1、“ 站式解决方案” 一站式解决方案 操作 险管 与内 操作风险管理及与内 控、合规管理的有机 结合 银行业操作风险管理研讨会 2014年9月目录 操作风险、内控与合规的有机结合： 整合动因和整合思路 1 操作风险、内控与合规的整合目标：三项整合方案 2 操作风险、内控与合规的整合方法论：整合体系建设 3 操作风险、内控与合规的整合实践：整合工具建设 4 操作风险、内控与合规的整合实践：整合报告体系 5 操作风险、内控与合规的整合实践：整合方案亮点 6 1 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中
2、的成员。版权所有，不得转载。目录 操作风险、内控与合规的有机结合： 整合动因和整合思路 1 操作风险、内控与合规的整合目标：三项整合方案 2 操作风险、内控与合规的整合方法论：整合体系建设 3 操作风险、内控与合规的整合实践：整合工具建设 4 操作风险、内控与合规的整合实践：整合报告体系 5 操作风险、内控与合规的整合实践：整合方案亮点 6 2 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。操作风险总体介绍 市场风险和信用风险以外的所有风险均视为操作风险 操作风险是各公司业
3、务和支持活动中内生的一种风险因素，这类风险表现为各种形式的错误、中断 或停滞，可能导致财务损失或者给公司带来其他方面的 - JP摩根 不完善的或有问题内部程序、人员及系统或外部事件导致的直接或者间接的损失的风险。 - 1999年英国银行家协会（The British Bankers Association, BBA) 由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风险。本定义所 指操作风险包括法律风险，但不包括策略风险和声誉风险 指操作风险包括法律风险，但不包括策略风险和声誉风险 - 2004年巴塞尔银行监管委员会 操作风险是指由不完善或有问题的内部程序 员工和信息科
4、技系统 以及外部事件所造成损失的风 操作风险是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风 险，包括法律风险，但不包括策略风险和声誉风险。 - 2012年中国银行业监督管理委员会 3 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。操作风险案例 直接影响： 巴林银行 理森是巴林银行新加坡分行负责人，年仅28岁，在未经授 权的情况下，他以银行的名义认购了总价70亿美元的日本 股票指数期货，并以买空的做法在日本期货市场买进了价 值200亿美元的短期
5、利率债券。如果这几笔交易成功，理森 值 亿美元的短期利率债券 果这 笔交易成功，理森 将会从中获得巨大的收益，但阪神地震后，日本债券市场 一直下跌。据不完全统计，巴林银行因此而损失10多亿美 元，这一数字已经超过了该行现有的8.6亿美元的总价值， 因此巴林银行不得不宣布倒闭。 因 林银行不得不 布倒闭 事情表面看起来很简单，里森的判断失误是整个事件的导 火线。然而，正是这次事件引起了全世界密切关注，操作 风险的重要性被广泛关注。 操作风险分析： 人员、内部流程 4 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成
6、员所网络中的成员。版权所有，不得转载。操作风险案例（续） 直接/间接影响： 911 911事件 2001年9月11日 ，纽约的世界贸易中心和位于华盛顿的美国 国防部所在地五角大楼等重要建筑均遭到民航飞机的自杀 式撞击，造成重大人员伤亡。 许多设在世界贸易中心的金融公司丧失了大量财产、员工 许多设在世界贸易中心的金融公司丧失了大量财产、员工 与数据数据。 据估计，全球经济损失达1万亿美元左右，仅美国资本市场 损失就超过1000亿美元，全球金融出现混乱，全球金融业 蒙受的损失难以确切估计 蒙受的损失难以确切估计。 操作风险分析： 外部事件（难以预测的恐怖袭击） 5 2014毕马威企业咨询 (中国)
7、 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。操作风险案例（续） 直接影响： 法国兴业银行 2008年1月法国兴业银行爆发全球金融史上最大弊案，一位 年轻交易员越权作多欧洲股价指数期货， 他在期货指数市 场进行一笔交易的同时，会虚构另一笔交易。比如，一个 买入，那另一个就卖出，两个交易的头寸相互抵消，得以 买 ，那 另个卖 出 ，两个交易的头寸相 抵消，得 逃避内部控制系统的“雷达”。造成该行亏损49亿欧元（ 72亿美元），使得兴业银行当年全年营收净利剩下9.47亿欧 元，比前年下跌82%。 操作风险分析
8、： 人员、内部流程、系统 6 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。操作风险案例（续） 直接影响： 农业银行 2007年4月14日，农业银行河北邯郸分行发现金库里的近5100 万元现金（百元钞叠在一起也有50多米高，总重将近两吨 ） 被盗，隐瞒2天后，银行在自查无望的情况下报案 被告人任晓峰、马向景在担任中国农业银行邯郸分行现金管 被告人任晓峰、马向景在担任中国农业银行邯郸分行现金管 理中心金库管库员期间，于2007年3月中旬至4月14日，利用 看管金库的职务便利，
9、多次从金库盗取现金共计人民币5096 万元。 操作风险分析： 人员（金库管库员监守自盗） 内部流程（银行员工行为缺乏制约和监督） 7 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。操作风险案例（续） 直接影响： 光大证券 2013年8月16日，光大证券由于套利策略系统缺陷触发“乌 龙指事件”，在该事件中，光大证券共下单230亿，成交72 亿，涉及150多只股票。按照8月 16日的收盘价，上述交易 的当日盯市损失约为194 亿元 由于该“乌龙指事件”导致 的当日盯市损失约为1
10、.94亿元。由于该 乌龙指事件 导致 的投资者损失，光大证券被证监会处以5亿罚款，光大证券 总裁徐浩明引咎辞职； 操作风险分析： 系统 8 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。操作风险管理的误区 人性本善 内控 定会落实 我们是好企业 过去没发生过 我们都有规定 内控一定会落实 常常都在倡导 我们都有规定 大家都很资深 这不可能 行员都很优秀 内控设计肯定有效 这不可能 行员都很优秀 人的行为都是理性的 社会的转型 人心的转变 过去的经验 社会的转型 环境的改变
11、人心的转变 科技的变化 过去的经验 与信息 风险不会发生 9 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。 风险不会发生操作风险管理的必要性 近年国内外金融行业陆续发生许多重大的操作风险事件，国内金融业逐渐意 识到实施操作风险管理工作的必要性和紧迫性 识到实施操作风险管理工作的必要性和紧迫性 实施操作 管 的 实施操作风险管理的必要性 操作 险损失 监管发展 内部管理需求 作为资本分配和 操作风险损失预 防与控制需求 操作风险损失事件 监管发展 银监会对银行提出 内部管理
12、需求 提升风险管理文化、 作为资本分配和 考核的核心基础 建立一收益与风险 逐渐增多，而操作 风险管理的缺失， 有可能导致严重后 果 操作风险管理的要 求。证监会也在探 讨如何强化券商的 风险管理 建立风险偏好、完 善企业治理架构， 提升内部管理水平。 挂钩的资本计量体 系，应用在资本分 配、绩效考核中， 使公司的风险/收益 果。 风险管理。 使公司的风险/收益 最大化。 10 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。操作风险监管要求 银监会近年来陆续发布多项新资本协
13、议监管指引，并于2007年5月，2012年6月先后正式发布了商业 银行操作风险管理指引以及商业银行资本管理办法（试行）。两大核心监管要求的颁布指明了 监管思路，明确了监管指引，也给银行带来了更强监管的压力，对银行操作风险管理提出更高的要求。 有效地识别 评 采用标准法或高 监管思路，明确了监管指引，也给银行带来了更强监管的压力，对银行操作风险管理提出更高的要求。 建立完善的操作 风险管理体系 有效地识别、评 估、监测和控制 /缓释操作风险 采用标准法或高 级计量法计量操 作风险资本要求 监管要求的发展 2007年2月 中国银行业实施新资 本协议指导意见 2011年8月 商业银行资本管理办 法(
14、征求意见稿) 2012年6月 商业银行资本管 理办法（试行） 2/2007 4/2011 8/2011 12/2011 6/2012 2011年4月 中国银行业实施新 2011年12月 商业银行业务连 11 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。 中 监管标准指导意见 续性监管指引操作风险管理阶段 工商银行、农业银行、 中国银行、建设银行、 交通银行、招商银行， 民生银行、浦发 银行等大型股份 制商业银行均实 目前大部分农村信 用社、部分城/农商 行及股份制商业银
15、最佳实践 交通银行、招商银行， 标准法已达标，首批通 过银监会审核，正在实 施高级法计量资本 制商业银行均实 施标准法中，部 分已提出高级法 实施申请 行及股份制商业银 行计划采用基本指 标法，部分已着手 准备实施标准法 基本指标法 标准法 高级法 第三阶段 第四阶段 第五阶段 实施起点 第一阶段 建立认知度 第二阶段 操作风险的监 督和评价 第三阶段 操作风险量化 和全面操作风 险管理 整合的风险管 理 内部控制 内部审计 案件管理 初步构建操作风险管 理体系 操作风险政策 建立集中的操作风险 管理职能 建立风险及控制信息 库 风险/控制评估 (RCSA) 系统性的收集操作风 全面操作风险损
16、失数 据库（内外部） 情景分析(SA) 主动的操作风险管理 合理的资本计量模型 综合的操作风险管理 工具 资本计量考虑保险等 的资本节约效应 纳入经济资本管理体 管理职能 设定操作风险管理人 员 开始收集操作风险数 据（LDC) 系统性的收集操作风 险损失事件 关键风险指标(KRI) 完善的操作风险管理 职能 操作风险报告 合理的资本计量模型 方法(AMA) AMA框架验证 拓展的操作风险报告 纳入经济资本管理体 系，操作风险资本配 置 风险（考虑操作风险 ）调整业绩考核 对良好的风险管理的 12 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织
17、(“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。 操作风险报告 定期的培训 对良好的风险管理的 激励机制操作风险、内控与合规的有机结合：外部监管环境 操作风险的监管环境 内控(CSOX)监管环境 操作风险监管环境的发展 CSOX监管环境的发展 2007年2月 2011年8月 2012年6月 2007年7月 2010 年4月 2/2007 4/2011 8/2011 12/2011 6/2012 2007年2月 中国银行业实施新 资本协议指导意见 2011年8月 商业银行资本管理 办法(征求意见稿) 2012年6月 商业银行资本管理 办法（试行） 5/2008 4/201
18、0 2007年7月 商业银行内 部控制指引 2010 年4月 企业内部控 制配套指引 7/2007 2/2007 4/2011 8/2011 12/2011 6/2012 2011年4月 中国银行业实施新监 管标准指导意见 2011年12月 商业银行业务 连续性监管指引 5/2008 4/2010 2008年5月 企业内部控 制基本规范 7/2007 自2011年起在境内、外同 时上市的公司实施CSOX; 自2012年起在上海证券交 易所、深圳证券交易所主 板上市公司实施CSOX 建立完善 的操作风 有效地识别、 评估、监测和 采用标准法或 高级计量法计 银行作为上市公司，需根据监管要求开 展
19、内控建设和评价工作 的操作风 险管理体 系 评估 监测和 控制/缓释操 作风险 高计 计 量操作风险资 本要求 RCSAKRILD C 展内控建设和评价工作 内控体系中涉及合法合规的相关风险点/ 控制活动，则为合规管理需覆盖的内容 设计内控(CSOX)（含合规管理）/操作风险(RCSA)整合方案，以最小的资源投入，同时满 C 13 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。 计内控( )（含合 管 ）/操作风() 整合 案， 最小 资源 ，同时 足三项监管要求，实现运营
20、效率的提升，减轻业务部门的负担操作风险、内控与合规的有机结合：整合动因 1 1 2 3 操作风险管理是立基于 实施内部控制体系建设与操作风险管理整合的基本思路 2 3 银行的内部控制制度上 进行的。透过操作风险 管理体系的强化，以及 损失数据搜集 风险与 2 2 损失数据搜集、风险与 控制自评以及关键风险 指标等管理工具的设计 与应用，在操作风险管 1 1 5 2 2 理的领域之内达到内部 控制制度的目标。 4 5 4 5 符合新资本协议的操作风险管理工具 可以协助银行在既定的内部 3 2 符合新资本协议的操作风险管理工具，可以协助银行在既定的内部 控制环境之下，达到内部控制制度对风险识别与评
21、估、信息交流与 反馈、监督评价与纠正的要求。另外，透过控制措施的识别以及各 种与控制措施改善相关的行动方案的推动，可以达到持续强化控制 措施的效 14 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。 1 措施的效果。操作风险、内控与合规的有机结合：整合思路 操作风险管理、内部控制及合规管理的关系的关系图 银行所有流程范围 五大内部控制目标 五大内部控制目标 银行所有流程范围 RCSAvs内控管理&合规管理 内控管理以内控五大目 配合 银行可根据自身管理 需求，针对内控控制
22、RCSA RCSA 流程范围 流程范围 五大内部控制目标 五大内部控制目标 内控管理以内控五大目 标为出发点，原则上应 涵盖银行所有流程范围， 包括公司层面、业务流 程层面和信息技术层面。 公 公 司 司 业 业 务 务 信 信 息 息 建设范围和RCSA范围 中的核心控制和关键 风险事件制定内控检 查程序。 RCSA流程范围说明 按照操作风险管理 要求，由不完善的 内部程序、员工、 RCSA从操作风险角度出 发，可以认为对应了部 分内控目标。操作风险 所指的RCSA范畴并不包 合规管 理 司 司 层 层 面 面 务 务 流 流 程 程 层 层 面 面 息 息 技 技 术 术 层 层 面 面
23、合规管理范围 针对外部监管 法规和内部制 内部程序、员工、 信息系统，以及外 部事件所造成损失 的风险均应纳入操 作风险管理范畴。 所 畴 括策略风险和声誉风险。 合规管理一般针对上述 范围中与外部监管法规 和内部制度规程要求相 面 面 面 面 法规和内部制 度规程要求的 合规事件 RCSA 和内部制度规程要求相 关的合规 事件。 内部控制建设范围 C-SOX DCFC 按照内部控制相关规定，符合五大内控目标的控制均应纳入内控建设和评 价范围； 合规 管理 内部控制 15 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联
24、的独立成员所网络中的成员。版权所有，不得转载。 价范围； 上述范围包括公司层面、业务流程层面和信息技术层面三大部分。操作风险、内控与合规的有机结合：整合思路（续） 均以提升银行内控/风险管理（含合规风险）为目标 操作风险管理、内部控制及合规管理的共通点 通过对风险点和控制环节进行评估，识别控制薄弱环节，并对薄弱 环节进行整改，以提升银行内控/风险管理水平 目标及理念 均基于业务流程，识别业务流程中的风险和关键控制 业务部门检查关键控制点的执行情况，二、三道防线采取抽样方法 对控制设计和执行有效性进行复核检查 实施方法 对控制设计和执行有效性进行复核检查 检查结果均通过分行业务部门/管理部门在分
25、行的相关岗位，汇集到 总行对口部门，最终向管理层汇报 职能分工 均与损失数据收集（LDC）及关键风险指标（KRI）有相互的结果 应用关系 L D C 事件收集渠道，特别是非损失事件信息的收集；对于KRI的阀 结果运用 16 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。 值检验、指标敏感度及监测结果有参考及检验作用目录 操作风险、内控与合规的有机结合： 整合动因和整合思路 1 操作风险、内控与合规的整合目标：三项整合方案 2 操作风险、内控与合规的整合方法论：整合体系建设
26、3 操作风险、内控与合规的整合实践：整合工具建设 4 操作风险、内控与合规的整合实践：整合报告体系 5 操作风险、内控与合规的整合实践：整合方案亮点 6 17 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。操作风险、内控与合规的整合目标：三项整合方案 策略 及偏好 合规、内控、操作风险管理 整合体系建设 管理工具建设： 各项管理工具评估流程 评估 偏好 治理架构 政 告 整合体系建设： 全行合规、内控、操作风险策略、偏 好和容忍度 全行合规、内控、操作风险管理政策 和治理架
27、构 各项管理工具评估流程、评估 标准的有机整合、报告和应用 政策制度体系和内外规映射 流程盘点和梳理 风险识别、评估、管理的技术 政策、制度及报告 和治理架构 及工具 合规、风险的数据应用及管理 操作风险资本计量 整合管理工具群 风险与控 制自我评 估 关键合规、 风险指标 损失数据、 合规问题数 据收集 管理信息系统建设： 合规管理子应用 管群 内部控制 与流程梳理 资本计量 合规管理子应用 内控管理子应用 操作风险管理子应用 流程管理及优化子应用 合规、内控、 操作风险报告 及考核 风险文化及信息系统建设 18 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕
28、马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。操作风险、内控与合规的整合目标：管理体系的优化 基于整合的理念，可从如下方面实现体系的有效结合，并在合理的范围内力求将结合的管理 要求反映在贵行的治理体系当中： 识别 识别：基于统一的流程梳理进行风险和控制识别 评估和监测：统 的自评估流程 动态的风险监测手段及各项管理工具的整合 评估 评估和监测：统一的自评估流程、动态的风险监测手段及各项管理工具的整合 和关联 从操作风险管理角度而言，RCSA是一个动态评估的过程，反映了对于各业务部 门操作风险管理现状的实时评价。结合KRI和LDC等手段 可全面地对操作
29、风险 监测 门操作风险管理现状的实时评价。结合KRI和LDC等手段，可全面地对操作风险 管理现状进行动态的预警、监测、分析和管理。将操作风险管理的评估与监测 与内控评估相结合，可充分利用RCSA的动态评估优势，结合KRI预警等手段对 内控管理工具进行补充和优化，使得各管理工具间彼此互相翘动关联并形成合 缓释 力，从而更好地推动对于风险管理工具的有效执行 缓释和考核：多样化的风险缓释手段、配合工具优化及考核机制，实现风险管 理水平提升和资本节约 考核 内控优化作为风险缓释的主要手段之一，通过内控和操作风险管理工具的有效 整合，配合一定的激励和考核机制，可以引导业务部门不断优化内控，提升风 险管理
30、水平，继而得以享受由此优化和管理水平提升而带来的风险资本节约， 从而形成良性循环 19 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。 从而形成良性循环操作风险、内控与合规的整合目标：三道防线机制的优化 基于合规、内控及操作风险管理的整合理念，可以对三道防线机制作进一步的提升和优化： 结合内控检查手段及 合规管理、内控和风险管理日常工 作前移，动态开展识别、评估、监 测和缓释 合规管 理 结合内控检查手段及 操作风险LDC和KRI 工具，扩展合规管理 的全面性 第一道防线
31、测和缓释 优化工具运用 强化合规管理、内 操作风 内控管 第二道防线 优化工具运用，强化合规管理、内 控和操作风险管理的专业化水平 在整合优化和成果共享的基础上完 善风险预警，实现内控持续优化和 风险缓释 操作风 险管理 理 风险缓释 对于内部审计/独立评价中使用的方 法、流程和标准的整合 结合合规管理及内控管理手 进一步完善内控建评机 制，使得内控管理的手 段不仅停留于内控梳理 和内控测试，更可辅之 以其他工具 实现信息 第三道防线 法、流程和标准的整合 同一流程基础和同一套风险管理语 言 结合合规管理及内控管理手 段，识别外规对于流程的影 响，提升校准和监督机制， 提升操作风险识别、评估、
32、 监测和缓释水平，从而最终 实 险管 水 的提升 以其他工具，实现信息 共享，从而更好地提升 内控管理水平 20 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。 实现风险管理水平的提升操作风险、内控与合规的整合目标：管理工具的优化 三大管理工具彼此间存在着事前、事中以及事后的逻辑关系，同时也可以作为互相评估及设置的参考 依据。三大工具的结果，同时可以与现有管理工具提供参考信息或进行整合。 全面体检 现有管理工具 三大管理工具 风险与控 制自我评 估 RCSA 内控专项 检查
33、结果 流程/风 险 /控制 真实的损失数据为KRI的 关键风险 指标 风险事件 收集 /控制 主数据 违规积分 KRI的异常往往指向真 实的损失事件 设置提供了参考 指标 KRI 收集 LDC 病例 血压计 管理 21 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。操作风险、内控与合规的整合目标：整合管理工具群 策略 及偏好 毕马威建议的整合体系同时满足合规 内控 操 实现减少重复工作、制约管理成本，减轻业务部部门 工作量；同时使管理工作结果更丰富、更一致 治理架构 政策、
34、制度及报告 毕马威建议的整合体系同时满足合规、内控、操 作风险管理需求： 1）一套流程划分标准、风险控制评估标准，使合 规、内控、操作风险管理一体化，结果更完整和 风险与 关键合 损失数据、 整合管理工具群 一致 ； 2）一套整合性的业务/管理流程梳理和内控体系 文档，全面支持合规、内控、操作风险管理工作； 3）一套RCSA 同时包括合规风险 CSOX 操作 风险与 控制自 我评估 关键合 规、风 险指标 损失数据 合规问题 数据收集 内部控制 与流程梳理 资本计量 合规、内控、 操作风险报告 3）一套RCSA，同时包括合规风险、CSOX、操作 风险评估；支持业务部门自查、合规检查、稽核 检查
35、；支持业务连续性管理评估、外包风险管理 评估、新产品/新业务管理评估； 风险文化及信息系统建设 与流程梳理 操作风险报告 及考核 4）一套KRI，同时包含合规监测指标及操作风险 指标； 5）一套LDC，同时包含合规问题数据库、内控问 题发现、操作风险损失事件； 题发现、操作风险损失事件； 6）一套系统，同时支持各类报告，包括合规报告、 内控报告、操作风险管理报告及考核管理； 7）所有工具已经考虑满足监管合规需求。 22 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。目录 操
36、作风险、内控与合规的有机结合： 整合动因和整合思路 1 操作风险、内控与合规的整合目标：三项整合方案 2 操作风险、内控与合规的整合方法论：整合体系建设 3 操作风险、内控与合规的整合实践：整合工具建设 4 操作风险、内控与合规的整合实践：整合报告体系 5 操作风险、内控与合规的整合实践：整合方案亮点 6 23 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。操作风险、内控与合规的三项整合方法论 策略 及偏好 合规、内控、操作风险管理 整合体系建设 管理工具建设： 各项管理工
37、具评估流程 评估 偏好 治理架构 政 告 整合体系建设： 全行合规、内控、操作风险策略、偏 好和容忍度 全行合规、内控、操作风险管理政策 和治理架构 各项管理工具评估流程、评估 标准的有机整合、报告和应用 政策制度体系和内外规映射 流程盘点和梳理 风险识别、评估、管理的技术 政策、制度及报告 和治理架构 及工具 合规、风险的数据应用及管理 操作风险资本计量 整合管理工具群 风险与控 制自我评 估 关键合规、 风险指标 损失数据、 合规问题数 据收集 管理信息系统建设： 合规管理子应用 管群 内部控制 与流程梳理 资本计量 合规管理子应用 内控管理子应用 操作风险管理子应用 流程管理及优化子应用
38、 合规、内控、 操作风险报告 及考核 风险文化及信息系统建设 24 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。操作风险、内控与合规的整合方法论：整合体系建设 策略 及偏好 毕马威建议的整合体系同时满足合规、内控、 操作风险管理需求： 治理架构 政策、制度及报告 策略及偏好包括银行整体的合规、内控、操作 风险管理策略，覆盖管理层风险偏好、基本原 则和整体要求等 为建立 套完整的 系统的 风险与 关键合 损失数据、 整合管理工具群 则和整体要求等，为建立一套完整的、系统的、
39、 符合巴塞尔新资本协议操作风险管理政策和合 规、内控体系搭建战略框架。 风险与 控制自 我评估 关键合 规、风 险指标 损失数据 合规问题 数据收集 内部控制 与流程梳理 资本计量 合规、内控、 操作风险报告 治理结构主要包括构建与银行管理需求相适应 的操作风险管理组织架构，并明确各部门的管 理责任，包括合规、内控、操作风险管理三道 防线以及董事会 高级管理层 执行层的分工 风险文化及信息系统建设 与流程梳理 操作风险报告 及考核 防线以及董事会、高级管理层、执行层的分工 体系。 政策体系包含三级制度体系：即全行层面总体 制度框架，相关管理工具的具体管理办法，指 导落实相关管理工具的操作手册。
40、 25 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。策略及偏好：操作风险偏好和容忍度 操作风险容忍度 操作风险偏好 一般而言 操作风险偏好通常都是定性的描述 为 所谓的操作风险容忍度是将战略层面的风险偏好转化 一般而言，操作风险偏好通常都是定性的描述，为 银行对操作风险的基本态度以及高级管理层对操作 风险管理的承诺，通常以叙述性的方式表达，内容 包括银行关注的操作风险点、针对特定的领域，愿 意并且可以承受的风险，以及银行为了将操作风险 所作 转 至实际管理层面，并加以细化
41、与量化的风险暴露沟通 工具。在操作风险偏好的基础上，通过设定警戒边界 或不能容忍的风险边界（监控门槛），达到监控风险 暴露与生成预警信息的目的。 通常 言 险容忍度的表达方式有 容忍度 意并 可 承受的风 ， 银行为了将操作风 损失控制在愿意并且可以接受的范围内，所愿意耗 用的资源与花费的成本。 银行的操作风险偏好，可在操作风险政策中表述， 也 作为全 偏 书的 组成部 通常而言，风险容忍度的表达方式有：无容忍度、以 频率为基础、以金额为基础、以控制与风险自我评估 为基础、以资本为基础。（具体内容可参见下图） 也可作为全行风险偏好说明书的主要组成部份。 在银行操作风险偏好说明书中，银行则应当给
42、予操 作风险偏好以明确定义，并通过操作风险文化的培 育 有效的培训及内控的持续加强 来尽最大努力 育、有效的培训及内控的持续加强，来尽最大努力 防止操作风险所引起的重大损失事件的发生。 26 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。治理结构：操作风险、内控与合规的整合依据 企业内部 商业银 企业内部 控制基本 规范 商业银 行法律 合规管 理指引 商业银行 内部控制 评价试行 办法 银行现 行治理 架构 商业银行资 本管理办法 （试行） 商业银行操 作风险管理 指引
43、27 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。治理结构：操作风险、内控与合规的整合实践 某大型金融集团的操作风险管理框架 某股份制商业银行的操作风险管理框架 董事会 风险管理委员会 董事会 高级管理层 内控条线 总 行 层 面 董事会 操作风险及内部控 制管理委员会 内控条线 法律、合规、 稽核部门 操作风险管 理部 行 面 操作风险审 阅子委员会 业务/职能部 门 操作风险管 理部 稽核部 部 分行法律合 规部门 分 行 层 面 近年同业重大操作风险事件引起全社会的
44、关注，操作风险管理在国内外同业银行逐渐受 操作风险管理岗位 其他管理岗位 近年同业重大操作风险事件引起全社会的关注，操作风险管理在国内外同业银行逐渐受 到重视。由于操作风险管理工作任务繁重，众多同业设立独立于其他部门的操作风险管 理部，专职从事操作风险管理工作，实现以专业化团队管理操作风险、集中化操作风险 管理工作、独立地对操作风险进行管理。 28 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。治理结构：操作风险、内控与合规的整合实践（续） 构建以三道防线为基础的总行-分行
45、-支行三级治理架构： 29 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。治理架构：三道防线机制的优化 基于合规、内控及操作风险管理的整合理念，可以对三道防线机制作进一步的提升和优化： 结合内控检查手段及 合规管理、内控和风险管理日常工 作前移，动态开展识别、评估、监 测和缓释 合规管 理 结合内控检查手段及 操作风险LDC和KRI 工具，扩展合规管理 的全面性 第一道防线 测和缓释 优化工具运用 强化合规管理、内 操作风 内控管 第二道防线 优化工具运用，强化合规管理、内
46、 控和操作风险管理的专业化水平 在整合优化和成果共享的基础上完 善风险预警，实现内控持续优化和 风险缓释 操作风 险管理 理 风险缓释 对于内部审计/独立评价中使用的方 法、流程和标准的整合 结合合规管理及内控管理手 进一步完善内控建评机 制，使得内控管理的手 段不仅停留于内控梳理 和内控测试，更可辅之 以其他工具 实现信息 第三道防线 法、流程和标准的整合 同一流程基础和同一套风险管理语 言 结合合规管理及内控管理手 段，识别外规对于流程的影 响，提升校准和监督机制， 提升操作风险识别、评估、 监测和缓释水平，从而最终 实 险管 水 的提升 以其他工具，实现信息 共享，从而更好地提升 内控管
47、理水平 30 2014毕马威企业咨询 (中国) 有限公司 中国外商独资企业，是与瑞士实体 毕马威国际合作组织 (“毕马威国际”) 相关联的独立成员所网络中的成员。版权所有，不得转载。 实现风险管理水平的提升政策体系：操作风险、内控与合规的整合制度框架 为适应操作风险和内控合规管理工作需要，清晰规划了整合的制度框架，确保操作风险与内控合规管 理工作有章可循，行内需建立完善的政策制度体系。 第 一 层 合规、内控、风险管理政策 全行层 面总体 制度 完善合规、内控和操作风险的定义及分类, 风险偏好,总体管理框架，明确董事会、 管理委员会、高级管理层、合规内控及风险管理部门、专业管理部门、业务条线、
48、 RCSA管理 层 框架 管委 员 高管 内 风管部 专管部 务条线 内部审计在三项管理中的各自作用和职责，通过该层面政策的制定来引导和完善 全行各个层面的合规、内控及操作风险管理绩效考核评价机制。 操作风险资本 在建立完善全行 RCSA管理 办法 KRI管理办法 LDC管理办法 新产品/新业 务风险管理办 考核管理办法 第 二 层 相关管 理工具 的具体 管理 办法 合规、内控、 操作风险报告 操作风险资本 计量管理办法 在建立完善全行 层面总体制度框 架后，需建立各 管理工具配套管 理方法，作为第 一层次的政策制 务风险管理办 法 考核管理办法 办法 指导落 操作风险报告 管理办法 。 RCSA操作 RCSA操作 LDC操作 LDC操作 操作风险资本 操作风险资本 层次的政策制 度体系的分解细 化 制定完成各管理 第 三 层 指导落 实相关 管理工 具的操 作手册 RCSA操作 手册 RCSA操作 手册 外包风险管理 操作手册 外包风险管理 操作手册 KRI操作手册 KRI操作手册 LDC操作 手册 LDC操作 手册 操作风
