Điều 38. Chiến lược quản lý rủi ro hoạt động, hạn mức rủi ro hoạt động
1. Ngân hàng phải ban hành chiến lược quản lý rủi ro hoạt động, tối thiểu bao gồm:
a) Nguyên tắc thực hiện quản lý rủi ro hoạt động;
b) Nguyên tắc sử dụng hoạt động thuê ngoài, mua bảo hiểm, ứng dụng công nghệ, bao gồm việc nhận dạng, đánh giá và giám sát rủi ro phát sinh từ bên thứ ba;
c) Các trường hợp phải có kế hoạch duy trì hoạt động liên tục, tối thiểu bao gồm:
(i) Mất tài liệu, cơ sở dữ liệu quan trọng;
(ii) Hệ thống công nghệ thông tin bị sự cố;
(iii) Các sự kiện bất khả kháng (chiến tranh, thiên tai, dịch bệnh, cháy nổ...).
d) Nguyên tắc triển khai đánh giá rủi ro hoạt động theo các kịch bản giả định (Scenario Analysis) để chủ động nhận diện điểm yếu, chuẩn bị biện pháp ứng phó và bảo đảm khả năng hoạt động liên tục trong trường hợp ngân hàng sử dụng phương pháp tại điểm e khoản 3 Điều 39 Thông tư này.
2. Ngân hàng phải thiết lập hạn mức rủi ro hoạt động, tối thiểu bao gồm:
a) Hạn mức về mức độ tổn thất tài chính đối với từng trường hợp quy định tại khoản 2 Điều 39 Thông tư này theo 06 nhóm quy định tại khoản 3 Điều này;
b) Hạn mức về mức độ tổn thất phi tài chính (bao gồm cả uy tín, danh tiếng, nghĩa vụ pháp lý).
3. Ngân hàng phải phân loại hoạt động thành 06 nhóm sau đây để quản lý rủi ro hoạt động:
a) Hoạt động tạo thu nhập lãi và các khoản thu nhập tương tự;
b) Hoạt động phát sinh chi phí lãi và các chi phí tương tự;
c) Hoạt động dịch vụ;
d) Hoạt động kinh doanh ngoại hối;
đ) Hoạt động mua bán chứng khoán kinh doanh, chứng khoán đầu tư;
e) Hoạt động khác.