某银行风险管理培训讲义

FredBell中国银行风险管理合作项目负责人操作风险管理操作风险管理目录什么是操作风险RBS组织结构和方法操作风险管理框架操作风险管理手册操作风险报告内控什么是操作风险“由于内部流程、人员和系统不完善或失败，或由于外部事件引起损失的风险”来源：巴塞尔协议“由于人员差错、无效或设计不充分的流程、系统和不当行为（包括犯罪行为）造成的损失”来源:RBS什么是操作风险–示例未经授权员工进入分行电脑系统–内部欺诈业务数据输入错误–罚息新产品太受欢迎-客户服务延迟、服务成本增加和客户不满分行反洗钱工作没有重点，反洗钱效果差–监管当局罚款自然灾害危及员工安全，引起业务中断–网点关闭、客户不便和服务中断什么是操作风险作为业务一部分的操作风险无处不在.可能由于内部或外部因素引起.可能出现在多个部门。

操作风险是经营不可避免的因素。无法完全消除，只能尽可能减少。操作风险影响具有隐蔽性，不容易测算。和其它风险类别不同，操作风险往往由多个原因造成，不易识别。操作风险到处存在。业务流程或系统设计不合理（无论该系统是支持信贷审核，还是防范欺诈）都会造成操作风险损失。业务流程的改变也会引起新的操作风险什么是操作风险管理?操作风险管理是识别和理解业务流程中的操作风险的敞口，而不是完全避免之。必须制定操作风险管理战略：规避、转移、缓释还是接受。.只要理解风险、意识到风险、有透明的披露和充分的监控，接受操作风险也是操作风险管理的一个可能战略。操作风险随着人员、流程、外部因素和系统改变而不断改变，需要联系评估和监控保证业务部门在理解风险的前提下进行决策。必须根据风险与收益配比的原则进行管理操作风险管理是前瞻性的－未来有哪些风险可能影响业务。但是管理的依据是对过去发生的风险的原因和损失的分析。操作风险管理需要企业文化的改变－不可能在一夜之间发生。操作风险管理职责操作风险管理人人有责，但职责不同。业务部门对操作风险管理最终负责。操作风险管理专家负责支持业务部门理解和评估操作风险。其它部门专家负责制定有关具体类型操作风险的政策和流程。这些部门包括.:反欺诈–监察部法律–法律合规部合规–法律合规部人员–人力资源部系统/信息安全–信息科技部操作风险管理的对象财务影响客户或员工影响声誉影响原因原因原因Controls预防性调查性纠正性Risk事件

RBS组织框架和方法RBS集团组织架构SirFredGoodwin集团首席执行官财务管理JohnBaines,CEO公司市场JohnnyCameronCEOAlanDickinson,CEOUK英国公司市场部(UKCB)BrianCrowe,CEO全球银行市场部RBS保险AnnetteCourt,CEO集中处理重新MarkFisher,CEOCitizens(美国)LarryFish,总裁兼CEOUKEuropeUSAsia爱尔兰英国欧洲美国亚洲英国欧洲美国亚洲英国欧洲美国Ulster银行CormacMcCarthy,CEO零售市场及直接银行业务部GordonPell,CEO零售银行ChrisSullivan,CEO零售银行卡欧洲直接银行业务Tesco个人金融公司消费信贷集团办公室RBS操操作风风险管管理框框架集团操操作风风险部部部门公司市场场部个人银行行集中处理理部门RBS保险UlsterCitizens风险管理理职能部部门业务发起起部门风险管理理单位财富管理理直接金融融操作风险险管理程程人员配配置部门2006年配配备人员员集团操作作风险55公司市场场部60零售市场场（含含直接金金融和财财富管理理)390集中处理理部105RBS保险45Ulster(爱尔兰)28Citizens(美国）12操作风险险管理总总员工数数675操作风险险管理框框架操作风险险管理框框架RBS操作风险险管理框框架(ORMF)提供了进进行操作作风险有有效管理理的框架架结构。。该框架的的目的是是:对本集团团面临的的由于人人员差错错、流程程设计缺缺失或不不充分，，系统失失灵或不不当行为为引起的的损失风风险敞口口进行管管理;协助管理理层和员员工在操操作风险险关流方方面的履履职工作作建立全行行统一的的操作风风险管理理最低标标准（包包括指引引和相关关技术）），确保保操作风风险政策策、原则则和流程程的充分分性和有有效性。。操作风险险管理框框架––关键键要素治理机制制确定信息息流动和和决策权权利的正正式的结结构职责确定各部部门和业业务单位位的职责责。管理理层和员员工应正正确理解解其职责责，并具具有相应应的能力力和经验验完成操操作风险险管理政政策和流流程的要要求。政策策、、原原则则和和指指引引宣传传操操作作风风险险管管理理最最低低要要求求指引应规定自自我评估方法法（内部认证证）概要–治治理机制董事会集团行政管理理委员会集团风险管理理委员会集团风险管理理部部门操作风险险管理团队集团审计委员员会部门风险委员员会授权确定操作风险险偏好建议战略、批批准控制、管管理绩效审核核设计框架、趋趋势和集团操操作风险状况况监控、质量量评估添加部门管理理层和业务控控制环节、监监控部门操作作风险状况职责–业业务部门部门首席执行行官(CEO)部门首席执行行官对他/她她所在部门业业务中所有操操作风险的管管理负责。包包括建立符合合操作风险管管理手册中最最低要求的部部门操作风险险管理框架，，并对季度自自我认证结果果签字确认。。业务单位和条条线管理部门门负责业务条线线日常操作风风险管理工作作。该工作必必须是充分和和有效的。部门操作风险险管理团队协助部门管理理层制定、维维护和监察本本部门操作风风险管理框架架（包括风险险管理工作漏漏洞和风险状状况变化的监监控）职责–总总行集团风险管理理部负责制定和维维护集团操作作风险管理框框架和标准，，并通过操作作风险管理手手册为基础的的原则和技术术的适用达到到这一标准。。集团稽核部对集团和部门门操作风险管管理的充分性性、有效性和和连续性进行行独立检查。。.专家部门（如如人力资源部部、反欺诈部部和信息安全全部门）在其领域提供供具体的专业业技术和技能能支持，帮助助操作风险识识别、评估、、监控和缓释释。集团建立立各领域专家家小组，帮助助集团和部门门操作风险管管理团队进行行操作风险的的全面管理。。操作风险管理理手册识别评估监督和报告缓释回避转移通过控制缓释结束作为剩余风险KRI损失数据可能性影响度外部事件新产品收购业务流程改变识别由于犯罪活动动、人员差错错、设计流程程不充分和不不当行为等原原因造成损失失的风险敞口口评估操作风险发生生的概率（频频率）及其影影响的大型小小（财务影响响，员工、客客户和声誉影影响通过以下方式式缓释风险:规避风险,在操作流程中中实施控制（（内控环节））;将风险转移到到更能管理该该风险的部门门或集团外部部机构；接受剩余风险险，将其造成成的损失计入入业务成本.监控和报告剩剩余操作风险险敞口（集团团可能遭受损损失的敞口）），确保业务务流程对操作作风险的持续续管理，并及及时识别信的的操作风险和和需要采取的的行动。操作风险管理理周期操作风险管理理手册操作风险管理理手册描述了了我们执行操操作风险管理理框架的政策策、原则和核核心流程。手册包括以下下流程:风险与控制评评估操作风险事项项日志剩余操作风险险数据库操作风险有效效性检查内部损失数据据搜集业务流程改变变操作风险评评估手册还配有指指引，方便执执行。.配有执行所需需的模板和表表格。.手册与现有操操作风险管理理流程互为补补充(如集团团新产品审批批流程).风险与控制评评估风险与控制评评估目的是为了对对业务中的风风险和风险缓缓释措施进行行评估，并对对操作风险管管理的充分性性进行评价。。包括缺失或或设计不充分分的控制环节节的识别。该流程程的最最低要要求是是:涵盖所所有业业务领领域;识别业业务所所有者者(即风风险所所有者者);识别所所有实实质性性业务务流程程;识别和和评估估所有有实质质性业业务流流程的的风险险的发发生概概率和和影响响度;识别和和评估估风险险缓释释措施施的充充分性性;识别需需要连连续监监控的的关键键风险险指标标;和和对操作作风险险根据据集团团操作作风险险统一一分类类表进进行分分类风险与控制评评估(含关关键风险指标标)事件报告重点点损失数据重点点事件报告和数数据搜集损失事件分类类（示例）自然或人为灾灾害健康、安全与与人力资源管管理事件未经授权的行行动(内部部）未经授权的行行动(外部部）供应商失误违规和违反委委托关系行为为处理错误事件操务影响客户与员工影影响声誉影响原因原因原因风险原因风险险（示例）)人员流程IT系统财产业务环境、政治监管影响度分类（（示例）)重大严重重要次要操作风险报告告操作风险报告告–原则则‘银行应对操作作风险状况和和实质性风险险损失进行定定期监控。监监控结果应以以适当方式向向管理层和董董事会报告，，以支持积极极的操作风险险管理工作。。.’巴塞尔委员会会报告应及时准确清晰一致连续进行操作风险报告告–最初初步骤理解信息需求求理解为为什么么需要要信息息理解信信息的的作用用理解需需要信信息的的频率率理解目目前能能做到到的现现实情情况建立长长期、、连续续的报报告模模式和和内容容RBS操操作风风险内内部报报告集团操操作风风险管管理部部编制制月度度操作作风险险报告告集团操操作风风险部部报告告内容容:关键事事件和和领域域风险险状况况总结结，及及其风风险偏偏好情情况:收购、、出售售和转转移（（或购购入））业务务部门门新产品品,新监管管规定定和立立法,欺诈和和抢劫劫网点点发生生的增增加各部门门报告告:各部门门重要要风险险事件件和风风险状状况变变化剩余风风险的的实质质性改改变内部控控制的的充分分性和和有效效性月度重重大事事件数数据审计结结果操作风险报报告–基基本模式式每月报告欺欺诈案件的的数量、金金额、挽回回金额，分分为:内部欺诈外部欺诈信用卡欺诈诈操作风险损损失事件的的数量和（（毛）净额额:原因业务条线/事件发发生部门总行稽核部部稽核结果果汇总/发发现的控控制问题。。包括:原因业务条线/问题发发生部门发现问题的的严重性洗钱损失事事件的数量量和（毛））净额:原因业务条线/问题发发生部门操作风险报报告–高高级模式式报告应包括括事件情况况、趋势分分析，数据据评价，以以帮助业务务部门做好好关键事件件及其业务影响分析析。报告内内容应包括括：出现问题领领域(内内部和外部部)关键事件损失数据、、欺诈和不不利影响分分析风险状况:-总体风险水水平变化-风险控制有有效性改变变-剩余风险改改变(使使用关键风风险指标等等反映)RBS––内部与外部部报告报告要求RBS集团操作风险管理框架审计委员会行政管理委员会和董事会集团管理层-(自我认证流程)SoX404法律巴塞尔协议要求监管当局原则1业务流程对操作风险管理的充分性必须定期检查，并通过正式程序进行季度确认。.原则4必须每季度对业务流程操作风险控制的有效性进行评估。为此所有业务部门必须:建立连续的测试方案搜集和分析损失数据

原则3

超过风险容忍度的剩余风险并须制定相应的解决行动。必须对该行动的进行实施连续的监督。

原则2.业务部门必须确定可接受剩余风险（即实施了控制后的风险水平）水平，并进行书面记录并由部门负责人签字确认。原则五–必须严格遵守集团现有操作风险管理流程外部报告内部报告本行致力于贯彻包括政策、流程、程序和技术在内的操作风险管理框架，从而实现本集团操作风险成本有效、统一协调的识别、评估、缓释、监控和报告；防止由操作风险造成的财务、声誉、客户、员工等方面的损失，并满足监管和法律要求内控概述也称三道防防线内控–案案例研究究由经验引起起的检查行行为RBS曾一一度度受受到到很很大大的的欺欺诈诈案案件件损损失失(和和英英国国其其它它银银行行一一样样)RBS业务务部部门门负负责责人人决决定定采采取取行行动动发现现银银行行内内部部某某些些流流程程较较容容易易受受欺欺诈诈袭袭击击这些些流流程程是是:开户户接受受存存款款付出出资资金金授信信内部部销销帐帐系统统进进入入员工工雇雇用用背背景景调调查查内控控检检查查所有有业业务务部部门门必必须须检检查查以以上上七七个个流流程程有有多多少少和和他他们们相相关关对关关键键业业务务流流程程进进行行图图示示.识别别并并记记录录每每一一流流程程环环节节的的控控制制测试控制制框架的的充分性性和有效效性所有控制制都要有有测试计计划每季度对对银行流流程内控控的有效效性和充充分性进进行测试试，并颁颁发测试试证书每一部门门的负责责人应签签字确认认季度测测试认证证证书内控认证证内控认证证主要关关注提高高风险管管理意识识和改善善RBS内控机制制。需要要提高的的三个关关键领域域是:确定控制制设计的的充分性性建立风险险意识和和文化测试控制制的有效效性控制示例例开户所有与开开立新帐帐户有关关的文件件都应进进行独立立检查测试理由由银行要满满足开户户方面的的监管要要求，识识别客户户身份。。否则会会被罚款款或吊销销营业执执照。因因此必须须由网点点经理或或其它有有资质的的人员进进行检查查，保证证满足FSA要求。示例内部销帐帐网点所有有帐户必必须检查查。.对某些帐帐户的特特定分录录进行抽抽查通过电脑脑系统打打印本网网点行号号项下所所有荡帐帐（内部部）帐户户记录－－并与总总帐核对对测试理理由必须确确保过过帐