1.3. Nội dung quản trị rủi ro hoạt động
1.3.2.1. Nhận diện rủi ro
Đây là vấn đề quan trọng nhất trong việc phát triển hệ thống giám sát và kiểm soát RRHĐ tiếp theo. Nhận diện rủi ro hiệu quả phải xem xét đến cả nhân tố bên trong (cơ cấu tổ chức, đặc tính của các hoạt động ngân hàng, chất lượng nguồn nhân
lực, sự thay đổi tổ chức) và nhân tố bên ngoài (sự thay đổi của nền công nghiệp và các tiến bộ khoa học kỹ thuật) có ảnh hưởng mạnh mẽ đến mục tiêu cần đạt được của hoạt động ngân hàng. Tùy theo phương pháp quản lý, mỗi ngân hàng có thể quy định một cách thức nhận diện rủi ro hoạt động khác nhau nhưng thông thường được thực hiện theo 7 nhóm dấu hiệu sau:
* Nhóm dấu hiệu rủi ro hoạt động liên quan đến mô hình tổ chức bộ máy và an toàn nơi làm việc:
- Rà soát, đánh giá thường xuyên mô hình tổ chức bộ máy, cơ cấu các bộ phận nghiệp vụ, tình hình nhân sự.
Thông qua việc rà soát, đánh giá mô hình tổ chức bộ máy và an toàn nơi làm việc mà các ngân hàng có thể tìm ra các loại dấu hiệu rủi ro từ nhân viên; công tác tuyển dụng, bố trí, bổ nhiệm cán bộ; việc thực hiện chưa đúng các quy định của pháp luật đối với người lao động.
* Nhóm dấu hiệu rủi ro liên quan đến cơ chế, chính sách, quy định bao gồm: - Chính sách, quy định còn thiếu hoặc chưa đầy đủ, chưa chặt chẽ, chưa cụ thể, có kẽ hở tạo điều kiện kẻ xấu lợi dụng, gây tổn thất cho ngân hàng.
- Các văn bản quy định có sự chồng chéo, không hợp lý, gây khó khăn cho người thực hiện hoặc không thể thực hiện được, nội dung chưa đúng, chưa phù hợp với quy định của pháp luật hiện hành.
Do đó thường xuyên rà soát cơ chế, chính sách, quy định, quy trình nội bộ trong quá trình hoạt động là yêu cầu không thể thiếu.
* Nhóm dấu hiệu rủi ro liên quan đến gian lận nội bộ: Nhận diện những dấu hiệu rủi ro như cán bộ tự thực hiện hoặc cấu kết với nhau hoặc với khách hàng để thực hiện những hoạt động phạm pháp nhằm mục đích chiếm đoạt tài sản, huỷ hoại uy tín của ngân hàng.
* Nhóm dấu hiệu rủi ro liên quan đến gian lận bên ngoài: Bao gồm những hành động có chủ đích như gian lận, lừa đảo của khách hàng hoặc của các đối tượng
bên ngoài khác nhằm mục đích chiếm đoạt tài sản như làm giả hồ sơ, cung cấp thông tin không đúng sự thật,…
* Dấu hiệu rủi ro liên quan đến quá trình xử lý công việc: Các ngân hàng cần thường xuyên theo dõi, thống kê đầy đủ các lỗi, sai sót phát sinh trong quá trình xử lý công việc của tất cả các bộ phận để nhận diện được các dấu hiệu rủi ro như không tuân thủ quy định quy trình, kiểm soát không chặt chẽ, thực hiện nghiệp vụ vượt thẩm quyền,…
* Dấu hiệu rủi ro liên quan đến hệ thống công nghệ thông tin: Phải thường xuyên theo dõi hoạt động của hệ thống, thống kê đầy đủ các các lỗi, sai sót, sự cố của hệ thống công nghệ thông tin ảnh hưởng đến hoạt động ngân hàng.
* Dấu hiệu rủi ro liên quan đến thiệt hại tài sản: Ngân hàng xem xét, đánh giá khả năng xảy ra rủi ro như phá hoại, khủng bố, thiên tai, hoả hoạn, động đất,…
1.3.2.2. Đánh giá RRHĐ
Đây là việc xác định mức độ rủi ro của các loại rủi ro hoạt động, đánh giá khả năng xảy ra các rủi ro này. Đánh giá rủi ro hiệu quả cho phép ngân hàng hiểu rõ hơn hồ sơ rủi ro của mình và nguồn quản trị rủi ro mục tiêu hiệu quả nhất.
Mức độ RRHĐ được đánh giá dựa trên hai yếu tố: ảnh hưởng của rủi ro đến hoạt động ngân hàng và khả năng, tần suất xảy ra rủi ro.
Trong đó ảnh hưởng của RRHĐ được xét trên hai khía cạnh gồm ảnh hưởng tài chính và ảnh hưởng phi tài chính, cụ thể:
- Ảnh hưởng về tài chính, bao gồm không giới hạn các yếu tố: tổn thất bằng tiền mặt, thiệt hại tài sản, chi phí mà ngân hàng phải bỏ ra để bồi thường, khôi phục tình trạng của tài sản/hoạt động của ngân hàng như ban đầu trước khi sự kiện RRHĐ xảy ra.
- Ảnh hưởng phi tài chính bao gồm không giới hạn các yếu tố: danh tiếng, pháp lý, gián đoạn hoạt động, sai lệch thông tin quản lý và con người.
Trước tiên các ngân hàng cần sắp xếp rủi ro: Đối chiếu, so sánh, kết hợp các kết quả đánh giá RRHĐ qua các công cụ khác nhau để lập hồ sơ, danh mục, bản đồ RRHĐ của toàn ngân hàng. Trong quá trình này, các đơn vị kinh doanh khác nhau, chức năng tổ chức được sắp xếp theo từng loại rủi ro. Công việc này có thể tiết lộ các khu vực có điểm yếu và giúp dành ưu tiên cho các hoạt động quản trị theo sau.
Tiếp theo là sự đo lường: một vài ngân hàng đã bắt đầu định lượng khả năng xảy ra rủi ro thông qua các cách tiếp cận khác nhau. Ví dụ, dữ liệu về các tổn thất đã xảy ra của một ngân hàng có thể cung cấp các thông tin quan trọng cho việc đánh giá khả năng xảy ra rủi ro hoạt động và phát triển một chính sách để kiểm soát rủi ro. Một cách hay để sử dụng hiệu quả thông tin này đó là thiết lập một khuôn mẫu để theo dõi và ghi lại một cách có hệ thống mức độ thường xuyên, nghiêm trọng và những thông tin liên quan khác cho từng sự kiện rủi ro. Một số ngân hàng cũng đã kết hợp dữ liệu về tổn thất nội bộ và dữ liệu về tổn thất bên ngoài, phân tích kịch bản và các nhân tố đánh giá rủi ro.
1.3.2.3. Kiểm soát RRHĐ
Các ngân hàng nên có chính sách, quy trình và thủ tục để kiểm soát và đưa ra chương trình giảm thiểu rủi ro. Các ngân hàng nên xem xét lại theo định kỳ các ngưỡng rủi ro và chiến lược kiểm soát và nên điều chỉnh hồ sơ RRHĐ cho phù hợp bằng cách sử dụng các chiến lược thích hợp với rủi ro tổng thể và rủi ro đặc trưng.
Đối với tất cả các RRHĐ hữu hình đã được xác định, các ngân hàng nên quyết định có hoặc không sử dụng các thủ tục thích hợp để kiểm soát và/hoặc giảm thiểu rủi ro hoặc chấp nhận chúng. Đối với những rủi ro không thể kiểm soát, ngân hàng phải quyết định có chấp nhận rủi ro, giảm thiểu mức độ hoạt động kinh doanh có liên quan hoặc hoàn toàn rút khỏi hoạt động này hay không.
Các ngân hàng cần:
- Thiết kế, cài đặt, tổ chức thực hiện các biện pháp kiểm soát ngay trong mọi quy trình nghiệp vụ. Hoạt động kiểm soát là một phần gắn liền với các hoạt động của ngân hàng cho phép phản ứng nhanh chóng khi điều kiện thay đổi và tránh phát sinh chi phí không cần thiết.
Một hệ thống kiểm soát nội bộ hiệu quả cũng yêu cầu có sự phân chia nhiệm vụ, quy định hạn mức rủi ro thích hợp để tránh gây ra xung đột lợi ích. Việc phân công các nhiệm vụ mâu thuẫn cho các cá nhân và các nhóm làm việc làm họ dễ dàng che đậy lỗi, tổn thất, và các hành động không phù hợp. Do đó các khu vực có tiềm năng xung đột cần được quan tâm, xác định, giảm thiểu và theo dõi cẩn thận, riêng rẽ nếu cần thiết.
Ngoài việc phân chia nhiệm vụ, ngân hàng cần phải đảm bảo các hoạt động nội bộ khác phù hợp để kiểm soát rủi ro hoạt động:
+ Giám sát chặt chẽ tuân thủ các ngưỡng rủi ro được ấn định.
+ Duy trì biện pháp bảo vệ để truy cập và sử dụng tài sản và các hồ sơ của ngân hàng.
+ Đảm bảo nhân viên có chuyên môn phù hợp và được đào tạo.
+ Xác định phạm vi kinh doanh hoặc các sản phẩm xuất hiện có doanh thu không tương xứng kỳ vọng hợp lý. Ví dụ như khi có rủi ro thấp nhưng lợi nhuận cao cũng cần có câu hỏi liệu đó có là kết quả của một hành vi vi phạm kiểm soát nội bộ.
+ Thường xuyên xác minh và đối chiếu các giao dịch và tài khoản.
- Thiết lập chương trình quản lý kinh doanh liên tục: là việc đưa ra các kịch bản và hướng dẫn ứng phó với các tình huống khẩn cấp và xây dựng kế hoạch dự phòng nhằm giúp ngân hàng giảm thiểu tổn thất và gián đoạn hoạt động kinh doanh. RRHĐ có khuynh hướng rõ rệt hơn khi các ngân hàng tham gia vào các hoạt động mới hoặc phát triển sản phẩm mới (đặc biệt khi các hoạt động hay sản phẩm mới này không nhất quán với chiến lược kinh doanh cốt lõi), thâm nhập vào các thị trường không quen thuộc và/hoặc tham gia vào các hoạt động kinh doanh có vị trí địa lý cách xa trụ sở chính. Hơn nữa, trong nhiều trường hợp như vậy, các ngân hàng không đảm bảo việc quản lý hạ tầng kiểm soát rủi ro giữ được nhịp độ với tốc độ tăng trưởng hoạt động kinh doanh. Do đó các ngân hàng phải đảm bảo sự chú ý đặc biệt đối với các hoạt động kiểm soát nội bộ khi tồn tại các điều kiện này.
- Xây dựng văn hoá quản trị RRHĐ: là việc tổ chức, triển khai các chương trình nhằm xây dựng hình thành, duy trì các giá trị, nhận thức, thái độ, trình tự, hành vi ứng xử đối với RRHĐ được mọi cá nhân thừa nhận và thực hiện trong quá trình hoạt động hàng ngày phù hợp với cơ cấu tổ chức, vai trò trách nhiệm, chiến lược, chính sách, quy trình, hệ thống, công cụ quản trị RRHĐ được thiết lập.
- Thực hiện chia sẻ/chuyển giao RRHĐ thông qua các công cụ bảo hiểm RRHĐ, thuê ngoài,…
Một số RRHĐ có xác suất thấp nhưng tiềm ẩn những ảnh hưởng tài chính rất lớn. Hơn nữa không phải tất cả các sự kiện rủi ro đều có thể kiểm soát được. Khi đó có thể sử dụng chính sách bảo hiểm, đặc biệt là các chính sách có tính năng chi trả kịp thời và chắc chắn có thể được sử dụng để giảm nhẹ rủi ro tổn thất “tần số thấp, mức độ cao” có thể xảy ra do các sự kiện đó.
Tuy nhiên, ngân hàng nên xem xét công cụ giảm nhẹ rủi ro là bổ sung chứ không phải là sự thay thế hoàn toàn việc kiểm soát rủi ro hoạt động nội bộ.
Đầu tư công nghệ xử lý thích hợp và bảo mật thông tin cũng rất quan trọng để giảm thiểu rủi ro. Tuy nhiên mức độ tự động hoá gia tăng có thể chuyển đổi tổn thất có rủi ro cao, mức độ nghiêm trọng thấp thành các tổn thất có tần suất thấp nhưng mức độ nghiêm trọng cao. Tiếp theo có thể kết hợp với những tổn thất hoặc kéo dài sự gián đoạn dịch vụ gây ra bởi các yếu tố nội bộ hoặc các yếu tố vượt ra ngoài tầm kiểm soát tức thời của ngân hàng (các sự kiện bên ngoài). Các vấn đề như vậy có thể tạo ra những khó khăn nghiêm trọng cho ngân hàng và gây nguy hại cho việc quản lý các hoạt động kinh doanh chủ chốt. Khi đó để giải quyết những rủi ro trên, các ngân hàng còn phải thiết lập các kế hoạch để khắc phục thảm hoạ và tiếp tục kinh doanh.
Ngoài ra ngân hàng còn có thể chia sẻ/chuyển giao RRHĐ thông qua hoạt động thuê ngoài. Đây là việc ngân hàng thuê một bên khác thực hiện một phần hoặc toàn bộ hoạt động/quy trình liên quan đến việc cung cấp sản phẩm/dịch vụ đặc thù của ngân hàng cho khách hàng hoặc hoạt động nội bộ của ngân hàng. Tuy nhiên việc sử dụng lao động của bên thứ ba cũng không làm giảm trách nhiệm của hội
đồng quản trị và nhà quản lý để đảm bảo hoạt động đó được tiến hành một cách an toàn và phù hợp với pháp luật. Sắp xếp lao động thuê ngoài phải dựa trên hợp đồng chặt chẽ hoặc các thoả thuận dịch vụ đảm bảo phân định rõ trách nhiệm giữa các bên. Hơn nữa, ngân hàng cần quản lý các rủi ro còn lại liên quan đến hoạt động thuê ngoài, bao gồm cả việc dịch vụ bị gián đoạn.
Các ngân hàng nên thực hiện một sự kiểm tra thẩm định ban đầu và giám sát các hoạt động của các nhà cung cấp thứ ba, đặc biệt là sự thiếu kinh nghiệm về môi trường quy định trong ngành ngân hàng, và xem xét lại quá trình này (bao gồm cả việc tái đánh giá những thẩm định ban đầu) một cách thường xuyên. Đối với những hoạt động quan trọng, ngân hàng cần phải xem xét các kế hoạch để đối phó với những sự cố bất ngờ, bao gồm những phương án thay thế sẵn sàng, các chi phí và nguồn lực cần thiết để chuyển sang cho các đơn vị bên ngoài khác, ngay cả trong trường hợp ít thời gian chuẩn bị nhất.
Trong một số trường hợp, ngân hàng có thể quyết định hoặc giữ lại rủi ro ở một mức độ nhất định, hoặc tự đối phó với rủi ro đó. Khi trường hợp này xảy ra và rủi ro đó là hữu hình, quyết định giữ lại hoặc tự đối phó với rủi ro cần phải được minh bạch trong tổ chức và nhất quán với chiến lược kinh doanh tổng thể của ngân hàng.