操作风险管理
5.1操作风险识别
巴塞尔委员会将操作风险定义为“由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险”。本定义所指操作风险包括法律风险，但不包括声誉风险和战略风险。
本节从人员因素、内部流程、系统缺陷和外部事件四个方面对操作风险形成的原因、损失种类及特征进行分析。
5.1.1人员因素
操作风险的人员因素主要是指因商业银行员工发生内部欺诈、失职违规，以及因员工的知识/技能匮乏、核心员工流失、商业银行违反用工法等造成损失或者不良影响而引起的风险。
1.内部欺诈
内部欺诈是指员工故意骗取、盗用财产或违反监管规章、法律或公司政策导致的损失。
2.失职违规
商业银行内部员工因过失没有按照雇用合同、内部员工守则、相关业务及管理规定操作或者办理业务造成的风险，主要包括因过失、未经授权的业务或交易行为以及超越授权的活动。员工越权行为包括滥用职权、对客户交易进行误导或者支配超出其权限的资金额度，或者从事未经授权的交易等，致使商业银行发生损失的风险。商业银行应对员工越权行为导致的操作风险予以高度关注。
3.知识/技能匮乏
①在工作中，自己意识不到缺乏必要的知识，按照自己认为正确而实际错误的方式工作；
②意识到自己缺乏必要的知识，但是由于颜面或者其他原因而不向管理层提出或者声明其无法胜任某一工作或者不能处理面对的情况；
③意识到本身缺乏必要的知识，并进而利用这种缺陷。
4.核心雇员流失
核心雇员流失体现为对关键人员依赖的风险，包括缺乏足够的后援/替代人员，相关信息缺乏共享和文档记录，缺乏岗位轮换机制等。
5.违反用工法
违反用工法是指违反就业、健康或安全方面的法律或协议，包括劳动法、合同法等，造成个人工伤赔付或因性别/种族歧视事件导致的损失。
5.1.2内部流程
内部流程引起的操作风险是指由于商业银行业务流程缺失、设计不完善，或者没有被严格执行而造成的损失。
1．财务/会计错误
2．文件/合同缺陷。主要表现为抵押权证、房产证丢失等。
3．产品设计缺陷
4．错误监控/报告。错误监控/报告是指商业银行监控/报告流程不明确、混乱，负责监控/报告的部门的职责不清晰，有关数据不全面、不及时、不准确，造成未履行必要的汇报义务或者对外部汇报不准确（发生损失）。
5．结算/支付错误
6．交易/定价错误
5.1.3系统缺陷
系统缺陷引发的操作风险是指由于信息科技部门或服务供应商提供的计算机系统或设备发生故障或其他原因，商业银行不能正常提供部分、全部服务或业务中断而造成的损失。
1．数据/信息质量
2．违反系统安全规定
3．系统设计/开发的战略风险
4．系统的稳定性、兼容性、适宜性
5.1.4外部事件
1．外部欺诈/盗窃
外部欺诈是指外部人员故意骗取、盗用财产或逃避法律而给商业银行造成损失的行为，包括外部的盗窃、抢劫、涉枪行为；伪造、变造多户头支票，骗贷等欺诈行为。该类风险是给商业银行造成损失最大、发生次数最多的操作风险之一。
2．洗钱
3．政治风险
4．监管规定
5．业务外包
6．自然灾害
7．恐怖威胁
操作风险事件类型
巴塞尔委员会规定的可能造成实质性损失的操作风险事件类型：
（1）内部欺诈；
（2）外部欺诈；
（3）员工行为和工作场所问题；
（4）客户、产品和经营行为；
（5）实物资产的损毁；
（6）经营的中断和系统的瘫痪；
（7）执行、交货和流程管理。
