摘 要：银行操作风险具有普遍性和广泛性，目前大多数商业银行并未对操作风险进行定量分析，并未充分揭示风险节点发生的频率和损失，更无法与时俱进的对防范新业务操作风险进行指导。因此笔者认为有必要建立操作风险数据库，通过定量分析的方式指导银行建立相应的操作风险防范机制。
　　关键词：商业银行；操作风险；数据库
　　一、建立操作风险数据库的必要性
　　巴塞尔银行监管委员会将信用风险、市场风险和操作风险视为威胁银行生存与发展的三大主要风险。风险来源方面，信用风险和市场风险具有外生性，主要受交易对手、经济周期、法律法规、国家政策等因素的影响；而操作风险则具有明显的内生性，风险通常源自于银行的日常运营。风险发生节点方面，信用风险和市场风险主要发生在决策环节，决策者的知识与能力对风险事件的发展方向具有重大影响；而操作风险的发生环节更加广泛，从基层员工到高层决策者、从前台业务到后台支持均有可能诱发操作风险。基于可控性、广泛性、普遍性等特征的考虑，商业银行和监管部门越来越注重操作风险管理。
　　目前商业银行习惯于从事前、事中、事后三个方面出发对操作风险进行控制，但是大多数控制措施属于风险爆发之后的被动防范措施，频繁出台的自查、整改等补救措施导致制度反复交叉，甚至出现制度自相矛盾的情况，导致业务人员无所适从、效率低下。操作风险分析也还停留在定性层面，虽然发现了风险发生的节点，但是未揭示风险节点发生的频率和损失影响程度，定性分析出台的控制措施往往难以指导从业人员聚焦关注风险节点，其次受到从业人员的知识水平、业务环境、职业操守等多方面的影响，执行效果并不如人意。此外，定性分析的方式只能对过往发生的操作风险进行纠正，对于新业务却起不到预先指导的作用，出现“传统业务操作风险一犯再犯、新业务操作风险花样百出”的局面。
　　因此，商业银行有必要建立操作风险数据库，通过数据分析精确把控风险发生节点，指导管理层和监管部门完善制度，指引从业人员重点关注易发风险点，从而避免操作风险事件发生，真正实现事前预警、事中控制、事后补救的目的；另外，通过操作风险数据库实现风险量化分析，建立更加科学的操作风险资本金计算模型，提高银行抗风险能力的同时提高资本运作效率。
　　二、建立操作风险数据库的方法
　　巴塞尔银行监管委员会对操作风险的定义已经在如何搜集数据方面进行了描述，建立操作风险数据库时应收集的信息包括：事件發生、发现及结束时间，事件发生的机构，事件的责任主体，事件发生的业务类别和事件类别，事件金额，事件处理过程，是否损失金额，损失收回金额，是否与市场风险和信用风险相关，事件原因的描述等内容。此信息搜集指引不但关注财务损失，还要求对事件情景进行详细记录，有利于后期的数据处理和引用。
　　笔者认为上述指导偏重于事后信息整理要求，从信息的详尽程度和反馈及时性来看，若根据业务的操作流程建立详细的记录制度，采用审计中常用的“穿行测试”手段，提前发现操作环节存在的风险点，通过操作系统自动提醒操作人员关注风险，发生风险事件后迅速组织再分析、再测试，对信息搜集、查漏补缺以及业务督导方面具有更佳的实践意义。
　　操作风险数据有内部数据和外部数据两种来源，由于各银行的业务种类、业务流程和风控措施不尽相同，且各家银行对此类事件一般采取避讳的态度，因此数据库应以内部数据为主要来源。内部数据的完善与否取决于资料收集过程的一致性与完整性，银行必须建立与风险资料搜集相关的政策与程序，并且需要作为长期工作任务由专人来负责经办和管理。一般来说银行的事后监督、运营检查和内控合规部门接触此类事件较为频繁，可以交由此类部门来履行信息搜集职能，而后期的数据整理和数据库功能开发则需要由信息科技部门来完成。
　　外部数据的获取相对困难，获取同行业公布的操作风险事件信息后，还需要通过调研、座谈等形式深入了解风险事件背后的业务细节，才能梳理出具有价值的信息。由于此类信息对于风险事件银行来说相对敏感，建议由行业协会或监管机构牵头搜集此类信息，以形成有利于行业进步的公共信息资源，但是开展工作时应注意保持独立公正和去行政化，尽量避免干预风险事件银行的内部管理，尤其忌讳将银行内部经营管理问题升级为行业监管问题，影响行业内的信息交流。
　　三、建立操作风险数据库的原则
　　建立操作风险数据库是银行业务的一项基础工作，目前各商业银行尚处于摸索阶段，并没有对此类工作提出具体的指引，笔者认为会计工作的指导性规范对此项工作亦具有指导意义，执行此类工作时应遵循以下几个方面的原则：
　　一是“一贯性原则”。建立操作风险数据有赖于长期、详尽的数据记录，银行的应持续重视数据搜集工作，一旦确定数据搜集方式、标准、记录格式和执行部门，应长期预计支持，保证数据能够持续、有效的支持数据库建设。
　　二是“实质重于形式原则”。操作风险数据不能停留在业务的表现形式上，特别是边缘事件很难界定是信用风险、市场风险还是操作风险，建立数据库时应该更注重事件过程的风险节点和原因。以信贷违约为例，表面上属于信用风险，但是分析贷款审核过程后可能发现资料审核不严谨、客户欺诈、内外勾结等多种类型的诱因，现象背后的实质才是风险管控的关键点。
　　三是“重要性原则”。由于操作风险事件基本都可能带来财务损失，因此损失金额大小很容易成为判断重要性的标准，但是风险节点出现的频率也是判断重要性的标准，高频风险节点的出现往往预示存在制度漏洞或者内控失效。
　　四是“相关性原则”。该原则与外部数据搜集有关，发挥自身的业务特色与优势是商业银行立足市场的基础，其他银行在同一业务领域发生的操作风险事件尤其值得关注，此类风险事件可能揭示本行未曾预料的潜在风险。
　　上述四个原则是建立操作风险数据库必须坚持的原则，商业银行在建立操作风险数据库时应当坚持这些原则，从根本上将制度落实，本着一贯性、重要性、实质重于形式、相关性等原则建立起适合商业银行自己发展的操作风险数据库，以便更好地识别和防范各类风险。
　　四、结束语
　　操作风险事件不仅仅是案例和教训，对操作风险数据的搜集和整理也是非常重要的风险识别过程，建立操作风险数据库对于提升风险管控水平、建立科学的操作风险资本金制度具有重大意义。建立操作风险数据库是一项长期、细致的工作，一方面需要商业银行建立相应的制度和原则，保证该项工作的持续进行；另一方面也需要行业协会和监管部门发挥统筹作用，提高行业从业者对操作风险管控的认知水平，在行业内形成互帮互学的氛围。
　　商业银行操作风险会牵引到其他各类风险的发生，商业银行必须深刻认识到该项事项的重大意义，更好地利用起这些风险数据库，才能更好地识别各类风险的发生，以便预防和控制风险，更好地为商业银行服务。
　　参考文献：
　　[1]黄绿.《商业银行操作风险数据库建立与应用》.暨南大学，2008.
　　[2]郝晓玲，于秀艳.著作《银行操作风险传导与控制》.2014.
　　[3]COSO.“内部控制——一体化结构”的研究报告.1992.
　　[4]COSO.《风险管理整体框架》.2003.
　　[5]巴塞尔.《统一资本计量和资本标准的国际协议：修订框架》.即“巴塞尔新资本协议”，2004.
　　作者简介：
　　刘卿，昆仑银行股份有限公司。