Khung quản trị rủi ro công nghệ vận hành ngân hàng (Bank OpsTech Risk Governance Framework)
Khung quản trị rủi ro công nghệ vận hành ngân hàng là hệ thống chính sách, cơ cấu tổ chức, quy trình và công cụ được thiết lập nhằm nhận diện, đo lường, giám sát và kiểm soát toàn diện các rủi ro phát sinh từ hạ tầng công nghệ thông tin (CNTT), hệ thống ứng dụng lõi, dữ liệu ngân hàng và các quy trình vận hành liên quan. Khung này hoạt động theo mô hình ba tuyến phòng thủ: tuyến một là các đơn vị nghiệp vụ chịu trách nhiệm quản lý rủi ro tại chỗ, tuyến hai là bộ phận quản trị rủi ro và bảo mật CNTT độc lập, tuyến ba là kiểm toán nội bộ. Trong ngữ cảnh các ngân hàng Việt Nam, khung này thường được tích hợp với hệ thống quản trị rủi ro hoạt động (ORM), quản trị rủi ro an toàn thông tin (ISRM) và quản trị rủi ro tuân thủ, tạo thành một bức tranh tổng thể giúp Hội đồng quản trị, Ban điều hành và Ngân hàng Nhà nước giám sát sức chịu đựng rủi ro công nghệ của nhà băng.
Các trụ cột chính của khung quản trị
Một khung quản trị rủi ro công nghệ vận hành hoàn chỉnh thường bao gồm bốn trụ cột cốt lõi. Thứ nhất là quản trị hạ tầng và hệ thống lõi, tập trung vào core banking, hệ thống thanh toán, quản lý tài khoản tiền gửi và nền tảng kênh số (Internet Banking, Mobile Banking). Thứ hai là quản trị dữ liệu và quyền truy cập, đảm bảo nguyên tắc phân tách nhiệm vụ (Segregation of Duties - SoD), kiểm soát truy cập theo vai trò (RBAC) và khả năng truy vết đầy đủ cho kiểm toán. Thứ ba là quản lý sự cố và liên tục kinh doanh, với quy trình phản ứng sự cố (Incident Response), kế hoạch khôi phục sau thảm họa (Disaster Recovery Plan - DRP) và diễn tập định kỳ. Thứ tư là an ninh mạng và bảo mật thông tin, bao gồm quản lý lỗ hổng, giám sát SOC (Security Operation Center) và đánh giá rủi ro chuỗi cung ứng công nghệ.
Vai trò của ba tuyến phòng thủ trong ngân hàng
Trong thực tiễn ngân hàng Việt Nam, mô hình ba tuyến phòng thủ được áp dụng như sau. Tuyến một gồm các phòng ban nghiệp vụ như Vận hành, Kế toán, Thanh toán, Thẻ — đây là những đơn vị trực tiếp vận hành hệ thống, sử dụng hạ tầng CNTT hằng ngày và chịu trách nhiệm chính trong việc phát hiện, báo cáo rủi ro. Tuyến hai là khối Quản trị rủi ro (Risk Management), Bảo mật thông tin (Information Security) và Tuân thủ (Compliance) — các đơn vị này xây dựng khung chính sách, đánh giá rủi ro độc lập, theo dõi chỉ số rủi ro (KRI) và đảm bảo tuân thủ quy định của Ngân hàng Nhà nước. Tuyến ba là Kiểm toán nội bộ, thực hiện kiểm tra độc lập hiệu lực của toàn bộ khung quản trị và báo cáo trực tiếp lên Ủy ban Kiểm toán thuộc Hội đồng quản trị.
Quy trình quản lý rủi ro theo chuẩn quốc tế
Khung quản trị rủi ro công nghệ vận hành thường tích hợp các chuẩn quốc tế được ngân hàng Việt Nam tham chiếu khi triển khai. COBIT 2019 (Control Objectives for Information and Related Technologies) cung cấp khung quản trị và quản lý CNTT toàn diện. ISO/IEC 27001:2022 và ISO/IEC 27002:2022 thiết lập hệ thống quản lý an toàn thông tin (ISMS) và bộ kiểm soát an ninh. NIST Cybersecurity Framework 2.0 (phát hành năm 2024) bổ sung chức năng mới "Govern" ở cấp cao nhất, nhấn mạnh tầm quan trọng của cơ cấu tổ chức và chính sách. Ngoài ra, các ngân hàng còn áp dụng ITIL 4 cho quản lý dịch vụ CNTT và PCI DSS 4.0 (có hiệu lực từ tháng 3 năm 2024 đối với các yêu cầu mới) cho bảo mật dữ liệu thẻ thanh toán. Ở Việt Nam, khung này cần phù hợp với Thông tư hướng dẫn về bảo đảm an toàn hệ thống thông tin theo cấp độ và các quy định về an toàn, bảo mật trong hoạt động ngân hàng điện tử.
Chỉ số đo lường hiệu quả (KRIs) trong vận hành
Để đánh giá hiệu quả của khung quản trị, các ngân hàng thường theo dõi các chỉ số rủi ro chính yếu (Key Risk Indicators - KRIs) sau: tỷ lệ uptime của hệ thống lõi (mục tiêu thường ≥ 99,9% cho core banking), số sự cố bảo mật nghiêm trọng mỗi quý, thời gian trung bình phát hiện (MTTD) và thời gian phản ứng (MTTR) đối với sự cố, tỷ lệ hoàn thành diễn tập DRP hằng năm, số lượng lỗ hổng bảo mật chưa xử lý quá hạn, tỷ lệ giao dịch thanh toán bị lỗi và tỷ lệ nhân viên hoàn thành đào tạo an toàn thông tin. Việc giám sát liên tục các KRIs giúp Ban điều hành nhận diện sớm các điểm nóng rủi ro và điều chỉnh nguồn lực kịp thời.
Câu hỏi thường gặp
Hỏi: Khung quản trị rủi ro công nghệ vận hành khác gì với Khung quản trị rủi ro hoạt động (ORM) truyền thống của ngân hàng?
Khung ORM truyền thống tập trung vào rủi ro từ quy trình nghiệp vụ, con người và sự kiện bên ngoài (như gian lận, lỗi thủ công). Khung quản trị rủi ro công nghệ vận hành là phần mở rộng chuyên sâu của ORM, tập trung vào các rủi ro đặc thù phát sinh từ hạ tầng CNTT, hệ thống ứng dụng, dữ liệu và mối đe dọa an ninh mạng. Trong thực tế, hai khung này được tích hợp với nhau: rủi ro công nghệ là một danh mục con trong ma trận rủi ro hoạt động tổng thể của ngân hàng.
Hỏi: Trong đề thi tuyển dụng ngân hàng, ứng viên cần nắm những kiến thức nào về khung quản trị này?
Ứng viên thường được hỏi về mô hình ba tuyến phòng thủ, các vai trò của Hội đồng quản trị, Ban điều hành và các cấp quản lý trong quản trị rủi ro CNTT; cách phân loại rủi ro công nghệ (rủi ro hệ thống, rủi ro bảo mật, rủi ro tích hợp); các bước trong quy trình quản lý rủi ro theo ISO 31000 áp dụng cho CNTT; và yêu cầu tuân thủ quy định của Ngân hàng Nhà nước về an toàn hệ thống thông tin trong hoạt động ngân hàng.
Hỏi: Làm thế nào để phân biệt rủi ro công nghệ vận hành với rủi ro an ninh mạng trong ngân hàng?
Rủi ro công nghệ vận hành (OpsTech Risk) có phạm vi rộng hơn, bao gồm mọi rủi ro phát sinh từ việc sử dụng công nghệ trong vận hành như sự cố phần cứng, lỗi phần mềm, gián đoạn dịch vụ, sai sót trong tích hợp hệ thống và phụ thuộc vào nhà cung cấp bên thứ ba. Rủi ro an ninh mạng (Cyber Risk) là tập con tập trung vào các mối đe dọa có chủ đích như tấn công APT, ransomware, lừa đảo trực tuyến và đánh cắp dữ liệu. Trong khung quản trị tích hợp, quản trị an ninh mạng là một trụ cột thuộc khung quản trị rủi ro công nghệ vận hành.
Lưu ý: Nội dung trên mang tính tham khảo tổng quan về khung quản trị rủi ro công nghệ vận hành trong ngân hàng. Đối với các quyết định triển khai cụ thể tại tổ chức tín dụng, cần tham vấn chuyên gia quản trị rủi ro, bảo mật thông tin và tham chiếu quy định pháp luật hiện hành của Ngân hàng Nhà nước Việt Nam.