4、全面风险管理体系概述：全面风险管理的内涵、原则与单一风险管理的区别

商业银行的风险管理经历了从“信贷风险管理”到“市场风险管理”再到“全面风险管理”的演进历程。2004年巴塞尔新资本协议（Basel II）正式提出三大支柱框架，2010年巴塞尔协议III进一步强化了资本与流动性的全面约束，而2017年《巴塞尔协议III最终改革方案》则对信用风险、市场风险、操作风险的计量方法进行了全面修订。中国银保监会（现国家金融监督管理总局）于2016年发布《银行业金融机构全面风险管理指引》，明确要求商业银行建立覆盖全部业务、全部风险、全部流程和全部人员的全面风险管理体系。理解全面风险管理的内涵、原则及其与单一风险管理的本质区别，是搭建有效风控体系的认知起点。

上图展示了全面风险管理体系的核心框架。与传统的单一风险管理相比，全面风险管理不是简单地将各类风险“加总”，而是通过统一的风险偏好、资本管理和治理架构，实现风险之间的关联分析和协同管理。以下从内涵、原则、区别三个维度展开详细阐述。

4.1 全面风险管理的内涵

全面风险管理（Enterprise Risk Management, ERM）是指商业银行围绕总体经营目标，通过在银行管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险偏好、风险限额、风险管理政策和程序、管理信息系统和数据质量控制机制，以及内部控制和审计体系，从而为实现风险管理的总体目标提供合理保证的过程和方法。

全面风险管理的内涵可以从以下四个维度理解：

维度	核心内容	关键要求
风险覆盖	信用、市场、操作、流动性、国别、声誉、战略、信息科技等全部风险类型	不能遗漏任何实质性风险，包括交叉风险和次生风险
业务覆盖	表内业务、表外业务、境内外业务、母子公司的全部业务活动	新产品、新业务必须纳入风险管理体系
流程覆盖	风险识别、计量、监测、报告、缓释、处置的完整闭环	事前防范、事中控制、事后纠正相结合
人员覆盖	董事会、高管层、业务条线、风险条线、审计条线、全体员工	风险管理是全员责任，而非风控部门单打独斗

4.2 全面风险管理的核心原则

根据《银行业金融机构全面风险管理指引》及巴塞尔银行监管委员会（BCBS）的相关要求，全面风险管理体系应遵循以下核心原则：

4.2.1 全面性原则

全面性原则要求银行的风险管理覆盖所有机构、所有业务、所有风险类型和所有管理环节。具体体现在：

• 机构全覆盖：总行、分行、子公司、境外机构均纳入统一风险管理框架。
• 业务全覆盖：表内信贷、表外承诺、金融市场交易、资产管理、托管等各类业务均须识别和计量风险。
• 风险全覆盖：不仅要管理传统信用风险和市场风险，还要关注操作风险、流动性风险、国别风险、声誉风险、战略风险和信息科技风险。
• 流程全覆盖：从产品设计、客户准入、审批放款到贷后管理、资产处置，每个环节都应有风险控制点。

4.2.2 独立性原则

独立性原则是风险管理有效性的组织保障。风险管理部门应独立于业务经营部门，具有独立的汇报路径和考核机制。具体包括：

• 组织独立：设立专职的风险管理部，与业务条线分离，向首席风险官（CRO）汇报。
• 汇报独立：CRO直接向董事会或其下设的风险管理委员会汇报，不受业务条线干预。
• 考核独立：风险管理人员的绩效考核不应与业务规模、利润指标直接挂钩，避免利益冲突。
• 审批独立：风险审批权限与业务发起权限分离，大额授信须经独立审批人审核。

4.2.3 有效性原则

有效性原则强调风险管理体系不仅要“建起来”，更要“用起来”且“管得住”。有效性体现在：

• 制度有效性：风险管理制度应清晰、可操作，避免“纸上谈兵”。
• 计量有效性：风险计量模型应经过验证，能够真实反映风险水平。
• 执行有效性：风险限额、审批权限、预警指标等应被严格执行，不因业务压力而放松。
• 反馈有效性：风险管理报告应能及时揭示风险变化，为决策提供依据。

4.2.4 匹配性原则

匹配性原则要求风险管理体系与银行的业务规模、复杂程度、风险特征和系统重要性相匹配。小型银行无需照搬大型银行的复杂模型，而大型银行则必须建立更精细化的计量体系。

4.3 与单一风险管理的区别

理解全面风险管理与单一风险管理的区别，有助于银行从“部门化风控”走向“全局化风控”。两者的核心差异如下：

对比维度	单一风险管理	全面风险管理
管理对象	某一类风险（如信用风险或市场风险）	全部风险类型及其关联性
组织架构	分散在各业务条线或专业部门	统一的风险治理架构，CRO统筹协调
管理流程	各风险独立识别、计量、监测	统一的风险偏好框架下的协同管理
资本管理	各风险分别计提资本	统一资本管理，考虑风险分散化效应
风险偏好	各条线自行设定风险容忍度	董事会层面统一制定风险偏好声明
报告机制	各部门独立向管理层报告	整合风险管理报告，全景式呈现风险状况
应对策略	事后应对、局部缓释	事前预防、组合管理、主动配置

以一家中型商业银行为例，在单一风险管理模式下，信贷部只关注贷款违约率，金融市场部只关注交易损失，运营部只关注操作差错。这种“各管一段”的模式容易产生以下问题：

• 风险盲区：交叉风险无人负责，例如市场利率上升同时导致债券投资亏损和存款流失。
• 资本冗余：各风险独立计提资本，忽略了风险分散化带来的资本节约效应。
• 偏好冲突：业务条线追求高收益高风险，风控条线追求低风险，缺乏统一的风险偏好引导。
• 信息孤岛：各风险数据分散在不同系统，难以形成全行统一的风险视图。

4.4 案例拆解：某股份制商业银行全面风险管理体系搭建实践

为帮助学员更直观地理解全面风险管理体系的内涵与落地路径，以下以某股份制商业银行（以下简称“A银行”）的实践为例进行拆解。

背景与约束：A银行资产规模约3.2万亿元，拥有42家分行、3家子公司，业务涵盖公司金融、零售金融、金融市场、资产管理等板块。2019年监管检查发现其存在风险偏好传导不畅、子公司风险未纳入统一管理、交叉金融业务风险底数不清等问题，被要求限期整改。

初始目标：在18个月内搭建覆盖全集团、全业务、全流程的全面风险管理体系，满足监管要求并提升风险抵御能力。

关键输入数据/指标：

• 不良贷款率1.68%，关注类贷款占比3.2%；
• 风险加权资产（RWA）2.1万亿元，资本充足率11.8%；
• 操作风险损失事件年均约420起，损失金额约2.3亿元；
• 子公司风险敞口占集团总敞口的18%，但此前未纳入集团统一风险偏好管理。

分析判断过程：

1. 差距诊断：对照《银行业金融机构全面风险管理指引》54条要求，A银行在“风险治理架构”“风险偏好”“风险管理政策和程序”“管理信息系统”“内部控制和审计”五个方面存在明显差距。
2. 优先级排序：将整改任务分为“急迫项”（监管关注、风险敞口大）和“基础项”（数据治理、系统建设），分两批推进。
3. 方案设计：确立“集团-子公司-分行”三级风险管理架构，制定统一的风险偏好声明和限额体系。

实际操作步骤：

阶段	时间	关键动作	产出物
第一阶段	第1-6个月	设立集团CRO，子公司派驻风险总监；制定《集团风险偏好声明》	风险治理架构落地，偏好声明发布
第二阶段	第7-12个月	建立统一风险数据集市，整合子公司风险数据；开发交叉金融业务风险监测模块	风险数据平台上线，交叉风险可监测
第三阶段	第13-18个月	完善风险限额体系，将子公司纳入统一限额管理；开展全面风险压力测试	限额体系全覆盖，压力测试报告

结果对比：

• 整改完成后，A银行资本充足率提升至12.6%（考虑风险分散化效应后资本节约约40亿元）；
• 子公司风险敞口纳入集团统一监测，交叉金融业务风险底数清晰；
• 操作风险损失事件同比下降28%，损失金额下降35%；
• 监管后续检查未再发现重大风险治理缺陷。

风险与代价：整改期间，A银行部分业务审批流程延长，业务拓展速度短期放缓；数据治理投入约1.8亿元，系统建设成本较高；部分业务条线人员对独立性要求存在抵触情绪，需通过培训和考核机制逐步化解。

复盘经验：

1. 全面风险管理体系建设是一把手工程，董事会和高管层的持续推动是成功关键；
2. 数据治理是基础，没有高质量的数据，风险计量和监测就是“空中楼阁”；
3. 风险偏好不能停留在口号层面，必须分解为可执行的限额指标并嵌入业务流程；
4. 子公司和境外机构的风险管理不能“一刀切”，应在统一框架下保留适度的灵活性。

4.5 常见误区与总结复盘

在辅导多家银行搭建全面风险管理体系的过程中，以下误区较为常见：