行抵御外部影響而導致操作風險的柔性能力。
進一步看,流程實際上又是由一系列流程活動的集成,也即銀行就是一個為滿足履行要素使用權(quán)交易合約需求而設(shè)計的一系列流程活動的集合體。流程活動是通過組織、單位或成員按照一定的流程、活動的要求來完成。為此,內(nèi)部控制的功能不僅在于通過流程活動的分析,剔除非增值流程活動,實現(xiàn)流程的最優(yōu)化,而且還要保證最優(yōu)化的流程有效地運行,并在此基礎(chǔ)上根據(jù)客戶的不斷變化的需求產(chǎn)生最優(yōu)的流程。此時,內(nèi)部控制實際上進一步彰顯其過程化的行為,成為銀行最優(yōu)化、間接和理性的流程活動標準,并按照控制的循環(huán)步驟,實現(xiàn)內(nèi)部控制的目標。其具體過程如下圖3所示。
顯然,傳統(tǒng)的內(nèi)部控制強調(diào)權(quán)利與職責的分配、崗位相互之間的牽制等基本理念將受到嚴重挑戰(zhàn),原有“要素化”的控制方式將會被流程化、系統(tǒng)化的控制機制所取代,也就是說職能控制、崗位控制將被流程控制所替代,從上到下的分權(quán)控制將被各個流程活動之間的控制、各個任務(wù)之間的控制所替代。在流程視角下,信息流、資金流成為銀行經(jīng)營活動的基本組成要素。為迎合銀行業(yè)務(wù)流程管理和操作風險控制的需要,內(nèi)部控制實際上將演變成一種最優(yōu)化、簡潔和理性(合乎邏輯)的流程活動方式或流程活動標準,實現(xiàn)資金流和信息流的高度合一,達到控制和規(guī)避操作風險的目的。
四、基于流程活動的操作風險度量
巴塞爾新資本協(xié)議中將銀行業(yè)務(wù)分為8個產(chǎn)品線,19個二級目錄及50多個業(yè)務(wù)群組,但這種劃分只是停留在流程層面,并沒有深入到流程活動層面。正確劃分銀行流程活動,應從銀行本身的規(guī)模、戰(zhàn)略、業(yè)務(wù)特性和管理特點出發(fā)。對流程活動分解的越細,就越容易找到具體的風險驅(qū)動因素,從而越能對操作風險進行準確衡量與管理,因此,合乎邏輯的做法是將銀行業(yè)務(wù)劃分為產(chǎn)品線,再細分為流程,最后細分到流程活動。
定義、衡量和控制操作風險,不可能對所有的銀行流程活動都同樣關(guān)注,而應該重點關(guān)注銀行的核心流程活動,對銀行的增長和收益沒有貢獻的非核心的流程及流程活動不應予以考慮。
巴塞爾委員會將操作風險因素劃分為7個類型,在此基礎(chǔ)上進一步細分為20種、71個具體風險因素。Doerig(2004)將操作風險類型分為5大類,即組織,政策/過程,技術(shù),人員和外部,細分因素有20種;英國銀行服務(wù)局(FSA,2002)在其關(guān)于操作風險系統(tǒng)和控制的咨詢文件(CP142)中將形成操作風險的因素歸結(jié)為人的因素、過程和系統(tǒng)、外部事件、外部采購和保險等5個方面。盡管細分的風險因素中可能包含幾十種,但具體到不同的流程活動,很可能只有幾種因素在起作用。
銀行業(yè)務(wù)可以劃分為若干個產(chǎn)品線,每個產(chǎn)品線由一組流程組成,而每個流程又由一組關(guān)鍵流程活動ai構(gòu)成,每個流程活動都有潛在的fj種風險因素可能導致操作風險。圖4所示的流程活動和風險因素的組合顯示了基于流程活動的操作風險度量原理。
圖4中,橫坐標為關(guān)鍵流程活動,縱坐標為風險因素。圖中取1的為關(guān)鍵流程活動與風險因素的有效組合,取0表示該組合無效。例如組合(a2,f1)表示在流程活動a2中,風險因素f1不起作用。對于有效組合,可以進行衡量或評估以確定該組合下的風險損失Rij。如果確認了銀行業(yè)務(wù)中的所有關(guān)鍵流程活動ai和風險因素fj,那么就可以得到一個關(guān)鍵流程活動/風險因素組合有效性矩陣,在該矩陣中,有效組合取值為1,無效組合取值為0。
一般地,操作風險度量有兩大類方法,即自上而下法和自下而上法。自上而下法基于宏觀數(shù)據(jù)來度量操作風險,不去識別具體的損失事件和原因。自下而上法則是利用具體的事件來決定操作風險的來源并進行度量,屬于風險敏感方法。巴塞爾新資本協(xié)議中的前兩種方法屬于自上而下法,第三種方法即高級衡量法屬于自下而上法。委員會鼓勵銀行提高風險管理的復雜程度并采用更加精確的計量方法。基于流程活動的操作風險度量方法將銀行業(yè)務(wù)細分為流程活動,識別每一流程活動中潛在的具體風險因素,在此基礎(chǔ)上衡量風險損失,因而屬于風險敏感的自下而上方法。
該方法首先確認流程活動和風險因素將銀行操作風險暴露分解,EI(i,j)表示第i個流程活動在j類風險因素下的風險暴露;PE(i,j)表示流程活動i在風險因素j下操作風險發(fā)生的概率;LGE(i,j)表示流程活動i在風險因素j下的預期損失程度,那么,組合(ai,fj)的操作風險預期損失為:
如果數(shù)據(jù)是夠充分,模型還可以估算出不同風險損失之間的相關(guān)系數(shù),從而使計算結(jié)果更加準確。基于流程活動的操作風險度量深入到微觀的活動層面,對流程活動的各個要素和風險驅(qū)動因素進行分析,為銀行控制和緩釋操作風險提供了依據(jù)。
該方法將操作風險度量與管理有機地結(jié)合起來。將操作風險度量和管理建立在對銀行關(guān)鍵流程活動及潛在風險因素的清晰理解基礎(chǔ)之上,它考慮到了每個流程活動/風險因素組合(ai,fj)的損失分布,考慮到了流程活動之間的銜接同樣是操作風險的重要來源,考慮到了流程活動與流程活動之間、風險因素與風險因素之間的相關(guān)關(guān)系,從而保證了衡量的準確性。
第7篇：操作風險管理范文
關(guān)鍵詞：銀行；柜面；風險管理；思考
一、抓風險管理機制
穩(wěn)健有效的基礎(chǔ)是防控案件風險的一道堅實屏障。縱觀近幾年金融機構(gòu)發(fā)生的案件，管理不到位、履職不到位、監(jiān)管缺失是形成案件的根本原因。應著眼于建立成熟完善的風險防控制度和有效的考核激勵約束制度，構(gòu)筑立體的風險防控機制。目前，建設(shè)銀行已經(jīng)初步形成了風險防控的系列機制，如稽核系統(tǒng)、柜面監(jiān)測系統(tǒng)、現(xiàn)場非現(xiàn)場檢查、操作風險控制評價等，但操作風險管理的考核激勵機制還不甚完善，完善操作考核激勵制度勢在必行。在機構(gòu)考核方面，應將全面基礎(chǔ)管理水平與關(guān)鍵風險控制能力考核相結(jié)合；在人員考核方面，應覆蓋管理層、委派主管、前臺柜員等各層級人員；在考核期限上，應長、中、短期相結(jié)合，形成環(huán)環(huán)相扣的鏈式管理。并以之為抓手，引導管理方向，約束管理行為，查找管理的缺失和不足，準確傳導政策制度，將各項防控措施落實到最基層的每個機構(gòu)、每名操作柜員，達到有效控制風險的目的。
二、抓全行整體聯(lián)動
任何一個環(huán)節(jié)控制不到位，都會出現(xiàn)案件風險，除造成資金損失、損害建設(shè)銀行的社會形象外，還會牽扯上上下下的大量精力，影響業(yè)務(wù)發(fā)展。因此，防控案件風險，不是哪一個條線、哪一個部門的事，而是全行的大事，從各級領(lǐng)導到每一個員工，都必須重視風險防范工作，結(jié)合本職崗位履職盡責。全行上下要達成共識，各條線部門齊抓共管，業(yè)務(wù)交叉部位風險管理無空白；職能部門嚴格執(zhí)法，違規(guī)違紀行為責任落實追究到位；機構(gòu)負責人保一方平安，委派主管和紀檢監(jiān)察特派員強化過程管理，共同為業(yè)務(wù)健康快速發(fā)展創(chuàng)造良好的運營環(huán)境。
三、抓管理人員履職
各級管理人員對防范風險工作重視與否起著至關(guān)重要的作用。俗話說，針尖大的窟窿能漏斗大的風，管理人員不盡職，操作層面可能就會無視制度的存在，從而引發(fā)案件風險。各級管理人員要把案件風險看作懸在頭頂?shù)倪_摩克利斯之劍，時時警惕，處處小心，不以事小而疏忽，不因久安而懈怠。通過加強履職管理，提高履職質(zhì)量，促進風險防控能力提升。各級行長、主管行長首先要履行自身職責，按規(guī)定頻率和要求完成金庫、重空庫的檢查任務(wù)，作出表率。其次，要抓好本行各級管理人員的履職，包括主管部門的履職、機構(gòu)負責人的履職、委派主管的履職，并設(shè)立量化指標對其風險控制水平進行考核。通過前、中、后臺管理，事前、事中、事后控制，形成多層面，多角度的精細化管理體系，使風險管理無缺漏、無盲點。
四、抓案件防控重點
案件防控工作點多面廣，既涉及機構(gòu)又涉及人員，既涉及前臺又涉及后臺，既涉及管理層又涉及操作層。在這種形勢下，必須抓住主要矛盾進行重點管理和控制。
（一）抓重點機構(gòu)
防控案件風險，關(guān)鍵是抓短板。應根據(jù)操作風險控制評價結(jié)果，以及各級管理人員掌握的情況，重點關(guān)注四類機構(gòu)：一是會計基礎(chǔ)管理薄弱、風險控制能力差的機構(gòu)；二是業(yè)務(wù)發(fā)展與基礎(chǔ)管理水平不匹配的機構(gòu)；三是高風險業(yè)務(wù)集中的機構(gòu)；四是管理半徑長的偏遠機構(gòu)。對重點機構(gòu)，要重點進行幫扶，在管理資源上重點傾斜，逐個排除“地雷”、“炸彈”，對長期在低水平徘徊的機構(gòu)，可以考慮采取一些激進措施進行干預，改變其落后局面，補足管理短板。
（二）抓關(guān)鍵風險點
關(guān)鍵風險點是案件多發(fā)區(qū)和重災區(qū)，對其管理不到位，可能直接引發(fā)內(nèi)部案件，或形成外部欺詐，給銀行資金、銀行信譽造成不可挽回的損失。為加強事前防范，各行都應組織對關(guān)鍵風險點進行梳理，拿出切實可行的措施，嚴防死守，確保不出問題。重點關(guān)注以下12個關(guān)鍵風險點。
1.現(xiàn)金。尾箱、金庫、上門收款業(yè)務(wù)直接接觸現(xiàn)金和客戶賬，是內(nèi)部作案頻發(fā)部位。封箱鎖庫、調(diào)撥等操作不規(guī)范，崗位制約、輪換制度執(zhí)行不到位，賬務(wù)核對不及時，業(yè)務(wù)處理一手清，檢查流于形式，都會直接導致案件發(fā)生。
2.柜員崗位權(quán)限和授權(quán)管理。重要崗位人員不按規(guī)定輪崗、不兼容崗位混崗操作、操作權(quán)限過大、業(yè)務(wù)授權(quán)流于形式，是案件發(fā)生的重要原因。只有從源頭上防范操作風險、確保柜員在職責范圍內(nèi)行使職權(quán)、防范“一手清”現(xiàn)象，才能有效控制案件發(fā)生。
3.重要空白憑證和會計印章。銀行重要空白憑證、印章被盜用，或超范圍使用，對外出具資金證明、偽造銀行入賬憑證、偽造存款憑證、結(jié)算票據(jù)等違法違規(guī)行為，都會給銀行帶來直接或間接損失。在管理上，要做到“誰保管、誰使用、誰負責”，防止產(chǎn)生嚴重后果。
4.柜面操作違規(guī)。柜面業(yè)務(wù)操作中的不良習慣和誤操作，弱化了內(nèi)部監(jiān)督制衡機制，為案件和重大違規(guī)事件埋下了風險隱患。更嚴重的是，這種風險可以隨著客戶來賬資金數(shù)額的增加而被放大。對違規(guī)操作行為要采取零容忍態(tài)度，嚴肅問責；對屢查屢犯，要加重處罰。同時加強員工崗位規(guī)范操作培訓，特別是要研究制定提高新員工崗前培訓效果的有效措施，培養(yǎng)員工規(guī)范操作的習慣。
5.司法協(xié)助和掛失業(yè)務(wù)。最主要的風險是外部欺詐和糾紛。對外，要警惕犯罪分子使用偽造的證件，盜取、詐騙客戶和銀行資金。對內(nèi)，要遵紀守法，不得協(xié)助轉(zhuǎn)移客戶資金；嚴密司法協(xié)助通知書回執(zhí)回復，避免銀行擔責、墊款。同時還要防范內(nèi)部員工通過掛失手段盜取客戶資金。
6.單位和個人結(jié)算賬戶。結(jié)算賬戶是犯罪分子作案的重要載體，除結(jié)算賬戶相關(guān)資料的合規(guī)性外，還要規(guī)范管理與結(jié)算賬戶相關(guān)的協(xié)議、印鑒卡等，防止出現(xiàn)通過虛假資料、證件開立各類結(jié)算賬戶，盜換單位預留印鑒，從而形成盜取客戶資金案件的風險。此外，還要防范洗錢、恐怖融資等違法行為。
7.票據(jù)業(yè)務(wù)。票據(jù)業(yè)務(wù)風險最主要的是票據(jù)以及交易背景的真實性，要通過配備必要的鑒別儀器，提高柜員識假反假能力，防范克隆票據(jù)、變造票據(jù)、假票據(jù)給企業(yè)和銀行造成的巨大資金風險。
8.內(nèi)部賬戶。內(nèi)部賬戶種類繁多，發(fā)生業(yè)務(wù)頻繁，如缺乏監(jiān)督清理機制，發(fā)生利用內(nèi)部賬違規(guī)墊付資金、盜取資金案件，因其隱蔽性較強，不能及時發(fā)現(xiàn)。對此問題，關(guān)鍵是要加強內(nèi)部審核和監(jiān)管，嚴格簽字授權(quán)制度，專人核對，重點檢查。
9.代辦、自辦業(yè)務(wù)。這類問題已列入員工禁止行為，必須堅決杜絕，對違規(guī)人員進行嚴肅處理。審計檢查已發(fā)現(xiàn)個別員工利用本人或本人控制的銀行賬戶進行代客戶套現(xiàn)、代客理財、工資、過渡營銷費用、虛增存款和庫存現(xiàn)金、調(diào)劑庫款等違規(guī)行為，潛在案件隱患極大。
10.工資業(yè)務(wù)。與業(yè)務(wù)相關(guān)的協(xié)議不健全，客戶提供非加密數(shù)據(jù)（可被增、刪、改），違規(guī)在網(wǎng)點安裝批量代工客戶端，違規(guī)代客戶操作，都是引發(fā)內(nèi)部道德風險和外部商業(yè)糾紛的風險點。
11.自助設(shè)備。自助設(shè)備作為柜面業(yè)務(wù)的主要分流工具，近年設(shè)備數(shù)量與業(yè)務(wù)量劇增，以自助設(shè)備為對象的案件也呈增長趨勢，需引起高度警惕。對自助設(shè)備管理存在的問題需相關(guān)部門齊抓共管，嚴禁混崗操作，規(guī)范密碼、鑰匙的使用與保管，確保錢款安全。
12.后臺核算中心。核算中心機構(gòu)號下掛靠部門多、業(yè)務(wù)員分屬不同部門，因此在不相容崗位設(shè)置、柜員崗位權(quán)限、重要單證及印章、加強內(nèi)部對賬等方面要嚴格管理，將責任落實到人。核算中心作為頭寸機構(gòu)，具有資金出入量大、系統(tǒng)操作維護權(quán)限大的特點，必須嚴把審核關(guān)、操作關(guān)、授權(quán)關(guān)，才能有效控制風險，不出案件。
第8篇：操作風險管理范文
關(guān)鍵字: 流程；操作風險；商業(yè)銀行
中圖分類號：F830.49文獻標識碼：B文章編號：1006-1770(2006)09-053-03
一、引言
隨著銀行服務(wù)的全球化、技術(shù)系統(tǒng)的更新、交易量的提高、日趨復雜的交易工具和交易策略等，都增大了銀行機構(gòu)面臨的操作風險。對整個銀行業(yè)和國際監(jiān)管機構(gòu)引起巨大震撼的“巴林銀行”事件，從表面上來說是由于“關(guān)東大地震”所導致的日經(jīng)指數(shù)期貨暴跌，日本政府債券卻一路上揚，里森不幸在這兩個品種上都持有錯誤方向的籌碼。這種突然來臨的市場風險直接導致了里森的，及巴林銀行的清盤倒閉。但本質(zhì)上，卻是由于巴林銀行混亂的內(nèi)部控制與風險管理體系所導致的，徹頭徹尾是由于操作風險而招致的滅頂之災。巴林事件之所以能發(fā)生，關(guān)鍵在于：交易與清算之間應有的制度執(zhí)行缺失，業(yè)務(wù)流程應履行的監(jiān)督失靈所導致。
操作風險源自于內(nèi)部程序不完善、人為失誤、系統(tǒng)故障和外部事件的影響，而銀行業(yè)務(wù)流程是操作風險發(fā)生的主要載體，規(guī)范、科學、運行良好的業(yè)務(wù)流程，能從根本上起到規(guī)避和減少操作風險的作用。因此，從流程角度來研究操作風險管理是從商業(yè)銀行操作風險管理和流程管理理論的內(nèi)在耦合性出發(fā)，對銀行操作風險管理所做的有益嘗試。
二、流程與操作風險
操作風險的核心概念是操作(operations)，其本意是“運營或發(fā)揮功能的活動或流程(the act or process of operating or functioning,美國傳統(tǒng)辭典)”，中心詞是活動或流程（act或process）。實際上，商業(yè)銀行本身就是一個為最終滿足顧客需求、實現(xiàn)投資者價值最大化而運行的一系列有密切聯(lián)系的業(yè)務(wù)流程和活動的集合體。2005年中國銀監(jiān)會主席劉明康就指出“流程銀行”是商業(yè)銀行變革的方向之一，凸顯了“流程”在現(xiàn)代商業(yè)銀行中的重要地位。銀行提品或服務(wù)的過程，即是承擔風險、消耗資源使得價值從一個業(yè)務(wù)流程或活動轉(zhuǎn)移到下一個業(yè)務(wù)流程或活動的過程，最終商品或勞務(wù)既是全部業(yè)務(wù)流程的集合，也是全部資源、全部風險的集合。國內(nèi)外許多學者在這方面進行了研究，從國內(nèi)的研究看，主要集中在操作風險的管理框架、度量方法及風險值衡量、基于工作流的操作風險控制及基于流程管理的銀行信息化等方面。從國外看，Ebnother et al. (2002 )認為操作風險的衡量和管理一定是基于定義良好的流程，它們是操作風險管理的“精微平臺(microscopic level)”，該文獻中也提到了流程活動的概念，但它們只是作為流程的附屬存在。Leippold et al. (2003) 提出并應用價值鏈的概念來模型化操作風險，而價值鏈實質(zhì)就是基于流程展開的。這些研究雖然涉及到流程和操作風險之間的關(guān)系，但較為全面論述二者關(guān)系的文章還沒有見到，特別是將流程理論和操作風險緊密結(jié)合起來，重新審視操作風險管理。因此本文從流程出發(fā)，以流程的視角分析操作風險管理的兩個重要內(nèi)容：內(nèi)部控制和風險度量，為銀行操作風險管理提供一個新的思路。
所謂流程，普適的定義是指為特定客戶和市場提品和服務(wù)而實施的一系列精心設(shè)計的有邏輯相關(guān)性的活動(Davenport & Short, 1991)。流程進一步細分為活動(或稱為流程活動，activity ) ，流程活動是流程的最基本要素。一個流程活動是接收某一種類型的輸入，并在某種規(guī)則控制下，利用某些資源，經(jīng)過特定變換轉(zhuǎn)化為輸出的過程，即：
流程活動={輸入，處理規(guī)則，資源，輸出}
其中，資源是指流程活動執(zhí)行者在執(zhí)行這一流程活動時所依賴的方法或憑借的手段。一個流程中的基本流程活動是不可再分的流程活動，其特征包括：明確的結(jié)果；清楚的邊界；獨立于其他流程活動。
銀行業(yè)務(wù)流程就是銀行實現(xiàn)自身價值所進行的一系列的業(yè)務(wù)活動，它是銀行的核心價值活動，也是隱含風險，造成損失的重要載體。
我國商業(yè)銀行現(xiàn)有的業(yè)務(wù)流程可以分為直接創(chuàng)造價值的前臺客戶服務(wù)流程和為直接創(chuàng)造價值活動服務(wù)的后臺支持流程，這兩個流程按照J?佩帕德和P?羅蘭的劃分分別屬于銀行的經(jīng)營流程和保障流程。對我國的商業(yè)銀行而言，前臺后臺的業(yè)務(wù)流程類型如圖1所示：
從流程的角度來考察操作風險，也可以從操作風險的定義中反映出來。巴塞爾委員會的定義是：“由于不當或失敗的內(nèi)部程序、人員和系統(tǒng)或外部事件導致?lián)p失的風險”，這一定義包含四類因素，即人員，程序，系統(tǒng)和外部事件，但都通過業(yè)務(wù)流程發(fā)生作用。瑞士信貸集團的定義是“由于以不當或失敗的方式操作流程活動而對業(yè)務(wù)帶來負面影響的風險，操作風險也可能是由外部因素造成的”。全球衍生產(chǎn)品研究小組曾經(jīng)給操作風險下過這樣一個定義：“操作風險是指由于控制和系統(tǒng)的不完善、人為的錯誤或管理不當所導致的損失的風險。”它是從人員、系統(tǒng)和操作流程三個方面對操作風險進行了界定，并且把管理作為防止操作風險的決定性因素。銀行操作風險涉及組織的各個方面，主要發(fā)生在銀行服務(wù)的各種流程活動之中，流程中的人、系統(tǒng)和操作程序就成為操作風險管理的重點。因而操作風險管理的重要內(nèi)容是規(guī)范、監(jiān)視和分析組織內(nèi)部的各種流程，同時將人和系統(tǒng)的因素考慮到流程之中。
由圖2可以看出，風險管理流程作為一項支持性的經(jīng)常活動，對其它流程有著監(jiān)督的作用，因而可以將風險管理流程和普通業(yè)務(wù)流程作為整體來考慮，即對流程的數(shù)據(jù)、知識和規(guī)則建模時，可以對每個業(yè)務(wù)流程活動和類型進行基于損失數(shù)據(jù)的風險評估和分析，做到每一個流程活動的流程管理和風險管理。
三、流程視角下的銀行內(nèi)部控制框架
自1992年美國COSO委員會《內(nèi)部控制框架》(簡稱COSO報告)以來，該內(nèi)部控制框架已經(jīng)被世界上許多銀行所采用，但理論界和實務(wù)界紛紛對內(nèi)部控制框架提出一些改進建議，強調(diào)內(nèi)部控制框架的建立應與銀行的風險管理尤其是操作風險相結(jié)合。新的全面風險管理框架就是在1992年的研究成果--《內(nèi)部控制框架》報告的基礎(chǔ)上，結(jié)合《薩班斯一奧克斯法案》(Sarbanes-OxleyAct)在報告方面的要求，進行擴展研究得到的。《薩班斯－奧克斯法案》是安然、世通等財務(wù)欺詐事件發(fā)生后，美國證監(jiān)會于2002年7月30日頒布并實施的強制所有在美國上市的公司在2006年財年結(jié)束前執(zhí)行的一項內(nèi)部控制法案，被美國總統(tǒng)布什稱為“自羅斯福總統(tǒng)以來美國商業(yè)界影響最為深遠的改革法案”。該法案要求組織機構(gòu)使用文檔化的財務(wù)政策和流程來改善可審計性，并更快地拿出財務(wù)報告。要求銀行針對產(chǎn)生財務(wù)交易的所有流程活動，都做到透明度、控制、通訊、風險管理和詐欺防治，并且這些流程必須詳加記錄到可追查交易源頭的地步。
在傳統(tǒng)的勞動分工原則下，職能部門把銀行的流程割裂成一個個獨立的環(huán)節(jié)，關(guān)注的是單個任務(wù)或工作，其結(jié)果就是忽視內(nèi)部控制的動態(tài)性、系統(tǒng)性。從流程的視角出發(fā)，就需要從顧客需求出發(fā)，對銀行流程進行系統(tǒng)性的思考分析，或通過對銀行流程構(gòu)成要素的重新分解、組合，以此實現(xiàn)銀行流程徹底的改造和重新設(shè)計，從而獲得銀行績效的持續(xù)改進。它不再強調(diào)單個工作或任務(wù)自身是什么，而是這些工作是如何有效執(zhí)行的，因為銀行的一切經(jīng)營活動就是一系列富有邏輯關(guān)系的流程的有序集成，因而契合于銀行整個業(yè)務(wù)流程的內(nèi)部控制活動和程序，也將表現(xiàn)出如同流程再造那樣必須根據(jù)外界需求變化不斷檢視和調(diào)整的系統(tǒng)動態(tài)過程，這個過程也體現(xiàn)了銀行抵御外部影響而導致操作風險的柔性能力。
進一步看，流程實際上又是由一系列流程活動的集成，也即銀行就是一個為滿足履行要素使用權(quán)交易合約需求而設(shè)計的一系列流程活動的集合體。流程活動是通過組織、單位或成員按照一定的流程、活動的要求來完成。為此，內(nèi)部控制的功能不僅在于通過流程活動的分析，剔除非增值流程活動，實現(xiàn)流程的最優(yōu)化，而且還要保證最優(yōu)化的流程有效地運行，并在此基礎(chǔ)上根據(jù)客戶的不斷變化的需求產(chǎn)生最優(yōu)的流程。此時，內(nèi)部控制實際上進一步彰顯其過程化的行為，成為銀行最優(yōu)化、間接和理性的流程活動標準，并按照控制的循環(huán)步驟，實現(xiàn)內(nèi)部控制的目標。其具體過程如下圖3所示。
顯然，傳統(tǒng)的內(nèi)部控制強調(diào)權(quán)利與職責的分配、崗位相互之間的牽制等基本理念將受到嚴重挑戰(zhàn)，原有“要素化”的控制方式將會被流程化、系統(tǒng)化的控制機制所取代，也就是說職能控制、崗位控制將被流程控制所替代，從上到下的分權(quán)控制將被各個流程活動之間的控制、各個任務(wù)之間的控制所替代。在流程視角下，信息流、資金流成為銀行經(jīng)營活動的基本組成要素。為迎合銀行業(yè)務(wù)流程管理和操作風險控制的需要，內(nèi)部控制實際上將演變成一種最優(yōu)化、簡潔和理性(合乎邏輯)的流程活動方式或流程活動標準，實現(xiàn)資金流和信息流的高度合一，達到控制和規(guī)避操作風險的目的。
四、基于流程活動的操作風險度量
巴塞爾新資本協(xié)議中將銀行業(yè)務(wù)分為8個產(chǎn)品線，19個二級目錄及50多個業(yè)務(wù)群組，但這種劃分只是停留在流程層面，并沒有深入到流程活動層面。正確劃分銀行流程活動，應從銀行本身的規(guī)模、戰(zhàn)略、業(yè)務(wù)特性和管理特點出發(fā)。對流程活動分解的越細，就越容易找到具體的風險驅(qū)動因素，從而越能對操作風險進行準確衡量與管理，因此，合乎邏輯的做法是將銀行業(yè)務(wù)劃分為產(chǎn)品線，再細分為流程，最后細分到流程活動。
定義、衡量和控制操作風險，不可能對所有的銀行流程活動都同樣關(guān)注，而應該重點關(guān)注銀行的核心流程活動，對銀行的增長和收益沒有貢獻的非核心的流程及流程活動不應予以考慮。
巴塞爾委員會將操作風險因素劃分為7個類型，在此基礎(chǔ)上進一步細分為20種、71個具體風險因素。Doerig(2004)將操作風險類型分為5大類，即組織，政策/過程，技術(shù)，人員和外部，細分因素有20種；英國銀行服務(wù)局(FSA , 2002)在其關(guān)于操作風險系統(tǒng)和控制的咨詢文件(CP142)中將形成操作風險的因素歸結(jié)為人的因素、過程和系統(tǒng)、外部事件、外部采購和保險等5個方面。盡管細分的風險因素中可能包含幾十種，但具體到不同的流程活動，很可能只有幾種因素在起作用。
銀行業(yè)務(wù)可以劃分為若干個產(chǎn)品線，每個產(chǎn)品線由一組流程組成，而每個流程又由一組關(guān)鍵流程活動ai構(gòu)成，每個流程活動都有潛在的fj 種風險因素可能導致操作風險。圖4所示的流程活動和風險因素的組合顯示了基于流程活動的操作風險度量原理。
圖4中，橫坐標為關(guān)鍵流程活動，縱坐標為風險因素。圖中取1的為關(guān)鍵流程活動與風險因素的有效組合，取0表示該組合無效。例如組合(a2, f1)表示在流程活動a2中，風險因素f1不起作用。對于有效組合，可以進行衡量或評估以確定該組合下的風險損失Rij。如果確認了銀行業(yè)務(wù)中的所有關(guān)鍵流程活動ai和風險因素fj，那么就可以得到一個關(guān)鍵流程活動/風險因素組合有效性矩陣，在該矩陣中，有效組合取值為1，無效組合取值為0。
一般地，操作風險度量有兩大類方法，即自上而下法和自下而上法。自上而下法基于宏觀數(shù)據(jù)來度量操作風險，不去識別具體的損失事件和原因。自下而上法則是利用具體的事件來決定操作風險的來源并進行度量，屬于風險敏感方法。巴塞爾新資本協(xié)議中的前兩種方法屬于自上而下法，第三種方法即高級衡量法屬于自下而上法。委員會鼓勵銀行提高風險管理的復雜程度并采用更加精確的計量方法。基于流程活動的操作風險度量方法將銀行業(yè)務(wù)細分為流程活動，識別每一流程活動中潛在的具體風險因素，在此基礎(chǔ)上衡量風險損失，因而屬于風險敏感的自下而上方法。
該方法首先確認流程活動和風險因素將銀行操作風險暴露分解，EI(i,j)表示第i個流程活動在j類風險因素下的風險暴露；PE(i,j)表示流程活動i在風險因素j下操作風險發(fā)生的概率；LGE(i,j)表示流程活動i在風險因素j下的預期損失程度，那么，組合(ai, fj)的操作風險預期損失為：
如果數(shù)據(jù)是夠充分，模型還可以估算出不同風險損失之間的相關(guān)系數(shù)，從而使計算結(jié)果更加準確。基于流程活動的操作風險度量深入到微觀的活動層面，對流程活動的各個要素和風險驅(qū)動因素進行分析，為銀行控制和緩釋操作風險提供了依據(jù)。
該方法將操作風險度量與管理有機地結(jié)合起來。將操作風險度量和管理建立在對銀行關(guān)鍵流程活動及潛在風險因素的清晰理解基礎(chǔ)之上，它考慮到了每個流程活動/風險因素組合(ai, fj)的損失分布，考慮到了流程活動之間的銜接同樣是操作風險的重要來源，考慮到了流程活動與流程活動之間、風險因素與風險因素之間的相關(guān)關(guān)系，從而保證了衡量的準確性。
五、結(jié)論
操作風險的基本定義表明，操作風險主要載體是業(yè)務(wù)流程，本文研究了流程視角下的操作風險管理，闡述了基于流程的商業(yè)銀行內(nèi)部控制和操作風險度量，為進一步“流程銀行”的操作風險管理模式研究打下了理論基礎(chǔ)。
作者簡介：
胡衍強 同濟大學經(jīng)濟與管理學院博士生
第9篇：操作風險管理范文
[關(guān)鍵詞]巴塞爾新資本協(xié)議；操作風險管 ；IS027001；信息資產(chǎn)
[中圖分類號]F831 [文獻標識碼]A [文章編號]1006-5024(2009)04-0167-04
[作者簡介]董紅，北京航空航天大學經(jīng)濟管理學院博士生，研究方向為風險管理與決策；(北京100083)
邱菀華，中國光大銀行總行風險管理部教授，博士生導師，研究方向為決策、風險與項目管理；
林直友，中國光大銀行總行風險管理部業(yè)務(wù)經(jīng)理、碩士，研究方向為金融風險管理。(北京100045)
金融業(yè)的全面開放和金融服務(wù)的管制放松，以及高端化的信息技術(shù)，使銀行的業(yè)務(wù)、產(chǎn)品日益多元化，這直接導致其面臨的風險更為復雜和多樣。國內(nèi)外銀行業(yè)重大違規(guī)事件及美國金融海嘯影響的迅速擴大，迫切需要國內(nèi)外金融監(jiān)管部門和從業(yè)機構(gòu)反思對操作風險的管理和防范，加強合規(guī)管理。2004年的巴塞爾新資本協(xié)議，將操作風險正式納入資本監(jiān)管范圍，并進一步提出了明確的監(jiān)管資本要求。2007年我國銀監(jiān)會再次對其進行解讀和說明。然而，由于操作風險情況復雜，與銀行自身的規(guī)模、經(jīng)驗、業(yè)務(wù)特征等密切相關(guān)，具有和動態(tài)變化等特點。因此，探索適合銀行不同類別操作風險特點的管理和計量方法，是一項十分重要而緊迫的課題。
一、操作風險管理的困惑與問題
到目前為止，有關(guān)操作風險的定義、管理及計量問題一直困擾著各家商業(yè)銀行和監(jiān)管機構(gòu)，國內(nèi)外銀行也未對它形成統(tǒng)一的認識。本文采用至今已被大多數(shù)銀行所接受的巴塞爾銀行監(jiān)管委員會有關(guān)操作風險的定義，即由于不完善或有問題的內(nèi)部程序、人員和系統(tǒng)或因外部事件導致?lián)p失的風險。新資本協(xié)議從風險監(jiān)管的角度將操作風險事件劃分為七種類型，包括內(nèi)部欺詐，外部欺詐，雇員活動和工作場所的安全問題，客戶、產(chǎn)品和業(yè)務(wù)活動的安全問題，銀行維系經(jīng)營的實物資產(chǎn)損壞，業(yè)務(wù)中斷和系統(tǒng)故障，執(zhí)行、交付和過程管理等。就其風險成因可分為人員、流程、系統(tǒng)和外部事件四大類。此外，按產(chǎn)品線將商業(yè)銀行的業(yè)務(wù)劃分為公司金融、交易和銷售、零售銀行業(yè)務(wù)、商業(yè)銀行業(yè)務(wù)、支付和結(jié)算、業(yè)務(wù)、資產(chǎn)管理和零售經(jīng)紀類，并對每一類產(chǎn)品分別規(guī)定不同的操作風險資本要求系數(shù)，籍以用標準法計算操作風險總體資本要求。
巴塞爾委員會給出了管理操作風險的十大原則，但這些原則都是從宏觀角度要求商業(yè)銀行應該建立什么
樣的組織、制度和流程，并未給出管理操作風險的詳細方法和手段。實際工作中，我們發(fā)現(xiàn)信息資產(chǎn)是商業(yè)銀行極其重要的一類資產(chǎn)，在信息時代，一個機構(gòu)要利用其擁有的資產(chǎn)，特別是信息資產(chǎn)來完成其使命，因此，對信息資產(chǎn)的管理關(guān)系到該機構(gòu)能否完成其使命的大事。然而，由于信息資產(chǎn)對IT系統(tǒng)的依賴性很強，絕大部分具有無形化、易變化、易傳播的特點，且風險存在于其產(chǎn)生、傳遞、使用和銷毀等各個環(huán)節(jié)，與一般銀行產(chǎn)品相比，具有很大的獨特性。所以，我們建議將此類資產(chǎn)作為商業(yè)銀行一類獨特的產(chǎn)品線來進行管理。在實踐中，我們發(fā)現(xiàn)ISO27001為有效管理組織的信息資產(chǎn)、確保信息安全提出了一整套要求和最佳實踐指南。它從11個方面對信息資產(chǎn)的安全管理提出要求，其管理思想完全符合操作風險的管理原則，并且是在其原則基礎(chǔ)上的細化，如高層管理的支持和承諾、資源管理、風險評估、內(nèi)部審核、信息的溝通、有效性測量和改進，等等。可見，ISO27001不僅適用于多數(shù)IT軟硬件開發(fā)等企業(yè)，同時也適用于銀行、保險等信息化程度較高的金融行業(yè)。
因此，我們希望能夠使用ISO27001的管理標準來細化商業(yè)銀行信息資產(chǎn)類產(chǎn)品的風險管理，進而按照操作風險管理的總體原則與其他類產(chǎn)品進行融合，最終實現(xiàn)在總體框架要求下對信息資產(chǎn)類操作風險的細化管理。
二、ISO27001簡介
ISO／IEC27001源自英國標準協(xié)會制定的BS7799，包括兩部分內(nèi)容：BS7799―1信息安全管理實施細則和BS7799-2信息安全管理體系規(guī)范。其中，BS7799-1被ISO組織吸納為ISO／IEC17799，BS7799-2升版并轉(zhuǎn)換為國際標準ISO／IEC2700I，它是建立信息安全管理體系ISMS(Information se-curity Management systems)的一套需求規(guī)范，其中詳細說明了建立、實施和維護信息安全管理體系的要求，指出組織應遵循的風險評估標準。
信息是一種資產(chǎn)，就像其他重要的業(yè)務(wù)資產(chǎn)一樣，對組織是不可或缺的，需要妥善保護。根據(jù)ISO／IEC27001的定義，資產(chǎn)是對組織有價值的任何東西。它能以多種形式存在，如有形資產(chǎn)(硬件、軟件、數(shù)據(jù)文件、人員等)、無形資產(chǎn)(聲譽、品牌、客戶關(guān)系等)、輔助資產(chǎn)(信息資產(chǎn)的制造、存儲、傳輸、處理、銷毀等)。信息安全就是指保持這些資產(chǎn)的機密性、完整性和可用性。另外，也可包括諸如真實性、可核查性、不可否認性和可靠性等。
1 機密性――信息具有不能被未授權(quán)的個人、實體或者過程利用或知悉的特性。
2 完整性――保護資產(chǎn)的準確和完整的特性。
3 可用性――根據(jù)授權(quán)實體的要求可訪問和利用的特性。
企業(yè)的業(yè)務(wù)戰(zhàn)略以企業(yè)的資產(chǎn)來得以體現(xiàn)，但資產(chǎn)自身不可避免地帶有漏洞，我們稱之為資產(chǎn)的脆弱性。外界的威脅則利用資產(chǎn)的脆弱性，給企業(yè)帶來風險。信息安全就是要保護信息資產(chǎn)免受威脅的影響，從而確保業(yè)務(wù)的連續(xù)性，縮減業(yè)務(wù)風險，最大化投資收益并充分把握業(yè)務(wù)機會。構(gòu)建信息安全管理體系，就是通過對組織信息資產(chǎn)的風險評估，確定重要信息資產(chǎn)清單以及風險等級，從而采取相應的控制措施來實現(xiàn)信息資產(chǎn)的安全性。信息安全管理的核心是風險管理，其對象是組織的信息資產(chǎn)。我們將其作為操作風險管理產(chǎn)品線之外的第九類特殊產(chǎn)品線，評估其價值和風險，確定相應的安全需求，并制定安全措施來降低和控制資產(chǎn)的風險。
可見，信息安全風險，是指由于系統(tǒng)存在的脆弱性、人為或自然的威脅導致安全事件發(fā)生的可能性及其造成的影響，包括由于IT流程缺陷、系統(tǒng)的業(yè)務(wù)需求／流程控制缺陷、信息系統(tǒng)脆弱性、操作人員無意／蓄意失誤、外部事件等因素直接導致業(yè)務(wù)操作風險并間接導致信用、市場、聲譽等風險。它不僅存在于應用系統(tǒng)及IT基礎(chǔ)設(shè)施等信息資產(chǎn)中，而且存在于業(yè)務(wù)流程及管理流程中。ISMS是通過實施一整套適當?shù)目?/p>
制措施來實現(xiàn)目標的，包括策略、過程、程序、組織結(jié)構(gòu)和軟硬件功能，他們可以是行政、技術(shù)、管理、法律等方面的。IS017799包含了11個管理要項，既有偏重管理的信息安全方針、安全組織、資產(chǎn)管理、人員安全、物理和環(huán)境安全、事故管理、業(yè)務(wù)連續(xù)性管理、法律符合性等方面，也有偏重于技術(shù)的通信和操作管理、訪問控制、系統(tǒng)開發(fā)和維護等內(nèi)容，每一部分都針對不同的主體或范圍，在這11個管理要項中，它又細分為39個控制目標和133個控制措施。可以說，ISO／IEC27001是目前國際上關(guān)于信息安全管理要求最全面、最完整的體系，可有效防范信息資產(chǎn)風險，從而進一步鞏固操作風險的駕馭能力，保證組織核心業(yè)務(wù)的持續(xù)運行。
三、基于風險的信息安全管理體系的構(gòu)建
信息安全管理體系是基于業(yè)務(wù)風險方法建立、實施、運行、監(jiān)視、評審、保持和改進信息安全，提出了基于戴明環(huán)的Plan-Do-Check-Act(PDCA)風險模型，強調(diào)全過程和動態(tài)的控制，如圖所示。它的設(shè)計思路充分體現(xiàn)了“過程方法”的特點，以過程為控制對象，在業(yè)務(wù)和風險管理過程中控制風險，實現(xiàn)持續(xù)改進，并達到監(jiān)管方要求實現(xiàn)的事前、事中、事后全程控制。
(一)策劃并建立信息安全管理體系
1 確定安全方針和范圍
信息安全管理體系可覆蓋組織的全部或部分，組織需根據(jù)業(yè)務(wù)特征、地理位置、資產(chǎn)和技術(shù)等明確界定體系的范圍，并使之文件化。另外，要制定ISMS方針和策略，它是指導如何對組織信息資產(chǎn)進行管理的規(guī)則，是構(gòu)建信息安全管理體系的宗旨。它表明了管理層的承諾，提出組織管理信息安全的方法，為組織的信息安全管理提供方向和支持。
2 資產(chǎn)的識別和評價
資產(chǎn)管理是實施有效ISMS的基礎(chǔ)，也是風險評估的核心內(nèi)容。資產(chǎn)管理的優(yōu)劣直接影響評估的效率和質(zhì)量以及保持循環(huán)評估的連續(xù)性，而且有助于預見這些數(shù)據(jù)在之后風險分析中的重要作用。
資產(chǎn)識別A：為保證資產(chǎn)識別的合理性，建議組織從業(yè)務(wù)流程角度(縱向比較)和信息活動(橫向比較)兩個角度進行。在清晰識別資產(chǎn)后，組織應根據(jù)資產(chǎn)的重要性形成文件，建立資產(chǎn)清單，包含資產(chǎn)類型、格式、位置、責任人、備份信息和業(yè)務(wù)價值。
資產(chǎn)評價的目的是確保資產(chǎn)受到相應等級的保護，以保障在處理信息時指明保護的需求、優(yōu)先級和期望程度。企業(yè)的所有資產(chǎn)都處在業(yè)務(wù)流程和相應的支持過程中，資產(chǎn)的重要程度，應根據(jù)其所處業(yè)務(wù)流程的位置，且與其它資產(chǎn)的比較中界定。通過分析資產(chǎn)的機密性、完整性、可用性及其它需求進行評估。對資產(chǎn)賦值時，一方面要考慮資產(chǎn)購買成本，另一方面也要考慮當這種資產(chǎn)的機密性、完整性和可用性受到損害時，對業(yè)務(wù)運營的負面影響程度。
3 風險評估
資產(chǎn)管理和風險評估是相輔相成，緊密相連的。在實際操作過程中，資產(chǎn)管理數(shù)據(jù)可為風險評估提供支持；而每次風險評估正是對資產(chǎn)管理數(shù)據(jù)進行修正和維護的過程。因此，定義全面合理的信息安全風險評估方法及風險可接受準則是十分關(guān)鍵的。評估方法要和組織既定的體系范圍、安全需求、法律法規(guī)相適應。另外，組織應建立風險評估文件，解釋和說明所選擇的風險評估方法，介紹所采用的技術(shù)和工具。
(1)威脅識別T：威脅是對組織及其資產(chǎn)構(gòu)成潛在破壞的可能性因素或事件。評估者應根據(jù)經(jīng)驗和有關(guān)統(tǒng)計數(shù)據(jù)判斷威脅發(fā)生的頻率或概率。
(2)脆弱性識別V：弱點是資產(chǎn)本身存在的，若被威脅利用將引起資產(chǎn)或目標的損害。我們將針對每一項要保護的信息資產(chǎn)，找出每一種威脅所能利用的脆弱性，并對其嚴重程度進行評估，為其賦值。
(3)對已有安全控制措施進行確認。
(4)建立風險測量的方法及風險等級評價原則，結(jié)合資產(chǎn)本身的價值、威脅發(fā)生的概率、威脅利用弱點的影響程度和已有控制等來確定風險的大小與等級R。即R=f(A，v，T)＝f[Ia，L(Va，T)]，其中Ia表示資產(chǎn)的重要程度；Va表示某資產(chǎn)本身的脆弱性，L表示威脅利用脆弱性對資產(chǎn)造成安全事件的可能性。
(5)識別并評價風險處理的方法，包括接受風險、降低風險、規(guī)避風險、轉(zhuǎn)移風險等。組織應加以分析，區(qū)別對待所識別的信息安全風險。若風險滿足組織可接受的風險準則，將接受風險。否則，考慮規(guī)避風險或轉(zhuǎn)移風險。若無法規(guī)避或轉(zhuǎn)移的風險，應采取適當?shù)目刂拼胧瑢⑺档偷娇山邮芩健?/p>
(6)選擇控制目標和措施
選擇并建立文件化的控制目標和措施，制定風險處置計劃。ISO27001系列強調(diào)在風險處理方式及控制措施的選擇上，組織應考慮發(fā)展戰(zhàn)略、組織文化、人員素質(zhì)，并特別關(guān)注成本與風險的平衡，以滿足法律法規(guī)及相關(guān)方的要求。另外，實施控制措施后仍會有殘余風險存在，我們需要密切監(jiān)視這些風險，防止它誘發(fā)新的風險事件。
(7)獲得最高管理者的授權(quán)批準
風險識別和評估對后續(xù)可行的風險監(jiān)測和控制至關(guān)重要。有效的風險識別要同時考慮內(nèi)部因素(如企業(yè)結(jié)構(gòu)、性質(zhì)、文化以及人員的素質(zhì)和流動性等)和外部因素(如環(huán)境的變化和技術(shù)的發(fā)展)，他們可能對組織目標的實現(xiàn)造成重大不利影響。在識別絕大多數(shù)潛在的不利風險的同時，組織還應該評估自身對這些風險的承受能力。通過有效的風險評估，組織可以更好地掌握其風險狀況和最有效地使用風險管理資源。
(二)實施并運行信息安全管理體系
闡明并實施風險處置計劃。在此過程中，組織應指明和分配適當?shù)墓芾泶胧①Y源(人員、時間和資金)、職責和優(yōu)先級。針對不同的管理層次、崗位和職責制訂不同的培訓計劃，記錄并考核培訓的效果。通過提高全員的信息安全意識，塑造企業(yè)的風險文化，保證意識和控制活動的同步，確保體系的持續(xù)有效性和實時性。同時，組織應搜集證據(jù)、記錄信息安全管理活動，為將來的評審、檢查做準備。
(三)監(jiān)視并評審信息安全管理體系
監(jiān)控、評審階段主要用來加強、修訂及改進已識別的控制措施和解決方案。對不合理、不充分的控制措施應及時采取糾正和預防。組織可通過多種方式檢查和監(jiān)視信息安全管理體系的運行狀況，如收集安全審核的結(jié)果、事故、以及所有相關(guān)方的建議和反饋；定期評審殘余風險和可接受風險的等級；通過內(nèi)部審核和管理評審檢查信息安全管理體系的有效性、符合性等。此外，組織應做好記錄，并報告影響信息安全管理體系有效性或業(yè)績的所有活動、事件。
(四)改進信息安全管理體系
基于評審結(jié)果或其他相關(guān)信息，采取糾正和預防措施，以持續(xù)改進信息安全管理體系，開始新一輪的PDCA循環(huán)。改進活動和措施必須獲得所有相關(guān)方的認可，并確保達到預期目的。
四、信息資產(chǎn)類操作風險管理的實施建議
ISO27001是文件化的體系，它把傳統(tǒng)的銀行信息安全與IT治理、風險審計和風險評估結(jié)合在一起，產(chǎn)生了一個新的管理維度和應用維度。在國際標準化的大潮流下，將基于風險評估的ISO27001體系要求引入業(yè)務(wù)流程和風險體系，規(guī)范現(xiàn)有業(yè)務(wù)運作，全面提升員工的風險意識和責任，從而有效地降低內(nèi)部欺詐等各類風險發(fā)生的幾率，做到從源頭防范風險，保護客戶信息。
