为加强商业银行的操作风险管理，推动商业银行进1步完善公司治理结构，提升风险管理能力，银监会制定了《商业银行操作风险管理指引》，现印发给你们，请遵照执行。
请各银监局将本通知转发至辖内各城市商业银行、农村商业银行、农村合作银行、农村信用社、城市信用社、外资独资银行、中外合资银行以及外国银行分行主报告行。
2○○7年5月104日
商业银行操作风险管理指引
第1章总则
第1条为加强商业银行的操作风险管理，根据《中华人民共以及国银行业监督管理法》、《中华人民共以及国商业银行法》以及其他有关法律法规，制定本指引。
第2条在中华人民共以及国境内设立的中资商业银行、外商独资银行以及中外合资银行适用本指引。
第3条本指引所称操作风险是指由不完善或有问题的内部程序、员工以及信息科技系统，以及外部事件所造成损失的风险。本定义所指操作风险包括法律风险，但不包括策略风险以及声誉风险。
第4条中国银行( 5.62,之0.11,之1.92%)业监督管理委员会(以下简称银监会)依法对商业银行的操作风险管理实施监督检查，评价商业银行操作风险管理的有效性。
第2章操作风险管理
第5条商业银行应当按照本指引要求，建立以及本行的业务性质、规模以及复杂程度相适应的操作风险管理体系，有效地识别、评估、监测以及控制/缓释操作风险。操作风险管理体系的具体形式不要求统1，但至少应包括以下基本要素之
(1)董事会的监督控制；
(2)高级管理层的职责；
(3)适当的组织架构；
(4)操作风险管理政策、方法以及程序；
(5)计提操作风险所需资本的规定。
第6条商业银行董事会应将操作风险作为商业银行面对的1项主要风险，并承担监控操作风
险管理有效性的最终责任。主要职责包括之
(1)制定以及本行战略目标相1致且适用于全行的操作风险管理战略以及总体政策；
(2)通过审批及检查高级管理层有关操作风险的职责、权限及报告制度，确保全行的操作风险管理决策体系的有效性，并尽可能地确保将本行从事的各项业务面临的操作风险控制在可以承受的范围内；
(3)定期审阅高级管理层提交的操作风险报告，充分认识本行操作风险管理的总体情况、高级管理层处理重大操作风险事件的有效性以及监控以及评价日常操作风险管理的有效性；
(4)确保高级管理层采取必要的措施有效地识别、评估、监测以及控制/缓释操作风险；
(5)确保本行操作风险管理体系接受内审部门的有效审查以及监督；
(6)制定适当的奖惩制度，在全行范围有效地推动操作风险管理体系地建设。
第7条商业银行的高级管理层负责执行董事会批准的操作风险管理战略、总体政策及体系。主要职责包括之
(1)在操作风险的日常管理方面，对董事会负最终责任；
(2)根据董事会制定的操作风险管理战略及总体政策，负责制定、定期审查以及监督执行操作风险管理的政策、程序以及具体的操作规程，并定期向董事会提交操作风险总体情况的报告；
(3)全面掌握本行操作风险管理的总体状况，特别是各项重大的操作风险事件或项目；
(4)明确界定各部门的操作风险管理职责以及操作风险报告的路径、频率、内容，督促各部门切实履行操作风险管理职责，以确保操作风险管理体系的正常运行；
(5)为操作风险管理配备适当的资源，包括但不限于提供必要的经费、设置必要的岗位、配备合格的人员、为操作风险管理人员提供培训、赋予操作风险管理人员履行职务所必需的权限等；
(6)及时对操作风险管理体系进行检查以及修订，以便有效地应对内部程序、产品、业务活动、信息科技系统、员工及外部事件以及其他因素发生变化所造成的操作风险损失事件。
第8条商业银行应指定部门专门负责全行操作风险管理体系的建立以及实施。该部门以及其他部门应保持独立，确保全行范围内操作风险管理的1致性以及有效性。主要职责包括之
(1)拟定本行操作风险管理政策、程序以及具体的操作规程，提交高级管理层以及董事会审批；
(2)协助其他部门识别、评估、监测、控制及缓释操作风险；
(3)建立并组织实施操作风险识别、评估、缓释(包括内部控制措施)以及监测方法以及全行的操作风险报告程序；
(4)建立适用全行的操作风险基本控制标准，并指导以及协调全行范围内的操作风险管理；
(5)为各部门提供操作风险管理方面的培训，协助各部门提高操作风险管理水平、履行操作风险管理的各项职责；
(6)定期检查并分析业务部门以及其他部门操作风险的管理情况；
(7)定期向高级管理层提交操作风险报告；
(8)确保操作风险制度以及措施得到遵守。
第9条商业银行相关部门对操作风险的管理情况负直接责任。主要职责包括之
(1)指定专人负责操作风险管理，其中包括遵守操作风险管理的政策、程序以及具体的操作规程；
(2)根据本行统1的操作风险管理评估方法，识别、评估本部门的操作风险，并建立持续、有效的操作风险监测、控制/缓释及报告程序，并组织实施；
(3)在制定本部门业务流程以及相关业务政策时，充分考虑操作风险管理以及内部控制的要求，应保证各级操作风险管理人员参以及各项重要的程序、控制措施以及政策的审批，以确保以及操作风险管理总体政策的1致性；
(4)监测关键风险指标，定期向负责操作风险管理的部门或牵头部门通报本部门操作风险管理的总体状况，并及时通报重大操作风险事件。
第10条商业银行法律、合规、信息科技、安全保卫、人力资源等部门在管理好本部门操作风险的同时，应在涉及其职责分工及专业特长的范围内为其他部门管理操作风险提供相关资源以及支持。
第101条商业银行的内审部门不直接负责或参以及其他部门的操作风险管理，但应定期检查评估本行的操作风险管理体系运作情况，监督操作风险管理政策的执行情况，对新出台的操作风险管理政策、程序以及具体的操作规程进行独立评估，并向董事会报告操作风险管理体系运行效果的评估情况。
鼓励业务复杂程度较高以及规模较大的商业银行委托社会中介机构对其操作风险管理体系定期进行审计以及评价。
第102条商业银行应当制定适用于全行的操作风险管理政策。操作风险管理政策应当以及银
行的业务性质、规模、复杂程度以及风险特征相适应。主要内容包括之
(1)操作风险的定义；
(2)适当的操作风险管理组织架构、权限以及责任；
(3)操作风险的识别、评估、监测以及控制/缓释程序；
(4)操作风险报告程序，其中包括报告的责任、路径、频率，以及对各部门的其他具体要求；
(5)应针对现有的以及新推出的重要产品、业务活动、业务程序、信息科技系统、人员管理、外部因素及其变动，及时评估操作风险的各项要求。
第103条商业银行应当选择适当的方法对操作风险进行管理。
具体的方法可包括之评估操作风险以及内部控制、损失事件的报告以及数据收集、关键风险指标的监测、新产品以及新业务的风险评估、内部控制的测试以及审查以及操作风险的报告。
第104条业务复杂及规模较大的商业银行，应采用更加先进的风险管理方法，如使用量化方法对各部门的操作风险进行评估，收集操作风险损失数据，并根据各业务线操作风险的特点有针对性地进行管理。
第105条商业银行应当制定有效的程序，定期监测并报告操作风险状况以及重大损失情况。应针对潜在损失不断增大的风险，建立早期的操作风险预警机制，以便及时采取措施控制、降低风险，降低损失事件的发生频率及损失程度。
第106条重大操作风险事件应当根据本行操作风险管理政策的规定及时向董事会、高级管理层以及相关管理人员报告。
第107条商业银行应当将加强内部控制作为操作风险管理的有效手段，以及此相关的内部措施至少应当包括之
(1)部门之间具有明确的职责分工以及相关职能的适当分离，以避免潜在的利益冲突；
(2)密切监测遵守指定风险限额或权限的情况；
(3)对接触以及使用银行资产的记录进行安全监控；
(4)员工具有以及其从事业务相适应的业务能力并接受相关培训；
(5)识别以及合理预期收益不符及存在隐患的业务或产品；
(6)定期对交易以及账户进行复核以及对账；
(7)主管及关键岗位轮岗轮调、强制性休假制度以及离岗审计制度；
(8)重要岗位或敏感环节员工8小时内外行为规范；
(9)建立基层员工署名揭发违法违规问题的激励以及保护制度；
(10)查案、破案以及处分适时、到位的双重考核制度；
(101)案件查处以及相应的信息披露制度；
(102)对基层操作风险管控奖惩兼顾的激励约束机制。
第108条为有效地识别、评估、监测、控制以及报告操作风险，商业银行应当建立并逐步完善操作风险管理信息系统。管理信息系统至少应当记录以及存储以及操作风险损失相关的数据以及操作风险事件信息，支持操作风险以及控制措施的自我评估，监测关键风险指标，并可提供操作风险报告的有关内容。
第109条商业银行应当制定以及其业务规模以及复杂性相适应的应急以及业务连续方案，建立恢复服务以及保证业务连续运行的备用机制，并应当定期检查、测试其灾难恢复以及业务连续机制，确保在出现灾难以及业务严重中断时这些方案以及机制的正常执行。
第210条商业银行应当制定以及外包业务有关的风险管理政策，确保业务外包有严谨的合同以及服务协议、各方的责任义务规定明确。
第2101条商业银行可购买保险以及以及第3方签订合同，并将其作为缓释操作风险的1种方法，但不应因此忽视控制措施的重要作用。
购买保险等方法缓释操作风险的商业银行，应当制定相关的书面政策以及程序。
第2102条商业银行应当按照银监会关于商业银行资本充足率管理的要求，为所承担的操作风险提取充足的资本。
第3章操作风险监管
第2103条商业银行的操作风险管理政策以及程序应报银监会备案。商业银行应按照规定向银监会或其派出机构报送以及操作风险有关的报告。委托社会中介机构对其操作风险管理体系进行审计的，还应提交外部审计报告。
第2104条商业银行应及时向银监会或其派出机构报告下列重大操作风险事件之
(1)抢劫商业银行或运钞车、盗窃银行业金融机构现金30万元以上的案件，诈骗商业银行或其他涉案金额1000万元以上的案件；
(2)造成商业银行重要数据、账册、重要空白凭证严重损毁、丢失，造成在涉及两个或两个
以上省(自治区、直辖市)范围内中断业务3小时以上，在涉及1个省(自治区、直辖市)范围内中断业务6小时以上，严重影响正常工作开展的事件；
(3)盗窃、出卖、泄漏或丢失涉密资料，可能影响金融稳定，造成经济秩序混乱的事件；
(4)高管人员严重违规；
(5)发生不可抗力导致严重损失，造成直接经济损失1000万元以上的事故、自然灾害；
(6)其他涉及损失金额可能超过商业银行资本净额1‰的操作风险事件；
(7)银监会规定其他需求报告的重大事件。
第2105条银监会对商业银行有关操作风险管理的政策、程序以及做法进行定期的检查评估。主要内容包括之
(1)商业银行操作风险管理程序的有效性；
(2)商业银行监测以及报告操作风险的方法，包括关键操作风险指标以及操作风险损失数据；
(3)商业银行及时有效处理操作风险事件以及薄弱环节的措施；
(4)商业银行操作风险管理程序中的内控、检查以及内审程序；
(5)商业银行灾难恢复以及业务连续方案的质量以及全面性；
(6)计提的抵御操作风险所需资本的充足水平；
(7)操作风险管理的其他情况。
第2106条对于银监会在监管中发现的有关操作风险管理的问题，商业银行应当在规定的时限内，提交整改方案并采取整改措施。
对于发生重大操作风险事件而未在规定时限内采取有效整改措施的商业银行，银监会将依法采取相关监管措施。
第4章附则
第2107条政策性银行、金融资产管理公司、城市信用社、农村信用社、农村合作银行、信托投资公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司、邮政储蓄机构等其他银行业金融机构参照本指引执行。
第2108条未设董事会的银行业金融机构，应当由其经营决策机构履行本指引规定的董事会的有关操作风险管理职责。
第2109条在中华人民共以及国境内设立的外国银行分行，应当遵循其总行制定的操作风险管理政策以及程序，按照规定向银监会或其派出机构报告重大操作风险事件并接受银监会的监管；其总行未制定操作风险管理政策以及程序的，按照本指引的有关要求执行。
第310条本指引所涉及的有关名词见附录。
第3101条本指引自发布之日起施行。
附录之《商业银行操作风险管理指引》有关名词的说明附录
《商业银行操作风险管理指引》有关名词的说明
1、操作风险事件
操作风险事件是指由不完善或有问题的内部程序、员工以及信息科技系统，以及外部因素所造成财务损失或影响银行声誉、客户以及员工的操作事件，具体事件包括之内部欺诈，外部欺诈，就业制度以及工作场所安全，客户、产品以及业务活动，实物资产的损坏，营业中断以及信息技术系统瘫痪，执行、交割以及流程管理7种类型(进1步的信息可参阅《统1资本计量以及资本标准的国际协议之修订框架》，即巴塞尔新资本协议的『附录7之损失事件分类详表』)。
2、自我风险评估、关键风险指标
商业银行用于识别、评估操作风险的常用工具。
(1)自我风险评估
自我风险评估是指商业银行识别以及评估潜在操作风险以及自身业务活动的控制措施、适当程度及有效性的操作风险管理工具。
(2)关键风险指标
关键风险指标是指代表某1风险领域变化情况并可定期监控的统计指标。关键风险指标可用于监测可能造成损失事件的各项风险及控制措施，并作为反映风险变化情况的早期预警指标(高级管理层可据此迅速采取措施)，具体指标例如之每亿元资产损失率、每万人案件发生率、百万元以上案件发生比率、超过1定期限尚未确认的交易数量、失败交易占总交易数量的比例、员工流动率、客户投诉次数、错误以及遗漏的频率以及严重程度等。
3、法律风险
法律风险包括但不限于下列风险之1.商业银行签订的合同因违反法律或行政法规可能被依法撤销或者确认无效的；2.商业银行因违约、侵权或者其他事由被提起诉讼或者申请仲裁，依法可能承担赔偿责任的；3.商业银行的业务活动违反法律或行政法规，依法可能承担行政
责任或者刑事责任的。
因篇幅问题不能全部显示，请点此查看更多更全内容