全球風險管理專業人士協會（GARP）致力于為風險管理條線上的各級人員，包括各大金融機構的風險管理從業者和監管機構人員提供風險教育和行業資訊。GARP China微信公眾號將陸續刊登宏觀經濟和政策解讀文章，介紹金融政策動向、宏觀調控、氣候風險管理等領域對操作風險、信用風險、市場風險和資產負債管理的影響。讓我們一起全面認識風險，防范風險，化解風險。

為進一步完善銀行保險機構操作風險監管規則，提升銀行保險機構的操作風險管理水平，國家金融監督總局于2023年12月29日修訂發布《銀行保險機構操作風險管理辦法》（以下簡稱《辦法》），要求銀行保險機構優化操作風險治理框架，規定操作風險管理基本要求，細化操作風險管理流程和管理工具，完善相關政策制度和流程管理。

國家金融監管總局有關司局負責人在答記者問時表示，《辦法》將于2024年7月1日起施行，給銀行保險機構預留充分時間開展實施工作，而原銀監會于2007頒布的《商業銀行操作風險管理指引》將同日廢止。同時，《辦法》區分情形進行差異化監管，設置一定的過渡期，并充分征求和采納了各類市場主體的意見。

《辦法》建立了中國金融行業統一的操作風險管理指引，完善了中國銀行保險機構操作風險管理監管制度，進一步鞏固了防范化解金融風險攻堅戰的成果，從而規范提升銀行保險機構操作風險管理水平。

一、操作風險無處不在

《辦法》稱操作風險是指，由于內部程序、員工、信息科技系統存在問題以及外部事件造成損失的風險。操作風險包括法律風險，但不包括戰略風險和聲譽風險。

操作風險事件在銀行保險機構的經營管理中極為常見。簡言之，銀行保險機構只要營業，就可能面臨各種由于人員、系統、流程或者外部事件所帶來的風險。例如，客戶的欺詐、偽造、糾紛等風險，內部人員的工作差錯、盜竊的風險，以及產品瑕疵、系統故障、管理不當等風險。

與信用風險和市場風險不同，操作風險涉及到銀行保險機構的每一項業務及相關人員，并且是影響并危及銀行保險機構運營的至主要風險。但由于國際銀行業在過去的一段時間內對于操作風險的認識較為模糊，操作風險管理經常會被機構管理層有意或無意地“忽視”。

從國際上來看，銀行操作風險事件屢見不鮮。比較著名的有1995年，英國巴林銀行的一名操作員違規擅自從事股指期權交易虧損近13億美元，導致了有233年歷史的巴林銀行破產。類似的還有2001年UBS（瑞銀）交易事件中一位交易員把 “每股61萬日圓，賣出16股” 打成 “每股16日圓，賣出61萬股” ，幾秒鐘內使公司損失7100萬英鎊。再比如，2012年桑坦德銀行違規洗錢事件，2016年Wells Fargo銀行的虛假賬戶丑聞，以及HSBC違反了反洗錢法規等。

近二十年以來，中國國內也有銀行曾經歷過一些影響比較大的操作風險事件。其中，2004年中國農業銀行因內部控制不力和貸款違約問題引發的事件，2007年中國銀行因外匯業務風險管理不善而遭遇外匯交易損失的操作風險事件，以及2015年招商銀行信用卡系統故障導致客戶賬戶異常的事件，都對國內銀行業產生了較大的影響。因此，國內外商業銀行在日常經營管理中都不斷面臨著操作風險管理的挑戰，也體現了監管機構對銀行操作風險管理進行嚴格監督的必要性。

二、銀行保險機構操作風險管理的關鍵焦點

《辦法》總體上接軌了國際監管規則的新發展，充分吸收了國內金融機構在操作風險管理方面的一些良好實踐，針對機構經營實務中遇到的問題提出了更加全面的要求，體現了強監管、嚴監管、穿透式監管的導向。《辦法》主要從風險治理結構、風險管理基本要求、管理流程和管理工具、風險監督管理四個維度全面完善了銀行保險機構的操作風險防控體系。

1.   風險治理結構：完善高層責任，設立三道防線

《辦法》明確了董事會承擔操作風險管理的至終責任，負責審批公司操作風險管理基本制度、操作風險偏好及其傳導機制、審批操作風險信息披露制度，按年度審議操作風險管理報告；強調了監事會將操作風險管理履職情況納入監事會工作報告；界定了高管層承擔操作風險管理的實施責任，設置操作風險偏好及其傳導機制，督促各部門盡職履責，并及時處理突破風險偏好及違反操作風險管理制度的情況。

針對操作風險管理實踐中三道防線職責不清晰和管理視角不獨立的問題，《辦法》明確提出操作風險管理的“三道防線”，并定義每道防線的范圍和職責邊界。第一道防線包括各級業務和管理部門，負責各自領域內的操作風險管理工作；第二道防線包括負責各級操作風險管理和計量的牽頭部門，指導、監督第一道防線的操作風險管理工作；第三道防線是各級內部審計部門，對第一、二道防線履職情況及有效性進行監督評價。三道防線之間及各防線內部應當建立完善風險數據和信息共享機制。

2.   風險管理基本要求：推進操作風險偏好管理，建立有效的考核評價機制

在操作風險管理流程中，設定操作風險偏好指標并有效傳導監控長期以來一直是一個挑戰。

有些機構只能使用定性方法來描述操作風險偏好，而無法將這些偏好量化為可衡量的指標，并難以建立有效的監控系統來跟蹤這些指標。《辦法》提出銀行保險機構應當在整體風險偏好下制定定性、定量指標并重的操作風險偏好，每年開展重檢。風險偏好應當與戰略目標、經營計劃、績效考評和薪酬機制等相銜接。風險偏好指標應當包括監管部門對特定機構確定的操作風險監測指標要求，其中可以包括案件風險率和操作風險損失率。

《辦法》注重銀行保險機構內部培育操作風險管理文化的軟約束，進一步提升操作風險管理的內生動力。此外，要求機構建立有效的操作風險管理考核評價機制，考核評價指標應當兼顧操作風險管理過程和結果。薪酬和激勵約束機制應當與考核評價結果對應，以確保機構內部的激勵機制與操作風險管理的績效緊密相連。

3.   風險管理流程和方法：運用多項管理工具，加強全流程管理

《辦法》要求銀行保險機構對操作風險進行全流程管理。重點規定了內部控制、業務連續性管理、業務外包管理等操作風險控制和緩釋措施的基本要求，并建立操作風險情況和重大操作風險事件報告機制。

值得注意的是，《辦法》拓展了操作風險管理的外延，首次將網絡安全、數據安全納入操作風險管理范疇。銀行保險機構需制定網絡安全管理制度，履行網絡安全保護義務，執行網絡安全等級保護制度要求，采取必要的管理和技術措施，監測、防御、處置網絡安全風險和威脅，重點加強信息保護等。

操作風險損失數據庫、自我風險評估、關鍵風險指標監測是銀行管理操作風險的常用工具。《辦法》提出要在持續優化操作風險三大管理工具的基礎上，鼓勵選擇運用事件管理、控制監測和保證框架、情景分析、基準比較分析等管理工具，或者開發其他管理工具來不斷創新管理手段，提升管理效能。

4.   風險監督管理：完善監督職責，升級監管力度

《辦法》明確指出金融監管總局及其派出機構通過監管評級、風險提示、監管通報、監管會談、與外部審計師會談等非現場監管和現場檢查方式，實施對操作風險管理的持續監管，監管方式更為直接和明確。在違規處罰方面，《辦法》上調了操作風險違規行為罰款金額上限（二十萬元），提高了機構的違規成本。

《辦法》通過細化各類操作風險報告的時限要求來壓實各層級的職責：如操作風險管理報告明確為每年向監管機構報告、內部操作風險專項審計規范為至少每三年開展一次、重大操作風險事件5個工作日內報告等。其中，重大操作風險事件的符合條件包括：預計損失5000萬元以上或資本凈額5%（含）以上的事件、損失1000萬元以上或資本凈額1%的事件、嚴重侵犯公民個人信息及其他權益的事件、員工涉及非法集資類犯罪的事件等。

總的來說，《辦法》的出臺為中國銀行保險機構建立更加健全的操作風險管理體系提供了明確的制度框架和指導，將進一步推動銀行保險機構加強操作風險管理，并提升金融體系的穩定性和健康發展。在此背景下，銀行保險金融機構應基于機構性質、規模、業務復雜程度和風險特征等要素，制定落實操作風險新規的策略，明確操作風險新規達標的實施路徑，建立與機構業務性質、規模和復雜程度相匹配的操作風險管理體系。

以上文章來源于GARP ，如有侵權請聯系刪除。