商业银行合规管理及操作风险管理mnlou

1

中国银行运营服务总部王寒冰

2009年8月30日

西宁商业银行合规管理及内部控制与操作风险管理2案件回顾合规管理内控原理三道防线内控实践应对挑战操作风险工具流程提纲3从治理类案件到管理类案件第一部分：案件回顾4巴林银行里森案（1995）1995年2月，英国历史最悠久的巴林银行派驻新加坡的交易员尼克·利森“未经授权”大量购买走势看好的日本日经股票指数的期货，但没想到一场阪神大地震使日经指数不升反跌，导致巴林银行亏损14亿美元，一下陷入破产境地。

当时整个巴林银行的资本和储备金只有8.6亿美元。

荷兰国际集团最终以1英镑价格收购巴林银行。52001年10月中行广东开平支行许超凡、许国俊、余振东等3任行长，9年里监守自盗4·83亿美元。2004年4月16日17时10分许，中国银行开平案主犯之一、原中行广东省开平支行行长余振东被美国警方押送回北京首都国际机场。中国警方在机场对其实施逮捕。广东开平案（2001）6苏格兰皇家银行MacKenzie案（2004）

苏格兰皇家银行（RBS）2004年暴露英国历史上最大的银行欺诈案，DonaldMacKenzie是爱丁堡人，为RBS员工，1999年至2004年期间通过开立大量虚假账户的方式骗取银行资金，涉案金额达2100万磅（约合3亿元人民币），其中有1000万磅的损失不知去向。

DonaldMacKenzie也是RBS业务骨干，一个正在上升的新星（arisingstarofRBS），曾三次因拓展业务而受到奖励，也因此掩盖了其欺诈行为。此案是因RBS改造IT系统导致案发，同国内发生的一些银行欺诈案件的特点非常类似，如出一辙。

此人2004年事败，2006年6月底被判15年徒刑。7哈尔滨松江街支行高山案（2005）■2005年1月3日，中国银行黑龙江分行哈尔滨河松街支行行长高山全家离境去了加拿大，并且卷走了6亿多元储蓄资金。■高山卷走的这些资金中，一笔是东北高速的存款3.23亿元，另一笔是黑龙江辰能投资有限公司的3.06亿元。■高山的作案方式主要是开具假存单。在最后的作案时间里，他在中行其他支行提现1亿多元。■被卷走资金的辰能投资的一位相关负责人，在知道这件事的当天晚上和几个好友吃完晚饭后，回到家里跳楼自杀了。8农行邯郸分行金库被盗案（2006）2006年10月至2007年4月，中国农业银行河北省邯郸分行金库管库员任晓峰、马向景等人，利用担任金库管库员的职务便利，共同窃取金库现金5095.605万元，用于购买彩票。

2007年8月9日邯郸市中级人民法院一审认为对任晓峰、马向景行为已构成贪污罪，且数额特别巨大，情节特别严重，对两人做出死刑、剥夺政治权利终身的判决。

2007年9月19日河北省高级人民法院做出终审裁定，驳回任晓峰、马向景、赵学楠的上诉，对邯郸银行盗窃案全案维持一审原判。对任晓峰、马向景维持死刑判决的裁定，河北省高级人民法院将依法报请最高人民法院核准。

邯郸银行金库特大盗窃案嫌犯任晓峰落网资料图片：马向景接受审讯9法国兴业银行科维尔股指期货欺诈交易案（2008）2008年1月，法国兴业银行发生交易员杰洛米•科维尔从事欺诈性股指期货交易，造成法国兴业银行49亿欧元(71.6亿美元)损失。

这名交易员从2007年上半年便开始在上级不知情的情况下从事违规交易，交易类型为衍生品市场中最基本的股指期货。

这次欺诈事件是银行史上造成损失数额最大的一次。10代价！“毁誉”——声誉风险“破财”——财务损失“分心”——整改成本11财务损失金融监管部部门的罚款款；各种诉讼赔赔偿；律师费用、、独立的第第三方调查查费用、公公关费用；；失去准入资资格，丧失失巨大的业业务机会；；股价下跌，，融资成本本增加；其他的间接接财务损失失。在监管者面面前失去信信誉——引起监管的的连锁反应应在公众面前前失去信誉誉——媒体的放大大效应在市场投资资者面前失失去信誉——投资评级的的下降各种声誉风风险相互关关联造成的的放大效应应——从监管处罚罚的公开到到媒体的反反应，到市市场反应、、诉讼导致致的声誉风风险具有持持续性声誉损失机会损失正常的战略略实施步骤骤将被打乱乱与监管者的的沟通和修修复关系避免连锁监监管反应回复客户信信心监督实施整整改计划应对对媒媒体体负负面面报报道道合规风险的影影响122004年10月25日花旗集团CEO普林斯本人亲亲赴日本以个个人身份向日日本金融厅专专员五味广文文道歉。日本金融厅长长官五味广文文花旗集团CEOCharlesPrince毁誉！13“Saysorry,Japanstyle”2004年10月25日花旗集团CEOCharlesPrince和日本花花旗CEODouglasPeterson因违规和和洗钱行行为在东东京举行行新闻发发布会表表示谢罪罪：“我为花旗旗未能在在日本守守法合规规经营，，真诚地地向客户户和公众众致歉。。”右：花旗旗集团CEOCharlesPrince左：日本本花旗CEODouglasPeterson毁誉！14CSFB由于违反反合规导导致其在在日本被被吊销执执照Citigroup因贷款违违规被罚罚7000万美元投资银行行业巨头头MorganStanley、DeutscheBank和BearStearns因上市欺欺诈被重重罚1500万美元作为调解解方案的的一部分分，UBSWarburg同意支付付2500万美元作作为罚款款，25美元作为为“退脏费”，2500万美元用用来支持持独立调调查，500万美元作作为未来来的投资资者教育育款项。。在股东投投票决定定拟议中中的并购购之前，，BankofAmerica和FleetBostonFinancial与监管当当局就其其相互之之间的基基金不当当交易问问题达成成一项6.75亿美元的的调解方方案，监监管当局局要求BankofAmerica在一年内内替换其其大部分分基金董董事。英国金融融监管当当局即金金融服务务管理局局（FSA）以违反反英国洗洗钱规则则为由对对奥地利利银行RaiffeisenZentralbankÖsterreich处以15万英镑(27.2万美元)的罚款。。印度国家家银行因因违反银银行保密密法及未未能完整整保存账账簿和记记录而被被联邦储储备银行行及其它它美国监监管当局局处以750万美元的的罚款。。五家投资资银行因因在监管管当局调调查其是是否向投投资银行行客户签签发误导导或错误误调查报报告期间间未能向向监管当当局发送送电子邮邮件而集集体被罚罚825万美元。。商业银行行因违规规受处罚罚案例15法国兴业业银行因因科维尔尔案受处处罚2008年7月，法国国银行监监管机构构“法国银行行委员会会”对兴业银银行开出出400万欧元罚罚单，原原因是兴兴业银行行内部监监控机制制“严重缺失失”，导致巨巨额欺诈诈案的发发生。银行委员员会指出出，兴业业银行内内部监控控机制严严重缺失失，使得得金融交交易在各各个级别别缺乏监监控的情情况下，，在较长长时期内内难以被被察觉并并得到纠纠正，因因而存在在较大可可能发生生欺诈案案并带来来严重后后果。为此对兴兴业银行行罚款400万欧元。。这一罚罚款金额额接近银银行委员员会的罚罚款上限限（最高高上限为为500万欧元））。16合规风险险管理原原理与实实践第二部分分：合规规风险17BASEL“合规风险险”定义合规风险险指银行行因未能能遵循法法律、监监管规定定、规则则、自律律性组织织制定的的有关准准则，以以及适用用于银行行业务活活动的行行为准则则（“合规法律律、规则则和准则则”）而可能能遭受法法律制裁裁或监管管处罚、、重大财财务损失失或声誉誉损失的的风险。。——《合规与银银行内部部合规部部门》（2005年4月）“Complianceriskisdefinedastheriskoflegalorregulatorysanctions，materialfinancialloss，orlosstoreputationabankmaysufferasaresultofitsfailuretocomplywithlaws，regulations，rules，relatedself-regulatoryorganisationstandards，andcodesofconductapplicabletoitsbankingactivities.”18“合规法律律、规则则和准则则”主要要包括：：遵守市场场行为的的适当准准则管理利益益冲突公平对待待消费者者确保客户户咨询的的适当性性特定领域域：反洗洗钱和反反恐怖融融资、税税收“合规法律律、规则则和准则则”渊源源包括：：遵守市场场行为的的适当准准则立法机构构和监管管机构发发布的基基本的法法律、规规则和准准则市场惯例例行业协会会制定的的行业规规则适用于银银行职员员的行为为准则等等。合规法律律、规则则和准则则不仅包包括那些些具有法法律约束束力的文文件，还还包括更更广义的的诚实守守信和道道德行为为的准则则“合规法律律、规则则和准则则”理解19银监会“合规”定义“本指引所所称合规规，是指指使商业业银行的的经营活活动与法法律、规规则和准准则相一一致。”“本指引所所称法律律、规则则和准则则，是指指适用于于银行业业经营活活动的法法律、行行政法规规、部门门规章及及其他规规范性文文件、经经营规则则、自律律性组织织的行业业准则、、行为守守则和职职业操守守。”“本指引所所称合规规风险，，是指商商业银行行因没有有遵循法法律、规规则和准准则可能能遭受法法律制裁裁、监管管处罚、、重大财财务损失失和声誉誉损失的的风险。。”——银监会《商业银行行合规风风险管理理指引》（2006年）20其它“合规”定义合规是指指，使一一家银行行的活动动与所适适用的法法律法规规、监管管规定、、规则、、自律性性组织制制定的有有关准则则，以及及适用于于银行自自身业务务活动的的规章制制度和行行为准则则（统称称“合规法律律、规则则和准则则”）相一致致。合规规是银行行内部一一项核心心的风险险管理活活动。——上海银监监局《上海银行行业金融融机构合合规风险险管理机制制建设的的指导意意见》（2005年9月）“本规定所所称合规规，是指指证券公公司及其其工作人人员的经经营管理理和执业业行为符符合法律律、法规规、规章章及其他他规范性性文件、、行业规规范和自自律规则则、公司司内部规规章制度度，以及及行业公公认并普普遍遵守守的职业业道德和和行为准准则。”——证监会《证券公司司合规管管理试行行规定》（2008年7月）？21思考：“内法”还是“外法”？“规”是指指“外部部的法律律、规则则和准则则”还是是还包括括“银行行内部规规章制度度”？如果“合合规”包包括“银银行内部部规章制制度”，，那么““合规管管理”和和“内部部控制管管理”还还有分别别吗？监管当局往往往对银行“内内部控制”也也提出合规要要求，这是否否意味着“银银行的内部控控制建设就是是为了满足监监管当局的合合规要求”？？，是否进而而可以说“银银行的内控工工作即是合规规工作”？银行”合规管管理“和”内内部控制“之之间的关系如如何？合规风险管理理能否完全杜杜绝违规事件件的发生？22“外法”内化流程法规变化分析处理分解到各部门门各部门内化重点关注人民民银行、银监会、外管局及其它它境内外监管法法规变化分析对我行经经营管理的影响关注与各部门门工作的相关关性；对于有重大影影响的法规，，发布合规风险险提示制定、修改规章制度和操作流程23专项合规管理理流程实例：：反洗钱设置反洗钱工工作委员会制度建设：反反洗钱政策；；“了解客客户”制度；；大额交易报报告制度；可可疑交易报告告制度；记录录保存制度（（账户和交易易资料的保存存）系统建设：大大额和可疑交交易报告系统统反洗钱检查开展多层次、、有针对性的的测试和培训训：管理部门门、一线员工工围绕监管关注注的焦点确定定重点合规工工作！24三类合规风险险管理检查——“仪表盘”示例监管问题全球金融市场－英国全球金融市场－亚洲全球金融市场－美洲产生监管影响的重大内部事件例如：系统失灵可能导致违背监管要求客户投诉（及公众评论）例如：银行卡被公众给予负面评价稽核结果业务变化新产品开发业务架构重大业务重组，例如：并购等监管变化负担评估监管变化给业务单元带来的负担监管者关注焦点公告监管机构发表的演讲、媒体讨论的行业热点问题检查活动监管检查或会谈的结果25合规风险管理理流程框架识别评估监控报告缓释规避转移控制关键风险指标损失数据概率影响度外部事件（如法规变化）新产品收购业务流程改变26合规风险识别别、评估、监监控流程外部法规变化化的监控规章制度合规规性审查新产品合规管管理（新产品品开发的合规规性论证；新新产品投入市市场前，对相相关法律文件件及宣传品进进行合规审查查）重大合规信息息的报告合规培训管理理重大合规项目目的管理：反反洗钱；关联联交易问责制度绩效考核指标标27合规、内控、、操作风险定定义合规风险银行因未能遵遵循法律、监监管规定、规规则、自律性性组织制定的的有关准则，，以及适用于于银行业务活活动的行为准准则而可能遭遭受法律制裁裁或监管处罚罚、重大财务务损失或声誉誉损失的风险险。（BASEL）内部控制由企业董事会会、经理层以以及其他员工工共同实施的的,为财务报告的的准确性、经经营活动的效效率与效果、、相关法律法法规的遵循等等目标的实现现而提供合理理保证的过程程。它包括五五个方面的组组成要素:控制环境、风风险评估、控控制活动、信信息与沟通、、监督。（COSO）操作风险由不完善或有有问题的内部部程序、人员员及系统或外外部事件所造造成损失的风风险。该定义义不包括策略略风险和声誉誉风险，但包包括法律风险险。（BASELII）28COSO2003全面风险管理理框架（ERM）“EnterpriseRiskManagementFramework”（ERM）COSO2003年7月公布内部环境战略目标设定事件识别风险评估风险应对控制活动信息与沟通监控运营财务报告合规子公司业务单位分支机构企业主体层次29合规同内控及及操作风险间间比较内部环境战略目标设定事件识别风险评估风险应对控制活动信息与沟通监控运营财务报告合规子公司业务单位分支机构企业主体层次识别评估监控报告缓释规避转移控制关键风险指标损失数据概率影响度外部事件（如法规变化）新产品收购业务流程改变合规是内控多多重目标之一一，但不是唯唯一目标；合规管理流程程是内控管理理流程的一部部分重要内容容，但不是全全部内控流程程；合规风险引起起的原因包括括人员、流程程、系统，因因此合规风险险是操作风险险的一部分；；合规风险是一一种特别的操操作风险，因因此需要专门门的管理！30内控三道防线线理念适用于于合规管理董事会及执行行委员会第一道防线第二道防线第三道防线业务部门和分分支机构从事事业务操作的的人员日常风险管理理集团总部、分分支机构构、业务条线线合规风险管管理人员专家职能负责政策制定定、工具开发发专业咨询、、风险管理监监控独立检查稽核部门31内部控制基本本原理——从“控制”到“风险”！第三部分：内内控原理32COSO1992内部控制框架架（ICF）运营目标财务报告真实实性目标合规目标控制环境；风险评估；控制活动；信息和沟通；；监控。各业务单位各业务活动第二维:5个要素第一维：3个目标第三维：2个方面监控信息和沟通控制活动风险评估控制环境营运财务报告合规性业务单位A业务单位B活动2活动1COSO：CommitteeofSponsoringOrganizationsoftheTreadwayCommission33COSO2003全面风险管理理框架（ERM）“EnterpriseRiskManagementFramework”（ERM）COSO2003年7月公布内部环境战略目标设定事件识别风险评估风险应对控制活动信息与沟通监控运营财务报告合规子公司业务单位分支机构企业主体层次34ERM2003ICF1992监控信息和沟通控制活动风险评估控制环境运营财务报告合规业务单位A业务单位B活动2活动1要素维度组织维度内部环境战略目标设定事件识别风险评估风险应对控制活动信息与沟通监控运营财务报告合规子公司业务单位分支机构企业主体层次COSOI与COSOII之框架比较企业风险管理贯穿于企业各个层级，包括分之机构、子公司和业务单位，并根据“风险组合观”，站在企业主体层次的高度来整体把握风险；COSOII将COSOI中的“风险评估”要素拓展为“目标设定”、“事项识别”、“风险评估”和“风险应对”四个要素目标维度企业风险管理与战略制订紧密联系，使得企业的战略目标与其对风险的态度、风险偏好相协调。35风险是一个事事件将会发生生并给目标实实现带来负面面影响的可能能性。ERM对“风险”的定义ERM严格区分分“风险”和“机会”（将产生生正面影影响的事事件视为为“机会”，ICF没有区分分风险和和机会；；ERM可以涵盖盖信用风风险、市市场风险险、操作作风险、、战略风风险、声声誉风险险及业务务风险等等各种风风险；站在现在在这个时时点预测测和评判判未来的的事情。。将会发生生目标实现现为评判未未来结果果是好是是坏的标标准负面影响有好好的也有有坏的，，好的影影响是机机会，会会给企业业带来利利润；坏坏的影响响是风险险，会给给企业带带来损失失可能性强调了不不确定性性，有可可能发生生也有可可能不发发生。36ERM框架八八要素素之间间的关关系目标设设定事件识识别风险评评估风险应应对控制活活动信息与与沟通通监控内部环境内部环境37复杂多多维的的监管管环境境带来来的挑挑战财政部部《企业内内部控控制基基本规规范》（2008）《内部控控制评评价指指引》《内部控控制实实施指指引》《内部控控制鉴鉴证指指引》银监会会《商业银银行内内部控控制指指引》（2007）银监会会《商业银银行内内部控控制评评价办办法》（2005）上交所所《上海证证券交交易所所上市市公司司内部部控制制指引引》（2006）银监会会《商业银银行操操作风风险管管理指指引》(2007)银监会会《商业银银行操操作风风险资资本计计量指指引》(2008)38《企业内内部控控制基基本规规范》出台背背景2005年6月，国国务院院就财财政部部、国国资委委和证证监会会联合合上报报的《关于借借鉴<萨班斯斯法案案>完善我我国上上市公公司内内部控控制制制度的的报告告》做出批批示，，同意意“由财政政部牵牵头、、联合合证监监会及及国资资委、、积极极研究究制定定一套套完整整公认认的企企业内内部控控制指指引”。2006年7月15日，财财政部部、国国资委委、证证监会会、审审计署署、银银监会会、保保监会会联合合发起起成立立企业业内部部控制制标准准委员员会，，就研研究、、制定定一套套具有有统一一性、、公认认性和和科学学性的的企业业内部部控制制规范范达成成了共共识”。2007年3月，财财政部部发布布“关于印印发《企业内内部控控制规规范---基本规规范》和17项具体体规范范（征征求意意见稿稿）的的通知知”，面向向全社社会开开始征征求意意见。。经过一一年多多的修修改和和调整整，财财政部部最终终于2008年6月28日正式式发布布了《企业内内部控控制基基本规规范》，作为为企业业内控控的政政策性性框架架文件件，用用以规规范所所有企企业的的内部部控制制。39《基本规规范》实施要要求2005年6月，国国务院院就财财政部部、国国资委委和证证监会会联合合上报报的《关于借借鉴<萨班斯斯法案案>完善我我国上上市公公司内内部控控制制制度的的报告告》做出批批示，，同意意“由财政政部牵牵头、、联合合证监监会及及国资资委、、积极极研究究制定定一套套完整整公认认的企企业内内部控控制指指引”。为加强强和规规范企企业内内部控控制，，提高高企业业经营营管理理水平平和风风险防防范能能力，，促进进企业业可持持续发发展，，维护护社会会主义义市场场经济济秩序序和社社会公公众利利益，，根据据国家家有关关法律律法规规，财财政部部会同同证监监会、、审计计署、、银监监会制制定了了《企企业内内部控控制基基本规规范》》，现现予印印发，，自2009年年7月月1日日起在在上市市公司司范围围内施施行，，鼓励励非上上市的的大中中型企企业执执行。。执行行本规规范的的上市市公司司，应应对内内部控控制的的有效效性进进行自自我评评价，，披露露年度度自我我评价价报告告，并并可聘聘请有有证券券、期期货业业务资资格的的会计计师事事务所所对内内部控控制的的有效效性进进行审审计。。。40《基本规规范》实施主主要问问题实施《基本规规范》商业银银行同同一般般企业业实施施有何何不同同？--新资本本协议议操作作风险险管理理的实实施能能够解解决商商业银银行内内控的的绝大大部分分问题题！基本思思路：：以实实施BASEL操作风风险管管理框框架为为主，，兼顾顾COSO!《基本规规范》是中国国的SOX吗？--如何履履行披披露义义务是是一个个博弈弈过程程;披露范范围广广泛；；披露露方法法的选选择。。如何建建立系系统的的内控控评价价方法法：合合理实实现全全面评评价和和重点点评价价的结结合；；统一一的评评价和和测试试标准准；评评价方方法论论能支支持内内控是是否整整体有有效的的结论论；如何建建立统统一的的内控控缺陷陷评价价标准准？如何加加强内内控文文档的的系统统整理理和维维护？？41《基本规规范》是中国国的SOX吗？SOX针对上上市公公司，，《基本规规范》针对“大中型型企业业”，不必必然是是上市市公司司；SOX只针对对财务务报告告的内内控；；《基本规规范》一共有有5个目标标（运运营；；财报报；合合规；；战略略；资资产））SOX要求必必须有有审计计报告告；《基本规规范》的提法法是“可以”，即无无强制制要求求；SOX不提供供内控控方法法论；；《基本规规范》提供方方法论论框架架；SOX的立法法重点点在于于披露露责任任；《基本规规范》未明确确披露露要求求结论：：《基本规规范》因SOX而起，，确非非”C-SOX”!”C-SOX”是严重的的误解！！42内部控制制三道防防线体系系第四部分分：内控控治理43内部控制制三道防防线基本本架构和和含义董事会和和管理层层各业务单单位各业务单单位内部审计计专业性部部门或功功能(法律、人人力资源源、反洗洗钱、保保卫、信息科技技、信息息安全、、反金融融犯罪等等职能内部控制制牵头职能能日常内部部控制和和操作风风险管理理业务一线线内控第一一道防线线内控第二二道防线线内控第三三道防线线提供独立立的保证证维护内部部控制框框架，设设定内部部控制和和操作风风险管理理政策，，制定和和开发相相关的工工具和流流程，实实施风险险监控业务条线线部门内部的内内控或操作风风险管理职能能44内部控制制三道防防线的一一般原理理内控三道道防线是是指业务务一线、、操作风风险管理理和专业业功能、、内部审审计构成成的三道道内控防防线，以以确保适适当和有有效的内内部控制制结构。。三道防线线是一个个理念或或概念，，但并不不是一套套规定的的规则或或者组织织架构，不能简简单把三三道防线线对应为为组织架架构甚至至部门。。三道防线线的理念念强调实实现有效效的内部部控制不不可能在在脱离业业务一线线的情况况下实现现，是业业务一线线来最终终拥有和和管理自自己的风风险，即即业务一一线是风风险的所所有人，，因此是是内控的的第一责责任人。内控三道防线线理念的最大大优势在于，，第一次鲜明明地提出各级级机构、部门门、每个管理理者和员工都都是第一道防防线！一道防防线的核心是是强调“内控人人有责责”。第二道防线（（内控牵头部部门或者操作作风险管理牵牵头部门）和和第三道防线线（内部审计计）的任务是是支持业务一一线（第一道道防线）识别别、评估、监监控、缓释和和报告其内控控控制中存在在的问题（也也就是操作风风险），使业业务一线内部部嵌入有效的的操作风险和和内部控制机机制，并且在在对风险有充充分考虑和管管理的情况下下的开展业务务经营活动。。45中国银行内部部控制建设探索实践第五部分：内内控实践46中国银行公司司治理架构一一览法律与合规部部为关联交易易控制委员会会、内部控制制委员会、反反洗钱工作委委员会的秘书书机构。47建立内部控制制委员会平台台内控委主席李礼辉行长总行内控委分行内控委季度会议制总分行内控委委实施季度例例会制度，就就各业务条线线和分行内控控工作做出部部署，研究并并出台了一系系列有关内控控的重大措施施和规章制度度，监控和督督促全行内控控整改进展，，研究范防大大要案的具体体措施，同苏苏格兰皇家银银行（RBS）开展战略合合作着手建立立识别、评估估、监控、缓缓释、报告操操作风险的管管理框架。内控委员会建建立了分行内内部控制数据据监测制度，，每季度收集集包括人力资资源、系统失失灵、欺诈越越权、业务重重大差错、反反洗钱、监管管处罚、内控控整改、违规规事件、法律律风险、关联联交易等十大大类共61项内控数据，，分析比对分分行内控数据据及其变化情情况。分行内控委员员会会议纪要要报备制度；；季度会议制分行内部控制制数据监测制制度管理层及各一一级分行成立立内控委员会会，统筹领导导全行内控体体系的总体运运行，定期研研究讨论重要要内控工作，，为及时推出出有效控制措措施提供了议议事平台。48将内部控制建建设纳入整体体战略布局2005年6月召开全行内内部控制体系系建设工作会会议，第一次次将内控工作作纳入全行总总体战略布局局当中，提出出：以完善的的内部控制组组织体系为保保障，以体现现制衡原则、、健全有效的的制度为基础础，以精细化化的过程控制制为着眼点，，以激励约束束机制和问责责制为引导，，以信息科技技手段为依托托，大力培育育合规文化，，努力构建我我行全面系统统、动态、主主动和可证实实的内部控制制体系。”这次会议提出出六个入手:从明确职责入入手，完善内内部控制组织织体系建设；；从制度建设入入手，夯实内内部控制基础础；从细节入手，，实现精细化化的过程控制制；从完善激励约约束机制和问问责制入手，，引导内部控控制目标的实实现；从加强信息技技术手段入手手，提高内部部控制水平和和质量；从加强教育培培训入手，促促进合规文化化的形成。49总分法律与合合规部组织架架构业务运营一业务运营二业务运营三知识产权合规管理内控评估监控控内控政策规划划内控检查副总首席合规官副总副总总经理海外机构与反反洗钱关联交易资深法律专家家行政团队法务秘书法律风险管理理合规风险管理理内部控制与操操作风险管理理各省行均设法法律与合规部部，牵头本分分行内控工作作；二级行设设相关内控部部门负责其内内控工作。50规章制度机构构间差异带来来的挑战问题：不同分行和网网点同一业务务流程不标准准、不统一的的现象较为严严重。原因：制度缺乏统一一操作标准和和技术细节，，下级行不得得不自创流程程和标准；规章制度信息息在自上而下下的传导中产产生的误差逐逐级放大！“上面千条线，，下面一根针针”，分散的规章章制度事实上上难以被掌握握；上级管理部门门对基层负担担不敏感；对对基层是否掌掌握规章制度度不敏感；“要不要做麦当当劳？－－”标准化思想尚尚未深入人心心；“规章制度是否否都要结合本本行实际？”－－什么是“本行实际情况况”？对规章制度度的特别化处处理缺乏管理理。…………危害：“说不清楚”－－降低了管管理透明度“考核总是不公公平－－”降低了行与行行之间的可比比性“我总是坐在火火山口上”－－降低了内内控系统的可可靠性“为什么总是管管不好下级机机构的内控工工作？”－－总行和一一级分行对下下级机构的管管控难度加大大。…………解决：能明确具体操操作标准的要要尽量明确；；制定规章制度度流程要科学学，倾听基层层意见不能走走形式；大力倡导操作作流程的标准准化和一致化化个别机构因实实际情况确有有必要调整流流程，应及时时报备。上级对下级机机构的流程差差异要心中有有数。…………51第六部分：应应对挑战如何应对COSO和BASEL两方面挑战？？52BASEL和COSO两方面挑战一方面我们面面临来自BASEL的挑战：要按按照银监会要要求，实施巴巴塞尔新资本本协议，完善善操作风险管管理框架，主主动识别、评评估、缓释、、监控、报告告操作风险。。我们同时还面面临来自COSO的挑战：要根根据财政部等等五部委联合合发布的《企业内部控制制基本规范》要求，按照COSO全面风险管理理框架，完善善内部控制体体系。53COSO与BASEL对比分析巴塞尔新资本本协议操作风风险管理框架架主要突出银银行特色COSO全面风险管理理框架则是对对一般企业的的共性要求两者角度虽有有不同，但在在精神实质上上是一致的。。银行业要统筹筹考虑自身内内控和操作风风险管理体系系建设问题54内部控制与操操作风险管理理的关系（一一）操作风险管理理文化识别评估控制或缓释监控报告内部环境风险评估控制活动信息与沟通监控目标识别事件识别风险评估风险应对内部控制操作风险管理理两个术语表达达的含义略有有不同但在精神实质质上是一致的的55内部控制与操操作风险管理理的关系（二二）本行不严格区区分“内部控制”与“操作风险管理理”，对“内部控制”与“操作风险管理理”两者关系的表表述是：“内部控制”和“操作风险管理理”两个术语的内内涵和侧重点点虽有不同，，但两者涉及及的问题和领领域在相当大大的范围内是是共同的，在在方法论上是是相近或一致致的。内部控制中的的“内部环境”要素与“操作风险管理理文化”在内涵上基本本一致；内部控制框架架中“目标设定”、“事件识别”、“风险评估”三个要素大致致可体现为操操作风险管理理循环的“识别”与“评估”环节；“风险应对”和“控制活动”两要素实际上上与操作风险险管理循环中中的“控制或缓释”环节相当；“信息与沟通”要素的内容在在操作风险管管理循环的“报告”环节有所涉及及。56应对思路——“一心二用”以巴塞尔新资资本协议实施施为主；同时借鉴COSO等国际内控标标准；逐步搭建具有有银行自身特特色的内部控控制与操作风风险管理框架架；一个框架满足足两方面要求求；对应来自COSO与BASEL两方面挑战的的总体思路：：57第七部分：操操作风险原理理BASEL操作风险管理理58什么是操作风风险?“操作风险是指指由不完善或或有问题的内内部程序、人人员及系统或或外部事件所所造成损失的的风险。本定定义包括法律律风险，但不不包括策略风风险和声誉风风险。”一般行业对操操作风险的定定义-BBA/Isda/RMA对操作风险的的调查需注意–其不包括策略略风险和声誉誉风险细化来看，操作风风险包括原因因、事件及后后果。原因，如：导导致损失的缘缘由是什么事件，如：给损失失分类后果，如：该该损失对损益益的影响59操作风险定义义解读操作风险是银银行除了信用用风险和市场场风险以外的的其他风险，，因此也有称称“企业风险”。操作风险叫“运营风险”更为准确，因因为企业运营营运转的因素素就是人、流流程、系统、、外部环境。。操作风险和内内部控制是一一回事。风险险和控制是问问题的两面！！风险管理是内内部控制的高高级阶段在组织中无处处不在并构成成业务经营组组成部分是内部因素和和外部因素的的混合体不可避免，不不能完全消除除并只能尽量量减少它难计量通常情况下操操作风险的原原因并不显而而易见，其是是各种潜在因因素的产物60操作风险管理理流程循环规避转移加强内部控制接受剩余风险识别评估监督报告缓释风险与与控控制制评评估估集团团重大大事事件件报报告告流流程程集团团新产产品品审审批批流流程程业务务持续续经经营营计计划划风险与与控控制制评评估估集团团重大大事事件件报报告告流流程程集团团新产产品品审审批批流流程程损失失数据据收收集集流流程程操作作风险险事事项项及及剩剩余余风风险险监监控控集团团重大大事事件件报报告告流流程程损失失数据据收收集集关键键风险险指指标标61从BaselI到BaselII没有有针针对对操操作作风风险险的的资资本本要要求求较低低的的风风险险敏敏感感性性BaselI仅有有部部分分监监管管机机构构要要求求银银行行进进行行整整体体风风险险评评估估有限限的的披披露露要要求求明确确提提出出对对操操作作风风险险的的资资本本要要求求明确确的的披披露露要要求求明确确的的整整体体风风险险/资本本评评估估要要求求较高高的的风风险险敏敏感感性性BaselII巴塞塞尔尔新新资资本本协协议议框框架架转换换为为不不同同国国家家的的监监管管要要求求各国国可可根根据据实实际际情情况况对对新新协协议议的的部部分分规规定定进进行行修修改改导致致母母国国/东道道国国间间的的差差异异62第二二支支柱柱ICAAPandSREP银行行全全面面评评估估面面临临的的风风险险，，涵涵盖盖：：未被被支支柱柱1完全全覆覆盖盖的的风风险险，，如如：：集集中中度度风风险险；；支柱柱1未考考虑虑的的风风险险，，如如银银行行账账户户利利率率风风险险：：压力力测测试试；；评估估覆覆盖盖风风险险所所需需的的资资本本；；由监监管管机机构构对对于于资资本本充充足足率率进进行行监监督督检检查查。。第三三支支柱柱信信息息披披露露针对对风风险险管管理理的的新新的的市市场场披披露露要要求求。。需需有有效效披披露露：：银行行风风险险状状况况；；资本本充充足足状状况况；；披露露具具体体的的定定性性和和定定量量信信息息：：适用用范范围围；；资本本的的组组成成；；风险险暴暴露露情情况况；；资本本充充足足率率。。第一一支支柱柱最低低资资本本要要求求新的的基基于于风风险险的的最最低低资资本本要要求求，，涵涵盖盖信信用用风风险险、、市市场场风风险险和和操操作作风风险险：：通过过更更为为完完善善的的信信用用风风险险加加权权和和内内部部评评级级方方法法，，增增加加风风险险敏敏感感度度；；更好好的的统统一一监监管管资资本本与与经经济济风风险险；；对信信用用风风险险和和操操作作风风险险提提供供了了不不同同复复杂杂性性的的多多种种方方法法。。IT基础础设设施施三大大支支柱柱一致致的的数数据据架架构构数据据管管理理标标准准新资资本本协协议议架架构构（（三三大大支支柱柱））63背景景银监监会会2007年年2月月，，中中国国银银监监会会发发布布了了《《中中国国银银行行业业实实施施新新资资本本协协议议指指导导意意见见》》，，要要求求““。。。。。。。。。。。。。。大大型型商商业业银银行行应应实实施施新新资资本本协协议议””；2007年年5月月，，中中国国银银监监会会印印发发了了《《商商业业银银行行操操作作风风险险管管理理指指引引》》。。该该指指引引明明确确要要求求““商商业业银银行行应应当当按按照照本本指指引引要要求求，，建建立立与与本本行行的的业业务务性性质质、、规规模模和和复复杂杂程程度度相相适适应应的的操操作作风风险险管管理理体体系系，，有有效效地地识识别别、、评评估估、、监监测测和和控控制制/缓缓释释操操作作风风险险““；2008年年10月月1日日，，中中国国银银监监会会发发布布的的《《商商业业银银行行操操作作风风险险监监管管资资本本计计量量指指引引》》正正式式开开始始施施行行。。中国国银银行行2008年年3月月20日日，，中中国国银银行行董董事事会会批批准准了了《《中中国国银银行行巴巴塞塞尔尔新新资资本本协协议议实实施施方方案案》》，，随随后后银银行行启启动动了了多多个个子子项项目目的的实实施施工工作作。。项目开展展驱动因因素新资本协议议的合规规要求银监会和和巴塞尔尔委员会会在新资资本协议议中均就就操作风风险管理理以及资资本计量量设定了了一系列列监管要要求；银行业务务发展及及风险管管理水平平提高的的客观需需要当前银行行业务复复杂程度度提升，，操作风风险凸显显；操作风险险管理已已经具有有一定基基础，仍仍需向领领先实践践迈进。。64银监会对对BASEL的态度07年2月，银监监会为我我国商业业银行实实施巴塞塞尔新资资本协议议设定最最后期限限，督促促大型商商业银行行从2010年底起开开始实施施新资本本协议，，最迟不不得晚于于2013年底。银监会尚尚未明确确操作风风险资本本金计提提的具体体方法，，但在非非官方场场合表示示目前国国内商业业银行的的操作风风险测量量和管理理实践的的实际情情况比较较适宜采采用标准准法。中国银行行按照市市值排名名是全球球第四大大商业银银行，跻跻身于国国际一流流银行之之列就必必须借鉴鉴国际领领先银行行在操作作风险管管理领域域的最佳佳实践，，满足巴巴塞尔协协议的高高级法要要求。我们的任任务：2010实施标准准法，同同时着眼眼于高级级法的要要求，在在资本金金计量和和操作风风险管理理框架两两个方方面不断断完善和和提高，，逐步完完成向高高级法的的过渡。。65操作风险险管理框框架风险及控控制自我评估估（RACA）战略决策策业务项目目风险计量量损失数据据(LDC)操作风险险治理使命，指指导原则则，风险险战略，，风险偏偏好，组组织架构构，风险险术语关键风险险指标（KRI）风险监控控风险识别别及评估估操作风险险计量－－监管及及经济资资本模型型风险报告告风险识别别及评估估工具定性分析析定量分析析6666净利息收收入+其他收入入乘以15%计算3年的平均均值基于内部部和外部部损失数数据以及及情景分分析的内内部模型型操作风险险资本计计量方法法概述基本指标标法标准法高级计量量法净利息收收入+其他收入入按业务线线归类按业务线线的不同同乘以12-18%计算3年的平均均值67操作风险险管理的的定性要要求基本指标标法高级计量量法标准法操作风险险的稳健健做法三种方法法都鼓励励遵守““操作风风险管理理与监管管的稳健健做法””（巴塞塞尔委员员会，2003年2月）。对高级计计量法的的大部分分要求在在“操作作风险管管理与监监管的稳稳健做法法”或标标准法中中亦有涉涉及。高级计量量法的主主要区别别在于:操作风险险建模（（如情景景分析，，加工内内部损失失数据,使用外部部损失数数据，参参数的验验证）数据和分分析的深深度68标准法对对银行在在管理方方面的要要求国际活跃跃银行使使用标准准法在管管理方面面还需满满足：操作风险险管理框框架中必必须有操操作风险险管理部部门，并并对其职职责进行行清晰的的描述，，包括制制定管理理原则、、规章制制度和工工作流程程，设计计风险报报告系统统，制定定和实施施操作风风险暴露露测量方方法。操作风险险管理流流程必须须留下完完整、准准确的记记录文档档；向业务条条线、高高级管理理层和董董事会定定期提交交操做风风险报告告；确保银行行能够根根据管理理报告采采取恰当当的整改改措施；；对业务条条线和操操作风险险管理部部门开展展的活动动进行定定期检查查；系统地采采集操作作风险损损失数据据，这些些数据应应该在风风险报告告、管理理报告、、风险分分析中发发挥重要要作用。。整改报告框架建设LDC自我评估任务尚未开始实施施69对于内部历史史数据先按事事先设定好的的集团统一标标准对其频率率分布和严重重性分布进行行记录；外部数据提供供给内部相关关业务领域的的专家开WORKSHOP进行情景分析析记录频率分分布和严重性性分布；由于历史数据据是基于历史史上的控制环环境和控制措措施，但这些些方面现在可可能已经发生生变化（如业业务条线上的的调整即为控控制环境的变变化），因此此需要对上述述两方面的数数据根据控制制环境的变化化实施调整，，此流程即为为ABCE流程；将上述数据通通过蒙特卡罗罗法进行模拟拟分析形成操操作风险的损损失分布，但但得出的分布布曲线是每一一个业务条线线的每一类损损失的分布，，即八个业务务条线和七类类操作风险事事件的共56个类别上的分分布；将各条线各类类事件的分布布综合在一起起，这时需要要考虑56个分布的相关关性因素，并并据此对模型型参数做一定定调整，从而而得出初步监监管资本数字字；对此数字要进进一步扣减：：扣除保险赔付付的因素，按按照BASEL2要求扣减额度度最高不能超超过损失保险险金额的20%；扣除预期损失失（EL，是指那些经经常发生的银银行可以预见见的损失，主主要指那些高高危低频特征征明显的操作作风险事件，，如银行卡欺欺诈PLASTICFRAUD、非银行卡欺欺诈NON-PLASTICFRAUD、现金帐务不不符CASHDEFICIENCIES测算，EL是AMA方法下监管资资本的扣减因因素）部分，，因为预期损损失银行已在在预算和定价价中进行弥补补了，因此也也就无需用资资本抵补，经经过这些流程程，银行即计计算出操作风风险需要的最最终监管资本本；银行还要就此此监管资本在在内部各业务务条线进行分分配，实施操操作风险的经经济资本管理理。计算AMA操作风险监管管资本7步骤骤70基本原则与操操作风险管理理循环的关系系71操作风险管理理流程、基本本原则与管理理循环72第八部分：工工具流程操作风险管理理工具和流程程73操作风险管理理三大工具风险与控制评评估

（RACA）关键风险指标标

（KRI）损失数据收集集

（LDC）管理信息/风险报告记录与验证风险监控风险识别与评评估行动方案治理未来观点当前观点历史观点74工具流程操作风险与控控制评估流程程（RACA）75RACA概述风险部分控制部分风险与控制评评估(RACA)风险与控制评评估是一种银银行操作风险险管理手段，，力求通过每每个业务单元元自我的观察察、分析，并并借助经验和和判断，对银银行自身可能能蒙受的操作作风险以及控控制情况进行行识别和评估估，以便对其其进行防范，，并进而提高高银行的风险险和业务管理理水平。它通常采用以以研讨会或调调查问卷为主主的工作形式式，结合专门门的操作流程程，在银行各个业业务条线中开开展。风险与控制评估识别潜在操作作风险以便防范范改善操作风险险管理文化健全内控管理理体系协助管理决策策达到监管机构构的监管要求求风险与控制评评估（RACA）：指各机构构、部门作为为操作风险所所有人定期（（按季）评估估自身的风险险和控制措施施，并使用标标准化模板持持续记录和报报告的标准化化流程.76工具流程操作风险关键键风险指标流流程（KRI）77KRI的作用与目标标监控报告关键键操作风险建立风险偏好好作为预警指标标统一监控整个个组织操作风风险状况和报报告关键风险险领域变化；；通过实施操作作风险KRI阀值逐步建立立银行的操作作风险偏好；；可作为具体业业务和管理过过程中潜在的的风险与控制制问题的预警警指标；风险定量化风险管理文化化促进操作风险险管理定量化化；培育“没有意意料之外的事事件”的风险险管理文化；；关键风险指标标的作用与目目标78KRI定义操作风险关键键风险指标（OpRiskKeyRiskI