第五章操作风险管理
考点5.1操作风险概述
1.操作风险是指由不完善或有问题的内部程序、员工、信息科技系统以及外部事件所造成损失的风险。
【本定义所指操作风险包括法律风险，但不包括策略风险和声誉风险。】
2.根据操作风险的定义，商业银行的操作风险可按人员因素、内部流程、系统缺陷和外部事件四大类分类。
3.人员因素主要是指因商业银行员工发生内部欺诈、失职违规，以及因员工的知识/技能匮乏、核心员工流失、商业银行违反用工法等造成损失或者不良影响而引起的风险；
①内部欺诈：指员工故意骗取、盗用财产或违反监管规章、法律或公司政策导致的损失；【分类有未经授权交易、盗窃和欺诈；】
②失职违规：员工因过失没有按照雇用合同、内部员工守则、相关业务及管理规定操作或者办理业务造成的风险，主要包括因过失、未经授权的业务或交易行为以及超越授权的活动。员工越权行为包括滥用职权、对客户交易进行误导或者支配超出其权限的资金额度，或者从事未经授权的交易等，致使商业银行发生损失的风险。商业银行应对员工越权行为导致的操作风险予以高度关注。
③知识/技能匮乏分为三种：
在工作中，自己意识不到缺乏必要的知识，按照自己认为正确而实际错误的方式工作；
意识到自己缺乏必要的知识，但是由于颜面或者其他原因而不向管理层提出或者声明其无法胜任某一工作或者不能处理面对的情况；
意识到本身缺乏必要的知识，并进而利用这种缺陷。
④核心雇员流失：体现为对关键人员依赖的风险，包括缺乏足够的后援/替代人员，相关信息缺乏共享和文档记录，缺乏岗位轮换机制等；
⑤违反用工法：指违反就业、健康或安全方面的法律或协议，包括劳动法、合同法等，造成个人工伤赔付或因性别/种族歧视事件导致的损失；
4.内部流程：指由于商业银行业务流程缺失、设计不完善，或者没有被严格执行而造成的损失；
①财务/会计错误；
②文件/合同缺陷：主要表现为抵押权证、房产证丢失等；
③产品设计缺陷：在业务管理框架、权利义务结构、风险管理要求等方面不完善、不健全；
④错误监控/报告；
⑤结算/支付错误；
⑥交易/定价错误；
5.系统缺陷：指由于信息科技部门或服务供应商提供的计算机系统或设备发生故障或其他原因，商业银行不能正常提供部分、全部服务或业务中断而造成的损失；
具体表现：①数据/信息质量；②违反系统安全规定；③系统设计/开发的战略风险；④系统稳定性、兼容性、适宜性。
6.外部事件：
①外部欺诈：指第三方故意骗取、盗用财产或逃避法律，包括外部盗窃欺诈、系统安全性两类；
【该类风险是给商业银行造成损失最大、发生次数最多的操作风险之一。】
②洗钱；③政治风险；④监管规定；⑤业务外包；⑥自然灾害；⑦恐怖威胁
7.操作风险影响：包括可用经济指标衡量的财务影响以及无法用经济指标量化的非财务影响；
8.操作风险等级矩阵通过风险概率和影响两个维度来度量风险的严重度。
考点5.2操作风险识别方法
1.自我评估法：自我评估法是在商业银行内部控制体系的基础上，通过开展全员风险识别，识别出全行经营管理中存在的风险点，并从影响程序和发生概率两个角度来评估操作风险的重要程度；目的是鼓励各级机构主动承担责任，加强对操作风险识别、评估、控制和监测流程的有效管理；
2.因果分析模型：在综合自我评估结果和各类操作风险报告的基础上，利用因果分析模型能够对风险成因、风险指标和风险损失进行逻辑分析和数据统计，进而形成三者之间相互关联的多元分布；实践中，商业银行通常先收集损失事件，然后识别导致损失的风险成因，方法包括实证分析法、与业务管理部门会谈等，最终获得损失事件与风险成因之间的因果关系。
考点5.3操作风险评估
1.操作风险评估是指操作风险所有人持续识别、评估并报告业务流程的操作风险及其控制状况的过程；原理是按照“固有风险-控制措施=剩余风险”的方法；操作风险是一种银行操作风险管理手段，通常采用定性与定量相结合的方法来评估操作风险；
2.操作风险评估的原则：业务流程所有人负第一评估责任原则；动态管理原则；重要性原则；
3.操作风险评估的步骤：准备、评估和报告三个步骤；
4.操作风险评估的价值：
①建立覆盖商业银行各类经营管理的操作风险动态识别评估机制，实现操作风险的主动识别与内部控制持续优化；
②优化和完善各类作业流程，平衡风险与收益，提升商业银行服务效率和盈利能力；
③在自我评估基础上建立操作风险事件数据库，构建操作风险日常管理的基础平台；
④为建立操作风险管理的关键风险指标体系和操作风险计量奠定基础；
⑤风险关口前移，从源头上控制风险隐患；来源：233网校
⑥促进操作风险管理文化的转变，通过全员风险识别，提高员工参与操作风险管理的主动性和积极性
5.RACA对操作风险进行主动的识别和评估，识别控制失当的风险，是对风险管理过程的开端；
RACA形成关键风险和关键控制清单，为操作风险管理和内部控制报告提供统一语言。
考点5.4操作风险缓释
1.管理和控制操作风险通常需要较高的投入，银行在制定操作风险管理方案时，应当有效平衡成本与收益；
2.操作风险的主要缓释手段有业务连续性管理计划、商业保险和业务外包；
3.在商业银行投保前，商业银行和保险机构都要充分评估商业银行操作风险的状况、风险管理能力及财务承受能力，最终确定商业银行自担风险还是保险机构承保；购买保险只是操作风险缓释的一种措施，预防和减少操作风险事件的发生，根本上还是要靠商业银行不断提高自身的风险管理水平。
4.可供商业银行购买的保险产品：
①商业银行一揽子保险【承担内部盗窃和内外部欺诈风险】；
②错误与遗漏保险；
③经理与高级职员责任险；
④未授权交易保险；
⑤财产保险；
⑥营业中断保险；
⑦商业综合责任保险；
⑧电子保险；
⑨计算机犯罪保险【保险的缓释最高不超过操作风险监管资本要求的20%】。
5.外包非核心业务有助于商业银行将重心放在核心业务上，从而提有效率、降低成本；主要有技术外包、处理程序外包、业务营销外包、专业性服务外包、后勤性事务外包；业务操作虽然可以外包，但是最终责任人还是商业银行；外包服务实施流程为：立项、采购、合同管理、持续管理与监督。
考点5.5主要业务操作风险控制
1.柜台业务：是商业银行各项业务操作的集中体现，也是最容易引发操作风险的业务环节。
柜台业务范围广泛，包括账户管理、存取款、现金库箱、印押证管理、票据凭证审核、会计核算、账务处理等各项操作。
2.法人信贷业务：包括法人客户贷款业务、贴现业务、银行承兑汇票等业务；按照法人的信贷业务的流程，可大致分为评级授信、贷前调查、信贷审查、信贷审批、贷款发放、贷后管理六个环节。
3.个人信贷业务；
4.资金交易业务：包括资金管理、资金存放、资金拆借、债券买卖、外汇买卖、黄金买卖、金融衍生产品交易等业务。从资金交易业务流程来看，可分为前台交易、中台风险管理、后台结算/清算三个环节；
5.代理业务。
考点5.6操作风险监控与报告
1.关键风险指标示例：人员在当前部门的从业年限、员工人均培训费用、客户投诉占比、交易结果和财务核算结果间的差异、前后台交易不匹配占比、系统故障时间、系统数量、反洗钱警报占比；
2.损失数据收集的价值：把握操作风险损失的情况、发现内部薄弱环节、符合巴塞尔的标准、可提供数据；
3.风险报告：包括风险状况、损失事件、诱因与对策、关键风险指标、资本水平五个部分；商业银行的业务单位、内部职能部门、操作风险管理部门和内部审计部门可单独向高级管理层报告。
考点5.7操作风险资本计量
1.商业银行可采用基本指标法、标准法或高级计量法计量操作风险资本要求；
2.基本指标法：以总收入为基础计量操作风险资本要求；巴塞尔委员会建议基本指标法适用范围是小型的、业务范围限于某一国家或地区内的商业银行。
3.标准法：将商业银行划分为九条业务线；【公司金融、交易和销售、零售银行、商业银行、支付和结算、代理服务、资产管理、零售经纪、其他业务】β代表商业银行在特定产品线的潜在操作风险损失与该产品线总收入之间的关系：
①零售银行、资产管理和零售经纪业务条线的操作风险资本系数为12%；
②商业银行和代理服务业务条线的操作风险资本系数为15%；
③公司金融、支付和清算、交易和销售以及其他业务条线的操作风险资本系数为18%
4.高级计量法基于内部损失数据、外部损失数据、情景分析、业务经营环境和内部控制因素建立计量模型；
巴塞尔委员会鼓励商业银行自助开发适合自身特点的AMA模型，并建议了损失分步法LDA【主流选择】、内部衡量法IMA和打分卡法SCA三种计量模型，模型的置信度99.9%，观测期为1年；根据银监会要求，商业银行应具备至少5年观测期的内部损失数据，初次使用高计量法的商业银行，可使用3年期的内部损失数据；AMA资本计量的相关性主要包括频率相关性、严重度相关性和累计损失相关性三类。
