3.2. Thực trạng quản trị rủi ro tác nghiệp tại ngân hàng thƣơng mại cổ phần
3.2.2. Khung quản trị rủi ro tác nghiệp tại Techcombank và thực trạng
các chi nhánh.
a. Khung quản trị rủi ro tác nghiệp
Khung quản trị rủi ro tác nghiệp đƣợc đánh giá trên các tiêu chí: mô hình tuyến phòng thủ, phƣơng pháp quản trị rủi ro, cơ chế xử lý rủi ro, chu trình quản trị rủi ro, công cụ quản trị rủi ro, nguồn dữ liệu để phân tích rủi ro.
Thứ nhất, mô hình ba tuyến phòng thủ
Hệ thống quản trị rủi ro tác nghiệp của Techcombank đƣợc tổ chức theo mô hình ba tuyến phòng thủ.
- Tuyến phòng thủ thứ nhất gồm tất cả các bộ phận kinh doanh, vận hành và hỗ trợ. Tuyến phòng thủ này có trách nhiệm kiểm soát và quản trị rủi ro tác nghiệp trong các hoạt động, quy trình hàng ngày, thiết lập các chốt kiểm soát cho các quy trình hoạt động chính; đảm bảo tất cả các rủi ro và chốt kiểm soát chính trong các hoạt động và quy trình của bộ phận đƣợc nhận diện, đánh giá, giảm thiểu và theo dõi tại đơn vị và trên hệ thống. Các đơn vị thiết lập những nhóm kiểm soát riêng để đảm bảo hoạt động tự đánh giá rủi ro và theo dõi tính hiệu quả của những chốt kiểm soát đƣợc thực hiện (BORG). Trƣởng đơn vị chịu trách nhiệm về việc quản trị rủi ro tác nghiệp tại bộ phận mình. Việc báo cáo hoạt động quản trị rủi ro tác nghiệp đƣợc thực hiện theo quy trình thực hiện báo cáo rủi ro tác nghiệp.
Qua khảo sát tại các chi nhánh Techcombank cho thấy, có 30/30 chi nhánh đƣợc khảo sát có sự tham gia của đầy đủ các bộ phận nhƣ bộ phận kinh doanh, vận hành và hỗ trợ. Có 30/30 chi nhánh thực hiện kiểm soát các hoạt động, quy trình hàng ngày; 26/30 chi nhánh thiết lập đƣợc các chốt kiểm soát
cho các quy trình hoạt động chính. Việc báo cáo của tuyến phòng thủ thứ nhất đƣợc thực hiện ở 30/30 chi nhánh khảo sát.
Bên cạnh bộ phận hỗ trợ vận hành, kiểm soát hoạt động, các chi nhánh đều đóng vai trò là Tuyến phòng thủ thứ Nhất của mô hình Ba tuyến phòng thủ trong Quản trị rủi ro tác nghiệp của Ngân hàng. Cán bộ nhân viên vừa thực hiện công tác kinh doanh, phục vụ khách hàng vừa thực hiện nhiệm vụ là chốt kiểm soát đối với các hoạt động này, dựa trên các quy trình, nghiệp vụ đã đƣợc ban hành. Các giám đốc chi nhánh không những đóng vai trò thúc đẩy kinh doanh, mà còn phải thực hiện công tác rà soát thƣờng xuyên các hoạt động kinh doanh nhằm giảm thiểu tối đa rủi ro cho tổ chức.
Theo tổng hợp của học viên, tuyến phòng thủ thứ nhất đã nhận diện và giảm thiểu đƣợc đƣợc 80% rủi ro tác nghiệp
Nhƣ vậy có thể nói, tuyến phòng thủ thứ nhất ở các chi nhánh Techcombank đã thực hiện chức năng này ở mức độ tốt.
- Tuyến phòng thủ thứ hai bao gồm các bộ phận có chức năng kiểm soát nhƣ Quản trị rủi ro và Tuân thủ; Quản trị rủi ro tác nghiệp. Tuyến phòng thủ này có trách nhiệm thiết lập các công cụ và khung quản trị rủi ro tác nghiệp để nhận diện, đo lƣờng, kiểm soát và báo cáo một cách nhất quán và toàn diện để giảm thiểu và ngăn ngừa các rủi ro/tổn thất; đƣa ra các nguyên tắc hƣớng dẫn quản lý các rủi ro trong các hoạt động nghiệp vụ của tuyến phòng thủ thứ nhất; giám sát và kiểm tra tính hiệu quả công tác quản trị rủi ro tác nghiệp do Tuyến phòng thủ thứ nhất thực hiện phù hợp với các chính sách quy định hiện hành của Techcombank. Bộ phận này thực hiện báo cáo lên Ban điều hành và các cấp có thẩm quyền (ORC, RWG)
Tuyến phòng thủ này đƣợc tổ chức ở Hội sở của ngân hàng, đã xây dựng đƣợc các biện pháp đo lƣờng, kiểm soát các rủi ro, đồng thời thƣờng xuyên hƣớng dẫn và tổ chức các phƣơng pháp quản trị rủi ro cho tuyến phòng thủ thứ
nhất. Theo đánh giá của ngân hàng, tuyến phòng thủ thứ hai hoạt động tƣơng đối hiệu quả, và hạn chế rủi ro tác nghiệp của ngân hàng xuống mức 10%.
- Tuyến phòng thủ thứ ba là tuyến phòng thủ cuối cùng trong mô hình kiểm soát rủi ro tác nghiệp, do bộ phận Kiểm toán nội bộ thực hiện. Bộ phận này sẽ thực hiện các yêu cầu của NHNN về việc xem xét đánh giá tính phù hợp, hiệu quả của các dự án kiểm soát nội bộ để đánh giá các sáng kiến thay đổi; hỗ trợ Ban kiểm soát đánh giá tính hiệu quả của Khung quản trị rủi ro tác nghiệp, việc quản trị rủi ro tác nghiệp của Tuyến phòng thủ thứ nhất và công tác giám sát, kiểm soát của Tuyến phòng thủ thứ hai. Sau đó báo cáo lên Ban kiểm soát/Hội đồng quản trị và Đại hội đồng cổ đông. Việc tồn tại tuyến phòng thủ thứ ba đã giảm thiểu đáng kể rủi ro tác nghiệp của ngân hàng. Tuy nhiên, không thể loại bỏ hoàn toàn rủi ro tác nghiệp của ngân hàng, nhƣng hạn chế rủi ro này ở mức 5%.
Các tuyến phòng thủ, mà cụ thể là các phòng ban hiện nay chƣa có cơ chế phối hợp với nhau trong việc trao đổi và thu thập thông tin về rủi ro. Đây cũng là vấn đề ảnh hƣởng rất lớn tới hiệu quả của quản trị rủi ro tác nghiệp. Tuy nhiên, ta vẫn có thể nhận thấy, mô hình ba tuyến phòng thủ ở Techcombank tƣơng đối hiệu quả, khi đã ngăn chặn đƣợc phần lớn rủi ro tác nghiệp của ngân hàng. Đảm bảo giảm thiểu thiệt hại mà ngân hàng phải đối mặt đến mức thấp nhất nếu rủi ro xảy ra.
Thứ hai, phương pháp Quản trị rủi ro tác nghiệp
Phƣơng pháp quản trị rủi ro của Techcombank theo nguyên tắc:
- Khung Quản trị rủi ro tác nghiệp cùng các quy định cụ thể đƣợc hiểu rõ và thống nhất thực hiện trên toàn hệ thống.
- Mức độ rủi ro thực tế đƣợc đo lƣờng và kiểm soát trên cơ sở khẩu vị rủi ro đã đƣợc phê duyệt.
- Xây dựng cơ chế nhận diện, đo lƣờng và phân loại rủi ro tác nghiệp theo các nhóm nguyên nhân phù hợp với quy định pháp luật và tiêu chuẩn quốc tế.
Xây dựng cơ chế rõ ràng về việc xử lý và báo cáo các ngoại lệ khẩu vị rủi ro tác nghiệp lên cấp thẩm quyền.
- Các rủi ro trọng yếu đƣợc báo cáo và phê duyệt kịp thời bời các cấp có thẩm quyền.
- Định kì đánh giá các chính sách, quy trình quản lý rủi ro tác nghiệp phù hợp với các hoạt đông, sản phẩm, nghiệp vụ mới hoặc khi có thay đổi quản trọng về phƣơng pháp và hệ thống quản lý rủi ro tác nghiệp của ngân hàng.
- Hƣớng tới việc thực hiện và kiếm soát hiệu quả quy định an toàn vốn theo phƣơng pháp tiêu chuẩn (SA) và phƣơng pháp nâng cao (AMA) theo lộ trình đƣợc ngân hàng xác lập và phù hợp với yêu cầu của Ngân hàng Nhà nƣớc.
- Trong một số trƣờng hợp, có thể thuê các tổ chức bên ngoài khác để quản trị rủi ro tác nghiệp.
- Mua và quản lý bảo hiểm: thực hiện mua bảo hiểm để giảm thiểu tổn thất do rủi ro tác nghiệp nhƣ là biện pháp bổ sung để quản lý rủi ro tác nghiệp. Đánh giá về tình hình rủi ro tác nghiệp và điều chỉnh (nếu cần thiết) chính sách mua bảo hiểm, quy trình quản lý việc mua bảo hiểm để giảm thiểu tổn thất do rủi ro tác nghiệp.
- Lập kế hoạch dự phòng để đảm bảo hoạt động kinh doanh đƣợc duy trì liên tục và hoạt động bình thƣờng có thể đƣợc nhanh chóng khôi phục khi xảy ra trƣờng hợp khẩn cấp. Có phƣơng án, quy trình xử lý cụ thể cho các trƣờng hợp quan trọng và định kỳ thử nghiệm, rà soát, chỉnh sửa các phƣơng án, quy trình này.
Kết quả khảo sát cho thấy 30/30 chi nhánh đều đƣợc đào tạo, truyền thông về mô hình 3 tuyến phòng thủ; 30/30 chi nhánh đều lập và tiến hành thử nghiệm kế hoạch dự phòng đảm bảo duy trì hoạt động liên tục và bình thƣờng.
Có thể nhận thấy phƣơng pháp quản trị rủi ro ở Techcombank rất đầy đủ, rõ ràng. Ngân hàng cũng cố gắng xây dựng các tình huống giả định có thể xảy ra
và đƣa ra phƣơng hƣớng để giải quyết. Tuy nhiên, rủi ro tác nghiệp là loại hình rủi ro có thể xảy ra bất cứ khi nào trong quá trình hoạt động của ngân hàng, do đó, các tình huống cũng rất đa dạng trên các lĩnh vực khác nhau. Vì vậy việc xây dựng các tình huống của giả định của ngân hàng cũng gặp rất nhiều khó khăn cả về phía nguồn lực tài chính cũng nhƣ nguồn lực về mặt con ngƣời để thực hiện việc xây dựng giả định.
Thứ ba, cơ chế xử lý rủi ro tác nghiệp
Cơ chế xử lý rủi ro tác nghiệp tại Techcombank tùy thuộc vào mức độ của rủi ro. Rủi ro tác nghiệp đƣợc phân loại và đánh giá theo các mức độ từ cao xuống thấp theo ma trận xếp loại và đánh giá rủi ro tác nghiệp ban hành từng thời kỳ. Do đó, cơ chế xử lý rủi ro tác nghiệp đƣợc phân cấp cho từng loại rủi ro là khác nhau:
- Ở cấp độ cao nhất là Hội đồng quản trị: xem xét các rủi ro tác nghiệp hoặc vấn đề liên quan đến rủi ro tác nghiệp do Ban điều hành đệ trình mà việc xử lý rủi ro/vấn đề này thuộc thẩm quyền phê duyệt, chỉ đạo của Hội đồng quản trị.
- Cấp độ tiếp theo là Tổng Giám đốc điều hành, trực tiếp xem xét quyết định (hoặc đƣa ra nhóm công tác rủi ro (RWG) xem xét quyết định) với những rủi ro tác nghiệp cấp cao mà việc xử lý hoặc không xử lý rủi ro có thể dẫn đến việc Techcombank phải: dừng bán hoặc mất ƣu thế cạnh tranh vƣợt trội với một sản phẩm/dịch vụ trên thị trƣờng; thay đổi cơ cấu, chức năng của một/nhiều đơn vị; chịu ảnh hƣởng tiêu cực về hoạt động/danh tiếng do khủng hoảng truyền thông; bị cơ quan nhà nƣớc áp dụng chế tài thu hồi/hạn chế phạm vi giấy phép nghiệp vụ, cấm mở rộng mạng lƣới.
- Giám đốc Khối tuân thủ, Quản trị rủi ro tác nghiệp và Pháp chế: đƣợc phân quyền phê duyệt hoặc quyết định giải pháp xử lý đối với các rủi ro tác nghiệp không nằm trong phạm vi trên. Công việc cụ thể: Làm việc với các
Giám đốc Khối chịu trách nhiệm chính và/hoặc có liên quan đến việc nhận diện, theo dõi, xử lý rủi ro tác nghiệp nhằm trao đổi, thống nhất và kịp thời đƣa ra giải pháp xử lý rủi ro, bảo vệ lợi ích, hạn chế tổn thất cho ngân hàng; Ra quyết định cuối cùng về giải pháp xử lý rủi ro tác nghiệp trên cơ sở xem xét thông tin, ý kiến từ các bên liên quan.
- Trƣờng hợp quy định pháp luật có yêu cầu hoặc theo đánh giá của Chủ tịch Hội đồng quản trị cần thành lập Hội đồng xử lý rủi ro tác nghiệp (ORC), Hội đồng quản trị ủy quyền cho Giám đốc Điều hành đƣợc: phê duyệt thành phần và cơ chế vận hành của Hội đồng xử lý rủi ro tác nghiệp; thay đổi phân cấp xử lý rủi ro tác nghiệp.
Cơ chế xử lý rủi ro của Techcombank đã phát huy hiệu quả, và hoàn toàn hợp lý trong điều kiện có rất nhiều loại rủi ro tác nghiệp có thể xảy ra với mức độ ảnh hƣởng khác nhau. Do vậy, cần phân cấp để quản lý và ứng phó kịp thời, có hiệu quả với các loại rủi ro khác nhau. Techcombank đã thực hiện rất tốt việc xây dựng cơ chế xử lý rủi ro.
Thứ tư, chu trình quản trị rủi ro tác nghiệp
Chu trình quản trị rủi ro tác nghiệp gồm các bƣớc: thu thập số liệu rủi ro, nhận diện rủi ro tác nghiệp; đo lƣờng rủi ro; kiểm soát, giám sát rủi ro tác nghiệp; báo cáo.
- Quy trình thu thập dữ liệu rủi ro
Qua khảo sát, học viên thu đƣợc kết quả là 30/30 chi nhánh đều đƣợc cấp user để vào đƣờng link nhập các sự kiện rủi ro tại đơn vị. Tuy nhiên việc thực hiện hầu nhƣ chƣa có hiệu quả, và chƣa phân rõ trách nhiệm báo cáo rủi ro cho từng bộ phận tại chi nhánh.
Có thể thấy, quy trình thu thập dữ liệu rủi ro chƣa đƣợc chính thức và có hệ thống. Việc thu thập dữ liệu rủi ro mặc dù đã đƣợc thực hiện nhƣng còn chƣa
đƣợc tổ chức thành quy trình cụ thể, phân công rõ trách nhiệm của các phòng ban trong việc thu thập và cung cấp dữ liệu.
- Nhận diện rủi ro tác nghiệp:
Các đơn vị thuộc Tuyến Phòng thủ thứ nhất nhận diện rủi ro tác nghiệp trong hoạt động kinh doanh, nghiệp vụ, hệ thống công nghệ thông tin và hệ thống quản lý hiện có và các hoạt động kinh doanh mới với hệ thống nhận diện theo các nhóm nguyên nhân tiêu chuẩn.
Qua khảo sát tại các chi nhánh, học viên thu đƣợc kết quả nhƣ sau:
Nguyên nhân ảnh hƣởng đến chất lƣợng rủi ro đƣợc chia thành 4 nhóm nguyên nhân chính: quy trình, hệ thống, con ngƣời và các sự kiện bên ngoài. Trong đó, các giám đốc chi nhánh cho rằng quy trình là nguyên nhân ảnh hƣởng nhiều nhất đến chất lƣợng quản trị rủi ro. Các yếu tố bên ngoài là yếu tố tác động ít nhất đến chất lƣợng quản trị rủi ro.
Hình 3.4. Nguyên nhân ảnh hƣởng chất lƣợng rủi ro
Trong nhóm nguyên nhân do quy trình, việc không xác định rõ ràng, không tuân thủ là nguyên nhân chủ yếu làm giảm chất lƣợng quản trị rủi ro.
Áp dụng biện pháp cải thiện chất lượng quản trị rủi ro
Bảng 3.2. Biện pháp cải thiện chất lƣợng quản trị rủi ro
Các biện pháp quản trị rủi ro Số lƣợng
Ban hành, sửa đổi, bổ sung chính sách, quy định, quy trình nghiệp vụ cho phù hợp
26
Tăng cƣờng kiểm tra, kiểm soát chặc chẽ việc tuân thủ 30 Kế hoạch đào tạo hoặc tập huấn nghiệp vụ cho cán bộ 30
Kế hoạch sửa chữa, khắc phục các sai sót 22
Các hành động phòng tránh rủi ro hoặc dừng hoạt động có thể gây ra rủi ro
30
Xây dựng kịch bản và thực hiện diễn tập BCP, phƣơng án giảm thiểu rủi ro đối với các sự cố bất ngờ
28
Rà soát, chỉnh sửa, ban hành bổ sung các chế tài xử lý đối với các hành vi vi phạm trong quá trình tác nghiệp
25
Mua bảo hiểm hoặc thực hiện các biện pháp khác để giảm thiểu rủi ro
20
Kế hoạch phân bổ vốn để phòng ngừa rủi ro tác nghiệp 28
Nguồn: Tổng hợp từ khảo sát của học viên
Các đơn vị thuộc Tuyến Phòng thủ thứ hai quản trị danh mục rủi ro tác nghiệp toàn hệ thống, đảm bảo tính đồng bộ, liên kết, tƣơng tác giữa các rủi ro, nắm bắt, đánh giá xu hƣớng rủi ro tác nghiệp trên toàn hệ thống để có biện pháp kiểm soát và khắc phuc phù hợp. Việc này sẽ giúp nhận diện rủi ro tác nghiệp trƣớc khi thực hiện (qua việc rà soát rủi ro tác nghiệp trong tài liệu ban hành), trong khi thực hiện (qua tƣơng tác định kỳ với Tuyến phòng thủ thứ nhất) và sau khi thực hiện (qua phân tích kết quả kiểm tra, kiểm toán và các nguồn thông tin phù hợp khác) mỗi hoạt động kinh doanh.
- Đo lƣờng rủi ro:
Các rủi ro đã đƣợc nhận dạng đƣợc đo lƣờng theo một hoặc tổng hợp các phƣơng pháp sau:
+ Trên cơ sở xác định tác động ngắn hạn và dài hạn của rủi ro đó đối với vốn và lợi nhuận, thực hiện đo lƣờng rủi ro thông qua ma trận đánh giá tác động và khả năng xảy ra.
Bảng 3.3. Ma trận đánh giá tác động và khả năng xảy ra
Có khả năng cao sự kiện tiếp tục xảy ra trong vòng 12 tháng Tần suất
5 Low Medium Medium High High
Sự kiện có thể xảy ra trong 12 tháng tới. Mang tính chất đặc thù của dạng hoạt động do ảnh hƣởng của các yếu tố bên ngoài
4 Low Low Medium High High
Khả năng sự kiện tái xảy ra là
trong