【经济金融】商业银行操作风险分类及判别方法研究

商业银行操作风险分类及判别方法研究□陈晨曦内容摘要对商业银行操作风险进行有效识别是进行操作风险管理的前提。操作风险有效识别离不开对操作风险的科学判别。目前国内外存在对操作风险的多种判别办法，其中影响最大的是巴塞尔银行监管委员会对操作风险所作的定义及分类，但巴塞尔银行监管委员会对操作风险的界定并不能完全满足我国商业银行对操作风险管理的实践需要。有鉴于此，笔者在对国内外现有的操作风险界定办法对比分析的基础上，尝试提出了一种适合我国商业银行操作风险管理需要的操作风险分类与判别新方法。关键词商业银行操作风险分类与判别研究一、国内外操作风险分类与判别研究情况目前国内外对操作风险的分类与判别总体上存在三类方法，即狭义定义法、广义定义法及居于狭义和广义之间的定义法，而且通常是在对操作风险损失事件进行列举的基础上作出的。狭义定义法通常认为只有与金融机构中运营部门相关的风险才是操作风险。如WarburgDillonRead的操作风险总裁PeteerSlater在将操作风险细分为信贷与清算、市场、业务运营、筹资、法律事务、IT、税收、暴力与犯罪及制度执行九大类的基础上，将操作风险定义为遭受由于人为的、系统的错误而引起的内部控制缺乏或信息系统不足所导致的不可预见的损失的风险。洛伦兹·格利茨认为，操作风险产生于日常的操作与工作流程。全球风险专业人员协会（GARP）将操作风险定义为与业务操作相联系的风险。国际清算银行将操作风险定义为“信息系统不足或内部失控而造成意外损失的风险”。JP.Morgan则将操作风险定义为各公司业务和支持活动中内生的一种风险因素，这种风险表现为各种形式的错误、中断或停滞，可能导致财务损失或者给公司带来其它方面的损失。狭义定义方法的优点是可以将每个后台部门的管理重点集中于它们所面临的主要风险上，缺点是视野过于狭窄，银行可能因此遭受其他一些不可预见的损失。广义定义法也称间接定义法，它的外延非常宽泛，它将操作风险定义为除市场风险和信用风险以外的所有风险。如ElenaA.Medova将操作风险定义为除市场和信用风险以外的所有的风险，并且假设操作风险损失高于正常市场条件下信用风险和市场风险产生的损失。杰克·L·金将操作风险定义为是对公司业务活动与因此而产生的不同商业效果之间相互关系的一种度量。瑞士信贷集团将操作风险定义为“由于以不当或不足的方式操作业务而对业务带来负面影响的风险，操作风险也可能是由外部因素造成的”。这些广义界定法的优点是涵盖了市场风险和信用风险以外的所有剩余风险，但由于该定义过于宽泛，难以把握，造成对操作风险管理和计量的严重困难。界于广义与狭义之间的第三类定义方法是目前学术界及商业银行广泛采用的方法，其中最具代表性的要数战略性定义法及巴塞尔银行监管委员会对操作风险所作的定义。战略性操作风险概念是在区分可控制事件和难以控制的事件基础上，将可控制事件定义为操作风险，对应另一类事件的风险则被定义为“战略性风险”或“营销风险”。操作风险论坛对操作风险所作的定义无疑是战略性操作风险概念的典型代表，它将操作风险定义为：操作风险是遭受潜在经济损失的可能。损失可能来自于内部或外部事件、宏观趋势以及不能为公司决策机构和内部控制体系、信息系统、行政机构组织、道德准则或其他主要控制手段和标准所洞悉并阻止的变动。它不包括已经存在的其他风险种类如市场风险、信用风险及决策风险。巴塞尔银行监管委员会出于有效监管的目的，与业界一起，在对风险基本成因、实际风险或者损失事件以及相关收益与损失进行分析的基础上提出了新的操作风险定义：操作风险是指由于不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险。本定义包括法律风险，但不包括策略风险和声誉风险。并在《新资本协议》附录7《损失事件分类详表》中将操作风险损失事件细分为内部欺诈，外部欺诈，就业政策和工作场所安全性，客户、产品、及业务操作，实体资产损坏，业务中断和系统失败，执行、交割及流程管理等七个类别；又按发生的业务种类将操作风险归入到公司金融、交易和销售、零售银行业务、商业银行业务、支付和结算、代理服务、资产管理及零售经纪等八个产品线。巴塞尔银行监管委员会所作的操作风险定义既包括了可控风险事件，也包括了部分不可控事件（如自然灾害等不可抗事件），故其范围较战略性操作风险概念广。在操作风险的三类界定法中，相比较而言，以战略性界定法和巴塞尔银行监管委员会界定法为代表的第三类界定法更适合银行对操作风险管理实务的需要。国外商业银行在操作风险管理实务中普遍遵循了战略性界定和巴塞尔银行监管委员会界定法的基本精神，并基于本行操作风险管理战略需要，对本行的操作风险进行了界定。但该类界定方法中存在的不足也非常明显，如对操作风险的界定范围仍过广，损失事件分类中所使用的分类标准不统一，对辅助业务部门发生的损失事件难归类，所使用的术语过于专业，非专业人员难理解，不利于全员风险管理的实施，一些用语也不符合我国的语言习惯；此外，我国商业银行实行的是分业经营，国外商业银行业务中有相当一部分并非国内商业银行的经营范围。因此国外对操作风险所作的界定无法直接应用于国内商业银行操作风险管理的实践。为此，国内学者及业界对操作风险界定也进行了一些深入的研究，较具代表性有汪建峰、张吉光、董军等人对操作风险所作的界定。国内学者对操作风险界定进行研究时，在定义上基本直接采用了巴塞尔银行监管委员会的定义，研究重点在于对操作风险损失事件类型及产品线的归属上，并形成了各自的特点。汪建峰参照巴塞尔新资本协议对操作风险的分类，结合中国商业银行经营管理实际和语言习惯，将我国商业银行的操作风险划分为内部欺诈风险、外部欺诈风险、客户、产品和经营行为风险、执行交割和流程管理风险、经营中断和系统错误风险、劳动用工及工作场所风险和物理资产破坏风险七个类别，并按存款及支付结算业务、法人客户信贷业务、个人信贷业务、不良资产处置业务、国际业务、银行卡业务、中间业务及电子银行业务等八条业务线进行了列示，并形成了《我国商业银行操作风险类型表》。从他所界定的内容看，他实际上将操作风险仅界定在银行业务范围内，银行非业务部门发生的损失并未包括在内，因此他的界定是不够完整的。但汪先生对操作风险产品线的分类更符合国内业界的业务分类习惯，更易为大家所接受。我国著名学者张吉光在英国银行家协会对操作风险界定的基础上，根据我国商业银行分业经营的实际情况，对操作风险进行了重新界定，剔除了那些目前我国商业银行尚不能从事的业务中的操作风险，根据国内商业银行近年所暴露出的操作风险案例，对某些极小概率风险进行了剔除，形成了较之英国银行家协会所作的操作风险界定表内容大为简化的我国操作风险界定表［6］。他首先按操作风险的内外部来源作为第一层分类，将操作风险的人、流程、系统和外部事件成因作为第二层分类，对第二层四项成因的详细界定构成了操作风险分类的第三层。张吉光先生对损失事件所作的界定虽然较简洁，但也存在分类过粗、内容过于贫乏的问题，产品线的分类也未能全面揭示当前我国商业银行的业务全貌，而且与汪建峰先生一样未将银行内非业务部门发生的损失包括在内。董军先生对我国商业银行人因型操作风险形成机理进行了分析，将人因型操作风险分为败德性、知识性、规章性及操作性四类。董军先生的分类是从人的风险行为角度上进行把握，可谓掌握了与人的因素相关的操作风险的本质，这是他的最大亮点之所在，但他的界定未考虑外部因素的影响，而且进一步的细分也明显不够。二、我国商业银行操作风险界定应遵循的原则对操作风险进行科学的分类与判别是有效实施操作风险管理的前提。虽然2007年5月，中国银行业监督管理委员会发布了《商业银行操作风险管理指引》（以下简称《指引》），该指引一方面在对操作风险的定义上直接采用了巴塞尔新资本协议中的定义，但并未如新资本协议那样详尽给出了产品线及损失事件成因分类，只是对商业银行开展操作风险管理提出了一些原则性要求，“商业银行应当按照本指引的要求，建立与本行的业务性质、规模和复杂程度相适应的操作风险管理体系，有效识别、评估、监测和控制/缓释操作风险”，鉴于国内商业银行目前的发展水平和操作风险管理现状，银监委的这一做法无疑是相当明智的。为了加强对本行操作风险的管理，国内商业银行有必须在银监会《指引》的规范下，总结国内外对操作风险界定方法的优缺点，开展操作风险分类与判别研究。笔者认为，国内商业银行操作风险的界定应遵循以下原则：1、要从商业银行的视角进行分类。商业银行对操作风险进行界定的目的是为了满足自身对本行操作风险的管理需要，这自然只有站在商业银行的角度对操作风险进行界定才能实现。但也不能完全脱离监管部门的要求，要将监管部门的要求有机地融入到本行对操作风险的定义中去。2、对操作风险的界定应坚持可控性原则。对操作风险界定应采用战略性界定方法，强调可控性，对于无法通过改善管理途径进行有效防范和控制的事件应排除在操作风险范围之外，而且对操作风险的界定应更加关注与人的风险行为相关的风险因素。3、对操作风险的界定要坚持可计量性。对于无法计量的损失事件（典型的如人员流失）不应纳入操作风险，此举有利于实现操作风险界定范围与计量范围的一致性。4、在具体分类方法上应采用详细列举的方法。这是由操作风险的多样性和复杂性所决定的，也符合国内外主流界定方法。对损失事件类型的分类标准应统一，对业务领域的划分应符合国内业务实际，辅助业务部门要作为一个单独的事件归类部门，从而便于分业务部门对操作风险进行识别、统计、评估和管理。5、坚持操作风险优先的原则。当信用风险、市场风险及其他风险损失主要系商业银行员工的风险行为引起时，这些风险应重新归入操作风险，以免给相关责任人员留下了逃避责任或减轻责任的通道，使真实的操作风险难以控制。6、分类术语要符合国内传统习惯，易于为广大非专业人员所接受，以适应操作风险治理的全员参与性需要，也便于社会各界人士的监督和外部监管部门的监督检查。三、对国内商业银行操作风险的界定根据以上原则，笔者对我国商业银行的操作风险进行了重新定义和分类。1．操作风险的定义：笔者将我国商业银行的操作风险定义为：操作风险是指因内外部人员的不当行为、不完善的管理程序、有缺陷的系统给商业银行造成的可以货币计量的损失。此定义将自然灾害及非设计原因造成的系统崩溃或故障等与人的因素无关的损失事件排除在外，因为这些损失事件主要涉及不可抗力，非管理原因，具有不可控性；此外也将与人的不当行为相关但无法准确计量的损失事件排除在了操作风险之外，此考虑主要是为了保持操作风险的定义范围与计量范围的一致。笔者所作的操作风险定义的外延较之巴塞尔委员会的定义虽明显缩小，但又不局限于银行业务操作部门，仍最大程度上涵盖了当前国内商业银行除信用风险和市场风险外的剩余风险中的核心风险，而且易于理解，也便于商业银行将对操作风险的治理集中于对人的风险行为的研究和防控上，从而大大提高治理的针对性和有效性。2．操作风险分类操作风险损失类型遵循巴塞尔银行监管委员会的做法，实行双线分类，既按风险成因进行事件分类，按风险发生部门进行部门归类。（1）按损失事件成因分类操作风险损失事件按成因进行分层分类。第一层按导致损失的因素来源，分为内部因素引起的操作风险和外部因素引起的操作风险两大类。第二层按引发操作风险的行为人的不当行为性质，即是否存在主观故意性，分为败德型与非败德型两类。需要说明的是，这里所使用的“败德”一词，非经济学意义上的败德，而是指社会学意义上的不道德，以易于被普通员工所接受。由内部因素引发的败德型操作风险按行为人的不当行为是否构成犯罪进一步细分为违法型和违规型两类。若操作风险行为人的不当行为触犯了法律规定并构成了犯罪，依法要受到刑事处罚，由此类不当行为引发的操作风险归类于违法型操作风险，包含了过失犯罪及构成了犯罪但因情节轻微免于刑事处罚事件；若操作风险行为人的不当行为仅是违反了国家法规和银行内部规章，或虽违反了国家法律，但并未构成犯罪，此类操作风险归类于违规型操作风险。可见，违法型和违规型操作风险的核心区别在于引发操作风险的不当行为是否构成犯罪。对违法型和违规型操作风险实施分离，可以更