của thị trường như: tỷ giá, lãi suất hoặc khả năng thanh khoản.
* Rủi ro chính sách và chiến lược:
Là những rủi ro xuất phát từ việc ban hành các cơ chế, chính sách tiền tệ, một chính sách do NHTW đưa ra sẽ có tác động trực tiếp đến nền kinh tế rất lớn; hậu quả để lại do cơ chế chính sách không đồng bộ, thiếu minh bạch
không có tính khả thi là rất lớn. Ngoài ra còn có nguyên nhân do hiểu sai về quan điểm, chế độ, chính sách.
Rủi ro chiến lược không chỉ tập trung vào việc phân tích một văn bản về kế hoạch chiến lược nó còn tập trung vào cách thức mà những kế hoạch, hệ thống và việc thực hiện ảnh hưởng đến giá trị, uy tín của NHTW. Rủi ro chiến lược cũng có thể phát sinh khi NHTW quyết định không theo đuổi xu hướng phát triển chung.
* Rủi ro hoạt động:
Rủi ro hoạt động được định nghĩa trong cơ cấu quản trị rủi ro hoạt động như là rủi ro về tổn thất tài chính hoặc gây thiệt hại đến danh tiếng, uy tín của NHTW. Rủi ro hoạt động có nguồn gốc gắn với lỗi kỹ thuật hoặc liên quan đến lỗi do nhân tố con người, quá trình xử lý hệ thống công nghệ thông tin, các quy trình được xây dựng ra và đưa vào sử dụng không tương xứng hoặc yếu kém...nó có thể xảy ra bất kỳ lúc nào với bất cứ lý do nào. Do đó đối với rủi ro hoạt động khó có thể lượng hóa, khó thu thập tổng hợp, số lượng lớn và đa dạng. Rủi ro hoạt động được biểu hiện dưới các dạng: Gian lận, sự hỗ trợ cho hệ thống máy tính kém hiệu quả, mất dữ liệu, mất tài sản, thông tin quản lý không đầy đủ...Vì vậy, xuất phát từ các nguyên nhân và ảnh hưởng của rủi ro hoạt động, trong quản trị rủi ro NHTW phải thiết lập được kế hoạch ngăn ngừa, giảm thiểu rủi ro. Các rủi ro hoạt động phải được phân tích kỹ lưỡng nguyên nhân và ảnh hưởng cũng như các tổn thất để đưa vào cơ sở dữ liệu của NHTW làm cơ sở cho quản trị rủi ro hoạt động trong tương lai.
* Rủi ro danh tiếng:
Là rủi ro liên quan đến tổn thất thực sự hoặc nhận thấy được sự tín nhiệm, uy tín và tính hiệu lực của NHTW bị giảm sút. Rủi ro danh tiếng là rủi ro phát sinh những quan điểm tiêu cực của công chúng về NHTW dẫn đến tình trạng mất lòng tin của người dân, có thể kéo theo những hành động gây
22
nên tình trạng kéo dài quan niệm không tốt trong dân chúng về hoạt động chung của NHTW và khi đó khả năng thiết lập và duy trì uy tín sẽ trở nên khó khăn.
Có thể nói rằng rủi ro danh tiếng, uy tín là rủi ro lớn nhất, tổng hợp là trung tâm của tất cả các loại rủi ro trong các rủi ro mà NHTW gặp phải. Rủi ro danh tiếng xuất hiện trong toàn bộ tổ chức của NHTW do đó trong các quan hệ, giao dịch xử lý nghiệp vụ cần hết sức thận trọng. Rủi ro danh tiếng có thể đơn giản bắt nguồn từ những tuyên bố sai lầm của những người có trách nhiệm, những cán bộ lãnh đạo quản lý, có sự ảnh hưởng to lớn đến uy tín của NHTW.
1.2.2. Đánh giá rủi ro của Ngân hàng Trung ương
Đánh giá rủi ro là tiến trình có tính hệ thống để phân tích, đánh giá tổng hợp những xét đoán về rủi ro có thể gây tác hại cho hoạt động NHTW, làm công cụ để thiết lập kế hoạch kiểm toán nội bộ hàng năm của NHTW. Khi lập kế hoạch kiểm toán cần phải xác định thứ tự ưu tiên kiểm toán cao hơn cho các hoạt động có rủi ro cao hơn. Tiến trình đánh giá rủi ro để thiết lập kế hoạch kiểm toán của NHTW cần phải kết hợp chặt chẽ các thông tin từ các nguồn khác nhau.
Xác định và phân tích các rủi ro liên quan đến việc đạt được các mục tiêu của NHTW, với mục đích làm thế nào xác định được những rủi ro cần được quản lý.
Đánh giá rủi ro đầu tiên là xác định của các mục tiêu hoạt động, sau đó một hệ thống nhận dạng của những yếu tố mà có thể tác động, ngăn chặn việc đạt đựợc các mục tiêu đó. Nói cách khác, nó là một quá trình phân tích về những nguyên nhân của việc đi không đúng, sai với định hướng kế hoạch và chế độ.
Không phải tất cả rủi ro như nhau đều được đánh giá giống nhau; một số rủi ro có nhiều khả năng xảy ra hơn và một số rủi ro sẽ có tác động lớn hơn nếu chúng xảy ra. Vì vậy, một khi rủi ro được xác định thì việc đánh giá rủi ro là phải đánh giá được ý nghĩa của xác suất và mức độ tác động của nó.
Việc đánh giá rủi ro của tổ chức, quy trình nghiệp vụ trên các mặt sau: - Đánh giá mức độ, xu hướng của rủi ro;
- Hiệu quả của các quy trình quản lý rủi ro;
- Khả năng chống đỡ, ngăn chặn ảnh hưởng nếu đối mặt với rủi ro (Khả năng về tài chính, nhân lực, uy tín ...).
Khi đã xác định và đánh giá mức độ rủi ro, nhà quản lý phải quyết định làm thế nào để đối phó với rủi ro. Trong một số trường hợp, quyết định có thể
Hậu quả khi rủi ro xảy ra Khả năng xảy ra ________rủi ro________
Mức độ rủi được xác
định
Phá sản, đóng cửa hoạt động trong thời gian dài
Hầu như chắc chắn (Xác suất > 50%
Rất cao (Mức 5) 24
để kiểm soát rủi ro, trong trường hợp khác có thể được chấp nhận rủi ro, hoặc chuyển giao rủi ro ...
Quá trình đánh giá rủi ro là liên tục vì các mối đe dọa từ bên trong và bên ngoài không ngừng phát triển, gây lên những mối nguy hiểm mới cho tổ chức. Bản thân sự thay đổi chính nó là một nguy cơ rủi ro và nhà quản lý phải liên tục điều chỉnh chính sách và thủ tục để quản lý rủi ro. Mỗi đơn vị đối mặt với những thách thức riêng của mình và phải đánh giá nó như thế nào, quản lý để đáp ứng mục tiêu của nó.
Trong thực tế, để đánh giá rủi ro tiềm tàng KTV có thể dựa vào nhiều nguồn thông tin khác nhau. Chẳng hạn, KTV có thể dựa vào kết quả của cuộc kiểm toán trước. Ví dụ, nếu kết quả cuộc kiểm toán năm trước chỉ ra rằng không phát hiện bất kỳ một sai phạm trọng yếu nào thì KTV nên đánh giá khả năng tiềm ẩn rủi ro tiềm tàng sẽ lớn và phải chú ý nhiều. Hoặc thông qua việc thu thập các thông tin về nghiệp vụ, hoạt động của đối tương kiểm toán, KTV có thể hiểu được bản chất kinh doanh của đơn vị, hiểu được tính chất phức tạp của các nghiệp vụ... và từ đó có thể đưa ra dự đoán của mình về rủi ro tiềm tàng. Cụ thể nội dung của đánh giá rủi ro bao gồm:
1.2.2.1. Đánh giá khả năng xảy ra rủi ro (còn gọi là đánh giá xác suất)
Việc đưa ra các biện pháp, phương pháp áp dụng quản lý rủi ro cho từng loại rủi ro là rất phức tạp. Đánh giá khả năng xảy ra rủi ro thực chất là đánh giá xác suất ở các mức độ khác nhau để đưa ra mức độ rủi ro cao, thấp. Mức độ áp dụng cho việc đánh giá yếu tố khả năng xảy ra rủi ro thường được xác định như sau
(Xem bảng 1.1: Bảng đánh giá khả năng xảy ra rủi ro). 25
hưởng phần lớn đến các mục tiêu trong một thời gian dài
x ảy ra
(Xác suất 20-50%) (Mức 4)Cao Cản trở hoạt động của đơn vị, ảnh
hưởng phần lớn đến các mục tiêu trong một thời gian giới hạn
Có thể xảy ra
(Xác suất 10-25%) Trung bình (Mức 3) Gây cản trở, bất tiện nhưng không
ảnh hưởng đến việc đạt được các mục tiêu quan trọng Không chắc chắn xảy ra (Xác suất 1-10%) Thấp ( Mức 2) Gây ra sự cản trở, bất tiện rất nhỏ,
không ảnh hưởng đến việc đạt được các mục tiêu
Hiếm khi xảy ra (Xác suất dưới 1%)
Rất nhấp (Mức 1)
Xác suất / Khả năng xảy ra Hậu quả / Mức độ ảnh hưởng > 10 tỷ đồng Nghiêm trọng 5 Từ 1 tỷ đồng - 10 tỷ đồng Rất lớn 4 Từ 200 triệu - 1 tỷ đồng Lớn 3 Từ 20 triệu - 200 triệu Nhỏ 2 < 20 triệu Rất nhỏ 1
Trong quá trình đánh giá còn phải kết hợp xem xét các yếu tố khác khi ước lượng khả năng xảy ra rủi ro bao gồm như: Kinh nghiệm hoạt động trong quá khứ, sự thay đổi quy trình hoặc hệ thống mới, mức độ biến động của môi trường xung quanh, tình trạng sẵn sàng của hệ thống thông tin, dữ liệu, mức độ phức tạp của hoạt động nghiệp vụ, qui mô hoạt động ....
1.2.2.2. Đánh giá tác động rủi ro (đánh giá hậu quả khi rủi ro xảy ra)
Điều này được thể hiện đo lường dưới dạng sự thiệt hại về tài chính, vật chất, rủi ro về danh tiếng những ảnh hưởng không mong muốn đối với những quyết định. Cũng giống như xem xét về khả năng xảy ra rủi ro thì việc đánh giá hậu quả hay tác động của rủi ro phải được thông qua khung đánh giá
26
thống nhất để phân tích và chấm điểm rủi ro. Các yếu tố rủi ro được xem xét khi ước lượng, đánh giá hoặc chấm điểm cho mức độ ảnh hưởng bao gồm:
-Những tác động có thể xảy ra ảnh hưởng đến việc đạt được các mục tiêu; - Những tác động có thể xảy ra ảnh hưởng tới việc đạt được mục tiêu của
các đơn vị hoặc các quy trình khác;
- Khả năng phản ứng, ngăn chặn tức thì của đơn vị, tổ chức để hạn chế tác động và sự ảnh hưởng của rủi ro...
Cũng giống như việc đánh giá xác suất, khả năng xảy ra rủi ro thì việc đánh giá mức độ ảnh hưởng, việc ước lượng và cho điểm cũng được đánh giá theo các cấp độ khác nhau như: Mức độ nghiêm trọng, rất lớn, lớn, nhỏ và rất nhỏ.
Việc xác định các yếu tố của rủi ro, căn cứ vào tác động (hậu quả) và khả năng xảy ra đối với rủi ro sẽ giúp cho người làm công tác đánh giá rủi ro đưa ra được các giá trị hay còn gọi là điểm rủi ro điều này rất có ý nghĩa phục vụ công tác kiểm toán....
Ví dụ về đánh giá tác động thiệt hại về tài chính như sau:
Xác suất / Khả năng xảy ra
hưởng
Mất uy tín nghiêm trọng trên trường quốc tế hoặc (và) trong nước
Nghiêm trọng 5
Mất uy tín trên trường quốc tế hoặc (và ) mất niềm tin trong nước
Rất lớn
4 Giảm sút uy tín trên trường quốc tế hoặc
(và ) giảm sút niềm tin trong nước
Lớn
3 Anh hưởng nhỏ đối với quốc tế hoặc (và)
giảm sút uy tín trong nước
Nhỏ
2 Anh hưởng nhỏ trong nước hoặc vấn đề
nhỏ ít quan trọng
Rất nhỏ
1
Hoặc ví dụ về đánh giá tác động thiệt hại về uy tín dựa trên các yếu tố sau: 27
5 Có vấn đề 10 Cần có biện pháp kiểm soát bổ sung 15 Không thể chấp nhận 20 Không thể chấp nhận 25 Không thể chấp nhận 4 Chấp nhận 8 Có vấn đề 12 Cần có biện pháp kiểm soát bổ sung 16 Không thể chấp nhận 20 Không thể chấp nhận 3 Chấp nhận 6 Có vấn đề 9 Cần có biện pháp kiểm soát bổ sung 12 Cần có biện pháp kiểm soát bổ sung 15 Không thể chấp nhận 2 Chấp nhận 4 Chấp nhận 6 Có vấn đề 8 Có vấn đề 10 Cần có biện pháp kiểm soát bổ sung 1 Chấp nhận 2 Chấp nhận 3 Chấp nhận 4 Chấp nhận 5 Có vấn đề
Để lượng hóa được rủi ro, trong đánh giá rủi ro thông thường sử dụng phương pháp cho điểm rủi ro để xác định mức độ rủi ro cao hay thấp. Phương pháp cho điểm rủi ro đó chính là chỉ định một mức độ rủi ro theo các mức độ khác nhau có thể là cao, thấp, trung bình ...Với mỗi mức độ rủi ro sẽ cho điểm riêng theo tỷ lệ, rủi ro đánh giá ở mức cao thì cho điểm cao, rủi ro đánh giá ở mức thấp sẽ cho điểm thấp. Bên cạnh đó có thể sử dụng phương pháp cho điểm đối với các yếu tố cấu thành rủi ro như theo sơ đồ nhiệt. Cụ thể sẽ cho điểm số hậu quả hay còn gọi là tác động nếu rủi ro xảy ra và điểm khả năng xảy ra rủi ro( ví dụ theo các mức từ 1-5 điểm). Mỗi mức sẽ gán cho một giá trị; điểm hậu quả và điểm khả năng xảy ra có thể được kết hợp với nhau có thể nhân với nhau hoặc kết hợp với nhau để có 1 điểm tổng thể. Ví dụ như sơ đồ nhiệt dưới đây ( Hình 1.2: Sơ đồ nhiệt rủi ro đơn lẻ) thì điểm rủi ro nguy cơ cao nhất được xác định là 25 điểm.
28
0,75 1 1 0,5 0,75 1 0,25 0,5 0,75 Không đáng ... , _ ... . , Tồi tệ, thảm . . Nhỏ Trung bình Lớn kê họa
Hậu quả (Tác động) khi rủi ro xảy ra
+ Cấp độ: Chấp nhận (màu xanh da trời): Rủi ro có thể chấp nhận được, có thể bỏ qua;
+ Cấp độ có vấn đề (màu xanh lá cây) đòi hỏi phải có sự lưu tâm, giám sát tiến trình biến thiên và sự gia tăng của rủi ro;
+ Cấp độ có vấn đề (màu cam) đòi hỏi phải có biện pháp kiểm soát bổ sung để kiểm soát sự gia tăng của rủi ro.
+ Cấp độ: Không thể chấp nhận được (màu đỏ) thể hiện rủi ro cao không thể chấp nhận được đòi hỏi phải có hành động quản lý rủi ro ngay lập tức.
Trong kiểm toán, để đánh giá chính xác rủi ro thì khi đánh giá không chỉ căn cứ vào điểm rủi ro đơn lẻ bao gồm điểm cho tác động và điểm cho tần suất mà còn bao gồm cả các yếu tố tác động khác làm giảm rủi ro tiềm tàng. Ví dụ như điểm cho thời gian của đợt kiểm toán trước và điểm cho mức độ đánh giá, kết luận của đợt kiểm toán trước đó, điểm cho hệ thống KSNB làm cơ sở cho xây dựng kế hoạch kiểm toán tiếp theo.( Xem hình 1.3: Sơ đồ nhiệt điểm rủi ro cho đợt kiểm toán trước).
Màu xanh Màu vàng Màu đỏ
(Rủi ro đã được (Rủi ro được kiểm (Rủi ro không được
kiểm soát) soát 1 phần) kiểm soát)
Mức độ đánh giá, kết luận của đợt kiểm toán trước
Trong hình trên được hiểu như sau:
-Cho điểm đối với khoảng cách thời gian và điểm đối với đánh giá, kết luận của đợt kiểm toán gần nhất cụ thể:
Điểm cho thời gian 1 năm là 0,25; Thời gian 2 năm là 0,5; Thời gian 3 năm là 0,75.
Điểm cho mức độ đánh giá, kết luận của đợt kiểm toán trước: Màu xanh (Rủi ro đã được kiểm soát) điểm là 0,25;
Màu vàng (Rủi ro được kiểm soát một phần) điểm là 0,5; Màu đỏ (Rủi ro không được kiểm soát) điểm là 0,75.
Trong sơ đồ trên thì việc đánh giá rủi ro tiềm tàng có sự xem xét đến các yếu tố tác động làm giảm điểm rủi ro cụ thể là thời gian và mức độ đánh giá của đợt kiểm toán trước gần nhất. Giả sử một rủi ro tiềm tàng được xác định tại hình 1.2 có điểm rủi ro là 16 được xem là mức cao không thể chấp nhận được đòi hỏi phải có biện pháp để kiểm soát rủi ro đó tức thì, trong khi khoảng cách thời gian đợt kiểm toán trước gần nhất là 2 năm với mức độ đánh giá là màu vàng (tức là một phần rủi ro đó đã được kiểm soát hình 1.3) khi đó điểm rủi ro tiềm tàng sẽ giảm đi và được xác định là 16 x 0,75 = 12. Trên cơ sở điểm rủi ro tiềm tàng sau khi đã tính đến các yếu tố giảm rủi ro làm cơ sở xét tiếp đến các yếu tố khác.
1.2.2.3. Đánh giá hệ thống kiểm soát nội bộ
Nghiên cứu hệ thống KSNB và đánh giá rủi ro kiểm soát là một phần việc hết sức quan trọng mà KTV phải thực hiện trong kiểm toán. Vấn đề này được quy định trong nhóm chuẩn mực kiểm toán được chấp nhận rộng rãi. Ớ Việt Nam được quy định trong chuẩn mực kiểm toán Việt Nam số 400 về