Tóm tắt Reading 45: Risk Measurement and Assessment — FRM2

Khung ORM bốn vòng: cơ sở dữ liệu sự cố, RCSA, KRI, bài học từ sự kiện lớn.
BCBS: tối thiểu 10 năm dữ liệu, ngưỡng EUR 20,000, xếp theo nhóm sự kiện Basel, ghi ngày xảy ra và thu hồi; quy trình bằng văn bản; dữ liệu bao quát mọi hoạt động trọng yếu; rà soát độc lập.
Trường dữ liệu: nơi, ngày, loại sự kiện, nguyên nhân, control hỏng, loại impact (loss, gain, near miss), gross loss, recovery, net loss. Free text chỉ bổ sung.
Ngưỡng nội bộ thường 1,000–10,000; không đặt ngưỡng để giảm vốn. Quy định chỉ tính tổn thất trực tiếp; quản trị tốt ghi cả gián tiếp. Grouped loss: gộp các khoản cùng một nguyên nhân.
Bốn ngày: occurrence → discovery → reporting → accounting. Sự kiện lớn báo trong vài ngày; reporting tới accounting có thể 3–5 năm.
Boundary event: lỗi vận hành gây lỗ tín dụng → credit risk (đã ở RWA); gây lỗ thị trường → operational risk.
Sổ cái bỏ sót khoản gián tiếp; đối chiếu IT log (P1, P2), khiếu nại, báo chí, dự phòng kiện tụng. Báo cáo thiếu: nhắc nhở, đưa chỉ số rủi ro vào đánh giá quản lý, kiểm toán nội bộ.

RCSA đánh giá inherent risk (chưa xét control) và residual risk (sau control); hằng năm, có thể hằng quý; chủ yếu định tính, không để định lượng exposure; mục đích là ưu tiên giảm thiểu.
Backtest RCSA: đánh giá thấp xác suất, đánh giá cao tác động. RCA ghi test of controls, so sánh lỗ; RRSA chỉ xét residual risk.
Impact scale 4–5 mức (tài chính theo % doanh thu); likelihood 5 mức (remote → highly likely); "1 lần trong N năm" = 1/N mỗi năm.
Heatmap xanh, vàng, amber, đỏ; không nhân điểm xếp hạng.

KRI: exposure tại một thời điểm, báo nguyên nhân rủi ro tăng giảm (likelihood hoặc impact). KPI: hiệu quả vận hành. KCI: hiệu quả control. Ba loại chồng lấn.

FTA: P(AND) = P₁ × P₂ × …; P(OR) = 1 − Π(1 − P_i). Độc lập cho xác suất tối thiểu; thực tế dùng xác suất có điều kiện. Nhân với exposure (số nhân viên).
Xác suất nền = số ngân hàng bị ảnh hưởng ÷ (số ngân hàng × số năm).
FAIR: xác định nhân tố, đo từng nhân tố, kết hợp; đầu vào là phân phối, chạy Monte Carlo.
Swiss cheese: lỗ các lớp thẳng hàng gây sự cố; control không tương quan, có compensating control.
Root-cause do tuyến một làm, tuyến hai chất vấn; 5-whys; bow tie: trái là nguyên nhân và preventive, phải là tác động, detective và corrective.

LDA: frequency Poisson (λ = trung bình = phương sai), severity lognormal (đuôi dày, chỉ dương); chập bằng Monte Carlo; vốn stand-alone = phân vị 99.9%; gộp UoM bằng copula. Thêm lỗ lớn, EVT hoặc scenario analysis cho đuôi.
EVT: block maxima, POT với GPD; chỉ hiệu quả khi có một nguyên nhân chính.
Ghép dữ liệu: scaling, cut-off mix, filtering.
Standardized approach mới bỏ yêu cầu mô hình; mô hình dồn vào Pillar 2, ICAAP. Ngân hàng nhỏ: vốn > kịch bản lớn nhất và > cụm 2–4 kịch bản.

Tập trung vào important business service trong impact tolerance (khác BCM theo từng quy trình).
Bảy bước: xác định IBS, đặt impact tolerance, lập bản đồ nguồn lực, kịch bản khắc nghiệt nhưng thực tế, sửa khi vượt tolerance, kế hoạch truyền thông, tự đánh giá hằng năm được hội đồng quản trị duyệt. SPOF là KRI resilience.