Phòng chống rủi ro tự do hóa (Automation Risk Control)
Phòng chống rủi ro tự động hóa là tổng thể các biện pháp quản trị, kiểm soát và giám sát nhằm hạn chế tác động bất lợi phát sinh khi ngân hàng sử dụng công nghệ, thuật toán và hệ thống tự động trong xử lý nghiệp vụ. Phạm vi kiểm soát có thể bao gồm quyết định tín dụng, xếp hạng rủi ro, xử lý giao dịch, phát hiện gian lận, kiểm tra tuân thủ, phục vụ khách hàng và các quyết định vận hành khác.
Rủi ro tự động hóa không chỉ đến từ độ chính xác của thuật toán. Khi một quyết định được hệ thống thực hiện với số lượng lớn hoặc tốc độ cao, lỗi trong dữ liệu, thiết kế mô hình, cấu hình hệ thống hoặc quy trình phê duyệt có thể được khuếch đại trên quy mô lớn. Vì vậy, phòng chống rủi ro tự động hóa tập trung vào khả năng giải thích quyết định, kiểm soát phiên bản, hiệu quả mô hình, an toàn dữ liệu, khả năng khôi phục hoạt động và sự can thiệp phù hợp của con người.
Mục tiêu kiểm soát
Mục tiêu chính của phòng chống rủi ro tự động hóa là bảo đảm các quyết định do hệ thống đưa ra phù hợp với chiến lược, quy định nội bộ và yêu cầu pháp luật; đồng thời ngăn chặn việc công nghệ tự động hóa tạo ra quy trình thiếu kiểm soát hoặc khó truy vết.
Các mục tiêu cụ thể gồm:
- Xác định rõ các quy trình có thể tự động hóa và phân loại mức độ rủi ro.
- Xây dựng quy trình phê duyệt, kiểm thử và đưa hệ thống vào vận hành.
- Theo dõi hiệu quả mô hình, tỷ lệ sai lệch, tỷ lệ từ chối và các chỉ số vận hành liên quan.
- Đảm bảo dữ liệu đầu vào đầy đủ, chính xác, cập nhật và được kiểm soát về chất lượng.
- Ghi nhận phiên bản mô hình, quy tắc, cấu hình và lịch sử thay đổi.
- Bố trí cơ chế giám sát, rà soát định kỳ và xử lý ngoại lệ.
- Duy trì khả năng can thiệp, khôi phục hoặc tạm dừng hoạt động khi hệ thống gặp sự cố.
Ví dụ, trong quy trình tín dụng tự động, hệ thống có thể đề xuất chấp nhận hoặc từ chối hồ sơ dựa trên dữ liệu tài chính và lịch sử trả nợ. Mô hình phải được kiểm thử trước khi sử dụng, giám sát theo thời gian và có quy trình xử lý khi tỷ lệ phê duyệt bất thường hoặc mô hình không còn phù hợp.
Các nhóm rủi ro cần kiểm soát
Rủi ro mô hình xuất hiện khi thuật toán tạo ra kết quả không chính xác, không ổn định hoặc không phù hợp với mục tiêu nghiệp vụ. Nguyên nhân có thể nằm ở cách lựa chọn biến, thuật toán, quy mô dữ liệu huấn luyện hoặc giả định áp dụng mô hình.
Rủi ro dữ liệu liên quan đến dữ liệu đầu vào thiếu, sai, trùng lặp, lỗi thời hoặc có điểm khác biệt không liên quan đến mục tiêu tín dụng. Với mô hình tín dụng, việc sử dụng dữ liệu không đầy đủ hoặc thiên lệch có thể dẫn đến đánh giá sai năng lực trả nợ.
Rủi ro vận hành phát sinh từ lỗi cấu hình, tích hợp hệ thống, phân quyền truy cập, gián đoạn dịch vụ hoặc thiếu giám sát. Một quy trình có thể được thiết kế đúng nhưng vẫn vận hành sai nếu dữ liệu không được truyền đúng giữa các hệ thống.
Rủi ro tuân thủ liên quan đến khả năng chứng minh cơ sở của quyết định tự động, việc thực hiện nghĩa vụ với khách hàng và bảo đảm các quy tắc kiểm soát được áp dụng nhất quán. Đây là yêu cầu quan trọng khi quyết định có ảnh hưởng đến khách hàng.
Rủi ro tương tác với khách hàng có thể phát sinh khi kết quả tự động khó hiểu, không giải thích được hoặc khiến khách hàng không có khả năng khiếu nại, yêu cầu xem xét lại quyết định. Dù dựa trên thuật toán, một số quyết định vẫn cần cơ chế xử lý thủ công khi có thông báo bất thường hoặc khiếu nại phức tạp.
Rủi ro tập trung hóa cũng cần được tính đến khi nhiều quyết định phụ thuộc vào cùng một mô hình, dữ liệu hoặc hạ tầng công nghệ. Sự cố của một thành phần có thể ảnh hưởng đồng loạt đến nhiều quy trình, tạo ra mức tổn thất lớn hơn so với rủi ro của từng quyết định riêng lẻ.
Kiểm soát trước, trong và sau khi triển khai
Trước khi triển khai, ngân hàng cần xác định mục đích sử dụng, phạm vi quyết định, dữ liệu đầu vào và các bên chịu ảnh hưởng. Mô hình phải được xây dựng hoặc kiểm định bởi đơn vị độc lập phù hợp với mức độ rủi ro. Các trường hợp biên, chẳng hạn khách hàng có dữ liệu lịch sử hạn chế hoặc hồ sơ chưa từng xuất hiện trong tập dữ liệu, cần được kiểm tra trước.
Trong vận hành, tổ chức cần giám sát chỉ số hiệu quả và chỉ số kiểm soát. Ví dụ đối với mô hình tín dụng có thể theo dõi tỷ lệ phê duyệt, tỷ lệ mặc định, tỷ lệ tái vỡ nợ sớm, mức chênh lệch giữa dự báo và kết quả thực tế. Chỉ số cần có ngưỡng cảnh báo và trách nhiệm xử lý tương ứng, tránh tình trạng chỉ báo cáo mà không có hành động khắc phục.
Sau khi triển khai, mô hình và quy trình phải được rà soát định kỳ hoặc khi có sự kiện trọng yếu. Các thay đổi về dữ liệu, quy trình, chính sách, mô hình hoặc hạ tầng cần được đánh giá về ảnh hưởng trước khi áp dụng. Kết quả kiểm toán, kiểm định và các khiếu nại của khách hàng cũng là căn cứ để điều chỉnh hệ thống.
Quy trình quản lý thay đổi thường bao gồm các bước:
- Ghi nhận yêu cầu thay đổi và lý do tác động.
- Đánh giá rủi ro trước khi triển khai.
- Kiểm thử chức năng, hiệu quả và khả năng tương thích.
- Lấy ý kiến phê duyệt của các bộ phận liên quan.
- Ghi nhận phiên bản và lịch sử thay đổi.
- Triển khai có kiểm soát, có thể thực hiện theo từng nhóm khách hàng.
- Theo dõi sau triển khai và xác nhận hiệu quả.
Cơ chế giám sát và khả năng khôi phục
Giám sát gần thời gian thực tế phù hợp với các quyết định có giá trị cao, số lượng lớn hoặc tác động trực tiếp đến khách hàng. Cơ chế này giúp phát hiện sớm lỗi kỹ thuật, thay đổi hành vi của khách hàng, thiên lệch dữ liệu hoặc dấu hiệu thao túng hệ thống.
Bên cạnh giám sát tự động, ngân hàng cần có quy trình can thiệp của con người. Khi mô hình vượt ngưỡng, dữ liệu đầu vào bất thường hoặc có khiếu nại, nhân viên có thẩm quyền phải tạm dừng tự động hóa, chuyển hồ sơ sang xử lý thủ công hoặc áp dụng biện pháp kiểm soát tạm thời.
Khả năng khôi phục cần bao gồm sao lưu cấu hình và dữ liệu, quy trình triển khai lại phiên bản đã kiểm thử, phương án vận hành thủ công dự phòng và thông tin liên lạc cho các bộ phận liên quan. Mục tiêu không chỉ là khôi phục hệ thống mà còn phải bảo đảm tính đúng đắn của các quyết định được tạo ra trong thời gian sự cố.
Vai trò của con người và kiểm soát đầu vào
Con người vẫn giữ vai trò thiết kế, phê duyệt, giám sát và xử lý ngoại lệ. Không nên xem kiểm toán thủ công toàn bộ quyết định tự động là phương án duy nhất vì khối lượng lớn có thể khiến việc rà soát trở nên hình thức. Thay vào đó, cần kết hợp kiểm toán theo rủi ro, lấy mẫu đại diện, kiểm tra tự động theo quy tắc và đánh giá chuyên sâu đối với nhóm rủi ro cao.
Việc phê duyệt thủ công đối với một số trường hợp cụ thể, chẳng hạn hồ sơ vượt ngưỡng rủi ro, khách hàng thuộc nhóm bảo vệ hoặc trường hợp có dữ liệu mâu thuẫn, có thể làm giảm rủi ro. Tuy nhiên, ngưỡng phê duyệt phải được thiết kế để tránh tạo tình huống phần lớn hồ sơ tự động bị chuyển sang xử lý thủ công, khiến mô hình không còn đóng góp hiệu quả.
Một mô hình quản trị rủi ro tốt cần xác định rõ:
- Quyết định nào được tự động hóa hoàn toàn, một phần hoặc chỉ mang tính hỗ trợ.
- Ai chịu trách nhiệm xây dựng, kiểm định, phê duyệt và giám sát mô hình.
- Điều kiện nào kích hoạt cảnh báo, tạm dừng hoặc chuyển xử lý thủ công.
- Dữ liệu nào được sử dụng, có hiệu lực và được kiểm soát ra sao.
- Cách lưu vết, giải thích và phục hồi quyết định.
- Mức tần suất kiểm tra định kỳ và tiêu chí đánh giá lại.
Câu hỏi thường gặp
Hỏi: Nếu mô hình tín dụng cho ra kết quả sai thì ngân hàng có thể hoàn toàn dựa vào kết quả tự động để quyết định không?
Không nên. Kết quả mô hình cần được kiểm thử trước triển khai, giám sát trong vận hành và rà soát định kỳ. Ngân hàng cũng cần quy định rõ trường hợp nào được tự động áp dụng, trường hợp nào cần phê duyệt và cách xử lý khi phát hiện sai lệch.
Hỏi: Làm thế nào để biết một mô hình tự động hóa đang hoạt động bất thường?
Có thể theo dõi tỷ lệ phê duyệt, tỷ lệ từ chối, tỷ lệ rủi ro phát hiện, mức chênh lệch dự báo và kết quả thực tế, số lượng giao dịch bất thường và các lỗi kỹ thuật. Ngưỡng cảnh báo nên được thiết lập theo từng mô hình và có trách nhiệm rõ ràng khi phát sinh cảnh báo.
Hỏi: Có phải mọi quyết định của hệ thống tự động đều phải được con người phê duyệt không?
Không nhất thiết. Mức độ can thiệp phụ thuộc vào rủi ro và ảnh hưởng của quyết định. Với quyết định rủi ro thấp, hệ thống có thể được phê duyệt theo quy trình định kỳ hoặc theo chương trình kiểm soát mẫu; với quyết định rủi ro cao, nên có kiểm tra thủ công hoặc phê duyệt chuyên sâu.
Nội dung này mang tính tham khảo cho luyện thi và nghiên cứu nghiệp vụ; khi áp dụng tại từng ngân hàng, cần đối chiếu với quy định pháp luật hiện hành, quy trình nội bộ và yêu cầu của cơ quan quản lý có liên quan.