提要：信息科技風(fēng)險(xiǎn)是唯一能使銀行瞬間癱瘓的風(fēng)險(xiǎn)，具有區(qū)別于其他操作風(fēng)險(xiǎn)的特殊性。需要將信息科技風(fēng)險(xiǎn)從操作風(fēng)險(xiǎn)中拆分，構(gòu)建以“目標(biāo)”和“過程控制”為導(dǎo)向的兩種信息科技風(fēng)險(xiǎn)核心監(jiān)管指標(biāo)，完善信息科技風(fēng)險(xiǎn)資本計(jì)量的框架和方法。
銀行業(yè)信息科技風(fēng)險(xiǎn)與操作風(fēng)險(xiǎn)及全面風(fēng)險(xiǎn)管理的關(guān)系
信息科技風(fēng)險(xiǎn)的定義：信息科技風(fēng)險(xiǎn)是隨著信息科技技術(shù)廣泛應(yīng)用而新生的詞匯，最早出現(xiàn)在上世紀(jì)九十年代，目前業(yè)界對于信息科技風(fēng)險(xiǎn)缺乏統(tǒng)一的定義。中國銀監(jiān)會定義的信息科技風(fēng)險(xiǎn)是指信息科技在商業(yè)銀行運(yùn)用過程中，由于自然因素、人為因素、技術(shù)漏洞和管理缺陷產(chǎn)生的操作、法律和聲譽(yù)等風(fēng)險(xiǎn)。
巴塞爾新資本協(xié)議對銀行風(fēng)險(xiǎn)的監(jiān)管理念：2001年巴塞爾新資本協(xié)議草案明確了銀行業(yè)資本監(jiān)管的發(fā)展趨勢，即將資本要求與銀行風(fēng)險(xiǎn)管理緊密相連。新資本協(xié)議以監(jiān)管當(dāng)局對資本計(jì)量的要求為基礎(chǔ)，通過約束銀行資本，達(dá)到控制行業(yè)規(guī)模和風(fēng)險(xiǎn)的目的。在新資本協(xié)議關(guān)注的三大風(fēng)險(xiǎn)中，信息科技風(fēng)險(xiǎn)被默認(rèn)為操作風(fēng)險(xiǎn)的一部分，未對信息科技風(fēng)險(xiǎn)的管理提出具體要求。
信息科技風(fēng)險(xiǎn)管理的重要性和特殊性：信息科技穩(wěn)定運(yùn)行是銀行業(yè)務(wù)正常經(jīng)營的基本條件，銀行數(shù)據(jù)集中造成了風(fēng)險(xiǎn)的高度集中，科技風(fēng)險(xiǎn)成為唯一能使銀行瞬間癱瘓的風(fēng)險(xiǎn)。信息科技風(fēng)險(xiǎn)具有區(qū)別于其他操作風(fēng)險(xiǎn)的特殊性：一是風(fēng)險(xiǎn)因素復(fù)雜，大量使用外包和新技術(shù)使得風(fēng)險(xiǎn)控制的復(fù)雜度大幅提高；二是由于管理因素、技術(shù)因素多重作用，導(dǎo)致偶發(fā)性和不確定性突出；三是信息科技一般不直接造成經(jīng)濟(jì)損失，其造成的間接損失難以計(jì)量；四是單個(gè)信息系統(tǒng)可影響多個(gè)業(yè)務(wù)，影響范圍廣且具有不確定性。
信息科技風(fēng)險(xiǎn)與操作風(fēng)險(xiǎn)比較：科技風(fēng)險(xiǎn)與操作風(fēng)險(xiǎn)當(dāng)前處在不同的發(fā)展階段，其管理理論、管理方法等方面有著一定的差異性。在管理體系方面，信息科技風(fēng)險(xiǎn)管理的理論已進(jìn)入風(fēng)險(xiǎn)導(dǎo)向的科技風(fēng)險(xiǎn)管理階段，但以風(fēng)險(xiǎn)為導(dǎo)向的識別、監(jiān)測、計(jì)量方面尚不成體系；在管理方法方面，信息科技風(fēng)險(xiǎn)的特殊性在于產(chǎn)品和技術(shù)層面的風(fēng)險(xiǎn)也是其重要風(fēng)險(xiǎn)因素；在損失特點(diǎn)方面，信息科技風(fēng)險(xiǎn)通常不產(chǎn)生直接的風(fēng)險(xiǎn)損失，這決定了通常情況下科技風(fēng)險(xiǎn)損失往往難以使用貨幣金額方式進(jìn)行表示；在風(fēng)險(xiǎn)計(jì)量方面，目前尚缺乏有效計(jì)量信息科技風(fēng)險(xiǎn)資本的方法。
當(dāng)前面臨的問題及獨(dú)立管理信息科技風(fēng)險(xiǎn)的意義：當(dāng)前銀行業(yè)大多將信息科技風(fēng)險(xiǎn)作為操作風(fēng)險(xiǎn)的一部分，納入銀行全面風(fēng)險(xiǎn)管理體系。但是，隨著行業(yè)發(fā)展和技術(shù)進(jìn)步，在操作風(fēng)險(xiǎn)模式下管理信息科技風(fēng)險(xiǎn)也存在一定的困難：一是目前的操作風(fēng)險(xiǎn)管理方法中對科技風(fēng)險(xiǎn)的管理方法涉及較少，難以兼顧到信息科技風(fēng)險(xiǎn)的專業(yè)技術(shù)特性，難以實(shí)現(xiàn)對信息科技風(fēng)險(xiǎn)的有效管理；二是風(fēng)險(xiǎn)監(jiān)管資本計(jì)量未能充分考慮信息科技風(fēng)險(xiǎn)因素，信息科技風(fēng)險(xiǎn)造成的損失及其相應(yīng)的監(jiān)管資本計(jì)量存在困難?；诳萍硷L(fēng)險(xiǎn)特點(diǎn)及其作為操作風(fēng)險(xiǎn)一部分進(jìn)行管理遇到的問題，將信息科技風(fēng)險(xiǎn)從操作風(fēng)險(xiǎn)中拆分并獨(dú)立管理，能更有效的管理信息科技風(fēng)險(xiǎn)。
銀行業(yè)信息科技風(fēng)險(xiǎn)管理在全面風(fēng)險(xiǎn)管理中的定位：信息科技風(fēng)險(xiǎn)應(yīng)被視為一種獨(dú)立的、重要的風(fēng)險(xiǎn)類型被單獨(dú)管理,與操作風(fēng)險(xiǎn)的管理分開；應(yīng)根據(jù)信息科技損失的特點(diǎn)設(shè)計(jì)與操作風(fēng)險(xiǎn)標(biāo)準(zhǔn)法和高級法匹配的計(jì)量模型，體現(xiàn)信息科技風(fēng)險(xiǎn)對銀行資本的影響和敏感性。
銀行業(yè)信息科技風(fēng)險(xiǎn)核心監(jiān)管指標(biāo)
中國銀監(jiān)會在實(shí)施“風(fēng)險(xiǎn)為本”的監(jiān)管框架中，“風(fēng)險(xiǎn)為本”理念貫穿信息科技監(jiān)管全過程。目前需要探索建立一套可量化、相對簡單、可動(dòng)態(tài)監(jiān)測的核心監(jiān)管指標(biāo)體系，來動(dòng)態(tài)監(jiān)測信息科技風(fēng)險(xiǎn)狀況，直觀評估銀行信息科技風(fēng)險(xiǎn)的管理水平。
信息科技風(fēng)險(xiǎn)核心監(jiān)管指標(biāo)的分類：核心監(jiān)管指標(biāo)作為監(jiān)管機(jī)構(gòu)識別和預(yù)警銀行風(fēng)險(xiǎn)的重要手段和方法，對健全內(nèi)部風(fēng)險(xiǎn)制衡機(jī)制，完善風(fēng)險(xiǎn)管理政策和流程，優(yōu)化風(fēng)險(xiǎn)計(jì)量工具，進(jìn)行有效的風(fēng)險(xiǎn)控制起到了積極的促進(jìn)作用。信息科技風(fēng)險(xiǎn)核心監(jiān)管指標(biāo)可以分為兩類，一類是結(jié)果性指標(biāo)，另一類是過程性指標(biāo)。結(jié)果性指標(biāo)是以目標(biāo)為導(dǎo)向，對已經(jīng)發(fā)生的科技風(fēng)險(xiǎn)事件和信息安全事件進(jìn)行統(tǒng)計(jì)后建立的量化指標(biāo)，其反映的是風(fēng)險(xiǎn)狀況和發(fā)展趨勢。過程性指標(biāo)主要反映銀行風(fēng)險(xiǎn)控制和管理能力。這樣兩類指標(biāo)相互補(bǔ)充，起到全面評估機(jī)構(gòu)風(fēng)險(xiǎn)水平的目的。
信息科技風(fēng)險(xiǎn)核心監(jiān)管指標(biāo)的構(gòu)建：監(jiān)管部門的信息科技風(fēng)險(xiǎn)監(jiān)管具體目標(biāo)包括業(yè)務(wù)連續(xù)性、信息安全、公眾滿意度以及合法合規(guī)。信息科技風(fēng)險(xiǎn)監(jiān)管指標(biāo)設(shè)計(jì)從監(jiān)管具體目標(biāo)出發(fā)，可逐層分解出系統(tǒng)可利用率、業(yè)務(wù)量等指標(biāo)，這些指標(biāo)相對簡單、直觀、容易測算和計(jì)量，成為結(jié)果性指標(biāo)。另外一類是過程性指標(biāo)，這類指標(biāo)基于當(dāng)前行業(yè)信息科技管理最佳實(shí)踐進(jìn)行設(shè)計(jì)，在構(gòu)建過程中對信息科技的每個(gè)領(lǐng)域經(jīng)過討論、分析和研究，從中提取出能夠起關(guān)鍵控制作用的指標(biāo)，這類指標(biāo)旨在體現(xiàn)科技風(fēng)險(xiǎn)管理和控制能力。監(jiān)管指標(biāo)一方面可以用來監(jiān)測行業(yè)整體風(fēng)險(xiǎn)狀況，評估行業(yè)風(fēng)險(xiǎn)水平，同時(shí)也可以與監(jiān)管手段相結(jié)合，體現(xiàn)了監(jiān)管的容忍度。
銀行業(yè)信息科技風(fēng)險(xiǎn)資本計(jì)量
信息科技風(fēng)險(xiǎn)是巴塞爾新資本協(xié)議全面風(fēng)險(xiǎn)計(jì)量框架中的組成部分,科技風(fēng)險(xiǎn)資本計(jì)量是科技風(fēng)險(xiǎn)管理的重要手段。
信息科技風(fēng)險(xiǎn)資本計(jì)量存在的挑戰(zhàn)：計(jì)量信息科技風(fēng)險(xiǎn)可以借鑒當(dāng)前相對成熟的操作風(fēng)險(xiǎn)的計(jì)量方法。但是，直接用操作風(fēng)險(xiǎn)計(jì)量方法計(jì)量信息科技風(fēng)險(xiǎn)存在挑戰(zhàn)，主要表現(xiàn)如下：一是信息科技風(fēng)險(xiǎn)與總收入、業(yè)務(wù)交易量、客戶數(shù)或業(yè)務(wù)交易金額等指標(biāo)的關(guān)聯(lián)并不密切；二是大部分信息科技風(fēng)險(xiǎn)的損失不是顯性的，除少數(shù)信息科技風(fēng)險(xiǎn)事件（如引發(fā)客戶索賠、延誤罰息）有“直接損失”外，大部分信息科技風(fēng)險(xiǎn)事件的影響體現(xiàn)為業(yè)務(wù)中斷、聲譽(yù)受損等“間接損失”；三是信息科技風(fēng)險(xiǎn)損失數(shù)據(jù)相對較少，極端嚴(yán)重事件的數(shù)據(jù)更少，計(jì)量“尾部風(fēng)險(xiǎn)”面臨挑戰(zhàn)。
信息科技風(fēng)險(xiǎn)資本計(jì)量的思路（高級法）：基于高級法的計(jì)量思路是在操作風(fēng)險(xiǎn)的統(tǒng)一計(jì)量框架下對信息科技風(fēng)險(xiǎn)這一類型單獨(dú)計(jì)量,可將信息風(fēng)險(xiǎn)損失定義為金額損失和時(shí)間損失兩個(gè)維度，建立時(shí)間與金額的轉(zhuǎn)換關(guān)系，擬合頻率分布和嚴(yán)重度分布，之后整合為總損失分布，根據(jù)置信度確定未來一定時(shí)期內(nèi)的非預(yù)期損失，最后用內(nèi)部衡量法進(jìn)行調(diào)整得出計(jì)量結(jié)果。將科技風(fēng)險(xiǎn)持續(xù)時(shí)間轉(zhuǎn)換為間接損失金額有兩種方法，分別為解析法和映射法。解析法是考量信息系統(tǒng)對銀行利潤貢獻(xiàn)度，即某個(gè)信息系統(tǒng)單位時(shí)間對銀行產(chǎn)生的利潤，根據(jù)系統(tǒng)中斷時(shí)間、影響范圍、系統(tǒng)重要性進(jìn)行計(jì)算，得出信息科技風(fēng)險(xiǎn)事件的間接損失。映射法是根據(jù)影響范圍和系統(tǒng)重要程度將影響時(shí)間加權(quán)計(jì)算轉(zhuǎn)化為“標(biāo)準(zhǔn)”的影響時(shí)間，然后建立標(biāo)準(zhǔn)影響時(shí)間與損失金額之間的映射關(guān)系，從而確定損失。
未來，隨著信息技術(shù)的飛速發(fā)展，銀行業(yè)對信息科技的依賴越來越大，云計(jì)算、物聯(lián)網(wǎng)等新技術(shù)既加快了銀行創(chuàng)新發(fā)展，對信息科技風(fēng)險(xiǎn)管理提出了更高的要求；快速變化的外部環(huán)境，開放的互聯(lián)網(wǎng)環(huán)境，技術(shù)類企業(yè)、第三方平臺等非金融機(jī)構(gòu)與銀行業(yè)的業(yè)務(wù)服務(wù)不斷融合等，所有這些都使得信息科技風(fēng)險(xiǎn)管理與監(jiān)管面臨著更加現(xiàn)實(shí)的挑戰(zhàn)，需要我們不斷地思考和研究，提高信息科技風(fēng)險(xiǎn)管理能力。
注：本文是CF40內(nèi)部課題《銀行業(yè)金融機(jī)構(gòu)信息科技風(fēng)險(xiǎn)監(jiān)管研究》中期成果的報(bào)告簡本，課題組負(fù)責(zé)人為論壇學(xué)術(shù)委員閻慶民。課題報(bào)告得到論壇立項(xiàng)資助，并于2013年1月6日的CF40內(nèi)部課題評審會組織專家評審。
未收藏
