Điều 39. Nhận dạng, đo lường, theo dõi và kiểm soát rủi ro hoạt động
1. Ngân hàng phải nhận dạng đầy đủ rủi ro hoạt động trong tất cả các giao dịch, sản phẩm, hoạt động, quy trình nghiệp vụ, hệ thống thông tin, rủi ro từ bên thứ ba.
2. Việc nhận dạng rủi ro hoạt động được thực hiện đối với các trường hợp sau đây:
a) Gian lận nội bộ do hành vi lừa đảo, chiếm đoạt tài sản, vi phạm các chiến lược, chính sách và quy định nội bộ liên quan đến ít nhất một cá nhân của ngân hàng (bao gồm việc thực hiện các hành vi để trục lợi như thực hiện không đúng chức trách, nhiệm vụ, vượt thẩm quyền, trộm cắp, lợi dụng thông tin nội bộ);
b) Gian lận bên ngoài do các hành vi lừa đảo, chiếm đoạt tài sản do đối tượng bên ngoài gây nên mà không có sự trợ giúp, cấu kết của cá nhân, bộ phận của ngân hàng (bao gồm cả hành vi trộm cắp, cướp, giả mạo thẻ ngân hàng, chứng từ ngân hàng, xâm nhập hệ thống thông tin để chiếm đoạt dữ liệu, tiền);
c) Chính sách về lao động, an toàn nơi làm việc không phù hợp hợp đồng lao động, quy định của pháp luật về lao động, bảo vệ sức khỏe và an toàn nơi làm việc;
d) Sản phẩm, dịch vụ, cách thức cung cấp sản phẩm, dịch vụ không phù hợp với quy định, quyền lợi khách hàng (bao gồm cả hành vi vi phạm bảo mật thông tin khách hàng, vi phạm quy định về phòng chống rửa tiền, cung cấp sản phẩm, dịch vụ không đúng thẩm quyền);
đ) Hư hỏng, mất mát tài sản, công cụ, thiết bị do các sự kiện bất khả kháng, tác động của con người và các sự kiện khác;
e) Gián đoạn hoạt động kinh doanh do hạ tầng công nghệ thông tin gặp sự cố;
g) Hạn chế của quy trình giao dịch, kiểm soát giao dịch và quản lý giao dịch;
h) Các trường hợp khác theo quy định nội bộ của ngân hàng.
3. Ngân hàng phải áp dụng tối thiểu hai trong số các công cụ sau đây nhằm đánh giá, đo lường rủi ro hoạt động đối với các trường hợp quy định tại khoản 2 Điều này theo 06 nhóm quy định tại khoản 3 Điều 38 Thông tư này:
a) Quản lý sự kiện (Event management) để nhận diện, phân tích, quản lý xuyên suốt sự kiện rủi ro hoạt động; cung cấp thông tin đầu vào cho tự đánh giá rủi ro hoạt động và hiệu quả của các biện pháp kiểm soát;
b) Thu thập và phân tích dữ liệu tổn thất nội bộ của ngân hàng và dữ liệu tổn thất bên ngoài từ hệ thống ngân hàng (Internal and external loss data collection and analysis) để xác định tổn thất nội bộ;
c) Tự đánh giá kiểm soát rủi ro hoạt động (Risk Control Self Assessment - RCSA) để xác định hiệu quả của hoạt động kiểm soát đối với rủi ro hoạt động trước và sau khi kiểm soát;
d) Khung giám sát và đảm bảo kiểm soát (Control Monitoring and Assurance Framework) để đánh giá, rà soát, giám sát liên tục và kiểm tra các hoạt động kiểm soát phù hợp với từng loại rủi ro hoạt động và hoạt động kinh doanh;
đ) Chỉ số kết quả kinh doanh và chỉ số rủi ro trọng yếu (Risk and Performance Indicators) để theo dõi yếu tố tác động đến rủi ro hoạt động và xác định các hạn chế và tổn thất tiềm ẩn;
e) Phân tích kịch bản (Scenario Analysis) để xác định nguồn phát sinh rủi ro hoạt động và các yêu cầu kiểm soát, giảm thiểu rủi ro hoạt động trong các kịch bản và sự kiện có thể xảy ra;
g) Đối chiếu và phân tích so sánh (Benchmarking and Comparative Analysis) để so sánh giữa kết quả của các công cụ đo lường, quản lý rủi ro khác nhau trong chính ngân hàng và với các ngân hàng khác nhằm hiểu rõ hồ sơ rủi ro hoạt động;
h) Sơ đồ hóa các quy trình nghiệp vụ (Business Process Mapping - BPM) để xác định mức độ rủi ro hoạt động của từng quy trình nghiệp vụ, rủi ro hoạt động chung của các quy trình nghiệp vụ và mối liên hệ của các rủi ro này;
i) Sử dụng các phát hiện của kiểm toán nội bộ và kiểm toán độc lập (Audit Findings) để đánh giá hiệu quả của biện pháp kiểm soát, thực hiện biện pháp ngăn ngừa, khắc phục rủi ro hoạt động.
4. Ngân hàng thực hiện theo dõi, kiểm soát rủi ro hoạt động thông qua hoạt động kiểm soát quy định tại Thông tư này và biện pháp khác theo quy định nội bộ của ngân hàng. Trường hợp tổn thất thực tế vượt hạn mức rủi ro hoạt động, ngân hàng phải có biện pháp tăng cường để kiểm soát, giảm thiểu rủi ro hoạt động đó trong tương lai.