1、核心原則的基本架構（一）目標、獨立性、權力、透明度與合作原則1 （二）發照和結構原則2至5 （三）審慎規章及要求原則6至18（四）持續監管的手段原則18至21 （五）信息要求原則22 （六）監管的正式權力原則23 （七）并表和跨境監管原則23至25 第1頁/共41頁審慎規章及要求原則1515：操作風險 銀行監管當局必須滿意地看到，銀行具備與其規模及復雜程度相匹配的識別、評價、監測和緩解操作風險的風險管理政策和程序 。第2頁/共41頁目錄 操作風險定義 什么是操作風險？ 歷史演變 操作風險與信用風險、市場風險的區別 操作風險與內部控制的關系 操作風險監管要求比較 操作風險管理 操作風險計量與資本

2、配置第3頁/共41頁巴塞爾委員會對操作風險的定義巴塞爾委員會對操作風險的定義操作風險是指由不完善或有問題的, 包括，但不包括策略和聲譽風險。-巴塞爾銀行監管委員會法律風險：因無法履行的合同（全部或部分）、訴訟、不利的判決或其他法律程序使銀行的業務中斷或對銀行狀況造成不利影響而帶來的風險。聲譽風險：公眾對某家銀行做法持負面評價（無論真實與否），從而導致其客戶群縮小、發生昂貴的訴訟及/或使其收入下降的可能性 。策略風險：來源于不合適的業務戰略，或與該戰略有關的假設條件、參數、目標以及其它特征有了負面的改變。 第4頁/共41頁操作風險三段論操作風險三段論原因為什么發生？人員違規、程序不合理、系統故障

3、、外部沖擊事件*發生了什么？欺詐、交易記錄輸入錯誤、系統數據丟失影響結果如何？資金損失、聲譽受損、罰款*：事件是指已經成為現實的損失，不涵蓋潛在損失。第5頁/共41頁操作風險的特殊性操作風險的特殊性利潤的上升并不需要操作風險敞口的增加利潤風險信用市場操作第6頁/共41頁操作風險與內部控制的關系操作風險與內部控制的關系 糾結，糾結，還是糾結COSO內部控制框架與全面風險管理框架時間文件目標要素模式區別1994內部控制-整體框架經營目標、財務報告目標和遵守目標內部控制環境、內部控制策劃、實施和運行、監測評價與持續改進、信息交流與反饋策劃-實施-檢查-改進內控僅是管理的一種職能2004全面風險管理框

4、架戰略目標、經營目標、報告目標和合規目標內部環境、目標設定、事件識別、風險評估、風險對策、控制活動、信息和交流、監控目標-要素-層級三維立體涵蓋內部控制、風險范圍擴展、引進風險偏好、風險容忍度、風險對策和情景分析等方法第7頁/共41頁操作風險與內部控制的關系（續）操作風險與內部控制的關系（續）規章制度和稽核建設對基層行的合規性監督問責制, 行務管理合規制對銀行機構提出內部控制的要求組織結構和控制文化建設審批與授權責處與問責輪崗輪調和強制休假制度行為失范的適時檢查制度獎勵和保護舉報員工對人員的內部控制要求不兼容崗位的適當分離行為控制對銀行賬戶管理的內部控制要求驗證與核實實務控制高技術環境下的控制

5、適時有效的對賬制度，未達賬項和差錯處理的環節控制，嚴格印章、密押、憑證的分管分存及銷毀制度，賬外經營的監控,改進科技信息系統第8頁/共41頁操作風險與內部控制的關系（續）操作風險與內部控制的關系（續）操作風險管理指引操作風險管理指引商業銀行內部控制指引商業銀行內部控制指引企業內部控制基本規范企業內部控制基本規范基本要素：董事會的監督控制；高級管理層的職責；適當的組織架構；操作風險管理政策、方法和程序；計提操作風險所需資本的規定基本要素：內部控制環境；風險識別與評估；內部控制措施；信息交流與反饋基本要素：內部環境；風險評估；控制活動；信息與溝通；內部監督明確職責分工授信的內部控制不相容職務分離控

6、制監測風險限額資金業務的內部控制授權審批控制安全監控記錄存款和柜臺業務的內部控制會計系統控制強制休假與離崗審計中間業務的內部控制財產保護控制八小時以外行為規范會計的內部控制預算控制舉報激勵與保護制度計算機信息系統的內部控制運營分析控制案件的雙重考核制度內部控制的監督與糾正績效考評控制案件及信息披露激勵約束機制第9頁/共41頁目錄 操作風險定義 操作風險監管要求比較主要監管規定列表主要監管要求對比 操作風險管理 操作風險計量與資本配置第10頁/共41頁主要監管規定列表主要監管規定列表監管規定時間銀監會關于加大防范操作風險工作力度的通知2005.3.22合規風險指引2006.10.25操作風險管理

7、指引2007.5.14內控指引2007.73操作風險監管資本計量指引2008.9.18信息科技風險管理指引2009.6.1聲譽風險管理指引2009.8.25高級法驗證指引操作風險模塊2009.11.23巴塞爾委員會金融服務外包2005.2新資本協議（修訂版）2006.6高級法關鍵要素實踐2006.10高級法下的母國東道國監管合作原則2007.11操作風險損失數據收集作業2008.7操作風險保險的風險緩釋效應確認建模2010.10操作風險穩健管理原則2011.6高級法監管指引2011.6第11頁/共41頁操作風險管理體系基本要素營造合適的操作風險管理環境操作風險管理程序信息披露的作用*原則1-5

8、 董事會和高管層職責；框架原則6-10識別與評估；監測和報告；控制和緩釋；業務彈性和可持續性原則11充分的對外信息披露操作風險管理與監管的穩健做法操作風險管理指引營造合適的操作風險管理環境資本計提規定*董事會的監督控制高管層職責適當的組織結構*政策方法 程序緩釋手段資本計提操作風險管理政策、方法和程序*：表示穩健做法里不涵蓋；*：表示是對穩健做法相應原則的擴展；*：表示相互存在差異。操作風險監管要求基本要素比對操作風險監管要求基本要素比對第12頁/共41頁目錄 操作風險定義 操作風險監管政策與監管環境 操作風險管理 管理流程與基本要素 中國銀行業操作風險管理實踐 操作風險計量與資本配置第13頁

9、/共41頁操作風險管理流程操作風險管理流程風險識別評估 / 計量控制/緩釋檢驗/再評估監測報告反饋 操作風險管理是一個連續的過程第14頁/共41頁操作風險管理三大工具操作風險管理三大工具RCSARCSAKRIKRILDCLDC流程梳理流程梳理風險識別風險識別控制措控制措施識別施識別監監控控與與報報告告損失損失數據數據搜集搜集監控監控數據數據收集收集損失識別損失識別主要執行步驟主要執行步驟工具工具風險與控風險與控制有效性制有效性評估評估指指標標設設計計三大工具架構及執行程序行動方案行動方案設計設計與執行與執行（含控制措施改（含控制措施改善）善）第15頁/共41頁操作風險管理三大工具（續）操作風險

10、管理三大工具（續） 識別操作控制環境的強弱 例如，由業務線回答的一般的具體的問題 揭示薄弱環節。幫助優化隨后采取的管理行動 將風險類型與業務部門、組織職能或流程對應起來 確立關鍵控制標準，實施操作風險控制與緩釋 領先及滯后指標 失敗的交易數額、員工流失率和繁鎖出錯的頻率和嚴重程度關鍵風險指標(KRI)損失數據庫風險與自控評估識別和評估、監測、控制和緩釋操作風險的工具第16頁/共41頁操作風險自評估操作風險自評估 自我評估：是在銀行內部控制體系基礎上，通過開展全員風險識別，識別出全行經營管理中存在的風險點，并從損失金額和發生概率兩個角度來評估風險度大小。 自我評估的主要目標：是鼓勵各級機構承擔責

11、任及主動對操作風險進行識別管理。 自我評估通常的方法：流程分析法、情景模擬法、引導會議法、德爾菲法（專家預測法）、調查問卷法等。第17頁/共41頁風險識別固有風險評估固有風險水平現有控制分析控制評估（設計）可能性后果剩余風險評估剩余風險水平可能性后果12345產品產品/ /流程風險及控制評估（流程風險及控制評估（RCSARCSA） 第18頁/共41頁自評估流程自評估流程作業流程分析和風險識別與評估全員風險識別與報告控制活動識別與評估制定與實施控制優化方案報告自我評估工作與日常監控第19頁/共41頁LMMLLLLLLL LL LL LL LL eg;L eg;日常操作失誤M ML LL LL L

12、L LH HM MM ML LL LH HH HH HM MM MH H eg:eg:員工重大操作失誤H H eg:eg:系統主要故障H HH HM M影響11概率34523425應極力避免的可承擔/不承擔：外包或保險可承擔/不承擔：外包或保險可承擔：內控、系統、稽核、合規操作風險自評估矩陣操作風險自評估矩陣第20頁/共41頁損失數據庫（損失數據庫（LDCLDC）操作風險損失事件的定義？ 顯性損失VS隱性損失 財務損失VS非財務損失 損失閥值VS風險管理VS風險計量操作風險損失數據應收集哪些信息？ 事件本身：日期；金額；原因；業務條線；啟動的控制措施；是否促發監管要求；是否采取緩釋措施；追索等

13、 隱性損失：近損失事件（near miss）VS風險管理VS風險計量；現有風險管理VS管理標準；隱性損失計量的難度VS作用 四大數據要素：內部，外部，內控環境，情景分析VS混合使用操作風險損失數據收集流程 制定統一的數據收集標準和模板 下發各條線和各分支行試收集數據并提出修改意見 將試收集的數據和意見反饋給操作風險管理牽頭部門以完善標準和模板 下發標準和模板統一收集數據 對數據勾稽關系的核驗和數據質量的檢查 對外部數據（公開媒體收集、共享、購買外部數據）以及內控環境、情景分析數據的整合操作風險損失數據的應用 風險管理：挽回損失；分析漏洞；完善管理；采取應對措施（內控、保險、外包、BCP等） 風

14、險計量：掌握風險分布形態；計量資本（經濟資本和監管資本）；績效考核第21頁/共41頁風險緩釋風險緩釋- -保險保險保險覆蓋的范圍有多大？保險覆蓋的范圍有多大？保險路線圖保險路線圖OrganisationalLiabilityNon-FinancialPropertyAll Risks0%操作風險保護操作風險保護100%對沖對沖BBBD&OECCPPI典型典型BBBD&OECCPEPL高級高級PI外部欺詐外部欺詐員工風險員工風險技術風險技術風險物理資產風險物理資產風險關系風險關系風險領先領先水平水平外部欺詐外部欺詐員工風險員工風險 技術風險技術風險資本資本物理資產物理資產所有風險所有風險關系風險

15、關系風險未來未來PropertyAll RisksGeneral &Other LiabilityGeneral &OtherLiabilityUnauthorisedTrading注：具體可參見2010年10月巴塞爾發布的保險緩釋文件。第22頁/共41頁應急預案管理應急預案管理第23頁/共41頁關鍵風險指標的主要作用關鍵風險指標的主要作用 幫助執行部門保持操作風險管理流程的有效性，確保操作風險特征信息反映銀行的實際狀況； 幫助各級管理層監控操作風險與控制的有效性，積極的采取具體措施，對操作風險進行管理； 可作為具體業務和管理過程中潛在風險與控制問題的預警指標； 反映銀行/分行的操作風險偏好關

16、鍵風險指標是一系列的參數，用來監控銀行整體操作風險狀況的變化，或特定的業務單元、流程和系統內操作風險狀況的變化。 與揭示風險有關的指標，如信用卡發卡量異常變動情況與損失有關的指標，如客戶投訴的數量與成因相關的指標，如員工周轉情況手工交易的百分比手工交易的百分比%人員人員交易量和數目交易量和數目病假和年假時間（按日計算）病假和年假時間（按日計算）到位及能力發揮情況手工交易量和職工加班時間手工交易量和職工加班時間200,000250,000300,000350,000400,000Jan MarMay Jul SepNovTrx Amt RM00019,00021,50024,00026,5002

17、9,00031,50034,000No. TrxManual Trx AmtAuto Trx AmtNo. Trx11,500 12,500 13,500 14,500 15,500 16,500 17,500 Jan MarMay Jul SepNovManual Trx Amt (RM000)100 200 300 400 500 600 700 800 Overtime (hrs)Overtime HrsManual Trx Amt/ Employee92.00 93.00 94.00 95.00 96.00 97.00 98.00 Jan MarMay Jul SepNov% Manu

18、al Trx14,000 15,000 16,000 17,000 18,000 19,000 20,000 21,000 22,000 Total No. Trx% Manual TrxNo. Manual Trx151719212325Jan Mar May JulSep NovNo. Employees- 10 20 30 40 50 60 70 Leave DaysSick LeaveAnnual LeaveNo. Employee第24頁/共41頁報告內容和頻率報告內容和頻率董事會董事會執行委員會（例如，操作風險管理委員會）業務經理員工問題：是否制定舉報機制的政策董事會應該獲取信息清

19、楚全面操作風險，及關注重要的策略性的業務意圖高級管理層第25頁/共41頁操作風險操作風險報告樣本報告樣本專業工作站 報告風險狀況 標準報告 排名前10位的剩余風險 排名靠前的損失 儀表板 關鍵控制點 關鍵風險指標外部事件項目狀態損失數據報告樣本按業務條線分類的損失-2007-20070123456零售公司保險貿易總的凈損失 ( (百萬元) )其他系統員工流程外部事件第26頁/共41頁目錄 操作風險定義 操作風險監管政策與監管環境 操作風險管理 管理流程與基本要素 中國銀行業操作風險管理實踐 操作風險計量與資本配置第27頁/共41頁 第一階段是傳統階段：只有內部控制，缺乏正規的操作風險管理架構。

20、 第二階段是識別階段：專人負責操作風險管理，制定了相應的制度，能實施自我評估，收集損失事件的數據。 第三階段是監測階段：能跟蹤收集相關數據，制定了定性和定量指標，實施打分卡策略，形成綜合報告體系，系統性培訓。 第四階段是定量階段：具備全面綜合的數據庫，能借助數理模型深入分析帶來的影響。 第五階段是整合階段：操作風險管理、戰略規劃、質量控制和經濟資本管理有機結合，提高股東價值。操作風險管理的發展階段操作風險管理的發展階段第28頁/共41頁我國銀行操作風險管理差距我國銀行操作風險管理差距操作風險管理內容國際大銀行的標準我國銀行目前的差距理念和政策統一明確的管理政策；明確界定和分類；并在全行范圍內建

21、立綜合統一的方法和流程來監測、預防對缺乏統一的認識；什么是或不是操作風險？要不要對操作風險進行統一管理？沒有成文的管理政策、流程治理結構董事會批準的統一的管理框架；完全獨立的審計部門監督和匯報操作政策和程序是否有效實施；集中的風險管理部門負責維護管理工具、協調和匯報風險，業務部門負責具體監控，數據收集和工具的實施尚沒有董事會或對等機構來批準統一的管理框架；總行相關部門分布負責一些工作，但部門之間缺乏協調和清楚的報告關系（管理部門內分別向各自上級匯報）風險評估銀行采取一種或多種方法評估：風險自評、流程風險映射、關鍵風險指標、風險打分卡、歷史跟蹤和量化風險數據尚未做過正式的自評；未建立正式的關鍵風

22、險指標體系，更無與其掛鉤的風險預警；尚未設計和實施打分卡風險緩釋工具的使用應急方案及業務恢復計劃銀行投入適當的風險緩釋工具，如保險、系統安全技術和服務外包等對風險緩釋工具的效果進行系統的評價，對外部服務質量嚴格控制并有備用方案對使用流程技術和保險來緩釋風險的舉措缺乏統一規定，個別分行有一定的措施對風險緩釋的效果無系統的跟蹤評價第29頁/共41頁我國銀行操作風險管理差距（續）我國銀行操作風險管理差距（續）操作風險管理內容國際大銀行的標準我國銀行目前的差距與管理流程整合定期報告，報告應傳達給所有相關的管理層和部門；銀行應有一整套的監控流程和程序來保證內控政策得到遵守和實施沒有合規披露及監管披露管理

23、的制和方式，以足夠使投資者能夠對其管理效果做出合理判斷尚沒有披露機制和方式、系統和數據業務部門沒有關于操作風險的報告；目前的審計報告缺乏連續性和全面性，主要側重已出現問題的業務應急方案及業務恢復計劃針對銀行可能面對的不同災害情況，制定相應的應急方案和業務恢復計劃，對業務恢復計劃進行定期評價和修訂在對服務外包商的盡職調查和準備應急方案方面無統一規定；沒有較完整的應急方案和業務恢復計劃系統和數據建立集中式的中央數據庫，并與分析工具、映射工具和文件報告工具聯系；存儲足夠歷史數據以支持對模型的后臺測試尚沒有的信息系統和數據支持第30頁/共41頁目錄 操作風險定義及漫談 操作風險監管政策與監管環境 操作

24、風險管理 操作風險計量與資本配置 基本指標法 標準法第31頁/共41頁資本要求是根據前三年的實際年總收入(GI)的固定百分比的平均值計算的 沒有統一標準鼓勵參照穩健原則中的做法 GI :凈利息收入+凈非利息收入 根據一國監管當局或會計準則規定 = 15% 不期望國際活躍銀行和有重大操作風險暴露的銀行使用資 本 要 求 基本指標法基本指標法第32頁/共41頁基本指標法示例基本指標法示例例子銀行 X第 1年第 2年第3年總收入1800600(-100) Alpha15%15%15%資本要求第33頁/共41頁基本指標法示例（續）基本指標法示例（續）基本指標方法同類銀行分析：銀行 X第1年第2年第3年總收入1800600(-100)Alpha15%15%15%資本要求27090-銀行 Y第1年第2年第3年總收入200015001800Alpha15%15%15%資本要求300225270銀行 Z第1年第2年第3年總收入