黄志凌：从危机到重构—银行风险治理的理解与变革趋势

黄志凌（中国建设银行原首席经济学家、中国首席经济学家论坛理事）

2008年国际金融危机过后，全球银行业以及监管机构对传统的银行风险管理体系进行了深刻反思，提出并迅速实施一系列强化甚至重构的风险管理原则，不仅希望能更前瞻地、有效地识别和管理系统性风险，更希望进一步完善银行风险治理体系，通过改进单个银行自身经营管理来强化整个银行体系的稳定性。

一、完善银行风险治理不再是理念，而是具体的改革指向

众所周知，银行是经营风险的，而经营风险的精髓就是将一系列内生的不确定性通过相应的技术和流程转化成可识别、可计量、可选择、可安排、可覆盖、可转让的相对可控的显性不确定性，这就是我们日常所说的风险治理。通过完善和强化风险治理，银行不仅降低了失败概率，还能够提升市场竞争能力，因而一直是监管者和经营者的理想追求。然而，在过往的实践中，理念往往被抽象化，并不能自动转化成行动，甚至出现理念与行动的严重偏离，只有经过无数次金融危机，人们才逐渐深刻理解“理念”。我们注意到，在2008年国际金融危机中，董事会、薪酬制度、信息披露和风险管理等风险治理架构的不完善，被认为是导致危机的重要原因。随着商业银行经营复杂程度的不断提高，风险管理的复杂度和关联度也越来越高，一个分工清晰、职责明确、激励合理、传导流畅、组织有效的体系，是做好复杂风险管理的必要条件，有利于通过风险管理政策流程、文化及计量体系等实现银行价值的创造。

为实现风险治理对银行价值创造的推动作用，最为关键的是要充分发挥董事会及其专门委员会作用。董事会承担着银行风险管理的最终责任。风险治理是商业银行风险管理的核心，而董事会是风险治理的核心，在推进银行风险治理建设和增强银行风险能力方面发挥着关键性、战略性、长期性和根本性作用。

除了要大力发挥董事会在风险治理中的核心作用，银行还可以通过设计风险绩效考核体系、建立全面风险评估体系以及推进流程银行建设等途径完善风险治理。

二、国际同业对银行自身风险管理体系进行了重新定位

随着监管机构强力推进银行风险治理体系改革，全球银行业对风险管理的重视和投入也超过以往，引发的内部管理变革涉及公司治理结构、风险偏好、风险管理的组织设计、流程优化、系统整合等方方面面。第一，将风险管理体系融入战略规划、目标制定、激励机制、业务决策和绩效管理流程等关键决策过程之中，确保风险偏好自上而下得到正确的理解和执行。第二，完善公司治理结构，明确向董事会及其专门委员会报告的流程、内容及对重大风险事项的应对处置，确保董事会、高管层及各业务单元、各分支机构之间的风险信息沟通顺畅、应对有效。提升专门委员会的专业性，在专门委员会的人员组成中加强风险管理专家、财务专家、内控专家的占比。此外，更加关注薪酬激励机制的制衡作用，要求薪酬政策与长期经营及风险管理目标保持一致。第三，更加注重从集团层面统一的风险管控，包括客户维度、政策维度，注重对各类风险的全面计量和压力测试，以准确预测日益复杂的风险形势。全面、全流程的风险评估，量化工具的开发及应用成为风险管理的一大主要趋势。同时，强化首席风险官对全面风险管理的掌控职能，既关注各类风险的专业管理，更重视彼此间的交叉影响并加以应对。第四，合理划分风险管理部门与业务部门在全面风险管理框架下的职责范围，在独立履职、相互制衡的基础上，促成彼此密切合作。与风险管理部门派驻人员进入流程中直接监督和控制风险、出了风险直接进行处置的管理模式相比，更多的国际大型银行意识到风险管理部门不应该也不可能替代业务经营部门履行风险管控的第一责任，而是需要在合理的定位和科学的运作机制保障下履行风险管理部门自身的管理职责。第五，注重持续改进。风险管理是一种持续的、不断发展的能力，也必须根据外部市场环境变化和内部战略调整及时作出改进，灵活应对，才会在实现长期竞争优势和卓越绩效之路上遥遥领先。

三、国际金融稳定理事会全面评审金融机构风险治理

早在2013年，国际金融稳定理事会曾发布关于金融机构风险治理的评审报告，指出了2008年金融危机中金融机构风险治理暴露出的薄弱环节，如部分银行董事会成员缺乏金融行业的工作经验，对所在金融机构业务和运行的复杂性认识有限；管理层向董事会提供的信息量庞大复杂，影响董事履职能力；缺乏对风险治理框架的独立评估；风险管理职能缺乏权威、声望和对公司风险管理驾驭的独立性，内部评估丧失了对风险治理中薄弱环节的确认能力，等等。同时，强调要重点加强对系统重要性金融机构风险治理框架有效性的评估,主要内容包括：董事会应全面、准确、完整、及时地掌握公司的风险水平和各类风险信息，要对公司战略、风险状况和新兴风险，做出有效决策；要提升首席风险官在公司的声望、权威和独立性，确保其与董事会和风险委员会沟通顺畅，并从风险角度充分参与可能会影响公司风险轮廓的重要活动和决策，对管理层的决定和建议提出“质疑”；董事会、高管层要定期对风险治理框架及其有效性和风险文化进行评估。

四、我国银行风险管理模式一直在探索

诚然，现代商业银行的风险治理架构都是以董事会为核心来设计的，解决的是风险经营与管理的职责安排和制衡机制，但不同经营规模、不同经营领域、不同经营环境下的商业银行，风险治理模式也应该各具特色。就中国的大型商业银行而言，已经披露的风险治理架构看似很完善，但实践中的认识分歧很大，反映出经营者、管理者甚至监管部门对于风险治理的本质理解还有待深入，风险治理效率和效益也有待提高。从实践上来看，这种争议主要集中在风险治理模式选择上，即银行风险管理制衡机制的“责任制模式”与良好治理结构下“专业制衡模式”的争议。其实，关于银行风险管理制衡机制，我们一直都在探索。在2000年前后世纪之交的金融改革时期，主流架构意识是模仿所谓的领先实践。客观地说，建设银行在2005年之后借鉴国际经验，力图构建“垂直管理、平行作业”为特征的专业制衡体系，还是收到实质性的风险治理绩效。遗憾的是这些探索并未受到业界的应有重视，许多银行局限于形式模仿，并向市场披露自身的风险治理架构，但实质只是明确了不同风险形态的管理责任，而非真正意义上的专业制衡机制架构。2008年国际金融危机之后，巴塞尔委员会多次修订《商业银行公司治理原则》，强调治理有效性对于银行风险文化以及风险管理的重要性。我国银行风险制衡的主流架构意识受到“标杆银行失败论”的影响，叠加“规模赶超”的内在驱动，风险管理模式从怀疑专业制衡慢慢回归传统的领导责任制，“行政责任制衡”逐渐成为风险管理制衡机制的主流。疫情结束之后，商业银行的资产质量压力陡升，加之前期部分中小商业银行风险暴露突增，加强风险管理、改革风险治理的呼声再次成为市场和监管决策层的共识。对于此次拟议中的改革，当务之急是对现行风险治理架构开展有效性评估，即各家银行结合实际效果进行自我评估：哪些是有效的，必须坚持下去；哪些是无效的，徒增成本，应该舍弃；哪些是短板（缺失），必须尽快弥补。对标业界领先的风险体制不能满足于“形似”，更重要的是怎样才能提升风险治理的有效性，这是未来完善风险治理架构顶层设计的目标。银行要围绕重点领域的风险案例进行风险治理的有效性分析，厘清市场环境、风险治理体系、管理执行有效性等各项因素，识别当前管理上的缺陷与短板，提出切实有效的改进策略建议。只有深入进行自评估，才能明确下一步风险管理体制改革方向。

从既往实践困惑以及同行讨论的焦点来看，在对风险治理架构进行评估时有几点需要特别关注：一是银行风险治理架构的相关职责界定是否应该回归本原：商业银行的风险治理不能简单化为设立风险管理部门，也不能让风险管理部门包打天下，每个业务和管理部门都应有相应的风险管理职责定位，承担风险经营考核指标（尤其是“不良率”指标等关键风险指标），而风险管理部门的责任目标则是确保银行“不破产”，包括评估风险战略和偏好的稳健性和可持续性、参与决策过程、评估已识别的风险在正常和不利情况下，如何影响银行风险状况、流动性和资本充足程度。二是风险管理部门是否应该成为董事会的参谋部，也就是说总行风险管理部门到底是对管理层负责还是对董事会负责。回答这个问题不能简单化。在许多银行的风险治理架构中，归类为风险管理部门的职能很多，不同专业部门的责任侧重点也应该有所区别。类似于项目审批、风险监控与风险处置的部门，肯定应该是向管理层负责，并代表管理层接受董事会咨询，而在典型的风险管理部门的职责中，负责建立和实施机构层面的风险治理框架，包括银行的风险文化、风险偏好、风险限额等，从风险治理的本质上说，是需要对董事会负责的。三是第二道防线怎样支持风险管理与经营，重点是提供的技术保障是否充分：譬如客户风险识别与计量技术（模型风险验证）、业务单元（产品）与区域风险加总（总敞口评估与单元和区域监测预警）、破产防线（预期损失与拨备覆盖率、非预期损失与资本充足率、两率差距评估）的计量与评估。

五、关于首席风险官权责边界和履职方式的建议

要不要设立首席风险官？首席风险官应该怎样履职？中国商业银行有设立专职首席风险官的必要性，但考虑到我国银行业的情况有别于国外银行，首席风险官的职权范围不宜过大，更不能替代其他领导和经营管理岗位的风险管理职责。在风险管理相关的章程、议事规则和制度文件中应清晰界定其职责，明确首席风险官要专注于做哪些事情，规范工作评价标准、关键业绩指标（KPI）等，赋予必要的管理资源并指导其尽职履责。考虑到许多银行的首席风险官不进“班子”的现实，在总行层面，首席风险官负责对风险管理相关职能部门的日常业务进行专业指导、监督和考核，有权就一定级别的管理人员任免提出专业能力评价；在分行和子公司层面设立风险总监，与总行首席风险官形成垂直的风险报告关系；为了强化首席风险官的决策支持功能，可考虑为其设置若干专业化团队，以便为董事会、高管层提供全面风险管理决策支持。但是针对不同的风险形态和业务类型，首席风险官的专业支持应有所不同。此外，伴随金融科技的发展以及银行数字化转型进程，新兴风险不断涌现，对首席风险官履职提出了新的要求。建议首席风险官结合实际工作，通过顶层基调传导、多层次的沟通与宣贯、有建设性的提出“质疑”等多种方式，推动机构上下对风险的责任担当，发挥文化的导向作用，筑牢广大员工、特别是基层员工的风险意识。