浅析商业银行操作风险
商业银行操作风险的产生始于商业银行的诞生。但商业银行对操作风险的认识和管理却与其年龄极不相称。巴塞尔委员会在新资本协议中将操作风险定义为：由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险，包括法律风险，但不包括策略风险和声誉风险。它和信用风险、市场风险并称为商业银行面临的三大主要风险。我国目前采用的也是这一定义。
操作风险不容忽视
近年来，国内银行业不断有大案曝光，均给商业银行造成了严重的损失。根据有关统计数据显示，相比国际活跃银行操作风险主要集中在外部欺诈方面，我国操作风险高发的是人员风险。违规操作、内外勾结导致的操作风险在国内更多。国内操作风险的另一个“多发地带”是IT系统，由于银行对信息技术的依存度已相当高，一旦IT系统出现问题，商业银行可能面临业务瘫痪的局面，国内很多银行在过去的几年中都曾出现过业务系统故障，在影响业务运行的同时，也损害了银行声誉。我们不得不承认，操作风险已成为直接威胁商业银行生存与发展的重大风险。
商业银行操作风险管理的现状
对操作风险来说，尽管这一概念的提出已有很长的历史，但把操作风险作为银行三大风险之一进行风险管控的时间并不长。由于对操作风险的认知比较晚，因此，国际银行业在操作风险方面的研究远不及信用风险、市场风险那样深入，各国对操作风险的概念定义也不统一，对于操作风险的管理实践仅处于起步阶段。国内商业银行将操作风险作为独立的风险进行专门管理仅短短几年的时间。目前，尽管操作风险为银行业普遍认知，但它仍然没有引起足够重视，对操作风险的研究还不够深入。如业界对于操作风险的定义、衡量标准、计量技术等尚未达成共识，没有可以公开获取的数据库、缺乏成熟的控制技术和相应软件。从操作风险的计量方法看，国际上主要有三种方法：基本指标法、标准法和高级计量法。不同于信用风险和市场风险，操作风险的量化工作比较困难，如高级计量法非常复杂，对银行的要求很高，其中最主要的是需要非常详细的数据储备，国际上采用的并不多。国内大多数银行采用的是标准法，即按照银行的产品线，分别计算出每个产品线上发生操作风险的概率。这些都导致操作风险管理实施起来较为困难。
加强操作风险研究，探索适合
国情的操作风险管理模式
操作风险与生俱来的内生性、具体性、模糊性、多样性和不对称性等特征表明，操作风险与具体的环境密切相关，因此，研究我国商业银行操作风险管理模式必须结合我国的实际情况。我国商业银行操作风险发生频率最高、损失程度最大的操作风险事件类型是内部欺诈，其根源在于我国银行业特别是国有商业银行公司治理结构不完善、内部控制系统不健全及由此产生的权责不清晰。因此，根据目前的实际状况，我国商业银行操作风险管理的关键不是从技术层面上进行防范,而必须从体制和机制改革入手。为减少和杜绝内部欺诈事件的发生,有效规避和控制操作风险损失，除了要加快完善公司治理结构外，更为现实的是建立一个能
够较好解决内部控制问题的操作风险管理系统。这一系统应该包括构建适宜的风险管理环境包括；对面临的操作风险能够准确认知并评估；设计并实施控制操作风险的措施，以化解评估确定的风险；对操作风险管理进行有效监督以及建立快速反应的报告反馈制度等。
银行选用何种具体办法管理操作风险，基于多种因素，包括自身的规模大小、组织复杂性、业务的性质和范围。然而，尽管有这些不同，明晰的战略、董事会及高管人员的监督、对操作风险和内部控制的认真程度，以及完备的内部报告制度和应变计划，是任何规模和范围的银行有效管理操作风险的关键因素。从银行整体范围来看，从操作风险管理理念的认同、政策框架的具体实践、组织结构的优化设计，到操作风险管理识别、评估、监测、报告、持续改进机制的建立，以及操作风险损失数据库的构建和操作风险资本计量分配模型的研究开发，我国的商业银行与国际活跃银行操作风险管理实践经验还有不小的差距。
目前，在全球经济一体化的大背景下，金融全球化趋势越来越明显，国家壁垒逐渐打破，金融资源跨国配置。因此，加强对三大风险之一的操作风险的研究，探索一套有效的操作风险管理模式对国内商业银行在新形势下的可持续发展无疑有着重大意义。
第二篇：商业银行操作风险
导论 10-13 商业银行 操作 风险管理 研究报告 发展报告 行业报告 分析报告
第一章 操作风险和操作风险管理 13-17
第一节 操作风险的定义和特征 13-14
第二节 操作风险管理的必要性 14-16
第三节 操作风险管理的发展历程 16-17
第二章 中国商业银行操作风险管理的现状 17-28
第一节 中国商业银行操作风险特点 17-24
第二节 中国商业银行操作风险管理的主要问题 24-28
第三章 中国商业银行操作风险的度量 28-45
第一节 “巴塞尔新协议”的度量要求 28-34
第二节 主要的高级衡量法 34-42
第三节 我国操作风险度量之路 42-45
第四章 改进中国商业银行操作风险管理的建议 45-58
第一节 加强银行操作风险文化建设 45-46
第二节 健全操作风险管理组织结构 46-50
第三节 建立完整的操作风险管理流程 50-53
第四节 完善中国商业银行的内部控制制度 53-55
第五节 充分发挥审计在操作风险管理中的作用 55-57
第六节 加快信息技术开发 57-58
结束语 58-60
附录中国商业银行操作风险损失案例精选 60-63
参考文献 63-66
《商业银行操作风险管理实务》 更多阅读方式...
作 者:汪建峰编著 页数:308页 出版日期:2005
商业银行操作风险
一章 西方商业银行操作风险
商业银行以货币资金为经营对象，其高比例负债经营，决定了商业银行是一个高风险行业。商业银行的风险是指商业银行在经营活动过程中，由于事前无法预料的不确定因素的影响，使商业银行的实际收益与预期收益产生偏差，从而有蒙受经济损失和获取额外收益的机会和可能性。长期以来，西方商业银行对商业银行的信用风险、市场风险、流动性风险研究较深，并形成了整套完整的风险管理理念和风险管理模式，但对操作风险的研究和关注相对滞后，只是最近几年才将操作风险与信用风险、市场风险作为商业银行面临的三大主要风险进行研究。近年来，国际银行和银行监管机构在关注银行业的信用风险和市场风险的同时，越来越重视防范操作风险。毕马威全球风险调查结果显示：信用风险、市场风险、操作风险及其他风险所要求的风险资本占资本总额的比例，过去为55%、35%、5%和5%，现阶段为40%、35%、20%和5%，将来可能演变成30%、25%、40%和5%。
西方商业银行进入二十世纪八十年代以来，操作风险发生概率越来越高。19xx年2月26日，拥有233年辉煌历史的英国巴林银行因金融衍生产品投机失败而宣告破产。大和银行由于资金交易的前台与中台没有分离、高级管理层对于操作风险管理不力等原因，造成11亿美元的损失。20xx年2月，联合爱尔兰银行（Allied Irish Bank）美国分行由于虚假交易造成了约7.5亿美元的损失，越来越多的操作风险引起了国际银行界的广泛关注。巨额的操作风险损失，使西方商业银行意识到，在竞争激烈、规模效益递减的环境下，高效的操作风险管理是增加收益的主要途径。20xx年欧洲的一项调查显示，41%的欧洲银行认为减少操作风险是业务经营主要的收益。
由于操作风险已成为商业银行业务经营管理中不可回避的一个重要组成部分，并且管理控制难度较大，越来越成为商业银行突出的风险，引起了国际银行业及监管当局的日益重视。尽管操作风险经国际银行界造成了很大损失，但还没有哪家银行建立了盛开的操作风险的系统管理框架，用于监测和管理操作风险的工具也不是很成熟，因此，如何充分识别、准确计量、持续监测和有效控制操作风险应成为摆在国际银行业的一个新的课题。
虽然每家银行对操作风险管理的正确方法取决于自身的业务经营规模、以往的风险管理经验、业务经营的特性、现实风险复杂程度等多种因素，但高级管理层明确的风险管理战略、健康的操作风险文化、有效的内部控制手段等对于建立有效的操作风险管理框架至关重要，对管理操作风险具有普遍指导意义。因此防范操作风险，全面评价商业银行的风险管理水平，迫切需要有一个能被大多数银行所能接受的原则性系统管理框架。20xx年底在“十国集团”开始实施由巴塞尔委员会（BIS）颁的最新《巴塞尔新资本协议》。在该协议中，首次对操作风险管理的系统框架，同时继信用风险、市场风险之后，对银行的操作风险提出了明确的资本要求，要示商业银行为操作风险单独撮规范的准备金，
对操作风险进行专门而严格的监
管，并要求披露操作风险所对应的资本以及所运用的测量技术。
第一节 操作风险的定义
虽然操作风险是银行与生俱来的古老风险，但长期以来，银行界对操作风险的认识、定义、管理牌混乱状态，没有明确定义、界线不清、数据模糊、模型复杂。研究操作风险的人员也是仪在理论研究阶段，无法紧密联系实际，外部监管人员急于提高资本监管水平，但又无法具体实施。总之，对操作风险的定义和管理一直处于不断发展和争论之中。
对操作风险的定义有狭义和广义之分，狭义的定义有以下3种：最狭义的定义是将操作风险定义为与操作部门有关的风险。国际清算银行对操作风险的定义是：操作风险是信息系统不足或内部失控而造成意外损失的风险。这种风险与人类的错误、系统上的失败及程序或控制不当有关。JP.Morgan将操作风险定义为：各公司业务和支持活动中内生的一种风险因互，这各风险表现为各种形式的错误、中断或停滞，可能导致财务损失或者给公司带来其它方面的损害。
广义的操作风险有以下3种：19xx年，BBA对55家金融机构调查后，有15%的机构认为：操作风险是指信贷和市场风险之外的一切事物风险。瑞士信贷集团将操作风险定义为：操作风险是指由于以不当或不足的方式操作业务而对业务带来负面影响的风险，操作风险也可能是由外部因素造成的。还有的将操作风险定义为：操作风险是直接和间接损失风险，它由过程、人员及系统的不当或失败或由外部事件所造成。
随着西方商业银行对操作风险认识和管理实践的进一步加深，银行业中广为存在的有关操作风险义的争议和困惑正在逐步消失，并逐渐趋同。巴塞尔委员会对操作风险的定义是：由于不当或失败的内部程序、人员和系统或因外部事件导致损失的风险。巴塞尔委员会认为操作风险的内涵包括法律风险，但不包含战略风险（来自于错误决策的损失）和信誉风险（指公司价值的下降及声誉丧失）。这一定义开始被西方商业银行所接受。巴塞尔委员会将操作风险分为七大类型：
1、 内部欺诈风险（Internal Fraud）。
主要指内部员工有主观愿望，存心欺诈银行。包括由于进行未被授权的交易、从事未报告的交易、超过限额的交易、内部交易；偷盗、贪污、接受贿赂、做假账、违反乘法等原因而引发的银行损失。例如，大和银行资金交易员在长达11年的资金交易中，有3万多笔未经授权的交易，为长期掩盖他们所从事的超授权交易及所造成的损失，这些交易员们常常做假账，伪造交易记录。
2、 外部欺诈风险（External Fraud）。
主要指由于第三方的故意欺诈、非法侵占财产以及规避法律而引发的损失。包括利用伪造的票据、偷盗、抢劫、敲诈、贿赂等手段造成银行损失；税制、政治等方面的变动，监管和法律环境的调整等导致银行收益减少。据统计，美国银行业每年由于支票欺诈而造成的损失大约100亿左右。
3、 客户、产品与商业行为风险（Clients, Product & business Practices ）
由于产品特性或设计不合理、员工服务粗心大意、对特定客户不能提供专业服务等原因而造成的银行损失。包括产品功能不完善引发的损失；由于强行销售产品、未对敏感问题进披露、对客户建议不当、职业疏忽大意、不恰当的广告、不适当的交易、销售歧视等导致与客户信托关系破裂、合同关系破裂、客户关系破裂而引发的损失。这类风险，在整个操作风险中占有相当大的比重。例如，20xx年，英国平等生命保险审计署公司，准备对最终奖金进行削减，这一计划单方面修改合同，抵消了客户所享有的保障年金受益率，最终客户告上法院，被英国议会上院判为非法而损失惨重。
4、 执行交割和流程管理风险
主要指交易处理、流程管理失误以及与交易对手关系破裂而引发的损失。包括业务记账错误、错误的信息交流、叙述错误、未被批准的账户录入、未经客户允许的交易、交割失误、抵押品管理失误等原因造成的损失。例如，19xx年到19xx年，所罗门兄弟公司因为前五年内部交易上的不一致和不平衡而形成1.26亿美元的损失，现时因当年的账务处理错误而形成6000万美元的损失。
5、 经营中断和系统错误风险
主要指由于计算机硬件、软件、通信或电力中断而引发的损失。包括硬件瘫痪、软件漏洞、设备故障、程序错误、计算机病毒、互联网失灵等原因造成的损失。19xx年11月，美国一家声誉很好的证券清算银行，其计算机系统偶然发生故障，不接受任何收性交易，这样他们在美联储的账户上出现226亿美元的赤字，形成了严重的支付风险。
6、 雇员行为与工作场所管理风险
主要指在员工雇用、管理中，由于违反相关法律、制度，而引发的索赔、补偿损失；由于缺乏对员工的恰当评估和考核等导致的风险。20xx年7月，华尔街第二大投资银行——摩根-斯坦利公司，因在员工管理中存在性别歧视，被捍诉讼，最后不得不向女雇员赔付5400万美元。
7、 物理资产破坏风险
主要指自然灾害或其它外部事件（恐怖主义）而引起的损失。包括由于暴风、洪水、地震、电压过大、恐怖活动等原因造成的物质资产损失。例如，20xx年，美国Cantor Fitzgerald 公司受“9.11”恐怖袭击事件而破产。
操作风险的分类
对操作风险的分类，一般采取以下四个步骤：一是依据操作风险内涵中引起风险的四大因素，即不完善或失灵的内部控制、人为的错误、制度失灵、外部事件，对操作风险进行最初的分类。二是在此基础上，对每一因素下所包括的事件类型加以区分。三是划分每一事件类型中所包含的具体事件的种类。四是列出每一具体事件种类下的具体行为。
下表列出了操作风险七大类别风险的不同表现形式：
第三节 操作风险的特征
商业银行操作风险与传统的市场风险、信用风险相比，具有自身明显的特性。 1、 操作风险成因具有明显的内生性。
市场风险、信用风险一般为外生性风险，是由于外部不确定因素而引发的风险。操作风险包括内生于银行业务操作的风险和外部事件，其中大部分是由内部不合规的操作因素引起，它的防范依赖于银行的结构、效率和控制能力。只要银行业务没有被中断，操作风险将 永远存在，并成为银行业务经营中的重要组成部分，银行只能对操作风险进行管理，而不能消除操作风险。有人将操作风险与商业银行的关系总结为：“买一家银行的股票，就意味着买一个备受操作风险的波动影响的行业”。
2、 操作风险与预期收益具有弱相关性。 现代风险管理对风险的定义，已由发生损失可能性的单面风险概念发展到同时注重盈利可能性的双面概念，使管理者不仅将风险视为损失的可能而加以控制，而且将风险视为盈利增加的机会加以充分利用，从而保持适度风险承担能力，来获取更大的收益。一般来讲，商业银行是一把“双刃剑”，风险，既可能带来损失，也可能带来巨额收益。例如，商业银行对市场风险、信用风险的管理，存在风险——收益的对应关系，风险越大，有可能损失在越大，也可能获得意外的收益，但这各对应关系并不适用于操作风险，操作风险引起的损失在
很多情况下与收益之间的关系并不明显，也不一致。市场风险、信用风险受银行追求利润的驱动，而操作风险则不受利润的驱动。
3、 操作风险的外延具有很宽的扩展性。
操作风险在每家银行几乎天天都会发生，错误或失败存在于日常业务经营管理的每一个方面。操作风险包括不同的种类，如控制风险、信息技术风险、欺诈风险、法律风险等方面，使其成为一个很难办公室的残值风险范畴，许多新的风险将会不断归并其中。从广义上业讲，操作风险实际上覆盖了商业银行经营管理方面除信用风险、市场风险、决策风险等风险之外的所有风险，因此，操作风险在商业银行经营风险中的比重将呈上升趋势。正是由于操作风险与商业银行所有职能部门和业务部门都有关，因此，银行每个业务部门都有管理操作风险的责任。
4、 操作风险与其它风险具有强烈的关联性。
操作风险是商业银行日益复杂的业务经营管理活动所产生的“副产品”，是商业银行为产生利润而承担的风险中不可分割的一部分，它与商业银行各项业务经营活动紧密相联，可以说是“此消彼长”。例如，化解信用风险和市场风险的复杂技术有可能将这些风险转变为抵押、对冲、信贷资产证券化等到操作风险；日益复杂的套利交易活动，在减少了市场风险的同时，却大幅增加了操作风险。
5、 操作风险表现形式有其具体的特殊性。
由于每个银行都有其自身的、独立的和独特的操作环境，每个银行有自己不同的经营范围和管理模式，因此，操作风险也有其特殊性。虽然西方商业银行界已对操作风险总的概念初步达成一致，但巴塞尔委员会对操作风险的定义并不能覆盖所有银行的全部操作风险，在某些具体方面还会继续存在差异性。即使上表中已列出七大类、147种操作风险的具体表现形式，但对不同的银行还是有不同的具体表现形成。
6、 操作风险具有较强的人为性
由于操作风险主要来自于商业银行的日常劳动，因此，人为因素在操作风险的形成原因中占了绝大部分。只要是与人员相关的业务，都存在着操作风险。如果说市场风险来自于金融市场上金融产品价格的波动，信用风险来自于借款人违约，那么大多数的操作风险来自于有意或无意的、来自于银行内部的人为损失失误。在上述七大类操作风险表现形式中，有六种风险与人为操作有关。
7、 操作风险具有圈套的危害性。
操作风险在各家银行天天都有可能发生其给商业银行造成的损失越来越大，操作风险对银行所带来的损失包括以下三个方面：
一是直接的经济损失。大宗的金融衍生交易、内部人员长期从事非法交易所带来的巨额经济损失将给银行带来毁灭性的打击。据统计，从19xx年到20xx年期间，西方商业银行中有10家大型的银行、经纪公司、资为管理公司因为操作风险损失惨重而破产、被接管或被迫兼并，令人触目惊心。
二是银行声誉上的损害。自从近代商业银行成立以来，严谨细致、审慎规范一直是商业银行的公众形象。因此商业银行出现了操作风险，往往会超出社会各界的心理随能力，包括投资者在内的社会各界会认为这类事件说明商业银行普遍管理不当，很有可能会继续发生损失，从而给银行声誉带来严重损害。进一步地，当客户对银行信心不足时，会发生存款挤兑。
三是由声誉上的损害而引发的股份下跌。麦肯锡的三位研究人员对发生的北美和欧洲上市的金融机构的350件，损失金额为230亿美元的操作风险进行了持续的跟踪和分析，发现当银行风险形成损失的信息传递到市场时，最初这些金融机构股票市值下跌额度与实际的损失金额基本一致，然而，在接下来的120个交易日中，上述金融机构的股本回报却持续下
跌，最终市值下跌了2780亿美元，是实际损失金额的12倍。
8、 操作风险具有难以管理的复杂性。
操作风险的复杂性主要表现在：
一是涉及的领域宽广。操作风险发生的范围广，涵盖了商业银行业务经营的方方面面，相当分散。
二是形成原因复杂。操作风险的成因既有外部事件的影响，更大部分是“银行内部制造的”，其表现形式和形成原因依赖于前后关联的事件，而这些事件又往往不易辨别。
三是损失具有不确定性。操作风险既包括发生频率很高、损失小或无损失的操作失误性风险，也包括发生频率很低、损失巨大的意外风险（地震或大额衍生交易失败）。同时，操作风险造成的损失通常以信用风险、市场风险等其它风险的形式表现出来，难以清楚界定。
四是无法有效控制。操作风险与人的关系密不可分，相互关联，而人的道德风险、行为特征是最难以控制的。操作风险的发生具有突发性、偶发性和难以预测的特点。
因此，操作风险难以识别、难以计量、难以计量、难以控制、难以转移，它是银行针对业务经营中的不确定性进行的日常斗争，是一个必须天天重视的管理工作，操作风险管理的关键是过程，而不是结果。
操作风险的管理
西方商业银行对操作风险的管理已经有了深入的进展。英国银行家协会（BBA）曾对全球54%的大规模银行、5%的投资银行、5%的资产管理公司、9%的财务公司、27%的零售银行进行过操作风险大规模
操作风险的识别评估
银行用于识别、评估操作风险的工具
银行用于识别、评估操作风险的工具主要包括：
1、 自我风险评估
银行对其经营和业务中一系列可能蒙受的潜在操作风险进行评估。这一过程属于内部驱动并且经常通过列出清单、使用工作组的形式来识别操作风险环境的优劣。例如，记分卡把定性评估转换成定量指标，这样就可以对不同的操作风险类别进行相对排序。某些分数对应的风险可能仅与某类特别业务系列有关，而另一些分数可能对应许多类业务系列的风险。分数可能根据固有风险来定，也可能根据缓释风险的控制措施来打分。另外，银行可以用记分卡，即根据各部门在管理和控制各类操作风险方面的业绩，来决定经济资本的分配。
2、 风险对应关系。
在这一过程中，各业务单位、机构职能部门或程序流程都与风险类别之间建立起对应关系。这一行动可以暴露弱点所在，并且有助于突出后续管理行动的重点。
3、 关键风险指标（KRI）
关键风险指标是指有用来考察银行的风险善的统计数据或指标（通常是财务方面的）。商业银行应在能够反映系统、过程、产品、人员等风险预警指标的基础上评估操作风险。对这些指标要进行定期（逐月或逐季）审查，以提醒银行有关风险可能的变化。这些指标可能包括失败交易的次数、员工流动比率、错误和遗漏的频率或严重程度。操作风险的识别
1、按照操作风险发生的频率和损失强度，可以将操作风险划分为以下三种风险进行识别：
（1）名义操作风险。名义操作风险是指发生比较频繁（平均每周发生一次或几次）、损失比较小的风险，也称为重复性操作风险。银行日常业务经营活动中的支付结算、小的外部欺诈以及交易中的人为失误都是名义上的操作风险。
（2）常态操作风险。常态操作风险是指发生频率较低，损失较大但对银行没有破产危险的风险。
（3）例外操作风险。例外操作风险是指发生频率较小，但损失巨大，对银行构成致命威胁的风险。黑客进入导致计算机系统瘫痪、大宗的科学管理业务交易失败等都是例外操作风险。
2、按照操作风险损失原因，可以将操作风险划分为以下四种风险进行识别：
（1）人为风险。人为风险又可细分为内部人为风险、雇用人员风险、与客户服务有关的风险。
（2）程序风险。主要指在执行、发送以及程序管理过程中发生的风险。
（3）系统风险。主要指以住处技术颧住处系统引起的风险事故。
（4）外部风险。主要指因外部事件导致物质资产损失的风险，既包括火灾、洪水引起的外部物质风险，也包括外部偷盗、诈骗等人为行为导致的损失。
3、按照操作风险损失发生的产品线分类，可以将操作风险划分为八类：
即公司金融业务风险、交易和销售业务风险、零售银行业务风险、商业银行业务风险、支付与结算业务风险、代理及托管业务风险、资产管理业务风险、零售经纪业务风险。
4、 综合内外部因素对操作风险进行识别。
有效的风险识别既要考虑内部因素，也要考虑外部因素，这些因素隐藏的风险点都可能对银行目标的实现造成重大不利影响。
（1） 内部因素主要包括：
? 银行的结构。
大规模的公司兼并与拆分，动摇了银行稳定性的基础，有可能发生操作风险。银行组织机构越多，例如在海外设立分支机构，由于没有保证其风险管理控制基础设施跟上业务活动的增长速度，可能引发操作风险。
? 银行业务的性质。
一般来讲，业务规模大、交易量大的银行，受操作风险冲击的可能性最大；不断创新的新业务或开发新产品隐藏大量的操作风险，特别是对冲基金、利率期货、外汇期货、股票指数期货等在内的金融衍生品交易和股市交易中容易发生操作风险；日益发展的电子商务隐含外部欺骗风险和难以预料的系统安全；对某一个特定供货商或服务供应商的领带程度越大，操作风险也越大；业务经营越分散，操作风险相应也越大；更多非主营业务进行外包与银行和非银行之间进行更多合作业务，也会带来新的操作风险；金融服务的全球化增添了文化、管理和人员的复杂性和多样性，给操作风险的控制和管理带来了新的挑战。
? 银行人力资源的素质。
在所有的操作风险事件中，都与用人不当有关，无论是人的道德品质还是操作技能。当银行采用诚信有污点人员、缺乏足够的有经验员工时，容易引发操作风险。银行内部诚实、可信、业务经验丰富的员工有助于防范操作风险。
? 组织机构的变化。
银行组织机构大规模的合并、拆分、管理层变更容易造成操作风险。违规操作往往发生在基层营业网点，或偏远的附属机构。
（2） 外部因素主要包括：
? 政策、制度、监管法律等法律法规的变化。
银行业务的拓 P17
内容摘要：操作风险是商业银行经营活动中所面临的最古老的风险种类。但是与市场风险、信用风险、流动性风险相比，商业银行对操作风险的理解、认识和管理都处于较低水平。操作风险频繁引爆，破坏力量之大令人震惊，建立和完善操作风险管理体系已经成为现代商业银行急需解决的重大课题。本文据此提出了相应的管理对策。
关键词：商业银行 操作风险管理
操作风险是商业银行经营活动中所面临的最古老的风险种类。但是与市场风险、信用风险、流动性风险相比，商业银行对操作风险的理解、认识和管理都处于较低水平。20世纪80年代以来，全球金融机构因操作风险已经损失了2000多亿美元。巴塞尔委员会在20xx年举行过一次全球操作性风险调查，被调查银行共计报告47269起损失金额超过1万欧元的操作性风险事件，平均每家银行发生操作风险事件528起。操作风险频繁引爆，破坏力量之大令人震惊，建立和完善操作风险管理体系已经成为现代商业银行急需解决的重大课题。
国际银行业对操作风险研究和管理的最新动态
近几年，国际银行业操作风险研究和管理取得重大成就，其主要体现在巴塞尔委员会和各类银行业协会的报告（协议）上，反映于国际活跃银行的突破性探索中，具体包括以下四个方面：
对操作风险的认识提升到新的层次
20xx年发布的巴塞尔新资本协议将操作风险定义为由于不完善或失灵的内部程序、人员和系统，或外部事件导致损失的风险。全球风险专业人员协会则认为，操作风险是与业务操作相联系的风险，包括来自操作业务失败形成的操作失败风险和来自环境变化形成的操作战略风险。以上两种观点都是从内部因素和外部因素出发，强调商业银行经营活动与人、流程、事件之间的互动关系。操作风险作为有别于市场风险和信用风险的独立的银行风险种类得到普遍认同。国际银行业认识到，操作风险分布于银行业的各个经营管理层次，贯穿于经
营管理活动的始终；与信用风险和市场风险不同，操作风险无法创造利润，但信用风险和市场风险存在通过有效管理而获利的可能。一些银行已将操作风险置于与信用风险和市场风险同样重要的地位，开始建立专门的操作风险管理系统，制定并完善识别、评估、监测和缓释操作风险的原则、政策和方法。
强调必须对操作风险进行合理分类和准确描述
商业银行管理操作风险的重要前提之一是准确把握本行操作风险的类型和特点，区别本行操作风险与其他金融机构的异同。国际银行业较认可的分类结果大体可归纳为：人的行为和动因：犯罪、有意差错、无意差错。流程：流程设计不合理，流程执行不准确、流程执行的信息披露不适当或不充分。技术：系统规划不合理、软硬件不支持、信息安全无保障等。事件：社会与法律责任；竞争对手和合作伙伴；政府行为和政治风险；自然灾害等。
积极开发和引进操作风险测量技术
国际活跃银行一致认为操作风险需要通过定性和定量相结合的方法进行测量。定性方法主要是依靠内外部审计报告、管理报告、财务报告、政策规定，由专家评估操作风险，估计风险损失大小。定量方法的关键——操作风险计量技术目前仍处摸索阶段，但向信用风险和市场风险的计量方法看齐的发展方向十分明确。新资本协议中巴塞尔委员会提出三种估计方法：基础指标法、标准法、高级计量法。国际活跃银行还提出了其他一些模型方案，比较著名的有损失分布法、因果关系模型法等。整个银行业之所以至今没有形成统一的测量模型，主要因为操作风险的模型基本由各家银行自行研究建立，所依赖的内部历史数据与其他银行区别很大，对各类操作风险发生概率和损失大小的分析判断都不尽相同。
建立资本约束和完善的风险管理体系
巴塞尔新资本协议明确提出商业银行应将操作风险纳入管理框架，并对其分配资本，提高资本对操作风险的敏感度。分配资本的重要基础是操作风险的测量方法和测量结果。国际活跃银行主要是根据自身情况选择使用不同的计量方法，对操作风险分配资本，目前以使用基础指标法和标准法的居多。
操作风险管理成为专业化管理的重要内容之一。国际活跃银行也在不断完善操作风险管理组织框架，比如：由董事会审批操作风险管理战略，高级管理层执行操作风险管理政策，业务部门直接控制操作风险，操作风险管理部门研究制定测量和监控操作风险（对操作风险提取适当的资本准备），内部审计部门对风险管理成效进行及时检查和评估等。操作风险人才队伍日益壮大，素质结构不断优化。
我国银行业操作风险管理的现状和问题
近些年来，我国商业银行大案要案屡屡发生，操作风险越来越吸引社会关注。操作风险之所以近年在我国银行界大量出现，存在多方面原因。
从宏观层面看，我国商业银行操作风险管理滞后于形势发展。首先，在全球经济一体化和金融管制松动的背景下，商业银行全球化和综合化经营的趋势已经形成。社会与经济环境迅捷变化，而商业银行对操作风险的认知程度更新缓慢。其次，基于信息技术的飞跃，金融创新层出不穷，金融产品、服务的复杂性大大提高，操作风险的类型不断演变，我国商业银行原有的管理模式难以适应这种技术变化。此外，我国商业银行的业务拓展具有明显的“顺经济周期”特征，在经济扩张周期中，各项业务往往超常规发展。在认识不到位、风险管理手段落后的条件下，发生操作风险和造成事实损失的可能性必然增加。
从微观层面看，我国商业银行的操作风险管理尚处于初级阶段，与国际活跃银行相比存在以下不足：
操作风险管理理念淡薄
长期以来，我国商业银行偏重信用风险和市场风险管理，疏于操作风险管理。无论是制度规则、认识水平都比较低。相当一部分高层管理人员尚没有将操作风险视作一个独立的风险来认识，既不了解操作风险内涵，也不掌握操作风险边界。将操作风险管理仅仅停留在内控和审计的层次上，不知道操作风险也是可以量化计算和分配经济资本的。银行内部缺乏严格的自律和他律机制，有章不循的现象时有出现，对引发操作风险的行为没有给予及时有效的责任追究。
控制体系漏洞较多
决大多数银行未设立独立的专业化部门承担操作风险管理和分配资本职责，更多的是依靠非独立专业部门牵头负责或由各个专业条线内部控制。在全行范围内，往往没有形成针对操作风险的统一的政策标准，各职能部门之间缺少必要的沟通协调，操作风险管理处于分散、割裂状态。总分支行制下的直线职能制削弱了内控力度，各级负责人横向权利过大，为操作风险的发生提供了空间。
管理方法和手段落后
国内商业银行的操作风险管理尚处于定性管理阶段，依赖专家管理，主要手段是质量控制。普遍没有建立起操作风险管理系统，对如何定量计算分析操作风险知之甚少，在开发和运用操作风险的资本分配模型上基本属于空白。国内银行目前所采取的操作风险管理手段和方法基本上难以反映本行操作风险的总体水平和分布结构，与国际上以资本约束为核心的操作风险管理差距不小。
数据积累和实践经验缺乏
操作风险管理需要信息系统强有力的支持，但是我国商业银行信息系统建设严重滞后。根据新巴塞尔协议，用于计算监管资本的内部操作风险计量法，必须建立在对内部损失数据至少5年的观察基础上。国内商业银行至今很少有建立损失事件数据库的，大多缺乏损失和风险方面的历史数据。另外，由于社会诚信机制不健全，行业数据和公共外部数据的真实性无法准确判断，也影响到风险计量和管理决策。
加强我国商业银行操作风险管理的建议
当前我国银行业治理结构和经营机制改革正在迈向深入，这为重建操作风险管理体系创造了良好机遇。我国商业银行应研究借鉴国际银行业操作风险管理的理论成果和实践经验，切实提高操作风险管理的能力和水平。
统一风险管理政策
制定和执行统一明确、能够体现对操作风险的偏好和承受能力的风险管理政策，具体包括：制定指导方针和开展原则；建立符合国际规则，但又符合本行特点的风险事件分类标准；根据自身业务规模、经营特点、内外部资料，制定各业务品种、业务单元的操作流程；确定风险计量和资本分配的方法，确定应对各类操作风险的应急措施。对操作风险成功和失败的
案例进行连续性的分析，总结经验教训，等等。
提高操作风险管理技术
对新巴塞尔协议所建议的三种计量方法进行研究和选择，在做好数据收集、系统设计的基础上，逐步开发适合本行特点的内部风险计量模型。整合客户信息系统、人力资源管理系统、信贷管理系统、财务管理系统、资金管理系统等业务系统的信息，深度挖掘和充分使用本行内部信息资源。借助先进的IT技术，建立操作风险历史数据仓库，为测量风险、分配资本和设计模型提供基础。
健全操作风险管理组织
实行集中管理的操作风险治理结构，包括三个方面：一是设立独立的操作风险管理部门。如果单独设立的条件不成熟也应指定某个部门承担起该管理责任，但必须与市场、交易等部门进行分离，并保持分析判断、管理决策上严格的独立性。二是实施垂直化的风险控制流程。三是明确各部门在操作风险管理中的定位和职责，理顺董事会、高级管理层、操作风险管理部门、业务部门、内控部门、审计部门的管理边界。
强化操作风险管理文化
商业银行必须自上而下建立、倡导、执行操作风险管理文化。以董事会和高级管理层为代表的银行高层人员应首先提高对操作风险的认识程度，把操作风险作为风险管理的核心内容和基础工作。要在全行内部倡导操作风险管理的理念，把操作风险管理作为事关银行业务永续发展的重要工作进行宣传。应对各管理层次、各部门、各岗位开展操作风险培训，培育和提高每一个人的操作风险意识，使之掌握识别、分析、度量和控制操作风险的基本方法。应将操作风险管理落实在每一个员工的职责、行为中，加强监督和考评，对主动发现操作风险或改进操作风险管理的给予奖励，对有章不循的给予惩戒。
建立与国际接轨的经济资本约束和绩效考评机制
逐步改变传统的只关心当年帐面收益的绩效考核办法，提高资本对风险的敏感程度，强化经济资本约束。通过风险资本的计量与分配，运用风险调整资本收益率（RORAC），将可能发生的损失量化为成本。贯彻短期收益和长期收益兼顾、风险和收益并重的全面平衡发展的理念，从绩效考核和激励机制上促进全行关心操作风险的防范。
参考文献：
1.巴塞尔委员会.操作风险管理与监管的稳健做法，2003
２.巴塞尔委员会.巴塞尔新资本协议，2004
３.赵先信.银行内部模型和监管模型.上海人民出版社，2004
４.张吉光.商业银行操作风险识别与管理.中国人民大学出版社，2005
５.招商银行.商业银行管理前沿.中信出版社，2005
我国商业银行操作风险管理问题研究
--
近年来，国际上频繁发生的操作风险事故使商业银行遭受巨额的损失，过去10年里导致金融机构操作风险损失超过1亿美元的事件不下100宗，引起了银行管理层的高度重视。国际上一些先进的银行在操作风险管理上积累了较为丰富的经验，并形成了自身独特的操作风险文化和理念。国内银行业对操作风险尚未有一个全面、系统的认识，制约了国内银行业对操作风险管理的实践。
一、操作风险管理的发展及在我国的引入
（一）操作风险管理的发展历程。
根据国际跨国银行对“操作风险管理”研究达成的共识，认为对于操作风险的研究与管理可分为四个阶段：
第一阶段为识别阶段。此阶段的目标是要正确分辨和识别出银行所面临的主要操作风险，20世纪90年代国际金融界基本处于这一时期。90年代初期，国际上对于操作风险还没有统一的定义、没有普遍认同的衡量方法、没有可以公开获取的数据库、没有成熟的技术和软件，也没有引起监管者足够的关注。但是到90年代末期，尤其是19xx年6月巴塞尔委员会颁布的“新资本协议框架”提出银行应对操作风险进行定量分析以后，操作风险才开始受到重视。
第二阶段为量化和追踪阶段。此阶段表现为进一步关注和研究操作风险，能够运用简单的方法对操作风险进行初步量化，并且能够简单预测主要操作风险的发展趋势。从20xx年起至今，国际银行界基本处于这一时期。如巴塞尔委员会在20xx年发布的“新资本协议框架”中提出，“银行应当披露更为详细的操作风险的信息”。最近，美联储对美国大型银行的抽样调查发现，样本银行中的17％已经为操作风险建立了资本准备，有几家还公开披露了相关信息。
第三阶段为计量阶段。在此阶段银行应能对自身所面临的操作风险进行准确计量，并能公开对外披露。20xx年6月公布的“巴塞尔新资本协议”中提出操作风险资本量化的三种方法，即基本指标法(BIA)、标准法(SA)和高级测量法(AMA)，其中AMA于20xx年底实施，届时标志着国际先进银行操作风险管理进入更高的阶段。
第四阶段为整合管理阶段。在此阶段银行应能结合自身所面临的操作风险，运用多种方法进行管理，最大限度地降低操作风险所带来的损失。
从全球现状来看，目前多数银行都处于认知、量化追踪阶段，少数国际大银行达到了计量和整合阶段。
（二）操作风险管理在我国风险管理中的引入
20xx年9月，中国人民银行发布并开始实施《商业银行内部控制指引》，对我国银行建立操作风险管理和控制框架提出了要求，对信用风险、市场风险、流动性风险、操作风险等各类风险进行持续的监控，这就使得内部控制覆盖到银行的全部经营管理活动。与此同时，国内学术界和实践界也开始较多地关注操作风险的研究，出现了一些介绍性文献和相关文章。
20xx年伊始，中国银行业似乎一下进入“多事之秋”，金融业大案、要案频发且不断升级。先是年初中国银行黑龙江河松街支行行长高山卷款10亿元潜逃案；随后2月22日，建设银行吉林分行3.2亿元金融诈骗案又浮出水面；3月24日，银监会又查出农行包头分行重大违法经营案件，涉案金额1.15亿元；仅8天之隔，4月2日中国银行北京分行6.4亿烂尾楼骗贷大案曝光。建行上市冲刺阶段，又发生了原行长张恩照突然“辞职”事件。此类案件，中国社科院金融所所长李扬称之为“细节中的魔鬼”，正是巴塞尔新资本协议谓之的“操作风险”。换句话说，中国银行业面临的操作风险正在逐渐显现，且严重程度令人担忧。
20xx年3月7日，中国银监会针对银行机构对操作风险识别与控制能力不适应业务发展的突出问题，发布了《关于加大防范操作风险工作力度的通知》，首次将操作风险与信用风险并列为银行面临的三大风险。《通知》指出，一些机构由于相关制度不健全，或者对制度执行缺乏有效监督，对不执行制度规定者查处不力，风险管理和内部控制薄弱，导致大案、要案屡有发生。要求银行机构加大力度，采取切实措施，有效防范和控制操作风险。《通知》既是商业银行防范操作风险的指引性文件，也是审慎监管要求。主要针对当前商业银行操作风险中存在的突出问题，而不是操作风险控制的一般性指引，并未覆盖有关操作风险的全部内容。
可以看出，操作风险管理的重要性和必要性越来越多地被各界所认识。但遗憾的是，目前还没有形成一个广泛认可的操作风险衡量和管理框架供银行业借鉴。
二、操作风险的涵义、特点及分类
根据巴塞尔新资本协议的定义，操作风险(opera—tionalrisk)是由不完善的或有问题的内部程序、人员及系统以及外部事件所造成损失的风险，其中包括法律风险，但不包括策略风险和声誉风险(strateSic andreputa—tionalrisk)。与所有的风险一样，对于银行而言，操作风险指的是操作实际绩效低于预期绩效的可能性。
这个定义有五个特点：一是关注内部操作，内部操作常常就是银行及其员工的作为或不作为，银行能够也应该对其施加影响；二是重视概念中的过程导向；三是人员和人员失误起着决定性作用，但人员失误不包括出于个人利益和知识不足的失误；四是外部事件是指自然、政治或军事事件，技术设施的缺陷，以及法律、税收和监管方面的变化；五是内部控制系统具有重要的作用。目前常见的操作风险分类方法将其划分为以下七种事件类型：
（一）内部欺诈：有机构内部人员参与的诈骗、盗用资产、违犯法律以及公司的规章制度的行为。例如内部人员虚报头寸、在职员的账户上进行内部交易等等。
（二）外部欺诈：第三方的诈骗、盗用资产、违犯法律的行为。例如抢劫、伪造、开具空头支票以及黑客行为对计算机系统的损坏。
（三）雇用合同以及工作状况带来的风险事件：由于不履行合同或者不符合劳动健康、安全法规所引起的赔偿要求。例如，工人赔偿要求、违犯雇员的健康安全规定、有组织的罢工以及各种应对顾客负有的责任。
（四）客户、产品以及商业行为引起的风险事件：有意或无意造成的无法满足某一顾客的特定需求，或者是由于产品的性质、设计问题造成的失误。例如滥用客户的秘密信息、银行账户上的不正确的交易行为、洗钱、销售未授权产品等。
（五）有形资产的损失：由于灾难性事件或其他事件引起的有形资产的损坏或损失。例如恐怖事件、地震、火灾、洪灾等。
（六）经营中断和系统出错：业务的意外中断或系统出现错误。例如软件或者硬件错误、通信问题以及设备老化。
（七）涉及执行、交割以及交易过程管理的风险事件：交易失败、过程管理出错、与合作伙伴、卖方的合作失败。例如交易数据输入错误、间接的管理失误、不完备的法律文件、未经批准访问客户账户、合作伙伴的不当操作以及卖方纠纷等。
业务部门是按照损失事件发生的部门，来对损失事件进行分类。Basel委员会划分的商业银行的业务部门包括：
（一）公司财务：合并与收购、股份承销、资产证券化、首次公开上市发行、政府债券和高收益债券等。
（二）交易与销售：固定收益债券、股权、商品期货、信用产品、自有头寸证券、租赁与赎回、经纪、债务。
（三）零售银行业务：零售的存贷款业务、私人的存贷款业务、委托理财、投资建议。
（四）商业银行业务：项目融资、房地产、出口融资、交易融资、代收账款、租赁、担保、贷款。
（五）支付与清算：支付、转账、清算。
（六）代理服务：契约、存款收据、证券借贷、发行和支付代理。
（七）资产管理：可自由支配的资金管理和不可自由支配的资金管理。
（八）零售经纪：零售的经纪执行以及其他服务。
三、我国银行操作风险现状（19xx年—20xx年）
由于我国大多数银行还处在向真正的商业银行转型过程中,我国银行业内部控制机制还不完善,加之以社会转型过程中泥沙俱下的腐败蔓延,操作风险是我国商业银行的主要风险来源之一,其在商业银行风险中的比重远大于国际同行的水平。
本文所涉及的我国商业银行操作风险损失事件全部来自于国内外媒体的公开报道。时间跨度由19xx年至20xx年，涉及我国国内的7家商业银行，共发生操作风险损失事件71起，给银行带来的损失多至5.3亿元，少至2500元。尽管我国银行业损失事件的收集很不全面，但仍然可以概括出以下特征：
1）在我国的商业银行中,操作风险广泛存在,并且给银行带来了巨大的损失。这充分显示了操作风险发生频率低、但是一旦发生就会造成极大的损失，甚至危及到银行存亡的特点。
2）从业务部门来分析，损失事件主要集中在商业银行业务和零售银行业务，分别占到了74.65%和18.31%。
3）从损失事件类型来看，损失事件主要可以归因于内部欺诈、外部欺诈，分别占到了57.75%、21.13%。这类行为一般隐匿时间较长,银行的损失极大。
4）业务部门和损失事件类型两种因素的组合来看，占损失事件比例最大的是商业银行业务中的内部欺诈，总共有38起，占53.52%。其次是商业银行中的外部欺诈行为，占到了总损失事件的16.90%。
5）从中可以看出，无论在哪种分类情况下，各类之中的损失大小的均值相差都很大。这说明，在度量操作风险时，应该分别考虑每个业务部门和每个风险事件组合下的损失分布情况。
四、我国银行操作风险存在的认识误区和管理中的缺陷
（一）银行操作风险认识五大误区。主要表现在：
1、操作风险就是操作性风险或操作中的风险。从字面上理解操作风险，很容易将其理解为操作中的风险，极大地缩小了操作风险所包含的范畴。操作风险可以分为四类：人员因素引起的、流程因素引起的、系统因素引起的和外部事件引起的操作风险。操作性风险仅包括人员因素引起的操作风险中的操作失误、违法行为、越权行为和流程因素引起的操作风险中的流程执行不严格的情况。显然，操作性风险不能等同于操作风险。统计显示，近几年来国内银行业发生的近200起操作风险案例，操作性风险占总数的70%。
2、操作风险等同于金融犯罪。严格来讲，金融犯罪是操作风险中的主要类型，并不能涵盖所有类型的操作风险。根据我国法律，金融犯罪是指在金融活动中，侵害金融管理制度、金融市场秩序以及其他社会经济关系，依照我国刑法规定应当受到刑法处罚的行为。对比巴塞尔委员会关于操作风险的定义，金融犯罪显然不包括那些由于银行自身不完善的流程和系统漏洞以及外部事件等因素造成的操作风险。将操作风险等同于金融犯罪，会缩小操作风险的管理范围，错误地将操作风险管理等同于金融犯罪管理。
3、操作风险无法计量，不能为其分配资本。与其他风险相比，操作风险往往具有突发性、偶然性和难以预测的特点，长期以来对操作风险描述更多局限于定性内容。最早提出操作风险量化模型的是DuncanWilson。他认为操作风险可以使用“在险值（Var）”技术进行测度，银行可建立操作损失事件数据库，并从数据拟合操作损失的分布，通过设置一个置信区间，比如95%，就可以计算出操作风险Var，即可为其分配资本。为操作风险分配资本最大好处在于，当银行遭受灾难性损失时不至于瘫痪，甚至于倒闭。在不可量化思想的支配下，很难想象银行会致力于操作风险量化模型的开发。
4、各种操作风险事件之间是孤立的、毫无联系的。忽略了隐藏在不同表面现象背后的共性本质，忽略了众多随机变量近似地服从正态分布的统计原理。以工作人员操作失误、银行员工欺诈和关键人员流失三类风险事件为例，它们的本质均是人的因素引起的操作风险，且在
足够长期限和足够多数据的情况下可以近似地描绘出其概率分布。只有看到各种操作风险事件之间的联系，才能准确地描述银行面临的操作风险，进而从整体上把握操作风险。
5、操作风险管理只牵涉到内部审计部门，与其他部门无关。认为操作风险管理只是银行内部审计部门的事情，与其他部门无关，进而将操作风险管理职责不恰当地赋予内部审计部门。这种情况在国内银行业中绝非少数。从银行内部控制体系的构成来看，内部审计部门属于内部控制机制中的评价与监督环节，对银行的风险管理进行监督，对其有效性进行评价，而不是直接参与风险管理。并且操作风险管理涉及许多部门，如安全保卫、科技、后勤事务部门等。这就难免出现部门之间需要协调的情况。显然，这仅靠内部审计一个部门是不够的。
（二）与国外先进银行相比，我国商业银行操作风险管理存在的主要缺陷
1、错误的操作风险管理理念。一是“重事后管理，轻事前防范”，看重对已发生或已存在的风险采取事后的管理处罚措施，试图以严厉的处罚遏制风险的出现。而对事前的防范和事中的控制措施关注较少。二是“重个案查处，轻全面分析”，从而造成同类性质案件屡次发生，相同的诈骗手法屡次得逞。关联企业骗贷频频发生就是很好的例证。三是“重基层操作人员管理，轻高层领导人员管理”，银行内部审计部门主要精力集中在基层操作人员，而对高层管理人员仅有离任审计，没有日常稽核监督。近年很多银行高官纷纷落马与这种错误风险理念的指导是分不开的。四是“重审计稽核，轻全面管理”，国内很多银行往往将操作风险视同操作性风险。在此理念的支配下，银行往往将操作风险管理职能赋予内部审计部门，而非风险管理部门，从而造成很多类型的操作风险（比如系统因素引起的操作风险）无人管理。
2、不健全的风险管理架构。
（1）操作风险管理职责分散，缺乏专门的管理部门。国外银行在操作风险管理框架上一般会设置一个委员会，由各相关部门参加，而操作风险管理政策的执行和协调由风险管理部来负责。但从我国的情况来看，不同类型的操作风险由不同的部门负责，没有一个协调部门。比如安全保卫部负责安全保卫方面的操作风险，内部审计部门负责操作性风险，科技部门负责系统方面的操作风险。这种分散管理的做法使得银行系统缺乏统一的操作风险管理战略和政策，高层管理者更是无法清楚了解银行面临的操作风险整体状况。同时，分散管理还使得有些操作风险因无人管理而陷入真空状态。
（2）基层分支机构操作风险管理职能缺失。国外银行一般会在基层分支机构设置风险经理一职，负责总行风险管理政策在基层的贯彻落实，对基层分支机构的监督管理以及与总行风险管理信息的沟通。国内银行大多没有这一设置。操作风险管理基本上由内部审计部门负责，这一部门仅在总行有设置，在基层机构没有分支。这就造成基层分支机构操作风险管理职能
的缺失，从而为操作风险的出现提供了机会。
（3）内部审计部门权威性不强。在对操作风险的错误认识下，国内很多银行几乎一致将内部审计部门作为操作风险管理的职能部门。值得注意的是，尽管国外很多银行的内部审计部门也承担了部分操作风险的管理职能，但该部门直接向董事会负责，具有很强的独立性和权威性。因而审计工作很容易开展。不过，国内银行的内部审计部门并不是直接隶属于董事会，而是与一般部室平行设置。这就造成其权威性不强。往往是对分支机构的稽核监督容易，对总行层面的稽核监督难以开展。
3、操作风险管理手法单一。
（1）过分依靠内部审计，忽略外部审计力量。
（2）制度建设跟不上，制度执行不力。外资银行对每种业务都会制定详尽的操作手册，并列示所有潜在风险点，减少了操作人员因操作不当引发操作风险的可能，并为操作风险管理部门的监督提供指导。而国内银行业在风险管理制度建设方面明显不足，往往先开展业务，后制定规章，从而引发大量风险的发生。此外，制度执行不力也是我国银行业操作风险管理上的一大问题。制度执行不力就会使制度形同虚设，失去约束力。
（3）电子化手段缺乏。国外越来越多地采用电子手段进行操作风险管理，既提高了工作效率，也确保了风险管理的有效性。在对操作性风险的审计监督上，国外银行大多也采用了电子审计方式。在这方面，国内银行要走的路似乎还很长。
五、完善我国商业银行操作风险管理的策略选择
（一）培育重在细节和执行的企业执行文化和风险文化。巴塞尔新资本协议提出了对包括操作风险在内的资本最低配置要求，但是配置资本并不是有效控制操作风险的最好办法，对付操作风险的第一道防线还应该是良好的企业执行文化、严格的内控机制和风险管理。当前，商业银行应成立企业文化建设管理委员会(或企业文化促进会)，专门研究和推进企业文化建设，大力宣传和倡导一种重在细节和执行的企业执行文化。针对目前大量存在的高频率、低损失类操作风险，首先应加强对员工合规意识的教育和培训；其次，加大对全员内控和风险知识的培训力度，将其作为新员工培训及新提拔干部的必修课。成功的风险管理需要一种“风险管理人人有责”的企业文化。
（二）确立全面风险管理理念，建立适当的操作风险管理环境。这要求银行董事会和高级管理层要从战略上将有效的操作风险管理确定为银行稳健经营的关键要素之一。董事会应充分了解银行的主要操作风险所在，核准并定期审查银行的操作风险管理系统，确保操作风险管理系统受到内审部门全面、有效的监督；高级管理层应负责执行和实施经董事会批准的操作风险管理系统，制定相关政策、程序和步骤，以管理存在于银行重要产品、活动和系统中的操作风险，使各级员工充分了解其与操作风险管理相关的职责，确保操作风险管理战略和政策在全行范围内得以持续的贯彻执行。
（三）对当前金融案件深层梳理，做好合规、合法与欺诈控制。当前商业银行操作风险管理应以商业银行业务和零售银行业务部门为重心，以内部欺诈、外部欺诈事件类型等为重点，制订出确保有关法律法规得到有效遵守的内部政策和具体程序；通过教育、示范、监督与技术控制，切断银行与违法犯罪活动的联系，避免内部欺诈与犯罪以及卷入外部欺诈陷阱。防范要基本覆盖交叉于当前商业银行各业务部门的内外勾结、欺诈作案的主要操作风险点。
（四）借鉴国际经验，建立完整的操作风险管理体系。要使操作风险得到有效控制，还必须建立一个行之有效的操作风险管理体系。这个体系应基本覆盖操作风险的识别、评估、监测、缓释、控制和报告等程序和环节，并在此基础上建立覆盖整个银行的操作风险管理战略和政策。建立操作风险管理体系的基本目标，一是要充分识别和评估所有重要产品、活动和系统中的操作风险，并确保在引入新产品、活动和系统之前，对其中的操作风险经过足够的评估；二是要通过一套程序定期监测操作风险的状况和重大损失，及时报告有关信息，敏感地反映有关操作风险的变动，以此形成有效的风险预警和决策支持机制；三是要有相应的策略、方法、程序来控制或降低风险，并根据整个风险状况和风险承担能力来及时调整操作风险政策。
（五）注重技术创新，积极推进操作风险管理工具的开发和运用。从巴塞尔委员会的建议和国际银行业风险管理方面的实践看，银行用于识别、评估操作风险的工具和方法主要包括监测指标、外部参考指标、统计分析、计分卡方法、体现风险及其影响的因果关系的模型、风险对应关系、历史损失数据库等等。一方面，从风险控制和缓释方面来说，除了通过加强内控外，银行还应积极运用保险、外包协议等方法降低和转移风险。另一方面，要运用先进的现代技术，建立操作风险计量、预报和信息发布制度，学习和借鉴科学的操作风险计量技术，建立适合于我国商业银行的操作风险计量模型，定期对操作风险进行度量和预测。
（六）加强人才队伍和激励机制建设，为有效引入操作风险管理提供支持和保障。一是推行风险经理制度，建立科学的风险管理专业人员任职体系。制定风险经理职、权、责标准和素质要求，通过考试进行资格认证、竞聘上岗。二是完善风险经理的选拔、培养、使用、业绩评价和考核管理制度，建立人员准入和清退机制。三是强化激励约束机制，加大绩效挂钩力度。扩大收入分配差距，对有突出贡献的风险管理人员实行表彰与奖励。对违规违纪者进行处罚。四是实施岗位资格培训和全员培训工程。在完善统一规范的风险管理操作规程的基础上，通过多种方式强化在岗人员实务操作和岗位技能训练，造就一支专业水平高、业务技能精湛、适应现代商业银行风险管理要求的专家型队伍。
（七）加强外部监管，充分发挥信息披露作用。银行监管部门应要求不同规模的银行建立符合自身情况的操作风险管理框架，采取有效的策略来识别、评估、监测、控制和降低实质性的操作风险，直接或间接地指导银行定期审查和评估其操作风险管理系统，同时应要求商业银行适时并有规律地向公众披露相关信息，以加强市场约束，进而使操作风险的管理更加有
效。
对于当前我国来说，在未来一段时间内，暂时不宜将操作风险纳入资本监管的范围。按照基本指标计算操作风险资本要求对商业银行改善操作风险的激励作用非常有限。况且，我国大多数商业银行尚未达到8%的最低资本要求，若将操作风险纳入资本监管，势必进一步提高资本要求，加大商业银行补充资本的压力，因此，现阶段不宜对商业银行提出统一要求。但根据《商业银行资本充足率管理办法》，银监会可以根据商业银行的风险状况提高单个银行的最低资本要求，个案性地要求银行对操作风险计提资本不存在法律上的障碍。现阶段银监会对操作风险监管的重点可放在“过程监管”，要确立“违规”就是风险的理念，强调合规监管是风险监管的起点，加强对商业银行合规性检查，促使商业银行依法合规经营。
毋庸置疑，操作风险正越来越多地影响着商业银行，并日益成为商业银行不得不面对的巨大威胁。一个小小的交易员就足以令享誉全球的百年老店巴林银行倒闭；一次小小的越权交易就足以让澳大利亚国民银行发生人事大地震。可以断言，今后商业银行的破产倒闭可能不是信用风险引起，也不是市场风险造成，而很可能是操作风险。一句话，国内银行业，是该考虑操作风险了。（