2. 监管框架概览
大额风险暴露监管不是单一文件，而是由国际准则、国内规章和机构内部限额共同构成的三层体系。理解这套框架，是后续搭建监控指标、设计预警规则和处置超限事件的前提。本节从巴塞尔委员会的顶层设计出发，落到我国监管规则的具体要求，再聚焦到可执行的核心指标与限额口径。
一、核心原理：为什么要管大额风险暴露
大额风险暴露监管的底层逻辑是集中度风险。当银行对单一客户、一组关联客户或某一交易对手的风险敞口过大时，一旦该对手违约，损失将直接侵蚀资本，甚至引发系统性风险。2008年金融危机中，多家机构因对单一交易对手或单一产品敞口过度集中而遭受重创，这直接推动了巴塞尔委员会在2014年发布《大额风险暴露监管框架》（Supervisory Framework for Measuring and Controlling Large Exposures）。
该框架确立了三个核心原则：一是敞口计量口径统一，要求以资本为基准衡量集中度；二是限额约束刚性化，对超过阈值的敞口设定硬性上限；三是关联客户穿透识别，防止通过拆分主体规避限额。这三条原则也是国内监管规则制定的主要参照。
二、国内监管规则要点
我国现行大额风险暴露监管以《商业银行大额风险暴露管理办法》为核心，配套《商业银行资本管理办法》中的风险加权资产计量规则。与巴塞尔框架相比，国内规则在限额比例上更为审慎，并针对我国银行业实践增加了特定要求。
- 适用范围：境内设立的商业银行，包括村镇银行、外资法人银行等，均需遵守。
- 风险暴露定义：包括表内授信、表外承诺、交易账簿暴露、特定目的载体投资等，需穿透至底层债务人。
- 关联客户识别：存在控制关系、共同控制、重大影响或经济依存关系的客户，应认定为关联客户组。
- 报告与披露：大额风险暴露信息需纳入季度监管报表，并在年报中披露管理情况。
关键时间节点：2018年1号令发布后设置过渡期，2019年底前达到单一客户15%、集团客户20%的限额要求；对部分确有困难的机构，可申请延期但需提交整改计划。
三、核心监管指标与限额要求
监管指标的计算基础是一级资本净额。所有限额均以一级资本为分母，敞口为分子。以下表格汇总了主要限额要求与监控阈值。
| 指标名称 | 计算口径 | 监管限额 | 内部预警线（建议） | 报告触发条件 |
|---|---|---|---|---|
| 单一客户风险暴露 | 对单一非同业客户各类敞口合计 / 一级资本净额 | ≤ 15% | 12% | 超过一级资本2.5%需报告 |
| 集团客户风险暴露 | 对关联客户组各类敞口合计 / 一级资本净额 | ≤ 20% | 16% | 超过一级资本2.5%需报告 |
| 同业客户风险暴露 | 对单一同业客户或集团敞口 / 一级资本净额 | ≤ 25% | 20% | 超过一级资本2.5%需报告 |
| 全球系统重要性银行附加 | 对另一家G-SIBs的敞口 / 一级资本净额 | ≤ 15% | 12% | 按跨境监管要求报送 |
口径提示：一级资本净额需扣除对未并表金融机构的资本投资等调整项。敞口计量时，表内项目按账面价值，表外项目按信用转换系数折算，衍生品按现期风险暴露法或标准法计算。
四、案例与场景：某城商行超限事件复盘
某城商行在2021年季度监控中发现，对某民营集团客户的合计敞口达到一级资本的18.6%，超过15%的单一客户限额，且该集团通过多层股权结构控制12家子公司，此前未被识别为关联客户组。
复盘发现三个问题：一是关联客户识别滞后，仅依赖工商登记的直接股权关系，未穿透至实际控制人；二是敞口归集不完整，表外理财投资底层资产未纳入统一计量；三是预警机制缺失，内部预警线设置为18%，导致超限后才发现。
整改措施示例：
1. 建立关联客户图谱，接入股权穿透数据，按季度更新；
2. 将表外理财、债券投资、衍生品敞口全部纳入大额风险暴露系统；
3. 内部预警线下调至12%，超预警线自动触发逐级审批；
4. 对该集团新增授信实施暂停，存量敞口制定压降计划，6个月内降至15%以下。常见误区：不少机构将“大额风险暴露”等同于“贷款集中度”，仅统计贷款科目。实际上，债券投资、同业拆借、表外担保、衍生品交易对手敞口等均需纳入。漏计任何一类，都可能导致实际敞口被低估，形成监管处罚风险。
五、方法流程：从监管规则到监控指标
将监管要求转化为可执行的监控指标，通常遵循以下流程：
- 确定资本基数：按季获取一级资本净额，作为所有限额的分母。
- 建立客户主数据：整合核心系统、信贷系统、投资系统客户信息，形成统一客户编号。
- 关联客户组识别：基于股权、控制、经济依存关系，构建关联客户组并动态维护。
- 敞口归集与计量：按监管口径逐笔计算表内、表外、衍生品敞口，归集到客户或客户组。
- 指标计算与比对：计算敞口/一级资本净额，与监管限额、内部预警线比对。
- 预警与处置：超预警线触发审批，超限额触发压降和监管报告。
这套流程的关键在于数据治理和系统自动化。手工归集不仅效率低，而且容易遗漏。建议将大额风险暴露监控嵌入每日跑批，实现T+1敞口更新，确保超限事件在第一时间被发现。
综上，巴塞尔框架提供了方法论基础，国内规则给出了具体限额和报告要求，而机构内部需要将两者转化为可落地的指标、流程和系统。只有三层贯通，大额风险暴露监控才能真正发挥风险预警作用。