Điều 40. Nhận dạng, theo dõi và kiểm soát rủi ro hoạt động
1. Tổ chức tín dụng phải nhận dạng đầy đủ rủi ro hoạt động trong các hoạt động kinh doanh, quy trình nghiệp vụ, hệ thống công nghệ thông tin, rủi ro từ bên thứ ba.
2. Việc nhận dạng rủi ro hoạt động được thực hiện đối với các trường hợp sau đây:
a) Gian lận nội bộ do hành vi lừa đảo, chiếm đoạt tài sản, vi phạm các chiến lược, chính sách và quy định nội bộ liên quan đến ít nhất một cá nhân của tổ chức tín dụng (bao gồm việc thực hiện các hành vi để trục lợi như thực hiện không đúng chức trách, nhiệm vụ, vượt thẩm quyền, trộm cắp, lợi dụng thông tin nội bộ);
b) Gian lận bên ngoài do các hành vi lừa đảo, chiếm đoạt tài sản do đối tượng bên ngoài gây nên mà không có sự trợ giúp, cấu kết của cá nhân, bộ phận của tổ chức tín dụng (bao gồm cả hành vi trộm cắp, cướp, giả mạo thẻ, chứng từ, xâm nhập hệ thống thông tin để chiếm đoạt dữ liệu, tiền);
c) Chính sách về lao động, an toàn nơi làm việc không phù hợp với hợp đồng lao động, quy định của pháp luật về lao động, bảo vệ sức khỏe và an toàn nơi làm việc;
d) Sản phẩm, dịch vụ, cách thức cung cấp sản phẩm, dịch vụ không phù hợp với quy định, quyền lợi khách hàng (bao gồm cả hành vi vi phạm bảo mật thông tin khách hàng, vi phạm quy định về phòng, chống rửa tiền, cung cấp sản phẩm, dịch vụ không đúng thẩm quyền);
đ) Hư hỏng, mất tài sản, công cụ, thiết bị do các sự kiện bất khả kháng, tác động của con người và các sự kiện khác;
e) Gián đoạn hoạt động kinh doanh do hệ thống công nghệ thông tin gặp sự cố;
g) Hạn chế, bất cập của quy trình giao dịch, kiểm soát giao dịch và quản lý giao dịch;
h) Các trường hợp khác theo quy định nội bộ của tổ chức tín dụng.
3. Tổ chức tín dụng thực hiện theo dõi, kiểm soát rủi ro hoạt động thông qua hoạt động kiểm soát nội bộ quy định tại Thông tư này và các biện pháp khác theo quy định nội bộ.