操作風險計量方法在內(nèi)部審計中的應用.pdf

1、本文分四部分進行論述：
　　第一部分：本文的目的與背景
　　審計的發(fā)展主要經(jīng)歷了賬項基礎審計、制度基礎審計、風險導向?qū)徲嬋齻€階段。目前，風險基礎審計（即風險導向?qū)徲嫞┮殉蔀橹髁鞯膶徲嫹椒?。對于風險導向?qū)徲媮碚f，審計計劃階段需對固有風險進行量化評估，識別重要的風險領域，從而決定重要的審計范圍。換句話說，在風險導向的審計模式下，應按照風險水平的高低確定審計資源分配的優(yōu)先級。
　　因此，各審計對象領域風險水平的量化和評估在風

2、險導向?qū)徲嬛兄翞橹匾@是風險導向?qū)徲嫷幕A和前提。然而，據(jù)筆者了解，對于銀行內(nèi)部審計來說，目前審計計劃和風險評估尚停留在主要為定性分析的水平上。定性分析的方法存在以下不足之處：
　　方法過程與模型邏輯缺乏支持依據(jù)；
　　涉及到大量的個人判斷，在很大程度上依賴于個人的經(jīng)驗和估計，甚至是直覺。不同內(nèi)審人員完全可能得出不同的結(jié)論，無法標準化；
　　對于整體風險水平評估結(jié)果相同的審計對象領域，無法繼續(xù)比較和確定審計資源分配的

3、優(yōu)先級。
　　本文擬在內(nèi)部審計的審計計劃和風險評估階段引入操作風險計量的概念和方法，在操作風險事件歷史數(shù)據(jù)庫的基礎上建立風險評估模型，得出量化評估結(jié)果。當然，在建模過程中會存在一定的定性因素，但模型建立之后，風險評估和審計計劃過程將能夠?qū)崿F(xiàn)可計算、可比較、標準化，甚至自動化。
　　本文之所以關注操作風險計量，而非其他風險或風險集合，是由于內(nèi)部審計與操作風險的特性。
　　操作風險與信用風險和市場風險相比，具有內(nèi)生性和可控

4、性的特點。根據(jù)國際內(nèi)部審計協(xié)會的實務公告，內(nèi)部審計的對象是“流程”和“控制”。若組織設立的流程和控制失效，風險將由此而生。換句話說，內(nèi)部審計只能面向可以通過完善“流程”和“控制”而降低的風險。由于操作風險具有內(nèi)生性和可控性的特點，而信用風險和市場風險更多來自外部，因而內(nèi)審人員應重點關注操作風險，尤其是因控制缺失而可能導致?lián)p失的風險。
　　這并不意味著，內(nèi)審人員無視信用風險和市場風險。對于內(nèi)審人員來說，其審計目標為對于特定風險是否存

5、在控制流程，及有關控制流程是否被有效執(zhí)行，其中包括信用風險和市場風險，但落腳點始終在于具體操作。
　　此外，本文在數(shù)據(jù)的收集和模型的建立過程中亦已將操作風險以外的其他風險考慮在內(nèi)。本文采用內(nèi)部審計發(fā)現(xiàn)數(shù)據(jù)庫作為操作風險事件歷史數(shù)據(jù)庫，該數(shù)據(jù)庫含有其他風險信息，例如未按照銀行信貸政策審查與批準貸款將使銀行面對比預期為高的信貸風險。
　　第二部分：操作風險計量方法的介紹
　　巴塞爾銀行監(jiān)管委員會（“巴塞爾委員會”）推薦了三

6、種操作風險計量方法，主要用于要求銀行根據(jù)計量結(jié)果配置經(jīng)濟資本，提高抵御風險的能力。這三種方法的復雜性和風險靈敏度依次遞增：分別為基本指標法（Basic Indicator Approach）、標準法（Standardized Approach）和高級測量方法（Advanced Measurement Approach）。
　　基本指標法的基本概念為，操作風險資本等于三年總收入的平均值乘以固定比例α（巴塞爾委員會根據(jù)行業(yè)平均水平規(guī)定

7、為15％）。
　　在標準法下，銀行業(yè)務被分為8個業(yè)務條線，分別為公司金融，交易與銷售，零售銀行，商業(yè)銀行，支付與清算，代理服務，資產(chǎn)管理和零售經(jīng)紀。銀行應對各個業(yè)務條線分別計算操作風險資本，計算的方法與基本指標法大致相同，再將各業(yè)務條線操作風險資本加總。類似于α，巴塞爾委員會為每個業(yè)務條線均分別規(guī)定了一個乘數(shù)比例β，以反映操作風險損失經(jīng)驗值與該業(yè)務類別總收入之間的關系。
　　若采用高級計量法，銀行可根據(jù)其業(yè)務性質(zhì)、規(guī)模、產(chǎn)品

8、的復雜性和風險管理能力自行決定擬使用的計量模型。常見的計量模型包括內(nèi)部衡量法（Internal Measurement Approach），損失分布法（Loss Distribution Approach），記分卡法（Scorecard Approach）及其他。記分卡法在很大程度上仍然是一種定性分析的方法，本文將介紹內(nèi)部衡量法、損失分布法以及蒙特卡羅模擬法。
　　1）內(nèi)部衡量法
　　巴塞爾委員會將操作風險損失事件分為7種類

9、型，分別為：1）內(nèi)部欺詐、2）外部欺詐、3）就業(yè)政策和工作場所安全、4）客戶、產(chǎn)品和業(yè)務操作、5）實物資產(chǎn)損壞、6）營業(yè)中斷和系統(tǒng)失敗、以及7）執(zhí)行、交付和流程管理。
　　對于每一個業(yè)務條線/損失事件類型的組合（即8×7=56個組合），銀行需基于自身收集的操作風險損失事件數(shù)據(jù)庫估計損失概率（PE）、損失程度（LGE）以及風險暴露指標（EI）；將PE、LGE、EI相乘，得出單個業(yè)務條線/損失事件類型組合的操作風險資本；再將56個組合

10、的計算結(jié)果相加，從而得出全行應配置的操作風險資本。
　　2）損失分布法
　　對于每一業(yè)務條線/損失事件類型的組合，銀行基于操作風險損失事件數(shù)據(jù)庫分別擬合損失事件發(fā)生頻率及損失程度的分布（例如，發(fā)生頻率服從泊松分布，損失程度服從對數(shù)正態(tài)分布）并估計參數(shù)，進一步計算損失頻率與損失程度的聯(lián)合分布，并在一定的置信水平下預測各個組合需配置的操作風險資本，最后加總。
　　3）蒙特卡羅模擬法
　　蒙特卡羅模擬法的基礎與損失分布

11、法相同，區(qū)別在于蒙特卡羅模擬法無需計算損失頻率與損失程度的聯(lián)合分布，而是根據(jù)分布擬合與參數(shù)估計的結(jié)果產(chǎn)生大量隨機數(shù)，從而確定在特定分位值（亦即置信水平）上的風險價值（Value at Risk），亦即需配置的操作風險資本。
　　第三部分：操作風險計量在內(nèi)部審計中的應用
　　具體到操作風險計量在內(nèi)部審計中的應用，基本指標法雖然簡單，但對于內(nèi)部審計來說無法利用，因為基本指標法僅能提供整個銀行所面對的操作風險價值，不能為內(nèi)審人員在

12、不同審計對象領域之間分配審計資源優(yōu)先級提供額外信息。
　　標準法提供了更多的信息，至少使內(nèi)審人員可以在8個業(yè)務條線之間評估風險水平的相對高低。然而，若需獲得各業(yè)務條線的總收入，需要會計核算方法和相關業(yè)務/財務信息系統(tǒng)的大力支持。由于銀行原先未必按照監(jiān)管機構(gòu)對于業(yè)務條線的劃分方法核算收入，現(xiàn)階段而言，銀行可能需要進行相當程度上的制度、流程改革和系統(tǒng)改造才能滿足標準法的要求。當然，符合監(jiān)管機構(gòu)的資本管理要求是必須的，只是時間和進度的問

13、題。由于標準法在準確性和復雜程度上介于基本指標法和高級計量法之間，多數(shù)銀行可能會選擇這種方法，并促成配套制度、流程和信息系統(tǒng)的建設。屆時，內(nèi)審人員將能夠較為容易地獲得操作風險計量所需數(shù)據(jù)，甚或直接獲得計量結(jié)果，為內(nèi)部審計風險評估所用。
　　高級計量法能夠最為準確地反映風險，亦最為復雜，對于數(shù)據(jù)收集和模型建立的要求最高。對于高級計量法來說，銀行必須跟蹤內(nèi)外部損失數(shù)據(jù)，建立自己的操作風險損失事件數(shù)據(jù)庫。只有在充分、有效的數(shù)據(jù)基礎上，才

14、可能實現(xiàn)比較準確的操作風險定量分析。
　　然而，操作風險管理的研究仍處于起步階段。相對于市場風險和信用風險的損失數(shù)據(jù)收集，操作風險損失數(shù)據(jù)的收集遠遠落后。與國際活躍銀行相比，中國商業(yè)銀行的操作風險管理更為稚嫩，出于傳統(tǒng)意識、隱藏動機、收集困難等原因，無論在單個銀行或是在整個銀行業(yè)的層面上都缺乏一個成熟、可靠的操作風險損失事件數(shù)據(jù)庫，更談不上業(yè)務條線/損失事件類型組合劃分與度量模型的建立。
　　鑒于此，本文將采用內(nèi)部審計發(fā)現(xiàn)數(shù)

15、據(jù)作為一種變通方法，而非利用銀行操作風險管理部門應建立的操作風險損失事件數(shù)據(jù)庫。其原因和優(yōu)勢如下：
　　一、巴塞爾委員會要求銀行根據(jù)操作風險計量結(jié)果配置經(jīng)濟資本，其主要目的在于保護銀行不因操作風險損失而破產(chǎn)，因而其作為計算基礎的數(shù)據(jù)庫僅記錄已發(fā)生實際損失的事件。然而，內(nèi)部審計的目的與此不同。內(nèi)審人員從預防和控制出發(fā)，側(cè)重于對于銀行流程和控制的健全性和有效性的審計，即“審在事前”，而非“審在事后”。從這個角度來說，內(nèi)部審計發(fā)現(xiàn)數(shù)據(jù)庫

16、記錄了不同對象領域內(nèi)部控制的缺失，更能反映操作風險，而不僅是操作風險損失，更能滿足內(nèi)部審計對于風險評估的要求。
　　二、內(nèi)部審計發(fā)現(xiàn)數(shù)據(jù)庫包括了所有的風險事件，而不僅僅是操作風險事件。根據(jù)監(jiān)管機構(gòu)對于操作風險的定義，操作風險僅包括導致直接損失的操作風險事件，而不包括可能導致間接損失的戰(zhàn)略風險和聲譽風險，這不利于全面的操作風險管理。戰(zhàn)略風險和聲譽風險很可能使銀行損失巨大，理應包含在數(shù)據(jù)庫中。因此，內(nèi)部審計發(fā)現(xiàn)數(shù)據(jù)庫能夠提供更完整的覆

17、蓋面。
　　三、對于內(nèi)審人員，內(nèi)部審計發(fā)現(xiàn)數(shù)據(jù)庫更易于獲得與方便處理，這點亦非常重要。
　　在高級計量法中，本文將特別討論蒙特卡羅模擬法，因為該方法與其他高級計量法相比，具有以下明顯的優(yōu)勢：
　　一、通過有效模擬，可以克服數(shù)據(jù)不足的缺點。雖然本文以內(nèi)部審計發(fā)現(xiàn)數(shù)據(jù)庫替代操作風險損失事件數(shù)據(jù)庫，但仍僅有1297條記錄，分布在20個業(yè)務領域。
　　二、在分別擬合損失頻率和損失金額的概率分布函數(shù)之后，若按照損失分布法計

18、算聯(lián)合分布的解析形式可能會非常困難，因為其聯(lián)合分布有可能呈現(xiàn)厚尾的特性。蒙特卡羅模擬法可以較好地解決這個問題。
　　三、直接提供了單個周期內(nèi)所有可能的損失金額，易于得到一定置信水平下的風險價值。
　　四、易于對模擬結(jié)果進行壓力測試。
　　五、可由計算機程序自動運行，大大節(jié)約處理時間。
　　第四部分：蒙特卡羅模擬法在內(nèi)部審計風險評估中的應用
　　1）數(shù)據(jù)收集及清理
　　筆者所使用的內(nèi)部審計發(fā)現(xiàn)數(shù)據(jù)庫包括

19、2008年至2011年期間的分支機構(gòu)層面上的1267條記錄，并將其按照20個業(yè)務領域進行了歸類。
　　長遠來看，較好的選擇是按照巴塞爾委員會的方法按業(yè)務條線和損失事件類型的組合進行分類，但目前來說無法實施。若將1267條記錄分布于56個組合，平均每個組合為23條記錄。如需合理地估計操作風險事件的發(fā)生頻率分布，筆者應至少需要20個周期的發(fā)生數(shù)量。顯然，23條記錄分布于20個周期，將無法支持有效的分布擬合。此外，筆者重新檢查了1267

20、條記錄，逐一修訂和規(guī)范了各個項目的所有信息。
　　2）建立“等值損失”模型
　　為使蒙特卡羅模擬法能夠應用，每條操作風險事件的記錄必須有一個對應的損失值。然而，在絕大多數(shù)情況下，內(nèi)部審計發(fā)現(xiàn)的控制缺失并未形成實際損失。為解決此問題，筆者將創(chuàng)建一個新的概念——“等值損失”。區(qū)別于傳統(tǒng)的為審計發(fā)現(xiàn)評定“高風險”、“中風險”和“低風險”的方式，筆者將為每條審計發(fā)現(xiàn)分配一個等值損失數(shù)值，代表其“風險”水平。模型建立過程如下：

21、　　首先，對于每個業(yè)務領域，以下等式應能成立：
　　潛在損失（衡量風險水平）=（年化的控制缺失數(shù)量）*（有關控制缺失導致實際損失的概率）*（每個損失事件的平均損失金額）=（內(nèi)部審計發(fā)現(xiàn)的控制缺失數(shù)量/內(nèi)部審計識別控制缺失的概率）*（有關控制缺失導致實際損失的概率）*（每個損失事件的平均損失金額）
　　內(nèi)部審計識別控制缺失的概率：假設對于不同業(yè)務領域，內(nèi)審人員所接受的審計風險相同，則“內(nèi)部審計識別（或無法識別）控制缺失的概率”

22、相等，并可忽略不計。因為對于風險評估與比較及審計優(yōu)先級確定來說，筆者僅需考慮不同業(yè)務領域潛在損失的相對性，而無需計算其絕對值。忽略一個相等的除數(shù)，能夠使計算與比較更為簡單。
　　內(nèi)部審計發(fā)現(xiàn)的控制缺失數(shù)量：可以從內(nèi)部審計發(fā)現(xiàn)數(shù)據(jù)庫中獲得，用于估計控制缺失的頻率分布；有關控制缺失導致實際損失的概率筆者在初步模型中假設，若有關控制缺失與案件防控有關，導致實際損失的概率將上升，該因子設為10；若無關，則設為1。
　　每個損失事件的

23、平均損失金額（風險暴露水平）：在初步模型中，筆者根據(jù)經(jīng)驗為每個業(yè)務領域的損失事件設定了平均損失金額，以反映相關風險暴露水平。這已包含了操作風險以外的可能引起間接潛在損失的風險，例如聲譽風險，并考慮了銀行的業(yè)務性質(zhì)等。這并非真實的損失金額，而僅反映不同領域損失事件平均損失金額的相對性。除上述外，筆者還假設，若有關審計發(fā)現(xiàn)控制缺失與監(jiān)管要求的合規(guī)性有關，則風險暴露水平上升，因其有可能導致監(jiān)管處罰及/或造成負面影響。筆者設定一個單獨的參數(shù)以反

24、映與合規(guī)的相關性，若不相關，則為1；若為間接相關，則為10；若為直接相關，則為100。平均損失金額（風險暴露水平）應根據(jù)內(nèi)外部環(huán)境變化及對風險水平的認識等因素動態(tài)調(diào)整。
　　綜上，筆者為每個審計發(fā)現(xiàn)的等值損失確定了三個模型參數(shù)：1）控制缺失是否與案件防控相關，以（A）表示，可取值1或10；2）平均損失金額，以（B）表示，可取值在上文列示;3）控制缺失是否與合規(guī)性相關，以（C）表示，可取值為1，10或100。等值損失=A*（B+C）

25、。筆者重新審查了1267條審計發(fā)現(xiàn)，依次賦值，并得出了所有審計發(fā)現(xiàn)的等值損失。
　　3）執(zhí)行蒙特卡羅模擬
　　一般來說，蒙特卡洛模擬法需對損失頻率和損失金額分別進行分布擬合。在損失頻率方面，筆者所在銀行每兩個月發(fā)布一批內(nèi)部審計報告，即一個周期為兩個月，因此4年的觀察期內(nèi)共有24個批次（周期）的報告，能夠滿足分布擬合對周期數(shù)的最低要求。根據(jù)以往的研究文獻，操作風險事件的頻率通常服從泊松分布。為簡化計算過程，筆者應用了非參數(shù)方法

26、進行分布擬合并獲得參數(shù)（均值）估計。根據(jù)SPSS軟件的分布擬合結(jié)果，除“銀行卡收單”業(yè)務外，其他19個業(yè)務領域的審計發(fā)現(xiàn)頻率可被認為服從泊松分布，檢驗P值均大于0.05。筆者暫時未對“銀行卡收單”業(yè)務進行特殊處理，因擬合質(zhì)量可能受到數(shù)據(jù)不足的影響，但未來應對其進行進一步觀察。
　　在損失金額方面，通過以上等值損失模型的建立，可獲得20個關于等值損失的不同結(jié)果。由于等值損失為人為設定，按照其服從離散分布處理，不再進行進一步的分布擬合

27、。等值損失的不同結(jié)果列示如下：然后，對于每個業(yè)務領域，進行10000個周期的模擬，產(chǎn)生每個周期的損失事件數(shù)量及每個事件的等值損失。在95％置信水平下，各業(yè)務領域在一個周期內(nèi)的等值損失（即操作風險度量結(jié)果）如下表所列，并相應確定4個級別的審計資源分配優(yōu)先級：根據(jù)筆者的經(jīng)驗，以上結(jié)果基本合理。讀者可能產(chǎn)生疑問，為什么“IT與業(yè)務連續(xù)性”和“資金與清算”的排名如此之低，這兩個領域應當非常重要。需要指出的是，筆者所使用的是分支機構(gòu)層面上的內(nèi)部審

28、計發(fā)現(xiàn)數(shù)據(jù)庫，對于筆者所在銀行，IT、資金、清算的主要職能和相應風險都集中在總行層面，而分支機構(gòu)在這些領域的角色和責任非常有限。
　　4）對于蒙特卡羅模擬法的補充
　　銀行很可能缺乏低頻/高損的操作風險事件記錄。實際上，高頻/低損和低頻/高損事件的并存是操作風險的一個特點，從而很可能使操作風險事件的分布呈現(xiàn)厚尾特征。內(nèi)部審計發(fā)現(xiàn)數(shù)據(jù)亦不包含低頻/高損事件信息。在此情況下，銀行需注重收集外部操作風險（損失）數(shù)據(jù)作為補充。在學術

29、界和業(yè)界存在一些處理分布厚尾特征的理論，例如極值理論（EVT）。極值理論可用于處理極大偏離中值的情形，分析極為罕見的事件，例如百年一遇的地震或洪水，被廣泛用于保險精算。然而，對于內(nèi)審人員來說，拋棄復雜的計算過程，直接將可能存在低頻/高損事件的業(yè)務領域納入審計范圍，可能是一個更為經(jīng)濟和實際的做法。對于低頻/高損事件的處理，相較于EVT，情景模擬是一個更可借鑒的方法。設定一定的情景，利用專業(yè)人員的經(jīng)驗和判斷，估計可能發(fā)生的損失，這與筆者所建

30、立的等值損失模型完全可以兼容。
　　至此，筆者已基本完整建立了蒙特卡羅模擬法在內(nèi)部審計風險評估中的應用方法和有關模型，但仍有一個較大的缺陷——采用內(nèi)部審計發(fā)現(xiàn)數(shù)據(jù)庫作為風險評估基礎的做法很可能導致負循環(huán)，即審計發(fā)現(xiàn)越多的領域?qū)⒔邮芨鄼z查，從而導致更多審計發(fā)現(xiàn)，反之亦然。在此情況下，筆者擬引入風險控制自我評估（Risk Control SelfAssessment，“RCSA”）以完善以上方法。
　　風險控制自我評估是操作風

31、險管理的三大工具之一，另兩大工具是損失數(shù)據(jù)收集（Loss Data Collection）和關鍵風險指標（Key Risk Indicator）。風險控制自我評估鼓勵全體員工參與風險識別、評估及控制完善。內(nèi)審人員可通過以下方式利用風險控制自我評估的成果，1）在估計“等值損失”時參考風險控制自我評估的風險評估結(jié)果；2）無論蒙特卡羅模擬的結(jié)果如何，始終將風險控制自我評估中所認定為高風險的領域納入審計范圍。如此，可以保持對于銀行風險狀況的跟蹤

32、，確保對于高風險業(yè)務領域的覆蓋。一段時間后，內(nèi)部審計發(fā)現(xiàn)的數(shù)量和性質(zhì)會達到/回歸合理水平，操作風險測量的暫時偏離將被消除，蒙特卡羅模擬的結(jié)果也將更加可靠。第五部分：改進方向上述過程完全可以通過編制計算機程序?qū)崿F(xiàn)自動化，從而大大減少人工干預，提高效率，節(jié)約人力資源。若能夠由計算機程序提供支持，亦可以方便內(nèi)審人員從不同維度進行分析，例如哪些審計單位或哪些損失事件類型需要更多審計關注。
　　此外，在數(shù)據(jù)充分的前提條件下，內(nèi)審人員可以對數(shù)

33、據(jù)進行更為精細的分類，從而為數(shù)據(jù)挖掘提供更多可能性。巴塞爾委員會提供了三個層次的業(yè)務條線分類及三個層次的損失事件類型分類，已經(jīng)非常細致。但內(nèi)審人員可以根據(jù)中國銀行業(yè)的特性和內(nèi)部審計的特點對巴塞爾委員會的分類方法予以進一步改進，以適應自身需求。例如，巴塞爾委員會的分類基于已經(jīng)發(fā)生的損失，其出發(fā)點為出于監(jiān)管目的要求銀行據(jù)此配置經(jīng)濟資本。然而，本文或內(nèi)部審計研究的對象為操作風險的計量，風險為可能發(fā)生的損失，并非實際發(fā)生的損失。因此，內(nèi)審人員應