Basel2實務篇─因應作業風險管理之挑戰 |
一、 前言
台灣自2007年開始施行新巴塞爾資本協定(Basel II)，中大型銀行在作業風險領域也有數年之發展，目前有六家銀行通過以標準法進行作業風險之資本計提，其他多家銀行也正在積極準備申請中，這表示作業風險管理已受到銀行普遍之重視。
而近期許多在作業風險管理領域發展多年之銀行都遇到類似的問題，例如：RCSA問卷數量太多，如何進行彙總或確認自評之品質？多種作業風險管理工作運用之結果，如何進行整合分析或資料勾稽？如何呈現對高階主管有效益之報表？在主管機關對於進階衡量法尚未有明確之規範時，銀行應如何為未來作準備？依據Deloitte多年輔導經驗，透過本文提供相關的因應措施或發展方向予銀行之作業風險管理從業人員作參考。
二、 作業風險管理人員面對之挑戰
Basel II 對於作業風險管理方面，要求銀行建立系統性且完善的作業風險辨識、評估與監控架構(請參見圖一)。依據Basel II 發佈之作業風險監理健全實務文件以及國際實務，銀行可運用之作業風險管理工具包括：損失事件收集(LDC; loss data collection)，關鍵風險指標(KRI ; key risk indicator)，以及風險與控制自評(RCSA; risk and control self assessment)，以及銀行原有的遵守法令自評制度。透過這些作業風險管理工具的運用，銀行可瞭解全行的作業風險輪廓(risk profile)，適時採取改善措施，而運用各工具所產生之資料也便於未來進行作業風險之量化分析應用。
由於作業風險與銀行的業務/作業/管理流程息息相關，因此銀行內除了作業風險管理部門之外，各單位也需配合投入相當的人力與資源進行作業風險管理，包括建置完善的體制，導入上述的各項管理工具等。在這數年的發展過程中，銀行也歷經了不少的挫折與困難，以下便列舉幾項銀行在推動作業風險管理體制過程中，主要面對的困難與挑戰。
圖一 作業風險辨識、評估與監控架構
(一) 管理工具利用紙本作業，難以彙整結果
作業風控自評(RCSA)一般分為流程之風控自評與單位之風控自評(營業單位)，其中流程面是總行跨單位的進行從上至下完整的流程評估(例如房貸流程從授信申請作業、徵信作業、擔保品鑑價作業、審核作業…至授信結清作業)；而單位部分則是讓營業單位可針對其單位內的各項流程進行自評(例如某分行有企金業務、消金業務、財富管理業務項下之相關流程)。兩者為相輔相成，可完整的評估銀行內主要產品、作業、流程及系統相關之作業風險。
由於風控自評之執行是擴及全行的，依據Deloitte之輔導經驗，一般中大型之銀行盤點流程後可能會有近100項流程，且每年執行1至2次的流程自評；而目前許多銀行的營業單位都超過100家，甚至高達300家，且每年執行2至4次的單位自評。以上可想而知，相關的自評問卷數量有多驚人。若使用Excel或Word檔案進行自評問卷的設計及評分，則風管單位可能每季會收到數以百計的紙本自評問卷或檔案，不但難以彙整結果，也難以確保自評之品質。
(二) 難以進行跨工具之整合分析及報表呈現
銀行所採行之作業風險管理工具包括風控自評、關鍵風險指標、損失事件收集、遵法自評等，通常是分開進行，各有各的規定與執行程序。然而，這些工具間難道未存在著關連性嗎？部分銀行風管單位目前利用人工比對資料的方式，向自評單位表達自評結果可能未正確反應該流程/單位狀況之建議，那是否有較具高效率之方式可將各工具產出之結果進行比對或勾稽呢？主管機關所提的以風險為基礎之稽核制度(risk-based auditing)應如何達到？另外，又如何可產出向高階主管或風管會呈報之作業風險暴險狀況呢？
各銀行都瞭解這些作業風險管理工具間應具有關連性，且應可整合分析產出全行的作業風險輪廓，卻苦於不知如何有效率的進行跨工具的結合、資料互相參照、比對或整合分析，提供稽核或高階主管參考。
(三) 已適用標準法之銀行未來的發展方向
前文曾提到，目前已有六家銀行通過以標準法進行作業風險之資本計提，在主管機關尚未發佈進階衡量法之相關規範時，作業風管人員除了在既有的作業風險管理體制下繼續維持與運作之外，是否能先為未來的進階衡量法預作準備？或是在作業風險資料收集多年之後，是否能開始進行量化的分析與運用？這是目前許多銀行作業風管人員之思考方向與挑戰。
三、 作業風險管理領域之發展方向
(一) 建立一致性的作業風險參數架構
各項作業風險管理工具間的關連性應如何呈現？「建立一致性的作業風險參數架構」就是答案。作業風險參數架構之組成可參照由Deloitte發展之符合國際最佳實務的作業風險管理體制(請參閱圖二)，其包含組織、流程、風險因子、影響效果、風險事件組成之風險架構，以及控制架構等(請參閱圖二紅色框框處)。另外，由於遵法自評也是作業風險管理工具之一，以上的參數可再納入「法規」(請參閱圖三)，且各參數間互相具有緊密連結之關係。其中較特別之處為法規與控制之連結，依據Deloitte發展與國際實務接軌之遵法自評方法論，其與臺灣現行之遵法自評制度不同之處在於銀行為了確保營運方式遵循法令之規範，對於其所面對之各項法規都會設計相對應之控制措施，因此我們建議將法規連結之控制項目納入遵法自評範圍，當控制項目之落實度良好，則表示銀行較無違法之虞。
由此可知，不論是風控自評、關鍵風險指標、損失事件收集或遵法自評等工具，都可以與上述這些參數進行連結。若銀行建立一套全行共用的作業風險參數架構，各單位在執行工具時都可用一致性的語言及文字表達各自的風險與控制狀況。而相關人員即可透過參數的連結關係將風控自評結果、遵法自評結果、KRI值的表現以及損失事件收集結果進行交叉分析比對，檢視各項自評結果是否反應該流程/單位之情況，並彙整資料描繪全行之作業風險輪廓。一方面可讓高階主管可瞭解銀行內各項業務別中較嚴重的風險類別為何，控制現況較差的類別是哪一項，進而擬定及調整全行性作業風險管理策略；另一方面則是提供稽核作為調整查核計畫之依據，在作業風險標準法中對稽核之要求為—內部稽核之查核範圍與查核頻率應與銀行作業風險之暴險程度相稱，因此稽核可藉由作業風險管理工具產出之整合分析調整以往以「控制」作為規劃與執行稽核的依據，改以「風險」為導向，可讓稽核制度更具備「風險敏感性」。
圖二 符合國際最佳實務之作業風險管理體制
圖三 作業風險參數架構連結關係說明圖
(二) 建置或導入作業風險管理系統
作業風險與市場風險或信用風險不同之處是需要全行各單位之配合，尤其銀行第一線的業務、作業單位即是作業風險管理的第一道防線。由於參與作業風險管理的人員眾多，而各項作業風險管理工具也需定期或不定期的執行，因此若可透過一套系統收集及管理資料，可大量節省銀行透過紙本作業所需花費的人力，也便於進行資料分析。
目前在台灣有數家銀行都開始利用資訊系統進行作業風險管理，而建置系統的方式分為以下兩種：
- 導入系統廠商或顧問公司開發之系統，屬於較完整的系統建置，可協助達到較高的作業風險管理效果；
- 自行建置系統收集資料，通常是小型的系統，缺乏工具間連結與資料分析之功能。
建置完整且符合國際最佳實務的作業風險管理系統可協助銀行擷取、分類、分析以及呈報各項作業風險相關資訊；並建立整合性的流程管理引擎(workflow engine)，將銀行的作業風險管理流程予以e 化，提升執行效果及管理效能；另透過具有即時性及整合性之作業風險管理產出，協助建立或強化以風險為基礎之稽核制度，以及作為銀行內部有效風險溝通與決策之基礎。而前文所提到銀行需建立之一致性作業風險參數架構，其搭配系統之使用才能真正發揮廣大的效益。
(三) 應用量化技術
在符合國際最佳實務的作業風險管理體制下(請參閱圖二)，各項作業風險管理工具之運作及參數架構都是建構在資訊系統上，而透過系統收集之損失資料或內部經營管理資料都可運用於未來的量化衡量。「量化」(Quantitative)是指將所欲描述的事實以數量化的方式呈現，亦即量化技術可讓銀行更明確地描述所衡量的作業風險，包括風險發生的頻率與嚴重度等。以下列出幾項作業風險量化衡量可應用的方向，讓銀行瞭解透過風險量化的技術，可採行更精緻的風險管理策略，為自身帶來更大的管理效益。
- 評估量表強化：透過損失資料及統計方法，設計較為客觀的評估量表量化尺度(Quantitative Scale)。
- 壓力測試：利用作業風險量化模型，瞭解風險成份變化(Frequency、Severity)對資本的影響，可協助壓力測試情境的設計及執行，進而作風險管理的應用。
- 風險指標/胃納強化：利用作業風險量化衡量技術，設計量化的風險指標及風險胃納，且透過資料研究，將風險胃納逐步連結至風險指標及資本。
- 風險資本抵減/規劃/配置：利用作業風險量化衡量技術，決定風險抵減及資本規劃及配置策略。
- 績效衡量/預算規劃：利用作業風險量化之結果，協助單位績效衡量及預算規劃 (例如：RAROC) 。
雖然目前台灣主管機關尚未發佈進階衡量法之相關規範，但部分發展腳步較快速之銀行已在思考及規劃相關之準備工作，例如：邀請顧問公司進行作業風險量化衡量之經驗分享與知識移轉；檢視現行各項工具執行所產生、收集之資料欄位是否符合未來進行進階衡量法之需求，若有不足之處，可盡快補充及精進。除此之外，依據Basel II 規定，銀行的風險資本應考量未來經營及控制環境的變化，因此銀行可利用風控自評之結果，搭配關鍵風險指標值反應之資訊，以計算得出「Q-Score」，反應在不同業務、不同損失事件型態下之殘餘風險評分，可將其應用於強化銀行現行之作業風險管理報表。
四、 結語
風險管理的推展需仰賴銀行管理階層給予長期的支持與承諾，全行才會建立起對風險管理文化之認知與重視，若光有風管技術是無法帶來顯著的效益。因此透過作業風險參數架構之建立，並使用資訊系統執行各項工具，收集與管理相關資料，可以協助銀行達到更高的風險管理效果。在建立完整的風管文化，也累積了足夠之資料後，並可進一步利用風管技術為銀行的整體業務運作帶來更大的效益。