银监局操作风险小组研究报告：在银行业金融机构操作风险管理现状分析与监管建议.doc

ⅩⅩ银监局操作风险小组研究报告在ⅩⅩ银行业金融机构操作风险管理现状分析与监管建议一、在ⅩⅩ金融机构操作风险管理现状分析（一）单个机构操作风险管理水平的横向比较分析自从银监会2005年《关于加大防范操作风险工作力度的通知》、2007年《商业银行操作风险管理指引》、2008年《商业银行操作风险监管资本计量指引》等文件发布后，国内银行业金融机构逐渐将操作风险的管理提上了重要的议事日程，纷纷在原来内控管理的基础上对操作风险的管理进行整合由于中外资银行业金融机构在地域（母行所在地）、理念、经营规模和复杂程度、管理模式、成立时间等方面的不同，其操作风险管理所处的阶段和水平差异很大从中资金融机构来看，大型银行的操作风险管理起步最早，全国性股份制银行随后跟进，而城商行基本上刚刚启动，有的在个别领域进行了探索，非银行金融机构基本没有启动外资银行由于受到境外母行的影响，一些较知名的大型外资银行在ⅩⅩ机构基本建立了较完整的操作风险管理体系，但大部分外资行尚处在体系逐步建设过程中在ⅩⅩ中资法人银行：包括交行、浦发、ⅩⅩ银行和ⅩⅩ农商行交行已建立比较完整的操作风险管理组织架构，董事会下设立了操作风险与反洗钱管理委员会，总行风险管理部下设置了操作风险管理二级部，各业务部门和营运机构设立了操作风险管理岗位，操作风险三道防线齐备，并开发和使用了操作风险管理系统，按照标准法进行操作风险资本计量。

浦发基本搭建起了操作风险管理组织架构，风险管理总部下设置了操作风险与信息科技风险管理二级部，建立了操作风险的三道防线，并运用三大工具（指收集损失数据库LDC、风险与控制自我评估RCSA、关键控制指标KRI，下同）进行操作风险的管理，按标准法进行操作风险资本计量ⅩⅩ银行和ⅩⅩ农商行也基本建立了操作风险管理组织架构，农商行已基本建立起三大工具的管理体系，并采用基本指标法进行操作风险资本计量，ⅩⅩ银行正在积极探索建立操作风险管理的三大工具和操作风险资本的计量办法在ⅩⅩ外资法人银行：包括汇丰中国等20家银行第一类：已构建较完整操作风险管理体系，建立了操作风险管理三道防线，报告路线明确，管理职责清晰，操作风险识别、评估、控制和缓释、监测、报告等方面均已建立较为完备的制度和流程，并已开发和使用操作风险管理系统，典型的有汇丰中国、渣打中国和花旗中国等银行第二类：已构建覆盖全行的操作风险管理体系，建立了操作风险识别、评估、控制、监测和报告的制度和流程，但尚未建立操作风险管理系统，或已建立部分管理系统，但未建立全面的操作风险管理指标监测体系，这部分主要是规模较小或者成立较晚的法人银行大型银行在ⅩⅩ分行：目前5家大型银行在ⅩⅩ分行根据总行的统一安排，都已建立起比较完整的操作风险管理体系，构建了比较完备的操作风险管理框架，建立了操作风险管理的三道防线，实行全面的操作风险识别、评估、控制和缓释、监测和报告的流程管理，并都已开发和使用了操作风险管理系统，其中农行的管理系统还与部分核心系统进行了对接，其总行基本上都已采用标准法来进行操作风险资本计量。

政策性银行和邮储银行在ⅩⅩ分行：4家在ⅩⅩ分行均将操作风险纳入到风险管理范畴，在分行层面均设立了风险管理委员会，将操作风险管理作为风险管理的一个重要方面操作风险管理的牵头部门为风险管理部（邮储银行为风险合规部）目前，国开行和进出口银行均建有独立的操作风险管理系统，其中：国开行有独立的操作风险软件，已经建立了操作风险关键指标监测体系中小银行在ⅩⅩ分行：包括招行、民生、北京、泰隆等23家在ⅩⅩ分行23家分行的操作风险管理处于不同阶段，管理模式多样其中，光大、招商、渤海三家银行总行按照巴III有关要求，建立了独立的操作风险管理系统，并开始在分行全面运行其他分行针对操作风险管理的识别、评估、控制和缓释、监测和报告环节，在一个或多个方面进行了探索和实践，建立了一项或多项良好的管理措施和管理工具个别新设城商行分行操作风险管理体系建设尚未起步，操作风险管理停留在传统的内控管理阶段，操作风险管理制度零散分布于现有内控管理制度文件中外资银行在ⅩⅩ分行：外资分行由于其母行分布于不同的地域，分属不同的国家，各行操作风险管理体系的建设情况差异较大总体上说，大部分外资分行已初步形成了操作风险管理的框架，但操作风险管理体系还不完整。

一些母行比较大的分行已建立操作风险管理系统，一部分外资分行的操作风险管理系统功能比较齐全，如富国银行ⅩⅩ分行但大部分外资分行还没有建立起完整的操作风险管理系统在ⅩⅩ非银行金融机构：包括资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司等33家公司,其中29家为法人机构,4家为非法人机构，这些机构基本上尚未开始操作风险管理体系建设，操作风险管理理念仍停留在传统的内控管理阶段根据其操作风险管理体系建设进度和现阶段采用的模式，可分为两种类型：第一类：已着手建立操作风险管理架构，或者已实施一、两项操作风险管理流程第二类：操作风险管理体系建设完全未起步，操作风险管理停留在传统的内控管理阶段，缺乏正规的操作风险管理架构，操作风险管理制度零散分布于现有内控管理制度中大部分非银行金融机构属于第二类型二）操作风险管理体系各主要环节现状分析操作风险管理的各主要环节在不同的机构间进行比较：1、操作风险管理政策和制度一般来说，操作风险管理政策或策略由总行负责操作风险管理的相关委员会制定，总行操作风险管理的牵头部门负责在政策框架下制定操作风险的相关管理办法和规定，各个业务部门和分行按照政策和制度进行具体的落实和细化，制订条线和区域内的实施细则或管理规定。

从各机构情况看，已经在总行层面制定操作风险管理政策或策略的，主要有5家大型银行、7家全国性股份制银行、3家城商行、ⅩⅩ农商行以及部分大中型的外资银行，相当一部分银行还未制定总行层面的操作风险管理政策或策略目前，大部分银行都已着手建立不同层面或不同领域的操作风险管理办法等规章制度，但相对来说，已建立操作风险管理政策的银行其操作风险管理制度比较齐全，其他机构有的在部分领域或部分条线建立了制度，少量城商行、非银行金融机构还未建立有关操作风险的管理制度2、操作风险管理架构操作风险管理的四个层级操作风险管理一般应有四个层级，分别为决策机构、牵头管理部门、直接责任部门和独立的监督检查部门各家机构采用的模式不同，架构建设进度也不同：（1）最高决策机构4家中资法人银行和20家外资法人银行多数明确由董事会对操作风险管理政策和体系的制定与修订负最终责任4家中资法人银行中，交行成立操作风险与反洗钱管理委员会，其他3家成立风险管理委员会或类似的管理委员会，负责操作风险管理的决策20家外资法人银行中，5家成立专门的操作风险管理委员会，15家成立风险管理委员会或类似的管理委员会大型银行、政策性银行和邮储银行在分行层面都成立相应的管理委员会，其中工行和农行成立专门的操作风险管理委员会；全国性股份制银行、城商行有14家在分行层面成立了风险管理委员会或类似的委员会，其中民生和深发展设有操作风险管理委员会，还有9家尚未成立分行层面的管理委员会。

外资分行少部分成立了操作风险管理委员会，大部分由其他管理委员会或高级管理层作为决策机构；非银行金融机构有21家成立了风险管理委员会或相关管理委员会2）操作风险管理牵头部门在ⅩⅩ银行业金融机构基本上明确了操作风险管理的牵头部门，大部分为风险管理或法律合规部门中资法人银行中，交行在风险管理部下设置操作风险管理二级部，浦发在风险管理总部下设置操作风险与信息科技风险管理部；外资法人银行中，10家银行成立操作风险管理部；异地中小银行在ⅩⅩ分行和非银行金融机构除个别机构外基本不单独设立操作风险管理部，由风险管理或法律合规等部门作为牵头部门3）业务部门和营运机构目前中外资法人银行、大型银行在ⅩⅩ分行、一部分全国性股份制银行在ⅩⅩ分行在业务部门和营运机构设风险管理岗或联系人管理操作风险，一部分全国性股份制银行和外资银行在ⅩⅩ分行、大部分城商行在ⅩⅩ分行以及非银行金融机构还没有在业务部门和营运机构中设立专门的岗位和人员进行操作风险的管理4）审计、监察部门除个别（3家）非银行金融机构外，其他在ⅩⅩ银行业金融机构都设有内审、监察或稽核部门，由这些部门负责对业务部门和营运机构进行审计、监察，这些审计、监察部门对操作风险管理体系的运行有效性进行独立评估和监督问责。

但由于内审的人力资源配置、内审频率和覆盖面的不同，导致不同机构内审监督的作用和效果存在差异操作风险管理的三道防线随着监管部门加强监管和机构董事会以及高级管理层对操作风险管理的重视，在ⅩⅩ银行业金融机构在三道防线上都逐步加强了建设，但差异较大从银行机构来看，名义上三道防线都基本已经建立，但部分城商行和中小外资行的在ⅩⅩ分行三道防线比较薄弱，主要表现在作为第一道防线的业务部门和营运机构，未设操作风险的管理岗和专人，在日常的管理和监测控制上明显有缺失，有的实际上处于空缺状态；作为第二道防线的操作风险管理牵头部门，也有相当一部分银行不设操作风险专岗和专人，由于牵头部门管理的职责过于宽泛，没有专岗专人的银行在操作风险管理上很难做到全面尽职；虽然各行都设立了内审或监察部门作为操作风险管理的第三道防线，但种种原因导致此防线的职能弱化如一些分行是由总行派驻审计的部门和人员，总行对分行的审计频率和覆盖面有限，一些分行监察人员配备不足，监察工作深度和广度不够，无法充分发挥独立的评估和监督作用从非银行金融机构来看，三道防线基本上还没完全建立由于绝大多数机构在业务部门和营运机构没有设立风险管理的专岗或专人，牵头管理部门也基本上不设操作风险专岗或专人，还有3家机构没有设立内审部门，构建三道防线还任重道远。

3、操作风险管理系统分为四种情形：（1）已建立较完备的操作风险管理系统已经建立和使用比较完备的操作风险管理系统进行全面的操作风险管理，风险管理层级和三道防线齐备，报告路线明确，管理职责清晰，使用三大工具对操作风险进行电子化、系统化的日常管理，这部分银行主要包括交总行、汇丰、渣打、花旗、大型银行和国开行在ⅩⅩ分行2）已开发或正在开发操作风险管理系统这些银行原有的内控和合规管理体系建设比较完备，覆盖了操作风险的识别、评估、控制和缓释、监测和报告程序，基本能满足操作风险的管理要求其中部分银行已经开发了独立的操作风险管理系统，但系统仍在不断优化，有的银行正在开发建设中这部分银行包括浦发总行、进出口银行、招行、光大、渤海、华夏、泰隆等在ⅩⅩ分行、大部分中型外资法人行和一部分在ⅩⅩ外资分行3）在部分业务条线或领域实施了操作风险管理总行和分行尚未建立全面、完整的操作风险管理体系，但建立了部分业务条线或部分领域的操作风险管理系统这类银行包括全国性股份制银行的大部分在ⅩⅩ分行、部分城商行和外资银行分行4）操作风险管理刚刚起步部分机构由于规模较小、人财物等条件比较薄弱，操作风险管理系统建设仍未启动或尚在规划中。

少部分城商行在ⅩⅩ分行以及大部分非银行金融机构属于这一类型4、操作风险的报告路线随着各行对操作风险管理认识的提高和管理框架的建设，大部分机构对操作风险的报告路线采用双线原则，即各基层经营网点发生的操作风险损失事件及操作风险管理工作在向上一级机构业务条线汇报的同时，还将情况报告上一级机构的操作风险管理牵头部门设立操作风险（内控）管理委员会的分行，操作风险管理牵头部门在向分行管理委员会报告的同时，向总行操作风险管理牵头部门报告；没有设操作风险（内控）管理委员会的分行，操作风险管理牵头部门在向分行行领导报告的同时，向总行牵头部门报告5、操作风险的管理流程操作风险管理流程包括操作风险的识别、评估、控制和缓释、监测、报告建立独立的操作风险管理系统的机构，运用系统全面进行操作风险的流程管理，部分未建立操作风险管理系统的机构，也通过手工方法进行。