Điều 42. Nhận dạng, đo lường, theo dõi và kiểm soát rủi ro hoạt động
1. Ngân hàng thương mại, chi nhánh ngân hàng nước ngoài phải nhận dạng đầy đủ rủi ro hoạt động trong tất cả các sản phẩm, hoạt động kinh doanh, quy trình nghiệp vụ, hệ thống công nghệ thông tin và các hệ thống quản lý khác.
2. Việc nhận dạng rủi ro hoạt động được thực hiện đối với các trường hợp sau đây:
a) Gian lận nội bộ do hành vi lừa đảo, chiếm đoạt tài sản, vi phạm các chiến lược, chính sách và quy định nội bộ liên quan đến ít nhất một cá nhân của ngân hàng thương mại, chi nhánh ngân hàng nước ngoài (bao gồm cả hành vi không đúng chức trách, nhiệm vụ, hành vi vượt thẩm quyền, trộm cắp, lợi dụng thông tin nội bộ để trục lợi);
b) Gian lận bên ngoài do các hành vi lừa đảo, chiếm đoạt tài sản do đối tượng bên ngoài gây nên mà không có sự trợ giúp, cấu kết của cá nhân, bộ phận của ngân hàng thương mại, chi nhánh ngân hàng nước ngoài (bao gồm cả hành vi trộm cắp, cướp, giả mạo thẻ ngân hàng, chứng từ ngân hàng, xâm nhập hệ thống công nghệ thông tin để chiếm đoạt dữ liệu, tiền);
c) Chính sách về lao động, an toàn nơi làm việc không phù hợp hợp đồng lao động, quy định của pháp luật về lao động, bảo vệ sức khỏe và an toàn nơi làm việc;
d) Vô ý vi phạm quy định liên quan đến khách hàng, quy trình cung cấp sản phẩm và đặc tính sản phẩm khi thực hiện chức năng, nhiệm vụ được giao theo thẩm quyền đối với khách hàng (bao gồm cả hành vi vi phạm bảo mật thông tin khách hàng, vi phạm quy định về phòng chống rửa tiền, cung cấp sản phẩm dịch vụ trái quy định);
đ) Hư hỏng, mất mát tài sản, công cụ, thiết bị do các sự kiện bất khả kháng, tác động của con người và các sự kiện khác;
e) Gián đoạn hoạt động kinh doanh do hệ thống công nghệ, thông tin gặp sự cố;
g) Hạn chế, bất cập của quy trình giao dịch, kiểm soát giao dịch và quản lý giao dịch;
h) Các trường hợp khác theo quy định nội bộ của ngân hàng thương mại, chi nhánh nhân hàng nước ngoài.
3. Ngân hàng thương mại, chi nhánh ngân hàng nước ngoài có công cụ đo lường rủi ro hoạt động thông qua việc lượng hóa tổn thất đối với các trường hợp quy định tại khoản 2 Điều này theo 06 nhóm hoạt động kinh doanh theo quy định của Ngân hàng Nhà nước về tỷ lệ an toàn vốn đối với ngân hàng, chi nhánh ngân hàng nước ngoài trên cơ sở áp dụng tối thiểu hai trong số các phương pháp sau đây:
a) Sử dụng các phát hiện của kiểm toán nội bộ và kiểm toán độc lập (Audit findings);
b) Thu thập và phân tích số liệu tổn thất nội bộ và bên ngoài (Internal and external loss data collection and analysis) để xác định tổn thất nội bộ và của toàn hệ thống ngân hàng thương mại, chi nhánh ngân hàng nước ngoài;
c) Tự đánh giá kiểm soát rủi ro hoạt động (Risk Control Self Assessment - RCSA) để xác định hiệu quả của hoạt động kiểm soát đối với rủi ro hoạt động trước và sau khi kiểm soát;
d) Sơ đồ hóa các quy trình nghiệp vụ (Business Process Mapping - BPM) để xác định mức độ rủi ro hoạt động của từng quy trình nghiệp vụ, rủi ro hoạt động chung của các quy trình nghiệp vụ và mối liên hệ của các rủi ro này;
đ) Chỉ số kết quả kinh doanh và chỉ số rủi ro trọng yếu (Risk and Performance indicators) để theo dõi yếu tố tác động đến rủi ro hoạt động và xác định các hạn chế, tồn tại và tổn thất tiềm ẩn;
e) Phân tích kịch bản (Scenario Analysis) để xác định nguồn phát sinh rủi ro hoạt động và các yêu cầu kiểm soát, giảm thiểu rủi ro hoạt động trong các kịch bản và sự kiện có thể xảy ra.
4. Ngân hàng thương mại, chi nhánh ngân hàng nước ngoài thực hiện kiểm soát rủi ro hoạt động thông qua hoạt động kiểm soát quy định tại Điều 15 Thông tư này và các biện pháp khác theo quy định nội bộ của ngân hàng thương mại, chi nhánh ngân hàng nước ngoài. Trường hợp tổn thất thực tế vượt hạn mức rủi ro hoạt động, ngân hàng thương mại, chi nhánh ngân hàng nước ngoài phải có biện pháp tăng cường để kiểm soát, giảm thiểu rủi ro hoạt động đó trong tương lai.