Tóm tắt Reading 47: Risk Reporting — FRM2

Risk monitoring cho lãnh đạo thấy hồ sơ rủi ro, bảo đảm hoạt động trong khẩu vị rủi ro, và công cụ đánh giá khung quản trị rủi ro. Thước đo chủ chốt: chênh lệch tổn thất thực tế so với kỳ vọng, theo tần suất và mức độ.
Bên ngoài: cơ quan quản lý, khách hàng, nhà cung cấp, công chúng. Bên trong: risk committee, audit committee, ExCo, chức năng operational risk trung tâm, đơn vị kinh doanh. Một người có thể ngồi nhiều ủy ban.
Risk committee: giám sát khung quản trị rủi ro cho mọi loại rủi ro; nhận tóm tắt exposure, xu hướng, rủi ro mới nổi và chi tiết KRI, sự kiện lớn; đưa chỉ đạo cho ExCo.
Audit committee: tuyến ba, quản lý kiểm toán nội bộ. ExCo: ban chỉ đạo của hội đồng, giám sát việc thực thi khung ORM.
Chức năng operational risk trung tâm: tuyến hai, gộp thông tin báo cáo risk committee và đơn vị kinh doanh. Trưởng đơn vị kinh doanh và risk champion: KRI, action plan, benchmarking.
Key control lỗi, near miss, rủi ro cao được đẩy lên gần như nguyên trạng; còn lại tóm tắt.

Tier 1: bộ chỉ số đầy đủ, hằng ngày, cho đơn vị kinh doanh và risk champion. Tier 2: chỉ thông tin cần hành động, cho operational risk committee. Tier 3: thông tin cấp cao (leading indicators, tiến độ chiến lược) cho ExCo và risk committee của hội đồng.
Bảy thành phần: prioritized risks và outlook; heatmap và risk register; risk appetite metrics; KRI và issue monitoring; risk events và near misses; action plans và remediation; emerging risks và horizon scanning.
Top 10: thứ hạng, mô tả, inherent (khả năng, mức độ, điểm), residual (khả năng, mức độ, điểm), outlook.
Risk register lập từ RCSA, ghi thêm kiểm soát đi từ inherent sang residual. Heatmap: khả năng xảy ra × mức nghiêm trọng; đỏ, hổ phách, vàng, xanh.
Near miss đánh giá theo tác động đã tránh được; ngưỡng báo cáo lý thuyết theo tác động tiềm năng, thực tế theo tác động quan sát được.
Zero objective: không action plan quá hạn, không khuyến nghị kiểm toán quá hạn (discipline indicators). Horizon scanning theo ba khung: dưới 1 năm, 1–3 năm, trên 3 năm. GRC system gom dữ liệu, gắn rủi ro với kiểm soát, tạo báo cáo tự động.

Ba điều kiện: chi phí thu thập < giá trị thông tin; thông tin hữu ích, khớp mục tiêu; báo cáo tác động tới quyết định.
Tổn thất bất đối xứng: ít sự kiện lớn, nhiều sự kiện nhỏ; dồn nguồn lực vào sự kiện lớn, nhưng vẫn soi tổn thất nhỏ thường xuyên tìm lỗi cấu trúc.
Benchmarking: tổn thất theo bps vốn quy định hoặc % gross income để so đơn vị khác quy mô.
Trung bình gây hiểu nhầm với phân phối lệch; dùng trung vị, Q1, Q3; phân tích outlier, tập trung, kịch bản cao – trung bình – thấp.
Gộp định tính: Level 1 và Level 3 không bình quân ra Level 2. Ba cách: conversion and addition, categorization, worst-case reporting.
Combined assurance: căn chỉnh mọi bên đảm bảo; map do ORM sở hữu. Tuyến một: đánh giá, kiểm thử, attestation; tuyến hai: giám sát tuyến một, kiểm thử mẫu, deep dive; tuyến ba: kiểm toán định kỳ.

Pillar 3: vốn operational risk theo standardized approach, tổn thất nội bộ 10 năm cho ILM, ba năm dữ liệu cho BIC.
Ba nhóm công bố: thông tin định tính, tổn thất lịch sử 10 năm, business indicator và các thành phần.
Kiểm toán và cơ quan quản lý đòi bằng chứng; biên bản họp ủy ban là tài liệu phù hợp.
Bốn tiêu chí báo cáo sự kiện: reputation, resilience, materiality, stability.
Minh bạch với cơ quan quản lý là chính sách tốt nhất, dù xung đột với hệ quả xấu khi công khai thất bại.