Tóm tắt Reading 46: Risk Mitigation — FRM2

Risk mitigation đưa operational risk về mức chấp nhận được; luôn là đánh đổi rủi ro – lợi nhuận.
External operational risk (cạnh tranh, quy định, địa chính trị): không ngăn được, chỉ giảm exposure hoặc tác động. Internal operational risk (con người, hệ thống, quy trình): ngăn bằng kiểm soát nội bộ.
Ba cách giảm: kiểm soát mạnh, mua bảo hiểm, thu hẹp hoặc bỏ hoạt động; cộng thêm vốn tối thiểu theo quy định. Lựa chọn tùy khẩu vị rủi ro.
Bốn cách phản ứng (4T): tolerate (chấp nhận, như vị thế không phòng hộ), treat (giảm tác động bằng kiểm soát, tự động hóa, lập kế hoạch kịch bản), transfer (bảo hiểm, outsourcing; trách nhiệm không chuyển được), terminate (ngừng sản phẩm, rút khỏi thị trường).

Preventive: giảm xác suất (segregation of duties: bốn người lập, duyệt, thanh toán, hạch toán; phân quyền; đối chiếu chữ ký).
Detective: phát hiện sớm (cảnh báo gian lận thẻ, báo cáo ngoại lệ, chuông báo xâm nhập). Kiểm tra lần hai: preventive nếu trước khi xử lý, detective nếu sau.
Corrective: giảm tác động (BCP, sao lưu dữ liệu). Directive: hướng dẫn (chính sách, thủ tục, đào tạo, giám sát).

Key (primary) control tự đứng một mình chặn được rủi ro; non-key (secondary) chỉ bổ trợ.
Kiểm soát tự động đáng tin hơn nhưng đổi lỗi con người thành IT risk, model risk; hồ sơ rủi ro chuyển từ khả năng cao, tác động thấp sang khả năng thấp, tác động cao. Vấn đề: Type 1 (false positive), Type 2 (false negative), downtime, overcapacity.
Thiết kế kém: optimistic control, collective control (double check nên do người khác cấp hoặc khác phòng), more of the same.
Kiểm thử: self-assessment (kiểm soát phụ, rủi ro thấp), examination (kiểm soát tự động), observation (key control), reperformance (thẩm định mô hình). Người kiểm thử độc lập với người thiết kế (trừ self-certification); rủi ro nghiêm trọng hoặc bất ổn kiểm thử dày hơn; mẫu đại diện, đủ lớn.
Thường do kiểm toán nội bộ (tuyến ba) kiểm thử; tuyến một kiểm thử một số key control; ORM (tuyến hai) không kiểm thử nhưng nhận xác nhận.

PtD (safety by design): checklist, protocol, hệ thống tối ưu, chuẩn hóa. Lỗi con người là triệu chứng của thiết kế kém.
Slip: không chủ ý (fat finger). Mistake: chủ ý; rule-based (quy tắc sai, xung đột lợi ích) hoặc knowledge-based (tình huống mới). Violation: cố ý vi phạm, không phải lỗi.
Lean Six Sigma: Lean bỏ tám loại lãng phí, Six Sigma giảm biến động; chu trình DMAIC. Quality improvement: chu trình PDSA (plan, do, study, act).

NPAP, NIRAP. Business case NIRAP năm phần: objective, alternatives, expected benefits, commercial aspects (chi phí, nguồn vốn), risks.
ORM theo vòng đời dự án: ban đầu (nhận diện, đánh giá, lập kế hoạch), trong dự án (báo cáo định kỳ), đóng dự án (rút kinh nghiệm).
M&A: bên mua thừa hưởng rủi ro chưa biết trước; operational risk lộ ra sau nhiều tháng, nhiều năm; ORM dựng risk profile; tích hợp tạo rủi ro mới.

Bốn biện pháp: contingency planning, resilience measurement, crisis management, communication.
BCM và DRP là hai dạng contingency planning; BCM nằm trong BCP. Quy trình BCM: ủng hộ của ban điều hành, người sở hữu, nhận diện rủi ro, chiến lược, triển khai; bổ sung business impact analysis.
Ba yếu tố thành công của BCP: speed, competence, transparency. Đội kỹ thuật và đội truyền thông báo cáo lãnh đạo cấp cao.
Bốn giai đoạn: crisis, emergency response, recovery, restoration. RPO: lượng dữ liệu mất; RTO: thời gian gián đoạn tối đa chịu được.

Bảo hiểm giảm biến động tổn thất; hợp lý khi rủi ro dự đoán, định lượng được và chuyển được. Phí ≥ tổn thất kỳ vọng; ngân hàng lớn tự bảo hiểm tổn thất nhỏ, mua bảo hiểm cho đuôi. Còn rủi ro công ty bảo hiểm không trả và thiếu thanh khoản khi chờ bồi thường.
Outsourcing: mức giảm tùy trường hợp, luôn thêm third-party risk; nhiều khi là risk sharing.
Danh tiếng: phòng ngừa (hình ảnh, quan hệ, contingency planning), giảm thiểu (giao tiếp, phản ứng kịp thời, minh bạch). 3R: regret, reason, remedy. Cơ quan quản lý luôn là bên liên quan chủ chốt; vốn danh tiếng giúp chống chịu.