（譯）張曉樸 羅迅

編者按：操作風險管理問題一直是我國銀行業(yè)風險管理中重要的但一直未取得突破性成效的內容，作者阿里·薩馬德汗（Ali Samad-Khan）、阿明·萊茵貝（Armin Rheinbay）、斯特凡·勒布萊韋克（Stephane Le Blevec）作為為美國資深操作風險管理顧問，從厘清操作風險管理的概念入手，闡明了一些一直以來被混淆的有關操作風險管理的基本問題。

穩(wěn)健的操作風險管理應以充分理解某些基本概念為基礎，但業(yè)界對不少基本概念沒有很好理解，有些理解則是錯誤的。該文的目的就是試圖澄清一些重要的基本概念，并闡明一些被混淆的問題。

風險的含義

理解風險的含義是最基本的，這是制定操作風險管理程序的先決條件。風險在風險管理專業(yè)中使用時與它在非正式的交流中使用時的含義差別很大。通過下面的例子可以更好地解釋風險的含義?？紤]以下三個投資策略以及與它們相關的風險和收益信息：

投資A：保證有10%的收益。

投資B：有50%的可能性得到0%的收益；有50%的可能性得到20%的收益。

投資C：有50%的可能性遭受10%的損失；有50%的可能性得到30%的收益。

* 哪一個投資的平均收益最高？

用加權收益計算，可以得出三個投資的平均或預期收益相等，都為10%。

* 哪一個投資的風險最大？

投資A沒有風險，因為它保證有10%的收益。投資B不會產生損失，它的最差的結果是不盈不虧，但得到的收益有50%的可能性低于平均收益，所以，投資B有一定風險。投資C有最大的負向變動[-10%的絕對變動（相對于零）和-20%的相對變動（相對于平均收益）]可能性，風險最大。

因此，可以看到，風險表示一個不利結果的不確定水平，而不是不利結果本身，這個不利結果不必是現(xiàn)實的損失（在操作風險中，只考慮損失的風險）。

* 每個投資的風險有多大？

沒有足夠的信息回答這個問題。風險在沒有指定可能性水平（如99%）時，不能用絕對值衡量?？赡苄运剑脖环Q為置信水平，可以用于以貨幣形式表達風險容忍度。

* 哪一個投資是最優(yōu)投資？

沒有足夠的信息回答這個問題。風險并非與生俱來就是好的或壞的。

一個風險中立者會忽略變動。他只基于預期結果評估投資，而不考慮潛在結果的不確定水平。因為三個投資都提供10%的平均（預期）收益，一個風險中立者將認為三個投資具有相同的價值，一個風險愛好者將偏好投資C。實際上，他將愿意為可能有30%收益的投資支付額外費用。一個風險厭惡者將選擇投資A，因為它提供與其他投資相同的預期收益，但沒有風險。大部分人和金融機構厭惡風險，對于更高的風險水平，他們希望獲得更高的收益。這解釋了為什么在精確定價時，風險越大（更不穩(wěn)定）的投資所須支付的預期收益也越高。

總之，風險不是一類事故，而是一個衡量尺度。它描述負向變動（人們一般不用正的結果表示風險）的不確定水平，只有在確定的情況下才不存在風險。

預期損失和非預期損失

“預期損失”和“非預期損失”是操作風險管理中兩個很重要的變量。這兩個術語在風險管理業(yè)界無處不在，但業(yè)界還是有些混淆它們的真正含義。一些人仍舊認為預期損失是“小”的損失，非預期損失是“大”的損失。顯然，這種定義不能形成任何尺度，事實上，還可能產生潛在誤導。

在正式的表達中，預期損失是指一年內一個公司的平均損失金額，非預期損失是指在一個極壞的年份一個公司可能超過平均損失的損失金額（在某一事先確定的可能性水平）。用更專業(yè)的術語表述，預期損失是指與某一特定時間段相關的(例如一年)加總損失分布的均值。非預期損失是指某一置信水平（例如99%）下的風險價值（VaR）。置信水平為99%的VaR值意味著損失金額僅有1%的可能性會超過VaR值（也就是在給定的一年內，有99%的信心認為，合計損失不會超過VaR值）。

預期損失和非預期損失有重要的實際應用價值。預期損失是一個業(yè)務在一年內的平均損失金額，因此這個數(shù)額應記入用于支付其經營失敗費用的年度預算。非預期損失或VaR是一個業(yè)務在幾乎最壞的情況下可能損失的金額，這個金額是該業(yè)務應計提的資本；預期損失用于計算收益率，兩個變量都用于計算風險調整后收益。

絕大部分人認識到僅用內部數(shù)據計算VaR值十分困難（由于是小樣本），可還有很多人沒認識到以厚尾分布為特征的操作風險，其預期損失也不能僅用內部數(shù)據估計。這是因為在厚尾分布中例外會影響均值，因此需要多年的數(shù)據以獲得穩(wěn)定的估計?？紤]一個簡單的例子：一年平均發(fā)生多少次因海嘯溺死的事件？假定每100年發(fā)生1次大海嘯并使20萬人死亡，這可能使均值或預期損失偏移2000（人）。因此，“預期損失”是小的損失的觀點不僅錯誤，還可能產生潛在誤導。因為最有效的降低預期損失的方法是防止大的損失，而不是集中防止小的損失。

風險評估

操作風險管理中有很多風險評估的標準，在美國被廣泛采用的傳統(tǒng)的Coso（the Committee for Sponsoring Organizations of the Treadway Commission）框架是其中之一。Coso提出的全面風險管理（ERM）框架認為，風險由可能性和影響兩個變量相乘來計算。例如：假設有10%可能性和10000美元的影響，可以得出1000美元的風險。然而，這種傳統(tǒng)的“風險”計算方法并沒真正的給出風險水平，它給出的只是一個假定事件的概率加權（預期）損失。傳統(tǒng)操作風險管理將這種有缺陷的風險觀念作為其基本要素，僅這一點就能說明為何很多傳統(tǒng)操作風險管理方法不能用于現(xiàn)代操作風險管理。

傳統(tǒng)操作風險管理和現(xiàn)代操作風險管理對風險的不同觀點如圖2所示?？梢钥吹?，傳統(tǒng)操作風險管理中高風險的特征是高可能性和高影響，而不是低可能性和高影響。事實上，以這樣的災難性變動為特征的業(yè)務環(huán)境根本不存在。

傳統(tǒng)操作風險管理的風險評估程序使管理者處境非常尷尬。例如：普遍認為未授權交易是十分嚴重的“風險”，它引起的損失通常是低頻的和重大的，這類風險自然應歸類于低可能性和高影響事件。然而，在傳統(tǒng)風險管理中，使用代表風險的記號為3而不是9，低于傳統(tǒng)操作風險管理下的高風險，因此為了將未授權交易歸類為高風險，必須錯誤地將未授權交易歸類為高可能性和高影響事件。

傳統(tǒng)操作風險管理使用可能性－影響分析處理單個假定的事件?，F(xiàn)代操作風險管理使用頻率和嚴重程度分布為一類事件評估風險。

可能性和頻率的含義有很大差別?？赡苄耘c一個事件結合使用，而頻率與一類事件結合使用。頻率分布是在精算科學中使用的可能性分布，它表示在一定期限內一類事件可能發(fā)生的次數(shù)的不同概率（可能性）。當人們以離散值的形式表達頻率時，他們一般指的是頻率分布的均值。

可能性（概率）也是任何嚴重程度分布的一個組成要素。事實上，嚴重程度分布表示一類給定事件的可能性和影響的不同組合。在嚴重程度分布中，越高的可能性必然對應越低的影響。

很多人不清楚這些術語含義的微妙不同。因為他們沒注意到下面的事實，高可能性/高影響的情形可以存在，但高可能性/高影響的一類事件則不存在。錯誤理解和使用這些術語是業(yè)界產生混淆的根源。

操作和運營

許多銀行已經開始實施新資本協(xié)議要求的操作風險管理程序。但在他們蜂擁而上以期達到新資本協(xié)議要求時，許多機構卻沒認識到“操作”(operational)和“運營”(operations)這兩個詞的區(qū)別。

事實上，操作風險管理和運營管理之間存在巨大的差別。首先，運營管理主要是后臺管理任務，包括處理活動和系統(tǒng)運作。操作風險管理則比運營管理的范圍更廣。操作風險包含于一個機構所有的活動之中，包括總公司和公司的活動，法律部門和董事會的活動等。第二，運營管理主要是管理運作或流程的效率，而操作風險管理主要是管理和控制風險，尤其是防止操作損失（特別是防止大的損失）。第三，在美國銀行業(yè)中（各個地區(qū)有所不同），最主要的操作風險來源是欺詐，冒險銷售和未授權交易等事件，但這可能并不是運營管理的首要問題。最后，銀行運營領域的操作風險水平比銀行前臺部門低很多。

現(xiàn)代操作風險管理的發(fā)展

傳統(tǒng)的操作風險管理假定受過良好教育的專才，可以通過直覺識別他們機構的重要風險并實現(xiàn)相應的控制和度量。現(xiàn)代操作風險管理則認為直覺不足以實現(xiàn)上述功能，并認為這個程序必須以歷史的損失數(shù)據和嚴格的科學分析為基礎。

因此，向現(xiàn)代操作風險管理演進的首要問題是：什么框架能使歷史損失數(shù)據的加總可行并且實用？答案是矩陣，特別是二維矩陣——其中一維是一般的組織單元，另一維是風險類別。創(chuàng)造和使用數(shù)據矩陣改變了操作風險管理模式。

建立一個大膽的新理論框架是一回事，在現(xiàn)實中將其應用則又是另一回事。為使現(xiàn)代操作風險管理應用于實際，業(yè)界需要找到一個合適的架構來剖析風險。這意味著要將風險進行合理分類，這種分類要能夠用于管理，易于理解，且使各類別風險內部具有同質性。

“風險”世界由三個獨立的維度構成：原因，事件和結果，這意味著每一個損失都至少由每個維度中的一個要素組成。早期對風險世界架構的認識如圖3所示。因為一個矩陣必須由互斥的和無遺漏的分類組成，所以只能選擇一個維度。經過詳盡的考慮，事件維度被認為是最優(yōu)的選擇。對于矩陣的第二個維度，組織架構維度，兩個顯而易見的選擇是流程和產品線。由于諸多原因，放棄了流程，選擇了產品線。

總之，現(xiàn)代操作風險管理基于一個二維矩陣方法，每一個分析單位是矩陣中的一個單元?，F(xiàn)代操作風險管理既需要內部數(shù)據也需要外部（行業(yè)）數(shù)據。每一個單元中的數(shù)據代表一條產品線中一類事件的損失分布。通過研究每一類事件損失的原因，可以識別各個類別及其相應控制的共同要素。通過將一個共同的矩陣用于風險及其相應控制，可以使用現(xiàn)代操作風險管理框架來同時識別和連續(xù)跟蹤風險及控制矩陣。這些信息對有效的風險管理非常重要。

傳統(tǒng)操作風險管理基于一個一維流程方法，分析的單位是業(yè)務流程領域中的審計問題。這種方法在識別控制弱點的同時，評估由此可能產生的損失。它不適于風險評估，卻可能是控制評估的出發(fā)點，為此需對傳統(tǒng)做法加以改進，以使這個程序能產生代表內控環(huán)境質量的度量值。

在很大程度上，構建操作風險管理的方式（也就是他們怎么闡述這個問題）事關成敗。任何試圖把現(xiàn)代操作風險管理方法直接與以問題（或事故）為導向、基于流程的方法合并的做法將導致混淆，因為損失數(shù)據僅在加總到事件類型時才有意義。

建模：藝術，科學，還是胡鬧

一名美國的高級監(jiān)管者近來觀察到，盡管銀行量化操作風險所使用的方法和數(shù)據存在很大不同，但大部分銀行卻得到相似的VaR值。這很容易解釋。由于目前操作風險建模中使用了很多高度主觀，甚至是武斷的假定，而模型結果又對這些假定很敏感，因此很容易獲得任何想要的數(shù)字。銀行通常想“挑選”一個看起來不是很顯眼的“結果”。然而，強行獲得的一個政治上有利的結果（與監(jiān)管者預期接近的結果）不能證明任何東西，它幾乎不能表明銀行所用的基本方法是穩(wěn)健的。

因此，這就不難理解為什么一些機構得出操作風險建模更多的是藝術而不是科學的結論。盡管所有的建模中都包含有藝術和科學的成分，但現(xiàn)在使用的很多操作風險模型都是基于武斷的假定和不科學的方法，這種偽科學敗壞了操作風險建模的名聲。例如，一些機構實際上從外部數(shù)據“挑選”損失數(shù)據，或更壞的，“產生”情景損失數(shù)據，他們將這些數(shù)據合并入他們的內部“嚴重程度”數(shù)據庫，填補空缺的數(shù)據，尤其是尾部區(qū)域的數(shù)據。這種不科學的程序沒有事實根據并可能引起VaR值由于一個因素而變化超過1000倍。

外部損失數(shù)據是操作風險建模必需的，但是將外部數(shù)據引入建模程序需要客觀的、科學的方法。直接將內部和外部數(shù)據合并違反了操作風險建模的基本原則，因為損失數(shù)據只在包含它的分布中才有意義。一個損失數(shù)據點包含兩方面完整的相互聯(lián)系的信息（對嚴重程度而言）：損失大小和概率（相對于該分布中的其他損失而言）。從原始的數(shù)據直接抽取，會使其失去所有的信息價值。本質上，建模是分析數(shù)據集而不是編輯數(shù)據點。基于數(shù)據操縱的模型既不是藝術也不是科學，它們純粹是胡鬧，并且它們腐蝕了在這個領域忠實和勤奮工作的人們的可信度。

使用新資本協(xié)議高級計量法（AMA）的銀行必須建立針對量化模型的較高內部標準。為鼓勵在這個領域穩(wěn)健的思考，新資本協(xié)議第三支柱要求，監(jiān)管者應要求銀行不僅要披露他們估計的預期和非預期損失，也要披露相關的置信區(qū)間（監(jiān)管者可以通過壓力測試來驗證）。置信區(qū)間應該表明最小值和最大值，這些值可以通過變動任何權重和基于專家觀點而改變的假定計算出來。

計量和管理

有些人聲稱現(xiàn)代操作風險管理注重計量，而傳統(tǒng)操作風險管理注重管理。讓我們檢驗這種說法。管理良好的機構發(fā)現(xiàn)有效的操作風險管理不僅要求簡單的風險認知，還希望穩(wěn)健的風險管理做法能同時形成。操作風險的有效管理應包括創(chuàng)造良好的文化，或更明確的，應該設計出能將風險認知轉變?yōu)樾袆拥奈幕涂蚣堋Ｒ构芾碚哌x擇最優(yōu)的行動方式則要求正確的設置激勵機制，因為人們只做他們有動力做的事情，而不會做他們沒有動力做的事情。但要使激勵生效，必須有正確的衡量尺度。

有效的操作風險管理程序要求有穩(wěn)健的框架，它能提供正確的、可靠的度量以識別每一業(yè)務中的最大風險和與之相應的內部控制的質量。這些信息必須透明并定期提供給管理者，使管理者能（并有動機）在制定風險管理、風險緩釋和風險轉移策略時做出有根據的決定。因此，管理操作風險要求有一個程序來正確的監(jiān)督（計量）每一業(yè)務的風險變化和控制情況。

如果能正確地實施，現(xiàn)代操作風險管理程序可以達到所有的目標。然而，傳統(tǒng)操作風險管理程序則不能。事實上，傳統(tǒng)操作風險管理由于低估主要的風險（這是傳統(tǒng)操作風險管理不可避免的）致使機構暴露于未知的災難性操作失敗之下，更有可能導致操作風險管理不善。

有些人堅持認為計量只是計算一個資本數(shù)額，這忽略了很重要的一點。計量提升了標準，是它將操作風險管理轉變成為科學。它使管理程序更全面、更有結構、更有規(guī)律。它導致更有效率的操作風險管理框架的發(fā)展。它迫使業(yè)界探索操作風險的定義和分類問題，而這使得分析更為明晰。更重要的是，它揭示出傳統(tǒng)操作風險管理是基于錯誤的風險觀念，并進一步揭示其整個框架都存在嚴重問題。這些管理做法（不僅是獲得一個資本數(shù)額）的改善是現(xiàn)代風險管理所產生的真正貢獻。

概括和總結

傳統(tǒng)操作風險管理在損失數(shù)據存在之前發(fā)展起來，這使它不能上升到科學的層面。損失數(shù)據和高級的風險計量技術使操作風險管理成為科學。在探究數(shù)據和計量問題時，可以很清晰地看到傳統(tǒng)操作風險管理存在很多缺陷。由于人們有正確的處理這些問題的需求，這使現(xiàn)代操作風險管理發(fā)展起來。

現(xiàn)代操作風險管理和傳統(tǒng)操作風險管理有很大差別。在很多方面現(xiàn)代操作風險管理與傳統(tǒng)操作風險管理并不相容。那些試圖在傳統(tǒng)框架上補充現(xiàn)有的術語、流程和程序，而不去探索核心問題來建立現(xiàn)代操作風險管理程序的機構會發(fā)現(xiàn)操作風險管理是一個極具挑戰(zhàn)的工作，這也是引起業(yè)界混淆的根源。

責任編輯：陶艷艷