Hồ sơ quản lý sự kiện rủi ro
Hồ sơ quản lý sự kiện rủi ro là bộ hồ sơ tập hợp thông tin có hệ thống về một sự kiện rủi ro, bao gồm thời điểm phát hiện, mô tả diễn biến, nguyên nhân, mức độ tác động, các bên liên quan, biện pháp xử lý, tiến độ thực hiện và kết quả kiểm soát. Trong hoạt động ngân hàng, hồ sơ này thường được lập và cập nhật khi xảy ra hoặc có khả năng xảy ra sự kiện rủi ro như giao dịch bất thường, vi phạm quy trình, lỗi hệ thống, phát hiện gian lận, kiện tụng, rủi ro thanh khoản, rủi ro đối tác hoặc sự cố vận hành. Mục tiêu của hồ sơ là bảo đảm sự kiện được ghi nhận đầy đủ, phân loại phù hợp, xử lý đúng thẩm quyền và có dữ liệu đủ cơ sở để học tập, cải tiến quy trình cũng như báo cáo cho cấp quản lý và cơ quan quản lý có liên quan.
Mục đích sử dụng
Hồ sơ quản lý sự kiện rủi ro đóng vai trò là nguồn lưu giữ bằng chứng và theo dõi toàn bộ vòng đời của một sự kiện rủi ro. Việc sử dụng hồ sơ giúp ngân hàng:
- Xác định chính xác nội dung, phạm vi và mức độ ảnh hưởng của sự kiện.
- Phân loại rủi ro theo loại rủi ro, nghiệp vụ, đơn vị và mức độ nghiêm trọng.
- Xác định người chịu trách nhiệm, người phối hợp và thời hạn xử lý.
- Kiểm soát việc thực hiện các biện pháp khắc phục, giảm thiểu và phòng ngừa.
- Bảo đảm khả năng kiểm toán, đối chiếu và cung cấp thông tin khi có yêu cầu.
- Tổng hợp số liệu phục vụ báo cáo quản trị rủi ro và xây dựng kế hoạch cải tiến hoạt động.
Ví dụ, khi phát hiện một khách hàng thực hiện nhiều giao dịch chuyển khoản bất thường, ngân hàng có thể mở hồ sơ sự kiện, đánh giá khả năng liên quan đến hoạt động rửa tiền, thực hiện các bước tạm dừng giao dịch theo quy định nội bộ, kiểm tra hồ sơ khách hàng và ghi nhận kết luận sau khi làm rõ.
Thành phần của hồ sơ
Một hồ sơ quản lý sự kiện rủi ro thường gồm các thành phần cốt lõi sau:
- Thông tin nhận diện sự kiện: mã sự kiện, tên sự kiện, thời điểm phát hiện, người phát hiện, đơn vị và địa điểm liên quan.
- Mô tả sự kiện: nội dung diễn biến, hành vi hoặc trạng thái bất thường, quy mô giao dịch, số lượng khách hàng và các đặc điểm có liên quan.
- Phân loại và đánh giá rủi ro: loại rủi ro, nguyên nhân, khả năng xảy ra, mức độ tác động, tính chất vật chất hoặc pháp lý và mức xếp hạng rủi ro.
- Danh sách bên liên quan: khách hàng, nhân viên, đối tác, bên thứ ba, cơ quan quản lý và các bộ phận có liên quan.
- Biện pháp xử lý: các hành động tức thời, biện pháp khắc phục, phương án giảm thiểu, kiểm soát bổ sung và thời hạn thực hiện.
- Theo dõi tiến độ: trạng thái, kết quả từng bước, vướng mắc, yêu cầu bổ sung và những thay đổi về mức độ rủi ro.
- Kết quả và bài học: kết luận sau xử lý, tổn thất hoặc thiệt hại, nguyên nhân gốc, khuyến nghị và kế hoạch phòng ngừa tái diễn.
- Tài liệu đính kèm: biên bản, ảnh chụp hệ thống, báo cáo, thư từ, bảng tính, hồ sơ giao dịch và các tài liệu liên quan.
Hồ sơ chỉ hoàn tất khi sự kiện được xử lý, biện pháp còn lại được kiểm soát hoặc chuyển sang hoạt động giám sát thường xuyên. Trường hợp còn khoản nợ hoặc nghĩa vụ tài chính phát sinh, cần bổ sung hồ sơ theo dõi riêng và không đóng hồ sơ chỉ vì các công việc xử lý ban đầu đã hoàn thành.
Quy trình quản lý sự kiện
Quy trình quản lý sự kiện rủi ro thường được thực hiện theo các bước: ghi nhận sự kiện; kiểm tra tính hợp lệ và phạm vi thông tin; phân loại và xếp hạng rủi ro; thông báo đến đơn vị chủ quản và bộ phận kiểm soát; xây dựng phương án xử lý; phê duyệt và phân công nhiệm vụ; theo dõi tiến độ; đánh giá kết quả; xác định nguyên nhân gốc; hoàn thiện hồ sơ và thực hiện khuyến nghị.
Trong bước ghi nhận, không nên chờ đến khi sự kiện đã gây thiệt hại mới mở hồ sơ. Thông tin cần được ghi nhận càng sớm càng tốt để bảo toàn bằng chứng và hạn chế lan truyền thông tin không chính xác. Đối với sự kiện nghiêm trọng, cần ưu tiên xử lý theo kế hoạch ứng cứu, đồng thời bảo đảm việc phê duyệt và báo cáo được thực hiện theo thẩm quyền.
Mỗi sự kiện nên có mã định danh duy nhất để thuận tiện cho việc tra cứu, tổng hợp và liên kết với các báo cáo rủi ro. Khi có nhiều sự kiện liên quan đến cùng một nguyên nhân hoặc cùng một đối tượng, ngân hàng có thể sử dụng hồ sơ liên kết thay vì tạo nhiều hồ sơ rời rạc.
Phân loại và xếp hạng rủi ro
Phân loại rủi ro giúp xác định quy trình xử lý, mức độ cần thiết của việc báo cáo và thẩm quyền phê duyệt. Hệ thống xếp hạng có thể căn cứ vào khả năng xảy ra, mức độ tác động, tính chất vật chất, khả năng lan truyền, uy tín của các bên liên quan và mức độ vi phạm quy định hoặc quy trình nội bộ.
Một sự kiện được xếp hạng cao thường yêu cầu phê duyệt ở cấp quản lý cao hơn, báo cáo nhanh hơn và có tài liệu bằng chứng đầy đủ hơn. Tuy nhiên, việc phân loại không nên chỉ dựa vào thiệt hại tài chính đã xảy ra. Ví dụ, một sự cố hệ thống chưa gây thiệt hại lớn nhưng có khả năng ảnh hưởng đến nhiều khách hàng vẫn cần được xếp hạng thận trọng.
Mức xếp hạng phải được xem xét lại khi có thông tin mới. Một sự kiện từ mức trung bình có thể được nâng lên mức cao nếu phát hiện thêm giao dịch gian lận, khách hàng liên quan đến vụ án hoặc thiệt hại tiềm tàng tăng nhanh. Ngược lại, nếu nguyên nhân được làm rõ và biện pháp kiểm soát đã hiệu quả, cơ quan có thẩm quyền có thể điều chỉnh hạng mức rủi ro theo quy định nội bộ.
Câu hỏi thường gặp
Hỏi: Khi nào ngân hàng phải lập Hồ sơ quản lý sự kiện rủi ro?
Hồ sơ nên được lập ngay khi có dấu hiệu hoặc sự kiện rủi ro được ghi nhận, kể cả khi chưa xác định được nguyên nhân hoặc chưa có thiệt hại. Mức độ nghiêm trọng quyết định thời hạn xử lý, cấp phê duyệt và phạm vi báo cáo, nhưng không nên để việc hoàn thiện xác định nguyên nhân trở thành điều kiện để mở hồ sơ.
Hỏi: Ai chịu trách nhiệm cập nhật Hồ sơ quản lý sự kiện rủi ro?
Đơn vị tiếp nhận hoặc chủ trì xử lý sự kiện thường chịu trách nhiệm cập nhật hồ sơ, bổ sung bằng chứng và theo dõi tiến độ các biện pháp. Khối quản trị rủi ro thực hiện giám sát, kiểm tra tính đầy đủ và tổng hợp theo phạm vi được giao; các cấp quản lý phê duyệt phương án xử lý theo thẩm quyền. Cơ chế phân công cụ thể cần được quy định trong chính sách quản trị rủi ro nội bộ.
Hỏi: Sự kiện rủi ro đã xử lý xong có cần tiếp tục theo dõi không?
Có. Ngay cả khi hành động xử lý ban đầu đã hoàn tất, ngân hàng vẫn cần theo dõi kết quả thực hiện biện pháp khắc phục, các nghĩa vụ còn tồn đọng và nguy cơ tái diễn. Hồ sơ chỉ được đóng sau khi xác nhận không còn rủi ro tồn đọng hoặc đã chuyển sang cơ chế giám sát thường xuyên, kèm kết luận và khuyến nghị phù hợp.
Hỏi: Có được sửa chữa, bổ sung hồ sơ sau khi đóng không?
Có, nếu phát hiện thông tin mới hoặc thiếu sót. Việc bổ sung phải được thực hiện theo quy trình kiểm soát tài liệu, ghi rõ nội dung cập nhật, thời điểm, người thực hiện và lý do. Hồ sơ đóng không đồng nghĩa với việc ngân hàng từ bỏ theo dõi rủi ro nếu sự kiện vẫn có khả năng tác động đến hoạt động, khách hàng hoặc uy tín tổ chức.
Nội dung trên mang tính tham khảo cho nghiệp vụ tuyển dụng; quy trình cụ thể phải căn cứ vào chính sách quản trị rủi ro, phạm vi kiểm soát nội bộ và quy định pháp luật hiện hành của Ngân hàng Nhà nước.