客服熱線：400-615-8698
當前銀行業大多將信息科技風險作爲操作風險的一部分，納入銀行全面風險管理體系。但是，隨着行業發展和技術進步，在操作風險模式下管理信息科技風險也存在一定的困難。
未來，隨着信息技術的飛速發展，銀行業對信息科技的依賴越來越大，雲計算、物聯網等新技術既加快了銀行創新發展，對信息科技風險管理提出了更高的要求。
銀行業信息科技風險監管概述
信息科技風險是隨着信息科技技術廣泛應用而新生的詞彙，最早出現在上世紀九十年代，目前業界對此缺乏統一的定義。中國銀監會定義的信息科技風險是指信息科技在商業銀行運用過程中，由於自然因素、人爲因素、技術漏洞和管理缺陷產生的操作、法律和聲譽等風險。
2001年巴塞爾新資本協議草案明確了銀行業資本監管的發展趨勢，即將資本要求與銀行風險管理緊密相連。新資本協議以監管當局對資本計量的要求爲基礎，通過約束銀行資本，達到控制行業規模和風險的目的。在新資本協議關注的三大風險中，信息科技風險被默認爲操作風險的一部分，未對信息科技風險的管理提出具體要求。
信息科技穩定運行是銀行業務正常經營的基本條件，銀行數據集中造成了風險的高度集中，科技風險成爲唯一能使銀行瞬間癱瘓的風險。信息科技風險具有區別於其他操作風險的特殊性：一是風險因素複雜，大量使用外包和新技術使得風險控制的複雜度大幅提高；二是由於管理因素、技術因素多重作用，導致偶發性和不確定性突出；三是信息科技一般不直接造成經濟損失，其造成的間接損失難以計量；四是單個信息系統可影響多個業務，影響範圍廣且具有不確定性。
科技風險與操作風險當前處在不同的發展階段，其管理理論、管理方法等方面有着一定的差異性。在管理體系方面，信息科技風險管理的理論已進入風險導向的科技風險管理階段，但以風險爲導向的識別、監測、計量方面尚不成體系；在管理方法方面，信息科技風險的特殊性在於產品和技術層面的風險也是其重要風險因素；在損失特點方面，信息科技風險通常不產生直接的風險損失，這決定了通常情況下科技風險損失往往難以使用貨幣金額方式進行表示；在風險計量方面，目前尚缺乏有效計量信息科技風險資本的方法。
當前銀行業大多將信息科技風險作爲操作風險的一部分，納入銀行全面風險管理體系。但是，隨着行業發展和技術進步，在操作風險模式下管理信息科技風險也存在一定的困難：一是目前的操作風險管理方法中對科技風險的管理方法涉及較少，難以兼顧到信息科技風險的專業技術特性，難以實現對信息科技風險的有效管理；二是風險監管資本計量未能充分考慮信息科技風險因素，信息科技風險造成的損失及其相應的監管資本計量存在困難。基於科技風險特點及其作爲操作風險一部分進行管理遇到的問題，將信息科技風險從操作風險中拆分並獨立管理，能更有效的管理信息科技風險。
信息科技風險應被視爲一種獨立的、重要的風險類型被單獨管理，與操作風險的管理分開；應根據信息科技損失的特點設計與操作風險標準法和高級法匹配的計量模型，體現信息科技風險對銀行資本的影響和敏感性。
銀行業信息科技風險核心監管指標
在實施“風險爲本”的監管框架中，需要探索建立一套可量化、相對簡單、可動態監測的核心監管指標體系，來動態監測信息科技風險狀況，直觀評估銀行信息科技風險的管理水平。
核心監管指標作爲監管機構識別和預警銀行風險的重要手段和方法，對健全內部風險制衡機制，完善風險管理政策和流程，優化風險計量工具，進行有效的風險控制起到了積極的促進作用。信息科技風險核心監管指標可以分爲兩類，一類是結果性指標，另一類是過程性指標。結果性指標是以目標爲導向，對已經發生的科技風險事件和信息安全事件進行統計後建立的量化指標，其反映的是風險狀況和發展趨勢。過程性指標主要反映銀行風險控制和管理能力。這樣兩類指標相互補充，起到全面評估機構風險水平的目的。
信息科技風險監管具體目標包括業務連續性、信息安全、公衆滿意度以及合法合規。從信息科技風險監管目標出發，可逐層分解出系統可利用率、業務量等指標，它們相對簡單、直觀、容易測算和計量，可以成爲結果性指標。另外一類是過程性指標，這類指標基於當前銀行業信息科技管理最佳實踐，對信息科技的每個領域都能夠起關鍵控制作用。監管指標一方面可以用來監測銀行業整體風險狀況，評估銀行業風險水平，同時也可以與監管手段相結合，提高信息科技風險監管水平。
銀行業信息科技風險資本計量
信息科技風險是巴塞爾新資本協議全面風險計量框架中的組成部分，科技風險資本計量是科技風險管理的重要手段。
計量信息科技風險可以借鑑當前相對成熟的操作風險的計量方法。但是，直接用操作風險計量方法計量信息科技風險存在挑戰，主要表現如下：一是信息科技風險與總收入、業務交易量、客戶數或業務交易金額等指標的關聯並不密切；二是大部分信息科技風險的損失不是顯性的，除少數信息科技風險事件(如引發客戶索賠、延誤罰息)有“直接損失”外，大部分信息科技風險事件的影響體現爲業務中斷、聲譽受損等“間接損失”；三是信息科技風險損失數據相對較少，極端嚴重事件的數據更少，計量 “尾部風險”面臨挑戰。
基於高級法的計量思路是在操作風險的統一計量框架下對信息科技風險這一類型單獨計量，可將信息風險損失定義爲金額損失和時間損失兩個維度，建立時間與金額的轉換關係，擬合頻率分佈和嚴重度分佈，之後整合爲總損失分佈，根據置信度確定未來一定時期內的非預期損失，最後用內部衡量法進行調整得出計量結果。將科技風險持續時間轉換爲間接損失金額有兩種方法，分別爲解析法和映射法。解析法是考量信息系統對銀行利潤貢獻度，即某個信息系統單位時間對銀行產生的利潤，根據系統中斷時間、影響範圍、系統重要性進行計算，得出信息科技風險事件的間接損失。映射法是根據影響範圍和系統重要程度將影響時間加權計算轉化爲“標準”的影響時間，然後建立標準影響時間與損失金額之間的映射關係，從而確定損失。
未來，隨着信息技術的飛速發展，銀行業對信息科技的依賴越來越大，雲計算、物聯網等新技術既加快了銀行創新發展，對信息科技風險管理提出了更高的要求；快速變化的外部環境，開放的互聯網環境，技術類企業、第三方平臺等非金融機構與銀行業的業務服務不斷融合等，所有這些都使得信息科技風險管理與監管面臨着更加現實的挑戰，需要我們不斷地思考和研究，提高信息科技風險管理能力。
（本文是中國金融四十人論壇內部課題《銀行業金融機構信息科技風險監管研究》的報告簡本，課題得到中國金融四十人論壇立項資助並組織專家評審）
（文章來源：21世紀經濟報道）
