Operational Risk
Rủi ro hoạt động
Operational risk (rủi ro hoạt động) là rủi ro thua lỗ do quy trình nội bộ không đầy đủ hoặc thất bại, do con người, do hệ thống, hoặc do sự kiện bên ngoài, theo định nghĩa của Basel. Định nghĩa này bao gồm rủi ro pháp lý nhưng không bao gồm rủi ro chiến lược và rủi ro danh tiếng. Ví dụ điển hình là gian lận nội bộ, lỗi nhập liệu, sự cố hệ thống, tấn công mạng và thiên tai.
Explanation
Khác với market risk hay credit risk là rủi ro mà tổ chức chủ động chấp nhận để kiếm lời, operational risk gắn liền với việc vận hành hằng ngày và không mang lại phần bù lợi nhuận. Một lỗi chuyển tiền nhầm, một nhân viên lập khống chứng từ, một ngày hệ thống core banking ngừng hoạt động đều có thể gây thiệt hại lớn, đôi khi lớn hơn cả lợi nhuận cả năm của một bộ phận.
Basel chia operational risk thành bảy nhóm sự kiện: gian lận nội bộ, gian lận bên ngoài, thực hành lao động và an toàn nơi làm việc, khách hàng sản phẩm và thực hành kinh doanh, thiệt hại tài sản vật chất, gián đoạn kinh doanh và lỗi hệ thống, và thực thi, chuyển giao, quản lý quy trình. Tổn thất thường có hai dạng: high-frequency low-severity (thường xuyên nhưng nhỏ, như lỗi nhập liệu) và low-frequency high-severity (hiếm nhưng rất lớn, như gian lận quy mô lớn hay thảm hoạ).
Công cụ quản lý gồm risk and control self-assessment (RCSA, tự đánh giá rủi ro và kiểm soát), key risk indicator (KRI, chỉ số rủi ro trọng yếu), cơ sở dữ liệu tổn thất, internal control như segregation of duties (phân tách nhiệm vụ), business continuity planning và bảo hiểm. Về vốn, Basel II cho phép Basic Indicator Approach (15% bình quân thu nhập gộp dương của 3 năm), còn Basel III thay bằng Standardised Approach dựa trên business indicator.
Tại Việt Nam, ngân hàng phải tính vốn cho rủi ro hoạt động khi tính hệ số an toàn vốn theo quy định của Ngân hàng Nhà nước. Các vụ gian lận chiếm dụng tiền gửi, lừa đảo qua ứng dụng ngân hàng và sự cố gián đoạn dịch vụ cho thấy operational risk ở Việt Nam chủ yếu đến từ con người và công nghệ.
Key Points
- Nguồn gốc: quy trình, con người, hệ thống, sự kiện bên ngoài.
- Bao gồm rủi ro pháp lý, không gồm rủi ro chiến lược và danh tiếng.
- Không có phần bù lợi nhuận, mục tiêu là giảm đến mức chấp nhận được với chi phí hợp lý.
- Đo bằng tần suất × mức thiệt hại, theo dõi qua KRI và RCSA.
- Ngân hàng phải giữ vốn cho operational risk theo Basel.
Formula
Expected annual loss = Σ (Frequency × Average severity)
- Frequency
- Số sự kiện tổn thất mỗi năm của từng loại rủi ro, lấy từ cơ sở dữ liệu tổn thất nội bộ.
- Average severity
- Thiệt hại trung bình mỗi sự kiện, sau khi trừ phần thu hồi được.
Với vốn quy định, Basic Indicator Approach (Basel II): vốn = 15% × bình quân thu nhập gộp của các năm dương trong 3 năm gần nhất.
Examples
Worked Example
Đánh giá lợi ích của kiểm soát bốn mắt
Ngân hàng TMCP Hưng Thịnh (số liệu giả định) ghi nhận mỗi năm: 120 lỗi chuyển tiền, thiệt hại trung bình 15 triệu đồng; 40 vụ gian lận thẻ, trung bình 50 triệu đồng; 2 sự cố hệ thống, trung bình 900 triệu đồng. Đề xuất áp dụng phê duyệt bốn mắt cho lệnh chuyển tiền, chi phí 400 triệu đồng/năm, dự kiến giảm 70% số lỗi chuyển tiền.
- Lỗi chuyển tiền: 120 × 15 = 1.800 triệu đồng; gian lận thẻ: 40 × 50 = 2.000 triệu đồng; sự cố hệ thống: 2 × 900 = 1.800 triệu đồng.
- Tổng tổn thất kỳ vọng: 1.800 + 2.000 + 1.800 = 5.600 triệu đồng/năm.
- Sau kiểm soát, lỗi chuyển tiền còn 120 × 30% = 36 vụ, thiệt hại 36 × 15 = 540 triệu đồng.
- Tổn thất giảm 1.800 - 540 = 1.260 triệu đồng, lớn hơn chi phí 400 triệu đồng, lợi ích ròng 860 triệu đồng/năm.
Kiểm soát bốn mắt đáng đầu tư. Ngân hàng cũng thấy gian lận thẻ là nhóm tổn thất lớn nhất và nên là ưu tiên kế tiếp.
Real-World Scenario
Kế toán trưởng phát hiện thanh toán khống
Tại một công ty phân phối, một nhân viên vừa tạo nhà cung cấp mới trên hệ thống vừa duyệt thanh toán. Trong 8 tháng, nhân viên này chuyển hơn 2 tỷ đồng cho một công ty "ma" do người thân đứng tên.
Đây là gian lận nội bộ, một nhóm của operational risk, xảy ra do thiếu segregation of duties. Công ty tách quyền tạo nhà cung cấp và quyền duyệt thanh toán, thêm KRI về số nhà cung cấp mới mỗi tháng và đối chiếu tài khoản nhận tiền với danh sách nhân viên.
Common Mistakes
Common Mistake
Chỉ lo các lỗi nhỏ thường xuyên
Một công ty chứng khoán dồn nguồn lực sửa lỗi nhập lệnh nhỏ (thiệt hại vài triệu đồng mỗi lần) nhưng không có trung tâm dữ liệu dự phòng. Một sự cố mất điện làm hệ thống giao dịch dừng cả ngày.
Khách hàng không đặt được lệnh trong phiên biến động mạnh, công ty phải bồi thường và mất uy tín, thiệt hại gấp hàng trăm lần tổng các lỗi nhỏ cả năm. Cách đúng: cân bằng giữa rủi ro thường xuyên nhỏ và rủi ro hiếm nhưng nghiêm trọng, đầu tư business continuity planning cho loại thứ hai.
- Xếp rủi ro chiến lược hoặc rủi ro danh tiếng vào operational risk theo định nghĩa Basel.
- Nghĩ rằng operational risk không đo được nên không cần dữ liệu tổn thất.
- Bỏ qua sự kiện hiếm nhưng thiệt hại cực lớn vì chưa từng xảy ra.
- Coi bảo hiểm là giải pháp duy nhất mà không cải thiện kiểm soát nội bộ.
Exam Tip
FRM Part II (Operational Risk and Resilience) hỏi bảy nhóm sự kiện Basel và cách tính vốn. FRM Part I hay gài trong Basic Indicator Approach: năm có thu nhập gộp âm bị loại khỏi cả tử số lẫn mẫu số khi tính bình quân. Ví dụ thu nhập gộp 3 năm là 400, 500 và -100: bình quân = (400 + 500) / 2 = 450, vốn = 15% × 450 = 67,5.