4 操作风险监管要求

4.1 巴塞尔协议Ⅱ对操作风险的监管要求

巴塞尔银行监管委员会(BCSB)是金融风险管理工作中的关键角色，它对世界范围的金融机构建立监管标准和要求。巴塞尔银行监管委员会由十国组织(G10)中心银行管理者于1975年建立，目前共由28个国家或地区的代表组成(包括阿根廷、澳大利亚、比利时、巴西、加拿大、中国内地、欧盟、法国、德国、中国香港、印度、印度尼西亚、意大利、日本、韩国、卢森堡、墨西哥、荷兰、俄罗斯、沙特阿拉伯、新加坡、南非、西班牙、瑞典、瑞士、土耳其、英国和美国)，它们定期在位于瑞士巴塞尔的国际结算银行(BIS)举行会议，秘书处也永久地设在那里。巴塞尔银行监管委员会在为银行建立风险资本和管理指导方面起着领导作用。

4.1.1 巴塞尔资本协议

1988年7月，巴塞尔委员会颁布了资本协议。该协议现在被称作巴塞尔协议Ⅰ。该协议的主要目标是建立最小资本标准来防范信用风险。1993年4月，市场风险被纳入资本监管要求，巴塞尔协议Ⅰ在1996年被扩充。

两年后，为反映金融行业在将来的发展和银行面临的多种风险，巴塞尔委员会决定对巴塞尔协议Ⅰ进行修订。有关操作风险的管理文件也在1998年开始讨论。它提出了操作风险作为大量金融风险因素的重要性。到2001年7月，关于防范操作风险的资本要求及其咨询文件开始颁布。

2004年6月，巴塞尔委员会颁布了巴塞尔协议Ⅱ，正式将操作风险纳入商业银行的资本监管框架。随后，巴塞尔协议Ⅱ又经过多次修订(见表3—1)，于2006年11月被最终确定。在巴塞尔协议Ⅱ中，操作风险服从监管资本的管理，而监管资本则由每家银行分别估计。巴塞尔协议Ⅱ为操作风险的资本估计作了详细定义和设计，为银行提供了多种估计操作风险资本的框架，同时列出了必要的监管和信息披露要求。

实施巴塞尔协议Ⅱ的日期最初被设定为2007年1月。对不同国家或地区允许有过渡期。美国银行业设定的实施日期为2007年1月，后来又延长至2008年1月，并且建立了一个三年的过渡期来平稳地实施巴塞尔协议Ⅱ。

根据毕马威(KPMG，2008)的调查，包括日本、澳大利亚和中国香港在内的亚太地区发达国家或地区的银行业已在2008年底按照巴塞尔协议Ⅱ的要求对操作风险实施监管。而一些新兴经济体如印度尼西亚、马来西亚和巴基斯坦等则计划于2010年实施巴塞尔协议Ⅱ。

中国银监会于2008年9月颁布了《第一批新资本协议实施监管指引的通知》，要求商业银行2010年全面实施巴塞尔协议Ⅱ。

巴塞尔协议Ⅱ的应用范围主要包括银行集团控股公司、国际活跃银行和包括证券公司在内的附属机构。巴塞尔协议Ⅱ的三大支柱包括：最低资本要求、监督检查和市场纪律。

不过，2008年席卷全球的金融危机爆发后，监管机构、银行界和学术界都认为，巴塞尔协议Ⅱ提出的三大支柱(最低资本要求、监督检查和市场纪律)并没有在阻止全球性金融危机蔓延中发挥有效作用，因此必须对其进行改革。经过近两年的讨论，巴塞尔银行监管委员会于2010年12月16日颁布了《更具弹性的银行和银行体系全球监管框架》(A Global Regulatory Framework for More Resilient Banks and Banking Systems)，即巴塞尔协议Ⅲ。巴塞尔协议Ⅲ提高了资本充足率的要求，强调宏观审慎监管和流动性比率的监管，通过对系统重要性银行实行特殊的监管，以达到监管点和监管面的结合，防范系统性金融危机的爆发。

在操作风险计量和管理方面，巴塞尔委员会于2011年6月30日分别颁发了《操作风险稳健管理的原则》(以下简称《原则》)和《操作风险——高级计量法监管指导》(以下简称《指导》)两个咨询文件。《原则》要求商业银行在实施操作风险管理时，必须充分考虑银行业务的特征、规模、复杂性和风险状况，并明确操作风险稳健管理的11条准则，包括董事会的领导责任、高管层应确保和实施所有银行业务的操作风险评估计量等。《指导》则针对操作风险高级计量法，从公司治理、数据和模型分析三个方面提出了要求：(1)公司治理方面，强调了确保(validation)和实施(verification)两个原则，确保将保证银行采纳的操作风险管理系统(operational risk measurement system, ORMS)充分稳健，并提供输入、假设、处理和输出的一体化流程；全行操作风险管理机构(corporate operational risk management function, CORF)的实施则涵盖银行内外审计等工作。(2)用于高级计量法建模分析的数据包括四类：内部损失数据；外部损失数据；情景数据和与银行业务环境相关的数据；内部控制数据。(3)建模分析要充分考虑操作风险集中度、统计分布假设、相关性等因素。

4.1.2 巴塞尔协议指导的操作风险计量框架

根据巴塞尔协议(包括巴塞尔协议Ⅱ和巴塞尔协议Ⅲ)，操作风险资本计量方法，依照业务复杂程度及风险敏感性，由简至繁分别为基本指标法(basic indicator approach，BIA)、标准法(the standardized approach，TSA)及高级计量法(advanced measurement approach,AMA)。

(1)基本指标法。

采用基本指标法时，银行持有的操作风险资本应等于前三年总收入的平均值乘以一个固定比例(用α表示)。资本计算公式如下：

(4.1)

其中：

GI_J：前三年总收入；

n：前三年总收入是正值的年数；

α=15%，由巴塞尔委员会设定，旨在将行业范围的监管资本要求与行业范围的指标联系起来。

总收入定义为：净利息收入加上非利息收入。^注7这种计算方法旨在：

①反映所有准备(例如，未付利息的准备)的总额；

②不包括银行账户上出售证券实现的利润(或损失)^注8；

③不包括特殊项目以及保险收入。

鉴于基本指标法计算的资本比较简单，巴塞尔协议未对该方法的采用提出具体标准。但是，委员会鼓励采用此法的银行遵循委员会于2003年2月发布的指引——《操作风险管理和监管的稳健做法》。

(2)标准法。

在标准法中，银行业务分为8个业务条线：公司金融(corporate finance)、交易和销售(trading & sales)、零售银行业务(retail banking)、商业银行业务(commercial banking)、支付和清算(payment & settlement)、代理服务(agency services)、资产管理(asset management)和零售经纪(retail brokerage)。业务条线分类详见表4—1。

表4—1业务条线及β系数

资料来源：The Basel Committee on Banking Supervision, International Convergence of Capital Measurement and Capital Standards, Nov., 2006.

在各业务条线中，总收入是一个广义的指标，代表业务经营规模，因此也大致代表各业务条线的操作风险暴露。计算各业务条线资本要求的方法是：用银行某业务条线的总收入乘以一个该业务条线适用的系数(用β值表示)。β值代表整个银行业在特定业务条线的操作风险损失经验值与该业务条线总收入之间的关系。应该注意到，标准法是按各业务条线计算总收入，而不是在整个分支机构层面计算，例如，公司金融指标采用的是全行公司金融业务产生的总收入。

总资本要求是各业务条线监管资本的简单加总。总资本要求如下所示：

(4.2)

其中：

GI_jk：遵循基本指标法关于总收入的定义，8个业务条线中各产品线(或业务条线)过去三年的年均总收入；

β_k：由巴塞尔委员会设定的固定比率。β值详见表4—1。

2004年6月巴塞尔协议Ⅱ建议采用替代标准化方法(ASA)，在替代标准化方法下，零售银行业务线(RB)和商业银行业务线(CB)是根据贷款与垫款(LA)的总数而不是根据总收入作为操作风险披露指标来计算的。因素β进一步乘以一个尺度因素(用符号m表示)，等于0.035。对于那两个业务条线，资本要求(K_RB和K_CB)计算如下式：

标准化方法(TSA)和替代标准化方法(ASA)的优点与基本指标法(BIA)的相同，由于不同业务线的操作风险披露程度被考虑进去了，所以它们比基本指标法(BIA)更精确。

但是，标准化方法(TSA)和替代标准化方法(ASA)存在四个缺点：

①它们对风险不够敏感：使用业务线总收入的固定部分并没有考虑到对于一个特定银行，这类业务线可能具有的不同特点。

②不同业务线之间隐含着相关性。

③可能导致高估了真实的操作风险资本要求。

④对于大型国际活跃银行不适用。

为了有资格使用标准化方法和替代标准化方法，银行必须使其业务活动纳入业务线。采用这种方法的银行必须经常对操作风险资料和变化进行监测和控制。这包括有规律的操作风险披露报告、内部和外部审计、有效的操作风险自我检测历程和监督。

(3)高级计量法。

高级计量法(AMA)是指银行采用一定的定量和定性标准，通过内部的操作风险计量系统计算监管资本要求的方法。使用高级计量法必须获得监管当局的批准。

巴塞尔委员会鼓励商业银行采用高级计量法计算操作风险资本。采用高级计量法时，银行除了将经营活动划分为8个业务条线外(见表4—1)，还必须把各种操作风险损失划分为7种类型(见表3—2)：

①内部欺诈：损失来自欺诈、资产损失或者规避监管或公司政策；

②外部欺诈：损失来自第三方欺诈、资产误用或逃避法律；

③就业政策和工作场所安全性：由于违反有关雇佣、健康及安全法律或协议而造成的损失，以及对于个人伤害、差别待遇索赔的支付；

④客户、产品及业务操作：损失来自无意识或粗心大意，对特定客户不能提供专业服务，或来自产品特性、设计；

⑤实体资产损坏：损失来自自然或其他事件的破坏；

⑥业务中断和系统失败：损失来自业务异常、系统失误；

⑦执行、交割及流程管理：损失来自交易处理或流程管理的失误、与交易对手的关系破裂。

这样，银行的操作风险将被区分为56个业务条线/风险损失种类。

实践中，由于高级计量法是基于银行内部管理体系和业务构架的，因此各银行具体的计量方法各不相同，但大致有以下几种：

①内部衡量法。

内部衡量法根据表4—1的银行业务条线和表3—2的损失类型，构成56个业务类型/损失类型组合，银行用内部的历史损失数据来计算每一组合的期望损失值(EL)，风险资本则由期望损失(EL，损失分布的均值)和非预期的损失(UL，损失分布的尾部)的关系来确定。如果二者之间呈线性关系，则风险资本为：

K_IMA=∑i∑jγ_ijEL_ij(4.5)

式中，i代表业务条线；j代表损失类型；γ_ij是计算i类产品中的j种期望损失EL_ij所需风险资本的参数。

如果二者之间不具备线性关系，则风险资本为：

K_IMA=∑i∑jγ_ijEL_ijRPI_ij(4.6)

式中，RPI_ij为风险特征指数。

②损失分布法。

损失分布法是根据每种业务条线/损失类型估计操作风险损失在一定期间(如1年)内发生的概率。这种方法通常要使用蒙特卡罗模拟等方法或者事先假设具体的概率分布形式，如假定损失次数服从泊松分布，损失强度(损失金额)服从对数正态分布或威布尔分布等。损失分布法主要通过计算VaR值来直接衡量非预期损失，而不是通过假设期望损失与非预期损失之间的关系而得到的，因此，损失分布法具有更强的风险敏感性。

例如，假定(X₁,X₂,…,X_n)表示操作风险损失的随机变量，则其分布函数为：

F(x)=P{X_i≤x}≤q(4.7)

式中，q为一定的置信水平，如0.95≤q≤1。给定q，对于分布函数F(x)，可以确定其VaR值：

VaR_q=F^－1(q)(4.8)

式中，F^－1为分布函数的反函数。相应地，全行操作风险就是每种业务条线/损失类型VaR值的简单加总。

损失分布法的不足之处在于没有充分考虑各种业务条线/损失类型之间的相关性，使用这种方法计算的操作风险资本比实际的经验值高。

③极值理论法。

在操作风险中，较为危险的并非日常的高频率/低损失类事件，而是类似于里森事件的低频率/高损失的极端事件，从统计角度看，极端损失的存在使得操作风险的损失分布具有明显的厚尾特点，因此，极值理论被许多国际活跃银行运用于测量操作风险。

极值理论源于次序统计理论。1943年Gnedendo建立了著名的极值定理，Gumbel随后对这一学科的研究做了系统总结。用于测量VaR的极值方法大致有两类：块极大值模型(block maxima model，BMM)和超阈值模型(peaks over threshold，POT)。块极大值模型主要针对块最大值建模；超阈值模型则对观察值中所有超过某一阈值的数据建模。由于超阈值模型有效地使用了有限的极端观察值，它被认为是实践中最有用的模型之一。用极值理论计算VaR时，只考虑尾部的近似表达，而不是对整个分布进行建模。

极值理论对损失尾部分布的估计方法主要有两类：基于分布尾部的Hill估计的半参数和基于广义帕累托分布的完全参数方法。这里简要介绍广义帕累托方法。

假设损益X的分布为F，对于给定的阈值u，定义F_u为超过该阈值的观察值X的极值损失分布，则：

(4.9)

定义广义帕累托分布(GPD函数)：

(4.10)

可见，当ξ>0时，GPD是厚尾分布的，在金融时间序列中备受关注。根据Pichands-Balkema-Dehaan定理，有：

(4.11)

由于F_u为超过该阈值的观察值X的超额损失分布，该定理为极端损失定义了一个近似分布，即对极端损失y，有：

F_u(y)=G_ξ,β(y)(4.12)

所以，在阈值u较高的情况下，对于x>u，令x=u+y，得到F(x)的近似分布：

F(x)=(1－F(u))G_ξ,β(x－u)+F(u)(4.13)

以N_u代表样本中大于阈值的样本点数目，以n代表样本大小，用(n-Nu)/n作为F_u的估计，则：

(4.14)

由此，给定一定的置信水平q，求F(x)的反函数，就可以得到VaR的估计值：

由VaR和ES的关系可得：

ESq=VaR_q+E［X－VaR_q|X>VaR_q］(4.15)

同时，根据Pichands-Balkema-Dehaan定理，可得：

F_VaRq(y)=G_{ξ,β+ξ(VaRq－u)}(y)(4.16)

当ξ>1时，由以上两式得到：

(4.17)

因此：

(4.18)

鉴于运用极值法就是为了确定超过临界水平(阈值)时，损失的期望值ES，所以在上述模型中，为正确估计ξ和β，需要选取适当的阈值u。如果阈值u定得太大，会导致超额数很少，以致参数估计的方差变得太大；如果阈值u定得太小，则会产生有偏的参数估计。实际运用中，阈值u的确定一般需要应用探索性的数据分析方法来实现。

极值法的特点在于：

第一，极值理论模型直接处理损失分布的尾部，且没有对损失数据预先假设任何分布，而是直接利用数据本身说话，而且对可能超过VaR值的操作风险损失作出了预测，因此它更适合对低频率/高损失类型的操作风险进行防范。

第二，运用极值理论需要处理一系列的不确定性，首先是参数的不确定性：即使有足够的、高质量的数据来处理以及有良好的模型，参数估计仍存在偏差；其次是模型的不确定性：可能有很好的数据，但模型很差；最后是数据的不确定性：从某种意义上讲，在极值分析中永远不会有充足的数据。