CRO在保障集团统一风险偏好中的作用——国际大型银行实践与观察

牛佳耕 法国巴黎银行亚太区首席风险官

 

一、金融集团风险管理概述

牛佳耕：在我工作过程中，实际上可以说每个银行都不一样，而且每个银行的不同时期的管理方式也不一样，因为要随着监管环境、金融市场和政府环境的变化而变化。从巴塞尔协议Ⅰ、Ⅱ、Ⅲ过来，银行业的工作环境、业务环境和盈利环境都发生了非常大的变化，也在这个过程中看到了很多失败的经验教训。所以在整个几十年的工作过程中，我感觉体会还蛮多的。

归根到底，首席风险官或者说是风险管理从业者如何才能够做好风险管理？这其实是一件挺难的事情。不是放在纸上，有了框架，我们照着做就行。这不是有了流程我们就可以做好的事情，有很多地方对于我们从事风险管理方面的个人来说都存在着挑战。结合今天的主题，从框架的角度概括来讲，近年来国际性的大银行的风险管理基本都是一个垂直条线的管理结构。覆盖各个业务条线，覆盖不同的主要区域，以业务条线和区域条线这两个不同的方向形成直接垂直的风险管理团队的框架。

而不同银行的风险管理理念不同，那么如何通过董事会层面的一些风险管理的理念以及风险偏好的制定来做，实际上我观察到可以有完全不同的方式、方法。所以，很难说一个方法这样的就可以，那样的就不行，实际上只要适合就可以。

 

二、CRO的产生与职责

陈忠阳：谢谢牛总，那么现在进入到专题讨论的模块。CRO作为chief risk officer这个概念进入到我们的视野，其实没有很长的时间。我估计到现在为止，即使是银行中，也不是所有的部门、条线人员都熟悉CRO（首席风险官）。虽然近年来越来越多的人开始逐渐了解，但在20年前，也就是我们在2001年左右开展论坛交流的时候，甚至我自己都不知道CRO是什么，也不是很了解其具体职责。后来，我们在2004年的时候举办首届中国金融风险经理论坛，办得很成功，有一家杂志为我们写了一篇会议综述，然后进行了报道。但在最终报道出来的文稿中，把“中国金融风险经理论坛”改成了“中国金融风险管理论坛”。这就说明包括杂志社在内，对于风险经理岗位、条线的职责并不了解、很陌生。这20年走来，我们国家越来越多的金融机构，在监管的要求之下，都设置了首席风险官及其风险经理的条线。目前已经基本成为了标配，并且在金融机构的风险防范和化解的三大攻坚战中发挥着重要的作用。国际上的CRO运行的时间会更长一些，而牛总也亲身经历了这个过程。所以，我想请牛总以自己的亲身经历来介绍一下国际范围内，尤其是大型、领先的西方银行的CRO体系的运行，CRO体系的基本框架，以及牛总对CRO体系的基本体会，好吗？

牛佳耕：好的，谢谢。CRO确实是一个近期的事情，忠阳说20年，我感觉可能是10年。甚至不从事我们银行业的一般民众，比如说我的亲戚曾问我：“你是做什么工作的？”我说我是银行的CRO。什么是CRO？基本上都不知道。只有在我们金融行业的，可能最近几年才比较清楚。你要在任何一个企业、或者对一个民众说CEO、CFO，大家都知道。但是CRO，我觉得在民众的角度，到现在仍不是一个普遍的概念。我认为在以前，CRO都是埋在各个业务条线里面，为某一个业务条线服务的风险部门经理的这样一个角色。我感觉CRO的出现是在几次大的经济危机和当监管认识到必须要产生现在所说的三道防线的时候。第一道防线是业务的表现和操作运营部门，第二道防线是风险管理团队、合规团队、法律部门，第三道防线是audit。当一个集团或者一个公司需要让三道防线相对比较独立的时候，那么就产生了一个所谓的独立的第二道防线，其中风险管理覆盖了各个不同风险的种类。在这个时候，需要让某一个人为第二道防线负责，同时为了让他有独立性，最终就产生了CRO这样的一个概念。同时，可以让CRO直接向董事会或者是一些governance部门以及管理机构等来汇报。这样使得从结构上、框架上产生了独立性，进行独立考核与独立为银行或者其他金融机构做风险评估、设计风险偏好等，从而对比较短视、甚至比较激进的业务目标起到一个缓冲或者是控制的作用。

目前来讲，所有的国际性大银行，包括我们中国的银行和很多金融机构都有首席风险官了。实际上也就表明，在目前这个状态下，金融机构的风险管理的独立性和它自身存在的价值，成为了大家公认的存在。从首席风险官的产生到现在的状况，实际上体现了金融系统对于风险管理重要性的逐渐认识，以及监管环境不断地演变。

 

三、风险偏好（risk appetite）的基本运行框架以及CRO管理体系的介绍

陈忠阳：谢谢牛总。CRO在现在的全面风险管理体系建设中越来越重要了，在监管的要求下基本上成为了标配。金融行业甚至一些非金融行业里面都已经开始设置CRO。我想CRO一个重要的作用就是以专业的手段、专业的团队把风险统一管理起来。而统一管理风险的一个重要政策工具，我觉得就是risk appetite，就是（国内翻译成的）风险偏好。

首先强调一下risk appetite的翻译，因为这是我在风险管理教学和交流过程中发现了一个代表性的问题。由于风险管理其实是一个舶来品，早期人们对它不太了解，加上中文里没有一个比较恰当的版本，且前期的语言与专业方面匹配的不是很好，最终造成翻译上出现了一些问题。risk appetite应该翻译为风险胃口，是指我们承担风险的量。而风险偏好在经济学和风险管理中有一个专门的词叫risk preference，是包括对风险的态度是稳健、激进还是保守。Risk preference问题是一种真正的内心态度问题、偏好问题，而risk appetite应该是一个对风险承担的量，是一个政策问题，是一个直接影响到行为的问题。这个问题现在在风险管理里面变得越来越重要，尤其在2008年金融危机之后，美国国际金融协会出台了金融机构risk appetite方面的指引，反思金融危机之前，西方大型金融机构在很多业务上风险偏好过大，没有统一的风险管理。risk appetite的风险偏好体系也就成为了监管部门的一个要求，在全面风险管理体系中发挥着统领的作用。

不同集团公司的risk appetite是有差异的。首席风险官如何在集团范围内发挥统领风险管理的作用，如何运用risk appetite系统把工作做好？因此我想问下牛总，您怎么看待risk appetite的，它基本的运行框架是什么？risk appetite体系是如何支持CRO的职责，加强统一、全面风险管理的？

牛佳耕：好的，谢谢。我个人实际上对于风险管理或者是框架理论比较了解，因为我需要跟很多国家的主要监管机构打交道，但同时我更注重它的实践。因为我们可以有非常完美的框架，我们可以有很好的规章制度，但是没有执行，那将和没有一样。同时包括前面谈到的首席风险官，有些公司甚至觉得设置了首席风险官好像风险管理就已经到位了，实际上这是完全不同的。

风险管理的框架不尽相同，包括国际性的大银行，集团以及集团董事会层面的做法也不同。甚至有的银行不愿意谈到具体的、细节上的风险偏好（risk appetite），仅仅只是说明银行的风险偏好是什么、保证符合监管（资本充足率等），相对而言是比较表面化的。也有银行的年报相对比较细致，描述了其风险偏好。而且在执行层面，按照业务条线、按照区域，每年重新刷新其风险偏好。同时表示在今年或未来的12个月范围内，在某一个产业内愿意增加授信额度，或在某一个地域需要谨慎。不同的银行在使用风险偏好以及在风险偏好的总体管理和制定上有着很大的区别。

大致的框架示意图如下所示：

从该示意图中可以看到集团的董事会层面是如何制定每年的预算以及他们的策略。

左边是一个管理框架，右边可以看到一个执行层面，颜色的深浅表示决策的重要性、执行力和重点。这个示意图只是理论性的，在实际过程是非常复杂的，甚至存在很多不同争议。

因为你设置了风险偏好这么一个参数，实际上在业务层面就会有很多阻力。在设置了这么多条条框框后，如何去进行市场竞争，实现增长？尤其在市场利差越来越小的时候，需要走量，如果没有足够的量，就不能完成业务。这是一对天然的矛盾。如何在这个过程中将风险偏好执行起来，实际上这就是理论与实践之间的巨大差别。

另外，风险管理对于实际的一些影响是什么？下面这张图说明了risk appetite framework在业务层面的帮助：

实际上就是要考虑整个市场的动向、市场经济周期的位置，来反映Underwriting Policy如何能够为今后一段时间制定策略，同时又对市场有一个期待的压力测试。

根据目前的资产负债表或资产质量在未来可能出现的市场波动情况下的承受程度，来制定未来的underwriting policy，来形成整个资产负债的质量。如果能通过一套体系使其相互关联，会让银行的稳定性在through the cycle这样的环境下起到比较好的作用。所以对我个人来讲，risk appetite帮我们制定策略和业务目标的时候，假如有一个自洽的、能够互相沟通起来的体系，可能会是一个比较好的应用。

当这样的一个体系或相互关联的一种关系在我们内部不存在的时候，会产生很多矛盾。所以风险偏好的存在、应用可以是非常混乱的状况，也可以是相对比较清晰的。只有这样设置好了我们的策略去执行，才会起到一个相对比较好的作用。

 

四、为“风险管理团队只说‘no’”正名

陈忠阳：谢谢牛总。挺好的。想问一下牛总，在风险管理的发展过程中，前台部门很多人都认为风险管理是一个说“no”的部门，这可能是一个世界范围内的现象。要这么看的话，首席风险官应该就成了首席说“no”官。您怎么看待业界的这一句话？

牛佳耕：非常好的问题，也是很现实的问题。我觉得说“no”是非常容易的一件事。如果认为有风险，银行可能有损失，并且我们自己风险管理团队的成员，不能够给出一个解决方案，不能把他认为可能出现的风险进行规避，那就是一个非常清楚的“no”。比如在一个比较轻的压力测试下，很快看到一个很大的风险损失，且该损失远高于我们能够盈利得到的。就可以直接将数据拿出来，然后用比较简单的语言说出来。

关键在于那些灰色地带、可做可不做的，或者risk return trade-off相对不是那么大的业务，我们如何来做决定、提出解决方案？这时就需要看行业。这个行业是属于朝阳企业的行业还是黄昏的。有些比如说电视显示器，显示器是一个现在正流行的技术，而新技术马上就要来临、要替代它，那我们就知道这单业务的未来销售、payment能力等将会大打折扣。通过行业的趋势来做判断，也是辅助你做决定的一个过程。

业界里认为风险管理说“no”的，其实实际上很多时候是不公平的，因为被记住的都是那些说“no”的时候，说“yes”的时候都被认为是应该的。但其实现在哪一单增长的业务不是通过风险管理团队说“yes”这样的solution来做成的呢？所以说风险管理团队就是说“no”的说法，是一件很不公平的事情。

实际上我们风险管理团队需要自身不断完善，无论是知识、沟通还是博弈的过程。但同时，整个银行或者机构对于自身的增长，也应该认识到，这是一个大家合力共同做成的事情。以上就是我从两个不同的方向来回答这个问题。

 

五、CRO需具备的技能与素质

陈忠阳：牛总您这个回答非常好。尤其您提到业界流行的这一句，说风险管理部门是说“no”的部门，这句话还是失之偏颇的。实际上说是一种部门的视角，甚至是部门利益的一种反映。其实首席风险官也说了很多的“yes”，尤其是一个机构要有所发展的话，首席风险官只说“no”，不说“yes”的话是做不到的，谢谢牛总。下面想就您刚才提到的首席风险官的成长、培训方面问几个问题。一个是如何才能成为首席风险官？成为首席风险官需要什么样的能力技能和素质，首席风险官作为相对比较新兴比较独特比较专业的岗位，又非常重要，有哪些独特的技能和专业方面的要求，怎样才能成为一名合格的首席风险官？

牛佳耕：好的，谢谢。因为我个人是从最基层的分析员做起的，而且经历了不同的银行业业务条线，也做过不同的业务内容，对所需的技能有一定了解。假如说从比较高层次职位的角度来讲，首先要求技术职能——知识，如果对业务不了解，那根本就做不了。无论是从事投行、金融市场，还是企业银行、个人银行，对于产品结构、策略、市场上流行的新产品和给客户的方式以及法律法规这些知识都要具备，英文叫做hard skill。没有必要的知识就将很难作决策。

同时，还要在工作中不断地学习。我个人对一些新的技术发展非常感兴趣。我曾在这个平台上做过一个人工智能的未来的发展趋势的一个分享。当时我就提到了目前的人工智能的最基本的0-1的binary的技术，是在基本理论基础上发展起来的，目前的类脑趋势实际上是一个非线性的，根据一个学习与自我学习的过程，把0-1变成一个渐变函数的过程。然后实现逐渐变成一个甚至有感情色彩的设计，AI设计。

实际上银行方面的技术还是非常落后的。传统的金融环境、金融系统，也就是信息系统和运作系统都是非常落后、非常臃肿的。在这样的环境下，如何做好风险管理，如何面对新兴技术、新兴公司不同的财务状况、不同的未来，如何进行评估，就非常值得思考。

这些是风险管理面临的新挑战，是在监管、政府和金融环境之外的事情。如果不了解新技术、新的经济、新的价值观、评估观以及评估体系，就不可能跟上未来的金融。所以自身技术的提高、对自身技术的了解是首席风险官的根本。

另外作为一个管理人员，管理的是一个相对独立的条线，但是很多时候要去和业务部门表达我们不同意这样的做法，这个时候需要的是我们作为风险管理团队的沟通力、影响力以及知识体系。如何通过沟通，达到我们想要的结果是非常重要的。有时候利用行业的经验教训，也可以在具体的业务沟通中起到作用。总体来讲就是soft skill。

理论上来讲，风险管理是每个人的职责。风险管理团队是确保每一个人的行为和决策是在执行已设置好的风险偏好，确保比较独立地执行。但实际上执行起来是非常复杂的，具体问题要具体分析。

我在风险管理和CRO的管理过程中做过首席风险官的培训。不是一两天的培训，而是一个相对系统的培训，主要是在hard skill方面为风险管理团队做好设计并取得团队的支持，进行更好的判断。另外就是soft skill，这也是最难做的事情。如何能够让风险管理团队的领导者在面对压力，在面对非常强势的CEO，非常强势的业务老总时，能够保持住风险管理的体现，是最难的事情。我们设计了一些案例，通过这些案例做互动，测试风险管理官在案例过程中的反应，也是一个很有意思的过程。通过技术上的学习、互动环节、案例的共享这些培训，来观察高层的风险管理人员如何比较独立地执行和维护银行的风险管理。

 

六、CRO的培训

陈忠阳：谢谢牛总。下面一个问题就是关于培训的，我知道您前面也提到您在一些大型金融集团负责过首席风险官的培训的工作，现在我觉得风险管理体系建设过程中，首席风险官或者是风险总监，如何开展培训是当务之急。能不能请您介绍一下您在这方面的一些经验，尤其有一些案例分享更好。

牛佳耕：可以。对首席风险高管的培训，实际上也是一个相对比较难的事情，因为每一个人都已经很有经验。假如只是为他的条线做，那他应该已经具备了hard skill了。对我而言，我曾经做过这方面的管理，成立了一个职称评估委员会。除了硬技术指标的考量以外，更重要的是soft skill的一些测试。一个知识面相对已经比较广的人，在面对压力的情况下，实际上表现很不同。

我曾经设计过一个虚拟的例子。假设作为某一个国家的企业的首席风险官，这个企业要在当地上市。上市前，你突然发现有一个大的欺诈案，公司会损失很多的钱，但是如何造成损失，是否能追回还没有结论。这时候要不要上报给监管机构？首席风险官的基本反应就是应该披露，但是如果CEO就说不行，这时候你该如何做？这时候有的首席风险官很清晰地选择：即便是辞职，也要披露，因为要坚守职业道德的底线。思路很清楚，可以放弃工作，来确保决策是符合法律法规。也有人听从领导安排，但是也无法承担违反法律法规的后果。对我来讲，在这种情况下，除了辞职之外，我会竭尽全力说服法律部门、合规部门的领导，同时争取有话语权的人员，召开会议与CEO直接面对面交谈。

通过这样虚拟案例，可以看到不同的人在这种极端的压力情况下，对于风险管理的理解、态度、行为反应以及对于底线的守护。这就是一个很好的培训案例。通过这样的培训案例，会让比较高层的首席风险官或者高层的风险管理人员，逐渐意识到风险管理最基本的东西，甚至是不是可以说即便辞职，也不会在职责上突破底线。

另外一个对首席风险官培训的就是他的影响。当你看到业务部门有很多的比较疯狂的野蛮增长状况的时候，你是否能够去影响决策人员，包括CEO？让他能够更平衡，让他能够意识到有可能存在的风险，让他或者是整个决策层面尽可能地避免短视的行为。这些是影响力的考核，当然这是属于培训，比起现实还是还有一定的距离。所以到最后，一个人能否成为一个成功的首席风险官，实际上是一个筛选过程，筛选的不光是技术沟通力，实际上最后筛选具体到人。

 

七、CRO在国际上先进经验对中国有何借鉴

陈忠阳：谢谢牛总。以您多年的观察，您刚才提到的risk appetite和CRO方面的这些国际的领先实践，对于中国金融行业有什么借鉴和建议的地方？

牛佳耕：这是个很好的问题。我刚才说了很多都是国外的，所以对中国来说不一定适用，而且中国的情况和国外的不一样。中国的市场、中国的监管方式、中国经济的发展速度所产生的金融环境跟国外也是很不一样，所以基本上没有可比性。我说的这些可以供大家参考，或许能够帮助一点。

中国经济发展非常快，行业的发展非常快。要让金融机构在为行业、公司进行金融服务的时候，确实需要面对更多的不确定性。大通银行的CEO Jamie Damon，讲过一件事，或许能够给我们中国的同事以启示。他说有的人表示会忠于他，但是他希望他能忠于的制度，只有尊重了所有的制度和策略才是最好的。仅是忠诚于个人，说明他没有很好地履行职责。我觉得这是一个很好的CEO，他的理念代表了公司运营和对下属的要求。那么在中国，我们的公司，我们的金融集团是否有这样的CEO，我觉得是一个公司成功的决定性因素。

我们风险管理团队，首先要看公司老总或者决策人物的理念是什么？实际上在中国很多时候会有一些现象，忠诚是最重要的，CEO老总对于忠诚度是绝对看重。我们作为CRO，如何影响这些决策人物对于忠诚、对于风险的理念，是功课之一。

我们也在不断的经验教训中成长，中国的金融体系在快速增长之后，会有一定的冷静期。这个时候风险管理的理念，风险管理团队的人员思维方式将会是决定性的影响。对于中国金融集团风险管理如何去做，我没有太多的可以分享，毕竟国外和国内不一样，中国国情和国外的国情不一样，但是如果能够尊重我们的初衷、保守我们的底线，我觉得还是非常有意义的。

陈忠阳：非常好，说得非常好，也提醒了我。在这个平台上工作20年，认识很多首席风险官，也有不少CEO董事长朋友，大家希望我推荐一些人去做工作，现在看来这中间是有匹配风险的，以后我也会更谨慎。

牛佳耕：没错，很多专家都是负责风险管理的，我觉得好像不少人在换工作。从某种角度说，我们这些人员可能是有很好的风险管理理念，甚至有他的操守，但是在不同的试错过程中，觉得这个公司根本就跟我的理念完全不一样，不愿意继续为伍。我实际上对这样的人是很尊重的，我觉得他不愿意同流合污，会帮助中国社会或者公司逐渐地会转变到良好的风险管理层面上。

 

八、国际实践中的观察、思考与总结

陈忠阳：好的，谢谢牛总。那么，最后希望您能做一个对于这些年国际实践的体会、观察以及想法的总结。

牛佳耕：好的。刚才说了这么多，我觉得框架和理念是最基本的东西。无论框架理念多么的完美，执行不到位，那它实际就是形同虚设。所以，我们在评估风险管理状况的时候，第一就是执行力。这点无论是在国外还是国内都适用。

另外一点，我个人感受就是，一个人的力量是非常微小的，一定要有群体效应，也就是说风险管理团队是否有一批人和你有同样的思维、行为、理念，有群体效应。希望在中国的风险管理行业，越来越多的人有这样的理念，有这样的行动，有这样的执行力，那就会帮助我们整个行业稳健地发展。所以我觉得CRO除了自身的领导力以外，一定要营造群体效应。这对于无论是个人公司里的风险文化，还是地域或行业，这都是非常重要的。这是第二点。

第三点就是刚刚说业务部门认为风险管理团队是“say no”的，那么如何沟通，如何“say no”，这是一门艺术。同时在面对不同灰色地带、不同压力的时候，如何做决定是一个对自身心态，对承受压力的能力的考验。

还有一个比较敏感的方面，就是：人是会变的。一位很好的风险管理人员，转到业务部门，在奖金、奖励面前，思维方式和行动发生了变化，完全变了一个人。我们在做风险管理时有这样的理念，那么之后如果在成为业务部门的老总的时候，这样的理念还存在吗？如果理念发生变化，那么我们所坚守的理念是对的吗？是适合的企业文化风险管理文化吗？这是一个反思。对我来讲，我特别不希望看到，我们风险管理团队在换了位置之后，对当初的理念产生了动摇。所以，如何坚持底线，如何不忘初心，是一个人性的考验。

最后，快结束的时候，跟大家分享撒切尔夫人曾经说过的一段话：

“Watch your thoughts,for they become words.

Watch your words,for they become actions.

Watch your actions,for they become habits.

Watch your habits,for they become character.

Watch your character,for it becomes your destiny.”

也就是说你的思维决定了你的行为，你的行为决定了你的个性，而你的个性实际上决定了你未来的命运。

（责任编辑：张语婷）

来源：TGES2021高级研讨会：金融集团全面风险管理高级研讨会（9月）