風險映射與商業銀行操作風險控制

風險映射與操作風險的識別

操作風險的識別過程實際上就是對金融機構業務活動的各個階段進行風險映射（risk

mapping），從而識別操作過程中的關鍵風險因素。風險映射作為操作風險管理的基礎，它與市場風險和信用風險不同，它無法針對具體的產品。如果我們不對交易全過程有一個深入的理解，就無法對交易活動的操作風險進行分析。僅以業務單位為基礎分析操作風險也是不夠的，因為在實際業務活動中，過程某一環節的失敗可能導致其他環節的失敗，并會使不同的業務單位由于它們介入了同樣的業務過程而同時產生損失。風險映射方法的設計要求它能夠識別和包含所有相關的風險，這樣可以使金融機構在分析操作失敗的原因的同時，能夠把產生的財務損失后果連結到問題源頭的組織。這是商業銀行對操作風險進行透明化衡量和報告、對與商業銀行風險偏好不相符合的風險暴露進行預測和采取行動的關鍵。

如圖1所示，風險映射是這樣一種系統方法，它能夠提煉出針對特定任務的關于過程失敗的相關信息，同時它也能夠提煉多維的風險衡量與管理的指示信息。風險映射的核心通常是圍繞“會出什么錯”這個問題來展開。這一問題只能在對特定業務過程進行全面分析的基礎上才能進行回答。

風險映射對于操作風險管理具有重要的意義。第一，通過風險映射過程可以使我們對特定操作風險事件的成因和后果有一個深入的理解：具體是什么資源失敗了（人、過程或系統）；問題產生于組織中的哪一部分，組織的其他部分會受到什么影響；這一問題的后果是什么（包括財務及其他后果）。第二，可以通過風險映射活動建立操作風險數據庫，或至少是可量化的信息，并用于衡量和管理操作風險：運用統計方法對操作風險的概率和損失后果進行直觀的衡量；按照每一個風險的相對重要性，設計關鍵控制活動，配置相應的資源；識別和計算關鍵風險指標（key

risk indicator，簡稱KRI），以便預測風險暴露的變化，對可能產生的問題作出迅捷的反應。

風險映射方法與步驟

在介紹操作風險控制中的風險映射方法之前，我們有必要明確三點：（1）操作風險的導因同時也是金融機構每項活動支配的關鍵資源：人、過程、技術及外部因素；（2）當這些資源被不恰當的應用于執行某項任務時，就有可能會產生操作性失敗，這可能是由于資源的質量和數量（規模和容量）不充分，或在關鍵階段不能得到滿足；（3）有效的關鍵風險指標體系應當能夠衡量和預測上述資源支配的問題，并指導風險管理者設計關鍵控制行為來解決這些問題。

風險映射方法揭示了作為操作風險導因的關鍵資源的核心功能，反映了關鍵資源的失效與操作風險事件和損失之間的關系，同時它強調關鍵風險指標應能夠對關鍵資源失效的程度或概率進行直接的衡量，如圖2

所示。

操作風險的映射方法包括如下六個步驟：

識別關鍵活動（過程映射）。這個步驟將會對每一個過程會實施什么業務活動、由哪些部門參與、如何實施等有一個清晰的描繪。這種描繪會使風險管理者專注于檢查業務過程，而不至于迷失于組織結構或內部政策。關于過程映射的程度，可以由概括性組織過程透視，過渡到最小工作單位的微小細節，通常采用由高層到低層逐步推進的辦法，這樣便于風險管理者識別操作過程的關鍵元素、潛在缺陷和非效率性。

過程映射還將提供業務過程的組織背景的信息。通過過程映射，風險管理者可以對業務過程的所有步驟、實施這些步驟的組織的功能、過程的依賴性、步驟實施的順序等有一個清晰的認識。與數據圖表不同的是，過程映射揭示了實施業務的組織單位以及實施業務時相關信息在組織間的轉移過程。

過程映射“圖表”還會提供詳細的任務操作指南。例如，一個子過程可以伴隨一些詳細的文件材料，準確地描述執行任務的各相關部門的工作步驟和具體操作指南。這些詳細的操作指南還包括什么部門或個人“擁有”這個過程、這個過程的投入和產出、依賴程度等內容。它不僅是一份完整的操作系統文件，也可以用來作為培訓的基礎資料。

風險導因分析。人、程序、系統及外部因素會對不同的業務活動產生不同的影響。業務管理者可以用來執行其組織職責的主要工具，實際上也就是操作風險的內部導因：人、系統及相關設施。這是業務管理者應當承擔管理操作風險的主要職責的根本原因。對業務活動的每一個因素的關聯性和功能進行分析，可以使我們理解配置于業務活動的資源如何產生問題、在什么條件下產生問題、為什么會失效。

風險因素分析（數量、質量、關鍵性等）。在每一個業務活動中，同樣的資源會以不同的形式產生問題，這主要取決于所執行任務的性質、特有風險和控制環境等。例如，對某些后臺業務活動，業務規模大小可能是操作風險的主要因素；而對于交易前臺而言，對核心工作人員的依賴性，可能是其關鍵的操作風險因素。

識別風險。在分析操作風險因素的基礎上，下一步要回答的是“會發生什么問題”。應當保證識別風險的過程中不遺漏任何一個風險。在對所有的風險進行識別和評價之后，在風險映射方法的后續階段，風險管理者可以決定忽略其中某些風險。但是在識別風險的階段，所有的風險都應當考慮進去。無論采用什么識別和評價方法，都應當做好書面記載并存檔。

識別和分析損失。這一步驟無論是對于將來的操作風險事件分類和統計分析，還是對事前的風險暴露和相應控制行動來說，都是至關重要的一步。盡管在剛開始時，由于缺少可靠的歷史損失數據庫，對操作損失的識別和分析可能會主要依賴于專家判斷，但是風險管理者應當根據實際發生的操作事件，對操作損失估算結果進行及時的更新。操作損失數據庫中包含的一些信息可以用于開發對操作風險的情景分析，并充實有限的內部數據。另外，一個可靠的識別和評價操作損失的過程應當考慮操作風險和控制環境的變化，并對其進行量化估算。

識別和分析關鍵風險指標（KRI）。在上述風險映射的五個步驟的基礎上即在識別和分析操作風險的導因、風險因素、潛在損失并其按照可預測程度進行排序的基礎上，我們可以識別操作風險的關鍵風險指標。關鍵風險指標的選擇應當具有如下特性：（1）相關性，指標應當與操作失敗的頻率及損失的嚴重程度具有很強的相關關系；（2）非多余性，即如果有兩個指標具有極強的相關關系，則只選擇考慮其中一個；（3）可測性，即風險指標應當是盡可能的客觀、獨立、可量化、可證實；（4）便于監控和稽查，即對指標的追蹤應當不至于太繁瑣、費用過大，風險指標及其來源于應當說予以恰當的記載，便于將來的核查。

風險映射方法的具體應用

為了便于對上述關于風險映射方法和步驟的理解，這里列舉兩個商業銀行的具體業務，進行一些針對性的分析，一是以前臺部門為主的交易談判，另一個是以后臺部門為主的貸款合同的款項支付。

風險映射方法在交易談判環節中的應用

表1對風險映射方法在業務談判與達成交易階段的應用進行了概述。在該例中，關于“人”的維度的操作風險可能是最相關的風險導因，因為這種業務活動即使有很好的技術支持，也還是需要大量人員參與的，而且人員失誤的潛在后果就表現為操作風險。這種業務活動的操作風險與人高度相關的另一個原因是這個行業“贏者通吃”的特性。極少數頂級交易或業務人員，在他們手里集中著最多的業務和客戶關系。這導致金融機構的某些業務嚴重依賴于少數關鍵人物。對這一點，金融機構應當進行謹慎的管理和監控，關注業務活動的集中指數。

從業務活動的過程角度來看，因為業務談判是一項非標準化的活動，具有較大靈活性，因此，審批和授權程序是至關重要的風險因素。如果缺乏有效的審批程序，無論是對現有產品還是未來的新產品，都可能會導致業務損失、達成的交易不符合客戶的需要、交易未得到授權。新產品數量、產品復雜程度等可以用來作為監控現有程序應對業務活動的能力的關鍵指標。

盡管技術不是這類業務活動的操作風險的最重要導因，但技術同樣會在這一階段產生一些問題，如處理速度過慢、扭曲和阻礙正確的交易指令輸入和記錄等。為了預測類似問題，并在它們變得非常嚴重之前作出行動，應當對系統容量、出錯率、停機時間、業務持續方案的有效性進行監控。

風險映射方法在貸款款項支付環節的應用

表2概述了一項商業銀行后臺業務——貸款款項支付環節的風險映射過程。由于后臺業務活動取決于前臺的交易規模，因此后臺的操作風險導因主要是人員、過程和技術的勝任能力和質量。這其中的一些關鍵指標既可以用來衡量業績，也可以衡量操作風險的暴露狀況。這也意味著風險管理者在處理后臺業務活動時，常常是既要進行風險管理，又要負責績效評價，而通常情況下他們很難處理好二者的關系。

在本例中，大多數關鍵風險指標（如積壓未支付信貸業務、差錯率、支付失敗與延遲）既可以用于風險管理，也可以用于管理控制。但是我們應當了解的是，風險管理者主要關心操作風險事件發生之前關鍵指標的預警功能，而很少關心其衡量績效的能力。例如，積壓未付款的借貸合同（比如，由于臨時的IT功能性故障），當其呈現一定的穩定狀態并有規律性的拖延一段時間后得到處理時，績效管理專家會對此感興趣，但可能不會引起風險管理者的關注，除非這一問題發生無緣由的急劇上升并且完全與以往經驗不相符時，風險管理者才會加以重視。

(作者單位：中國社會科學院金融研究所博士后流動站大連銀行發展規劃部)