(Nguồn: Quyết định số 804/2018/QĐ-TGĐ-NHCT7 ngày 25/12/2018,NHCT, tr25)
Các vòng kiểm soát:
Tuyến bảo vệ thứ nhất: bao gồm Chi nhánh, Đơn vị TSC đầu mối và Đơn vị TSC liên quan, thực hiện nhiệm vụ sau:
- Triển khai thực hiện QLRRHĐ tại Đơn vị bao gồm nhận dạng, đo lường, theo dõi, kiểm soát và báo cáo RRHĐ; đề xuất, thiết lập các biện pháp kiểm soát/ hành động giảm thiểu RRHĐ/triển khai các phương án khắc phục để xử lý các lỗ hổng về kiểm soát;
Ban kiểm soát
Hội đồng quản trị
Tổng giám đốc
Uỷ ban Quản lý rủi ro
Tuyến bảo vệ thứ ba Hội đồng rủi ro
Tuyến bảo vệ thứ hai
Đại hội đồng cổ đông Tuyến bảo vệ thứ nhất Phó tổng giám đốc/ Giám đốc khối Phòng KTNB Đơn vị TSC đầu mối Đơn vị TSC liên quan Chi nhánh Phòng QLRRHĐ Phòng Quản lý tuân thủ
- Đảm bảo các quyết định có RRHĐ minh bạch, rõ rang, phù hợp với chiến lược QLRR, chỉ tiêu RRHĐ trong khẩu vị rủi ro, hạn mức kiểm soát RRHĐ, hạn mức RRHĐ các cấp
- Tuân thủ các biện pháp kiểm soát được cài đặt/ thiết lập trong quy định, quy trình/hệ thống trong quá trình tác nghiệp, kinh doanh, đảm bảo biện pháp kiểm soát được thực hiện đầy đủ, hiệu quả trong hoạt động hàng ngày.
- Các đơn vị trụ sở chính đầu mối có nhiệm vụ đầu mối, phối hợp với các đơn vị trụ sở chính liên quan thực hiện các nội dung sau:
+ Phối hợp xây dựng, triển khai, sử dụng hệ thống, phần mềm công nghệ phục vụ công tác QLRRHĐ trong lĩnh vực phụ trách;
+ Phối hợp với tuyến bảo vệ thứ 2 trong việc: phát hiện và xử lý các RRHĐ theo lĩnh vực phụ trách; xây dựng danh mục RRHĐ/biện pháp kiểm soát/kế hoạch hành động đối với sản phẩm dịch vụ, quy trình/quy định và các thay đổi trọng yếu;
+ Đối với hạn mức RRHĐ trong Khối: Thiết lập tương ứng theo loại hình giao dịch, hoạt động kinh doanh, phân khúc khách hàng, loại RRHĐ quản lý đảm bảo phù hợp và không vi phạm hạn mức RRHĐ cấp Khối;
+ Đối với chỉ tiêu QLRRHĐ trong khẩu vị rủi ro, hạn mức kiểm soát RRHĐ, hạn mức RRHĐ các cấp: kiểm soát, giám sát, theo dõi để cảnh báo, nhận biết sớm RRHĐ và nguy cơ vi phạm; phối hợp với tuyến bảo vệ thứ 2 để xử lý khi vi phạm;
+ Báo cáo công tác QLRRHĐ theo quy định.
Tuyến bảo vệ thứ hai: bao gồm phòng QLRRHĐ và Phòng quản lý tuân thủ.
Trong đó, phịng QLRRHĐ chịu trách nhiệm quản lý đối với 8 loại RRHĐ đặc thù bao gồm: Rủi ro nguồn nhân lực, rủi ro tài sản hữu hình, rủi ro ứng dụng cơng nghệ thơng tin, rủi ro văn bản chính sách, rủi ro an tồn thơng tin nội bộ, rủi ro tác nghiệp, rủi ro thuê ngoài, rủi ro gián đoạn hoạt động kinh doanh. Phòng quản lý tuân thủ chịu trách nhiệm quản lý đối với 4 loại RRHĐ đặc thù bao gồm: Rủi ro gian lận nội bộ, rủi ro bảo mật thơng tin khách hàng, rủi ro gian lận bên ngồi, rủi ro tuân thủ.
- Xây dựng chính sách, văn bản chính sách và mơ hình, hệ thống, cơng cụ QLRRHĐ.
+ Phối hợp với tuyến bảo vệ thứ nhất xây dựng chính sách QLRRHĐ và chỉ tiêu QLRRHĐ trong khẩu vị rủi ro, hạn mức kiểm soát RRHĐ, hạn mức RRHĐ, đề xuất mơ hình tổ chức QLRRHĐ phù hợp với quy định của pháp luật, thông lệ quốc tế và thực tiễn hoạt động kinh doanh của NHCT;
+ Phối hợp với tuyến bảo vệ thứ nhất xây dựng văn bản chính sách cấp 3,4,5 về QLRRHĐ;
+ Phối hợp với tuyến bảo vệ thứ nhất xây dựng, triển khai các hệ thống, phần mềm, mô hinh phục vụ công tác QLRRHĐ;
- Triển khai, giám sát QLRRHĐ
+ Đối với chỉ tiêu QLRRHĐ trong khẩu vị rủi ro, hạn mức kiểm soát rủi ro hoạt động, hạn mức rủi ro hoạt động: là đầu mối xây dựng các chỉ tiêu này cấp toàn hàng; phân bổ hạn mức kiểm soát rủi ro hoạt động, hạn mức rủi ro hoạt động cấp khối; độc lập và/hoặc phối hợp với cá đơn vị thuộc tuyến bảo vệ thứ nhất theo dõi chỉ tiêu QLRRHĐ trong khẩu vị rủi ro, hạn mức kiểm soát RRHĐ, hạn mức RRHĐ để cảnh báo, nhận biết sớm rủi ro và nguy cơ vi phạm hạn mức RRHĐ; giám sát công tác thực hiện hạn mức kiểm soát RRHĐ; định kỳ phối hợp với tuyến bảo vệ thứ nhất rà soát, điều chỉnh chỉ tiêu QLRRHĐ trong khẩu vị rủi ro, hạn mức RRHĐ.
+ Độc lập và chủ động phối hợp với các đơn vị giám sát, đánh giá việc thực thi các chính sách QLRRHĐ, văn bản chính sách đối với RRHĐ đặc thù được giao phụ trách trong NHCT;
+ Trực tiếp thực hiện giám sát, QLRRHĐ đặc thù được giao phụ trách cho các rủi ro mang tính trọng yếu theo HĐQT, ban điều hành;
+ Thực hiện chỉ đạo của HĐQT, Tổng giám đốc, Giám đốc khối QLRR, Giám đốc khối Pháp chế tuân thủ trong việc xử lý, khắc phục các tồn tại, hạn chế về QLRRHĐ;
Riêng phịng QLRRHĐ có thêm trách nhiệm sau:
- Xây dựng văn bản chính sách: Chủ trì soạn thảo quy định QLRRHĐ trong hệ thống NHCT (văn bản chính sách cấp 2 về QLRRHĐ)
- Triển khai, giám sát QLRRHĐ:
+ Nhận diện, đánh giá và đề xuất xây dựng danh mục RRHĐ/ biện pháp kiểm soát/kế hoạch hành động đối với sản phẩm dịch vụ, quy trình/quy định và các thay đổi trọng yếu thông qua các công cụ QLRRHĐ, đánh giá RRHĐ của sản phẩm dịch vụ;
+ Đầu mối quản lý và xử lý tổn thất cho RRHĐ thông qua công tác truy đòi đối với các loại bảo hiểm RRHĐ cấp tồn hàng, quỹ dự phịng tài chính của NHCT;
+ Tính vốn yêu cầu cho RRHĐ theo phạm vi riêng lẻ và hợp nhất theo quy định nội bộ của NHCT và yêu cầu của cơ quan quản lý;
Tuyến bảo vệ thứ ba: Là phịng Kiểm tốn nội bộ, thực hiện chức năng kiểm toán nội bộ về QLRRHĐ:
- Kiểm tra, đánh giá độc lập việc tuân thủ cơ chế, chính sách quy định nội bộ về QLRRHĐ của HĐQT, Tổng giám đốc, tuyến bảo vệ thứ nhất và tuyến bảo vệ thứ hai bao gồm cả việc xác định các tồn tại, hạn chế và nguyên nhân;
- Rà sốt, đánh giá độc lập tính thích hợp, tuân thủ quy định của pháp luật của cơ chế, chính sách, quy định nội bộ về QLRRHĐ, bao gồm cả việc xác định các tồn tại, hạn chế và nguyên nhân;
- Đề xuất, kiến nghị đối với HĐQT, Tổng giám đốc, Giám đốc Khối QLRR, tuyến bảo vệ thứ nhất và tuyến bảo vệ thứ hai để xử lý các tồn tại, hạn chế về QLRRHĐ.
Hội đồng quản trị (HĐQT):
- Ban hành, sửa đổi, bổ sung, thay thế, hủy bỏ hoặc đình chỉ các chiến lược QLRRHĐ, văn bản chính sách QLRRHĐ theo thẩm quyền;
- Giám sát Tổng giám đốc trong việc: Tổ chức thực hiện chiến lược QLRRHĐ, văn bản chính sách QLRRHĐ; xử lý khác phục tồn tại, hạn chế của QLRRHĐ theo kiến nghị của ban kiểm soát, NHNN, tổ chức kiểm toán độc lập và các cơ quan chức năng khác; tổ chức thực hiện các nội dung khác về QLRRHĐ do HĐQT quy định trong từng thời kỳ.
Uỷ ban Quản lý rủi ro
Ủy ban QLRR là cơ quan tham mưu, giúp việc cho HĐQT trong giám sát các cá nhân, bộ phận thực hiện nhiệm vụ của HĐQT và các nội dung có liên quan khác theo Quy chế tổ chức và hoạt động của Ủy ban QLRR.
Tổng giám đốc:
- Tổ chức triển khai thực hiện công tác QLRRHĐ bao gồm:
+ Tổ chức thực hiện chính sách và văn bản chính sách QLRRHĐ nhằm hướng dẫn thực hiện nhận dạng, đo lường, theo dõi, kiểm soát, báo cáo RRHĐ;
+ Tổ chức thực hiện chỉ đạo của HĐQT trong việc xử lý, khắc phục tồn tại, hạn chế của QLRRHĐ theo kiến nghị của kiểm toán nội bộ, NHNN, tổ chức kiểm toán độc lập và các cơ quan chức năng khác;
+ Báo cáo công tác QLRRHĐ và đề xuất HĐQT các biện pháp xử lý, khắc phục;
+ Phê duyệt biện pháp kiểm soát và các kế hoạch hành động cần thiết để ngăn ngừa, giảm thiểu RRHĐ;
- Ban hành, sửa đổi, bổ sung, thay thế, hủy bỏ hoặc đình chỉ các văn bản chính sách về QLRRHĐ theo thẩm quyền;
- Phê duyệt ban hành hạn mức RRHĐ trong thẩm quyền, phân bổ hạn mức kiểm soát RRHĐ và hạn mức RRHĐ, giám sát thực hiện chỉ tiêu QLRRHĐ trong khẩu vị rủi ro, hạn mức kiểm soát RRHĐ, hạn mức RRHĐ.
Hội đồng rủi ro là cơ quan tham mưu, giúp việc cho TGĐ trong giám sát các cá nhân, bộ phận thực hiện nhiệm vụ của Tổng giám đốc và các nội dung có liên quan khác theo Quy chế tổ chức và hoạt động của Ủy ban QLRR.
Tại Vietinbank Chi nhánh Vân Đồn cũng đề cao vai trị của quản trị RRHĐ, xây dựng văn hố quản trị RRHĐ trở thành một phần văn hoá doanh nghiệp. Giao phòng Tổng hợp chịu trách nhiệm đầu mối quản trị RRHĐ của Chi nhánh, tuy nhiên chưa giao cán bộ chuyên trách QTRRHĐ, cán bộ vẫn thực hiện kiêm nhiệm công tác QTRRHĐ và các công tác khác. Hàng tháng tại các cuộc họp giao ban, Ban giám đốc ln qn triệt tới các đồng chí trưởng phó các phịng ban đảm bảo tuân thủ các quy trình quy định NHCT, NHNN và pháp luật, hạn chế tối đa RRHĐ. Ngồi ra, Chi nhánh đã bố trí đầy đủ nhân sự thực hiện các chốt kiểm soát ở các phịng đồng thời phân quyền mức kiểm sốt tại các chốt.
2.2.3. Nhận diện, đánh giá, kiểm soát, giám sát, báo cáo RRHĐ
2.2.3.1. Nhận diện RRHĐ tại NHCT
- Nguyên tắc nhận diện rủi ro:
+ RRHĐ phải được nhận diện trong tất cả các sản phẩm, hoạt động kinh doanh, quy định, quy trình nghiệp vụ, hệ thống CNTT và các hệ thống quản lý khác;
+ Rủi ro hoạt động được nhận diện thông qua các yếu tố bên trong NHCT và bên ngoài;
+ Mỗi rủi ro hoạt động sẽ được nhận diện tối thiểu theo các chiều: nghiệp vụ; loại RRHĐ dặc thù theo quy định của NHCT; các trường hợp RRHĐ theo quy đinh của NHNN.
- Theo quyết định số 804/2018/QĐ-HĐQT-NHCT7 ngày 25/12/2018, RRHĐ của NHCT có 12 loại như sau:
+ Rủi ro nguồn nhân lực: Là nguy cơ giảm sút nguồn nhân lực, nguồn nhân lực không đủ, chất lượng nhân sự không đáp ứng yêu cầu hoạt động kinh doanh;
+ Rủi ro tài sản hữu hình: Là nguy cơ phát sinh tổn thất từ việc mất/hư hỏng/thiệt hại/suy giảm chất lượng về hệ thống cơ sở vật chất (bao gồm tài sản cố định và công cụ dụng cụ), an tồn nơi làm việc ( khơng bao gồm hành vi trộm cắp, cướp);
+ Rủi ro ứng dụng công nghệ thông tin: Là nguy cơ phát sinh tổn thất từ ứng dụng công nghệ thơng tin khơng thiết kế/thiếu/khơng được cập nhật, duy trì/khơng được vận hành đầy đủ, kịp thời;
+ Rủi ro văn bản chính sách: Là nguy cơ phát sinh tổn thất từ văn bản chính sách thuộc lĩnh vực chính của NHCT không thiết kế/thiếu/không được cập nhật/không được truyền thông, đào tạo dẫn đến mâu thuẫn/chồng chéo/không được thực thi đúng, đầy đủ;
+ Rủi ro an tồn thơng tin nội bộ: Là nguy cơ phát sinh tổn thất do thông tin của NHCT( ngoại trừ thông tin liên quan đến khách hàng) bị thất thoát cho những cá nhân, đơn vị khơng có chức năng nhiệm vụ liên quan;
+ Rủi ro tác nghiệp: Là nguy cơ phát sinh tổn thất trong quá trình tác nghiệp theo quy trình nghiệp vụ, giao dịch bị sai sót, phản ánh khơng đầy đủ, không cập nhật kịp thời;
+ Rủi ro thuê ngoài: Là nguy cơ phát sinh tổn thất từ việc doanh nghiệp thuê ngoài thực hiện một hoặc một số hoạt động thay cho NHCT nhưng không đúng thỏa thuận và cam kết dẫn đến hoạt động kinh doanh của NHCT không đảm bảo chất lượng và liên tục;
+ Rủi ro gián đoạn hoạt động kinh doanh: Là nguy cơ phát sinh tổn thất từ việc gián đoạn hoạt động kinh doanh thông thường của NHCT. Sự gián đoạn này có thể gây ra bởi: mất tài liệu, cơ sở dữ liệu quan trọng; hệ thống công nghệ thông tin bị sự cố; các sự kiện bất khả kháng (như khủng bố, đe dọa đánh bom, đình cơng, bạo động, thiên tai, lũ lụt, cháy nổ…)
+ Rủi ro gian lận nội bộ: Là nguy cơ phát sinh tổn thất từ hành vi lừa đảo, chiếm đoạt tài sản, vi phạm các chiến lược, chính sách và quy định nội bộ liên quan đến ít
nhất một cá nhân của NHCT (bao gồm cả hành vi không đúng chức trách, nhiệm vụ, hành vi vượt thẩm quyền, trộm cắp, lợi dụng thông tin nội bộ đê trục lợi);
+ Rủi ro gian lận bên ngoài: Là hành vi lừa đảo, chiếm đoạt tài sản do đối tượng bên ngoài gây nên mà khơng có sự trợ giúp, cấu kết của cá nhân, bộ phận của NHCT ( bao gồm cả hành vi trộm cắp, cướp, giả mạo thẻ ngân hàng, chứng từ ngân hàng, xâm nhập hệ thống công nghệ thông tin để chiếm đoạt dữ liệu, tiền);
+ Rủi ro bảo mật thông tin khách hàng: Là nguy cơ phát sinh tổn thất do các thông tin liên quan đến khách hàng của NHCT bị thất thoát cho những cá nhân, đơn vị khơng có chức năng, nhiệm vụ liên quan, vô ý vi phạm quy định liên quan dến bảo vệ quyền lợi khách hàng;
+ Rủi ro tuân thủ (bao gồm phòng chống rửa tiền): Là nguy cơ phát sinh tổn thất do vi phạm nghiêm trọng trong việc tuân thủ các quy định của pháp luật, NHNN; từ việc các giao dịch đáng ngờ, giao dịch rửa tiền, giao dịch với khách hàng trong danh sách cấm vận, tài trợ khủng bố, không tuân thủ các cam kết với cổ đông chiến lược, đối tác, cam kết quốc tế khác.
- Theo quy định của NHNN, RRHĐ nhận diện theo các trường hợp sau:
+ Gian lận nội bộ do hành vi lừa đảo, chiếm đoạt tài sản, vi phạm các chiến lược, chính sách và quy định nội bộ liên quan đến ít nhất một cá nhân của Ngân hàng ( bao gồm cả hành vi không đúng chức trách, nhiệm vụ, hành vi vượt thẩm quyền, trộm cắp, lợi dụng thông tin nội bộ để trục lợi);
+ Gian lận bên ngoài do các hành vi lừa đảo, chiếm đoạt tài sản do đối tượng bên ngoài gây nên mà khơng có sự trợ giúp, cấu kết của cá nhân, bộ phận của NHCT ( bao gồm cả hành vi trộm cắp, cướp, giả mạo thẻ ngân hàng, chứng từ ngân hàng, xâm nhập hệ thống CNTT để chiếm đoạt dữ liệu, tiền);
+ Chính sách về lao động, an tồn nơi làm việc khơng phù hợp hợp đồng lao động, quy định của pháp luật về lao động, bảo vệ sức khỏe và an tồn nơi làm việc;
+ Vơ ý vi phạm quy định liên quan đến khách hàng, quy trình cung cấp sản phẩm khi thực hiện chức năng, nhiệm vụ được giao theo thẩm quyền đối với khách
hàng ( bao gồm cả hành vi vi phạm bảo mật thông tin khách hàng, vi phạm quy định về phòng chống rửa tiền, cung cấp sản phẩm dịch vụ trái quy định);
+ Hư hỏng, mất mát tài sản, công cụ, thiết bị do các sự kiện bất khả kháng, tác động của con người và các sự kiện khác;
+ Gián đoạn hoạt động kinh doanh do hệ thống công nghệ thông tin gặp sự cố; + Hạn chế, bất cập của quy trình giao dịch, kiểm soát giao dịch và quản lý giao dịch.
Ví dụ cụ thể tại Vietinbank Vân Đồn: Ngày 24/01/2018 Chi nhánh phát sinh rủi ro hoạt động: Giao dịch viên hạch toán giải ngân sai số tiền cho khách hàng Bùi Thị Luyến (số tiền sai 30.000.000đ, số tiền đúng 300.000.000đ)
- Do Con người:
+ Lỗi tác nghiệp của cán bộ: giao dịch viên sơ suất nhập nhầm số tiền khi giải ngân cho khách hàng Bùi Thị Luyến.
+ Lãnh đạo phịng trong q trình phê duyệt đã không kiểm tra kỹ giữa chứng từ giải ngân của khách hàng với số tiền được giao dịch viên nhập trên hệ thống nên