作業風險

作業風險是指所有因內部作業、人員及系統之不當與失誤，或其他外部作業與相關事件，所造成損失之風險，其中包括「法律風險」，但排除策略風險及聲譽風險。尤其近年來在銀行界通過新巴塞爾資本協定對銀行資本的規定作業風險的重要性獲得提高。

根據新巴塞爾資本協定的規定在電腦銀行必須擁有的股東權益時除信用風險和市場風險外還要顧及作業風險。

作業風險是指因流程、政策、系統或事件出現缺陷或失效，從而導致業務中斷、造成損失的風險。員工失誤、詐欺等犯罪行為及實體事件均屬引發作業風險的因素。管理作業風險的過程稱為作業風險管理。償付能力II指令對保險業所採用的作業風險定義，係源自適用於銀行業之巴塞爾II法規的變體：「因內部流程、人員及系統不足或失效，或因外部事件（包括法律風險）所致之實際損失超出預期損失，從而引起價值變動的風險。」作業風險的範疇廣泛，亦可涵蓋其他類別的風險，例如詐欺、資訊安全、隱私保護、法律風險，以及實體風險（如基礎設施停擺）或環境風險。作業風險同樣可能廣泛影響客戶滿意度、機構聲譽及股東價值，並加大業務波動性。

在巴塞爾I時代，作業風險以否定性定義方式界定：即凡不屬於市場風險、也不屬於信用風險的風險，皆歸為作業風險。部分銀行因此以「非財務風險」一詞作為作業風險的同義詞。

2014年10月，巴塞爾銀行監理委員會提出修訂其作業風險資本框架，設立新的標準化方法，以取代用於計算作業風險資本的基本指標法與標準化法。

與其他風險（如信用風險、市場風險、保險風險）不同，作業風險通常並非出於主動承擔，亦非以獲取收益為目的。此外，作業風險無法分散，也無法轉移。這意味著只要人員、系統與流程仍存在不完善之處，作業風險便無法被完全消除。

儘管如此，作業風險仍可透過管理加以控制，將損失維持在某一風險容忍度水準以內（即為實現目標而願意承受的風險量），其確定方式是衡量改善成本與預期效益之間的平衡。全球化推進、網際網路擴張、社交媒體興起，以及全球對企業問責制日益提升的要求等宏觀趨勢，均強化了妥善進行風險管理的必要性。

因此，作業風險管理（ORM）是風險管理領域中一項專業化的學科，其核心是風險評估、決策制定及風險控制實施的持續循環，最終達到接受、減輕或規避各類作業風險的目的。ORM在一定程度上與品質管理及內部稽核職能有所重疊。

## 背景

在巴塞爾II改革銀行監管之前，作業風險是一個殘餘類別，涵蓋那些難以用傳統方式量化和管理的風險與不確定性——即「其他風險」的籃子。

相關法規將作業風險確立為監管與管理關注的類別，並將作業風險管理與良好的公司治理相連結。

企業乃至軍事等機構多年來一直意識到源自內部或外部運營因素的危害。軍事的首要目標是以迅速、決定性的方式贏得戰爭，並將損失降至最低。對軍事機構和企業而言，作業風險管理都是一種通過預見風險來保全資源的有效過程。

從1980年代至2000年代初，長達二十年的全球化與去管制化（如金融市場大爆炸），加上全球金融服務業日益提升的複雜程度，為銀行、保險公司及各類企業的業務帶來了更多複雜性，進而改變了其風險狀況。

自1990年代中期，市場風險與信用風險議題已成為廣泛討論與研究的對象，促使金融機構在識別、衡量和管理這兩類風險方面取得了長足進步。

2008年金融危機與次貸危機暴露了現有市場與信用風險衡量方法的重大局限。各國監管機構因此相繼推出新要求，包括針對銀行的巴塞爾協議III，以及針對保險業的償付能力II。

九一一事件、興業銀行的流氓交易員損失、霸菱銀行、愛爾蘭聯合銀行、瑞銀集團及澳洲國家銀行的事件，均凸顯了風險管理的範疇遠不止於市場風險與信用風險。

這些原因促使銀行業與監管機構日益重視對作業風險的識別與衡量。當今銀行面臨的風險清單（及更重要的風險規模）包括詐欺、系統故障、恐怖主義及員工薪酬索賠，這些類型的風險通常被歸類為「作業風險」。

識別和衡量作業風險是當代銀行的現實課題，尤其是自巴塞爾銀行監理委員會（BCBS）決定將此類風險納入新資本充足框架（巴塞爾II）的資本計提要求之後。

## 定義

巴塞爾銀行監理委員會在巴塞爾協議II及巴塞爾III中對作業風險的定義如下：

巴塞爾委員會認識到「作業風險」一詞含義多元，因此，各銀行在內部用途上可採用自身對作業風險的定義，前提是須納入委員會定義中的最低要素。

過去的定義描寫哪些風險不屬於作業風險，並且把已知的風險加在一起，而最後無法解釋的剩餘被稱為作業風險。現在這個定義已經被看作是過時的了，因為在這個剩餘風險中也包括其它風險。

通過對新巴塞爾資本協定的討論作業風險獲得了一個新的定義。巴塞爾銀行監控機構對作業風險的定義為「因內部作業、人員及系統之不當與失誤，或其他外部作業與相關事件，所造成損失之風險，其中包括法律風險，但排除策略風險及聲譽風險」。

由「人」造成的損失包括企業職工故意造成的（這裡包括所有貪污）。非故意造成的損失則屬於「內部作業」或者「系統」產生的，這裡比如包括由於誤解造成的損失。由「外部作業」所造成的損失包括由於基礎設施失效、自然災害、外部人員貪污（比如搶劫）等造成的損失。

作業風險是一個可以精確定義的真正企業作業與理論企業作業結果之間的差。

最重要的是擔風險者要認識到造成損失的事件。

## 排除範圍

巴塞爾協議II對作業風險的定義明確排除策略風險——即因不當戰略業務決策所引起的損失風險。

其他風險術語則被視為作業風險事件的潛在後果。例如，聲譽風險（因聲譽或地位受損而給組織帶來的傷害）可能因作業失誤而產生，也可能由其他事件引發。

## 事件類型

以下列出巴塞爾協議II官方認定的七大事件類型，並附各類別舉例：

- 內部欺詐——侵吞資產、逃稅、蓄意錯誤標記持倉、賄賂
- 外部欺詐——資訊竊取、駭客攻擊損害、第三方盜竊及偽造
- 就業慣例與工作場所安全——歧視、工傷賠償、員工健康與安全
- 客戶、產品及業務慣例——市場操縱、反壟斷、不當交易、產品缺陷、受託人違規、帳戶過度交易
- 有形資產損壞——自然災害、恐怖主義、破壞行為
- 業務中斷與系統故障——公用事業中斷、軟體故障、硬體故障
- 執行、交割及流程管理——數據輸入錯誤、會計錯誤、未能進行強制申報、過失導致客戶資產損失

### 供應商風險

供應商風險是指因依賴特定供應商提供的低層級服務或產品，而使自身服務或產品面臨的風險。其包括以下風險：

- 供應商不再提供所需產品或服務。
- 大幅提高相關產品或服務的成本；或
- 對所提供的產品或服務進行修改，使新版本不再符合功能性或非功能性需求。

## 例子

最著名的作業風險導致的損失是霸菱銀行交易員尼克·李森的例子。他導致12億歐元的損失的原因之一是他既可以進行股票交易，又為後台管理系統負責。由於他一開始的成績企業領導給予他非常大的自由，即使在已經出現損失的情況下也沒有監察他的買賣過程。

## 與信用風險的界限

作業風險有時很難與其它風險分開來。其中最難分的是信用風險。也就是說由於作業風險可能導致貸款損失。這可能是由於內部也可能是由於外部起因導致的。比如：

- 職員錯誤：記錄、向不存在的客戶發放貸款來貪污，等等
- 系統錯誤：不成熟的管理風險的工具
- 內部過程：發放貸款的交管過程有問題
- 外部原因：提交錯誤的營業數據等

在實踐中涉及到信用的作業風險很難與經典的信用風險區分開來，因為兩者都會導致貸款損失，因此這裡需要仔細研究原因。這裡最重要的問題是貸款損失是因為信用下跌（信用風險）導致的還是不是（作業風險）。

## 困難

對組織而言，設定並觀察特定的、可量化的市場風險與信用風險水準相對直接，因為已有模型試圖預測市場波動或信用成本變化的潛在影響。這些模型的有效性取決於其基礎假設，2008年金融危機在很大程度上正是由於這些模型對特定投資類型的估值建立在錯誤假設之上所致。

相比之下，識別或評估作業風險及其多種來源則相當困難。歷史上，各組織將作業風險視為業務運營不可避免的成本。然而，越來越多的機構現在開始收集作業損失數據——例如源自系統故障或詐欺的損失——並將這些數據用於建立作業風險模型及計算應對未來作業損失的資本準備金。除巴塞爾協議II對銀行業的要求外，這也是歐洲保險公司的合規要求，這些公司正在實施相當於銀行業巴塞爾II的保險業等效法規——償付能力II。

## 方法

新巴塞爾資本協定的要求很廣義：「銀行監督機關必須保證銀行有適應於其營業範圍的內部監察。其中包括精確的下放權力和工作範圍的規則，處理銀行的責任、使用錢幣和檢查資產和負債的功能必須分離，這些功能必須互相連結，資產必須得到保證，此外需要有適應的內部和外部檢查和守規功能來監督這些規則……」

更精確的要求有：「監督機關必須關注銀行領導有效地保障內部監察和審查規則。此外企業政策基礎應該儘量減少作業風險。銀行監督機關必須保障銀行擁有適當的和經過試驗確證可行的措施來使得其所有重要的電腦系統重新啟動以及其所有重要的電腦系統可以轉移到另一個地點來確保可以抵擋系統故障。」

### 保險產品

在進行風險經營的時候可以使用對作業風險進行保險的保險產品。

## 測量方法

按照新巴塞爾資本協定作業風險是一個可以儘量體現出贏利和風險的數字，這個數字是最低股東權益。新巴塞爾資本協定定義了不同的計算這個數字的方法。

這些不同的方法根據其複雜性不斷提高：基本指標法、標準法、進階衡量法。基本指標法計算一個對於整個公司的數字，標準法計算各個不同業務部門以及其相應的風險係數。對於這兩個方法來說新巴塞爾資本協定已經給出了相應的公式。進階衡量法則給予銀行比較大的自由度來使用它們自己的測量方法來計算它們的作業奉獻。此外標準法和進階衡量法可以結合使用。對於來者來說由於它們的靈活性在計算的時候有相當的基本要求，只有在這些要求得到滿足的情況下計算結果才有效。

總的來說由於複雜的方法複雜性和風險敏感性高，因此其要求也高，但是同時它們也可以減少作業風險。

在實際應用中數據基礎是這些高級手段最大的困難。幾乎在所有的銀行中都沒有足夠長的數據歷史來計算作業風險。因此新巴塞爾資本協定要求銀行使用外部數據。這些外部資料庫可以從專業分析媒體新聞的商業供應者買來，也可以通過銀行之間的合作和互相交換損失數據獲得。

上述方法為巴塞爾協議II框架下的計算途徑，已於2022年起被標準衡量法取代（見下節）。巴塞爾協議II及各國監管機構亦為銀行及類似金融機構訂定了各項作業風險管理的健全標準。作為對這些標準的補充，巴塞爾II就作業風險資本計算提供了三大方法指引：

- 基本指標法——基於金融機構的年度收入
- 標準法——基於金融機構各業務線的年度收入
- 進階衡量法——基於銀行內部開發、符合規定標準的風險計量框架（方法包括IMA、LDA、情景法、計分卡法等）

作業風險管理框架應包含針對作業風險的識別、衡量、監測、報告、控制及緩釋框架。

在對作業風險進行建模時，有多種方法可供選擇，各具優勢及適用情境。最終選擇何種方法，取決於多項因素，包括：

- 分析的時效要求。
- 可用於任務的資源。
- 其他風險計量所採用的方法。
- 結果的預期用途（如向業務單位分配資本、確定控制改善項目的優先順序、向監管機構證明機構正在衡量風險、提供改善作業風險管理的激勵措施等）。
- 高級管理層的理解與承諾；及
- 現有配套流程，如自我評估。

### 標準衡量法（巴塞爾協議III）

巴塞爾銀行監理委員會（BCBS）提出以「標準衡量法」（SMA）作為評估作業風險的方法，以取代包括進階衡量法在內的所有現行方法。其目標是為作業風險暴露提供穩定、可比較且具風險敏感性的估算，並自2022年1月1日起正式生效。SMA重視內部損失歷史（須考量過去10年的損失）。計算時可採用淨損失（扣除回收款及保險賠款後）。

邊際係數（α）隨業務指標（BI）規模的增大而提高，如下表所示：

區間｜業務指標範圍（單位：十億歐元）｜業務指標邊際係數（αi）

1｜≤1｜12%

2｜1 < BI ≤30｜15%

3｜> 30｜18%

內部損失乘數（ILM）定義如下：

$$ILM = \ln(\exp(1)-1 + (LC/BIC)^{0.8})$$

其中，損失部分（LC）等於過去10年平均年度作業風險損失的15倍。