商業銀行關鍵操作風險指標構建問題研究 劉睿/李金迎 【專題名稱】金融與保險 【專 題 號】F62 【復印期號】2009年10期 【原文出處】金融與經濟南昌2009年6期第2529頁 【作者簡介】劉睿招商銀行博士后工作站廣東 深圳 518040中山大學嶺南學院博士后流動站廣東 廣州 510275 李金迎清華大學公共管理學院博士后流動站北京 100084。 隨著國內銀行實施新資本協議期限的臨近使用何種有效的管理工具和方法來管理操作風險系統性地提升我國銀行的風險管理水平為全面風險管理的實施打下良好基礎已成為我國銀行越來越關注的問題。 由于操作風險的內容復雜形式多變很難對其進行持續的跟蹤和檢測。同時由于操作風險暴露很不穩定易隨環境和流程的變化而變化加上歷史數據嚴重缺乏商業銀行很難對自身操作風險變動的趨勢進行判斷?？梢哉f我國銀行應該如何設計和利用有效的管理工具來識別、評估、監測操作風險狀況并在此基礎形成操作風險報告采取管理措施并為經濟資本計提及配置決策提供依據已經成為我國銀行目前亟待解決的關鍵課題。 作為商業銀行對操作風險進行識別和檢測的重要工具關鍵風險指標Key Risk IndicatorKRI的設計和使用得到了巴塞爾委員會和我國銀監會的重視。這一工具主要解決的是銀行如何識別和了解自身的操作風險狀況及其變化趨勢的問題形成前瞻性的風險預警。但是從已有研究成果看目前學術界對如何有效建立和使用KRI的專門研究非常缺乏這一狀況對我國本已缺乏操作風險管理經驗的銀行形成了更大的困難。由于操作風險的特異性關鍵風險指標的構建必須要針對銀行具體的經營環境和內控狀況必須建立在自身的風險管理體系和風險控制自我評估的基礎之上。國內銀行需要在了解自身操作風險狀況和特征的前提下研究構建一套有效的方法來構建自身的指標體系并進一步研究如何通過KRI來深入識別和監測流程中的操作風險為2010年順利實施新巴塞爾協議打下基礎。因此我們有必要對如何科學系統地建立、完善和使用關鍵風險指標這一工具進行研究為日常的操作風險管理提供有力的支持。 一、KRI的定義和類型 巴塞爾委員會2002年7月發布的操作風險管理與監管的穩健做法中第四條原則明確指出“風險指標是指用來考察銀行的風險狀況的統計數據和/或指標這些指標通常是財務方面的指標對這些指標要進行定期逐月或逐季審查以提醒注意銀行有關風險的可能變化。”COSO委員會在企業風險管理整合框架中指出企業可以使用事件指標Leading Event Indicators來識別可能導致一個事件發生的情形是否存在。 銀監會制定的監管文件中都提到了“關鍵風險指標”這一管理操作風險的重要工具。在銀監會2007年5月發布的商業銀行操作風險管理指引中關鍵風險指標被定義為“代表某一風險領域變化情況并可定期監控的統計指標”。指標的具體例子包括每億元資產損失率每萬人案件發生率百萬元以上案件發生比率超過一定期限尚未確認的交易數量失敗交易占總交易數量的比例員工流動率客戶投訴次數錯誤和遺漏的頻率以及損失影響等。 可以看出關鍵風險指標的核心正是在于其能夠“代表某一風險領域的變化”。理論上如果我們能夠對某流程中需要檢測的風險區域建立對應的指標則這些指標作為反映風險變化情況的早期預警信號就可以用來監測可能造成操作風險損失事件的各項風險。同時管理層可依據指標的變化迅速采取措施來控制和應對風險。 進一步的一個KRI通常是一個財務變量或者是反映“操作”狀態的變量這可以是一個專門反映事件原因的變量。從理論上來說KRI可以是嚴格數量化的指標如員工流失率、結算錯誤數量也可以是偏重定性的指標如員工競爭力或系統的能力等可以是完全客觀的如系統宕機小時數也可以更主觀衍生品組合構成的復雜程度等。無論使用何種形式的指標根本目標就是要使指標在相當大的程度上與某個風險驅動因素相聯系。更理想的情況是KRI應當與損失事件發生的機制和途徑相聯系。 對KRI我們可以進行多種分類。比如按照指標反映的內容來看可以分為風險指標和控制指標。從使用目的來看一個有效的指標體系可以分為先行事前指標和滯后事后指標因為這樣能更好發揮指標的監測和預警功能。這里我們按照指標監測對象類型的不同將關鍵風險指標分為三大類包括損失滯后指標、過程同步指標和環境先行指標。 損失指標監測實際已經發生的操作風險損失如各種操作風險損失形態法律成本、監管罰沒損失、資產損失、賠償損失、追索失敗、賬面減值等。由于損失已發生損失指標是滯后的。通常可以使用平均歷史水平來估計期望損失水平并作為閾值的依據。這些指標是常見的指標可以反映風險暴露情況。 過程指標用來描述和監測流程的操作質量適用于各類型風險。通常情況下過程指標是一種同步指標展現已經發生了什么但無法提示我們哪里可能會發生什么。因此選擇和設計具有預測性的風險指標是一種挑戰。通常的過程指標包括等待確認的業務數量失敗的交易結算數量等。對這類指標至少有一部分可以通過一個參考標準來進行選取即例外導向。比如如果一個部門很少有過了指定時間仍然未能完成的事項如放款或結算等就可以將該類事項的數量作為一個KRI。這樣可以選取更多的指標進行討論擴大KRI的備選范圍。過程指標的其他例子還包括差錯率、平均業務量、系統處理能力等。 環境指標是一類典型的前向型的指標通常有很大的定性成分。設計這類指標的目的是要監測經營環境以及一些對于流程運營質量具有關鍵影響和支持作用的因素。例如員工經驗水平變化、雇員滿意度、培訓水平、技術變化率等。理論上來說環境指標非常重要但指標設計和數據獲取通常比較困難因為這些指標通常有大量的定性成分。也正是因為這個原因這些指標容易引起爭議因為不容易找到直接的證據證明這些指標與事后損失的變化有關。但是對管理層而言這種前向型指標是最有用的。 二、KRI在操作風險管理中的作用 我們在建立KRI之前應該首先明確操作風險管理的過程和方法以便于對構建和使用KRI的要求進行清晰的定位。 依據巴塞爾委員會的觀點我們可以將操作風險管理過程分為四個步驟包括識別、評估、監測、控制/緩釋。這一過程需要使用不同的工具和方法來實現主要包括操作風險的識別和評估工具風險和控制自我評估、操作風險監測工具關鍵風險指標、對低頻高損極端風險的應對工具-業務連續性計劃以及其他的基礎性工具如損失數據收集和分析操作風險損失報告等。 在操作風險管理與監管的穩健做法和管理指引中列舉出的一些商業銀行管理操作風險的具體方法包括操作風險和內部控制的評估、損失事件報告和損失數據收集、關鍵風險指標監測、新產品和新業務的風險評估、操作風險報告等。這些方法或工具在管理操作風險的過程中發揮著不同的作用。具體如圖1所示。 在操作風險的管理過程中KRI的作用非常重要。關鍵風險指標KRI是監測操作風險狀況的主要工具也是支持風險識別和評估的重要手段之一。這主要源于KRI具有使用上的便利性。操作風險狀況的自我評估和內部控制的自我評估是識別和管理操作風險的基礎工作通過評估可以發現風險點及對應的控制是否有效在此基礎上銀行可以選擇適當梳理的KRI來監測風險狀況。但由于成本和效率的限制自我評估通常定期進行如每年一次而KRI的計算卻可以每天連續更新。對于可以從內部系統中取數計算的指標結果可以每天更新。這樣關鍵風險指標就能幫助管理層對本部門或業務條線的操作風險狀況進行動態跟蹤了解風險的變動趨勢。同時KRI數據本身及其變化也是操作風險數據庫的重要數據來源能為風險量化提供直接的支持。 本質上KRI是對運行中操作風險輪廓變化的及時捕捉并隨時提醒管理者根據操作風險輪廓的變化調整操作風險管理措施是商業銀行安全的重要保障。對于任何給定的操作風險類型銀行都可以使用KRI來監測業務活動和特定業務領域的控制環境。由于銀行中各部門的任務、流程和目標各不相同其面臨的操作風險取決于所處的地理位置、客戶、產品、流程及價值鏈中的位置。因此各部門應根據需要來開發具體的KRI指標。 另外KRI為銀行管理操作風險提供了一個重要的數據基礎或者至少是可供量化的信息。這些信息可被用來對操作風險建模以支持決策和管理措施的執行。關鍵風險指標的地位是很重要的當某類風險的損失數據不具備無法進行統計度量時KRI是一個有效的風險信息來源。 三、KRI的構建 由于操作風險的復雜性和多樣性如何構建這一重要工具來管理操作風險正處于需要不斷探索的過程中。這里我們將討論這個問題。 一般的KRI的構建過程可以分為五個步驟即流程關鍵風險和控制識別、風險指標識別、關鍵風險指標篩選、確認KRI定義和數據收集程序、確定KRI的閾值。 銀行首先要在對業務流程全面梳理并對所有風險點進行識別的基礎上找出關鍵的控制措施及對應的風險點。也就是首先確定需要進行監測的風險區域。然后流程中的操作者和管理者討論現有指標或設計新的指標并考察指標對風險的敏感性以確定備選指標。應依據事先確定的重要性、數據的可獲得性等指標選取原則結合專家的建議來對備選指標進行篩選。在最終的指標確定后應明確規定指標應如何計算即指標的含義和計算方法并規定數據的收集程序。 另外在使用KRI進行操作風險管理的過程中正確的理解指標代表的含義并及時提出預警非常重要。這需要指標管理者將指標數值與設定的參照基準進行比較。這些基準水平稱為閾值thresholds或引發水平trigger levels因為如果指標數據超過了這一閾值水平就代表可能存在的風險水平已超過可接受的程度管理部門應采取措施來進行調查和解決。某一指標的閾值實際上反映出銀行對某類型風險的容忍度。這些閾值通常通過對指標歷史數據進行分析產生。一個典型的KRI應包括的內容如圖3所示。 KRI應定期評估和更新刪除那些變得已經不具風險敏感性或多余的指標根據風險和控制環境的變化調整指標內容、范圍和數據的收集方式或者發展新的指標。 KRI指標的選取過程并不復雜但要真正識別出對流程中特定風險點比較敏感能監測流程和環境變化趨勢起到預警作用的指標是非常不容易的。因為要挑選這樣的指標除了需要清楚流程的細節還需要對流程中操作風險的原因、影響及風險本身如頻率、損失形態等有深入的理解。同時銀行還要考慮KRI實際使用中的可行性如數據可獲取等因素的制約。 我們認為在指標選取過程中最關鍵的是對特定事件原因和影響的理解和解釋。銀行應當清楚地了解一個操作風險事件是如何發生的原因是什么如人員、流程、系統中哪種因素出了問題風險是在組織內部和流程的什么地方發生的其他部分受到了什么影響事件的影響是什么財務損失或者其他損失。另一方面現有的控制措施是否有效或部分有效它對事件原因是否起到了作用。本文中我們用一個簡明的例子來說明應如何選取指標。 如圖4所示我們對一起由于客戶服務質量下降引發的操作風險事件進行了分解和研究。針對前臺員工客戶服務質量下降這一事件可能的原因有員工經驗不足、情緒低落、業務量增長過快、IT系統運行效率較低等這些原因單獨或共同導致了客戶的不滿最終產生了客戶流失、聲譽受損的不良影響。針對這一風險銀行采取了兩類控制措施一類是預防風險發生的控制如員工培訓、行為監控等另一類是一旦發生該項風險事件應采取應對措施以控制事件影響如對投訴進行監控管理等。在整個過程中我們對風險的原因、相應的控制、風險事件、事件影響等每一個環節都設計了對應的KRI。通過對這些指標進行持續跟蹤并與指標閾值和歷史水平對比我們就能在一定程度上了解客戶服務質量下降這一風險發生的概率變化控制的有效性如何以及風險產生的影響如何。 四、有效KRI的來源和特征 構建有效的KRI體系對大多數銀行都是一個挑戰特別是對于構建具有早期預警功能以避免損失發生的領先指標來說更是如此。盡管這是一個不易解決的問題但還是有一些途徑來支持我們不斷完善KRI體系。 規章制度和政策。對業務活動的規范要求及由董事會和管理層確定的經營政策和限定性要求如風險限額成為有用的合規方面KRI的來源。如某時期內不合規業務的數量或風險暴露超過限額的數量。 戰略和目標。經營戰略和相關的績效指標是KRI的一個好的來源。例如銀行通常使用績效指標來測量員工的期望績效表現同時可以設計KRI用于測量這種績效的波動或下側風險。 歷史損失和事件。銀行在建立損失/事件數據庫。數據庫可提供信息發現什么樣的流程和事件會引起財務或聲譽的損失。KRI可針對這些流程和事件進行構建。 利益相關者的需求。除了監管部門以外利益相關者顧客、評級機構、股票分析師、業務伙伴等的需求也能幫助銀行發展KRI即發現那些關鍵的利益相關者關注的因素將KRI建立在這些因素之上。 風險評估和控制評估。對流程可能的風險環節及相應的控制環節進行的自我評估可以提供寶貴的基礎信息以確定對業務單位、業務流程和各風險類型而言哪里需要KRI進行監測。 可以看出操作風險管理需要銀行構建一套高質量的KRI而非高數量的。有效的關鍵風險指標KRI應當具備以下特征 “關鍵性”。太多的指標只會干擾管理層的有效決策 容易獲取可以定期如每天得到更新的數據 與風險驅動因素或風險暴露相關 是可以量化的指標 與目標和風險擁有者相聯系 兼顧先行指標和滯后指標 對支持和改進管理決策有幫助 能夠制定清晰的內部和外部參考基準 便于及時反應 當然要使選出的KRI同時兼顧這些標準是不容易的。例如我們認為員工素質是一個影響操作風險的重要因素但作為KRI是不合適的。因為員工素質不便測量更無法每天計算。同時銀行無法立即采取措施來應對和改善這一狀況。雖然與操作風險暴露和動因相連但由于它短期內不隨環境改變作為預警指標是不理想的。 五、目標和局限 由于操作風險的復雜性和多樣性很難有一種工具或方法是完全有效的。因此我們應當對KRI的設置制定一個主要的目標。這其中最重要的指標應當是風險敏感的或者說能夠反映導致損失發生的風險因素的變化。這是一個說起來容易做起來難的任務。 需要明確的是KRI的作用不是“預測”操作風險而是“監測”操作風險狀況及其變化。實質上KRI指標值的變化不是在預測某類風險事件是否將要發生這是無法做到的而是在顯示操作風險的“水平”是否在上升或下降。當然指標監測的對象也包括現有控制的有效性。 同時我們用來識別和監測操作風險的KRI也具有特定的局限。這種局限主要體現在三個方面 第一很多指標只能專用于某個專門的風險類型并且通常只對某個業務和流程有效。例如如信貸管理業務流程中的一個環節是有效的。通常情況下很難設計出一套跨業務線和區域的能監測各類型風險變化的指標。 第二