7月28日，國家金融監督管理總局就《銀行保險機構操作風險管理辦法（征求意見稿）》（下稱《辦法》），向社會公開征求意見。

作為銀行面臨的主要風險之一，操作風險主要是由于內部程序、員工、信息科技系統存在問題以及外部事件造成損失的風險，主要是內生性風險。所謂操作風險事件，是指由操作風險引發，導致銀行保險機構發生實際或者預計損失的事件。銀行保險機構分別依據商業銀行資本監管規則和保險業償付能力監管規則進行損失事件分類。

(資料圖)

《辦法》共六章五十條及附錄，包括總則、風險治理和管理責任、風險管理基本要求、風險管理流程和方法、監督管理、附則，主要內容包括：

一是明確風險治理和管理責任。優化董事會在公司治理中的作用，明確監事（會）監督職責和高級管理層的執行職責。界定三道防線的具體范圍和職責，特別是明確各級業務和管理部門均屬于第一道防線范疇，要求在一級分行（省級分公司）及以上設置第二道防線的操作風險管理專崗。要求壓實分支機構和附屬機構的責任。

二是規定風險管理基本要求。明確銀行保險機構應當建立操作風險管理基本制度、操作風險偏好和傳導機制，建立健全操作風險的管理信息系統，培育良好的操作風險管理文化。風險管理考核評價指標應當兼顧操作風險管理過程和結果，薪酬和激勵約束機制應當有效反映考核評價結果。規定操作風險管理的培訓和信息披露要求。

三是細化管理流程和管理工具。要求銀行保險機構對操作風險進行全流程管理。規定了內部控制、業務連續性管理、數據安全、業務外包管理等操作風險控制、緩釋措施的基本要求，建立操作風險情況和重大操作風險事件報告機制，應用操作風險損失數據庫等三大基礎管理工具以及新型工具，強化變更管理。

四是完善監督管理職責。規定金融監管總局及其派出機構要檢查評估銀行保險機構操作風險管理體系的健全性和有效性。針對監管發現的有關問題，監管部門應當要求銀行保險機構及時整改。規定重大操作風險事件報告的具體要求。要求行業協會發揮自律和服務作用。

按照《辦法》，銀行保險機構應當在知悉或者應當知悉重大操作風險事件5個工作日內，按照監管職責歸屬向金融監管總局或其派出機構報告?！掇k法》明確的重大操作風險事件包括：

（一）形成預計損失5000萬元（含）以上或者超過上年度末資本凈額5%（含）以上的事件；

（二）形成損失金額1000萬元（含）以上或者超過上年度末資本凈額1%（含）以上的事件；

（三）造成重要數據、重要賬冊、重要空白憑證、重要資料嚴重損毀、丟失或者泄露，已經或者可能造成重大損失和嚴重影響的事件；

（四）重要信息系統出現故障、受到網絡攻擊，導致在同一省份的營業網點、電子渠道業務中斷3小時以上；或者在兩個及以上省份的營業網點、電子渠道業務中斷30分鐘以上；

（五）因網絡欺詐及其它信息安全事件，導致本機構或客戶資金損失1000萬元以上，或者造成重大社會影響；

（六）董事、高級管理人員、監事及分支機構負責人被采取監察調查措施、刑事強制措施或者承擔刑事法律責任的事件；

（七）嚴重侵犯公民個人信息安全和合法權益的事件；

（八）員工發起、主導或者組織實施非法集資類違法犯罪的事件；

（九）其他需要報告的重大操作風險事件。

此前，原銀監會2007年制定的《商業銀行操作風險管理指引》施行后，對規范商業銀行操作風險管理發揮了積極作用?！侗ｋU公司償付能力監管規則》明確了對保險公司操作風險的管理要求，建立了保險公司操作風險管理的基本框架。

《辦法》則整合了原有銀行機構的操作風險監管規則與保險機構的操作風險管理要求，明確操作風險的治理和管理責任、風險管理基本要求、風險管理流程和方法、監督管理等基本要求統一適用于銀行和保險機構。同時，考慮到保險行業未將操作風險作為可量化風險進行管理，規定保險機構不適用風險計量、計提資本等方面要求，明確保險集團（控股）公司、再保險公司等參照執行。

此外，《辦法》還區分規模實行差異化監管。參照制定恢復和處置計劃機構的認定標準，《辦法》劃分規模較大和規模較小的銀行保險機構，分別適用差異化的監管要求：鼓勵規模較大的機構提升運營韌性；不強制要求銀行保險機構建立獨立的操作風險管理信息系統，但要求其相關信息系統應具備操作風險管理功能；明確規模較小機構的第二道防線部門可不設立操作風險管理專崗，并給予其在實施操作風險管理架構和職責、風險管理基本要求方面兩年過渡期。

在規模標準的定義上，《辦法》所稱的規模較大的銀行保險機構，是指按照并表調整后表內外資產（杠桿率分母）達到3000億元人民幣（含等值外幣）及以上的銀行機構，以及按照并表口徑（境內外）表內總資產達到2000億元人民幣（含等值外幣）及以上的保險機構。規模較小的銀行保險機構是指未達到上述標準的機構。

標簽：