融监管总局发布《银行保险机构操作风险管理办法》（总局令2023年第5号），

  1.明确风险治理和管理责任。明确董事会、监事（会）和高级管理层的责任，界定三道防线的具体范围和职责，压实分支机构和附属机构的操作风险管理责任。

  2.规定风险管理基础要求。明确银行保险机构应当建立操作风险管理基本制度、操作风险偏好和传导机制，建立健全操作风险的管理信息系统，培育良好的操作风险管理文化。

  3.细化管理流程和管理工具。要求银行保险机构对操作风险进行全流程管理。规定了内部控制、业务连续性管理、网络安全、数据安全、业务外包管理等操作风险控制、缓释措施的基础要求，建立操作风险情况和重大操作风险事件报告机制，应用操作风险损失数据库等三大基础管理工具以及新型工具。

  4.完善监督管理职责。金融监督管理总局及其派出机构要检查评估银行保险机构操作风险管理体系的健全性和有效性，行业协会应当发挥自律和服务作用。

  5.在《办法》附录中对部分规定内容的含义进行了说明和举例，以便于银行保险机构落实执行。

  近日，为进一步巩固防范化解金融风险攻坚战的成果，金融监督管理总局制定了《银行保险机构操作风险管理办法》（以下简称《办法》）。金融监督管理总局有关司局负责人就相关问题回答了记者提问。

  答：操作风险是银行保险机构经营管理中面临主要风险之一。原银监会2007年制定的《商业银行操作风险管理指引》施行后，对规范商业银行操作风险管理发挥了非消极作用。《保险公司偿付能力监管规则》明确了对保险公司操作风险的管理要求，建立了保险公司操作风险管理的基本框架。近年来，操作风险防控形势更为复杂，原有监管规定难以满足风险管理的现实需要，操作风险管理相关的国际规则也进行了修订、完善，有必要结合我国实践，对原有监管规定做全面修订。

  《办法》制定过程中先后多次征求了相关部委和社会公众的意见，绝大部分建议已被采纳，并对有关法律法规作了修改完善。修订后的《办法》与原银保监会对操作风险管理的有关要求前后衔接，与刚刚发布的《商业银行资本管理办法》相互配套。《办法》进一步明确银行保险机构操作风险识别评估、管理控制和工具等要求，完善银行保险机构操作风险治理框架，更加适应当前防控操作风险的形势。

  答：2023年7月，《办法》面向社会公开征求意见，共收到建议近200条，大部分建议已被采纳，包括调整外部审计和评价的频次，对规模较大的保险机构给予一年过渡期，兼顾保险机构实施操作风险评估的差异，调整行业协会职责等。部分建议属于理解不同，《办法》在附录中进行了解释，主要是操作风险偏好指标、操作风险披露机制和考核评价机制等内容。少数未采纳建议主要是删除数据安全相关条款、保险公司无需开展操作风险压力测试等。

  答：《办法》共六章五十二条及附录，包括总则、风险治理和管理责任、风险管理基础要求、风险管理流程和方法、监督管理、附则，主要内容包括：

  明确银行保险机构开展操作风险管理应当遵循审慎性、全面性、匹配性、有效性等基本原则。

  优化董事会在公司治理中的作用，明确监事（会）监督职责和高级管理层的执行职责，界定三道防线的具体范围和职责，压实分支机构和附属机构的责任。

  明确银行保险机构应当建立操作风险管理基本制度、操作风险偏好和传导机制，建立健全操作风险的管理信息系统，培育良好的操作风险管理文化。

  要求银行保险机构对操作风险进行全流程管理，规定了操作风险控制、缓释措施的基础要求，建立操作风险报告机制，应用操作风险损失数据库等三大基础管理工具以及新型工具，强化变更管理。

  规定金融监督管理总局及其派出机构要检查评估银行保险机构操作风险管理体系的健全性和有效性，规定重大操作风险事件报告的具体实际的要求，要求行业协会发挥自律和服务作用。

  答：《办法》整合原有银行机构和保险机构的操作风险监管规则，明确统一适用于银行保险机构的基础要求。

  同时，《办法》区分银行机构和保险机构、规模较大和规模较小的机构，分别适用差异化的监管要求：

  给予规模较大的保险机构在实施操作风险管理架构和职责、风险管理基础要求方面一年过渡期；

  明确规模较小的机构一级分行（省级分公司）的第二道防线部门可豁免设立操作风险管理专岗或专人，并给予其在实施操作风险管理架构和职责、风险管理基本要求方面两年过渡期。

  答：《办法》施行时间为2024年7月1日，给银行保险机构预留充分时间开展实施工作。同时，《办法》区分情形进行差异化监管，设置过渡期，并充分征求、采纳了各种类型的市场主体的意见。

  《办法》的出善了我国银行保险机构操作风险监管制度，有利于弥补监管制度短板，进一步巩固防范化解金融风险攻坚战的成果，规范提升银行保险机构操作风险管理上的水准，有利于强化机构监管、行为监管、功能监管、穿透式监管、持续监管。

  下一步，将进一步发挥行业协会的自律和服务作用，协助引导银行保险机构持续提高操作风险管理上的水准。

  为提高银行保险机构操作风险管理水平，根据《中华人民共和国银行业监督管理法》《中华人民共和国商业银行法》《中华人民共和国保险法》等法律和法规，制定本办法。

  本办法所称操作风险是指由于内部程序、员工、信息科技系统存在问题以及外部事件造成损失的风险，包括法律风险，但不包括战略风险和声誉风险。

  操作风险管理是全面风险管理体系的重要组成部分，目标是有效防范操作风险，降低损失，提升对内外部事件冲击的应对能力，为业务稳健运营提供保障。

  （一）审慎性原则。操作风险管理应当坚持风险为本的理念，充分重视风险苗头和潜在隐患，有效识别影响风险管理的坏因，配置充足资源，及时采取一定的措施，提升前瞻性。

  （二）全面性原则。操作风险管理应当覆盖各业务条线、各分支机构，覆盖所有部门、岗位、员工和产品，贯穿决策、执行和监督全部过程，充分考量其他内外部风险的相关性和传染性。

  （三）匹配性原则。操作风险管理应当体现多层次、差异化的要求，管理体系、管理资源应当与机构发展的策略、经营规模、复杂性和风险状况相适应，并依据情况变化及时调整。

  （四）有效性原则。机构应当以风险偏好为导向，有效识别、评估、计量、控制、缓释、监测、报告所面临的操作风险，将操作风险控制在可承受范围之内。

  规模较大的银行保险机构应当基于良好的治理架构，加强操作风险管理，做好与业务连续性、外包风险管理、网络安全、数据安全、突发事件应对、恢复与处置计划等体系机制的有机衔接，提升运营韧性，具备在出现重大风险和外部事件时持续提供关键业务和服务的能力。

  国家金融监督管理总局及其派出机构依法对银行保险机构操作风险管理实施监管。

  （三）审批高级管理层有关操作风险管理职责、权限、报告等机制，确保操作风险管理体系的有效性；

  （四）每年至少审议一次高级管理层提交的操作风险管理报告，充分了解、评估操作风险管理总体情况及高级管理层工作；

  （五）确保高级管理层建立必要的识别、评估、计量、控制、缓释、监测、报告操作风险的机制；

  设立监事（会）的银行保险机构，其监事（会）应当承担操作风险管理的监督责任，负责监督检查董事会和高级管理层的履职尽责情况，及时督促整改，并纳入监事（会）工作报告。

  第九条银行保险机构高级管理层应当承担操作风险管理的实施责任。主要职责包括：

  （二）明确界定各部门、各级机构的操作风险管理职责和报告要求，督促各部门、各级机构履行操作风险管理职责，确保操作风险管理体系正常运行；

  （三）设置操作风险偏好及其传导机制，督促各部门、各级机构执行操作风险管理制度、风险偏好并定期审查，立即处理突破风险偏好以及其他违反操作风险管理要求的情况；

  第一道防线包括各级业务和管理部门，是操作风险的直接承担者和管理者，负责各自领域内的操作风险管理工作。第二道防线包括各级负责操作风险管理和计量的牵头部门，指导、监督第一道防线的操作风险管理工作。第三道防线包括各级内部审计部门，对第一、二道防线履职情况及有效性做监督评价。

  （一）在一级分行（省级分公司）及以上设立操作风险管理专岗或指定专人，为其配备充足的资源；

  （三）拟定操作风险管理基本制度、管理办法，制定操作风险识别、评估、计量、监测、报告的方法和具体规定；

  （四）指导、协助第一道防线识别、评估、监测、控制、缓释和报告操作风险，并定期开展监督；

  国家金融监督管理总局或其派出机构按照监管职责归属，可以豁免规模较小的银行保险机构在一级分行（省级分公司）设立操作风险管理专岗或专人的要求。

  法律、合规、信息科技、数据管理、消费者权益保护、安全保卫、财务会计、人力资源、精算等部门在承担本部门操作风险管理职责的同时，应当在职责范围内为其他部门操作风险管理提供充足资源和支持。

  第十四条内部审计部门应当至少每三年开展一次操作风险管理专项审计，覆盖第一道防线、第二道防线操作风险管理情况，审计评价操作风险管理体系运作情况，并向董事会报告。

  规模较大的银行保险机构应当定期委托第三方机构对其操作风险管理情况做审计和评价，并向国家金融监督管理总局或其派出机构报送外部审计报告。

  银行保险机构境内分支机构、直接经营业务的部门应当承担操作风险管理主体责任，并履行以下职责：

  银行保险机构应当要求其并表管理范围内的境内金融附属机构、金融科技类附属机构建立符合集团风险偏好，与其经营事物的规模、风险特征、经营规模及监督管理要求相适应的操作风险管理体系，建立健全三道防线，制定操作风险管理制度。

  操作风险管理基本制度应当与机构业务性质、规模、复杂程度和风险特征相适应，至少包括以下内容：

  银行保险机构应当在操作风险管理基本制度制定或者修订后15个工作日内，按照监管职责归属报送国家金融监督管理总局或其派出机构。

  银行保险机构应当在整体风险偏好下制定定性、定量指标并重的操作风险偏好，每年开展重检。风险偏好应当与战略目标、经营计划、绩效考评和薪酬机制等相衔接。风险偏好指标应当包括监管部门对特定机构确定的操作风险类监测指标要求。

  银行保险机构应当通过确定操作风险容忍度或者风险限额等方式建立风险偏好传导机制，对操作风险进行持续监测和及时预警。

  银行保险机构应当建立具备操作风险管理功能的管理信息系统，基本功能包括：

  银行保险机构应当培育良好的操作风险管理文化，明确员工行为规范和职业道德要求。

  银行保险机构应当建立有效的操作风险管理考核评价机制，考核评价指标应当兼顾操作风险管理过程和结果。薪酬和激励约束机制应当反映考核评价结果。

  银行保险机构应该依据操作风险偏好，识别内外部固有风险，评估控制、缓释措施的有效性，分析剩余风险发生的可能性和影响程度，划定操作风险等级，

  银行保险机构应当结合风险识别、评估结果，实施控制、缓释措施，将操作风险控制在风险偏好内。

  银行保险机构应该依据风险等级，对业务、产品、流程和相关管理活动的风险采取控制、缓释措施，持续监督执行情况，建立良好的内部控制环境。

  银行保险机构通过购买保险、业务外包等措施缓释操作风险的，应当确保缓释措施实质有效。

  银行保险机构应当将加强内部控制作为操作风险管理的有效手段。内部控制措施至少包括：

  （四）建立重要财产的记录和保管、定期盘点、账实核对等日常管理和按时进行检查机制；

  （五）加强不相容岗位管理，有效隔离重要业务部门和关键岗位，建立履职回避以及关键岗位轮岗、强制休假、离岗审计制度；

  银行保险机构应当制定与其业务规模和复杂性相适应的业务连续性计划，有效应对导致业务中断的突发事件，最大限度减少业务中断影响。

  银行保险机构应当定期开展业务连续性应急预案演练评估，验证应急预案及备用资源的可用性，提升员工应急意识及处置能力，测试关键服务供应商的持续运营能力，确保业务连续性计划满足业务恢复目标，有效应对内外部威胁及风险。

  银行保险机构应当制定网络安全管理制度，履行网络安全保护义务，执行网络安全等级保护制度要求，采取必要的管理和技术措施，监测、防御、处置网络安全风险和威胁，有效应对网络安全事件，保障网络安全、稳定运行，防范网络违法犯罪活动。

  银行保险机构应当制定数据安全管理制度，对数据来进行分类分级管理，采取保护的方法，保护数据免遭篡改、破坏、泄露、丢失或者被非法获取、非法利用，重点加强个人隐私信息保护，规范数据处理活动，依法合理规划利用数据。

  银行保险机构应当制定与业务外包有关的风险管理制度，确保有严谨的业务外包合同和服务协议，明确各方责任义务，加强对外包方的监督管理。

  银行保险机构应当定期监测操作风险状况和重大损失情况，对风险持续扩大的情形建立预警机制，及时采取一定的措施控制、缓释风险。

  银行保险机构应当建立操作风险内部定期报告机制。第一道防线应当向上级对口管理部门和本级操作风险管理部门报告，各级操作风险管理部门汇总本级及所辖机构的情况向上级操作风险管理部门报告。

  银行保险机构应当在每年四月底前按照监管职责归属向国家金融监督管理总局或其派出机构报送前一年度操作风险管理情况。

  银行保险机构应当建立重大操作风险事件报告机制，及时向董事会、高级管理层、监事（会）和其他内部部门报告重大操作风险事件。

  银行保险机构应当运用操作风险损失数据库、操作风险自评估、关键风险指标等基础管理工具管理操作风险，可以再一次进行选择运用事件管理、控制监测和保证框架、情景分析、基准比较分析等管理工具，或者开发其他管理工具。

  银行保险机构应当运用各项风险管理工具进行交叉校验，定期重检、优化操作风险管理工具。

  第三十六条银行保险机构存在以下重大变更情形的，应当强化操作风险的事前识别、评估等工作：

  银行保险机构应当建立操作风险压力测试机制，定期开展操作风险压力测试，在开展其他压力测试过程中应当最大限度地考虑操作风险的影响，针对压力测试中识别的潜在风险点和薄弱环节，及时采取应对措施。

  银行机构应当按照国家金融监督管理总局关于资本监管的要求，对承担的操作风险计提充足资本。

  国家金融监督管理总局及其派出机构应当将对银行保险机构操作风险的监督管理纳入集团和法人监督管理体系，检查评估操作风险管理体系的健全性和有效性。

  国家金融监督管理总局及其派出机构加强与有关部门的监管协作和信息共享，共同防范金融风险跨机构、跨行业、跨区域传染。

  国家金融监督管理总局及其派出机构通过监管评级、风险提示、监管通报、监管会谈、与外部审计师会谈等非现场监管和现场检查方式，实施对操作风险管理的持续监管。

  国家金融监督管理总局及其派出机构觉得必要时，能要求银行保险机构提供第三方机构就其操作风险管理出具的审计或者评价报告。

  国家金融监督管理总局及其派出机构发现银行保险机构操作风险管理存在缺陷和问题时，应当要求其及时整改，并上报整改落实情况。

  国家金融监督管理总局及其派出机构依照职责通报重大操作风险事件和风险管理漏洞。

  银行保险机构应当在知悉或者应当知悉以下重大操作风险事件5个工作日内，按照监管职责归属向国家金融监督管理总局或其派出机构报告：

  （一）形成预计损失5000万元（含）以上或者超过上年度末资本净额5%（含）以上的事件。

  （二）形成损失金额1000万元（含）以上或者超过上年度末资本净额1%（含）以上的事件。

  （三）造成重要数据、重要账册、重要空白凭证、重要资料严重损毁、丢失或者泄露，已经或者会造成重大损失和严重影响的事件。

  （四）重要信息系统发生故障、受到网络攻击，导致在同一省份的营业网点、电子渠道业务中断3小时之后；或者在两个及以上省份的营业网点、电子渠道业务中断30分钟以上。

  （五）因网络欺诈及别的信息安全事件，导致本机构或客户资金损失1000万元以上，或者造成重大社会影响。

  （六）董事、高级管理人员、监事及分支机构负责人被采取监察调查措施、刑事强制措施或者承担刑事法律责任的事件。

  对于第一款规定的重大操作风险事件，国家金融监督管理总局在案件管理、突发事件管理等监管规定中另有报告要求的，应当按照有关要求报告，并在报告时注明该事件属于重大操作风险事件。

  国家金融监督管理总局能够准确的通过监管工作需要，调整第一款规定的重大操作风险事件报告标准。

  银行保险机构存在以下情形的，国家金融监督管理总局及其派出机构应当责令改正，并视情形依法采取监管措施：

  （五）未建立操作风险管理流程、管理工具和信息系统，或者其设计、应用存在缺陷；

  银行保险机构存在以下情形的，国家金融监督管理总局及其派出机构应当责令改正，并依法实施行政处罚；法律、行政法规没有规定的，由国家金融监督管理总局及其派出机构责令改正，予以警告、通报批评，或者处以二十万元以下罚款；涉嫌犯罪的，应当依法移送司法机关：

  （一）严重违反本办法相关规定，导致发生第四十二条规定的重大操作风险事件；

  （三）瞒报、漏报、故意迟报本办法第四十二条规定的重大操作风险事件，情节严重的；

  中国银行业协会、中国保险行业协会等行业协会应当通过组织宣传、培训、自律、协调、服务等方式，协助引导会员单位提高操作风险管理水平。

  鼓励行业协会、学术机构、中介机构等建立相关领域的操作风险事件和损失数据库。

  本办法所称银行保险机构，是指在中华人民共和国境内依法设立的商业银行、农村合作银行、农村信用合作社等吸收公众存款的金融机构以及开发性金融机构、政策性银行、保险公司。

  中华人民共和国境内设立的外国银行分行、保险集团（控股）公司、再保险公司、金融实物资产管理公司、金融资产投资公司、信托公司、金融租赁公司、财务公司、消费金融公司、汽车金融公司、货币经纪公司、理财公司、保险资产管理公司、金融控股公司以及国家金融监督管理总局及其派出机构监管的其他机构参照本办法执行。

  本办法所称的规模较大的银行保险机构，是指按照并表调整后表内外资产（杠杆率分母）达到3000亿元人民币（含等值外币）及以上的银行机构，以及按照并表口径（境内外）表内总资产达到2000亿元人民币（含等值外币）及以上的保险机构。

  未设董事会的银行保险机构，应当由其经营决策机构履行本办法规定的董事会职责。

  第四十九条本办法第四条、第七条、第十条、第十二条、第十八条、第二十条关于计量的规定不适用于保险机构。

  本办法第二十五条相关规定如与保险公司偿付能力监管规则不一致的，按照保险公司偿付能力监管规则执行。

  关于本办法第二章、第三章、第四章的规定，规模较大的保险机构自本办法施行之日起1年内执行；规模较小的银行保险机构自本办法施行之日起2年内执行。

  第五十一条本办法由国家金融监督管理总局负责解释修订，自2024年7月1日起施行。

  第五十二条《商业银行操作风险管理指引》（银监发〔2007〕42号）、《中国银行业监督管理委员会关于加大防范操作风险工作力度的通知》（银监发〔2005〕17号）自本办法施行之日起废止。

  欢迎扫码加入我们土神俱乐部星球会员！海量资源尽在知识星球土神资产并购俱乐部交易买卖平台（详见下方二维码）

  知识星球土神资产并购俱乐部--年费365元，海量项目每天发布，一天仅1元即可拥有一个业务平台+实战圈子+国内外资方+海量实名资产信息+1年资产交易机会。每天发布项目和需求不限次数，直接买方卖方的零距离交流，无缝衔接。另增送1次8条位置公众号广告和土神网推广项目和需求的机会。

  土神网本平台核心业务如下：1、优质存量地产资产和土地并购的策划和融资咨询；住宅、商业、办公、工业、仓储、旅游、特色小镇等土地并购和融资业务；3、开发商或金融机构各类尾盘资产盘活和收购以及可以散售的住宅、公寓、商铺的代理、包销；4、不良资产物权及债权、股权收购、配资、转让和处置、债务重组、破产预重整、破产重整、困境中企业解困纾困资金，特别擅长破产预重整价值提升；5、房地产拿地配资、前前融、一二线城市更新、产业升级、旧楼改造升级；6、房地产品牌代建、融资+代建、代开发业务（代甲方），产业地产和商业地产招商，委管托管业务；7、公寓、商业、写字楼、产业园、厂房、仓储等整栋物业租赁，二房东业务；8、建设工程总包和市政设施建设工程总包分包及其配套融资、EPC+F，工程供应链金融，各地城司结构性融资；土神网整合行业优质资源和聚焦房地产相关信息，欢迎各位一起合作共赢！合作热线：

  土神网项目：本平台承诺，发布信息全部免费，所有的客户项目资料保密，均不随意透露给任何的未经证实的买家或中间方等人员。必须是经过本网审核后的买家及金融机构，才提供项目资料，确保点对点的精准对接。