操作风险压力测试理论与实践.ppt

操作风险压力测试理论与实践,目录,第一章 操作风险压力测试的理论与技术 一、操作风险定义及其度量 二、操作风险压力测试的基本方法第二章 操作风险压力测试的案例解析 案例1：核心生产系统中断操作风险压力测试 案例2：损失分布法操作风险压力测试,一、操作风险定义及其度量1、操作风险的定义2、操作风险的分类3、操作风险的主要特征4、操作风险的资本计量,一、操作风险的基本理论,21/10/2023,1、操作风险的基本理论定义 巴塞尔委员会（新资本协议）：操作风险是指由不完善或有问题的内部程序、人员及系统或外部事件所造成损失的风险，但不包括战略风险和声誉风险。银监会：操作风险是指由不完善或有问题的内部程序、员工和信息科技系统，以及外部事件所造成损失的风险；包括法律风险，但不包括策略风险和声誉风险。定义基本是一致的,1、操作风险的基本理论,21/10/2023,2、操作风险的分类巴塞尔新资本协议对操作风险的分类 1）按业务性质的分类按业务部门把操作风险划分为8条业务线，具体包括：公司金融（Corporate Finance）；交易和销售（Trading and Sales）；零售银行（Retail Banking）；商业银行（Commercial Banking）；支付和清算（Payment and Settlement）；代理服务（Agency Services）；资产管理（Assets Management）；零售经纪（Retail Brokerage）。,1、操作风险的基本理论,21/10/2023,具体分类-1,1、操作风险的基本理论,21/10/2023,具体分类-2,1、操作风险的基本理论,21/10/2023,2）按事件类型的分类按风险事件类型把操作风险划分为7类，具体分类包括：内部欺诈事件（Internal Fraud）；外部欺诈事件（External Fraud）；就业制度和工作场所安全事件（Employ Practices and Workspace Safety）；客户、产品和业务活动事件（Client,Products and Business Practices）；实物资产的损坏（Damage to Physical Assets）；信息科技系统事件（Business Disruption and System Failure）；执行、交割和流程管理事件（Execution Delivery and Process Management）。,1、操作风险的基本理论,具体分类-1,21/10/2023,1、操作风险的基本理论,具体分类-2,21/10/2023,1、操作风险的基本理论,具体分类-3,21/10/2023,1、操作风险的基本理论,具体分类-4,21/10/2023,1、操作风险的基本理论,21/10/2023,增加操作风险数据搜集表格和计算过程,单笔事件录入,1、操作风险的基本理论,21/10/2023,损失信息汇总,1、操作风险的基本理论,21/10/2023,3）形成业务线风险事件分类矩阵巴塞尔新资本协议从上述两个角度的分类框架下，发展出了操作风险的业务线-风险事件分类的二维矩阵，一个维度是风险事件分类，另一个维度是银行业务线。在这个分类基础上，风险管理者即可实现同质风险合并，使统计数据便于建模预测。矩阵中每个单元格分成三个小格，分别需要填入过去一段时间中（一般为一年），该类风险在该业务线发生的损失事件数量（频率）、损失额的平均值（损失强度）、损失额的标准差；具体详见表,1、操作风险的基本理论,21/10/2023,业务线风险事件分类矩阵示例,1、操作风险的基本理论,21/10/2023,中国银监会对操作风险的分类1）按业务条线的分类2008年10月，中国银监会商业银行操作风险监管资本计量指引规定，将商业银行业务条线分为9条：公司金融、交易和销售、零售银行、商业银行、支付和清算、代理服务、资产管理、零售经纪和其他业务条线；同时明确“商业银行应将本行业务活动产生的收入尽量归入前一至八条业务条线，无法归类的归入第九条线”。除第9条“其他业务”外，上述1-8条业务线的具体分类亦与巴塞尔委员会的分类规定相同。,1、操作风险的基本理论,21/10/2023,2）按风险事件类型的分类中国银监会同样将操作风险损失事件类型划分为7类：内部欺诈；外部欺诈；就业制度和工作场所安全事件；客户、产品和业务活动事件；实物资产的损坏，信息科技系统事件；执行、交割和流程管理事件。以上事件的一级和二级类目与巴塞尔委员会的分类规定相同，仅每个二级类目所包含的第三级类目皆多了“其他类”一类。,1、操作风险的基本理论,21/10/2023,3、操作风险的主要特征（1）操作风险的内生性、可控性和损失的可降性明显 内生性：大量的事实证明，商业银行的操作风险主要由内部原因所至，常见的有内部程序出现错误、系统故障及人员的作为不准确；可控性：正因如此，因而商业银行的操作风险只要防范与控制工作做的彻底，操作风险又是可控制的；损失可降性明显：在操作风险被控制程度，操作风险所导致的损失能够大为下降。,1、操作风险的基本理论,21/10/2023,（2）分布广泛。操作风险在商业银行的经营活动中分布广泛。它既可以是发生概率高、损失相对较少的日常操作不当的操作风险，也有发生概率低，损失相对大的如欺诈、灾害等。这些操作风险一旦发生，常常会波及许多方面。（3）操作风险控制的周期性。操作风险的发生有“高低高低”的周期特点。正常情况下，当商业银行推出新的工作程序时，操作风险发生概率就高（员工的熟悉度不够）；使用一段时间后发生的概率变低（员工的熟练度提高）；长时间使用后操作风险发生的概率又变高（员工遵守规则度下降）；经过教育、管理，操作风险发生概率又降低（制度重定，员工重视）。,1、操作风险的基本理论,21/10/2023,（4）操作风险的新特性：操作风险对新的业务和产品破坏大。由于新业务和新产品集新流程、新规则、新领域一身，不确定性大大增加。加之员工对之了解甚少，主体与客体匹配融合不够，风险过多发生，势必影响新业务的推广和新产品的投产速度。（5）操作风险损失的单向性：操作风险发生只会产生损失，而不会有机会收益，因此它的损失单向性明显。不同于信用风险和市场风险，没有高风险蕴含着高收益的特征，,一、操作风险的基本理论,21/10/2023,4、操作风险的资本计量1）标准法2）替代标准法3）高级计量法（AMA）,一、操作风险的基本理论,21/10/2023,1）标准法基本思路：商业银行使用标准法计量的操作风险监管资本，等于前三年操作风险监管资本的算术平均数。前三年中每年的操作风险监管资本等于当年以下业务条线监管资本的总和：公司金融、交易和销售、零售银行、商业银行、支付和清算、代理服务、资产管理、零售经纪、其他业务条线。以上各业务条线监管资本相加为负数的，当年的操作风险监管资本用零表示。每年各业务条线的监管资本等于当年该业务条线的总收入与该业务条线对应系数的乘积，系数详见下表业务条线的总收入等于该业务条线的净利息收入与净非利息收入之和。,一、操作风险的基本理论,21/10/2023,业务线,系数表,一、操作风险的基本理论,21/10/2023,计算公式 标准法计算操作风险监管资本的公式为：KTSA=1-3年 max(GI1-9 1-9),0/3 其中:KTSA 为商业银行用标准法计算的操作风险资本要求；1-3年 max(GI1-9 1-9),0/3的含义是前三年操作风险监管资本的算术平均数；max(GI1-9 1-9),0的含义是当年的操作风险资本要求为负数的，用零表示；GI1-9=各业务条线当年的总收入；1-9=各业务条线对应的系数。,一、操作风险的基本理论,21/10/2023,2）替代标准法 除零售银行和商业银行业务条线的总收入用前三年贷款余额的算术平均数与3.5%的乘积替代外，替代标准法的业务条线归类原则、对应系数和计算方法与标准法相同。零售银行业务条线的监管资本=3.5%前三年零售银行业务条线贷款余额的算术平均数12%商业银行业务条线的监管资本=3.5%前三年商业银行业务条线贷款余额的算术平均数15%商业银行业务条线的贷款余额中还应包括银行账户证券的账面价值。同时，商业银行对除零售银行和商业银行以外的业务条线的监管资本，可以按照标准法计算，也可以用其他业务条线的总收入之和与18的乘积代替。标准法和替代标准法是极端简化后的指标型方法。,一、操作风险的基本理论,21/10/2023,3）高级计量法（AMA），损失分布法定义：损失分布法是巴塞尔委员会在新资本协议征求意见稿中明确要求的一种操作风险高级计量法，巴塞尔委员会把损失分布法定义为“根据对操作风险损失事件频率和损失强度的有关假设，对每一业务条线/损失事件类型的操作风险损失分布进行估计的方法”。基本原理：对每个业务线/损失事件类型的操作风险收集其损失频率和损失额度的历史数据，并根据这些数据分别估计出其相应的分布函数，然后对这两个概率进行复合，得出累积操作损失的概率分布函数，又根据这些分布在给定的期限（通常一年）以及给定的置信区间（通常为99.9%）计算其最大损失值，就得出单个业务线/损失事件类型的操作风险的在99.9%置信区间下的最大损失额，然后将每一个业务线/损失事件类型的操作风险的最大损失额汇总，即可得出总的最大损失额。,一、操作风险的基本理论,21/10/2023,原理图解,一、操作风险的基本理论,21/10/2023,步骤（1）按业务条线进行损失事件的记录，即原始数据累积。如以公司在财务方面的内部欺诈（Corporate Finance/Internal Fraud）为例，记录历年年发生件数，每次平均损失额度。（2）整理历史记录，将填充到业务线-风险类矩阵。（3）对频率和额度分别进行建模。（4）计算总损失分布。（5）取该分布的99%分位点，也就是在险价值（VaR）。（6）对所有业务线都按此步骤进行建模和计算，算出每条业务线的在险价值（VaR）。（7）将所有业务线的VaR汇总起来，就可以计算出银行操作风险总的在险价值（VaR）。,一、操作风险的基本理论,21/10/2023,实施过程中的注意之处一是损失分布模型的确定。研究机构已经根据概率统计理论找到了一些比较适合的模型，具体详见附录。但由于目前我国商业银行历史数据量比较少，所以难以找到合适的损失分布函数。即使有一些模型，仍然与我国实际情况相差仍可能较大。二是业务条线的相关性。在汇总每条业务线/损失事件类型的操作风险的数据时，必须考虑业务之间的相关性，只有在各业务条线完全正相关的情况下，才可以将其简单加总，而现实情况中这种可能性较少。,一、操作风险的基本理论,21/10/2023,可能的缺陷高级计量法（损失分布法）普遍存在的问题就是，其实际应用可能缺乏强有力的数据库支撑，会导致高级计量法的结果可能会与实际情况大相径庭。使用损失分布法，即使规定了非常高的置信度，银行可能还是没有办法防范几十年一遇的低频高危事件所造成的极端损失。鉴于以上原因，使用风险价值量化操作风险的效果与市场风险一样，需要进行压力测试和情景分析，以尽可弥补该方法在适用上的缺陷。,一、操作风险的基本理论,21/10/2023,损失分布法基本模型 1）估计每年损失发生频数 每年损失事件发生频数一般服从泊松（Poisson）分布 泊松（Poisson）分布的分布函数为,上述分布的参数估计结果为：,注：,一、操作风险的基本理论,21/10/2023,2）每次损失事件的额度一般服从指数分布 指数分布的分布函数为 令，则有 这表明 服从参数为 的指数分布。,参数估计结果为：,注：,。,二、操作风险压力测试的基本方法,21/10/2023,二、操作风险压力测试的基本方法1、操作风险压力测试的定义2、操作风险压力测试的主要方法,二、操作风险压力测试的基本方法,21/10/2023,操作风险压力测试的基本流程,确定操作风险压力测试的目标资产（业务）组合,设计操作风险压力因素以及压力指标,2,设计操作风险压力情景,3,压力传导模型建设,4,结果分析与应对,5,1,二、操作风险压力测试的基本方法,21/10/2023,承压对象：鉴于操作风险分布广泛的特征，它几乎涉及到银行所有的经营和管理活动，涉及到各类不同的业务条线和机构层级；因此，操作风险压力测试的承压对象既可为不同的业务条线，又可为不同的风险事件类型，或者更可细分为“业务线事件类型矩阵”中的不同单元；承压指标：而其承压指标即是对应的操作风险损失金额、操作风险在险价值（VaR）或监管资本。,确定操作风险压力测试的目标资产（业务）组合,1,二、操作风险压力测试的基本方法,操作风险压力测试的压力因素是和风险分类相一致的，可参照巴塞尔委员会新资本协议或银行规定的按业务类型或按风险事件类型等划分的各类操作风险事件，即是操作风险压力测试的各类压力因素；,21/10/2023,设计操作风险压力因素以及压力指标,2,二、操作风险压力测试的基本方法,21/10/2023,设计操作风险压力因素以及压力指标（续）,2,二、操作风险压力测试的基本方法,21/10/2023,设计操作风险压力因素以及压力指标（续）,2,二、操作风险压力测试的基本方法,21/10/2023,1、压力情景的设计形式 鉴于引发操作风险的原因有内部程序、人员因素、系统因素和外部事件等多种因素，同时同一种原因可引发的操作风险涉及的银行业务条线或风险事件类型等也可能不尽相同；因此压力情景的设计可有两种形式：（1）基于单个压力因素（2）基于多个压力因素,设计操作风险压力情景,3,二、操作风险压力测试的基本方法,（1）基于单个压力因素即是假设单个压力因素受到冲击（有时主要是单个因素受到冲击也可采用这种设定），其他因素不被影响；例如可将英国巴林银行事件作为单个内部欺诈压力因素，直接加入到“业务线风险事件分类矩阵”中的“内部欺诈交易和销售”单元格中，运用损失分布法直接计算对操作风险在险价值（VaR）的影响。,21/10/2023,单因素情景列表,二、操作风险压力测试的基本方法,21/10/2023,（2）基于多个压力因素此种形式较为复杂，是假设若干压力因素同时受到冲击。鉴于操作风险事件各分类之间有很大的相关性，所以压力测试也可设置多种压力因素和极端情景同时发生，使通常情景下的相关系数不再起作用，并使风险管理者面对新的、无法预料的风险集中相关系数。采用此种形式的压力测试，风险管理者既要考虑多种压力因素间的相关性集中，各种损失同时发生；又要注意操作风险中的各类风险往往会相互包含，很难完全分开，要避免损失的重复计算。建议最好采用专家决策法。,二、操作风险压力测试的基本方法,21/10/2023,2、压力情景的设计方法设计合适的压力情景可有三种方法：（1）历史情景法（2）损失分布法,二、操作风险压力测试的基本方法,21/10/2023,（1）历史情景法(低频高损)方法：可直接选取一个极端的历史情景（例如英国巴林银行破产事件，美国9.11事件，或者中国5.12汶川大地震等），并计算这样的情景在当前的银行机构或系统中再度出现，会带来什么损失。使用情况：历史情景法适用于非常罕见的事件，这类事件由于发生频率极低，并且带有时代特性难以归类，换句话说就是历史数据不同质，很难通过建模处理。另外，某些直接导致破产的事件，从损失额度上来说是极高的，一旦出现就会导致破产或需要再融资，本身就是压力测试中的极端情景。所以选用历史情景法是很好的做法。优点：历史情景法的优点在于模型解释力强、情景设计合理，操作也非常方便；同时这些情景曾在历史上发生过，相似的情景在将来再发生是可信的。缺点：历史危机并不能完全提供预测未来危机所需要的信息，如未来的危机可能会出现新种类，危害形式不同，损失更为严重。,二、操作风险压力测试的基本方法,21/10/2023,（2）损失分布法(高频低损)方法：可利用现有的操作风险监管资本计量的损失分布模型，通过随机模拟产生压力因素在受到冲击后的条件分布。对压力因素的冲击，实质就是在针对该因素假设极端事件，把原始数据的改变转化为模型参数的改变。适用情况：损失分布法适用于有一定发生频率且非极端的事件。通过加入极端事件（真实事件或基于真实事件的虚拟事件）数据，对损失发生频率和损失额度产生冲击，最终体现在改变参数和操作风险在险价值（VaR）。注意：这种方法是与业务线-风险类矩阵配合使用的。,二、操作风险压力测试的基本方法,21/10/2023,操作风险压力测试的传导主要有两种方式：压力情景分析法：遵循特定的研究、判断流程，分析极端压力情景，预测相关业务线或风险事件的操作风险损失严重程度（规模），以及损失事件的发生概率。它既是基于历史损失数据和历史情景的定量分析，又是结合专家判断和管理层判断的定性分析，而且不会涉及到复杂的风险计量模型，因此具有较强的适用性和可操作性。本法主要适用于尚未实施高级计量法进行操作风险监管资本计量的银行使用，也可将压力情景分析的结论加入操作风险计量模型，进行损失分布法下的压力测试。损失分布法：传导方式即是通过计量模型本身进行传导；因此适用于已使用高级计量法进行操作风险监管资本计量的银行。,压力传导模型建设,4,二、操作风险压力测试的基本方法,21/10/2023,1、压力情景分析法（原理）压力情景分析法主要是通过分析压力情景，量化重大的潜在损失事件；内容包括描述损失压力情景，剖析损失事件的根源原因和组成部分，分析预测损失组成和严重程度（规模），以及重大损失事件的发生概率。可以从损失事件历史数据、外部事件、专家和管理层判断、事件发生概率和风险敞口等角度入手实施。,二、操作风险压力测试的基本方法,21/10/2023,1、压力情景分析法（流程）（1）设定初步的压力情景分析参数讨论会前的调查和准备（2）收集、积累损失数据（包括发生频率和额度）（3）收集、积累有借鉴意义的外部数据（4）召开压力情景分析讨论会（5）整理和分析讨论会的结论（6）对会议结论进行验证讨论后的分析和文件编制（7）还将压力情景分析结论加入操作风险计量模型，进行压力测试。,二、操作风险压力测试的基本方法,21/10/2023,（1）设定初步的压力情景分析参数讨论会前的调查和准备首先，根据新巴塞尔协议规定的业务线和风险事件类型的一级和二级类目来确定基础压力情景；例如情景发生在事件类型为“执行、交割和流程管理”一级类目下的“服务商和供应商”二级类目中。其次，初步编制压力情景。编制压力情景的基本原则包括：一是具备有效性，假设其发生造成的单次或相关合并损失应超过一定额度（例如1千万人民币等）以符合极端性；同时在当前控制环境下具备合理的可能性，可能在其它地方已发生过或本级机构曾经发生过但程度不太严重（历史情景法）。二是不应包括间接损失和机会成本，以及保险赔偿。三是准确界定边界。对于涉及一种以上风险的损失，新巴塞尔协议具体处理规定为考虑与操作事件相关的市场风险损失（例如未能监督交易头寸限制的执行情况），而不包括与事件有关的信用风险损失（例如抵押品管理失效）。,二、操作风险压力测试的基本方法,21/10/2023,最后，对压力情景进行量化，其基本量化原则是：一是损失频率，即未来一年内预设损失情景的发生概率，例如“在当前控制环境下，本业务单元在下一年发生预设损失情景的可能性为10%”。二是损失严重度（额度），是指因直接成本、法律成本、赔偿、监管机关罚款、丧失追索权和资产注销而导致的操作风险损失，包括预期金额、最低金额和最高金额；在严重度估算中可使用各种变量，例如账户/交易的规模、时间推移、市场波动性、上报限值（识别触发值）等。,二、操作风险压力测试的基本方法,21/10/2023,（2）收集、积累损失数据（包括发生频率和额度）内部数据主要来源于银行内部的操作风险损失数据的积累（至少5年以上）和定期统计分析。（3）收集、积累有借鉴意义的外部数据 可从公开报道的各种媒体渠道、法院案例对事件和案件的报道或分析，以及其他银行或金融机构根据监管机构信息披露要求提供的相关数据。可通过监管机构、行业间协会等调查报告，以及专门的操作风险损失数据合作机构以适当的形式实现的行业整体损失数据的共享等。可从中国银行业监督管理委员会（CBRC）；中国银行业协会等。,二、操作风险压力测试的基本方法,21/10/2023,（4）召开压力情景分析讨论会 会前要将初步编制的压力情景分析参数提前发给与会人员，以便会者研究审核 会议需要配备经验丰富的主持人，会议参加人数不宜太多，但参加人员必须是经验丰富、有各种背景的管理人员（包括各业务条线、法律合规、审计和信息技术部等支持和保障部门）；保障开放性、全面性和准确性。会议一般召开两次，间隔一周时间；每次会议一般讨论2-3小时。,二、操作风险压力测试的基本方法,21/10/2023,（5）整理和分析讨论会的结论会议结论包括压力情景、概率及影响分析；详见表,二、操作风险压力测试的基本方法,21/10/2023,（5）整理和分析讨论会的结论（续）,损失组成分类表,二、操作风险压力测试的基本方法,21/10/2023,（6）对会议结论进行验证讨论后的分析和文件编制由与会者对会议结论进行审核和确定最终结果，还应由不参加分析会议的高级管理人员组成独立专家小组，对整个流程进行审核，包括审核预设情景的合理性和可能性。最终将审核结果上报高级管理层。（7）还将压力情景分析结论加入操作风险计量模型，进行压力测试。,二、操作风险压力测试的基本方法,21/10/2023,2、损失分布法在损失分布法计量下，压力因素将改变分布的模型或改变分布的参数，传导改变相应的操作风险在险价值或监管资本；其中不改变模型本身，而只改变参数的情况更为常见。（1）损失分布参数发生变化（2）如何确定压力下参数的变化（3）对操作风险模型本身及其相关假设进行测试，例如分布函数的假设可以采用更厚尾的分布。,二、操作风险压力测试的基本方法,21/10/2023,（1）损失分布参数发生变化首先损失频率分布变化，通常认为损失频率（发生的次数）符合参数为的Poisson分布。在压力情景下，值会发生改变，同时改变了损失频率的分布。其次是损失额度分布变化，损失额度（损失的金额）常用的分布则有指数分布、gamma分布、Pareto分布等；同样在压力因素下，其均值或方差会发生改变，同时改变损失金额的分布。最终由于损失频率和每次损失金额的变化将引起总损失额的变化。,二、操作风险压力测试的基本方法,21/10/2023,（2）如何确定压力下参数的变化根据以上例子可以看出在损失分布函数已经确定的情况下，最重要的是如何较合理地确定压力下参数的变化情况，包括下列方法：采用历史上最差的情况：即将历史上发生次数的最大值作为其分布的均值。根据发展的业务量进行相应调整：例如根据历史经验，某业务条线每10000笔业务量可能产生1次差错，预计明年业务增加10万笔，则相应可以假设差错的平均次数将增加至10次。在没有任何历史数据的情况下，也可以采用外部监管机构或其他银行的数据。,21/10/2023,（3）对操作风险模型本身及其相关假设进行测试，例如分布函数的假设可以采用更厚尾的分布。分布密度的尾部（确切地说是右尾），统常表示取值较大时的概率。取正值的连续随机变量的阶原点矩定义为，这个积分结果依赖于密度函数和。如果在很大时密度函数也很大，再乘上，有可能导致积分不收敛。因此，如果任意阶的正数阶原点矩存在，说明分布的尾部很轻；而正数阶矩存在最高阶数（或不存在正数阶距）则说明分布的尾部很厚。,基准分布,压力分布,二、操作风险压力测试的基本方法,21/10/2023,操作风险压力测试的结果主要是银行资产或声誉等操作风险损失的增大，或是相应的在险价值（VaR）或监管资本的提高。因此，根据压力测试的结果，对比损失额度、监管资本和实施风险管理的成本，基于银行机构的整体风险偏好和风险承受水平，以及风险控制和缓释措施的可操作性等，由相关管理层决策实施进一步提高风险防控能力的相关措施。,结果分析与应对,5,二、操作风险压力测试的基本方法,21/10/2023,应对措施,应对方案,具体策略,低频高损：外包或保险外包包括信息技术（如支付系统）和业务流程（如银行卡、后勤保障、呼叫中心等）外包,风险缓释,增加操作风险监管资本以能抵御压力情景下的非预期损失。,资本准备,提高业务持续性管理水平，确保重大突发性事件发生时，能够及时做出应急响应和处置,业务持续性管理,充分识别与评估新的或重要的产品、业务、活动、流程、系统或分支机构的相关操作风险，确保在实施推广时的风险控制措施有效。,风险识别与评估,加强相关业务线或风险事件的风险控制措施，包括制度完善、流程优化或实现系统机控等。,风险控制,风险监测与报告,加强风险预警和监控，建立健全相应的关键风险指标，设定关注和预警行动级别的阈值，一旦超过设定阈值就必须采取相应的预防和应急控制措施等。,目录,21/10/2023,第一章 操作风险压力测试的理论与技术 一、操作风险定义及其度量 二、操作风险压力测试的基本方法第二章 操作风险压力测试的案例解析 案例1：核心生产系统中断操作风险压力测试 案例2：损失分布法操作风险压力测试,案例1：核心生产系统中断操作风险压力测试,21/10/2023,1、承压对象：银行核心生产系统发生故障后的相关业务承担的操作风险。2、承压指标：银行各类损失，包括直接的损失如财务收入损失和间接的损失如声誉损失和合规损失等。,确定操作风险压力测试的目标资产（业务）组合,1,案例1：核心生产系统中断操作风险压力测试,21/10/2023,商业银行的各类IT系统主要包括生产系统和管理系统。而生产系统又包括核心生产系统和流程决策系统，所谓核心生产系统进行实时交易，直接面对客户办理各类银行业务的交易系统。而流程决策系统是银行内部各类业务的管理流程系统，并不直接面对最终客户。核心生产系统是银行内最重要的系统，若因遭受某些重大突发事件导致在正常服务时间业务不能正常开展或甚至完全中断，则可能会使银行遭受各种直接损失或间接损失。另一方面，随着银行的经营规模和业务范围急剧扩大，银行的生产系统也向网络化、集成化、大型化、统一化方向发展，各类业务一般都是有一个后台进行统一处理，一旦核心业务系统的后台不能正常工作，则一般无法使用手工或单机系统进行应急处理，这时系统的恢复时间越长，造成银行的损失就越大。,设计操作风险压力因素以及压力指标,2,案例1：核心生产系统中断操作风险压力测试,21/10/2023,分析国内外已有的重大操作风险事件，导致银行核心生产系统生产故障的主要因素有以下三个方面：1、外部事件：包括自然灾害（洪涝灾害、地震灾害、台风与风暴灾害、冰雪天气等）、火灾、恐怖袭击等；2、系统因素：包括技术缺陷（如系统间接口缺陷、系统上线或变更版本缺陷等）、机房环境（包括电力故障、温湿度控制失败等）、外部供应商或服务商提供服务失败（如通讯故障、无法及时提供技术服务）、硬件设备故障或数据损毁等。3、人为因素：包括内部人员误操作或有意破坏、外部黑客入侵等。,设计操作风险压力因素以及压力指标,2,案例1：核心生产系统中断操作风险压力测试,21/10/2023,为有效应对核心生产系统的生产故障，可以有以下两个措施：一个是采用更好的主机和系统，并增加系统冗余，在主要系统故障时及时切换到备用系统运行，维持业务的正常运行，但根据概率理论，再小概率的事件也总有发生的可能，而且无限制的在系统上投入可能在经济上并不可行。二是在假定核心生产系统发生故障时计算其可能造成损失的金额，并按其不同的恢复时间进行压力测试，确定其在极端情况下给银行造成的最大损失，对该损失额可以作为提取经济资本或保险公司进行投保的依据。基于以上考虑，确定将银行核心生产系统发生故障作为压力因素，中断持续的时间作为压力指标，核心生产系统支持的相关业务承担的操作风险作为压力测试的承压对象，将在故障期间造成银行的各类损失作为承压指标。,案例1：核心生产系统中断操作风险压力测试,21/10/2023,数据来源与研究思路展示压力测试的数据主要来源于内部数据，包括以下几部分：（1）核心生产系统的基本情况由各业务部门和信息技术部门评估、高级管理层审核确定银行有哪些主要的核心生产系统，故障后会对银行的哪些业务造成损失。（2）核心生产系统的业务运行情况从银行内部系统取得每一类核心系统支持业务历年的业务量，包括资产规模、业务收入、交易量、清算量等指标（3）因核心生产系统故障所产生的操作风险损失数据从操作风险管理部门或各类业务部门的操作风险管理岗位取得历史上核心系统故障引起的风险损失数据，该数据一般需要至少5年，但也可以通过一定方式借鉴外部数据如监管机构、行业间协会等调查报告，以及专门的操作风险损失数据合作机构以适当的形式实现的行业整体损失数据的共享等。2、研究思路采用自下而上的压力测试方法，即假定某核心生产系统故障，由各相关业务部门根据历史经验或专家判断对各自业务条线造成的损失进行初步判断和计算，并分析不同长短的恢复时间造成的不同损失，最后由牵头部门将这些结果汇总后就可以得出整个银行的预计损失金额。,案例1：核心生产系统中断操作风险压力测试,21/10/2023,本次压力测试假定南方某银行因冰冻雨雪灾害造成大面积电力故障，其中该银行主机房所在区域的电力供应中断，电力工人正在加紧抢修受损线路，预计最迟在14小时后恢复正常供电，而其备用发电机仅能维持两个小时，需要银行计算在最不利的情况下会产生多大损失。案例主要展示工作思路,设计操作风险压力情景,3,案例1：核心生产系统中断操作风险压力测试,21/10/2023,压力传导模型建设,4,1、首先分析主机故障后，对银行的哪些业务产生直接影响，并按业务归口部门进行分类和编号。如表所示，假设主要影响该银行下列业务：,案例1：核心生产系统中断操作风险压力测试,21/10/2023,2、影响业务程度分析 这是本次压力测试最关键的一步：进行财务影响分析时，首先由各归口业务部门根据本部门历史经验，同时结合财务部门的相关统计数据进行计算；根据每种业务的性质不同计算方法也不尽相同，可采用的计算方法主要有：（1）利差类的存贷款业务：损失=新增存贷款日均余额*日利差*时间*权数式中：新增存贷款日均余额：根据本年以来日均余额确定；日利差：根据FTP曲线确定；时间：业务故障时间（下同）；权数：需要根据不同存贷期限的总金额、存款准备金率等因素综合考虑，本例中假设为70%；,案例1：核心生产系统中断操作风险压力测试,21/10/2023,（2）手续费类的中间业务，损失=日均中间业务收入*时间；（3）一般的清算转帐业务：损失=日均交易量*日罚息率（0.010.03）；（4）信用卡商务消费业务：损失日均收单金额*手续费率*时间；（5）信用卡透支还款业务：损失=垫付资金利息成本垫付资金额积数利率，垫付资金额视同还款交易额、按交易额的95%估算。有关利率、费率和权数计算参数详见下表。,案例1：核心生产系统中断操作风险压力测试,21/10/2023,核心业务计算参数表示例,案例1：核心生产系统中断操作风险压力测试,21/10/2023,核心业务指标表,案例1：核心生产系统中断操作风险压力测试,21/10/2023,3、不同业务条线影响时间的分析 这是本次压力测试另外比较关键的一步，这是因为系统恢复时间的不同，对各项业务影响的程度是不一致的，有些业务仅在正常上班时间可能发生，如贷款和储蓄。有些可能24小时内随时发生，如信用卡还款等。所以对业务发生时间再做如下区别：（1）业务正常处理时间，可分为“7*24小时、每天8：30-16：30、非节假日8：30-16：30、其它”等；（2）业务是否存在高峰时期，可分为“无、周末、月末、年末”等，并可以估计高峰期的业务量变化；根据以上分析和历史数据可以得出下表,案例1：核心生产系统中断操作风险压力测试,21/10/2023,核心业务开展情况表,案例1：核心生产系统中断操作风险压力测试,21/10/2023,4、其他损失影响分析 除直接业务损失外，还需要评估测算银行遭受的其它操作风险损失，主要包括以下几类：（1）是否影响银行社会声誉（声誉损失）；（2）是否会遭到交易对手索赔；（3）是否会遭到监管机构处罚等。对这些损失可参考操作风险的历史损失数据并结合专家判断，确定一个损失概率和损失金额。5、计算银行的综合损失 根据以上2、3、4步骤计算出银行的财务损失和其他损失，将其汇总后可得到银行的全部损失，并可按故障不同的恢复时间和是否高峰期等若干不同的参数进行计算，得出不同情景下的最大可能损失，即得到本次压力测试的结果。,案例1：核心生产系统中断操作风险压力测试,21/10/2023,结果分析与应对,5,业务平峰时损失情况表,案例1：核心生产系统中断操作风险压力测试,21/10/2023,业务高峰时损失情况表,案例1：核心生产系统中断操作风险压力测试,21/10/2023,其它损失情况表,综合上述表单数据即可评估确定汇总的损失额度。,案例1：核心生产系统中断操作风险压力测试,21/10/2023,应对措施 根据压力测试结果，对比损失额度和增强风险控制的管理成本，基于银行机构的整体风险偏好，由高级管理层决策进一步实施提高风险防御能力的相关措施。具体包括：1、风险控制：加强业务持续性及应急管理，主要措施有：（1）完善应急团队，包括但不限于应急领导小组、业务和技术应急工作小组和支持保障工作小组；能够做到及时实施专项应急处置工作。（2）完善突发事件等级界定，明确应急响应及处置策略、流程和措施，以及检查、报告等要求，以便快速有效地处置突发事件。（3）完善本级应急预案体系，及时维护更新预案内容；每年开展测试、应急演练及应急培训；保持预案的可操作性、有效性和完备性，确保员工充分了解应急预案的相关内容和程序、有效执行的必要性和各自的职责。（4）完善人员、物质、技术和通讯应急保障机制，确保人员配备能够胜任应急处置工作，确保应急响应过程中不会因物质短缺或技术能力缺乏而导致应急处置中断或延长应急处置时间，确保应急响应通讯及时有效。例如定期做好备用发电机组的设备和备油维护，保障电力故障发生时能顺利实现安全带载等。（5）完善应急管理的长效机制，每年开展相关风险评估，持续改进风险防范和应急响应措施，适时整改应急管理发现的问题，不断完善应急管理规范，保证应急管理工作的持续性和有效性。,案例1：核心生产系统中断操作风险压力测试,21/10/2023,应对措施（续）2、风险缓释：对于低频高损的重大事件，可使用外包或保险来减少事件发生概率或带来损失，从而转嫁风险。其中外包包括信息技术（如支付系统）和业务流程（如银行卡、后勤保障、呼叫中心等）外包，亦可降低成本、提高效益。3、风险监测与报告：设置关键风险指标，加强常规监控；例如实施机房温湿度的实时监控，并设定关注和预警行动级别的阈值，一旦超过设定阈值就必须按应急管理规定的应急响应、决策和应对控制措施行动等。4、资本准备：增加操作风险监管资本以能抵御压力情景下的非预期损失等。,案例2：损失分布法操作风险压力测试,21/10/2023,1、资产组合描述：某商业银行主要拥有公司金融、零售银行、支付和清算业务三类业务，根据历史经验发现，公司金融业务条线的风险点主要集中在外部欺诈、零售银行业务条线的风险点主要集中在内部欺诈、支付和清算业务的风险点主要集中在信息科技系统事件。2、承压对象：三个业务条线-风险事件类型的操作风险损失分布。3、承压指标：三个业务条线-风险事件类型的操作风险在险价值和监管资本。,确定操作风险压力测试的目标资产（业务）组合,1,案例2：损失分布法操作风险压力测试,21/10/2023,三个业务条线-风险事件类型承受的压力各自不同：1、公司金融-外部欺诈主要是为拉动经济，公司存贷款业务大幅度增加，使发生外部欺诈的可能性也同比例增加。2、零售银行-内部欺诈主要是由于证券业务市场火爆，银行资金被内部人员挪用的可能性也在增加。3、支付和清算业务-信息科技系统事件主要是支付和清算程序将全国联网，需要增加新的主机系统，可能会对业务造成影响。尽管压力因素各不相同，但在损失分布法下最终都是改变损