要说明风险管理是如何失效的，我们可以从风险计量开始说起。假设金融机构使用了合适的风险计量工具，例如使用在险价值VaR（Value at Risk）方式进行风险计量，则通常可能会犯两种类型的错误：一是已知的风险可能会被错误的衡量；二是某些未知的或不被重视的风险可能会被忽略。通常，风险一旦被监测后就会传达到公司管理层，在管理层决定承担何种风险之后，风险管理必须发挥其效用，确保公司能够承担这些风险。换句话说，金融机构的风险管理者必须适当利用其风险管理的措施，有效地对冲当下所面临的风险。
最后，公司的风险管理者也可能无法及时使用适当的风险计量工具。从这个角度来看，存在六种类型的风险管理失效：
- 未能监测到风险；
- 没有考虑到存在的风险；
- 错误计量已知的风险；
- 管理风险的失败；
- 无法将风险传达给高层管理人员；
- 未能使用恰当的风险指标。
在这些可能的风险管理失效的类型中，风险管理者对于第（1）、（3）、（5）、（6）种类型负有责任。将风险考虑在内是所有业务部门的职责（类型2）。在通常情况下，业务部门还需对自身风险特征进行积极管理（类型4）。
一、未能监测到风险
从结果来看，未能监测到风险和忽略已存在的风险都将导致风险管理的失效，而金融机构实施全面风险管理则会对这些漏洞进行有效补充。例如，在衡量一家公司的风险时如果没有考虑到某些风险，那么遗漏的风险就得不到充分的监控，则这些风险可能会不断蔓延扩散，最后冲破风险管理的屏障。从实际情况来看，通常，交易员都会利用其交易策略来追求收益最大化，但是他们本身不会承担相应的风险及损失，假设一个交易员的风险只被部分监控，则他可以通过不受监控的风险漏洞来增加期望的收益而不会遭受任何后果，一旦出现其未预料到的外部形势变化，则可能造成公司损失。
二、没有考虑到存在的风险
被忽视的风险通常有三种，其对金融机构的影响也不尽相同。第一，忽略某些风险，即使这种风险是已知的；第二，已经意识到某些风险，但风险模型没有捕捉到这种风险；第三，已经意识到某些风险，但仍需对其进行进一步的研究。
三、错误计量已知的风险
风险错误计量可能有多种表现形式。例如，在衡量风险时，风险管理者会首先了解可能收益的分布，而这过程中可能会在评估重大损失的可能性或重大损失的规模时犯错。假设一个金融机构利用VaR方式测得其一笔交易有99%的可能性带来25%的收益，但同时有1%的可能性面临70%的损失，但因为对收益分布的相关性做出错误的风险计量，在实际情况下其损失70%的可能性会高于其获得25%的收益。
另一方面，当一个公司有较多头寸或项目时，该公司的风险取决于不同头寸或项目间的风险相关性。如果头寸或项目之间的相关性较高，则公司所有项目同时表现不佳的可能性会更大，导致公司重大损失的概率增高，但这些相关性可能难以评估，并且随着时间而发生变化。在这种情形下，风险管理者对相关性的评估存在客观受限，因为他们对投资组合或公司风险的评估取决于他们对相关性性分布的估计。从这一角度而言，风险管理者可能会意识到相关性与其期望值不同，但这不能算风险管理的失效。
四、管理风险的失败
风险管理应当确保公司承担自己应要承担的风险，并避免承担承担其他风险。所以，风险管理者必须不断监控公司所面临的各类风险，通过对冲和减轻已知风险来达到最高管理层的目标。
对于金融机构而言，其风险水平的变化是颇为动态的。以衍生品工具为例，一家金融机构拥有大量的衍生品头寸以及带有嵌入式衍生品的头寸，随着时间的推移，这些头寸会变得越来越复杂，因为衍生品投资组合的风险可以在没有任何交易的情况下仍然发生快速的变化。例如一只有利率风险敞口的证券，如果利率上升该证券可能大幅获利，而当日晚些时候，如果利率上升的话，该证券可能会大幅损失。当证券的风险特征可以非常迅速地变化时，风险管理者要捕捉这些变化并做出相应的对冲策略是一项巨大的挑战。
所以，风险监控的有效性在很大程度上取决于机构的风险管理文化和激励措施。如果集体中的每一个人都能意识到风险、防控风险，在业务一线构建第一道风险屏障，那么风险很难藏匿于整体中。同时，如果建立适当的员工激励机制，将其薪酬水平与风险承担科学挂钩，可以激励员工更主动的去识别风险，防控风险。
五、无法将风险传达给高层管理人员
风险管理并非只是风险管理部门进行监测、防控的任务，相反，这是一项旨在通过对整个公司做出最佳决策来使公司股东价值最大化的活动，尤其是公司必须选择所承受的风险级别并且确保整个组织所承担的风险对股东而言都是有价值的。因此，风险管理者必须及时、正确地向董事会和高层管理人员提供信息，使他们能够做出有关公司风险的决策。如果一家公司拥有完善的风险管理系统，但因为风险管理部门无法及时、正确传递出系统预警信息，则该公司的风险管理系统效用将大打折扣。
六、未能使用恰当的风险指标
过于专注狭隘的风险管理指标可能会使管理层更难实现其目标，特别是那些管理层认为可以忽略不计的的重要风险。我们仍然以VaR举例。通常，金融机构广泛使用每日VaR来度量其当天的交易活动，大型银行还会每季度披露有关该指标的数据，通过观察其一个季度内损失超过每日VaR的次数就能判断其整体风险水平。例如，某券商在2007年的报告中显示其亏损超过了其每日VaR值得29倍，而这一数据在2006年时还相当健康。上述结果反映出外部经济环境的巨大变化使得风险管理人员难以追踪每天的风险。但是，如此大量的VaR超限情况因为波动率增快或是损失范围不大的原因并未能反映这些超限对该券商财务健康的影响的信息。因此，关注每日市场VaR，运用最新的量化技术来解决问题能满足一部分风险管理的需求，但这仅是风险管理的一部分，为了全面地评估风险，公司必须看得长远并全方位地了解其风险。
金融机构在计量其长期风险水平时，通常会利用外部或内部的信用评级工具，越高的信用评级意味着越小的违约概率。这样的方法在评估公司的某些风险时很有用，例如在评估公司的最佳资本金以及业务部门用以收益的资金成本。但同时这种方法是不充分的，较高的信用评级意味着除了最极端的情况以外，公司都将努力避免违约，因此公司必须制定相应的运营策略。
参考文献
- Stulz， M. (2008). Risk Management Failures: What Are They and When Do They Happen? Fisher College of Business Working Paper Series，03(17).
评论