银行操作风险管理（ BORM）P 解决方案银行操作风险管理(BORM）解决方案第 10 页，共 42 页目 录第一章 概述11.1 背景简述11.2 操作风险概要11.2.1 定义界定 -11.2.2 特点及分类21.2.3 问题及现状31.3 方案意义51.4 预期目标61.5 参考依据7第二章 总体规划82.1 建设原则82.1.1 操作风险管理指导原则-82.1.2 建设设计原则92.2 建设内容92.3 建设意义10第三章 总体方案123.1 总体架构123.2 业务框架123.2.1 风险控管策略123.2.2 总体业务框架133.2.3 风险管理标准、政策及规范133.2.3.1 标准规范制定原则143.2.3.2 标准规范建设内容143.2.4 风险管控组织体系15邵磊I3.2.5 风险管控流程173.2.6 风险信息库模型 -183.2.7 风险管理平台访问结构-193.3 功能体系203.3.1 风险管控 -203.3.1.1 风险识别203.3.1.1.1 风险定义分类203.3.1.1.2 风险调查213.3.1.1.3 风险映射213.3.1.1.4 风险定级213.3.1.2 风险评估223.3.1.2.1 关键风险点223.3.1.2.2 风险评估模型223.3.1.2.3 评估情景模拟233.3.1.2.4 风险全景地图233.3.1.3 风险损失数据233.3.1.3.1 损失数据采集233.3.1.3.2 损失数据审查233.3.1.3.3 损失数据分配233.3.1.4 风险预警243.3.1.4.1 关键风险指标243.3.1.4.2 风险趋势模拟243.3.1.4.3 风险计划映射243.3.1.5 资本计量243.3.1.5.1 资本计量模型243.3.1.5.2 风险资本分配253.3.1.6 风险缓释253.3.1.6.1 风险缓释模型25II3.3.1.6.2风险执行计划263.3.1.7 风险监管263.3.1.7.1风险流程监管263.3.1.7.2风险趋势监管263.3.1.7.3计划执行监控263.3.1.7.4损失事件析查263.3.1.7.5风险跟踪日志-273.3.1.7.6风险报告273.3.1.8 风险数据分析-273.3.1.8.1风险分布分析-273.3.1.8.2损失分布分析-273.3.1.8.3风险趋势分析-273.3.1.8.4风管状况分析283.3.1.9 风险应急处理283.3.1.9.1应急事件处理283.3.1.9.2风险应急预案283.3.1.9.3应急模型模拟283.3.1.9.4应急数据分析283.3.2 风险文化-283.3.2.1风险约束293.3.2.2在线学培293.3.2.3风险信息索引293.3.2.4风险举报293.3.3 辅助工具 -293.3.3.1内部邮件303.3.3.2短信平台303.3.3.3即时通讯303.3.3.4个人知识库30III3.3.4 系统管理 -303.3.4.1 组织机构管理313.3.4.2 用户管理313.3.4.3 权限管理313.3.4.4 数据字典313.3.4.5 配置管理313.3.4.6 流程管理313.3.4.7 日志管理32第四章 技术路线规划334.1 总体思路334.1.1 以金融基本支撑平台为基础334.1.2 标准开放的技术体系334.1.3 采用先进成熟的技术和产品334.1.4 平台化、模块化、组件化334.1.5 安全保密 -334.1.6 分层设计 -334.1.7 企业服务总线（ ESB）344.1.8 企业应用集成（ EAI）344.2 技术路线344.2.1 采用开放标准的技术路线344.2.2 采用面向服务构架（SOA）的技术路线344.2.3 采用全程建模的技术路线344.2.4 采用基于大颗粒构件复用和基于平台的技术路线344.2.5 采用 Web Service 技术实现系统跨平台354.3 设计约束354.3.1 架构约束 -354.3.2 构件约束 -35IV4.3.3 接口约束 -35第五章 系统平台建设路线规划36V第一章 概述1.1 背景简述随着金融服务的全球化以及近年来信息技术在金融业的应用和发展，随着银行规模不断扩大、交易金额迅速放大、经营复杂程度不断加剧，银行业所面临的风险变得更加复 杂。由操作风险管理不足引发的风险损失事件层出不穷，对金融机构的操作风险管理提出了严峻的挑战。巴塞尔银行监管委员会于2004 年 6 月发布了巴塞尔新资本协议，将操作风险正式纳入风险管理框架之内，并对国际银行业操作风险的度量和管理提出了更深层次的要求。目前，实施新资本协议的国家都按照新协议要求，明确将操作风险纳入资本监管范 畴，国际上已形成了对操作风险加强监管的共识，已经形成了相关制度和监管标准。为推进巴塞尔新资本协议在中国的实施，推动商业银行增强风险管理能力，提升资本监管有效性，中国银监会印发了中国银行业实施新资本协议指导意见，要求商业银行应实施巴塞尔新资本协议。并在近年来出台了一系列关于操作风险管理的监管规章和指引，2007 年出台商业银行操作风险管理指引，为我国境内商业银行建立操作风险管理体系提出了应对策略和方向。1.2 操作风险概要1.2.1 定义界定操作风险已经成为国际银行界关注的焦点，同市场风险和信用风险并列为三大风险， 但对于其定义的界定却一直未能达成一致。目前，在国际上最具有代表性的有三种对于操作风险的定义，它们分别来自巴塞尔委员会，全球风险专业人员协会（Global Association ofRisk Professional ， GARP ）以及英国银行家协会（British Banker Association ， BBA ）。根据 2004 年公布的巴塞尔新资本协议，操作风险定义为由于不完善或失灵的内部程序、人员和系统或外部事件导致损失的风险，包括法律风险，但不包括战略和声誉风险。在此定义之下，操作风险损失事件被分成了七类：内部欺诈、外部欺诈、雇员活动和工作场所安全性、客户产品及业务操作、实物资产损坏、业务中断和系统问题、以及执行、交易及流程管理。来自全球风险专业人员协会（GARP ）的定义则将操作风险分为了操作失败风险和操作战略风险。操作失败风险是指在操作业务过程中发生失败而导致损失的可能性，操作战略风险则指的是由于环境的变化而导致业务或者流程失败的可能性。在两大类的下面， GARP 又将操作风险细分为16 类具体风险。英国银行家协会（BBA ）则从操作风险产生的来源将操作风险定义为“由于内部程序、人员、系统的不完善或失误，或外部事1件造成直接和间接损失的风险”，并且从因素、行为和具体事件三个层次给出了操作风险损失事件的分类。1.2.2 特点及分类与信用风险和市场风险相比，操作风险主要有以下几个特点： 内生性除自然灾害等外部事件引起的操作风险损失外，操作风险大多是在银行可控范围内的内生风险。广泛性操作风险的覆盖的范围相当广泛，与市场风险主要存在于交易类业务和信用风险主要存在于授信业务不同，操作风险普遍存在于商业银行的业务和管理中。风险收益无关性对于信用风险和市场风险来说，风险越高，收益越高，存在风险与收益的对应关系，而操作风险和收益没有太多联系。虽然对于操作风险的定义界定存在着几种不同的认识，但总的来说，具有一个共识， 即操作风险的来源可以划分为四类因素：人员、流程、系统以及外部事件。因此，据此操作风险主要表现为以下需加以识别和管理的四种类型。（一）、人员因素主要为内部欺诈、主观违规、操作失误。主观违规有超授权授信行为、逆程序、过度信任造成管理缺位、岗位设置不合理造成监督空位、不良爱好（如涉毒、涉赌、涉黄） 引发的违法违规。操作失误是由于员工技能水平不高、态度不认真在业务过程中的失误造成的，如数字输入错误、将取款记作存款等。由银行员工操作失误引起的操作风险一般具有损失小 (当然不排除特殊情况)、发生频率高、难以事先预测的特征，因而非常难以防范。人员因素引发的操作风险，有的是作为，如主观违规，有的是不作为，如业务不熟出错， 疏忽大意。（二）、流程因素包括操作程序遗漏或忽略、产品设计缺陷、业务流程设计不合理等。过去认为流程越复杂、相互制约性越强越好。事实上，流程越简单越易于操作，流程越短越便于管理，设计越合理越利于控制。这样才能适应变化，确保效率和风险管理，流程设计不合理，有瑕疵，往往容易出现风险隐患。（三）、系统因素信息系统是现代商业银行赖以生存的命脉。无论是业务发展如网上银行、现金管理还是风险监控，都离不开信息系统紧密支持。但商业银行高度依赖信息系统，信息数据高度2集中也给银行带来新的风险管理难题，如系统安全稳定、IT技术风险防范、数据和信息质量，系统设计和开发战略风险等等。系统出现如故障、瘫痪，系统不安全、通讯中断以及系统兼容性、稳定性、适宜性方面的操作风险很容易给银行带来巨大的经济损失和无法估量的信誉损失。此外，从操作风险发生的门径来看，当