联系我们
如您对参会报名、网站使用、内容发布有任何疑问或改进意见，请随时与我们进行沟通！
客服企业微信
期待您的宝贵意见
范希文 中拉合作基金首席风险官
在20年前的中国，支持首席风险官制度的人可能还不多，但在今天首席风险官已经在许多的金融机构设立。根据资料，1993年 James Lam被任命为当时GE Capital的首席风险官，这开创了全球的首席风险官（Chief Risk Officer, CRO）机制。Lam在当时是一位广泛受到尊敬的专业的风险管理者，故后来市场普遍认为CRO这个词是由他首次提出的。在他之前，风险部门的领导属于公司中层，汇报路径通常是负责运营的公司副总。
19世纪后期以来，以银行为主的美国金融业的频频爆发倒闭的危机，到了1929年-1933年的大萧条时期，更有大批的银行和企业倒闭。二战以后，美国迎来了一段强有力的经济增长和战后复苏。但到20世纪70年代油价暴涨，两次大幅度上升，同时通胀加剧，后来还出现了滞涨的情况；利率也随之攀升，联邦利率最高达到21%的水平。此外，布雷顿森林体系瓦解，浮动汇率制度出现，汇率风险也进入人们的视野，不久还爆发了20世纪80年代的国际债务危机。
在1980年到1994年这长达14年的时间中，美国经历了深重的去银行危机和存贷机构危机。那时主要由于美国放松管制，大量银行进入房地产市场，特别是商业房地产市场，而后就出现银行破产倒闭的事件。后来，美国政府创立了RTC来清理金融系统的不良资产。
从公司治理的角度来看，随着风险的加剧，特别是利率、汇率等风险在金融机构里日益凸显，治理的缺失也逐渐暴露：一是管理多头。早期风险的定义相对较窄，一般指信用风险与市场风险，操作风险、声誉风险、道德风险等都不是会经常提到的风险，不同风险可能归属不同的部门管理。二是风险管理地位较低。在首席风险官制度确立之前，风险部门大体是 一个中层部门，没有能力在经济、市场、会计和监管等情况变化以后，综合、全面地推动全公司范围内的必要变革。三是协调不力，缺乏在公司内部的协调机制，使带有共性的风险问题难以在严谨一致的空调下得到解决。四是报告迟缓。报告路径冗长，缺少在重大紧急风险情况下直接向公司最高决策机构报告的机制。
首席风险官制度的建立还有赖于风险管理理论和实践的逐步成熟。在1960-1980年间，有关风险管理的理论逐渐成熟，例如contingency theory、economics of uncertainty、theory of contingent claims、option pricing theory等等。同时基于统计的风险管理方法也越来越成熟，到20世纪80年代台式电脑推出、数据库逐步发展，各类统计软件定价模型可以在更便捷、更高效的情况下得以施展。SPSS公司大约于1975年成立，与其采用类似的技术方法的SAS于1976年成立，以及后续Apple、Microsoft等公司的成立，都为数据库统计模型、定价模型建立了一定的基础。此外，为了在实践上应对经营上的危机，许多机构，特别是金融机构纷纷成立了风险管理部门来应对各种风险，由此正式的风险管理便诞生了。
根据公布的资料，2008年中国证监会专门发布了《期货公司首席风险官管理规定（试行）》，而后关于期货公司首席风险官的讨论也变得很多。2016年2月中国政协十二届三次会议1181号提案正式提出了《关于推进金融机构设立首席风险官制度的提案》，证监会在回复政协提出的议案时指出，证监会要求在证券公司实行合规总监和首席风险相关制度，在基金管理公司实行督察长制度，在期货公司实行首席风险管理制度。很多大型券商大体上都是在2014年至2016年的时间内逐渐设立的首席风险官制度。在银保监会方面也有类似的情况。2018年11月13号，中国机构编制网公布了《中国银行保险监督管理委员会职能配置内设机构和人员编制规定》，简称“三定”方案。“三定”方案新设了4位首席，其中就包括首席风险官。由此可见，中国的首席风险官制度应该说从21世纪第一个十年开始逐渐的被各级政府、各级监管部门重视。根据大概的了解，首席风险官制度在大型券商、银行基本都得到实施，且首席风险官的地位也得到很大提升。很多机构的首席风险官直接是高管的一部分，而在有些机构则属于准高管的层面。
其实在首席风险官制度建立前，金融机构对这方面的思考其实已经十分成熟。但在首席风险官建立后，从整个公司范围内去整体的构筑这样的架构和要素，则与首席风险官的建立息息相关。架构与要素主要内容有：一是合理的风险决策机制，例如基金公司有评审委员会、立项制度、最终的评审制度，以及内部的会议；然后是投资决策委员会，投决会就不完全是内部的了，需要外部委员的参加，例如第三方专业人士，或者是LP的管理部门参加等。二是健全的风险管理流程；三是有效的风险管理方法和手段；四是精确的风险度量系统。在工作的20年间，风险度量的进步发展非常快，但也存在周期性，且不同的时点有不同的侧重。2008年危机前，主要是风险服从于业务的发展。而2008年系统性风险爆发以后，有了一整套完全不同的风险度量系统，流入资本充足率、流动性等指标的测定变得非常重要，一段时间内交易对手风险的测度也会重新地思考。2008年前交易对手的风险虽然有模型进行测度，2008年的危机展现出该风险被严重低估。所以2008年后，系统性的对交易对手风险的反思和新的度量方法的推出，一时间成为华尔街的核心风险度量内容。五是完备的信息数据和监测制度，最后则是健康的风险文化。
建立首席风险官制度的目的有很多层面，一是向公司执委会和董事会直接负责；二是将公司整个风险内容纳入CRO工作范围之内；三是根据公司制定的预算目标，确定风险偏好，制定相应的风险策略，确保公司在业务发展风险可控之间保持有效的平衡。这相应的内容其实是有了首席风险官之后，才有一组人员进行系统的思考。一个机构，特别是金融机构，如何确定风险和盈利之间的关系？风险和收益是一对组合体，但是它们之间并不是线性的关系。那么在这样一种非线性的关系下，究竟如何确定最佳组合？如何根据自己公司的偏好确定最优的区间？这实际上与首席风险官制度建立有很大的关系，因为之前没有人能够在这样的制度、情况下思考这件事情。有了首席风险官，才有机会去确定风险和风险偏好的最优区间。四是负责全面的风险管理，确保风险管理的理念分析框架的一致性。这也是非常重要的内容。根据个人的工作经历，关于风险分析框架的一致性还有比较大的提升空间。如何用一套完整的思想去确立分析框架，这也与首席风险官不无关系。例如风险和资本的关系，风险的分布如何确立？风险的报告应该是什么内容，包含哪些参数？以及不同的概念怎么去报告？一致性的这些思考也与首席风险官息息相关。五是确保公司经营合合法合规。在一些基金，作为首席风险官也会同时管理合法合规的内容，其中涉及到非常广泛的合规工作，例如符合注册地的货币监管当局的一系列的合规要求，以及货币当局所规定的各种各样的报告制度，注册制度等等。六是统一风险报告口径和报告频率，负责对外的风险主题的沟通。在国外，上市金融公司的首席风险官就承担着市场沟通的重要职责。最后是制定全公司范围内的风险制度。
首席风险官制度的设计还是有一定学问的。通常来说，首席风险官与CIO、COO、CTO相平行，而在CRO、COO之上是CEO，而CEO之上是董事会。但CRO和其他的执行官不太相同的是，在越来越多的公司中CRO不直接向本公司的CEO报告。如果所在的公司是二级公司或是分支机构，向上还有母公司，CRO 通常会向母公司的企业直接汇报或直线汇报，向本公司的CEO是虚线汇报。也就是说，CRO最终向母公司的CRO负责。由母公司CRO对本公司CRO进行考评，如KPI制定、年终考核等，都不归本公司CEO管理。这样的制度设计主要是为了保证CRO有一定决策、表决的独立性，同时对CRO也有一定的保护，免除一定的后顾之忧，不至于在CRO投否决票后，遭到不必要的打击报复。CRO之下通常会有几个部门，这取决于不同的金融部门，如券商、银行、资产管理公司、信托等，下属部门都不太一样。对于基金而言，主要包括险管理部、法律合规部，以及贷后或投后管理部门和资产管理部门。而资产管理部门的管理者也取决于不同的公司的结构。
首席风险官在确定了自己的报告制度后，需要非常清晰自己的利益相关方。对于首席风险官而言，利益相关方大体上包括董事会、监事会、风险部门员工、投资人、监管部门。这些利益相关方有些是领导关系，有些是被领导关系，有些是沟通关系等等，不尽相同。
首席风险官的报告路径其实比较复杂，设计起来需要费一些心思，否则会产生一些不必要的冲突。通常来说，国内外的路径不太一样，因为国内有自身的风险、传统文化，所以国外的结构可能不宜照搬。在设计报告路径时应该有以下几个原则：一是虚线、实线原则。刚才提到通常CRO与本公司CEO实际上是虚线关系，而和母公司CRO是实线关系，但是如果没有母公司该怎么办？在没有母公司时可能需要向董事会报告，但向董事会报告也存在各种各样不同的设计。例如可以直接向董事长报告，但鉴于董事长的不同职能，例如是否专职？如果在非专职的情况下向董事长报告，董事长也不一定能够顾得上。此外，还可以向董事会的风险委员会报告，但实际上向董事会的风险委员会报告的设计也需要一定的思考，例如向整体风委会报告，还是向风委会的主任委员报告？这里存在很细微的区别，如果向风委会报告，而风委会主任是风委会的牵头人，此时需要风委会比较扁平化，有比较平等民主的报告关系，所有风委会的成员都参与听取风险管理汇报，对事项通过协商给出一定的反馈。如果是向风委会主任报告，那主任委则承担着更多的责任，例如同时向自己的委员会成员进行沟通的责任，其中的机制设计较为复杂。
在设计首席风险官报告制度时，最大的冲突是和本公司CEO的冲突。在中国的文化下，CEO通常认为首席风险官是自己的手下，应该有完全的服从，其不仅体现在日常工作报告，也包括方向性的把握。而这种情况下就涉及到第二个原则，即独立性的原则。三是知情原则，例如首席风险官即便是向董事会或母公司报告的情况下，本公司CEO也应知情，即实际上在操作层面，在每天的日常工作中，首席风险官有着不可规避的向本公司报告日常工作的责任，同时也有责任与本公司CEO沟通对风险策略、风险政策的思考，甚至于向董事会和母公司CRO直接报告的内容，本公司CEO也有权利知情以便协调，因为本公司CEO要负责的全面工作里也包括风险管理的内容。但这样的设计下也会发生各种争执，例如本公司CEO会认为首席风险官的权利过多，自身领导地位不明显等。这样的冲突在公司里通常以明显甚至是不明显的形式来表现出来。此外，报告路径还应满足有效性原则和延伸原则。
围绕首席风险官制度，一个首席风险官拥有很多职能和权利，例如首席风险官对项目的一票否决权。在中国的机构里一票否决不大普遍，但也有些机构已经实行。在实行一票否决的职能时，有很多变通的办法，因为首席风险官的一票否决会造成和首席执行官的冲突。通常CEO希望自己拥有一票否决的权力，那么在设计制度时，是否两人都应一票否决权就是很复杂的问题。有时有一些变通的办法，例如一种设计是首席风险官没有一票否决权，但可以决定是否让项目上会，即为了避免在评审委员会上的冲突，实际上将首席风险官的职能提前。通常在设计这个制度时，往往应该辅之以首席执行官有否定首席风险官否决上会的权利。制度设计中有这样的考虑是很常见的，即虽然赋予了首席风险官这样的职能，但首席执行官仍然有权利来否决。此外，还可以在制度设计当中规定，例如首席执行官否定首席风险官时应该提供书面的说明来支持等等。在这种情况下，首席风险官显然已经没有一票否决权。但首席风险官作为把控风险的最高领导应该和自己的初衷保持一致，即投反对票。
还有一个与首席风险官制度很相关的，很多金融机构实行的方式，即不由行长主持贷款评审委员会或是投委会，而由首席风险官来主持。尽管看起来不太重要，但实际上这是非常重要的一项内容。由首席风险官主持评审委员会，给了首席风险官决定公司风险文化的机会。因为项目评审是所有的风险工作，或是信贷工作、投资工作最集中的一次展现。在这样的非常集中的展现过程中，确立什么样的文化就显得特别重要。例如投委会或是评审委员会，是采取一言堂的模式，还是允许大家发言；是允许大家按级别发言，还是所有人都进行发言；是仅仅允许投委会的成员发言，还是也允许其他参会人员都发言等等。此外，在时间的掌控上，是要刨根问底关注细节，解决所有问题再往下推进，还是忽略细节，只强调大体内容，这都是首席风险官可以拿捏的地方。有些机构对项目进行的庭审，可能耗时达到七八个小时，包括许多刨根问底的内容，当场质问、修正、模型重新计算等等。个人认为，评审委员会应该是一个畅所欲言的平台，应该允许所有人发言，应该将细节明确，进行深入的评判。
此外，还有很多其他的首席风险官职能以及和职能相匹配的权利如图1所示，这里不再细谈，其中有一部分需要强调的是编制报告和对外的风险管理的沟通。因为在风险管理制度里面有义务向董事会报告重大风险事项，故沟通的方式、内容、机制等都需要去精心地设计。国内的风险报告和国外不太相同，国内的一些风险报告不完全是业务上的内容，会涉及很多其他内容，作为公司报告的一部分，例如工会活动、党建等等。个人认为，风险报告应该是专业化的报告，例如投资组合的报告，应该不仅仅从风险，而是从投资组合的各个角度，对各个参数都要进行报告。以中拉合作基金为例，投资组合报告是由我组织下属负责编制的。每年除了投资组合报告，另外还有投资风险分析报告。投资组合报告是从投资组合的各个方面，向各级领导报告投资组合的表现情况，而风险分析报告侧重portfolio层面的风险分析，比如汇率风险的分类、规避，最终如何对冲等内容。
图1 首席风险官的职能
在首席风险官的权限上，还有组织风险团队、提名风险管理人员的权利。有些机构的首席风险官没有对自己团队的负责人的提名权，而个人主张首席风险官应该有对自己的风险团队、主要负责人的提名权。首席风险官应该有权利选择，根据工作需要、技能需要，以及道德、人品等各方面的考量进行提名，以便执行他的职责。此外还有一个权限很特殊，即首席风险官有项目内部风险评级的最终决定权。内部评级的重要性日益凸显，关系到很多事情的决定，与首席风险官相关联更有其重要意义。内部评级的功能通常包括：一是决定是否可以准入，如果风险评级不够准入的资格，项目则不能开展。二是内部评级决定了投后管理的频率以及报告频率。如果风险恶化，评级下降，则需要增加相应的报告频率。三是和回报以及KPI相关。大家对RAROC都十分了解，RAROC实际上是将风险引入到这个回报的考量中，一旦实行激励考核的话，前台和风险的争执就会非常的激烈，因为评级直接关系到奖金的多少，所以直接决定了每单位风险的盈利程度的好坏。因此，内部评级其实是所谓兵家必争之地。但在国内，内部评级有时候往往流于形式，故由风险官来最终决定也是很有意义的一件事情。
选择一个好的首席风险官不太容易，通常的标准包括：长期的风险工作经验，至少10年。尽管在国外大概要求15年的经验，但中国的金融从业人员非常年轻，真正有15年经验的人并不多；熟知各种风险的特征、识别、管控手段，具备强烈的合规意识和对法律规则的敬畏；对风险控制管理系统有丰富的经验和丰富的常识，有深厚的风险管理和金融领域的理论功底，有一定数量分析能力，了解建模，懂数据系统，关注细节；最后是品行端正、公正公平、善于沟通。选聘则利用猎头选拔，第三方推荐和背景调查，一对一面试，集体讨论决定。
首席风险官在中国的体制下是不太容易的。中国采取的是一把手负责制，所谓执行官的设计和总经理副总经理的负责制是不一样的。在总经理副总经理这样的负责制下，一个副总经理可以主管多个部门，而执行官的设计实际上定义地更加狭窄，也更加清晰。所以执行官的设计下，一方面执行官所管理的这个条线变窄、变得更加清晰了，职责功能也是更加严格地被定义了，但是与此同时，其独立性和独立决策的能力也会相对更大。在总经理副总经理的体系下，项目总经理要否定一个项目是很难的一件事情，但执行官制度下则相对容易。首席风险官不能总是进行交易，尽管要与首席执行官交好，但不等于不坚持原则，所以首席风险官拿捏关系是非常困难的。
尽管大家普遍认为风险系统很重要，不惜花费百万、千万去制备风险系统；也觉得人才非常重要，花重金雇佣博士毕业的人来从事风险管理；也认为风险管理的复杂深入很重要，研究各种各样复杂的数学模型以及风险度量，开发各种各样的风险管理工具，但这都比不上风险文化。次贷危机时，如果没有联邦政府的救助，最后倒闭的是华尔街的哪些银行？根据我的经验，最后倒闭的应该是高盛和大通摩根。尽管如雷曼兄弟等机构的风险制度、风险流程，包括风险管理制度，首席风险官的建立等等都差别不大，但最大的区别在于共享。我经常提到，如果在我们营造的风险文化下，机构里地位最低的人有一天发现问题，也能到我的办公室来，对我说我们的某个项目要出问题了；如果是这样的风险文化，我觉得胜过所有的系统、博士学位、软件、定价模型。这样的风险文化就是公开透明、畅所欲言，人人愿意独立思考。没有独立思考的机构，从风险控制角度来说就无异于死亡。
在董事会的作用中，用好薪酬和提名委员会十分重要，因为薪酬和提名委员会是决定CRO决定首席风险官的最终奖金以及递延量的第一道关。当然，内控内审机制也非常重要的，特别是上市公司的内控保证了风险度量、风险报告的一致性、准确性，但是内审一定要慎用。
CRO到底应该具备什么样的知识结构，这个问题其实很难说清楚，但可以通过多个侧面的角度来对CRO应该具备的知识结构进行介绍。除了对风险理解那就不用说了，CRO应对宏观经济有清楚的把控，还应有一定的统计知识。此外，CRO对法律条文也应该比较了解，应该对重要的监管内容有所了解。同时，CRO还应善于人员管理。
CRO应十分了解资本和风险的关系，如图2所示。同时，CRO也应了解资本的不同概念，例如经济资本、监管资本、约束资本、实有资本等，还应该对资本更加敏感，即资本和推出的产品线、业务线之间的关系越来越得到重视。CRO还应了解公司的情况，如公司生存的本质、公司死亡触发点、导致公司摧毁的各种原因等等。以及黑天鹅、灰犀牛的概念及其对portfolio的意义等等。这些虽然可能超出了CRO的范围，但将风险与收益联系在一起考虑时，CRO的知识结构则一定会涉及这些东西，相应的风险策略从中也自然而然的导出。
图2 资本与风险的关系
杠杆的使用也十分重要，所谓成也杠杆，败也杠杆。图3的例子给出了杠杆如何在系统性风险来临时反而成为推动顺周期的一个工具，如何变成自我摧毁的风险催化剂等等。此外，CRO还应明确什么是顺周期的交易策略、逆周期的交易策略，这些不同的交易策略可能在风险来临时，对portfolio有完全不同的意义。以及相关性的概念。如何将相关性讲清楚、应用好，利用深入浅出的方式，让大家理解这个相关性的意义，特别是将其应用到产品设计当中。相关性对于定价、风险转移，特别是在有结构化的商品的情况十分有意义。此外还应包括主动性风险管理，被动性风险管理等思考。
图3 杠杆的应用
总而言之，在现代的金融机构里，风险管理的地位就像钟摆，风险管理总是带着重大事件的烙印。就是风险管理的地位，在经济上升周期的时候往往比较低下；当经济周期处于低谷时，风险管理的地位则会大幅度提升。新的风控工具的出现是市场结构、金融创新和技术进步的产物。此外，风险管理受监管框架、法律环境和会计制度环境的制约。优秀风险管理的最高标志，是成功规避系统性风险，而失败的风险管理则有各自的原因。首席风险官制度就是在这样的情况下，于27年前应运而生的。
（责任编辑：梁丹辉）
来源：TGES2020周末在线前沿讲座
