內部控制視角下商業銀行操作風險研究

【摘 要】近年來，國內商業銀行中頻頻發生內部人員欺詐、腐敗等違法違規案件，而且有涉案金額越來越大、涉案人員越來越多的趨勢，這些案件對銀行業乃至整個金融行業秩序都會有嚴重的負面影響。之所以會產生這些案件，很大一部分原因是因為我國部分商業銀行在銀行內控方面存在諸多隱患及漏洞。因此，規避商業銀行的操作風險對于保障銀行有效運營有著極為重要的作用。

【關鍵詞】操作風險；內部控制；商業銀行

一、引言

20世紀90年代以來，由于內部經營不善、雇員素質不高，巴林銀行、大和銀行等國際銀行受損倒閉。銀行界和監管當局意識到除了信用風險、市場風險之外尚存在著與內部經營、外部事件有關的風險。據英國銀行家協會分析，過去，操作風險損失額在銀行風險總損失額中的比例是5%，這一比例現在是20%，而將來可能高達40%以上。隨著銀行機構日益龐大，其產品種類多樣化和復雜化，銀行業務對信息技術的依賴度增加，還有金融行業的全球化的趨勢，使得一些“操作”上的失誤，有可能帶來極其嚴重的后果。

自1999年開始，經巴塞爾委員會研究，于2004年正式出臺巴塞爾協議Ⅱ，在巴塞爾協議Ⅱ（2004）中，操作風險是“由不完善或有問題的內部程序、人員及系統或外部事件所造成損失的風險”。將操作風險與信用風險、市場風險一起納入監管框架，提高了操作風險的地位。與其他風險相比較而言，操作風險更為廣泛地存在于銀行經營管理的各個層面，識別難度大，使其成為現代銀行業的主要風險源之一。如果忽視操作風險，即使再嚴密的監管也無法避免銀行發生損失。巴塞爾委員會在《關于操作風險管理的報告》中指出：“絕大多數操作風險事件與內控漏洞或者與不符合內控程序有關”，由此可見，內部控制是管理操作風險的重要工具。內部控制是操作風險防范的現實性機制，完整的內部控制由內控環境、風險評估、控制措施、信息交流和反饋、監督評價與糾正五個要素組成的有機系統。通過完整的內部控制，可從源頭上降低操作風險，有效應對操作風險，解決了操作風險難以量化的難題，并建立操作風險管理框架和充分發揮風險管理框架的效能。

二、我國商業銀行內控缺失引發的操作風險

操作風險給我國商業銀行帶來的負面影響越來越嚴重。操作風險存在于銀行業務的各項工作環節以及工作流程中。造成我國商業銀行操作風險的原因有多種，主要有內部控制機制不健全、內控體系中信息系統建設落后、內部審計未發揮應有作用。近年來，操作風險事件頻發、損失額較大、影響范圍廣，已引起相關政府機構的重視。2005年3月22日，中國銀監會緊急召開了由國有商業銀行和新興股份制銀行總行行長參加的控制操作風險專題會議，要求各家商業銀行加強管理，并發布了《中國銀行業監督管理委員會關于加大防范操作風險工作力度的通知》。

三、我國商業銀行操作風險管控存在的問題

1.缺乏健全的內部控制機制。我國商業銀行對于操作風險的內部控制缺乏有效的管理。多數銀行在業務工作中都建立了基本的規章制度，但其制度不夠完善和健全。部分規章制度過時，落后于業務發展的需要，致使制度運作上帶有盲目性；有些制度過于概括、抽象，可操作性不強，在實際工作中并不能提供實質性指導；有些制度缺乏必要的處罰措施，即使有處罰措施，或者處罰措施執行不到位。這些制度上的不完善，致使了內部控制上的漏洞和操作上的失誤，增大了金融機構經營的風險。

2.內控體系中信息系統建設落后。我國商業銀行信息系統建設較國外銀行起步較晚，雖然滿足了信息系統建設的基本要求，但數據庫不完整、系統使用者難以適應操作要求等問題在我國大多數銀行依然存在。另外，信息管理人員對銀行業務的了解不夠深入，建設的信息系統實用性不強。而在操作風險管理方面，系統使用者不了解信息系統，難以理解信息系統所傳達的風險信息。最終造成內部控制信息系統的建設流于形式，不能完全發揮信息系統應有的功效。

3.內部審計未發揮應有作用。之所以內部審計未發揮應有作用，是因為內部審計獨立性不夠以及對違規行為處罰力度不足。大部分銀行人員任用、薪資待遇以及工作考核都是有省級分行來完成，內部審計并未從真正意義上實現垂直管理。同時，對于違規操作的行為處罰缺乏力度，使得員工存在僥幸心理，便有違規操作的可能存在。

四、從內部控制角度管控操作風險

1.完善內部控制制度。一方面，建立內部控制度后，應對其進行修改和完善，并針對金融業務中的創新業務和高風險業務重點進行監督。同時，針對內控制度的執行情況，要建立嚴格的檢查制度，保證內部控制制度的落實，并對違規人員從嚴處罰，對于存在袒護包庇的各級負責人更要加大處罰力度。另一方面，可以根據銀行業務特點運用先進信息系統來代替人工執行規章制度的約束，將內部控制的相關規定編入程序，通過系統自動識別員工在操作中有意無意出現的違規行為，從而杜絕人為因素干擾內部控制作用的發揮。同時，對內部控制建立科學的量化評價體系，明確區分執行情況的好壞，并通過獎懲制度提高制度執行力度，促進自覺嚴格執行制度。

2.加強內控體系中信息系統的建設。首先，豐富并完善系統數據庫。由于需要對銀行發行的新產品、新業務與新流程等進行操作風險識別，商業銀行信息管理系統需要一個完整的風險管理數據庫系統，進而通過對風險指標的實時監測與有效識別，對操作風險預警并防范。完整的數據庫可以從操作風險事故詳情、影響因素、影響三個方面描述操作風險，為識別操作風險提供數據基礎。其次，提高信息系統建設人員的銀行業務水平以及操作人員的計算機技術水平。面對越來越復雜的操作風險環境，操作風險管理的技術支持水平要求也越來越高。一方面提高信息系統建設人員的銀行業務水平；另一方面提高操作人員信息系統使用水平，使得先進的信息系統能夠發揮其本身應有的效能；既能為操作風險管理提供信息支持，也能有效防范操作風險所帶來的危害。再次，加大信息系統軟件與網絡硬件的投入力度。軟件系統方面包括業務處理系統、管理信息系統和外部網絡系統等。系統軟件的缺陷主要表現為：系統運行故障、數據運算故障、系統失靈或癱瘓、系統版本故障、數據輸出故障、客戶信息被盜等。系統軟件是銀行操作風險最為集中的領域。與系統硬件相比，軟件發生故障原因更為復雜，問題出現更為頻繁，解決速度緩慢，造成的損失也更大。硬件系統：主機、終端、柜員機、打印輸出設備、網絡設備、POS 機、數據存儲設備等。系統硬件的缺陷主要表現為設備損壞、機器故障、數據損壞等，通常是由于硬件本身質量缺陷和運行環境不穩定造成的。

3.充分發揮內部審計的作用。一方面，強化審計部門的獨立性，從向管理層負責轉變為直接向董事會負責。內部審計部門的負責人有董事會直接確定。同時，由內部審計部門的負責人提名，董事會通過投票來確定審計部門人員。保證其能夠獨立的發揮審計部門應有的作用。另一方面，加強對違規操作的處罰力度。按照規章制度從嚴處罰，杜絕員工中僥幸心理的存在。同時通過開展銀行內部文化教育，提高員工對操作風險防范的重視程度。

參考文獻

[1] 張同健.新巴塞爾協議下我國商業銀行風險控制能力測度模型實證研究[J].貴州財經學院學報.2008，（2）：13～19

[2] 張藝霄.我國商業銀行操作風險影響因素及管理研究[D].長沙理工大學.2011（61）

[3] 陳瑤.我國商業銀行操作風險的內部控制研究[D].河海大學.2007（10）