Phân quyền phê duyệt giao dịch
Phân quyền phê duyệt giao dịch là cơ chế kiểm soát trong đó các bước lập lệnh, kiểm tra, phê duyệt và thực hiện giao dịch được phân bổ cho những nhân sự hoặc bộ phận khác nhau theo phạm vi trách nhiệm được giao. Mục tiêu của cơ chế này là bảo đảm giao dịch không bị một cá nhân kiểm soát toàn bộ từ khâu khởi tạo đến khi hoàn tất, qua đó hạn chế rủi ro gian lận, thao túng số liệu, chiếm đoạt tài sản, giao dịch vượt thẩm quyền và sai sót do lỗi con người.
Trong ngân hàng, cơ chế phân quyền thường được thể hiện thông quyền hạn hệ thống, chức danh, chữ ký điện tử, quy trình phê duyệt và quy định kiểm soát giao dịch. Một giao dịch có giá trị lớn, rủi ro cao hoặc không thuộc trường hợp thông thường thường phải qua nhiều cấp phê duyệt. Mức phê duyệt có thể phụ thuộc vào số tiền, loại giao dịch, đối tượng giao dịch, khách hàng, sản phẩm, thời điểm thực hiện và cấp độ rủi ro.
Phân quyền phê duyệt giao dịch không đồng nghĩa với việc mọi giao dịch đều phải được phê duyệt thủ công. Với giao dịch có rủi ro thấp và xử lý bằng quy tắc tự động, ngân hàng có thể thiết lập ngưỡng rủi ro, hạn mức, điều kiện kiểm tra và cơ chế phê duyệt theo hệ thống. Điểm mấu chốt là các quy tắc tự động vẫn phải được thiết kế, cấu hình, kiểm thử và kiểm soát phù hợp.
Nguyên tắc hoạt động
Cơ chế phân quyền phê duyệt giao dịch thường dựa trên các nguyên tắc cơ bản sau:
- Tách biệt chức năng: Người lập lệnh không phải người kiểm tra hoặc phê duyệt cuối cùng đối với giao dịch có rủi ro đáng kể.
- Giới hạn quyền theo vai trò: Mỗi nhân sự chỉ được thực hiện những thao tác thuộc phạm vi được phân công, dựa trên đơn vị tổ chức, sản phẩm và thẩm quyền.
- Phê duyệt theo ngưỡng: Giao dịch càng lớn hoặc rủi ro càng cao thì càng phải qua nhiều cấp kiểm soát và phê duyệt.
- Ghi nhận đầy đủ: Mọi thao tác lập lệnh, sửa đổi, kiểm tra, phê duyệt, từ chối và thực hiện đều có dấu vết kiểm toán.
- Kiểm soát ngoại lệ: Các giao dịch vượt ngưỡng, giao dịch khẩn cấp hoặc trường hợp không tuân thủ quy trình phải được quản lý, báo cáo và phê duyệt theo cơ chế riêng.
- Không xung đột lợi ích: Nhân sự không tự phê duyệt giao dịch mà hình thức có lợi ích liên quan cho bản thân hoặc người thân.
Nguyên tắc phân tách chức năng đặc biệt quan trọng với các hoạt động như mở, khóa, sửa thông tin khách hàng, thay đổi phương thức liên lạc, cấp hoặc hủy thẻ, thiết lập tài khoản, điều chỉnh hạn mức, xử lý khiếu nại và hoàn trả, chuyển tiền, tín dụng hoặc điều chỉnh khoản vay. Khi nhiều chức năng được gộp vào cùng một tài khoản người dùng, nguy cơ giao dịch trái phép và khó phát hiện sai sót sẽ tăng lên.
Phân loại quyền trong giao dịch
Quyền thao tác trên giao dịch thường được chia thành bốn nhóm chính:
- Quyền khởi tạo: Được sử dụng để nhập, tạo hoặc gửi yêu cầu giao dịch.
- Quyền kiểm tra: Được sử dụng để xác minh tính hợp lệ, chính chủ, hạn mức, số dư, điều kiện sản phẩm và các chỉ tiêu rủi ro.
- Quyền phê duyệt: Được sử dụng để quyết định tiếp tục, từ chối hoặc chuyển lên cấp phê duyệt cao hơn.
- Quyền thực hiện và kế toán: Được sử dụng để ghi nhận giao dịch, cập nhật số dư, hạn mức, hồ sơ khách hàng và hoàn tất nghiệp vụ.
Mỗi nhóm quyền cần được phân tách theo nguyên tắc không tương thích. Chẳng hạn, nhân sự có quyền lập lệnh không nên đồng thời có quyền phê duyệt giao dịch đó, đặc biệt đối với khoản giao dịch lớn hoặc liên quan đến khách hàng thân thiết. Cơ chế xác thực đa yếu tố có thể được áp dụng để bảo đảm người sử dụng đã được cấp quyền mới thực hiện được thao tác.
Trong quản trị rủi ro vận hành, ngân hàng còn phân biệt quyền cố định, quyền theo vai trò và quyền theo thời hạn. Quyền cố định thường gắn với chức danh; quyền theo vai trò được cấp cho một nhóm nhiệm vụ cụ thể; quyền theo thời hạn chỉ tồn tại trong một khoảng thời gian nhất định, chẳng hạn khi nhân sự đi công tác, thay nhiệm hoặc xử lý công việc khẩn cấp. Sau khi kết thúc nhiệm vụ, quyền tạm thời cần được thu hồi.
Ví dụ trong nghiệp vụ ngân hàng
Ví dụ, khi một chi nhánh thực hiện chuyển tiền từ tài khoản của khách hàng doanh nghiệp, hệ thống có thể kiểm tra hạn mức, số dư, danh sách đối tác bị hạn chế và quyền của người thực hiện. Nếu giao dịch dưới ngưỡng tiêu chuẩn và đáp ứng điều kiện tự động, hệ thống thực hiện theo quy tắc đã cấu hình. Nếu giao dịch vượt ngưỡng, chuyển cho kiểm tra của kế toán viên và sau đó chuyển lên trưởng đơn vị phê duyệt. Nếu giao dịch có dấu hiệu bất thường, chẳng hạn nhiều lần thử trong thời gian ngắn hoặc không khớp với hồ sơ khách hàng, giao dịch có thể bị tạm dừng để xem xét.
Một trường hợp khác là thay đổi địa chỉ liên lạc của khách hàng. Giao dịch viên có thể tiếp nhận yêu cầu và kiểm tra giấy tờ, nhưng không nên tự phê duyệt thay đổi. Yêu cầu cần được kiểm tra độc lập và chuyển đến cấp có thẩm quyền. Cách làm này giúp hạn chế rủi ro thay đổi thông tin nhằm chiếm đoạt tài sản hoặc đánh cắp thông tin khách hàng.
Đối với các giao dịch nội bộ như thanh toán chi phí hoạt động, mua sắm tài sản hoặc điều chỉnh ngân sách, ngân hàng cũng áp dụng phân quyền theo giá trị, loại chi phí và mức độ rủi ro. Ví dụ, khoản chi 50 triệu đồng có thể thuộc thẩm quyền của trưởng đơn vị, trong khi khoản chi 500 triệu đồng phải qua cấp quản lý cấp cao hơn và có thể cần ý kiến của bộ phận kiểm toán nội bộ hoặc đơn vị độc lập về rủi ro.
Kiểm soát và kiểm toán
Hiệu quả của phân quyền phê duyệt giao dịch phụ thuộc vào việc ngân hàng có kiểm soát thường xuyên hay không. Các biện pháp thường bao gồm rà soát danh sách quyền theo định kỳ, kiểm tra nhân sự nghỉ việc hoặc chuyển vị trí, đối chiếu quyền thực tế với quyền được cấp, theo dõi tỷ lệ giao dịch bị từ chối hoặc phải xử lý ngoại lệ và phân tích các mẫu phê duyệt bất thường.
Báo cáo kiểm toán cần cho phép truy xuất chuỗi thao tác của từng giao dịch, bao gồm thời điểm, người thực hiện, nội dung thay đổi, kết quả kiểm tra và lý do phê duyệt hoặc từ chối. Nhật ký hệ thống phải chống sửa đổi hoặc xóa trái phép. Nếu quyền phê duyệt được cấp quá rộng, vi phạm tác vụ, hoặc các quy tắc hệ thống không được cập nhật theo thay đổi tổ chức và sản phẩm, cơ chế này có thể chỉ tạo cảm giác kiểm soát trong khi rủi ro thực tế vẫn tồn tại.
Để đánh giá tính hiệu quả, ngân hàng thường xem xét các chỉ tiêu như số giao dịch vượt ngưỡng, thời gian xử lý, tỷ lệ giao dịch phải phê duyệt thủ công, số lượng phê duyệt cùng người lập lệnh, số tài khoản dùng chung hoặc tài khoản không còn nhân sự chịu trách nhiệm, cùng các trường hợp phê duyệt ngoài giờ làm việc. Mục tiêu không phải là phê duyệt càng nhiều càng tốt, mà là đưa đúng mức kiểm soát đến đúng mức rủi ro mà vẫn bảo đảm hoạt động hiệu quả.
Câu hỏi thường gặp
Hỏi: Nếu giao dịch vượt hạn mức được xử lý thủ công nhưng người lập lệnh cũng là người phê duyệt thì có được chấp nhận không?
Không nên. Với giao dịch vượt hạn mức hoặc rủi ro cao, cần có sự tách biệt giữa người lập lệnh, người kiểm tra và người phê duyệt. Nếu không thể bố trí đủ nhân sự, ngân hàng nên áp dụng quy tắc chuyển cấp bắt buộc hoặc bổ sung cơ chế kiểm soát bù trừ, chẳng hạn yêu cầu kiểm tra độc lập và phê duyệt của cấp cao hơn.
Hỏi: Giao dịch tự động dưới ngưỡng có cần người phê duyệt trực tiếp không?
Không nhất thiết nếu ngưỡng, điều kiện và quy tắc kiểm soát đã được cấu hình, kiểm thử và phê duyệt đúng quy trình. Tuy nhiên, cơ chế tự động vẫn phải có giám sát, nhật ký kiểm toán và quy tắc chuyển xử lý thủ công khi phát hiện dấu hiệu bất thường hoặc vượt điều kiện cho phép.
Hỏi: Khi nhân sự chuyển vị trí hoặc nghỉ việc, cần xử lý quyền phê duyệt giao dịch như thế nào?
Cần rà soát và thu hồi hoặc điều chỉnh quyền ngay trước hoặc tại thời điểm chuyển vị trí. Quyền tạm thời để xử lý công việc phải có thời hạn rõ ràng, không được tự động kéo dài và phải được rà soát sau khi nhiệm vụ kết thúc. Nhân sự nghỉ việc cần bị vô hiệu hóa toàn bộ tài khoản và quyền truy cập theo quy trình quản trị danh tính.
Nội dung này mang tính tham khảo và không thay thế tư vấn chuyên môn về thiết kế quy trình kiểm soát, quản trị rủi ro hoặc tuân thủ pháp luật.