Phòng Quản trị Rủi ro Hoạt động và An ninh thông tin (Operational Risk & InfoSec Department)
Phòng Quản trị Rủi ro Hoạt động và An ninh thông tin (tiếng Anh: Operational Risk & Information Security Department, viết tắt: ORM & InfoSec) là bộ phận chuyên trách thuộc Khối Quản trị Rủi ro của ngân hàng, có nhiệm vụ xây dựng và vận hành hệ thống quản lý rủi ro hoạt động (ORM) đồng thời đảm bảo an toàn, bảo mật cho toàn bộ hệ thống thông tin, dữ liệu và hạ tầng công nghệ của ngân hàng. Đây là một trong những bộ phận có tính chất "second line of defense" (tuyến phòng thủ thứ hai) trong mô hình ba tuyến phòng thủ của ngành ngân hàng, đóng vai trò kiểm soát, giám sát và hỗ trợ các đơn vị kinh doanh (tuyến thứ nhất) trong việc nhận diện, đo lường, theo dõi và giảm thiểu rủi ro phát sinh từ quy trình nội bộ, con người, hệ thống công nghệ và các sự kiện bên ngoài.
Chức năng và nhiệm vụ chính
1. Quản trị rủi ro hoạt động (Operational Risk Management):
- Xây dựng khung quản trị rủi ro hoạt động, chính sách, quy chế, quy trình nội bộ liên quan đến ORM theo chuẩn Basel II/III và quy định của Ngân hàng Nhà nước Việt Nam.
- Thu thập, phân tích và xử lý dữ liệu sự cố rủi ro hoạt động (loss data collection) thông qua hệ thống ORMS (Operational Risk Management System).
- Thực hiện đánh giá rủi ro hoạt động theo phương pháp RCSA (Risk and Control Self-Assessment) và KRI (Key Risk Indicators) cho từng đơn vị, sản phẩm, quy trình nghiệp vụ.
- Tính toán vốn yêu cầu cho rủi ro hoạt động theo các phương pháp: Basic Indicator Approach (BIA), Standardized Approach (TSA), hoặc Advanced Measurement Approach (AMA) tùy quy mô ngân hàng.
2. An ninh thông tin (Information Security):
- Xây dựng và triển khai hệ thống quản lý an toàn thông tin (ISMS - Information Security Management System) theo tiêu chuẩn ISO/IEC 27001.
- Thiết lập chính sách phân quyền truy cập, quản lý định danh (IAM - Identity & Access Management), kiểm soát truy cập đặc quyền (PAM - Privileged Access Management).
- Giám sát và phát hiện các sự kiện an ninh mạng thông qua SOC (Security Operation Center), xử lý sự cố theo quy trình CSIRT (Computer Security Incident Response Team).
- Đánh giá rủi ro an ninh thông tin cho các dự án công nghệ mới, đặc biệt là các dự án chuyển đổi số, ngân hàng số (digital banking), thanh toán trực tuyến.
3. Tuân thủ quy định và phối hợp kiểm toán:
- Đảm bảo tuân thủ quy định pháp luật về an toàn thông tin, bảo vệ dữ liệu cá nhân theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, Luật An toàn thông tin mạng và các thông tư hướng dẫn của Ngân hàng Nhà nước.
- Phối hợp với các đoàn kiểm toán nội bộ (Internal Audit), kiểm toán độc lập và cơ quan quản lý nhà nước trong các đợt thanh tra, kiểm tra định kỳ.
Vị trí trong cơ cấu tổ chức ngân hàng
Tại các ngân hàng thương mại Việt Nam, Phòng Quản trị Rủi ro Hoạt động và An ninh thông tin thường nằm trong Khối Quản trị Rủi ro (Risk Management Division) hoặc trực thuộc Phó Tổng Giám đốc phụ trách rủi ro (Chief Risk Officer - CRO). Ở các ngân hàng quy mô lớn như Vietcombank, BIDV, Techcombank, MB, ACB, bộ phận này có thể được tách thành hai phòng riêng biệt: Phòng Quản trị Rủi ro Hoạt động và Phòng An ninh thông tin, đặt dưới sự chỉ đạo chung của CRO và CISO (Chief Information Security Officer). Đối với các ngân hàng nhỏ và trung bình, hai chức năng này thường được gộp chung để tối ưu nguồn lực.
Mối liên hệ với các bộ phận khác
Phòng ORM & InfoSec phối hợp chặt chẽ với:
- Phòng Kế hoạch & Phân tích rủi ro (Risk Planning & Analytics): cung cấp dữ liệu rủi ro hoạt động để tính toán vốn kinh tế (Economic Capital) và vốn yêu cầu theo Basel.
- Phòng Quản trị Rủi ro Tín dụng và Rủi ro Thị trường: đảm bảo tính nhất quán trong khung quản trị rủi ro tổng thể.
- Trung tâm Công nghệ Thông tin (IT Division): triển khai các giải pháp bảo mật, vá lỗ hổng, nâng cấp hệ thống.
- Phòng Kiểm toán Nội bộ (Internal Audit): tiếp nhận kết quả kiểm toán và khuyến nghị để cải tiến hệ thống kiểm soát.
- Các đơn vị kinh doanh (tuyến thứ nhất): hỗ trợ tự đánh giá rủi ro, báo cáo sự cố, thực hiện biện pháp giảm thiểu rủi ro tại đơn vị.
Yêu cầu năng lực và cơ hội nghề nghiệp
Nhân sự làm việc tại Phòng ORM & InfoSec thường có nền tảng về tài chính ngân hàng, quản trị rủi ro, công nghệ thông tin, an toàn thông tin. Các chứng chỉ quốc tế được đánh giá cao gồm: FRM (Financial Risk Manager), PRM (Professional Risk Manager), CISSP (Certified Information Systems Security Professional), CISM (Certified Information Security Manager), ISO 27001 Lead Auditor. Mức lương cho chuyên viên tại các ngân hàng lớn dao động từ 18 - 45 triệu đồng/tháng tùy cấp bậc (chuyên viên, chuyên viên cao cấp, trưởng phòng), cơ hội thăng tiến lên các vị trí quản lý cấp cao trong Khối Quản trị Rủi ro.
Câu hỏi thường gặp
Hỏi: Phòng Quản trị Rủi ro Hoạt động và Phòng An ninh thông tin có phải là một bộ phận duy nhất tại mọi ngân hàng không?
Trả lời: Không hoàn toàn. Tùy quy mô và chiến lược của từng ngân hàng, hai chức năng này có thể được gộp chung thành một phòng (tên gọi đầy đủ như trong thuật ngữ này) hoặc tách thành hai phòng độc lập. Tại các ngân hàng quy mô lớn theo chuẩn quốc tế, thường có CISO riêng và Phòng An ninh thông tin tách biệt với Phòng Quản trị Rủi ro Hoạt động để đảm bảo tính chuyên sâu. Tại các ngân hàng nhỏ và trung bình, việc gộp chung giúp tiết kiệm nguồn lực nhưng vẫn đảm bảo đủ năng lực thực hiện các chức năng theo quy định.
Hỏi: Trong đề thi tuyển dụng ngân hàng, kiến thức về rủi ro hoạt động và an ninh thông tin thường được hỏi ở mức độ nào?
Trả lời: Đối với vị trí chuyên viên Quản trị Rủi ro, đề thi thường kiểm tra kiến thức nền tảng về khung quản trị rủi ro hoạt động theo Basel II/III, các loại rủi ro hoạt động (7 loại theo phân loại của BCBS: gian lận nội bộ, gian lận bên ngoài, an toàn lao động, khách hàng/sản phẩm/quy trình, thiệt hại tài sản, gián đoạn hoạt động, xử lý/quy trình công nghệ). Đối với vị trí IT/Security, đề thi tập trung vào các chuẩn bảo mật, quy trình quản lý sự cố, các quy định pháp luật về an toàn thông tin và bảo vệ dữ liệu cá nhân.
Hỏi: Ngân hàng nhà nước Việt Nam có quy định cụ thể nào về việc thành lập bộ phận quản trị rủi ro hoạt động và an ninh thông tin không?
Trả lời: Theo quy định hiện hành của Ngân hàng Nhà nước về hệ thống kiểm soát nội bộ và quản trị rủi ro, các tổ chức tín dụng phải thiết lập hệ thống quản trị rủi ro hoạt động độc lập, có nhân sự chuyên trách và báo cáo trực tiếp cho cấp quản lý cấp cao. Đối với an toàn thông tin, các ngân hàng phải tuân thủ quy định về đảm bảo an toàn hệ thống thông tin theo cấp độ và các tiêu chuẩn kỹ thuật do Ngân hàng Nhà nước và Bộ Thông tin & Truyền thông ban hành.
Lưu ý: Nội dung mang tính tham khảo, không thay thế tư vấn chuyên môn hoặc văn bản pháp luật chính thức. Người đọc nên tham khảo các quy định hiện hành của Ngân hàng Nhà nước Việt Nam và văn bản pháp luật cập nhật khi áp dụng vào thực tiễn.