[提要] 从商业银行发展历程看，更多的是把风险管理的重点和精力放在市场风险和信用风险管理上，从而忽视或弱化被称为商业银行“三大风险”之一的操作风险管理。本文依据“巴塞尔新资本协议”的要求和近几年商业银行管理先进经验，重点对商业银行面临的操作风险进行分析，并对操作风险的控制和管理思路进行探讨，从而达到从理论和实践相结合的角度来阐述操作风险管理在商业银行管理中的重要意义。
关键词：商业银行；操作风险；巴塞尔新资本协议；管理框架
中图分类号：F83 文献标识码：A
收录日期：2015年12月29日
随着我国金融体制改革的逐步深化和商业银行股份制改造的稳步推进，金融市场竞争不断加剧，金融产品日新月异，与此同时，银行经营在必须控制和管理一些传统的风险如信用风险、市场风险、国家风险等之外，不得不面临着一类新的风险——“操作风险”的挑战。
操作风险是指由于银行内部程序、人员、系统不充足或者运行失当以及因为外部事件的冲击等导致直接或间接损失的可能性的风险。例如，1995年的巴林银行倒闭、1996年三井住友银行的巨额亏损以及2001年中国银行的开平案件，均可视为由操作风险所致。这类风险一旦发生，往往给银行带来巨大损失，严重时会直接导致银行的破产和倒闭，甚至还会对整个金融行业或国民经济运行都产生巨大的影响，因而越来越引起投资者、金融界、监管当局的重视。自然地，防范和控制操作风险也成为银行经营管理者的一个重要课题。
一、商业银行操作风险管理现状
商业银行发展史已有300多年。“操作风险”一个曾经不被人们重视而却与商业银行发展伴生的风险种类，越来越显示出它的重要性，由于商业银行对操作风险的管理重视不够、认识不清、手段单一、方法陈旧、人才匮乏，致使操作风险肆虐，使商业银行付出沉重的代价。
（一）商业银行忽视操作风险所带来的沉重代价。商业银行中流传这样一句话：“谁忽视了操作风险，谁将为之付出惨痛的代价。”事实也证明了这一点。近十年来，金融界的重量级案件频发，从1995年巴林银行的李森事件到2005年中国银行分理处高山的票据诈骗案等，短短十年间，一系列由操作风险而引发的案例给商业银行造成了数以亿计的巨大损失。涉案银行名称、案件时间、案情简述、造成损失、总结教训如下：巴林银行：1995年交易员李森私自开立“88888”账户隐瞒投机日经指数期货亏损，14亿美元，管理松懈，监督不利，有章不循。大和银行：1995年交易员井口俊英从事3万笔未经授权的账外买卖美国联邦债券的交易形成损失，11亿美元，越权违规，缺乏制衡，授权无度。三井住友银行：1996年交易员滨中泰男从事投机铜的期货交易造成亏损，40亿美元，违规操作，监控不利，忽视管理。中国银行开平支行：2001年交易及管理人员余振东等人从事外汇买卖、账外贷款、盗用联行资金等方式造成银行损失，4.8亿美元，超权越权，违规违法，作假藏真，监控失灵。中国银行河松街分理处：2005年，分理处的负责人高山内外勾结，私自开出假票据，私自挪用客户的存款，使银行形成损失，10亿元人民币，内外勾结，违规违法，监控失灵（数据来源：摘自中国经营报和国际金融报）。操作风险带来的黑洞使一些商业银行付出惨痛的代价。触目惊心的案件应该让监管者意识到监管的乏力。
（二）商业银行对操作风险管理存在诸多错误的认识。操作风险之所以越来越给商业银行的经营带来难以承受的风险压力，究其原因主要是因为对操作风险的认识出现偏差，包括以下几个方面：
1、认为操作风险就是操作性风险或操作中的风险。如果仅从字面上去理解操作风险，很容易将其理解为操作中的风险。这实际上是大错特错，极大地缩小了操作风险所包含的范畴。
2、认为操作风险等同于金融犯罪。国际上商业银行业风险管理的实践表明，人们对操作风险的认识是从金融犯罪开始的。百年老店巴林银行的倒闭正是交易员李森犯罪所致。人们对金融犯罪的熟悉程度远高于操作风险，所以容易误认为金融犯罪就是操作风险。
3、认为操作风险是无法计量的，不可以量化的。长期以来，人们对操作风险的描述更多的是局限于定性内容，很少有定量内容。这是由操作风险的特点所决定的。
4、认为各种操作风险事件之间是孤立的、毫无联系的。表面看来，工作人员的操作失误、银行员工的欺诈以及关键人员的流失三者之间是相对独立的事件，相互之间并无多大联系。
5、认为操作风险管理只是内部稽核审计部门的事情，与其他部门无关。很多商业银行的管理者将操作风险等同于操作性风险或操作中的风险。这种认识误区往往会导致另外一种错误认识，即认为操作风险管理只是银行内部稽核审计部门的事情，与其他部门无关，进而将操作风险管理职责不恰当地赋予内部稽核审计部门。
6、认为决策层只重视信贷风险和市场风险，商业银行就可高枕无忧。许多管理者认为：商业银行的信用风险和市场风险是最重要的，操作风险只是日常业务处理过程中的一般差错，并不会对银行的资本构成多大的威胁。
7、认为操作风险的控制手段可以简化，不需要浪费更多的人力、财力和物力。大多数的商业银行操作风险的控制手段和方法还一直停留在简单的、手工的、事后检查的模式上。认为不需要对操作风险付出更多的人力、财力和物力成本。
商业银行暴露出的对操作风险的诸多错误认识，往往是导致操作风险管理失败的主要原因。有针对性的及时纠正错误的操作风险认识将有利于提高操作风险的管理能力。从这个意义上来讲，商业银行对于操作风险的错误认识应该是修正的时候了。
二、对加强商业银行操作风险管理的方法和建议
目前，国际范围内在操作风险管理方面水平相对较高的商业银行，通常都建立了强有力的操作风险管理流程和框架，并将操作风险与管理其他风险所采用的方法和框架有机整合起来，形成操作风险管理的体系，而且通过有效管理操作风险减少了收入的波动性，其中有些机构还改进了自身的外部评级水平。巴塞尔新资本协议的颁布及实施，就促使操作风险管理进一步向更多的商业银行扩展。陈四清曾经说过：“商业银行的操作风险管理是整个风险管理体系中的重要组成部分，同样需要考虑操作风险管理的范围、文化、方法、计量、监督等方面的内容”。
第一，要健全商业银行操作风险管理体系。商业银行要逐步建立一套从决策层、执行层直到监督层；从国内到海外；从总行到分支的全球化的操作风险管理体系，由风险管理委员会制定操作风险管理的大政方针、决策操作风险的风险资本配置、批准核销操作风险损失准备，等等。执行层按照既定的操作风险策略具体执行和落实操作风险的管理内容。最终，由操作风险的监管层负责跟踪评价操作风险的管理过程。决策、执行与监督，层层到位，各司其职，才能有效地管理和控制操作风险。
第二，商业银行要界定操作风险管理的范围。根据巴塞尔新资本协议的要求，操作风险的范围主要包括内部程序、人员、系统三部分，商业银行要针对内部程序制定操作规程，针对人员制定员工的行为规范，针对系统制定规章制度，对整个商业银行的运营制定应急方案，减少和降低因操作风险事故带来的损失，有了清晰的操作风险范围界定，事后评价操作风险和监督操作风险的政策执行情况才能有的放矢。
第三，需要培育商业银行操作风险管理文化。商业银行的操作风险管理不是一时之需，追赶时髦，而是伴随商业银行发展的不朽主题。就像企业需要建立企业文化，操作风险的管理文化要深入人心。人人意识到操作风险，商业银行的各阶层都来重视操作风险。
第四，商业银行要制定操作风险管理方法。如何确定和量化操作风险，还需要有科学的方法和计量手段。目前，国际上先进的软件、模型已开始被商业银行应用，商业银行的操作风险管理手段和方法也在不断地完善和进步。
第五，跟踪商业银行操作风险管理过程。操作风险管理包括风险识别、风险评估、风险决策、风险防范、风险处理、风险监督和风险评价的多个步骤，具有环节多、领域广、隐蔽性、突发性等特点的繁杂过程，只有全过程的跟踪操作风险才能够总结经验教训，不断提高操作风险的防范能力。
立足于国际金融界的经验，商业银行在引入操作风险管理、建立操作风险管理框架和健全操作风险管理体系时，需要注意以下几个方面的问题：
（一）健全操作风险管理框架模式
1、建立基本运作程序的同时，从容易衡量的领域着手。从具体的实施过程看，国际金融界的经验是，首先建立一套相对策略的、但是比较完整的操作风险管理体系、缓释、监控、报告等环节，在此基础上建立覆盖整个机构的操作风险管理战略和政策，从相对简略的领域出发，在实际运作中逐步完善，扩大其覆盖的操作风险的领域。
2、金融机构在着手管理操作风险时，重点要建立与信用风险和市场风险相一致的操作风险管理框架。确定不同职位的人员在操作风险管理中的责任，如业务管理人员，其中特别是零售业务部门的操作人员、中台人员、稽核人员、风险管理部门等。在此基础上，风险管理委员会等高层机构应当确定打算选用的风险管理方法和策略，业务部门应当据此采集关于操作风险的各种数据，向市场寻求专业的咨询和支持，逐步建立初步的操作风险管理体系。严格地说，整个金融机构范围内管理不同风险的基本原则和方法应当一致，这意味着新建立的操作风险管理框架必须要整合到与信用风险和市场风险管理相一致的框架中去，操作风险所运用的方法和原理也应当与整个商业银行在风险管理方面运用的方法和原理相协调。
3、风险管理部门并不是风险管理的唯一部门，具体的业务部门、法律部门、稽核部门都承担着进行操作风险管理的责任。如果说市场风险和信用风险的管理日趋强调集中化的话，那么，操作风险的管理必须强调分散化。严格地说，具体的业务部门在操作风险管理方面应承担第一位的责任。这是由操作风险的特征所决定的，当然关于操作风险管理的具体原则应当由风险管理部门提供。
（二）建立操作风险报告与考核机制
1、操作风险的报告体系。操作风险的报告系统应当独立于业务部门，并且应当能够敏感地反映操作风险的变动，主要数据自动生成，与整个机构采用的采集方法保持一致。
2、操作风险体系中的激励和考核机制。在具体的管理人员介入操作风险系统的运行时，就存在着其机会主义地运用这一系统的可能性，因此建立完善的激励机制和绩效考核制度在操作风险管理中同样十分重要。同时，即使一个机构中建立了相当自动化的操作风险报告体系，但是如果高级管理人员不能动态地介入整个管理过程、不能将报告的结果与员工和部门的绩效考核有机结合起来，这个系统的运作效果也会大打折扣。
3、操作风险的报告和考核都离不开操作风险的衡量方法和技术，谨慎选择适当的操作风险衡量方法和技术显得非常重要。在多种计算资本拨备方法中，一般的银行可以先采用单一指标法进行测试（即一定的风险系数×毛收入），向金融机构管理层提供参考数据，有条件的银行还可以考虑采用标准化方法的具体措施。按标准化方法，银行业务将分类，并以各类业务的毛收入去计算总操作风险资本金的配置要求。对于一些风险管理能力较强的银行来说，应当注意及时跟进监管机构及业界有关计提操作风险资本金配置要求的最新发展，着手积累各类操作风险损失的数据，并在此基础上考虑使用更精确的方法。
（三）参与操作风险的管理者应各司其职
1、董事会和高级管理层在操作风险管理中应当承担更大的责任。包括建立清晰的管理结构、明确的责任分工，并且保证操作风险的管理框架能够覆盖所有相关领域，还应当建立清晰的关于操作风险的管理和报告程序。所有的业务部门和支持性部门都应当整合在整个操作风险的管理框架中。
2、寻求合格的、充足的操作风险管理人员。从人员结构看，目前的一些国际金融机构中的操作风险管理人员主要有不同部门的管理经理、法律或者稽核人员、业务计划人员、信息安全人员等。较之信用风险和市场风险，操作风险管理方面有实际经验的人员相对较少，大部分需要金融机构结合自身的实际情况进行培训，还有一部分需要从外部招聘。
（四）选择操作风险管理的主要类型。目前，全球范围内管理操作风险主要采取三种方法：总部集中管理型、总部集中管理与分散化支持型、稽核部门占据主导作用型。选择其中任何一种类型，主要取决于各自企业文化和董事会的风险偏好、自身的风险管理能力和风险管理水平等。针对性地选择操作风险管理的类型有利于操作风险管理框架的建立和实施。
