商业银行作为一种享有国家或地方政府信用的风险管理机构，面临着各类风险的冲击，需要不断在盈利与风险之间建立平衡。其中，操作风险（Operational Risk）以其点多面广、形式多样和变幻莫测最难以预见、界定和管理。
作为集中管理风险的机构，商业银行面临多种风险的冲击，其中操作风险因具有难以预测性、多样性和随机性而备受关注。本文在分析操作风险内容特征过程中，结合商业银行的基础业务流程，创新性地从引发因素视角将操作风险划分为信息流诱发、资金流诱发和实物流诱发三种类型，并提出三项涉及流程管理的隐患。在此基础上，结合人性特质、行为科学理论和国内外操作风险实证数据，建立了结合短期可变的异常行为维度与中长期不变的员工成本维度的“三维”操作风险预警模型，从而有机整合了时间、行为和成本三大重要操作风险的影响因素，在理论上拓展了行为金融的应用。同时，前移了操作风险的管理环节，引入事前预测机制，并尝试突破实践中操作风险的特征制约，实现日常管理的未雨绸缪。
一、引言
商业银行作为一种享有国家或地方政府信用的风险管理机构，面临着各类风险的冲击，需要不断在盈利与风险之间建立平衡。其中，操作风险（Operational Risk）以其点多面广、形式多样和变幻莫测最难以预见、界定和管理。一些由操作风险引发的“多米诺骨牌效应”和“蝴蝶效应”，后果惨重、教训深刻。仅从近30年的一些公开报道来看，因操作失误或者因与操作风险密切联系的问题导致交易失败而引发了严重后果，甚至挤兑风潮的案例屡见不鲜。
英国“百年老店”巴林银行因交易员违规操作导致14亿美元亏损事件（1995）、日本大和银行因交易员违规操作导致11亿美元亏损事件（1995）、中国银行广东开平支行40亿元人民币被盗用大案（2001）、法国兴业银行交易员违规操作事件导致49亿欧元损失事件（2008）、韩国农协银行系统瘫痪导致服务停摆长达3天（2011）等典型案例，不一而足。
操作风险这一“细节中的魔鬼”，商业银行对其可谓“深恶痛绝”。对此，商业银行纷纷采取了自控、互控和监控等多重管控的方式“严防死守”，但仍是“防不胜防”，甚至屡屡被一些突如其来的事件“突破底线”。由此，很可能引发道德风险、信用风险、系统风险和声誉风险。之所以会出现这种情况，是由于操作风险具有难以预测性、多样性和随机性，因而操作风险管理很难建立类似信用风险评级、贷款风险评估那样的应用体系。
图1展示了本文的研究架构与基本脉络。本文以梳理操作风险的内涵出发，尝试从理论与实践两个方面归纳操作风险的特征，再基于商业银行的基本交易流程和资金流向，在分析操作风险典型诱因的基础上，从流程视角将其归纳为三种诱发类型——信息流诱发、实物流诱发和资金流诱发，进而又逐步梳理和提炼了操作风险的隐患，并有针对性地提出解决对策，构建了操作风险的预警模型。可以说，这一架构将操作风险的内涵、特征、诱因、隐患与预警有机地联系在一起。我们也可以逆向理解为操作风险的预警针对其隐患，而操作风险的隐患归结于其诱因，操作风险的诱因则是建立在归纳其特征的基础上，而操作风险的特征恰恰源自其基本内涵，包括理论与实践两个维度。
二、操作风险的内涵与特征
有关操作风险的定义学界主要有两类：一类是学术派，一类是实践派。其中，学术派的代表理论有海恩法则（Hein Rule）、事故致因理论（Accident Causal Chain Theory）、轨迹交叉理论（Orbit Intersecting Theory）等。其最早的定义是指排除信用风险和市场风险之外的风险（Jameson，1998）。
实践派的代表理论如商业银行的监管机构和监管规则以及商业银行本身的界定，其中最具权威性也是广为采纳的当属《巴塞尔新资本协议》（2004）。实践派认为，操作风险是由不完善或有问题的内部程序、人员及系统或外部事件所造成的风险, 包括法律风险, 但不包括策略风险和声誉风险。这类风险主要包括内部欺诈、外部欺诈、雇佣合同及工作状况引发的风险事件、客户与产品及商业行为引发的风险事件、有形资产损失、经营中断及系统出错、涉及执行与交割及交易过程管理的风险事件等7种类型，其中6类与人为因素有关（樊欣、杨晓光，2003）。不难看出，操作风险也是一种建立在盈利与风险之间的平衡。这种盈利即可能是组织盈利，也可能是个人得利；这种风险既可以是组织面临的，也可能是个人面临的，而且每时每刻都在共同面对。
操作风险主要具有复杂性、隐蔽性、关联性、风险与收益的不对称性（易会满，2006）即统计理论上的“厚尾性”（吴博、刘堃和胡丹，2012；陈倩，2012）、普遍性和广泛性（林龙腾和沈利生，2014 a）等特征。本文从风险管理和过程控制的视角，将其归纳为难以预测性、多样性和随机性。
难以预测性不仅仅指操作风险的发生在很大程度上难以预测，还包括操作风险引发的后果的严重性和影响范围也难以预料；多样性是指操作风险的发生形式多种多样，既有主观臆断导致的也有长期疲劳疏忽造成的，既有外部抢劫骗取的也有内部违规办理的，既有持续很长时间的也有发生转瞬即逝的，既有出现重大损失的也有未产生实质影响的；随机性是指发生的概率随机、地点随机、被涉及人员随机、金额随机：今天可能在美国的A商业银行发生，明天就可能在中国的Z商业银行出现，其发生频率主要呈现泊松分布（Poisson）（周好文、杨旭、聂磊，2006；Chernobai、Jorion 和 Yu，2011），其损失程度主要呈对数正态分布（Lognormal）（Feng、Chen 和 Li，2009；李建平、丰吉闯、宋浩和蔡晨，2010；王宗润、汪武超、陈晓红、王小丁和周艳菊，2012）等。而这其中遵循的统计规则和概率特征，值得进一步探索和研究。
操作风险的影响较大，其复杂性、难以预测性、多样性等特征可引起连锁反应（即强化其关联性），进而可能引发道德风险、信用风险、系统风险和声誉风险。众所周知，商业银行的风险管理主要包括市场风险（Market Risk）、信用风险（Credit Risk）和操作风险等三类，即新巴塞尔协议的“三大风险”，此外还有战略风险、系统风险、法律风险、策略风险、业务风险、利率风险和声誉风险等其他划分（葛兆强，2005；李宝宝，2011）。其中，操作风险可能与上述其他风险类型互为因果，即信用风险、系统风险和声誉风险等可能诱发操作风险，而操作风险也可能导致信用风险、系统风险和声誉风险的发生，甚至引发市场风险。
例如，英国巴林银行交易员事件（1995）就是由“王牌交易员”里森的错误交易和长期隐瞒导致8.6亿英镑的损失，继而引发信用风险，最终导致存续233年的老牌银行倒闭；又如，日本大和银行（1995）因职责不清，在长达11年的时间中隐瞒了纽约分行主管交易的执行副总裁井口俊英美国国债交易失败的事实，损失达11亿美元以上，继而引发了严重的负面声誉风险。
对操作风险的划分并无定论，很多研究或论述都是根据其结果分类（如巴塞尔协议Ⅱ〔2004〕），另外也有依据发生频率高低和损失程度大小划分（王建伟、彭建刚，2005）的。根据划分的原因或过程，目前大致有以下几种分类方法。
一是从引发操作风险的主客观因素来看，可以分为主观因素导致的操作风险和客观因素导致的操作风险两大类。前者即“主动犯错”或“故意犯错”，后者即“被动犯错”或“无意犯错”。
二是从引发操作风险的内外部因素来看，可以分为内部因素导致的操作风险和外部因素导致的操作风险两大类。与“委托-代理问题”类似，前者可能源自“道德风险”或“内部人案件”，后者可能源自“暴力案件”或“欺诈案件”等。
三是从引发操作风险的时间点来看，可以分为事前风险、事中风险和事后风险。目前，商业银行对于操作风险的管理大多数集中在事后阶段，只有少数商业银行采取了设立监控模型等实时监控措施，将风险环节前移到事中阶段。但是，对于事前风险即操作风险事发之前的预测和管控仍是一大空白。即使是《巴塞尔新资本协议》针对操作风险计量提出的的内部衡量法（Internal Measurement Approach，IMA）损失分布法（Loss Distribution Approach，LDA）和记分卡法（Scorecard Approach，SA）三种高级计量方法（Advanced Measurement Approach，AMA），也仍属于就损失概率和数值的事后统计与预测估计，而并未关注操作风险事件发生的原因和伴生现象[]。
三、操作风险的三种类型
那么，是否存在其他的思路和视角，能够提供一种基于操作风险发生诱因的分析？只有厘清了操作风险的“来龙去脉”，结合对异常行为的监控，跟踪不合规的或非法的财物流向，才能更好地预测、追踪和管理操作风险。本文尝试从商业银行基本的交易流程和资金流向出发，重新划分操作风险，并提出流程视角三种操作风险诱发类型和三大潜在风险点。这一基于实践提炼的视角涵盖了操作风险所涉及的公司金融、交易和销售、零售银行、商业银行、支付和结算、代理服务、资产管理、零售经纪等八大业务条线和商业银行几乎全部的基础业务，在操作风险的预防管理上具有一定的普适性。
在商业银行的日常经营管理实践中，主要“制造”了三种具有价值的交易流向：信息流（主要是数据流）、资金流（主要是账务流）、实物流（主要是现金流），且这三种交易流向均可能引发风险。其中，信息流本身不具备价值，但由于其可能导致资金流和实物流的变动而变相产生了价值；而资金流和实物流，由于本身涉及账务或现金变动，因而具有一定的价值。特别是资金流，可以选择不同的通路而更加分散隐蔽，可以涉及更大的金额和更多的账户。这三种流向之间也可以相互转换，主要分为以下三类诱发情境：
（一）信息流诱发类
信息流诱发类的诱发顺序为：“信息流—资金流—现金流”，即通过信息流获取账务资金、改变交易环节，导致资金流的变动，进而引发现金等实物流的改变。例如境外盗刷信用卡等案件以及个别相关人员倒卖客户信息等风险事件，极有可能威胁相关客户账务的安全。2014年10月，央视报道台湾某犯罪团伙在西安等地盗取客户ATM交易信息，分笔汇入其他商业银行并分散取走，正是循着“非法获取客户银行卡和密码信息—制作伪卡并转出资金—异地取现”这样的作案流程。不难看出，信息流诱发的操作风险主要涉及个人业务，即零售金融业务，如开户、办理信用卡、存取款、办理网上银行、客户对账等，也有一定数量的公司业务以及金融交易。由于后两者流程更为复杂，一般的犯罪份子和外部力量难以介入。
（二）资金流诱发类
资金流诱发类的诱发顺序为：“资金流—资金流”或“资金流—实物流”，即通过不当或非法操作获取客户的资金，将合法资金流变为非法，进而引发现金等实物流的改变。这一诱发模式主要是将他人合法的资金流变成操作者非法的资金流，或者直接非法进行取现、套现等操作。如常见的电话诈骗汇款，犯罪份子采取种种“话术”，骗取客户的信任，并步步诱使客户主动操作，将其账户内的资金转到犯罪份子预设的账户之中，再采取分散异地取现的模式变现，所循作案流程为“客户正常资金流－诈骗账户非法资金流—异地取现”。不难看出，资金流诱发的操作风险一般涉及个人业务，也涉及公司业务和其他复杂的各类金融交易。后两者中，以相关人员内部交易、内部操作失误或内部作案居多。
（三）实物流诱发类
实物流诱发类可以归纳为：“实物流—实物流”或“实物流—资金流”，即直接非法获取或持有现金、贵金属等实物，暴力将合法流向变为非法；或者将非法获取的实物转换成资金流，便于携带和转移。由于现金具有“价值尺度”和“介质中介”的作用，且“金银天然是货币”，所以实物流的诱发模式最为直接。例如抢劫客户、盗窃金库等。2007年中国农业银行邯郸金库案导致5100万元人民币现金损失，其他针对客户取款的尾随抢劫也依然存在。不难看出，实物流往往涉及存取款、大额存单、现金保管、贵金属实物交易等基础业务；在国外还可能涉及与现金实物作用相近的票据、信用证等业务，如支票、本票、汇票等实物的非法获取和诈骗。
如图2所示，左侧是三种类型的操作风险诱因，多源于物质利益。《史记·货殖列传》中记载“天下熙熙，皆为利来；天下攘攘，皆为利往”说的就是这个道理。人作为社会人有其物质追求和欲望，这是人的天性之一，但如果不能采取合理、合法的手段获取，就容易引发不良后果。这在金融业，特别是银行业的具体表现即为操作风险。钟鼎礼（2012）从对某国内商业银行的实证抽样研究发现：人为因素引发的损失事件发生频率较高，损失金额也较大；无独有偶，汤凌霄和张艺霄（2012）对四家国内商业银行进行网络分析法评估，从人员、制度、过程与系统、外部等方面筛选指标并量化建模，也发现人员因素最为重要。
图2右侧主要阐释三种类型操作风险的特征：“较常见”主要衡量操作风险发生频率（包括发生数量和周期分布），“较复杂”主要衡量操作风险发生环节（包括影响范围和作用结果），“较直接”主要衡量操作风险发生概率（包括持续时间和实施流程）。“信息流—资金流—现金流”的信息流诱发类操作风险较为常见、也比较复杂；“资金流—资金流”的资金流诱发类操作风险比较复杂亦比较直接，“资金流—实物流”的资金流诱发类操作风险比较常见；“实物流—实物流”的实物流诱发类操作风险较直接，“实物流—资金流”的实物流诱发类操作风险也较为常见。
经查阅对国内商业银行整体情况的实证研究，一些研究支持了本文的观点，且结论呈现一定的连续性和递进性特征。例如，樊欣、杨晓光（2003）对1990—2003年间媒体公开报道的71起商业银行损失事件的分析表明：损失事件的类型主要归因为内外部欺诈，占报道事件的近80%，其中内部欺诈在数量和金额上都高居第一，占比超过50%。又如，袁德磊、赵定涛（2007）对2000—2005年间媒体公开报道的317起商业银行损失事件的分析也有类似结论，其中内外部欺诈引发的操作风险占比居高不下，超过80%。他们还发现，在内部欺诈引起的155 起损失事件中，有84件持续了相当长的一段时间，时间跨度在数月甚至长达数年。再如，在吴琼、范文婷（2013）对2005—2012年间媒体公开报道的189起商业银行损失事件的分析中，内外部欺诈（含内外勾结欺诈）的损失数量和金额占比有进一步提升，均在90%；还有陈平、戴伟光（2011）对1987—2009年间媒体公开报道的713起商业银行损失事件所做的分析也发现，内外部欺诈（含内外勾结欺诈）的损失数量和金额占比均在90%左右。
四、操作风险的三种隐患
既然内外部欺诈存在较高的操作风险隐患，那么能否从中总结归纳出有关规律？结合图2不难看出，无论哪种流向的转移，都暗含着信息或财物持有人的变化，大多都是从合法转向非法。因此，从信息流、资金流和实物流的主体（即其持有人或掌控人）来看，主要发生三种类型的变化：
一是从所有者到非所有者，如果非所有者不是所有者希望或者预计的交易对象，则会引发风险（例如柜员操作失误，客户输入错误的账户）；
二是从使用者到操作者，如果操作者不按照使用者的要求和制度约束办理业务，则可能引发风险（如柜员将客户的资金违规转入自有账户，又如电话诈骗者诱导客户将现金存入其控制的指定账户等）；
三是从相关者到不相关者，如果不相关者客观找不到相关者的联系方式或者主观不愿意归还相关者财物，则可能引发风险（例如操作ATM的客户拾到上一位客户遗忘的现金，又如某客户的账户莫明其妙地收到大额资金等）。交易流向诱发的操作风险分类主要基于信息、资金和实物的流向和改变，建立在内部人员主客观失误的基础上。那么，又是什么原因导致相关人员失误？商业银行的内部管理，特别是针对操作风险的管理是否存在潜在隐患？
第一个问题前文已经有所描述，从引发操作风险的主客观因素来看，可以分为主观、客观因素导致的操作风险两类。前者即“主动犯错”或“故意犯错”，如非法占有、挪用和转移等；后者即“被动犯错”或“无意犯错”，如长时间操作疲惫、倦怠、不留心等。显然，主观因素导致的操作风险的道德影响更重，所造成的的负面影响更为恶劣，如果处理不当，更可能影响其他正常工作人员的心态和行为。“轨迹交叉论”可以反映绝大多数事故的原因：相关统计数字表明，80%以上的事故既与人的不安全行为有关，也与物的不安全状态有关。从这个角度来看，如果我们采取相应措施，控制人的不安全行为或物的不安全状态，避免二者在特定时间、空间上的交叉，就可以在相当大的程度上控制事故的发生。由于商业银行的运营和服务主体都是人，因此人的不安全行为或异常行为尤为值得关注。
第二个问题值得我们进一步分析。无论流向的变化或者流向持有人的改变，都伴随着流程与交接，都必须经过人工或系统处理。根据近年来的公开案例和发生的典型风险事件，本文认为，操作风险的主要隐患或者关键风险点包括以下三种：
一是流程交接。越是复杂的流程越可能犯错，越是冗长的流程越有机会犯错；同时，复杂和冗长的流程还容易给不法之徒更多的机会和诱惑，也使得出现问题之后需要更长的时间和人工来梳理和发掘。
二是管理交叉。越是交叉管理、多头管理越可能没人管理、无人问津，出现“三不管地带”，并可能给予不法之徒更多的违规空间。
三是人员履职。无论操作人员基于岗位设置要求或“人岗匹配”原则，还是管理人员基于管理幅度原理和管理层级理论，人员履职一定力求适合，不宜过大也不宜过小。过大容易导致人员履职不力，从而不按照制度要求落实；过小则容易导致工作倦怠或者感觉“大材小用”，从而有更多的非分之思。
如图3所示，针对第一种风险隐患即“风险点1”，应从业务流程的视角，进一步梳理和简化流程，明确各个节点，特别是容易引发流向变化、内容变动的权利和责任的边界。针对第二种风险隐患即“风险点2”，从部门分工组织的视角，需要进一步明确各部门职能，尽早实现从部门银行向流程银行的转变，对于有条件的业务条线尽快构建利润中心。针对第三种风险隐患即“风险点3”，一方面需要建立完备的人力资源管理体系，明确岗位说明、考核目标和人员需求，实现“能岗匹配”和“人岗匹配”，以避免各个部门的规章制度最后统统以操作员作为“落脚点”，使操作个体承担较大的风险；另一方面要从个体管理和控制的角度出发，防止“知人知面难知心”，进一步从“知心”入手加强管理，在日常工作中加强与各级员工的交流。此外，还需要借助系统管理的手段，实现关键流程和环节的系统硬控制，减少人工干预的可能，以此杜绝不当操作与不合规操作，防范可能出现的异常操作。
五、预防管理的行为思路
操作风险会出现两种转化：一是“渐变”，即渐进的变化；二是“突变”，即突然的变化。渐进的变化可以被观察到，甚至可以实施提前预测和防范；但是对于突然的变化则绞难预测。我们需要考虑的是：是否可以依据大数据的思路，借助系统手段，从异常行为预防的角度进行监控和管理？目前，国内基于行为金融理论关注操作风险的研究极少，仅费伦苏（2009）梳理了相关理论体系。从行为科学的理论出发，个体的行为受其态度影响，而态度则由其价值观所决定，即“价值观—态度—行为”决定论（罗宾斯，2012）。人的态度很难预测和展现，但是人的行为却可以测量和分析，甚至可以归结成一定的概率或规律。因此，异常行为也可能因其态度的改变而导致其他相关行为的变化。这些衍生行为可以作为最终引发操作风险行为的先验。甚至两种行为会呈现出一定程度的因果关系。因此，一旦出现这类行为，很可能导致异常的操作行为，引发操作风险。
通过观察研究，笔者也关注到，不是所有员工都会出现操作风险，特别是重大操作风险。作为“理性人”，员工“犯错”也有其成本，且因个体情况差异较大，违规成本也高低不同。由此，我们根据近年来的典型操作风险案例，尝试从更多的异常行为维度并结合员工成本维度来预测和管理。本文引入时间作为第三种维度，主要分为可实施监测的维度，即短期可变的行为维度（1年以内），以及定期修正维度，即中长期不变的成本维度（1年以上）两大类。从出现操作风险的个体出发，从其需要的视角来推理，可能会不自觉地导致的异常行为。
如图4所示，我们首先尝试建立基于时间、行为和成本三大重要操作风险的影响因素作用模型。为便于展示，我们将三个维度以二维图形、九个区间的形式呈现。如果员工试图主动违规操作，他一定会在违规得利和违规成本中做出选择，一旦形成意图，便会通过一系列相对隐蔽的行为来加以实施，并在违规的全过程时间段内有所体现。一般而言，员工的行为越隐蔽、违规的时间越长，越难以被日常监控和定期检查发现，其非法得利往往也越多，而引发的操作风险可能也越大。
首先，从纵轴的违规成本来看，区间①、②因违规成本较高，导致操作风险较少发生；区间③、④因成本增加需要员工在是否违规中做出选择；区间⑤、⑥因违规成本较低、使得操作风险发生可能较大。其次，从横轴的违规时间来看，区间①、③和⑤因违规时间相对较短，在一年以内，非法获利常常在可控区间以内；而区间②、④和⑥因违规时间相对较长，在一年以上甚至数年，非法获利往往较大甚至极大。
因此，商业银行需要重点关注区间⑥的操作风险事件，避免“黑天鹅”型损失的发生；同时需要关注区间⑤、④和③，将操作风险损失控制在合理范围。值得一提的是，虽然并非一定是违规时间越短操作风险所导致的损失就越小，但基本仍会呈现与时间序列同步增长的趋势，因为更长的时间。等于给了不法人员更多的作案机会。
（一）实时监测维度（短期可变行为维度）
1. 异常流向维度
操作风险导致损失一般伴随着大额资金流、实物流和信息流。同时由于流向的改变伴随着所有人的改变，且账户所有人或实物掌控人呈现从所有者到非所有者、从使用者到操作者、从相关者到不相关者的情境。因此，在实时监测维度中，首当其冲的是资金流等的异常流向维度，特别是大额资金的变动，需要进行实时监测和核对。这与反洗钱的要求类似。
2. 异常时间维度
根据公开的典型案例和我们对有关操作风险事件的长期观察和总结，一些操作风险的当事人尽管思维缜密、对于异常的操作做了周密的准备和计划，甚至即将得手，但是，期间仍有一些蛛丝马迹可以追寻。除了正常的操作之外，进行额外的操作需要一定时间，因此这类人员可能在一定时间内出现频繁的请假、迟到、早退等，且以病假居多。
3. 异常班次维度
按异常时间维度的阐述，虽然需要时间，但单靠请假并不能满足这类人员的需要，因为请假在很大程度上会使得当事人脱离工作岗位，而在非工作地点只能完成事前准备。由于操作风险与工作流程联系紧密，因此这类人员还需要挤占工作中的时间，于是可能出现一定时期内大量的主动加班、替班、代班等。这并非“活雷锋”，而是在“积极”之后另有隐情[]。
4. 异常岗位维度
由于违规操作不仅仅需要时间，而且受制于空间（例如，商业银行中很多操作岗位设计了互控、监控的模式，既有来自他人的相互监督，还有来自上级的授权和监控），因此，当事人除安排好工作外的准备和工作中的时间外，还需要考虑独立的工作空间。于是其可能在一定时间内出现突发的轮岗、兼岗、换岗等，积极要求“多办业务”、“代人履职”或“代客理财”等。
5. 异常交易维度
在安排好工作的时间与空间之后，可能距离操作风险的东窗事发仅一步之遥。此时，当事人可能会出现与客户、其他员工、可疑账户的往来大额交易，通过资金转移或分散的方式， 或“蚂蚁搬家”的模式来分散和转移实物。随后，当事人可能还会回到异常时间的维度，以请假、迟到、早退等方式逃之夭夭。
（二）定期修正维度（中长期不变成本维度）
1. 契约类型维度
上述异常行为是否受到制约？从操作风险的违规成本的视角出发，在忽略出于客观原因“无意识犯错”的情况下，“主动犯错”的成本值得梳理。这一违规成本与当事人的合同关系联系密切，临时合同、短期合同、中期合同、长期合同与无固定期限合同的违规成本截然不同。不难看出，中长期合同更体现了长期的保障，给人更多的安全感。
2. 工作年限维度
结合合同的类型，引发操作风险当事人的违规成本还与其工作年限联系紧密。例如，随着工作年限从1—3年，3—5年，到5—10年以及10年以上，违约成本会逐步增加。如果工作年限在20年甚至30年以上，即将退休，那么一般无人愿意在此时选择违约，因为成本太高，可能面临退休后彻底失去保证的不利境遇。
3. 岗位等级维度
与工作年限维度相似，一般工作时间较长、合同较长的员工，其中的部分可能位于更为重要的岗位上，例如中高层管理者等，他们的违约成本更高。不难看出，商业银行基础岗位、专业岗位、管理岗位等岗位等级的不同，也会导致违约成本的差异。岗位等级越高，面临的风险越大，但违约的成本也不断递增。
4. 薪资收入维度
与岗位等级维度相似，引发操作风险当事人的违约成本还与其薪资收入挂钩，收入越低越有违规的冲动，收入越高一些中小额度的违约风险可以忽略。从国内部分商业银行操作风险管理的实际来看，涉及中小额度损失的操作风险事件仍然占大多数，其中剔除操作失误等因素，主观因素主导的事件中，一定数量的当事人收入偏低，在该行平均水平以下。
5. 绩效考评维度
一般而言，历次绩效考评结果较好的员工，会得到较高的物质绩效，其岗位等级也会较高，可能获得更好的职业发展。受到表彰、奖励的员工也是如此，更容易获得组织认同，居于组织内的核心。这些维度较之实时监测的维度变化呈现一定周期性和规律性，需要定期补充完善。
六、操作风险预警新模型
目前商业银行信贷管理实行的是分级管理，将贷款，特别是贷后管理监测情况分为正常、关注、次级、可疑、损失五类。本文借鉴这一风险分级管理思路，构建了基于实时监测维度（短期可变行为维度）即异常行为与定期修正维度（定期不变成本维度）相组合的操作风险管理预警模型。我们拟将上述五项实时监测维度也分为五类，即正常、关注、重点关注、电话核实、现场核实。
其中，关注、重点关注两项需要提示和预警，而电话核实、现场核实需要商业银行内控合规等风险管理人员及时了解、核查。如表1中黑框内容所示，五项实时监测维度可按照潜在风险缓急和严重程度分为五类，需要一定时期的数据积累，一般至少在1年以上，这样才能有足够的时间段判别一定周期内的次数和频率。无论是异常时间维度的请假、异常班次维度的调班还是异常岗位维度的调岗，除了表1中的情况外，更应特别需要关注临时申请和调整的情况。调岗需特别关注兼岗的规范性，特别是要关注关键岗位不允许兼岗、应轮岗而未按规定周期轮岗、需要双人操作或换人复审的替班和换岗情况。那么新型操作风险预警模型如何判定员工的异常行为呢？哪些行为需要做出适当的调查与核实呢？在此，我们需要结合实时监测维度（短期可变行为维度）即异常行为与定期修正维度（定期不变成本维度）来共同验证。
操作风险新型预警模型判定举例如表1所示，主要采取先组合判定再综合判定的“两步走”方式（这是我们在逻辑推演中所采取的手段，实际投入系统运营则可能同步实时完成）。第一步，判定实时监测维度（短期可变行为维度）的组合风险情况，分别展示高风险1、较高风险1、中等风险1、较低风险1和低风险1的五种情境。第二步，考虑实时监测维度的异常行为与定期修正维度（定期不变成本维度）的稳定情况，进行综合判断。其中，契约类型、工作年限、岗位等级、薪资收入和绩效考评五项均可根据不同的状况分为长期稳定、中期稳定、基本稳定、短期稳定和较不稳定五级，代表员工工作的稳定情况，再与异常行为形成的风险级别相组合，判定得出最终的风险等级。风险等级主要分为特高风险、高风险、较高风险、中等风险和较低风险五种级别，每一种级别用不同深浅颜色表示，可以直接在预警系统中自动弹出提示。其中，特高风险为红色预警（深灰底色）、高风险为橙色预警（中灰底色）、较高风险为黄色预警（浅灰底色）；而中等风险、较低风险和低风险分别为浅紫色（浅色竖线）、浅棕色（浅色横线）和白色（白色底色）提示加以区分。
七、异常行为研究的启示与展望
基于异常行为和稳定程度监控的新型操作风险预警模型，实质是基于个体行为与工作特征的再组合，进而发现其中存在风险的可能，最终，起到预防渐变（数量多、频率高，可能影响有限）风险事件，防止突变风险事件（数量少、频率低，但影响大，即所谓“黑天鹅事件”）的目的。在实际工作中，监管机构和商业银行采取了很多系统措施，实现了不少流程创新。新型操作风险预警模型结合行为科学研究的成果会使得操作风险管理的预测更进一步。异常行为模型的建立将个体行为进一步“嵌入”金融实践，特别是商业银行操作风险管理领域，将行为金融学的理论从以往更多地关注资产定价、客户投资行为和博弈领域（孟赞、杨建文，2014）进一步拓展和创新到风险管理和预测分析领域，使得行为金融的研究与应用更具有了普适性，也更接地气。
综上所述，异常行为模型有机整合了时间、行为和成本三大重要操作风险的影响因素，在理论上拓展了行为金融理论的应用，前移了操作风险的管理环节；同时，引入事前预测机制，尝试在实践中突破操作风险的特征制约，实现日常管理的未雨绸缪。
当然，这一模型预测的结果是否准确，还需要在实践应用中不断调整和完善，需要关注同步出现的新生事务对商业银行和模型的影响。例如，从员工的稳定性上看，随着互联网金融的发展和民营银行的准入，一些传统商业银行的中高层管理者反而可能成为新兴金融机构追逐的对象，其稳定程度值得商榷，一些优秀且在业界享有一定声望中高层管理者可能会从中长期稳定的阶段过渡到基本稳定甚至短期稳定的阶段。又如，模型还可引入员工的行为记录，特别关注存在失信行为的员工。因此，未来的模型应用可能会因不同的阶段而有所差异，也可能因不同的商业银行，特别是不同风险偏好和风险抵御能力的银行而有所区别，从而适应和满足其特殊的情境。
参考文献：
1. 陈倩，基于极值理论的商业银行操作风险度量研究，中国管理科学，2012年第11期，332-339。
2. 陈平和戴伟光，我国商业银行操作风险事件特征分析，经济视角，2011年第11期，39-41。
3. 费伦苏，商业银行操作风险的行为金融理论解释，当代经济管理，2009年第1期，89-93。
4. 樊欣和杨晓光，从媒体报道看我国商业银行业操作风险状况，管理学报，2003年第11期，43-47。
5. 葛兆强，操作风险、内控机制与金融制度创新，河南金融管理干部学院学报，2005年第3期，10-17。
6. 李宝宝，商业银行操作风险管理研究综述，南京社会科学，2011年第12期，144-149。
7. 李建平、丰吉闯、宋浩和蔡晨，风险相关性下的信用风险、市场风险和操作风险集成度量，中国管理科学，2010年第1期，18-25。
8. 林龙腾和沈利生，商业银行操作风险控制自我评估实证研究，金融理论与实践，2014年第11期，57-62。
9. 林龙腾和沈利生，信用卡透支欺诈操作风险计量损失分布法实证研究，国际金融研究，2014 年第4期，32-42。
10. 孟赞和杨建文，数理金融到行为金融——理想世界到现实世界，金融理论与实践，2014年第6期，107-110。
11. 斯蒂芬·P·罗宾斯著，孙健敏（译），组织行为学（第14版），中国人民大学出版社，2012年12月， 136-150、166-181。
12. 汤凌霄和张艺霄，基于网络分析法的我国商业银行操作风险影响因素实证分析，中国软科学，2012年第8期，143-151。
13. 吴博、刘堃和胡丹，操作风险高级计量法国际监管规则的进展和启示，国际金融研究，2012年第5期，41-48。
14. 王建伟和彭建刚，保险在商业银行操作风险管理中的应用研究，金融研究，2005年第2期，124-132。
15. 吴琼和范文婷，我国商业银行操作风险损失事件分布分析，内蒙古统计，2013年第6期，20-21。
16. 王宗润、汪武超、陈晓红、王小丁和周艳菊，基于BS 抽样与分段定义损失强度操作风险度量，管理科学学报，2012年第12期，58-69。
17. 袁德磊和赵定涛，基于媒体报道的国内银行业操作风险损失分布研究，国际金融研究，2007年第2期，22-29。
18. 易会满，商业银行构建操作风险防范体系的阶段性目标，金融论坛，2006年第7期，23-27。
19. 钟鼎礼，基层商业银行个人金融业务操作风险的实证分析，管理学报，2012年第8期，1251-1254.
20. 周好文、杨旭和聂磊，银行操作风险度量的实证分析，统计研究，2006年第6期，47-51。
21. Basel Committee on Banking Supervision, 2004 International Convergence of Capital Measurement and Capital Standards: A Revised Framework, Basel Committee Publications, June 26, 2004.
22. Chernobai, A., Jorion, P., and Yu, F., The Determinants of Operational Risk in U.S. Financial Institutions, Journal of Financial and Quantitative Analysis, 2011, 46(6):1683-1725.
23. Feng, J., Chen, J., and Li, J., Operational Risk Measurement via the Loss Distribution Approach, Proceedings of 2009 IEEE International Conference on Grey Systems and Intelligent Services, 2009, 1744-1748.
24. Jameson, R., Playing the Same Game, Risk, 1998, 11(10): 38-45.
本文原载于《金融监管研究》
扫码即可手机
阅读转发此文
