银行操作风险管理与监管讲座课件.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,2020/8/9 Sunday,#,2026/11/9,银行操作风险管理与监管讲座课件,核心原则的基本架构,（一）,目标、独立性、权力、透明度与合作原则1,（二）发照和结构原则2至5,（三）审慎规章及要求原则6至18,（四）持续监管的手段原则18至21,（五）信息要求原则22,（六）监管的正式权力原则23,（七）并表和跨境监管原则23至25,2,审慎规章及要求,原则15：操作风险,银行监管当局必须满意地看到，银行具备与其规模及复杂程度相匹配的识别、评价、监测和缓解操作风险的风险管理政策和程序。,3,目录,操作风险定义,什么是操作风险？,历史演变,操作风险与信用风险、市场风险的区别,操作风险与内部控制的关系,操作风险监管要求比较,操作风险管理,操作风险计量与资本配置,4,巴塞尔委员会对操作风险的定义,操作风险是指由不完善或有问题的,内部程序、,人员、系统,或,外部事件所造成损失的风险,包括,法律风险,，但不包括策略和声誉风险。,-巴塞尔银行监管委员会,法律风险,：因无法履行的合同（全部或部分）、诉讼、不利的判决或其他法律程序,使银行的业务中断或对银行状况造成不利影响而带来的风险。,声誉风险,：公众对某家银行做法持负面评价（无论真实与否），从而导致其客户群缩小、发生昂贵的诉讼及/或使其收入下降的可能性。,策略风险：,来源于不合适的业务战略，或与该战略有关的假设条件、参数、目标以及其它特征有了负面的改变。,5,操作风险三段论,原因,为什么发生？,人员违规、程序不合理、系统故障、外部冲击,事件*,发生了什么？,欺诈、交易记录输入错误、系统数据丢失,影响,结果如何？,资金损失、声誉受损、,罚款,*：事件是指已经成为现实的损失，不涵盖潜在损失。,6,操作风险的特殊性,利润的上升并不需要操作风险敞口的增加,利润,风险,信用,市场,操作,7,操作风险与内部控制的关系,纠结，纠结，还是纠结,COSO内部控制框架与全面风险管理框架,时间,文件,目标,要素,模式,区别,1994,内部控制-整体,框架,经营目标、财务报告目标和遵守目标,内部控制环境、内部控制策划、实施和运行、监测评价与持续改进、信息交流与反馈,策划-实施-检查-改进,内控仅是管理的一种职能,2004,全面风险管理框架,战略目标、经营目标、报告目标和合规目标,内部环境、目标设定、事件识别、风险评估、风险对策、控制活动、信息和交流、监控,目标-要素-层级三维立体,涵盖内部控制、风险范围扩展、引进风险偏好、风险容忍度、风险对策和情景分析等方法,8,操作风险与内部控制的关系（续）,操作风险十三条（2005年）,内控的要求及有关措施,规章制度和稽核建设,对基层行的合规性监督,问责制,行务管理合规制,对银行机构提出内部控制的要求,组织结构和控制文化建设,审批与授权,责处与问责,轮岗轮调和强制休假制度,行为失范的适时检查制度,奖励和保护举报员工,对人员的内部控制要求,不兼容岗位的适当分离,行为控制,对银行账户管理的内部控制要求,验证与核实,实务控制,高技术环境下的控制,适时有效的对账制度，未达账项和差错处理的环节控制，严格印章、密押、凭证的分管分存及销毁制度，账外经营的监控,改进科技信息系统,9,操作风险与内部控制的关系（续）,操作风险管理指引,商业银行内部控制指引,企业内部控制基本规范,基本要素：董事会的监督控制；高级管理层的职责；适当的组织架构；操作风险管理政策、方法和程序；计提操作风险所需资本的规定,基本要素：内部控制环境；风险识别与评估；内部控制措施；信息交流与反馈,基本要素：内部环境；风险评估；控制活动；信息与沟通；内部监督,明确职责分工,授信的内部控制,不相容职务分离控制,监测风险限额,资金业务的内部控制,授权审批控制,安全监控记录,存款和柜台业务的内部控制,会计系统控制,强制休假与离岗审计,中间业务的内部控制,财产保护控制,八小时以外行为规范,会计的内部控制,预算控制,举报激励与保护制度,计算机信息系统的内部控制,运营分析控制,案件的双重考核制度,内部控制的监督与纠正,绩效考评控制,案件及信息披露,激励约束机制,10,目录,操作风险定义,操作风险监管要求比较,主要监管规定列表,主要监管要求对比,操作风险管理,操作风险计量与资本配置,11,主要监管规定列表,监管规定,时间,银监会,关于加大防范操作风险工作力度的通知,2005.3.22,合规风险指引,2006.10.25,操作风险管理指引,2007.5.14,内控指引,2007.73,操作风险监管资本计量指引,2008.9.18,信息科技风险管理指引,2009.6.1,声誉风险管理指引,2009.8.25,高级法验证指引操作风险模块,2009.11.23,巴塞尔委员会,金融服务外包,2005.2,新资本协议（修订版）,2006.6,高级法关键要素实践,2006.10,高级法下的母国东道国监管合作原则,2007.11,操作风险损失数据收集作业,2008.7,操作风险保险的风险缓释效应确认建模,2010.10,操作风险稳健管理原则,2011.6,高级法监管指引,2011.6,12,操作风险管理体系基本要素,营造合适的操作风险管理环境,操作风险管理程序,信息披露的作用*,原则1-5,董事会和高管层职责；框架,原则6-10,识别与评估；监测和报告；控制和缓释；业务弹性和可持续性,原则11,充分的对外信息披露,操作风险管理与监管的稳健做法,操作风险管理指引,营造合适的操作风险管理环境,资本计提规定*,董事会的监督控制,高管层职责,适当的组织结构*,政策,方法,程序,缓释手段,资本计提,操作风险管理政,策、方法和程序,*,*,：表示稳健做法里不涵盖；*：表示是对稳健做法相应原则的扩展；*：表示相互存在差异。,操作风险监管要求基本要素比对,13,目录,操作风险定义,操作风险监管政策与监管环境,操作风险管理,管理流程与基本要素,中国银行业操作风险管理实践,操作风险计量与资本配置,14,操作风险管理流程,风险识别,评估/计量,控制/缓释,检验/再评估,监测,报告,反馈,操作风险管理是一个连续的过程,15,操作风险管理三大工具,RCSA,KRI,LDC,流程梳理,风险识别,控制措施识别,监控与报告,损失数据搜集,监控数据收集,损失识别,主要执行步骤,工具,风险与控制有效性评估,指标设计,三大工具架构及执行程序,行动方案,设计与执行,（含控制措施改善）,16,操作风险管理三大工具（续）,识别操作控制环境的强弱,例如，由业务线回答的一般的具体的问题,揭示薄弱环节。帮助优化随后采取的管理行动,将风险类型与业务部门、组织职能或流程对应起来,确立关键控制标准，实施操作风险控制与缓释,领先及滞后指标,失败的交易数额、员工流失率和繁锁出错的频率和严重程度,关键风险,指标(KRI),损失数据库,风险与自控评估,识别和评估、监测、控制和缓释操作风险的工具,17,操作风险自评估,自我评估：是在银行内部控制体系基础上，通过开展全员风险识别，识别出全行经营管理中存在的风险点，并从损失金额和发生概率两个角度来评估风险度大小。,自我评估的主要目标：是鼓励各级机构承担责任及主动对操作风险进行识别管理。,自我评估通常的方法：流程分析法、情景模拟法、引导会议法、德尔菲法（专家预测法）、调查问卷法等。,18,风险识别,固有风险评估,固有风险水平,现有控制分析,控制评估（设计）,可能性,后果,剩余风险评估,剩余风险水平,可能性,后果,1,2,3,4,5,产品/流程风险及控制评估（RCSA）,19,自评估流程,作业流程分析和风险识别与评估,全员风险识别与报告,控制活动识别与评估,制定与实施控制优化方案,报告自我评估工作与日常监控,20,L,M,M,L,L,L,L,L,L,L,L,L,L,L eg;日常操作失误,M,L,L,L,L,H,M,M,L,L,H,H,H,M,M,H,eg:员工重大操作失误,H,eg:系统主要故障,H,H,M,影响,1,1,概率,3,4,5,2,3,4,2,5,应极力避免的,可承担/不承担：外包或保险,可承担/不承担：外包或保险,可承担：内控、系统、稽核、合规,操作风险自评估矩阵,21,损失数据库（LDC）,操作风险损失事件的定义？,显性损失VS隐性损失,财务损失VS非财务损失,损失阀值VS风险管理VS风险计量,操作风险损失数据应收集哪些信息？,事件本身：日期；金额；原因；业务条线；启动的控制措施；是否促发监管要求；是否采取缓释措施；追索等,隐性损失：近损失事件（near miss）VS风险管理VS风险计量；现有风险管理VS管理标准；隐性损失计量的难度VS作用,四大数据要素：内部，外部，内控环境，情景分析VS混合使用,操作风险损失数据收集流程,制定统一的数据收集标准和模板,下发各条线和各分支行试收集数据并提出修改意见,将试收集的数据和意见反馈给操作风险管理牵头部门以完善标准和模板,下发标准和模板统一收集数据,对数据勾稽关系的核验和数据质量的检查,对外部数据（公开媒体收集、共享、购买外部数据）以及内控环境、情景分析数据的整合,操作风险损失数据的应用,风险管理：挽回损失；分析漏洞；完善管理；采取应对措施（内控、保险、外包、BCP等）,风险计量：掌握风险分布形态；计量资本（经济资本和监管资本）；绩效考核,22,风险缓释-保险,保险覆盖的范围有多大？,保险路线图,Organisational,Liability,Non-Financial,Property,All Risks,0%,操作风险保护,100%,对冲,BBB,D&O,ECCP,PI,典型,BBB,D&O,ECCP,EPL,高级,PI,外部欺诈,员工风险,技术风险,物理资产风险,关系风险,领先,水平,外部欺诈,员工风险,技术风险,资本,物理资产,所有风险,关系风险,未来,Property,All Risks,General&,Other Liability,General&,Other,Liability,Unauthorised,Trading,注：具体可参见2010年10月巴塞尔发布的保险缓释文件。,23,应急预案管理,24,关键风险指标的主要作用,帮助执行部门保持操作风险管理流程的有效性，确保操作风险特征信息反映银行的实际状况；,帮助各级管理层监控操作风险与控制的有效性，积极的采取具体措施，对操作风险进行管理；,可作为具体业务和管理过程中潜在风险与控制问题的,预警指标,；,反映银行/分行的操作风险偏好,关键风险指标是一系列的参数，用来监控银行整体操作风险状况的变化，或特定的业务单元、流程和系统内操作风险状况的变化。,与揭示风险有关的指标，如信用卡发卡量异常变动情况,与损失有关的指标，如客户投诉的数量,与成因相关的指标，如员工周转情况,手工交易的百分比%,人员,交易量和数目,病假和年假时间（按日计算）,到位及能力发挥情况,手工交易量和职工加班时间,200,000,250,000,300,000,350,000,400,000,Jan,Mar,May,Jul,Sep,Nov,Trx Amt RM000,19,000,21,500,24,000,26,500,29,000,31,500,34,000,No.Trx,Manual Trx Amt,Auto Trx Amt,No.Trx,11,500,12,500,13,500,14,500,15,500,16,500,17,500,Jan,Mar,May,Jul,Sep,Nov,Manual Trx Amt(RM000),100,200,300,400,500,600,700,800,Overtime(hrs),Overtime Hrs,Manual Trx Amt/Employee,92.00,93.00,94.00,95.00,96.00,97.00,98.00,Jan,Mar,May,Jul,Sep,Nov,%Manual Trx,14,000,15,000,16,000,17,000,18,000,19,000,20,000,21,000,22,000,Total No.Trx,%Manual Trx,No.Manual Trx,15,17,19,21,23,25,Jan,Mar,May,Jul,Sep,Nov,No.Employees,-,10,20,30,40,50,60,70,Leave Days,Sick Leave,Annual Leave,No.Employee,25,报告内容和频率,董事会,董事会执行委员会（例如，操作风险管理委员会）,业务经理,员工,问题：,是否制定举报机制的政策,董事会应该获取信,息清楚全面操作风险，,及关注重要的策略性的,业务意图,高级管理层,26,操作风险报告样本,专业工作站,报告,风险状况,标准报告,排名前10位的剩余风险,排名靠前的损失,仪表板,关键控制点,关键风险指标,外部事件,项目状态,损失数据报告样本,按业务条线分类的损失-2007,0,1,2,3,4,5,6,零售,公司,保险,贸易,总的净损失(百万元),其他,系统,员工,流程,外部事件,27,目录,操作风险定义,操作风险监管政策与监管环境,操作风险管理,管理流程与基本要素,中国银行业操作风险管理实践,操作风险计量与资本配置,28,第一阶段是传统阶段：只有内部控制，缺乏正规的操作风险管理架构。,第二阶段是识别阶段：专人负责操作风险管理，制定了相应的制度，能实施自我评估，收集损失事件的数据。,第三阶段是监测阶段：能跟踪收集相关数据，制定了定性和定量指标，实施打分卡策略，形成综合报告体系，系统性培训。,第四阶段是定量阶段：具备全面综合的数据库，能借助数理模型深入分析带来的影响。,第五阶段是整合阶段：操作风险管理、战略规划、质量控制和经济资本管理有机结合，提高股东价值。,操作风险管理的发展阶段,29,我国银行操作风险管理差距,操作风险管理内容,国际大银行的标准,我国银行目前的差距,理念和政策,统一明确的管理政策；明确界定和分类；并在全行范围内建立综合统一的方法和流程来监测、预防,对缺乏统一的认识；什么是或不是操作风险？要不要对操作风险进行统一管理？没有成文的管理政策、流程,治理结构,董事会批准的统一的管理框架；完全独立的审计部门监督和汇报操作政策和程序是否有效实施；集中的风险管理部门负责维护管理工具、协调和汇报风险，业务部门负责具体监控，数据收集和工具的实施,尚没有董事会或对等机构来批准统一的管理框架；总行相关部门分布负责一些工作，但部门之间缺乏协调和清楚的报告关系（管理部门内分别向各自上级汇报）,风险评估,银行采取一种或多种方法评估：风险自评、流程风险映射、关键风险指标、风险打分卡、历史跟踪和量化风险数据,尚未做过正式的自评；未建立正式的关键风险指标体系，更无与其挂钩的风险预警；尚未设计和实施打分卡,风险缓释工具的使,用应急方案及业务,恢复计划,银行投入适当的风险缓释工具，如保险、,系统安全技术和服务外包等对风险缓释工具的效果进行系统的评价，对外部服务质量严格控制并有备用方案,对使用流程技术和保险来缓释风险的举措缺乏统一规定，个别分行有一定的措施对风险缓释的效果无系统的跟踪评价,30,我国银行操作风险管理差距（续）,操作风险管理,内容,国际大银行的标准,我国银行目前的差距,与管理流程,整合,定期报告，报告应传达给所有相关的,管理层和部门；银行应有一整套的监,控流程和程序来保证内控政策得到遵,守和实施,没有,合规披露,及监管,披露管理的制和方式，以足够使投资,者能够对其管理效果做出合理判断,尚没有披露机制和方式、系统和数据业务部门没有关于操作风险的报告；目前的审计报告缺乏连续性和全面性，主要侧重已出现问题的业务,应急方案及业,务恢复计划,针对银行可能面对的不同灾害情况，,制定相应的应急方案和业务恢复计,划，对业务恢复计划进行定期评价和,修订,在对服务外包商的尽职调查和准备应急方案方面无统一规定；没有较完整的应急方案和业务恢复计划,系统和数据,建立集中式的中央数据库，并与分析,工具、映射工具和文件报告工具联,系；存储足够历史数据以支持对模型,的后台测试,尚没有的信息系统和数据支持,31,目录,操作风险定义及漫谈,操作风险监管政策与监管环境,操作风险管理,操作风险计量与资本配置,基本指标法,标准法,32,SA,资本要求是根据前三年的实际年总收入(GI)的固定百分比的平均值计算的,没有统一标准,鼓励参照稳健原则中的做法,GI:净利息收入+净非利息收入,根据一国监管当局或会计准则规定,=15%,不期望国际活跃银行和有重大操作风险暴露的银行使用,资 本 要 求,基本指标法,33,基本指标法示例,SA,例子,银行 X,第 1年,第 2年,第3年,总收入,1800,600,(-100),Alpha,15%,15%,15%,资本要求,34,基本指标法示例（续）,SA,基本指标方法同类银行分析,：,银行 X,第1年,第2年,第3年,总收入,1800,600,(-100),Alpha,15%,15%,15%,资本要求,270,90,-,银行 Y,第1年,第2年,第3年,总收入,2000,1500,1800,Alpha,15%,15%,15%,资本要求,300,225,270,银行 Z,第1年,第2年,第3年,总收入,1600,1000,1400,Alpha,15%,15%,15%,资本要求,240,150,210,180,265,200,年总收入为负数或零的数字不应包括在内，如果误报支柱1的资本要求，则考虑启动支柱2的要求。,35,标准法,SA,银行经营活动划分成8条业务线,通过指标乘以分配给该业务线的因子，计算每条业务线的资本要求,-,指标:年总收入(与基本指标法同),通过三年中每年每条业务线的资本要求的简单算术平均，计算总的资本要求,-,因子:beta(,)由巴塞尔银行监管委员会给出,资本要求=years 1-3max(GI1-8 x,1-8,),0/3,36,标准法准入资格,使用该法的要求参照巴塞尔委员会标准和,本国监管当局其他标准,巴塞尔委员会标准是对国际活跃银行的关键标准：,充分的治理结构和风险管理系统,划分业务线和活动的政策和文件标准,独立的操作风险管理职责,通过业务线跟踪操作风险数据（包括实质损失）,向业务管理部门、高管层和董事会报告操作风险暴露,确认和规范操作风险的独立检查,37,标准法的特点,一些业务线的负资本要求不受限制地抵消一些业务线的正资本要求（各国随意，可能有更严格的要求）,所有业务线的资本要求总和是负数，则该年的分子为零。如果误报支柱1的资本要求，则考虑执行支柱2的要求,总收入不是风险的敏感器；系数值是否合适？,38,标准法下的业务条线划分,业务线,值,公司金融,18%,交易和销售,18%,零售银行业务,12%,商业银行业务,15%,支付和清算,18%,代理服务,15%,资产管理,12%,零售经纪,12%,39,标准法案例,业务线,总收入,值,资本,公司金融,100,X 18%,=18,交易和销售,100,X 18%,=18,零售银行业务,300,X 12%,=36,商业银行业务,300,X 15%,=45,支付和清算,100,X 18%,=18,代理服务,100,X 15%,=15,资产管理,100,X 12%,=12,零售经纪,100,X 12%,=12,总计,1200,174,40,