Phòng Quản trị Rủi ro Hoạt động và An ninh Thông tin Ngân hàng (Operational Risk & Information Security Department)
Phòng Quản trị Rủi ro Hoạt động và An ninh Thông tin là đơn vị chuyên trách thuộc Khối Quản trị Rủi ro trong cơ cấu tổ chức của ngân hàng thương mại, đảm nhận việc xây dựng, vận hành và giám sát hệ thống quản trị rủi ro hoạt động (ORM) đồng thời phối hợp kiểm soát rủi ro an ninh thông tin (InfoSec) trên toàn bộ các kênh giao dịch, hệ thống core banking, ứng dụng ngân hàng số và hạ tầng dữ liệu. Đơn vị này hoạt động theo khung chuẩn quốc tế Basel II/III trong trụ cột rủi ro hoạt động, đồng thời tuân thủ các quy định của Ngân hàng Nhà nước Việt Nam về an toàn, bảo mật trong hoạt động ngân hàng.
Chức năng và nhiệm vụ chính
Xây dựng khung quản trị rủi ro hoạt động: Thiết lập chính sách, quy chế, quy trình quản trị rủi ro hoạt động; xác định khẩu vị rủi ro (risk appetite) và ngưỡng chấp nhận rủi ro (risk tolerance) cho từng danh mục nghiệp vụ. Phòng triển khai ba công cụ cốt lõi gồm: tự đánh giá rủi ro và kiểm soát (RCSA), chỉ số rủi ro trọng yếu (KRI), cơ sở dữ liệu sự cố và tổn thất (incident & loss database).
Quản trị rủi ro an ninh thông tin: Xây dựng và duy trì hệ thống quản lý an toàn thông tin theo chuẩn ISO/IEC 27001, NIST Cybersecurity Framework; kiểm soát truy cập, mã hóa dữ liệu, quản lý lỗ hổng bảo mật; tổ chức diễn tập ứng cứu sự cố (incident response) và phục hồi sau thảm họa (DRP - Disaster Recovery Plan).
Phòng chống gian lận và phòng chống rửa tiền (hỗ trợ): Phối hợp với Phòng Tuân thủ xây dựng hệ thống giám sát giao dịch bất thường, cảnh báo gian lận nội bộ, gian lận thẻ và giao dịch trực tuyến; tham gia điều tra, xử lý sự cố liên quan đến lừa đảo, tấn công mạng, social engineering.
Báo cáo quản trị rủi ro: Tổng hợp và báo cáo định kỳ cho Ủy ban Quản trị Rủi ro (RMC), Hội đồng Quản trị và NHNN về tình hình rủi ro hoạt động, các sự cố an ninh thông tin trọng yếu, kết quả đánh giá tuân thủ Basel; tham gia tính toán vốn kinh tế cho rủi ro hoạt động theo phương pháp chỉ số cơ bản (BIA) hoặc phương pháp tiêu chuẩn (TSA).
Vị trí trong cơ cấu tổ chức và phối hợp nghiệp vụ
Phòng thường báo cáo trực tiếp cho Giám đốc Khối Quản trị Rủi ro (CRO) hoặc Phó Tổng Giám đốc phụ trách rủi ro, đảm bảo tính độc lập khỏi các khối kinh doanh. Trong ma trận ba tuyến phòng vệ (Three Lines of Defense), phòng đóng vai trò tuyến thứ hai, phối hợp chặt với:
- Tuyến 1: Các đơn vị nghiệp vụ (kế toán, giao dịch, tín dụng, CNTT nghiệp vụ) trong việc tự đánh giá rủi ro và kiểm soát.
- Tuyến 3: Phòng Kiểm toán nội bộ thực hiện kiểm toán độc lập hiệu quả của khung quản trị rủi ro.
Trong các ngân hàng lớn tại Việt Nam như Vietcombank, Techcombank, MB, VPBank, đơn vị này thường có quy mô 15-40 nhân sự, được chia thành các tiểu ban chuyên trách: rủi ro hoạt động, an ninh mạng, bảo mật dữ liệu, phòng chống gian lận, quản lý khủng hoảng và tuân thủ bảo mật.
Yêu cầu năng lực khi tuyển dụng
Vị trí tuyển dụng tại phòng thường yêu cầu ứng viên có chứng chỉ chuyên ngành như: CISA (Certified Information Systems Auditor), CISM (Certified Information Security Manager), CRISC (Certified in Risk and Information Systems Control), CISSP, FRM hoặc chứng chỉ quản trị rủi ro hoạt động do các tổ chức quốc tế cấp. Ứng viên cần nắm vững quy định của NHNN về tỷ lệ an toàn vốn, phân loại tài sản có, trích lập dự phòng rủi ro; hiểu biết về Thông tư hướng dẫn an toàn, bảo mật trong hoạt động ngân hàng điện tử; có khả năng phân tích dữ liệu lớn (big data) phục vụ giám sát giao dịch bất thường.
Nội dung mang tính tham khảo, không thay thế tư vấn chuyên môn.
Câu hỏi thường gặp
Hỏi: Phòng Quản trị Rủi ro Hoạt động khác gì với Phòng An ninh Thông tin (IT Security) thuần túy trong ngân hàng?
Phòng IT Security thuộc Khối Công nghệ thông tin chỉ tập trung vào vận hành hạ tầng kỹ thuật bảo mật (firewall, endpoint, network). Trong khi đó, Phòng Quản trị Rủi ro Hoạt động và An ninh Thông tin thuộc Khối Quản trị Rủi ro, có phạm vi rộng hơn gồm cả rủi ro vận hành, rủi ro con người, rủi ro quy trình, rủi ro sự cố ngoài CNTT và phối hợp định hướng chiến lược bảo mật toàn ngân hàng theo khung rủi ro tổng thể.
Hỏi: Trong đề thi tuyển ngân hàng, vị trí này thường hỏi về những nội dung nào?
Các câu hỏi thường xoay quanh: (1) Ba công cụ cốt lõi của quản trị rủi ro hoạt động theo Basel (RCSA, KRI, sự cố tổn thất); (2) Cách tính vốn yêu cầu cho rủi ro hoạt động theo phương pháp chỉ số cơ bản (15% x GNI) hoặc phương pháp tiêu chuẩn; (3) Quy trình ứng cứu sự cố an ninh thông tin; (4) Phân biệt ba tuyến phòng vệ; (5) Các chỉ tiêu đánh giá hiệu quả khung ORM (KRI dashboard, tỷ lệ tổn thất trên doanh thu, số sự cố trọng yếu).
Hỏi: Một sự cố an ninh thông tin trọng yếu (như lộ dữ liệu khách hàng) cần được xử lý và báo cáo theo quy trình nào?
Khi phát hiện sự cố, phòng phối hợp với CSIRT (đội ứng cứu sự cố) khoanh vùng, cô lập và khắc phục trong vòng 1-24 giờ tùy mức độ; đồng thời ghi nhận vào cơ sở dữ liệu sự cố, đánh giá tổn thất tài chính và phi tài chính (uy tín, pháp lý). Sự cố trọng yếu phải báo cáo Hội đồng Quản trị, Ủy ban Quản trị Rủi ro trong vòng 24 giờ và NHNN theo quy định hiện hành về an toàn, bảo mật thông tin trong hoạt động ngân hàng.