Chức danh Giám đốc Quản trị Rủi ro Hoạt động
Chức danh Giám đốc Quản trị Rủi ro Hoạt động, thường được gọi bằng tiếng Anh là Chief Operational Risk Officer (CORO), là vị trí quản lý cấp cao chịu trách nhiệm xây dựng, vận hành và nâng cao hiệu quả của hệ thống quản trị rủi ro hoạt động trên phạm vi toàn ngân hàng. Chức danh này đóng vai trò độc lập giám sát các rủi ro phát sinh từ hoạt động nghiệp vụ, hệ thống công nghệ thông tin, con người, quy trình và các bên liên quan.
Giám đốc Quản trị Rủi ro Hoạt động đảm bảo rủi ro hoạt động được nhận diện, đánh giá, đo lường, kiểm soát và báo cáo đầy đủ; đồng thời tham gia xây dựng văn hóa quản trị rủi ro, bảo đảm các quyết định quản trị được đưa ra trên cơ sở thông tin tin cậy. Tùy theo quy mô và mô hình tổ chức của tổ chức tín dụng, chức danh này có thể báo cáo trực tiếp cho Hội đồng Quản trị, Ban Điều hành hoặc Giám đốc điều hành. Tính độc lập trong giám sát là yếu tố quan trọng để hạn chế khả năng chủ đích giảm nhẹ hoặc che giấu rủi ro.
Phạm vi trách nhiệm
Phạm vi trách nhiệm của Giám đốc Quản trị Rủi ro Hoạt động thường bao gồm:
- Xây dựng khung quản trị rủi ro hoạt động, chính sách, quy trình, tiêu chí phân loại và phương pháp đánh giá rủi ro.
- Tổ chức nhận diện rủi ro hoạt động trên toàn hệ thống, bao gồm rủi ro trong hoạt động nghiệp vụ, công nghệ thông tin, bảo mật thông tin, gian lận nội bộ, con người, nhà cung cấp và bên thứ ba.
- Xây dựng cơ sở dữ liệu rủi ro hoạt động, hệ thống báo cáo, chỉ số cảnh báo và cơ chế theo dõi sự kiện rủi ro.
- Tổ chức kiểm soát thứ cấp đối với hoạt động của các đơn vị kinh doanh và các chức năng hỗ trợ.
- Đề xuất giải pháp giảm thiểu rủi ro, theo dõi tiến độ xử lý và đánh giá hiệu quả của các biện pháp kiểm soát.
- Tổ chức đào tạo, hướng dẫn và nâng cao năng lực nhận diện, đánh giá rủi ro của cán bộ, nhân viên và các đơn vị trong ngân hàng.
- Báo cáo tình hình rủi ro hoạt động tới Hội đồng Quản trị, Ban Điều hành, Ủy ban Quản trị Rủi ro và các cấp quản lý có liên quan.
Chức danh này không thay thế trách nhiệm quản lý rủi ro của đơn vị kinh doanh. Các đơn vị trực tiếp thực hiện hoạt động vẫn phải chủ động nhận diện rủi ro, thiết kế kiểm soát và bảo đảm tuân thủ quy trình. Giám đốc Quản trị Rủi ro Hoạt động giữ vai trò giám sát độc lập, đồng thời hỗ trợ toàn ngân hàng nâng cao năng lực quản trị.
Vai trò trong quản trị rủi ro toàn ngân hàng
Giám đốc Quản trị Rủi ro Hoạt động đóng góp vào quản trị rủi ro toàn ngân hàng thông qua việc đánh giá mức độ hấp thụ rủi ro của các khối kinh doanh, kiểm tra tính đầy đủ và hiệu quả của các biện pháp kiểm soát, xác định các rủi ro mới phát sinh và cảnh báo Ban Điều hành về những vấn đề có thể ảnh hưởng đến khả năng duy trì hoạt động.
Đối với rủi ro hoạt động, cơ sở đánh giá thường xem xét khả năng xảy ra, mức độ tác động, khả năng phát hiện và khả năng xử lý của sự kiện. Ví dụ, một lỗi trong quy trình mở tài khoản có thể ảnh hưởng đến nhiều khách hàng nếu được phát hiện muộn, thường xuyên hoặc do nhiều đơn vị cùng thực hiện thiếu kiểm soát. Vì vậy, mức độ nghiêm trọng không chỉ phụ thuộc vào thiệt hại tài chính trực tiếp mà còn phụ thuộc vào quy mô khách hàng bị ảnh hưởng, khả năng tái diễn, tác động uy tín và khả năng phục hồi của ngân hàng.
Giám đốc Quản trị Rủi ro Hoạt động cũng phối hợp với các chức danh quản trị rủi ro khác như Giám đốc Quản trị Rủi ro Tín dụng, Giám đốc Quản trị Rủi ro Thị trường, Giám đốc Quản trị Rủi ro Tuân thủ và Kế toán trưởng. Mục tiêu là làm rõ mối liên hệ giữa rủi ro hoạt động với rủi ro tín dụng, rủi ro pháp lý, rủi ro thanh khoản và rủi ro uy tín, tránh việc đánh giá thiếu hoặc trùng lặp.
Hoạt động kiểm soát thứ cấp
Kiểm soát thứ cấp là hoạt động giám sát việc các đơn vị trực tiếp thực hiện nhận diện, đánh giá và kiểm soát rủi ro hoạt động. Giám đốc Quản trị Rủi ro Hoạt động cần bảo đảm rằng:
- Thông tin rủi ro được cập nhật đầy đủ, chính xác và có thể truy ngu được nguồn gốc.
- Cách thức đánh giá rủi ro được áp dụng nhất quán giữa các đơn vị.
- Kiểm soát tại cấp đơn vị được thiết kế phù hợp với mức độ rủi ro.
- Các vấn đề vượt khả năng xử lý của đơn vị được chuyển cấp kịp thời.
- Các sự kiện rủi ro lớn được ghi nhận, phân tích nguyên nhân và theo dõi khắc phục.
- Báo cáo quản trị phản ánh đúng tình trạng rủi ro, không chỉ tập trung vào số liệu đã xử lý.
Một chỉ số hiệu quả thường được theo dõi là tỷ lệ sự kiện rủi ro hoạt động được ghi nhận đầy đủ, thời gian xử lý sự kiện trung bình, tỷ lệ vụ việc quá hạn và tiến độ hoàn thành biện pháp giảm thiểu. Tuy nhiên, không nên chỉ đánh giá hiệu quả bằng số lượng sự kiện đã đóng, bởi giảm số sự kiện có thể do khách hàng không phản ánh hoặc do kỹ thuật phát hiện chưa đủ.
Yêu cầu năng lực và kỹ năng
Người đảm nhận chức danh này thường cần có kiến thức sâu về hoạt động ngân hàng, quản trị rủi ro, công nghệ thông tin, quản lý vận hành và tuân thủ. Năng lực phân tích dữ liệu, khả năng xây dựng chỉ số cảnh báo, kỹ năng quản lý sự kiện, tư duy độc lập và khả năng truyền thông với cấp quản lý là những yếu tố quan trọng.
Ngoài chuyên môn, Giám đốc Quản trị Rủi ro Hoạt động cần có uy tín, kỹ năng thuyết phục và sẵn sàng trình bày các vấn đề chưa được giải quyết hoặc có rủi ro cao. Chức danh này đòi hỏi khả năng bảo vệ tính độc lập của hoạt động giám sát, tránh xung đột giữa mục tiêu kiểm soát rủi ro và mục tiêu vận hành ngắn hạn của các đơn vị kinh doanh.
Ví dụ, khi ngân hàng đề xuất ra soát quy trình tín dụng trực tuyến để tăng tốc độ xử lý, Giám đốc Quản trị Rủi ro Hoạt động cần đánh giá các điểm có thể xảy ra lỗi trong xác thực khách hàng, cấp quyền truy cập, lưu trữ dữ liệu và xử lý ngoại lệ. Đồng thời, chức danh này cần thống nhất với các đơn vị liên quan về biện pháp kiểm soát, chỉ số theo dõi và kế hoạch ứng phó khi hệ thống gặp sự cố.
Câu hỏi thường gặp
Hỏi: Giám đốc Quản trị Rủi ro Hoạt động có quyền quyết định cách ngân hàng xử lý sự kiện rủi ro không?
Không phải trong mọi trường hợp. Vị trí này thường có quyền yêu cầu đơn vị liên quan cung cấp thông tin, đề xuất hoặc kiến nghị biện pháp xử lý và báo cáo vấn đề lên cấp quản lý. Quyền quyết định cuối cùng còn phụ thuộc vào phân cấp thẩm quyền, quy định nội bộ và cơ chế quản trị của tổ chức tín dụng.
Hỏi: Sự kiện rủi ro hoạt động được định nghĩa khác với sự cố vận hành như thế nào?
Sự cố vận hành là hiện tượng thực tế đã xảy ra, chẳng hạn hệ thống ngân hàng gián đoạn. Rủi ro hoạt động là khả năng các hoạt động, quy trình, hệ thống hoặc con người không hoạt động như dự kiến, dẫn đến sự cố. Một sự cố vận hành là hiện thực hóa của rủi ro hoạt động và thường được ghi nhận để phân tích nguyên nhân.
Hỏi: Làm thế nào để đánh giá hiệu quả của Giám đốc Quản trị Rủi ro Hoạt động?
Có thể dựa trên chất lượng và tính kịp thời của báo cáo, tỷ lệ sự kiện được ghi nhận đầy đủ, mức độ tuân thủ quy trình, chất lượng phân tích nguyên nhân, tiến độ khắc phục sự kiện và mức độ thực hiện các biện pháp giảm thiểu. Đánh giá cần cân nhắc cả tính độc lập của hoạt động giám sát, không chỉ dựa vào số lượng sự kiện đã đóng.
Nội dung mang tính tham khảo và được xây dựng theo thông lệ quản trị rủi ro phổ biến, không thay thế tư vấn chuyên môn hoặc các quy định pháp luật và văn bản nội bộ áp dụng đối với từng tổ chức tín dụng.