证券公司日常运营中会涉及到各类量化方法、量化系统以及量化工具。模型属于量化方法，特指运用统计、经济、金融或数学的理论、技术及假设，将输入数据转化为数量估计的复杂量化方法。而模型风险是指基于错误或不适当的模型输出进行决策而导致不良后果的风险，包括财务损失、战略和业务决策失误、声誉影响等。由于业务和管理场景广泛使用模型，模型风险通常会影响市场、信用、流动性、战略、操作、声誉风险等其他类别风险。模型风险的主要来源包含：模型设计错误、模型使用不当、不适当的模型输入和假设、模型实现差错、未经授权或不正确的模型变更、模型过时等。
证券公司在长年面对市场大幅波动、承担各类风险的过程中，模型使用范围逐渐加大，可靠健全的模型风险管理在证券公司风险管控中的作用日益重要。中国证券监督管理委员会和中国证券业协会也从交易定价、风险管理、估值减值、压力测试等角度对模型管理提出了具体要求。目前，部分领先证券公司已经专门针对模型验证和模型风险管理制定了相关制度。总体上，针对模型风险的管控共识是全生命周期模型风险管理，通过制度化、系统化、文档化等管理措施控制和降低模型风险。
2008年金融危机给全球金融和监管机构的主要教训之一是模型风险必须加强重视，提高全行业模型风险管理水平的大潮随即开始。美国货币监理署（Office of Comptroller of Currency，简称OCC）在其前期对模型验证工作规定（OCC 2000–16）的基础上，于2011年发布了《模型风险管理监管指引（SR 11-7附件）》，明确模型风险管理的全周期监管要求。2021年8月，结合十年间监管检查和行业实践经验，OCC发布了《模型风险管理监理长手册》，对SR11-7进行了全方位的解释，对如人工智能模型等新生模型现象进行了补充说明，并完整阐述了模型风险管理检查的标准和流程。英格兰银行2023年发布《银行模型风险管理原则（SS 1/23）》，规定了英国银行业的模型风险管理原则。国际清算银行于金融危机后在巴塞尔协议的更新工作中加强了对高级法、内模法和监管CVA中涉及模型的管理要求。各国银行监管机构随即跟进，对各场景中应用的模型管理要求进行详细规定。
中国金融业几乎同时开始了对模型风险管理的相关探索。中国银行监督管理委员会于2007年发布了《中国银行业实施新资本协议指导意见》，两年后针对新资本协议中高级法的模型管理专门制定了《商业银行资本计量高级方法验证指引》。相关管理精神在后续发布的《商业银行资本管理办法（试行）》以及2023年3月发布的最新征求意见稿中得到了继承。银行业也在实践中探索相关规定落地的具体措施，从业人员对境外金融机构模型管理的治理构架、人员安排、具体制度规定和实践进行了研究和参考，在若干年实践中积累大量经验和教训，为证券行业提供了指导。近年来，随着人工智能在境内金融业的广泛使用，人工智能模型面临的风险逐渐浮出水面。互联网行业走在该风险管理的前沿，中国互联网协会联合主要互联网平台公司于2023年6月发布了《人工智能模型风险治理能力成熟度模型》，明确人工智能模型风险管理的原则、目标、责任，建立成熟度模型，规范了模型在全生命周期各环节中的风险管理活动，提出许多具体管理措施。
中国证券业协会为规范证券公司金融工具的估值方法在2018年发布了《证券公司金融工具估值指引》，其中明确了股票、债券、基金、衍生工具、非上市公司股权、资产管理计划等以公允价值计量的金融资产和金融负债的估值规范。该《指引》要求应当规范金融工具估值的方法、模型和流程,建立业务部门、分支机构、子公司与风险管理部门、财务部门的协调机制,确保估值的科学性。此外证券公司风险管理部门应定期对估值模型的有效性进行检验和评价,确保相关假设、参数、数据来源和计量程序的合理性和可靠性,并根据检验结果进行调整和改进。
信用减值准备是证券公司编制会计报表时重点关注的科目，其计量结果直接影响金融机构损益表。中国证券业协会在2018年9月发布了《证券公司金融工具减值指引》，要求证券公司建立预期信用损失模型计量金融工具的减值损失，并定期对预期信用损失模型的有效性进行检验和评价，确保相关假设、参数、数据来源和计量程序的合理性及可靠性。在模型使用的违约概率的计量中，证券公司可通过内评或外评模型的评级结果，使用违约率主标尺在经过违约率校准后映射得到不同评级主体的违约率。在违约损失率的计量中，证券公司可通过建立统计学习模型、瀑布模型或结构模型等模型，估计资产的违约损失率。整体上，预期信用减值涉及的模型和假设较多，直接影响证券公司损益和对外披露，是模型风险管理的重点领域之一。
▍ 内部信用评级模型
内部评级是证券公司进行信用风险管理、计量以及投资决策的重要基础参考。在投资决策中，内部评级结果可应用于设定客户准入标准、风险限额管理、信用风险定价等流程中。优秀的内评模型应具有较好的风险区分能力、较高的评级稳定性以及一定的前瞻性。
在中国债券市场逐渐打破刚兑的过程中，发债主体违约数量迅速增加，对证券公司的信用风险管理能力提出了更高的要求。中国证券业协会在2019年发布的《证券公司信用风险管理指引》中提出证券公司需要建立健全内部评级管理制度。在模型层面，该指引要求内评模型需具备风险区分能力并能有效地识别信用风险。在实践中，由于我国资本市场历史违约数据不足，难以有效地分析各个指标对违约率的影响，该情况对构建优秀的内评模型造成了较大的挑战。此外内评模型自身存在级别调整滞后于市场利差变化、入模变量未完全覆盖所有风险因素等问题。使用者需采取定期的风险监测等辅助措施，以确保能够及时识别信用风险。
▍ 场外衍生品模型
场外衍生品业务中大量使用复杂模型，是模型风险管理的重点。目前，证券公司场外衍生品市场交易的主要产品形式包括场外期权和收益互换，其中场外期权产品一般为非线性产品，定价和估值需要借助复杂模型的计量。常用模型有Black-Scholes模型、局部波动率模型、随机波动率模型和短期利率模型等，通过实施蒙特卡洛模拟或偏微分方程的方法实现对产品的定价和风险计量。在交易对手和对冲工具有限的情况下，场外衍生品业务出现同质化现象，交易商在业务创新、提供市场流动性方面的功能尚未得到充分发挥。前瞻性地在场外衍生品领域布局新模型技术是寻找场外衍生品业务出口和助力实体经济风险管控的重要手段。
▍ 压力测试模型
为健全证券行业压力测试机制，中国证券业协会于2023年对《证券公司压力测试指引》进行了修订。本次修订重点之一是提高压力测试的审慎性和精细化程度，要求证券公司压力测试应当选用适当的数量模型，其中数量模型应当采用科学合理的计量方法和估值技术，并具备理论基础和实务依据，通过定期或不定期进行对模型进行评估与验证，确保数量模型的有效性。《指引》还特别要求对其中压测的风险因子参数及传导模型进行细化完善，并给出了具体参考案例。
对压测各数量模型的关注也提高了证券公司对全司模型风险管理的标准要求。因为从模型风险管理角度考虑，压力测试作为更高级别风险管理手段是模型的叠加使用；只有当基层模型确保了自身的正确性和适用性，才能减少由于叠加使用造成的模型风险，从而得到正确的压力测试结果转化。
▍ 程序化交易策略和人工智能模型
程序化交易近年来也是监管重点关注和探索领域。程序化交易指通过既定程序或特定软件，自动生成或执行交易指令的交易行为。尽管程序化交易为市场参与者带来更低的交易费用和更好的市场流动性，但交易策略设计或执行不当所带来的操作风险和运营风险会放大市场影响，更易产生市场极端事件。对程序化交易策略的风险管控与传统模型风险管控相比，在数据处理、验证手段、管理方法等方面需做差异化处理。
人工智能模型在财富管理、投资咨询、投资交易、风险管理等场景中已有应用，是模型风险管理的新兴领域。与传统模型类似，人工智能模型会因模型设计或实施问题导致负面影响和错误决策，同时区别于传统模型，人工智能模型因其复杂性而体现出独特的风险因素。人工智能模型依赖高维度数据和动态训练发挥功效，其数据转换逻辑和特征工程的过程较不透明。这不仅使得评估经过特定数据训练的人工智能模型的样本外适用性更为困难，而且让模型白盒测试验证难以实施、黑盒验证难以穷尽。目前，《关于规范金融机构资产管理业务的指导意见》（即“资管新规”）第二十三条等监管法规主要通过压实金融机构主体责任的方式管理人工智能模型风险。
模型风险管理的原则和目标是针对模型的全生命周期进行全面和主动管理，通过模型风险评级、模型验证和模型应用监测等方法与措施，尽可能降低公司所面临的模型风险，但模型风险本身并不能完全消除。为有效管理模型风险，高级管理层需要对全公司各业务条线的模型风险管理职能进行整合和统一规划，了解公司模型风险管理体系框架和管理状况，理解模型的局限性、不确定性和模型使用的固有风险，部署模型风险管理部门建立健全模型风险管理政策和执行机制，确保公司有足够资源独立、有效地开展模型风险管理工作。
▍ 模型开发、实施和使用
开发前，模型用户方需对模型的用途和设计目标进行清晰表述和记录。模型开发全过程应匹配模型使用目的，参数和变量的选取应当充分考虑可获取性、准确性、适当性和合理性。模型开发技术应有公开且通用的理论方法、业界标准或自行研发的前沿研究作支持,模型的假设应合理且有效。模型开发方应建立完整规范的模型说明文档，确保模型开发过程的可复制性。
完成开发工作后，应对模型进行充分的测试与分析，检查模型（包括参数）的合理性、稳定性、有效性和局限性等，并形成模型开发测试报告。模型开发方应尽量采用公司统一的数据基础和业内通用的开发语言进行开发，确保模型开发工作的统一性、透明性和可追溯性。对于外购第三方模型或系统，应由模型用户方负责提交模型说明文档、系统操作指南和测试报告，以便于开展模型验证。
模型用户方应确保按设计目的在限定范围内使用模型。用户在模型使用过程中应进一步测试模型运行的有效性，并随着条件和模型应用程序的变化评估其性能，同时可根据模型结果提出优化意见。
模型使用应审慎。如果基于模型结果生成用于证券公司经营决策的报告，应考虑不同情景和假设下的信息输入，告知决策层模型的准确性、稳定性及局限性。
▍ 模型风险等级评估
模型风险等级评估是指按照一定的评估标准对纳入管理范围的模型进行风险分级。分级管理有利于对待验证模型进行优先级划分、识别模型风险对公司经营活动的影响以及对模型进行全生命周期风险管控。模型风险分级的主要依据包括：模型和模型使用的复杂程度、模型使用对公司产生的实质性影响、模型局限性、该模型和其他模型的关联关系等。
▍ 独立的模型验证
证券公司应建立模型信息库，用以识别模型风险来源、供公司完成对各类模型的管理和验证、掌握模型间的相互依赖关系等。一般情况下公司可以考虑在模型信息库中包含以下信息：
模型验证是指根据模型的设计目的和业务用途，核实其开发和运行是否符合预期或存在重大不适配的情景。模型风险管理部门会对模型方法论和重要模型假设、模型实施、参数和数据选取等方面进行验证，并撰写模型验证报告。验证结论需明确模型是否通过，并提出模型局限性和使用条件（若有）。模型验证的结论分为“通过”或“没有通过”，被判定为“没有通过”的模型视情况需重新开发或进行更新。
模型风险管理部门应开展独立的周期性再验证，以检验在用模型是否运行正常，模型是否适应现行市场环境，验证结论是否需要更新。周期性再验证的频率需要与模型的风险等级相匹配。
对于外购第三方模型或系统，一方面，证券公司应该确保建立适当的内部管理流程来进行模型选择；另一方面，考虑到第三方可能不会提交模型源码或公布实现细节，证券公司更多需要依赖敏感性分析和基准测试等方法进行模型验证。
▍ 模型更新
模型更新是指根据模型日常使用、监控和定期回顾评估结果，当出现模型效能恶化、模型应用环境变化或新增业务需求等情形时，模型开发方对模型进行适当的调整和更新。
模型更新分为重大更新和一般更新两种。重大更新一般是指更新后影响模型的数学理论或模型重要假设、影响模型所采用的量化或数值方法、影响模型的参数获取方式等情况。其余变更归为模型一般更新。涉及模型重大更新的，应由模型用户方申请更新后验证，验证通过方可将投入应用。
对于验证过程中发现的重大缺陷，或日常监控中发现的模型效能恶化，应充分记录并上报模型风险相关责任人，如模型开发方、模型用户方、模型验证方和高级管理层，在模型信息库中需要相应记录模型现状和建议改进方法。
▍ 全流程文档化
模型风险管理全过程应建立健全文档管理记录，统一管理标准，以便调阅、修订、审计和评估等。模型文档一般包括：模型需求说明书、模型开发测试报告、数据开发记录、模型说明文档或系统操作手册、模型验证报告、模型下线报告等。对于外购第三方模型或系统，由模型用户方提供模型及数据测试报告。
模型管理平台建设与模型风险管理机制建设相辅相成，一方面因为模型本身高度依赖信息技术，其数据量大、文件种类繁多，线下或分散管理难度较大；另一方面，随着证券公司数字化转型推进，模型应用更加广泛，更多被嵌入自动化业务流程中，模型风险被逐步放大，风险传播渠道逐步扩展。因此，模型风险管理必须依赖信息系统才能长期稳定实现，但目前尚无高质量的平台来支持该工作，与市场、信用、操作等传统风险类别的管理信息化水平形成较大差距。模型管理平台的建设应以实现模型信息化、流程化、自动化或智能化管理，赋能模型风险管理为目标。具体包括：
（二）实现对模型开发（含接口）、测试、验证、使用、监控等标准的统一管理；
平台从逻辑层面建议分为数据整合层、特征萃取层、模型加工层、模型服务层。其中，数据整合层可借助证券公司数据平台，汇总数据资源、规范数据口径及数据标准；特征萃取层基于数据整合层进行数据提取加工，形成稳定的模型特征库；模型加工层基于特征库进行开发；模型服务层面向使用者、监控人员及决策层提供相关服务。
作为新兴风险类别，模型风险的独立管理制度在证券业落地较少，而模型风险管理涉及人员众多、业务繁杂、技术性较强，需要全公司按统一标准共同协作才能有效实施。目前，有关模型风险的监管要求较为零散，行业统一的管理指引尚未出台，从业人员对如何管理模型风险也没有形成共识。证券公司只有建设独立的模型风险管理制度，明确管理的原则、范围、职责、流程和罚则，各相关人员才能按图索骥、有效配合，而公司才能将所有涉及模型的业务纳入长效管理机制中，实现模型风险管理的全覆盖和主动管理。
▍ 开展模型风险文化宣传，形成模型风险管理理念
证券公司内部对模型风险的认知普遍较为薄弱，基层员工尚无模型需统一标准管理的意识，对模型管理流程和工作要求缺乏了解。近年来，虽然个别模型风险事件对公司经营的破坏性影响引起证券公司经营层注意，但公开事件仍较为少见，大量在展业中实际面临的模型问题通常通过业绩欠佳体现，较难准确归因于模型风险，经营层总体上缺乏妥善管理模型风险的意识和知识。证券公司可以通过培训、宣讲、工作沟通等方式增强模型风险文化宣传，提升全员对模型风险的重视程度和规则意识，逐渐形成公司模型风险管理理念。
▍ 完善公司上线模型的收集和记录机制
证券公司前台业务部门和中后台职能部门均使用各类模型，涉及公司商业机密，需要公司充分授权和全公司积极配合才可收集。此外，模型包含核心业务逻辑，部分团队将模型视为团队资产而抵触提交公司集中管理。证券公司可以通过完善模型风险管理流程，加强模型信息库更新维护，在关键节点强制模型用户方提交模型信息，实现公司上线模型的全覆盖管理。
▍ 明确模型验证标准
模型验证涉及对模型源代码的检查和对模型表现的评估，但目前尚未形成验证标准。证券公司可以在模型管理实践中积累对各类模型源代码和模型表现的管理经验，逐步形成管理规范。
▍ 强化数据治理
数据是模型的基础，模型的开发和使用对数据的全面性、稳定性、准确性等都有较高要求，数据质量关乎模型效果以及模型管理的有效性。当前证券公司，尤其是中小型证券公司，普遍面临数据基础薄弱、数据分散杂乱、数据标准不统一、数据管理不规范等现实问题，因此需要持续强化数据治理，以良好的数据基础作为支撑，降低模型风险。
目前证券公司使用的模型，数量和复杂程度都在快速上升，模型验证负担增加，然而技术能力和业务知识兼备的风险管理人员较少，导致模型风险管理机制执行往往存在不足。证券公司可投入更多资源，通过招聘或培训转岗，为模型风险管理提供更加充足的人员保障。
[1] Office of the Comptroller of the Currency. Risk Modeling (on Model Validation). OCC Bulletin (OCC 2000-16), 2000
[2] Office of the Comptroller of the Currency. Supervisory Guidance on Model Risk Management（OCC 2011-12）. SR11-7 Guidance on Model Risk Management, 2011
[3] Office of the Comptroller of the Currency. OCC Comptroller’s Handbook on “Model Risk Management”, 2021
[4] Bank of England PRA. SS 1/23: Model Risk Management Principles for Banks, 2023
[5] 朱良平.商业银行模型风险管理与控制的思考[J].现代商业银行导刊，2012(12)
[6] 朱良平.商业银行模型风险：管理模式和验证技术[J].金融监管研究，2015(10)
[7] 朱良平.美国银行的模型风险管理实践及启示[J].现代商业银行导刊，2015(12)
[8] 朱良平. 企业级模型管理体系的构建——建设银行的思考与实践[N].金融电子化https://mp.weixin.qq.com/s/RXa6g-AiOJAa41Iep8JP7Q，2022-04-26
[9] 祝世虎. 银行模型风险管理体系的构建与实践[N].现代金融风险管理https://mp.weixin.qq.com/s/WsfF1LhgzB1GrJ_VfaiVVg，2020-11-09
[10] 白云中，张国良.商业银行模型风险管理实践及探索[N].金融电子化https://mp.weixin.qq.com/s/TLrKh3-pgoOHdi0W07tnDQ，2022-09-07
[11] 朱红军.证券公司模型风险管理体系研讨[J].中国证券，2018(7)
作者：东兴证券股份有限公司 耿欣、张天源、黄艺旻、陈琳
内容来源：消费日报网
【免责声明】本文信息仅用于投资者教育之目的，不构成对投资者的任何投资建议，投资者不应当以该等信息取代其独立判断或仅根据该等信息做出决策。文中观点为作者个人观点，不代表中证报价投教基地观点和立场。本文信息力求准确可靠，但对这些信息的准确性或完整性不作保证，亦不对因使用该等信息而引发或可能引发的损失承担任何责任。
