基于COSO（2017）新框架的我国商业银行风险管理模式构建

高菁敏 李曼

【摘要】  文章通过研究COSO（2017）《风险管理——与战略和绩效的整合》，分析、比较新框架的五大要素和二十项原则，参照新框架对企业的要求和重点关注事项，提出商业银行風险管理模式的构建。

【关键词】   风险管理;商业银行;模式构建

【中图分类号】  F275  【文献标识码】  A  【文章编号】  1002-5812（2019）06-0041-03

一、研究背景

随着我国金融体制进入深化改革阶段，各种金融风险不断地涌现、积聚，而商业银行作为金融市场的主体，不可避免地受到来自各方面风险的威胁，除去宏观经济政策的变动和行业竞争等带来的影响，对商业银行而言最主要的风险便是信用风险、市场风险、利率风险、操作风险等。党的十九大报告提出“健全金融监管体系，守住不发生系统性金融风险的底线”的要求，我国商业银行应该全力防范金融风险，着重提高风险管理能力，并建立全面的风险管理体系。2017年COSO发布的《企业风险管理框架——与战略和绩效的整合》改进完善了原有框架的不足，并在2004年框架的基础上提出了新的要求和方法。本文从COSO（2017）新框架出发，研究企业风险管理框架的变动对我国商业银行现行风险管理体系的影响，在此基础之上构建商业银行新的风险管理模式。

二、我国商业银行风险管理现状

我国商业银行逐步进入全面风险管理阶段，但风险管理模式仍以事后管理为主，缺少风险预警机制和风险防范体系，使商业银行处于被动地位。银行风险管理部门未得到足够重视，内部组织结构不能很好配合风险管理的展开，风险管理技术相较国外成熟的风险量化管理有一定的滞后，商业银行专业化的风险管理人才也相对缺乏。

（一）忽视内部风险

我国金融业多项对外开放相关政策不断出台，银行业大幅放宽市场准入的要求，为外资银行进入我国市场提供了广阔的平台，同时也使得我国的银行业面临了更多的跨境资金流动性风险，承受的竞争压力不断增加。在这样复杂多变的金融形势下，全面风险管理成为了我国商业银行风险管理的发展趋势。银行从偏重对资产负债业务的发展向全方面、多元化发展的转变也要求了传统的风险管理模式向全面风险管理模式演进。梁宝宝（2016）认为在银行的内控中，风险管理是极为重要的一环，且行为模式和风险观念都是由风险管理文化所决定的。但目前我国商业银行全面风险管理理念还比较滞后，风险管理文化底蕴不足。虽然银行对外部风险有较高的认识，但对内部风险如战略风险、绩效风险等还没有高度的防范意识。

（二）风险管理岗位形同虚设

徐强（2016）指出虽然我国很多商业银行都成立了风险管理部门，但是并未设置垂直领导相关业务部门的风险管理岗位，使得总行风险管理部门形同虚设。吴锦栋（2010）认为我国商业银行过于关注微观管理，缺乏从整体上对银行经营风险的控制和管理，风险管理委员会并不能有效地发挥真正的指导和决策职能，同时风险管理层次不明晰。这表明我国商业银行还未形成真正意义上能够独立管理风险的部门，高层管理者权力集中，各部门权力分配不合理，导致银行全面风险管理不能有效开展。

（三）未真正掌握风险量化技术

郭保民（2011）指出我国商业银行风险量化管理发展滞后，许多高级模型尚处于引入阶段，谈不上熟悉和普遍应用。其原因是我国商业银行在此方面习惯于定性方法，定量技术运用相对较少。栾小华（2006）认为相对于国外较成熟的风险量化模型，我国尚处于萌芽阶段，支持该模型建立的数据库也大多不完善。

我国商业银行还未真正掌握风险量化技术，风险管理人员对模型的应用能力也有待加强，构建综合、全方面的交易和风险信息数据库也是重中之重。

（四）风险管理人才储备不足

匡慧慧（2018）认为参与风险管理的工作人员往往专业素质较低，不具备专业的风险管理理论和优秀的风险计量技术，银行的风险管理队伍不具备专业化职业化的特征。缪锦春（2017）强调银行应加强对员工的业务培训，促进全员提升营销和风险管理能力，让每位风险参与人员都拥有丰富的风险识别和应对技能。徐强（2016）认为人力资本的储备是全面风险管理实施的保障。国内商业银行目前的人员素质无法与全面风险管理体系有效融合，银行应加强对风险管理人员的培训，打造专业化与高素质的团队。我国商业银行目前还缺乏精通风险管理理论和风险计量技术的专业化人才，风险管理人员的素质与风险管理系统的契合度不够，无法与全面风险管理体系配合发挥出最大的优势。

三、COSO（2017）新框架的变化及其对商业银行的影响

（一）COSO（2017）新框架的变化

新框架第一要素由原来的内部环境变为治理与文化，强调了公司的治理结构和文化氛围对于风险管理的重要性，要求董事会通过对风险的监督来支持管理层实现战略和业务目标，要求组织构建合适的经营结构来保障自身经营目标的实现，定义符合期望的行动体现自身文化氛围，新框架也表示组织应该保证核心价值观的实现，承诺按照组织的发展方向构建人力资本，吸引、开发并留住优秀个体。

第二个要素由原来的目标设定变为战略与目标设定，增添了对战略的考量。新框架开始关注企业在战略制定中存在的风险，强调组织分析经营过程中的业务环境，关注业务环境对风险图谱存在的潜在影响，要求组织在创造、实现其价值时确定其对风险的态度和偏好，评估可供选择的战略中的风险，考虑不同层次的业务目标中存在的风险。

第三个要素绩效包含了原框架中对风险的识别、评估和应对，并在此基础之上提出了区分风险优先次序和建立风险组合观的新概念，新框架建议组织在将风险进行排序的前提下执行风险反应，用组合、整体的观点去评价风险。

新框架的第四个要素认为组织应该识别和评估可能对组织实现战略目标有重大影响的风险，审阅自身的绩效并考虑风险，不断追求风险管理的改进。

第五个要素是信息沟通与报告，与原框架相比，新框架增加了组织应该升级信息系统的建议，并利用信息技术支持企业的风险管理，新框架也表示组织可以通过沟通渠道传达和沟通风险信息，同时要求组织在整体的不同层次中对风险、文化和绩效进行报告。

（二）新框架对商业银行风险管理的影响

COSO（2017）新框架强调了风险治理与文化，表示组织的治理结构应该服务于战略目标的实现，在新框架的指导下，银行为了更好地开展风险管理，实现组织目标，内部的组织架构将要受到影响。新框架也提及了科学技术和数据分析手段，这将促使银行升级信息系统，尽快运用先进的风险管理技术。关注绩效中的风险也是新框架的重点之一，银行在绩效考核方面也因此会受到影响。

1.对银行组织架构的影响。COSO（2017）强调了加强董事会对风险的监督，建立运营结构。这表明新框架进一步要求董事会的独立性，促使银行加快改变董事会人员和管理层人员高度重合的局面，提高外部董事的比例和加强独立董事的责任，保证董事会更有效地对风险进行监督。同时，新框架促使银行加快调整组织结构，合理划分各职能部门，明确职责权限，使新形成的運营结构服务并指导银行日常经营活动。

2.对银行信息系统的影响。信息来源于企业内部或外部，通过对信息的全面收集，企业能随时掌握市场、行业、竞争对手的动态，及时对重大变化做出反应。新框架在第五要素中提出升级企业信息系统，促使银行加快对各管理信息系统的更新升级，并完善数据库，使高层管理者及时准确了解重要信息。

3.对银行风险管理技术的影响。目前银行风险管理大多采用定性的方法，COSO（2017）中涵盖了数据分析手段，进一步要求银行完善数据库，运用定性与定量结合的方法，在庞大数据库的支撑下采用风险量化模型，促进银行加快改进风险管理技术。

4.对银行绩效的影响。新框架优化了企业绩效和风险管理之间的关系，有效的风险管理能够提升企业的绩效，增加组织的价值。另外，新框架强调企业关注绩效中的风险，这将影响银行绩效考核制度、员工激励制度的建立，促进银行不断完善薪酬激励制度，不断追求绩效考核的公平公正，激发员工的积极性。

四、基于新框架的商业银行风险管理模式

我国商业银行风险管理许多方面还存在问题，根据新框架的指导，本文按下图的思维模式，构建新的银行风险管理模式。

（一）树立正确的风险管理理念

摆在商业银行风险管理工作第一位的是树立科学的风险管理理念。新框架强调战略的重要性，这要求银行树立战略导向意识，关注战略制定中存在的风险，不盲目经营背离银行发展方向的业务。新框架同时提出风险组合观，即银行不能孤立地看待风险，而是应该采用整体的、组合的观点看待风险，特别是在银行已经步入全面风险管理阶段的情况下，仅仅对局部风险进行评估很可能会忽略威胁组织实现宏观战略的风险。正确的风险管理理念还应包含适当的企业文化。COSO（2017）要求企业定义期望的组织文化，表明银行应该注重对风险文化的培养，形成符合自身战略发展的文化氛围，成为银行风险管理的软实力。

对绩效风险的管理也是企业风险管理应该关注的重点。新框架强调企业应该重视绩效中的风险，对此，银行应该制定恰当的绩效计划，使之符合银行的发展战略，保证战略目标层层分解到员工;员工应该在个人绩效和组织绩效中找到平衡，避免过于追求个人绩效而忽略整体目标;银行也应该在绩效考核方面保持公平公正，各项考核指标应该体现银行对员工行为的引导，同时，银行的绩效应与员工的薪酬制度、激励制度等挂钩，进一步提高员工的积极性。

此外，风险管理的理念和意识应该渗透到银行管理的方方面面，银行内部每个层级的人都对风险管理负有相应的责任从而实现“全员”管理。

（二）构建合适的组织架构

目前大多数商业银行风险管理部门没有有效发挥其职能，岗位形同虚设，这要求银行建立合适的治理结构，从结构上更好地保障风险管理的实施。董事会成员的丰富经验可以为银行风险管理提供一种更高层次上的风险管理战略视角，为风险管理提供战略指导和建议。银行可以在董事会下设风险管理委员会，垂直领导相关业务部门，同时，风险管理委员会对董事会负责，将具体风险管理任务下达给各业务部门执行并定期向董事会汇报风险管理工作进展。同时，银行应注重提高风险管理部门的独立性，建立现代意义上能够真正独立、有权威性、能组织开展风险管理工作的风险管理部门。

（三）建立科学的信息系统

COSO（2017）第18个原则要求组织利用主体的信息和技术系统来支持企业的风险管理，因此，银行应该升级其信息系统，建立科学的数据处理系统、管理信息系统和决策支持系统，使银行在大数据环境下能有效利用信息。银行还可以利用信息系统记录和处理风险数据，同时利用信息技术分析风险的特征和概率等形成风险图谱，为管理层执行风险反应提供技术上的支持。同时，银行应该建立完备的数据库，储存、整合历史数据，与升级的信息系统形成匹配，为风险管理量化模型的构建提供数据上的支撑。

（四）采用先进的风险管理技术

COSO新框架建议商业银行将定量分析和定性分析相结合。我国商业银行可采用风险量化模型如VaR（Value at Risk）模型来计量市场风险的大小，在一定的概率水平下，用公式计算出金融产品投资组合的价值在未来特定时间内最大可能损失。VaR模型可以事前衡量风险，改变我国大多数企业风险管理模式仍以事后管理为主的现状，可以避免银行处于被动承受风险的局面。因为风险的不确定性，为了估算其发生的概率，商业银行还可采用模糊数学模型，对可能出现的风险进行模糊综合评价来定量分析。定性分析与定量分析相结合可采用情景分析法，银行假定某种情况在未来发生，预测可能出现的情况和后果，在一定程度上能提高银行的适应能力，处理未来不确定性因素的能力。

（五）培养专业化的风险管理人才

银行风险管理部门在进行外部招聘时应该优先考虑具有统计学、高等数学、风险管理等专业知识背景的人才，并按照新框架第五个原则的要求，吸引、开发并留住优秀个体，从而提高整个风险管理团队的专业素质。银行在对内部人员进行培训时，可以鼓励员工参加金融风险管理师（Financial Risk Manager，FRM）的考试，通过培训和考试使员工更好地了解银行风险管理的流程，更好地掌握金融风险管理的各种技术和方法，灵活运用风险量化模型来为组织提供服务、创造价值。

COSO（2017）對风险管理的新定义中认为风险管理是一种文化、能力和实践，所以银行应该鼓励员工积极参与风险管理的实践活动，鼓励员工参与风险管理的每个环节，从实践中培养风险管理的能力。

（六）定义期望的组织文化

企业文化反映了企业的核心价值观和精神，不同的文化也会使企业对待风险持有不同的态度。2017版的风险管理框架更加重视文化在风险管理中的地位，意味着银行应高度关注自身文化氛围，建立一个符合自身经营战略和目标的文化环境。

银行的文化建设中应该注重建立具有风险意识的企业文化，将风险意识和对风险的敏感性渗透到每个员工，同时银行应该培养符合自身风险偏好和战略发展的风险文化。

战略导向意识也是银行在构建企业文化时应该具备的。新框架强调战略制定中的风险，因此，银行在构建需要与银行经营目标相适应的企业文化时，应该考虑战略在文化中起到的主导作用。

综上所述， COSO（2017）新框架作为指导企业实施风险管理的国际权威框架，对银行无论从其组织架构、战略制定、风险管理技术等方面都产生了重大影响。原有的风险管理体系和流程在不适应当前经济形势的情况下，银行应该及时调整，参考COSO新风险管理框架，完成对风险管理的变革。J

【主要参考文献】

[1] 梁宝宝.我国商业银行风险管理研究[J].合作经济与科技，2016，（1）：57-58.

[2] 高雨萌.保险公司全面风险管理体系的构建[J].商业会计，2016，（10）：57-60.

[3] 吴锦栋.我国商业银行全面风险管理研究[J].时代金融，2010，（4）：71-73.

[4] 郭保民.论商业银行全面风险管理的构建[J].中南财经政法大学学报，2011，（3）.

[5] 栾小华.现代商业银行风险管理技术发展及我国商业银行的对策[J].世界经济情况，2006，（16）：12-14.

[6] 匡慧慧.商业银行全面风险管理的现状及分析[J].商业经济，2017，（4）：47-48

[7] 锦春.商业银行新型全面风险管理理念探究和导入思路建议[J].湖南人文科技学院学报，2017，（3）：36-42.

[8] 余玮.基于FRM认证的金融风险管理人才培养[J].教育教学论坛，2018，（3）：45-46.

[9] 杜慧敏.企业绩效管理风险研究[D].中国石油大学（华东），2008.