Phòng Quản trị Rủi ro Bên thứ ba (Third-Party Risk Management Department)
Phòng Quản trị Rủi ro Bên thứ ba là bộ phận chuyên trách trong hệ thống quản trị rủi ro của ngân hàng, có chức năng đánh giá, giám sát và kiểm soát toàn diện các rủi ro phát sinh từ mối quan hệ với nhà cung cấp, đối tác, nhà thầu, đại lý, bên trung gian và các tổ chức bên ngoài mà ngân hàng ký kết hợp đồng hoặc có giao dịch. Bộ phận này đóng vai trò trung tâm trong việc bảo đảm hoạt động ngân hàng không bị gián đoạn, dữ liệu khách hàng được bảo mật, và ngân hàng tuân thủ các chuẩn mực quản trị rủi ro theo quy định pháp luật hiện hành cũng như thông lệ quốc tế. Trong bối cảnh ngân hàng số, vai trò của phòng này ngày càng quan trọng khi ngân hàng phụ thuộc ngày càng nhiều vào các dịch vụ công nghệ thông tin đám mây, nhà cung cấp phần mềm, đối tác thanh toán và trung gian xử lý dữ liệu.
Chức năng nhiệm vụ chính
Phòng Quản trị Rủi ro Bên thứ ba thường đảm nhận năm nhóm chức năng cốt lõi sau:
Thứ nhất, xây dựng và vận hành khung quản trị rủi ro bên thứ ba (Third-Party Risk Management Framework). Khung này bao gồm chính sách, quy trình, tiêu chí phân loại rủi ro, biểu mẫu đánh giá, ma trận phê duyệt và các chỉ số giám sát (KRI) áp dụng thống nhất trong toàn hàng.
Thứ hai, thẩm định rủi ro trước khi ký hợp đồng (Due Diligence). Khi một đơn vị nghiệp vụ đề xuất hợp tác với nhà cung cấp mới, phòng tiến hành đánh giá năng lực tài chính, an ninh mạng, bảo mật dữ liệu, tuân thủ pháp luật, trách nhiệm môi trường – xã hội (ESG), cũng như rủi ro địa chất chính trị đối với nhà cung cấp đặt tại nước ngoài.
Thứ ba, giám sát liên tục (Ongoing Monitoring). Sau khi hợp đồng có hiệu lực, phòng không dừng lại ở việc thẩm định ban đầu mà tiếp tục theo dõi định kỳ sức khỏe tài chính của nhà cung cấp, sự cố an ninh thông tin, vi phạm tuân thủ, thay đổi nhân sự cấp cao và các sự kiện bất thường khác để kịp thời cảnh báo.
Thứ tư, đánh giá rủi ro tập trung (Concentration Risk Assessment). Phòng phối hợp với khối rủi ro thị trường và rủi ro hoạt động đánh giá mức độ phụ thuộc của ngân hàng vào một nhà cung cấp cụ thể hoặc một nhóm nhà cung cấp, tránh tình trạng “tập trung hóa” gây gián đoạn dịch vụ khi bên thứ ba gặp sự cố.
Thứ năm, ứng phó sự cố và kế hoạch liên tục (Incident Response & Exit Strategy). Phòng xây dựng kịch bản dự phòng, phương án chuyển đổi nhà cung cấp, thỏa thuận quyền chấm dứt hợp đồng và quyền kiểm toán (right to audit) nhằm bảo đảm ngân hàng có thể rút khỏi quan hệ hợp tác mà không ảnh hưởng đến hoạt động kinh doanh và khách hàng.
Vị trí trong cơ cấu tổ chức và phối hợp liên phòng
Tùy quy mô và mô hình quản trị của từng ngân hàng, Phòng Quản trị Rủi ro Bên thứ ba có thể được tổ chức theo hai hình thức phổ biến:
Mô hình tập trung: Phòng trực thuộc Khối Quản trị Rủi ro (Chief Risk Officer – CRO), hoạt động độc lập với các đơn vị kinh doanh, chịu trách nhiệm toàn hệ thống. Mô hình này phù hợp với các ngân hàng lớn, có hàng trăm đến hàng nghìn nhà cung cấp.
Mô hình liên chức năng (Center of Excellence kết hợp với các đơn vị mua hàng): Phòng đóng vai trò đầu mối chuyên môn, hướng dẫn phương pháp luận, còn hoạt động thẩm định cụ thể do đơn vị mua hàng (Procurement) phối hợp thực hiện.
Trong cả hai mô hình, phòng có quan hệ phối hợp chặt chẽ với Khối Công nghệ Thông tin (CNTT), Khối Pháp chế & Tuân thủ, Khối Tài chính, Khối An ninh mạng, Khối Mua hàng và các đơn vị nghiệp vụ. Ví dụ, khi ngân hàng ký hợp đồng thuê dịch vụ cloud computing với một nhà cung cấp quốc tế, Khối CNTT đánh giá khả năng kỹ thuật, Khối An ninh mạng đánh giá kiểm soát bảo mật và nơi lưu trữ dữ liệu, Phòng Quản trị Rủi ro Bên thứ ba tổng hợp ý kiến và đưa ra khuyến nghị cuối cùng tới Ủy ban Rủi ro hoặc Hội đồng Quản trị.
Quy trình quản lý rủi ro bên thứ ba điển hình
Một quy trình quản trị rủi ro bên thứ ba chuẩn, áp dụng trong nhiều ngân hàng Việt Nam hiện nay, thường bao gồm các bước:
- Lập kế hoạch hợp tác: Đơn vị nghiệp vụ xác định nhu cầu, lập hồ sơ đề xuất kèm phân tích lợi ích kinh doanh.
- Phân loại rủi ro nội bộ (Inherent Risk Rating): Phòng phân loại quan hệ hợp tác theo mức độ rủi ro (thấp, trung bình, cao, rất cao) dựa trên các tiêu chí như: loại dịch vụ, quy mô chi tiêu, mức độ tiếp cận dữ liệu khách hàng, khả năng thay thế, yếu tố địa lý.
- Thẩm định nhà cung cấp: Thu thập hồ sơ tài chính 3 năm gần nhất, chứng nhận bảo mật (ISO 27001, SOC 2, PCI DSS nếu liên quan), lịch sử kiện tụng, kết quả kiểm toán độc lập, chính sách bảo vệ dữ liệu.
- Phê duyệt quan hệ hợp tác: Hồ sơ được trình lên cấp có thẩm quyền phù hợp mức rủi ro — riêng các quan hệ rủi ro cao phải được Ủy ban Rủi ro hoặc Hội đồng Quản trị thông qua.
- Giám sát định kỳ: Tần suất đánh giá lại tỷ lệ thuận với mức rủi ro — quan hệ rủi ro thấp có thể tái đánh giá mỗi 2–3 năm, quan hệ rủi ro cao phải đánh giá mỗi năm hoặc ngay khi có sự kiện trọng yếu.
- Xử lý sự cố và chấm dứt hợp tác: Kích hoạt quy trình ứng phó khi nhà cung cấp vi phạm SLA, sự cố an ninh hoặc mất năng lực tài chính.
Năng lực cần có của chuyên viên
Người làm việc tại Phòng Quản trị Rủi ro Bên thứ ba thường được yêu cầu nền tảng kiến thức đa lĩnh vực:
- Kiến thức tài chính – ngân hàng: hiểu biết về sản phẩm, quy trình nghiệp vụ, yêu cầu vốn theo chuẩn Basel.
- Kiến thức pháp lý: nắm rõ quy định về bảo vệ dữ liệu cá nhân, luật an ninh mạng, quy định phòng chống rửa tiền, nghĩa vụ hợp đồng và trách nhiệm giải trình.
- Kiến thức công nghệ: am hiểu rủi ro an ninh mạng, quản lý dữ liệu, dịch vụ đám mây, API và chuỗi cung ứng phần mềm.
- Kỹ năng phân tích định lượng: xây dựng chỉ số rủi ro, mô hình đánh giá điểm rủi ro (risk scoring) và thống kê mô tả.
- Kỹ năng giao tiếp và đàm phán: làm việc với đối tác bên ngoài, điều phối nhiều bên liên quan nội bộ.
Một số vị trí trong phòng có thể yêu cầu chứng chỉ quốc tế như Certified Third-Party Risk Professional (CTPRP) do Shared Assessments tổ chức, hoặc Certified in Risk and Information Systems Control (CRISC) của ISACA, bên cạnh các chứng chỉ PRM (Professional Risk Manager) thông dụng trong ngân hàng.
Câu hỏi thường gặp
Hỏi: Phòng Quản trị Rủi ro Bên thứ ba khác gì với Phòng Mua hàng (Procurement) và Phòng Tuân thủ (Compliance)?
Ba bộ phận này thường bị nhầm lẫn nhưng có vai trò khác nhau. Phòng Mua hàng chịu trách nhiệm tìm kiếm, đàm phán thương thượng và ký hợp đồng mua hàng hóa – dịch vụ tối ưu về giá. Phòng Tuân thủ tập trung vào việc bảo đảm hoạt động ngân hàng tuân thủ quy định pháp luật và chính sách nội bộ. Phòng Quản trị Rủi ro Bên thứ ba nhìn từ góc độ tổng thể các loại rủi ro phát sinh từ quan hệ đối tác, bao trùm cả khía cạnh mua hàng, tuân thủ, an ninh mạng, pháp lý và rủi ro hoạt động.
Hỏi: Ngân hàng có cần phải thành lập phòng riêng biệt này hay có thể gộp vào bộ phận khác?
Quy định hiện hành của Ngân hàng Nhà nước Việt Nam về hệ thống kiểm soát nội bộ và quản trị rủi ro hiện không bắt buộc thành lập phòng riêng biệt, nhưng yêu cầu ngân hàng phải có cơ chế quản lý rủi ro đối với hoạt động ủy thác, outsourcing và các quan hệ đối tác. Với các ngân hàng có dưới 50 nhà cung cấp, có thể gộp chức năng này vào Phòng Rủi ro Hoạt động. Tuy nhiên, với ngân hàng lớn có hàng trăm nhà cung cấp dịch vụ quan trọng, việc thành lập phòng chuyên trách được khuyến khích nhằm bảo đảm tính độc lập và chuyên sâu.
Hỏi: Một nhân viên mới vào vị trí chuyên viên tại phòng này sẽ được giao nhiệm vụ gì trong thời gian đầu?
Thông thường, giai đoạn đầu chuyên viên mới sẽ hỗ trợ cập nhật cơ sở dữ liệu nhà cung cấp, thu thập hồ sơ tài chính và chứng nhận bảo mật, tham gia phân loại rủi ro cho các quan hệ hợp tác hiện hữu, hỗ trợ lập báo cáo giám sát định kỳ và dự họp thẩm định cùng chuyên viên cao cấp. Sau 6–12 tháng làm quen, chuyên viên sẽ được giao quản lý độc lập một danh mục nhà cung cấp nhất định.
Lưu ý: Nội dung trên mang tính tham khảo, không thay thế tư vấn pháp lý hoặc tư vấn chuyên môn trong lĩnh vực quản trị rủi ro ngân hàng. Người đọc nên đối chiếu với quy định nội bộ của từng tổ chức tín dụng và các văn bản pháp luật hiện hành có liên quan.