美国监管为什么要把”声誉风险”从运营韧性文件里删掉
2026年6月2日，美联储、OCC和FDIC联合更新了一批跨机构监管文件，删除了其中对”声誉风险”的相关表述。被修改的文件，包括2020年发布的《加强运营韧性的稳健实践》（Sound Practices to Strengthen Operational Resilience）——2023年，我和运营韧性资料公益翻译小组的专家们完成了这份文件的中文简译（中文简译链接）。这不是一套新的监管框架，也不是对原有框架的全面修订。严格地说，它是一次术语清理：文件的主体结构和主要要求几乎没有变化，只是把”声誉风险”从中删除了。
但监管文件中的用词从来不只是文字问题。这次修改背后，是美国银行业监管理念正在发生的一项重要转向——监管判断应当建立在可识别、可说明、与银行财务或运营状况直接相关的风险上，不能以模糊的公众观感为理由，对银行及其客户关系施加监管压力。那么，这次修订究竟改了什么，为什么要删掉”声誉风险”，删掉之后，运营韧性监管究竟是变弱了还是反而更加严谨了？
一、删了什么：三类行动，一个方向
2025年至2026年间，美国三大银行监管机构进行了三类不同法律地位的监管行动，方向一致——把声誉风险从监管工具箱中移除。
OCC和FDIC走得最远。两家机构2026年4月发布最终规则，6月9日生效。新规则禁止OCC和FDIC仅以声誉风险为依据正式或非正式地批评银行，或者对银行采取不利监管行动；也禁止监管人员要求、指示或暗示银行终止某项客户或第三方关系。2025年3月，OCC已先期宣布不再检查声誉风险。
美联储走得相对审慎。2025年6月，美联储宣布不再把声誉风险作为银行检查项目组成部分；2026年2月进一步提出规则提案，希望以正式法规的形式固定这一变化。截至2026年6月，这仍是提案，但监管实践已先行改变。
2026年6月2日的联合更新是上述行动的收尾——从多份跨机构存量文件（涉及资产证券化、网络攻击、运营韧性等主题）中，一次性删除声誉风险引用。
关键的事实没有变：2020年《加强运营韧性的良好实践》的七个核心方面——治理、操作风险管理、业务连续性管理、第三方风险管理、情景分析、安全且具有韧性的信息系统、监测与报告——全部保留。运营韧性的定义也没有发生变化。被删除的只是一个判断依据：监管机构不再把声誉风险作为独立的监管理由。
简单的时间线如下：
2025年3月，OCC宣布不再检查声誉风险
2025年6月，美联储宣布从检查项目中移除声誉风险
2025年下半年，OCC和FDIC提出禁止使用声誉风险的规则
2026年2月，美联储提出相应规则提案
2026年4月，OCC和FDIC发布最终规则
2026年6月，三家机构联合清理跨机构监管文件
二、声誉风险的两种角色：从风险管理工具到监管边界争议
声誉风险并不是2008年金融危机之后才出现的概念。美国银行监管机构长期以来把它定义为：由于客户、交易对手、股东、投资者或公众形成负面看法，而对银行当前或未来收益、资本和业务关系造成的风险。这个概念之所以受到重视，是因为银行经营高度依赖信任——储户是否愿意把资金留在银行，交易对手是否继续提供信用，客户是否继续使用服务，都可能受到公众认知影响。2008年金融危机以及此后硅谷银行倒闭等事件进一步证明，社交媒体和数字银行技术已经把信心变化迅速转化成了可观测的资金流出。
从这个意义上说，监管机构重视银行声誉并没错。但问题在于，“声誉风险”逐渐承担了过多功能——它既可以指网络中断造成客户不满，也可以指产品设计引发投诉；既可以指欺诈事件造成信任下降，也可以指银行与某些政治上敏感的行业或客户发生业务联系。当一个概念几乎可以解释所有负面结果，它也就越来越难以被准确界定、测量和约束。
推动监管改革的直接背景，是近年来美国围绕”去银行化”（Debanking）产生的法律和政治争议——监管机构是否利用声誉风险等模糊理由，直接或间接向银行施压，使银行停止为某些合法但具有政治争议的行业、组织或个人提供服务。批评者认为，只要监管机构说某项业务”可能损害银行声誉”，就可以在不明确指出违法或重大财务风险的情况下影响银行决策。由于”公众可能怎么看”很难验证，这种判断容易受到政治立场和个人偏好影响。
2024年5月，美国最高法院在NRA v. Vullo案中做出一致判决，重申政府官员不能利用监管威胁，胁迫私人机构惩罚政府不赞同的观点。这一判决加强了一个问题：如果监管人员告诉银行某类合法客户”可能带来声誉风险”，银行很难判断这究竟是一般性风险提示还是带有实际监管压力的指令。在这种情况下，“声誉风险”已不再只是一个风险分类，而可能成为监管机构干预银行商业关系的工具。2024年至2026年间，围绕加密资产、枪支行业、能源企业的去银行化争议进一步加剧，最终促使三家机构系统清理声誉风险概念。
三、为什么声誉风险不适合做独立监管依据
OCC和FDIC给出的理由很直接：声誉风险增加了监管的主观性，却没有为安全稳健监管提供足够的增量价值。从风险管理方法上看，这一批评有其道理。
第一，声誉风险难以独立测量。信用风险可以观察违约概率和损失率，流动性风险可以观察现金流缺口和存款流出，操作风险可以观察系统中断和损失事件。但声誉风险应该用什么来计量？负面报道数量、社交媒体情绪、客户投诉还是品牌价值变化？不同群体对同一项业务的评价可能完全相反。监管人员很难建立一致的判断标准。
第二，它经常把原因、传播和结果混在一起。一家银行发生大规模数据泄露，管理报告可能写”本次事件造成重大声誉风险”。但数据泄露是操作风险或网络风险事件；客户恐慌和负面舆论是传播过程；客户转移存款、索赔和监管处罚是实际后果。把这些统称为”声誉风险”，看似全面，实际上掩盖了真正需要管理的风险机制。声誉本身通常不直接导致银行倒闭——真正造成损失的是公众认知变化之后的行为反应：客户关闭账户或提取存款，交易对手缩减信用敞口，资金成本和流动性压力增加。这些后果已经可以分别归入流动性风险、操作风险、合规风险、法律风险和战略风险。在运营韧性分析中，声誉更适合作为风险传导渠道和影响放大机制，而不是独立的致损原因。
第三，模糊概念容易扩大监管裁量。当监管判断只需要回答”这会不会引起负面舆论”，监管边界就会变得很宽。如果监管人员必须进一步说明某项活动可能导致资本受损、流动性紧张或运营中断，判断就更加可验证，也更容易接受事后审查。
四、最关键的边界：公众信心没有退出监管
如果只看”删除声誉风险”几个字，很容易产生一个误解——监管机构不再关心公众信任或客户反应了。事实恰恰相反。OCC和FDIC在最终规则中专门把与银行”财务或运营状况”有关的公众担忧排除在声誉风险定义之外。也就是说，如果客户担心银行存在严重网络安全漏洞、支付系统长期不可用、财务状况恶化或无法及时满足提款要求，这些担忧仍然属于监管范围——因为它们可能直接影响客户行为，进一步影响银行的流动性、盈利能力和偿付能力。
被删除的，是与银行财务和运营状况无关的模糊公众感知，而不是由公众反应形成的真实金融后果。
五、删除之后：运营韧性没有变弱，证明责任变高了
从2020年文件的内容来看，美国运营韧性的基本逻辑仍然完整。其核心不是确保所有中断都不发生，而是要求金融机构在发生严重但合理可信的中断时，能持续提供关键运营和核心业务。变化在于评价方式——从”可能影响声誉”，转向”将造成什么可观察、可衡量的业务后果”。过去的风险报告写”系统中断可能对本行声誉造成重大影响”，这句话通常没错，但管理价值很低，因为它没有说明哪些客户受影响、影响持续多久、管理层应该在什么时候采取什么行动。
更严谨的表达应当是：“手机银行中断超过两小时后，预计有多少客户无法完成支付？失败交易是多少？服务恢复后是否会引发存款转移或流动性压力？”
这种变化会具体影响运营韧性的多个环节。治理层面，管理层不再需要争论”声誉风险由公关部门还是风险部门负责”，而应明确哪些业务服务最重要、谁对服务连续性负责、最大可容忍中断是多少。业务连续性层面，恢复目标不只由技术部门设定，还必须与客户影响和业务后果相联系。第三方风险管理层面，评价供应商的重点从”会不会影响银行品牌”转向”关键服务是否依赖该供应商、能否切换到替选方案、中断多久会突破服务容忍度”。
以下面这个案例为例。一家银行的手机银行和网上银行因第三方软件更新失败而中断八小时。按照传统的声誉风险叙事，这是一场严重的品牌和信任危机。但按照运营韧性方法，应当把事件拆解为一条清晰的影响链：第三方更新失败→身份认证系统不可用→客户无法登录账户和发起支付→客户转向呼叫中心和营业网点导致替代渠道超负荷→支付延迟造成客户经济损失和投诉→社交媒体的负面信息传播→部分客户开始转移存款→存款流出触发流动性监测和管理层升级。监管真正需要检查的是：银行是否识别了第三方单点故障，是否设置了服务中断容忍度，替代渠道能否承受负荷，是否及时向客户沟通，以及事件是否对银行财务和经营状况构成实质影响。这正是删除声誉风险之后，运营韧性框架呈现出的变化——不是不再关心信任，而是要求把信任变化转化为可以证明的客户行为和经营后果。
结语
声誉和声誉风险管理不会因为监管机构删除一个术语而消失。银行仍然需要管理品牌、信任和客户关系。在运营韧性领域，银行仍然需要关注中断后的客户信任。但不能再用”声誉受损”代替对服务、客户、资金和运营后果的分析。一家银行不能通过公关话术弥补长期无法使用的支付系统，也不能仅靠品牌管理解决薄弱的灾难恢复和第三方集中度问题。反过来，可靠的服务、透明的沟通、有效的替代方案和及时的客户支持，本身就是最有力的声誉保护。
从运营韧性文件中删除”声誉风险”，不意味着监管要求放松了。真正值得关注的变化，是监管语言正从抽象的风险名称转向具体的因果关系。过去，“可能造成声誉风险”是一个方便、宽泛但容易被滥用的监管理由，几乎适用于所有负面事件，却很少说明事件将如何影响银行。今后，监管判断将回到更具体的问题：事件是否影响关键运营，客户会遭受什么实际损害，是否会造成资金流出或流动性压力，银行能否在容忍范围内维持重要服务，以及是否违反明确适用的法律法规。
对于运营韧性从业者，这个变化传递的信号非常明确：不能再把”造成声誉影响”当作分析的终点。必须继续向下追问——谁会改变行为，改变什么行为，变化发生得有多快，最终转化成什么可以观察和衡量的业务后果。一个容易使用的词被删掉了，留下的是更高的证明责任。这很可能正是运营韧性方法走向成熟需要的变化。
如果你希望持续跟踪国际 BCM 与运营韧性的监管动态和深度分析，欢迎加入我的知识星球，获取更系统的资料和同行讨论。
如果你在运营韧性、业务连续性管理方面有具体问题或需要专业支持，欢迎联系我们。电话：010-53605969，13001090810（微信同号）。