2021年十大风险 第 5 部分 运营韧性风险

 2021 年 7 月 21 日 

韧性风险

行业经受住了最大的现实压力测试，但企业和监管机构仍面临挑战

两年前，在例行的业务连续性规划过程中，全球最大的银行之一拟定了这样一种情景：由于疫情大流行，其全球员工的三分之一在没有预警的情况下被锁在了办公室外。

这一假定被全盘否定，大家都认为不现实。“我们的计划不够好，”该银行的一名高管回顾了2020年金融行业韧性的现实压力测试后表示。“坦率地说，我们从没想过全球会面临如此严重的员工短缺问题。我们之前讨论过这个问题，甚至研究了根据世界卫生组织的数据建立的流行病模型，但我们只是认为‘这不会发生’。我们只考虑了非常局部的影响。”

当然这绝非个例。2020年，全球各地各类金融公司都经历了新冠病毒相关的动荡，它们应对前所未有的市场波动、后台工作瓶颈和贸易中断等挑战的能力都受到了考验，同时也在忙于为员工提供长期远程工作所需的设备。

由于风险管理人员非常频繁地提到运营韧性面临的威胁，因此该风险在今年的十大风险中排名第三，仅次于特别威胁系统基本运行和数据安全的风险之后。

美国一家大型资产管理公司的战略风险主管将韧性规划与运营风险管理进行区分，认为这是一种从失败中反弹、而不是试图阻止失败发生的能力。韧性规划是2020年十大风险中新出现的一种风险，相比列表中其他风险，比如技术故障、欺诈和行为风险，人们对其了解甚少。当时这一风险会进入十大风险更多地是因为欧美国家的监管重新聚焦；今年，正如运营风险主管所说，韧性规划已成为现实风险。

两年前，韧性听起来像是一个学术概念：‘公司的强大程度取决于公司最薄弱的环节’。但这其实千真万确，这一点在过去的一年里已经得到了证明。

金融行业对互通性和集中风险非常熟悉；第三方集中的风险在2020年显著突出，行业中许多声音呼吁关注金融公司对一小部分云提供商日益增加的依赖。监管机构表示，这类实体的韧性至关重要，会产生系统性影响；尽管云平台巨头亚马逊(Amazon)、谷歌(google)和微软(Microsoft)让员工能够在办公室关闭的情况下继续工作，但哪怕其中任何一家公司出现短暂宕机，都可能对整个行业产生巨大影响。

鉴于全球监管机构仍在围绕公司韧性起草监管框架，监管环境仍然至关重要。在如今实践迅速超越理论的情况下，监管机构正在修改其拟议规定，以应对大流行。

2020年10月，英国审慎监管局(PRA)运营风险和韧性高级技术顾问尼克•斯特兰奇(Nick Strange)在Risk.net会议上表示，英国可能会重新审视其在断电后最低服务供应的硬性目标上的立场，看看它们在新冠疫情发生后是否“仍然合适”——在这个问题上，全球监管机构意见并不一致。

10月30日，美联储(FED)在一份简短的讨论文件中发表了其有关加强运营韧性的实践建议。在该文件发表之前，美联储负责政策的副主任阿瑟•林多(Arthur Lindo)表示，美联储的立场受到金融公司应对疫情方式的强烈影响。林多同时也是巴塞尔银行监管委员会(Basel Committee on Banking Supervision)运营韧性问题工作组的负责人。

美国的一位运营风险主管表示：“设计有韧性的系统和运营以及事故响应方案的重要性得到了强调，因为银行需要应对新冠疫情相关影响。”并补充道，自然灾害和勒索软件的使用等其他威胁的普遍存在，也表明了这种韧性的必要性。

巴塞尔委员会还在2020年发布了其高级别运营韧性建议，并在8月发布了一份咨询文件。巴塞尔文件认为，有关韧性的工作必须结合多学科知识，包括连续性规划、风险管理和治理等多个职能部门的协同努力，同时给各国监管机构留出相当大的空间，以根据本国的司法管辖区调整要求。

一家大型金融服务公司的高级风险经理指出，对一些监管机构来说，定义韧性实际上很困难。英国央行和英国金融行为监管局(FCA) 将运营韧性定义为企业抵抗和应对运营故障的能力。他指出：“对‘还管用’的定义是什么?人们有不同的标准，容忍度也有很大的不同……如何捕捉人们认为管用的不同形态呢？”这在理论上是非常困难的。对于美联储(FED)、英国审慎监管局(PRA)和美国证券交易委员会(SEC)来说比较容易，因为他们和大银行打交道；英国金融行为监管局(FCA)调查了56000家拥有各种商业模式的公司。”

业内专业人士也认为，要理解运营韧性，就不能与现实脱节，因为大量的、各种各样的事件会给公司的日常表现带来压力。考虑到几乎所有的威胁都可能以自己的方式干扰金融公司的正常业务流程，运营韧性可以说是所有威胁的集合。

一位运营风险经理表示：“业务连续性和运营韧性(是)十分重要的，与信息安全风险、第三方风险和IT风险等其他运营风险类型都有关联。”

一些风险经理对云供应问题持比较乐观的看法。一家全球性银行的首席风险官认为，虽然对此类提供商和外包的频繁使用总体上增加了信息技术干扰的风险，但云提供商自身的韧性“一定程度上减少了”此类做法的潜在危险。这位曾在监管机构任职的高管认为，监管机构本身与金融公司一样受到社交距离和远程工作准则的约束，对新冠病毒同样准备不足，而且在履行某些职责方面也存在困难。他说：“监管机构还远远没有做好准备。”。由于曾任职于一家知名的监管机构，他表示监管机构确实有一些远程操作的设备，但如果没有台式机或高性能笔记本电脑，监管机构无法进行“真正的计算工作，基本上只能写几封言辞犀利的信和电子邮件。”这可以解释罚款的大幅下降的原因。

*该文章只是信息提供，不是法律意见。