Phòng Quản trị Rủi ro Công nghệ Thông tin & An ninh mạng (IT & Cyber Risk Governance Division)
Phòng Quản trị Rủi ro Công nghệ Thông tin & An ninh mạng (IT & Cyber Risk Governance Division) là đơn vị chuyên trách trực thuộc Khối Quản trị Rủi ro (Risk Management) hoặc Khối Công nghệ Thông tin (CNTT) tại các ngân hàng thương mại, có chức năng xây dựng khung quản trị, giám sát, đánh giá và kiểm soát toàn bộ rủi ro phát sinh từ hoạt động công nghệ thông tin, hệ thống thông tin, dữ liệu khách hàng và an ninh mạng trên phạm vi toàn ngân hàng. Đây là tuyến phòng thủ thứ hai (Second Line of Defense) trong mô hình ba tuyến phòng thủ (Three Lines of Defense) — đóng vai trò độc lập với Khối CNTT vận hành (tuyến một) và Khối Kiểm toán nội bộ (tuyến ba), nhằm đảm bảo rủi ro công nghệ được nhận diện, đo lường, giám sát và báo cáo một cách khách quan, có hệ thống theo đúng chuẩn mực Basel và quy định của Ngân hàng Nhà nước.
Vai trò then chốt trong cấu trúc quản trị rủi ro ngân hàng
Trong bối cảnh chuyển đổi số diễn ra mạnh mẽ tại Việt Nam — ngân hàng số, thanh toán không tiền mặt, eKYC, mở tài khoản từ xa, cho vay online — rủi ro công nghệ thông tin và rủi ro an ninh mạng đã trở thành một trong những loại rủi ro trọng yếu (top risk) hàng đầu, nằm trong nhóm rủi ro hoạt động nhưng được tách riêng để quản trị chuyên sâu. Phòng Quản trị Rủi ro CNTT & An ninh mạng đóng vai trò "người gác cổng" trong việc:
- Xây dựng khung quản trị rủi ro CNTT (IT Risk Management Framework) theo các chuẩn quốc tế như ISO 27001 (quản lý an toàn thông tin), ISO 31000 (quản lý rủi ro), NIST Cybersecurity Framework, COBIT 2019, ITIL;
- Phối hợp xây dựng và rà soát chính sách, quy trình, tiêu chuẩn về an toàn thông tin, quản lý truy cập, bảo mật dữ liệu, quản lý nhà cung cấp dịch vụ CNTT (outsourcing), quản lý dự án CNTT;
- Thực hiện đánh giá rủi ro trước khi triển khai các dự án CNTT lớn (ví dụ: triển khai Core Banking mới, di chuyển lên Cloud, triển khai AI chấm điểm tín dụng);
- Giám sát liên tục các chỉ số rủi ro CNTT (KRIs — Key Risk Indicators) như số lượng sự cố bảo mật, thời gian khắc phục sự cố, tỷ lệ hệ thống có vá lỗi đúng hạn, số lượng cảnh báo gian lận;
- Theo dõi và đánh giá rủi ro từ bên thứ ba (Third-party Risk) — đặc biệt quan trọng khi ngân hàng thuê nhà cung cấp cloud, dịch vụ trung gian thanh toán, hay đối tác fintech;
- Lập báo cáo rủi ro CNTT trình Ban Điều hành, Ủy ban Quản trị Rủi ro và Hội đồng Quản trị theo chu kỳ tháng/quý/năm.
Các chức năng nghiệp vụ cốt lõi
1. Xây dựng khung và chính sách quản trị rủi ro CNTT: Phòng chịu trách nhiệm soạn thảo, cập nhật Khung Quản trị Rủi ro CNTT, Chính sách An toàn Thông tin, Chính sách Quản lý Truy cập, Chính sách Bảo mật Dữ liệu Khách hàng, Chính sách Ứng cứu Sự cố (Incident Response Plan), phù hợp với quy định của NHNN và chuẩn mực quốc tế.
2. Đánh giá rủi ro CNTT trước và trong triển khai (Risk Assessment): Thực hiện đánh giá rủi ro khi triển khai hệ thống mới, khi có thay đổi lớn (Major Change), khi tích hợp với đối tác bên ngoài. Sử dụng các phương pháp như phân tích kịch bản (scenario analysis), đánh giá tác động kinh doanh (BIA — Business Impact Analysis), phân tích lỗ hổng (Vulnerability Assessment).
3. Quản trị rủi ro an ninh mạng (Cyber Risk): Giám sát các mối đe dọa như tấn công DDoS, ransomware, lừa đảo trực tuyến (phishing), gian lận trong thanh toán điện tử; đánh giá hiệu quả kiểm soát an ninh mạng; phối hợp tổ chức diễn tập an ninh mạng định kỳ (ví dụ: diễn tập tabletop, diễn tập Red Team/Blue Team).
4. Quản trị tuân thủ CNTT: Đảm bảo ngân hàng tuân thủ các quy định pháp luật hiện hành về an toàn thông tin, bảo vệ dữ liệu cá nhân, giao dịch điện tử; đồng thời tuân thủ chuẩn mực PCI DSS (nếu phát hành thẻ), SWIFT CSP (nếu là thành viên SWIFT).
5. Đào tạo và nâng cao nhận thức: Tổ chức các chương trình đào tạo nhận thức an toàn thông tin cho toàn bộ cán bộ nhân viên ngân hàng, đặc biệt là các đơn vị giao dịch trực tiếp với khách hàng.
Mối quan hệ với các khối khác trong ngân hàng
Phòng Quản trị Rủi ro CNTT & An ninh mạng hoạt động theo nguyên tắc độc lập với Khối CNTT vận hành để đảm bảo tính khách quan khi đánh giá rủi ro. Mối quan hệ chính bao gồm:
- Với Khối CNTT (IT Operations): Phòng quản trị rủi ro đưa ra yêu cầu kiểm soát, đánh giá hiệu quả kiểm soát của Khối vận hành; Khối CNTT thực thi kiểm soát và cung cấp báo cáo sự cố.
- Với Khối An toàn Thông tin (Information Security — CISO): Tùy mô hình ngân hàng, có thể tách riêng hoặc gộp chung. Nếu tách riêng, Phòng Quản trị Rủi ro CNTT phối hợp chặt với CISO trong việc giám sát và đánh giá rủi ro an ninh mạng.
- Với Khối Kiểm toán Nội bộ: Kiểm toán nội bộ (tuyến ba) sẽ kiểm tra độc lập hiệu quả của Phòng Quản trị Rủi ro CNTT và toàn bộ hệ thống kiểm soát CNTT.
- Với Ủy ban Quản trị Rủi ro (Risk Management Committee) và Hội đồng Quản trị: Báo cáo tình hình rủi ro CNTT & an ninh mạng trọng yếu, các sự cố lớn, hiệu quả chương trình nâng cao năng lực an ninh mạng.
Vị trí trong cơ cấu tổ chức và yêu cầu nhân sự
Tại các ngân hàng thương mại cỡ lớn ở Việt Nam, Phòng Quản trị Rủi ro CNTT & An ninh mạng thường nằm trong Khối Quản trị Rủi ro (RMD — Risk Management Division) và báo cáo trực tiếp lên Giám đốc Khối Quản trị Rủi ro (CRO). Tại một số ngân hàng, đơn vị này có thể gắn liền với CISO và báo cáo lên Giám đốc Khối CNTT hoặc Giám đốc Khối Vận hành. Ở các ngân hàng nhỏ, chức năng này có thể được tích hợp vào Bộ phận Quản trị Rủi ro Hoạt động mà không thành lập phòng riêng.
Nhân sự của phòng thường bao gồm: Trưởng phòng, các chuyên viên cao cấp về quản trị rủi ro CNTT, chuyên gia an ninh mạng, chuyên viên kiểm toán CNTT, chuyên viên đánh giá rủi ro bên thứ ba. Yêu cầu chứng chỉ chuyên ngành thường gặp gồm CISA (Certified Information Systems Auditor), CISM (Certified Information Security Manager), CRISC (Certified in Risk and Information Systems Control), CISSP (Certified Information Systems Security Professional).
Câu hỏi thường gặp
Hỏi: Phòng Quản trị Rủi ro CNTT & An ninh mạng khác gì với Phòng An toàn Thông tin (Information Security / CISO Office)?
Phòng Quản trị Rủi ro CNTT & An ninh mạng thuộc tuyến hai (Second Line), làm nhiệm vụ đánh giá, giám sát rủi ro một cách độc lập, đưa ra khung chính sách và yêu cầu kiểm soát. Trong khi đó, Phòng An toàn Thông tin (hay CISO Office) thuộc tuyến một, chịu trách nhiệm triển khai các kiểm soát kỹ thuật như tường lửa, mã hóa, giám sát SOC, xử lý sự cố trực tiếp. Nói cách khác, Phòng Quản trị Rủi ro CNTT là "người giám sát trò chơi", còn Phòng An toàn Thông tin là "người chơi trên sân".
Hỏi: Trong đề thi tuyển dụng ngân hàng, vị trí Phòng Quản trị Rủi ro CNTT & An ninh mạng thường hỏi gì?
Các câu hỏi phỏng vấn/kiểm tra phổ biến gồm: mô tả mô hình ba tuyến phòng thủ áp dụng cho rủi ro CNTT; cách đánh giá rủi ro khi triển khai dự án Cloud; cách xử lý khi phát hiện sự cố rò rỉ dữ liệu khách hàng; phân biệt giữa rủi ro CNTT và rủi ro an ninh mạng; vai trò của KRI trong giám sát rủi ro CNTT; quy trình quản lý rủi ro bên thứ ba khi thuê nhà cung cấp fintech. Ứng viên nên nắm vững khái niệm về KRI, control assessment, risk register và incident response lifecycle.
Hỏi: Tại sao các ngân hàng Việt Nam gần đây đặc biệt chú trọng tuyển dụng nhân sự cho vị trí này?
Theo chủ trương đẩy mạnh chuyển đổi số của NHNN và yêu cầu ngày càng cao về an toàn thông tin, cùng với việc các vụ tấn công mạng nhắm vào hệ thống tài chính ngày càng tinh vi, các ngân hàng buộc phải tăng cường năng lực quản trị rủi ro CNTT. Song song đó, các quy định về tỷ lệ an toàn vốn (CAR) có tính đến rủi ro hoạt động — bao gồm rủi ro CNTT — khiến việc quản trị tốt rủi ro công nghệ trở thành yếu tố sống còn đối với sự an toàn của ngân hàng.
Nội dung mang tính tham khảo, không thay thế tư vấn chuyên môn về quản trị rủi ro công nghệ ngân hàng.