Chương 1: Lý luận cơ bản về quản trị rủi ro hoạt động trong ngân hàng thương mại 7 Chương 2: Thực trạng hoạt động quản trị rủi ro hoạt động tại ngân hàng thương mại cổ phần Việt Nam Thịnh Vượng Chương 3: Giải pháp hoàn thiện hoạt động quản trị rủi ro hoạt động tại ngân hàng thương mại cổ phần Việt Nam Thịnh Vuợng 8 CHƢƠNG 1: LÝ LUẬN CƠ BẢN VỀ QUẢN TRỊ RỦI RO HOẠT ĐỘNG TRONG NGÂN HÀNG THƢƠNG MẠI 1. LÝ LUẬN CHUNG VỀ RỦI RO HOẠT ĐỘNG TRONG NGÂN HÀNG THƢƠNG MẠI 1. Khái niệm rủi ro hoạt động Ngân hàng thương mại là một doanh nghiệp hoạt động trong lĩnh vực kinh doanh tiền tệ, luôn phải đối mặt với rất nhiều loại rủi ro trên các lĩnh vực và phạm vi khác nhau như: rủi ro tín dụng, rủi ro thanh khoản, rủi ro lãi suất,. Bên cạnh đó, ngân hàng thương mại còn có một loại hình rủi ro luôn tồn tại trong hầu hết các bộ phận, nghiệp vụ của ngân hàng nhưng mới được đưa vào đánh giá quá trình hoạt động của ngân hàng trong những năm gần đây – Rủi ro hoạt động.
Khái niệm về rủi ro hoạt động được phát triển trong một thời gian dài với xuất phát điểm từ nghiên cứu của các nhà khoa học lớn trên thế giới. Theo Cooke (2004), rủi ro hoạt động được định nghĩa là “những rủi ro liên quan đến những tổn thất mà nguyên nhân là do thiếu hiệu quả trong quá trình hoạt động của một tổ chức bao gồm chất lượng, môi trường, sức khỏe nghề nghiệp”. Tchernobai (2006) thì rủi ro hoạt động được định nghĩa “là nguy cơ tổn thất do không có quy trình xử lý nội bộ hoặc quy trình đạt yêu cầu, con người và hệ thống, hoặc từ các sự kiện bên ngoài”. Tuy nhiên, hiện nay định nghĩa được xem là rộng và chung nhất là định nghĩa của Ủy ban Basel về Giám sát ngân hàng trong Hiệp ước vốn mới của Basel (2011).
Theo đó, “Rủi ro hoạt động là nguy cơ tổn thất do các quy trình, con người và hệ thống nội bộ không đạt yêu cầu/ không hoạt động, do các sự kiện bên ngoài. Rủi ro hoạt động bao gồm cả rủi ro pháp lý, nhưng không bao gồm rủi ro chiến lược và rủi ro danh tiếng”. Tại Việt Nam, khái niệm về rủi ro hoạt động theo thông tư 41/2016 TT- NHNN ngày 30/12/2016 được diễn giải khá tương đồng với Basel II, với nội 9 dung như sau: “Rủi ro hoạt động là rủi ro do các quy trình nội bộ quy định không đầy đủ hoặc có sai sót, do yếu tố con người, do các lỗi, sự cố của hệ thống hoặc do các yếu tố bên ngoài làm tổn thất về tài chính, tác động tiêu cực phi tài chính đối với ngân hàng, chi nhánh ngân hàng nước ngoài (bao gồm cả rủi ro pháp lý). Rủi ro hoạt động không bao gồm rủi ro danh tiếng và rủi ro chiến lược.” Rủi ro hoạt động có phạm vi lớn, bao trùm hầu hết tất cả các hoạt động trong ngân hàng và có mối quan hệ với các loại rủi ro khác.
Hầu hết các rủi ro như rủi ro tín dụng, rủi ro thị trường, rủi ro thanh khoản đều có thể bắt nguồn từ rủi ro hoạt động. Điều này khẳng định vai trò rất quan trọng đối với việc quản trị rủi ro hoạt động tại các ngân hàng thương mại. Phân loại rủi ro hoạt động Theo Basel II, Rủi ro hoạt động được phân chia thành 07 nhóm sau: - Gian lận nội bộ: là những thiệt hại do các hành vi cố ý gian lận, giả mạo, biển thủ tài sản, không tuân thủ quy định/quy trình của pháp luật, ngân hàng nhằm mục đích trục lợi cá nhân, trong đó có ít nhất một bên tham gia thuộc nội bộ ngân hàng. Trong gian lận nội bộ, rủi ro hoạt động được chia làm hai nhóm là: (i) Rủi ro liên quan đến các hoạt động trái pháp luật như thực hiện các giao dịch không báo cáo, không hợp pháp; (ii) Rủi ro liên quan đến hành vi gian lận, trộm cắp như giả mạo chữ ký, gian lận tín dụng, biển thủ công quỹ.
- Gian lận bên ngoài: Là những thiệt hai do hành vi cố tình gian lận, giả mạo, lừa đảo, cố ý vi phạm các chính sách của ngân hàng và pháp luật được gây ra bởi đối tượng bên ngoài (bao gồm Khách hàng hoặc bên thứ ba) mà không có sự hỗ trợ/ cấu kết của bất kỳ nhân viên nào của ngân hàng. Gian lận bên ngoài bao gồm các hành vi như giả mạo giấy tờ, trộm cắp tài sản, cố ý truy cập/ tiết lộ thông tin, phát tán vi rút…. - Thực tiễn việc làm và an toàn lao động: là những thiệt hại do các hành vi vi phạm chính sách lao động và an toàn của người lao động nơi làm 10 việc như vi phạm luật hoặc thỏa thuận lao động, điều kiện về an toàn tại môi trường lao động, phân biệt đối xử nơi làm việc… - Khách hàng, sản phẩm và các thực tiễn môi trường kinh doanh: là những thiệt hại do những hành động vô ý/ sơ suất của cán bộ ngân hàng trong quá trình thực hiện các hoạt động trong thẩm quyền với khách hàng như vi phạm bảo mật thông tin khách hàng, mâu thuẫn/tranh chấp trong quá trình tư vấn khách hàng, hoặc vi phạm các điều kiện/ thông lệ kinh doanh như chống độc quyền, phòng chống rửa tiền hoặc do sản phẩm không phù hợp, không đáp ứng nhu cầu của Khách hàng…. - Thiệt hại về Tài sản: là những thiệt hại do mất mát hoặc hư hỏng tài sản vật chất vì thảm họa thiên nhiên như động đất, bão lũ… hoặc từ các sự kiện bên ngoài như khủng bố, các hoạt động phá hoại, hỏa hoạn… - Gián đoạn kinh doanh: là những thiệt hại do lỗi hệ thống, dẫn đến hoạt động kinh doanh bị gián đoạn như lỗi phần mềm, sự cố truyền tải thông tin hoặc các chức năng bị gián đoạn trong quá trình hoạt động… - Vận hành và quy trình: là những thiệt hại do quá trình quản lý và thực hiện giao dịch trong quan hệ giao dịch với các đối tác, nhà cung cấp như lỗi trong quá trình quản lý hồ sơ khách hàng, lỗi trong quản lý và duy trì giao dịch, lỗi trong quá trình quản lý nhà cung cấp và đối tác… 1.
Đặc điểm của rủi ro hoạt động - Rủi ro hoạt động là loại rủi ro tiềm ẩn: Rủi ro hoạt động có thể gây ra những tổn thất lớn nhưng rất khó để xác định hoặc dự đoán trước những dấu hiệu của nó như việc lơ là khi tác nghiệp của nhân viên, hành vi gian lận của nhân viên hoặc Khách hàng. Điều này khiến cho hoạt động quản trị rủi ro gặp nhiều khó khăn trong quá trình triển khai. - Rủi ro hoạt động thường xuyên thay đổi: Rủi ro hoạt động không thể dự đoán trước được, có thể thay đổi rất nhanh và tăng theo cấp số nhân trong thời gian ngắn. Rủi ro hoạt động có tốc độ thay đổi cùng chiều với sự thay đổi 11 quy mô hoạt động của ngân hàng, đặc biệt nó luôn không ổn định trong phạm vi không gian và thời gian.
Nó không xác định trước, có thể xảy ra ở bất kỳ đâu, bất kỳ khi nào trong ngân hàng. - Rủi ro hoạt động luôn hiện hữu trong tất cả các hoạt động kinh doanh của ngân hàng, các sản phẩm dịch vụ do ngân hàng cung cấp tùy theo tính chất phức tạp và qui mô sản phẩm mà tần suất xảy ra rủi ro nhiều hay ít. - Rủi ro hoạt động gắn với các sự kiện, sự cố trong hoạt động của ngân hàng. Đó chính là các sự kiện rủi ro hoạt động, phát sinh khi rủi ro đã xảy ta, đã gây tổn thất thực tế hoặc tiểm ẩn nguy cơ tổn thất cho ngân hàng nếu không có biện pháp kiểm soát, khắc phục kịp thời, phù hợp.
Đây là một trong những đặc điểm nổi bật của rủi ro hoạt động, nằm trong mọi sản phẩm, mọi giao dịch và gắn liền với các nhân tố chủ yếu như con người, tổ chức, qui trình tác nghiệp, hệ thống và đặc biệt là các sự kiện bên ngoài. - Rủi ro hoạt động được đặc trưng bởi hai yếu tố: Tần suất/khả năng xảy ra (tức sự kiện rủi ro có lặp lại thường xuyên hay không?), chi phí/mức độ ảnh hưởng (tức sự kiện rủi ro gây ra tổn thất ra sao, ảnh hưởng như thế nào đến kết quả hoạt động kinh doanh của ngân hàng). Trên thực tế, có những rủi ro xảy ra với tần suất thưởng xuyên nhưng mức độ ảnh hưởng thấp nhưng cũng có những rủi ro rất hiếm khi xảy ta nhưng có thể ảnh hưởng phạm vi rộng, gây tổn thất nghiêm trọng cho ngân hàng. - Rủi ro hoạt động có thể gây tác động thứ cấp, là nhân tố gây ra rủi ro pháp lý, rủi ro về danh tiếng của ngân hàng.
Nguyên nhân của rủi ro hoạt động Theo định nghĩa của Basel II, Rủi ro hoạt động hình thành từ bốn nguyên nhân, bao gồm con người, hệ thống, quy định/ quy trình và sự kiện bên ngoài - Con người: Rủi ro hoạt động có thể xảy ra do cán bộ nhân viên hoặc chính đơn vị quản lý bao gồm cả thiếu chuyên môn lẫn gian lận, cụ thể như 12 không thực hiện nhiệm vụ theo đúng thẩm quyền; không tuân thủ quy định/ quy trình của ngân hàng, cho vay không đúng mục đích, lưu trữ chứng từ không đầy đủ; gian lận, giả mạo hồ sơ, biển thủ tài sản; hoặc không chấp hành nội quy lao động, hợp đồng lao động và cam kết bảo mật thông tin đã ký với ngân hàng trong quá trình làm việc. - Hệ thống: Rủi ro hoạt động chủ yếu do hệ thống công nghệ thông tin như phần cứng, phần mềm lạc hậu, không tương thích, phù hợp, hoạt động không đúng khả năng và công suất…, máy chủ bị lỗi, gián đoạn đường truyền; hệ thống bảo mật thông tin không an toàn.