Định nghĩa và khung ORM
- Operational risk (BCBS): rủi ro tổn thất do quy trình nội bộ, con người, hệ thống không đầy đủ hoặc gặp sự cố, hoặc do sự kiện bên ngoài.
- ORM framework (ORMF): toàn bộ phương pháp, quy trình doanh nghiệp dùng để kiểm soát operational risk.
- Vòng lặp bốn bước: risk identification (brainstorming, phỏng vấn) → risk assessment (xác suất, mức nghiêm trọng; stress testing, scenario analysis) → risk mitigation (kiểm soát nội bộ, bảo hiểm, giảm exposure) → risk monitoring (báo cáo sự cố, KRI); không đạt thì quay lại ba bước đầu.
Bảy nhóm sự kiện Basel II (Level 1)
- IF (thấp/thấp), EF (cao/thấp), EPWS (trung bình/thấp), CPBP (cao/rất cao), DPA (thấp/thấp), BDSF (thấp/thấp), EDPM (cao/cao), theo cặp tần suất/mức nghiêm trọng.
- Dữ liệu 2014–2019: CPBP khoảng 52% tổng giá trị tổn thất, EDPM khoảng 27%.
- Phân loại: nhất quán quan trọng hơn chính xác; cần risk mapping toàn bộ quy trình chính.
Các loại rủi ro trong khung ORM
- Legal risk: tổn thất do cưỡng chế hoặc không thực hiện được hợp đồng; chủ yếu từ EPWS và EDPM.
- Compliance risk: hẹp hơn legal risk; thể hiện qua CPBP; tiền phạt tăng mạnh nên nhiều ngân hàng lập bộ phận compliance riêng.
- Reputational risk: thường gián tiếp, chủ quan; có lúc là rủi ro trực tiếp chấp nhận có chủ đích (chuyên biệt hóa sản phẩm, khu vực địa lý).
- Strategic risk: quyết định chiến lược sai hoặc triển khai kém chiến lược đúng; mẫu số chung là ban điều hành.
Năm đặc điểm
- Heterogeneous (đa dạng, cần phân loại công phu), idiosyncratic (phân tán, luôn còn rủi ro dư), heavy tailed (nhiều lỗ nhỏ, vài lỗ cực lớn, khó đo đuôi), interconnected (tương quan, boundary event), dynamic (thay đổi theo thực tiễn, quản lý mang tính phản ứng).
Operational resilience
- Lường trước, phản ứng, phục hồi trước gián đoạn. Năm thành phần: business continuity, key services, impact tolerance levels, disruption processes, feedback.
- Trọng tâm chuyển từ chỉ ngăn chặn sự cố sang quản lý sự cố khi nó xảy ra.
- Anh (2018, FCA/PRA/BoE): bổ sung chứ không thay thế; COVID-19 thêm yêu cầu cho làm việc từ xa.
- Mỹ (Fed, 2020): resilience là thành quả của ORM; governance là nền, ORM ở trung tâm với hai trụ đỡ third-party risk management và scenario analysis; thêm business continuity management, IT systems resiliency; mái là surveillance và reporting.
- BCBS (2021), bảy nguyên tắc: governance; operational risk management; business continuity planning and testing; mapping interconnections and interdependencies; third-party dependency management; incident management; ICT including cybersecurity. Nguyên tắc 4 và 6 trực tiếp nhắm vào dịch vụ trọng yếu không gián đoạn quá mức.
- Tính đến 5/2022, ba nơi ban hành hướng dẫn chính thức chủ chốt: Anh, Mỹ, BCBS. EU có đề xuất DORA (2020); MAS và ABS có ấn phẩm về làm việc từ xa (2021).