Báo cáo giám sát rủi ro công nghệ thông tin của bên thứ ba
Báo cáo giám sát rủi ro công nghệ thông tin của bên thứ ba là tài liệu tổng hợp hiện trạng quản trị, kiểm soát và xử lý các rủi ro công nghệ thông tin phát sinh từ những nhà cung cấp bên thứ ba mà ngân hàng sử dụng. Báo cáo thường được lập định kỳ theo quý, nửa năm hoặc năm, tùy mức độ quan trọng của nhà cung cấp và yêu cầu quản trị rủi ro của từng ngân hàng.
Đối tượng giám sát có thể bao gồm các đơn vị cung cấp hạ tầng công nghệ thông tin, phần mềm, dịch vụ thanh toán, dịch vụ đám mây, dịch vụ giao dịch điện tử, trung gian thông tin, thuê ngoài kiểm toán, bảo hiểm, xử lý dữ liệu hoặc các dịch vụ hỗ trợ khác có khả năng tác động đến dữ liệu, hoạt động nghiệp vụ, hệ thống thông tin hoặc uy tín của ngân hàng.
Phạm vi giám sát
Phạm vi giám sát tập trung vào những rủi ro có thể xuất hiện khi ngân hàng giao một phần hoặc toàn bộ hệ thống, dữ liệu, dịch vụ hoặc quy trình nghiệp vụ cho bên thứ ba. Trọng tâm xem xét thường gồm:
- Mức độ an toàn của hệ thống và nền tảng công nghệ thông tin của nhà cung cấp.
- Khả năng bảo vệ dữ liệu khách hàng, dữ liệu giao dịch và thông tin nội bộ của ngân hàng.
- Chính sách quản lý truy cập, phân quyền và kiểm soát đặc quyền.
- Hiệu quả của quản lý vá lỗi, sao lưu, khôi phục dữ liệu và xử lý sự cố.
- Mức độ tuân thủ các yêu cầu bảo mật, pháp luật và điều khoản hợp đồng.
- Khả năng ngăn chặn, phát hiện và ứng phó với tấn công mạng, rò rỉ dữ liệu hoặc gián đoạn dịch vụ.
- Tình trạng của các bên thứ ba cấp dưới mà nhà cung cấp trực tiếp sử dụng.
- Năng lực duy trì hoạt động liên tục và khả năng khôi phục khi xảy ra sự cố.
Phạm vi có thể được xác định theo mức độ quan trọng của dịch vụ, khả năng thay thế, mức độ nhạy cảm của dữ liệu và tác động tiềm tàng nếu nhà cung cấp ngừng hoạt động hoặc không đáp ứng được cam kết.
Nội dung chính của báo cáo
Báo cáo thường bao gồm danh sách nhà cung cấp đang trong phạm vi giám sát, kết quả đánh giá rủi ro, các vi phạm hoặc điểm yếu đã phát hiện, tình trạng khắc phục, kế hoạch hành động và các quyết định cần đưa ra. Một báo cáo hiệu quả cần phân biệt rõ:
- Rủi ro đã được kiểm soát và không cần điều chỉnh.
- Rủi ro đang được xử lý theo kế hoạch.
- Rủi ro cần tăng cường giám sát.
- Rủi ro cần phê duyệt biện pháp xử lý hoặc nâng cấp mức độ kiểm soát.
- Rủi ro không thể chấp nhận, đòi hỏi phải thay thế nhà cung cấp hoặc tạm dừng sử dụng dịch vụ.
Các chỉ số có thể đưa vào báo cáo gồm số lượng nhà cung cấp được đánh giá, tỷ lệ nhà cung cấp đáp ứng yêu cầu, số phát hiện mở, số phát hiện đã đóng, thời gian xử lý trung bình, số tổ chức bị ảnh hưởng bởi sự cố và mức độ nghiêm trọng của rủi ro còn lại. Ví dụ, trong một kỳ báo cáo, ngân hàng có thể ghi nhận 100 nhà cung cấp trọng yếu, 92 nhà cung cấp đã hoàn thành đánh giá, 8 nhà cung cấp có phát hiện đang mở và 4 nhà cung cấp bị xếp vào nhóm rủi ro cao cần phê duyệt kế hoạch xử lý.
Cơ chế xác định và ưu tiên rủi ro
Ngân hàng thường xây dựng bảng phân loại nhà cung cấp theo mức độ quan trọng để phân bổ tài nguyên giám sát. Các tiêu chí phổ biến gồm:
- Nhà cung cấp xử lý dữ liệu khách hàng hoặc dữ liệu giao dịch nhạy cảm.
- Nhà cung cấp tham gia vào quy trình định giá, phê duyệt, ghi sổ kế toán hoặc thanh toán.
- Nhà cung cấp có thể ảnh hưởng trực tiếp đến tính sẵn sàng của dịch vụ ngân hàng.
- Nhà cung cấp có quyền truy cập hệ thống mạng nội bộ hoặc dữ liệu của ngân hàng.
- Sự phụ thuộc vào nhà cung cấng và khó khăn trong việc thay thế.
- Lịch sử về hiệu quả an toàn, chất lượng dịch vụ và khả năng phản hồi sự cố.
Kết quả phân loại giúp xác định tần suất đánh giá, mức độ thẩm định tài liệu, phương pháp giám sát và yêu cầu báo cáo đối với từng nhà cung cấp. Nhà cung cấp trọng yếu thường được đánh giá thường xuyên hơn, có thể bao gồm trang kiểm tra tại chỗ, phỏng vấn quản lý, kiểm tra báo cáo chứng nhận, đối chiếu với hợp đồng và theo dõi các chỉ số vận hành.
Kết quả giám sát và hành động khắc phục
Mỗi phát hiện trong báo cáo cần có chủ sở hữu chịu trách nhiệm, mức độ ưu tiên, thời hạn hoàn thành và biện pháp kiểm soát dự kiến. Quá trình theo dõi khắc phục nên phân biệt giữa việc nhà cung cấp cam kết thực hiện và việc ngân hàng đã kiểm chứng hiệu quả của biện pháp.
Ví dụ, nếu phát hiện một nhà cung cấp chưa triển khai quy trình quản lý vá lỗi trong thời hạn cam kết, ngân hàng có thể yêu cầu cung cấp kế hoạch, tài liệu hướng dẫn, bằng chứng kiểm thử và thời hạn hoàn thành cụ thể. Đối với phát hiện liên quan đến truy cập dữ liệu nhạy cảm, ngân hàng cần đánh giá thêm mức độ nghiêm trọng, phạm vi dữ liệu bị ảnh hưởng và khả năng phát sinh thiệt hại.
Báo cáo cũng nên phản ánh các trường hợp tự nguyện thông báo sự cố, kết quả đánh giá lại sau sự cố, thay đổi trong dịch vụ, thay đổi mô hình cung cấng, di chuyển dữ liệu hoặc cơ cấu sở hữu doanh nghiệp. Những thay đổi này có thể làm thay đổi mức rủi ro mà không cần chờ đến kỳ đánh giá định kỳ.
Câu hỏi thường gặp
Hỏi: Báo cáo giám sát rủi ro công nghệ thông tin của bên thứ ba được lập theo chu kỳ nào?
Báo cách thường được lập theo quý đối với các nhà cung cấp trọng yếu, theo nửa năm đối với nhóm rủi ro trung bình và theo năm đối với nhóm rủi ro thấp. Kỳ báo cáo cũng có thể được điều chỉnh theo mức độ thay đổi của dịch vụ, kết quả đánh giá trước đó và yêu cầu quản trị của ngân hàng.
Hỏi: Nếu một nhà cung cấp không cung cấp đầy đủ thông tin để đánh giá rủi ro thì ngân hàng nên xử lý thế nào?
Ngân hàng có thể ghi nhận đây là một phát hiện điều kiện, chưa đóng và phân loại rủi ro chưa được đánh giá đầy đủ. Tùy mức độ quan trọng, ngân hàng có thể yêu cầu nhà cung cấp bổ sung tài liệu, áp dụng biện pháp kiểm soát tạm thời, tăng cường giám sát hoặc đưa ra quyết định về việc tiếp tục sử dụng dịch vụ.
Hỏi: Phát hiện của nhà cung cấp chưa được khắc phục có phải lý do để ngân hàng ngừng sử dụng dịch vụ ngay không?
Không nhất thiết. Ngân hàng sẽ đánh giá mức độ nghiêm trọng, khả năng xảy ra thiệt hại, thời gian khắc phục và các biện pháp kiểm soát bù trừ. Với rủi ro thấp hoặc trung bình, ngân hàng có thể theo dõi định kỳ; với rủi ro cao không thể chấp nhận, có thể phải hạn chế sử dụng, thay thế nhà cung cấp hoặc chấm dứt quan hệ hợp tác.
Vai trò trong quản trị rủi ro của ngân hàng
Báo cáo giám sát rủi ro công nghệ thông tin của bên thứ ba hỗ trợ ban lãnh đạo và các ủy ban quản trị rủi ro trong việc nắm tình hình sử dụng dịch vụ bên ngoài, xác định rủi ro số trọng yếu và ra quyết định về mức độ chấp nhận rủi ro. Báo cáo cũng tạo cơ sở để điều chỉnh hợp đồng, yêu cầu nhà cung cấp nâng cấp năng lực kiểm soát, phân bổ nguồn lực giám sát và xây dựng phương án thay thế khi xảy ra sự cố.
Nội dung này mang tính tham khảo, không thay thế tư vấn chuyên môn hoặc các yêu cầu quản trị rủi ro, pháp lý cụ thể của từng ngân hàng.