操作风险

定义

操作风险指由不完善或有问题的内部程序、人员、信息科技系统，以及外部事件所导致损失的可能性^[2]。按照《商业银行资本管理办法》和《银行保险机构操作风险管理办法》的界定，这一概念包括法律风险，但不包括战略风险和声誉风险^[1]。部分文献也将其称为营运风险^[4]。

它与信用风险、市场风险构成国际银行业公认的三大风险，与之并列用于银行风险资本计量和监管框架^[5]。与后两者相比，操作风险的内涵与外延仍在演化，学界曾长期把市场风险、信用风险之外的剩余风险统统看作操作风险，这种广义口径虽然覆盖全面，却不利于计量与管理的落地^[3]。

原理

在成因划分上，巴塞尔银行监管委员会以程序、人员、操作系统和外部事件 4 项基本成因来界定操作风险，并在每项之下细分若干具体情形，如程序方面包括指引与程序不足、数据录入失误、对账不到位、保安控制不足和应变计划欠缺，人员方面包括越权、内部犯罪行为、职责分离不足与员工疏忽，外部因素方面包括犯罪、供应商表现欠佳和自然灾害^[6]。这一框架的作用是把操作风险同其他风险区分开来，并为企业内部的事件分类与损失数据积累提供统一口径^[6]。

在损失事件分类上，国际实践通常将其分为内部欺诈、外部欺诈、就业制度与工作场所安全、客户产品与业务活动、实物资产损坏、业务中断与系统失灵、执行交割及流程管理 7 大类，并把银行业务划分为公司金融、交易与销售、零售银行、商业银行、支付与清算、代理服务、资产管理、零售经纪 8 个部门，两者交叉形成矩阵，用于按部门估算发生概率并计提资本^[2]。

管理流程一般包括风险识别、评估、控制与缓释、监测、计量和报告等环节，缓释手段包括外包、保险、业务连续性计划和资本配置等^[7]。治理层面常设三道防线：业务部门承担直接责任，内控合规与各类专业部门负责统筹和分类控制，内部审计负责评价体系运作情况^[7]。

在资本计量上，巴塞尔协议Ⅱ 提供过基本指标法、标准法和高级计量法 3 种由简到繁的方法，其复杂程度与风险敏感度依次提高^[8]。按中国 2012 年发布的资本管理办法，基本指标法以过去 3 年正总收入的 15% 计算资本要求，标准法按 9 个业务条线分别乘以 12%、15% 或 18% 的系数后加总，高级计量法则允许银行基于内部损失数据、外部损失数据、情景分析和内部控制因素自建模型^[9]。

发展历程

操作风险概念提出已久，但把它与信用风险、市场风险并列为金融机构三大主要风险，是较晚才形成的共识^[10]。1998 年 9 月，巴塞尔银行监管委员会发布《操作风险管理》咨询文件，强调控制操作风险的重要性；1999 年 6 月，操作风险被正式纳入资本充足率计算框架的讨论之中^[8]。

2001 年 1 月和 9 月，委员会在关于操作风险衡量的咨询文件与最终文件中提出基本指标法、标准法和高级计量法 3 种资本计算方法^[8]。2004 年发布的《巴塞尔新资本协议》将操作风险定义与资本要求正式写入文本，使其与信用风险、市场风险共同构成银行风险资本计量与监管框架^[11]。这是操作风险首次在监管资本规则中获得独立地位，也推动了损失数据库和计量模型的建设^[3]。

2016 年 3 月，巴塞尔委员会提出以标准化计量方法取代原有 3 种方法；2017 年 12 月完成的巴塞尔协议Ⅲ最终修订将该方法确定下来，规定银行不再使用内部模型计量操作风险资本^[12][5]。新方法生效时间原定为 2023 年 1 月 1 日，此后各法域陆续落地，中国内地自 2024 年 1 月 1 日起实施，欧盟为 2025 年 1 月 1 日^[13][5]。截至 2025 年 9 月底，修订后的操作风险标准已在约 80% 的成员法域生效^[13]。

中国方面，2012 年发布的《商业银行资本管理办法（试行）》要求商业银行以基本指标法、标准法或高级计量法计量操作风险资本要求，并规定操作风险加权资产为资本要求的 12.5 倍^[9]。2023 年 11 月发布、2024 年 1 月 1 日起施行的《商业银行资本管理办法》改为由新标准法和基本指标法构成的方法体系，并按资产规模等将商业银行分为 3 档适用不同要求^[14]。同年，国家金融监督管理总局发布《银行保险机构操作风险管理办法》，把操作风险的适用范围从商业银行扩展到银行保险机构^[15]。

应用

监管资本计量是最核心的应用。新标准法以业务指标反映银行整体规模与收入水平，再以内部损失乘数依据历史损失金额调整资本要求：损失高于行业平均时乘数大于 1，资本要求上升，低于平均时乘数小于 1，资本要求下降；缺乏历史内部损失数据的银行默认取 1^[5]。各法域对乘数的处理并不一致，例如欧盟辖区银行统一取 1，香港则允许本地银行按自身损失记录计算^[5]。

在日常管理中，金融机构建立操作风险偏好传导机制，对总行、附属机构、分行和业务条线设定操作风险损失率、事件数量、信息系统服务可用率等指标或目标值，并持续监测、预警和纠偏^[16]。监管监测指标包括案件风险率与操作风险损失率，后者按损失事件的损失金额总和除以近 3 年平均营业收入计算^[16]。

应用范围并不限于银行业。在衍生品交易中，操作风险被视为主要风险之一，管理重点是明确交易权限与额度、交易完成后向结算部门报告并由其独立核对、尽量使用标准合约以及安排备用交易数据和系统^[4]。对保险机构，监管规则要求具备在重大风险和外部事件下持续提供关键业务和服务的运营韧性，例如在大规模网络攻击、传染病或自然灾害期间仍能办理存取款、转账和理赔^[16]。

局限

操作风险与市场风险、信用风险的性质不同。承担较高的市场风险或信用风险通常伴随获取收益的可能，而操作风险属于纯粹风险，承担它并不能带来收益，因此管理的着力点在于比较损失与管理成本^[3]。其损失分布还呈现明显的肥尾特征：高频事件损失相对较小，低频事件却可能造成灾难性后果，这使得基于历史平均数据的估算难以覆盖极端情形^[3]。

计量方法也各有短板。原来的高级计量法过于复杂，机构之间缺乏可比性，存在通过内部模型刻意压低资本要求的空间；旧标准法只依赖规模因子，可能出现业务收入下降、风险上升而资本要求反而降低的结果^[17]。新标准法虽然改善了可比性与风险敏感性，但落地依赖业务指标与会计科目的映射，并受制于损失数据的完整性和规范性^[18]。

数据基础是另一重约束。多数银行的历史损失数据库在观测期间、事件描述、损失金额归集和挽回金额更新等方面存在不足，部分对外赔偿与欺诈类事件未能体现在数据中，直接影响按内部损失计算的乘数^[18]。此外，操作风险往往与其他风险相互交织、通过其他风险表现出来，单独观察难以完整刻画其暴露^[3]。

参见

• 信用风险 —— 三大风险之一，指交易对手未能履约造成损失的风险，与操作风险并列于资本计量框架。

• 市场风险 —— 因市场价格变动导致损失的风险，与操作风险、信用风险共同构成银行风险资本计量的三大对象。

• 巴塞尔协议Ⅲ —— 2017 年完成的国际银行资本监管改革，确立了操作风险的新标准法。

• 商业银行资本管理办法 —— 中国落实巴塞尔框架的监管规章，规定了操作风险的界定与资本计量方法。

• 操作风险损失率 —— 衡量操作风险损失事件金额与营业收入之比的监测指标。

• 内部控制 —— 通过职责分离、授权审批等手段降低操作风险的内部管理机制。