【摘要】：

　　从商业银行的发展历程看，有很多商业银行在经营银行业务过程中更多的是把风险管理的重点和精力放在了市场风险和信用风险的管理上，从而忽视或弱化了被称为商业银行“三大风险”之一的操作风险管理。本文依据“巴塞尔新资本协议”的要求和近几年商业银行管理的先进经验，重点对商业银行面临的操作风险进行分析，并对操作风险的控制和管理思路进行探讨，从而达到从理论和实践相结合的角度来阐述操作风险管理在商业银行管理中的重要意义。本文借鉴国际先进的经验和结合我国的实际情况，针对我国加强商业银行的操作风险管理提出了具体建议。本文主要论述正确的认识是操作风险管理的关键所在，建立健全的流程、框架和体系是操作风险管理的保障，最终才能实现对操作风险有效的管理和控制，使因操作风险给商业银行带来的损失降到最低限度。

　　【关键词】：商业银行、操作风险、巴塞尔新资本协议、操作风险管理框架

　　【正文】：

　　随着我国金融体制改革的逐步深化和商业银行股份制改造的稳步推进，金融市场竞争不断加剧，金融产品日新月异，与此同时，银行经营在必须控制和管理一些传统的风险如信用风险、市场风险、国家风险等之外，不得不面临着一类新的风险——“操作风险”的挑战。

　　操作风险是指由于银行内部程序、人员、系统不充足或者运行失当以及因为外部事件的冲击等导致直接或间接损失的可能性的风险。例如，1995年的巴林银行倒闭、1996年三井住友银行的巨额亏损以及2001年中国银行的开平案件，均可视为由操作风险所致。这类风险一旦发生，往往给银行带来巨大损失，严重时会直接导致银行的破产和倒闭，甚至还会对整个金融行业或国民经济运行都产生巨大的影响，因而越来越引起投资者、金融界、监管当局的重视。自然地，防范和控制操作风险也成为银行经营管理者的一个重要课题。

　　本文将首先介绍银行操作风险的内涵和实质，并揭示当前商业银行在操作风险管理方面的现状。之后，分析造成操作风险的主要原因，然后，在前面论述的基础上提出加强银行操作风险管理的方法和建议。

　　一、商业银行操作风险的实质、内涵和管理要求

　　巴塞尔新资本协议把操作风险定义为：操作风险是指由于银行内部程序、人员、系统不充足或者运行失当以及因为外部事件的冲击等导致直接或间接损失的可能性的风险。从操作风险的定义中不难看出操作风险包括内部程序、人员、系统三大方面的主要内容，也是认识操作风险的关键环节。

　　（一）全面认识操作风险的实质和内涵

　　认识事物是改造事物的前提和关键，对操作风险的认知程度越高，才能有效的提升操作风险管理的地位和管理的水准，有了正确的操作风险的认识，才能够上升到宏观的决策和微观的具体落实。张吉光认为：“商业银行在操作风险管理中，对操作风险的认识存在五大方面错误或偏差”。 （注1）通过对操作风险管理理论的研究，笔者认为：解决操作风险管理认识上存在错误或偏差，成为提高操作风险管理水平的关键。具体而言，要全面认识和了解操作风险，需要消除以下几方面的误区。

　　1、操作风险不能等同于操作性风险和操作中的风险

　　根据巴塞尔新资本协议的定义，操作风险可以分为四类：人员因素引起的操作风险、流程因素引起的操作风险、系统因素引起的操作风险和外部事件引起的操作风险。人员因素引起的操作风险包括操作失误、违法行为（员工内部欺诈/内外勾结）、违反用工法、关键人员流失等情况。流程因素引起的操作风险又分为流程设计不合理和流程执行不严格两种情况。而系统因素引起的操作风险包括系统失灵和系统漏洞两种情况。外部事件引起的操作风险主要是指外部欺诈、突发事件以及银行经营环境的不利变化等情况。其中，属于操作性风险的仅包括人员因素引起的操作风险中的操作失误、违法行为、越权行为和流程因素引起的操作风险中的流程执行不严格的情况。显然，操作性风险不能等同于操作风险，尽管操作性风险是操作风险中发生频率最大、占比最高的风险类型。从笔者搜集整理的近几年来国内商业银行发生的近50起操作风险案例的数据显示，操作性风险占总数的比例为70%。将操作风险狭隘地定义为操作性风险的做法，往往会使得建立在这一认识基础上的操作风险管理体系不能覆盖所有的操作风险，从而使银行难以防范那些突发事件的冲击，如前一段时间工商银行北京市分行出现的系统瘫痪、美国发生的“911”恐怖袭击等。

　　2、操作风险不能等同于金融犯罪

　　金融犯罪仅是操作风险中的主要类型，并不能涵盖所有类型的操作风险。根据我国对金融犯罪的定义，金融犯罪是指在金融活动中，侵害金融管理制度、金融市场秩序以及其他社会经济关系，依照我国刑法规定，应当受到刑法处罚的行为。对比巴塞尔委员会关于操作风险的定义，金融犯罪显然不包括那些由于银行自身不完善的流程和系统漏洞以及外部事件等因素造成的操作风险。最简单的例子就是操作失误，比如银行员工误将取款操作成存款，或者数字录入错误等均属于操作风险的范畴，但并不构成犯罪。将操作风险等同于金融犯罪，往往会使商业银行无意识地缩小操作风险的管理范围，错误地将操作风险管理等同于金融犯罪管理，从而将操作风险管理职责不恰当地赋予内部审计或安全保卫部门。这恰恰是造成目前我国商业银行操作风险管理进展缓慢的原因所在。

　　3、操作风险是可以计量的，应该为操作风险配置资本

　　表面上看操作风险确实无规律可循。事实上，这只是人们观察问题的角度不正确造成的。如果我们就单个年份来看，一些操作风险事件是无规律的，一旦将这些操作风险事件放在很长一段时间和同类型的大量数据中来看，我们会发现，这些操作风险往往会以某种稳定的概率发生。这正是人们量化操作风险的基础。最早提出操作风险量化模型的是Duncan Wilson。他在1995年12月的《risk》杂志中发表了“操作Var”的文章。文章认为，操作风险可以使用“在险值（Var）”技术进行测度，银行可以建立来自于内部和外部的操作损失事件数据库，并从数据拟合操作损失的分布，通过设置一个置信区间，比如95%，银行就可以计算出操作风险的Var，也就可以为其分配资本了。为操作风险分配资本的最大好处就在于，当银行遭受某种灾难性损失的时候不至于瘫痪，甚至于倒闭。在不可量化思想的支配下，很难想象银行会致力于操作风险量化模型的开发。这或许是国内商业银行操作风险管理水平难以提升的重要原因之一。
　　 4、操作风险事件之间是相互联系的而不是孤立的

从表面看，工作人员的操作失误、银行员工的欺诈以及关键人员的流失三者之间并无多大联系。而停电、诈骗以及“非典”之间更是风马牛不相及。由此，很多人得出“各种操作风险事件之间是孤立的、毫无联系的，从而操作风险是突发事件”的结论。这其实是忽略了隐藏在不同表面现象背后的共性本质，忽略了众多随机变量近似地服从正态分布的统计原理。以工作人员操作失误、银行员工欺诈和关键人员流失三类风险事件来看，它们的本质均是人的因素引起的操作风险，且在足够长期限和足够多数据的情况下可以近似地描绘出其概率分布。停电、诈骗与“非典”之间的关系与此相似，三者均属于外部因素造成的操作风险，且众多上述事件同样会近似地服从正态分布。只有看到各种操作风险事件之间的联系，才能准确地描述银行面临的操作风险，进而从整体上把握操作风险。这正是巴塞尔委员会关于操作风险定义的基础所在。那