一、事件概述

(一)、骑士资本

成立于1995年的骑士资本（Knight Capital Group）是华尔街上名声显赫的重量级证券公司，被行业称之为市场的支柱公司之一，并以其稳健的行业风格和专业的服务领域而著名。骑士资本不但规模庞大，吸引了许多重量级的客户，而且业务范围遍及美国、欧洲和亚洲。其市场的交易份额占到纽约证券交易所（New York Stock Exchange Market）交易总量的17.3%，纳斯达克证券市场（Nasdaq Stock Market）的16.9%，自2011年到2012年间的日交易总量达到全美金融证券市场的10%。服务的客户对象既包括了买方客户，也包括了卖方客户，同时还有大量的零售客户。涉及的金融产品涵盖了全球金融市场的股票、固定收益产品、外汇、期货和期权等。除了为客户提供全方位的经纪业务服务之外，还通过公司自有的交易平台系统，为客户提供高频交易服务。

骑士资本主要的业务涉及三大块，做市商业务、电子交易执行服务业务、以及机构销售和交易业务。

做市商业务是骑士资本最大、也是最重要的业务，范围涉及全球的金融市场，涵盖的产品几乎包括了所有的资产类型。除了美国证券市场的电子做市商业务之外，还包括现金做市商业务、纽交所的指定做市商业务，欧洲市场的股票做市商业务，美国市场的股指期货做市商业务等。

事发之前，骑士资本是纽交所最大的做市商业务公司，所涉及的股票数量达到了675只，年交易量近200亿美元。

电子交易服务业务属于典型的经纪商业务之一。通过一系列自主开发的电子交易产品，骑士资本搭建了一个高频交易平台，为客户提供高效和快速的市场信息和交易服务业务。骑士资本采用嵌入式量化模型驱动的电子交易平台，根据市场的数据和相关信息向市场发送交易订单，帮助客户在高度分割的市场环境中高速高效的完成最终的交易业务。公司的电子交易服务业务所涉及的产品类型包括证券、期货、期权和外汇等。

机构销售和交易业务是典型的卖方市场业务，通过提供全方位的经纪业务服务以换取买方市场机构投资者的交易业务，再通过公司的高频交易平台完成客户的交易。骑士资本为客户提供的产品对象包括全球的股票、债券、ETF、股指和期货、外汇、资产证券化、和资产管理等。主要面向的机构客户为开放式基金、保险公司、养老基金、慈善机构等。

总体来看，高度程序化并嵌入模型的高频电子交易平台系统，是骑士资本高效优质地开展各类业务、服务广大客户的利剑。

(二)、交易系统

骑士资本的交易系统可以交易美国证券市场上的19000多只证券产品，并与100多个交易所、电子交易中心、暗池和其他做市商的交易中心相连接。除此之外，骑士资本还是美国证券市场上最大的流动性提供商之一。

一些在美国证券市场上著名和重量级的证券公司都是骑士资本的客户，通过骑士资本的电子交易平台向交易所和其他交易中心发送交易订单。一些重要的经纪业务客户包括卖方市场上著名的网上经纪公司E-Trade证券经纪公司（简称ET证券）、TD Ameritrade证券经纪公司（简称TDA证券）和史考特证券经纪公司（Scottrade，简称S证券），以及在买方市场上的巨无霸公司先锋基金（Vanguard）和富达基金（Fidelity）等。其中，TDA证券是美国最大的网上经纪商公司，客户账户的数量接近600万，拥有的客户资产达到5000亿美元。先锋基金是家超大型的共同基金公司，管理的客户资产超过了2万亿美元。富达基金更是美国最大的共同基金管理公司，根据2013年2月28日的评估结果，总共管理超过500只不同类型的基金和近6万亿美元的资产。

骑士资本的高频交易平台可以把来自于不同机构客户和零售客户的交易订单组合起来，形成一个巨大的撮合池。当市场的流动性不够充分的时候，其做市商业务还必须投放大量的公司自有资金进入市场，为市场提供需要的流动性。

事实上，从公司层面来讲，骑士资本需要一款专门面对市场的交易系统，一方面能够不间断地收集市场信息，另一方面还可以通过自带的复杂算法策略对这些信息进行高速的处理，同时还能够用最快的速度把客户交易订单发送到最适合的交易所或交易中心。SMARS就是为此而生的一款高频交易系统。

SMARS应用软件，是骑士资本自主开发的一款智能型的高频交易软件系统，是骑士资本交易系统通向市场的大门，其重要性不言而喻。骑士资本所有的交易订单，不论是自营的或是来自于客户的，都会在投放市场前首先发送给SMARS系统，再由SMARS投放到证券市场。

骑士资本从机构客户获得的交易订单资金数额十分巨大，牵涉的买卖股票数量也很大，SMARS系统中自带的算法策略可以根据市场信息把一个大交易订单分成许多小交易订单，再根据市场的实际的状况把分割之后的子交易订单以最快的速度分发到适合交易的交易所或其他交易中心去成交。由于每天担负着全美证券市场上10%交易量，可想而知，SMARS不但是一款十分繁忙的交易系统，而且还容不得任何的错误或闪失。

由于担负着分割大额交易订单的任务，SMARS在执行分单的过程中还需要做一个检验功能，即需要累计每个子交易订单的股票数量，当累计的股票数量达到原交易订单股票数量总值的时候就停止再向市场投放子订单。分单和检验这两个功能原来是由SMARS中一个叫做Power Peg的软件模块执行的。2003年之后Power Peg模块被弃用，2005年其中的检验功能被公司后来的软件开发人员从Power Peg模块中删除，并移植到其他的模块中继续使用。

按照软件开发流程的常规处理习惯，骑士资本的软件技术人员应该在第一时间就应该将被废弃的Power Peg模块从SMARS系统中删除。即使第一次没有删除（2003年弃用Power Peg模块时），在2005年对 Power Peg进行了部分功能调整之后更是应该立即删除。不幸的是，Power Peg模块失去了两次被删除的机会，被骑士资本的软件开发人员封装在SMARS系统中沉睡了近10年，从未被唤醒过。

当Power Peg软件模块中检验累计股票数量的功能被删除的那一刻开始，实际上就已经被埋下了此次事件发生的种子。虽然成为了一个功能残缺的软件模块，但是Power Peg仍然保留了最初的分发子交易订单的功能，如果有朝一日被唤醒，加上缺少检验功能，必然会酿成重大事故。

最终，这一概率极小的事件发生了。

(三)、事件回顾

1.起因

2012年7月底的那个周末，骑士资本对公司交易系统平台进行了升级，升级的原因是为了让零售客户能够参与纽交所于2012年8月1日上线运行的新交易功能，名称是客户流动性应用系统（Retail Liquidity Program，简称RLP）。

骑士资本的软件工程师对SMARS软件系统进行了新一轮的开发，用新的软件代码完全取代了旧的Power Peg模块。因此，Power Peg模块也就算是正式的从SMARS交易系统中被删除了。

骑士资本的技术人员在修改SMARS的过程中重新加进了一个标示，这个标示与之前使用Power Peg的标示完全相同。如果该标示在运行新的SMARS软件系统的过程中被设置成“是”，则执行与RLP相关的新软件模块。

负责升级系统的骑士资本的系统管理员自7月27日开始，在接下来的3天里应该对总共8台安装有旧SMARS软件系统的生产服务器进行更新。当他在周日离开数据中心的时候，这8台服务上的SMARS软件系统都应当全部完成需要的更新工作。但实际情况是，这位粗心的系统管理员忘记更新第8台也就是最后1台服务器上的SMARS软件，而未被更新的SMARS软件中就残留了沉睡的Power Peg软件模块，一旦调用RLP模块的指令发送到第8台服务器，Power Peg模型就会被错误执行。

2.事件发生

2012年8月1日9：30，刚刚开市的纽交所就发现从市场收到了不正常的交易订单流量，数量不但巨大，而且涉及的股票代码范围也很广。开市20分钟之后非正常的交易订单就如同发怒的海潮一样涌向纽交所，直接触发了市场为限制股票价格波动达到10%的熔断开关（Circuit Breaker），并自动暂停了多只股票的交易。

9：40之前纽交所还无法判断交易订单的来源，直到时间再过了10分钟，即9：50时，纽交所才最终确定了这些非正常的交易订单来自于骑士资本。

而此时骑士资本也陷入了前所未有的混乱。当得知公司的交易系统向纽交所发出了超乎寻常数量的交易订单之后，公司的高层管理人员纷纷赶往公司的交易厅，但是公司总裁却由于前一天膝盖开刀而并不在其中。直到10点钟，纽交所开市交易之后过了30多分钟，在骑士资本和纽交所的共同努力之下才停止了骑士资本的交易系统向纽交所发送任何的交易订单。

骑士资本的总裁汤姆斯·杰伊斯（Thomas Joyce）在中午时分才拄着拐杖赶到交易大厅，并在交易大厅呆了10多分钟，直到确认事件已经平息，且不再出现新的损失才离开。

从市场的反映方面看，当骑士资本集团的交易平台开始向纽交所发出错误的交易订单之后，一些股票开盘后突然出现离奇的涨幅和跌幅。例如，奇才软件公司的股票从昨天的收盘价3.50美元涨到了14.76美元的价位；知名的阿伯克龙比和菲奇服装公司的股票在几分钟之内便攀升了9%，从之前的33.80美元涨到了36.84美元；另一家著名的哈雷戴维森摩托公司的股票突然跌了12%，从43.23美元掉到了37.84美元。

当天收市之后纽交所宣布，查验140只受到事件影响的非正常股票交易，时间段从9：30到10：15共45分钟，最终决定仅取消6只股票的交易。

骑士资本在交易事件之后立刻向美国证监会提出申述，要求取消更多的错误交易，最终没能获得成功。

美国证监会公布的调查结果表明，骑士资本的交易系统当时共收到了由零售客户发出的212笔小交易订单，交易系统应该执行的是把这212笔交易订单发送到纽交所去成交。然而，骑士资本的交易系统却在不到45分钟的时间里用高频率发送了几百万笔交易订单，致使纽交所在这段时间里成交了超过400万笔的交易订单，平均每秒钟的成交超过了1500笔，涉及的股票代码达到了154个。

就在这短短的45分钟的时间里，骑士资本的交易系统的总交易量就达到了66.5亿美元，成交的股票数量高达3.97亿股，共买入了80只股票，价值约35亿美元，融券做空了74只股票，价值约31.5亿美元。骑士资本最终的损失高达4.6亿美元。

3.破产危机

骑士资本的交易系统故障所引发的担心很快就传导至客户，一些主要的客户在事发当天就转移了交易订单。事件后第二天8月2日，骑士资本重量级的客户TDA证券、先锋基金和富国基金同时宣布停止向骑士资本发送交易订单。

与此同时，骑士资本也不得不主动要求一些客户停止向自己发送交易订单。因为事件发生之后，骑士资本被要求为每一笔交易承担更多的保证金，因此接收的交易订单越多，需要的保证金就越多，而此时的骑士资本已无法负担如此高的现金流。

骑士资本的交易系统事件引起的连锁反映立刻在其股票价格上得以体现，其股票价格从8月1日的开盘价格10.33美元下跌到了8月2日的收盘价格2.58美元，2天之内的降幅竟然高达令人震颤的63%。对骑士资本来说，公司财务已然是捉襟见肘，只能够把现金流保持在维持正常业务的最低水平。

当时华尔街的分析家普遍认为骑士资本的现状很难再熬过3个交易日。一家私募对冲基金的CEO，戴维（David Simon）说，“如果在48小时到72小时之内无法获得投资者，我想骑士资本将面临生存的麻烦。”

也就是，交易系统故障事件发生后，骑士资本面临了破产危机。

4.华尔街援助

面对危机，华尔街这次向骑士资本伸出了援助的手。

如果骑士资本最终不幸倒闭，对美国的证券市场将产生巨大的影响。从骑士资本网站公布的统计信息中可以看出，骑士资本在美国证券市场享有举足轻重的市场地位。2012年其做市业务的交易总量在纽交所和纳斯达克的排名都是第一，在所有美国证券市场上市的股票和ETF的交易中排名第二，在美国OTC市场上股票交易的排名也是第一。

对骑士资本最大、最重要的客户TDA证券而言，如果骑士资本倒闭，对其业务所产生的影响将会是灾难性的。基于庞大的客户群体，TDA证券每个交易日都会向市场提供巨大的流动性，而且所有的客户订单都会通过骑士资本的交易平台转发到各个交易所和交易中心。除此之外，TDA证券的其他业务也都基本上依附在骑士资本提供的业务平台之上。例如，客户期货和外汇交易的清算和交割，所有的债券交易等。如果骑士资本携带其交易系统平台轰然倒下，带给TDA证券的麻烦自是不言而喻。

公司总部位于华尔街金融区的施蒂费尔·尼古拉斯金融集团（Stifel Nicolaus Financial Group，简称尼古拉斯金融）的总裁理查德（Richard Handler）在8月1日首先表示愿意向仍然处于混乱之中的骑士资本伸出援助之手。另一家知名的高频交易业务公司和纽交所指定做市商公司的古董金融股份有限责任公司（Virtu Financial LLC，简称古董资本）也传出与骑士资本谈判的消息。

也就是在同一天，高盛集团同意以折扣价收购让骑士资本无法接受的部分持仓。之后还有多家潜在投资者表示了对骑士资本的兴趣，其中包括一些私募股权基金和投资银行。还有一些投资者只对部分业务感兴趣，例如一些网上外汇交易公司看上了骑士资本的外汇交易部门。

根据当初美国新闻网的汇总消息，向骑士资本伸出援助之手的投资问询总数在90起左右。华尔街所表示出的巨大热情大大超出了骑士资本的预料。

分析家认为骑士集团之所以能够获得如此待遇，主要有以下几点：
一是因为其业务的基本面没有出现问题，客户流失将只是短暂的现象；
二是因为其在市场的地位和业务前景始终被看好；
三是因为所面临的现金流问题应该是短期和可控的；
四是因为事件是孤立的，对整体的市场基本没有形成影响；
最后，也是最重要的，维持一个正常和稳定运转的骑士资本对一些伸出援助之手的华尔街公司十分关键，因为这些公司使用骑士资本作为交易订单的中转站，已经把大量的业务交付给骑士资本。

最终，6家投资机构联手向骑士资本抛出了救命的绳索，以可转换优先股的形式注入4亿美元的资金。这6家骑士资本的新投资者分别是：
·TDA证券、
·黑石集团（Blackstone Group）、
·GETCO
·尼古拉斯金融
·杰弗里斯投资银行集团（Jefferies Group）
·斯蒂芬斯证券公司（Stephens Inc.）

为了防止骑士资本股权交易过程中出现不测风险，纽交所在8月6日开市之前宣布暂停骑士资本的指定做市商资格，并把600多只由骑士资本负责做市的股票转到另一家拥有数量颇多的指定做市商席位的公司GETCO名下。一周之后，关于骑士资本的股权交易顺利完成，纽交所也随之在8月13日开市交易之前把转出的股票转回到了骑士资本的名下。

5个月后，骑士资本被当初参与援救的6家投资者之一的GETCO公司注资收购。

到此，骑士资本高频交易系统故障损失事件告一段落。

5.美国证监会的处罚

高速发展的高频交易市场一早就引起了美国监管部门的警觉和担忧。美国证监会曾于2010年11月3日颁布了全名为“针对经纪人和经销商关于市场交易的风险管理控制（Risk management controls for brokers and dealers with market access）”条例，简称“市场交易条例”，或条例15c3-5，并于2011年11月30日正式生效。该条例现在已经被编入了美国的《证券交易法》。

“市场交易条例”特别提出，要求高频交易商在开发高频交易软件的时候特别需要注意那些被废弃或不再使用的功能模块，防止其被错误的使用，并要求高频交易公司删除那些被废弃不用的功能模块和代码。

骑士资本事件发生时隔一年之后，2013年10月16日，美国证监会发布公告称将按照“市场交易条例”对骑士资本2012年8月1日的交易违规事件罚款金额为1200万美元。

美国证监会执行部门的副主管安德鲁（Andrew Ceresney）在谈到骑士资本交易事件时如是说，“市场交易条例”的目的就是保护市场，而违规的骑士资本把公司和市场同时置于了风险之下。

美国证监会执行部门的另一官员丹尼尔（Daniel Hawke）指出，交易商必须仔细检查交易系统中的每一个模块，并且问自己这样一个问题，如果这个模块出错会产生什么样的后果，以及如果真的出错，什么样的保护网可以用来减轻可能的伤害。丹尼尔说，骑士资本的失败是未曾向自己提出这样的问题，从而引发了灾难性的后果。

其实，系统中的“幽灵模块”Power Peg并不是完全没有露出蛛丝马迹，而被人为的忽视了。根据美国证监会的调查披露，骑士资本在开市之前就已经收到了与RLP相关的客户交易订单，SMARS系统在早上8：01就已经开始处理这些订单。9：30开始之前，公司内部有一批人收到了SMARS系统通过电邮的方式向相关人员发出邮件，显示了“Power Peg 被禁用了（Power Peg disabled）”的信息。由此可见，虽然骑士资本的技术人员当年没有删除被废弃的Power Peg软件模块，但是还是留下了禁用的告知信息。

根据美国证监会事后的调查发现，这些电邮是在软件代码执行失败之后实时发出的信息，发送总数达到了97个，但并没有以报警的形式出现。然而，这些错误通知没有引起任何收到信息人员的警惕，以至于如此重要的风险线索被不同阶层的技术人员和管理人员全部忽略。骑士资本错过了纠正潜在交易风险的时机。

美国证监会也最终认定骑士资本违反了条例15c3-5(e)(1)，没有充分地检查与公司交易业务相关的风险管理控制和监督流程的有效性，以及确保相关的监督人员能够实时收取每笔交易完成之后的交易后合规报告。

美国证监会在调查中还发现骑士资本的CEO对2012年公司的风险管理控制和监督年报的背书存在缺陷。违反了条例15c3-5(e)(2)。

除此之外，美国证监会还发现骑士资本在2012年8月1日的融券做空交易中严重的违反了条例SHO（卖空交易监管办法）中条例200(g)和200(b)制定的规定，没有遵守为防范融券做空时的“裸卖空”法规，即没有在卖空之前确认是否存在真实的融券后才实施做空交易。

美国证监会在处罚公告中向骑士资本提出了以下的补救建议：
1) 必须接受独立顾问对骑士资本软件开发生命周期的调查，以条例15c3-5为蓝本，重点检查风险管理的控制和合规监控流程，所需的费用将由骑士资本承担；
2) 独立顾问必须在30天内完成所有的调查和报告工作。骑士资本必须完全配合独立顾问的调查，不得刁难和延误；
3) 独立顾问在调查结束之后必须向监管部门和骑士资本提交独立的调查报告，报告必须包括建议骑士资本必须实施的整改内容；
4) 骑士资本必须在报告提交30天内向证监会和独立顾问提交整改时间表，必须包括但是不限于调查报告中提出的整改建议，并在完成整改工作之后向证监会和独立顾问提交完成报告；
5) 独立顾问必须以书面形式为骑士资本的整改工作报告背书，证明骑士资本已经完成了所有需要整改的工作；
6) 独立顾问必须在其为骑士资本的整改工作背书之后的180天内，对骑士资本的整改工作进行监督性的检查，并向证监会和骑士资本提交最终版本的整改完成报告；
7) 骑士资本不得擅自中止由证监会认可的独立顾问的调查工作和资格，同时必须向独立顾问支付合理的服务费用；
8) 独立顾问在开始工作前，必须签署一个保证书，保证在2年之内不以任何方式和形式加入骑士资本，或是成为骑士资本的服务商或供应商，或是以任何方式存在业务联系。如果独立顾问是以公司的形式，则其现任或是前任的雇员、管理人员或是相关的业务公司和人员不得加入骑士资本，或是存在任何业务上的往来；
9) 最后，当骑士资本完成所有的以上建议和整改工作之后，必须在60天内以书面报告的形式向证监会确认所有的工作都得到了到完全的落实。

二、风险管理问题分析

(一) 公司层面风险管控缺失

骑士资本系统故障这一事件的发生，体现出该公司对于监管规定的忽视。骑士资本在发展壮大自身业务的同时，未能按照美国证监会“市场交易条例”的相关要求严格规范自身的行为，导致其程序化高频交易系统为客户和公司自身带来损失的同时，对市场稳定性造成了极大的影响。

此外，骑士资本未能将自己的交易系统纳入限额管理的前端控制，交易系统的实际控制功能缺失，其风险管控从形式上完全属于事后管理。虽然骑士资本制定了相关风险敞口限额，但并未在交易系统中实现控制，不能在敞口达到并突破限额时及时停止交易。以至于高频交易系统在出错的情况下，仍然不受控制的向交易所发送了大量的订单，引发了市场动荡。

(二) 部门层面风险管控缺失

交易系统模块的改造、上线均缺乏严格测试的嵌入步骤，部门相关风控流程缺失，操作风险巨大。

首先，最初两次对Power Peg模块的修改后，骑士资本的技术部门均未进行相关测试，未能及时发现并弥补程序逻辑错误。

其次，事件发生前，骑士资本的技术部门在内控流程中并没有制定任何对系统管理人员的工作进行双岗复核或二次验证检查的规章和制度，也没有任何技术人员被临时赋予职责，用于复核验证和检查这8台服务器的更新和升级结果。骑士资本在系统升级工作中，把公司的命运完全压在了实际进行操作时那单独一位技术人员的经验、细心的程度和专业技巧上了。

不幸的是，这位系统管理人员的工作出现了差错，他遗漏了1台服务器，只为7台生产服务器升了级。正是这位系统管理员的操作失误，实际造成了操作风险事件的发生，导致了骑士资本在8月1日纽交所开市之后不到一个小时的交易时间里损失了4.6亿美元，之后陷入经营、破产危机，最后被GETCO公司兼并。

(三) 员工风险意识不足

在事件发生之前，骑士资本的高频交易系统曾自动向公司内部共计97名员工发送了包含系统模块被禁用信息的电子邮件，然而收到信息的所有员工未有一人能够警觉的发现信息隐含的潜在风险，以至于骑士资本错过了纠正潜在交易风险的最佳时机。从这方面来看，骑士资本对自身员工的风险管理宣导与教育工作缺乏，员工普遍缺乏风险意识。