作业风险

作业风险是指所有因内部作业、人员及系统之不当与失误，或其他外部作业与相关事件，所造成损失之风险，其中包括“法律风险”，但排除策略风险及声誉风险。尤其近年来在银行界通过新巴塞尔资本协定对银行资本的规定作业风险的重要性获得提高。

根据新巴塞尔资本协定的规定在计算机银行必须拥有的股东权益时除信用风险和市场风险外还要顾及作业风险。

作业风险是指因流程、政策、系统或事件出现缺陷或失效，从而导致业务中断、造成损失的风险。员工失误、诈欺等犯罪行为及实体事件均属引发作业风险的因素。管理作业风险的过程称为作业风险管理。偿付能力II指令对保险业所采用的作业风险定义，系源自适用于银行业之巴塞尔II法规的变体：“因内部流程、人员及系统不足或失效，或因外部事件（包括法律风险）所致之实际损失超出预期损失，从而引起价值变动的风险。”作业风险的范畴广泛，亦可涵盖其他类别的风险，例如诈欺、资讯安全、隐私保护、法律风险，以及实体风险（如基础设施停摆）或环境风险。作业风险同样可能广泛影响客户满意度、机构声誉及股东价值，并加大业务波动性。

在巴塞尔I时代，作业风险以否定性定义方式界定：即凡不属于市场风险、也不属于信用风险的风险，皆归为作业风险。部分银行因此以“非财务风险”一词作为作业风险的同义词。

2014年10月，巴塞尔银行监理委员会提出修订其作业风险资本框架，设立新的标准化方法，以取代用于计算作业风险资本的基本指标法与标准化法。

与其他风险（如信用风险、市场风险、保险风险）不同，作业风险通常并非出于主动承担，亦非以获取收益为目的。此外，作业风险无法分散，也无法转移。这意味着只要人员、系统与流程仍存在不完善之处，作业风险便无法被完全消除。

尽管如此，作业风险仍可透过管理加以控制，将损失维持在某一风险容忍度水准以内（即为实现目标而愿意承受的风险量），其确定方式是衡量改善成本与预期效益之间的平衡。全球化推进、互联网扩张、社交媒体兴起，以及全球对企业问责制日益提升的要求等宏观趋势，均强化了妥善进行风险管理的必要性。

因此，作业风险管理（ORM）是风险管理领域中一项专业化的学科，其核心是风险评估、决策制定及风险控制实施的持续循环，最终达到接受、减轻或规避各类作业风险的目的。ORM在一定程度上与品质管理及内部稽核职能有所重叠。

## 背景

在巴塞尔II改革银行监管之前，作业风险是一个残余类别，涵盖那些难以用传统方式量化和管理的风险与不确定性——即“其他风险”的篮子。

相关法规将作业风险确立为监管与管理关注的类别，并将作业风险管理与良好的公司治理相连结。

企业乃至军事等机构多年来一直意识到源自内部或外部运营因素的危害。军事的首要目标是以迅速、决定性的方式赢得战争，并将损失降至最低。对军事机构和企业而言，作业风险管理都是一种通过预见风险来保全资源的有效过程。

从1980年代至2000年代初，长达二十年的全球化与去管制化（如金融市场大爆炸），加上全球金融服务业日益提升的复杂程度，为银行、保险公司及各类企业的业务带来了更多复杂性，进而改变了其风险状况。

自1990年代中期，市场风险与信用风险议题已成为广泛讨论与研究的对象，促使金融机构在识别、衡量和管理这两类风险方面取得了长足进步。

2008年金融危机与次贷危机暴露了现有市场与信用风险衡量方法的重大局限。各国监管机构因此相继推出新要求，包括针对银行的巴塞尔协议III，以及针对保险业的偿付能力II。

九一一事件、兴业银行的流氓交易员损失、霸菱银行、爱尔兰联合银行、瑞银集团及澳洲国家银行的事件，均凸显了风险管理的范畴远不止于市场风险与信用风险。

这些原因促使银行业与监管机构日益重视对作业风险的识别与衡量。当今银行面临的风险清单（及更重要的风险规模）包括诈欺、系统故障、恐怖主义及员工薪酬索赔，这些类型的风险通常被归类为“作业风险”。

识别和衡量作业风险是当代银行的现实课题，尤其是自巴塞尔银行监理委员会（BCBS）决定将此类风险纳入新资本充足框架（巴塞尔II）的资本计提要求之后。

## 定义

巴塞尔银行监理委员会在巴塞尔协议II及巴塞尔III中对作业风险的定义如下：

巴塞尔委员会认识到“作业风险”一词含义多元，因此，各银行在内部用途上可采用自身对作业风险的定义，前提是须纳入委员会定义中的最低要素。

过去的定义描写哪些风险不属于作业风险，并且把已知的风险加在一起，而最后无法解释的剩余被称为作业风险。现在这个定义已经被看作是过时的了，因为在这个剩余风险中也包括其它风险。

通过对新巴塞尔资本协定的讨论作业风险获得了一个新的定义。巴塞尔银行监控机构对作业风险的定义为“因内部作业、人员及系统之不当与失误，或其他外部作业与相关事件，所造成损失之风险，其中包括法律风险，但排除策略风险及声誉风险”。

由“人”造成的损失包括企业职工故意造成的（这里包括所有贪污）。非故意造成的损失则属于“内部作业”或者“系统”产生的，这里比如包括由于误解造成的损失。由“外部作业”所造成的损失包括由于基础设施失效、自然灾害、外部人员贪污（比如抢劫）等造成的损失。

作业风险是一个可以精确定义的真正企业作业与理论企业作业结果之间的差。

最重要的是担风险者要认识到造成损失的事件。

## 排除范围

巴塞尔协议II对作业风险的定义明确排除策略风险——即因不当战略业务决策所引起的损失风险。

其他风险术语则被视为作业风险事件的潜在后果。例如，声誉风险（因声誉或地位受损而给组织带来的伤害）可能因作业失误而产生，也可能由其他事件引发。

## 事件类型

以下列出巴塞尔协议II官方认定的七大事件类型，并附各类别举例：

- 内部欺诈——侵吞资产、逃税、蓄意错误标记持仓、贿赂
- 外部欺诈——资讯窃取、骇客攻击损害、第三方盗窃及伪造
- 就业惯例与工作场所安全——歧视、工伤赔偿、员工健康与安全
- 客户、产品及业务惯例——市场操纵、反垄断、不当交易、产品缺陷、受托人违规、账户过度交易
- 有形资产损坏——自然灾害、恐怖主义、破坏行为
- 业务中断与系统故障——公用事业中断、软件故障、硬件故障
- 执行、交割及流程管理——数据输入错误、会计错误、未能进行强制申报、过失导致客户资产损失

### 供应商风险

供应商风险是指因依赖特定供应商提供的低层级服务或产品，而使自身服务或产品面临的风险。其包括以下风险：

- 供应商不再提供所需产品或服务。
- 大幅提高相关产品或服务的成本；或
- 对所提供的产品或服务进行修改，使新版本不再符合功能性或非功能性需求。

## 例子

最著名的作业风险导致的损失是霸菱银行交易员尼克·李森的例子。他导致12亿欧元的损失的原因之一是他既可以进行股票交易，又为后台管理系统负责。由于他一开始的成绩企业领导给予他非常大的自由，即使在已经出现损失的情况下也没有监察他的买卖过程。

## 与信用风险的界限

作业风险有时很难与其它风险分开来。其中最难分的是信用风险。也就是说由于作业风险可能导致贷款损失。这可能是由于内部也可能是由于外部起因导致的。比如：

- 职员错误：记录、向不存在的客户发放贷款来贪污，等等
- 系统错误：不成熟的管理风险的工具
- 内部过程：发放贷款的交管过程有问题
- 外部原因：提交错误的营业数据等

在实践中涉及到信用的作业风险很难与经典的信用风险区分开来，因为两者都会导致贷款损失，因此这里需要仔细研究原因。这里最重要的问题是贷款损失是因为信用下跌（信用风险）导致的还是不是（作业风险）。

## 困难

对组织而言，设定并观察特定的、可量化的市场风险与信用风险水准相对直接，因为已有模型试图预测市场波动或信用成本变化的潜在影响。这些模型的有效性取决于其基础假设，2008年金融危机在很大程度上正是由于这些模型对特定投资类型的估值建立在错误假设之上所致。

相比之下，识别或评估作业风险及其多种来源则相当困难。历史上，各组织将作业风险视为业务运营不可避免的成本。然而，越来越多的机构现在开始收集作业损失数据——例如源自系统故障或诈欺的损失——并将这些数据用于建立作业风险模型及计算应对未来作业损失的资本准备金。除巴塞尔协议II对银行业的要求外，这也是欧洲保险公司的合规要求，这些公司正在实施相当于银行业巴塞尔II的保险业等效法规——偿付能力II。

## 方法

新巴塞尔资本协定的要求很广义：“银行监督机关必须保证银行有适应于其营业范围的内部监察。其中包括精确的下放权力和工作范围的规则，处理银行的责任、使用钱币和检查资产和负债的功能必须分离，这些功能必须互相链接，资产必须得到保证，此外需要有适应的内部和外部检查和守规功能来监督这些规则……”

更精确的要求有：“监督机关必须关注银行领导有效地保障内部监察和审查规则。此外企业政策基础应该尽量减少作业风险。银行监督机关必须保障银行拥有适当的和经过试验确证可行的措施来使得其所有重要的电脑系统重新启动以及其所有重要的电脑系统可以转移到另一个地点来确保可以抵挡系统故障。”

### 保险产品

在进行风险经营的时候可以使用对作业风险进行保险的保险产品。

## 测量方法

按照新巴塞尔资本协定作业风险是一个可以尽量体现出赢利和风险的数字，这个数字是最低股东权益。新巴塞尔资本协定定义了不同的计算这个数字的方法。

这些不同的方法根据其复杂性不断提高：基本指标法、标准法、进阶衡量法。基本指标法计算一个对于整个公司的数字，标准法计算各个不同业务部门以及其相应的风险系数。对于这两个方法来说新巴塞尔资本协定已经给出了相应的公式。进阶衡量法则给予银行比较大的自由度来使用它们自己的测量方法来计算它们的作业奉献。此外标准法和进阶衡量法可以结合使用。对于来者来说由于它们的灵活性在计算的时候有相当的基本要求，只有在这些要求得到满足的情况下计算结果才有效。

总的来说由于复杂的方法复杂性和风险敏感性高，因此其要求也高，但是同时它们也可以减少作业风险。

在实际应用中数据基础是这些高级手段最大的困难。几乎在所有的银行中都没有足够长的数据历史来计算作业风险。因此新巴塞尔资本协定要求银行使用外部数据。这些外部数据库可以从专业分析媒体新闻的商业供应者买来，也可以通过银行之间的合作和互相交换损失数据获得。

上述方法为巴塞尔协议II框架下的计算途径，已于2022年起被标准衡量法取代（见下节）。巴塞尔协议II及各国监管机构亦为银行及类似金融机构订定了各项作业风险管理的健全标准。作为对这些标准的补充，巴塞尔II就作业风险资本计算提供了三大方法指引：

- 基本指标法——基于金融机构的年度收入
- 标准法——基于金融机构各业务线的年度收入
- 进阶衡量法——基于银行内部开发、符合规定标准的风险计量框架（方法包括IMA、LDA、情景法、计分卡法等）

作业风险管理框架应包含针对作业风险的识别、衡量、监测、报告、控制及缓释框架。

在对作业风险进行建模时，有多种方法可供选择，各具优势及适用情境。最终选择何种方法，取决于多项因素，包括：

- 分析的时效要求。
- 可用于任务的资源。
- 其他风险计量所采用的方法。
- 结果的预期用途（如向业务单位分配资本、确定控制改善项目的优先级、向监管机构证明机构正在衡量风险、提供改善作业风险管理的激励措施等）。
- 高级管理层的理解与承诺；及
- 现有配套流程，如自我评估。

### 标准衡量法（巴塞尔协议III）

巴塞尔银行监理委员会（BCBS）提出以“标准衡量法”（SMA）作为评估作业风险的方法，以取代包括进阶衡量法在内的所有现行方法。其目标是为作业风险暴露提供稳定、可比较且具风险敏感性的估算，并自2022年1月1日起正式生效。SMA重视内部损失历史（须考量过去10年的损失）。计算时可采用净损失（扣除回收款及保险赔款后）。

边际系数（α）随业务指标（BI）规模的增大而提高，如下表所示：

区间｜业务指标范围（单位：十亿欧元）｜业务指标边际系数（αi）

1｜≤1｜12%

2｜1 < BI ≤30｜15%

3｜> 30｜18%

内部损失乘数（ILM）定义如下：

$$ILM = \ln(\exp(1)-1 + (LC/BIC)^{0.8})$$

其中，损失部分（LC）等于过去10年平均年度作业风险损失的15倍。