当前全球风险管理面临严峻挑战，风险的出现范围正在扩大。本文指出，风险管理要通过建立弹性应对风险挑战，具体要建立弹性的原则，包括业务服务相对于系统和流程的连续性、设定影响容忍度以及业务运营中断时的应对管理等。未来需要认真思考并努力解决组织内部的金融弹性。
GARP的三大支柱项目
全球风险管理专业人员协会（GARP）是一个实践驱动的组织，着重从实践者的角度应对金融风险管理，而不是从宏观经济角度。GARP有三种不同的支柱项目，以保证能够从实践者驱动的角度来实现实践者驱动的交互行为。
一是金融风险管理（FRM）项目。作为一个认证项目，FRM是目前全球唯一一个金融风险管理认证项目。该项目始于1997年。
二是GARP全球基准倡议（GBI）。同样，这是与实践驱动的角度来确定问题的方式是相关的，同时它为金融服务行业提供了其当前正在处理的各种问题的分析概览视角。主要是收集银行数据，基于国际视角进行研究。解决了现在正在发生的全球互联性，并且这项倡议在全球金融市场中正处在上升的趋势。
三是GARP风险研究所（GRI）。代表了GARP领导力的重新崛起，GARP风险研究所致力于探索新的风险管理和知情风险管理的相关问题。例如，GARP目前正在研究压力测试，并在全球范围内研究如何将压力测试合理化，涉及气候风险、非金融风险、网络、技术等方面。
风险管理面临严峻挑战
当前，随着国际形势的不断变化，风险管理也面临着诸多挑战。这些挑战来自不同的层面，在某种程度上对风险管理的发展提出了更为严峻的考验。
一是金融危机的影响。自2008年美国次贷危机以来，金融危机层面所带来的问题，其影响的范围和形式一直在不断地扩大。从机构内部的监督来看，从信贷市场流动性风险，到非金融风险管理的运营风险——包括许多领域的技术、信息甚至物理安全风险，用于这些非金融风险的资源和投入量，正在呈指数级增长。
在最近笔者与各国很多银行的首席风险官进行的一系列讨论中，发现他们大都用了80%以上的精力来处理非金融风险，而并不是普通的信贷市场风险或资金管理。例如，中国一直把金融风险管控作为首要任务。有报告显示，中国的4000家银行中有1/10被评定为不合格级别，这些银行主要是农村银行。但这明确地说明了，问题绝不仅仅是金融问题，如果想要拥有一个有弹性的金融系统，那么肯定有其他的“弹性运营”因素需要考虑。
二是监管回应政治化。监管机构变相地助推了风险管理挑战的上升。例如，地缘政治风险伴随着民族主义一起显现，这导致监管机构在其方法中变得更加政治化，从而使得全球监管机构无法就某些全球倡议达成共识。
三是网络和通信快速发展。对于风险管理从业人员来说，这是个不断上升的挑战。就处理可能发生的危机而言，瞬时通信和市场之间的即时分享正处于一个非常显著的地位。越来越多的关注集中于数据隐私——至少在欧盟是这样的，但是数据整体还有对于数据的保护以及数据的验证和使用也在获得更多的关注。
四是新兴技术和可能具有颠覆性的技术层出不穷。新晋金融科技公司的激烈竞争在不断地推动着技术变革和创新。目前，金融技术更多的是关于客户体验层面的。例如，人工智能的使用、机器人顾问等，但这可能会对银行业的生存情况产生影响。
五是全球市场的相互联系日益紧密。这些非传统的威胁正在加剧，例如互联网的诸多问题。这说明，我们需要加强行业参与者与监管机构之间的数据共享合作，有必要将那些正在世界各地进行的其他研究中大量的压力测试合理化。
未来的风险管理展望
风险管理职能扩大
由于金融业的快速转型，银行家的角色正在发生变化。因此，需要注意的是，风险的出现范围正在扩大。首席风险管理执行官（CRO）不再只是关注信贷和市场风险，而是已经将注意力延伸到了非金融风险领域。
需要更加关注技术、网络弹性、供应商风险、通信、战略风险，并且制定具体情况的应对措施等。由于全球互联性增强以及数据采集和数据验证等领域的发展，现在需要考虑并更多地关注地缘政治系统风险，以及其对公司的影响。
每个人都要分担组织的整体风险，而不仅仅是CRO一个人承担。但CRO是无可争议的领导者，也是目前风险管理最重要的防线之一。考虑到风险存在的互联性，企业要关注的不仅仅是自身所在的公司，更多的是需要关注系统性风险，做出有效的应对，从而制定出有利于所有人境况的决策，比如，如何让自己的决定能够产生系统性影响，这就要求企业进行更广泛的思考。
公司以外风险的考虑
企业现在需要知道该如何与全球市场互动。这对管理者中的许多人而言，是一种全新的体验，他们需要对问题有更广泛的了解。另外，银行和监管机构在提升财政和金融稳定方面是有着共同利益的。因此，银行和监管机构双方都需要以建设性的方式共同努力。
大数据分析、人工智能和机器学习是主要问题
大型数据集的使用已经开始涉及市场需要如何反应，以及如何应对当前情况这一层面；同时，机构如何利用大数据，或需要对建模过程和程序进行什么样的重大调整，也已经有所涉及。
例如，模型验证维护功能是越来越受到关注的领域，需要确保在适当的管理环境中对其进行适当的控制，而监管机构则需要能够跟上这些变化。这将是他们面临的一个重大挑战。
加强业务服务运营的弹性
如今，建立弹性业务服务运营的需求，逐渐成为全球监管机构的一个主要关注点，需要围绕公司弹性运营的运作方式考虑如何制定共同的标准。这不仅有助于确保内部连续性程序不受公司定位和结构方式的不利影响，而且也能满足对弹性运营的最低标准达成共识的需求。这样是有利于竞争的，特别是在市场中的每个新入口站稳脚跟的时候，可以帮助确保以类似方式运营的行业各方形成行业弹性的核心。
建立运营弹性面临多方面挑战
目前，构建运营弹性面临着很大挑战，不可忽视的是，运营弹性在组织中与金融弹性同等重要。公司生产的产品和服务的运营中断，有可能对消费者和市场参与者造成损害，威胁公司的生存能力，甚至导致金融体系的不稳定。
一是技术创新。这场技术革新中存在着各种挑战：金融科技、人工智能、分布式账本技术、加密资产等，这些问题出现了很长时间，但是，现在第一次面临需要解决的迫切要求。同时，尽职调查工作以及对尽职调查的预期也是一个需要关注的问题。
二是行为改变。当前一个非常重要的问题在于，企业的职责范围如何划定。行为则是不断变化的，在很多情况下，客户的实际行为会随着具体的情况发生变化。
三是信息获取。行业对手会受获取最新信息能力的影响。要着重关注移动技术和更快的交易速度。在这个充满挑战的环境中，要集中力量解决信息不对称、技能差距以及由于快速的技术迭代而导致的系统过时问题。例如，互联网问题的发生率似乎正处于上升阶段，其所带来的压力真实存在且难以管理。单纯紧跟挑战的步伐，是无法实现跨越式发展的。
四是系统的复杂性不断增大。主要包括第三方的扩张与集中风险，需要对其进行识别和确定。换句话说，要明确交易双方的角色以及第三方的最终目的。
明确跨境业务的依赖性和其适用的法规，是需要管理者进行把握的。跨境业务的实行方式也需要明确——不仅是在业务的常规发展阶段，在业务出现中断的阶段也同样重要。在进行应对措施管理时，需要考虑的不仅仅是在业务的常规发展阶段中的处理方式，同时也要考虑到在业务中断时的应对办法。这些程序虽然复杂且通常很有挑战性，却是必须要做的事情。因此需要对以上问题进行通盘思考，并最终就如何应对给出正式的解决方案。
弹性运营三个原则
业务服务相对于系统和流程的连续性
企业在考虑如何解决弹性运营问题时，都会率先将各自的系统和流程考虑在内。例如，一些企业会因为系统太老旧而需要升级信息技术（IT）系统，而另外一些企业则会要求在预算内研究升级一个最不容易出现故障的系统，或者一个对金融溃败的预期原因能进行最合理分析的系统。
但如果从确保业务服务的连续性方面考虑，决策流程和费用支出可能会有所不同，或者对它们的关注角度会有所变化，这将使整个弹性运营过程得到改善。例如，出于确保业务服务的连续性方面考虑，更换掉当前老旧的IT系统可能并不十分必要，反而更需要加强流程的改进。因此，这就出现了一个不同的关注点。
另一种确保弹性运营的方法是，在处理中断时要关注应急计划以及响应时间。应对中断的手段包括成本预计和成本回收选择。这会提升决策过程的透明度，使得管理者的应对手段更加明确。业务服务需要注意八个方面的问题：
一是对可能发生的中断有充足的准备。风险是无法完全避免的，甚至只有在出现了问题之后，管理者才能意识到风险的出现。另外，管理者也需要针对企业最重要的业务服务来进行相关设计。
二是了解最重要的商业服务或其他服务。一部分企业并没有明确自身最重要的业务服务，因而需要企业采集来自内部各方的信息，而不仅仅是来自于客户的信息，比如保留机密信息、确保客户可以按意愿获取资金，以及如何将其转化为弹性运营。
三是描绘支持服务的系统和流程。企业需要最大限度地提升支持服务的系统和流程的性能。例如，当企业销售某样东西的时候，会考虑申请流程、审批流程、法规流程和付款流程，但是更重要的是，管理者需要规划相关流程之间的关系，清楚各个流程之间如何联系并发挥作用，并根据所有可用的外部数据，即来自外部合作方的信息，来支撑管理者对市场和客户的判断，以确保能够精准地向客户提供服务。
四是关注单个系统或流程的故障的影响。大多数情况下，一旦合理地规划了整个流程，排除故障的影响，问题就变得很直观了。但关键在于如何定义故障，不同的容差水平、不同的恢复时间，以及其他不同的因素，会有产生不同的结果。
五是考虑出现故障时的可替代性。大部分管理者在遇到系统故障时无法提出替代方案，甚至都没有思考过这个问题。重点需要关注的问题是，如果企业系统出现了故障如何补救；如果使用的是第三方系统，当系统的主要供应商环节出现了故障，是否还能够有补救措施，保证正常获得服务。
六是制订测试中断出现后继续或恢复业务的方案。管理者需要测试备选计划方案，确保在中断后能够及时恢复业务。对于这个情况，情景分析和测试显得尤其重要。
七是明确内部沟通、升级路径和确定决策者。管理者不能坐等事情的发生，而是需要事先确定好当问题发生时需要通知的成员，以及需要被纳入决策过程当中的成员。此外，还要明确何时何地将中断事件向上汇报到更高层级。
八是保持外部沟通。商业声誉对每个人都很重要。保持与客户的沟通，以及与帮助企业维护公司声誉并使市场在中断出现时仍对持续运营保有信心的相关监管机构的沟通，都是很有必要的。
设定影响容忍度
要量化中断的容差指标，思考中断何时出现是可以容忍的。目标指标很重要，应通过引用由指标表述的具体结果对目标指标进行表达，比如可能暴露的客户数据或内部数据，以及可能受特定中断影响的客户数量。这是“影响容差”的设定。
首先，通过引用特定结果和指标进行定义。设定影响容差可以通过参考具体的结果和指标来进行。
其次，定义公司在业务中断发生时应该采取的行动。对于规划公司应对中断的方案，指的不是专注于减少中断出现的可能性，而是在中断发生时管理者需要采取何种措施，以及如何在中断出现时尽量减少其所带来的影响，同时还要尽可能地确保其他服务的及时供应。
再次，定义能被接受和不能被接受的实例。在已定义的容差级别内，界定满足容差的可接受和不可接受的情形，这是有效的情景规划。设定现实可能的情景，需要参照公司已有的商业实例。如果确实存在这样的情形，管理者可以向监管机构寻求指导。综合考虑各方因素，明确哪种类型的中断是在可承受的影响容差范围内的，这样就会明确为了支持特定的业务服务，哪些系统和流程的方面需要改进。
最后，制定严格但合理的情境。管理者需要考虑极端但现实可能的情形，要考虑到公司的商业利益，以及可能受损的客户、公司的监管指导等。另外，如何保证这些方面的问题与现有风险应对方案相匹配。
业务运营中断时的应对管理
设法应对中断，是另一个需要关注的领域。速度有效性、监控和测试，所有这些问题都必须根据管理者所须承担的公司风险和具体细节的确定来制订解决方案、设置容差指标，以及所有其他重要注意事项。
从弹性运营方面来看，管理中断的响应方式分为两个层次：一是董事会要求；二是管理层要求。
从董事会层面来看，董事会需要确保管理层能够采用有适当野心而又切合实际的战略来应对弹性运营。这个层面更关注响应与恢复，因为董事会更关注预防。这是推动变革与控制和管理运营风险的需求之间的微妙平衡。管理者不仅需要考虑内部问题，还需要考虑金融系统的持续建设，这是因为目前全球主要金融公司之间的相互联系正在日益增加。董事会需要了解中断所产生的系统性影响，并需要根据不同人的考量，做出董事会层面的政策决定。
从管理层的层面来看，需要考虑更多问题。一是招聘和培训合适的人才。对于许多组织来说，招聘和培训合适的人才，是头等大事也是头等难事。在全球紧缩的劳动力市场大环境下，这正成为一项巨大的挑战。培训通常不是公司的头等大事，但为了跟上技术和其他方面的快速变化，企业有必要提升培训的优先级。二是培养责任重大的高级管理运营和技术管理岗位。这些岗位设置需要切实落实到位，清晰明确提升业务弹性的责任人。三是建立风险管理职能，制定基于优先事项和具体活动、内部报告和围绕运营弹性升级的控制框架。四是制订业务连续性和应急计划，这是流程中必要的一部分。五是确保外包业务的关键服务供应商。企业应该详细规划第三方供应商的相关事宜，充分了解所依赖的供应商，清楚当问题出现时的应对方案。六是沟通计划。沟通没有独立的，都是内外部结合的。即使在形势乐观的时候，也要对沟通计划进行测试。而且，沟通计划需要提前制订清楚，根据不同的中断情况，计划会有所不同。
第三方和第四方风险逐渐成为优先事项
第三方和第四方的风险在某种程度上与弹性运营有关。第三方和第四方风险正在逐渐成为全球监管机构的主要优先事项。
GARP目前正与英格兰银行密切合作开展一项研究，该研究将是全球关于第三方和第四方风险的第一项研究。GARP参与的是称之为“宏观审慎领域规划”的实践。这项工作涉及针对那些为了加强各种经济功能的运营操作的收集、管理、诊断和可视化工作，但主要是从宏观审慎角度出发的。
这些数据将会被开放给全球各地的企业，可以在涉及第三方和第四方风险的活动中，例如评估潜在合伙人的信用度等信息，并利用这些数据来辅助决策制定。
这是涉及这方面的全球首例研究。许多金融机构已经把第三方风险也列入风险管理的范畴，这在全球范围内呈现明显的增加趋势。甚至有些金融机构已经在考虑构建新的风险模型。但要构建风险模型，就需要大量的数据。GARP现在所参与的活动，就是建立一个系统的方法来提供相关数据并进行分析总结。
目前，这项研究的相关工作仅局限于英国，但是一旦确定了流程和程序，GARP的工作就会迅速扩展到全球范围。目前的设想是定期更新数据，公开提供研究结果的统计数据和可视化报告，但其目标是与宏观金融和个人金融机构都相关。其主要目标，一是要了解金融系统中的哪些部分最容易受到运营中断的影响，比如，支付系统、技术交付等；二是哪些金融企业对金融系统的弹性运营最为关键，比如监管方、大型银行、金融信息等。
最后，要充分理解金融体系以外的哪类企业对金融业的弹性运营至关重要。例如，云技术，现在大家都在往云端迁移；电力方面，例如电力公司，可以通过为客户提供服务，从而实现为企业提供服务。这类问题和这类企业，是我们需要关注的，GARP将把它们彼此的关系进行映射。这个映射出来的网络里面的各个节点是非常关键的。那么这些节点是如何向周围分支的，它们之间又是如何相互关联的？这是我们金融监管界、监管机构以及中央银行正在关注的下一个领域。
我们需要认真思考并努力解决组织内部的金融弹性，这个问题对于应对当今的金融市场是很有必要的。金融弹性很重要，在某种程度上这个议题将是金融风险管理的下一个战场。
［理查德·阿波斯多利克（Richard Apostolik）为全球风险管理专业人士协会总裁兼首席执行官。本文根据作者2018年11月17日在清华大学五道口金融学院与中国财富管理50人论坛联合主办的“中国金融风险管理2018年会”上的演讲整理而成。本文编辑/杨慕铭］
