Chuyên viên Quản trị Rủi ro Công nghệ Thông tin (IT Risk Management Officer)
Chuyên viên Quản trị Rủi ro Công nghệ Thông tin (IT Risk Management Officer) là nhân sự chuyên trách hoặc kiêm nhiệm chịu trách nhiệm xây dựng, triển khai và vận hành khung quản trị rủi ro công nghệ thông tin trong toàn bộ hoạt động của ngân hàng và tổ chức tín dụng. Trong bối cảnh ngân hàng số hóa và chuyển đổi số mạnh mẽ tại Việt Nam, vị trí này đóng vai trò cầu nối giữa khối Công nghệ Thông tin, khối Quản trị Rủi ro và khối An toàn thông tin, đảm bảo các hệ thống ngân hàng lõi, kênh số, dữ liệu khách hàng và dịch vụ thanh toán luôn vận hành liên tục, an toàn và tuân thủ quy định pháp luật.
Phạm vi công việc chính
Phạm vi công việc của Chuyên viên Quản trị Rủi ro Công nghệ Thông tin bao gồm nhiều mảng nghiệp vụ liên quan chặt chẽ với nhau:
- Xây dựng và cập nhật khung quản trị rủi ro CNTT: thiết lập chính sách, quy trình, tiêu chuẩn đánh giá rủi ro cho toàn bộ vòng đời phát triển và vận hành hệ thống, đồng thời tích hợp khung này với khung quản trị rủi ro doanh nghiệp (ERM) của ngân hàng.
- Nhận diện và đánh giá rủi ro CNTT: thực hiện đánh giá rủi ro định kỳ và đột xuất đối với các hệ thống ngân hàng lõi (Core Banking), ứng dụng ngân hàng số, hạ tầng đám mây, thiết bị ATM/POS, kênh Internet Banking và các dự án công nghệ mới.
- Giám sát và kiểm soát rủi ro: theo dõi các chỉ số rủi ro (KRI), chỉ số SLA, sự cố an toàn thông tin, lỗ hổng bảo mật; tổ chức kiểm thử xâm nhập, đánh giá lỗ hổng định kỳ.
- Quản lý sự cố và liên tục kinh doanh: tham gia xây dựng kế hoạch dự phòng thảm họa (DRP), kế hoạch liên tục kinh doanh (BCP) và điều phối xử lý sự cố CNTT nghiêm trọng.
- Tuân thủ quy định: đảm bảo hoạt động CNTT ngân hàng tuân thủ các quy định của Ngân hàng Nhà nước về an toàn, bảo mật trong hoạt động ngân hàng điện tử, quản lý rủi ro công nghệ, cùng các chuẩn mực quốc tế như ISO 27001, NIST Cybersecurity Framework, PCI DSS.
Vai trò trong cơ cấu tổ chức ngân hàng
Trong mô hình ba tuyến phòng thủ (Three Lines of Defense) mà nhiều ngân hàng Việt Nam đang áp dụng, Chuyên viên Quản trị Rủi ro CNTT thường thuộc tuyến thứ hai, trực thuộc Khối Quản trị Rủi ro (Risk Management Division) hoặc đôi khi đặt tại Khối Công nghệ Thông tin nhưng báo cáo đường dây chức năng (functional reporting) về bộ phận rủi ro. Vị trí này có vai trò:
- Đánh giá rủi ro độc lập đối với các sáng kiến công nghệ mới như trí tuệ nhân tạo (AI), dữ liệu lớn (Big Data), hợp đồng thông minh (Smart Contract), nhận dạng sinh trắc học (eKYC).
- Tham mưu cho Ban điều hành và Ủy ban Rủi ro về mức độ chấp nhận rủi ro (Risk Appetite) đối với các dự án CNTT trọng điểm.
- Phối hợp với Kiểm toán nội bộ (tuyến thứ ba) để cung cấp thông tin, tài liệu phục vụ các cuộc kiểm toán CNTT định kỳ.
Yêu cầu năng lực và chứng chỉ
Để đảm nhận vị trí này, ứng viên thường cần đáp ứng các yêu cầu về năng lực chuyên môn và chứng chỉ nghề nghiệp:
- Kiến thức nền tảng: tốt nghiệp đại học chuyên ngành Công nghệ Thông tin, Hệ thống Thông tin, An toàn Thông tin, Toán tin hoặc Quản trị Kinh doanh có định hướng Tài chính – Ngân hàng.
- Kinh nghiệm nghiệp vụ: từ 3 đến 5 năm làm việc tại các vị trí quản trị rủi ro, an toàn thông tin, kiểm toán CNTT hoặc vận hành hệ thống ngân hàng.
- Chứng chỉ chuyên ngành được ưu tiên: CISA (Certified Information Systems Auditor), CISM (Certified Information Security Manager), CRISC (Certified in Risk and Information Systems Control), CISSP (Certified Information Systems Security Professional), ISO 27001 Lead Auditor/Risk Manager.
- Kỹ năng bổ trợ: khả năng phân tích dữ liệu, đọc hiểu tiêu chuẩn quốc tế, kỹ năng giao tiếp và làm việc liên phòng ban, tư duy phản biện.
Câu hỏi thường gặp
Hỏi: Vị trí Chuyên viên Quản trị Rủi ro CNTT khác gì với Chuyên viên An toàn Thông tin (Information Security Officer)?
Chuyên viên An toàn Thông tin tập trung chủ yếu vào bảo vệ hệ thống, dữ liệu và ứng phó sự cố an ninh mạng, trong khi Chuyên viên Quản trị Rủi ro CNTT có phạm vi rộng hơn, bao gồm cả rủi ro vận hành hệ thống, rủi ro dự án công nghệ, rủi ro tuân thủ và rủi ro liên tục kinh doanh. Hai vị trí này thường phối hợp chặt chẽ nhưng có góc nhìn và mục tiêu khác nhau.
Hỏi: Ngân hàng nhỏ và vừa tại Việt Nam thường bố trí vị trí này như thế nào?
Tại các ngân hàng thương mại cổ phần nhỏ và các công ty tài chính, vị trí này thường được kiêm nhiệm bởi chuyên viên thuộc Phòng Quản trị Rủi ro hoặc Phòng Công nghệ Thông tin, thay vì thành lập bộ phận chuyên trách riêng. Ở các ngân hàng lớn như Vietcombank, BIDV, Techcombank, MB hay VPBank, đã xuất hiện các phòng/ban chuyên trách về quản trị rủi ro CNTT với quy mô từ vài chục đến hàng trăm nhân sự.
Hỏi: Thu nhập và cơ hội thăng tiến của vị trí này ra sao trong ngành ngân hàng?
Mức thu nhập của Chuyên viên Quản trị Rủi ro CNTT tại Việt Nam hiện dao động từ khoảng 18 – 45 triệu đồng/tháng tùy quy mô ngân hàng, tùy kinh nghiệm và chứng chỉ chuyên ngành. Cơ hội thăng tiến khá rộng mở, có thể phát triển lên các vị trí Trưởng phòng Quản trị Rủi ro CNTT, Phó Giám đốc Khối Quản trị Rủi ro, hoặc chuyển sang mảng Kiểm toán nội bộ, Compliance, hoặc phụ trách Trung tâm Điều hành An ninh mạng (SOC).
Lưu ý: Các thông tin về mức thu nhập, yêu cầu chứng chỉ và cơ cấu tổ chức nêu trên mang tính tham khảo, có thể thay đổi theo quy mô, chiến lược từng ngân hàng và quy định pháp luật hiện hành tại từng thời kỳ. Người đọc nên tham khảo thêm từ các nguồn tư vấn chuyên môn và tuyển dụng chính thức của từng đơn vị.