摘要:自20世纪90年代以来,由于银行内控机制不完善引致的操作风险问题越来越突出。我国商业银行存在内控体系不完备,操作风险管理机制失衡;内部控制执行力不足以及信息披露制度未能有效贯彻等不足之处,文章就以上缺陷进行简要分析,并提出了下列的措施建议:建立完善商业银行操作风险管理信息系统,加强信息沟通和信息披露制度;实行业务条线管理,全面落实操作风险管理责任制;并对商业银行操作风险进行资本计量等。
关键词:操作风险;内控机制;信息披露
巴塞尔委员会把操作风险界定为:“由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险”,在此定义中,突出强调了操作风险形成的原因。近年来银行操作风险案件的频发才使操作风险的控制逐渐受到全球银行界的高度重视。如美国所罗门兄弟公司因账务处理错误形成的6000万美元的损失;日本大和银行因操作风险控制制度缺失导致的11亿美元的损失。我国此类案件也不乏其数,如中行的“高山卷款10亿潜逃案”,建行的“吉林金融诈骗案”,农行的“邯郸金库5500万被盗案”等。从表面上看,引发这些案件的原因林林总总,但本质上,均是由于银行业内部混乱的内部控制与风险管理体系所导致的,规范、科学、运行良好的内部控制制度,能从根本上起到规避和减少操作风险的作用。因此,从内控视角来研究探讨操作风险防范管理对我国商业银行的经营实践有着积极的意义。
一、引致商业银行操作风险的内部控制机制存在的不足之处
从国内外发生的商业银行操作风险损失事件类型和业务类型来看,商业银行操作风险主要集中在商业银行业务和零售银行业务这2个业务部门,而且一旦发生带来的损失也最大。内部欺诈和外部欺诈以及内外部相勾结的欺诈行为是操作风险发生的最经常形式。这说明目前我国商业银行的内部控制机制还不健全,对内部控制制度的执行还不够有效。反思我国商业银行操作风险形成的原因,其内控制度方面主要存在以下不足:
(一)商业银行内控体系不完备,操作风险管理机制失衡
1、董事会未在操作风险管理中发挥积极作用。操作风险带有隐蔽性和突发性,在日常工作中未能得到董事会的充分重视。大多数银行不同类型的操作风险在经营层面分由不同的部门负责,未设立专门的操作风险管理职能部门来统一谐调。对于对同一类型的操作风险,即使在同一银行的不同分行做法也各不相同,表现出较强的随意性和自发性。
2、操作风险管理主要由各行业务部门按照本部门的理解和工作目标进行管理,缺乏信用风险、市场风险和操作风险信息协调、沟通与共享机制。目前,我国银行操作风险管理只是在部分风险点有所突破,操作风险管理战略和政策不明确,风险标准不统一,风险偏好和容忍度不清晰,缺乏一套规范的操作风险定义、识别、监控、转嫁等管理系统。
3、管理层与业务部门信息不对称。近年来,尽管各国有商业银行通过对人事、财务和信贷审批等方面进行了重大改革,大大加强了对分支行的控制,但由于信息不对称,总行在与分支机构的博弈中依然处于相对弱势的地位。相反,各分支机构随着行长负责制的推行,使得岗位监督制约成为一种摆设。
(二)内控机制执行力弱,操作风险管理未能实现全面覆盖
内控机制是对银行内部管理活动进行衡量和纠正的一整套制度安排,其最初目的是为了减少和控制商业银行徇私舞弊、弄虚作假、盗用公款等行为的发生,它属于操作风险管理最传统、最原始的手段。从我国银行业最近暴露出的操作风险的诸多案件看,规章制度不落实、执行不严格、监督管理不到位的问题在一定范围内还比较严重。例如,在信贷管理上,违规向非借款主体发放贷款,超权限违规发放贷款,未按要求落实贷款限制条款,贷款担保抵押不合规,对外出具虚假存款保证金证明,签发无存款保证金或保证金不足的银行承兑汇票;在财务上,
虚列支出、截留收入、私设“小金库”等。因此,加强内部控制机制建设,消除操作风险管理中的“蚁穴”,已是当前各家商业银行面临的现实任务。
操作风险未能全面覆盖。其突出问题在于产品创新管理混乱,缺乏面向市场的产品管理组织框架,“新产品开发-评估论证-申报审核-研究设计-完善内控-成熟移交-形成品牌”的创新流程尚未建立。
(三)操作风险信息披露制度未能有效贯彻
在信息披露方面,我国银行业虽已迈出了很大一步,从2002年以前没有一家银行披露到2008年有14家上市银行、6家股份制银行对操作风险进行披露。由于政府高层和社会各界对商业银行发案情况格外关注,各行普遍将依法合规经营纳入分支机构负责人经营目标责任制考核,并与各种资源分配挂钩,“发案率”对各级行管理层是十分敏感的指标,在某种程度上其重要性甚至超过利润指标。由于信息在银行内部不能及时、全面上传,结果失去了较早采取管理措施的机会。
二、商业银行内控机制不健全,操作风险管理缺陷原因分析
(一)管理职责分散
根据巴塞尔委员会的定义,操作风险有人员、系统、流程和外部事件等四类因素引起,几乎涉及到银行的各个职能部室。人员因素涉及到人力资源部,系统因素涉及到科技部,流程因素涉及公司金融、个人金融等业务部门及事后监督内部审计等后台部门,而外部事件会涉及安全保卫、事务等部门。从我国的情况来看,虽然各家银行已先后设立了风险管理委员会和内控委员会,但不同类型的操作风险由不同的部门负责,部门之间的协调不足,这样的分散管理还使得有些操作风险因无人管理而陷入真空状态。
(二)基层分支机构操作风险管理不到位
国外对操作风险的研究显示,操作风险大多集中于基层分支机构。因此,国外银行一般会在基层分支机构设置风险经理一职,负责总行风险管理政策在基层的贯彻落实,对基层分支机构进行监督管理,并保持与总行风险管理信息的沟通。与之形成鲜明对比的是,国内银行总分行之间以及对业务部门进行直接的操作风险管理这块基本上由内部审计部门和风险管理委员会负责,这些部门仅在总行有设置,在基层机构基本没有专门控制操作风险管理的部门,这就造成基层分支机构操作风险管理职能不到位。
(三)制度建设跟不上,制度执行不力
从某种程度上讲,防范操作风险最有效的办法就是制订尽可能详尽的业务规章制度和操作手册。凡是那些风险管理做得比较好的银行,其在制度建设方面必定是完善的。在这方面,外资银行的做法显然值得国内银行学习。他们对每种业务都会制订详尽的操作手册,并列示所有潜在风险点。这在很大程度上减少了操作人员因操作不当引发操作风险的可能,并为操作风险管理部门的监督提供指导。而国内商业银行的制度和体系建设还有待进一步建立和完善。此外,制度执行不力也是我国银行业在操作风险管理上的一大问题。有些制度形同虚设,则会失去约束力。
三、完善商业银行内控制度,防范和管理操作风险的几点建议
(一)建立完善商业银行操作风险管理信息系统,加强信息沟通和信息披露制度
1、建立完善的操作风险管理信息系统。完善的信息系统能有效提高商业银行操作风险管理的效率,该管理系统既能够支持操作风险和控制措施的自我评估,关键风险指标的监测、报告程序,又能够辅助生成风险识别、评估和检测报告。在该管理系统提供的分析工具,包括对
