近年來銀行操作風險案件的頻發才使操作風險的控制逐漸受到全球銀行界的高度重視。如美國所羅門兄弟公司因賬務處理錯誤形成的6000萬美元的損失；日本大和銀行因操作風險控制制度缺失導致的11億美元的損失。我國此類案件也不乏其數，如中行的“高山卷款10億潛逃案”，建行的“吉林金融詐騙案”，農行的“邯鄲金庫5500萬被盜案”等。從表面上看，引發這些案件的原因林林總總，但本質上，均是由于銀行業內部混亂的內部控制與風險管理體系所導致的，規范、科學、運行良好的內部控制制度，能從根本上起到規避和減少操作風險的作用。因此，從內控視角來研究探討操作風險防范管理對我國商業銀行的經營實踐有著積極的意義。
一、引致商業銀行操作風險的內部控制機制存在的不足之處
從國內外發生的商業銀行操作風險損失事件類型和業務類型來看，商業銀行操作風險主要集中在商業銀行業務和零售銀行業務這2個業務部門，而且一旦發生帶來的損失也最大。內部欺詐和外部欺詐以及內外部相勾結的欺詐行為是操作風險發生的最經常形式。這說明目前我國商業銀行的內部控制機制還不健全，對內部控制制度的執行還不夠有效。反思我國商業銀行操作風險形成的原因，其內控制度方面主要存在以下不足：
（一）商業銀行內控體系不完備，操作風險管理機制失衡
1、董事會未在操作風險管理中發揮積極作用。操作風險帶有隱蔽性和突發性，在日常工作中未能得到董事會的充分重視。大多數銀行不同類型的操作風險在經營層面分由不同的部門負責，未設立專門的操作風險管理職能部門來統一諧調。對于對同一類型的操作風險，即使在同一銀行的不同分行做法也各不相同，表現出較強的隨意性和自發性。
2、操作風險管理主要由各行業務部門按照本部門的理解和工作目標進行管理，缺乏信用風險、市場風險和操作風險信息協調、溝通與共享機制。目前，我國銀行操作風險管理只是在部分風險點有所突破，操作風險管理戰略和政策不明確，風險標準不統一，風險偏好和容忍度不清晰，缺乏一套規范的操作風險定義、識別、監控、轉嫁等管理系統。
3、管理層與業務部門信息不對稱。近年來，盡管各國有商業銀行通過對人事、財務和信貸審批等方面進行了重大改革，大大加強了對分支行的控制，但由于信息不對稱，總行在與分支機構的博弈中依然處于相對弱勢的地位。相反，各分支機構隨著行長負責制的推行，使得崗位監督制約成為一種擺設。
（二）內控機制執行力弱，操作風險管理未能實現全面覆蓋
內控機制是對銀行內部管理活動進行衡量和糾正的一整套制度安排，其最初目的是為了減少和控制商業銀行徇私舞弊、弄虛作假、盜用公款等行為的發生，它屬于操作風險管理最傳統、最原始的手段。從我國銀行業最近暴露出的操作風險的諸多案件看，規章制度不落實、執行不嚴格、監督管理不到位的問題在一定范圍內還比較嚴重。例如，在信貸管理上，違規向非借款主體發放貸款，超權限違規發放貸款，未按要求落實貸款限制條款，貸款擔保抵押不合規，對外出具虛假存款保證金證明，簽發無存款保證金或保證金不足的銀行承兌匯票；在財務上，虛列支出、截留收入、私設“小金庫”等。因此，加強內部控制機制建設，消除操作風險管理中的“蟻穴”，已是當前各家商業銀行面臨的現實任務。
操作風險未能全面覆蓋。其突出問題在于產品創新管理混亂，缺乏面向市場的產品管理組織框架，“新產品開發-評估論證-申報審核-研究設計-完善內控-成熟移交-形成品牌”的創新流程尚未建立。
（三）操作風險信息披露制度未能有效貫徹
在信息披露方面，我國銀行業雖已邁出了很大一步，從2002年以前沒有一家銀行披露到2008年有14家上市銀行、6家股份制銀行對操作風險進行披露。由于政府高層和社會各界對商業銀行發案情況格外關注，各行普遍將依法合規經營納入分支機構負責人經營目標責任制考核，并與各種資源分配掛鉤，“發案率”對各級行管理層是十分敏感的指標，在某種程度上其重要性甚至超過利潤指標。由于信息在銀行內部不能及時、全面上傳，結果失去了較早采取管理措施的機會。
二、商業銀行內控機制不健全，操作風險管理缺陷原因分析
（一）管理職責分散
根據巴塞爾委員會的定義，操作風險有人員、系統、流程和外部事件等四類因素引起，幾乎涉及到銀行的各個職能部室。人員因素涉及到人力資源部，系統因素涉及到科技部，流程因素涉及公司金融、個人金融等業務部門及事后監督內部審計等后臺部門，而外部事件會涉及安全保衛、事務等部門。從我國的情況來看，雖然各家銀行已先后設立了風險管理委員會和內控委員會，但不同類型的操作風險由不同的部門負責，部門之間的協調不足，這樣的分散管理還使得有些操作風險因無人管理而陷入真空狀態。
（二）基層分支機構操作風險管理不到位
國外對操作風險的研究顯示，操作風險大多集中于基層分支機構。因此，國外銀行一般會在基層分支機構設置風險經理一職，負責總行風險管理政策在基層的貫徹落實，對基層分支機構進行監督管理，并保持與總行風險管理信息的溝通。與之形成鮮明對比的是，國內銀行總分行之間以及對業務部門進行直接的操作風險管理這塊基本上由內部審計部門和風險管理委員會負責，這些部門僅在總行有設置，在基層機構基本沒有專門控制操作風險管理的部門，這就造成基層分支機構操作風險管理職能不到位。
（三）制度建設跟不上，制度執行不力
從某種程度上講，防范操作風險最有效的辦法就是制訂盡可能詳盡的業務規章制度和操作手冊。凡是那些風險管理做得比較好的銀行，其在制度建設方面必定是完善的。在這方面，外資銀行的做法顯然值得國內銀行學習。他們對每種業務都會制訂詳盡的操作手冊，并列示所有潛在風險點。這在很大程度上減少了操作人員因操作不當引發操作風險的可能，并為操作風險管理部門的監督提供指導。而國內商業銀行的制度和體系建設還有待進一步建立和完善。此外，制度執行不力也是我國銀行業在操作風險管理上的一大問題。有些制度形同虛設，則會失去約束力。
三、完善商業銀行內控制度，防范和管理操作風險的幾點建議
（一）建立完善商業銀行操作風險管理信息系統，加強信息溝通和信息披露制度
1、建立完善的操作風險管理信息系統。完善的信息系統能有效提高商業銀行操作風險管理的效率，該管理系統既能夠支持操作風險和控制措施的自我評估，關鍵風險指標的監測、報告程序，又能夠輔助生成風險識別、評估和檢測報告。在該管理系統提供的分析工具，包括對操作風險機構分布、業務縫補、發展趨勢以及控制狀態的相關數據進行多維度的分析，并且能夠記錄和存儲與操作風險損失相關的數據。
2、在完善該信息系統的同時還要加強損失數據庫的建立。新協議中對損失數據的重要性進行了強調：“委員會認為，根據統一的損失風險和業務歸屬的定義，各銀行有序的收集數據并且在銀行業內進行合理的共享，對于操作風險計量的高級計量法十分重要。若沒有這些數據，委員會在制定操作風險最低資本限額時將采取保守的假設?！笨梢?，為了我國可以盡快采用先進的操作風險度量方法，提高風險管理水平，各銀行就應提前作好損失數據的收集整理工作，建立各業務部門的損失數據庫。
3、建立有效的信息溝通、傳遞系統，完善信息披露制度。商業銀行操作風險的發生有很大一部分是支行在剛開始發現問題時，隱瞞不報，導致風險進一步惡化，損失進一步擴大。如果相關信息采用恰當的形式并在恰當的時間內溝通，這樣相關的管理和審計人員能夠有效履行職責，采取適當的行動，防范和控制風險。建立一個有效地溝通機制，使相關信息能在總行分行之間，在管理層之間及時共享，使相關個層面擁有所需信息。
（二）實行業務條線管理，全面落實操作風險管理責任制。
1、實行業務條線管理。我國的操作風險損失案件一再證明了商業銀行的基層分支機構是操作風險的易發點，這與基層行監督制約機制薄弱有重大關系，因此內部控制制度加強對銀行管理鏈條的末端——基層營業網點的有效監督，尤其要加強對基層分支機構“一把手”和重要崗位人員的監督，從源頭上防范和控制操作風險損失事件的發生。具體做法為改變原來的行政條線管理為業務條線管理，銀行的管理活動是按業務條線垂直進行的。
在制定業務部門流程及政策時，充分考慮操作風險管理和內部控制的要求，保證各級操作風險管理人員參與各項重要的程序、控制措施和政策的審批，以確保與操作風險管理政策的一致性。此外，擬定、監測部門關鍵風險指標、容忍度指標，定期向操作風險管理職能部門報告本部門操作風險管理狀況，及時報告重大操作風險事件。
2、真正落實問責制。明確各級管理者及每位操作人員在防范操作風險中的權利與責任，并進行責任公示，不僅讓責任者完全知曉個人責任與權利，在此權責范圍內行事；而且也讓本單位內部干部員工、上級來監督該責任人對權責的履行情況，并通過各種渠道來評估、反映來自不同方面的意見。
（三）對商業銀行操作風險進行資本計量，探索操作風險度量模型
對商業銀行操作風險進行量化管理是現代銀行經營管理的發展趨勢。操作風險資本計量是按照銀監會規定的操作風險資本計量的方法和要求進行計量，并合理配置操作風險經濟資本的過程。根據《巴塞爾新資本協議》，巴塞爾銀行監管委員會為銀行提供了3種可供選擇的操作風險資本計量方法，即基本指標法、標準法和高級計量法。
我國商業銀行操作風險的模型化發展基本上還處于零階段，這就造成操作風險的管理始終停留在內部審計和主觀判斷的低層次。只有把操作風險量化研究與控制框架結合起來，才能為操作風險管理提供科學的依據，這是國際活躍銀行管理操作風險的趨勢，也是我國商業銀行的最終選擇。在現有數據條件下，可以按巴塞爾委員會的標準法提取資本金，不斷熟悉、完善該操作方法的具體過程，不斷積累操作風險度量的經驗，為將來采用精度更強、靈敏度更高的度量模型做準備。
（四）將操作風險納入管理文化建設中，打造基層行操作風險管理文化
第一，加強職業道德教育、提高員工素質，尤其對于新入行員工，要在他們踏上工作崗位的第一天，就將內控文化理念灌輸到他們的思想中，為操作風險的防范做好最基本的準備。第二，加強內控安全意識教育。一方面要提高員工對內控安全重要性的認識；另一方面，通過認真解析一些典型案例，強化柜員自覺規范操作的意識。第三，強化內控優先的意識。正確處理業務發展與制度執行的關系，將內控貫穿于業務發展的全過程，克服制度阻礙業務發展的偏見，自覺執行各項規章制度。
參考文獻：
1、張吉光.商業銀行操作風險識別與管理[M].中國人民人學出版社,2005.
2、李發新.論我國商業銀行操作風險的度量與管理[D].山東大學,2008(5).
3、鐘偉,王元.略論新巴賽爾協議的操作風險管理框架[J].國際金融研究,2004(4).
4、胡琳娜,沈沛龍.基于熵理論的商業銀行操作風險管理信息溝通有效性模型[J].科技情報開發與經濟,2008(35).
5、馮芳.基于內控視角的商業銀行操作風險管理問題研究[J].銀行分析,2008(382).
