【转载】商业银行操作风险的计量和管理——专访原中国银行内控总稽核周玮先生
商业银行操作风险的计量和管理——专访原中国银行内控总稽核周玮先生
栏目主持人：陈忠阳
主题一：操作风险的内涵与管理框架
主持人：周总您好！非常感谢您能够接受我们的专访，与读者分享您在操作风险计量和管理方面的研究成果。1998 年巴塞尔委员会首次将操作风险正式纳入新巴塞尔协议的三大风险，操作风险的计量就开始发挥重要作用。目前对操作风险内涵的理解仍存在一些争议。结合商业银行理论和实务，能否分享您对操作风险内涵的独到见解？
周玮 ：目前学界和业界尚未形成一个被广泛认可的操作风险定义。巴塞尔委员会对操作风险给出了如下定义：“不完善或失灵的内部程序、人员和系统，或外部事件导致损失的风险”。该定义最大的问题是没有将操作风险这个由人产生的内生性风险按照主观故意和非主观故意进行区分。结合商业银行理论与实务，参考风险的定义，有必要将人的主观故意因素导致的风险从操作风险中剥离出来，并分别加以定义。我认为操作风险是由于人主观认识的局限性导致其行为结果偏离预期目标的不确定性，应将主观故意造成的风险和外部环境重大变化等造成的风险剔除，只将高频低损事件和部分非主观故意所致的低频高损事件纳入操作风险范畴。
主持人：在商业银行的实际业务中，基于不同的生成机理和影响程度，操作风险事件主要分为哪些类型？对于不同分类的操作风险事件，在处理方式上有何不同？
周玮 ：商业银行操作风险的产生具有内生性、多样性和复杂性的特点，基于生成机理和内在特征的特殊性，在实际业务中，操作风险事件分为无损失事件和损失事件。操作风险无损失事件又称为一般性操作风险事件，而操作风险损失事件又可以分为高频低损的低危操作风险事件和低频高损的高危操作风险事件。
因此，操作风险事件按其影响程度可以划分为无损失的一般性操作风险事件、损失容忍度以内的低危操作风险事件和超出损失容忍度的高危操作风险事件。为了精细化管理，还可以将上述三档不同程度的操作风险事件进一步分级细化。如将一般性操作风险事件分为四级，1－4级；低危操作风险事件分为四级，5－8级；高危操作风险事件分为两级，9－10级。
从操作风险事件引发损失的性质分析，低危操作风险事件是由于人的疏忽导致的，并非主观故意，所以往往会给予一定的容忍，对其发生的损失称为容忍度内的损失。而高危操作风险事件一般是由于人的主观故意或重大责任事故导致的，是任何企业乃至社会都无法接受和容忍的，此类损失被称为超出容忍度的损失。
主持人：由于操作风险的识别、计量、转移都比较困难，对不同类型的操作风险也很难采用同一模式进行管理，那么在实践中，国内商业银行操作风险是采用什么样的管理框架？
周玮 ：企业的内部控制必须以操作风险为突破口，而操作风险管理应以操作风险识别，业务流程梳理为抓手，这是由于银行开展所有业务都需要通过流程进行，因此，操作风险隐患自然都隐匿于流程之中。按照原来巴塞尔的体系对于操作风险的管理不起作用，因为它不承认内控体系，对于操作风险的管理没有任何手段，而操作风险要对收集的损失数据进行计量，应该按照 COSO 体系重新搭建。
操作风险测量的关键环节就是拟合和测度操作风险的概率分布情况，测量流程发生操作风险事件的频率和概率对操作风险的控制至关重要。由于不同的业务存在很大差异，很难用一个统一的标准公式统计出该业务流程发生的全部操作风险事件，因此，业务流程操作风险事件发生频率在实际运用中还要根据实际业务情况加以定义。
业务流程发生操作风险的损失金额比率，在实际工作中得到业务流程的操作风险损失金额仍然是最大的难点。解决方案有两个：
- 其一是从审慎的原则出发，用该业务流程的全部损失替代；
- 其二是针对业务流程发生的操作风险性质，需要结合统计抽样的数据，利用专家的主观判断建立专家模型进行预估。
主题二：操作风险计量方法的发展现状和优缺点
主持人：您认为巴塞尔委员会对于风险管理内涵的理解，对于操作风险的监管理念、计量方法存在哪些不足之处？现有监管能否跟得上风险管理技术发展的需要？
周玮 ：受当时所处发展阶段的历史局限性，巴塞尔委员会在监管理念与制定的规则上仍存在缺陷。
- 一是对风险管理内涵的理解存在历史局限性。巴塞尔委员会明确表明“风险管理是个非线性过程”，其意是说管理是个行为过程，并不在意最终的结果。基于这一理解，在没有可量化的数据结果的情况下，对于风险管理的效果是很难运用统一的标准进行评估的。而随着风险管理技术的不断发展，风险测量在市场风险和信用风险领域已经得到了长足的进步，但巴塞尔委员会并没有及时调整对于风险管理内涵的理解。
- 二是计算资本的方法与操作风险无关。在本世纪初，巴塞尔委员会为了解决商业银行因操作风险损失而计提资本的需要，根据银行的规模制订了两个计算资本的基本方法：基本指标法和标准法，但这两种方法中的所有参数都与操作风险本身没有任何关系。
- 三是高级计量法与风险管理理念相悖。巴塞尔委员会为了鼓励各银行积极测量操作风险，根据市场风险和信用风险的测量经验，为各家银行提供了高级计量法——内部模型法。委员会的思路是要求各家银行通过对内部不同业务领域的操作风险损失数据的收集，测量损失发生的概率和导致损失的影响程度比率，但是损失是管理的结果，而既然风险管理是个管理过程，这个损失结果对于管理过程的指导意义何在？
主持人：操作风险的各类常用计量方法都存在各自的优势和不足，基于您专业的风险计量实践，您能否对主要的计量方法做出综合评价？巴塞尔委员会由开始推崇内部计量法转变为推荐损失分布法主要是基于哪些考虑？
周玮 ：操作风险高级计量的主要方法包括内部计量法（Internal Measurement Approach，IMA）、损失分布法（Loss Distribution Approach，LDA）和极值理论法（Extreme Value Theory，EVT）。内部计量法是巴塞尔委员会建议的高级计量法之一，较标准法更为细致地拆解银行的操作风险，仍需要先收集各业务条线的七种类型损失数据。
损失分布法相比内部计量法引入了操作风险损失数据，通过对损失数据的收集确定出概率分布函数，以此来度量操作风险。该方法的主要优点在于：一是直接利用银行内部损失数据，具有很强的风险敏感性；二是直接计算非预期损失，没有假设预期损失与非预期损失之间具有联系；三是适合具有可靠的损失数据库的商业银行；四是在方法正确的情况下可以提供一个准确的资本要求。但是，该方法除了具有损失分布难以估算等缺陷外，在管理上的不足也十分明显：一是损失数据不足和数据失真的问题，二是损失计量与操作风险管理脱节，回避了操作风险管理的基本内涵与本质，难以指导商业银行操作风险管理实践。虽然损失分布法存在上述缺陷，但巴塞尔委员会却由推崇内部计量法转变为推荐损失分布法，原因在于内部计量法与基本指标法和标准法相比可能会得到较低的监管资本估算，且对资本要求的准确性可能低于损失分布法。
极值理论法是用来计量极端情况下的操作风险损失的一种方法。通过确定最优阈值，对于超过阈值的样本数据，在总体分布未知的情况下，通过计量得到一定置信度下的操作风险资本。极值法过于侧重对极端值、异常值的分布估计，忽略了对整体风险事件的关注，且几乎没有管理价值，不免有些本末倒置。
主持人：2007 年银监会开始推动中国银行业实施巴塞尔新资本协议，从十多年来的实践看，您如何评价中国银行业操作风险计量取得的进展？其中存在的主要问题有哪些？
周玮 ：2007 年银监会开始推动中国银行业实施巴塞尔新资本协议以来，在市场风险、信用风险方面应该说取得了不错的成绩，这可以从 2013 年银监会通过了各大行的内评法验收上得到验证，唯独在操作风险计量领域进展相对较小。事实证明，巴塞尔体系在中国银行业操作风险计量上是失败的。
巴塞尔高级计量法在中国实施中的主要问题表现为：
- 第一，高级计量法违反了它自己的理念，巴塞尔对风险管理的理念是计量，但是在高级计量法内评法上选择的是损失数据的收集，与它的风险管理是个过程的理念是相悖的，要求商业银行收集损失数据是错误和不现实的；
- 第二，操作风险定义没有指出操作风险的本质，对操作风险内涵的理解有误；
- 第三，银监会过去十多年更多关注道德风险引起的欺诈舞弊，这种管理思路与实际不符，只有做好操作风险管理的基础，才能有效防范欺诈舞弊；
- 第四，损失数据的收集，银监会规定，任何银行分支机构出现损失，都要上追两级，并且规定每年操作风险事件发生的阈值上限，致使中国银行业在过去十年所收集到的损失数据要么完全失真，要么即使获得少量数据也无法满足统计测量的需要。
总体上，巴塞尔高级计量法存在着以下问题：
- 过于追求复杂的数理计量方法，忽略了方法应服务于风险管理的主旨；
- 数据来源渠道复杂，数据来源不足，数据客观性难以保证；
- 样本数量小，在统计意义上难以保证计量结果的准确性；
- 数据间隔周期长，即使数据有效也难以计量一定时间商业银行的操作风险数据，缺乏实际价值；
- 对操作风险损失分布的“厚尾”部分尤为关注，并没有过多考虑单次损失金额不高但发生频率高的事件，而这类事件往往占很大比重。
主题三、如何改进操作风险的计量
主持人：随着风险管理技术的发展，巴塞尔委员会对操作风险的监管规则也与时俱进地做了一些调整，比如 2017 年 12 月 7 日巴塞尔委员会批准的巴 III 资本监管改革的最终方案就对操作风险资本的计量方法进行了大规模的修订，采用了单一的风险敏感较高的新的标准法。您如何看待新规监管理念的变化和仍存在的不足之处？
周玮 ：2017 年 12 月 7 日巴塞尔银行监管委员会正式批准了巴 III 资本监管改革的最终方案，新的巴 III 将从 2022 年 1 月 1 日生效。其中对操作风险资本的计量方法进行了大规模的修订，以修改后的标准法取代原有的标准法和高级计量法。
新的标准法体现出委员会对操作风险管理的新理念：
- 操作风险会随着银行收入的增加而快速增大；
- 如果银行在以往（十年为期）遭遇过较大的操作风险损失，则今后将更有可能遇到操作风险损失；
- 委员会认为原有规则计算的资本不足以覆盖某些银行出现的损失；
- 导致银行损失的原因包括对不当行为和质量低劣系统的罚款等是无法通过内部模型进行测量的。
由此委员会彻底放弃原有以内部数据进行测量的高级法，故此次修订是对原有的指标法和标准法的改造。然而，新的标准法只是针对商业银行操作风险所需资本的计算方法，并非是商业银行实际的风险损失。
此外，巴塞尔委员会并没有放弃对操作风险原有的基本认识，即操作风险与银行收入规模直接相关。这种认识将严重阻碍银行业操作风险测量技术的发展，并终将形成对银行风险管理的桎梏。科学、有效地管理风险的前提是要准确的测量出未来可能发生的风险，而不是消极的以资本防范之。
主持人：近年来，您和国内其他一些商业银行风险管理专家，在操作风险的内部计量法的完善方面取得了重要突破，现有的改进主要体现在什么方面？既有研究成果中较有代表性的创新方法的特征、基本思想是什么？
周玮 ：以指导思想、方法导向、方法原理、样本来源和数据特征五个维度作为分类标准，考量现行操作风险高级计量方法，可以将其划分为两大类，I 类方法和 II 类方法。其中，I 类方法包括以传统内部计量法、损失分布法和极值理论法为代表的操作风险高级计量方法；II 类方法包括以改良的内部计量法为代表的高级计量方法。
I 类方法对操作风险损失分布的“厚尾”部分尤为关注，并没有过多考虑单次损失金额不高但发生频率高的事件，而这类事件往往占很大比重；在模型设定方面追求理论形式上的完美，希望能够捕捉到更多的操作风险尾部特征。但也因此使其在某些关键环节存在漏洞。II 类方法最显著的特征就是将操作风险事件全部纳入样本采集范畴，从原始操作风险事件库的构建到统一编码后的标准数据库的形成，流程管理贯穿始终，直至最后机构操作风险事件评级标尺的生成，在有限的数据量和成本投入条件下有效实现对操作风险特征的描述，既不存在 I 类方法在因子设定、参数估计和阈值选取方面的问题，又能够诠释操作风险特征，与巴塞尔对操作风险高级计量方法由下而上的思路相一致，在理论上具有优势。
从 II 类方法既有研究成果看，由欧晖、周玮（2012）[1]提出的统计测量法能够很好地解决现有高级计量方法尚未解决的操作风险测量和管理的痛点。该方法依托 COSO 全面风险管理和内部控制框架体系，在对标准化流程各环节风险点进行梳理和归并的基础上做出操作风险管理的定性评价，再利用分层抽样方法得到测量操作风险事件频率的样本，最终得到机构总体频率和量化之后的频率-评价映射关系（映射标尺）。
尽管 II 类方法在理论和实务方面较 I 类方法更优，然而其检测样本数据积累有待进一步扩充，这将是未来操作风险高级计量方法研究和改进的方向。
主持人：从国内近年的实践看，您提出的 II 类方法在操作风险计量上的准确性如何？对于风险管控的作用是否得到了体现？是否具有普遍推广的可行性？
周玮 ：从操作风险发生频率看，2014 年年初，运用我们的 II 类测量方法对某大型商业银行 34 家一级分行 2013 年的数据进行分析，34 家一级分行操作风险事件发生频率中位数 1.17，平均值 1.87，最低的分行不到 0.1，最高的分行 10.05。正是这家频率最高的分行 2014 年就突破了银监会给该大型商业银行欺诈舞弊案件上限的阈值，表明我们的测量方法对欺诈案件起到了很好的预警作用。
从操作风险发生概率看，仍以某大型商业银行为例，对其操作风险数据进行处理和模拟，得到 2011-2016 共 6 年数据，以抽取的前 5 年数据为样本预测 2016 年操作风险事件发生概率，以 2016 年数据为样本计算其真实频率进行验证，在合理的置信区间和误差范围内，计算得出的该银行机构总体操作风险事件发生概率与该银行实际（频率）结果基本一致。
这表明对于操作风险较为准确的计量和预警在国内是完全可行的，对商业银行的风险管控有重要作用，而且该方法在行业推广不存在技术问题。
主题四、操作风险计量如何用于风险管理和内控
主持人：如何将改良的内部计量法更好地运用于商业银行风险管理的实践中去？您如何勾画商业银行实现操作风险测量的具体实施路线图？
周玮 ：运用改良的内部计量法计量操作风险损失，从计量的整体框架和路线图看，最终还是要回归到依靠实际积累的数据进行验证的道路，这是一个漫长的过程。该路线图和方法论是否可行尚不得而知，为此我提出几点建议：
- 一是坚持化繁为简，坚持由易到难、由简至繁的研发和工作思路。
- 二是坚持理论精髓，敢于突破创新的精神。
- 三是坚持研发与业务实际相结合，为管理服务的宗旨。
具体实施的路线图是，以流程划分和流程梳理为前提，将操作风险事件的问题标准化并转化为数据，并以此为基础通过风险评估预判银行内部系统性重大风险隐患，统一制定检查计划和具体项目内容，统筹安排检查项目中的统计抽样方案和方法，运用统一的稽核工作流程实施检查并将检查结果导入操作风险事件标准问题数据库。我们提出以实施 COSO《企业风险管理整合框架》为基础，利用稽核作为相对独立的第三道防线，通过其独立的检查体系收集操作风险事件数据并建立相关的标准数据库。在此基础上，建立操作风险事件标准问题统计分析模型，动态跟踪银行内部各业务板块、条线、产品、流程中不同风险程度操作风险事件发生及影响的变化规律。在满足银行内部操作风险管理及内部控制数据分析的同时，逐步实现操作风险的测量。
主持人：你曾提出探索从测量操作风险事件发生的频率入手，运用内部风险统计测量法强制压缩操作风险事件可能发生的空间，将风险可能导致的损失消灭于损失发生之前。运用内部风险统计测量法对于商业银行管理操作风险的意义具体体现在哪些方面？
周玮 ：有效的判断高频低损事件和无损失事件发生的概率需要从统计测量其发生的频率入手。统计测量法是运用统计学原理和风险计量手段对商业银行内部可能出现的各种操作风险隐患进行统计测算和概率分析的一种方法。运用内部风险统计测量法的意义体现在：
- 有助于促进银行业务流程标准化，明确流程的具体环节、操作方式、规章制度和面临风险。
- 通过操作风险事件基础信息的收集，使我们有可能观察到一个时期内，某类操作风险事件的变化趋势，研究导致风险事件变化的内外部因素，为银行操作风险管理提供依据。
- 通过分析归纳上述操作风险事件基础信息使我们有可能得到单一机构在某一事件内控状况的变化情况，使得国内机构可以在现有总-分行体制下，揭示集团层面系统性重大风险隐患。
- 为横向比较各分支机构的单一条线、产品和整体内控状况提供了可能，为以内控状况为依据开展绩效考评提供了依据。
- 有利于建立内部控制效用分析模型和操作风险预警监控体系。
- 有助于建立管理成本与风险收益平衡分析模型。
- 有助于识别、评估操作风险事件，收集操作风险事件及其损失数据，为实施商业银行高级计量法，并最终科学测量风险资本提供基础。
总之，在内部风险统计测量法的框架下，通过对问题性质和问题成因等要素的归纳分析将更有利于剖析操作风险本质，既服务于操作风险管理，又能更有效的提高商业银行的风险治理水平；同时，也为下一步风险资本测量打下了基础。
主持人：由于我国在今后很长一段时间内仍会处于社会转型阶段，完全杜绝低频高损事件的发生是不现实的，那么为了有效控制国内商业银行的高频低损事件和无损失事件，从技术角度看，关键点有哪些？需要从哪些方面着手？
周玮 ：为了有效控制低频高损事件的发生，首先要从铲除高频低损事件的土壤环境开始，由对无损失操作风险事件的控制入手，才能有效的压缩低频高损事件产生的空间。从技术角度而言，有效控制高频低损事件和无损失事件的关键有两点：
- 要能够判断这类事件发生的可能性，将发生的概率降至最低。传统的内控检查或操作风险审计注重的是单个、具体、且分散的情况，缺乏将某一业务、流程或环节在若干个点的情况有机归纳成能够反映整体、系统性问题的办法。有效的判断高频低损事件和无损失事件发生的概率，可以使企业在宏观层面掌控商业银行某一业务在流程或环节中可能出现的整体系统性问题，为最终防范此类操作风险事件提供了可能。
- 要判断“无损失操作风险事件”与“高频低损事件”、“低频高损事件”中出现损失的关系。无损失操作风险事件发生的机率和数量要大于高频低损事件和低频高损事件，只是无损失操作风险事件和高频低损事件更多的由非主观因素导致，而低频高损事件更多的是由主观因素引起，但是它们发生的土壤和条件是相同的，相互之间存在着某种必然的联系，找出导致其相关性的因素，压缩发生的空间并扩大不发生的空间，可以有效的减少低频高损事件的发生，并为下一步计量损失提供依据。
周玮：国家审计署高级审计师，中国银行高级经济师。现任“FRO国际金融风险官”学术委员会副主任、系列教材编译委员会委员，国家外国专家局/中国国际人才交流基金会“金融风险管理国际化人才项目专家”，清华大学五道口金融学院硕士生业界导师，中国人民大学汉青经济与金融高级研究院客座教授、中国人民大学国际学院兼职教授。曾任中国国际金融学会理事会理事，清华大学继续教育学院顾问，中国人才研究会金融人才专业委员会资深顾问，亚洲风险与危机管理协会专业顾问；中国银行国际金融研究所资深研究员，稽核部内控总稽核，风险管理部副总经理；中国银行（香港）有限公司风险管理部副总经理兼信用风险管理改革项目管理委员会主任。
欧晖, 周玮. 统计测量法在商业银行操作风险管理中的运用[J]. 经济理论与经济管理, 2012, 000(004):16-25. ↩︎
