新巴塞尔协议将操作风险纳入风险资本的计算和监管框架,引起了金融业、专家学者和各国监管当局对操作风险的广泛关注和讨论。讨论不仅包括与操作风险对应的资本要求问题,还涉及了与操作风险相关的很多方面,如操作风险的定义,成因与度量等。本文首先界定了操作风险的定义。操作风险可以说是银行面临的最古老的一种风险,但长期以来,银行界对操作风险有多种定义,且管理目标多元,多种管理方式并存。2004年新巴塞尔资本协议将操作风险重新定义为由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险。本文将操作风险分为七种类型:内部欺诈、外部欺诈、客户、产品和业务活动风险、执行交割及流程管理风险、业务中断和系统错误风险、雇员行为和工作场所安全风险、实体资产损坏。操作风险与传统的信用风险,市场风险并称为金融机构面对的三大风险,在表现形式上相互交织,但三者在产生机制和管理模式上差异较大。操作风险与传统的市场风险、信用风险相比,具有自身明显的特征。随着20世纪末亚洲金融危机的爆发,金融监管当局和国际银行业感到重新修订现行的国际金融监管标准已刻不容缓。2001年,巴塞尔委员会推出了《巴塞尔新协议》草案,并于2006年12月正式实施。新资本协议全面修订和补充了旧资本协议的资本充足衡量标准和风险资本要求,引进了新颖的资产评级和风险测度方法,是对跨国银行资本充足性监管规则一次根本性的改革。这次改革的核心思想是监管资本和以全面的方法管理操作风险。在修订的新巴塞尔协议中,确定了三大支柱:监管资本最低要求(即资本充足率)、监管部门监督检查和市场约束。巴塞尔委员会给出三种复杂性和风险敏感度渐次加强的方法计算操作风险资本:基本指标法、标准化法和内部均衡方法(高级法)。并且,新协议认为:为了促使银行的资本状况与总体风险相匹配,监管当局可以采用现场检查、非现场稽核及与银行管理部门座谈等方法审核银行的资本充足状况。巴塞尔委员会希望监管当局担起三大职责:一是全面监管银行资本充足状况;二是培育银行的内部信用评估体系;三是加快制度化进程。以上三点是监管当局监督检查的三大原则。协议还要求将操作风险及化解措施和损失状况公诸于众。关于操作风险,银行必须披露的内容有:操作风险管理的策略和过程;风险管理的结构与组织;风险报告或者风险测量系统的范围和内涵;对冲或化解风险的政策;检测对冲或化解风险的方式和过程;银行还应披露适用的计算规范资本的方法,以及计提的操作风险资本金。在阐述了巴塞尔协议关于操作风险的相关要求之后,第四章主要对中外资银行操作风险的成因进行了比较分析。首先介绍两家极具行业代表性的银行概况,然后分析它们各自操作风险的形成原因。外资银行拥有良好的经营机制,风险研究与风险控制工作起步较早,加上有成熟的法律体系和外部审计制度对其进行约束,所以其操作风险发生频率较低,操作风险成因也较为简单:在主观上主要是操作性失误风险;在客观上主要是指由外部因素引起的风险。而由于历史原因,中资银行的经营体制存在许多不合理因素,过去对操作风险的防范意识薄弱,从而忽视了操作风险在银行经营中的重要性。中资银行的操作风险成因主要有混乱的经营模式、错误的操作风险管理理念、监督无效以及政府干预和缺乏外部监管等因素。分别分析中外资银行的操作风险成因之后,我们发现,外资银行的操作风险成因较为单纯,而中资银行在思想认识、经营体制、内部控制等各方面都存在大量急待解决的问题。随后本文花大量篇幅着重介绍某外资银行的风险与内部控制自我评估流程(RCSA)。RCSA和操作风险政策的目标是确立一个稳固、增值的评估操作风险的制度框架,以发挥企业内控环境的全部作用。RCSA流程的内容包括:描述A银行如何定义其主要行为、程序、重要的风险和核心控制技术;要求用来减轻风险的核心控制技术需通过检验和监控以保证它们的有效性;要求对已发现的控制技术的弱点进行修正;解释应该怎样报告监控和评估的行为。A银行为创造良好的控制环境采取的措施有:支持正当的经营行为以增加其责任感;当内部风险在经营行为中萌芽时就采取措施以减轻其危害;减少错误发生的概率,并且保证错误发生在能控制的范围内。RCSA是整体控制制度中的一个工具,可以用来发现潜在的控制漏洞并提供适当的解决办法。操作风险框架是用来评估操作风险管理控制环境状态的机制。RCSA流程中,内部控制的手段有:高层控制、细节控制、预防性控制、检查性控制、修正性控制等。RCSA流程中的步骤分别为:步骤一:确定全面内部控制环境;步骤二:鉴定“自上而下(Top-down)”的重要风险;步骤三:定义RCSA实体及其行为和流程;步骤四:定义RCSA实体控制中的重要风险;步骤五:制定关键的控制手段(人工的和自动的);步骤六:对关键控制手段的评估和评级;步骤七:修正行为计划(Corrective Action Plan, CAP);步骤八:对遗留的风险进行评估和控制评级;步骤九:对RCSA实体评级并报告RCSA信息。随后本文开始审视中资银行的操作风险管理现状。中资银行在操作风险管理方面还处于初级阶段。目前,我国银行界对操作风险的定义、分类还没有一个成形的定论,各家银行对于操作风险的认定和控制手段也各不相同。B银行近些年构建了全面风险管理体系,已经有意识地将操作风险作为一个考量因素纳入其风险管理体系中。但是,B银行的现状是各类风险管理不平衡;无论外部监管还是商业银行内部,操作风险的管理均落后于信用风险和市场风险管理。在分析了中资银行操作风险管理现状之后,本文提出了对中资银行操作风险管理组织构架设计的主要思路。我国银行业传统的操作风险控制模式主要是由业务条线进行点对点的管理,不符合集中管理的要求。本文认为垂直集中管理的组织体系模式是操作风险管理模式走向完善的必然趋势。具体思路为:将操作风险管理职能从审计部门剥离开来,建立独立的操作风险管理职能部门。在各业务经营部门里设置风险管理机构,负责对本部门经营管理中所涉及的各类风险进行日常监测、评估和管理,并向风险管理部门报告。中资商业银行的经营采取的是总分行制,故其操作风险管理也应采用分权化的组织结构。总行应以操作风险战略决策的制定和管理为主,同时负责对操作风险的总体控制。总行控制操作风险的组织构架包括:董事会、高级管理层、审计部、风险管理部、科技信息部、教育培训部、法律事务部以及所有业务部门。分行的机构与总行一致,但不包括董事会。支行主要从操作层面控制操作风险,因此支行只设立业务部门,执行总行和分行所制定的操作风险管理制度,接受审计部和分部的检查。中资银行RCSA工作流程应包括:建立操作风险管理环境、作业流程分析和风险识别与评估、控制活动识别和评估、设计实施控制优化方案、报告自我评估工作与日常监控。本文最后分析了外资银行关于操作风险管理的先进经验以及中资银行的可借鉴之处。外资银行的先进经验包括:统一的风险管理文化、清晰明确的风险管理框架、科学的风险管理流程以及先进的操作风险管理技术。中资银行目前不仅还未建立统一的风险文化。本文认为,中资银行应向国际先进银行学习,首先要做的就是投入大量费用用于员工培训和激励,以塑造自身的“风险文化”,通过全行统一的风险管理理念来最大限度地扩大风险管理的效能,促进各项业务的发展。此外,本文还对中资银行风险管理委员会的独立性问题提出了思考。由于这一问题已经超出了本文所讨论的范围,故而仅一句带过。鉴于本人的知识有限,本文难免出现错误与疏漏之处,希望能够得到各位学者的批评与指正。