Operational Risk & Resilience 操作风险与韧性 · 20% · 约16题

总览：操作风险模块

权重 20%（80 题中约 16 题）

📚 三大 概览

1. 操作风险导论与运营韧性（Introduction to Operational Risk & Resilience）

要点：Basel 定义（内部程序 / 人员 / 系统 / 外部事件）与 ORM 四步循环（识别 → 评估 → 缓释 → 监控）· 七类 Basel II 事件风险（IF / EF / EPWS / CPBP / DPA / BDSF / EDPM）的频率与严重度 · 归类「一致性优先于准确性」· ORM 框架内的法律 / 合规 / 战略 / 声誉风险 · 操作风险暴露五大特征（异质 / 特质 / 厚尾 / 关联 / 动态）· 边界事件 · 运营韧性五要素（业务连续性 / 关键服务 / 影响容忍度 / 破坏应对流程 / 反馈）· 英国 / 美国 / BCBS 的监管期望与七项原则 · ECB 的 DORA 与 MAS 远程办公指引

1.1 操作风险与 ORM 框架：定义与四步循环

巴塞尔银行监管委员会（BCBS）把操作风险（operational risk）定义为「由不完善或失效的内部程序、人员、系统，以及外部事件导致损失的风险」。操作风险管理（operational risk management, ORM）处理的正是这四类具体成因；而操作风险管理框架（ORMF）是一个机构内用于控制操作风险的方法与流程的总和。

在风险管理内部，有四个步骤构成一个迭代循环（iterative cycle）：① 风险识别、② 风险评估、③ 风险缓释、④ 风险监控。四步不是一次性走完的流水线——监控一旦发现流程未按预期运行，就要回到前三步采取补救措施，然后重新进入下一轮监控与评价。

1.2 七类事件风险：Basel II 的 Level 1 损失事件

Basel II 提供了七类「Level 1」损失事件，多数机构直接采用它来满足自身 ORMF 的要求。这七类的设计意图是覆盖所有潜在操作风险——每一个损失事件都应被映射到机构 ORM 政策与程序所规定的事件类别中；但要注意，有些损失事件可能同时落在多个类别之下。

分类之所以重要，是因为损失事件数据的建模方式按类别而不同。因此把每个事件放进正确的组别是必要的，而判断标准有一个反直觉的排序：归类时「一致性（consistency）」比「准确性（accuracy）」更重要——有效的 ORM 要求同类事件被一致地归入同一类别。若往年的分类出错，会同时冲击风险管理控制流程与向监管机构的报告。要做好分类，机构必须先做一次全面的风险映射（risk-mapping）工作，把机构的每一个主要流程都列明。

七类事件的损失严重度与发生频率在类别之间差异极大，这是本节最需要记牢的一点。

1.3 ORM 框架内的风险类型：法律、合规、战略与声誉

退一步看，操作风险包含法律风险、合规风险，并在需要时包含战略风险与声誉风险。这四者与七类事件并非并列关系——它们是从「成因」角度看同一批事件的另一条切面。

1.4 操作风险暴露的五大特征

操作风险有五项一般属性：异质性（heterogeneous）、特质性（idiosyncratic）、厚尾（heavy tailed）、关联性（interconnected）、动态性（dynamic）。每一项都对应一类具体的管理挑战——这一节的考点几乎全部落在「特征 ↔ 挑战」的配对与辨析上。

1.5 运营韧性：五个构成要素

运营韧性（operational resilience）指机构与行业如何应对业务中断，包括预测（anticipating）、反应（reacting to）、以及从中恢复（recovering）等活动。它由五个要素构成——注意区分「业务连续性」与「关键服务」这两个容易混淆的要素。

1.6 监管期望：英国、美国、BCBS 与其他监管者

银行与监管者已达成一项共识：网络风险的性质决定了必须承认极端运营中断「会发生」，只是相对不频繁。因此监管焦点已从「单纯试图预防网络事件」转向「在事件发生时对其进行管理」。以下按辖区梳理已发布的指引。

BCBS 运营韧性七原则（2021）

原则 3、5、7 对应「与美国指引类似」的三点（业务连续性计划启用、第三方依赖受控、ICT 韧性最大化）；原则 4、6 对应「与英国指引类似」的两点（了解所有相互关联与依赖、建立事件响应与恢复流程）。这些正是确保持续提供关键服务、且不出现不可接受中断的必要条件。

2. 风险治理（Risk Governance）

要点：Basel II 三支柱（监管资本 / 监管审查 / 市场纪律）· Pillar 1 十二条稳健管理原则 · 操作风险资本标准化方法（ORC = BIC × ILM；BI = ILDC + SC + FC；BIC 百分比 12% / 15% / 18%；LC = 15 × 十年年度操作损失）· Pillar 2 与监管期望五原则（8 / 14 / 15 / 25 / 26）· 监管者评估 ORMF 的问题清单 · 风险委员会三级结构与企业风险 · 职权范围 TOR · 董事会职责（ORM 与运营韧性）· 三线防御模型（含第一线半「风险专员」）· CORF 的独立性与自我复核威胁 · IIA 对内部审计的指引 · 风险偏好（监管期望与最佳实践）· 风险文化（高层基调、薪酬、培训、举报与问责）

2.1 Basel II 三支柱：操作风险的监管骨架

Basel II 对操作风险的监管由三个支柱构成。三者的分工是：Pillar 1 定最低资本与流动性覆盖率，Pillar 2 在 Pillar 1 之上做监管审查与追加，Pillar 3 用披露引入市场纪律。

2.2 Pillar 1 的十二条稳健管理原则

操作风险管理不能只存在于监管资本计算之中，它必须与恰当的操作风险管理（ORM）相平衡。以下十二条原则是巴塞尔银行监管委员会（BCBS）历经多次修订与演化的产物——其中包括为吸收 2007–2009 年金融危机等真实事件教训而做的调整。

读这十二条时抓住一个结构：第 1–5 条是「董事会与高级管理层的责任与治理」（文化、框架、验证、偏好签署、职责描述），第 6–9 条是「业务层面的评估与控制」（关键活动、变更管理、持续复核、控制），第 10–12 条是「基础设施与对外沟通」（ICT、业务连续性、披露）。

2.3 Pillar 1 的资本计算：标准化方法（SA）

自 2023 年 1 月起生效的修订方法，把操作风险资本收敛为单一的资本度量，称为标准化方法（standardized approach, SA）。其一般公式为：

BIC 所用的百分比按 BI 的规模跳档——这是本节最容易被忽略的机制细节：

百分比随规模递增，说明监管者明确认为：操作风险的增加比例大于规模的增加比例，因此需要额外资本来覆盖更大的风险。

内部损失乘数（ILM）

内部损失乘数（internal loss multiplier, ILM）的作用是惩罚（帮助）那些损失高于（低于）平均的银行。它由损失成分（loss component, LC）与 BIC 的比较决定：

2.4 Pillar 2 与监管期望

Pillar 2 是 Pillar 1 资本要求的补充，旨在更贴近某家银行特定的风险敞口。典型触发情形包括：过度的地理或行业集中、过快的业务增长、薄弱的风险管理方法——在这些情形下，监管者很可能要求追加资本，以覆盖增量操作风险。

在 Pillar 2 之内，监管者会审查银行为满足监管要求所采取的全部活动，并追究压力测试所发现的额外风险。总体而言，监管者必须确信银行的资本储备与其承担的风险相称。偿付能力（solvency，长期性质）在此评估，内容包括：确定重大威胁与重大损失事件情景，以及银行对可能负面冲击其运营与利润的突发事件的韧性。Pillar 2 还分析银行的治理流程、价值观与使命，以及管理者履行职责的能力（例如能否提供充分而有用的风险报告）。

在评估 ORMF 时，健全的监管体系需要许多核心原则，其中五项与本主题尤其相关：

《操作风险稳健管理原则》的一部分明确指出：监管者应持续复核银行的 ORMF，包括与操作风险相关的政策、程序与 IT 系统；复核中发现的任何重大缺陷都要求监管者采取行动予以解决。此外，流程持续改进的理念在此至关重要——监管者应关注银行过去的改进以及未来改进的想法，并协助银行持续改进。

监管者对 ORM 的期望远超一个合规流程：风险管理应成为业务运营不可分割的一部分，员工在各层级决策中参与其中。监管者应能追踪银行内部的逻辑决策过程，并确认决策始终考虑了相关风险。

监管者评估 ORMF 时常问的问题

• 事件报告是否覆盖了所有重大事件？是否查明根本原因并给出改进要点？「险兆事件（close calls）」是否也写成事件报告？
• 是否有稳定而有条理的方法，由合格人员执行风险与控制评估（内部）？这些评估是否接受交叉质询以确保可靠？
• 管理层是否已确定风险指标适当且相关？风险指标如何计算？是否客观、无偏？是否按需持续更新？
• 情景是否覆盖足够宽的范围？是否考虑了极端但可能的情景？情景评估是否公平、详尽？
• 根据可得的报告信息，整体 ORMF 是否足够全面？是否有足够信息做出适当决策？信息对相应层级的管理层是否有用？

从经验看，监管者更愿意收到更详尽的文档（如会议纪要）与更全面的报告，用来「证明」或提供扎实风险管理流程的证据。这对较小的银行尤其如此——它们可能缺乏健全的治理结构来支撑恰当的风险管理流程。

2.5 风险委员会结构与治理文档

处理操作风险的风险委员会，其范围随银行规模而变：小银行可能只有一个操作风险委员会，同时承担监督与报告职责；大银行则可能有多个操作风险委员会，对应不同业务线。大型银行的扩展式结构可分为三级：

在大型银行中，企业风险（enterprise risk）是一个伞形术语，包含操作、欺诈、信息安全、法律与合规、信用、市场等多种风险类型。

治理与风险文档

委员会有一份称为职权范围（terms of reference, TOR）的文件，规定其使命与目标、成员职责与职能、以及会议频率。委员会分析风险信息与报告，以确保其与所做出的风险决策一致；同时也分析并批准银行内与 ORM 相关的政策与程序。通过仔细记录议程、所采取的行动、以及行动背后的理由（体现为会议纪要），委员会才能向监管者展示出足够的操作风险治理水平。

政策与程序充当内部控制，为特定流程的执行提供详细步骤。其用意是作为新员工的初始培训（或既有员工的复训），以减少员工履职中的差错。但政策与程序只有在以下条件下才有用：被员工积极使用、随业务与行业实践适当变化、且与银行的日常运营一致。

董事会的职责（操作风险）

• 在诸多职责中，董事会必须考虑风险管理——具体是确立银行的风险容忍度，并在所声明的约束内运营。
• 在 ORMF 语境下，监管者要求董事会履行的具体职责包括：批准 ORMF；确立 ORMF 的持续更新；确保高级管理层在银行各级执行 ORMF 中的政策与程序。
• 此外，董事会必须创建一种贯穿全行各层级员工的风险管理文化。培训是满足该要求的核心，既包括对董事的培训，也包括对日常职责涉及 ORM 的相关员工的培训。

董事会的职责（运营韧性）

• 董事会必须在全组织清晰阐明其对运营韧性的方法（approach）与目标（goals）。这要求把银行的风险容忍度与其承受关键运营中断的能力整合起来；还必须考虑银行如何在严苛、低概率但可合理预见的「压力」情境下继续有效运营。
• 高级管理层最终就运营韧性方法论向董事会报告，董事会应要求其定期报告，尤其涉及任何会负面冲击银行正常运营能力的重大问题。
• 此外，董事会负责引导足够的资金与其他支持以促进银行内的运营韧性。
• 与操作风险类似，运营韧性培训至关重要，适用于董事会与所有相关员工；董事会成员也必须具备履行职责所需的相关技能与经验。

2.6 三线防御模型

银行内的控制与风险管理可视为三条相互关联的线。三线的划分依据的是各群体所履行的角色与职责，而不是部门的名称。

现实中，三线照字面执行并不容易，银行之间也会因规模与结构不同而有差异。例如：鉴于 ORM 的分散性，区分三条线并不总是容易；某些风险管理领域（法律与合规、IT 安全）跨越多条线，无法合理地只归入一条防线。

保持 CORF 在机构内的独立性与客观性是关键。较小实体可通过职责分离（segregation of duties）与对所做工作的独立复核等控制来实现；较大实体中，CORF 需在全行范围内设计与运营 ORMF，且必须与银行的风险生成（盈利）部门完全分离——因此需要与银行运营范围相一致的、对 CORF 目标与职责的彻底澄清。

规模不够大的银行，某些群体可能无法清晰划分第一线与第二线职责。由于人手短缺，有时两条线的职责需合并为一个混合职能（hybrid function），在同一群体内履行（如法律、人力资源、财务）。因此 BCBS 会要求明确划分职责，并仔细证明两条线是独立的。典型例子：撰写业务合同通常是第一线职责，而处理这些合同在业务交易过程中产生的法律问题（如诉讼）可以是第二线职责——但在混合职能中两项职责由同一个法律部门履行；此时该部门必须证明两项职责之间的独立性，例如确保撰写合同的员工不是诉讼相关事项的员工。

第一线：风险所有者与「第一线半」风险专员

恰当的第一线防御应做到：确定银行面临哪些需要管理的重大操作风险；创建足够的控制应对这些风险；评估这些控制是否按预期运行；并在业务线内提供操作风险的监督与报告。若前线无法履行其操作风险职责，需通知第二线的 CORF；此外，控制薄弱、流程薄弱、以及因缺乏适当控制而产生的损失，都需上报第二线。

在某些业务群体或较大银行中，可能设有风险专员（risk specialists）或风险倡导者（champions）角色，充当第一线与第二线之间的中间点，俗称「第一线半（Line 1.5）」。他们很可能是某业务群体内风险问题的关键发言人，并负责收集该群体风险事件与损失的信息；此外会预判该群体的关键风险与控制，并确保风险管理计划完成。注意一个边界：在第一线内设有风险专员，并不意味着所有操作风险的责任都由风险专员承担——责任仍属于风险所有者。

第二线：监督、挑战与自我复核威胁

第二线的目的是监督并质疑第一线所做的工作。为确保恰当的独立性，第二线不得参与第一线的任何工作，否则会产生自我复核威胁（self-review threat）。第二线的风险管理员工必须首先在广泛的风险事项上受过充分培训；此外必须理解业务环境，并对相关法规有透彻知识，以避免代价高昂的监管违规。

• 稳健第二线的职责：制定 ORM 政策与程序并向员工提供培训；以全新且客观的方式对待第一线的风险管理工作；交叉质询第一线的工作（如 ORM 工具的使用、风险度量、报告）并记录已进行有用的交叉质询；监督并充实银行的监控与报告职能。
• 第二线在业务决策上也有用：对任何重大业务决策（如潜在收购或剥离），第二线能就潜在的增量风险及管理这些风险的方法提供意见。
• 当第二线被赋予推翻（overturn）不符合法规和/或违反董事会授权风险限额的业务决策的权力时，其有效性会增强。

但两条线的清晰分离也带来副作用：可能导致第二线与第三线（内部审计）之间的工作重复；此外，第二线对第一线的交叉质询在第一线的风险管理工作完全执行并产生预期成果之前可能无效。

因此第二线应聚焦于指引（guidance），让所有相关员工了解 ORM：包括对操作风险透彻而清晰的定义、记录与报告操作事件的流程；解释健全 ORM 的好处与薄弱 ORM 的坏处也有帮助。与员工日常工作相关、可对照的实操培训很可能提升员工对 ORMF 的接受度——例如根本原因分析与情景分析。

指引与挑战之间的界限很微妙：第二线可以通过不「辅导」第一线给出「正确答案」来避免自我复核威胁。换言之，第二线管理者可以为第一线员工与管理者提供培训工作坊，鼓励他们就具体问题提供反馈与答案；只有在收到反馈与答案之后，第二线管理者才提出挑战。第一线负责自己的风险评估与控制，第二线提供挑战以改进它们。

第三线：内部审计与 IIA 指引

第三线是内部审计，与风险管理完全分离，以客观方式复核各群体的控制与对银行既定政策与程序的遵守情况。内部审计部分通过建立自己的重大风险清单（可能与风险管理所列的不同）来保持对风险管理的独立性。第二线与第三线偶尔会共享信息与结论，以减少冗余。

国际内部审计师协会（IIA）就内部审计部门如何与风险管理、合规、财务三个部门协作给出如下指引：

• 严格来说，内部审计必须与其他三个部门分离。
• 内部审计要对其他三个部门的充分性与胜任性提供评价。不应完全依赖其他三个部门在内部控制与风险管理方面所做的工作；相反，内部审计应对合理数量的样本执行自己的独立分析。
• 只有当内部审计评估过其他三个部门在风险评估或审计测试方面所做工作的可靠性之后，才允许依赖该工作。

内部审计可向内部与外部利益相关方提供独立保证。因此，可通过让内部审计直接向某位非执行董事报告来维持其独立性。

2.7 风险偏好与风险文化

风险偏好（监管期望）

董事会通常负责确定银行的风险偏好（risk appetite），即允许的风险水平。这里的关键挑战在于：为非金融风险确定风险偏好。

确定风险偏好需要：评估银行的重大风险；定义限额以区分可接受与不可接受的事件；并结合这些限额建立控制。恰当的风险偏好定义可能暴露出报告 ORM 与实际 ORM 之间的不一致。理想情况下，风险偏好定义将设定银行控制系统的关键目标。

风险偏好声明应易于阐明与理解，并应解释为何接受、拒绝或最小化特定风险。最终，风险偏好应与组织的战略与使命完全一致。风险偏好限额通过敞口限额、重大控制、可接受损失事件等指标监控。风险偏好应着眼未来，并在情景分析与压力测试中加以考虑——关于压力测试，应考虑可能使银行超出既定风险偏好限额的事件。

监管者把操作风险偏好与风险偏好声明联系起来，其基本假设是偏好声明与银行运营一致。例如，声明「对处理差错的容忍度低」，就必须有健全的控制与监督措施支撑，才能向监管者表明差错风险确实低。

董事会负责风险限额并须持续测试；该职责通常交给董事会风险委员会，后者再要求风险管理部门协助把限额付诸实践并执行相关的监控与报告。风险偏好必须与银行的业务目标及风险管理一致，业务战略也应保持一致。

风险偏好（最佳实践）

据 BCBS，风险偏好应说明接受或拒绝特定风险的理由——因为接受风险是赚取足够回报所必需，而拒绝风险涉及机会（隐含）成本。因此风险偏好声明应始终考虑风险—回报权衡。

风险偏好确立业务单元层面的风险敞口限额、设定重大控制的基本要求、并设定可接受事件的频率与影响限额。底层指标称为边界（boundaries）或关键风险指标（key risk indicators, KRIs），可以是定量或定性的。

风险偏好声明很可能按关键风险类型传达。一些金融机构更聚焦于多种形式的交易处理，因此可能选择通过主要流程传达风险偏好——事实上，每个流程可能有单独的风险偏好。较新的运营韧性法规意味着金融机构必须通过为关键业务服务设定容忍阈值来考虑中断风险。

风险偏好声明应包括重大控制或控制系统，且控制系统应针对银行面临的每个关键风险清晰记录。这样做能给银行客户与监管者一定安慰，表明银行认真对待其风险管理目标。随后，限额与 KRI 等监督措施有助于管理层确认银行按预期运行。对照既定阈值复核险兆事件与事件，有助于判断控制是否足以把事件的财务影响限制在可接受水平。

恰当的风险偏好治理需要为每种风险类型指定风险所有者（risk owner）。沿风险偏好治理结构往下，例如可以有特定风险的控制所有者（controls owners）与指标所有者（metrics owners）：风险所有者充当风险管理职能内的前线，监督并管理风险偏好声明中的风险；控制所有者必须设计与实施控制；指标所有者必须在银行风险偏好语境下收集、报告并监督绩效指标。

风险文化

监管者高度重视银行内强有力的风险文化，因为它降低操作风险（如减少事件损失）并提升运营韧性（如更快从事件恢复）。有效的风险文化与 ORMF 可通过执行银行的政策与程序、以及全行风险意识等因素来体现。

监管者还把风险文化与道德行为联系起来，因此期望董事会有一套行为准则（code of conduct）或类似文件，要求全体董事与员工遵守——理念是道德行为应降低操作风险。

「高层基调（tone at the top）」由董事会领导风险文化、最高管理层实施来体现。董事会与最高管理层都应通过其行动（如道德行为）以及沟通可接受的员工行为来以身作则。

关于承担风险与薪酬结构：管理层薪酬中可能有相当部分以股票期权形式提供。在这种情况下，管理者更可能谨慎行事、小心管理风险，以保护自己免受损失、保障生计，远不太可能为最大化上行收益而承担显著下行风险。反过来，若把管理层奖金支付建立在不合理的高增长与利润目标上，则可能导致过度冒险行为与整体有毒的风险文化。

风险文化的一个关键部分在于恰当的培训与把核心风险概念传达给所有员工，可通过新员工初始培训、既有员工持续在线培训、以及风险部门员工的专业培训相结合来实现；培训应定期进行，许多司法管辖区要求对最高管理层与董事会进行正式培训。

行为准则与「高层基调」语境下的强化（reinforcement）概念对维持强风险文化很重要。强化可理解为：银行强调员工必须遵守规则，但同时避免归咎（avoid laying blame）——在不归咎的环境下，鼓励个人运用判断、按自己认为合适的方式上报问题，而无需担心报复。工作场所中此类行为的真实例子是举报（whistleblowing），它仍是最有力的控制之一，用以最小化差错与欺诈。

最后，问责（blame）的概念可扩展到处置重复违规与员工疏忽的情形——这些情形可证明一定程度的问责与后果是正当的。此外在机构层面，监管者很可能惩罚试图隐藏控制薄弱与事件的银行。

3. 风险识别（Risk Identification）

要点：ORMF 四步循环之第一步——识别 · 上行法（top-down）三级层次（董事会→业务单元→业务流程）与下行法（bottom-up）的区别 · 上行工具：敞口与脆弱性分析、风险轮、新兴风险与 PESTLE · 下行工具：事件与损失数据分析、RCSA、流程映射 · 情景分析最佳实践：生成阶段与选择阶段、引导者角色、外部参与者 · Basel 操作风险分类法（Level 1 七类 / Level 2 二十类 / Level 3 示例）· ORX 分类法（2019，Level 1 扩至十四类）· 成因、影响与控制分类法

3.1 上行法与下行法：两条互补路径

操作风险识别有两条基本路径：上行法（top-down approach）与下行法（bottom-up approach）。两者不是非此即彼——结合使用才能获得更全面、更深入的操作风险理解。

上行法识别的风险被编译进银行的风险清单（risk register / risk universe）。上行识别会议通常每季度或每半年举行一次，频率取决于业务稳定性与增长速度——涉及新兴技术（如自动化投顾）或复杂技术的银行，识别会议需要更频繁、更深入。

3.2 上行工具：敞口、脆弱性与风险轮

上行法的核心工具包括三类：敞口与脆弱性分析（exposures and vulnerabilities）、风险轮（risk wheel）、以及新兴风险分析（emerging risks）。

敞口（exposures）是银行依赖的外部关系方——主要客户、关键收入来源、分销渠道、供应商、关键人员、服务提供商（如 IT 系统、交易处理）以及监管方。脆弱性（vulnerabilities）是银行内部的薄弱点——过时流程、控制缺陷、逾期事项（维护、测试、更新）或对边缘业务单元的监督疏忽。

风险发生在脆弱性与重大敞口同时存在的地方。例如，一个未受监控的流氓交易员（脆弱性）与大量交易敞口结合，可能导致巨大损失甚至破产。

风险轮将选定的常见风险放在一个圆环上，帮助理解不同风险类型如何相互关联。一个银行的风险轮可能包含以下齿轮：业务目标、劳动力市场、声誉、技术、监管、经济、自然事件、数据与信息、业务连续性。

3.3 新兴风险与 PESTLE 分析

随着市场波动加剧、新技术兴起与网络安全问题涌现，新兴风险（emerging risks）的识别变得日益重要。新兴风险分为两类：可预测的（如网络、监管、气候变化）与不可预测的（如全球疫情）。

识别新兴风险的关键技术是地平线扫描（horizon scanning），其中最常用的框架是 PESTLE 分析——考察六个因素：政治（Political）、经济（Economic）、社会（Social）、技术（Technological）、法律（Legal）、环境（Environmental）。

PESTLE 分析的重点不是对所有环境变化做全面分析，而是聚焦于对银行使命与长期战略有潜在负面影响的变化。最大的银行还会分析与其业务直接相关的研究与趋势，包括创新与竞争技术。机器学习与大数据分析在识别操作风险方面具有重大潜力。

3.4 下行工具：损失数据、RCSA 与流程映射

下行法的核心工具包括三类：事件与损失数据分析、风险与控制自我评估（RCSA）、以及流程映射（process mapping）。

事件与损失数据分析使用历史信息——内部损失数据反映银行内部操作风险集中度（通常发生在后台，依次为金融市场、零售、IT）；外部损失数据来自其他银行，ORX（Operational Riskdata eXchange）是主要的数据联盟。险兆事件（near misses）是差点成为操作损失但未发生的事件——它们没有货币成本，但能揭示控制薄弱点。

RCSA 是银行（或特定业务单元/部门）对关键操作风险、控制措施及控制有效性的自我评估。RCSA 通常由第二线防线对第一线防线的风险执行。RCSA 通常每年一次，但在重大变化（如竞争对手遭受网络攻击、重大监管罚款）后可追加。

流程映射涉及清晰陈述流程的每个步骤并确定每个步骤中的潜在问题。关键是将控制与风险关联——判断某些风险是控制不足还是控制过度。流程映射的粒度需要平衡：过于详细则耗时且聚焦次要问题，过于粗略则无法提供足够洞察。

3.5 情景分析最佳实践

情景分析是连接风险识别与情景评估的桥梁。所考虑的情景是极端的、财务上严重的——它们可能发生，但概率远低于其他风险。BCBS 指引将情景分析定义为涵盖「低概率与高严重度事件，其中一些可能导致严重的操作风险损失」。

情景工作坊有两个主要步骤：

情景工作坊的参与者通常是各业务单元的高管。外部风险专家参与较为少见，但有助于避免近视（myopia）——即过度关注近期事件而忽视更早的教训。银行可将特定情景与 ORIC（Operational Risk Insurance Consortium）或 ORX 提供的情景进行交叉检查，但必须在生成过程完成后进行，以避免引入偏见。

3.6 Basel 操作风险分类法

BCBS 为银行制定了操作风险分类法。Level 1 提供七类事件的广义描述；Level 2 提供二十个具体风险类别；Level 3 提供更具体的风险示例。BCBS 仅将 Level 1 和 Level 2 视为监管类别。

前两类（EDPM 与 CPBP）的损失频率与严重度较高，因此 Level 2 子类也更多。EDPM 通常具有最高发生频率（大量交易导致沟通与数据录入错误），而 CPBP 的损失严重度最高但频率较低。

3.7 ORX 分类法（2019）

ORX 参考分类法于 2019 年发布，基于银行业与保险业从业者的反馈，包含行业发展与新风险类型。与 Basel 分类法相比，Level 1 风险类型从 7 类增至 14 类。

ORX 分类法尚未用于报告目的。其开发背景是：不同银行对风险的定义与分类差异很大——同一项目可能被视为一家银行的「控制失败」而另一家银行的「成因」。ORX 分类法旨在提供「国际标准」。

3.8 成因、影响与控制分类法

风险描述的关键是区分成因（causes）、事件（events）、影响（impacts）与控制（controls）。一个完整的风险描述示例：「服务中断与声誉损失（影响）因 IT 故障（事件）由缺乏及时维护与更新（成因）导致」。

4. 度量与评估（Risk Measurement & Assessment）

要点：ORMF 四步循环之第二步——评估 · 操作损失数据的监管要求（10 年数据 / EUR20,000 阈值 / 四个日期）· 边界事件 · RCSA（固有风险 vs 剩余风险）· 可能性尺度与热力图 · KRIs / KPIs / KCIs 的区别与重叠 · 故障树分析（FTA）与瑞士奶酪模型 · 根因分析与蝴蝶结图 · LDA（频率 Poisson + 严重度 Lognormal → 卷积）· EVT（块最大值 / POT）· 内部与外部损失数据结合（缩放 / 截止混合 / 过滤）· ICAAP 与运营韧性七步

4.1 操作损失数据：监管要求与收集流程

BCBS 对操作损失数据的质量与收集有多项关键标准：至少 10 年数据、最低收集阈值 EUR20,000、内部损失须按 Basel 事件类型分类、报告发生与回收日期。其他标准涉及治理问题以及排除信用与市场风险损失。

银行「必须有书面的程序与流程用于识别、收集与处理内部损失数据」。报告的数据字段包括：发生地点、发生日期、事件类型、成因类型、控制失败、影响类型（损失/收益/险兆）、总损失、回收、净损失。

每个事件有四个相关日期：发生（occurrence）、发现（discovery）、报告（reporting）、会计（accounting）。在员工长期挪用等案件中，发生到发现可能相隔数年；报告到会计（结算）也可能需要数年（涉及监管与法律影响）。

4.2 边界事件与数据质量

边界事件（boundary events）是发生在与成因不同风险类别中的事件——包括人为错误（操作性质）导致的信用与市场损失。BCBS 的两点指引：

BCBS 要求银行「有独立审查损失数据全面性与准确性的流程」。主要数据来源包括总账（GL）、IT 日志（P1/P2 级 IT 问题等同于操作风险事件）、客户投诉、不利媒体报道与诉讼准备金。

操作风险数据与市场/信用风险数据有本质不同：它是特异的（idiosyncratic）、与总体市场不相关、具有厚尾分布、且风险之间相互关联。

4.3 RCSA：风险与控制自我评估

RCSA 评估操作风险的概率与严重度。流程可分为：仅考察固有风险（不考虑现有控制）与考察剩余风险（考虑现有控制有效性后的剩余风险）。RCSA 通常每年一次，但重大风险可季度执行。

RCSA 本质上是非量化的，需要大量判断。它不是用来量化风险暴露的，而是提供对风险与控制的意识，并确定是否需要采取额外缓释措施。RCSA 的输出经单元经理审批签署，所有商定的缓释行动必须执行。

RCSA 的替代方案包括：RCA（风险与控制评估）——记录控制测试、分析控制有效性的实例、与内部/外部类似活动比较实际损失；RRSA（剩余风险自我评估）——仅关注控制后的剩余风险，不直接分析固有风险。

4.4 可能性尺度与热力图

影响尺度通常包含四或五个评级（低、中、高、极高、极端），涵盖财务、监管、客户与声誉四个维度。财务影响通常以收入或营业利润的百分比衡量；客户影响以客户基础的百分比衡量。

可能性尺度以概率或频率表示。由于 RCSA 的最大时间跨度为 1 年，1/25 的事件意味着一年内 4% 的发生概率。五级可能性尺度：remote（遥远）、unlikely（不太可能）、possible（可能）、likely（可能）、highly likely（极可能）。

热力图（heatmap）是可能性与影响的组合矩阵，用颜色编码风险强度：

4.5 KRIs、KPIs 与 KCIs

三类关键指标高度重叠——同一指标可能同时具备风险、绩效与控制属性：

KRI 考虑银行的风险偏好。指标的选择反映了银行在目标与最重要风险管理方面的优先级。阈值反映管理层在风险缓释方面期望的控制水平。

4.6 故障树分析（FTA）与瑞士奶酪模型

故障树分析（FTA）是一种演绎失效分析，将失效场景分解为发生主要事件所需的外部与内部条件。条件可以同时发生（AND 条件）或交替发生（OR 条件）。

假设所有事件相互独立，联合概率是各概率的乘积。例如，四个独立控制各有 5% 失效概率，同时失效的概率为 0.05⁴ = 0.00000625 = 0.000625%。

将此应用于信息泄露场景：若银行有 50,000 名员工，则场景发生的可能性至少为 0.000625% × 50,000 = 31.25%。因此，不能仅看低失效概率，还必须考虑暴露（员工数量）。

瑞士奶酪模型说明：每层防御都有「孔洞」（弱点），单个弱点通常不会导致事件，但当多层的弱点暂时对齐时，危害可能穿透所有防御。应对方法是确保控制层之间不相关，并有补偿性控制。

4.7 根因分析与蝴蝶结图

根因分析由第一线防线对重大事件与险兆事件执行，第二线防线补充或质疑。5-whys 分析要求至少问五次「为什么」，以确定失效的多种成因。

蝴蝶结图（bow tie diagram）将风险事件置于中心，左侧处理成因与预防性控制，右侧处理影响与检测/纠正性控制。蝴蝶结分析还可用于评估事件的预期频率与严重度（在范围内），并确定额外的 KRI 进行监控。

4.8 LDA：损失分布方法

LDA（Loss Distribution Approach）是最常见的操作风险资本方法。它将损失事件分解为频率与严重度两个维度，分别建模后卷积为聚合损失分布。

LDA 假设频率与严重度独立，且损失在同一风险类别内独立同分布。LDA 的 99.9 分位数是操作风险资本要求。LDA 无法处理操作风险损失的极高偏度，需通过以下方式补充：① 加入大额损失、② 应用 EVT、③ 使用情景分析。

EVT（极端值理论）有两种方法：块最大值（Fisher-Tippett）——考察每个等长期间内的最大损失；超阈值（POT）——考察超过特定高阈值的损失，用广义 Pareto 分布（GPD）估计。EVT 仅在存在一个主要成因时有效，但操作损失的多样性使这一假设不现实。

4.9 内部与外部损失数据结合

内部损失数据是 LDA 的起点，但必须与外部数据结合以获得更全面的损失结果视图。结合方法包括：

新的标准化方法（SA）在技术上消除了银行建模操作风险的要求。建模活动现聚焦于 Pillar 2（ICAAP）、压力测试与运营韧性。

4.10 ICAAP 与运营韧性七步

ICAAP（内部资本充足评估流程）覆盖操作风险及其他风险，是 Pillar 2 的组成部分。它要求银行在业务性质、中期风险暴露变化与当前控制的背景下，自评资本充足性。

运营韧性七步：

韧性与业务连续性管理（BCM）的区别：BCM 关注每个业务流程的连续性与及时恢复；韧性更聚焦于重要业务服务在影响容忍度内的表现。单点故障（SPOF）是韧性的适当 KRI——应通过备份与冗余消除，否则纳入容忍度阈值与压力测试。

5. 风险缓释（Risk Mitigation）

要点：缓释＝把操作风险降到可接受水平的风险收益权衡 · 外部 vs 内部操作风险 · 风险应对四方式（容忍 / 处理 / 转移 / 终止）· 内控四类型（预防 / 检测 / 纠正 / 指令）· 关键控制与自动化控制（Type 1 / Type 2 错误）· 控制测试四方法（自评 / 检查 / 观察 / 重做）与三条防线分工 · 失效控制三形态（乐观型 / 集体型 / 同类叠加）· 人为错误分类（失误 slips / 错误 mistakes：规则型、知识型；以及违规 violations）· PtD（设计即预防）· Lean Six Sigma（DMAIC）与质量改进（PDSA）· 新产品与并购（NIRAP 五要素、ORM 三阶段）· 影响缓释四类措施 · 保险与外包 · 声誉管理的预防与缓解

5.1 风险缓释的特征与四种风险应对

风险缓释（risk mitigation）指一家机构为把操作风险降到可接受水平而可采取的措施。与其他风险不同，压降操作风险涉及明确的风险—收益权衡（risk-return tradeoff）。

操作风险分为两类：外部操作风险来自外部事件，包括竞争力量、监管变化或地缘政治变化——机构无法阻止，但可以通过降低敞口或减轻影响来缩小它；内部操作风险来自人员、系统与流程——机构可以依靠强内控来预防，并通过优化风险—收益权衡来优化可接受的风险敞口水平。

操作风险常常源于金融机构的正常活动——这些活动同时创造了信用、市场或流动性风险。活动类型决定风险水平，而该活动的报酬通常与所承担的风险水平相称。例如，电汇手续费就是对「转账延迟或失败、欺诈、错误的下单指令」等操作风险的补偿。投资自动化与更强的控制可以改善风险—收益权衡。

操作风险无法被消除，但可以被降低。降低操作风险一般通过三种方式：① 建立强控制；② 购买保险；③ 减少或完全取消某些活动。此外，持有最低水平的资本也是监管强制要求机构降低操作风险的一种方式。机构如何应对操作风险取决于其风险偏好——有些机构愿意维持一定风险水平，有些则偏好把风险敞口压到最低。

应对风险有四种方式：

5.2 内部控制的四种类型

用于风险缓释的内部控制主要有四类：

职责分离的标准形态是把一笔交易的生成、批准、付款、记录交由四个不同参与方完成。检测性与预防性控制之间存在交叉：对一笔交易的第二次复核，如果交易已经处理完毕，它在性质上属于检测；如果交易尚未处理、错误还能在处理前修正，它就属于预防。

5.3 关键控制与自动化控制

关键控制（key controls）能够独立发挥作用来阻止风险发生，涵盖上述四种控制类型：如果它消除了差错发生的可能（如自动化），它就是预防性；如果它因备份含有大部分或全部丢失数据而抵消了数据损失，它就是纠正性。关键控制也称主要控制（primary controls），与之相对的是非关键（次要）控制——后者只是补充关键控制，无法独立降低风险。

总体而言，自动化控制优于人工控制，因为自动化更可靠、不易受人为错误影响。自动化控制的例子包括对账、数据校验检查、信用卡欺诈检测。

但自动化往往只是改变了风险的性质：人为错误风险变成了 IT 风险（IT 系统未能正确执行该控制），或者变成 模型风险（模型基于特定数据，若数据有偏或不准确，相应控制即失效）。随着人工控制转向自动化控制，风险形态也从「高可能性 / 低影响」的随机人工差错，转向「低可能性 / 高影响」的更大范围的全系统控制失效。

自动化控制特有的问题包括：分析异常与潜在欺诈交易时的 Type 1（假阳性）与 Type 2（假阴性）错误；系统停机或系统超载导致的自动控制丧失。在大金额和 / 或高交易速度的场景中，自动化控制尤其有用——它能尽早发现问题并升级，使问题得以及时缓释。

5.4 控制测试

控制测试（control testing）是控制评估流程的一部分，用于检验银行的风险缓释技术是否有效。它试图确定控制是否设计恰当，以及是否被一致且正确地应用。固有风险越高，控制测试越严格。

控制测试还须考虑以下要点：

• 出于独立性与潜在偏见的考虑，控制测试一般应由独立于控制设计者的人执行；自我认证（self-certification）是明显的例外。
• 对严重度更高（更低）的风险，应执行更频繁（更少）的控制测试；不稳定的风险情形也需要更频繁的测试。
• 测试样本的选取方式必须贴近真实总体，样本量要足够大以保证结果稳健、可重复；须避免有偏样本——有偏样本会高估控制的有效性。

分工上，控制测试通常由内部审计部门（第三道防线）执行，但由第一道防线测试某些关键控制也很常见。操作风险管理（ORM）小组（第二道防线）通常不参与控制测试，但必须收到「控制已恰当设计且运行正常」的确认。

5.5 失效的控制设计

无效的控制可能成为、或加重一个脆弱性。设计不良的控制有三种典型形态：

5.6 流程设计与人为错误的分类

设计即预防（prevention through design, PtD），也称安全即设计（safety by design），指通过建立清单、规程、优化系统与标准化来优化流程，从而最小化操作风险。PtD 与第 4 章介绍的瑞士奶酪模型相互呼应——后者用「多层防御的孔洞暂时对齐」解释了流程差错与损失为何发生。

在工程等领域，人为错误常被视为症状而非原因，真正引发人为错误的是设计不良的系统与流程。因此有必要对人为错误分类，并针对每一类寻找流程层面的补救办法。人为错误可分为失误与错误，其中错误又细分为规则型与知识型：

5.7 Lean Six Sigma 与质量改进

Lean Six Sigma 是一种管理方法，通过消除浪费与最小化变异来改进运营绩效，本质上是一套优化的工作流。其中 Lean 关注消除八种浪费（即流程无效性），包括资源利用不足、时间损失与不必要的任务；Six Sigma 关注最小化变异（包括极端结果的变异）并提升产出质量。Lean Six Sigma 方法基于 DMAIC 循环：定义（define）、测量（measure）、分析（analyze）、改进（improve）、控制（control）。对产品与流程复杂的企业而言，它是一个流行的分析工具。

质量改进（quality improvement）是另一种管理方法，同样着眼于改进运营流程，使用 PDSA 循环推动模型改进：计划（plan）、执行（do）、研究（study）、行动（act）。

• 计划：从定义目标或目的、界定产出开始，包括「做什么、何时、何地、由谁实施」。
• 执行：实施计划、收集数据，并记录过程中出现的问题。
• 研究：对收集到的数据做实际分析，把数据与预测比对，评估改进机会。
• 行动：基于分析结果对流程做必要调整，并创建下一轮流程——PDSA 循环自此重新开始。

5.8 新产品、新举措与并购

机构通常通过新产品审批流程（NPAP）与新举措风险评估流程（NIRAP）来评估并缓释新产品与新举措的风险。就操作风险而言，新举措尤其重要——它包括向客户提供的新金融产品或服务、新的或更新的外包安排，以及新项目与重组。

最佳实践要求新举措的负责人提交一份商业案例（business case）。结构良好的 NIRAP 商业案例包含五个组成部分：

项目风险水平随时间、预算、范围而差异很大，因此缓释力度也随之不同。项目风险由项目团队管理，并定期产出对所有利益相关方可见的风险报告。风险文化更成熟的机构通常会加入产品交付后评审、复盘与质量评估，以确保过去的成功可被复制、错误可被避免。

引入新产品、软件或举措也可能改变机构既有的风险或引入新风险。ORM 团队应协助识别、评估与缓释这些直接和间接风险，其参与程度随项目生命周期而变化：

• 初始阶段（启动之前）：识别并评估风险，建立缓释与监控计划。
• 项目进行中：定期报告操作与项目风险，并与风险团队、项目团队定期开会，提供评估与风险更新。
• 项目收尾：提供复盘、交付物评估，分析哪些风险已实现、哪些已被缓释，并总结经验教训。

并购（M&A）是机构生命周期中大型而复杂的项目与举措。收购方会继承被收购方的风险，包括信用、市场与操作风险。收购方面临的关键问题是：这些风险往往事先并不知情，只能在并购之后才能评估。并购项目一旦发生，收购方的风险管理团队必须开展复杂的风险评估——信用风险（乃至市场风险）的评估通常直接，操作风险的评估则更具挑战：操作风险的水平与细节往往在并购后数月甚至数年才清楚。就此而言，ORM 可以通过建立操作风险敞口的风险画像来协助评估。

被收购方的整合本身也创造操作风险，可能涉及客户与账户功能、薪资与其他系统、以及公司间沟通在整合中的差错或失败。ORM 职能同样有助于识别、评估与缓释这些风险。

5.9 降低事件影响的四类措施

金融机构清楚：即便控制非常强，损失与违约仍会发生。因此，降低操作风险事件的影响至关重要。降低影响有四类措施：① 应急规划；② 韧性度量；③ 危机管理；④ 沟通。

应急规划（contingency planning）是在预期结果未能实现时的替代行动计划，旨在为系统、流程与人员提供替代方案与缓冲。多数机构都有某种形式的应急规划，可视为其业务连续性或灾难恢复手册的一部分。应急规划中应明确建立责任与时间线。简单形态如多备一个充电器或笔记本电脑；复杂形态如银行在遭受网络或物理攻击时启用异地灾备中心。

应急规划有两种形式：业务连续性管理（BCM）与灾难恢复计划（DRP），二者通过帮助在不利情景下恢复关键功能来提升运营韧性。系统重要性金融机构（SIFI）常用 BCM 与 DRP，因为其运营中断可能对金融业产生系统性不利影响。

BCM本质上是机构在危机情景下「该做什么」的行动计划，列出一系列任务。它帮助确定危机中哪些业务领域是关键的，通常是机构业务连续性计划（BCP）的一部分。BCM 流程的第一步是确保高管层支持——恰当的治理自上而下开始。BCM 应指定负责人（可以是个人或团队），负责 BCM 的设计，包括确定团队成员、关键交付物、预算，必要时聘请专家。BCM 流程下识别的风险应与操作风险管理相关联，可包括技术、声誉与环境风险。该流程还包括识别与管理风险、制定战略与计划、实施计划。

BCM 流程常以业务影响分析为补充——即对每一个可能事件做风险分析，这也有助于界定恢复时间。额外的风险缓释措施可包括购买外部保险、聘请外部危机管理专家。

强有力的事件与危机管理、以及机构对重大中断的响应能力，取决于决定其 BCP 成败的三个因素：

风险管理强的机构应同时设有技术团队与沟通团队，以确保对风险事件做出有效而快速的响应。技术团队包含 IT 与安全专家，聚焦 IT 相关中断（如系统故障、黑客攻击），业务连续性专家则聚焦业务中断；沟通团队负责面向员工、外部利益相关方与公众的媒体沟通。两个团队都应向高管层成员汇报。BCP 应定期测试；机构针对各种现实与极端压力情景设立「作战室」做情景分析，并不罕见。

重大操作风险事件发生时，通常经历四个关键阶段：

5.10 风险转移：保险与外包

风险转移常常有效，但它不是免费的，还可能带来增量风险。外部保险与外包是两种常见的风险转移形式。

购买保险后，投保人承担持续的保费成本，并在特定损失发生时获得财务补偿，因此损失波动性下降。例如，保险通常覆盖员工造成的错误与遗漏。决定是否购买保险时，机构需要判断保险是完全还是部分缓释风险。若风险可合理预测并可量化以确定合理保费，保险就是合理的缓释方式；同时风险敞口与影响应基本可转移给保险公司，使投保人的风险大幅降低。

在「支付保费」与「承担损失波动性」之间始终存在成本效益决策。从保险公司长期视角看，准确定价意味着保费等于或大于风险事件发生时的期望损失。由于某些情形下保险成本可能较高，许多大银行会选择自保——对小额损失承担较低的损失波动性；而对可能造成非常重大损失的尾部事件（如网络攻击或业务中断）才购买保险，因为那类事件会给损益带来更大的波动。

保险并未完全转移风险：投保人依赖保险公司有能力且愿意为损失提供补偿。例如，赔付可能要到事件发生数月之后才发生，这段时间投保人可能面临流动性紧张。

外包是把某些由专业第三方完成更合适的职责（如会计、IT、营销）外包出去。近年出现的专业金融科技银行更倾向于自建 IT，而把信贷决策等更传统的任务外包。外包把风险转给第三方，但缓释的确切程度因案而异：

• 若银行为降成本把 IT 活动外包到工资水平更低的国家，则以更高的利润换取新的风险——服务延迟、缺乏监督、语言障碍都构成新增的增量风险。
• 若银行把专业服务（如数据存储）外包给安全能力远超自己的机构，则可能付出更高的净财务成本，换取内部操作风险留存的下降。

两种情形下都存在增量第三方风险——银行必须依赖第三方的控制正常运行，而控制未必总能正常运行。因此，外包有时更准确地被描述为风险共享（risk sharing），而非风险转移。

5.11 声誉风险管理

声誉损害远超操作风险的范畴，但它受到操作事件的显著影响。因此可以实施多项控制与其他预防策略——围绕及时性与与利益相关方的沟通——以在重大操作风险事件后最小化声誉损害。

预防策略可聚焦客户信心。检测性控制（如监控系统停机）不仅用于发现操作失效，也用于最小化负面声誉影响。总体而言，纠正性风险控制与缓释活动意在维护银行声誉；这需要长期方法，因此声誉管理必须融入员工的日常工作。鼓励奖励维护并提升银行声誉的员工（例如客户满意度得分最高的部门）。虽然远不普遍，但奖励自我报告操作风险与险兆的员工同样值得鼓励——这有助于避免未来的成本与声誉损害。

一般商业决策也会影响银行声誉。例如，为一名被判重大欺诈的个人或机构担任银行，构成重大声誉风险。因此，在与特定客户、供应商及其他第三方建立业务关系之前，必须做充分的尽职调查与成本效益分析。

声誉管理有预防与缓解两面。预防面：形象建设、关系建设、应急规划；缓解面：沟通、及时响应、透明。具体到危机沟通，必须遵循三个 R：

利益相关方分析与区分是确保声誉管理有的放矢、补救有效的关键。对大银行而言，监管机构始终是关键利益相关方——因此大银行应始终把「透明与配合监管」作为预防措施来建设声誉，这样在真的发生操作失效时才有用。

与利益相关方关系牢固、沟通开放，可以产生善意或声誉资本，危机时可资依赖，并在操作事件后增强银行的韧性。此外，以审慎与透明方式处理的危机管理，能够维持甚至提升银行声誉——换言之，银行处理危机的卓越能力可以让它「发光」，从而限制相关的声誉损害。

6. 风险报告（Risk Reporting）

要点：风险监控＝风险管理最后一步 · 操作风险画像的五个要素与「实际损失 vs 预期损失」差异 · 内部 / 外部受众 · 董事会三委员会（风险 / 审计 / 执行）与中央操作风险职能、业务线经理的分工 · 报告蛋糕三层（Tier 1/2/3）· 综合 ORM 报告七组件 · 前十大风险清单与热力图 / 风险登记册 · 风险偏好指标与 KRI 看板 · 风险事件与险兆 · 行动计划与补救（零目标）· 新兴风险与地平线扫描 · GRC 系统 · 报告的三项分析考量与七类挑战 · 定性数据汇总三法 · 综合保证与三条防线 · 第三支柱对外披露（10 年 / 3 年、四类触发标准）

6.1 风险监控、操作风险画像与报告受众

作为风险管理的最后一步，风险监控为组织领导者提供三样东西：对组织风险画像的视图、对「在风险偏好限额内运行」的保证，以及评估风险管理框架有效性的工具。

操作风险画像包括：操作风险敞口、风险偏好与指标、过去的风险事件、缓释策略与韧性措施。在一般层面与细颗粒层面评估风险时，一个关键度量是实际损失与预期损失之间的差异——且要同时看频率与严重度两个维度。

操作风险报告的受众分为外部与内部。外部受众包括风险监管机构、客户、供应商与公众；内部受众包括风险委员会、审计委员会、执行委员会（ExCo）、中央操作风险职能与各业务线。个人可能同时在多个委员会任职。

6.2 董事会各委员会与中央职能的职责分工

一个重大挑战是确定报告的合适体量：报告太大，读者会错过关键信息；报告太小、过于精简，又因过度汇总而失去实际价值。失效的关键控制、险兆（near misses）与高风险这几类元素，通常几乎不加调整就升级到更高层级；其他所有数据通常以汇总形式呈现。

6.3 报告蛋糕三层与综合报告七组件

风险报告的总体目标是帮助确保各项行动与风险偏好、风险接受与风险缓释策略保持一致。尽管这是一个相对较新的领域，操作风险管理可以通过定量与定性两种度量来实现。

报告蛋糕（the reporting cake）是 Chapelle（2015）提出的术语，被银行用来反映向不同利益相关方报告的信息量。三层结构如下：

一份完整的内部 ORM 报告包含以下七个组件：① 优先级风险与展望；② 热力图与风险登记册；③ 风险偏好指标；④ 关键风险指标（KRIs）与问题监控；⑤ 风险事件与险兆；⑥ 行动计划与补救；⑦ 新兴风险与地平线扫描。

6.4 优先级风险、热力图与风险登记册

优先级风险与展望常被压缩为前十大（top 10）清单，从整个风险清单中挑出最重要的风险。优先级可能来自固有风险的大小（若不采取行动），也可能来自剩余风险的水平（采取缓释活动后的净影响）。前十大清单通常包括与技术故障、网络攻击、数据丢失、监管与合规违规，以及转型项目（如实施新的财务系统）相关的风险。对每一项已识别的风险，呈现内容应包括：排名、描述、固有风险要素（可能性、严重度、评级）、剩余风险要素（可能性、严重度、评级），以及展望（改善、恶化或维持现状）。

风险与控制自我评估（RCSA）练习被用来建立风险登记册（risk register），列出机构内的各项操作风险。风险登记册在形式上与 top 10 清单相似，但风险登记册通常还会列示从固有风险过渡到剩余风险所应用的控制。

热力图（heatmap）是风险登记册的可视化呈现，通常比冗长叙述与小字号数据表格更有效。热力图把可能性对严重度作图：深蓝色格子代表最高风险，深灰色格子代表最低风险；格子里的数字代表该组合下假设已识别的风险个数。热力图的颜色通常为：红（紧急）、琥珀（超出可接受水平）、黄（接近极限）、绿（在风险偏好内）。

6.5 风险偏好指标、KRIs 与问题监控

呈报给董事会的信息，帮助其判断机构运营是否与风险偏好一致——任何偏离都需要缓释行动计划的介入。风险偏好 KRI（也称风险偏好指标）衡量机构在与其风险偏好一致的风险限额下的合规程度。标准的 KRI 呈现模板包括：KRI 的类型、名称、阈值、相对阈值的实际值，以及每项 KRI 的总体评分。

关键风险指标（KRIs）被管理层用于跨活动的前瞻性分析，以及针对特定风险的详细分析。为提高效率，机构倾向于复用已经收集的信息。KRI 看板（dashboard）是关键指标的汇总呈现，含数值、趋势与总体评分。指标来源与示例包括：

问题（issues）在这里定义为：操作问题或控制系统隐患的指标——若不加处理，可能引发事件。操作问题、流程延迟与有记录的 IT 问题都是问题的例子。问题往往特定于某条业务线或某项活动，且常与流程相关。由于问题出现在实际事件之前，它们可用作预防性 KRI，并应按业务线、或按重大项目 / 举措分组（如适用）。

6.6 风险事件、险兆与行动计划补救

ORM 报告的根本任务之一，是报告风险事件、险兆与损失。风险事件报告包括：事件的详情（数量与规模）、每期的频率与严重度、跨时间的趋势（月度、季度或年度），以及针对超过预定重要性阈值的较大事件的具体叙述。

报告阈值因机构而异：有些机构只收集与大额损失挂钩的事件（即五位与六位数的损失），有些则希望收集所有风险事件的数据，不论财务损失大小。与监管影响或声誉损害挂钩的事件，往往所有机构都会收集并报告。所幸的是，机构遭遇小额损失的频率远高于大额损失。

险兆（near misses）的报告非常关键，其评价依据是所避免的潜在影响的重要性。经验教训对机构极有价值，且不伴随实际损失。理论上，实际风险事件与险兆的报告阈值都应基于潜在影响；但由于估计潜在影响存在困难，机构往往改用已观察到的实际影响来设定报告阈值。

行动计划（action plan）旨在通过风险缓释项目改进控制环境。按性质可分为三类：纠正性计划是反应式的，往往源自重大事件，来自意外损失事件或 ORM 系统中意外的缺口与弱点；检测性控制旨在损失事件形成之前识别潜在事件；预防性行动计划用于在风险演变为重大问题之前主动管理风险。

业务线负责人负责跟踪并报告行动计划、实施控制、提供进展更新。目标是达到零目标（zero objective）——即没有逾期行动计划、也没有逾期审计建议。纪律指标（discipline indicators）是「逾期指标」的另一种说法，它与当前指标一起，定期向机构领导层报告。

6.7 新兴风险、地平线扫描与 GRC 系统

地平线扫描（horizon scanning）用于识别新兴风险与新趋势，按月度或季度向董事会风险委员会报告。地平线扫描往往聚焦于监管与合规环境，同时关注新兴风险与波动性变化。风险的时间线类别包括：预计一年内出现的风险、一到三年内出现的风险、以及三年以上出现的风险。

风险软件方面，治理、风险与合规（GRC）系统是帮助机构收集并报告操作风险数据的风险软件应用。尽管在成本与复杂度上各不相同，GRC 系统的设计目标一致：收集并整理风险数据、把风险与内部控制关联起来、生成可在全组织使用的自动化报告。

6.8 报告的三项分析考量与七类挑战

与任何监控与报告活动一样，在决定收集哪些操作风险数据、监控频率与报告层级时，必须评估成本效益关系。适用的三项分析考量是：① 收集信息的成本必须低于该信息的价值；② 信息应当有用，内容应与机构目标与优先事项一致；③ 报告应当影响决策——即便决策是「不做任何改变」。

除成本效益之外，操作风险报告还有以下几类挑战：

6.9 定性数据汇总与综合保证

汇总定性风险数据有三种方法：

综合保证（combined assurance）的目标是对齐所有保证提供方（含内部审计）的保证流程，从而向高管层与审计委员会说明治理、控制与风险管理的情况。它需要机构内三条防线之间大量协调与协作，其中归属、问责与避免重复至关重要。综合保证地图由 ORM 职能拥有，用于向相应委员会报告风险监督结果；地图标明风险类型与评估范围，并为每一条防线分配一个颜色编码（与前述热力图一致），用以指示是否已做评估——以及评估是否令人满意（绿）、需要注意（黄）或不令人满意（红）。

6.10 对外报告最佳实践与监管披露

Basel 监管框架（第三支柱）处理财务与操作风险信息的公开披露。该框架要求银行按标准法口径、使用合规信息计算操作风险资本：相关信息包括十年内部损失事件（用于内部损失乘数 ILM），以及最近三年的业务指标组成部分（BIC）数据。

操作风险披露要求分三类：

有句话叫「没有证据就等于不存在（absence of evidence is evidence of absence）」——审计师与监管机构对控制与风险要求举证，而非口头断言；报告与文档提供所需证据，委员会会议的纪要（含其中记录的问题与决策）即构成适当层级的文档。

独立于第三支柱要求之外，多数地区的金融机构在出现下列四类标准触发的行为失当与重大操作风险事件时，必须向监管机构报告：

与监管机构保持透明是最佳政策，尽管在「遵守监管要求」与「披露操作风险失败所带来的负面影响」之间存在内在冲突。机构的年度报告不仅应包含财务风险报告，也应包含操作风险报告；这里同样要在「透明 / 诚实」与「制造过多利益相关方担忧」之间取得平衡——当机构对风险透明、并且有能力处理风险时，外界感知是正面的。

运营韧性与操作风险报告很快将被对齐，以满足监管机构与市场预期。英国的受监管金融机构须在 2025 年 3 月前建立映射与测试流程，使其在重要业务服务上处于影响容忍度之内，按需做出调整与投资，并能够对此进行报告。

7. 综合风险管理（Integrated Risk Management）

要点：ERM 框架与风险循环四步 · 风险治理（三条防线）/ 风险文化 / 风险偏好三要素 · 监管资本（Basel 三支柱、8% 与 +2.5%）vs 经济资本（Pillar 1+2、评级与置信水平）· RAROC＝税后风险调整净收益 ÷ 经济资本 · 资本聚合与跨风险分散化 · 压力测试九项原则 · 两维分类（分析路径 / 风险类型）· 三种方法（参数 / 宏观 / 反向）与处置计划 · 操作风险压力测试三模块 · 回归 vs LDA vs 条件 LDA、严重度建模挑战

7.1 ERM 框架：风险治理、风险文化与风险偏好

企业风险管理（enterprise risk management, ERM）框架指一家组织用来管理各类风险的工具与方法——这些风险会影响业务目标与目的的实现。在金融业，风险管理循环包含四个阶段：① 识别 → ② 评估 → ③ 缓释 → ④ 报告 / 监控；由于风险与敞口不断变化，风险管理必须持续进行。

风险治理、风险文化与风险偏好适用于所有组织的全部组织性风险与财务风险。在金融业，风险资本与压力测试构成第四要素。监管资本是银行与保险公司所需的最低长期稳定资金与权益；资本要求用于抵御操作、信用与市场风险。在最低要求之上，各家银行还有自己的门槛，用于抵御非预期损失、维持信用评级、并确保稳定性与偿付能力。银行必须同时做到财务韧性与运营韧性。

ERM 及其相关优先事项由治理、文化与偏好三者共同引导：治理（governance）设定三条防线（three lines of defense）的角色与责任，并设立负责报告与决策的各委员会；文化（culture）关乎风险管理所涉及的行为与价值观；偏好（appetite）帮助企业界定优先事项与愿意承担的风险敞口水平。

组织内三条防线的角色与责任如下：

风险管理职能的监督责任可以这样组织：把风险划分为财务类与操作类，两类都向首席风险官（CRO）报告。财务类监督市场、信用与流动性 / 融资风险；操作类监督技术（即首席信息官 CIO）、信息安全（即首席信息安全官 CISO）、合规 / 洗钱、以及法律 / 欺诈风险。

外部审计常被视为第四道防线，而风险委员会负责监督一家机构的所有风险。

风险文化（risk culture）与企业文化常互换使用，包含高管、高级领导层与员工的价值观、行为与信念；企业文化不可避免地会影响风险管理的偏好与态度。一项针对 2007–2009 年金融危机期间美国银行控股公司的研究（2013 年《金融学杂志》）展示了风险文化、韧性与风险管理之间的联系：用风险管理指数（RMI）衡量风险管理职能的独立性与强度，危机前 RMI 较高的银行在经营绩效、股价表现、贷款表现与尾部风险上都优于危机前 RMI 较低的银行。这说明风险文化是 ERM 有效性的驱动因素。

风险偏好（risk appetite）决定一家组织为实现目标愿意承担多少风险。信用、市场、流动性与操作风险（及其相应溢价）都是银行等金融机构为追求目标而承担的风险。信用风险政策覆盖最高贷款金额、借款人最低评级、可接受的财务比率、抵押品要求、监控指标以及何为「观察名单（watch list）」贷款；市场风险政策覆盖敞口限额、交易限额与指标监控。机构还常用总体准则与声明来表达风险偏好，例如：客户服务——所有客户负面反馈都必须逐一直接回应；伦理——任何欺诈或不当行为必须立即处理，并有明确时限与受影响方可接受的处理结果；可用资本（过度资本化）——任何时点都至少高于监管资本要求 50%。

7.2 资本要素：监管资本与经济资本

在保持偿付能力与可持续的前提下，抵御各类风险的非预期损失是 ERM 的又一关键目标。ERM 框架的关键要素包括：监管资本、经济资本、风险调整后资本回报率（RAROC）、以及资本聚合 / 分散化。

监管资本（regulatory capital）的监管指引来自巴塞尔银行监管委员会（BCBS）。监管金融业的目标有三：确保中介机构的偿付能力与稳健性、为客户提供保护、促进金融机构的竞争力与高效运行。其中第一项目标最重要，通过监管资本要求来实现。

须注意：巴塞尔框架是建议，不是法律。该框架有三大支柱：第一支柱——监管资本（覆盖市场、信用与操作风险的最低资本，以及最低流动性比率）；第二支柱——监管审查程序（根据各机构自身特点对第一支柱要求作调整）；第三支柱——市场纪律（金融机构对风险信息与财务状况的强制披露）。

经济资本（economic capital）：尽管最低监管资本要求设定了基线，各机构仍须自行确定与其风险画像相匹配、且足以覆盖非预期损失的资本水平。第一支柱与第二支柱要求的组合最准确地反映了经济资本——即银行 / 保险公司为覆盖任何非预期损失所需的资金水平。信用评级在经济资本中扮演重要角色：更多资本带来更强的非预期损失保护，从而支撑更高的信用评级；更高评级意味着更低的借款成本。例如，若 AAA 评级的违约概率为 0.01%，则目标评级为 AAA 意味着银行须确保其经济资本在 99.99% 的置信水平上覆盖非预期损失（＝100% − 0.01%）。

7.3 RAROC 与资本聚合、分散化

风险调整后资本回报率（risk-adjusted return on capital, RAROC）是权益回报率（ROE）的风险调整版本，计算方式为：预期税后风险调整净收益 ÷ 经济资本。分子对净收益做调整，扣除活动相关风险产生的预期损失（ELs）。RAROC 在信用风险上比在市场风险上更易应用，因为信用风险有可参照的历史数据；市场风险的预期损失常设为零，而 RAROC 通常不用于操作风险。

RAROC 在量化融资成本、管理资本、使活动与目标一致方面很有用。它的计算灵活性很高：收入与预期损失可以在业务线、组合、客户乃至单笔交易层面估计。经济资本代表为特定活动预留的资本；管理者据此按各类层面的最低 RAROC 要求为交易定价。

资本评估与风险聚合：各类风险的资本需求必须聚合，同时考虑「并非所有风险都在同一时点发生」。跨风险分散化（inter-risk diversification）把不同风险类别（市场、信用、操作）之间的风险聚合；类内分散化（intra-risk diversification）则处理每一类别内部的风险。由于每一风险类别各不相同，总聚合资本会小于各风险单独资本之和。操作风险往往独立于市场与信用风险存在，因与其他金融风险相关性低，能提供显著的分散化收益。

7.4 压力测试框架：九项原则与两维分类

压力测试（stress testing）用于评估一家机构或一个系统的稳定性：把系统拉伸到极限，或至少拉伸到超出其正常运营能力之外。2007–2009 年金融危机后，压力测试被用于检验机构在极端市场与宏观经济条件下的表现；成功压力测试的关键在于确保机构能在这些极端情形下吸收损失、且仍能继续运转。

巴塞尔委员会把压力测试视为极为重要的风险管理工具，因为它帮助机构理解抵御极端市场损失所需的适当资本水平。2018 年 BCBS 发布的压力测试框架原则共九项：

金融危机之前，压力测试偏重定量；危机暴露了方法论、情景选择、与风险治理的整合、以及针对特定风险与产品的测试等弱点。如今压力测试同时包含定性与定量要素。

压力测试的分类学建立在两个维度上：① 分析路径（定量—定性）；② 捕捉的风险类型（可计量—不可计量）。

• 维度一：定量—定性路径——从高度定性到高度定量。偏定性的方法使用情景分析，如宏观压力测试与反向压力测试（例如为「危机对银行声誉的影响」建模）；偏定量的方法则测试模型对参数冲击的敏感性。
• 维度二：可计量—不可计量风险——对可计量风险，分析师用把特定概率与各结果相联系的方法：市场与信用风险的压力测试常涉及修改模型参数值，操作风险的尾部风险建模也可纳入参数压力测试。对不可计量风险，方法面向「未知的未知（unknown unknowns）」——这类风险无法计算或估计，即奈特不确定性（Knightian uncertainty）。

7.5 压力测试的三种方法与处置计划

压力测试方法分三类：参数（模型）压力测试、宏观压力测试、反向压力测试。

处置计划（resolution planning）指为「以对金融体系与机构利益相关方影响最小的方式关闭一家机构」做规划。可能导致关闭的事件须通过审查业务模式、敞口与脆弱性来识别，同时也须评估资源需求。

7.6 操作风险压力测试：框架三模块

2007–2009 年金融危机与 COVID-19 疫情都显著影响了机构的压力测试做法。虽然损失分布法（LDA）在 Basel II 下就已用于操作风险，当前的操作风险压力测试同时纳入参数测试与宏观测试，以理解风险如何随宏观经济条件变化。稳健的操作风险压力测试需要预测多种宏观情景的影响，并把情景分析、LDA 预测与回归都纳入定量方法。

综合资本分析与审查（CCAR）——美国联邦储备委员会的压力测试计划——是操作风险压力测试预期的基准计划。机构的风险识别流程应与其操作风险资本规划流程保持一致。随着时间推移，预测已越来越少由定量建模驱动，越来越多由专家判断与情景分析驱动。

全面的操作风险压力测试框架包含三个组成模块：

关于操作风险是否独立于宏观经济因素与事件，目前仍有相当争论；但机构正受到监管压力的推动，把操作风险与宏观经济条件联系起来。

7.7 操作风险压力测试模型：回归、LDA 与条件 LDA

银行既可以建模操作风险总损失，也可以建模各损失成分（频率与严重度）。源文口径下首选方法是分别建模频率与严重度：对这两个成分，用回归模型捕捉宏观经济条件与操作损失之间的依赖关系。次要方法是损失分布法（LDA）——用蒙特卡洛模拟预测损失；修正 / 条件 LDA 可以基于宏观变量建模损失频率。LDA 之所以是次要方法，是因为它假设机构的风险敞口随时间不变。

条件 LDA（conditional LDA）在「完整回归式压力测试」与「简单 LDA」之间提供一个折中：频率用回归建模，严重度保持不变，再用专家判断反映机构对平均损失的预期；这些损失与基于预测频率的蒙特卡洛模拟相结合。条件 LDA 的一个重大挑战是严重度所用分位数：把它设在99.9 分位（监管资本的口径）过高，会导致永久性的资本不足预测；所幸监管机构并不对压力测试施加分位数要求。

如前所述，建模严重度比监控频率更具挑战。模型可以假设严重度与频率都与宏观因素有关；但由于损失严重度通常深受尾部事件影响，银行用严重度均值作估计量的能力有限——改用损失中位数可能是更好的做法。金融机构可以用纳入宏观变量的回归分析来研究平均损失严重度，包括简单线性回归与对数线性模型。模型产出会给出受压损失估计，需要用情景分析做专家精修，以确保重大风险已被恰当捕捉。

模型精修环节要求专家与风险所有者审查并挑战以下六项：① 基于模型的非法损损失预测所采用的流程；② 模型输入与产出；③ 模型中使用的历史数据；④ 所选方法；⑤ 所选宏观驱动因子的依据；⑥ 每一风险类型损失的（频率、严重度与总量）合理性估计。专家还须应对任何可能影响未来操作风险损失预期、并使其与历史损失结果产生差异的新变化或潜在变化。

8. 网络韧性（Cyber-Resilience）

要点：网络韧性的界定与监管实践范围（BCBS 2018 报告、各辖区指南）· 网络治理五领域（战略 / 角色责任 / 意识 / 架构与标准 / 劳动力）· 网络风险管理的四领域（监督 / 信息安全控制 / 事件响应与恢复 / 指标）· 信息共享五类型（银行间 / 银行→监管 / 监管间 / 监管→银行 / 与安全机构）· 第三方互联六项分析与外包覆盖风险 · 信息安全风险四象限（内部/外部 × 有意/无意）· 三大框架（NIST CSF / CIS / ISO 27001）· CIA 三要素与行为/技术控制 · Equifax 案例五弱点

8.1 网络韧性的界定与监管实践范围

日益增强的自动化与与第三方服务提供商的互联性，使机构暴露于不断增长的网络攻击与网络威胁之下。为应对威胁的频率与严重度，各国与国际监管机构出台了一系列监督与立法变革。2018 年 12 月，巴塞尔银行监管委员会（BCBS）发布报告，旨在识别、描述并比较各银行与监管 / 监督机构之间的各类网络实践。

多数辖区通过信息技术（IT）与操作风险标准来处理网络安全与网络韧性。这些标准的目标是鼓励良好治理与风险管理，并处理 IT 恢复与外包问题；即便标准主要聚焦于业务连续性规划与外包，它们也可能与网络风险相关。在本章语境中，网络韧性（cyber-resilience）指机构在面对网络威胁时保持 IT 恢复能力与业务连续性、从而持续交付关键服务的能力——它与「网络安全（cybersecurity）」的分工在于：防护解决「能否挡住」，韧性解决「挡不住时如何续命与复原」。

若干辖区有专门的网络风险管理指引，各自侧重不同：

其他辖区可能没有专门的网络相关标准；这些辖区的实体被鼓励采纳并实施国际标准。

8.2 网络治理的五个领域

监管机构发布指令性法规或原则导向指引。指引可能不直接针对网络风险标准与监督实践，但会处理更广义的企业 IT 风险管理。网络相关治理包含五个领域：① 网络安全战略；② 管理层角色与责任；③ 意识；④ 架构与标准；⑤ 劳动力。

网络安全战略（cybersecurity strategy）

监管机构要求受覆盖实体建立更广义的信息安全战略与政策，即便并未直接要求制定网络安全战略。澳大利亚、巴西与欧洲部分地区要求实体具备覆盖网络风险的更广义风险管理与信息安全框架，且该框架应由高级管理层审查与监控。因此，监督机构一般会审查受监管实体的信息安全战略，但不要求单独的网络安全举措：例如，美国与墨西哥的法规都不专门聚焦网络安全战略的制定；而加拿大指引则关注金融机构是否已建立网络安全战略、以及其与整体业务战略的对齐。网络安全战略一般有三种路径：

• 路径一：监管机构建立行业特定或跨行业的网络安全要求——常见于银行体系同质化的新兴市场。
• 路径二：受监管实体自行建立网络安全战略，再由监管机构作为其更广义风险管理实践的一部分进行审查。
• 路径三：监管机构审查金融机构是否有覆盖网络风险的适当 IT 战略——常见于欧洲。

管理层角色与责任（management roles and responsibilities）

多数辖区承认董事会与高级管理层在处理专门网络风险战略、或把网络风险纳入更广义企业风险管理战略中的重要性。美国、欧盟与日本鼓励银行通过董事会发起的举措实施清晰、定义良好的风险管理框架；欧盟在 EBA 下的法规还覆盖对网络风险更细颗粒的要求。监管标准常纳入针对网络风险的三条防线模型，但并未强制机构采用该模型——监管机构期望机构能自行清晰界定各防线的责任。不过，由于监管监督往往聚焦第一与第二道防线，这可能削弱该模型的有效性。只有少数辖区就首席审计执行官与审计委员会的独立报告给出指引。

意识（awareness）

组织各层级员工都意识到网络风险至关重要。管理层与董事会负责确保为员工提供适当培训与网络安全意识教育；监管机构常鼓励受监管实体培育共同的风险文化，以提升网络风险管理有效性。监管机构还可能要求实体对新员工设置适当的筛查与背景调查，并要求新员工签署保密协议；对在职员工的风险管理可包括定期复核。

架构与标准（architecture and standards）

目前没有一致的监管标准要求网络安全架构与指引必须到位，只有少数国家对网络安全架构设有专门控制。美国法规要求监督者确保内容最新且妥善存储；沙特阿拉伯要求实体对网络安全做定期自评。

劳动力（workforce）

网络劳动力在技能与胜任力上差异极大。标准往往聚焦于IT 劳动力的风险管理培训，对网络安全的专门关注较少。监督实践包括评估团队职责、员工专长、安全审查与培训。监管机构倾向于通过现场检查评估网络安全劳动力的有效性，可能包括审查培训流程或 IT / 风险负责人等员工的资质。明确涉及 IT 员工角色与责任的法规见于阿根廷、澳大利亚、欧盟、日本与沙特阿拉伯；瑞士的规定嵌入其全球治理框架；美国与墨西哥的法规通常聚焦董事会与高级管理层的要求。明确有网络安全指引的辖区包括南非（作为其国家网络安全战略的一部分）、日本与韩国（网络安全劳动力管理）、以及香港、新加坡与英国（网络劳动力技能与胜任力的认证）。

8.3 网络风险管理的四个领域：监督、控制、响应与指标

网络风险管理与事件响应 / 恢复包含四个领域：① 网络韧性监督；② 信息安全控制；③ 事件响应与恢复；④ 网络安全与韧性指标。

网络韧性监督（supervision of cyber-resilience）

各辖区的监督路径不同，但主要聚焦于关键风险的复杂度与业务模式。监管机构开展的网络安全审查可由以下触发：机构自身的风险评估、检查发现、或对网络事件的分析。除事件报告外，风险专家与监督者还可借助问卷回复、检查、与风险人员的会面，但监督路径的性质与广度在各辖区差异显著。监督审查既可以作为通用技术评估的一部分，也可以作为聚焦各类风险控制与治理的风险管理评估的一部分。辖区差异还包括受监管机构的类型与数量、以及专家团队的规模。澳大利亚、巴西与新加坡的法规使监督者能够通过专门指引与评估诊断 IT 风险；澳大利亚与英国还有权指定审计师或第三方审查网络风险并向监管机构报告。各辖区还日益与业界互动（参会、演讲、风险出版物）：法国（ACPR）与英国（PRA）在 2018 年分别就 IT 风险与运营韧性发布讨论文件，欧盟委员会、EU FinTech Lab 与 EBA FinTech Knowledge Hub 也组织了行业活动。

信息安全控制（information security controls）

许多辖区（美国、欧盟、澳大利亚、香港、新加坡）都会对业务服务与资产进行映射与分类，这可以作为业务影响分析、恢复规划或评估范围界定的一部分。若干辖区评估机构实时检测威胁的能力，包括对威胁的监控与监视；审查可以是专题式的，也可以采用国际标准，并可辅以关于控制是否适当的独立保证（审计）。机构通常对硬件与软件数据测试安全控制，以检测并预防网络安全事件；监管机构随后分析问卷回复、机构提交的威胁与脆弱性等风险评估、以及审计与控制测试报告。欧盟若干监管机构还对受监管实体开展渗透测试，其中三个辖区（欧洲央行 ECB、荷兰、英国）就如何开展测试提供指引；多数情况下测试由受监管机构自愿出资，且往往聚焦于网络韧性能力的保护与检测。欧洲央行于 2018 年 5 月发布了一个覆盖全欧的框架，便利对跨境实体进行受控测试。各辖区可能用风险分类学（risk taxonomies）识别控制与监督缺口；目前分类学尚未统一，而是各辖区自成一套。

事件响应与恢复（incident response and recovery）

多数情况下，监管机构要求机构建立用于风险检测、响应与恢复的风险框架或政策。这类要求往往聚焦整体风险管理而非专门针对网络安全，不过中国与日本等辖区要求在整体网络治理内建立网络专门框架。美国就事件管理以及事件的分析、分类、升级与报告发布指引；日本的法规聚焦潜在威胁分析与信息共享以缩短报告延迟；加拿大则通过评估银行内部与外部沟通协议、以及是否纳入所有必要利益相关方来降低传染效应。对事件事后复盘学习的监督审查见于澳大利亚、美国、香港、日本与比利时。银行与监督者还使用演练来学习如何响应事件，其中许多是公私联合演练（近期包括 G7 与美英联合演练）；英国有纳入网络风险情景的年度演练机制，日本则通过演练改善响应协调与沟通。

网络安全与韧性指标（cybersecurity and resilience metrics）

评估网络韧性与安全通常通过问卷、事件报告、测试与检查进行。网络安全测试方法没有像财务风险评估那样标准化的定量指标；监管机构转而依赖机构自身的管理信息与指标。指标使用的是回溯性数据，在机构处于稳定运营与风险环境中时，对预测未来表现有用。然而，「对手（adversaries）」（试图非法获取访问权的个人或团体）会不断适应机构变化的防御；当单一系统被多个恶意来源攻击时，就会引发分布式拒绝服务（DDoS）事件。因此，机构日益认识到前瞻性指标对提升攻击韧性的重要性，并更广泛地改进韧性指标；趋势分析很重要，因为它能检视风险是在上升还是下降。监管机构对受监管实体网络指标的审查，有助于评估其网络准备战略是否充分、以及网络韧性水平；问卷结果分析尤为常见，发现可用于构建指标并凸显趋势——监管发现可以公开以影响行为（澳大利亚），也可以直接与受监管实体共享（英国）。

8.4 机构间网络安全信息共享的五种类型

信息共享实践有五种类型：① 银行之间共享；② 银行向监管机构共享；③ 监管机构之间共享；④ 监管机构向银行共享；⑤ 银行与监管机构向安全机构共享。市场实体间的网络安全信息共享可以是自愿或强制的。其中最常见的三种是：银行间共享、与安全机构共享、银行向监管机构共享；监管机构之间与监管机构向银行的共享则因安排不够系统而较少见。银行与监管机构之间共享的信息包括网络威胁、具体事件、监管 / 监督回应与最佳实践；银行倾向于把网络安全事件信息共享给监管机构、把网络威胁信息在彼此之间共享。存在一个替代规律：在银行间共享已成熟的辖区，监管向银行的共享往往较少；在银行向监管共享已成熟的辖区，与安全机构的共享往往较少（可能源于监管与安全机构之间的职责分工）。部分辖区按信息类型混合采用自愿与强制措施：例如新加坡强制金融机构向金融管理局（MAS）报告网络安全事件，但 MAS 与网络安全局（CSA）之间的网络风险信息交换是自愿的。共享还可包括公私机构之间的共享与对网络事件的公开公告，参与者可包括第三方服务提供商、客户与非银行关键基础设施运营者。

8.5 第三方服务提供商的风险治理

使用第三方会提高金融机构的网络威胁风险，因为机构对这些实体缺乏控制与可见性。第三方涵盖：外包（含云计算）；通常不算外包的其他服务（电力供应、电信线路、商用硬件与软件）；以及金融与非金融的互联交易对手（支付与结算系统、交易平台、中央证券存管机构、中央对手方）。对第三方的分析可分解为六个方面：① 第三方互联的治理；② 业务连续性与可用性；③ 信息的机密性与完整性；④ 审计与测试；⑤ 资源与技能；⑥ 围绕第三方互联可见性的预期与实践。

8.6 信息安全风险：四象限分类与三大框架

信息安全风险（information security risk）的含义不止于网络风险，包含有意行为与无意行为。有意行为可包括员工窃取并泄露数据、或外部方入侵电子邮件；无意行为包括丢失或意外披露私密 / 安全信息、或误把敏感数据发给外部方。信息安全风险还包括非数字数据（含纸质文件）的丢失或被盗。实施适当风险控制、缓释事件风险，是机构的责任。

一种分类方式是四象限法，把数据事件按内部 vs 外部、有意 vs 无意两个维度归类：

除更广义的信息安全风险外，金融业尤其易受网络攻击与信息泄露影响。近年多起高关注度数据入侵（含 2017 年的 Equifax 与 Appleby——一家离岸律所与税务顾问）以及重大数据泄露（保险、新闻、加密货币领域）凸显了风险防御不足的危险。COVID-19 疫情使数字化（如二维码使用）提速、社交媒体使用加速、供应链受扰，进一步凸显保护数字信息的必要性。

网络风险是最重要的信息安全风险之一。全球公认并采用的三大标准 / 框架是：

保护网络安全信息有三个组成部分——机密性、完整性、可用性（CIA）：机密性与完整性关乎信息安全，可用性关乎业务连续性。此外，信息控制可分为行为控制与技术控制：行为控制针对人的行为与缺陷，通过意识宣传、行为准则、培训、密码管理、适当监督与必要惩戒来保护信息；技术控制从技术侧处理风险，分为预防、检测与缓释——预防性控制针对外部威胁（防火墙、加密、密码、打补丁），检测性控制力求对数据事件发出早期预警（如数据丢失预防与检测 DLPD 方案），缓释性控制力求让冗余与备份保持离线。每家机构都必须自行做成本效益分析，权衡控制成本、便利性与速度、以及风险降低带来的收益。多数机构在 IT 部门内监控网络攻击与入侵，但也有许多机构设有独立于 IT 的信息安全部门，负责设计、维护与监控风险控制。

8.7 案例研究：Equifax（2017）

Equifax 是美国三大征信机构之一，分析消费者信用报告（用于确定信用评分）。它在 2017 年 3 月遭遇重大网络入侵，是近年最大的网络攻击之一。攻击发生在其对某个开源应用 Apache Struts 打补丁后的数天：攻击者利用补丁中的漏洞，迅速进入 Equifax 网络中其他存在漏洞的部分，窃取了客户姓名、地址、生日、社会安全号码与信用卡信息。该攻击在约三个月内未被发现，最终影响 1.47 亿客户。

为什么 Equifax 如此脆弱？简言之，它使用了过时的网络安全框架与政策，且未能充分更新过时的安全工具。其 2015 年的内部审计已发现存在约 8,500 个未修补漏洞的积压，到攻击发生时仍未解决；2016 年它已因网站被黑遭遇过重大入侵，影响 43 万客户；而 NIST 早已给 Apache Struts 打出 10 分的脆弱性评分，表示最高危。

Equifax 的失败可归为五个弱点：

由于其疏忽，Equifax 承受了严重后果：除股价下跌与包括 CEO、CSO、CIO 在内的多位高管辞职外，还面临多项调查、罚款与诉讼。最终它支付了 7 亿美元罚款与赔偿，其中 3 亿美元直接赔付给受影响的个人；此后 Equifax 全面改造了其 IT 安全系统与管理。

9. 反洗钱与金融犯罪（AML/CFT & Financial Crime）

要点：ML/FT 风险的四级评估（国家 / 行业 / 银行 / 业务关系）与五项政策流程 · AML/CFT 三线防御（业务单元 / 首席 AML/CFT 官 / 内部审计）· 客户接纳九项因素与 EDD 触发条件 · 客户识别与核实（FATF 建议 10、实际受益人）· 集团统一政策与「从严适用」· 跨境四项要求与监管者职责 · 金融犯罪定义与内外部欺诈 · 内控四步（甄选 / 预防 / 检测 / 威慑）· 洗钱三阶段（放置 / 分层 / 融合）与 smurfing · USAA 案例（1.4 亿美元罚款、五年、约 9 万条未复核预警）

9.1 ML/FT 风险的四级评估与治理

巴塞尔银行监管委员会（下称「委员会」）把打击洗钱（ML）与恐怖融资（FT）视为其维护全球金融稳定职责的一部分。缺乏健全 ML/FT 风险管理的银行会暴露于声誉风险、操作风险、合规风险与集中风险；相关代价包括监管罚款与制裁、批发融资与授信额度的终止、对银行的索赔、贷款损失、资产扣押、资产冻结与调查成本。

2012 年更新的《有效银行监管核心原则》要求所有银行具备适当的政策与流程，包括严格的客户尽职调查（CDD）规则，以促进高伦理与专业标准、防止银行被有意或无意地用于犯罪活动。健全的风险管理意味着银行必须识别并管理 ML/FT 风险，并针对已识别的风险设计、实施政策与流程。这些风险须在国家、行业、银行、业务关系四个层级上评估。银行必须就以下五项具备政策与流程：① 客户识别；② 客户尽职调查；③ 客户接纳；④ 业务关系监控；⑤ 业务运营监控。

银行还必须透彻理解存在于以下方面的 ML/FT 风险：客户群、银行的产品与服务、产品与服务的交付渠道（含开发阶段的产品与服务）、以及银行及其客户经营所在的法域。银行对固有 ML/FT 风险的理解基于内部与外部两类数据源：运营与交易数据属内部；国家风险评估与国际组织的国别报告属外部。

治理安排是管理 ML/FT 风险的必要条件：委员会此前多份出版物均要求董事会批准并监督风险政策、风险管理活动与合规；ML/FT 风险评估必须以及时、完整、准确、可理解的方式传达给董事会。董事会与高管应任命一名合格的首席 AML/CFT 官，其须具备足够的地位与权威，在 ML/FT 问题出现时能引起董事会、高管与业务线的重视。

9.2 AML/CFT 三线防御与风险监控

AML/CFT 语境下的三条防线如下：

风险监控：银行的监控系统应与其规模、活动与复杂度相称。对多数银行、尤其是国际活跃银行，部分监控活动会自动化；银行若决定放弃信息技术（IT）监控，必须记录该决定并展示有效的替代方案。监控系统应能就客户交易画像的变化等问题向高管提供准确信息；IT 系统还应使银行能自行确定监控标准、报送可疑交易报告（STR）或采取其他措施以最小化 ML/FT 风险；内部审计应评估 IT 监控系统的有效性。

9.3 客户接纳、识别与核实（CDD/KYC）

客户接纳：银行必须判断哪些客户构成 ML/FT 高风险。应考虑的因素包括客户的背景、职业（含公众与/或高知名度人物）、业务活动、收入与财富来源、原籍国、居住国（如与原籍国不同）、对银行产品与服务的选择与使用、账户的性质与目的、以及关联账户。对低风险客户可采用简化评估程序（如余额低、仅用于日常银行业务的客户）；同时，接纳标准不得过于严苛，以致拒绝一般公众（尤其经济或社会弱势人群）获得服务。

以下情形可能需要增强尽职调查（EDD）：大额余额且经常性跨境电汇的账户；政治公众人物（PEP），尤其外国 PEP。银行必须确定其为与高风险客户做业务而愿意承担的风险，也必须确定在何种情形下不接受新业务关系或终止既有关系。

客户核实：金融行动特别工作组（FATF）建议 10 将「客户」定义为与银行建立业务关系或与银行进行偶发金融交易的任何人。按 FATF 标准，银行必须识别客户并核实其身份，且须建立系统化的识别与核实程序；某些情形下，银行还必须识别并核实代表实际受益人行事的人。就身份核实而言，最好的文件是难以伪造或非法取得的那种；银行可要求提供实际受益人身份的书面声明，但不应仅依赖该声明；银行不得因客户无法到场面谈而放弃识别与核实。对来自已知存在 AML/CFT 缺陷法域的客户应特别关注，此情形需要 EDD。

客户识别：为建立客户风险画像（或客户类别），银行应收集与以下相关的数据：关系或偶发交易的目的、资产水平、客户交易规模、银行关系的频率或长度、预期活动水平、交易类型、客户资金 / 收入 / 财富来源（如需要）。银行应识别特定客户或客户类别的「正常」行为，以及偏离正常、可能被标记为异常或可疑的活动。客户识别文件可包括护照、身份证、驾照，以及账户档案（如金融交易记录）与业务往来函件。

若银行无法完成 CDD，则不应开户或进行交易。若为避免影响业务运营而在核实完成前先行交易、但最终仍无法确认客户身份，银行应考虑报送 STR；且不得直接或间接告知客户已报送或将要报送 STR。若银行认为某客户因涉嫌非法活动已被另一家银行拒绝服务，应考虑将其列为高风险并开展增强 CDD，或直接拒绝；若客户坚持匿名（或提供明显虚构的姓名），银行应拒绝接纳。编号账户可为客户提供一定保密性，但银行仍须核实账户持有人的身份。对客户账户的持续监控与警觉的记录保存，是 ML/FT 风险管理的必要条件。

9.4 集团统一与跨境管理

银行在多个法域经营时受众多国家法规约束。每个银行集团（集团指一家机构的一家或多家银行及其分支与子公司）应制定集团范围的 AML/CFT 政策与程序，并在集团的国际运营中一致适用。即使各法域要求不同，政策也应一致适用；若东道国要求严于集团母国，分支或子公司应采用东道国要求。若东道国不允许适当实施 FATF 标准，首席 AML/CFT 官应通知母国监管者；某些情形下，银行可能需要关闭在东道国的业务。

跨境语境下，AML/CFT 程序比其他风险管理流程更具挑战，因为一些法域限制银行跨境传输客户姓名与余额；但为风险管理目的，银行必须能够在受法律保护的前提下与总部或母行共享客户信息。当业务被引荐给银行时，应使用银行自身的 AML/CFT 标准，而非引荐行所在法域的标准，除非引荐行所在法域的标准相等或更严。

从事跨境活动的银行应当：整合客户、客户的实际受益人、以及交易涉及资金的信息；以合并基础监控重要客户关系、余额与活动（无论账户在表内还是表外、作为管理资产 AUM 还是以受托基础持有）；为整个集团任命首席 AML/CFT 官以确保跨境集团范围的合规；监督集团范围信息共享的协调——总部应获知高风险客户信息，同时必须考虑当地数据保护与隐私法。对较大银行而言，把处理系统与数据库集中化，可带来更有效且高效的风险管理。

监管者的职责：遵守 FATF 建议 26 并适用《有效银行监管核心原则》中与 AML/CFT 监督相关的部分；设定管辖银行 AML/CFT 政策与程序的监管期望；采用基于风险的方法监督银行 ML/FT 风险管理体系。为此，监管者须理解其他法域的风险及其对被监管银行的影响、依据国家风险评估评估银行风险评估的充分性、按客户群 / 产品服务 / 地理分布评估银行风险、评估银行为履行 AML/CFT 义务所设计控制（如 CDD）的实施有效性、分配资源开展有效审查；并须通过保护银行的安全与稳健来维护金融体系完整性——这意味着要明确：对未遵循自身内部程序与监管要求的银行及其高管，监管者将采取可能严厉且公开的行动。此外，监管者还须确保适用两法域中更严的要求、在现场检查中核实银行对集团范围 AML/CFT 政策的合规、向需要评估银行海外合规的母国监管者提供充分合作与协助、确保存在集团审计并确定集团 AML/CFT 程序审计的范围与频率、确保提供给监管者的客户信息的保密性、并确保在限制向第三方披露客户信息的国家，监管者不被归类为「第三方」。

9.5 金融犯罪的定义与内外部欺诈

金融犯罪的定义宽泛，包括内部与外部欺诈、洗钱（ML）与恐怖融资（TF）。英国金融行为监管局（FCA）将金融犯罪定义为「与金钱、金融服务或市场有关的任何犯罪行为，包括涉及以下任何犯罪：(a) 欺诈或不诚实；或 (b) 在金融市场中的不当行为、或对金融市场相关信息的不当使用；或 (c) 处理犯罪所得；或 (d) 恐怖融资」。内部与外部欺诈、ML 与 TF 也属于巴塞尔委员会（BCBS）操作风险定义所涵盖的范围。

BCBS 将内部欺诈定义为「因意图欺诈、挪用财产或规避法规 / 法律 / 公司政策的行为（不含多元性 / 歧视事件）、且至少涉及一个内部方所造成的损失」。内部欺诈指员工实施的不诚实或欺诈行为，可分为两类：未经授权活动（员工明知故犯地无视或违反法律与内部政策，如进行未经授权的交易、不报告交易、错误标记交易头寸、共享密码、或向他人共享机密客户信息）与盗窃与欺诈（偷窃或不诚实使用资产，包括挪用、勒索、贿赂、伪造、走私、逃税）。

BCBS 将外部欺诈定义为「因第三方意图欺诈、挪用财产或规避法律的行为所造成的损失」。外部欺诈的定义与内部欺诈相似，区别在于欺诈由外部第三方实施。其两个子类是盗窃与欺诈（如抢劫与伪造）与系统安全（如黑客入侵与窃取信息、网络安全漏洞）。鉴于数字化与疫情期间远程办公的兴起，管理网络风险对企业尤为重要，这导致与电汇、电子邮件诈骗与钓鱼相关的外部欺诈显著增加。

许多公司通过内部审计与检查监控金融犯罪，目标是检测、监控与报告欺诈；多数公司对内部欺诈零容忍——一旦查获，将予以惩罚或制裁。内部欺诈风险管理框架有四个关键控制：

外部欺诈管理与内部欺诈管理相当相似，关键区别在于焦点不是员工，而是罪犯以及客户、业务伙伴与其他第三方的潜在欺诈。外部欺诈的例子包括银行抢劫、欺诈交易、信用卡欺诈与身份盗窃；也可包括在贷款申请中故意虚报或错报收入、资产与抵押品价值。外部欺诈管理可聚焦第一方欺诈（客户与伙伴为自身利益实施的欺诈）或第三方欺诈（其他外部方实施的欺诈）。银行常设专门团队协助欺诈管理，如雇用保安监控 ATM 与网点以防范抢劫，或在事件后与执法部门合作。

9.6 洗钱三阶段与 AML 风险管理的四个控制步骤

理解 AML 风险管理之前，先掌握洗钱的三个阶段：

与内部欺诈管理类似，AML 风险管理框架也有四个控制步骤：

• ① 甄选（selection）：机构需充分画像并甄选客户；最关键步骤之一是了解你的客户（KYC）尽职调查，即核实客户身份；核实客户资金与存款的来源是另一关键步骤，包括核实资金与有组织犯罪或其他犯罪活动无关。
• ② 预防（prevention）：遵循基于风险的方法，实施严格的风险控制与适当的员工培训。金融机构常按风险等级（低 / 中 / 高）给客户分类；决定分类的因素包括客户职业、活动数量与频率、与银行的历史、文件、以及是否为需额外尽调的政治公众人物（PEP）。
• ③ 检测（detection）：强检测依赖强整体治理、良好的交易监测系统与异常活动预警。风险概览常被委托给专门的反洗钱风险官，监控辅以清晰的政策、适当的培训与对客户数据的持续复核；客户数据应与外部名单（含制裁名单）对账。
• ④ 威慑（deterrents）：对抗洗钱的关键威慑包括诉讼、关闭客户账户、或把客户信息移交金融与情报机构。

这些控制尤其重要，因为近年涌现了大量监管科技（RegTech）公司，它们使用自动化客户画像，在 KYC 流程中依赖机器学习技术。这些自动化技术有助于加速核实与开户流程，尤其用于核对 PEP 名单、检测客户行为与银行模式的异常变化。完全数字化的在线银行（称为挑战者银行）在 KYC 流程中高度依赖这些自动化与机器学习技术，尽管监管者已审查其控制的有效性与质量。若干监管机构发布制裁名单，包括美国财政部外国资产控制办公室（OFAC）；名单包含被制裁的个人与公司以及恐怖分子与毒品贩运者；所有在美国境内或与美国做业务的公司都必须确保其客户不在制裁名单上。

9.7 案例研究：USAA Federal Savings Bank（2022）

2022 年 3 月，USAA Federal Savings Bank（USAA FSB）被美国联邦监管机构罚款 1.4 亿美元，作出处罚的包括金融犯罪执法网络（FinCEN）与国家银行监管机构货币监理署（OCC）。罚款针对的是该行至少五年（2016 至 2021 年间）未达到《银行保密法》（BSA）与 AML 标准最低要求的无效 AML 程序。监管者指出，该行「故意（willfully）」未能确保充分监控可疑活动或向监管者报告，其合规程序未能跟上账户的增长。

USAA FSB 是 USAA（United Services Automobile Association）的一个部门——USAA 是 1922 年成立于德克萨斯州的金融服务集团，主要服务美国军人。因人员短缺，该行使用第三方承包商协助监控账户中的可疑与潜在犯罪活动，但未能充分培训这些承包商处理 AML 合规事项。此外，该行在 2021 年引入了新的交易监测系统，该系统会对潜在可疑活动发出预警并标记以供复核；但新系统过于敏感，产生了该行无法管理的异常高数量预警——到 2021 年底，有近 90,000 条未复核预警与近 7,000 件未复核案件。

本案罚款的一个耐人寻味之处是：罚款并非因为 USAA FSB 发生了已知的盗窃或 AML 案件，而是因为其对 AML 风险的充分控制缺失、AML 程序无效。USAA FSB 案属于全球越来越多的一类案例——监管者因金融机构未能展示充分的 AML 控制、或风险管理体系设计不当而处以罚款。在监管制裁之后，机构往往需要承担昂贵的 AML 整改程序（称为 lookback），即被要求复核与核实所有客户信息并报告可疑活动，甚至关闭账户。

在疫情改变消费者与商业行为（含更难监控的远程交易增加）的背景下，充分控制尤为重要。当监控使用自动检测与预警时，机构必须确保这些预警不会产生大量假阳性或假阴性，且预警数量可通过充分的监控、评估与反馈加以管理。

10. 外包与第三方风险（Outsourcing & Third-Party Risk）

要点：外包的六类风险（合规 / 集中 / 声誉 / 国家 / 操作 / 法律）· 管理程序六要素（风险评估 / 尽调 / 合同 / 激励薪酬复核 / 监督监控 / 业务连续性与应急）· 尽职调查三领域（商业背景声誉战略 / 财务表现状况 / 运营与内控）· 合同条款清单（范围 / 审计权 / 机密性与安全 / 所有权与许可 / 赔偿 / 违约与终止 / 分包…）· TPRM 界定与四/五方延伸 · 五阶段生命周期 · Capital One（1 亿客户、8,000 万美元）与 Morgan Stanley（6,000 万美元）案例 · 责任不可转移

10.1 外包风险的六种类型

金融机构把运营职能外包给第三方服务商时，可能产生以下六类风险：

10.2 有效的外包风险管理程序（六要素）

与供应商的风险管理程序需要对机构财务与运营有重大影响的活动具备充分的监督与控制；同时应重视与敏感客户信息以及新产品与服务有关的活动。程序的深度与复杂度可以弹性：若外包活动少、服务商既成熟又可靠，深度与复杂度可相对低；反之若涉及众多服务商，则可相对高。

风险管理程序应包括六个要素：① 风险评估；② 甄选服务商时的尽职调查；③ 合同条款；④ 激励薪酬复核；⑤ 服务商的监督与监控；⑥ 业务连续性与应急计划。其中关键的第一步是对适用业务活动进行风险评估，以判断这些活动是在内部执行还是由第三方执行更好。假定外包选项与机构的业务目标一致，则应进行成本效益分析与服务商风险分析。有两个关键问题需要回答：(1) 是否存在合格且有经验的服务商？(2) 金融机构自身是否足够合格，以履行监督职责并管理与服务商的关系？风险缓释技术应基于更新后的风险评估、以足够规律的频率更新。

10.3 供应商尽职调查的三个领域

对第三方服务商进行尽职调查时，金融机构应让相关的技术专家与/或重要利益相关者参与。三个关键审查领域是：① 商业背景、声誉与战略；② 财务表现与状况；③ 运营与内部控制。归根结底，金融机构必须确保服务商在代表机构提供服务时遵循所有相关法律与法规。

10.4 合同应涵盖的条款（清单）

与第三方服务商的合同，其考虑事项与条款应包括以下要素：

10.5 第三方风险管理（TPRM）：界定、风险与增长动因

多数组织都有部分业务外包给外部（第三方）实体。第三方实体包括供应商（vendors）、承包商、服务商（含云托管服务）、供货商与业务伙伴。管理使用第三方可能产生的风险属于第三方风险管理（TPRM），包括识别、监控与评估这些风险。

与第三方签约有两个关键原因：① 节约成本——外包给在特定活动上专业化、从而在系统与流程上具竞争优势的公司；② 缓释操作与其他风险——与专家签约可减少流程与数据错误。

TPRM 并不只适用于第三方：它可适用于整个供应链，延伸至第四方（第三方的第三方）乃至第五方（与「同其他实体打交道的承包商」打交道的第三方）。关键第三方（及第四方等）风险包括：服务质量问题、服务中断、欺诈、数据与合规漏洞、敏感或机密信息泄露、知识产权盗窃，甚至间谍活动。随着组织越来越多把核心流程外包，与第三方打交道的风险、以及 TPRM 的重要性近年显著增长。例如银行越来越多把贷款与抵押贷款的处理与服务、电子资金转账、薪酬与资金管理业务、电子账单支付与账户聚合外包给第三方；许多第三方位于机构所在国之外，引入额外的风险层，包括国家风险以及法律与合规风险。

物联网（IoT）设备的广泛应用与 COVID-19 疫情加速了外包安排与第三方使用。存储与保护敏感数据日益复杂，确保数据隐私与信息安全因此至关重要——如 Avanti Markets（一家通过自动售货机被黑的无人便利运营商）案例所示。近期一项研究发现，近 60% 的受访机构曾通过其第三方（含供应商）遭遇数据泄露；另一项研究发现，多数（77%）机构对第三方的可见性有限，80% 在过去一年至少遭遇过一次与第三方相关的泄露。

10.6 TPRM 的五阶段生命周期

TPRM 流程有五个生命周期阶段：

10.7 案例研究：Capital One 与 Morgan Stanley

本节两个案例都与供应商风险管理有关：① 银行 Capital One 遭前第三方供应商员工数据泄露；② 金融服务公司 Morgan Stanley 第三方控制薄弱。两个案例都凸显数据安全与 TPRM 之间的关系，并说明任何风险的最终责任落在使用第三方的机构，因为该问责不可转移。

Capital One：本案涉及通过该行使用的第三方云服务商 Amazon Web Services（AWS）造成的数据泄露。2019 年 7 月，该行报告一名前 AWS 员工获取并窃取了 1 亿美国银行客户（以及许多国际客户）的数据，包括访问 14 万个社会安全号码与 8 万个银行账户。该员工利用系统防火墙的一个弱点获取 AWS 数据库中存储的文件；Capital One 与 AWS 都知道其系统易受此类攻击，却继续使用未加密数据，使该员工能立即使用被盗数据。Capital One 于 2020 年被美国银行监管机构 OCC 罚款 8,000 万美元，原因是未能在此次与供应商服务（含把数据移至涉及 AWS 的云）相关的泄露之前充分识别与管理风险。OCC 指出，早在泄露之前，Capital One 的风险管理控制就薄弱、未能检测与处理漏洞——甚至 2015 年的一次内部审计也未能发现若干控制弱点。

Morgan Stanley：2020 年，OCC 还因与第三方供应商相关、以及与其两个财富管理业务数据服务器的退役（decommissioning）相关的风险管理缺陷，对 Morgan Stanley 罚款 6,000 万美元。具体而言，OCC 指出在 2016 年与 2019 年，Morgan Stanley (1) 未能适当评估与处理与硬件退役相关的风险；(2) 未能适当评估使用第三方供应商与分包商的风险、或充分监控其表现；(3) 未能维持适当的客户数据清单。罚款是在 Morgan Stanley 于 2019 年 7 月开始通知其财富管理客户，公司处置的计算机硬件仍含有机密客户数据之后作出的。

11. 投资者保护与合规风险（Investor Protection & Compliance Risk）

要点：投资者保护法规的存在目的与四项目标（防虚假陈述 / 促全球合作 / 对欺诈问责 / 充分 KYC 尽调）· 监管合规的两大类（① 适合性·披露·受托责任；② 不当商业与市场行为）· MiFID（2004 颁布、2007 实施）与 MiFID II（2014 生效）+ MiFIR 的七项关注点 · Dodd-Frank 投资者保护法（2009）与举报人保护、OTC 衍生品清算、SEC 扩权 · 沃尔克规则（禁自营与投机交易、限 PE/对冲基金投资）· CFPB · 合规违规的四类员工成因与三类更广驱动（信息不对称 / 交易员利益冲突 / 经济状况）· 有效监管四要素（监督 / 中后台 / 培训 / 伦理文化）· 三案例（UBS 111.5 亿、JPMorgan 9.2 亿幌骗、Deutsche Bank 200 万最佳执行）· 罚款的惩罚性与威慑性

11.1 投资者保护法规为何存在：监管合规的两大类

投资者保护法规的存在，是为了确保投资者对金融交易的参数与风险获得充分知情。美国与欧盟不仅走在立法前列，也走在对不合规实体处以罚款的前列。这类法规有四项明确目标：

监管合规（regulatory compliance）大体分为两个类别，两者都聚焦客户、产品与业务行为：① 适合性（suitability）、披露（disclosure）与受托责任（fiduciary responsibilities）；② 不当的商业与市场行为（improper business and market practices）。

11.2 MiFID 与 MiFID II（欧盟）

欧盟《金融工具市场指令》（Markets in Financial Instruments Directive，MiFID）最初于 2004 年颁布，并于 2007 年在欧盟范围内实施。MiFID 是一项投资者保护法规，它描述正当的商业与组织行为准则，并规定监管披露与报告要求，以防止市场滥用（market abuse）。

原始 MiFID 在 2007–2009 年金融危机后被修订，以改善交易数据的公开披露要求、强化投资者保护。修订版指令 MiFID II 于 2014 年生效，并配有配套法规《金融工具市场法规》（Markets in Financial Instruments Regulation，MiFIR）。

MiFID II 与 MiFIR 处理以下事项：

• 交易员与顾问的薪酬（trader and advisor pay）
• 利益冲突（conflicts of interest）
• 与客户的公平沟通（fair communication with customers）
• 独立投资建议（independent investment advice）
• 销售与产品治理（sales and product governance）
• 客户交易的最佳执行（best execution of client trades）
• 与交易对手的往来（dealing with counterparties）

11.3 Dodd-Frank、投资者保护法与沃尔克规则（美国）

《投资者保护法》（Investor Protection Act）是更广泛的 Dodd-Frank 华尔街改革与消费者保护法（通称 Dodd-Frank 法案）的一部分。该法案是美国立法，2009 年颁布，旨在增强金融稳定、防止 2007–2009 金融危机的负面事件重演。它通过以下方式增强投资者保护：

11.4 合规风险管理：违规从何而来、如何治理

合规风险管理处理投资活动中的合规违规（compliance breaches）。违规可能是非故意的（源于人为错误或无效政策），也可能是故意的（源于欺诈）。风险管理主要聚焦于预防违规的框架。

有效监管投资活动包括四件事：对员工与交易的有效监督、强化的中台与后台职能、充分的员工培训、以及强大的伦理文化。

11.5 案例研究：三张巨额罚单

本节案例聚焦监管机构对大型投行（UBS、JPMorgan、Deutsche Bank Securities Inc.）就投资者保护违规所处以的监管罚款。这些罚款倾向于惩罚性——「惩罚」过去的违规，同时意在威慑未来的不当行为、并鼓励其他机构改进合规实践。罚款金额被设定在足够高、以抵消机构从违规中获得的一切好处的水平。

① UBS（2008）：迄今对单一机构所处的最大罚单——111.5 亿美元，事由是向投资者不当陈述证券为「安全」，而这些证券实际上具有重大的流动性风险。

② JPMorgan（2020）：美国商品期货交易委员会（CFTC）因市场操纵与欺骗性行为对其罚款 9.2 亿美元。相关行为主要涉及幌骗（spoofing），持续八年以上——通过快速连续地下单再撤单人为制造高交易量的假象，在此过程中形成有利于 JPMorgan 的价格。

③ Deutsche Bank Securities Inc.（2022）：美国金融业监管局（FINRA）因该行在 2014–2018 年间违反最佳执行（best execution）实践而罚款 200 万美元。金额相较其他罚单很小，但它不同寻常：它与不当陈述或操纵无关，而是该行未能为客户订单争取最有利的交易条款，包括订单的价格与速度。德意志银行通过一个订单系统路由订单，该系统导致执行延迟、且常常只能部分成交；尽管知悉这些问题，该行并未修改其订单路由安排。此外，该行因通过该系统路由订单而获得交易返佣（trading rebates），而这一安排在公开报告中仅被含糊披露。该行在不明确承认或否认责任的情况下和解。

12. 模型风险管理（Model Risk Management）

要点：模型的三个部件（信息输入 / 处理 / 报告）与「模型必不完美、模型风险永远存在」· 模型风险的两个来源（模型有重大错误 / 使用不当）与两种类型（执行风险 / 概念错误）· 「有效挑战（effective challenge）」的四要件与自我复核威胁 · 实质性驱动管理深度 · 开发与实施最佳实践（目标与用途一致 / 数据与假设稳健 / 正常与压力双向测试 / I 类与 II 类错误 / 定性要素 / 内控）· 验证三要素（概念健全性评估 / 持续监控 / 结果分析）· 过程验证与基准比较 · 并行结果分析与回测（置信区间、VaR、早期预警信号）· 供应商与第三方模型 · MRM 职能与模型风险分层（实质性 / 复杂度 / 是否面向客户 / 是否用于监管合规；最高层级每 2–3 年验证、全模型每年复核）· 三案例（高斯 copula＝假设无效 / Barclays 表格＝实施错误 / NASA 火星轨道器＝输入计量错误）

12.1 什么是模型：三个部件与「模型必不完美」

模型（model）是运用统计学、经济学、金融学与数学的概念，连同假设，把输入数据转换为可能有用的定量输出的工具。模型有三个不同的部件：

模型试图模仿现实，但由于成本效益约束，模型必须诉诸某些简化假设。结果是：模型永远不会完全准确，模型风险将永远存在。

监管视角的定义（美国联邦储备委员会模型风险指引 Supervision and Regulation 11-7）：「模型一词指一种定量方法、系统或路径，它运用统计、经济、金融或数学的理论、技术与假设，把输入数据处理为定量估计。」换言之，模型用一组输入、一个底层理论、在一组假设下生成估计或预测。输入既可以是定量的，也可以是定性的。关键认识：估计或预测（即模型输出）不是确定性的，而是受估计误差影响。

12.2 模型风险：两个来源与两种类型

模型风险（model risk）指因使用不准确的模型输出做出不良决策而导致（负面）结果的可能性。这类结果包括财务损失与声誉损失。模型风险可以从两个不同的来源产生：

从类型看（案例篇的划分口径），模型风险又可归为两类：

概念错误更难识别。在某经济环境中有效的模型，换到另一环境可能表现不佳。模型的假设与局限应被记录，并有效传达给使用者。示例：风险计量模型常以组合资产间的相关性（correlations）作为输入；正常时期的相关性估计，往往低估波动市场条件下的相关性。模型验证技术正是用来检验模型是否按预期表现。

12.3 有效模型风险管理：有效挑战、实质性驱动与 MRM 职能

管理模型风险要求识别所有相关风险并尝试量化暴露。模型风险的大小取决于三件事：模型的复杂程度、其输入与假设的不确定性水平、以及对使用者的潜在影响。此外，风险分析不能只看单个模型——对相关模型、或与其他模型联合使用的模型，还要做加总（in aggregate）分析。

管理模型风险的根本是「有效挑战（effective challenge）」——即对模型进行深入、第三方、无偏见的评估，由技术能力强的人士进行，以判定模型及其假设的弱点并提出有效解决方案。要做到有效，参与挑战的人必须完全独立于模型开发，以避免自我复核威胁（self-review threat）。最后，对挑战中发现的问题必须有稳健的跟进流程——这需要高层管理者的支持与授权。

其他管理模型风险的方法包括：限制模型的使用、分析模型表现、持续校准与改进模型、以及把模型输出放在其他相关信息的情境中（作为对输出合理性的检查）。

模型的潜在影响（即实质性，materiality）是驱动风险管理力度的关键：若对机构的利润与/或财务状况有潜在重大影响，风险管理流程就必须更详细、更全面。

从职能角度看（案例篇口径）：模型风险管理（MRM）团队由独立于原模型开发者的专家组成，负责缓释模型风险。MRM 团队设定模型文档、数据质量与模型版本控制的标准。并非所有模型带来相同的机构风险——成本效益考量要求对风险更高的模型施以更多审查，因此模型可被分配至风险层级（risk tiers）。

最高风险层级的模型需要更频繁的验证（通常每 2–3 年）与全面的回测以确保输出可靠。不论层级，所有模型都应每年复核一次——针对环境变化、输入数据质量及其他重要要素，以确保没有会影响模型表现的重大变化。此外，MRM 团队还审阅模型所有者（model owners）编制的定期模型表现报告。

两点态度上的要求：MRM 应当是持续、不断进行的过程，而非排定的定期复核——这样才能限制那些已不再产生可靠预测的模型造成的损害；同时，MRM 团队的存在不应导致模型使用者与开发者自满——他们才是机构面对不必要风险的第一道防线。

12.4 模型开发与实施的最佳实践

起步要求：模型开发应有清晰陈述的目标，且与模型的最终用途一致（congruent）。所有支持模型的背景信息需被彻底描述，并注明相关优势与弱点。开发者需确信模型合乎逻辑、且建立在技术正确的数学理论之上。此外，与其他替代模型的比较可作为对模型逻辑的「合理性检查（reasonability check）」。

数据与假设：开发过程中，确保数据与假设稳健且与模型相关至关重要。任何数据代理（data proxies）、不具代表性的数据、或对数据（如来自外部数据源）的调整，都必须清晰记录并向使用者说明——以便使用者自行判断数据的有用性。

测试：测试是模型开发的关键组成部分，用以确保模型按计划运作。测试包括：评估模型的精确度、证明模型的强度与一致性、并使用合理范围内的输入量来评估模型。同时，必须记录模型的潜在弱点、或模型不奏效的情形。测试应在正常状态与极端（压力）市场状态下进行，其中包括不寻常但仍可信（unusual but still plausible）的条件。此外，若某模型的输出被用作其他模型的输入，则需要对那些其他模型进行分析。测试过程还应有适当的文档、分析与总结。

12.5 模型验证的三要素

模型验证（model validation）是一系列步骤，用以确保模型达到其意图。这里需要职责分离（segregation of duties）——例如，开发模型的人一般不应是验证模型的人。在过于技术化或专门化的领域可能有些例外，但此时必须有严格且客观的复核。

一个强健验证流程的三个要素是：① 概念健全性评估（evaluation of conceptual soundness）；② 持续监控（ongoing monitoring）；③ 结果分析（outcomes analysis）。

12.5.1 概念健全性评估

这是对模型的整体质量检查，涉及分析支持模型构建的全部文档与实时测试结果。开发过程的文档应在使用模型之前以及整个验证过程中被分析；若模型发生重大变更，相关开发文档也应被复核。

因此，模型开发过程必须在公式化（formulation）、主要假设、计算与输入方面有良好文档。适当的验证流程会彻底检查文档，并在合适时进行补充测试。具体而言：评估所选的重大假设与因子及其对模型输出的影响很重要；模型底层数据需被评估相关性，并在为特定组合资产或经济环境建模时确保其代表性——当数据是外部的、或用于新业务建模时尤其如此。

敏感性分析（sensitivity analysis）应作为验证的一部分：可对单一变量进行（测试输入值的一系列变化，再检查对应输出是否合理）；可扩展至多变量同时变化，以检查变量间此前未知的相互关系；也可采用压力测试形式，取极端值以判断模型是否仍正常运作、或确定模型在哪一点丧失有效性或准确性。若判定模型未正常工作，则必须有计划对模型修正、限制使用、甚至替换。

模型开发的非定量方面也必须被验证，以确保开发中所作的主观评估合理、且有适当的支持与文档。

12.5.2 持续监控：过程验证与基准比较

持续监控旨在判断模型是否需要任何变更、额外开发或替换。模型一经投入使用，监控即开始，并应频繁进行，同时考虑模型的用途与涉及的风险暴露等因素。过程验证（process verification）与基准比较（benchmarking）应成为监控流程的一部分。

过程验证：审查数据输入以确保其无错误且完整。实施模型时，必须验证计算机代码的准确性，并须有内控确保代码只能由经授权人员修改、且所有修改都被记录以备将来审计。过程验证在系统整合（system integration）语境中尤为重要——模型处理从不同数据源取数，最终把处理后的数据转移用于数据存储与报告。此外，机构内部分员工可能自建电子表格或数据库做定量分析，这可能引入模型风险。归根结底，随着数据随时间变化，对应的系统也需相应更新。

监控所用测试与开发时相同，敏感性分析同样适用。监控流程还会复核所有覆盖（overrides）及其支持文档。人的判断很重要，可能有必要覆盖模型的输出。覆盖的存在确实提示模型表现有问题，需要更深入理解为何出现覆盖——尤其是频繁出现时；某些情况下，这意味着模型需要修正或彻底改造。

基准比较：把模型的输入与输出与其他可比数据或模型比较。若模型输出与基准之间存在显著差异，问题在于该差异是否落在可接受范围内。若差异很小，说明模型可靠，但不应视为绝对确认。反之，存在显著差异并不自动意味着模型有缺陷——可能是基准采用了不同方法，因而不是好的比较对象。

12.5.3 结果分析：并行结果分析与回测

验证流程还必须把模型的输出放在实际发生了什么的情境中考察。常常会确定估计值的精确水平，以此评估模型表现。若结果分析判定模型弱，则模型必须修订。

结果分析包括定量与定性方法；作为后者的例子，专家判断被用来评估结果是否合乎逻辑。采用哪种方法应基于模型的性质、复杂度、数据的可得性、以及模型对机构的风险水平。测试必须量身定制，并应包含多项测试——因为单一测试有内在局限，很可能不足。

并行结果分析（parallel outcomes analysis）：考虑到模型常因新信息、或因无效而被修正。此类分析涉及把第一个模型与修正后模型的估计值同实际结果做并列（side-by-side）比较。若修正后的模型没有明显更好，则在完全替换第一个模型之前还需要进一步修正。

回测（backtesting）：考察实际结果与模型估计值之间的差异。所考察的时间区间与开发模型时所用的不同，但与模型的预测期限（forecast horizon）一致。基于模型估计建立置信区间；落在区间之外的结果被视为显著、必须被监控。要点是确定离群值（outliers）是源于模型未包含重要因子、还是源于模型设定（specification）的错误。评估风险价值（VaR）是回测的一个好例子——虽然可能只用一个值（如 5% VaR），但可用其他值（如 1% VaR）补充，以考虑更大损失的可能性。

回测的困难：理解回测结果通常是一项复杂任务——要复核各种经济环境与各个时间区间下的众多预测。虽然使用统计检验，难点在于选择正确的检验以及如何解读结果。长预测期需要回测，其固有缺点是难以取得足够的数据；此时需要在较短期间做额外测试。衡量模型表现的「早期预警（early warning）」信号可更及时地补充回测。

若结果分析显示重大问题或表现不佳，则可能需要修正与/或重建。在重大变更与重建的情形下，实施前必须验证。

12.6 供应商与其他第三方产品

供应商产品（vendor products）被广泛使用，范围从提供数据到完整模型。它们使验证过程更棘手，因为建模活动是外部的、且部分建模可能保密。因此，验证流程需相应调整。

• 供应商需提供其模型构建的细节，以确保模型适合使用者。
• 还需由供应商提供测试结果，以证明模型在其应做的事情上有效。
• 由于使用外部模型可能意味着对编码与实施的访问受限，验证流程很可能更侧重于敏感性分析与基准比较。
• 若供应商模型被修改以适应机构需要，则这些修改应在验证过程中被记录与解释。
• 总体而言，从机构内部控制的角度看，对供应商产品的深入了解是必要的。

12.7 三个模型风险案例

三个案例分别对应三类模型风险：假设无效（高斯 copula）、实施错误（Barclays 表格）、输入计量错误（NASA 火星轨道器）。

案例一：高斯 copula 与 CDO 定价（假设无效）

2000 年代，David X. Li 开发了一个 CDO 定价模型，称为高斯 copula 函数。Li 假设市场是有效的，因此用于该模型的信用违约互换（CDS）价格由市场正确定价。该模型用当期 CDS 价格推断抵押池中资产之间的相关性，即所谓高斯常数（Gaussian constant）（回忆：抵押池中资产间相关性越低，CDO 的风险越低）。模型被主要市场参与者迅速采用并变得根深蒂固——无视其局限。

历史上住房抵押贷款违约的相关性往往较低（房主不会系统性地一起违约）。然而随着 2008 年房价下跌，CDS 价格开始飙升（反映更高的信用风险与更高的相关性）。模型以滞后的方式纳入变化的相关性，导致 CDO 市场崩溃。本质上，该模型鼓励定量分析师及其管理者忽视现实世界充满随机性、不确定性与噪声这一事实。

在此语境下，MRM 的目标应是提高该 CDO 定价模型假设与局限的透明度。鉴于模型使用者缺乏必要的定量背景，有效沟通对最小化模型误用至关重要。

案例二：Barclays 收购雷曼兄弟资产与电子表格错误（实施错误）

近期全球金融危机由雷曼兄弟（Lehman Brothers）倒闭触发——当时美国第四大投资银行。在雷曼清算期间，Barclays 出价收购雷曼的部分资产与交易头寸。

在向破产法院提交报价的截止时间前几小时，Barclays 向其律师（Cleary Gottlieb）发送了一份含 1,000 行的电子表格，标明其想收购与不想收购的头寸。Barclays 不感兴趣的 179 个头寸位于隐藏行中。为符合报价提交指引，一名初级律师助理把该电子表格转换为 PDF——未察觉隐藏行此时已被揭示。错误在几天后才被发现——此时报价已被批准，迫使 Barclays 提交法律动议以排除那些合约。

这是一个实施错误（implementation error）的例子。电子表格不是模型，但未能删除不需要的行给软件使用者带来了巨大的潜在损失。

案例三：NASA 火星轨道器（输入计量错误）

火星轨道器是一个相当无害的错误导致价值 1.25 亿美元卫星损失的例子。在此案中，Lockheed Martin 的工程团队使用英制计量单位（美国常用），而 NASA 的惯例是使用公制。这一模型输入计量的错误，导致了数百万美元卫星的损失。

在此语境下，MRM 本应严格测试所有假设与输入。小错误常导致损失——其中有些损失可能相当巨大。严格的 MRM 尽管有时被视为官僚障碍（bureaucratic obstacle），其重要性怎么强调都不过分。

13. 银行压力测试（Stress Testing Banks）

要点：压力测试的目标（测算支撑业务所需的资本与流动性）与两类压力（情景 vs 敏感性）· 危机后「突击式」测试为何带来真正的新信息 · SCAP（2009）作为首个宏观审慎压力测试的三大分界线（多因子宏观情景 / 全行口径 / 显式盯资本）与前后对比 · 情景设计的一致性（coherence）：不能只设一个因子而假定其他不变，「逃向质量」的避险流向也要建模 · 宏观因子到微观损失的映射（地域差异、资产类别差异、行业周期差异）· 收入建模远落后于损失建模 · 资产负债表建模的难点与 T 年跨度实为 T+1 年 · 披露的收益（透明度）与成本（粉饰、挤出私人信息）· SCAP / CCAR / EBA 三套监管测试的方法与披露对比

13.1 压力测试的定位与演进：从单因子到宏观情景

压力测试（stress testing）是一项很老的工具：它问的问题是「机构对状况恶化的韧性有多大？」，做法是给定各种不利情景、模拟财务结果。它与资本 / 流动性模型、经济资本模型的共同目标，是回答「一家金融机构需要多少资本与流动性才能支撑其业务（即承担风险的活动）」。这一点在危机后尤其关键：银行可以相对容易地把低风险资产换成高风险资产，只有压测才能把「真实风险与稳健程度」讲清楚。

压力有两种基本类型：情景（scenarios）与敏感性（sensitivities）。严重衰退是情景的例子；利率大幅上升是敏感性的例子。风险经理既可以对单一头寸或单笔贷款做压力测试，也可以对整个组合做。

SCAP（2009）：首个宏观审慎压力测试

危机后美国银行体系的稳健程度存在很大不确定性，监管者需要评估机构的资本强度。如果银行「需要的资本」与「已有的资本」之间存在缺口，监管者就必须找到一条可信的路径去「把窟窿填上」。2009 年美国的银行压力测试即 SCAP（Supervisory Capital Assessment Program，监管资本评估计划），正是为此而生，也是 2007–2009 危机后第一个宏观审慎（macro-prudential）压力测试。

这里要先分清两个监管视角：宏观审慎监管关注整个银行体系的稳健（即系统性风险）；微观审慎监管关注单个机构的安全与稳健。

当时联邦政府计划向压测判定为资本不足的银行注入股权资本：财政部打算先借入资金，再通过财政部的资本援助计划（Capital Assistance Program, CAP）「向下传导（downstream）」为银行股权。若银行无法说服投资者自己填上窟窿，现有股东就会因政府入股而被稀释。最终结果是：19 家 SCAP 银行被要求在 6 个月内筹资 750 亿美元；这些资本不足的银行实际筹到了 770 亿美元的一级普通股（Tier 1 common equity），没有一家需要动用 CAP 的资金。

2009 年以前，压力测试相对简单。下表给出 SCAP 前后压测口径的五个变化——这张表是本节最容易被考的地方。

13.2 情景设计的一致性（coherence）

设计有用的压力测试，最大的挑战之一是一致性（coherence）：敏感性与情景必须足够极端，但同时也必须合理、可能发生（即一致）。问题本质上就是多因子的，这让设计一致的情景更困难。例如，波动率上升可能导致信用市场冻结；高失业与股价下跌往往同时出现。因此，只指定一个潜在问题（风险因子）是不够的，因为其他因子不会保持不变——监管者的关键任务是给出所有相关风险因子的联合结果。

还有一条反向的约束：不是所有东西都会同时变坏。如果一些货币在贬值，就必然有另一些货币在升值；如果出现「逃向质量（flight to quality）」，压力模型中就必须存在安全资产（safe haven assets）。所以，即便要考察「美国国债变风险、不再是避险资产」的情形，模型也必须同时识别出资金在这种情况下的去处——即那类「无风险」资产。

当情景设计的对象是按市值计价（marked-to-market）的证券与衍生品组合时，问题更大。这类风险一般用 VaR 系统管理：交易账簿中数十万个头寸要被映射到数千个风险因子上、按日跟踪，所得数据用于估计波动率与相关性参数。在这样一个复杂、多维的体系里，找出彼此一致的结果非常困难。

回头看 SCAP：2009 年的 SCAP 只测试了相当简单的三变量情景——GDP 增长、失业率、房价指数（HPI）。其中市场风险情景直接取自历史经验（即金融危机本身：一段「逃向安全」、雷曼倒闭、风险溢价上升的时期）。虽然市场风险情景并没有测什么新东西，但整个框架实现了当时各类金融与其他压力的一致性。

13.3 从宏观因子到微观损失：地域、资产类别与行业差异

当前压测以宏观情景为基础（失业率、GDP 增长、HPI）。一个核心问题是：如何把压测所用的宏观风险因子翻译成与收入、损失有关的微观（机构层面）结果？监管者需要把宏观因子映射到中间风险因子，再由后者驱动特定产品与特定地域的损失。地域差异在商业与住宅房地产放贷的损失建模中尤其重要。

信用卡损失对失业数据尤其敏感。一个直观的例子：2011 年 7 月，内华达州失业率为 12.9%、北达科他州为 3.3%，而全国失业率为 9.1%——同一时期信用卡损失率在各地区之间差异极大。宏观因子的地域多样性，使「一刀切」的压测制度意义大打折扣。

地域不是唯一差异。风险对不同资产类别的作用方式不同：衰退中人们总体少买车，但如果衰退中确实需要车，他更可能买二手车——于是即使违约率上升，违约损失率（LGD，即损失严重度）也未必同步上升（二手车仍有市场，抵押品处置的回收相对较好）。

商业周期对不同行业的冲击时点也不同。对比衰退中的航空业与医疗业：飞机是航空业贷款的抵押品，若航空业萧条，银行手里就只剩一批极难以低价以外成交的抵押品；医疗业相对抗衰退，但这并不意味着银行能把手里那架飞机变成一家医院。这些因素都提高了「把宏观因子映射为机构层面压测结果」的难度。

13.4 收入、损失与资产负债表：压测跨度的三块建模

收入建模比损失建模落后得多。2009 年的 SCAP 并未就「市场承压时期如何计算收入」给出多少清晰指引。收入建模的主要做法是把银行总收入拆成利息收入与非利息收入：收益率曲线可用于估计利息收入，也能在压测情景中反映信用利差；但「利率变化的净影响究竟如何作用于银行盈利」仍不清楚。非利息收入（含手续费与服务费）的估计更难——而这一点在美国银行非利息收入持续上升的背景下尤其令人担忧。

典型的压测跨度为两年。在这段期间内，必须同时建模利润表与资产负债表，才能判断压力后的资本是否充足。资本一般以资本 / 资产的比率衡量：资本有不同类型（如一级与二级），但为简便起见可把资本定义为普通股权益；风险加权资产（RWA）按 Basel II 的风险权重定义计算——例如机构证券（agency securities）的风险权重低于信用卡贷款。

13.5 披露：SCAP、CCAR 与 EBA 的对比

披露是 2009 年 SCAP 的一个显著特征。它公布了 19 家参与银行按资产类别的预计损失（源文口径为 8 个资产类别），也公布了银行除资本之外用于吸收损失的其他资源（如拨备前净收入 PPNR、可动用的准备金释放）。这种高披露创造了透明度，让投资者与市场能够检验压测的严厉程度，并在单家银行层面理解压测结果。而在 SCAP 之前，银行只报告已实现损失，不报告预测损失（即给定情景下的可能损失）。

2011 年 CCAR 只要求公布宏观情景结果，不公布银行层面结果——这与 2009 年 SCAP 的要求差别极大：市场必须自己去算一家银行到底有没有通过测试。例如，若某银行提高了股利，市场就假定它「通过了」压测。2012 年 CCAR 则披露了与 2009 年 SCAP 几乎同等数量与细节的银行层面压测数据（银行层面损失率、按主要资产类别的损失）。

这里的「监管资产类别」为：① 第一与第二留置权按揭贷款；② 工商业（C&I）贷款；③ 商业房地产贷款；④ 信用卡放贷；⑤ 其他消费贷款；⑥ 其他贷款。口径注：源文对 SCAP 的披露口径记为 8 个资产类别，而上列「监管资产类别」清单为 6 类——两者是不同口径，勿混为一谈。

CCAR 的另一项关键贡献是：2011 与 2012 年 CCAR 都要求银行提交自有情景（基准与压力）的结果，而不只是监管压测结果。美联储还公布了美元口径的拨备前净收入（PPNR）、可供出售与持有至到期证券的损益，以及交易组合最大的 6 家机构的交易与交易对手损失——这些机构被要求做交易账簿压测。要注意：公布的这些数字是监管估计值，不是银行自己估计的损失。

相比之下，2011 年 EBA 爱尔兰与2011 年 EBA 全欧压测（均晚于 CCAR 披露）都包含相当多的细节。爱尔兰那份报告包含银行与第三方预计损失的对比；EBA 的数据以电子可下载形式提供。爱尔兰之所以需要这么做，是因为它曾在 2010 年 7 月通过了欧洲银行监管委员会（CEBS）的压测，却在四个月后就需要大量援助——这普遍损害了市场对欧洲监管者的信任，唯有按银行、按资产类别、按国家、按期限桶逐项披露，市场才能自行解读并得出关于单家银行风险的结论。

14. RAROC 与风险资本归因（Risk Capital Attribution & Risk-Adjusted Performance Measurement）

要点：风险资本＝吸收非预期损失的资金缓冲；经济资本 = 风险资本 + 战略风险资本；监管资本与风险资本的三点差异（仅限受监管行业 / 用行业统一基准、通常远低于风险资本 / 全公司相同时分部可能不同，取二者较大者分配）· 金融机构用经济资本的四大动机 · RAROC 基本式与资本预算详细式（预期收入 − 成本 − 预期损失 − 税 + 经济资本回报 ± 转移）· RAROC 相对 ROE/ROA 的两处调整（分子扣预期损失、分母换成经济资本）· 三大挑战（时间跨度与 √时间法则 / PIT vs TTC / 置信水平对应目标评级）· 门槛率 h_AT 与 调整 RAROC = RAROC − β_E(R_M − R_F) · 分散化：独立资本 / 完全分散化资本（按比例分摊）/ 边际资本 · 最佳实践六项与「数量 × 质量」四象限

14.1 三种资本：风险资本、经济资本与监管资本

风险资本（risk capital）为风险（即非预期损失）提供保护。换言之，它可被定义为一道（财务）缓冲，把机构与所承担风险的经济影响隔开：一旦灾难性事件发生，其影响可能威胁机构的财务稳定与持续经营能力，而风险资本向利益相关者提供「其投入的资金是安全的」这一保证。在多数情形下，风险资本与经济资本被当作同义词使用——不过经济资本还有一个替代定义：

其中风险资本是吸收非预期损失的缓冲：它是机构为覆盖最坏情形损失（在通常 95% 或更高的特定置信水平上、高于预期损失的那部分）而必须备下的资金量，因此与年度 VaR 非常相似。战略风险资本则关乎特定投资成功与盈利的不确定性——投资失败会带来财务损失与声誉负面影响，它包括商誉（goodwill）与烧掉的资本（burned-out capital）。

最后，机构也可能对未使用的风险限额（如授信额度中的未提取部分）分配风险资本，因为风险容量随时可能被用掉；一旦被用掉，机构就必须相应调整风险资本金额。

风险资本与监管资本的三点差异

14.2 为什么用经济资本：金融机构的四大动机

从金融机构的角度，使用经济资本的动机有四项：

14.3 RAROC：两套公式与资本预算

风险调整资本回报率（RAROC, risk-adjusted return on capital）方法给使用者提供的是机构及其业务单元的风险调整后绩效信息，而不只是「原始」绩效数字。在衡量经济绩效时，它涉及把风险资本分配到机构的业务单元与具体交易上。RAROC 的基本式是风险调整后回报 ÷ 风险调整后资本：

这里存在每单位资本的风险与回报之间的权衡：分子充当回报，分母充当风险。例如，某业务单元的 RAROC 必须高于其股权成本，才能为股东创造价值。用于资本预算决策的更详细公式为：

14.4 用 RAROC 做绩效衡量的三大挑战

挑战一：时间跨度

计算 RAROC 时，通常聚焦单一期间（一年）——既便于对接业务规划周期，也大致代表机构从重大非预期损失中恢复所需的时间。同时，对期限较长的交易与贷款，可以采用多期 RAROC 以获得更准确的度量。随之而来的问题是：若某笔交易的风险在后续期间剧烈变化，该分配多少经济资本？例如采用平均法就会造成某些期间过度资本化、另一些期间资本不足。

风险资本可视为机构在特定置信水平（如 95% 或 99%）下的一年期 VaR。对信用风险与操作风险，从一年期 VaR 出发计算风险资本无需调整；对市场风险，短时间跨度（如 1 天用于风险监控、10 天用于监管资本）则需要调整才能得到正确的一年期风险资本分配。

一种基本做法是「时间的平方根法则」：一年期 VaR 由一日 VaR 乘以一年 252 个营业日的平方根估计。这一做法还需细化——因为即便在最坏情形下，机构也许只能把风险降到核心风险水平（core risk level），以在当年剩余时间维持其财务可行地位；并且还必须考虑把当前风险水平降到核心风险水平所需的时间（time to reduce，降险时间），它对应机构持仓在困难市况下的相对流动性。结果可能是：要合理清仓需要相当长的时间。

挑战二：违约概率（PIT 与 TTC）

时点（point-in-time, PIT）违约概率可用于计算短期预期损失，以及为带信用风险敞口的金融工具定价；跨周期（through-the-cycle, TTC）违约概率更常用于经济资本、盈利与战略决策相关的计算。

挑战三：置信水平

计算经济资本时，所选置信水平必须与机构期望的信用评级相匹配。例如 AA 或 AAA 这样的高评级，要求置信水平超过 99.95%。选择更低的置信水平会减少所需 / 所分配的风险资本，并影响风险调整后绩效指标；如果机构主要暴露于操作、信用与结算风险（这类大额损失很少发生），这种减少可能非常显著。

14.5 门槛率与调整 RAROC

与内部收益率（IRR）分析类似，做业务决策时是把门槛率（hurdle rate，即税后加权平均股权资本成本）与 RAROC 相比。一般而言，门槛率大约每年修订一次或两次，或在其变动超过 10% 时修订。

RAROC 应当被调整，以考虑系统风险与一致的门槛率：

因此修订后的业务决策规则变为：调整 RAROC > R_F 则接受项目；调整 RAROC < R_F 则拒绝项目。注意参照物从门槛率换成了无风险利率 R_F——因为系统风险已在调整式中扣除。

14.6 分散化收益与资本分摊：三种口径

机构的整体风险资本应当小于各业务单元单独风险资本之和——因为业务单元之间的回报相关性很可能低于 +1。这种由风险类型与业务活动上的分散化效应带来的风险削减，在实务中极难计量。与其对机构整体使用一个极高的置信水平，各业务单元可以采用较低的置信水平，以避免汇总后的风险资本过高。

道理很直观：盈利或现金流与公司整体高度相关的业务单元，应比负相关（在波动性相近的前提下）的业务单元分配更多风险资本。拥有逆周期特性的业务线，能让机构整体盈利更稳定，并以更少的风险资本达到既定的目标信用评级。实务中最简便的分摊方法是按独立风险资本金额的比例（pro rata）分摊。

14.7 RAROC 最佳实践与四象限

影响经济资本的指标更新频率也有口径：信用风险指标包括违约概率、信用迁移频率、违约损失率、给定违约下的授信额度使用率；市场风险指标聚焦波动率与相关性，至少每月更新；操作风险指标不像信用与市场风险那样明确，因此包含大量主观性与争论；其他关键指标如核心风险水平与降险时间，应每年更新。

15. 经济资本框架与资本规划（Economic Capital Frameworks & Capital Planning）

要点：经济资本＝吸收非预期损失的资本，实施面临六大挑战（定义与计算风险测度 / 风险聚合 / 模型验证 / 信用风险依赖建模 / 评估交易对手信用风险 / 评估银行账簿利率风险）· 一致风险测度四性质（单调性 / 次可加性 / 正齐次性 / 平移不变性）与标准差 / VaR / ES / 谱测度各自缺陷 · 风险聚合的三个可比性要素（风险度量 / 置信水平 / 时间跨度）与五种聚合方法 · 模型验证的六定性 + 六定量过程 · BIS 对监管者的十条建议 · 经济资本在信用组合管理 / 风险定价 / 客户盈利分析 / 管理激励四域的约束与机会 · 治理最佳实践四项与六大关切 · 美联储 Capital Plan Rule（覆盖合并总资产 ≥ 500 亿美元的本土银行控股公司）与资本充足流程（CAP）七大原则 · CAP 的七大关键实践 · PPNR（拨备前净收入）预测方法论与九季度预测期

15.1 经济资本实施的六大挑战（总览）