1.3.2.1. Nhận diện rủi ro tác nghiệp
Để QLRRTN trƣớc hết phải nhận diện đƣợc rủi ro. Nhận diện rủi ro là quá trình xác định liên tục và có hệ thống các hoạt động kinh doanh của tổ chức. Hoạt động nhận diện rủi ro nhằm phát triển các thông tin về nguồn gốc rủi ro, các yếu tố mạo hiểm, hiểm họa, đối tƣợng rủi ro và các tổn thất.
Đây là bƣớc đầu tiên và hết sức cần thiết giúp nhận diện RRTN xảy ra thuộc loại rủi ro nào: cán bộ ngân hàng, quy chế, quy trình ngiệp vụ hay hệ thống, hay các yếu tố bên ngoài...? cần cố gắng xác định đúng loại rủi ro, đồng thời xác định đủ các rủi ro, tránh bỏ sót rủi ro có tần suất thấp nhƣng khi xảy ra thì tổn thất rất lớn,…
Nhận diện rủi ro bao gồm các công việc theo dõi, xem xét, nghiên cứu môi trƣờng hoạt động và toàn bộ mọi hoạt động của tổ chức nhằm thống kê đƣợc tất cả các rủi ro, không chỉ những rủi ro đã và đang xảy ra, mà còn dự báo đƣợc những dạng rủi ro mới có thể xuất hiện đối với tổ chức, trên cơ sở đó đề xuất các giải pháp kiểm soát và tài trợ rủi ro thích hợp.
20
Để nhận diện rủi ro, cần lập đƣợc bảng liệt kê tất cả các dạng rủi ro đã , đang và có thể xuất hiện đối với tổ chức, có thể sƣ̉ dụng các phƣơng pháp sau:
- Lập bảng câu hỏi nghiên cứu về rủi ro và tiến hành điều tra:
Các câu hỏi có thể sắp xếp theo nguồn rủi ro, hoặc môi trƣờng tác động.., các câu hỏi thƣờng gồm những vấn đề nhƣ: Tổ chức đã gặp phải những loại rủi ro nào, Tổn thất là bao nhiêu, số lần xuất hiện của rủi ro đó trong một khoảng thời gian nhất định, những biện pháp phòng ngừa, biện pháp tài trợ rủi ro đã đƣợc sƣ̉ dụng, kết quả đạt đƣợc, những rủi ro chƣa xảy ra nhƣng có thể xuất hiện, lý do, những ý kiến đánh giá, đề xuất về công tác …
- Phân tích các báo cáo tài chính:
Đây là phƣơng pháp thông dụng, mọi tổ chức đều thực hiện, nhƣng ở những mức độ và sƣ̉ dụng vào những mục đích khác nhau. Trong công tác QLRR, bằng cách phân tích bảng tổng kết tài sản, các báo cáo hoạt động kinh doanh, các tài liệu bổ trợ khác, ngƣời ta có thể xác định đƣợc mọi nguy cơ của tổ chức về tài sản, nguồn nhân lực và trách nhiệm pháp lý. Ngoài ra bằng cách kết hợp phân tích các số liệu trong kỳ báo cáo có so sánh các số liệu dự báo cho kỳ kế hoạch ta còn có thể phát hiện đƣợc các rủi ro có thể phát sinh trong tƣơng lai. Phƣơng pháp phân tích báo cáo tài chính không chỉ giúp thấy đƣợc các rủi ro thuần túy, mà còn giúp nhận diện đƣợc các rủi ro suy đoán.
- Phương pháp lưu đồ:
Đây là phƣơng pháp quan trọng để nhận diện rủi ro. Để thực hiện phƣơng pháp này trƣớc hết cần xây dựng lƣu đồ (tức mô hình hóa bằng sơ đồ) trình bày tất cả các hoạt động của tổ chức, tiếp đó lập bảng liệt kê các nguồn rủi ro về tài sản, trách nhiệm pháp lý và nguồn nhân lực có thể đƣợc sử dụng cho từng khâu trong lƣu đồ để nhận diện các rủi ro mà tổ chức có thể gặp.
Cùng với các biện pháp nêu trên ngƣời ta còn sƣ̉ dụng các biện pháp khác nhƣ : Nhận báo cáo và làm việc trực tiếp với các bộ phận trong tổ chức; làm việc với các cơ quan nhà nƣớc, cơ quan cấp trên, các cơ quan pháp luật, các ban ngành có liên quan, nhà cung cấp, khách hàng… Để nhận diện các rủi ro có thể đến với tổ chức.
21
Nhóm dấu hiệu rủi ro liên quan đến mô hình tổ chức, cán bộ và an toàn nơi làm việc.
Đánh giá, nhận diện các rủi ro liên quan nhƣ: vi phạm mô hình tổ chức, rủi ro từ cán bộ, rủi ro từ việc sắp xếp, bố trí cán bộ, các chi phí bồi thƣờng liên quan đến ngƣời lao động và an toàn nơi làm việc.
Thông qua phân tích, đánh giá, các ngân hàng tìm ra các loại dấu hiệu rủi ro nhƣ: rủi ro từ nhân viên, rủi ro từ chính sách tuyển dụng, bố trí, bổ nhiệm cán bộ, rủi ro từ việc thực hiện chƣa đúng các quy định của pháp luật đối với ngƣời lao động.
Nhóm dấu hiệu liên quan đến chính sách, quy định nội bộ
Rà soát cơ chế, chính sách, quy định hiện hành nhằm phát hiện dấu hiệu rủi ro: - Không có, thiếu hoặc quy định chƣa đầy đủ, chƣa chặt chẽ, chƣa cụ thể, có kẽ hở tạo điều kiện cho kẻ xấu lợi dụng, gây tổn thất cho ngân hàng.
- Những văn bản, quy định có sự chồng chéo, hoặc không thể thực hiện, những bất hợp lý, gây khó khăn cho ngƣời thực hiện.
- Những văn bản, quy định có nội dung chƣa đúng với cơ chế chính sách; quy định của pháp luật hiện hành.
Nhóm dấu hiệu rủi ro liên quan đến gian lận nội bộ
Liên quan đến nhóm dấu hiệu này, các ngân hàng sẽ phải thực hiện nhận diện những dấu hiệu rủi ro nhƣ cán bộ tự thực hiện hoặc cấu kết với khách hàng để thực hiện những hoạt động phạm pháp nhằm mục đích chiếm đoạt tài sản, hủy hoại uy tín của ngân hàng.
Nhóm dấu hiệu rủi ro liên quan đến gian lận bên ngoài
Nhận diện những dấu hiệu rủi ro do các hành động có ý định gian lận, biển thủ tài sản, không tuân thủ pháp luật của khách hàng. Ở nhóm dấu hiệu này các ngân hàng phải thực hiện việc nhận diện những dấu hiệu rủi ro do các hành động có ý định gian lận, lừa đảo của khách hàng hoặc các đối tƣợng bên ngoài khác, ví dụ nhƣ các hành vi cung cấp thông tin sai sự thật, làm giả hồ sơ giao dịch
22
Theo dõi, thống kê đầy đủ, thƣờng xuyên các lỗi, sai sót phát sinh trong quá trình xử lý công việc, xác định các dấu hiệu rủi ro nhƣ: Thực hiện nghiệp vụ không đƣợc ủy quyền, vƣợt thẩm quyền; thực hiện không đúng, không đầy đủ chức trách nhiệm vụ đƣợc giao, không bảo vệ lợi ích chính đáng tối đa cho ngân hàng trong điều kiện có thể thực hiện đƣợc, không tuân thủ các quy trình, quy định.
Nhóm dấu hiệu rủi ro liên quan đến hệ thống công nghệ thông tin
Nhóm nhận diện dấu hiệu rủi ro liên quan đén hệ thống công nghệ thông tin là việc ngân hàng theo dõi sự hoạt động của hệ thống (bao gồm: thiết bị mạng, phần cứng, hệ thống bảo mật, đƣờng truyền, phần mềm nghiệp vụ…) thống kê theo dõi đầy đủ các lỗi, sai sót, các sƣ cố của hệ thống công nghệ thông tin làm ảnh hƣởng đến hoạt động của ngân hàng.
Nhóm dấu hiệu rủi ro liên quan đến thiệt hại tài sản
Nhận diện các dâu hiệu rủi ro liên quan đến thiệt hại tài sản là việc ngân
hàng xem xét, đánh giá khả năng xảy ra các rủi ro nhƣ: phá hoại, khủng bố, thiên
tai, động đất, bão lũ, hoảng hoạn. Xem xét, đánh giá khả năng xảy ra các rủi ro liên
quan đến thiệt hại tài sản vật chất do yếu tố chủ quan và khách quan.
1.3.2.2. Đánh giá, đo lường rủi ro tác nghiệp
Đánh giá RRTN là việc xác định mức độ rủi ro của các loại RRTN, xác định khả năng xảy ra rủi ro và ảnh hƣởng của rủi ro; xác định rủi ro tổng thể và đánh giá, đo lƣờng rủi ro tổng thể.
RRTN là loại rủi ro rất khó nhận biết, vì thế việc đo lƣờng cũng rất khó khăn. Có hai phƣơng pháp đo lƣờng thƣờng đƣợc sử dụng. Đó là phƣơng pháp định tính và phƣơng pháp định lƣợng:
- Phương pháp định tính: Là việc phân tích đánh giá, nhận xét chủ quan của mỗi ngân hàng thƣơng mại về mức độ tốt – xấu, lớn – nhỏ; tính nghiêm trọng của các dấu hiệu rủi ro đã đƣợc xác định và giải thích khả năng ảnh hƣởng đến nhiệm vụ công việc đƣợc giao, ảnh hƣởng đến hoạt động kinh doanh của ngân hàng. Phƣơng pháp định tính đƣợc sử dụng để đo lƣờng các rủi ro liên quan đến cán bộ, rủi ro liên quan đến cơ chế văn bản, quy định [4]. Ngân hàng có thể dựa vào các tài
23
liệu: Xếp hạng của kiểm toán nội bộ; khuyến cáo của kiểm toán, thanh tra bên ngoài; Thông tin báo chí để đo lƣờng RRTN.
- Phương pháp định lượng: Là việc đánh giá bằng số liệu cụ thể về mức độ
rủi ro (xác suất xảy ra), tổn thất cụ thể của từng loại dấu hiệu rủi ro đã đƣợc xác định. Phƣơng pháp này chủ yếu dựa vào số liệu thống kê của Ngân hàng và đƣợc sử dụng để đo lƣờng RRTN liên quan đến các lĩnh vực nhƣ hệ thống thông tin; các gian lận nội bộ hoặc bên ngoài [4]. Ngân hàng có thể dựa vào các chỉ số rủi ro chính (KRIs) , Xếp hạng mức độ rủi ro, Ma trận RRTN để đo lƣờng [4].
24
Bảng 1.1: Chỉ số đo lƣờng rủi ro tác nghiệp Sự cố Chỉ số đo lƣờng rủi ro (KRIs)
Gian lận - Số lƣợng gian lận nội bộ
- Số lƣợng gian lận bên ngoài. Khiếu nại và tranh chấp
của khách hàng
- Số lƣợng báo cáo khiếu nại và tranh chấp. - Số lƣợng báo cáo khiếu nại vƣợt quá X ngày.
Các vị trí bỏ trống - Tỷ lệ phần trăm nhân viên bỏ trống. - Số lƣợng các vị trí bỏ trống hơn X ngày.
Chính sách sản phẩm
- Số sản phẩm đƣa ra nhƣng không hoàn thành đúng chƣơng trình sản phẩm.
- Số sản phẩm đƣợc triển khai quá chậm.
Lỗi, sai sót
- Số lƣợng tiền mặt thừa thiếu.
- Số tiền thu thừa hoặc bị mất do sai sót. - Số vi phạm quá giới hạn.
Xử lý giao dịch. - Khối lƣợng giao dịch,
- Số nợ quá hạn trong quá trình chờ xử lý.
Cộng nghệ thông tin
- Số lƣợng và độ dài thời thời gian ngừng hệ thống theo kế hoạch.
- Số lƣợng và độ dài thời thời gian ngừng hệ thống không theo kế hoạch.
Vi phạm quy định. Số lƣợng vi phạm, phạt/ cảnh cáo những vi phạm quy định của cơ quan/ luật pháp
25
Bảng 1.2: Ma trận rủi ro tác nghiệp
Nguồn: http://thongtinphapluatdansu.edu.vn/2009/12/03/4145-2/
Qua bảng ma trận rủi ro nêu trên ta thấy ma trận rủi ro đƣợc đo lƣờng bằng tần suất xảy ra rủi ro và mức độ ảnh hƣởng, đƣợc thể hiện bằng thang điểm từ 1 đến 5 và sử dụng phƣơng pháp thẻ tính điểm.
Điểm rủi ro = Điểm tần suất của sai lỗi x điểm ảnh hƣởng Kết quả: Điểm từ 1-4: rủi ro ở mức thấp (màu xanh) Điểm từ 5-8: rủi ro ở mức trung bình (màu vàng) Điểm từ 9-12: rủi ro ở mức đáng kể (màu nâu)
Điểm từ 15-25-12: rủi ro ở mức nghiêm trọng (màu đỏ)
Căn cứ vào các mức độ rủi ro đƣợc báo động tại ma trận RRTN của đơn vị mình, Ngân hàng sẽ có các biện pháp kiểm soát phù hợp để hạn chế, ngăn ngừa, giảm thiểu rủi ro.
1.3.2.3. Kiểm soát rủi ro, xây dựng và thực hiện phòng ngừa, quản lý, giảm thiểu rủi ro tác nghiệp
QLRR cần chọn ra những phƣơng pháp quản lý có hiệu quả về mặt chi phí; sử dụng hiệu quả các công cụ hiện có, cải tiến những phƣơng pháp hiện hành,
26
những thay đổi về mặt trách nhiệm, những đổi mới trong kiểm soát nội bộ; lập kế hoạch đối phó với những rủi ro bất ngờ; đầu tƣ vào các nguồn lực mới.
Từ cơ sở dữ liệu RRTN, các ngân hàng đƣa ra phƣơng pháp phân phối tổn thất, trên cơ sở đó xác định các biện pháp quản lý và giảm thiểu rủi ro.
Quản lý và giảm thiểu rủi ro gồm:
- Các chiến lược kiểm soát rủi ro: Việc giảm thiểu rủi ro có thể đạt đƣợc
thông qua các kỹ thuật phòng, tránh, chuyển, thay thế… Có thể khái quát các kỹ thuật này thành 4 nhóm chiến lƣợc:
+ Các chiến lƣợc giảm ảnh hƣởng hoặc giảm khả năng xảy ra (ví dụ cải thiện hiệu quả kiểm soát nội bộ, đào tạo nhân viên).
+ Chiến lƣợc phòng ngừa rủi ro: phát triển các thủ tục và đào tạo để đảm bảo quy trình đƣợc thực thi chính xác.
+ Chiến lƣợc chuyển giao rủi ro (thông qua các hợp đồng bảo hiểm).
+ Chiến lƣợc tránh rủi ro (ví dụ ngừng hoạt động, bán các hoạt động kinh doanh).
- Kế hoạch kinh doanh liên tục (Kế hoạch dự phòng kinh doanh)
Ngân hàng cần chuẩn bị cho mình các phƣơng án dự phòng để có thể phản ứng kịp thời khi có các sự cố hay thảm họa bất ngờ xảy ra. Các NHTM lớn trên thế giới thƣờng xây dựng hẳn cho mình một bộ phận chuyên trách về lập kế hoạch và thực hiện quản lý kinh doanh liên tục, quản lý khủng hoảng. Các thủ tục phản ứng khẩn cấp ngay khi có sự cố xảy ra, cũng nhƣ quy trình xử lý tiếp theo đều đƣợc lên kế hoạch từ trƣớc. Các yêu cầu về tài chính, về nguồn nhân lực, cơ sở hạ tầng, dữ liệu sao lƣu…thậm chí cả phƣơng án kinh doanh thay thế cũng đều đƣợc hoạch định sẵn sàng trên phạm vi toàn ngân hàng.
- Giám sát rủi ro: việc giám sát rủi ro cần thực hiện một cách nghiêm túc
công tác phân tích nhằm tạo thuận lợi cho việc kiểm tra, giám sát cũng nhƣ quá trình thử nghiệm sự hữu hiệu của hệ thống và kế hoạch.
Để thực hiện giám sát RRTN, Ngân hàng phải có hệ thống báo cáo RRTN hiệu quả. Báo cáo RRTN phản ánh việc thu thập, phân tích, đánh giá vá phân phối thông tin rủi ro cho các bộ phận tƣơng ứng, xuyên suốt toàn bộ ngân hàng. Các nội
27
dung báo cáo bao gồm khuynh hƣớng tổn thất, xếp hạng từ việc đánh giá rủi ro, xếp hạng theo các chỉ số rủi ro chính, vốn kinh tế hay vốn điều lệ; thông qua các thông tin về nguy cơ tổn thất, đánh giá rủi ro, phân tích mô phỏng rủi ro và các chỉ số rủi ro chính. Báo cáo có thể thực hiện định kỳ hoặc báo cáo sự cố bất ngờ.
Bảng 1.3: Kiểm soát rủi ro tác nghiệp
Mức độ rủi ro Kế hoạch hành động
1-4 Mức thấp
Những kiểm soát nhanh chóng, dễ dàng phải đƣợc thực hiện ngay lập tức và tiếp tục cho các kế hoạch hành động khi các nguồn lực cho phép. Giám sát bảo đảm duy trì kiểm soát. Quản lý thông qua các thủ tục thông thƣờng. Cải tiến về kinh tế những nơi có thể. Báo cáo rủi ro phải đƣợc hoàn tất.
5-8 Trung bình
Các kế hoạch nhằm giảm bớt rủi ro, nhƣng chi phí của công tác phòng chống có thể đƣợc hạn chế. Đánh giá rủi ro và thực hiện những hành động thích hợp. Các hành động phải đƣợc kiểm soát. Báo cáo rủi ro phải đƣợc hoàn tất, rủi ro phải đƣợc theo dõi.
9-12
Đáng kể
Trƣờng hợp các rủi ro liên quan đến công việc đang tiến hành thì việc đánh giá rủi ro càng sớm càng tốt để đảm bảo sự an toàn của công việc, của hoạt động kinh doanh. Chỉ thực hiện hoạt động kinh doanh trong giới hạn rủi ro chấp nhận đƣợc, liên hệ với ngƣời QLRR về những hoạt động đó, để giảm thiểu bớt rủi ro. Báo cáo sự cố phảo đƣợc hoàn thành, và sự cố đƣợc đƣa vào theo dõi.
15-25 Nghiêm trọng
Không hoạt động cho đến khi việc đánh giá rủi ro đã đƣợc hoàn thành để đảm bảo an toàn của hoạt động kinh doanh, nếu không thể giảm thiểu, loại bỏ thì phải thông báo ngay lập tức với giám đốc, ngƣời QLRR. Báo cáo sự cố phải đƣợc hoàn tất và sự cố đƣợc đƣa vào theo dõi.
28
Khi ngân hàng đã xác định đƣợc trách nhiệm đối với việc QLRRTN thì các nhà quản lý phải phân chia cấp độ QLRR một cách rõ ràng, minh bạch. QLRRTN đƣợc phân làm 3 cấp quản lý: Cấp độ chiến lƣợc, cấp độ vĩ mô và cấp vi mô nhằm
