全面风险管理的监管指引与银行实践

罗平  国家金融与发展实验室研究员、社科院和对外经贸大学兼职教授

 

一、监管指引的概念

《银行业金融机构全面风险管理指引》由银监会于 2016年9月印发，是以主席令形式发布的，用以规范被监管金融机构及其业务活动的，具有普遍约束力的规范性文件。按其内容不同监管制度分别称“规定”“办法”等。其中，规范性文件主要指法律效力在规章以下，以银监发、银监通、银监办发、银监办通等形式发布，以规范被监管金融机构及其业务活动为主要内容，且具有普遍约束力的文件。

《指引》共 8章54条，包括总则，风险治理架构，风险管理策略、风险偏好和风险限额，风险管理政策和程序，管理信息系统和数据质量，内部控制和审计，监督管理及附则。按指引要求，商业银行董事会承担全面风险管理的最终责任，并监督高级管理层开展全面风险管理；审议全面风险管理报告； 并至少按年度报送银行业监督管理机构，报送全面风险管理报告。

二、指引中的关键规定—明确风险类别

（一）指引规定

首先，指引的第一章第三条指出 “银行业金融机构应当建立全面风险管理体系，采取定性和定量相结合的方法，识别、计量、评估、监测、报告、控制或缓释所承担的各类风险。各类风险包括信用风险、市场风险、流动性风险、操作风险、国别风险、银行账户利率风险、声誉风险、战略风险、信息科技风险以及其他风险”。同时，要求“银行业金融机构的全面风险管理体系应当考虑风险之间的关联性，审慎评估各类风险之间的相互影响，防范跨境、跨业风险”。

指引逐一列出商业银行直接面对的 9个类风险类别，也是银行的主要风险，其中银行账户/账簿利率单独作为一类风险。国别风险可以看成信用风险的一类，尤其是对于一些尚未跨出国门的小银行来说。其他风险可包括，比如大型银行普遍重视交易对手信用风险、行为风险、洗钱及恐怖融资风险、网络风险和模型风险等。07-08年金融危机还凸显了其他一些风险，如: directional risk, wrongway risk, pipeline/warehouse risk, contingent risk 和step-in risk。（中文尚没有准确译文），这些风险都是发达国家经常面对但是未能引起重视的风险。

（二）商业银行实践

目前，我国一些大型商业银行在年报中披露的风险类别整理如下，与指引还是有一定差异。例如，银行账簿利率风险只有中行单独列示，农行将其归为市场风险一种；绝大部分大型商业银行都将信息科技风险放入操作风险，但指引中将其单独列示也看出目前我国对该类风险的重视程度。比较特殊的是，只有平安银行披露的风险中包含了战略风险。最后，指引中没有将合规风险划归为单独的一类风险，少数银行年报中有单独披露。

图表1 大型银行年报中披露的风险类别

风险类别	工行	农行	中行	光大银行	江苏银行	平安银行	招行
信用风险	√	√	√	√	√	√	√
市场风险	√	√	√	√	√	√	√
流动性风险	√	√	√	√	√	√	√
操作风险	√	√	√	√	√	√	√
银行账簿利率风险		见市场风险	√
合规风险		法律风险		√		法律风险	√
信息科技风险					√	√
声誉风险	√	√	√	√	√	√	√
国别风险	√	√	信用风险	√			√
战略风险						√

三、指引中的关键规定——全面风险管理体系

（一）指引规定

该条指引间接定义全面风险管理。指引中指出，银行业金融机构全面风险管理体系应当包括但不限于以下要素： 1）风险治理架构；2）风险管理策略、风险偏好和风险限额；3）风险管理政策和程序；4）管理信息系统和数据质量控制机制；5）内部控制和审计体系。

关于治理架构，《指引》强调董事会承担全面风险管理的最终责任，监事会承担全面风险管理的监督责任，应当设立或指定部门负责全面风险管理，牵头履行全面风险的日常管理。银行各业务经营条线承担风险管理的直接责任。进而，关于风险偏好，要求应当制定书面的风险偏好，做到定性指标和定量指标并重，并提出了风险偏好应包括的七项具体内容。关于风险限额，银行应当制定风险限额管理的政策和程序，建立风险限额设定、限额调整、超限额报告和处理制度等等。

（二）商业银行实践

关于全面风险管理的定义， COSO作为全国反虚假财务报告委员会下属的发起人委员，于2017年对全面风险管理或企业风险管理（ERM）给出了定义，即为创造、保持和实现价值，企业开展风险管理所依赖的而且与战备制定和实施结合在一起的文化、能力和实践。

由于指引没有直接定义全面风险管理，银行一般都是根据自己的理解定义全面风险管理，不尽相同。以大型银行 A为例，其对全面风险管理的定义是指按照全面覆盖、全程管理、全员参与原则，将风险偏好、政策制度、组织体系、工具模型、数据系统和风险文化等要素有机结合，以及时识别、计量、监测、控制业务经营中显现或隐含的各类风险，确保全行风险管理从决策、执行到监督层面有效运转。

以大型银行 B为例，全面风险管理是指本行董事会、高级管理层和全行员工们各自履行相应职责，有效控制涵盖全行各个业务层次的全部风险，进而为各项目标的实现提供合理保证的过程。本行在风险管理中心遵循的原则包括收益与风险匹配、内部制衡与效率兼顾、风险分散、定量与定性结合、动态适应性调整和循序渐进等原则。

四、指引中的关键规定——风险管理策略、风险偏好和风险限额

（一）指引规定

银行业金融机构制定的风险偏好，应当包括但不限于以下内容： 1）战略目标和经营计划的制定依据，风险偏好与战略目标、经营计划的关联性；2）为实现战略目标和经营计划愿意承担的风险总量；3）愿意承担的各类风险的最大水平；4）风险偏好的定量指标，包括利润、风险、资本、流动性以及其他相关指标的目标值或目标区间；5）对不能定量的风险偏好的定性描述，包括承担此类风险的原因、采取的管理措施；6）资本、流动性抵御总体风险和各类风险的水平；7）可能导致偏离风险偏好目标的情形和处置方法。

上述定义特别是对风险偏好的定义与巴塞尔委员会采用的定义基本一致，即风险偏好是指一家企业，根据其业务目标和对利益相关方承担的责任，针对其风险暴露和业务活动，有能力并愿意承担的各类风险总量和各类风险的最大水平。（ 2010年高级监管人员有关风险偏好框架和IT基础进展情况报告）

（二）商业银行实践

我国大型银行与中小银行风险偏好陈述书的复杂程度差异较大。对于大型银行，整个银行层面风险偏好陈述书应该包含以下部分：

1）高阶次的定性目标，表现为定性的风险偏好指导原则，包括风险偏好陈述书的范围与远景目标与核心价值的关系，战略经营目标、资本充足率、流动性、期待的风险状况、声誉和承受能力等目标及战略和核心业务方面的主要风险。

2）全行层面统一的量化指标，用于业务条线和风险类别加总的风险和回报的量化指标，包括风险集中度、经营收入、资本和流动性及回报率/风险指标等。

3）各类风险的定性指引和量化指标，是风险类别或业务条线具体量化指标。

4）每一个量化指标可以包括如正常及压力情况下的多个层面。

相比之下，许多中小银行则更多是以监管指标作为风险偏好指标，而且选择了不现监管评级对应的目标值。

图表2 中小银行风险偏好指标表实例

五、结论

作为风险管理的统领性框架，全面风险管理指引内容丰富，不仅涉及如风险偏好和压力测试等核心风险管理内容，还包括如风险治理、风险文化、模型风险和风险数据加总等近期国际监管改革最新成果。

提高风险管理水平 /全面风险管理水平永远是一个过程，需要循序渐进。可先从制定风险偏好陈述书入手、将限额作为风险偏好的传导工具，把建立经济资本体系作为远期工作目标。

银行作为经营风险的企业，提升风险管理水平本身就是创造价值。重要的是有选择地承担风险，并将其控制在事前确定的风险偏好范围内，实现风险调整后收益的最大化。

 

来源：本文为罗平先生在第十六届中国金融风险经理年度总论坛，专题研讨会 NO.19“风险治理、文化、战略与全面风险管理”的发言实录全文，供读者参阅。