摘要

　自2008年的起于美国并波及全球的金融危机以来，全社会都意识到了金融的核心本质是风险管理。世界各国政府和金融监管机构、国际监管组织均将金融风险管理放在金融监管的首要议程，金融机构对风险管理的研究实施投入大大增长，全球风险管理进入了一个崭新的阶段。随着我国证券行业日益复杂的市场环境和多元化、国际化的业务拓展，我国券商也逐步接受了风险管理是生命线的基本理念，意识到风险管理是公司的核心竞争力。2014年，中国证券业协会发布了《证券公司全面风险管理规范》，2016年4年，证监会对于《证券公司风险控制指标管理办法》提出修订，这些举措大大提升了我国券商的风险管理基础，然而与国际先进投行相比，国内证券公司的风险管理还处在初级阶段，迫切需要提升。我们以巴塞尔在内的国内外16家监管机构和自律组织的监管要求为核心，借鉴金融危机后国际投行的风险管理实践，结合国内领先券商的实际做法，研究提出了“证券公司全面风险管理四支柱体系”，包括风险管理文化、风险管理治理架构、风险管理机制与实践和风险管理基础设施建设四大支柱和十五个核心要素，覆盖风险管理全链条、全视角，涵盖了国际最新的风险管理理念且实施落地性强，并在实施实践中获得了极佳的成效。我们相信此体系对于国内证券公司提升风险管理能力有极强的借鉴和指导意义，可作为风险管理的最佳实践和对标范本。

　背景

　近年来，随着中国经济的高速发展，资本市场改革的逐渐深入，证券行业正处在高速增长的历史机遇期。证券公司的经营发展也面临三方面挑战和压力：包括股东对于资本回报以及其稳定性的压力，业务创新发展复杂化、产品多元化和经营国际化的挑战，以及国内和国际监管力度不断加大的压力。

　面对复杂的市场环境和内外部的经营压力，券商的风险管理能力就显得至关重要，是金融机构的核心竞争力。本质上讲，证券公司的经营就是在市场的机会面前主动经营风险以获取相应的超额收益。然而，在资本回报的压力面前，证券公司必须避免在盲目的追逐利润增长的同时忽视了业务背后面临的风险，这个制衡的力量就是风险管理能力，使得金融机构对于未来的不确定性保持客观理智和审慎的态度；还有特别关键的一点是，风险管理必须考虑极端情况“黑天鹅”事件的发生，必须要构建足够的“风险安全垫”来抵御百年风暴。

　自2014年来，我国证券公司的风险管理能力已有了极大的提升，在很多领域已接近美国一流投行的水平。然而，根据我们对多家一流券商的调研发现，我们的风险管理还不够完整化和体系化，缺少一套完善的全面风险管理框架体系。我们以巴塞尔在内的国内外16家监管机构和自律组织的超过58份监管要求为核心，借鉴金融危机后国际投行的风险管理实践，结合国内领先券商的实际做法，充分考虑证券行业的发展状况，提出了“证券公司全面风险管理四支柱体系”，该体系是由风险管理文化、风险管理治理架构、风险管理机制与实践和风险管理基础设施四大支柱和十五个核心要素组成。

　下面我们将具体介绍“证券公司全面风险管理四支柱体系”，并结合当前国内证券机构业务和风险管理现状，提出具体的实施建议。

　风险文化是风险管理体系的灵魂

　风险文化是风险管理体系的灵魂，是由风险文化的植入、评估、培训以及风险调整绩效考核体系两大核心要素组成。风险文化是企业文化的重要组成部分，是企业文化的理念体系和行为规范在企业风险管理过程中的具体体现，是企业风险管理活动中各个层面员工认同并自觉遵守的风险管理理念、风险价值观念和风险管理行为规范。风险管理文化是风险管理体系所有其他构成要素的基础，为其他要素提供了约束和支持。美联储（FED）在2008年发布的《Bank Holding Company Supervision Manual》中明确要求金融机构应建立风险文化。

　金融危机后，国际投行更加强调风险文化的重要性，例如高盛就在其早期建立的 “每个人都是公司的风险官”的风险文化上进一步发展强调风险管理是全体员工日常工作内容之一；任何级别的员工都被鼓励随时质疑有关做法是否符合风险政策；在风险被充分识别且在有效防范和控制措施到位之后才能开展新产品；把员工在业务过程中维护公司声誉的表现也纳入绩效考核中打分；同时，公司定期开展风险管理的培训，高级管理层会参与并主讲相关的课题。

　风险调整绩效管理是风险文化的重要组成部分，是指证券公司通过评估不同业务条线包括风险因素在内的经济盈利能力和资本需求，而非单一的财务利润，以进行合理的资源配置，满足证券公司经营过程中收益最大化的管理目标。经营绩效评估的核心在于对业务条线经营成果进行比较分析时，也能够准确的评估其背后承担的各类风险，包括公司为抵御风险（包括预期损失、非预期损失）所需要的各类资本。风险调整后资本收益率是证券公司的风险与资本管理中典型的均衡风险收益的模型。风险调整绩效管理体系包括四个核心内容：治理架构和流程、指标体系、指标计量方案以及管理应用。巴塞尔委员会（BCBS）在2010年发布的《Range of Methodologies for Risk and Performance Alignment of Remuneration》中对于风险绩效管理框架、管理方法、管理指标、管理推进等提出了非常具有指导意义的建议。

　国际投行普遍建立了较为完善的风险绩效考核体系，例如美银美林建立了风险绩效分析部门，测算全球范围内37个业务部门和各类产品的风险调整资本收益（RAROC）；每月生成RAROC报告，对各个业务条线的当期情况、历史表现以及未来的预期进行分析；管理层根据风险调整资本收益RAROC和经济利润的测算结果，动态评估和调整资源配置；绩效奖金池的确定与公司的风险调整收益表现进行挂钩。美银美林一方面通过主动的资源配置，使得公司在承担有限风险的同时获得了稳定增值的收益，另一方面也使得所有员工深入理解风险，将对于风险的考虑纳入到日常的业务决策中。

　在金融危机之后，风险管理文化已经被国际投行公认为是公司的硬性战略资产，被定位在风险管理的首要议程。我们也将风险文化作为“证券公司全面风险管理四支柱体系”的第一支柱。对于国内券商而言，风险文化的持续植入、培训和考核是风险管理的重中之重。首先，需要把风险文化提升到企业文化的高度来重视，开展风险文化的提炼工作，明确公司的风险管理理念和原则；其次，需要通过制定完善的风险管理培训和评估计划，对于不同层级和岗位的人员开展风险管理培训；第三，必须将风险管理纳入员工和部门的绩效管理体系。

　风险管理治理架构是风险管理的基石

　风险管理治理架构由组织架构、政策制度和集团化管理三个核心要素组成，目的是通过制度、流程、手段把证券机构中所有的员工和部门组织起来，有效的开展风险管理工作。

　明确清晰的风险管理组织架构是有效开展风险管理工作的必备前提。巴塞尔委员会（BCBS）在2006年发布的《International Convergence of Capital Measurement and Capital Standards：A Revised Framework》（以下简称“巴塞尔新资本协议”）中明确提出了董事会、高级管理层、风险管理部及业务部门在风险管理组织架构中不同职责分工与管理要求。

　结合同业实践来看，国际投行普遍建立起了三个层级、三道防线的全面风险管理架构。董事会及其下属风险管理委员会作为公司风险管理最高决策层，承担最终的风险管理责任，高管层及其下属风险管理委员会负责组织落实董事会风险管理决议的最终落地实施，并开展监督，风险管理部作为日常风险管理工作的执行部门。业务部门、风险管理部及审计部共同构成了风险管理三道防线，实施事前、事中与事后的风险防范、监控与评价工作。

　完善健全的政策制度是使全面风险管理体系能发挥作用的重要的保障，目标是建立一个与公司复杂性、业务活动、公司文化、组织架构相适应且能够及时随市场环境变化而更新的制度环境体系。国际投行在实践中，以摩根士丹利为例，建立了集团层面完备的风险制度体系，提出了五大风险类型制度，近40项具体政策、指引和流程，是风险管理工作的有效支撑。

　集团化管理是指公司对于其控股子公司实施的管理，确保子公司业务经营所承担的风险在可控范围内，同时确保在集团层面风险集中度可控。

　国际投行在实践中，金融集团从组织架构、管理模式、风险资本并表管理等维度对其控股子公司实施集中的风险管理。组织架构方面，在集团层面设立了负责综合研究、风险策略制定、风险并表和风险限额管理等职能；风险管理模式方面，金融集团对子公司采取了事前规划、事中监督、事后处置的模式。集团侧重于对于子公司的事前规划，在事中监督主要通过报告及风险仪表盘等进行监控，事后处置阶段主要通过风险事件上报与应对进行管理。

　风险管理治理架构是证券公司风险管理的基石，对于国内证券公司而言，首先，需要建立独立有经验的风险管理团队，并且设置首席风险官并构建首席风险官向董事会直接汇报的汇报路径；其次，需要建立起一套完善的制度和流程，并且将风险管理嵌入业务流程；再次，随着证券机构的国际化、多元化发展，不少国内证券公司正在向金融控股集团转型，传统的公司风险管理思路已经跟不上集团化的扩张，在这种情况下，需要建立一套从组织架构、管理模式、风险资本并表管理等多维度立体的集团化管控架构。

　风险管理机制与实践是风险管理的核心

　风险管理机制与实践是风险管理的核心，包含八个重要管理要素：风险偏好、风险限额、风险识别、风险计量、风险监控与报告、风险应对与处置、风险资本管理和综合压力测试。与传统风险管理从风险类型的角度来进行要素划分不同，我们是从风险管理的核心能力和工具的角度总结了八个方面的核心内容，这一点借鉴了金融危机后国际投行和监管更加重视风险的整合以及风险之间的传染性的核心思想，这种模式有助于打破风险之间的壁垒，管理各类风险之间的相关性。

　风险偏好与风险限额是指证券公司为了实现既定的预期收益目标，选择愿意承担的风险性质及水平，是公司最高决策层在分析公司面对的各种风险因素后，以定性及定量方法表述的对公司资本、风险、收益平衡关系的基本态度、业务发展战略的实现路径、价值导向及业务取舍。针对风险偏好与风险限额，金融稳定局（FSB）在2013年发布的《Principles for effective risk appetite》中明确提出，风险偏好是一个完整的体系，包括相关的政策、流程、方法、管控手段及系统等。

　风险偏好是董事会（股东）关于风险、资本、收益的基本观点，以定性陈述方式进行表述，风险限额则是在风险偏好的框架下，通过设置关键风险指标并进行多层级的分解，并将其运用于日常风险监控领域，有效控制公司所承担的风险。以美银美林为例，其针对整体业务、全球市场业务、财富管理业务均制定了风险偏好，并将风险偏好进行了分解，形成了多层级、全覆盖的限额体系，使之全面嵌入业务执行操作过程之中，并成为日常业务开展方向的指导。

　风险识别是指对影响证券公司实现目标的潜在事项或因素予以全面识别，进行系统分类并查找出风险原因的过程。风险识别主要包括初始风险识别、持续风险识别和定期风险识别，应覆盖存量与新增业务，应确保风险识别的充分性，发现业务潜在的风险来源。

　风险计量是指证券公司利用模型和评估的手段使得各类风险可以通过各类指标的方式进行量化。巴塞尔新资本协议中针对不同风险提出了计量标准，涵盖的信用风险、市场风险、操作风险与流动性风险等。其中，信用风险的计量范围包括信用业务和投资业务所涉及的交易对手、发行体及业务相关的信用风险；市场风险的计量范围包括交易性市场风险和非交易性市场风险，可从单笔和组合层面构建风险价值模型，巴塞尔协会在2016年1月最新发布的《Minimum capital requirements for market risk》中，还将预期尾部损失（ES）作为一个重要的计量指标，逐步替代风险价值纳入市场风险资本计量体系中；操作风险覆盖所有证券公司的业务类型，可采用基本指标法、标准法和高级模型法来计量；流动性风险的计量范围包括融资流动性风险和资产流动性风险，需对不同情景下资产负债期限错配、融资来源、优质流动性资产及市场流动性等进行监测和分析，还应建立现金流测算和分析框架。

　国际投行普遍建立了与自身业务复杂程度相匹配的风险计量体系，主要体现在各家投行不仅满足了监管对于计量的要求，并根据自身业务特点制定了区别化的计量指标或是计量方法。例如，摩根士丹利构建的基于波动率调整的历史模拟法压力风险价值模型，就是在监管框架下基于自身对于未来市场的判断对于模型进行的优化和调整。

　风险监控与报告是指证券公司对业务及整体风险进行监控，并建立前、中、后台部门风险监控分工协作机制，同时在日常风险监控的基础上，针对具体风险事件向上级组织、相关控制和支持职能部门进行报告。

　风险应对与处置是指证券公司根据风险识别、计量、监控及预警等情况，针对不同类别、不同发生概率及不同损失程度的风险，建立合理、有效的风险应对与缓释机制，包括但不限于流动性储备管理、风险对冲、规模调整、资产减值、资本补足等应对机制，积极使用抵质押品、衍生金融工具等进行风险缓释和对冲，制定适当的风险控制应急预案，并将已发生风险事件对公司所造成/可能造成的影响降至最低程度。《证券公司全面风险管理规范》中证券业协会明确要求公司在制定风险处置与应对措施时，应选择与公司风险偏好相适应的风险回避、降低、转移和承受等应对策略，建立合理、有效的资产减值、风险对冲、资本补充、规模调整、资产负债管理等应对机制。

　风险资本管理主要是指经济资本的管理，即证券公司管理层内部评估的、在一定置信水平下用来缓冲资产和业务非预期损失的资本。经济资本管理包括经济资本计量、经济资本配置和经济资本的应用等内容。

　国际投行在实践过程中，针对不同类型风险建立了不同的经济资本计量模型，例如对于信用风险投行普遍采用高级内部评级法（AIRB1）方法进行计算，包括公司、零售等业务传统信用风险的资本、场外衍生品和证券融资的交易对手信用风险资本以及信用估值调整（CVA2）资本；对于市场风险采用内部模型法（IMM3）进行计算，包含一般风险价值（VaR）、压力风险价值（VaR）等。对于操作风险普遍采用高级计量法，其中高盛和美银美林使用监管要求下的高级计量法（AMA4），摩根士丹利采用损失分布法（LDA5）。同时，国际投行还将经济资本计量结果在风险偏好、风险限额设置、资本配置与绩效考核中进行了广泛应用。

　综合压力测试是一种风险管理和监管分析工具，用于分析假定的、极端但可能发生的不利情景对公司整体或资产组合的冲击程度，进而评估其对公司资产质量、盈利能力、资本水平和流动性的负面影响。压力测试有助于对公司脆弱性做出评估判断，并采取必要措施。公司定期进行压力测试计量各种压力情景下公司各项风险指标和财务指标的变化情况，评估公司整体风险承受能力，确保公司在压力情景下的风险可测、可控、可承受。金融危机后，美联储将综合压力测试结果作为金融机构风险评估的重要基础，并且将综合压力测试的频率从年度提高至季度，在2012年发布了《Comprehensive Capital Analysis and Review》，明确提出了定性与定量测试，在资本规划过程中充分考虑各类风险，应考虑在不同情景严重程度下对于资本充足率、资本构成等的影响。同业实践中，国际投行均在压力测试上投入了大量的人力物力开发自己的压力测试模型。

　风险管理机制与实践是风险管理的主要工具和手段的集合，对于国内证券机构而言，迫切需要在构建与自身业务发展相适应的风险计量模型的基础上，逐步构建跨风险的管理工具，包括风险识别、综合压力测试，同时，还需要完善各类风险处置与应对的机制，从被动的揭示风险转向主动的管理和对冲风险。

　数据和系统建设是风险管理的基础设施

　风险管理基础设施建设包括对于风险数据的管理以及风险管理系统的建设两大要素。

　风险管理数据是指证券公司为满足内部风险管理的需求，所需采集的各类交易数据、市场数据、参考数据和财务数据，以及为了确保数据可用性、可获取性、高质量、一致性以及安全性的一系列数据标准和配套管理措施。针对风险管理数据，巴塞尔委员会（BCBS）在2013年发布的《Principles for effective risk data aggregation and risk reporting》中明确了风险管理数据治理架构、风险数据质量及风险报告的具体要求。通常认为，数据治理至少应当涵盖如下功能域：数据质量管理、元数据管理、数据标准管理、数据安全管理和主数据管理。

　从同业实践来看，国际投行均非常重视数据管理，通过设置专门的数据管理部门和首席数据官来构建完整的数据治理架构，并且通过高度集成化的数据标准和数据质量监控流程，及时解决数据问题并持续提升数据质量。

　风险管理系统建设是全面风险管理体系中的重要构成，为全面风险管理体系中进行风险评估、实施风险管理解决方案、执行风险管理的基本流程、履行内部控制系统提供必要的技术基础。证券公司应根据业务发展和风险管理的需要，持续建设、维护与完善风险管理信息系统，以有效计量、监控和报告公司整体风险及各类风险。

　国际投行非常重视系统建设，并且每年在系统建设上持续投入，例如，高盛的风险管理很大程度都依托其自主开发的SECDB系统，该系统整合了前中后台的风险计量、风险报告和各类指标的实时监控，具有极高的灵活性和可扩展性，可快速适应新的金融工具和新的模型。金融危机发生时，高盛依托SECDB系统快速计算出了集团层面对于雷曼兄弟的整体敞口，进而及时开展应对举措，而其他投行还需要花费大量时间进行手工整理和汇总计算。

　风险管理基础设施建设是风险管理的重要载体，也是基础性工作，与国际投行相比，国内金融机构在风险管理数据和系统方面的投入和重视程度还不够，目前迫切需要在风险数据治理方面构建数据管理团队，制定数据标准，并通过构建风险数据集市有效的整合风险相关数据，在系统方面，需要建立统一的系统建设规划，在应用外购系统的同时也逐步提升自主开发的能力，为未来专业化模型的系统落地打下基础。

　总结

　“证券公司全面风险管理四支柱体系”覆盖风险管理全链条全方位，基于国际最新的风险管理理念且易于实施落地。首先，“证券公司全面风险管理四支柱体系”将证券机构风险管理的各类要素进行了梳理和整合，涵盖了国内外监管机构的各类监管要求；其次，“证券公司全面风险管理四支柱体系”整合了金融危机后国际投行的实践做法和国内领先证券公司的较佳实践，并且将近两年新的监管趋势纳入体系中，例如美联储的综合压力测试（CCAR）和巴塞尔最新监管要求中对于流动性风险和市场风险新计量要求等；再次，“证券公司全面风险管理四支柱体系”充分结合了国内证券行业的发展现状，并且已在国内领先证券公司落地实施，获得了极佳的管理成效。总体而言，我们认为“证券公司全面风险管理四支柱体系”是一套适合我国国情和对于国内证券公司提升风险管理能力具有极强的借鉴和指导意义的风险管理体系，可作为证券公司开展风险管理工作的最佳实践和范本。

　1计量方法参照巴塞尔委员会于2006年发布的《International Convergence of Capital Measurement and Capital Standards：A Revised Framework（新资本协议）》

　2《the standardised approach for measuring counterparty credit risk exposures（交易对手信用风险敞口标准计量法）》，巴塞尔委员会，2014

　3计量方法参照巴塞尔委员会于2016年发布的《Minimum capital requirements for market risk（市场风险最低资本要求）》

　4同注释1

　5同注释1

　—CIS—

　常新功先生自2015年10月起获委任为广发证券首席风险官。2000年至2015年期间，曾在雷曼兄弟公司、高盛集团、美国银行美林证券、纽约梅隆银行、摩根士丹利公司从事风险管理工作。分别于1994年获得清华大学计算机应用专业硕士学位，1996年获得美国特拉华大学计算机科学工程系硕士学位，并于2006年获得美国纽约大学工商管理硕士学位（在职EMBA）。