一、我國商業(yè)銀行風險管理現(xiàn)狀
?。ㄒ唬〤OSOⅡ在我國商業(yè)銀行的運用情況 在我國對于商業(yè)銀行風險管理所出臺的監(jiān)管文件，一直以來大多參照BASEL委員會的研究成果，在我國銀行的風險管理實踐中也是，而對于COSO委員會的研究成果只有部分借鑒或是參與。我國理論界學者研究認為COSOI和COSOⅡ提供的全面風險管理理論、方法和經(jīng)驗都是值得銀行風險管理借鑒和學習的，特別是銀行應(yīng)該借鑒COSO的研究成果來建立銀行的風險管理體系。事實上，BASEL委員會也認可和借鑒了COSO的部分研究成果。1998年，BASEL委員會根據(jù)COSO內(nèi)部控制框架發(fā)布了《銀行機構(gòu)內(nèi)部控制體系框架》。這個框架就認可了COSO內(nèi)部控制框架的核心思想，明確了一個健全有效的內(nèi)部控制體系由管理層監(jiān)督與控制環(huán)境、風險識別與評估、控制活動與職責分離、信息與溝通、監(jiān)督與糾正五個要素構(gòu)成，這就涵蓋了COSO內(nèi)部控制框架五要素內(nèi)容。《銀行機構(gòu)內(nèi)部控制體系框架》的核心內(nèi)容也是從這五個要素出發(fā)設(shè)立的14條基本原則，包括13條核心原則和1條監(jiān)管部門對銀行內(nèi)控體系的評價原則。2007年我國銀監(jiān)會發(fā)布的《商業(yè)銀行內(nèi)部控制指引》（下稱“控制指引”）也是以COSO內(nèi)部控制框架為基礎(chǔ)?！犊刂浦敢吩趦?nèi)部控制的基本要求指出內(nèi)部控制應(yīng)當包括內(nèi)部控制環(huán)境、風險識別與評估、內(nèi)部控制措施、信息交流與反饋和監(jiān)督評價與糾正等COSO內(nèi)部控制框架五要素。《控制指引》通過對授信、資金等具體領(lǐng)域制定的控制要求來把COSO內(nèi)部控制框架落實到業(yè)務(wù)條線、業(yè)務(wù)單位。2008年財政部會同中國人民銀行、銀監(jiān)會、證監(jiān)會等監(jiān)管部門出臺了《企業(yè)內(nèi)部控制基本規(guī)范》以及2010年發(fā)布的《企業(yè)內(nèi)部控制配套指引》，吸收和借鑒了COSOⅡ。由此可見，COSO的研究成果也在我國商業(yè)銀行風險管理實踐中不斷被運用，隨著我國商業(yè)銀行風險管理的不斷發(fā)展，對COSO研究成果的運用程度也將會繼續(xù)加大。
?。ǘ〣ASELⅡ在我國商業(yè)銀行的運用情況 BASEL作為全球銀行業(yè)監(jiān)管機構(gòu)，其發(fā)布的各項文件和標準一直受到中國銀行業(yè)特別是符合“國際活躍銀行”標準的商業(yè)銀行的關(guān)注。1994年，我國商業(yè)銀行開始在銀行資產(chǎn)負債比例監(jiān)管體系中納入資本充足率這一指標，這正是按照《巴塞爾資本協(xié)議》所提出最低資本要求建立起來的新的監(jiān)管體系。2004年，中國銀監(jiān)會出臺了《商業(yè)銀行資本充足率管理辦法》，除了修改充實了資本監(jiān)管規(guī)定外，更重要的是在資本充足管理框架下納入市場風險，并詳細規(guī)定了監(jiān)管檢查和信息披露的有關(guān)內(nèi)容。接著，銀監(jiān)會開展了對我國商業(yè)銀行資本充足率的時序性監(jiān)督管理，標志著資本充足率統(tǒng)計制度正式建立。2007年2月銀監(jiān)會印發(fā)了關(guān)于《中國銀行業(yè)實施新資本協(xié)議指導意見》的通知，明確指出銀監(jiān)會自2010年初開始接受新資本協(xié)議銀行的申請，第一批新資本協(xié)議銀行從2010年底起開始實施BASELⅡ，一些銀行經(jīng)銀監(jiān)會批準可暫緩，但不得遲于2013年底。根據(jù)BASELⅡ和銀監(jiān)會出臺《中國銀行業(yè)實施新資本協(xié)議的指導意見》（2007）、《商業(yè)銀行資本充足率監(jiān)督檢查指引》（2009）等相關(guān)監(jiān)管文件，我國商業(yè)銀行實施BASELⅡ的審批范圍將全面覆蓋BASELⅡ?qū)嵤┑谝恢е⒌诙е母鱾€方面，包括風險治理、風險計量、政策流程、數(shù)據(jù)和網(wǎng)絡(luò)、業(yè)務(wù)應(yīng)用、文檔管理等內(nèi)容。在這些監(jiān)管規(guī)則的指引下，我國各家商業(yè)銀行在實施BASELⅡ方面也取得一些進展。不過，各家銀行實施BASELⅡ的主要精力都集中在第一支柱上，目前也有部分第二支柱下的項目已經(jīng)開始陸續(xù)啟動。
二、我國商業(yè)銀行風險管理問題分析
（一）COSO的運用停留在COSO內(nèi)部控制框架的層面 在我國商業(yè)銀行風險管理實踐中，COSO的運用主要停留在COSO內(nèi)部控制框架的層面。COSO在我國商業(yè)銀行風險管理的運用直接反映在中國銀行業(yè)監(jiān)管機構(gòu)發(fā)布的內(nèi)部控制規(guī)范性文件。中國人民銀行在2002年發(fā)布的《商業(yè)銀行內(nèi)部控制指引》、銀監(jiān)會在2006年發(fā)布的《商業(yè)銀行內(nèi)部控制評價辦法》和2007的《商業(yè)銀行內(nèi)部控制指引》等，這些規(guī)范性文件都與COSO內(nèi)部控制框架一脈相承?？梢奀OSO內(nèi)部控制框架已經(jīng)成為我國銀行業(yè)內(nèi)部控制規(guī)范和指引的基礎(chǔ)。而在這些規(guī)范性文件中，我們還沒有見到COSOⅡ的影子。另外，從我國商業(yè)銀行風險管理的實踐中，可以看到幾乎所有的銀行都是以COSO內(nèi)部控制框架為基礎(chǔ)，建立起銀行的內(nèi)部控制體系。通過研究和分析我國上市商業(yè)銀行的年報及其披露的信息，不難發(fā)現(xiàn)這些銀行的內(nèi)部控制體系都以COSO內(nèi)部控制框架的五大要素來完成的。這也是我國商業(yè)銀行的特點之一所造成的，這個特點是我國企業(yè)包括商業(yè)銀行在內(nèi)，建立內(nèi)部控制和風險管理體系的目的更多是為了迎合監(jiān)管標準，而不是為了提高自身風險管理能力進而提升企業(yè)價值。COSO在我國商業(yè)銀行風險管理的運用主要停留在COSO內(nèi)部控制框架的層面。
?。ǘ〣ASEL三大風險計量技術(shù)運用不夠成熟 BASELⅡ在我國商業(yè)銀行中已經(jīng)開始實施，是一項龐大的系統(tǒng)工程，涉及到治理結(jié)構(gòu)、制度流程、數(shù)據(jù)管理、計量技術(shù)、網(wǎng)絡(luò)系統(tǒng)等多個方面。同時BASELⅡ?qū)嵤┑闹苯雍烷g接成本都比較昂貴。目前BASEL在我國商業(yè)銀行中的技術(shù)運用不夠成熟，三大風險的技術(shù)運用都存在著不同程度的挑戰(zhàn)：（1）數(shù)據(jù)方面。實施BASELⅡ時首先遇到數(shù)據(jù)方面的問題，而我國多數(shù)銀行在這一方面的問題更為明顯，由于受到經(jīng)營規(guī)模的限制，客戶數(shù)量較少，管理信息系統(tǒng)上線較晚，造成了數(shù)據(jù)數(shù)量不足、質(zhì)量不高、數(shù)據(jù)缺乏連續(xù)性等問題。另外，目前很多銀行都在使用自行開發(fā)的信用評級系統(tǒng)，這會導致沒有共同的數(shù)據(jù)基礎(chǔ)，給進一步的風險分析造成障礙。（2）制度方面。使用內(nèi)部評級法需要具備兩個基礎(chǔ)：制度基礎(chǔ)和技術(shù)基礎(chǔ)。內(nèi)部評級體系是一項系統(tǒng)工程，要使內(nèi)部評級發(fā)生效用，只有風險評級的執(zhí)行過程不發(fā)生偏差，而制度和流程在其中起到關(guān)鍵性作用。我國多數(shù)商業(yè)銀行都存在著公司治理結(jié)構(gòu)不完善、決策執(zhí)行體系構(gòu)造不合理、監(jiān)督機構(gòu)有效性不足等制度問題。（3）風險文化方面。風險文化是企業(yè)戰(zhàn)略中不可分割的組成部分，但同樣對風險管理技術(shù)運用也是重要的一方面。因為在實踐中如果過于強調(diào)短期盈利導向和模型的實用性，就可能會隱含風險。風險文化的培養(yǎng)是需要長期的堅持，必須盡量形成銀行內(nèi)部從管理層到基層執(zhí)行人員都能認可和遵從的風險文化。（4）人才方面。BASELⅡ的實施，涉及的專門性較強，特別是三大風險的評估和計量，所以人才問題是這三大風險模型實施過程遇到的共有問題。BASELⅡ的實施是一個持續(xù)的過程，需要專業(yè)人員在這過程中不斷積累經(jīng)驗，不斷地提高自己的能力，并對銀行改進內(nèi)部風險管理提出建議，但我國BASELⅡ的實戰(zhàn)時間較短，這方面的人才較少，從業(yè)人員的能力和經(jīng)驗不足。
（三）BASEL框架的運用主要集中在第一支柱 首先，我國銀監(jiān)會出臺的關(guān)于BASELⅡ?qū)嵤┑囊?guī)范性文件，這些已公布的監(jiān)管指引已基本覆蓋了BASELⅡ的第一、第二主柱下的主要風險和三大主柱的核心內(nèi)容。2007年銀監(jiān)會發(fā)布《中國銀行業(yè)實施新資本協(xié)議的指導意見》后陸續(xù)出臺，總共制定了14個指引文件，其中第一支柱有7個，第二支柱有6個，第三支柱有1個，具體的對應(yīng)關(guān)系如（表1）所示。而在銀行風險管理的實踐中，各家銀行的主要重心還是集中在第一支柱上。在監(jiān)管文件的指引下，各家銀行基本上都是將實施BASELⅡ的總體目標和各階段規(guī)劃分解成為不同的項目，然后通過項目群管理，對項目進行跟蹤管理，從而逐步實施BASELⅡ。但目前各家銀行實施的主要精力都集中在第一支柱上，也有小部分銀行開始陸續(xù)啟動第二支柱下的項目，但項目數(shù)量有限。
（四）COSO和BASEL融合程度不高 COSO的運用主要是為我國商業(yè)銀行提供了一個內(nèi)部控制框架，即COSO在我國商業(yè)銀行風險管理的運用主要停留在COSO內(nèi)部控制框架的層面。而且BASEL的運用主要在于為我國商業(yè)銀行風險管理提供了風險管理技術(shù)，特別是針對信用風險、市場風險和操作風險三大風險。而沒有繼續(xù)推進到COSOⅡ的風險管理框架層面，而BASELⅡ主要強調(diào)的是風險的控制和最小化，通過識別幾類風險，然后用標準的流程和作業(yè)來識別和控制風險，因此在我國商業(yè)銀行風險管理實踐中，就很難把BASELⅡ納入到內(nèi)部控制框架中來。通過對我國已上市的商業(yè)銀行的年報及其披露的信息來看，COSO和BASEL在運用過程中，成為兩個相對獨立的體系，兩者的融合程度并不高。雖然不能保證，我國商業(yè)銀行內(nèi)部控制從內(nèi)部控制框架（COSOI）向企業(yè)風險管理整合框架（COSOⅡ）成功過渡，就一定能把COSOⅡ和BASELⅡ有效的結(jié)合起來，但是只有完成了這一過渡，兩者協(xié)調(diào)和融合而成為一個全面風險管理體系就將變得更加可能和現(xiàn)實，而且能在一定程度上促進我國商業(yè)銀行風險管理水平的提高。
三、我國商業(yè)銀行風險管理的對策
?。ㄒ唬┘訌婏L險管理制度體系建設(shè) （1）目前繼續(xù)以COSO內(nèi)部控制框架（COSO I）為指導性框架。COSO內(nèi)部控制框架已經(jīng)成為當今世界最權(quán)威、使用面最廣的內(nèi)部控制指導性框架。自從1992年發(fā)布以來，經(jīng)過修改和完善后，逐步得到美國監(jiān)管機構(gòu)或國際組織的認可與采納。經(jīng)過各國和各類企業(yè)的長期實踐，這個框架已經(jīng)被證實是一個切實可行的框架。是得到了BASEL委員會的認可和發(fā)展，特別是巴塞爾內(nèi)部控制框架。巴塞爾內(nèi)部控制框架是以COSO內(nèi)部控制框架為基礎(chǔ)，并結(jié)合銀行的特殊性，被稱為是COSO框架在銀行的具體化。COSO內(nèi)部控制框架已經(jīng)成為我國商業(yè)銀行內(nèi)部控制體系和監(jiān)管規(guī)范的基礎(chǔ)。正是基于這樣的原因，因此我國商業(yè)銀行內(nèi)部控制體系仍應(yīng)該繼續(xù)以這個框架為基礎(chǔ)。雖然COSO委員會在2004年已經(jīng)發(fā)布了COSOⅡ，但COSOⅡ在實踐中的運用，目前時機尚未成熟，特別是很多監(jiān)管規(guī)范是以COSO內(nèi)部控制框架為基礎(chǔ)。重新構(gòu)建新的監(jiān)管規(guī)則體系不是一朝一夕的，而是一個逐步轉(zhuǎn)變的過程。（2）逐步促進商業(yè)銀行內(nèi)部控制建設(shè)向全面風險管理框架（COSOⅡ）的過渡。雖然說目前我國在一段時間內(nèi)將繼續(xù)以COSO內(nèi)部控制框架為我國商業(yè)銀行內(nèi)部控制建設(shè)和評估的指導性框架，但COSOⅡ始終是未來內(nèi)部控制和風險管理發(fā)展和運用的方向，而且COSOⅡ在銀行風險管理方面更具有實效。首先，COSOⅡ是在COSO內(nèi)部控制框架基礎(chǔ)，對內(nèi)部控制理論的深化，特別是強化了內(nèi)部控制框架的風險管理導向，從而提高了體系的安全性和穩(wěn)健性。而且COSO Ⅱ增加的戰(zhàn)略目標，也更好地保證了銀行的風險管理圍繞著銀行戰(zhàn)略來展開。其次，COSOⅡ能夠強化我國商業(yè)銀行的風險管理能力。COSOⅡ提出的全面風險管理體系和風險組合觀的理念，有助于提升我國商業(yè)銀行的風險管理理念和制度。最后，COSOⅡ能夠與BASELⅡ更好地銜接。COSOⅡ強調(diào)全面風險管理體系，通過對各類風險的全面識別，提高風險評估的可靠性和準確性，這與BASELⅡ的銜接程度比COSO內(nèi)部控制框架要高得多。鑒于上述原因，我國商業(yè)銀行應(yīng)該從以COSO內(nèi)部控制框架為基礎(chǔ)的內(nèi)部控制體系逐步過渡到以COSOⅡ為基礎(chǔ)的全面風險管理體系。（3）全面風險管理體系，應(yīng)該包括所有的風險，不僅限于三大風險。COSOⅡ一個重要的貢獻就是提出全面風險管理體系，BASELⅡ?qū)W習了COSOⅡ的全面風險管理理念，新的資本充足框架在原有信用風險的基礎(chǔ)上進一步涵蓋了市場風險和操作風險，并提出更加細致嚴格的風險計量技術(shù)化要求和管理定性化要求，使得資本充足框架更全面、更精確地反映銀行經(jīng)營活動中的實際風險水平。這無疑是BASELⅡ的一大進步，但COSOⅡ強調(diào)風險管理體系覆蓋整個銀行的范圍，對各項業(yè)務(wù)、各項操作和各層次人員等各方面的風險進行管理，實現(xiàn)對銀行各類風險的全面識別。而且BASEL委員會在1997年就指出銀行面臨的主要風險有信用風險、國家風險、市場風險、操作風險、合規(guī)風險、流動性風險、戰(zhàn)略風險和聲譽風險等八大類。因此，銀行的風險管理體系不應(yīng)該僅限于信用風險、市場風險和操作風險三大風險，雖然其他風險可能難以可靠地計量和評估，但這些風險都是不可忽視的，應(yīng)該盡量通過各種手段來控制和防范這些風險。這樣才能達到全面風險管理的要求，提高我國商業(yè)銀行經(jīng)營的安全性。（4）加強風險管理制度體系中的監(jiān)控環(huán)節(jié)。目前，我國商業(yè)銀行對于內(nèi)部控制和風險管理都有一定的監(jiān)控措施，大多數(shù)商業(yè)銀行都建立起了由業(yè)務(wù)部、風險管理部、內(nèi)部審計部多個部門參與的、多層次的監(jiān)督檢查體系，對內(nèi)部控制實施日常監(jiān)督和個別評價。不過由于各方面的不足，特別是監(jiān)督資源配置、運行管理方面，這些都導致了銀行內(nèi)部監(jiān)控措施沒有得到充分發(fā)揮。監(jiān)控方面的不足表現(xiàn)在兩個方面：一個是內(nèi)部審計比較薄弱，內(nèi)控評價的廣度和深度不足。大多數(shù)商業(yè)銀行的內(nèi)部審計組織體系不夠完善，從而不能保證內(nèi)部審計在公司治理架構(gòu)中的獨立性和權(quán)威性。內(nèi)審人員的素質(zhì)也是制約內(nèi)部審計各方面的一大因素。另一個是業(yè)務(wù)部門和內(nèi)控管理部門的日常監(jiān)督檢查難以發(fā)揮持續(xù)性監(jiān)督。事實上，在內(nèi)部控制和風險管理體系的實際運用中，不僅商業(yè)銀行的監(jiān)控沒有發(fā)揮實效，而且一般企業(yè)的監(jiān)控也存著各方面的不足。因此，COSO委員會在2009年也發(fā)布了《內(nèi)部控制監(jiān)督指引》。這些監(jiān)督程序?qū)ξ覈虡I(yè)銀行內(nèi)部控制和風險管理的監(jiān)督也有很好的借鑒作用?！秲?nèi)部控制監(jiān)督指引》也提到，較好的監(jiān)督程序，不僅能夠及時識別并糾正內(nèi)部控制和風險管理的問題，保證內(nèi)部控制和風險管理質(zhì)量，而且能夠產(chǎn)生更多對決策有用的準確且可靠的信息，提高銀行治理效果，保障組織目標的實現(xiàn)。
?。ǘ┨岣唢L險管理技術(shù)手段 （1）結(jié)合中國實際，逐步提高風險管理技術(shù)。在風險管理技術(shù)方面，不能否定BASELⅡ在這一方面的優(yōu)勢。不過BASELⅡ在風險評估和計量方面的技術(shù)更偏向于定量方法。BASELⅡ主要是在第一支柱中針對信用風險、市場風險和操作風險進行風險管理，進而保證銀行的資本充足率，而BASELⅡ針對這三種風險中的任一風險，都提供了幾種不同的備選方案。信用風險的標準法和內(nèi)部評級法、市場風險的標準法和內(nèi)部模型法、操作風險的基本指標法和標準法及高級度量法都是BASELⅡ所提供的一些風險管理技術(shù)。這些方法和技術(shù)都給我國商業(yè)銀行風險管理技術(shù)提供了很好的學習和借鑒對象。但值得我們注意的是，我們在學習和借鑒這些方法和技術(shù)的時候，必須注意幾個問題：首先，我國商業(yè)銀行所處的國內(nèi)金融環(huán)境與國外有所不同，特別是我國銀行所處的監(jiān)管環(huán)境不同。如我國銀行的存貸款利率并沒有完全放開管制，導致我國銀行面臨的市場風險相對較小一些。正是由于我國商業(yè)銀行所處的金融環(huán)境的不同，所以對風險管理技術(shù)的要求不同，我們在學習和借鑒這些技術(shù)時要充分考慮環(huán)境的適應(yīng)性，才能達到更好的風險管理成效。其次，我國大多數(shù)商業(yè)銀行都屬于國有企業(yè)，由于所有權(quán)結(jié)構(gòu)的特殊性，影響了我國銀行的組織結(jié)構(gòu)和風險文化等內(nèi)部環(huán)境的因素。內(nèi)部環(huán)境是風險管理體系的基礎(chǔ)，影響著其他的構(gòu)成要素，進而影響著整個風險管理體系的實施效果。因此，在借鑒BASELⅡ風險管理技術(shù)時，要結(jié)合我國商業(yè)銀行所有權(quán)的特殊性，注意其內(nèi)部環(huán)境的適用性。這也正是為什么我國大多數(shù)學者在對我國商業(yè)銀行風險管理提出建議時都會提到改善內(nèi)部環(huán)境的原因。最后，我國商業(yè)銀行在借鑒這些風險管理技術(shù)之前，必須全面考察自身銀行的現(xiàn)有基礎(chǔ)是否滿足這些風險管理技術(shù)的必要條件。由于我國銀行風險管理技術(shù)起步較晚，很多方面都存在著不足，例如信息系統(tǒng)不完善、數(shù)據(jù)質(zhì)量不高、風險管理人員素質(zhì)較低等。這些不足都嚴重影響了這些風險管理技術(shù)的運用，不僅無法達到既定的目標，而且還可能會出現(xiàn)一些錯誤的信息而產(chǎn)生一些負面的影響。因此，承認BASELⅡ和COSOⅡ提供的風險管理技術(shù)的科學性，但不能照搬這些風險管理方法和技術(shù)。 （2）定性評價方法和定量計量方法相結(jié)合。本文提到了BASELⅡ和COSOⅡ提供了一系列先進的風險管理技術(shù)，而這些風險管理技術(shù)可以分為定性評價和定量計量兩種不同的方法。COSOⅡ提供的技術(shù)更偏向于定性評價方法，這是COSOⅡ適用于不同行業(yè)、不同性質(zhì)、不同規(guī)模的企業(yè)，而不同的企業(yè)有著其獨特性，很難對不同企業(yè)進行一致的定量計量。BASELⅡ針對商業(yè)銀行資本管理的壓力，利用信息技術(shù)和信息管理系統(tǒng)的成果，通過數(shù)據(jù)技術(shù)，開發(fā)建立各種測量模型，對商業(yè)銀行面臨的三大風險進行識別和控制，因此BASELⅡ則偏向于定量計量方法。不過，BASELⅡ在信用風險管理的基礎(chǔ)上，增加了市場風險和操作風險管理，因此在定量評估和計量方法的基礎(chǔ)上，也增加了一些定性評價方法，特別是在操作風險管理領(lǐng)域。本文在對風險管理制度體系建設(shè)方面提出建議時，根據(jù)全面風險管理理念的要求，認為商業(yè)銀行風險管理不能僅限于信用風險、市場風險和操作風險這三大風險，應(yīng)該盡量對我國商業(yè)銀行面臨的所有風險進行管理。而針對這些不同的風險，很難用定量方法來準確地計量，因此應(yīng)該結(jié)合定量和定性兩種不同方法，盡量對各種風險進行管理，構(gòu)建我國商業(yè)銀行的全面風險管理體系。（3）加強我國商業(yè)銀行風險管理基礎(chǔ)建設(shè)。大多數(shù)學者在分析我國商業(yè)銀行風險管理現(xiàn)狀時，都會提出我國商業(yè)銀行面臨著一系列的問題，而出現(xiàn)頻率最高的問題就是數(shù)據(jù)問題，接著就是風險管理文化問題、人員素質(zhì)問題和組織結(jié)構(gòu)問題等。這些都歸屬于風險管理基礎(chǔ)方面的問題。雖然風險管理技術(shù)是整個風險管理體系的核心問題，但如果這些基礎(chǔ)方面出現(xiàn)問題，那么風險管理技術(shù)也是紙上談兵，如果硬是強加運用更會出現(xiàn)更多更嚴重的問題,必須強化風險管理的基礎(chǔ)建設(shè)。
