基于COSO（2017）新框架的我國商業銀行風險管理模式構建

高菁敏 李曼

【摘要】? 文章通過研究COSO（2017）《風險管理——與戰略和績效的整合》，分析、比較新框架的五大要素和二十項原則，參照新框架對企業的要求和重點關注事項，提出商業銀行風險管理模式的構建。

【關鍵詞】? ?風險管理;商業銀行;模式構建

【中圖分類號】? F275? 【文獻標識碼】? A? 【文章編號】? 1002-5812（2019）06-0041-03

一、研究背景

隨著我國金融體制進入深化改革階段，各種金融風險不斷地涌現、積聚，而商業銀行作為金融市場的主體，不可避免地受到來自各方面風險的威脅，除去宏觀經濟政策的變動和行業競爭等帶來的影響，對商業銀行而言最主要的風險便是信用風險、市場風險、利率風險、操作風險等。黨的十九大報告提出“健全金融監管體系，守住不發生系統性金融風險的底線”的要求，我國商業銀行應該全力防范金融風險，著重提高風險管理能力，并建立全面的風險管理體系。2017年COSO發布的《企業風險管理框架——與戰略和績效的整合》改進完善了原有框架的不足，并在2004年框架的基礎上提出了新的要求和方法。本文從COSO（2017）新框架出發，研究企業風險管理框架的變動對我國商業銀行現行風險管理體系的影響，在此基礎之上構建商業銀行新的風險管理模式。

二、我國商業銀行風險管理現狀

我國商業銀行逐步進入全面風險管理階段，但風險管理模式仍以事后管理為主，缺少風險預警機制和風險防范體系，使商業銀行處于被動地位。銀行風險管理部門未得到足夠重視，內部組織結構不能很好配合風險管理的展開，風險管理技術相較國外成熟的風險量化管理有一定的滯后，商業銀行專業化的風險管理人才也相對缺乏。

（一）忽視內部風險

我國金融業多項對外開放相關政策不斷出臺，銀行業大幅放寬市場準入的要求，為外資銀行進入我國市場提供了廣闊的平臺，同時也使得我國的銀行業面臨了更多的跨境資金流動性風險，承受的競爭壓力不斷增加。在這樣復雜多變的金融形勢下，全面風險管理成為了我國商業銀行風險管理的發展趨勢。銀行從偏重對資產負債業務的發展向全方面、多元化發展的轉變也要求了傳統的風險管理模式向全面風險管理模式演進。梁寶寶（2016）認為在銀行的內控中，風險管理是極為重要的一環，且行為模式和風險觀念都是由風險管理文化所決定的。但目前我國商業銀行全面風險管理理念還比較滯后，風險管理文化底蘊不足。雖然銀行對外部風險有較高的認識，但對內部風險如戰略風險、績效風險等還沒有高度的防范意識。

（二）風險管理崗位形同虛設

徐強（2016）指出雖然我國很多商業銀行都成立了風險管理部門，但是并未設置垂直領導相關業務部門的風險管理崗位，使得總行風險管理部門形同虛設。吳錦棟（2010）認為我國商業銀行過于關注微觀管理，缺乏從整體上對銀行經營風險的控制和管理，風險管理委員會并不能有效地發揮真正的指導和決策職能，同時風險管理層次不明晰。這表明我國商業銀行還未形成真正意義上能夠獨立管理風險的部門，高層管理者權力集中，各部門權力分配不合理，導致銀行全面風險管理不能有效開展。

（三）未真正掌握風險量化技術

郭保民（2011）指出我國商業銀行風險量化管理發展滯后，許多高級模型尚處于引入階段，談不上熟悉和普遍應用。其原因是我國商業銀行在此方面習慣于定性方法，定量技術運用相對較少。欒小華（2006）認為相對于國外較成熟的風險量化模型，我國尚處于萌芽階段，支持該模型建立的數據庫也大多不完善。

我國商業銀行還未真正掌握風險量化技術，風險管理人員對模型的應用能力也有待加強，構建綜合、全方面的交易和風險信息數據庫也是重中之重。

（四）風險管理人才儲備不足

匡慧慧（2018）認為參與風險管理的工作人員往往專業素質較低，不具備專業的風險管理理論和優秀的風險計量技術，銀行的風險管理隊伍不具備專業化職業化的特征。繆錦春（2017）強調銀行應加強對員工的業務培訓，促進全員提升營銷和風險管理能力，讓每位風險參與人員都擁有豐富的風險識別和應對技能。徐強（2016）認為人力資本的儲備是全面風險管理實施的保障。國內商業銀行目前的人員素質無法與全面風險管理體系有效融合，銀行應加強對風險管理人員的培訓，打造專業化與高素質的團隊。我國商業銀行目前還缺乏精通風險管理理論和風險計量技術的專業化人才，風險管理人員的素質與風險管理系統的契合度不夠，無法與全面風險管理體系配合發揮出最大的優勢。

三、COSO（2017）新框架的變化及其對商業銀行的影響

（一）COSO（2017）新框架的變化

新框架第一要素由原來的內部環境變為治理與文化，強調了公司的治理結構和文化氛圍對于風險管理的重要性，要求董事會通過對風險的監督來支持管理層實現戰略和業務目標，要求組織構建合適的經營結構來保障自身經營目標的實現，定義符合期望的行動體現自身文化氛圍，新框架也表示組織應該保證核心價值觀的實現，承諾按照組織的發展方向構建人力資本，吸引、開發并留住優秀個體。

第二個要素由原來的目標設定變為戰略與目標設定，增添了對戰略的考量。新框架開始關注企業在戰略制定中存在的風險，強調組織分析經營過程中的業務環境，關注業務環境對風險圖譜存在的潛在影響，要求組織在創造、實現其價值時確定其對風險的態度和偏好，評估可供選擇的戰略中的風險，考慮不同層次的業務目標中存在的風險。

第三個要素績效包含了原框架中對風險的識別、評估和應對，并在此基礎之上提出了區分風險優先次序和建立風險組合觀的新概念，新框架建議組織在將風險進行排序的前提下執行風險反應，用組合、整體的觀點去評價風險。

新框架的第四個要素認為組織應該識別和評估可能對組織實現戰略目標有重大影響的風險，審閱自身的績效并考慮風險，不斷追求風險管理的改進。

第五個要素是信息溝通與報告，與原框架相比，新框架增加了組織應該升級信息系統的建議，并利用信息技術支持企業的風險管理，新框架也表示組織可以通過溝通渠道傳達和溝通風險信息，同時要求組織在整體的不同層次中對風險、文化和績效進行報告。

（二）新框架對商業銀行風險管理的影響

COSO（2017）新框架強調了風險治理與文化，表示組織的治理結構應該服務于戰略目標的實現，在新框架的指導下，銀行為了更好地開展風險管理，實現組織目標，內部的組織架構將要受到影響。新框架也提及了科學技術和數據分析手段，這將促使銀行升級信息系統，盡快運用先進的風險管理技術。關注績效中的風險也是新框架的重點之一，銀行在績效考核方面也因此會受到影響。

1.對銀行組織架構的影響。COSO（2017）強調了加強董事會對風險的監督，建立運營結構。這表明新框架進一步要求董事會的獨立性，促使銀行加快改變董事會人員和管理層人員高度重合的局面，提高外部董事的比例和加強獨立董事的責任，保證董事會更有效地對風險進行監督。同時，新框架促使銀行加快調整組織結構，合理劃分各職能部門，明確職責權限，使新形成的運營結構服務并指導銀行日常經營活動。

2.對銀行信息系統的影響。信息來源于企業內部或外部，通過對信息的全面收集，企業能隨時掌握市場、行業、競爭對手的動態，及時對重大變化做出反應。新框架在第五要素中提出升級企業信息系統，促使銀行加快對各管理信息系統的更新升級，并完善數據庫，使高層管理者及時準確了解重要信息。

3.對銀行風險管理技術的影響。目前銀行風險管理大多采用定性的方法，COSO（2017）中涵蓋了數據分析手段，進一步要求銀行完善數據庫，運用定性與定量結合的方法，在龐大數據庫的支撐下采用風險量化模型，促進銀行加快改進風險管理技術。

4.對銀行績效的影響。新框架優化了企業績效和風險管理之間的關系，有效的風險管理能夠提升企業的績效，增加組織的價值。另外，新框架強調企業關注績效中的風險，這將影響銀行績效考核制度、員工激勵制度的建立，促進銀行不斷完善薪酬激勵制度，不斷追求績效考核的公平公正，激發員工的積極性。

四、基于新框架的商業銀行風險管理模式

我國商業銀行風險管理許多方面還存在問題，根據新框架的指導，本文按下圖的思維模式，構建新的銀行風險管理模式。

（一）樹立正確的風險管理理念

擺在商業銀行風險管理工作第一位的是樹立科學的風險管理理念。新框架強調戰略的重要性，這要求銀行樹立戰略導向意識，關注戰略制定中存在的風險，不盲目經營背離銀行發展方向的業務。新框架同時提出風險組合觀，即銀行不能孤立地看待風險，而是應該采用整體的、組合的觀點看待風險，特別是在銀行已經步入全面風險管理階段的情況下，僅僅對局部風險進行評估很可能會忽略威脅組織實現宏觀戰略的風險。正確的風險管理理念還應包含適當的企業文化。COSO（2017）要求企業定義期望的組織文化，表明銀行應該注重對風險文化的培養，形成符合自身戰略發展的文化氛圍，成為銀行風險管理的軟實力。

對績效風險的管理也是企業風險管理應該關注的重點。新框架強調企業應該重視績效中的風險，對此，銀行應該制定恰當的績效計劃，使之符合銀行的發展戰略，保證戰略目標層層分解到員工;員工應該在個人績效和組織績效中找到平衡，避免過于追求個人績效而忽略整體目標;銀行也應該在績效考核方面保持公平公正，各項考核指標應該體現銀行對員工行為的引導，同時，銀行的績效應與員工的薪酬制度、激勵制度等掛鉤，進一步提高員工的積極性。

此外，風險管理的理念和意識應該滲透到銀行管理的方方面面，銀行內部每個層級的人都對風險管理負有相應的責任從而實現“全員”管理。

（二）構建合適的組織架構

目前大多數商業銀行風險管理部門沒有有效發揮其職能，崗位形同虛設，這要求銀行建立合適的治理結構，從結構上更好地保障風險管理的實施。董事會成員的豐富經驗可以為銀行風險管理提供一種更高層次上的風險管理戰略視角，為風險管理提供戰略指導和建議。銀行可以在董事會下設風險管理委員會，垂直領導相關業務部門，同時，風險管理委員會對董事會負責，將具體風險管理任務下達給各業務部門執行并定期向董事會匯報風險管理工作進展。同時，銀行應注重提高風險管理部門的獨立性，建立現代意義上能夠真正獨立、有權威性、能組織開展風險管理工作的風險管理部門。

（三）建立科學的信息系統

COSO（2017）第18個原則要求組織利用主體的信息和技術系統來支持企業的風險管理，因此，銀行應該升級其信息系統，建立科學的數據處理系統、管理信息系統和決策支持系統，使銀行在大數據環境下能有效利用信息。銀行還可以利用信息系統記錄和處理風險數據，同時利用信息技術分析風險的特征和概率等形成風險圖譜，為管理層執行風險反應提供技術上的支持。同時，銀行應該建立完備的數據庫，儲存、整合歷史數據，與升級的信息系統形成匹配，為風險管理量化模型的構建提供數據上的支撐。

（四）采用先進的風險管理技術

COSO新框架建議商業銀行將定量分析和定性分析相結合。我國商業銀行可采用風險量化模型如VaR（Value at Risk）模型來計量市場風險的大小，在一定的概率水平下，用公式計算出金融產品投資組合的價值在未來特定時間內最大可能損失。VaR模型可以事前衡量風險，改變我國大多數企業風險管理模式仍以事后管理為主的現狀，可以避免銀行處于被動承受風險的局面。因為風險的不確定性，為了估算其發生的概率，商業銀行還可采用模糊數學模型，對可能出現的風險進行模糊綜合評價來定量分析。定性分析與定量分析相結合可采用情景分析法，銀行假定某種情況在未來發生，預測可能出現的情況和后果，在一定程度上能提高銀行的適應能力，處理未來不確定性因素的能力。

（五）培養專業化的風險管理人才

銀行風險管理部門在進行外部招聘時應該優先考慮具有統計學、高等數學、風險管理等專業知識背景的人才，并按照新框架第五個原則的要求，吸引、開發并留住優秀個體，從而提高整個風險管理團隊的專業素質。銀行在對內部人員進行培訓時，可以鼓勵員工參加金融風險管理師（Financial Risk Manager，FRM）的考試，通過培訓和考試使員工更好地了解銀行風險管理的流程，更好地掌握金融風險管理的各種技術和方法，靈活運用風險量化模型來為組織提供服務、創造價值。

COSO（2017）對風險管理的新定義中認為風險管理是一種文化、能力和實踐，所以銀行應該鼓勵員工積極參與風險管理的實踐活動，鼓勵員工參與風險管理的每個環節，從實踐中培養風險管理的能力。

（六）定義期望的組織文化

企業文化反映了企業的核心價值觀和精神，不同的文化也會使企業對待風險持有不同的態度。2017版的風險管理框架更加重視文化在風險管理中的地位，意味著銀行應高度關注自身文化氛圍，建立一個符合自身經營戰略和目標的文化環境。

銀行的文化建設中應該注重建立具有風險意識的企業文化，將風險意識和對風險的敏感性滲透到每個員工，同時銀行應該培養符合自身風險偏好和戰略發展的風險文化。

戰略導向意識也是銀行在構建企業文化時應該具備的。新框架強調戰略制定中的風險，因此，銀行在構建需要與銀行經營目標相適應的企業文化時，應該考慮戰略在文化中起到的主導作用。

綜上所述， COSO（2017）新框架作為指導企業實施風險管理的國際權威框架，對銀行無論從其組織架構、戰略制定、風險管理技術等方面都產生了重大影響。原有的風險管理體系和流程在不適應當前經濟形勢的情況下，銀行應該及時調整，參考COSO新風險管理框架，完成對風險管理的變革。J

【主要參考文獻】

[1] 梁寶寶.我國商業銀行風險管理研究[J].合作經濟與科技，2016，（1）：57-58.

[2] 高雨萌.保險公司全面風險管理體系的構建[J].商業會計，2016，（10）：57-60.

[3] 吳錦棟.我國商業銀行全面風險管理研究[J].時代金融，2010，（4）：71-73.

[4] 郭保民.論商業銀行全面風險管理的構建[J].中南財經政法大學學報，2011，（3）.

[5] 欒小華.現代商業銀行風險管理技術發展及我國商業銀行的對策[J].世界經濟情況，2006，（16）：12-14.

[6] 匡慧慧.商業銀行全面風險管理的現狀及分析[J].商業經濟，2017，（4）：47-48

[7] 錦春.商業銀行新型全面風險管理理念探究和導入思路建議[J].湖南人文科技學院學報，2017，（3）：36-42.

[8] 余瑋.基于FRM認證的金融風險管理人才培養[J].教育教學論壇，2018，（3）：45-46.

[9] 杜慧敏.企業績效管理風險研究[D].中國石油大學（華東），2008.