鼓励业务复杂程度较高和规模较大的商业银行委托社会中介机构对其操作风险管理体系定期进行审计和评价。
第十二条 商业银行应当制定适用于全行的操作风险管理政策。操作风险管理政策应当与银行的业务性质、规模、复杂程度和风险特征相适应。主要内容包括：
（一）操作风险的定义；
（二）适当的操作风险管理组织架构、权限和责任；
（三）操作风险的识别、评估、监测和控制/缓释程序；
（四）操作风险报告程序，其中包括报告的责任、路径、频率，以及对各部门的其他具体要求；
（五）应针对现有的和新推出的重要产品、业务活动、业务程序、信息科技系统、人员管理、外部因素及其变动，及时评估操作风险的各项要求。
第十三条 商业银行应当选择适当的方法对操作风险进行管理。
具体的方法可包括：评估操作风险和内部控制、损失事件的报告和数据收集、关键风险指标的监测、新产品和新业务的风险评估、内部控制的测试和审查以及操作风险的报告。
第十四条 业务复杂及规模较大的商业银行，应采用更加先进的风险管理方法，如使用量化方法对各部门的操作风险进行评估，收集操作风险损失数据，并根据各业务线操作风险的特点有针对性地进行管理。
第十五条 商业银行应当制定有效的程序，定期监测并报告操作风险状况和重大损失情况。应针对潜在损失不断增大的风险，建立早期的操作风险预警机制，以便及时采取措施控制、降低风险，降低损失事件的发生频率及损失程度。
第十六条 重大操作风险事件应当根据本行操作风险管理政策的规定及时向董事会、高级管理层和相关管理人员报告。
第十七条 商业银行应当将加强内部控制作为操作风险管理的有效手段，与此相关的内部措施至少应当包括：
（一）部门之间具有明确的职责分工以及相关职能的适当分离，以避免潜在的利益冲突；
（二）密切监测遵守指定风险限额或权限的情况；
（三）对接触和使用银行资产的记录进行安全监控；
