2.3. Quản trị rủi ro hoạt động trong thanh toán quốc tế tại NHTMCP Công Thương Việt
2.3.3.Quytrình quản trị rủi ro hoạt động trong thanh toán quốc tế
Dựa vào quy trình QTRRHĐ gồm 4 quá trình (nhận diện;đánh giá, đo lường; kiểm soát; tài trợ RRHĐ) mà Basel II khuyến nghị, NHCT xây dựng quy trình QTRRHĐ trong TTQT nội bộ gồm 8 bước:
2.3.3.1. Rà sốt, phân tích q trình xử lý cơng việc
- Định kỳ hàng năm hoặc đột xuất khi có thay đổi/bổ sung quy trình xử lý công việc, các cá nhân, đơn vị, bộ phận phải thực hiện việc rà sốt, phân tích tất cả các nhiệm vụ/cơng việc có liên quan thành các quy trình và các bước cụ thể để thực hiện nhiệm vụ/công việc tại đơn vị, bộ phận, khai báo bằng văn bản và chuyển về cán bộ QLRRHĐ tại đơn vị để cập nhật vào hệ thống OpRiskMonitor.
- Q trình phân tích phải liên hệ các bước công việc với khối kinh doanh, cấp tổ chức, chức năng thực hiện để xác định rõ các quy trình xử lý cơng việc xảy ra rủi ro, vai trò và trách nhiệm của từng các nhân, đơn vị, bộ phận có liên quan đến rủi ro nhằm quyết định các biện pháp kiểm sốt rủi ro chính xác và hiệu quả.
- Kết quả phân tích q trình xử lý công việc là cơ sở để các cá nhân, đơn vị, bộ phận thực hiện:
o Xác định rủi ro và các biện pháp kiểm soát rủi ro đối với mỗi bước trong
q trình xử lý cơng việc của từng cá nhân, đơn vị, bộ phận.
o Tự đánh giá hiệu quả kiểm sốt rủi ro đối với mỗi bước trong q trình xử
lý cơng việc.
o Liên hệ các sự cố rủi ro và tổn thất với các bước trong q trình xử lý cơng việc để tìm hiểu rõ nguyên nhân và rút kinh nghiệm
2.3.3.2. Tự đánh giá rủi ro và xác định biện pháp kiểm soát rủi ro
- Hàng năm hoặc định kỳ theo quy định của NHCT, tiến hành tự đánh giá rủi ro và xác định biện pháp kiểm sốt RRHĐ đối với q trình xử lý cơng việc của bản thân.
- Xác định các sự kiện RRHĐ có thể phát sinh trong q trình xử lý cơng việc.
- Đánh giá xếp hạng mức độ rủi ro nội tại của từng sự kiện RRHĐ thơng qua rà sốt và phân tích thơng tin sau:
o Phân tích q trình xử lý cơng việc, lấy ý kiến của các cá nhân, đơn vị, bộ
phận về RRHHD tại đơn vị, bộ phận.
o Xem xét chất lượng, hiệu quả nguồn nhân lực, hệ thống và quá trình xử lý
cơng việc hiện tại
o Phân tích dữ liệu tổn thất/sự cố RRHĐ:
• Dữ liệu sự cố rủi ro và tổn thất trong quá khứ; • Các báo cáo kết luận từ các đoàn kiểm tra.
o Xem xét, tham khảo sự kiện RRHĐ bên ngồi:
• Sự cố rủi ro và tổn thất xảy ra đối với các ngân hàng khác; • Biến động thị trường, mơi trường hoạt động kinh doanh; • Dữ liệu sự cố rủi ro và tổn thất từ các Hiệp hội dữ liệu, các nhà cung cấp,...
- Xác định các biện pháp kiểm soát tương ứng với từng sự kiện RRHĐ đã xác định thơng qua rà sốt lại hệ thống kiểm tra kiểm soát nội bộ tại đơn vị, bộ phận, quá trình xử lý cơng việc hàng ngày của từng cá nhân, đơn vị, bộ phận.
- Thông qua việc rà sốt và tự nhận diện các sự kiện RRHĐ có thể xảy ra đối với từng bước công việc thực hiện, đánh giá khả năng xảy ra và mức độ nghiêm trọng của các sự kiện RRHĐ, nguyên nhân/nguồn gốc phát sinh và các biện pháp cần thiết để phòng tránh, giảm thiểu và kiểm sốt rủi ro đó.
- Khai báo kết quả nhận diện RRHĐ và biện pháp kiểm soát RRHĐ của từng cá nhân, đơn vị, bộ phận bằng văn bản và chuyển đến cán bộ QLRRHĐ của đơn vị để cập nhật vào hệ thống OpRiskMonitor. Đây là cơ sở dữ liệu để kiểm sốt và QLRRHĐ một cách có hệ thống, do vậy địi hỏi các thơng tin khai báo phải chính xác, trung thực, đầy đủ và kịp thời.
2.3.3.3. Đánh giá hiệu quả kiểm soát rủi ro hoạt động
- Tùy theo xếp hạng mức độ rủi ro nội tại (Rất cao/Cao/Trung bình/Thấp/Rất thấp - Bảng 1.1. Ma trận đánh giá rủi ro hoạt động), định kỳ (hàng quý/ hàng 6 tháng/ hàng năm), phải tiến hành phân tích, đánh giá hiệu quả và sự thích hợp của các biện pháp kiểm tra rủi ro đã xác định, dựa trên bốn khía cạnh: (i) Vai trị và trách
nhiệm kiểm soát rủi ro, (ii) Hướng dẫn kiểm sốt rủi ro, (iii) Tn thủ quy trình kiểm sốt rủi ro, (iv) Hiệu quả kiểm soát rủi ro.
- Đánh giá hiệu quả kiểm soát RRHĐ:
o Nhận định danh mục rủi ro của bản thân: xác định các sự kiện rủi ro hiện
đang kiểm soát kém hiệu quả; đề xuất các chỉ số rủi ro chính (KRIs) có thể phản ánh sự thay đổi mức độ rủi ro và nguy cơ tổn thất; (adsbygoogle = window.adsbygoogle || []).push({});
o Cải tiến biện pháp kiểm soát rủi ro; thiết lập kế hoạch cải tiến các biện pháp
kiểm soát kém hiệu quả, triển khai thực hiện kế hoạch cải tiến kiểm soát;
o Nhận diện sớm các rủi ro liên quan đến sản phẩm dịch vụ mới.
- Đánh giá mức rủi ro còn lại, khai báo kết quả bằng văn bản và chuyển đến cán bộ QLRRHĐ tại đơn vị để cập nhật vào hệ thống OpRiskMonitor.
2.3.3.4. Khai báo sự cố rủi ro và tổn thất
- Mọi cá nhân và đơn vị phải chủ động phát hiện, xử lý và khai báo sự cố rủi ro, tổn thất bằng văn bản và chuyển về cán bộ QLRRHĐ tại đơn vị để cập nhật vào hệ thống OpRiskMonitor.
- Khai báo sự cố và tổn thất RRHĐ là bước quan trọng để NHCT nắm bắt và kiểm sốt kịp thời tình hình RRHĐ của NHCT và của từng đơn vị tại mọi thời điểm, là căn cứ xây dựng cơ sở dữ liệu nội bộ để phân tích và QLRRHĐ hiệu quả và có hệ thống.
- Thơng qua tổng hợp, theo dõi sự cố rủi ro và tổn thất trên hệ thống OpRiskMonitor, Phòng QLRRHĐ, Phòng/Tổ quản lý rủi ro chi nhánh kịp thời phát hiện các nguy cơ tổn thất, báo cáo Ban lãnh đạo và đưa ra cảnh báo sớm tới các cá nhân và đơn vị có liên quan để kịp thời có biện pháp xử lý, ngăn ngừa rủi ro.
- Định kỳ, Phòng QLRRHĐ, Phòng/Tổ QLRRHĐ chi nhánh tổng hợp phân tích dữ liệu sự cố rủi ro và tổn thất nội bộ, phối hợp với các đơn vị, bộ phận có liên quan đánh giá lại danh mục RRHĐ và hiệu quả kiểm soát rủi ro của hệ thống kiểm tra kiểm sốt nội bộ.
2.3.3.5. Khơi phục tổn thất và báo cáo
- Khi phát sinh tổn thất, các cá nhân và đơn vị có liên quan phải chủ động, nhanh chóng thực hiện các biện pháp khắc phục tổn thất. Lãnh đạo đơn vị phải trực tiếp chỉ đạo, giám sát, đôn đốc quá trình khắc phục và thu hồi tổn thất nhằm giảm thiểu mức tổn thất.
- Cán bộ QLRRHĐ tại đơn vị phải làm việc trực tiếp với cán bộ liên quan tổn thất và quá trình thu hồi tổn thất để cập nhật thông tin về tiến độ và kết quả thu hồi vào hệ thống OpRiskMonitor.
- Phòng QLRRHĐ, Phòng/Tổ QLRRHĐ theo dõi tiến độ và kết quả thu hồi tổn thất trên hệ thống OpRiskMonitor, tổng hợp số liệu, phân tích xu hướng tổn thất RRHĐ báo cáo Ban lãnh đạo.
2.3.3.6. Xác định, theo dõi và báo cáo chỉ số rủi ro chính
- Sau khi đánh giá hiệu quả kiểm soát rủi ro, các đơn vị, bộ phận phải xác định các Chỉ số rủi ro (Bảng 1.2. Một số chỉ tiêu do lường rủi ro hoạt động) tương ứng với mỗi sự kiện rủi ro đã được xác định.
- Dựa vào kết quả tự đánh giá rủi ro và hiệu quả kiểm soát rủi ro, phòng QLRRHĐ phối hợp với các đơn vị, bộ phận xác định Chỉ số rủi ro chính và các giới hạn đối với Chỉ số rủi ro chính. Các cá nhân và đơn vị, bộ phận liên quan phải theo dõi, đo lường, giám sát các Chỉ số rủi ro chính nêu trên nhằm phát hiện các dấu hiệu cảnh báo sớm về khả năng xảy ra sự cố rủi ro/tổn thất và có biện pháp kiểm sốt kịp thời, báo cáo đến cán bộ QLRRHĐ tại đơn vị để cập nhật vào hệ thống OpRiskMonitor.
- Hàng năm, Phòng QLRRHĐ phối hợp với các đơn vị điều chỉnh các Chỉ số rủi ro chính và giới hạn chỉ số rủi ro chính trên cơ sở xem xét hiệu quả kiểm sốt rủi ro, dữ liệu sự cố rủi ro và tổn thất phát sinh thực tế, sự thay đổi các yếu tố mơi trường bên ngồi, khẩu vị rủ ro của NHCT.
2.3.3.7. Giám sát và kiểm soát rủi ro hoạt động
- Mọi cá nhân và đơn vị, bộ phận phải giám sát thường xuyên các rủi ro và hiệu quả kiểm soát rủi ro, sự cố và tổn thất RRHĐ, tiến độ và kết quả thực hiện các biện pháp xử lý sự cố, quá trình thu hồi tổn thất, sự biến động các chỉ số rủi ro chính, cải tiến biện pháp kiểm soát rủi ro phù hợp, kịp thời để đảm bảo hiệu quả QLRRHĐ.
- Lãnh đạo các đơn vị, bộ phận phải nhận thức rõ danh mục RRHĐ của đơn vị, bộ phận mình để chỉ đạo, đơn đốc và giám sát việc thực hiện các biện pháp giảm thiểu và kiểm sốt rủi ro.
- Phịng QLRRHĐ, Phịng/Tổ QLRRHĐ theo dõi, giám sát RRHĐ trên hệ thống OpRiskMonitor, cảnh báo và đôn đốc các đơn vị, bộ phận trong q trình QLRRHĐ.
- Phịng QLRRHĐ, Phịng/Tổ QLRRHĐ trên cơ sở tổng hợp kết quả đánh giá hiệu quả kiểm soát rủi ro và mức độ rủi ro còn lại, đề xuất Ban lãnh đạo NHCT, Lãnh đạo đơn vị quyết định (theo phạm vi thẩm quyền) các phương án kiểm soát RRHĐ phù hợp, bảo gồm: (i) Tránh rủi ro, (ii) Chia sẻ và chuyển giao rủi ro, (iii) Giảm thiểu rủi ro, (iv) Chấp nhận rủi ro.
2.3.3.8. Xác định, quản lý nguy cơ rủi ro hoạt động và kế hoạch giải quyết
- Căn cứ vào kết quả đánh giá hiệu quả kiểm soát, dữ liệu sự cố rủi ro/tổn thất phát sinh thực tế, biến động của Chỉ số rủi ro chính, phương án kiểm sốt RRHĐ trong từng thời kỳ, Lãnh đạo đơn vị phải kịp thời phát hiện các nguy cơ RRHĐ và quyết định, chỉ đạo kế hoạch giải quyết nguy cơ trong phạm vi thẩm quyền.
- Phòng QLRRHĐ, Phòng/Tổ QLRRHĐ theo dõi, giám sát việc triển khai phương án kiểm soát RRHĐ trên hệ thống OpRiskMonitor, kịp thời phát hiện các nguy cơ RRHĐ, báo cáo Ban lãnh đạo và phối hợp với các cá nhân và đơn vị có liên quan để giải quyết.
- Tiến độ giải quyết nguy cơ RRHĐ sau đó phải được khai báo cập nhật vào hệ thống OpRiskMonitor cho đến khi kết thúc hoàn tồn.
2.3.4. Cơng cụ/biện pháp để quản trị rủi ro hoạt động trong thanh toán quốc tế
2.3.4.1. Hệ thống OpRiskMonitor
Điểm nổi bật trong công tác QTRRHĐ của NHCT là áp dụng công nghệ thông tin hiện đại giúp kiểm sốt và quản lý RRHĐ một cách có hệ thống. Mọi RRHĐ dù chỉ mới là nguy cơ đều được cập nhật liên tục vào hệ thống OpRiskMonitor từ khi được nhận diện đến tìm biện pháp khắc phục, xử lý và cho đến khi RRHĐ được giải quyết xong. OpRiskMonitor gồm 3 công cụ cơ bản: Cơ sở dữ liệu sự kiện tổn thất (LDC), công cụ tự đánh giá tại các luồng nghiệp vụ trọng yếu (RCSA), khung các chỉ số rủi ro chính (KRIs). Đây là cơ sở dữ liệu quan trọng lưu trữ tất cả hồ sơ RRHĐ phát sinh trong hệ thống NHCT cũng như các biện pháp xử lý, khắc phục rủi ro, do đó có thể dễ dàng đánh giá hiệu quả cơng tác quản lý từng RRHĐ cụ thể cũng như cả quy trình QTRRHĐ của NHCT. Từ đó, cho phép nhanh chóng cung cấp cho Ban Lãnh đạo cấp cao về các RRHĐ chính yếu của ngân hàng. Hồ sơ RRHĐ là cơng cụ tham mưu cho Ban Lãnh đạo trong việc triển khai các sáng kiến chiến lược nhằm giảm thiểu những rủi ro này cũng như từng bước giải quyết vấn đề phân tách trách nhiệm ở cấp độ chi nhánh nhằm đảm bảo một mơi trường kiểm sốt hiệu quả.
2.3.4.2. Giải pháp an tồn thơng tin (adsbygoogle = window.adsbygoogle || []).push({});
Nhận thức được các rủi ro phải đối mặt, NHCT đã đầu tư nghiêm túc cho nguồn lực quản lý rủi ro nói chung và quản lý rủi ro trong lĩnh vực Cơng nghệ thơng tin nói riêng. Ngay từ rất sớm, Trung tâm Công nghệ thông tin - NHCT đã lập Phòng An ninh hệ thống với lực lượng chuyên trách cho công tác đảm bảo an tồn thơng tin tồn hệ thống cũng như của khách hàng. Hàng loạt giải pháp, hệ thống cơng nghệ bảo mật uy tín trên thế giới đã được triển khai, áp dụng một cách đồng bộ, tạo dựng hệ thống đảm bảo an tồn thơng tin tổng thể, có chiều sâu. Bên cạnh đó, với đặc điểm ngân hàng có mạng lưới rộng (nhiều phịng giao dịch, chi nhánh trên khắp cả nước), NHCT luôn chú trọng đẩy mạnh cơng tác hậu kiểm, giám sát, kiểm sốt chéo về an tồn thơng tin nhằm đảm bảo phát hiện sớm các rủi ro công nghệ thông tin và kịp thời xử lý. Đối với khách hàng, NHCT cũng thường xuyên tun truyền, nâng cao nhận thức về an tồn thơng tin khi khách hàng thực hiện giao dịch. Ví dụ đối với một số tình huống tấn cơng, mã độc, NHCT đã kịp thời cảnh báo cho khách hàng, đồng thời luôn chủ động củng cố, rà soát, tăng cường các biện pháp đảm bảo an tồn thơng tin chặt chẽ trên hệ thống và không để xảy ra rủi ro.
2.3.4.3. Đổi mới công tác giám sát nội bộ
Hoạt động ngân hàng nói chung và hoạt động TTQT nói riêng tiềm ẩn rất nhiều rủi ro đa dạng và khó lường trong khi nếu chưa có đủ cơng cụ hỗ trợ tồn diện thì cơng tác giám sát, kiểm tra gặp nhiều khó khăn, địi hỏi phải sử dụng q nhiều lao động mà thời gian đáp ứng thường khơng đảm bảo tính kịp thời của vụ việc. Điều đó dẫn đến một yêu cầu cấn thiết là xây dựng một chương trình giám sát nội bộ nhằm đáp ứng mục tiêu hỗ trợ công tác quản trị điều hành, kiểm tra và giám sát. Sau một thời gian nghiên cứu, phát triển và thử nghiệm, Chương trình giám sát nội (Sysmon) của NHCT được ra đời.
Chương trình Sysmon được đưa vào sử dụng đã phát huy hiệu quả rõ rệt, góp phần quan trọng vào đổi mới cơng tác giám sát nội bộ, hạn chế rủi ro, đảm bảo an toàn hệ thống,... Trước đây, khi chưa xây dựng chương trình cán bộ Kiểm tra kiểm soát nội bộ phải sử dụng nhiều thời gian thu thập thông tin từ nhiều kênh khác nhau mà khơng tồn diện. Từ khi chương trình hồn thành đưa vào sử dụng đã cung cấp các báo cáo tức thời, góp phần tiết kiệm, rút ngắn thời gian, lao động, khoanh vùng các dấu hiệu rủi ro trên hầu hết nghiệp vụ phát sinh...
2.3.4.4. Thay thế CoreBanking
CoreBanking hiện tại mà NHCT sử dụng là Core INCAS, được đánh giá rất cao trong việc cho phép trụ sở chính có thể giám sát chặt chẽ việc thực hiện quy trình nghiệp vụ tại từng chi nhánh. Tuy nhiên, khơng dừng ở đó, NHCT muốn phát triển thêm Module nghiệp vụ mới, chỉnh sửa nâng cấp các Module hiện có, tìm kiếm đầu tư thêm các chương trình quản lý rủi ro. Trong đó tập trung nâng cao năng lực quản trị, điều hành kiểm tra kiểm soát, quản trị rủi ro, bảo mật và an ninh dữ liệu. Do đó, trong suốt thời gian qua, NHCT khơng ngừng đầu tư và nghiên cứu để phát triển CoreBanking mới mang tên Core Sunshine, sẽ được áp dụng thay thế Core INCAS trong thời gian sắp tới. Hệ thống Core SunShine có sự linh hoạt trong xử lý, các tính năng tiên tiến, vượt trội theo chuẩn mực của thế giới là những điểm mấu chốt tạo nên sự khác biệt so với hệ thống Core INCAS
Thay thế CoreBanking là Dự án mang tính chiến lược, có sứ mệnh quan trọng trong tiến trình hội nhập và phát triển của NHCT ở cả hiện tại và tương lai. Quyêt đinh thay thê CoreBanking la một trong nhùng bước đột pha ma Ban Lãnh đạo NHCT lưa chọn nhăm thực hiên tôt mục tiêu chiến lược kinh doanh, hiện đại hóa, chuẩn hóa hoạt