根據巴塞爾委員會(以下簡稱委員會)在《協議》第644段給出的定義，操作風險是指由於不完善或有問題的內部程序、人員和系統或外部事件導致損失的風險。這個定義不包括戰略風險和聲譽風險，但包括法律風險。壹般來說，壹家銀行因為經營原因造成的不斷虧損，必然會對其聲譽產生負面影響。委員會建議操作風險不包括戰略風險和聲譽風險的主要考慮是，由於經營戰略不當和聲譽問題導致的損失增加或收益減少在現階段無法量化，因此不納入風險投資的監管範圍。從委員會給出的定義可以看出，操作風險損失是指根據通用會計準則，與操作風險事件相關並反映在銀行財務報表中的財務損失，包括與操作風險事件相關的所有成本，但不包括為避免後續操作風險損失而采取的措施所帶來的機會成本、損失恢復和相關成本。
從商業銀行管理的角度來看，操作風險管理最重要的是解決兩個問題。壹個是如何準確衡量風險；二是用什麽手段或方法來防範操作風險可能造成的損失。目前，國際金融界對操作風險的防控仍處於初步探索階段。由於業務環境不同，數據完整性和可信度不足，目前還沒有公認的、成熟的技術方法可以準確度量操作風險。因此，委員會在協議中鼓勵各國銀行積極開發這壹技術。
協議中提出了三種風險度量方法:基本指數法、標準法和高級計量法。三種方法中，只有高級計量法是委員會允許商業銀行利用自身操作風險損失數據、外部損失數據、情景分析和定性指標自主制定操作風險的計量模型。此外，基本指數法和標準法並不完全是衡量操作風險的方法。這兩種方法本質上都是委員會人為設定壹定的風險權重，然後根據銀行的收益直接得出防範操作風險可能帶來的損失所需的資本量。
操作風險和內部控制
防範操作風險可能造成的損失，是商業銀行操作風險管理要解決的關鍵問題之壹。操作風險不同於信用風險和市場風險，有其特殊性。商業銀行在自身經營活動中需要開展各種類型的業務操作，遍布商業銀行的業務環節、產品線和不同的管理層次。由於各種不確定因素的存在，這些操作過程存在出錯的可能；絕大多數操作風險是可以避免的，甚至不可避免的操作風險也可以通過保險或其他風險轉移機制來減輕。雖然業務操作和相關的經營活動會給銀行帶來價值，但是承擔操作失誤的風險本身並不會創造價值。操作風險的特殊性決定了商業銀行要註重防範損失，損失的減少意味著收益的增加。為防止銀行內部利益沖突，科學控制和計量風險，商業銀行防範操作風險和計量操作風險的內部控制分別由兩個部門承擔。銀行內部控制委員會負責操作風險的控制和防範；本行風險管理委員會將負責操作風險計量和資本配置。
商業銀行內部控制委員會通過內部控制系統防範操作風險。由於操作風險的分散性和多樣性，要求商業銀行內部所有產品線管理部門、所有操作環節和所有業務層面的管理者承擔創造自身價值的所有環節的操作風險管理責任。在1998中，委員會從經理監督、內控文化、風險評估、控制活動、信息交流、監測和監管部門對內控體系的評價等六個方面，對商業銀行內控體系建設、風險計量、內部審計和外部監管提出了14非常具體的基本原則，以規範和指導商業銀行內控體系建設。2004年底，中國銀監會也頒布了《商業銀行內部控制評價試行辦法》，共八章七十二條。從評價目標和原則、評價內容、評價程序和方法、評價標準和等級、組織實施、處罰等六個方面全面規範了商業銀行內部控制管理。是我國銀行業走向科學管理、完善自我約束機制的具有現實意義的指導性文件。