Giám đốc Trung tâm Quản trị Rủi ro Đối tác Bên Thứ Ba Ngân hàng
Giám đốc Trung tâm Quản trị Rủi ro Đối tác Bên Thứ Ba Ngân hàng (tiếng Anh: Head of Third Party Risk Management Center, viết tắt: Head of TPRM Center) là người đứng đầu đơn vị chuyên trách chịu trách nhiệm xây dựng, vận hành và liên tục cải tiến khung quản trị rủi ro đối với toàn bộ các đối tác bên thứ ba (nhà cung cấp, đối tác công nghệ, đối tác ủy thác, đại lý, bên liên kết trong hệ sinh thái…) mà ngân hàng ký kết hợp đồng hoặc hợp tác kinh doanh. Đây là vị trí thuộc khối Quản trị Rủi ro (Risk Management), thường có thứ bậc tương đương Phó Tổng Giám đốc/Giám đốc cấp cao, báo cáo trực tiếp cho Giám đốc Khối Quản trị Rủi ro (CRO) hoặc Ủy ban Quản trị Rủi ro cấp Hội đồng Quản trị.
Vai trò này xuất hiện và ngày càng được coi trọng trong bối cảnh ngân hàng Việt Nam đẩy mạnh chuyển đổi số, sử dụng dịch vụ cloud computing, hợp tác với fintech, bên trung gian thanh toán, bên cung cấp giải pháp sinh trắc học (eKYC), bên xử lý nợ, v.v. Theo quy định hiện hành của Ngân hàng Nhà nước về quản trị rủi ro trong hoạt động ngân hàng, các tổ chức tín dụng phải kiểm soát toàn diện rủi ro phát sinh từ việc sử dụng dịch vụ của bên thứ ba, đảm bảo không ảnh hưởng đến an toàn hoạt động, bảo mật dữ liệu khách hàng và ổn định hệ thống.
Phạm vi quản lý và trách nhiệm chính
1. Xây dựng khung và chính sách quản trị rủi ro đối tác bên thứ ba
- Thiết lập khung quản trị TPRM (Third Party Risk Management Framework) toàn ngân hàng, bao gồm: chính sách, quy trình, tiêu chí đánh giá, phân loại mức độ rủi ro theo tính chất dịch vụ (ví dụ: rủi ro chiến lược, rủi ro hoạt động, rủi ro công nghệ thông tin, rủi ro bảo mật dữ liệu, rủi ro pháp lý, rủi ro tuân thủ, rủi ro danh tiếng, rủi ro tập trung).
- Ban hành chuẩn mực hợp đồng, điều khoản bảo mật, điều khoản về quyền kiểm tra (right to audit), quyền truy cập dữ liệu, cơ chế giải trình trách nhiệm khi sự cố xảy ra.
- Xác định ngưỡng quan trọng: đối với quan hệ đối tác chiến lược, dịch vụ quan trọng (critical outsourcing), ngân hàng phải trình Hội đồng Quản trị/Ủy ban Quản trị Rủi ro phê duyệt trước khi ký kết.
2. Chuẩn hóa vòng đời quản lý rủi ro đối tác (Third Party Risk Lifecycle)
- Giai đoạn onboarding (trước ký hợp đồng): thẩm định due diligence tài chính, pháp lý, an ninh mạng, chống rửa tiền, bảo vệ dữ liệu cá nhân; đánh giá mức độ tập trung rủi ro nếu ngân hàng sử dụng một đối tác cho nhiều dịch vụ.
- Giai đoạn giám sát liên tục (ongoing monitoring): theo dõi định kỳ KPI, vi phạm SLA, sự cố bảo mật, thay đổi cổ đông lớn, xếp hạng tín nhiệm, các tin tức tiêu cực trên truyền thông.
- Giai đoạn kết thúc hợp đồng (exit management): lập kế hoạch chuyển đổi (transition plan), bảo toàn dữ liệu khách hàng, xử lý quyền và nghĩa vụ tồn đọng, kiểm toán hậu kỳ.
3. Phối hợp đa khối và báo cáo cấp lãnh đạo
- Là đầu mối phối hợp giữa các khối: Công nghệ thông tin, An toàn thông tin, Pháp chế & Tuân thủ, Hoạt động, Mua hàng (Procurement), Tài chính, Phòng chống rửa tiền (AML/CFT).
- Trình bày báo cáo rủi ro đối tác định kỳ trước Ủy ban Quản trị Rủi ro (Risk Management Committee), Ủy ban Công nghệ (IT Committee) và báo cáo ad-hoc khi phát sinh sự cố nghiêm trọng.
- Đề xuất biện pháp giảm thiểu rủi ro: yêu cầu đối tác nâng cấp bảo mật, đa dạng hóa nhà cung cấp, thay thế đối tác không đạt chuẩn.
Yêu cầu năng lực và lộ trình thăng tiến
Để đảm nhận vị trí này, ứng viên thường cần:
- Học vấn: tốt nghiệp đại học trở lên chuyên ngành Tài chính, Ngân hàng, Kinh tế, Quản trị Kinh doanh, Hệ thống thông tin, An toàn thông tin hoặc Luật. Ưu tiên có chứng chỉ nâng cao như: FRM (Financial Risk Manager), PRM (Professional Risk Manager), CISA, CISM, CISSP, CRISC, hoặc chứng chỉ về quản trị rủi ro bên thứ ba do các hiệp hội quốc tế cấp.
- Kinh nghiệm: 12–18 năm trong lĩnh vực tài chính/ngân hàng, trong đó tối thiểu 5–7 năm ở vị trí quản lý cấp cao trong khối Quản trị Rủi ro, Kiểm toán nội bộ, Tuân thủ hoặc An toàn thông tin.
- Kỹ năng cốt lõi: am hiểu khung quản trị rủi ro theo Basel, COSO, ISO 31000; khả năng đánh giá rủi ro an ninh mạng, rủi ro tập trung; kỹ năng đàm phán hợp đồng phức tạp; tư duy chiến lược và kỹ năng lãnh đạo đội ngũ lớn.
Lộ trình điển hình: Chuyên viên Quản trị Rủi ro → Trưởng phòng Quản trị Rủi ro Đối tác → Phó Giám đốc Trung tâm TPRM → Giám đốc Trung tâm Quản trị Rủi ro Đối tác Bên Thứ Ba.
Câu hỏi thường gặp
Hỏi: Giám đốc Trung tâm TPRM khác gì so với Trưởng phòng Mua hàng (Procurement) và Trưởng phòng Tuân thủ (Compliance)?
Phòng Mua hàng chịu trách nhiệm tìm kiếm, đàm phán giá và điều khoản thương mại với nhà cung cấp, tập trung vào hiệu quả chi phí và chất lượng dịch vụ. Phòng Tuân thủ đánh giá việc tuân thủ quy định pháp luật và nội quy ngân hàng. Trung tâm TPRM có phạm vi rộng hơn: đánh giá rủi ro tổng thể (tài chính, vận hành, công nghệ, bảo mật, pháp lý, danh tiếng) trong toàn bộ vòng đời quan hệ đối tác, là đầu mối tổng hợp và báo cáo cho lãnh đạo cấp cao. Nói cách khác, Mua hàng và Tuân thủ là hai "mảnh ghép" đầu vào, còn TPRM là góc nhìn tổng thể về rủi ro.
Hỏi: Khi đối tác cung cấp dịch vụ quan trọng (như lưu trữ dữ liệu trên cloud) bị sự cố nghiêm trọng, Giám đốc TPRM xử lý như thế nào trong 24 giờ đầu?
Giám đốc TPRM cần kích hoạt quy trình quản lý sự cố (incident response), yêu cầu đối tác cung cấp báo cáo sự cố ban đầu trong vòng 4–6 giờ; đồng thời phối hợp khối Công nghệ thông tin đánh giá mức độ ảnh hưởng đến hệ thống ngân hàng và khách hàng; kích hoạt kế hoạch dự phòng (contingency/BCP) nếu cần; thông báo cho CRO, Tổng Giám đốc và bộ phận Truyền thông; đánh giá trách nhiệm bồi thường theo điều khoản SLA trong hợp đồng; lập báo cáo sơ bộ gửi Ngân hàng Nhà nước trong trường hợp vượt ngưỡng báo cáo theo quy định. Toàn bộ quá trình phải được ghi nhật ký để phục vụ kiểm toán sau sự cố.
Hỏi: Trong đề thi tuyển dụng ngân hàng, vị trí này thường xuất hiện ở dạng câu hỏi nào?
Vị trí này thường xuất hiện trong phần thi tiếng Anh chuyên ngành (dịch thuật ngữ "Third Party Risk Management"), phần trắc nghiệm nghiệp vụ quản trị rủi ro (câu hỏi về vòng đời quản lý rủi ro đối tác, phân loại rủi ro, tiêu chí due diligence), phần tình huống (case study) yêu cầu xử lý sự cố đối tác vi phạm bảo mật, và phần phỏng vấn chuyên sâu về kinh nghiệm xây dựng khung TPRM trong thực tế.
Lưu ý: Nội dung mang tính tham khảo, không thay thế tư vấn chuyên môn về quản trị rủi ro trong hoạt động ngân hàng. Người đọc nên tham khảo thêm các văn bản pháp luật hiện hành và quy định nội bộ của từng tổ chức tín dụng.