金融机构操作风险定义比较与评价

曲绍强 张启全

一、前 言

2004年6月，巴塞尔银行监管委员会颁布了《统一资本计量和资本标准的国际协议：修订框架》（以下简称新协议）。新协议定义操作风险是由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险，包含法律风险，但不包括策略风险和声誉风险。2007年5月14日，中国银监会颁布了《商业银行操作风险管理指引》。《指引》中明确指出，操作风险是由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风险，包括法律风险，但不包括策略风险和声誉风险。同时在《指引》中还制定了相关条款，用于指导我国银行业机构提高识别、控制操作风险的能力和风险管理水平。上述文件的颁布，表明银行业面临的操作风险已引起了业界的高度重视。特别是近几年国内一系列的操作风险大案、要案明白无误地警示我们，国内银行业面临的操作风险形势十分严峻，我们必须认真对待，加强对操作风险的研究。

我们知道，现代银行经营表现上是货币，但本质上是风险，银行就是一部“风险机器”，它承担风险，转化风险，并且还将风险植入其金融产品和服务中再加工风险。我们只有有效地驾驭风险，商业银行才能取得真正意义上的发展，否则就将被风险吞食。《孙子兵法》有云“知己知彼，百战不殆!”根据国际银行业的风险管理实践：有效的风险管理基于精确的风险认识，因此，对操作风险进行准确合理的界定将是建立我国商业银行操作风险管理框架的前提和基础。但由于操作风险性质复杂、诱发因素多、覆盖范围广、与具体业务和机构组织架构密切相关等原因，在巴塞尔银行监管委员会给出定义之前，许多学者、国际银行和监管机构对操作风险的界定按照自己的理解进行了相关研究，表述了自己对操作风险的看法和定义，本文利用已有的资料对各种关于操作风险的界定进行了梳理，并对各种定义进行了归类与评价，以图对我国的操作风险管理提供有益帮助。

二、国内外对操作风险界定的几种观点

澳大利亚国家银行资本管理部主任克里斯·马滕（Chris Matten）给出的操作风险的定义为“因为市场或金融公司的经营机制或模型失调或者遭受破坏而导致损失的风险。”他的观点认为，损失在这里的定义应更为广泛——它不仅包括直接费用，还包括放弃的收入和一些间接费用。同时，他将操作风险进一步细分为事件风险（由于某个操作事件，例如计算机错误、人为失误或者地震，造成业务中断、错误支付等，进而导致损失的风险）和业务风险（在选择业务或采取某项特定业务的管理方法时，由于战略性的失误而导致损失的风险）。

全球衍生产品研究小组（Global Derivatives Study Group,1993）认为“操作风险是指由于控制和系统的不完善、人为的错误或管理不当所导致的损失的风险。”此定义从人员、系统和操作流程三个方面对操作风险进行了界定，并且把管理作为防止操作风险的决定性因素。

JP Morgan也对操作风险进行了深入研究，认为操作风险是各公司业务和支持活动中内生的一种风险，这类风险表现为各种形式的错误、中断或停滞，可能导致财务损失或给公司带来其他方面的损害。

1998年5月，IBM（英国）发起设立了第一个行业先进管理思想论坛——操作风险论坛。在该论坛的第一次会议上，一个由主要银行构成的小组为了达到以下目标——反映操作风险经济资本金、公开透明的计算过程、通过管理能对运营所需资本金产生影响，在该次论坛上提出了一个务实的定义方法，并提出了相应可采取的措施：研究出测度操作风险的方法；建立风险测算及报告反馈基础体系；将操作风险纳入经济资本报告。从上述表述来看，他们的观点意使操作风险定义与管理层能够接受的时间表相吻合。尽管它没有涵盖操作风险的所有内容，却可能成为被广泛接受的定义，因此引起了人们的关注。

操作风险论坛给出的定义是：操作风险是遭受潜在经济损失的可能。损失可能来自于内部或外部事件、宏观趋势以及不能为公司决策机构和内部控制体系、信息系统、行政机构组织、道德准则或其它主要控制手段和标准所洞悉并阻止的变动。它不包括已经存在的其它的风险种类如市场、信用及决策风险。

华宝证券（Warburg Dillon Read）的操作风险总裁彼得·斯赖特（Peter Slater）在1998年12月于伦敦召开的操作风险研讨会上阐述了他所在银行在这方面的尝试。根据他的定义，操作风险是遭受由于人为的、系统的错误而引起的内部控制缺乏，或信息系统信息不足所导致的不可预见的损失的风险。该银行具体将操作风险细分为：信贷与清算、市场、业务运营、筹资、法律事务、IT、税收、暴力与犯罪和制度执行。根据这一定义，操作风险大多被定位于后台管理部门。

国际著名的瑞士信贷集团（Credit Suisse Group,CSG）对操作风险的定义是“操作风险指由于以不当或不足的方式操作业务而对业务带来负面影响的风险，操作风险也可能是由外部因素导致的”。

还有学者认为“操作风险是指由于企业在提供产品或服务的过程中的失误而带来的损失不确定性”（Jack King，1999）。雷考克（Laycock）则将操作风险定义为“操作风险是指由于顾客、不足的内部控制、系统或控制失败以及不可控制的事件所引致的收入或现金流的波动”。瑞士银行的两位研究者恩诺·库纳特和拉薇妮亚·斯塔布斯（2003）将操作风险称为“间接风险”，并将其定义为“银行没有积极介入，但作为银行业务行为的后果而使银行面临的风险”。

另外还有以下定义：

操作风险是指信贷和市场风险之外的一切事务风险。

操作风险是与经营部门有关的风险。

操作风险是信息系统不足或内部失控而造成意外损失的风险。这种风险与人类的错误、系统上的失败及程序或控制不当有关。

操作风险是直接或间接损失风险，它由过程、人员及系统的不当或失败或由外部事件所造成。

当然，也有一些学者对操作风险的独立性持怀疑态度，认为将操作风险单列出来没有必要。比如杰克·帕日（Jacques Pezier）就认为“把操作风险与和它相关联的其他风险割裂开来进行评估不具有太大的意义”。对于是否要为操作风险单独分配准备金，帕日的观点是“只要（三种风险）不存在重复计算，对资本要求的计算都是无关紧要的”。布鲁金克和蒂拉特也表示了类似的意见。例如对于提取准备的问题，根据国际会计准则37条，只有能够根据过去事件可靠估计现有负债的时候，才实行操作损失的特定准备。

在这里有三个定义比较有代表性，它们分别是英国银行家协会的定义、全球风险专业人员协会（GARP）定义以及巴塞尔银行监督委员会的定义。

英国银行家协会是从银行对操作风险进行有效管理的角度来对操作风险进行界定的。它根据人的因素、流程、系统和外部事件等操作风险产生的四个主要来源对操作风险进行了定义：源于内部程序不完善、系统故障或是外部事件所引发的损失的风险。同时认为应包含文件和法律两个方面的风险，而不应包含声誉风险。

GARP对操作风险的界定是建立在对很多类型企业（包括银行）的操作风险进行总结分析的基础上。它认为操作风险是与业务操作相联系的风险，可分为两部分：操作失败风险和操作战略风险。操作失败风险来自于操作业务过程中发生失败的可能性，是指由人、流程或技术失败导致的存在于业务单位内部的风险。其影响或损失可以分成期望量、严重的未预期量和灾难性未预期量。公司可为这些预期损失通过留存收入来提供充足的准备金，还应该提取充足的经济资本以覆盖严重的未预期损失部分。操作战略风险来源于一些环境因素，它还会来自于一个大的新战略。所有业务都要依赖于其业务之外的人、流程和技术，这里面同样存在失败的可能性。因而这类风险又被称为外部依赖。总结起来，操作风险可能会源于人、流程或技术的失败和外部依赖因素。具体又可细分为以下内容：控制性风险、流程风险、名誉风险、人力资源风险、法律风险、收购风险、营销风险、系统实效风险、技术风险、税收变更风险、监管变更风险、营运能力风险、安全性风险、项目风险、供应商风险、自然灾害风险和人为灾害风险等。GARP认为操作风险不仅仅存在于金融机构，同样存在于其他行业。

巴塞尔银行监管委员会对操作风险的界定是在不断认识的基础上逐渐形成的。在其1997年9月公布的《有效银行监管的核心原则》中，将银行业面临的主要风险归纳为8个，即信用风险、国家和转移风险、市场风险、利率风险、流动性风险、操作风险、法律风险和声誉风险。在1999年《新巴塞尔资本协议》的初稿中，形成了市场风险、信用风险、操作风险三足鼎立的基本框架。在《新巴赛尔资本协议》2003年4月公布的征求意见稿（第三稿）中，商业银行操作风险被定义为“操作风险是指由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险。”该定义包括法律风险（The Legal Risk），但不包括策略风险和声誉风险（The Strategic and Reputation Risk），并在2004年6月颁布的新资本协议中将其明确下来。显然，这是一种直接的定义方式，它列出了引发操作风险的四种类型原因（内部程序、人员、系统或外部事件），旨在界定出总体上引发操作风险的内部因素和外部因素，将操作风险与其它风险界定开来。作为国际银行业的监管机构，巴塞尔银行侧重于从操作风险的监管角度来对操作风险进行界定。

作为我国的银行监管机构，2007年中国银监会在《商业银行操作风险管理指引》中给出的定义是“操作风险是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风险。本定义所指操作风险包括法律风险，但不包括策略风险和声誉风险。”该定义基本上采纳了巴塞尔委员会的定义，没有引入新的含义。

三、对上述各种定义的评价

从以上所述的各种定义可以看出，由于人们认识的角度不同，因而给出的定义有所不同，但基本上存在三种观点。

第一种观点的外延非常广泛，它认为除信用风险和市场风险之外的所有风险都是操作风险。这是一种间接定义方法，意在考虑银行所遭受的所有风险。笔者认为这是一种静态的定义方法，它在某种意义上认为银行只面临有信用风险、市场风险和操作风险三种风险，而不会再有其它风险了，这显然不符合经济发展态势，因为随着形势的发展，商业银行还会遇到新的不确定性问题，面临新的风险。另一方面这种定义也暗示着对于市场风险和信用风险的定义已经充分明确，以至于可以将这两种风险与操作风险完全区分开来，但实际上由于导致风险的各种直接因素和间接因素很多，明确的区分是无法实现的。最后，这种“一揽子”式的定义也显得过于宽泛了，因为凭借这样一种定义很难识别所有的操作风险，特别是操作风险的计量将变得十分困难。

第二种观点是从最狭义的角度进行定义，认为操作风险就是经营过程中出现的风险，包括后勤部门问题、交易过程和系统的失灵、交易过程和系统中技术的故障及技术崩溃。显然，这种定义只局限于经营过程中，只能体现操作风险的一部分，没有包括诸如内部欺诈、不适当销售或模型风险等其它一些重要风险，此种定义方法往往会因不能涵盖所有操作风险而使银行遭受一些意想不到的损失。因此，此种定义对于我们进行操作风险管理的帮助意义不大，在操作风险研究中现已不予采纳。

第三种观点介入前两种观点之间，它即考虑了定义的广泛性问题，又考虑了操作风险管理的可行性问题，基本上从引发操作风险的起因出发来进行定义。虽然此种观点没有覆盖商业银行所面临的所有操作风险，例如没有包括策略风险和声誉风险，一个可能的原因就是策略风险和声誉风险难以量化。这也是该种招致批评的一个重要原因。但根据此种观点，易于银行对操作风险进行管理，现已被金融界所广泛接受。典型的巴塞尔委员会定义和我国银监会定义。

四、建议采用的操作风险定义

虽然我国现阶段商业银行的经营与国际惯例有较大差别，但随着金融全球化的发展，我国商业银行不可避免的要与国际惯例接轨。目前，越来越多的国家采用巴塞尔委员会的监管标准，巴塞尔委员会的操作风险定义基本上已成为国际上通行的操作风险定义。因此，为了避免短期效应，使我国商业银行得到长期稳定的发展，笔者建议采纳巴塞尔银行监管员会的定义（我国银监会也正是采纳此定义）。当然，在采纳该定义的同时，可根据我国的实际情况，基于便于观测、监控和管理的原则，在操作风险分类方面体现我国的特色。

［1］巴塞尔.新资本协议最终定稿于.2006.6.http://www.bis.org

［2］克里斯·马滕.银行资本管理（第二版）.机械工业出版社.2004.1.1.180

［3］马克·洛尔、列夫·博罗多夫斯基.金融风险管理手册.2002.11.365～367

［4］张吉光：商业银行操作风险识别与管理，中国人民大学出版社.2005.9.8

［5］汉斯·乌里希·德瑞克：金融服务运营风险管理手册，中信出版社.2004.6（1）.32～33

［6］马克·洛尔、列夫·博罗多夫斯基.金融风险管理手册.机械工业出版社.2002.11.363

［7］樊欣、杨晓光.操作风险管理的方法与现状.证券市场导报.2003.6

［8］Carol Alexander.商业银行操作风险.陈林龙翻译.中国金融出版社.2005（1）.57～59

［9］波特·布鲁金克、艾利斯·蒂拉特.风险进入真实世界——新的资本充足率框架与操作风险度量.浙江金融.2001（5）.47～48

［10］Robert Hubner.金融机构操作风险新论.李雪莲等译.南开大学出版社.2005.1（1）.360