首先是內部操作風險損失的事件數據。內部操作風險損失數據采集是商業銀行對內部操作風險損失事件形成的損失信息進行記錄、匯總和分析的過程。操作風險損失數據的收集應遵循客觀性、全面性、動態性和規範性原則。
客觀性
綜合性
動態的
標準化
(1)損失數據采集內容
①總損失金額信息；
(二)虧損事件發生的時間和單位信息；
③從總損失中恢復部分信息；
(4)關於損失事件主要原因的描述性信息(描述性信息的詳細程度應與總損失規模相稱)。
(2)損失數據收集的過程
(3)損失數據收集的步驟
二是外部數據。由於那些可能危及商業銀行安全的低頻高損失事件並不多見，因此在評估操作風險時，需要利用相關的外部數據(無論是公開數據還是行業整合數據)來解決大多數商業銀行因內部損失數據有限、樣本過少而扭曲統計結果的問題。
外部數據的使用必須與專家情景分析的使用相結合，以找出嚴重風險事件下的風險暴露。
第三是經營環境和內控因素。
為了滿足監管資本的要求，商業銀行在風險計量框架中使用這些因素時，必須滿足以下標準；
①將每個因素調整為有意義的風險因素，應以實踐經驗為基礎，並征求相關業務領域專家的意見。
②在風險評估中，商業銀行對這些因素的敏感度以及不同因素相對權重的設置必須合理。
(三)框架及其實施情況，包括根據實際評價做出調整的理由，應有文件支持，並接受商業銀行內部和監管機構的獨立審查。
2.風險評估原則
從外到內的原則。具體可分為:非過程風險、過程風險和控制衍生風險。
自上而下的原則。
從已知到未知的原理。
3.風險評估方法
操作風險識別和評估的主要方法包括自我評估法、損失事件數據法和流程圖法。其中應用最廣泛、最成熟的自我評估方法被稱為運營管理的三大基本管理工具之壹。
(1)自我評估法的原則
自我評估法是以商業銀行內部控制制度為基礎，通過識別全體員工的風險，找出全行經營管理中的風險點，從損失金額、發生概率等角度對風險進行評估。
自我評估的主要目標是鼓勵各級機構承擔責任，主動識別和管理操作風險。
(2)自我評估的作用
(3)自我評估的工具和方法
(4)自我評估的工作流程
第壹階段:所有員工的風險識別和報告。
第二階段:操作流程分析和風險識別與評估。作業過程分析和風險識別與評價是識別和評價控制措施的基礎和前提。
第三階段:識別和評估控制活動。
第四階段:制定並實施控制優化方案。自我評估的最終目的是優化控制措施，解決沒有控制、控制不足和控制過度的問題。
第五階段:匯報自評和日常監控。