Rủi ro hoạt động (Operational Risk)
Rủi ro hoạt động là loại rủi ro phát sinh từ các yếu tố nội tại bên trong tổ chức tín dụng và từ môi trường bên ngoài, gây ra tổn thất tài chính hoặc gián đoạn hoạt động kinh doanh. Các nguồn phát sinh chính bao gồm: quy trình nghiệp vụ nội bộ thiếu đầy đủ hoặc không tuân thủ, sai sót của con người trong vận hành, lỗi hoặc sự cố của hệ thống công nghệ thông tin, và các sự kiện bên ngoài nằm ngoài tầm kiểm soát (thiên tai, dịch bệnh, biến động chính trị - xã hội, các hành vi gian lận từ đối tượng bên ngoài). Theo khung Basel II, rủi ro hoạt động được phân loại thành bảy nhóm sự kiện: gian lận nội bộ, gian lận bên ngoài, thực tiễn tuyển dụng và an toàn lao động, sự kiện liên quan đến khách hàng, sản phẩm và quy trình nghiệp vụ, sự cố hệ thống CNTT, sự cố liên quan đến quản lý tài sản, và sự kiện từ môi trường bên ngoài.
Vai trò của rủi ro hoạt động trong hoạt động ngân hàng
Khác với rủi ro tín dụng hay rủi ro thị trường, rủi ro hoạt động hiện diện ở hầu hết các nghiệp vụ hàng ngày của ngân hàng — từ giao dịch viên xử lý lệnh chuyển tiền, đến nhân viên tín dụng thẩm định hồ sơ, đến bộ phận IT vận hành hệ thống core banking. Thống kê cho thấy phần lớn các vụ tổn thất lớn trong ngành ngân hàng toàn cầu trong hai thập niên qua đều có yếu tố rủi ro hoạt động, đặc biệt là gian lận nội bộ và sự cố hệ thống. Do đó, quản trị rủi ro hoạt động là một trụ cột bắt buộc trong khung quản trị rủi ro tổng thể (Enterprise Risk Management - ERM) của mọi ngân hàng thương mại.
Ba phương pháp đo lường rủi ro hoạt động theo Basel II
Phương pháp chỉ số cơ bản (Basic Indicator Approach - BIA): Đây là phương pháp đơn giản nhất, trong đó vốn yêu cầu cho rủi ro hoạt động bằng 15% tổng thu nhập ròng dương trong ba năm gần nhất. Hầu hết ngân hàng thương mại Việt Nam hiện đang áp dụng phương pháp này do mức độ phức tạp thấp và yêu cầu dữ liệu tối thiểu.
Phương pháp tiêu chuẩn (Standardized Approach - SA): Ngân hàng phân chia hoạt động kinh doanh thành tám nghiệp vụ (tín dụng doanh nghiệp, ngân hàng bán lẻ, ngân hàng đầu tư, thanh toán, v.v.) và áp dụng hệ số beta riêng cho từng nghiệp vụ. Hệ số beta dao động từ 12% (ngân hàng bán lẻ) đến 18% (ngân hàng đầu tư), phản ánh mức độ rủi ro khác nhau giữa các mảng nghiệp vụ.
Phương pháp đo lường nâng cao (Advanced Measurement Approach - AMA): Phương pháp phức tạp nhất, cho phép ngân hàng tự xây dựng mô hình nội bộ dựa trên dữ liệu tổn thất thực tế, kết hợp với phân tích kịch bản và các yếu tố môi trường - kiểm soát. AMA đòi hỏi cơ sở dữ liệu tổn thất lịch sử tối thiểu 5 năm, hệ thống quản lý rủi ro hoạt động (ORM) đạt chuẩn và sự chấp thuận của cơ quan giám sát.
Quy trình quản trị rủi ro hoạt động tại ngân hàng thương mại Việt Nam
Quản trị rủi ro hoạt động tại các ngân hàng Việt Nam thường tuân theo chu trình bốn bước: (1) Nhận diện rủi ro thông qua khảo sát tự đánh giá (RCSA - Risk and Control Self Assessment) và phân tích sự kiện rủi ro; (2) Đánh giá và đo lường bằng bản đồ rủi ro (risk map), chỉ số rủi ro trọng yếu (KRI - Key Risk Indicators) và cơ sở dữ liệu tổn thất; (3) Kiểm soát thông qua xây dựng quy trình, phân tách chức năng, kiểm toán nội bộ; (4) Giám sát và báo cáo định kỳ cho Ban điều hành và Hội đồng quản trị. Theo quy định hiện hành của Ngân hàng Nhà nước Việt Nam, các tổ chức tín dụng phải dành tối thiểu một phần vốn CAR cho rủi ro hoạt động (hệ số 8% trên tài sản có rủi ro).
Câu hỏi thường gặp
Hỏi: Vì sao các ngân hàng thương mại Việt Nam chủ yếu áp dụng phương pháp BIA thay vì SA hay AMA?
Đáp: Phương pháp BIA có yêu cầu dữ liệu và hạ tầng kỹ thuật thấp nhất, phù hợp với năng lực quản trị rủi ro hiện tại của phần lớn NHTM Việt Nam. Để chuyển sang SA, ngân hàng cần tách riêng thu nhập theo từng nghiệp vụ một cách chi tiết; để áp dụng AMA, ngân hàng cần cơ sở dữ liệu tổn thất lịch sử trên 5 năm, hệ thống công nghệ phân tích và sự phê duyệt của Ngân hàng Nhà nước — điều mà chỉ một số ít ngân hàng lớn như Vietcombank, VietinBank, BIDV đang trong lộ trình triển khai.
Hỏi: Gian lận nội bộ và gian lận bên ngoài khác nhau như thế nào trong phân loại rủi ro hoạt động?
Đáp: Gian lận nội bộ (internal fraud) liên quan đến hành vi gian lận có chủ ý của nhân viên ngân hàng nhằm chiếm đoạt tài sản hoặc gây tổn thất cho ngân hàng, ví dụ nhân viên tín dụng nhận hối lộ khi phê duyệt khoản vay, hoặc giao dịch viên chiếm đoạt tiền gửi của khách hàng. Gian lận bên ngoài (external fraud) là hành vi gian lận do đối tượng bên ngoài thực hiện, phổ biến nhất hiện nay là tấn công mạng, lừa đảo qua kênh số (phishing, social engineering), làm giả giấy tờ để vay vốn. Mặc dù cùng thuộc nhóm gian lận, hai loại này có biện pháp kiểm soát khác nhau: gian lận nội bộ cần cơ chế kiểm soát nội bộ chặt chẽ (phân tách chức năng, giám sát chéo, kiểm toán nội bộ), còn gian lận bên ngoài cần công nghệ bảo mật, xác thực khách hàng và nâng cao nhận thức người dùng.
Hỏi: Một nhân viên giao dịch xử lý sai số tiền chuyển khoản của khách hàng khiến khách hàng khiếu nại — sự vụ này thuộc loại sự kiện rủi ro hoạt động nào?
Đáp: Sự vụ này thuộc nhóm "Sự kiện liên quan đến khách hàng, sản phẩm và quy trình nghiệp vụ" (Clients, Products & Business Practices) kết hợp yếu tố "lỗi nhân viên". Đây là nhóm sự kiện rất phổ biến trong ngân hàng bán lẻ, đặc biệt tại các chi nhánh có khối lượng giao dịch lớn. Ngân hàng thường kiểm soát nhóm rủi ro này bằng quy trình kiểm tra bốn mắt, hệ thống giới hạn giao dịch và chương trình đào tạo nghiệp vụ định kỳ cho giao dịch viên.
Lưu ý: Nội dung trên mang tính tham khảo chuyên môn, không thay thế tư vấn pháp lý hay tư vấn tài chính chính thức từ các cơ quan có thẩm quyền.