操作风险管理涉及领域多、范围广，除与巴塞尔协议实施达标相关的规定动作外，针对实质性操作风险的预防管控，尚难以形成一套系统化、标准化、具备普遍适用性的方法论体系。从管理模式看，围绕操作风险的四类成因，采用分散管理模式的商业银行较为普遍。由于分别涉及不同专业领域和内部职能，需要商业银行结合自身组织架构、业务模式和风险特点，进一步综合施策，强化分类管理、协同控险与源头管控。

AI时代，金融科技推动数字化转型加速演进，数据安全、网络安全、模型风险等新型风险不断涌现。金融监管体制改革背景下，强监管、严监管成为趋势，合规管理、案件防控与员工行为管理、信息科技风险与业务连续性管理等重要性不断上升。传统操作风险在数字化转型、监管改革等趋势下，与诸多重要的新型风险和管理活动紧密交织、相互影响，如预防、管控不当，将造成监管处罚、案件、运营中断等不良后果，表现为重大操作风险事件或损失，甚至向声誉等其他风险演化。从损失分布看，伴随数字化转型，在客群下沉过程中，基层营业机构操作风险管理重要性不断上升；与此同时，总行层面保障信息科技系统平稳运行的压力不断加大。从监管政策看，2023年12月，金融监管总局出台《银行保险机构操作风险管理办法》，对商业银行强化操作风险管理提出更高要求。面对内外部形势的深刻变化，需要商业银行结合自身实际，进一步优化管理模式、细化控制措施、升级工具手段，推动操作风险由分散管理向分类管理、形式管理向实质管理、被动管理向主动管理转变。

操作风险具有点多、面广的突出特点。操作风险管理涉及商业银行的各级机构、各个条线以及前中后台，需要商业银行明晰职责分工、强化多方协同、有效构筑合力。业务和管理部门作为第一道防线，是操作风险的直接承担和管理者，聚焦本条线本领域操作风险管控重点和薄弱环节，围绕内部程序、员工、信息科技系统和外部事件四类成因，着力强化和提升自主预防管控能力。操作风险牵头管理部门作为第二道防线，聚焦科学性、独立性及专业能力，抓好机制设计和运行管理；同时，在保持独立性的前提下，为第一道防线提供政策制度、工具方法、模型系统等支持，加强主动融入、统筹督导和有效把关。内部审计部门作为第三道防线，有效揭示操作风险管控措施设计、执行中的问题和缺陷，充分发挥监督评价效能。

操作风险的四类成因，风险特征和管控机制各不相同，与全面风险管理涉及的其他风险密切相关，同时与内部控制、合规管理、案件防控与员工行为管理、业务连续性管理等交互叠加，需要商业银行切实强化统筹谋划、协同管控，构筑合力。

——内部程序。加强内部控制是防范操作风险的有效手段。持续健全内部控制体系，抓好制度管理、授权审批、岗位分离、轮岗强休、系统控制、监督检查等内控措施的设计与执行，能够有效预防内部程序问题导致的操作风险。除此之外，近年来监管处罚类操作风险损失不断上升，还需进一步强化合规管理，抓好外规内化与合规审查、合规规范执行监控等，全面提升依法合规经营水平。鉴于此，为有效协同，实践中商业银行在同一牵头部门统筹内部控制、合规管理和操作风险管理的做法已较为普遍。

——员工。员工问题导致的操作风险，主要涉及违法违规行为引发的案件及风险事件。为全面提升预防管控能力，目前，商业银行已建立了员工行为管理体系。事前，通过明确管理责任、制定行为规范、强化合规教育等措施，培育员工合规能力与规则意识，明晰可为与不可为的边界；事中，针对信贷、普惠、采购、柜面等重点领域，以及基层机构负责人、客户经理等关键岗位，加大行为排查与整治力度，及早发现和处置行为风险；事后，严肃问责管理，从严治理，形成高压态势和震慑效果，以严的氛围惩戒纠偏。在此过程中，持续强化科技手段应用，如针对员工经商办企业、与客户不当资金往来等异常和违规行为，部分银行已建立预警监测模型，强化早预警、早核查、早处置。

——信息科技系统。信息科技风险与因信息科技系统问题导致的操作风险紧密相连，特别是在数字化转型加速的趋势下，商业银行需要深耕信息科技风险与业务连续性管理，不断增强运营韧性。围绕信息科技系统的安全稳定运行，商业银行需要持续抓好风险识别评估，及时发现和修补各类缺陷漏洞。动态完善监测指标体系，确保有效预警、及时应对。切实强化灾备能力、应急处突能力建设，不断提升风险化解能力。

——外部事件。外部事件导致的操作风险，主要涉及外部欺诈等外部人员的不法行为，以及自然灾害、外包服务中断等造成的风险。此类事件涉及领域广，需要商业银行围绕欺诈风险防范化解、外包风险预防管控、安全生产管理等诸多方面，细化管控措施，压实涉及领域主管部门、各级分支机构责任，抓好预案建设和演练，切实强化针对性管理。同时，提升员工风险意识、安全意识也至关重要，日常培训与教育提醒需要常抓不懈。

科学把握不同层级机构操作风险的差异化管理

操作风险在不同层级机构的管理重心各有不同，需要商业银行科学把握差异性，强化分层管理与靶向施策。

——总行层级重点抓好操作风险管理框架设计与信息科技安全管理。聚焦操作风险管理体系框架、风险偏好、政策制度、工具系统的顶层设计，抓好各条线制度、产品、流程和系统的源头管理，动态识别固有风险与控制缺陷，及时采取优化改进措施。同时，针对信息科技风险在总部集中的特点，持续加大资源投入力度，深耕信息科技风险与业务连续性管理，不断提升应对处置能力，确保安全平稳运营。

——省级或一级机构层级重点抓好内控措施的执行管理。结合本机构客群、业务、地域、员工等特点，细化预防管控要求，抓好组织推进。加强合规规范的执行管理，切实强化督导检查，以监管处罚、案件为驱动，加大预警监测模型的研发构建，增强预防管控能力。在此过程中，可探索总分行模型的协同研发机制，建立总行定框架、分行分工负责具体模型研发的工作模式，实现全行模型库的快速构建和持续迭代。

——二级及以下营业机构重点抓好业务真实性和员工行为管理，强化监督检查和教育引导。结合本机构所在地域的风险特点，紧盯信贷、普惠、信用卡等重点业务的真实性管理，加大检查抽查与督导力度，确保各项规定动作执行到位。严格落实不相容岗位分离、岗位轮换、业务回避等控制要求，扎实开展员工日常管理、合规教育、行为排查等工作，确保按章操作，严防内外勾结、外部欺诈风险。

——境外机构重点强化合规管理。密切关注国际局势和监管形势变化，及时采取合规管理措施，防范好金融制裁、监管处罚等造成的操作风险。同时，高度重视监管检查，做好监管沟通，紧盯问题整改，确保整改落实到位。

为有效识别评估、控制缓释操作风险，商业银行需要结合自身实际，建立和应用科学合理、有效管用的操作风险管理工具手段。其中，操作风险损失数据库，除关注数据质量管控外，多家银行持续深挖在提炼预警监测模型规则、机构风险画像等方面的数据价值；操作风险自评估，愈发注重发挥在评估机构或条线操作风险管理有效性、识别管控缺陷等方面的效能，并加强与内部控制评价、合规管理评估的协同；关键风险指标，需要与管理层关切、操作风险高发领域有效契合，目前不少银行已建立系统平台，实现线上化监测，并持续强化趋势分析，突出科学性、实用性和前瞻性。此外，还可以结合自身经营管理特点，以务实管用为导向，逐步开展对事件管理、控制监测和保证框架、情景分析、基准比较分析等操作风险管理工具手段的探索应用。

为确保操作风险管理体系平稳有效运行，需要商业银行综合施策，建立健全操作风险管理的保障机制。

——强化AI意识，强化科技赋能。加大操作风险管理数字化工具、模型、系统的研发建设与推广力度，不断提升机控、智控能力。针对用户岗位权限、授权复核控制、资金异常流动、客户信息安全等关键控制环节，持续完善系统功能与控制措施。围绕业务流程和管理活动中的关键操作风险控制点，加强智能化模型的研发部署，强化操作风险的动态预警与针对性核查管控。

——加强队伍建设。加强基层机构负责人、客户经理、网点员工等重点岗位人员职业素养的教育培养，通过培训、晨会等多种形式，全面、系统掌握操作风险防控关键动作与要领。同时，加强操作风险管理部门专业人员的能力建设，保持独立性、提升专业性，确保与业务发展、风险防控需求相匹配。

——加大协同联动。围绕操作风险预防管控目标，加强三道防线协同联动，通过开放模型系统、共享信息数据、加强联合作业等方式，加大信息数据、智能模型、工具系统的共享力度，实现风控能力的互促互补、共建共用。

——做好考核评价。持续完善考核评价体系，科学合理设置与操作风险管理实效相关的考核评价指标，正向激励与负面惩戒有机结合，引导各级机构、业务条线和岗位员工准确把握好业务发展与风险防控的平衡关系。

（作者单位为中国建设银行总行内控合规部）

来源：“当代金融家杂志社”公众号

往期精彩内容回顾

守正创新、踔厉奋发：全力推进一流银行系投资银行建设

海南农商行李晓刚：坚持“六向”推动为海南自贸港建设贡献更大金融力量

武汉金控总经理丁震：为科技强国建设贡献地方金控力量

孔庆龙：以“金融活水”滴灌乡村“文旅之花”

北银金科：为打造“数字京行”奋力前行

国海证券何春梅：走中国特色金融发展之路以证券行业高质量发展助力金融强国建设

陕国投信托董事长姚卫东：找准高质量转型发力点，助力培育新质生产力

如有字体或图片侵权请联系删除。

商务合作加V:172420282

原创声明：本号所刊登署名文章，如非特别说明，皆为原创或作者授权发表。

转载务请注明出处：转自微信公众号 “当金（bankershr）”，不允许更改内容。