银行风险限额管理的认识和思考

武越川 中国光大银行风险管理部全面风险管理处副处长

 

我认为应该从两个方面理解巴塞尔协议，一方面是巴塞尔协议给金融行业，特别是银行业培养了大量的风险管理方面的专业人才以及很多计量方面的人才；另一方面是实施巴塞尔协议带来了全面风险管理的框架和定量管理的思维。巴塞尔协议不仅是资本方面，还包含流动性、防范大而不能倒、集中度等方面的问题，显现出巴塞尔协议是一个非常完整的体系。风险限额是脱胎于定量化管理的一个部分，接下来我就从认识、框架和展望三个方面，阐述我对银行风险限额管理的一些认识和思考。

一、对风险限额管理的认识

（一）限额管理无处不在

限额管理在日常生活中，包括国家管理方面无处不在。比如在政府层面，为了保持财政的稳健和可持续发展，全国人大每年都会批准中央和地方的财政预算限额，包括中央政府国债的限额及地方政府一般债、专项债的限额。在企业层面，为了降低碳排放实现绿色发展，政府机构给高碳排放的重点企业分配了碳排放的限额，企业可以在交易所买卖限额，通过交易达到控制碳排放总量的目的。在个人和家庭层面，为了房地产市场的健康平稳发展，重点城市对房屋购买实行了限额管理政策。为了保证形成安全，也对行车的各方面进行了限额管理。

（二）风险限额管理的原理

在银行的管理方面，出于统筹风险和收益两个方面的考虑，需要进行风险限额管理。从三个方面来看，一是风险承担的边际收益递减，“风险越高收益越大”这句话在一定的风险承受范围内是对的，但是承担的风险一旦超过某一个阈值，就会损害收益，导致整体效益的下降，从而损害银行的整体价值；二是出于风险分散的考虑，“不要把鸡蛋放到同一个篮子里”指的就是避免风险的过度集中，最近几年一些问题银行存在的风险都是过于集中于某些大型客户；第三个是出于追求收益的考虑，也不能把鸡蛋平均放到每一个篮子里，因为不同资产带来的收益可能是不一样的，综合考虑风险收益，就是要把合适的鸡蛋放到适当的篮子里面，进行合理的资源配置，对资源进行配置和确定它的额度，这就是风险限额管理。综合来看，风险限额可以视为一个以价值创造为导向，统筹风险和收益定量化的常用的风险管理工具，而且是相对简单好用的工具。

（三）风险限额管理的作用

风险限额管理在银行管理中有四个方面的作用。

一是满足监管要求，银保监会和人民银行出台的很多监管规定均对银行提出了限额管理的要求，有的监管要求是对风险管理体系方面进行的原则性规定，比如全面风险管理指引要求银行业金融机构设定风险限额，要求有全面风险管理的职能部门，要求对限额进行监控，然后定期向董事会和高管层报告限额情况，以及在接近限额时有相应的措施和程序。市场风险管理和国别风险管理等文件也提出相应的要求。有的监管规定是从整体业务层面提出限额标准，比如资本管理办法、杠杆率管理办法、流动性管理办法，就分别提出了对资本充足率、杠杆率、流动性覆盖率、净稳定资金比例等限额管理指标。还有监管规定是直接从具体的业务层面明确进行规定，比如房地产贷款、互联网贷款的相关通知等。 

二是传导风险偏好，银行的风险限额是风险管理体系的重要组成部分，在整个风险管理体系中，银行的战略目标、风险偏好、风险容忍度、风险限额是一个自上而下的关系，风险偏好反映的是公司为实现战略目标而对风险的基本态度，是公司各项经营决策和活动的基本约束。风险限额是风险偏好和风险容忍度向下传导和分解的结果。风险限额的设置通常与日常经营紧密相关，并且它会根据风险偏好的总体目标分解相应的预警值，然后同时制定一些监测和应对的措施。通过风险限额的监测和管理，把银行的风险偏好贯穿到日常经营和具体的业务中。

三是防范系统性风险。风险可以分为系统性风险和特定风险，其中系统性风险会对所有的经营者和个人产生影响，系统性风险的后果是灾难性的，所以要守住不发生系统性风险的底线。从宏观方面看，集中度较高的业务易产生系统性风险。比如近几年的P2P、地方政府债务、房地产企业债务等问题。集中度是带来系统性风险的必要条件，如果集中度很低，影响就不会太大，也就不会带来系统性风险。我国银行主要承担信用风险，系统性风险发生的后果之一就是系统性的违约，一定范围内的客户将因为系统性因素导致还款能力下降、没有能力还款，出现整体性违约，将导致系统性风险带有突发性、传染性和放大性的特点，最终导致银行整体在短时间内风险跳跃式增加，所以通过风险限额管控好集中度，对于银行防范系统性风险意义非常重大。

四是防范大而能倒的特定风险。金融危机之后为了防范大而不能倒的风险制定了很多措，以此避免公共资源的浪费，让“巨无霸”能够平稳地倒下去，从纳税人和整个社会整体的角度上来看是比较合适的。但换个角度，从银行层面上来看，如果一家“巨无霸”客户，大到不能倒或者总会有纳税人、政府给他兜底，银行就会在一定程度上因为这种刚兑的预期，增大对它的风险敞口，随之可以多做预算，降低整体的成本，提高管理的效率，客户经理管理比较方便，这就产生了“垒大户”的现象。如果因为防范了大而不能倒的风险，如果客户还没有到大到不能倒的程度，银行在核定风险敞口的时候就不能存在幻想，需要做好防范，把风险敞口设置在能够承受的范围内。

（四）良好风险限额管理的特征

良好的风险限额管理，应该具有四个方面的特征。

一是前瞻性，各类敞口的限额要基于对风险变化的预测提前设定。限额管理发生在资产损失形成之前，进行防患于未然的事前管理。当某类风险敞口保持在限额以下的时候，通常说明业务的发展比较稳健，风险基本可控；敞口逼近限额的时候，要发出预警信息，提示管理人员采取防范措施，敞口一旦突破限额就预示着风险正在显著上升，需要启动紧急的处理程序，在爆发大规模损失之前，把敞口压缩到可控的范围内。

二是及时性，限额管理依托于有效的管理信息系统，在发达的网络环境下进行全行范围连续动态的监控，尽可能实现实时监测，避免因为信息滞后造成的风险，同时防止金融交易中瞬时超限额的现象发生。每个时点上，系统都应该可以根据最近市场的变化和业务数据，计算和监测所有限额的执行情况，业务人员和风险人员都可以从限额管理系统里面获取最新的数据，了解所辖业务的风险状态，作出及时和准确的决策。

三是综合性，就是风险限额不单纯是对业务发展的约束，也是银行经营策略和风险承受能力的综合体现，用来保障银行实现安全性、流动性和效益性的平衡。短期看限额管理会对业务拓展形成一定的制约，但是长期而言是有利于银行的持续健康发展。因为由于边际收益递减的规律，在某些业务开展的初期可能会给银行带来较大的效益，但是随着业务不断地扩张，扩张到规模突破某一个阈值的时候，会使银行的整体效益出现下降，甚至出现负值，不利于银行整体的价值增长。

四是全面性，主要是指限额管理体系，应该具有全方位、全流程和全要素的管理功能，成为银行真正实现全面风险管理的重要手段。

 

二、风险限额管理的框架

（一）风险限额管理体系

银行的限额管理体系建立在风险计量和组合分析的基础上，不仅能够涵盖信用风险、市场风险、操作风险和流动性风险等各类风险，也贯穿于银行管理宏观、中观和微观的各个层面，不仅包括对单笔业务或者某一客户的限额，也包括国家行业、区域产品等这些资产组合层面进行额度限制。

（二）风险限额管理框架

风险限额管理体系部仅是指标本身，完整的风险限额管理体系应该包括环境、基础设施、管理流程、限额指标四个层面。环境层面主要是指公司治理是否健全，企业文化是否健康，绩效考核是否公平，信息沟通是否顺畅等方面。这些方面虽然和限额管理没有直接联系，却是限额管理能否有效发挥作用的关键要素。基础设施主要是指组织架构、政策制度、工具方法、系统数据等方面，这些方面决定了限额管理的职责分工、汇报路径、管理流程以及限额的监测、效率和准确度。和限额管理日常工作比较紧密的两个要素是管理流程和限额指标。

（三）限额管理流程

限额管理流程方面主要可以分为三个环节，一是限额设置，二是限额监测，三是限额控制。

限额设置方面通常需要关注几个方面，一是分层设置原则，包括董事会、高管层、部门，还有分行等层级，各层级有各自的线路，通常上层的限额指标更为综合也更为重要，下层的指标更关注指标的前瞻性和操作性。董事会层面一般会设置整体的不良率，分行层面就会设置不良生成率等指标。二是分类设置原则，从风险类别方面有信用、市场流动性等各主要风险类别。从不同的维度有客户、行业、区域、产品等。三是指标选择上尽可能符合四个标准，一是相关性，指标是否与风险偏好相关，是否能够有效地传导风险偏好；第二是敏感性，指标是否对风险敏感，能否比较好地反映风险程度；三是适用性，指标能否被准确地计量和监测；四是有效性，指标能否通过有效的管理措施进行改善。在实践过程中，指标通常没有办法同时满足这四个标准，在这种情况下会根据优先级以及管理的需要对指标进行取舍。在指标监测方面需要关注职责分工，还有限额调整的规则。

限额的监测作为风险监测的一个部分，通常是由风险管理部门负责，但由于该指标会进行不同维度的分解，业务条件和经营机构作为风险管理的第一道防线，也同样需要对相应的指标承担监测和管理的职能。另外在监测过程当中，如果经营部门认为限额已经不能满足业务发展的需要，需要正式提出调整申请，风险管理部门对申请做出评估，如果确实需要调整的，就需要重新测算限额，并且做出限额调整的审批证据。

最后是指标控制方面，按照指标执行的刚性，可以把指标分为指令性限额和指导性限额，指令性的限额通常要求比较严格，这种限额一般不能突破。为了满足合规经营的底线，对于监管明确规定的指标，一般都会设置为指令性的限额，比如说资本充足率、流动性、覆盖率，因为这些都是管理的底线，一旦突破会遭遇比较多的限制措施。指导性限额通常是作为一种观测和预警的机制，执行刚性方面不要求严格，在指标逼近限额的时候，发出预警信号，提示管理者采取防范措施。限额管理要想能够发挥比较好的作用，通常还需要有相应的考核和惩罚机制进行配合。在指标的管理过程中，要采取及时有效的缓释措施，对于因为超限额造成的损失，需要进行严格的责任认定，定期对超限额处置的实际效果进行回顾和评估，然后根据评估情况，定期持续地改进风险控制的能力。

（四）限额指标

在限额指标设置方面，通常以价值创造为导向，例如从EVS或RAROC出发，对投入和效率两个方面的要素进行分解，通常可以分解出规模指标、收益指标、杠杆指标、风险指标等各方面。风险指标方面，在巴三框架下，包括纳入第一支柱资本计量的三大风险，还有第一支柱没有覆盖的银行账簿利率风险、流动性风险、声誉风险及洗钱风险等各风险类别。在这些风险类别当中，通常可以采用量化指标管理的风险，包括信用风险、市场风险和流动性风险，其中市场风险包括银行账簿风险，也包括交易账簿风险。在信用风险方面，围绕资产质量和风险的抵补能力，这两个重要的管理要素可以衍生出很多不同的维度，比如综合性比较强的上层指标，可以包括贷款的不良率。但为了体现对普惠小微贷款差异化的容忍度的管控要求，可以设置普惠小微贷款不良率。还有反映资产分类真实性的逾期不良比率、反映抵补能力的这种拨备覆盖率等指标。信用风险指标通常还可以从国别、行业、产品、客户等维度设置集中度控制。还可以从期限、内部评级等维度设置集中度指标。在国别方面通常是结合国家的外部评级和GDP设置国别业务的限额。产品方面通常要对新产品、复杂产品以及监管关注的重点产品设置限额。对于不同的限额根据管理需要进一步分解到分行、条线、经营机构各个层面。

在信用风险性和管理方面有两个维度比较重要，一是行业的维度，二是客户的维度。行业的维度通常直接决定了银行的行业投向和资源配置方向，从大的方向上会影响银行业务的摆布；客户维度的限额直接决定了客户的业务规模，从具体的操作层面更为直接地影响业务开展。在行业限额方面，为了更好地发挥行业的指导作用，可以基于对行业的绩效评价进行设置，根据RAROC和EVA的特点，可以把行业分为四个大类，对于RAROC较高的两个大类行业总体策略通常都是去扩大它的规模，对于RAROC较低的两个大类的总体策略是要控制它的规模，同事结合EVA的贡献设置一个差异化的策略安排，还要结合监管的要求和监管的方向设置这个行业限额，通过行业限额传导政策的方向。客户的集中度方面，银保监会在大额风险暴露管理办法里面提出了明确的要求，对非同业单一客户的贷款余额不得超过资本净额的10%，然后以一级资本净额为基准，对非同业单一客户的暴露不能超过15%，关联客户不能超过20%，同业的单一和集团不能超过25%。监管标准对于资本比较雄厚的大银行来讲比较容易满足，对于小银行比较容易超限。监管标准只是最低标准，在实际管理中对于大银行而言标准是比较宽松的，他们更多会基于本身的风险偏好和风险消化能力，设置客户的限额指标。目前整个银行在推统一授信管理，统一授信管理跟大额风险暴露在理念上是相通的，这也是一个从实质上来实施巴塞尔协议的表现。统一授信之前的关注主要集中在信贷业务，后来债券和同业业务也开始违约，限额由信贷业务扩展到非信贷业务。从银行的经营上，是否有抵质押影响是不一样的，不能所有业务占用同样的限额，所以在限额设置时既要考虑总量的限额也要考虑敞口的限额。在客户层面集团客户和单一客户都要进行管理。

在市场风险方面，根据限额管理的内容，通常有名义限额、敞口限额、敏感度限额、止损限额等，市场风险的限额通常采用这种分级的方式进行设置，每一个级别可以增加分解的维度，总的原则是下层限额的设置应确保不超过上层限额的水平，确保限额管理整体上是有效的。第一个层级通常设置为可以接受的整体的市场风险管理水平，一般是全行风险偏好确定的市场风险指标。第二个层级按照风险因子，为利率风险、汇率风险、商品风险、股票风险，分别设立市场风险限额。第三个层级为银行账簿和交易账簿风险向下，不同风险根据不同的业务类型和业务品种设立限额。第四个层级可以把限额进一步分解到经营机构。第四层级以下，经营机构还可以根据业务的风险程度和管理能力，对交易品种、交易金额和止损点，进一步制定本机构对交易台和交易员的限额，并对执行情况进行监控。

流动性风险方面，商业银行的流动性风险管理办法里面已经给出了一整套的风险指标，银行可以较为方便地在办法给出的指标基础上，建立自身的流动性风险限额体系。通常监管指标有5个，流动性覆盖率和净稳定资金比率是适用于大型银行，优质流动性资产率、流动性资产充足率是适用于小银行，流动性比例和流动性匹配率对所有银行适用。在监管指标下面还可以设置这种管理性的指标，管理性的指标可以分为指令性和指导性，指导性限额里边可以根据就可以分为日间流动性的指标、负债率负债、集中度、负债稳定性，还有其他的一些缺口和期限错配的一些指标。

以上是可以通过限额计量的三类风险。对于其他的，如操作合规、洗钱、声誉等风险，由于缺少比较可靠的量化的手段，主要靠管理措施进行控制，虽然有指标但是通常有滞后性。比如操作合规风险里边的风险损失率、损失事件次数、案件风险率、员工离职率，从指标名称上可以看出都只能事后观测，事前难控制。信息科技风险作为操作风险的一部分，指标有同样的特点，洗钱风险、客户风险率都相似。

 

三、对风险限额管理的思考与展望

（一）全面的覆盖范围

从覆盖范围方面，在现有指标本身的设置方面，要有一个全面的覆盖范围，覆盖范围全是主要为了避免相应管理留有死角。对于银行管理来讲，为了准确统计敞口和限额的情况，需要从三个方面进行全面的覆盖。以客户限额为例，需要能够覆盖到银行本部，也要能够覆盖到子公司，既要能覆盖境内机构，也要能覆盖境外机构。从分层管理的角度上来讲，要能分到能覆盖到各个层级。在业务方面限额既要覆盖表内的信贷业务，也要覆盖非信贷业务。对于不承担信用风险的代理管理的业务，严格来讲也应该纳入限额的一个覆盖范围。从客户层面来讲，不同性质的客户，包括借款人、交易对手、担保人等等，都需要能够覆盖得到。

（二）完善的技术体系

从限额指标的计量和监测方面，在基础设施方面需要有完善的技术体系。包括三个方面，一是要有坚实的数据基础，包括内部数据和外部数据，内部数据一般相对比较规范，数据质量较高，限额管理的分解维度都需要能够覆盖到。数据基础直接决定了限额计算的准确性和管理效率，目前境内业务的数据一般都是比较统一，所以在统计境内指标的时效率较高，但是涉及境外和子公司的情况的时候，效率就会比较低了。再者是外部数据相对来讲比较丰富，而且目前关于数据的监管要求也越来越高，获取外部数据一定要注意合规，外部数据作为内部数据的补充，用来提升管理的效果。例如在识别客户的关联关系时可以借助工商数据进行辅助。在银行这些不同的业务系统里边的标准通常都有较大的差异。在做限额指标统计打基础的时候，通常都需要做好数据的清洗。在建立统计维度的时候，通常还需要做开荒式的数据清洗，然后再逐步进行迭代。

二是要有科学的计量体系，也是巴塞尔给我们带来的成果之一。限额指标有些是基于某些额度进行的简单加总，有的是需要基于一定的规则或者模型才能计算出来，所以为了能够比较好的管理限额，通常需要不断完善银行的计量体系。在信用风险方面，比如有经济资本的限额，或者跟客户评级挂钩的这些限额。市场风险方面有WAR限额和敏感度限额。为了更好地进行资本配置，准确计量风险成本和资本成本。基于对业务的绩效评价，设置限额还需要持续的优化EVA或者RAROC的计量模型。另外压力测试的持续完善，对于科学设置限额也是很有帮助的。

三是要有高效的信息系统，信息系统是数据和计量体系的载体，也是保证限额计量效率的重要载体。经过多年的建设，银行现在的信息系统相对完善，但是可能还存在着比较大的改进的空间。目前银行的指标监测还是主要依赖于风险管理人员，风险限额指标还不能实时送达经营机构或者经营人员，银行的风险管理通常还是条块式的管理，不同类别的风险在不同的部门进行管理，系统建设通常也是割裂的，这样方便各个部门的使用，但是由于这个数据基础也是割裂的，从整体上来讲是不利于限额监测和管理的。出于由于各种各样的原因，个别环节还需要人工统一，这样都会造成标准的不一致，也会影响管理的效率。这些方面的问题需要从整体上进行统一规划，通过数据和系统的整合，统一数据基础，统一计量标准，统一系统实施，而且随着技术的进步，要朝着实时计量和展示进行努力，建立这种综合性的强大风险中台，然后实现指标的实时送达。 

（三）稳健的管理文化

从治理环境方面，需要培育稳健的风险管理文化。因为在培育文化方面要从政策管理、机构管理、人员管理、流程管理、考核管理和问责管理方面共同去培养。政策方面明确限额管理的体系、职责分工、工作流程，同时要把各类限额融入到业务的政策或者策略中，传导到经营层面；流程管理要做好设置，同时尽可能考虑各种各方面的诉求，评估可能发生的情况；机构管理方面，要把风险限额的执行情况纳入机构的风险管理有效性的评价里面，与机构的授权考核进行挂钩，来提升风险限额管理的约束力；人员管理方面，随着技术的进步，计量的专业性越来越高，但是计量技术不能仅仅掌握在总行负责计量的同事手里，只有他们知道计量的原理会造成指标不接地气，需要加强对相关人员的培训，提升整体的专业水平，以便更好地开展工作；督导考核和责任追究，是为了让限额管理发挥作用的两个重要抓手，对于关键的风险指标和限额执行情况，要通过调整 EVA中的计算要素权重和系数，然后通过考核和责任追究机制传导到日常的管理当中，对于出现管理不力的问题要有惩罚机制。通过这些综合性的管理措施，培养健康的风险管理文化，对于整个的风险管理体系都是非常重要的。

（责任编辑：郭钰阳）

来源：TGES2021高级研讨会：资本、风险偏好和限额管理（8月）