操作风险是指由于不完善的内部操作流程、人员、系统或外部事件而导致直接或间接损失的风险，包括法律及监管合规风险（但不包括战略风险和声誉风险）。工银安盛于1999年成立，自2012年新合资公司成立起开始进入高速发展的轨道。公司成立前期，的风险管理部主要关注量化风险，后续逐渐提升非量化风险的关注度，2013年下设操作风险管理团队，经过三年的建设，量化和非量化风险管理经验得到积累，借助“偿二代”的实施，工银安盛的风险管理文化得到进一步推广，2016年在偿二代SARMRA得分81.77分。

一、操作风险管理概述

操作风险管理目标首先是要建立健全操作风险治理架构，加强针对操作风险的识别能力，强化对于过程的控制和提高公司运营效率，采取有效风险控制和缓释措施来提高控制能力和水平。风险管理的组织架构是自上而下的三道防线。第一道防线是公司各业务部门管控本部门的操作风险；第二道防线是公司内部设立的风险管理委员会、风险管理部和法律合规部，负责协调组织操作风险管理、披露操作风险管理有关信息；第三道防线是内审部负责监督操作风险管理有效性。

公司操作风险管理框架主要包括四个部分，第一部分为识别，识别重大操作风险，追踪风险来源，收集真实的损失数据；第二部分为评估，通过评估相关风险的发生平率和严重程度确定重大操作风险，为将来逐步开展操作风险量化管理做准备，为资源配置提供依据；第三部分为风险缓释，基于风险自评估和损失数据收集采取相应行动计划减少风险；确保应对极端风险或灾难的快速恢复能力；确保有效的风险管理和风险缓释；第四部分为内外部报告和监测，通多定期报告汇报操作风险和损失，确保风险监控与公司风险偏好/容忍体系一致，内部控制。

针对不同水平的操作风险，一般需要采取不同的应对策略。对于高频高危的操作风险应采取规避策略，对于低频高危的操作风险应采取转移策略，对于高频低危的操作风险应采取降低策略，对于低频低危的操作风险应采取承担策略。

而风险管理决策要以风险识别、风险衡量、风险评价为基础。公司应当制定风险偏好管理政策，将风险偏好体系融入经营决策，采用定性、定量相结合的方式，确定各类风险的风险容忍度和风险限额，并定期监控容忍度和限额的执行情况。同时，将风险容忍度转化为可以在日常业务中操作并监控的指标，使公司风险容忍度直接引导业务决策。

从实务的角度讲就是说，关于风险容忍度的计算，对于可量化风险，如市场风险，公司可通过设置权益投资比例限额的方式设定权益风险限额，进行评估监测和管理。而针对难以量化风险，如操作风险，公司通过RCSA（操作风险与控制自我评估）进行定性分析，结合LDC（损失数据搜集）情况，综合评估出重点风险管理领域，对应设立客观的KRI指标(关键风险指标)及阈值上限，后续通过KRI指标的变化情况，评估风险管理效果，以确保公司重大风险可控。

如上所述，工银安盛在操作风险管理实务中，将RCSA（操作风险与控制自我评估）、LDC（损失数据搜集）和KRI指标(关键风险指标)三大工具进行有机结合，对操作风险进行识别、衡量、评价、应对、监测 。下边我将针对三个工具的应用进行具体介绍。

二、RCSA（风险控制自我评估）

（一）重大风险评估

管理方法上工银安盛是借鉴量化管理模式，结合工行与安盛集团在风险评估上的经验，公司每年有类似RCSA的年度重大风险评估，找出对公司发展较大的各项风险点，在与各部门进行交流访谈的基础上，对主要风险进行分析和评级，针对极高风险确定风险管理改进责任部门，制定风险改进计划，按计划实施风险改进措施。通过风险指标的监控评估改进效果并判定改进后重大风险的预估风险等级。重大风险评估主要分工、流程如下：

评估要求：保险公司应当完善销售、承保、理赔、再保险、资金运用、财务管理等各业务条线的内部操作流程，在全面管理的基础上，对公司重要业务事项和高风险领域实施重点控制。

评估依据：依据《操作风险管理办法》《风险排查制度》，对可能出现的操作风险的识别和分析：涉及销售误导、理赔欺诈、投资误操作、洗钱、财务披露错误、信息安全、系统故障等方面的操作风险进行识别、分析的制度；对已识别的风险进行分析和评价：列举了信息安全和系统故障的分析评价相关制度；针对流程重大变化的风险识别与分析：《产品管理办法》、《新产品系统开发工作流程》。

评估方法：通过风险发生概率与风险发生的后果对公司的风险进行分类与评级，并赋予不同的风险级别。针对不同的风险级别，筛选出公司重大风险由董事会风险管理委员审批。风险负责人将制定风险缓释方案，确立关键风险指标，并定期追踪结果。

评估途径：重大风险评估通过与各部门交流访谈的形式，收集各项经营信息、品质指标和风险线索，并与相关部门共同研判各项风险的成因和对实际工作的影响，确定各项风险的评级；并组织相关部门针对风险实质提出管理改进计划，设定监测指标，落实责任部门和管理改善的时间节点。从而持续推动公司风险意识和风险文化建设以及公司内部控制和管理程序提升。

（二）操作风险自评估

公司每季度有操作风险自评估，结合偿二代要求，基于历史数据、行业情况、监管评价、案件情况等，对操作风险水平进行自评估。

1.自评估方法

根据保监会要求组织填报九类操作风险及合规风险，并根据通知中要求的权重及计算公式进行自评估。公司以风险为导向，基于操作风险难以量化的特点，从人员因素、内部操作流程、信息系统、外部环境和日常监管等五方面，评价保险公司的九类操作风险及合规风险。我公司已印发《工银安盛人寿保险有限公司操作风险管理办法》，对公司操作风险评估工作的分类、频率、责任部门等进行了明确。

2.评估流程

基于历史数据的评估。根据保监分类风险综合评级数据具体评价标准，主要从如下七个方面着手：风险综合评级数据；监管现场检查和监管措施；案件：案件包括业内案件；重大事件；劣于行业情况的操作风险关键指标；高于行业情况的损失数据；专项自查等工作发现的风险点。

基于操作风险管理能力的评估。结合第三季度完成的SARMRA评估保监现场反馈，评估操作风险管理的制度健全性和遵循有效性；根据近四个季度的操作风险管理报告、管理能力评价报告（报表），从制度体系建设与完善、管理流程的梳理与优化、制度执行有效性、人员岗位匹配情况、管理自动化程度、管理集中度等方面评估操作风险管理水平，预估管理过程中可能隐含的风险。

结合基于历史数据和基于操作风险管理能力的评估情况，包括针对已经发现的问题、损失数据，已经和即将采取的应对及防范措施等，得出操作风险评估结果。

三、KRI(关键风险指标)

KRI指标在职责分工上采用三个层级联动管理。总公司风险管理部应牵头总公司各部门建立、应用和维护关键风险指标库，监测可能造成损失的各项风险，并采取相应控制措施。第一道防线部门应定期将监测结果及时反馈，由总公司风险管理部进行整体分析与评估。设定原则遵循整体性、重要性、敏感性、可靠性依据管理范围、业务领域及重要程度等因素进行制订，重要的是一定要少而精，尽量利用现存各部门的统计评价指标。

总公司各部门中的功能组负责本专业操作风险关键指标KRI监测的组织和管理工作，为公司层级和部门/业务线层级监测工作的实施提供业务技术支持；总公司各部门负责人指派联系人落实公司监测工作要求，负责牵头组织推动本部门/本业务线操作风险关键指标监测工作；总公司风险管理部负责公司层级操作风险关键指标监测工作的组织和管理工作，牵头制订，组织，指导，协调公司开展监测工作，定期报告管理层风险管理委员会。

四、LDC（损失数据搜集）

损失数据收集的目的是识别公司内最重要的风险事件，可以用于评估风险管理投入的潜在回报，供风险管理决策使用，同时损失数据收集的是公司已经发生的损失，这需要与第一道防线建立起写作沟通机制。；提供RCSA准确性的基准，为将来进行专项的操作风险计量做数据准备。但是损失数据面临天然的困难，因为员工本能的不愿意将因人为导致的操作错误暴露出来。

操作风险计量系统示例-内部损失数据收集流程图如下：

损失事件有7大类型：内部欺诈、外部欺诈、就业制度和工作场所安全事件、客户产品和业务活动、实物资产损坏、IT系统事件、执行交割和流程管理事件。需要重点关注直接导致财务影响的损失：被诉讼且败诉（含仲裁）损失事件、非涉诉类内部欺诈事件、非涉诉类外部欺诈事件、行政处罚类事件、信息系统和系统安全类事件、实物资产损害类损失事件、人员因素导致的其它操作风险事件。

操作风险损失事件界定包括条件鉴定：由不完善或有问题的内部程序、员工、信息系统，以及外部事件引起；该事项具有直接的财务损失影响后果；已发生或将发生的损失影响能合理、可靠地确定。损失表现包括：对外赔付；金融资产减值；法律成本；罚没支出；实物资产毁损或减值；追索失败损失；其他损失（包括因资产管理类操作事件引起的资金与市场）如交易业务损失。

损失计量方面包括损失暴露（指在不考虑任何损失收回的前提下，操作风险损失事件可能造成的损失影响）和缓释后净损失（指扣除包括保险理赔等的所有损失收回后操作风险损失事件实际造成的财务损失）。

五、三大操作风险管理工具的关系

RCSA与KRI根据公司风险偏好进行自上而下传导，自下而上的实施，RCSA偏向于事前风险指标，用于识别高等级风险，识别潜在可能发生损失事件的的区域，通过风险识别，建立全员风险识别文化，促进风险管理文化的转变，RCSA发掘一道防线员工的风险管理意识，具有风险提示的作用。LDC属于后验指标，LDC搜集的损失数据为RCSA提供了重点评估目标领域指引，损失数据侧面验证了RCSA的评估准确性。LDC搜集的损失数据为KRI的客观设置提供了参考依据。

三者的关系简要如下图：

六、内外部报告和应急管理

刚刚的介绍主要涉及操作风险管理框架四个部分中的前三个部分，识别、评估、风险缓释；第四部分为内外部报告、监测，我就简要介绍一下在内外部报告机制和应急方面的做法。

（一） 内外部报告机制

保险公司在识别、分析和监控操作风险基础上，建立公司内部的操作风险管理报告机制，至少每半年向高级管理层报告一次操作风险评估和管理情况。保险公司建立操作风险的内外部报告机制，包括报告的责任、路径、频率等。总公司风险管理部牵头，组织定期向管理层报送四类内部报告各级机构日常监测突发事件信息，及时上报，必要时应急处置工作组向管理委员会汇报。

（二）监测和应急

保险公司建立舆情监测机制，搜集和评估社会公众对偿付能力信息公开披露的反映，建立应急预案，防范声誉风险。预案启动点设置有：恶意歪曲公司形象的负面报道；公司的商业秘密被媒体知悉；公司在经营、管理和服务中发生突发事件；以上三种之一可能或已经被媒体报道即启动预案。同时进行分级管理，按照性质、严重程度、可控性影响范围和紧急程度等将新闻危机事件划为Ⅰ级（特别重大）、Ⅱ级（重大）、Ⅲ级（一般）新闻危机事件；三级事件分别由总公司、分公司、分公司辖下机构启动预案。做好日常管理，做好日常媒体关系维护，主动策划宣传，做好媒体监测工作；前移新闻危机事件处理的关口，重点做好危机防范。明确舆情监测和预警工作机制，开展声誉风险排查，开展应急演练等。

七、操作风险管理的发展愿景

短期来看，通过三大工具加强管理，RCSA和KRI对公司内控、重点风险领域进行识别、评估、监控；通过KRI和LDC提供重点风险预警信息，帮助RCSA有侧重点的评估；LDC和RCSA为 KRI提供选择参考。

长远来看，应用RCSA、KRI、LDC三大工具，并将操作风险计量结果应用于操作风险管理实践，显著提高操作风险管理水平和效果。尤其是利用操作风险计量，使用自身的损失数据来计算监管资本要求监管资本的大小能够随公司操作风险管理和损失特征的不同而有所不同。更加真实的反映公司承受的操作风险，公司可以因此作出及时有效的风险管理措施防范和化解公司面临的操作风险。

当然，实施操作风险计量当前还面临一定困难，针对操作风险计量中最关键的内部损失数据，需要至少最近5年观测期的内部损失数据，数据应充分反映操作风险的实际情况。而国内公司普遍缺乏科学量化管理操作风险的经验，损失数据积累不足，数据的质量难以达到风险计量的要求。

要想解决风险计量实施困难，还需要制定长期的分步实施的方案，关键要做好数据规划，信息系统建设要为未来的操作风险度量模型发展预留数据接口，逐步确定和完善自己的建模方案。