Cơ chế Tự đánh giá Rủi ro & Kiểm soát Nội bộ (RCSA — Risk Control Self-Assessment) là gì?

Cơ chế Tự đánh giá Rủi ro và Kiểm soát Nội bộ

Cơ chế Tự đánh giá Rủi ro và Kiểm soát Nội bộ, viết tắt RCSA, là quy trình định kỳ giúp đơn vị nghiệp vụ tự nhận diện các rủi ro có ảnh hưởng đến mục tiêu hoạt động, tự đánh giá mức độ xuất hiện và khả năng diễn ra của rủi ro, đồng thời đánh giá tính phù hợp, hiệu quả và mức độ thực hiện của các biện pháp kiểm soát đã được thiết lập. Kết quả RCSA là cơ sở để đơn vị đề xuất biện pháp xử lý rủi ro, cập nhật chính sách, cải thiện quy trình và báo cáo cho cấp quản lý hoặc các bên liên quan.

RCSA thường được thực hiện theo chu kỳ năm, bán năm hoặc theo phạm vi, mức độ rủi ro của hoạt động. Đối với một sản phẩm tín dụng mới hoặc một hoạt động có rủi ro cao, quy trình có thể được thực hiện trước khi triển khai chính thức và tiếp tục rà soát trong suốt vòng đời sản phẩm.

RCSA không phải là việc đơn thuần lập danh sách rủi ro. Mục tiêu của cơ chế là làm rõ mối liên hệ giữa rủi ro và mục tiêu, quy trình, kiểm soát, chỉ số cảnh báo, tần suất kiểm tra và trách nhiệm của các bộ phận liên quan. Một rủi ro chỉ được đánh giá đầy đủ khi có thông tin về khả năng xảy ra, mức độ tác động, biện pháp hiện hữu và khoảng trống kiểm soát cần khắc phục.

Mục tiêu và phạm vi triển khai

RCSA thường nhằm đạt bốn mục tiêu chính:

• Xác định rủi ro: Nhận diện các rủi ro trọng yếu trong phạm vi trách nhiệm của đơn vị, bao gồm rủi ro tín dụng, rủi ro thị trường, rủi ro vận hành, rủi ro pháp luật, rủi ro công nghệ thông tin, rủi ro thanh toán và rủi ro phụ thuộc bên thứ ba.
• Đánh giá rủi ro: Xếp hạng khả năng xảy ra và mức độ tác động của từng rủi ro theo thang đo được ngân hàng thống nhất.
• Kiểm tra hiệu quả kiểm soát: Xác định các biện pháp đang tồn tại có được thiết kế đúng, có được thực hiện đầy đủ và có đủ khả năng hạn chế rủi ro hay không.
• Đưa ra hành động cải thiện: Xác định biện pháp xử lý, chủ trì, thời hạn hoàn thành và cơ chế theo dõi đối với các khoảng trống còn tồn tại.

Phạm vi triển khai có thể bao gồm một chi nhánh, trung tâm kinh doanh, khối nghiệp vụ, sản phẩm, dự án hoặc toàn bộ ngân hàng. Tùy thuộc vào quy mô và mức độ rủi ro, tổ chức có thể phân tầng RCSA: khối cấp chiến lược và quản trị rủi ro thực hiện tổng hợp, các đơn vị nghiệp vụ đánh giá chi tiết, còn các khối kiểm soát độc lập kiểm chứng kết quả.

Trong phạm vi đánh giá, cần xác định rõ:

1. Hoạt động, sản phẩm hoặc quy trình được đánh giá là gì;
2. Các bộ phận nào tham gia và chịu trách nhiệm;
3. Rủi ro có thể phát sinh ở đâu trong quy trình;
4. Kiểm soát hiện hữu được áp dụng ra sao;
5. Tần suất kiểm soát và tiêu chí đánh giá hiệu quả là gì;
6. Hậu quả nếu kiểm soát không hoạt động hiệu quả.

Ví dụ, đối với quy trình giải ngân khoản vay, đơn vị có thể đánh giá rủi ro hồ sơ giả mạo, rủi ro cấp tín dụng vượt thẩm quyền, rủi ro giải ngân sai đối tượng, rủi ro lệch tiến độ xử lý và rủi ro gian lận bằng chữ ký. Mỗi rủi ro cần được liên kết với các kiểm soát như kiểm tra hồ sơ, phê duyệt cấp tín dụng, đối chiếu chữ ký, kiểm tra tài khoản thụ hưởng và cơ chế giám sát sau giải ngân.

Quy trình thực hiện RCSA

Quy trình RCSA thường gồm các bước sau:

1. Lập kế hoạch và xác định phạm vi

Bộ phận phụ trách xác định các hoạt động cần đánh giá, tiêu chí lựa chọn, nguồn dữ liệu, thành phần tham gia và thời hạn hoàn thành. Kế hoạch nên chú trọng các rủi ro trọng yếu, hoạt động có thay đổi lớn, sản phẩm mới và các điểm yếu đã được kiểm toán hoặc giám sát ghi nhận.

2. Thu thập thông tin

Đơn vị tổng hợp dữ liệu từ quy trình nghiệp vụ, chính sách nội bộ, hồ sơ khách hàng, báo cáo kiểm soát, kết quả kiểm toán, khiếu nại, sự cố vận hành, chỉ số cảnh báo và ý kiến của các bộ phận liên quan. Thông tin phải đủ tin cậy để có thể đánh giá rủi ro và kiểm soát.

3. Nhận diện và mô tả rủi ro

Mô tả rủi ro theo nguyên nhân, sự kiện và hậu quả. Thay vì ghi chung chung là rủi ro tín dụng, nên mô tả cụ thể: khách hàng không đủ khả năng trả nợ theo cam kết vì doanh thu giảm sụt; hoặc hồ sơ tài sản bảo đảm không được cập nhật khi thay đổi điều kiện tài chính của khách hàng.

4. Đánh giá khả năng xảy ra và mức độ tác động

Mỗi rủi ro thường được chấm điểm theo hai thành phần:

• Khả năng xảy ra: Mức độ có thể xảy ra trong một khoảng thời gian và điều kiện đã xác định;
• Mức độ tác động: Hậu quả tài chính, vận hành, pháp lý, khách hàng và uy tín nếu sự kiện xảy ra.

Điểm rủi ro thường được tính theo công thức:

Điểm rủi ro thô = Khả năng xảy ra × Mức độ tác động

Sau khi đánh giá, ngân hàng có thể sử dụng điểm rủi ro thô để phân loại rủi ro. Tuy nhiên, cần phân biệt rủi ro thô với rủi ro còn lại sau kiểm soát. Rủi ro còn lại thể hiện mức độ rủi ro sau khi đã tính đến hiệu quả của các biện pháp kiểm soát hiện hữu.

Ví dụ, một quy trình có điểm rủi ro thô là 20 nhưng đã có nhiều kiểm soát hiệu quả. Đơn vị có thể ghi nhận rủi ro còn lại ở mức trung bình thấp. Ngược lại, nếu điểm rủi ro thô chỉ ở mức trung bình nhưng các biện pháp kiểm soát bị thiếu hoặc không được thực hiện, rủi ro cần chiến lược thận trọng hơn.

5. Xác định và đánh giá kiểm soát

Mỗi rủi ro cần được liên kết với các kiểm soát tương ứng. Kiểm soát có thể thuộc các loại:

• Kiểm soát phòng ngừa: Giảm khả năng xảy ra của sự kiện rủi ro, ví dụ phân tách quyền, kiểm tra hồ sơ trước khi phê duyệt;
• Kiểm soát phát hiện: Phát hiện sự kiện rủi ro sau khi hoặc trong quá trình xảy ra, ví dụ giám sát giao dịch bất thường, đối chiếu báo cáo;
• Kiểm soát khắc phục: Hạn chế hậu quả, ví dụ cơ chế hoàn trả, cấp lại thẻ, phục hồi dữ liệu hoặc xử lý khiếu nại.

Đánh giá kiểm soát cần xem xét ba yếu tố chính:

• Tính phù hợp: Kiểm soát có phù hợp với đặc điểm và mức độ rủi ro không;
• Tính hiệu quả: Kiểm soát có thực sự ngăn chặn hoặc giảm thiểu rủi ro không;
• Tính thực hiện: Kiểm soát có được áp dụng đúng, đủ và đúng thời điểm không.

Nếu không có bằng chứng về việc thực hiện kiểm soát, không nên mặc định rằng kiểm soát đang hoạt động hiệu quả. Ví dụ, quy định yêu cầu kiểm tra chữ ký trước khi giải ngân chỉ có giá trị nếu nhân viên thực hiện kiểm tra và lưu bằng chứng phù hợp.

6. Xác định khoảng trống và hành động cải thiện

Khoảng trống kiểm soát là khoảng cách giữa mức rủi ro chấp nhận được và thực tế kiểm soát. Khi phát hiện khoảng trống, đơn vị cần lập kế hoạch xử lý với các thông tin:

• Rủi ro cần xử lý;
• Nguyên nhân của khoảng trống;
• Biện pháp bổ sung hoặc điều chỉnh;
• Bộ phận chịu trách nhiệm;
• Người phê duyệt;
• Thời hạn hoàn thành;
• Tiêu chí xác nhận hoàn thành;
• Cách theo dõi sau khi triển khai.

Ví dụ, nếu nhân viên không cập nhật thông tin khách hàng khi thay đổi thông tin liên hệ, biện pháp có thể là bắt buộc đối chiếu dữ liệu khách hàng hằng quý, bổ sung báo cáo theo dõi và phân quyền phê duyệt cho trưởng chi nhánh khi có ngoại lệ.

7. Phê duyệt và theo dõi

Kết quả RCSA sau khi hoàn tất cần được trình bày, phê duyệt theo thẩm quyền và lưu trữ đầy đủ. Các khoảng trống kiểm soát cần được đưa vào danh sách hành động theo dõi. Ngân hàng nên có cơ chế cập nhật định kỳ và kiểm tra việc đóng hành động, tránh tình trạng chỉ ghi nhận rủi ro nhưng không hoàn tất biện pháp xử lý.

Kết quả và chỉ số của RCSA

RCSA tạo ra một bộ hồ sơ có giá trị quản trị, trong đó thường bao gồm:

• Danh mục rủi ro;
• Mô tả nguyên nhân và hậu quả;
• Khả năng xảy ra và mức độ tác động;
• Điểm rủi ro thô;
• Rủi ro còn lại;
• Các biện pháp kiểm soát;
• Đánh giá hiệu quả kiểm soát;
• Khoảng trống còn tồn tại;
• Biện pháp xử lý;
• Người phụ trách và thời hạn;
• Tình trạng thực hiện;
• Ý kiến của cấp quản lý.

Các chỉ số có thể theo dõi gồm:

• Tỷ lệ rủi ro trọng yếu;
• Tỷ lệ kiểm soát được đánh giá là hiệu quả;
• Số lượng khoảng trống kiểm soát;
• Số hành động xử lý đã hoàn thành;
• Số hành động quá hạn;
• Tỷ lệ rủi ro tăng so với kỳ trước;
• Tỷ lệ hoạt động đã được đánh giá lại sau sự kiện;
• Số kiến nghị kiểm soát được cấp quản lý phê duyệt.

Ví dụ, nếu toàn ngân hàng có 100 hoạt động nghiệp vụ được đánh giá, trong đó 12 hoạt động có khoảng trống kiểm soát mức cao và 5 hành động quá hạn, ban điều hành cần yêu cầu các đơn vị giải trình và lập kế hoạch khắc phục cụ thể. Chỉ số không chỉ dùng để báo cáo mà còn hỗ trợ xác định nơi cần tăng cường nguồn lực kiểm soát.

RCSA cũng giúp phát hiện sự không nhất quán giữa các đơn vị. Ví dụ, cùng một sản phẩm nhưng các chi nhánh xác định mức rủi ro và biện pháp kiểm soát khác nhau. Việc chuẩn hóa danh mục rủi ro, thang đánh giá và tiêu chí hiệu quả giúp ngân hàng so sánh kết quả giữa các đơn vị trên cùng cơ sở.

Câu hỏi thường gặp

Hỏi: RCSA khác gì với kiểm toán nội bộ về cách thời điểm và mục đích?

RCSA do các đơn vị nghiệp vụ hoặc chủ thể rủi ro chủ trì thực hiện nhằm tự nhận diện và quản lý rủi ro trong phạm vi hoạt động. Kiểm toán nội bộ có tính chất độc lập hơn, tập trung kiểm tra tính hợp lý, hiệu quả của hệ thống quản lý và kiểm soát. Kết quả RCSA vẫn có thể là một nguồn thông tin quan trọng cho kiểm toán nội bộ, nhưng không thay thế việc kiểm tra độc lập.

Hỏi: Khi nào cần thực hiện lại RCSA ngoài chu kỳ định kỳ?

Ngoài chu kỳ thường niên hoặc bán niên, RCSA cần được cập nhật khi có thay đổi lớn về sản phẩm, quy trình, mô hình phân phối, hệ thống công nghệ thông tin, pháp luật hoặc tổ chức. Nếu xảy ra sự cố đáng kể, kiểm soát trọng yếu bị phát hiện không hiệu quả hoặc có yêu cầu từ cơ quan quản lý, đơn vị cũng nên thực hiện đánh giá bổ sung.

Hỏi: Có nên đưa RCSA vào mục tiêu và đánh giá công việc của nhân viên không?

Có thể đưa các nội dung hoàn thành đánh giá, cập nhật hồ sơ và thực hiện hành động cải thiện vào mục tiêu công việc của các bộ phận liên quan. Tuy nhiên, cần thiết kế chỉ tiêu cân bằng, chẳng hạn chất lượng và tính đúng đắn của phân tích, thời hạn xử lý, tỷ lệ hoàn thành hành động và mức độ hiệu quả sau cải thiện. Không nên chỉ đánh giá theo số lượng hồ sơ hoặc số biện pháp đề xuất.

Nội dung trên mang tính tham khảo, không thay thế tư vấn chuyên môn hoặc hướng dẫn của cơ quan có thẩm quyền trong từng lĩnh vực liên quan.