操作风险是指由不完善或有问题的内部程序、员工、信息科技系统以及外部事件所造成损失的风险，包括法律风险，但不包括声誉风险和战略风险。操作风险可分为人员因素、内部流程、系统缺陷和外部事件四大类别，其中，外部事件方面表现为外部欺诈、自然灾害、交通事故、外包商不履责等。