第二章 操作风险相关理论
操作风险作为商业银行三大基础风险之一，其控制和减缓必须是通过来管理实现的。
这就要求具有一定风险管理框架，就有赖于具有良好的商业银行公司治理结构。如果商业银行公司治理不完善，管理层权力就缺乏有效的制约，内部控制就会流于形式，操作风险管理就无从谈起了。内部控制涵盖了操作风险管理，所以做好操作风险的管理工作，在充分理解操作风险概念和理论的基础上，对公司治理和内部控制的相关基础知识也要有一定的了解。
2.1 操作风险的概念
2.1.1 国际关于操作风险的概念
在二十世纪九十年代以前，关于银行操作风险的定义一直到现在都缺乏统一的描述，不同的组织和不同的学者因为各自的出发点各异，给出的定义也存在一定的差别，巴塞尔委员会巴塞尔银行监管委员会（Basel Committee on Banking Supervision）作为国际银行业监管的权威机构，2004 年 6 月的《巴塞尔新资本协议Ⅱ》将操作风险定义为：“由不完善或有问题的内部程序、人员、程序及系统或外部事件导致损失的风险”[15].巴塞尔委员会、巴塞尔银行监管委员会关于银行操作风险概念的表述，已经逐渐获得世界各国金融界的认同，也已为各国银行所接受。
2.1.2 国内关于操作风险概念
我国开展商业银行操作风险研究的历史更短，缺少自己独创的研究成果，多借鉴国外的研究成果，2007 年 5 月 14 日，中国银监会制发《商业银行操作风险管理指引》，将商业银行操作风险定义为：“由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风险”[16].由于考虑到不同商业银行的业务范围存在差异、各商业银行所在的地域的经济发展状况快慢不一，银行规模大小也不尽相同，制定一个放之四海而皆准的统一的定义是不现实的，所以中国银监会并没有把“指引”中的银行操作风险的定义作为唯一的定义，中国银监会要求各家商业银行应该加强操作风险管理，每个商业银行根据自身的实际情况，对银行操作风险进行相应的定义。国内商业银行一般将银行操作风险通俗的表述为：由于银行的内部控制机制和公司治理机制的失效而导致的风险。2.1.3 操作风险的分类外国学者艾迪·凯德将操作风险分为四类[17]:（1）交易风险；（2）操作控制风险（3）系统性风险；（4）业务事件风险。
国际上关于操作风险的分类大致上可分如下几类[18]:
（1）内部欺诈，是指商业银行机构内部人员参与诈骗、盗用资产、违反法律和商业银行规章制度的行为。例如故意误报头寸、侵占、挪用、盗取客户和银行资金、员工通过自己的账户进行内部交易、偷换已贴现银行承兑票据套取资金、利用银行工作人员身份集资诈骗等。
（2）外部欺诈，是指第三方的欺诈、盗用资产违反法律的行为。例如伪造银行票据套取资金、空头支票、利用虚假资料骗取贷款等。
（3）员工操作和工作场所安全，是由于不履行合同或者是不符合劳动健康、安全法规所安全性所引起的赔偿要求，例如违反用工法规引发诉讼、员工工作场合环境污染物超标等。
（4）产品和业务操作，是指在履行对银行客户的职责时，由于非主观故意的失误或者是由于银行经营的各种产品设计造成的损失。
（5）实物资产的损坏，由于银行用于经营的实物资产遭到自然灾害或者是其他事件造成损失或损害。例如极端天气造成的实物资产损害、操作人缺乏操作常识对 ATM 机的损坏等。
（6）业务中断和系统失灵，是指正常办理银行业务突然因为不可抗力发生业务流程中断或者是操作系统失效造成的损失。
（7）由于业务交割及各项工作流程管理所可能引发的风险。例如利用“空存资金”手段侵占挪用银行资金，逆流程操作利用空头银行承兑汇票贴现套取银行资金等。（空存资金指的是在没有收到资金的情况下，银行员工在银行的业务系统中虚假增加特定账户的存款余额）
（8）中国城市商业银行独有的，地方政府对银行正常经营包括主要管理人员任命的行政干预。例如对不具备贷款条件的单位贷款、地方政府直接推荐城市商业银行高管等。
2.2 本文研究的理论基础
2.2.1 公司治理理论
随着社会经济的发展，企业所面临的市场规模在不断的扩大，社会分工也日益的细化，企业组织在发展过程中企业所有权和企业经营管理权两权分离现象日益突出。企业所有者和企业经营管理者的诉求存在差异，一个是追求利润的最大化、一个则是追求个人控制收益的最大化，企业在经营过程中的信息不对称和契约相对不完备，使企业经营管理者损害企业所有者利益的逆向选择和道德风险日益加大，为解决这个问题，公司治理的理论应运而生。
（1）商业银行公司治理的概念1999 年 6 月 OECD（国际经济合作与发展组织）在《公司治理原则》中给“公司治理”一个具有代表性的定义：公司管理层、董事会、股东以及其他利益相关者之间的一整套关系[19].2013 年中国银监会颁布了《商业银行公司治理指引》将商业银行公司治理定义为“股东大会、董事会、监事会、高级管理层、股东以及其他利益相关者之间的相互关系，包括组织架构、职责边界、履职要求等治理制衡机制，以及决策、执行、监督、激励约束等治理运行机制”[20].
（2）商业银行公司治理的内容2013 年中国银监会颁布了《商业银行公司治理指引》（银监发【2013】34 号）对商业银行良好公司治理六个方面内容进行了非常明确的规定。分别是：健全的组织架构；清晰的职责边界；科学的发展战略、价值准则与良好的社会责任；有效的风险管理与内部控制；合理的激励约束机制；完善的信息披露制度[21].
分析商业银行公司治理的定义和内容可以看出，商业银行公司治理的使命在于控制经营风险，提供企业绩效，在既定的产权制度基础上构建有效的企业激励约束机制，维护商业银行各利益相关者的利益。完善的商业银行公司治理是银行稳健经营的基石，是银行获得竞争力和长期发展的必要条件，商业银行操作风险管理作用的充分发挥是与是否建立良好的公司治理和制订行之有效并严格执行的内控制度是密不可分的。
2.2.2 内部控制理论
（1）内部控制的定义内部控制作为现代管理制度的重要组成部分，也是起源于上世纪 40 年代中期的西方国家，国际上现代内部控制的定义是 1992 年由美国 COSO 委员会（美国全国虚假财务报告委员会下属的发起人委员会）正式定义的，它指出：“内部控制是一个要靠组织的董事会、管理层和其他员工去实现的过程，实现这一部过程是为了合理地保证：经营的效果性和效率性、财务报告的可信性、对有关法律和规章制度的遵循性。”内部控制分成五个要素：一是控制环境、二是风险评估、三是控制活动、四是信息与沟通、五是监督[22].中国的内部控制定义首先由是 1996 年中国注册会计师协会提出，将内部控制定义为“是指被审计单位为了保证业务活动的有效进行，保护资产的安全和完整，防止、发现、纠正错误与舞弊，保证会计资料的真实、合法、完整而制定和实施的政策与程序”[23].依据人民银行 1997 年公布的《加强金融机构内部控制的指导原则》的定义，金融机构的内部控制：是金融机构的一种自律行为，是金融机构为完成既定的经营目标而制定和实施的涵盖各项业务活动、涉及内部各级机构、各职能部门及其工作人员的一系列具有控制职能的方法、措施和程序的总称。人民银行在 2014 年 9 月公布的《商业银行内部控制指引》中指出：内部控制是商业银行董事会、监事会、高级管理层和全体员工参与的，通过制定和实施系统化的制度、流程和方法，实现控制目标的动态过程和机制[24].
（2）内部控制和操作风险的关系从两者的定义的比较中我们就可以看出，在商业银行的实际工作中，内部控制是由一系列制度、措施、程序、方法及其相应的动态控制活动、过程、文化构成的综合体系，内部控制的管理往往是通过设立专门的相关部门负责，日常内部控制管理主要是依靠牵头部门根据相关规定，对商业银行各个部门的执行情况进行监督检查，内部控制是相对宏观的管理工作，它的覆盖范围广泛；而操作风险管理则更加强调的是常规化的管理架构和报告的路径，同时操作风险管理主要是依靠流程化的管理工具进行管理，属于相对微观的管理行为，是内部控制在操作风险这一具体管理领域的深化和具体化。严格操作风险管理的目的是对商业银行操作风险进行控制和缓释，而不是将操作风险完全消灭为目标[25].
2.3 本章小结
本章主要是介绍了操作风险的概念和分类，以及与本文相关的理论，对操作风险理论研究的国际、国内现状进行了叙述，对国际上比较先进的操作风险理论研究成果和着作进行了简单的介绍，同时也重点叙述了国内专家学者的关于商业银行操作风险理论研究的最新成果；针对中国银行业的实际，简单的介绍了商业银行操作风险的基本分类；介绍了与操作风险管理密切相关的公司治理和内部控制的基本理论，并对内部控制和操作风险的辩证关系进行了较为详细的阐述。
