关于招商银行操作风险的案例分析

久爱奥鹏晓林

关于招商银行操作风险的案例分析

引言
自从金融这一概念诞生以来，商业银行就一直是实现金融资源合理配置最重要的组成部分。商业银行的经营管理过程伴随着各种各样的风险，十分复杂。良好稳健的银行运行和管理机制关系着整个经济的健康运行。长期以来，人们主要的关注点在商业银行的信用风险和市场风险，并且已经在这两个领域已形成了比较完善的风险度量和管理体系。但自20世纪80年代以来，一系列因为操作风险所导致的商业银行巨额损失甚至银行倒闭震惊了世界银行界，也使银行经营者和监管者普遍意识到操作风险管理的重要性。2001年1月，巴塞尔新资本协议（第三次征求意见稿）中提出了关于操作风险的概念；2004年发布的新巴塞尔协议正式稿中，将操纵风险纳入了风险资本计算体系之中，要求业内银行为操作风险配备相应资本金，并披露有关操作风险的详细信息。基于此，本文选择招商银行，对银行操作风险问题进行案例分析。
一、案例正文
（一）招商银行基本情况
作为中国政府推动金融改革的试点银行，招商银行于1987年在深圳成立，成为中国第一家完全由企业法人控股创办的商业银行。2002年，招商银行成为国内第一家在上海证券交易所上市并采用国际会计标准的公司；4年之后，招商银行在香港成功上市。作为中国最早市场化的银行，成立二十多年来，招商银行一直不断致力于产品和服务的创新。目前为止，招商银行已经发展成为资本净额1170.55亿元人民币、机构网点700余家、员工3.7万余人的中国第六大商业银行，跻身全球前100家大银行之列，并逐渐形成了自己的经营特色和优势。在全球金融危机的形势下，招商银行通过对操作风险的高度重视，使自身的资产质量保持在良好的水平。截至2009年6月末，招商银行资产总额达19727.68亿元人民币，不良贷款率为0.86％，准备金覆盖率达241.39％，并且受到了国际银行界的普遍关注和一致好评。2009年以来，招商银行先后被波士顿咨询公司列为净资产收益率全球银行之首；荣膺英国《金融时报》“全球品牌100强”第81位、品牌价值增幅全球第1名，《福布斯》“全球最具声望大企业600强”第24位，以及《华尔街日报》（亚洲版）“中国最受尊敬企业前十名”的第1位；荣获《欧洲货币》、《亚洲银行家》等国内外权威媒体和机构授予的“中国最佳零售银行”、“中国最佳私人银行”、“中国最佳托管新星”等。
（二）招商银行操作风险管理组织结构及职能设置
1、招商银行操作风险管理防御架构
根据我国《商业银行法》，商业银行的各个分支机构或者事业部门都不具备独立法人资格，而是实行“一级法人”管理。招商银行采用的也是以“总行—分行—支行”为基础的管理责任体制。各分行和分支机构在作为“一级法人”的总行的统一管理下开展经管活动。在这样的较为普遍的组织架构下，招商银行的操作风险总体防御体系按照《商业银行操作风险管理指引》为基础设计构建，可划分为6个层次：
第一层：各分支机构的业务部门和事业部门。业务和事业部门是银行经营活动的基础组成，对操作风险的产生和管理负有主要的责任。通过增强工作人员的风险方法意识，建立详细的规章制度来规范操作流程，防御操作风险。
第二层：对营运起支持作用的部门。从分支机构到总行的产品设计、法律事务、合规管理、财务控制、信息技术等部门，是业务部门开展经营活动的支撑，对操作风险发挥着重要的事前防范作用。
第三层：风险管理部门。不论是总行还是分行的风险管理部门，都负责制定对操作风险管理的政策规章以及对具体的管理流程加以贯彻落实。对于银行所面临或者已发生的操作风险，风险管理部门会按照银监会的要求，定期或不定期的执行和协调银行对外信息的披露。
第四层：内外部审计。主要侧重于对操作风险管理体系评价、管理政策制定实施、组织结构构架评估以及制度的具体执行情况进行审计。在招商银行的风险管理控制框架中，内外部审计部门都是相对对立的，内部审计部门不定期对业务线进行审查，在操作风险的审计方面主要涉及操作合理性、风险教育以及违规行为的处理；招行的外部审计工作则是由毕马威公司负责，主要涉及财务报表和相关风险信息的披露，以保证审计报告的真实性。
第五层：董事会和高级管理层。董事会和高级管理层在根据招行具体情况制定管理政策的同时，还需要全面的审查和监督操作风险的管理，及时的对管理体系进行检查和修订，保证体系的正常运作。
第六层：监管者和股东及其他的利益相关者。两者分别通过监管制度、监管要求和市场约束对商业银行操作风险管理状况加以关注和制约。
2、总行操作风险管理
招商银行总行的内部风险控制结构设置属于职能型的组织结构模式。整个银行的经营管理按职能部门划分，风险管理部门与其他职能部门平行，负责整个银行业务的风险控制。在总行行长之下，风险控制委员会是负责风险控制与管理具体工作的最高部门，是招商银行风险与内控管理的组织、决策和协调机构。主要职责有：
1．组织协调管理委员会组成部门的工作，协调跨委员会的重要工作事项；
2．审议管理委员会及组成部门的年度工作计划；
3．审议组成部门提出的业务发展规划、综合经营计划和部门预算方案；
4．组织起草基本规章、重要规章、重要政策，审议组成部门提出的基本规章、重要规章、重要政策，报请行长办公会议审定；
5．汇总、拟定调研计划，组织落实组成部门调研计划；
6．组织贯彻落实行领导布置的重要工作；
7．指导、检查、监督组成部门的工作计划与工作任务的执行和落实情况；
8．审定管理委员会年度工作汇报；
9．对于上述协调议事事项根据授权进行决策。
在其之下的内控部门包括：负责全行风险管理与内部控制等综合管理的风险管理部，以及按业务种类划分的各个风险管理处，包括资产负债管理部风险管理处、公司业务部风险管理处、个人银行业务部风险管理处、房地产金融业务部风险管理处、投资银行部风险管理处、金融机构业务部风险管理处、国际业务部风险管理处、资产保全部风险管理处、资金部风险管理处、会计结算部风险管理处、基金托管部风险管理处、信息技术管理部风险管理处和法律部风险管理处。而风险管理部又分为多达13个处室，各自负责不同类型的风险管理，包括：综合业务处、制度管理处、授权管理处、信用风险管理处、市场风险管理处、内部控制管理处、风险计量分析处、信贷资产质量管理处、非信贷资产质量管理处、风险报告处、风险经理管理处、信贷管理处和本级风险管理处。其中的内部控制管理处为操作风险和合规风险的主要负责部门。
全行对操作风险的具体管理细则和考核要求由风险管理部下属内部控制管理处负责统一制定，由行领导认可后实施。而操作风险管理则由各部门具体负责执行。各业务线风险管理处室都设有操作风险管理岗，相关的责任人员将会按照风险管理部制定的条例对各处面对操纵风险进行详细的定义和说明。在此基础上，各处会对操作风险进行指标化，将指标落实到每一个业务人员，通过详细的量化管理来作为业绩考核依据。以信息技术管理部风险管理处为例，其主要职责是：
（1）负责建立健全全行系统信息技术管理的风险内控制度并组织实施；
（2）负责全行系统信息技术风险控制的有效性；
（3）负责全行系统信息技术管理水平和业务操作的合规性；
（4）负责监督全行系统信息技术管理内控职责的落实情况，对本部门风险内控管理工作定期进行评价；
（5）负责监测分析本部门信息技术管理面临的各类风险，搜集、整理各类风险监测的指标数据。
（6）负责撰写本部门的内控评价报告和风险监测报告。
在该处中，设立有操作风险管理岗，由科员担任，负责监督处室内部的操作风险管理。作为信息技术管理部门，其面对的风险基本都属于操作风险。操作风险岗位人员将会针对这一情况，向处长提出相应的管理办法，处长将根据具体情况对之加以调整，并监督实施。在招行系统中，信息技术管理部门对操作风险的管理主要有以下职责：
（1）整个部门的具体工作将细化。同时，一个职责岗位将由两人共同负责。例如，系统安全性将有两人共同负责，分为A角和B角，形成双人操作，相互监督制约；
（2）将对系统运行时间进行细化，每个时间段都将安排两人同时值班，保证银行系统的安全；
（3）信息技术管理部将对全体员工进行相关知识的培训，以减少因自身人员操作问题而带来的风险；
（4）对工作用电脑将严格实行分离管理，所有涉及工作事项的计算机都与外网隔离，减少受到外部攻击的概率；严禁外接设备的使用，保证数据资料的安全性；
（5）风险岗负责人员将按月、按季、按半年和按年的方式撰写信息技术管理部操作风险管理报告，其中包括风险发生次数、性质、影响等内容。总行管理处还将接收下级分行提交的风险管理报告，对面临的风险进行量化分析。
3、分行操作风险管理
分行风险管理部对应总行风险管理委员会和风险管理部，主管分行全行风险与内部控制管理工作，领导全行各业务部门风险管理科的工作，制定信贷制度、判别监控信贷风险、管理全行授信审批业务、统一组织和管理信贷后台业务。风险管理部负责督促并检查分行各部门严格执行业务规章和经营政策情况；检查各部门对各自业务和管理系统合规性的督促和检查工作；牵头组织和督促分行各部门建立和健全对分管业务和分管系统的风险与内部控制制度和评价标准；组织全行综合性风险与内控制度执行情况检查；牵头拟定全行业务转授权方案。接受总行风险管理部门的业务指导，并对总行风险管理部门提供分行的风险报告，向下负责指导二级分行、基层支行风险管理科的工作，接收并处理递交上来的风险评估报告和监测报告，最后向总行风险管理部提交处理结果。根据总行风险管理部内部的组织结构设置，分行风险管理部门内相应的设立综合业务科、制度管理科、授权管理科、信用风险管理科、市场风险管理科、内部控制管理科、风险计量分析科、信贷资产质量管理科、非信贷资产质量管理科、风险报告科、风险经理管理科、信贷管理科和本级风险管理科13个风险管理科室。各个科室的职能也是完全比照总行进行设置。对上，在向对应的总行处室提交风险管理报告的同时，还将所整理得到的数据作为分行风险管理部对操作风险分析管理的数据来源；对下，对其所属的二级分行、基层支行风险管理部提供相关风险指导，搜集基层业务线上的操作风险信息。
4、基层支行操作风险管理
对于基层支行的内控体系，招行并没有再在各业务职能部门内设置风险内控机构，而是由本级行风险管理部统一实行风险控制与管理，不在设置各业务部门的风险管理处室或者科室，而是直接通过在各业务部门内设置相应的风险管理岗来对各对口业务部门内的风险进行全程、及时的控制。与之前介绍的管理不同的是，在这一层面的操作风险管理中，相关的风险管理岗是独立于业务部门的，直接向上一级的风险管理部门负责，提供相关信息和数据。
二、案例分析
（一）招商银行操作风险管理存在问题分析
1、操作风险管理组织结构不合理
在前文所描述的招商银行关于风险控制管理的组织架构下，其采用的是“总行—省分行—市分行—基层网点”的管理形式，分支机构既具有经营职能，同时也拥有管理职能。各级管理人员对基层业务部门实行操作风险控制管理，而除基层营业点外的各级管理人员则是由上级部门执行风险控制，这样的塔式管理必然导致级别较高的管理人员所受约束力越小。比如每个分行或者支行的行长在本机构内有着绝对的权威，在负责业务经营和拓展的同时，也肩负着风险的管理控制，但他们所受到的风险控制约束就大大小于基层操作人员和普通管理人员。在招商银行总行和分行的各个分支机构中，操作风险的管理职能并没有设立一个专业的部门负责，而是由风险管理委员会总体监督管理。下属的内部控制管理处虽然对操作风险进行了定义和说明，并提出了管理办法。但具体的管理仍分布在会计部、结算部、资金业务部、信息科技部等职能部门，这些部门直接对相应分支机构的行长负责，上一级职能部门职能对下一级部门进行指导性的监督检查，而不是直接的责任制管理，这就导致银行操作风险管理的职能分散在各个分支机构独立进行。
这一操作风险管理职能相对独立的分散化，且缺少独立评估管理框架的组织管理模式，使得上级行对下级行的操作风险管理难以形成实质性的约束机制。而分支机构的操作风险管理又服从于业务发展，这样一来就有可能造成下属分支机构操作风险因经济利益或者发展压力而导致基层分支机构操作风险管理的缺失，风险隐患随之产生。根据国内学者对银行操作风险的研究统计数据来看，国内商业银行发生的大案要案多数集中于各商业银行的各地市分支机构，而且多数发生在发展速度较快，监管出现失位的机构。比如，发生在支行一级的比例为55.56%，发生在分行一级的比例为32.16%，两者合计高达85.72%。通过以上分析可以发现，目前国内银行所构建的塔式操作风险管理体系存在着缺陷。即使是招行这样国内风险管理较为成功的商业银行，也无可避免的因这样的传统体制问题而面对非人为因素带来的操作风险隐患。对这一管理体系的合理调整和改革，将是招商银行未来所面临的一个挑战。