全面风险管理体系解析（上篇）：集团建设思路洞见

一、金融控股集团全面风险管理体系建设理念

随着金融改革开放的提速，混业经营成为金融企业转型的一大方向，金控集团旗下由于管控多种不同类型的金融机构，从事业务多元化，风险复杂程度高。同时，由于集团内信息传递不对称，大部分所控股金融机构更着重关注的是其自身业务开展过程中可能面临的各类风险，从而忽视了金控集团内由于风险传播而产生的叠加效应。

因此，金融控股集团在建设集团全面风险管理体系时，一方面需要在金融控股公司层面建立起以风险监控为主的全面风险管理体系，强化对集团整体风险敞口的管控以及对集团风险合规性的评估，形成集团整体的动态风险管控。另一方面，对于所控股各类金融机构，应建立起整体框架一致的全面风险管理体系，保证集团全风管理要求的落地，但同时又在各子公司所涉及的具体风险类别及相应风险管控手段的设计上，体现差异化金融业态的特性。

因此，德勤认为，金控集团在改制转型初期，建立全面风险管理体系时应遵循以下基本原则：

全面覆盖：金控集团全面风险管理体系应覆盖所控股的所有从事金融活动的机构、条线、业务、风险敞口；

监控为主：以风险监控为主要手段，实现对所控股金融机构风险管理现状的评估和风险暴露水平的掌握，防控金控集团和子公司间的风险叠加与传染；

支持为辅：集团应在全面风险管理的基础上，适时给予所控股金融机构资本和流动性的支持，确保集团整体的资本充足和流动性稳定。

金融控股集团全面风险管理体系建设理念

国内领先的金控集团在搭建起基本的全面风险管理体系，实现以合法合规、损失控制为底线的基础上，会逐步通过量化风险管理工具和信息科技手段的驱动，形成集团内客户的统一风险认定、产品的统一风险分级、流程的统一风险监控以及人员的统一风险认识，由事后的风险控制向事前的风险策划应对转变，将风险管理和业务运营有机融合，使其充分发挥对经营决策的引导作用，提升管理精细化水平。

金融控股集团全面风险管理体系发展路径

以下将分别介绍德勤所建议的金融控股公司全面风险管理体系建设总体思路、所控股金融机构全面风险管理体系建设框架，以及金融控股公司与所控股金融机构之间全风建设联动机制。

二、金融控股公司全面风险管理体系建设总体思路

基于对《办法》的解读和对金融控股公司全面风险管理体系建设的深入理解，德勤建议金融控股公司应从股东资质与资本金要求、治理架构、政策制度、资本并表管理、全面风险管理要素、报告与信息披露、信息系统与数据支持七个维度入手，建立金融控股公司的全面风险管理体系。其中，全面风险管理要素作为全面风险管理的核心，还应包含：资产负债与流动性管理、统一风险敞口与统一授信、声誉风险管理、关联交易与风险隔离及其他主要风险。

金融控股公司全面风险管理体系

股东资质与资本金要求

根据《办法》，监管机构将对金融控股公司进行严格的股东资质监管，强化资本来源真实性和资金运用合规性监管。为此，德勤已在《解读—税务视角看金控公司股权结构管理》和《解读—新规下如何实现金融控股公司持牌经营》两篇专题解读中对金融控股公司股东资质与资本金管理要求进行详细介绍，这里不再赘述。

治理架构

完善的金控集团治理架构是保证全面风险管理体系在集团内真正实现落地实施的基础。不同于一般金融机构，金融控股公司在设计其治理架构过程中，除了需明确董事会与高管层职责以外，还应通过差异化管控手段、风险绩效考核评价工具、监察与审计机制等对集团内所控股金融机构进行管控，确保合规。

政策制度

为了保证金融控股公司的整体风险管控要求能在集团内所控股金融机构间实现真正落地，除了制定传统的风险政策制度办法以外，金融控股公司还应通过在集团内明确集团及各控股金融机构的整体风险政策，建立集团及各控股金融机构的风险偏好与风险限额，将集团风险管理策略传导到集团内各控股金融机构，确保集团整体风险边界的稳固。

资本并表管理

借鉴银行系金控集团，监管机构此次对金融控股公司同样提出了资本并表的管理要求，借助监管资本这一手段，实现对金控集团风险敞口的总体约束。因此，金融控股公司应以集团并表为基础，将所控股金融机构的资本消耗与杠杆使用水平纳入集团核心管理要素，一方面设计合理有效的资本预测及资本补充机制保障集团业务的正常开展，另一方面建立以资本约束为核心的管理机制，改变过去传统的重投入轻效益、重规模轻结构的粗放式经营模式。

全面风险管理要素

由于金融控股公司不直接面对外部客户开展业务，因此金融控股公司的全面风险管理体系并不会专注于传统金融机构的单一风险，相对应，金融控股公司更关注的风险要素至少包括：

• 集团整体的资金流转，保障集团整体流动性的稳定；
• 集团统一的风险敞口，保障某单一客户或关联客户在集团内的整体风险敞口在可控范围内（未来可能会设定监管限额）；
• 集团标准的舆情管控机制，保障集团内外部风险及声誉事件对集团及所控股金融机构的舆论影响在可容忍范围；
• 集团统一的关联交易管控机制，保障集团内所有关联交易都满足外部监管合规及内部风险管理的要求；
• 集团标准的内控合规机制，保障集团内所有控股金融机构的内控体系满足外部监管合规及内部风险管理的要求；等。

风险管理系统与数据支持体系

随着信息化与数字化时代的到来，金融控股公司全面风险管理体系中必不可少的风险管控模型及工具（如流动性风险模型、统一风险敞口模型等）都离不开风险数据与风险信息系统的支持。因此，金控公司应对集团范围内的风险数据管理和风险信息系统建设做全面性、前瞻性和规范性的规划。

报告与信息披露

监管机构在《办法》中提出，“中国人民银行根据履行职责的需要，建立统一的金融控股公司监管信息平台，……”，可以预见未来监管机构将对金融控股公司提出更高、更严苛的信息报送要求。同时，为了保障金融控股公司对所控股金融机构风险管理状况开展定期评估工作，金融控股公司应在集团内建立定期专项风险报告与不定期重大风险报告的风险报告体系，确保集团内风险报告的及时有效。

由于篇幅所限，德勤将在后续即将发布的《解读—全面风险管理体系解析（下篇）：金融控股公司建设思路》中对金控公司的全面风险管理体系展开专题介绍，敬请期待。

三、所控股金融机构全面风险管理体系建设框架

本次《办法》不仅对金融控股公司的全面风险管理提出要求，同时也强调了“金融控股公司应当要求所控股金融机构限期建立全面风险管理体系，督促所控股金融机构采取定性和定量相结合的方法，识别、计量、评估、监测、报告、控制或缓释所控股金融机构所承担的各类风险。”，因此金融控股公司所控股金融机构应建立起整体框架一致的全面风险管理体系，但同时又应在风险管控手段设计上体现差异化的金融业态特点。

我们将按照本次《办法》中明确的所控股金融机构的类型展开阐述，包括：（1）商业银行、金融租赁公司；（2）信托公司；（3）金融资产管理公司；（4）证券公司、基金管理公司、期货公司；（5）人身保险、财产保险以及再保险公司、保险资产管理公司；（6）其他金融管理部门认定的机构。

将在后续即将发布的《解读—全面风险管理体系解析（中篇）：所控股金融机构建设思路》中对所控股金融机构的全面风险管理体系展开专题介绍，敬请期待。

四、金融控股公司与所控股金融机构之间全风建设联动机制

根据《办法》规定，金融控股公司应建立自身的全面风险管理体系，再根据集团内部管控需求及各子公司的业务开展情况，分层逐级向子公司实行风险全覆盖管理。所控股金融机构应当基于外部监管要求，结合自身业务特点，形成符合其自身发展的全面风险管理体系。金融控股公司与所控股金融机构在建设全面风险管理体系时不应该是割裂的，而应该形成从集团到子公司自上而下完整的全面风险管理体系，相互关联，相辅相成。

为有效实现金融控股公司与所控股金融机构之间跨层级的协同风险管理，集团与各子公司可以从以下三个方面展开：

（1）金融控股公司与所控股金融机构应当明确各自的定位及管控要求。对于集团来说，作为股东方，需要保障自身作为出资人应有的控制权、知情权等合法权益，同时也应尊重各子公司作为独立法人所拥有的经营决策自主权；对于子公司来说，作为集团成员之一，在依法行使独立法人的自主权的基础上，也应承担起作为子公司的责任及义务，贯彻集团的整体规划及监督管理，以确保集团总体战略发展及风险管理目标的实现。基于以上权责关系，集团需要建立明确的战略发展目标及风险管理策略，并以集团总体战略为导向对子公司实行差异化管控。

（2）金融控股公司应当加强与所控股金融机构的沟通与协作。作为母公司，集团应当了解子公司：

• 合规及行业定位：知悉所控股金融机构所在行业的监管合规底线及风险管理相关要求，了解各个子公司所在行业的动态及其在行业中所处的地位；
• 经营及风险状况：清楚掌握所控股金融机构的业务发展计划、经营业绩情况、行业主要风险以及信息系统建设情况等；
• 风险管理综合能力：采用定性和定量相结合的方式评估子公司各类风险的暴露情况，综合评估其全面风险管控能力，衡量其对集团总体风险的影响。

作为子公司，应当及时向集团报告其财务状况、重大经营事项、各项指标监控情况、重大风险暴露及其他集团要求报告的信息，保障集团的知情权，防范由于信息不对称而引起的不必要的风险。

同时，根据所控股金融机构的信息系统建设情况，金融控股公司可考虑从系统层面实现集团经营任务的下发、运营及风险管理相关指标数据的报送等工作，提升信息沟通的完整性、准确性、及时性。积极发挥集团与子公司之间的协同效应，在合理合法的范围内进行信息共享。

（3）金融控股公司作为整个集团的核心，需要从集团整体出发，统一把控风险，协调资源，优势重组，发挥协同效应，实现集团整体的战略发展目标。一方面，金融控股公司应当在集团层面建立起统一的风险敞口与授信协调、资本并表管理、资产负债与流动性管理、关联交易管理等管理工具，实现对集团风险的整体把控，另一方面，金融控股公司与所控股金融机构作为一个整体，在发挥协同效应的同时，应特别关注信息及数据安全管理，做好风险隔离，防范在集团内部产生风险交叉感染，对集团整体造成重大损失。

德勤结语

建立健全金融控股公司及所控股金融机构的全面风险管理体系，最终的目标是为了更好的发挥业务与风险的有效联动，支撑业务发展，保障集团整体战略的落地。因此，不管是集团还是下属子公司，在完善全面风险管理体系时，都应当从自身实际情况出发，考虑风险与收益的平衡，在满足监管法人治理要求的基础上，加强集团内部协作，合理发挥资源共享、信息共享以及系统共享等，提升集团整体资源利用率、业务运行效率及效果。