孙子兵法虚实篇：“凡先处战地而待敌者佚，后处战地而趋战者劳。”
早于其他竞争者强化其风险管理能力，是商业银行建立并保持核心竞争优势的关键战略重点。商业银行健全其内部风险管理体系是一项长期而艰巨的任务，当前国有商业银行股份制改造则进一步增加了这项任务的紧迫性。从外银行业的实践历程来看，要在这么短的时间内实现银监会提出的总体目标，需要在大力推进其公司治理结构的同时，从努力实现商业银行风险管理的目标、内容、技术、组织和机制等多个层面的调整转变入手，加快健全商业银行风险管理体系和强化商业银行风险管理能力的进程。
商业银行风险管理目标——由“管住风险”向“为股东创造价值”过渡
没有预定的目标，谈管理就没有任何意义。在COSO的全面风险管理（EnterpriseRiskManagement，简称ERM）框架中，把风险定义为“对企业的目标产生负面影响的事件发生的可能性”（将产生正面影响的事件视为机会），全面风险管理必须为实现企业的核心目标服务（包括战略目标、经营目标、报告目标和合规目标）。股份制试点银行的风险管理目标必须与股份制的核心目标保持一致，也就是必须与其股东价值取向保持一致，风险管理要服务于银行价值最大化的核心目标，以确保股东权益的长期提高。价值最大化是商业银行长期的经营目标，最能体现价值创造能力的核心指标就是经济增加值（EVA），它是指税后净利润扣除资本成本后的经济利润，是经风险因素调整后，超出股东最低资本回报要求的收益。银监会《关于银行、建设银行公司治理与监管指引》（以下简称《指引》）中规定的对两家股份制试点银行的考核指标：总资产净回报率、股本净回报率、成本收入比、不良资产比率、资本充足率、大额风险集中度和不良贷款拨备覆盖率，这些指标都与EVA直接相关，取决于试点银行的全面风险管理能力。而就目前试点银行的实际情况来看，与《指引》提出的目标还存在较大差距。试点银行要实现银行价值最大化的目标，风险控制就不仅仅是风险管理部门的事，也不仅仅是通过控制不良资产来减少损失，而是要通过建立全面风险管理体系，确保在有效控制风险的前提下，保持银行的客户、产品等各渠道源源不断地创造出更多的EVA，为股东持续创造丰厚的业务回报。
而当前在一些银行人员的理念和行为中却还没有体现出这种转变，往往将风险管理与业务发展看成是一对相互对立的矛盾，从而认为风险管理必然阻碍业务发展，业务发展必然排斥风险管理，局部利益至上的本位主义导致银行风险管理偏好和业务发展政策的过度波动。在这一理念影响下，商业银行风险管理(风控网)与业务发展被割裂开来，形成“两张皮”，不能妥善处理好风险控制与业务发展的平衡，甚至有基层行、信贷部时常出现“遇到红灯绕着走”的现象，譬如“公司贷款”审批权上收了就转放“个人贷款”，“个人贷款”被否决了就以“公司贷款”替换。因此，试点银行必须通过培育先进的风险管理文化，尽快实现风险管理目标由“管住风险”向“为股东创造价值”过渡，并要使风险管理体系的精神层面与政策、制度、机制和技术层面有机衔接，把商业银行风险管理责任渗透到每个部门、每个岗位和每个工作环节，并内化为员工的职业态度和工作习惯，植根于整个银行的运作行为之中，力求最大限度地发挥各级员工在风险管理方面的主动性、积极性和创造性，形成提升风险管理能力的长效机制，促进系统性的风险管理对实现银行价值最大化目标的文化和战略驱动作用。
商业银行风险管理内容——由单一风险管理向全面风险管理过渡
对于商业银行来说风险无处不在，商业银行的每项业务都具有相应的风险，银行业务活动的任何变化，无论是推出新的业务还是现有业务的改良，都会引起相关业务流程的变化，资产负债表的结构变动也会直接对银行风险管理策略和程序产生影响，这就构成了潜在风险。一个银行内部不同部门或不同业务的风险，有的相互叠加放大，有的相互抵消减少。因此，银行不能仅仅从某项业务、某个部门的角度考虑风险，必须根据风险组合的观点，从贯穿整个银行的角度看风险。而单一的风险管理模式解决不了整体风险控制问题。风险有多少层面，商业银行风险管理就应该有多少层面。根据COSO的ERM框架，“全面风险管理是一个过程。这个过程受董事会、管理层和其他人员的影响。这个过程从企业战略制定一直贯穿到企业的各项活动中，用于识别那些可能影响企业的潜在事件并管理风险，使之在企业的风险偏好之内，从而合理确保企业取得既定的目标。”全面风险管理要素有8个，即内部环境、目标设定、事件识别、风险评估、风险对策、控制活动、信息和交流、监控。因此，全面风险管理涵盖了内部控制。全面风险管理体系的任务可以归纳为两个“确保”，即银行首先应确保商业银行风险管理能够覆盖所有业务和所有环节中的一切风险，即所有风险都有专门的、对应的岗位来负责；其次，还应确保风险管理能够识别银行面临的一切风险。
正如爱因斯坦所说“做任何事应尽可能地简单，但不能简单化”，风险管理也是如此，可以程序化但不能简单化。《巴塞尔新资本协议》明确指出“对于新产品、新业务，银行应确保这些产品、业务在引进来之前就为其制定出适当的风险管理程序和控制方法”，也就是人们常说的“风险管理先行”，而这正是银行业的薄弱之处，一些银行在快速发展的过程中常会由于风险管理系统不能与业务发展同步，导致银行吸收一些不合理的额外风险，甚至经常是出了风险才去制订相应的风险管理程序。近年来因银行票据业务、汽车消费贷款飞速发展，新出现的预计损失过度增长就是明显的例证，最新的例子是随2003年底贷记卡的超速扩张而伴生的2004年初不良贷款上升，这说明全面风险管理的两个“确保”还很不牢靠，经常是“头痛医头、脚痛医脚”。
商业银行风险管理技术——由浅度度量向模型深度度量方式过渡
长期以来，银行业奉行的信贷管理惯例是通过完善贷款保证措施、贷款限额、信用额度、信用等级等信贷业务操作程序，加强对贷款发放环节的风险控制和降低信贷业务的风险损失，体现为银行对信贷资产的“发放—持有”策略。国际银行业风险管理技术的演变路径从“我们只做好贷款”、“贷款应该评级”演变到“对风险进行定价”，通过量化风险测算为单笔贷款的风险准入和风险成本判断提供支持。伴随着经济全球化和利率市场化进程的加快，在日趋激烈的市场竞争中，股东对有效资本配置提出越来越高的要求，不仅要求单笔业务风险收益匹配，对在资产组合层面上风险收益能否平衡要求也更加苛刻。银行必须“像管理投资组合一样管理贷款”，有的银行提出“分散资产组合风险至高无上”，银行在全部资产组合层面分散风险，采取对自留风险定价、资产证券化、对部分资产组合从事避险交易等措施。在这个阶段，银行通过动态的风险管理，只承担系统性风险，对商业银行风险管理的技术水平和IT支持水平也提出了更高的要求。因此，正确和全面理解《指引》所提出的试点银行应“有效地识别、计量、监测、控制风险”，要求风险管理技术针对单笔业务和资产组合两个层面，涵盖信用、市场、操作风险计量三个角度，势必由单维浅度度量向模型多维深度度量方式过渡。
信用风险度量技术较之市场、操作风险更为复杂，且由于处在市场信息不对称较为严重和宏观政策波动性较大的新兴市场，更加大了试点银行构建风险度量技术和进行数据积累的难度，模型的返回检验、抗压测试以及模型优化的也需要安排足够的时间长度，才能真正形成有效的决策支持。目前银行业在风险管理技术上与国际先进同业差距还很大，严重制约着风险管理主动性和动态性功能的发挥。例如在单笔资产风险度量技术上，存在着风险调查分析方法不深入，导致风险诊断结果与融资结构设计不衔接，无法为提款前提条件和用款持续条件提供足够支持，风险预警不及时，风险预控滞后，导致贷后管理效率和效果不佳等问题；在资产组合风险度量技术上也还处于摸索阶段，例如对于缓解房地产信贷风险集中问题还没有找到适用的解决方案等。当然，提高风险管理技术并非仅仅是风险度量模型化，进一步提高定性、定量分析相结合的信用风险尽职调查、诊断技术与风险度量模型建设同等重要。
商业银行风险管理组织——由层级管理向垂直管理过渡
《指引》强调试点银行应“建立规范的股份制商业银行组织机构，以科学、高效的决策、执行和监督机制，确保各方独立运作、有效制衡”，“按照集约化经营原则，实行机构扁平化和业务垂直化管理，整合业务流程和管理流程，优化组织结构体系，完善资源配置，提高业务运作效率”。股份制银行由董事会对风险管理负最终责任，董事会授权首席风险官和风险管理委员会在保持独立性的前提下代为行使风险管理职权。因此，商业银行风险管理必须保持一定的独立性，风险承担者不能同时为风险监控者，风险承担与风险监控必须分离。风险管理部门应该相对独立于业务部门，承担起平行制约和行为监督的责任，从而形成有效制衡，抑制过度追求商业机会、利差贡献或业务量而违背风险管理原则的行为。为达到有效制衡，试点银行风险管理组织架构应从现行的平面式层级化管理向矩阵式垂直化管理过渡。矩阵式垂直化管理应按照“扁平化与窗口化统一”的原则，实行在首席风险官统一领导下的“下管一级”和“分类管理”积极风险管理模式。扁平化就是要在风险管理过程中，尽可能地减少风险战略和政策的传导过程，减少决策程序中的不必要环节，保证准确性和及时性，提高有效性；窗口化就是要使风险管理涵盖各业务领域，对业务部门实行窗口式管理，有利于实现对业务风险的全面监控。把扁平化与窗口化管理统一起来，既保证了对总行和辖内的风险管理的有效性，又保证了风险管理职能机构对业务系统的风险控制。
银行是个典型的层级组织，其层级包括整个企业、各职能部门、各条业务线及下属各分支机构。从目前银行业的现实情况看，各层级的风险承担者为完成既定的业务量和利润目标，往往乐于追求业务量和利润增长，而这两项目标均可能被通过承担更大风险来实现，例如2003年一些银行贷款的大幅度超常增长，除了考核机制因素以外，与风险层级化管理运作模式效率较低的缺陷不无关系，以致总行的风险战略和政策传导不畅。这一方面是由于地区间风险差异较大，在层级化管理模式下的银行分支机构风险管理人员缺乏独立行使职权的体制支持，对控制本级行不正确贯彻执行上级行风险政策的扭曲行为力所不及。另一方面是由于银行各类业务产品风险特征差异，在没有设置部门风险窗口人员，未实现对各业务领域风险的“源头化管理”的情况下，未能做到风险管理关口前移，从引发风险的前台部门就开始管理，采取事前措施防范及时应对所在领域业务和风险特性引起的风险，对重大风险事件仅仅是事后报告，未能做到事前预警，并采取足够的预控措施缓解控制风险损失，并预防今后再次发生。所以，实行在首席风险官统一领导下的“下管一级”和“分类管理”模式势在必行，应实行上级行风险管理部门对下级行风险管理部门负责人和同级业务部门“风险管理窗口”负责人的直接管理和考核，下级行风险管理人员和风险窗口管理人员在所管辖的区域和领域内全面监控执行总行风险管理政策，包括搭建运作组织，推广商业银行风险管理工具，量化评估与分析报告等，以利于总行风险管理部门综合归纳各区域、各领域的风险暴露，进行全面风险整合和对冲，实现对整个机构的积极风险配置。同时，试点银行还应建立确保矩阵式垂直化管理有效执行的配套制度，包括推行风险经理制和风险报告制，对所有业务流程和关键风险点实施有效监控，对重大风险事项及时预警和报告，确保对业务流程中的任一环节均能体现“四眼”原则。
商业银行风险管理机制——由资本粗放管理向资本精细化管理过渡
《指引》强调试点银行应建立“有效的激励约束机制”，核心目的是要求试点银行正确处理好风险、收益和资本的三重关系，而只有将风险调整后收益目标细化分解到所有的地区、行业、产品、客户等各级各类风险敞口，使所有承担和经营风险的分支机构、部门和个人都去用尽可能少的资本去创造收益，才能在风险和收益的动态平衡中实现资本的保值增值，这就要求资本粗放管理向资本精细化管理过渡。
多年来，国有商业银行反复强调以效益为中心，防范和降低不良资产，但在实际工作中，始终没有很好解决扩大业务规模与提高效益的关系，没有很好解决短期效益与长期效益的关系。重份额而轻效益、重发展而轻风险、关注产出而不计投入、关注短期而忽视长期的现象——诸如为争夺存贷款市场份额而进行恶性竞争，大量分散的信息系统重复建设导致资源巨大浪费等事实，在局部地区、局部环节屡有发生，最终都导致以浪费资本这种最稀缺的资源为代价。这主要是因为银行资本管理与风险管理密切相关，在缺乏严谨风险管理支撑的前提下，难以通过有效的激励约束机制进行合理的经济资本配置管理。作为股份制改造的试点银行，必须处理好商业银行风险管理机制的建设问题，要对风险真实揭示行为进行奖励，对非主观故意违规造成风险的员工，如能及时揭示风险，可以给予减轻处罚的奖励。为有效防止分支机构因盲目追求短期收益而忽视对业务潜在风险的充分衡量，试点银行必须采取能将资本、风险和收益有机衔接的资本精细化管理工具。精细化的资本管理包括资本配置和绩效考核两部分，在资本配置上以经济资本为核心约束风险资产总量的增加，指导业务资源有效配置，促进资产结构调整；在绩效考核上强调资本回报对经营管理的约束，要由考核账面利润向考核风险调整后资本回报率（RAROC）转变，将RAROC作为资本配置、业务决策和业绩考核的核心依据，明确经济资本占用与经济资本回报的内在关系，为不同产品、客户和部门的风险建立共同的衡量基础，引导财务资源有效配置。在具体操作上，由首席风险管理官直接领导的风险管理部门，汇总各分支机构同属性交易部位的风险损益互抵，以及不同交易部位的风险分散效果，正确估算出全行（合并后）的风险暴露，为进行高效率的风险资本配置、调整风险后的资产绩效评估和实施资产组合调整策略奠定基础，从而迈向积极式（active）的风险管理机制，以提升银行竞争优势。
孙子兵法形篇：“昔之善战者，先为不可胜，以待敌之可胜”。建立盈利性增长所需的风险管理技能，是商业银行在竞争中先立于不败之地的首要策略。
没有人知道未来会有什么样的挑战，但我们有理由认为，通过努力实现商业银行风险管理目标、内容、技术、组织和机制的转变，在培育先进的商业银行风险管理文化的过程中坚持和实践银行的价值观，无论市况好坏，将取得业务的长足和健康发展，这是股份制银行兑现对股东承诺的保障。
