近年来，随着开源模式和人工智能技术的结合日益紧密，模型风险管理面临着新的挑战和机遇。国际上多个国家和地区的金融监管机构也相继出台了相关的监管政策和指南，以加强对模型风险的监督和管理。这些政策不仅要求金融机构建立有效的模型风险管理体系，还强调了模型验证、独立评估以及内部审计等方面的重要性。
然而，国内外对于模型风险管理的探索与研究多集中在一、二道防线的设计、运行以及具体的技术方法等方面，对于模型风险管理审计的研究相对较少。除了由中国工商银行内部审计局编写，并于2012年9月由中国金融出版社出版的《信用风险内部评级审计实务》以外，笔者尚未发现系统详细阐述模型风险管理审计并能够有效贴合实践与指导实践的专著或研究成果。
自2016年至今，笔者曾多次参加以模型风险管理情况为审计对象的审计项目。在审计实践中，笔者认为模型风险管理审计理论与实务相对滞后于模型风险管理本身的发展，大致存在以下几个问题。
国际上关于模型风险管理的制度体系，应首推美联储于2011年4月发布的SR 11-7号文《模型风险管理监管指引》，该文明确了模型风险管理框架，包括模型风险管理定义、模型实施、模型验证以及模型风险管理的政策制度等内容。
自此，以该指引为模型管理体系的基础，其他各国也陆续发布模型风险管理体系的制度要求。
波兰金融监管局于2015年7月发布了《Recommendation Won Model Risk Management in Banks》，该文为模型风险管理提供了明确的指南和通用标准。
加拿大联邦金融机构监督办公室于2017年9月发布了E-23号文《存款机构模型风险管理》，该文对模型风险的重要性、模型管理周期、外部供应商（模型）产品、外资银行子公司模型、针对模型的内部审计、模型存储库等内容进行了说明。
英格兰银行审慎监管局（PRA）于2018年4月发布了PS7/18号文《压力测试模型风险管理原则》，该文规定模型风险管理应用机构应采纳压力测试模型，协助各机构落地实施用于识别和管控压力测试模型风险的政策和流程。
欧洲中央银行于2018年10月发布了《欧洲中央银行内部模型指南》，其中第一章“一般主题”规定了模型风险标准。
但上述关于模型风险管理体系的书面制度，多为框架性的指引或指南，在文字表述及定义方面存在诸多差异，且缺少详细的技术标准。监管机构在对金融机构模型风险管理状况进行监督检查的过程中，对于缺陷或问题的认定多依赖于在框架性制度基础上的专家判断。
▍国内模型风险管理体系的发展
国内对模型风险管理的监管和商业银行模型风险管理体系的建设起步较晚，早期的监管文件只是简要提及概念，在后来的发展过程中又散见于各类业务的监管制度中，直至2020年开始，银保监会陆续发布一系列监管文件，分别在互联网贷款、信用卡业务、保险业中对模型风险管理提出较为详细的政策性监管规范，监管范围从单个金融业务逐步扩大。但具体政策中也未在操作细节和具体流程上进行规范和制约。
由于国内外模型风险管理的制度体系仍然处于长期不断完善的过程中，审计人员很难根据框架性和原则性的制度对于模型风险管理的具体操作进行判断与评价。这也是模型风险管理审计过程中容易引起争论和分歧的根本原因之一。
对于外购模型或内外部联合开发的模型，模型研发的技术文档由于保密、知识产权等因素，无法向审计人员提供。审计人员只能通过模型运行结果的异常现象来反推模型本身存在的问题，但如果不能结合模型设计规则进行分析，很难对模型规则、排序能力、区分能力、泛化能力、稳定性和准确性等方面做出客观、准确的判断。
例如，模型投产前需经过参与人数较多、流程标准较为复杂严格的模型评审、审批及投产前验证环节，一旦经过高管层审批，则投产后经过模型监测、投产后验证的周期较长，尤其对于嵌套多种算法的模型，验证耗费人力时间较多，较难发起优化更新，这可能引发对于模型运行已经出现的异常现象分析不足的问题。而且针对异常现象是否应该排除或触发投产后验证，制度规定定量标准不足，国际上缺乏公认的业界最佳实践，容易造成审计人员与模型风险管理人员的分歧。上述问题有可能影响审计人员缺少合理判断的有力支撑，进而影响整个审计进程。
上述问题是笔者在实践过程中的几点感悟，相信随着审计人员不断学习并延伸审计触角，模型风险管理审计的理论与实务一定会不断丰富发展，这些问题也会得到妥善解决，从而助力金融机构防范模型风险事件发生，提升模型风险管理水平。
内容来源：《上财风险管理论坛》杂志2024年第4期
作者：刘玮 中国建设银行股份有限公司天津审计分部
【免责声明】本文信息仅用于投资者教育之目的，不构成对投资者的任何投资建议，投资者不应当以该等信息取代其独立判断或仅根据该等信息作出决策。本文信息力求准确可靠，但对这些信息的准确性或完整性不作保证，亦不对因使用该等信息而引发或可能引发的损失承担任何责任。
