5.5操作风险资本计量
商业银行可采用基本指标法、标准法或高级计量法计量操作风险资本要求。
5.5.1总体监管规则
银行使用高级计量法须经监管当局核准，一旦采用了高级法，未经许可不能退回使用相对简单的方法。
我国操作风险计量规则有以下特点：
一是在政策导向上，基本指标法和标准法体现规则导向，银监会明确了计量规则，保证各行结果可比，避免套利;高级法体现原则导向，银监会仅明确数据、计量原则，商业银行自行选择计量方法，体现对风险管理较好银行的激励;
二是在核准思路上，核准前，对银行实施准入监管，仅核准符合要求的银行实施较为高级的方法，核准后，体现持续监管原则，持续监测高级方法体系的运行情况，及时要求银行整改，并对整改不到位的银行采取监管措施，直至取消实施资格;
三是在审慎监管方面，银监会认定商业银行内部控制不健全、操作风险管理薄弱的，可要求商业银行提高操作风险资本。
5.5.2政策要点
标准法和高级计量法：治理架构清晰、信息系统适用、数据收集全面、风险评估有效、风险监测敏感、连续性管理体系健全、报告体系稳健、内部审查严格、内控内审充分、配合监管。
高级计量法：计量与管理有效融合、数据全面准确、计量合理审慎
5.5.3主要计量方法
基本指标法(自主决定是否采用)：
基本指标法操作风险资本=过去三年汇总每年整的总收入的平均值乘以固定比例(α=15%)。
某年收入为负，分子、分母都不考虑。
基本指标法计量方法简单，资本与收入呈线性关系，银行的收入越高，操作风险资本要求越大，资本对风险缺乏敏感性，对改进风险管理作用不大。
标准法：标准法操作风险资本=银行各条线前三年总收入的平均值乘上一个固定比例(ß)再加总。
共8个条线：公司金融*18%、交易和销售*18%、支付和清算*18%;
商业银行业务*15%、代理服务*15%;
零售银行业务*12%、资产管理*12%、零售经纪12%。
监管当局明确了9条归类原则：
一是所有业务活动必须按1级目录规定的8个业务条线对应归类,相互不重合，列举须穷尽;
二是对业务条线框架内业务起辅助作用的银行业务或非银行业务，如无法直接归类，必须归入所辅助的业务条线;
三是在将总收入归类时，如无法与特定业务对应，则适用资本要求最高的业务条线;
四是如果总收入仍等于8个业务条线总收入之和，可使用内部定价法在各业务条线间分配总收入;
五是按业务条线归类时采用的定义必须与计算其他类风险监管资本所采用的定义相同;
六是银行采用的对应流程应有明确的文字说明; 七是必须制定新业务或产品对应的流程;
八是需有高级管理层负责制定业务条线对应政策; 九是业务条线对应流程必须接受独立审查。
总收入=(利息收入-利息支出)+(手续费和佣金收入+净交易损益+证券投资净损益+其他营业收入+净非利息收入)
业务归类补充指引：
一是零售银行业务总收入含对零售客户和按零售客户对待的中小企业放贷和垫款产生的净利息收入;
二是商业银行业务的总收入包括向公司、银行同业、主权客户放贷和垫款产生的净利息收入和收购的公司应收账款产生的收入;
三是交易和销售业务的总收入等于因交易而持有的工具的损益，减去资金成本，加批发经纪业务收费;
四是其他5个产品的总收入主要包括各类产品线的净收费/佣金收入。
五是总收入中不应忽略营运开支。
高级计量法：巴塞尔推荐了内部衡量法、损失分布法(主流选择)和打分卡法三种计量模型。
内部衡量法：是基于银行损失数据计算操作风险监管资本的一种方法。对每一业务条线/事件类型组合分别计算预期损失(EL)，并引入换算因子，将预期损失转化为非预期损失(UL)
操作风险资本(UL)=换算因子*预期损失=换算因子*(操作风险暴露*损失概率*损失程度)
引入风险特征指数(RPI)来体现各银行风险管理水平的高低。
内部衡量法是银行由基本的由上至下模型向复杂的操作风险资本计量模型过渡的方法，计算简便。但该方法也存在一定缺陷：一是换算因子是监管部门根据银行业整体的操作风险状况设定的统一标准，不一定普遍适用;二是预期损失和非预期损失之间不一定满足该方法假设的线性关系。
打分卡法：与其他高级计量模型相比，打分卡法尽管采用了部分历史数据，但更多偏重于定性分析，其主要目标是以前瞻性的眼光，捕捉各业务条线的风险特征与控制环境，掌握潜在风险，进而降低操作风险损失事件发生频率与严重度。
缺点：主观性太强，过于依赖风险管理人员的经验和知识。
损失分布法：银行对每个业务条线/事件类型组合分别估计频率和严重度两个概率分布函数，用蒙特卡罗模拟方法拟合出一定置信水平(99.9%)和区间(一年)的操作风险VaR值。
相比内部衡量法，损失分布法的优势在于：一是损失分布法直接计量非预期损失，更符合实际损失分布;二是损失分布法中，银行自主决定业务线/事件类型的组合和各类风险参数，能更好地体现银行的业务特性，避免了监管干预可能造成“一刀切”的问题。
5.6业务外包风险管理
应遵循原则：一是制定外包的风险管理框架以及相关制度，并将其纳入全面风险管理体系;二是根据审慎经营原则制定其外包战略发展规划，确定与其风险管理水平相适宜的外包活动范围;三是对于战略管理、核心管理以及内部审计等职能不宜外包。
5.6.1业务外包管理的主要框架
组织架构：董事会(审议)、高级管理层(制定)、外包管理团队(执行)
业务外包风险管理应做好以下工作：业务外包风险评估、尽职调查、外包协议管理、外包服务承诺、分包风险管理、跨境外包管理、其他事项。
5.6.2业务外包管理的监督管理
外包活动存在以下情形的，监管可要求银行纠正或采取替代方案，并视情况予以问责：违反相关法律、行政法规及规章;违反本机构风险管理政策、内控制度及操作流程;存在重大风险隐患;其他认定的情形。
5.7信息科技风险管理
5.7.1信息科技治理 首席信息官，直接向行长汇报，并参与决策。
5.7.2信息科技风险管理
信息科技风险防范措施：明确的信息科技风险管理制度、技术标准和操作规程等，定期进行更新和公示;确定潜在风险区域，并对这些区域进行详细和独立的监控，实现风险最小化。
5.7.3信息安全
主要管理要求：一是信息科技部门应落实信息安全管理职能;二是应建立有效管理用户认证和访问控制的流程;三是应根据信息安全级别，将网络划分为不同的逻辑安全区域;四是应确保所有计算机操作系统和系统软件的安全;五是应采取措施确保所有信息系统的安全;六是应制定相关策略和流程，管理所有生产系统的活动日志，以支持有效的审核、安全取证分析和预防欺诈;七是应采取加密技术，防范涉密信息在传输、处理、储存过程中出现泄漏或被篡改的风险，并建立密码设备管理制度，确保使用符合国家要求的加密技术和加密设备;八是应配备切实有效的系统，确保所有终端用户设备的安全，并定期对所有设备进行安全检查;九是应制定相关制度和流程，严格管理客户信息的采集、处理、存贮、传输、分发、备份、恢复、清理和销毁;十是应对所有员工进行必要的培训，使其充分掌握信息科技风险管理制度和流程，了解违反规定的后果，并对违反安全规定的行为采取零容忍政策。
5.7.4信息系统开发、测试和维护
5.7.5信息科技运行
5.7.6业务连续性管理
5.7.7信息科技审计 至少每三年进行一次全面审计
出国留学网银行专业资格考试栏目推荐：