四大商业银行内部控制和操作风险及其相关性评述

朱 平，刘瑞文，张同建

(1.苏州工业园区测绘有限公司，江苏 苏州 215021;2.江苏大学财经学院，江西 镇江 212013)

银行业在本质上是风险运营的行业，风险控制是银行经营的一项主要业务行为，是培育银行核心能力并促进银行可持续发展的关键手段。传统银行业所面临的主要风险是市场风险、信用风险、流动性风险等类型的风险，但是，二十世纪八十年代以来，随着现代商业银行的兴起，银行业务的规模逐渐增大、产品品种的类型也逐渐增多，信息技术与银行业务流程的结合也日益密切，操作风险开始滋生、蔓延和扩散，对银行运营带来严重威胁，甚至引起灭顶之灾，引起了国际金融界的广泛重视。因此，操作风险正上升为现代银行业所面临的首要风险。

一、操作风险的兴起

1995年，因金融衍生品投机失败，拥有233年辉煌历史的英国巴林银行宣告破产。2001年，由于资金交易的前台与中台没有分离，内部控制体系失调、操作风险评估不力等原因，日本大和银行损失11亿美元的巨额资金。2002年2月，虚假交易造成了联合爱尔兰银行(Allied Irish Bank)美国分行约7.5亿美元的损失。2008年，法国兴业银行一位精通信息网络的交易员Jerome Kerviel，冲破银行内部的层层监控实施了非法交易，致使银行亏损71亿美元。

巨额的操作风险损失案件层出不穷，使西方银行业逐渐意识到，在目前规模效益递减、金融业竞争日趋激烈的环境下，操作风险的防范已成为银行运营的一项核心目标，成为增强银行业持续竞争力、减少风险损失、增加银行收益的主要途径［1］。2004年，欧洲银行的一项调查显示，41%的银行机构认为操作风险事件的防范是提高经营效率的主要方式。

2005年，英国银行家协会(BBA)和Coopers＆Lybrand公司联合对BBA成员国银行进行了一次调查，针对45个BBA成员的报告显示:多于67%的银行认为在现代银行业的风险防范体系中，操作风险与市场风险、信用风险同样显著，24%的银行在过去的三年中遭受过大于100万英镑的操作风险损失，77%的银行在过去的三年中遭受过30次以上不同类型的操作风险的危害。2007年，毕马威公司的全球风险调查显示:信用风险、市场风险、操作风险和其他风险所要求的风险资本在资本总额中的比例，由过去的55%、35%、5%和5%的分布状态，演变为现在的40%、35%、20%和5%的分布状态，并有可能演变为未来的30%、25%、40%和5%的分布状态。

与信用风险、市场风险、流动性风险等其他传统的银行风险不同，操作风险危害的演化虽然也是一个渐进的过程，但是，这个转变过程过于短暂、过于迅猛，使国际银行业始料未及［2］。上世纪90年代初期，国际金融界对操作风险的认识还处于一种模糊性的状态，没有形成关于操作风险的统一定义，也不存在普遍认同的操作风险衡量方法，更没有成熟的操作风险管理技术，公开风险数据库资料严重缺失。直至1999年6月，巴塞尔委员会(BASEL)在颁布“新资本协议框架”时提出商业银行应该对操作风险进行定量分析的要求之后，操作风险防范才逐渐成为银行业风险控制的核心内容之一。

二、操作风险防范

“巴林事件”为全球银行机构敲响了警钟，警示着操作风险正成为威胁银行生存的隐患之一。鉴于操作风险的危害，它的防范已成为国际金融界广为关注的焦点，并逐步进入操作阶段。其中，巴塞尔银行监管委员会(BASEL)在商业银行的操作风险防范战略中发挥了积极的指导作用［3］。

1999年6月，巴塞尔委员会(BASEL)提出了操作风险的定量分析要求;2003年2月，巴塞尔委员会(BASEL)又公布了银行操作风险管理与监控的十项稳健措施，在全球范围内有效地激励了操作风险防范力度。2006年，巴塞尔委员会(BASEL)颁布了《新巴塞尔资本协议》，正式将操作风险与信用风险、市场风险一起纳入到资本充足率的计算框架之中，强调“巴塞尔委员会认为操作风险对于银行来说日趋重要，银行有必要投入足够的资源来对其进行定量分析，将其纳入衡量资本充足率的范围”［4］。随后，巴塞尔委员会(BASEL)给出了操作风险计量的三种方法:基本指标法(Basic Indicator Approach)、标准法(Standardized Approach)和高级衡量法(Advanced Measurement Approach)。

在巴塞尔委员会的促进下，西方发达国家的商业银行率先实施了操作风险防范战略，制定了各种风险防范措施，拟定了操作风险的度量模型，构建了风险损失数据库，成立了专门的操作风险管理机构，强化了操作风险信息披露，提高了操作风险的监控与稽核力度，在操作风险防范战略上取得了明显的成效。

2005年，BBA、ISDA和RMA联合进行了一次全球性的操作风险调查，覆盖了54%的全球性大银行、5%的投资银行、5%的资产管理公司、9%的财务公司和27%的现金中心和零售银行，具有一定的代表性。调查结果显示:84%的商业银行实行了操作风险管理，30%的商业银行存在着自己的操作风险定义和风险防范政策，80%的银行发展了量化操作风险的方法，26%的商业银行对跨国公司操作风险进行了评估，31%的商业银行执行和发展了操作风险自我评估体系，39%的商业银行进行了操作风险管理训练。尽管许多金融机构之间对操作风险的风险定义、防范政策、量化方法、评估方式、风险管理手段等方面存在一定的差异，但是几乎所有的金融机构都认为，操作风险防范的实施已刻不容缓，并应该尽早将其纳入全面风险管理框架之中。

2006年，穆迪公司对欧洲地区的商业银行进行了一次操作风险防范现状的调查，显示几乎所有商业银行都建立了集中化的操作风险管理部门，在全行范围内广泛应用和大力推广管理工具、管理方法、管理政策，负责监控操作风险敞口和损失，积累和集中处理相关风险数据，提交高层操作风险管理报告，规划操作风险的缓释策略。

三、银行内部控制与操作风险防范

内部控制是商业银行操作风险防范的基本方法，目标就是消除和降低各类运营风险。内部控制战略也是银行业的一项基本的管理战略，几乎所有的商业银行在内部控制的实施上均积累了一定程度的经验，有助于操作风险防范策略的制定与实施。

内部控制的思想源于美国学者维纳的控制论。控制论认为耦合机制是系统内部的一种普遍性的规律，即系统内部的多个要素或运动形式可以相互作用、相互影响，共同推进系统的升级。根据巴塞尔委员会(BASEL)的定义，银行内部控制可分为控制环境、风险评估、制度执行、信息与沟通、监督与反馈五个要素。在操作风险控制过程中，内部控制的五个要素均可独立地发挥着各自的功能［5］。

根据英国银行家协会(BBA)的分类，操作风险分为四种类型:人员操作风险、流程操作风险、系统操作风险与外部事件操作风险。内部控制要素对各类操作风险防范均存在着不同的促进作用，表现出不同的风险控制特征，同时，它对操作风险防范的促进在微观路径上是一个动态的复杂性系统。

内部控制对操作风险防范的微观促进路径的解析具有现实性的研究价值，可以揭示基于内部控制视角的操作风险防范的微观路径机理，发现操作风险防范中的内部控制要素的优势功能与不足之处，辨识各种操作风险防范策略与绩效的差异性，从而为商业银行加大内部控制防范力度、提升操作风险控制水平提供理论性的指导。

四、四大商业银行内部控制与操作风险的防范

四大商业银行是我国银行业的主体，代表着我国银行业的发展水平和国际竞争力。随着我国经济的迅速崛起，以及金融业务规模的扩大，在四大商业银行引发了各类风险事件的增多与损失额的增大。其中，操作风险事件与损失扶摇直上，大有超越各类传统银行风险的趋势。操作风险防范已引起我国银行业的高度警觉和广泛关注。2005年3月27日，中国银行业监督管理委员会颁布了《关于加大防范操作风险工作力度的通知》，使包括四大商业银行在内的我国银行业操作风险控制进入了崭新阶段。四大商业银行在《通知》的指引下，大力实施了操作风险管理，取得了明显的成效，在获取丰富的控制经验的同时也加深了对操作风险内涵、类型与特征的认识［6］。

我国银行业操作风险一般分为人员操作风险、流程操作风险、系统操作风险与外部事件操作风险四种类型。我国银行业操作风险在事件分布、损失分布、地域分布、风险类别等方面与西方商业银行存在着明显的差异。目前，对我国银行业危害较大的是人员操作风险与流程操作风险，其风险事件数与风险损失额远超过系统操作风险与外部事件操作风险。内部控制同样也是我国银行业实施操作风险防范的基础性策略。我国银行内部控制体系分为五个要素:内部控制环境、风险评估、制度执行、信息沟通、监督与反馈。相对于西方银行而言，我国银行业内部控制建设尚处于起步阶段，主要体现在内部控制环境不完善、产权模糊、控制文化滞后、监管不力、反馈机制阻隔等方面［7］。

在四大商业银行内部控制体系中，风险评估、制度执行与信息沟通发挥着较大的作用，而风险控制文化培育、组织结构优化、产权明晰性组合、监督与反馈等要素仍处于功能缺失状态。针对四大商业银行而言，内部控制的功能处于不均衡状态，内部控制要素对各种类型操作风险防范的路径机制也存在着差异，而这种差异性的解析对于操作风险防范的深化具有重要的现实性应用价值［8］。

在四大商业银行内部控制体系中，信息沟通具有较为特殊的功能，不仅直接促进了各种类型的操作风险的防范，也通过对其他内部控制要素的支持而间接促进了各种类型的操作风险防范。可见，基于风险评估、制度执行和信息沟通的视角，以及信息沟通与风险评估与制度执行交互性影响的视角来研究人员操作风险与流程操作风险的风险控制效应，具有现实意义，是在四大商业银行业内部控制环境不完备与操作风险控制不成熟的条件下所采取的一种灵活性、折中性、基础性的操作风险防范研究措施。

在巴塞尔银行内部控制理论的指导下，中国人民银行于2006年颁布了《商业银行操作风险控制指引》，认为我国商业银行内部控制体系应该包括如下五个要素:内部控制环境、风险识别与评估、内部控制实施、信息系统、监督评价与纠正。在《指引》中，内部控制五要素的内涵与COSO、Basel内部控制体系存在着局部的差异，反映了我国商业银行内部控制实施的特征。

五、四大商业银行内部控制的改进

与传统的市场风险、信用风险和流动性风险相比，操作风险具有更加复杂的特征，与银行自身的人员规模、营业规模、区域位置、产权结构、风险防范经验、业务流程、企业文化、组织结构等因素密切相关，具有人因性、流程性、动态性的特点。相比于西方商业银行而言，四大商业银行操作风险的防范仍处于较低的水平。

尽管巴塞尔委员会(BASEL)给出了操作风险管理的十项原则，但这些原则都是从较为宏观的层面对商业银行的组织结构、制度框架和流程导向提出了指导性的要求，并未给出详细的操作方法和实施手段，尤其对我国商业银行操作风险防范的指导缺乏务实性的策略。

根据国内外商业银行操作风险控制的经验，内部控制是操作风险防范的有效措施。内部控制制度执行的缺失或执行不力，操作风险事件就会大幅度上升。操作风险的防范措施具有多样性，既有银行外部的方法也有银行内部的方法，但是，内部控制是这两种方法的共同途径，外部方法可以通过内部控制措施而实现。所以，在现有的银行运营环境下，内部控制在操作风险防范体系中占有重要的地位［9］。

银行内部控制是一个由不同要素、不同运行环节组成的有机体，涉及银行业务部门、内审部门、中央银行和外部审计机构。从要素体系来看，内部控制五大要素中的任一要素的不健全都会造成内部控制的低效或无效;从运行体系来看，内部控制有效运行的前提条件是维持每个内控环节的顺利运转，任何环节的失灵都会导致整个内控体系的实效。

对于四大商业银行来说，内部控制的失灵必然引发操作风险事件的频繁发生。操作风险案件既可能是由于内部控制要素缺失或不健全引起的，也可能是由于一个或若干个内控环节失灵造成的。自上世纪末期，内部控制在我国银行界普遍得到了重视。中国人民银行于1997年发布了“加强金融机构内部控制的指导原则”，2002年颁布了《商业银行内部控制指引》，2006年颁布了《中国人民银行分支机构内部控制指引》。中国银行业监督管理委员会于2004年颁布了《商业银行内部控制评价试行办法》。这一系列内部控制法则的颁布有效地促进了四大商业银行及其他商业银行内部控制的实施，同时也提高了操作风险的防范效率。

四大商业银行内部控制战略在促进各类操作风险防范的同时，也存在不足之处。目前，四大商业银行操作风险控制仅处于初级阶段，风险事件频繁发生，风险损失有增无减。内部控制对操作风险控制的促进是通过要素之间的微观激励而实现的，因此，对内部控制要素与操作风险控制要素之间相关性的实证性研究具有重要的现实意义，能够有效地揭示四大商业银行内部控制在操作风险防范目标上的微观机理，并为操作风险防范的改进提供现实性的理论指导。

［1］简传红，孟坤，张同健.国有商业银行操作风险控制结构体系研究［J］.上海立信会计学院学报，2008，(1)：82 －88.

［2］董晓波、张同建.商业银行操作风险控制影响因素实证研究［J］.上海立信会计学院学报，2009，(5)：81 －85.

［3］苏虹，胡亚会，张同健.我国商业银行操作风险控制影响因素研究［J］.宁波职业技术学院学报，2009，(4)：50－55.

［4］张同健.国有商业银行拆出资金业务内部控制结构体系经验解析［J］.兰州石化职业技术学院学报，2008，(2)：46－49.

［5］张同健.论新巴塞尔协议下商业银行操作风险控制的措施［J］.湖南财经高等专科学校学报，2007，(5)：103－105.

［6］张同健，简传红.我国商业银行存款业务内部控制的经验分析［J］.十堰职业技术学院学报，2008，(3)：63 －65.

［7］张同健，胡亚会，李迅.国有商业银行中间业务内部控制体系经验解析［J］.湖州职业技术学院学报，2010，(2)：37－40.

［8］张同健.基于数据调查的国有商业银行操作风险控制战略实证研究［J］.平顶山学院学报，2008，(2)：47 －53.

［9］张同健.我国商业银行会计系统内部控制的实证研究［J］.山东商业职业技术学院学报，2008，(2)：17 －20.