原因、事件和影響：領結模型的使用

一般來說，建立操作風險分類法的目的是對事件進行分類。這一點值得更加詳細地討論，原因、事件和影響這三者的關系構成了操作風險管理的永恒挑戰。

? 原因導致了事件。

? 事件是一件具體發生的事情或出錯的事情。

? 影響是一個事件的后果。

如圖1-4所示，員工疲勞可能是交易錯誤或未能完成付款（事件）的原因，進而導致財務損失、客戶侵害和其他后果（影響）。

這個眾所周知的模型，因與領結相似而得名，它有助于區分原因、事件和影響，從而形成只包含事件（排除原因和影響）的更清晰的風險分類。領結模型將在本書的后續章節中進一步提及。在前面的例子中，事件屬于交易處理和執行的范疇，而員工疲勞是原因，不屬于事件分類的范疇。

盡管如此，但我們必須承認，在操作風險管理中，由于學科的廣泛性和各種元素的相互聯系，存在著無窮無盡的原因—事件—影響鏈條。一個事件可能成為另一個事件的原因，例如，溝通失誤（原因）可能導致錯誤交易（事件）；反過來，錯誤交易（原因）可能摧毀系統，導致系統故障（事件）。

實用小貼士：扎領結

為了厘清原因—事件—影響鏈條，操作風險從業者可以采用“扎領結”的方法，即先確定原因，進而區分事件；或者，操作風險從業者也可以選擇“固定”影響（例如，找到對終端客戶的影響），然后倒推至事件。后一種方法更容易，也更容易被業務單元和支持部門所理解。

這里解釋一下排他性，它是在設計分類法時一個有用的設計概念。分類法要提供明確的分類指導，防止出現交叉重疊，即一個風險或事件被放入兩個或更多的類別。例如，第三方（也稱為外包）類別可能被設計為收集由服務提供商引起的所有事件。在這種情況下，處理數據丟失、失竊或意外泄露等信息安全風險類別應明確表示排除第三方服務提供商引起的數據相關事件。分類法要指出外包和信息安全各自的覆蓋范圍。

總而言之，在設計分類法時，要采用一種切合實際的方法，并且盡可能地設置“清晰統一”的事件類型，這些類型應當是：

? 詳盡的，包括全部風險。

? 相互排斥，沒有交叉。

? 能夠與終端用戶產生共鳴。

? 對風險管理的幫助最大。

重要的是，要對收集的數據不斷地進行分析，在必要時對其進行重新分類，但要清楚，在這個領域要達到完美是不可能的。此外，還要和《巴塞爾協議》的初始分類保持對應關系，以便進行行業基準分析。

備受爭議的分類類別

在分類法中，有一些類別存在著激烈的爭論，值得關注，如下所述。

員工

第一個是員工類別，《巴塞爾協議》分類法和ORX分類法都只統計已經發生的事件，如勞動訴訟（事件）等。然而，公司常常希望識別和監測到與員工過度勞累或不具備適當技能有關的風險。如果在公司敦促下，業務單元記錄了來自員工工作能力方面的風險，那么公司在收到這些信號后，就有機會在問題變得嚴重之前主動采取行動。在這種情況下，從入職到離職的整個員工生命周期（包括健康狀況）就都包括在風險事件分類中，就能捕捉到與員工相關的全部風險。

變革

另一個需要探討的話題就是變革，它經常引起爭論。變革管理不足通常是發生風險事件的原因，如向監管部門錯報或者漏報信息。由于變革是原因不是事件，所以它在原來的《巴塞爾協議》或ORX基于事件類型的分類法中沒有位置。然而，由于各類公司內關于變革的議案越來越多，現在變革本身往往也被納入分類系統，以促使員工思考公司變革的規模，及時應對變革帶來的各種壓力，以防止問題出現。

行為

雖然行為風險有時被單獨提出（包括ORX），但最好將其作為一個概括性的術語來識別可能對客戶造成不利后果的眾多風險（進一步的定義見第12章）。可以說，許多存在于員工、金融犯罪、信息安全等類別中的風險都可能對公司行為產生影響，甚至是存在于技術類別中的風險。例如，對信息系統投資不足導致技術故障也是一個行為問題，因為它反映了公司對客戶缺乏關懷：客戶沒有被作為戰略決策和預算分配的核心，并予以優先考慮。由此可見，行為視角可以應用于幾乎任何風險或事件，以反映具有特定（客戶或市場）后果的事件。因此，我們可以通過合并一個或多個分類法的類別來報告行為風險。

運營韌性

根據《巴塞爾協議》的說法，運營韌性是“受益于有效操作風險管理的結果”。[9]與行為類似，最好不要將其單獨歸類，因為它可能與其他風險類型重復（詳見第14章）。

2020年，我牽頭對金融服務行業的操作風險分類進行了比較分析。表1-5給出了來自6家公司的例子，為了保密，這些例子被匿名化處理并稍加修改。該研究結果符合預期，公司之間的差異很大，這證明分類問題沒有“正確”的答案。各公司都在積極調整術語來滿足它們的需要——拆分或合并類別，并引入自己的術語。雖然有一些共同的類別，如欺詐和信息技術，但也有各自獨特的風險類別，例如透明度風險或客戶和員工的溝通管理。