巴塞爾協議的演進與商業銀行操作風險管理框架探析

黃萬銀 張玉

中國建設銀行重慶市分行

前言：新巴塞爾協議之前，商業銀行風險管理僅包含信用風險和市場風險，而忽略了操作風險管理，直到發生了一系列銀行風險事件后，新巴塞爾協議才將操作風險納入管理框架，操作風險才正式的被各國商業銀行納入日常風險管理。

一、巴塞爾協議的演進歷程

（一）舊巴塞爾協議

上世紀70年代布雷頓森林體系崩潰后，銀行業的經營逐步市場化，迫于生存壓力開始經營風險業務，監管當局也放松了銀行的監管。直到美國富蘭克林國民銀行等一系列大銀行破產倒閉，各國監管機構開始意識到對商業銀行監管出了問題，這也是巴塞爾協議產生的經濟背景。

1974年，巴塞爾委員會在十國集團中央銀行行長的倡議下成立，1975年9月，第一個巴塞爾協議出臺，該協議極其簡單，核心內容僅突出強調任何商業銀行的國外機構都不得逃避監管、母國和東道國都應共同承擔職責兩點內容。第一個巴塞爾協議經過反復修訂后于1988年7月通過了《關于統一國際銀行的資本計算和資本標準的報告》（學界稱舊巴塞爾協議），舊巴塞爾協議曾被認為是銀行風險管理的 “神圣條約”，其構建了全面風險管理的基本理念和框架，但是未對風險管理包含的詳細內容作闡述，因而對商業銀行全面風險管理理念仍處在理論認證階段，對于這三類風險計量幾乎未涉及。

（二）新巴塞爾協議

1997年，英國銀行家協會第一次對“操作風險”給出定義，1998年，巴塞爾委員會發布《有效銀行監管的核心原則》，沿用了英國銀行家協會對“操作風險”的定義，巴塞爾委員會并分別于2001年1月在《新巴塞爾協議》第一次征求意見稿、2001年9月巴塞爾委員會的工作報告對操作風險定義進行了修訂，并在2004年6月出臺最終版新巴塞爾協議給出操作風險的最終定義，并給出了計量操作風險資本的三種方法供各商業銀行選擇，分別是基本指標法、標準法和高級計量法。

與舊巴塞爾協議相比，新巴塞爾協議最重要的突出貢獻在于銀行主要風險資本計量加入了操作風險，并且給出了三種操作風險資本的計量方法，供各商業銀行根據實際情況選擇，第一次使操作風險即可定性也可以定量。

（三）巴塞爾協議Ⅲ

2008年次貸危機爆發，對全球金融機構造成沖擊，全球金融監管機構開始審視對金融機構的監管，這也是促使各國迅速達成巴塞爾協議Ⅲ的重要因素。巴塞爾協議Ⅲ由巴塞爾委員會于2010年提出，于次年11月在韓國舉行的G20峰會上獲準實施。巴塞爾協議Ⅲ要求，商業銀行一級資本充足率由4%上調至6%，核心資本充足要求達到8.5%-11%，總資本充足率維持8%不變，另外，還引入了以降低商業銀行流動性風險的指標，以提升防范抵御金融危機的能力。

2017年12月7日，巴塞爾委員會公布了《巴塞爾協議Ⅲ：最終版》并公布了一系列新的規定，包括將于2022年1月1日開始實施的《操作風險最低資本要求》，該要求將計算操作風險資本的方法統一為 “新標準法”，新標準法能更為動態和細化地反映商業銀行業務中存在的真實操作風險損失，也可以將操作風險損失反映在資本要求里。

二、基于巴塞爾協議操作風險的定義及分類

（一）操作風險的定義

世界各組織從不同角度對操作風險給出了不同的定義，但新巴塞爾協議給出的操作風險定義最具權威，并得到了大多數商業銀行的采納，獲得了金融界的普遍認同，筆者也采用新巴塞爾協議的定義作為操作風險的定義。

新巴塞爾協議認為：操作風險（Ope rational Risk）是指由不完善或有問題的內部程序、員工、信息科技系統以及外部事件所造成損失的風險，包括法律風險，但不包括策略風險和聲譽風險。

（二）操作風險的分類

結合銀行實務中，按操作風險的來源分為以下四類：(1)由于操作失誤導致的操作風險，主要是由于操作人員對受理的業務不熟或未按操作規程操作造成的，且大多為柜面違規操作造成，比如代客戶保管重要憑證或證件、違規將系統柜員號及密碼交由他人使用、泄露重要客戶信息等造成商業銀行資金損失。（2）內外欺詐帶來的操作風險，該風險分為內部欺詐和外部欺詐兩類，是以個人利益而損害客戶和商業銀行利益，近年來，內外串通欺詐時有發生，對商業銀行造成巨大經濟損失和惡劣的社會影響。（3）由于業績壓力等銀行內部人員主觀違規導致的操作風險，銀行業務趨于同質化，競爭愈演愈烈，不少商業銀行都在推行全員營銷，商業銀行柜員為了完成業績或迫于業務部門完成業績壓力，放棄了制度規定，主觀違規操作。（4）由于技術變革帶來的操作風險，銀行的發展離不開信息技術的進步，尤其是近幾年金融科技迅猛發展，而新的技術在商業銀行的運用過程中由于測試不到位、培訓不足或技術不成熟導致的技術漏洞等都可能給商業銀行帶來操作風險，造成商業銀行的損失。

三、商業銀行操作風險管理框架

（一）建立健全風險管理組織機構

商業銀行是風險經營的主體，風險管理也是商業銀行日常管理的重要內容。首先，建立科學合理的高層風險管理架構。一方面董事會是商業機構最高管理和決策機構，是管理責任的最終承擔者，商業銀行的通行做法是在董事會設置風險管理委員會，負責撰寫商業銀行風險管理的戰略、政策和程序，提交董事會批準，是風險管理最高的常設機構。另一方面建立具有較強執行力的高級管理層，負責執行董事會制定的風險管理策略以及董事會授權范圍內的操作風險決策。高級管理層的執行力是商業銀行操作風險管理的基石。其次是重視基層的“三道防線”建設。第一道防線是基層設置風險專管員，負責分析和收集各業務部門、業務流程的操作風險，實時評估和調整風險防控措施。第二道防線是設置風險管理團隊，負責建立商業銀行操作風險政策體系，對各基層組織提供專業的咨詢和指導。第三道防線是建立內部審計和稽核團隊，負責對操作風險管理體系運行的有效性進行事后跟蹤。“三道防線”合理分工、相互配合，最重要的是保持相對的獨立性，確保操作風險管理體系的有效性。

（二）建立良好的操作風險文化

商業銀行制度很多，但是由于受傳統文化的影響，出現了一些不成文的規則，人情的力量大于了制度的要求，結果是違規操作，造成商業銀行的資金損失，此時就需要強有力的操作風險文化來約束操作人員的行為。操作風險文化能促使工作人員傳承優秀的做法，文化具有強大的導向功能也能約束人的主觀行為，消除隔閡，維持商業銀行的經營秩序，自覺抵制不良行為，從而有效的防范操作風險。商業銀行可以從提升基層人員操作風險識別和評估能力、引入國外先進風險管理文化、管理層將風險管理文化融入各項工作等方面入手，建立屬于本企業的操作風險文化。

（三）注重“德”“才”兩手抓，培養德才兼備人才

銀行建立操作風險文化，離不開員工操作風險意識的提升，員工操作風險意識提升又鞏固企業銀行風險文化建設，二都相輔相成，缺一不可。銀行業務都是由“人”來完成，人是導致操作風險的主要原因，讓高素質、優秀的人來完成工作，操作風險就會下降很多。首先是注重員工素質培養，一方面是為德才兼備員工提供通暢的職業發展道路，另一方面是鼓勵員工自學和為員工提供學習平臺，以提升員工的積極性和個人素質。其次要實施定期輪崗制，這樣既能為員工提供多崗歷練的機會，培養業務多面手和干部儲備，也能避免長期在同一個崗位形成的懈怠、串通作案，防范案件風險。

（四）降低信息技術變革帶來的損失

商業銀行的發展離不開運用新技術、新方法，技術的發展也能有效促進商業銀行的發展和促進操作風險的控制，商業銀行在面對新技術運用時，首先要注重系統開發的一致性，即系統開發時新系統界面及路徑盡量與舊系統保持一致，避免由于系統更新后柜員不熟悉導致操作風險。其次是新的技術、新信息系統運用初期應當經過充分測試和培訓，減少上線初期運行帶來的風險。

結語：巴塞爾協議的演進代表著商業銀行監管的趨勢，巴塞爾協議也獲得多國認可，當前，我國商業銀行操作風險管理水平已經有長足發展，但與發達國家相比仍有差距。因此，我國商業銀行應當按照巴塞爾協議Ⅲ要求重視操作風險管理。