我国商业银行操作风险控制影响因素研究

··２００９!４#宁波职业技术学院学报我国商业银行操作风险控制影响因素研究苏虹，胡亚会，张同健（乐山师范学院旅游与经济管理学院，四川乐山６１４００４）摘要：操作风险是我国商业银行面临的一项重要风险，而操作风险控制已成为商业银行风险管理的重要内容。我国商业银行的操作风险控制在地域上与行业结构上存在较大的差异。经验性的研究揭示了影响操作风险控制的若干因素的特征，从而为我国商业银行充分发挥优势影响因素的作用、弥补劣势影响因素的不足，最终提高商业银行的操作风险控制效率提供了现实性的理论借鉴。关键词：商业银行；操作风险；风险度量；内部控制；多元回归中图分类号：Ｆ８３０．３３文献标识码：Ａ文章编号：１６７１－２１５３（２００９）０４－００５０－０６收稿日期：２００９－０５－２８基金项目：国家自然科学基金（７０４７２００１）作者简介：苏虹（１９６９－），女，辽宁鞍山人，比利时国际管理学院硕士，讲师，研究方向为财务管理。宁波职业技术学院学报ＪｏｕｒｎａｌｏｆＮｉｎｇｂｏＰｏｌｙｔｅｃｈｎｉｃ２００９年８月Ａｕｇ，２００９第１３卷第４期Ｖｏｌ．１３Ｎｏ．４一、操作风险控制的现实意义２００６年，《新巴塞尔资本协议》在西方发达国家商业银行开始实施，给国际银行业经营提出了全新的指导思想。新协议认为风险管理是银行业经营的核心内容，并第一次把操作风险管理纳入银行风险管理的范畴，而且指出操作风险控制正变成银行风险管理的重要内容。新巴塞尔资本协议认为，商业银行的本质活动在于风险控制，并且，随着全球金融创新的发展，操作风险正日益上升为商业银行所面临的首要风险。２００４年６月２６日，巴塞尔委员会在《巴塞尔新资本协议》中将银行操作风险定义为：由不完善或有问题的内部程序、人员及系统或外部事件所造成的损失的风险，包括法律风险，但不包括策略风险和声誉风险。按巴塞尔委员会的定义，银行操作风险分为组织风险、流程风险、人员风险、技术风险和外部风险五类。操作风险可分为操作性杠杆风险和操作性失误风险。操作性杠杆风险主要是指外部因素引起的操作风险，如因为外部冲击导致金融机构收益的减少，包括税制、监管、法律环境、竞争者行为等因素。操作性失误风险主要指因为金融机构的内部因素引起的操作风险，包括流程处理、信息系统、人事等方面的因素。操作性失误风险在整个操作风险中所占据的比重近年来明显上升，它可以进一步划分为执行风险、信息风险、关系风险、法律风险、人员风险、系统事件风险等。操作风险第一次被业界和学术界正式提起是在１９９５年巴林银行事件发生之后。巴林事件为全球金融机构敲响了一次警钟，警示操作风险正上升为商业银行生存威胁的重要因素之一。随着我国银行业规模的扩大与金融市场的扩展，操作风险已逐步上升为我国银行业面临的一项重要风险，引起金融业的广泛关注。国内学术界普遍认为：我国商业银行操作风险具有低频高危、难以计量、诱因复杂的特征，主要表现为内外勾结和人员犯罪等欺诈活动；低效的公司治理结构是操作风险产生的根本原因；商业银行应调整组织结构、实施业务流程重组、加强内部控制、提高绩效考核效率等措施来优化治理结构。在我国银行操作风险管理的问题上，内部欺诈和外部欺诈几乎构成了操作风险损失的全部。２００５年３月２３日，中国银监会发布了《关于加大防范银行操作风险工作力度的通知》，标志着!··２００９!４#银行操作风险的防范被正式列为银行的工作重点。近年来，各大国有商业银行及其分支机构相继实施了操作风险控制战略，取得了一定的经验和进展。但是，总的看来，我国商业银行操作风险控制绩效存在着较大的差异，不仅表现在不同地区的银行单位存在差异，而且表现在同一银行机构的不同分支单位之间也存在差异，所以，商业银行操作风险控制的影响因素在不同的银行环境下发挥着不同的作用。因此，通过对商业银行操作风险控制影响因素的经验性分析，深刻地认识到各种影响因素的特征，从而为我国商业银行充分发挥优势因素的促进功能，改进弱势因素的缺陷与不足、最终提高我国商业银行操作风险的控制效率提供了现实性的理论借鉴。二、操作风险控制影响因素的理论解析巴塞尔银行监管委员会２００３年２月公布了银行业操作风险管理与监管的十项稳健措施，对我国银行业的风险控制具有较强的借鉴意义。这十项措施可归结如下：董事会应了解本行的主要操作风险的成因，核准并定期审核本行的操作风险管理系统；董事会要确保本行的操作风险管理系统受到内审部门全面、有效的监督；高级管理层应负责执行经董事会批准的操作风险管理系统；银行应该识别和评估所有重要产品、活动、程序和系统中固有的操作风险；银行应该制定一套程序来定期监测操作风险状况和重大损失风险；银行应该制定和缓释重大操作风险的政策、程序和步骤；银行应该制定应急和连续营业方案，以确保在严重的业务中断事件中连续经营并控制住损失；银行监管者应该要求所有的银行制定有效的制度来识别、评估、监测、控制、缓释重大操作风险，并作为全面风险管理方法的一部分；监管者应该直接或间接地对银行有关操作风险的政策、程序和做法进行定期的独立评估；银行应该进行足够的信息披露，允许市场参与者评估银行的操作风险管理方法。根据巴塞尔委员会关于操作风险控制的指导思想，并结合于我国商业银行操作风险控制的现实性经验，本研究认为影响我国商业银行操作风险控制的因素主要有如下各个方面：１．操作风险识别能力。操作风险是一个新的金融学概念，却也是一项古老的银行风险。国际银行业的操作风险管理实践证明，有什么样的风险认识能力与识别能力，就有什么样的风险管理水平犤１犦。因此，对操作风险进行准确、合理界定是建立完善、高效操作风险管理体系的前提。英国银行家协会根据操作风险产生的来源界定了操作风险的四个一级因素：人、流程、系统和外部事件。巴塞尔委员会更加侧重于从银行监管的角度而非风险管理的角度来对操作风险进行界定，因此更加强资料和数据的易得性、可监控性以及可计量性，因而界定了操作风险的七项内容是内部欺诈、外部欺诈、就业政策和工作场所安全性、客户、产品及业务操作、实体资产损坏、业务中断和系统失败、执行、交割及流程管理。全球风险专业人员协会（ＧＡＲＰ）将操作风险界定为控制性风险、流程风险、名誉风险、人力资源风险、法律风险、收购风险等１６种风险类型。２．操作风险评估能力。操作风险评估是风险识别的继续，银行借此判断对这些风险的承受能力，并找出不可接受的风险作为缓释的目标犤２犦。通过有效的风险评估，银行可以更好地比较其风险管理政策，判断风险管理效用，识别超出银行风险偏好的操作风险，从而合理地调整风险管理资源。风险评估的一个关键环节就是规定各级部门的责任，因为各级部门都是操作风险的承担者，都有义务对其面临的操作风险进行评估。风险评估过程将有助于形成公开、透明的风险文化氛围。风险评估的方法很多，较常用的有计分卡法、检查表法、叙书法和工作间交流法，为了取得更好的效果，上述方法可以结合起来使用。另外，巴塞尔银行监管委员会还推荐了３种评估操作风险的工具：风险对应关系、风险指标和计量。３．操作风险度量能力。风险度量是风险管理的前提，新巴塞尔资本协议提出了操作风险三种基本度量方法：基本指标法（ＢＩＡ）、标准法（ＳＡ）和高级计量法（ＡＭＡ）。基本指标法和标准法着眼于商业银行的收入指标，虽然简单易行，但操作风险暴露与总收入指标间并非线性相关，因而很难作为商业银行操作风险度量的有效方法，而高级计量法使用商业银行自身操作损失数据计算操作风险资本，风险敏感度大为提高。目前我国商业银行对操作风险的认识尚处于起步阶段，度量方法比较简单，尚未形成成熟的理念和工具，而国际上许多大银行在操作风险度量与管理上积累了较为丰富的经验，并取得了一定的成就，值得我们借鉴。苏虹，胡亚会，张同健：我国商业银行操作风险控制影响因素研究!··２００９!４#宁波职业技术学院学报同时还应该认识到，现有的操作风险度量模型大多是静态模型，是对已经发生的风险的被动反应，不能及时反映商业银行管理活动对风险状况的影响，因此，特别是对我国商业银行而言，风险度量不宜追求过于复杂的计量模型，至少这种复杂的模型化管理目前不应成为操作风险管理的核心内容。另外，操作风险度量要立足于现有管理实际，将主观风险控制经验与历史损失有机地结合起来，针对不同风险问题采取较为灵活的方法。４．风险报告完善能力。风险报告的目的在于向高级管理层揭示如下信息：银行的主要风险源及整体风险状况、风险的发展趋势及重点关注目标犤３犦。各业务部门负责收集相关数据和信息，并报告至风险管理部门，风险管理部门进行分析、评估之后，形成最终报告，并呈送高级管理层。根据巴塞尔委员会的有关规定及银行业的实际做法，风险报告大致包括风险评估结果、损失事件、风险诱因、关键指标以及资本金水平５个部分。关于风险报告的形式，银行业并没有统一的标准，文字报告和图形表格兼而有之。巴塞尔监管委员会倡导：风险报告除呈送银行高级管理层外，还应分发给相应的各级管理层以及可能受到影响的有关单位，从而可以提高商业银行的整体风险意识。５．风险数据库建设能力。我国商业银行在度量操作风险时面临的一个主要问题是操作风险损失数据的缺乏，由于单个金融机构的损失事件的记录并不充足，因此无法进行很好的统计分析犤４犦。新巴塞尔协议指出：“委员会认为，根据统一的损失、风险和业务的定义，在业内有序地收集和分享数据，对于制定处理操作风险的各类先进方法十分重要。若没有这类数据，委员会将被迫在制定操作风险最低资本规定时采用保守的假设”。尽管我国目前很难采用先进的操作风险量化方法，但操作风险的量化是大势所趋，因此要提前做好风险损失数据库的建立，为日后采用先进的操作风险管理方法做准备。巴塞尔协议要求用于计算监管资本的操作风险高级计量法，必须基于对内部损失连续五年的观测数据。因此，风险损失数据的收集可以按照巴塞尔委员会定义的８种银行业务类型和７种操作风险事件类型进行数据分类，并必须包括“发生概率大而损失额度小的事件”和“发生概率小而损失额度大的事件”。１９９８年，巴塞尔银行监管委员会发布了《操作风险管理》的咨询文件，操作风险作为一个独立的风险范畴才引起人们的关注，距今不足十年时间。目前，我国多数商业银行尚未建立包括操作风险数据在内的风险事件数据库，少数银行于近几年内才开始内部操作损失数据的收集，风险控制数据库的建立刚刚处于起步阶段，已经建立的数据多为高频／低额数据，而对操作风险损失影响甚大的低频／高额数据的关注较少。６．内部控制能力。英国银行家协会（１９９７）最早给出了操作风险的定义，并认为：操作风险与人为的失误、不完备的程序和控制、欺诈和犯罪活动相联系，它由技术缺陷和系统崩溃引起。因此，操作风险事件难以在事前充分预料，往往来源于制度缺失、系统缺陷和人员舞弊，具有较强的内生性，这对我国商业银行内控机制的有效性提出了挑战。巴塞尔银行监管委员会认为（２００３）：银行应该制定控制和缓释重大操作风险的政策、程序和步骤，定期检查风险限度和控制战略。当然，内部控制行动是针对已经识别出的操作风险。据西方大银行的管理经验，操作风险控制环境的营造应从组织文化建设开始，使组织之间控制活动协调一致，控制人员责、权、利关系明确，使商业银行从内部到外部形成整体的控制程序。我国商业银行的内部控制虽然起步较早，但由于在实施过程中存在一些错误的观念，导致内部控制效率低下。目前我国商业银行对操作风险的整体识别与控制能力较弱，主要表现为内控制度不健全、制度执行效率缺乏监督、查处乏力。所以我国商业银行当前应进一步加强内控机制建设，按决策系统、执行系统、监督反馈系统相互制衡的原则来建立内控机制，形成层次分明的多级控制系统，决策者不能违反或超越决策程序，执行者应在职责与权限内行使职权，内部监督系统应建立各项业务风险评价、内控状况检查与有效的违规处罚制度。具体地讲，我国商业银行必须尽管建立起一套科学完善、职责明确的内部管理体系和内控制度，即健全岗位责任制、建立重要事项审批制度、建立账务核对制度、建立会计事后监督制度、建立重要空白凭证管理制度等犤５犦。７．风险信息披露能力。新巴塞尔协议对操作风险的基本管理框架是监管的三大支柱：最低资本要求