渣打银行CRO：我们如何控制风险

文/牛佳耕

银行业从本质上讲就是一个风险交易的行业。银行与客户承担的风险越小，回报越小;相应地，风险越大则回报也越大。金融产品本身就是风险和盈利共存的产物，因此对金融机构来说，对风险的控制永远是第一位的。

金融机构运营上的风险还不仅仅是金钱损失，信誉风险的危害也很大。比如在做金融衍生品销售时，如果客户对此了解不多，金融机构应该要求销售人员对客户进行相应的金融衍生品知识和理解能力的测试，如果客户对此并不了解，就不应该销售此类产品。此过程不能流于形式，因为即使形式上的相关法律程序符合，一旦交易出现亏损，客户往往会认为金融机构在信息不对等的情况下有误导或者欺骗的行为，进而有可能上升为公共事件。

针对这种情况，金融机构应该采取的风险管理办法是严格执行客户对相关金融衍生产品的适应性测试，如果不达标就坚决不卖相关产品。而一旦由于客户不满引起更多的问题时，对风险的反应速度则成为关键，此时要看金融机构能不能及时合理地回应客户的投诉。一个运转良好的风险管理体系得益于完善的风险管理框架(自适的系统)、持之以恒的培训以及经验丰富的风险管理团队。

三道防线

第一道防线来自于基层业务层面。在进行风险管理框架设计时，我们按不同的事件种类——如技术问题、系统问题、内部操作、客户投诉可能造成的对媒体的影响等设计了名为紧急状况呼叫机制(Call Tree)的风险管理应急体系。比如当一个网点的计算机系统出现故障时，这就构成了一起危机事件，会马上触发紧急状况呼叫机制。相关的IT决策者会对情况进行判断。按银监会规定，计算机系统两个小时不能修复就属于重大问题。在紧急状况呼叫机制第一层级处理问题的IT专业人员先对情况进行判断，如果可以在短时间内解决，他会就地处理，并且按紧急状况呼叫机制要求通知平级的另一名同事事故的详情及其判断。但如果发现问题比第一次判断严重并且未能迅速得到解决时，相关人员要立即上报并由更高级决策者决定下一步应急解决方案。直至由此类事件的最高决策层——首席信息官下达指令，比如启动在不同地点、不在同一电网系统中的备用系统。

紧急状况呼叫机制上每一个节点的人员不仅要对自己的业务熟悉，还要熟悉他业务范围内的人员情况，必须对突发事件有预判并且知道由谁来处理。每个节点上的人对自己的职责很清楚，也能及时反应，比如IT系统的问题得由负责系统稳定性的IT专业人员担任。

在紧急状况呼叫机制的基层，不同事件节点上的人都是平级的，越往上级别越高，直到具有最高决策权的指挥中心。每一层都有尽快解决问题的责任，如果问题能在其责任范围内尽快解决，就不需要启动下一步的应急预案，但依然要通知节点上的另一人。在整个紧急状况呼叫机制系统内的人要随时听候指令，每个节点除了有负责的人员外还有备份人员，这样可以保证在任何时间出现任何问题时都能在最快时间通知到相应的人。

渣打对风险运营管理的考核方式是，一是考核反应速度，二是自查，比如紧急状况呼叫机制要做定期演习，周末在没有人得到事先通知的情况下启动紧急状况呼叫机制，看每一个节点上的人员是否都能保证及时收到信息，也以此预防由各种原因(如人员变动)所引起的断点。

渣打银行的客户反馈机制是紧急状况呼叫机制应用的另一个案例。比如在北京某郊区发生的客户问题可以通过紧急状况呼叫机制让最高决策层在短时间内获知情况，位于上海的总部管理部门会以最快的响应速度下达指令，指导如何处理。集中处理方式好处在于可以不断积累相关案例和处理危机的经验，遇到类似问题反应速度会更快，处理方案会更加周全、合理。

第二道防线是运营风险委员会。他们的职责是检查第一道防线运营是否良好，给出评估结果，指出哪些地方存在不足、哪些地方做得好，确认设置好的风险管理架构运转良好，保证达到预先设置的标准。委员会成员会对业务部门的工作做抽样检查，而自己也往往会作为紧急状况呼叫机制上的一员参与到实际的问题解决中。比如在金融衍生产品销售中，他们会抽样检查购买衍生产品的客户是否知晓相关产品的知识，是否了解其中的风险，是否的确通过了适应性测试。

第三道防线是内审。其功能是既检查第二道防线的工作情况，也看整体的风险管理架构设计是否行之有效，能否应对客户管理的需要。当突发事件发生时，如果现有风险管理系统未能高效的解决问题，则须立即进行改进，以不断完善系统使之更加行之有效。一个好的风险管理结构不仅最初设计的质量要高，还需要不断地进行完善和适应环境的变化。

第二道与第三道防线的另一个主要区别在于第二道防线主要检查相关要求是否被执行、落实。第三道防线则不仅检查执行度，还要检查风险管理结构的有效性。

从总体结构上看，内审部门独立于任何一个业务部门和职能部门，直接向总裁和董事会汇报。对内审部门的评估是由总裁和董事会的内审委员会来做的。业务部门在级别上与内审部门虽然是平行的职能机构，但内审部门提出的意见业务部门在实际工作中要严格执行。比如在新产品设计流程中，内审部门会进行严格的审查并提出相关的要求和意见，业务部门则须完全达到要求。举一个具体的例子，人民币跨境结算是一个相对新的领域，业务部门会主动请内审部门检查其相关风险管理架构是否有疏漏，并请内审部门根据央行政策、法律法规等进行独立客观的检查。此过程中双方互相沟通，不断完善整个人民币跨境结算的风险管理流程。

这套自适系统的特点在于：能够不断地发现自己的问题，并建立运营反馈机制，以达到自我完善、自我监督和独立审核的目的，防患于未然。渣打银行在这方面投入了巨大的精力，配备有大量人员，整年在全国各部门进行检查。

培训让内控日常化

风险存在于银行业务的各个环节，与所有员工的工作息息相关。因此，在对员工进行风险培训的时候，渣打银行会预设各种情景。比如着火时，如何把保险柜的大门关好防火、怎么疏散。遇到地震、银行抢劫怎么应对，这些都有相应的指导，也给新人进行这些最基本的培训。这些保证员工能够具备相关的知识和技能来应对一些日常运营中可能出现的风险、危机状况。

一个最近的例子就是在***期间，为了能够保证银行的平稳运营，渣打银行给员工分发了指引手册，来具体解释在遇到突发事件的时候，员工应该联系谁、做些什么、怎么做。

另外，渣打银行也通过各种形式，包括网上课程(e-learning)和员工分享一些各业务部门在运营中出现的大小突发事件及解决方法。并基于此形成了一套完整的培训教材，比如重要文件丢失如何处理、如何反洗钱等。例如当客户有上亿资金要求存入时，员工在培训中已经知道如何跟客户交流以证明钱的来路，识别真假交易行为。渣打银行要求所有的员工都必须通过这一培训及相关考核。在考核中，针对不同的业务部门，设置了不同的考核重点。这种培训的目的是让员工牢记哪些是正确的行为和处理方法。此培训不仅仅针对新员工，全体老员工每年也需要重新做一次，通过具体事例来反复加强处理突发事件的能力。

这个网上课程项目由专门负责内部培训的团队制作，各部门积极参与并提交案例和材料。如果有些案例没办法电子化，银行会在各个城市招开培训班，由高级风险管理经理给业务部门以互动的方式讲解具体案例。渣打银行通过对这些事件的不断反思来提高员工识别风险、管理风险及处理危机的能力，并通过深入的探讨使员工了解不同处理方法的利弊，举一反三。

作者系渣打银行(中国)有限公司执行董事及首席风险官(CRO)