中国商业银行业操作风险分析

中国科学院研究生院虚拟经济与金融研究中心RR/03/09CFEF研究报告中国商业银行业操作风险分析樊欣杨晓光2中国科学院研究生院虚拟经济与金融研究中心RR/03/09中国科学院管理、决策与信息系统重点实验室中国商业银行业操作风险分析*樊欣†杨晓光‡摘要：操作风险（OperationalRisk）是指在金融机构内由于顾客、不足的内部控制、系统或控制失败以及不可控制的事件所引起的收入或者现金流的波动。操作风险很大程度受到人为因素的影响，定量分析难度大，其定量的度量和管理的研究尚在起步阶段。我国大多数银行还处在向真正的商业银行转型的过程中，内部控制机制很不完善，由于操作风险引发的损失事件时有发展，而关于我国商业银行操作风险的定量研究几近于无。本文通过作者从公开媒体报道中所有可能搜集到的国内商业银行的操作风险损失事件，从损失事件类型、业务部门、四大专业银行、区域分布等维度，对操作风险损失事件的频度和幅度进行定量分析，试图对我国银行业目前面临的操作风险的状况给出一个初步的定量概括归纳。关键字：操作风险、损失事件、损失频度、损失幅度1背景银行业是一个经营风险的行业，能否有效地对各种风险进行科学的管理和防范直接关系到银行的发展。目前，金融机构所面临的风险大体可以概括为市场风险（MarketRisk）、信用风险（CreditRisk）以及操作风险。市场风险是指由于特定的市场风险因素变化而引起的净收入或投资组合价值的波动。信用风险是指由于机构外部的合作伙伴、借款人、供货商*本研究由国家自然科学基金（GrantNos.700221001,70071045）资助。†单位：中国科学院管理决策与信息系统重点实验室。‡单位：中国科学院管理决策与信息系统重点实验室、中国科学院研究生院虚拟经济与金融研究中心。3违约引起的净收入或者净资产的波动。市场风险和信用风险在很早就引起了金融机构的重视，到目前为止都已经有了较为成熟的风险管理技术。虽然操作风险这个概念的提出已有较长的历史，但将其与其它两种风险并列为金融机构面临的三种主要风险则是最近几年的事情。金融管制的放松、金融全球化、金融服务产品的日益丰富、以及金融技术的日益复杂，使得金融机构的活动花样繁多，日趋复杂。与信用风险、市场风险相比，操作风险管理在金融实践中地位日趋彰显。因此不论是金融监管部门，还是金融从业机构，都前所未有地加大了对操作风险的管理和控制的力度。操作风险是指在金融机构内由于顾客、不足的内部控制、系统或控制失败以及不可控制的事件所引起的收入或者现金流的波动。对于操作风险的研究历史并不久，但是在最近几年它已经和市场风险、信用风险并列为金融机构需要面对的主要风险。与其他两种风险相比，操作风险主要具有以下一些特点：1)因为操作风险主要来源于企业的日常营运，人为因素在引发操作风险的因素中占有直接的、重要的地位。如果说市场风险来自于金融产品价格的波动，信用风险来自于借款者偿还能力的变化，绝大多数的操作风险则更多可以归因于有意或无意的、来自企业内部或外部的人为操作失误。在Basel银行监管委员会定义的7种操作风险损失事件类型种，有6种直接与人为操作有关。2)操作风险事件具有发生频率很低、但是一旦发生就会造成极大的损失，甚至危及到银行的存亡的特点。例如，1992－1995年间，巴林银行交易员里森的错误交易以及在出现损失后继续隐瞒，最终给巴林银行带来86000万英镑的损失，致使其破产。1995年，华夏银行3名职员非法拆借3.4亿多元的贷款，致使华夏银行2亿多元资金无法收回。因为以上的两个特性，导致了操作风险难以度量、难以管理。如何使用定量的方法来度量操作风险，将操作风险纳入整个银行的风险管理体系，对这个问题的研究才刚刚起步。具体到我国的银行业，由于大多数银行还处在向真正的商业银行转型的过程中，内部控制机制还不完善，加之以社会转型过程中泥沙俱下的腐败蔓延，操作风险是我国商业银行的主要风险来源之一，其在商业银行风险中的比重远大于国际同行的水平。操作风险的度量和控制的研究在我国有着重要的现实意义。尽管我国商业银行由操作风险引发的损失事件数量较大，但是有关操作风险事件和数据的积累却十分贫乏，给操作风险的度量研究带来很大的困难。造成这种贫乏的原因，一方面是历史的原因，过去对操作风险更多地是从管理制度方面考虑，很少有定量分析的意识，因而不注重历史数据的积累；另一方面是我国商业银行的4产权和信息披露制度的原因，银行不但没有压力披露操作风险事件，相反却有主动隐藏风险事件的动机。为克服研究数据的缺乏，我们尽可能地收集了国内外媒体公开报导的我国商业银行操作风险损失事件。我们认为这些报导，尽管不充分，但是人为的厚此薄彼的可能性很少，应该说能基本上反映出我国商业银行目前操作风险的大致轮廓。我们希望以这些数据作为依据，来对我国商业银行的操作风险状况做一个定量的概括归纳，以期能初步认识我国商业银行操作风险的各种属性。2损失事件本文研究所涉及的我国商业银行操作风险损失事件全部来自于国内外媒体的公开报道。共有操作风险损失事件71起，涉及我国国内的商业银行7家，时间跨度由1990年至2003年，给银行带来的损失多至5.3亿元，少至2500元。每一笔损失，我们都记录了其损失事件类型（LossEventType）、业务部门（BusinessLine）、损失金额1。如果相应的损失事件中清楚提及商业银行名称、所属地域的，也对这些信息做了记录。其中，对损失事件类型和业务部门的定义来自于Basel银行监管委员会，简介如下：损失事件类型是按照操作风险损失事件导致损失发生的原因来进行区分的，具体分为7类：内部欺诈（InternalFraud）：有机构内部人员参与的诈骗、盗用资产、违犯法律以及公司的规章制度的行为。例如内部人员虚报头寸、内部人员偷盗、在职员的账户上进行内部交易等等。外部欺诈（ExternalFraud）：第三方的诈骗、盗用资产、违犯法律的行为。例如抢劫、伪造、开具空头支票以及黑客行为对计算机系统的损坏。雇用合同以及工作状况带来的风险事件（EmployPractices&WorkspaceSafety）：由于不履行合同、或者不符合劳动健康、安全法规所引起的赔偿要求。例如，工人赔偿要求、违犯雇员的健康安全规定、有组织的罢工以及各种应对顾客负有的责任。客户、产品以及商业行为引起的风险事件（Client,Products&BusinessPractices）：有意或无意造成的无法满足某一顾客的特定需求，或者是由于产品的性质、设计问题造成的失误。例如受托人违约、滥用客户的秘密信息、银行账户上的不正确的交易行为、洗钱、销售未授权产品等。1损失事件数据表格可见有形资产的损失（DamagetoPhysicalAssets）：由于灾难性事件或其他事件引起的有形资产的损坏或损失。例如恐怖事件、地震、火灾、洪灾等。经营中断和系统出错（BusinessDisruption&SystemFailure）：例如软件或者硬件错误、通信问题以及设备老化。涉及执行、交割以及交易过程管理的风险事件（ExecutionDelivery&ProcessManagement）：交易失败、过程管理出错、与合作伙伴、卖方的合作失败。例如交易数据输入错误、间接的管理失误、不完备的法律文件、未经批准访问客户账户、合作伙伴的不当操作以及卖方纠纷等。业务部门是按照损失事件发生的部门，来对损失事件进行分类。Basel委员会划分的商业银行的业务部门包括：公司财务（CorporateFinance）：合并与收购、股份承销、资产证券化、首次公开上市发行、政府债券和高收益债券等。交易与销售（Trading&Sales）：固定收益债券、股权、商品期货、信用产品、自有头寸证券、租赁与赎回、经纪、债务。零售银行业务（RetailBanking）：零售的存贷款业务、私人的存贷款业务、委托理财、投资建议。商业银行业务（CommercialBanking）：项目融资、房地产、出口融资、交易融资、代收帐款、租赁、担保、贷款。支付与清算（Payment&Settlement）：支付、转帐、清算。代理服务（AgencyServices）：契约、存款收据、证券借贷、发行和支付代理。资产管理（AssetManagement）：可自由支配的资金管理和不可自由支配的资金管理。零售经纪（RetailBrokerage）：零售的经纪执行以及其他服务。我们将每一笔损失按照损失事件类型和业务部门交叉分类，并且按照四大商业银行以及不同的地域进行了统计分析，试图从中发现一些我国商业银行中操作风险分布的特点。3损失事件统计分析结果首先我们按照损失事件类型和业务部门交叉分类，对所有损失事件的发生频率和所造成的损失进行了统计。6我们先从业务部门的角度来分析商业银行的操作风险状况。从下面的统计图形中可以看出，无论是损失事件的数目还是总的损失金额，商业银行业务所占的比例都远远超出其他的业务部门。零售银行业务的损失事件数目位居第二，但是其总的损失金额并不大，在损失金额的比较中排在最后。造成这种结果的原因可能是：1)我国商业银行发展的历史还比较短，因此目前开展的业务范围还很有限，主要的盈利还集中于对于企业的商业贷款。因此商业银行业务的操作风险应该在总的操作风险中占有较大的比例。2)与零售银行业务、公司财务等业务相比，商业银行业务涉及的金额一般较大，因此一旦发生操作风险损失，损失金额都很大。3)造成这种结果的原因和媒体的报道披露也有关系。一般来讲，涉及金额较大、问题较为严重的事件会得到充分的披露，而金额较小、存在于日常营业中的损失事件则很少得到公开披露。有理由相信，单从损失事件数目来讲，零售银行业务部门应当超出商业银行业务部门，因为前者的交易数目远远大于后者。不同部门的损失事件数目53131220102030405060商业银行业务零售银行业务公司财务资产管理代理服务7不同业务部门的损失金额288692.7377.756191261.5170050000100000150000200000250000300000350000商业银行业务零售银行业务公司财务资产管理代理服务不同类型的损失事件数目4115735051015202530354045内部欺诈外部欺诈执行、交割以及交易过程经营中断和系统出错客户、产品以及商业行为8不同类型的损失金额199677.4392237.375.0917.933813.18050000100000150000200000250000内部欺诈外部欺诈执行、交割以及交易过程经营中断和系统出错客户、产品以及商业行为其次我们从损失事件的类型来分析我国银行的操作风险。第一个图表给出了不同损失类型的事件数目，第二个图表则给出了不同类型的损失金额。可以看到，内部欺诈无论在数目还是在金额上都是最重要的一种损失事件类型，而外部欺诈则排在第二位。由此我们可以看出：1)我国商业银行的内部控制还存在较大问题。由于内部控制制度不严，为各种各样的来自银行内部的违规操作提供了可能。在一个内部控制制度健全的商业银行中，由于外部欺诈导致的损失应当大于内部欺诈。2)一旦有了银行内部职员的参与，带来的损失将是非常巨大的。在我们收集的损失事件中，有相当一部分欺诈行为，既有内部员工又有外部人员参与，在这种情况下银行受到的损失是非常巨大的。另外，我们还绘制了损失事件发生数目的频数统计表。频数百分比经营中断和系统出错客户、产品以及商业行为执行、交割以及交易过程外部欺诈内部欺诈总计代理服务00.0000.0000.0000.0011.4111.41资产管理01001290.001.410.000.001.412.82商业银行业务00.0011.4122.821216.903853.525374.65公司财务00.0011.4100.0000.0011.4122.82零售银行业务34.2322.8257.0434.2300.001318.31总计34.2357.0479.861521.13