第二道防线中的有效挑战

作者：Jonas Osman Abdelghafour。

"有效挑战"几乎出现在每一份关于治理的监管声明中，也几乎出现在每一个风险职能的职责范围文件中。它同时也是金融服务领域最缺乏证据支撑的概念之一，因为机构所产出的各种材料——出席名单、评审备忘录、委员会会议纪要——只能证明挑战确实发生过，却无法证明它是有效的。真正具有区分度的检验标准更简单，也更严苛：该职能能否指出哪些决策因它而改变？

四个条件

专业能力。 一个不理解某项技术的评审人，无法对其提出挑战，只会默认转向流程性问题。这是导致验证工作沦为文档完整性审计的最常见原因。它也是最难以满足、成本最高的一项条件，在这方面投入不足的机构，不应对第二道防线沦为合规检查站而感到意外。

具有实权的独立性。 结构性独立——汇报路线、预算、绩效考核——是必要条件，但并不充分。该职能必须有能力施加条件、限制使用，或阻止部署。如果其产出只是建议性的，而由业务部门决定是否采纳，那么这种挑战不过是一项建议。

可获得性。 指对数据、代码、文档以及建造者本人的可获得性。受限的可获得性会将评审变成一场访谈，而供应商安排若拒绝提供这种可获得性，应触发补偿性测试，而非降低标准。

地位。 指高级管理层是将该职能的发现视为决策，还是视为谈判立场。这是一种文化特征，可通过一个指标观察到：发现问题被降级或延期处理、而未附带新证据的频率如何。

聚焦于重要性，而非完整性

第二道防线最稀缺的资源是专家的时间，而它常常被用在错误的地方。重新执行计算证明的只是算术正确。核对每个文档章节是否齐全证明的只是格式合规。真正有成效的议程应当更为聚焦：识别决定结果的两三个关键假设，测试这些假设变化时结果如何变化，并追问证据是否支撑这些假设。

对大多数模型而言，这意味着关注数据代表性、主导结果的行为性或判断性参数、在商业上重要的细分群体和条件下的表现，以及所声明局限性的诚实程度。一份在这些方面提出三条发现的评审，比一份在呈现形式上提出三十条发现的评审更有价值。

让挑战变得可见

从监管的角度看，未被记录的挑战等同于未曾发生。可行的机制包括：记录所提出问题、回应及处理结果的挑战日志；当第二道防线的立场未被采纳时，记录下异议意见并注明负责决策的人员姓名；带有严重程度评级、责任人与日期、并追踪至闭环的发现；以及附加于批准之上的条件，使使用限制具有可执行性，而非仅仅停留在愿望层面。

判断其是否有效的指标

• 产生实质性发现的评审占比——若接近于零，可能意味着第一道防线异常出色，也可能意味着第二道防线失效，值得弄清究竟是哪一种。
• 未结发现的存续时间及延期率；在没有新证据的情况下反复延期，是最明确的失败信号。
• 记录在案的异议出现频率及其处理方式。
• 可证实被改变的决策：被拒绝的审批、被施加的条件、被限制的使用、被推迟的部署。
• 各次评审中重复出现的发现，这表明整改只是表面文章。

常见的失效模式

有效挑战会以可预见的方式失效。它可能成为设置在过晚阶段的关卡——晚到商业承诺已使拒绝变得不切实际。它可能被并入交付时间表，使评审人的激励与上线日期趋于一致。它可能因将第一道防线的交付物所有权交给第二道防线而被稀释，以牺牲独立性来换取短期产能。又或者，当资源被削减时，它会以"第一道防线已经成熟"为由被悄然缩减范围——而这种判断，只有在出了问题之后才能被检验。

做得好的职能往往有相似的特征：技术上具有可信度、参与得早、聚焦点刻意收窄、对记录分歧毫不忌讳，并以成效而非产出量作为考核标准。除此之外，其余的都只是文档而已。

主要资料来源： PRA SS1/23关于模型风险管理原则的监管声明；EBA关于内部治理的指引；巴塞尔委员会关于银行公司治理原则的指引。