对 DTCC 全面风险管理框架进行了剖析具体而言,DTCC 全面风险管理具有以下四个特点 : ( 一 ) 以科学全面的风险识别为基础, 实施风险的分类管理 DTCC 秉持风险管理创造并保护价值的理念, 以风险的全面识别科学分类为逻辑起点, 针对不同类型风险建立健全组织架构管理制度

Size: px

Start display at page:

Download "对 DTCC 全面风险管理框架进行了剖析具体而言,DTCC 全面风险管理具有以下四个特点 : ( 一 ) 以科学全面的风险识别为基础, 实施风险的分类管理 DTCC 秉持风险管理创造并保护价值的理念, 以风险的全面识别科学分类为逻辑起点, 针对不同类型风险建立健全组织架构管理制度"

杖乔
5 years ago
Views:

1 全美证券托管清算公司全面风险管理框架研究 1 何晓雷朱立元刘鸿诚杜会峰 [ 摘要 ] 作为全球金融市场基础设施 (FMI) 的标杆, 全美证券托管清算公司 ( 简称 DTCC) 拥有 40 余年丰富的风险管理经验, 并一直保持着零风险损失的良好记录, 包括成功抵御了 2008 年次贷危机及雷曼兄弟破产风险即便如此,DTCC 仍在全球金融危机之后, 全面检讨和改进了其风险管理框架, 进一步加强其风险管理能力 2014 年 12 月,DTCC 遵照金融市场基础设施原则 (PFMI) 要求, 对外披露了三家子公司 DTC NSCC FICC 的自评估报告, 系统介绍了其全面风险管理框架我们结合 PFMI ISO31000 风险管理标准族和 COSO 企业风险管理整合框架等风险管理国际标准, 对 DTCC 的风险管理经验与做法进行了梳理和总结, 并对进一步完善中国结算全面风险管理工作提出了具体建议一 DTCC 全面风险管理的经验总结围绕公司风险管理需要, 我们从风险分类组织结构与职责分工管理流程与风控制度措施监督考核机制等方面, 1 作者系中国结算公司总部员工本文在公司风险监控部总监汪有为同志的悉心指导下完成, 部分翻译工作得到了公司风险监控部杨阳刘浩达的帮助

2 对 DTCC 全面风险管理框架进行了剖析具体而言,DTCC 全面风险管理具有以下四个特点 : ( 一 ) 以科学全面的风险识别为基础, 实施风险的分类管理 DTCC 秉持风险管理创造并保护价值的理念, 以风险的全面识别科学分类为逻辑起点, 针对不同类型风险建立健全组织架构管理制度和流程, 实施分类管理截至目前, DTCC 已全面识别五大类风险, 包括业务风险 ( 细分为信用风险市场风险流动性风险 ) 运作风险 ( 细分为业务及运作连续性风险信息技术风险财务及内控风险人力资源风险 ) 系统性风险创新业务风险和法律合规风险, 并对每类风险进行统一定义和清晰描述 ( 见附表 1) 值得注意的是, 金融危机后,DTCC 加强了对系统性风险的研究和管理, 防范风险在金融市场体系与作为系统性重要机构的 DTCC 之间的双向传导另外,DTCC 强调对创新业务的风险管控, 将创新业务风险单独列为一种风险类型加以管理 ( 二 ) 以健全的组织架构清晰的职责分工和顺畅的工作机制为保障, 层层落实管理责任 2 DTCC 构建了董事会管理层执行层的风险管理三层组织架构 ( 见附表 2), 并在每层设臵相关职位机构和 2 DTCC 董事会目前共有 19 名董事, 其中 12 名来自结算会员代表,3 名来自结算会员之外 ( 非参与人董事 ), 2 名来自优先股股东单位 ( 纽交所和金融行业管理当局 ), 还有 2 名来自 DTCC 的管理层

3 部门, 层层落实风险管理责任 1 董事会层面 DTCC 董事会主要负责监督管理层风险管理工作及全面风险管理框架的有效性, 并对风险战略风险容忍度等重大事项进行决策董事会下设风险委员会及相关专业委员会 ( 审计委员会业务技术与运作委员会等 ), 协助董事会履行风险管理职责 ( 见图 1) 图 1:DTCC 董事会风险治理结构业务技术与运作风险委员会薪酬与人力资源委员会审计委员会创新业务风险业务风险运作风险系统性风险法律和合规风险其中, 董事会风险委员会起主导作用, 直接监督业务风险运作风险创新业务风险和系统性风险的管理, 其主要职责是以会议形式 ( 每年不得少于 6 次 ), 重点审查管理层提交的风险报告风险容忍度政策, 审议风险管理内外部审计报告会员准入及持续管理标准等其他委员会发挥各自领域专长, 协助支持董事会风险委员会开展工作 ( 见附表 3) 例如: 审计委员会负责监督法律和合规风险, 定期交换信息 ; 业务技术与运作委员会协助监督创新业务风险 ; 薪酬与人力资源委员会通过绩效考核和薪酬体系激励和引导

4 风险管理工作 DTCC 董事会成员主要来自会员和市场机构, 董事会下属各委员会主席与副主席大多不得由 DTCC 雇员担任, 这既在治理结构上形成了对风险管理的有效外部监督, 也为 DTCC 与会员之间加强良性互动充分利用行业资源提供了便利 2 管理层层面 DTCC 管理层主要负责构建并持续完善全面风险管理框架 ; 通过实施有效管理将各类风险控制在董事会设定的风险容忍度范围内 ; 领导组织执行层开展风险管理工作, 监督其风险管理职责落实情况 DTCC 管理层层面职位设臵和工作开展具有两个显著特征 : 一是实现风险管理与业务运营二者职能和角色的分离 2011 年 DTCC 在管理层新设执行主席 (Executive Chairman), 与首席执行官 (CEO) 分立, 由董事长兼任, 专司统领协调和监督风险管理工作风险管理与业务运营二者角色的分离有利于保障风险管理工作的独立性, 进而形成内部相互监督和制衡执行主席下设首席风险官 ( 下设管理层风险委员会 ) 首席合规官总审计师等职位和机构协助开展工作其中, 首席风险官负责构建和实施风险管理战略, 以保证风险管理计划和董事会决议顺利嵌入集团日常运作 ; 首席合规官负责 DTCC 合规项目的设计与管理, 包括政策程序的合理化设计以确保合规事项能够被管理层迅速有效地解

5 决首席风险官和首席合规官直接向执行主席汇报工作 ; 若有必要, 二者可分别直接向董事会风险委员会审计委员会报告总审计师负责指导内部审计项目和活动, 支持董事会提升内部控制环境总审计师直接向董事会审计委员会报告 ; 若有必要, 也可向执行主席汇报涉及风险管理的工作情况图 2: 风险管理相关的高级管理层职位风险委员会审计委员会执行主席首席执行官首席风险官首席合规官总审计师风险管理业务运作二是突出管理层风险委员会主导作用 (Management Risk Committee,MRC) 与董事会架构类似,DTCC 在管理层同样设立了风险委员会 (Management Risk Committee,MRC), 接受首席风险官领导, 主要负责监督管理业务运作过程中产生的各类风险 ; 评估创新业务产品及计划的固有风险并制定风险应对措施 ; 识别系统性风险点并审核相关应对计划等此外,DTCC 管理层还设立了多个专业委员会和顾问委员会支持配合管理层风险委员会开展相关工作 ( 详见附表 4) 3 执行层层面

6 DTCC 执行层主要负责识别管理和缓释日常业务中的各类风险 ; 执行风险管理政策及流程 ; 开发各类风险管理工具系统 ; 分析和评估风险状况, 定期上报风险管理分析报告在执行层层面,DTCC 设臵了三道防线进行日常风险管理工作 : 一是各业务与运作部门构成风险管理第一道防线主要包括集团产品管理运作管理信息技术法律支持人力资源等关键部门以及各分支机构, 首席执行官负责该道防线的管理和监督第一道防线的主要职责是识别度量日常业务过程中的各类风险因素, 并采取必要的针对措施进行风险控制与管理此外, 各业务与运作部门均设有一名或多名风险管理专员 ( 风险管理岗位 ) 合规专员, 负责本部门风险管理工作, 并专职负责与第二道防线保持联络, 协助识别或管理业务和产品层面的风险合规问题二是各风险管理部门构成风险管理第二道防线 DTCC 按照已识别的风险类型, 分别设立专门的风险管理部门或工作组 ( 共 7 个 ) 作为第二道防线, 针对每类风险建立自成一体的垂直管理流水线, 均有配套的管理主体管理制度和流程具体举措, 主要包括业务风险管理部 (ERM) 运作风险管理部 (ORM) 业务连续性管理部(BCM) 技术风险管理部 (TRM) 系统性风险办公室(SRO) 创新业务办公室(NIO) 和合规办公室 (OCRC) 等其主要职责包括 ( 见附表 5): 建

7 立风险管理的标准和流程, 指导第一道防线开展风险管理工作 ; 组织和协助第一道防线及时充分报告风险信息 ; 监督第一道防线是否履行其风险管理职责 ; 开发和运用专业的风险管理模型系统, 对于适于量化度量的风险 ( 主要是市场风险流动性风险 ), 进行集中度量监测与分析 ( 压力测试 ) 执行主席负责第二道防线的管理和监督, 这为第二道防线履行风险监督责任提供较强的独立性保障三是内部审计部门构成风险管理第三道防线 DTCC 的内部审计部门 (Internal Audit Department,IAD) 是风险管理的第三道防线, 其主要职责是是对第一二道防线风险管理工作执行情况进行独立客观地稽核审计, 对风险管理有效性进行监督, 以持续改进 DTCC 的风险管理实践具体工作机制包括 :(1) 与风险管理部门和外部审计形成风险协同工作组 (Risk Harmonization working group), 在共同的风险术语框架下开展工作 ;(2) 引入风险管理质量控制项目, 要求所有单位自行评估并主动报告相关控制问题, 以提升内部控制质量, 同时借助数据挖掘方法和技术系统加强内部审计 ;(3) 定期对运行中的产品或流程发起内部审计流程, 同时负责审计创新业务, 确保在创新业务运行前有效植入必要风险控制手段 ;(4) 监督 DTCC 管理层风险管理工作, 并向董事会审计委员会提供结果以协助其履行监督职能

8 审计委员会和总审计师负责监督管理第三道防线, 保障内部审计部门的业务独立性内部监督的有效性为防止内部人控制,DTCC 还专门建立了内部审计师定期轮换制度需要特别说明的是,DTCC 采用集团式运营模式, 在风控组织构架方面表现出如下特点 : 一是第一道防线主要设立在分支机构层面 ( 即 DTC NSCC FICC 等 ), 以及集团层面的相关业务职能部门 ( 例如信息技术部法律部人力资源部财务部等 ) 二是第二道第三道防线全部设立在集团层面, 同时为多个分支机构提供风险管理支持与服务三是根据风险特性实施分级分类分工管理对于便于集中度量监测和管理的风险 ( 如信用风险流动性风险 ) 由风险管理部实行集中统一管理, 对于专业性较强的风险 ( 如法律合规风险信息技术风险 ) 由法律技术等其他部门专司负责图 3:DTCC 风险管理三道防线示意图

9 执行主席首席执行官总审计师首席风险官首席合规官 ERM ORM BCM TRM SRO NIO OCRC 第二第三道防线内部审计部门业务风险系统性风险运作风险创新业务风险合规风险道防线各业务条线 ( 产品管理运作财务, 信息技术法律支持人力资源 ) 第一道防线 ( 三 ) 以管理制度和流程管理技术系统量化分析为手段, 实施精细化科学化管理目前,DTCC 采用集团化运营模式, 针对每类风险 DTCC 均建立了统一的风险管理制度流程和措施, 适用于各分支机构各项业务, 并借助信息技术系统量化分析等手段进行持续评估实时监测压力测试, 实施精细化科学化管理 ( 见附表 6) 以信用风险和流动风险为例: 在信用风险方面, 除会员准入会员资格持续管理等常规性措施外,DTCC 还定期通过信用风险评级矩阵系统 (Credit Rating Matrix System) 对会员进行内部评级, 并根据评级结果实行差异化管理 ; 在流动性风险管理方面, 除尽可能多渠道获取流动性

10 资源 ( 如清算基金银行授信 ) 外,DTCC 每日监测会员层面和整体市场的流动性需求, 并通过技术系统模拟流动性需求进行压力测试, 测试条件覆盖会员违约市场波动证券流动性下降流动性提供者失效等场景此外,DTCC 还定期聘请外部专家对压力测试假设和条件进行审核, 确保测试结果合理准确为保证全面风险管理框架有据可依,DTCC 将其风险管理的政策流程及控制手段贯穿于内部管理规章制度和外部业务规则中 ( 见附表 7), 并开发建立数据库系统, 实现规章制度和规则审查批准发布和查询自动化处理同时,DTCC 建立了一系列配套风险管理系统, 为有效实施全面风险管理框架政策流程及控制提供了强大的技术保障目前 DTCC 披露的风险管理系统主要有 : 一是业务风险管理部 (ERM) 系统业务风险管理部 (ERM) 为有效识别度量和控制 DTCC 及其分支机构面临的信用市场和流动性风险, 建立了一系列风险管理系统, 主要包括 : 信用风险矩阵系统清算基金管理系统担保品管理系统流动性监测系统压力测试与回溯测试系统等二是运作风险管理部 (ORM) 系统运作风险管理部 (ORM) 为有效识别监控控制和报告 DTCC 在日常运作过程中产生的运作风险, 建立了一系列风险管理系统, 主要包括 : 运作风险控制系统风险事件监测与报告系统运行能力和效

11 率监测系统运作风险压力测试系统等三是合规办公室 (OCRC) 系统合规办公室 (OCRC) 开发了一系列数据收集和跟踪系统以支持合规风险等的管理, 包括客户尽职调查系统合规数据库系统和雇员投资监控系统等 ( 四 ) 以报告体系内部审计监督绩效考核和薪酬激励为抓手, 提升风险管理的执行力和可持续性为保证风险管理框架和管理责任得到有效落实,DTCC 建立配套的内部控制和管理体系, 提高执行力主要包括 : 1 建立了完备的风险报告体系风险报告体系是全面风险管理框架中的重要组成部分, 有利于促进风险信息及时高效地内部流转, 为公司决策风险监督和考核奠定基础大致可分为两部分 : 风险框架报告 ( 包含风险容忍度陈述 ) 和风险状况报告风险框架报告由首席风险官每年如期提交, 主要用途是实现董事会各级风险委员会对全面风险管理框架进行审核修正和批准, 并设定当年的风险容忍度风险状况报告主要用于日常定期汇报风险事件状况及控制效果 ( 见附表 8) 2 建立自上而下与业务运作相对独立的多层级风险监督机制具体包括 : 一是董事会授权董事会风险委员会和审计委员会履行风险管理监督职能, 避免风险管理出现不足或过度情况 ; 二是管理层设立执行主席, 统领并监督首席风

12 险官首席合规官的风险管理职能 ; 三是管理层下设立风险管理三道防线, 风险管理部门负责指导并监督第一道防线风险管理, 而内部审计部门对前两道防线的风险管理工作进行监督正如前文所述, 风险管理与业务运作之间会存在不可避免的利益冲突, 而 DTCC 的风险管理部门对执行主席负责, 业务运作部门对首席执行官负责, 较好地实现风险管理和业务运作职能和角色分离, 形成风险管理与业务运作之间的制衡机制, 两个轮子相互协作保障公司整体平稳运行 3 通过绩效考核和薪酬体系激励和引导风险管理工作 DTCC 通过将风险管理活动融入绩效考核和薪酬体系, 建立了风险考核与激励机制, 既避免执行层面过度追求业务发展而承担不必要风险又防范过度强调风险控制而制约业务发展, 谋求风险控制与业务发展的均衡, 促进风险管理框架实施风险管理责任落实此外, 风险管理部门的绩效考核和薪酬设计有别于业务部门, 进一步确保风险管理的独立性和有效性 4 建立了一整套持续检查评估和更新风险管理框架的机制 DTCC 定期会对全面风险管理框架进行评估检查, 进而形成不断完善全面风险管理框架的闭环, 确保了风险管理框架的持续有效二对完善中国结算风险管理的思考与建议

13 ( 一 ) 夯实公司风险管理制度体系, 引导各方归位尽责, 提高风险管理的整体性协同性 DTCC 以集团模式运营, 其分支机构职能部门和业务条线均极为庞杂, 但其风险管理工作却能长期保持顺畅运转究其原因, 通过制度体系定流程定标准定职责, 用制度管人用流程管事是关键因素在国内资本市场业务类型不断拓展, 国际化竞争加剧的背景下, 建议在现有公司架构的制度安排下, 进一步夯实公司风险管理制度体系, 通过建章立制厘清风险职责理顺体制机制, 引导各方归位尽责, 确保各项工作有章可循 ; 并发挥制度穿针引线功能, 串联已有各风险管理模块 ( 搭积木 ), 整合三地资源, 搭建科学有效的风险管理体系, 提高风险管理的整体性协同性, 进而进一步提升公司核心竞争力 ( 二 ) 设臵立体化的风险管理层级与防线, 落实风险责任, 提高公司风险管理的执行力与可持续性 DTCC 构建了风险管理的三层组织架构和三道防线将风险管理贯穿于公司的所有决策与过程中三层组织架构的设计使公司各层级能够在风险管理中, 既支持协作又监督制约 ; 而三道防线 ( 第一道防线按风险来源, 第二道防线按风险类型, 第三道防线检查风险管理网络 ) 确保了风险管理能够从多个角度贯彻落实, 保证了管理的全面性和有效性建议公司在完善风险管理框架的过程中, 结合公司

14 目前的组织架构和业务格局, 按照业务实操部门业务管理部门风险管理专职部门的不同功能定位, 在董事会总经理办公会下构建风险管理的立体化层级与防线, 层层落实风险责任并且通过进一步健全完善监督检查与激励约束机制, 提高公司风险管理的执行力与可持续性 ( 三 ) 实施风险分类管理, 全面覆盖风险点, 发挥风险管理的规模效应风险管理的意义在于要以最小的成本获得最大的安全保障 DTCC 通过对风险进行合理分类, 不仅实现了对已识别风险点的全面覆盖, 而且针对不同来源 ( 如不同业务条线 ) 的同类风险, 使用相同或相似的风险管理手段, 能够产生风险管理的规模效应, 可以大幅降低风险管理的成本鉴此, 建议公司在完善风险管理框架过程中, 全面梳理各业务条线中的风险点并对其进行科学分类, 保证不遗漏任何风险点的同时, 为下一步设计风险管理流程, 加强风险管理手段打好基础 ( 四 ) 提高量化和信息化技术能力, 加强风险精细化管理, 保障风险管理决策的准确性现代风险管理理论有计算复杂技术性强工作量大等特点, 而量化和信息化技术的发展, 使得众多风险管理理论呈现出可操作性并走向实际应用 DTCC 依据自身需求, 开发出了多样化的量化工具, 并通过技术系统使这些

15 量化工具应用于生产, 成为风险管理决策的有效支持相比 DTCC, 公司虽然建立了统一风险监测系统, 但其功能更侧重于统计分析, 对风险管理的决策支持能力不够换句话讲, 目前公司风险管理决策还停留在主要依赖专家经验定性判断的阶段鉴此, 公司亟待依据自身需求引进开发风险管理的量化工具, 使定量分析与定性分析相互结合相互补充, 从而提高风险管理的质量同时, 公司应加大信息技术投入, 将所开发出来的量化工具通过技术系统实现, 对相关风险数据进行收集汇总分析和挖掘, 快速地对自身面临的风险进行识别度量评估监测和报告, 提高对风险管理决策的支持能力附表 1: DTCC 已识别的风险种类附表 2: DTCC 风险治理及组织结构职责和定位附表 3: 董事会各专业委员会风险管理职责附表 4: 管理层层面各专业委员会风险支持职能附表 5: 各风险管理部门的具体职责附表 6: 各类风险管理手段附表 7:DTCC 风险管理规章制度与规则附表 8: 风险状况报告

16 附表 1: 业务风险运作风险风险分类信用风险市场风险流动性风险业务与运作连续性风险信息技术风险财务及内控风险人力资源风险系统性风险创新业务风险法律和合规风险 DTCC 已识别的风险种类风险定义指结算会员的主体信用风险, 由于结算会员不符合 DTCC 规定的会员财务和运作标准, 导致 DTCC 遭受损失或结算中断的风险指结算会员发生违约时,DTCC 处置变卖其相关资产 ( 担保品清算基金或其他资产 ) 后不足以覆盖其带给 DTCC 的风险敞口, 而使 DTCC 遭受损失的风险由于 DTCC 已通过 DVP 机制完全覆盖了本金风险,DTCC 面临的市场风险主要来自价差风险, 即证券价格波动带来的风险指结算会员发生违约时,DTCC 没有充足的流动性资源垫付, 以代替违约会员履行其结算义务的风险指由于人为差错系统故障或其他外部事件 ( 自然的或人为的 ), 导致业务处理不当或失败, 从而使 DTCC 遭受损失或无法继续运作的风险指由于信息技术系统出现系统损坏中断及数据丢失, 或因为技术落后带来的风险以及信息技术部门无法提供技术支持及维护服务或因技术落后, 最终导致受到威胁 ( 包括损坏崩溃及丢失 ) 的风险指由于财务账目不准确, 内部管理及内控不完善 ; 运营和长期资本无法支持 DTCC 及其分支机构的运作 ; 所购保险不足以覆盖风险敞口 ; 各类投资策略不适当而导致 DTCC 遭受损失的风险指 DTCC 因缺乏充足称职的雇员, 或因重要职位人员流失导致无法正常开展业务的风险指影响到整体金融市场稳定运行的潜在威胁和风险因素, 这些潜在威胁和风险因素一旦发生将会最终引发巨大经济损失及对整个金融系统信心的丧失, 这将严重影响到 DTCC 的正常运作, 并给 DTCC 带来经济损失指 DTCC 引入新的产品或服务时, 由于实施前分析不全面不透彻, 对自身会员和行业带来潜在的未知风险 ; 或因为新产品新服务挤占了现有资源, 而影响了日常业务正常运作或挤占其他重要项目资源指 DTCC 由于无法执行合同或违反法律法规监管规则以及相关业务标准指南而遭受损失的风险

17 附表 2: DTCC 风险治理及组织结构职责和定位层级董事会层面管理层层面职能部门和执行层面具体职责 DTCC 董事会及各类委员会负责监督 DTCC 管理层风险管理工作及检查全面风险管理框架的有效性, 负责风险战略选择以及确定风险容忍度 DTCC 管理层负责建立和运作全面风险管理框架, 具体负责识别管理和缓释 DTCC 日常各类风险的责任 ; 通过有效的风险管理, 将 DTCC 面临的各类风险控制在董事会设定的风险容忍度范围内 ; 负责全面领导组织职能和执行部门开展具体风险管理工作, 并监督其风险管理职责落实情况具体负责在日常业务中识别管理和缓释 DTCC 日常各类风险, 具体执行各项风险管理政策及流程, 开发各类风险管理工具系统, 分析和评估风险状况, 填报各类风险管理分析报告等

18 附表 3: 董事会各专业委员会风险管理职责委员会支持类型风险相关职责董事会审计委员会业务技术与运作委员会薪酬与人力资源委员会法律和合规风险创新业务风险运作风险直接对法律和合规风险进行监督 : (1) 监督 DTCC 合规项目的设计与管理, 包括政策流程是否合理, 确保法律和合规问题能够被首席合规官和高级管理层高效并迅速地解决 ; (2) 监督合规管理部门的结构员工配备和资源 ; (3) 听取首席合规官报告, 持续监督合规活动及问题 ; (4) 获悉 DTCC 适用的法律规则指南和行业实践变化对 DTCC 的潜在影响, 并确保关键问题和系统性风险点能够被报送至董事会负责协助董事会风险委员会监督创新业务中的风险 : (1) 从创新业务的可行性分析到最终的项目上线, 全程各环节上都施加必要的风险评估与控制, 同时还负责对创新业务的潜在系统性风险 ( 包括效益 ) 进行评估和分析 ; (2) 审查对会员公司产生重大影响的创新业务和配套沟通方案 ; 并就此与董事风险委员会沟通和协调, 确保与创新业务相关的关键事项和实质风险上报董事会 ; (3) 对创新举措 ( 包括合并收购合资及合伙 ) 进行审查批准, 并在委员会主席认为必要时请求董事会批准通过绩效考核和薪酬计划等方式支持运作风险的监督 : (1) 与董事会风险委员会协商, 审查并评估薪酬计划是否促进了风险的识别和管理, 以及阻止了执行官员承担不必要的风险 ; (2) 与董事会风险和审计委员会协商, 确保薪酬政策满足薪酬实践的需求

19 附表 4: 内部外部管理层层面各专业委员会风险支持职能委员会支持类型人员构成主要风险管理支持职能负责制定业务发展战略 ; 审核和批准创新业务 ; 监督财务报告和重点运作运作风险 DTCC 运行指标 ; 以及监测外部环境变化, 委员会创新业务风险管理层人员并向管理层风险委员会提供运作和创新业务风险管理的建议创新业务委员会反洗钱监督委员会系统性风险顾问委员会模型风险治理顾问委员会风险咨询顾问委员会清算机构流动性顾问会员会创新业务风险系统性风险法律和合规风险系统性风险创新业务风险业务风险全面风险 DTCC 管理层人员不详 DTCC 主营业务条线及职能部门的负责代表风险管理部门量化团队相关业务部门的代表 DTCC 会员的高级执行代表负责批准创新业务, 并向管理层风险委员会提供创新业务和系统性风险管理方面的建议负责 DTCC 反洗钱项目的开发与维护, 以支持相关法律和合规风险的管理负责按年检查全球金融业威胁背景下的系统性风险策略, 识别影响 DTCC 和其会员的系统性风险点, 并向风险管理委员会提供相关应对建议负责测试检查批准管理和监督风险评估模型, 并指导 DTCC 的各个单位使用这些模型监测其风险敞口负责对具体的风险管理创新提供建议和意见, 如 DTCC 分支机构的融资方式等

20 附表 5: 各风险管理部门的具体职责管理职位风险管理部门风险管理职责首席风险官首席合规官业务风险管理部 (ERM) 运作风险管理部 (ORM) 业务连续性管理部 (BCM) 技术风险管理部 (TRM) 系统性风险办公室 (SRO) 创新业务办公室 (NIO) 合规办公室 (OCRC) DTCC 最为核心的风险管理部门, 统一负责对 DTCC 全部信用风险市场风险和流动性风险进行识别度量和应对, 其目标是保证 DTCC 清算与结算系统的安全与稳定 ERM 的主要工作有 : 通过风险模型度量每个结算会员带来的风险敞口 ; 计算结算会员应缴纳的保证金数额, 以及附加其他必要的风险管理措施覆盖结算会员的风险敞口 ; 进行回溯测试压力测试和风险情形分析, 检验保证金清算基金等风险管理财务资源的充足性 ; 负责结算会员的准入和持续管理, 持续监测和评估结算会员的信用状况负责建立运作风险管理框架, 并通过建立跟踪和度量运作风险的平台, 协助业务运作部门将该框架应用到日常运作中 ; 识别和监控 DTCC 在日常业务运作过程中产生的运作风险 ; 监督相关运作风险管理流程的执行情况负责建立 DTCC 的业务连续性管理政策, 并制定业务连续性计划负责建立并维护 DTCC 的信息安全与技术风险管理框架负责与内外部相关主体和资源 ( 包括监管机构和会员等 ) 合作, 建立并维护 DTCC 的系统性风险管理策略 ; 分析并评估影响 DTCC 及其会员的系统性风险 ; 制定应对系统性风险的计划负责分析和评估创新业务风险及管理措施, 执行创新业务审核流程, 提议评估和批准创新业务, 并持续跟进创新业务的实施情况与法律咨询部门合作, 负责建立法律和合规风险管理框架以评估 DTCC 提供服务及产品业务运作中, 及由会员产生的法律和合规风险

21 附表 6: 各类风险管理手段风险类型管理手段具体内容会员准入 DTCC 主要从财务标准 ( 包括最低资本金 ) 信用状况以及运作能力标准方面建立了会员准入标准 DTCC 建立了严格的会员准入流程, 会员加入申请首先需要经过 ERM 的严格审核, 以确保申请人符合会员准入标准, 此后还需经管理层风险委员会 (MRC) 以及董事会风险委员会 (BRC) 批准, 才能最终获得会员资格信用风险会员持续管理与监控 DTCC 对会员遵守会员标准情况财务状况以及信用状况进行持续监控, 至少每年对会员进行一次信用状况检查和评估 ERM 具体负责会员持续管理与监控, 通过信用风险评级矩阵系统 (Credit Rating Matrix System) 对会员进行信用评级, 评估时主要依据参与人定期报送的财务数据 ( 主要是信用杠杆流动性以及盈利方面的财务信息 ), 此外还会从监管部门自律组织以及其他金融信息供应商处获得相关信息 DTCC 还通过持续收集和关注会员的股票价格新闻其他市场公开信息等市场信号 (market-based signal) 来帮助评估会员信用风险 DTCC 会根据会员信用评级结果采取不同的管理措施, 例如对于信用评级差的会员收取更高水平的清算基金, 进行更高频率的监控, 要求提供更多的披露信息等市场风险保证金和清算基金压力测试与回溯测试机制违约处置流程 ERM 借助清算基金管理系统 (Clearing Fund Management System, CFM) 使用 VaR 模型基于 99% 置信度 ( 或更高 ) 度量会员的市场风险敞口, 并据此计算会员应缴纳的保证金和清算基金以充分覆盖其风险敞口该方法考虑了市场波动逐日盯市持续净额结算失败缴款流动性市场集中度及其他特定因素清算基金模型每年须通过业内第三方专家的独立验证, 以确保其合理性和有效性目前,DTCC 每日日终计算一次会员应缴纳的保证金和清算基金, 并规定会员应于美国东部时间上午 10:00 之前缴纳到位为进一步提供其市场风险管理能力,DTCC 正在发展日间实时结算保证金和清算基金的能力, 实施后将可以日间必要时向会员及时追缴保证金 ERM 每日对清算基金的充足性进行压力测试与回溯测试, 按月对测试结果进行检查, 分析异常状况并制定对策压力测试及回溯测试主要方法是 : 通过使用历史情景 ( 如美国 1987 年的股票市场波动情况 ) 和设定极端但合理的情景 ( what-if scenario) 模拟风险事件, 测试现有清算基金资源是否可以覆盖压力情景下的风险敞口 ; 对会员结算头寸进行回溯测试, 比较会员的清算基金与会员结算头寸 ( 过去 3 天的 ) 的价值变化, 以测试会员清算基金要求的充足性同时,ERM 还会对清算基金合格抵押品证券的折扣率进行压力测试与回溯测试, 确保折扣率充足 DTCC 各分支机构建立了标准化的违约处置流程, 明确了违约处置过程中各方 (BRC MRC ERM 分支机构和顾问等) 的角色和责任 DTCC 违约处置流程主要分工是 : 董事会风险委员会 (BRC) 根据分支机构的业务规则判定会员违约情况, 决定是否暂停或停止向违约会员提供清算服务, 并书面通知该会员 ; 分支机构根据其规则和违约处置流程聘请投资顾问或经纪人协助对

22 流动性风险运作风险损失瀑布流逐日流动性需求计算及监测多渠道的流动性资源安排运作风险状况评估违约会员发起平仓流程 (Closeout Process) 或对冲交易, 并持续跟进头寸变现情况, 以及时替换流动性支持资源并弥补违约损失 DTCC 清算基金计算方法是基于 99% 置信度 ( 或更高 ) 覆盖会员市场风险的, 并未覆盖尾部风险 3, 因此会员违约时可能产生其缴纳的担保品不足以覆盖平仓风险损失的情况, 需要进一步按照事先制定的损失瀑布流 (Loss Waterfall) 分配相关损失 DTCC 的损失瀑布流大致顺序是 : 首先是违约会员缴纳的保证金和清算基金, 以及该会员可动用的一切资源 ( 主要包括其他清算机构的交叉保证金 ); 其次是 DTCC 自身的部分留存收益 ; 最后是其他补充资源, 主要是非违约会员缴纳的清算基金分支机构的结算部门负责协助 ERM 每日监测会员层面和整体市场的流动性需求, 并向结算义务较大的会员确认其流动性资源是否充足 ERM 负责每日模拟计算流动性需求量, 运行流动性压力测试, 以检测各分支机构的流动性资源是否足以覆盖结算义务最大的一家会员违约时的流动性垫付需求 4, 并监测各分支机构面临的流动性风险敞口 ERM 流动性压力测试的假设和条件主要包括 : 会员整体突发性违约, 且当日交易量处于历史高位 ; 市场波动较低 ( 即清算基金水平较为稳定 ); 最大的流动性提供者无法提供支持等同时, 还包括违约会员头寸价格剧烈波动 ; 多个参与人违约和证券流动性急剧下降等极端条件 DTCC 还会定期聘请业内第三方专家对压力测试假设和条件进行审核, 确保流动性压力测试的合理性和有效性 DTCC 各分支机构通过多个渠道获取合格的流动性资源, 主要包括 :(1) 清算基金中的现金部分 ;(2) 针对流动性风险会员额外缴纳的补充流动性存款 ;( 3) 经过 ERM 与 DTCC 财务部门认定的合格商业银行等流动性提供机构提供的授信额度 5 此外, 经清算机构流动性顾问会员会充分讨论并评估, 各分支机构根据证券品种不同还可采取其他方式进行融资, 如 FICC 可通过对清算基金合格抵押证券违约会员持有的债券头寸进行回购交易资获取流动性 DTCC 各分支机构为违约会员进行流动性垫付后, 通过变现违约会员的抵押品和结算头寸替换收回已垫付的流动性资源, 如无法完全替换所垫付的流动性资源, 则根据 DTCC 的损失瀑布流进入违约损失分配阶段目前,DTCC 各分支机构的流动性资源是相互独立的, 不能共享使用, 但各分支机构流动性风险由集团业务风险管理部 (ERM) 统一集中负责管理 ORM 通过收集和跟踪内外部事件数据, 定期深入分析一线业务部门的职能执行情况, 检查有可能新增运作风险的业务流程, 确定是否需要新增运作风险控制流程或改变风险控制目标等 ORM 每月编制运作风险报告, 详细报告每个业务运作部门的运作风险细节状况, 相对于前一个月和前一年的风险变化情况, 以及需要重点关注的运作风险点 3 ERM 已开发担保金 (Guaranty fund) 模型对尾部风险进行管理, 目前正在备案和征求意见过程中 4 DTCC 的结算周期为 T+3, 因此分支机构的流动性需求为代替会员履行违约之日起 3 天内结算义务的资金额总和 5 截至 2014 年 6 月 30 日,DTCC 各分支机构获得商业银行的授信额度分别是 :NSCC 为亿美元 DTC 为 19 亿美元,FICC 暂时没有商业银行授信安排, 主要通过清算基金供款回购市场获得流动性支持

23 系统性风险创新业务风险法律与合规风险反向压力测试运作可靠性管理系统处理能力计划管理业务连续性计划制定专项计划创新业务审核流程定期评估执业道德监控为提升运作风险管理的有效性,ORM 开发了反向压力测试工具作为前瞻性的运作风险管理工具该工具可识别并推测出可能对 DTCC 业务运作产生重大影响和威胁的情景 DTCC 主要从加强检测和质量管理两方面保障运作可靠性在监测方面,ORM 通过一系列工具对运作稳定性进行监控, 主要有 : 年度风险评估报告风险控制自评估报告风险事件报告, 以及对项目开发系统可获得性和数据报告方面的监控在质量控制方面,ORM 引入多种质量管理工具改进业务流程控制和新业务开发控制, 主要包括 :6 希格玛 6 Kaizen 能力成熟度模型整合信息技术基础构架库 (ITIL) 等同时,ORM 还使用业务打分卡和标准化的内部服务协议 (internal Service Level Agreement ) 7 对技术系统的性能进行评估 DTCC 建立了专门的团队 (the Capacity and Performance group) 负责对系统处理能力和利用率进行预测和监控, 并分别按日按周按月生成系统处理能力监控报告提交给 IT 部门审核 DTCC 还建立了完善的系统压力测试制度, 通过定期的系统压力测试确保系统处理能力在任何时候都至少达到历史峰值的两倍, 此外, 所有的新开发系统在投入实际生产前都必须经过充分的压力测试业务连续性管理部 (BCM) 通过业务影响分析 (Business Impact Analysis) 对业务单元的重要性优先级独立性进行分析, 并确定特定业务单元的连续性需求 8, 从而为其制定业务连续性计划, 确保各业务单元有效运转同时,DTCC 还在不同区域建立多个灾备数据中心, 并采用纽交所网络等非公用网络进行数据传输, 确保数据服务安全连续地运作为准确识别系统性风险点并实施有效管理,SRO 每年向 DTCC 会员发起市场调查, 分析并确认系统风险点, 并由系统性风险顾问委员会对系统性风险的策略进行检查, 同时提供减轻或降低系统性风险的意见目前所关注的系统性风险点主要有政策冲击重要市场参与者破产网络安全重大业务连续性事件突发性股票或债券市场混乱美国经济衰退部分或全部欧元区解体重大合规或监管事件金融主体高速连接和高频交易等 NIO 负责组织和发起审核流程, 评估创新业务的复杂度风险状况和对内外部金融系统的影响等信息, 并通过重要性驱动力和风险评价三个指标反映出来, 这些指标决定了创新业务推进和管理的级别需要重点指出的是, 创新业务风险的评估贯穿项目的各个阶段 ( 初始识别项目实施和后续运行 ), 并根据项目类别上报相应的董事会委员会审查 OCRC 协同总法律顾问办公室定期评估 DTCC 的运作服务产品及由会员产生的法律和合规风险评估结果由首席合规官报告执行主席和审计委员会, 以驱动相关政策与程序监测报告和合规检查制度的建立与改进同时,OCRC 通过执业道德监控和一系列技术系统如雇员投资监控系统 ( 监测并预防内幕交易 ) 保证 DTCC 的雇员能够在业务与关系的处理中保持诚信与廉洁 6 6 希格玛是一种改善企业质量流程的管理方法, 该方法是一种统计评估法, 是 % 无缺陷的 7 该协议是系统提供者和用户部门之间的协议, 明确了技术系统应该实现的关键功能目标以及度量其性能的方式 8 BCM 并将业务单元的连续性需求分为 6 档 ( 从 0 至 5, 连续性需求逐次递减, 即不允许中断可中断 2 小时 4 小时 1 天 3 天 5 天 )

24 附表 7: DTCC 风险管理规章制度与规则风险管理框架相关政策 ( 对内 ) 全面风险框架政策 Corporate Risk Framework Policy 特定风险管理政策及流程 ( 对内 ) 业务风险管理政策 enterprise risk management policies 运作风险管理政策 The Operational Risk Management Policy 系统性风险管理政策 Systemic Risk Office management policies 创新业务审核政策 New Initiative Approval Policy 董事会员工执业道德 Board Code of Ethics/Employee Code of Ethics 董事会各委员会章程 Board Committee Charter 模型风险管理政策 Model Risk Management Policy 模型验证管理政策 Model Validation Management Policy 投资政策 Investment Policy 信息安全政策 Information Security Policy 业务连续性政策 Global Business Continuity Management Policy 压力测试政策及流程 written policies and procedures(describe stress test metrics) 会员违约处理流程 default procedures(including the closeout of positions of an insolvent Member). 会员损失分配流程 membership loss allocation procedures 相关业务规则 ( 对外 ) 会员准入标准 Rule 2A Initial Membership Requirements 会员持续性监管要求 Rule 2B Ongoing Membership Requirements and Monitoring 清算基金相关规则及流程 Rule 4. Clearing Fund Procedure XV of NSCC s Rules Clearing Fund Formula and Other Matters) 会员违约判定 Rule 20. Insolvency 会员限制服务 Rule 46. Restriction on access to service 留存收益应用政策 ( 应对会员损 Statement of Policy Application of Retained 失 ) Earnings-Member Impairments

25 附表 8: 风险状况报告汇报方频率内容审核方 ERM 不定期分支机构的会员申请 MRC BRC ERM 月 / 季 / 年分支机构会员信用质量恶化的情况 MRC BRC ERM 月 / 季信用市场及流动性风险的压力测试和回溯测试的假设和结果 MRC BRC ERM 月清算基金相关模型或折扣率的压力测试和回溯测试的结果 MRC BRC ERM 不定期违约会员的情况, 供其决定处置方式 MRC BRC ERM 分支机构潜在流动性提供者的信用状况额外年财务部门融资方式的审核结果 MRC BRC ORM 月各类业务的运作风险状况 ( 包括运作风险反向压力测试 ) MRC BRC BCM 年业务连续性计划 MRC BRC TRM 季信息技术系统安全项目的有效性 MRC BRC NIO 月报告创新业务的风险审核结果 MRC 董事会相关委员会 SRO 年系统性风险状况 MRC BRC OCRC 定期 ( 不详 ) IAD 月 / 季内部审计结果法律和合规风险评估执业道德项目的相关结果首席合规官董事会审计委员会总审计师董事会审计委员会

重要提示

重要提示财富管理中心战略委员会审计委员会监事会办公室问责委员会战略发展部绍兴分行金华分行开发区支行高新支行秀洲支行湖州分行监督委员会经营管理委员会金融市场部小微业务部个人业务部梅湾支行提名委员会资产负债管理委员会公司业务部办公室秀水支行贷款评审委员会计划财务部人力资源部电子银行部国际业务部授信评审部总行营业部南湖支行海宁支行风险管理与关联交易控制委员会提名与薪酬委员会