第七章操作风险管理

公司操作风险管理办法第一章总则第一条为规范公司操作风险管理，完善公司全面风险管理体系，根据《证券公司全面风险管理规范》《证券公司操作风险管理指引》等法律法规及相关自律规则，以及《XX股份有限公司风险管理制度》等相关规定，制定本办法。

第二条本办法所称操作风险，是指由不完善或有问题的内部程序、人员、信息技术系统，以及外部事件造成损失的风险，包括法律风险，但不包括战略风险和声誉风险。

本办法所称人员是指与公司建立劳动关系的公司人员、与公司签署委托协议的经纪人、劳务派遣至公司的客服人员等。

第三条本办法适用于公司各部门、分支机构、子公司以及比照子公司管理的各类孙公司（以下统称“各部门”）。

第四条操作风险管理目标：建立符合监管要求，与公司发展战略、业务特点、规模和复杂程度相适应的操作风险管理体系，将操作风险损失控制在公司可承受范围以内。

第五条操作风险管理原则:（一）全程全员原则。

公司操作风险管理覆盖公司各部门，包含各类岗位、活动、流程、信息系统、产品等，贯穿决策、执行、监督、反馈等各个环节；（二）协同管理原则。

公司各专业职能部门发挥操作风险管理作用，根据专业领域特点与分工，有针对性地协同开展风险管理；（三）审慎应对原则。

公司审慎识别和控制各项经营管理活动的操作风险，对操作风险管理重点领域和环节加强风险识别、评估、监测与控制，最大程度地防范和减少操作风险事件对公司、行业造成的损失和负面影响；（四）防范预见原则。

公司充分识别和评估新业务、新产品涉及的操作风险，严格防范已有业务流程和信息系统等可能因新业务、新产品引发的操作风险。

第二章操作风险管理组织架构第六条公司以分层架构、集中管理模式对公司操作风险进行管理，操作风险管理组织包括董事会、监事会，经理层、首席风险官，风险控制部、合规部、审计部、内核部等内控部门，其他各部门共四个层级。

第七条公司操作风险管理应符合公司董事会确定的总体目标以及审议批准的操作风险风险偏好、容忍度等要求，并在监事会监督指导下履行相关工作职责。

操作风险管理可行必守，有弊必除。

《刘禹锡·为容州窦中丞谢上表》在《1988年巴塞尔协议》中仅仅将信用风险作为银行资本监管的重点，而在《2004年巴塞尔协议》中则明确提出将操作风险和市场风险纳入资本监管的范畴。

在现实中，操作风险是多方面的，其类型和成因也是多种多样的，就金融机构而言，操作风险常常与信用风险的发生交织在一起，很难清晰地加以界定。

操作风险及其类型所谓操作风险，泛指在金融机构的运行过程中一系列可能的损失，这些损失通常与金融产品及服务的需求函数的不确定性无关。

这些损失可能来自于一个计算机系统的病毒，也可能是由决策者的一个失误所导致。

关于操作风险的准确定义，目前主要存在三种观点：第一种观点认为：市场风险和信用风险以外的所有风险都是操作风险。

第二种观点认为：只有与金融机构的运营部门相关的风险才是操作风险。

第三种观点认为：先区分可控事件与不可控事件，然后将可控事件定义为操作风险。

《2004年巴塞尔协议》规定：操作风险是指由不完善或有问题的内部程序、人员及系统、外部事件所造成损失的风险。

操作风险的类型主要有：（1）流程风险。

这是指由规模增大而生产率下降所致的损失。

（2）控制风险。

这是指由流程故障、控制失败和欺诈所致的损失。

（3）项目风险。

这是指由较差的计划和项目管理、范围过大、预算欠妥所致的损失。

（4）技术风险。

这是指由计算机技术升级及其应用开发所致的损失。

（5）人力资源风险。

这是指由竞争对手吸引关键雇员而导致重聘雇员的费用、培训费用及现雇员离职风险。

（6）客户服务风险。

这是指由不当的初始销售策略和欠佳的客户服务所致的损失。

（7）供应商管理风险。

这是指由不利的谈判合同而导致预算咨询费用的增加。

（8）监管风险。

这是指由于未能遵循监管法规所致的损失。

操作风险成因关于操作风险的成因，《2004年巴塞尔协议》就八类损失事件进行了详尽的分析，具体内容如下：（1）内部欺诈。

这是指故意骗取、盗用资产，违反监管规章、法律或公司政策而导致的损失，包括未经授权的活动和盗窃欺诈。

阳光财产保险股份有限公司操作风险管理规范第一章 总则第一条 为完善阳光财产保险股份有限公司（以下简称“公司”）全面风险管理体系，保障公司稳健经营，有效控制操作风险，根据《中华人民共和国保险法》、《保险公司偿付能力监管规则（1-17号）》等法律法规以及《阳光保险集团内部控制指引》（阳光保险发[2010]207号）等文件，结合公司实际情况，制定本规范。

第二条 本规范所称操作风险，是指由于不完善的内部操作流程、人员、信息系统或外部事件而导致公司直接或间接损失的风险，包括法律及监管合规风险。

本规范所称操作风险损失事件是指由于不完善的内部操作流程、人员、信息系统或外部事件造成公司资产损失、对外服务中断、受到监管处罚或权益丧失的事件。

操作风险损失事件应至少满足以下特征之一：（一）形成风险金额；（二）存在既遂的盗窃、挪用、贪污、受贿等内部欺诈行为；（三）受到监管机关行政处罚或公开批评；（四）公司被起诉或被申请仲裁；（五）造成对外营业中断。

第三条 公司按照损失事件、业务条线、风险成因、损失形态和后果严重程度等因素，对操作风险进行分类。

第四条 本规范适用于公司各部门、各事业部及各分支机构。

第二章 组织架构及职责分工第五条 操作风险管理是偿付能力风险管理体系重要组成部分，公司建立相关制度和机制，防范和识别操作风险，应对和处置操作风险事件。

公司建立由董事会承担最终责任，高级管理层承担直接责任，风险管理部作为牵头部门，其他职能部门和各分支机构各司其职、密切配合，覆盖所有业务单位的操作风险管理组织体系。

第六条 董事会是公司全面风险管理的最高决策机构，对包括操作风险在内的全面风险管理框架的完整性和有效性承担最终责任。

第七条 高级管理层负责履行操作风险管理的直接责任，在授权范围内实施操作风险管理工作，主要职责包括：（一）制定并组织执行操作风险管理政策和流程；（二）明确公司各部门和分支机构在操作风险管理中的职责；（三）组织制定重大操作风险事件的解决方案；（四）组织评估操作风险管理体系运行的有效性并不断完善；（五）组织相关信息系统的开发和应用，确保内控流程嵌入到信息系统中；（六）审核操作风险报告，充分了解公司操作风险管理的总体情况。

.操作风险管理一、操作风险的主要特征(一)内生性为主从操作风险的引发因素来看，主要因内部因素而引发，如内部程序、人员和系统的不完善或失效；银行工作人员越权或从事职业道德不允许的或风险过高的业务，因此操作风险具有很强的内生性，(二)涵盖全部业务一个银行要使用人、流程和技术来实现业务计划，这些因素中的每一项都可能产生一些类型的失败，因此操作风险具有普遍性，操作风险发生可能性遍布银行的所有业务环节，涵盖所有的部门。

因此对于操作风险的管理必须贯彻“三全”原则(全面性、全员性和全程性)。

(三)难以度量性与市场风险和信用风险不同的是，影响操作风险的因素基本上在银行内部，并且风险因素与发生的可能性和损失大小之间不存在清晰的联系，通常操作风险以不经常发生的离散事件等形式出现。

二、操作风险管理的发展阶段及趋势一般而言，操作风险管理的发展可分为五个阶段。

第一阶段是传统、基本的阶段。

这一阶段主要依靠内部控制或内部审计等方式进行操作风险管理，且等到损失事件发生时，才开始谋求对策。

第二阶段是认识阶段。

银行认识到加强和改善操作风险管理的重要性，董事会和高级管理层针对操作风险管理识别、衡量、监测和控制等各个环节拟定政策方针与风险管理策略，设置风险管理部门和职位并指派专人负责操作风险管理。

第三阶段是监控阶段。

银行开始针对足以反映操作风险的各项风险数据和现象进行追踪与自我评估，加强员工风险管理培训，设定风险限额控制，董事会和高级管理层根据上述结果，确定对操作风险的容忍度，明确风险临界指标。

第四阶段是量化阶段。

相对于第三阶段较重视以质化指标作为评估基础，量化阶段的操作风险管理功能已日趋周全，银行开始建立损失数据库、制订量化管理目标，开始发展风险为基础的资本量化模型来衡量操作风险。

第五阶段是全面风险管理阶段。

银行将操作风险管理充分融人全行整体的风险管理之中，操作风险衡量与市场风险、信用风险衡量进行有机整合，应用系统化的风险度量和管理工具，建立风险指标和损失之间的相关性，全面引入基于风险分析和资本实力考虑的保险策略与调整的收益分析等，确立全方位风险管理的理念。

**银行全面风险管理办法第一章总则第一条为推进全面风险管理体系建设，提升风险管理水平，依据境内外有关监管指引、本行《章程》，并借鉴国际银行业风险管理的经验做法，特制定本办法。

第二条本办法所称风险，是指对本行实现既定目标可能产生影响的不确定性，这种不确定性既可能带来损失也可能带来收益。

本办法主要关注带来损失的不确定性。

（一）信用风险。

是指因借款人或交易对手未按照约定履行义务从而使本行业务发生损失的风险。

（二）市场风险。

是指因市场价格（利率、汇率、股票价格和商品价格）的不利变动而使本行表内和表外业务发生损失的风险。

（三）操作风险。

是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风险，包括法律风险，但不包括策略风险和声誉风险。

（四）流动性风险。

是指因本行无法以合理的成本及时筹集到客户和交易对手当前和未来所需资金而对本行经营所产生的风险。

除上述风险外，本行还关注外部监管部门或本行董事会要求－1－关注的其他风险。

第三条本办法所称全面风险管理是指本行董事会、高级管理层和全行员工各自履行相应职责，有效控制涵盖全行各个业务层次的全部风险，进而为本行各项目标的实现提供合理保证的过程。

第四条本行风险管理应遵循以下原则：（一）收益与风险匹配制定风险管理战略和进行风险管理决策，必须考虑承担的风险是在本行的风险容忍度以内，并有预期的收益覆盖风险，经风险调整的资本收益率能够满足股东的最低要求或符合本行的经营目标。

（二）内部制衡与效率兼顾本行在风险管理规章制度中明确界定各部门、各级机构和各层级风险管理人员的具体权责，实行前中后台职能相对分离的管理机制。

各部门、境内外分支机构和全体员工之间要有效沟通与协调，优化管理流程，不断提高管理效率。

（三）风险分散本行实现信用风险敞口在国家、地区、行业、产品、期限和币种等维度上的适度分散，防范集中风险。

严格遵循监管标准，审慎核定单一客户和关联客户授信额度，有效控制客户信用风险集中度。

第七章银行的风险管理第一节全面风险管理的框架考点1全面风险管理（一）定义全面风险管理是一个动态过程；这个过程受董事会、管理层和其他人员的影响；这个过程从企业战略制定一直贯穿到企业的各项活动中，用于识别那些可能影响企业的潜在事件，以将风险控制在企业的风险偏好之内，合理地确保企业取得既定的目标。

（二）要素及特点全面风险管理包含八个相互关联的要素：内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监控。

全面风险管理是商业银行的一项基础性、系统性、全局性工作。

所谓“全面”，主要体现在：全面性、全程性、全员性。

商业银行的全面风险管理模式体现以下先进的风险管理理念和方法：1.全球的风险管理体系2.全面的风险管理范围3.全程的风险管理过程4.全新的风险管理办法5.全员的风险管理文化。

考点2商业银行风险的主要类型按照风险事故的来源，分为经济风险、政治风险、社会风险、自然风险、技术风险。

按照风险发生的范围，分为系统性风险和非系统性风险。

按照诱发风险的原因，分为信用风险、市场风险、操作风险、流动性风险、国家风险、声誉风险、法律风险、战略风险。

（一）信用风险信用风险是指债务人或交易对手未能履行合同所规定的义务或信用质量发生变化，影响金融产品价值，从而给债权人或金融产品持有人造成经济损失的风险。

对大多数商业银行来说，贷款是最大、最明显的信用风险来源。

信用风险既存在传统的贷款、债券投资等表内业务中，也存在于信用担保、贷款承诺及衍生产品交易等表外业务中。

信用风险对基础金融产品和衍生产品的影响不同。

（二）市场风险市场风险是指因市场价格（利率、汇率、股票价格和商品价格）的不利变动而使银行表内和表外业务发生损失的风险。

市场风险可以分为利率风险、汇率风险（包括黄金）、股票价格风险和商品价格风险。

利率风险按照来源的不同，可以分为重新定价风险、收益率曲线风险、基准风险和期权性风险。

市场风险管理是识别、计量、监测和控制市场风险的全过程，其目标是通过将市场风险控制在商业银行可以承受的合理范围内，实现经风险调整的收益率的最大化。

XX操作风险管理办法第一章总则第一条为规范和加强本行的操作风险管理工作，依据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《商业银行操作风险管理指引》以及其他有关法律法规，制定本办法。

第二条通过确定本行操作风险管理总体架构，明确操作风险管理职责，并逐步建立起对操作风险损失的测度、分类、统计、分析、考核评价制度，建立和健全操作风险管理体系，加强操作风险管理，有效缓释和控制操作风险，降低操作风险带来的损失。

第三条本办法适用于本行各分支机构、各业务部门及全体员工。

第四条本办法所称操作风险是指由于不完善或有问题的内部程序、人员、系统以及外部事件给本行造成损失的风险，包括法律风险（如商业银行签订的合同因违反法律或行政法规可能被依法撤销或者确认无效；商业银行因违约、侵权或者其他事由被提起诉讼或者申请仲裁，依法可能承担赔偿责任；商业银行的业务活动违反法律或行政法规，依法可能承担刑事责任、行政责任或者民事责任），但不包括策略风险和声誉风险。

操作风险引发的损失指某一操作风险事件发生后，按照本行适用的法律、法规反映在本行法定财务报表的损失，损失包括所有与该操作风险事件相联系的成本支出，但不包括为避免后续操作风险损失实施的相关成本支出。

第五条本行操作风险管理遵循全面管理、及时调整、有效缓解与控制、成本与效益匹配、责任追究的原则及以下的方针：（一）本行把操作风险作为影响银行安全和效益的重要风险进行专门管理，操作风险管理应符合监管当局的监管要求、与全行发展战略、方针相适应。

（二）操作风险存在于全员、全过程，要确保全员了解操作风险管理文化，形成对操作风险定义的一致性理解并具备良好的操作风险管理意识。

各业务及管理部门的负责人和承担操作风险管理职责的人员是操作风险管理的主要责任人，负责防范和化解风险的各项活动；操作风险管理范围应涵盖所有机构、产品、活动、流程和系统。

（三）合规风险部是全行操作风险管理的牵头部门；各业务部门是操作风险管理的第一道防线，承担着操作风险日常的重要管控职责。

2023-11-08•操作风险管理概述•操作风险管理工具与技术•操作风险防范措施•操作风险案例分析•操作风险管理实践与建议目录01操作风险管理概述定义操作风险管理是指银行在运营过程中，由于内部流程、人为错误或系统故障等因素而引发的风险。

重要性随着银行业务的复杂性和多样化，操作风险越来越成为银行面临的主要风险之一。

有效的操作风险管理能够降低银行运营成本，提高运营效率，减少损失，保障客户利益。

定义与重要性操作风险类型员工故意或因疏忽导致的欺诈行为，如虚假贷款申请、内部人员盗窃等。

内部欺诈员工能力不足、流失或行为不当等导致的风险，如员工违规操作、职业道德问题等。

人员风险外部人员故意欺诈银行的行为，如黑客攻击、身份盗用等。

外部欺诈银行内部业务流程设计不合理、执行不规范等导致的风险，如贷款审批流程漏洞、监管不严格等。

业务流程风险信息技术系统故障或漏洞导致的风险，如系统崩溃、数据泄露等。

信息技术系统风险0201030405操作风险管理流程培训与教育定期对员工进行操作风险管理培训，提高员工的风险意识和风险管理能力。

监控与报告对操作风险管理过程进行持续监控，并及时向上级部门报告。

风险控制制定并实施相应的控制措施，以降低或消除操作风险。

风险识别通过定期内部审计、员工反馈、客户投诉等方式识别潜在的操作风险。

风险评估对识别的操作风险进行评估，确定其可能对银行造成的损失和影响。

02操作风险管理工具与技术总结词内部评级法是一种衡量操作风险的方法，通过对银行内部历史数据进行评估，得出每个业务部门的风险级别。

详细描述内部评级法通常包括对每个业务部门的资本要求和风险加权资产的计算，以及风险级别的设定。

这种方法可以帮助银行更好地了解其操作风险状况，并采取相应的管理措施。

内部评级法经济资本模型是一种用于衡量和降低操作风险的工具，它通过量化操作风险，确定银行为应对操作风险所需的资本。

总结词经济资本模型基于银行内部的历史数据，通过统计方法计算出银行在各个业务部门和整个银行的操作风险资本要求。

银行操作风险管理办法第一章总则第一条为加强银行（以下简称“本行”）操作风险管理，根据《中华人民共和国商业银行法》、《商业银行操作风险管理指引》、《银行操作风险管理政策》等有关规定，结合本行实际，特制定本办法。

第二条本办法所称操作风险（Operational risk）是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风险。

本办法所指操作风险包括法律风险，但不包括策略风险和声誉风险。

第三条本行进行操作风险管理要遵循以下原则：（一）有效性原则：操作风险管理制度应适时修订和完善，并保证得到全面贯彻执行，任何人在任何岗位办理任何业务均受内部控制约束，内部控制存在的问题应当能够得到及时反馈和纠正；（二）全面性原则：操作风险的管理要渗透到各项业务过程和各个操作环节，覆盖所有的部门和岗位，并由全体员工参与；（三）成本效益原则：操作风险管理应权衡成本与预期效益，力争以合理的成本实现对操作风险的有效控制。

第四条本行应选择适当的方法对操作风险进行管理。

具体的方法可包括：操作风险与控制自我评估（RCSA）、关键风险指标的监测（KRI）、操作损失事件数据收集（LDC）、操作风险业务连续性计划（BCP）。

第五条本办法适用于本行各级机构及所有人员。

第二章操作风险管理组织架构第六条本行操作风险管理组织架构包括高级管理层、内部控制与风险管理委员会、各级操作风险管理部门、各级条线管理部门、操作风险管理岗（专职及兼职）。

（一）总行：风险管理部设专职操作风险管理岗，其他条线管理部门设专职或兼职操作风险管理岗；（二）各分行：在法律合规部设专职操作风险管理岗，其它部门和支行（营业部）设专职或兼职操作风险管理岗；（三）各中心支行：在风险管理部、其他部门和支行（营业部）设兼职操作风险管理岗；（四）总行营业部：在综合管理部和其他部门设兼职操作风险管理岗。

第七条总行操作风险管理部门职责主要包括：（一）在全面风险管理框架下，负责全行操作风险管理政策拟定；（二）负责根据本行操作风险管理政策和操作风险管理体系，确定操作风险管理的具体程序，并提交高级管理层审批；（三）负责建立并组织实施操作风险识别、评估、监测、控制/缓释及报告工作；（四）负责定期检查并分析业务部门与其他部门操作风险的管理情况，确保操作风险制度和措施得到遵守；（五）根据监管部门要求及本行业务特点，负责研究、开发和维护操作风险识别评估、监测分析和计量的方法、模型、工具；（六）负责组织全行操作风险管理方面的培训，提高全行操作风险管理水平；（七）负责就本行操作风险管理事务与监管机构联络；（八）其它操作风险管理职责。