Rủi ro hoạt động là gì? Quy định cần nắm về rủi ro hoạt động

Rủi ro hoạt động là một trong những thách thức lớn nhất đối với các tổ chức, đặc biệt là trong các lĩnh vực như tài chính, sản xuất, và dịch vụ. Những sai sót trong quy trình, lỗi con người, sự cố công nghệ, hay các yếu tố bên ngoài đều có thể gây ra tổn thất nghiêm trọng về tài chính và phi tài chính. Hãy cùng MISA AMIS tìm hiểu chi tiết về rủi ro hoạt động, từ khái niệm, nguyên nhân, đặc điểm, đến phương pháp đánh giá và các biện pháp ứng phó hiệu quả từ đó giúp doanh nghiệp xây dựng chiến lược quản lý rủi ro bền vững.

1. Rủi ro hoạt động là gì? Ví dụ

Theo khoản 9 Điều 3 Thông tư 14/2023/TT-NHNN, rủi ro hoạt động được định nghĩa là những rủi ro phát sinh từ các quy trình nội bộ không đầy đủ hoặc có sai sót, do yếu tố con người, lỗi hệ thống, hoặc các yếu tố bên ngoài, dẫn đến tổn thất tài chính hoặc tác động tiêu cực phi tài chính đối với tổ chức, bao gồm cả rủi ro pháp lý. Tuy nhiên, rủi ro hoạt động không bao gồm rủi ro danh tiếng và rủi ro chiến lược.

Rủi ro hoạt động xuất hiện trong mọi khía cạnh của hoạt động kinh doanh, bao gồm:

• Gian lận nội bộ: Một nhân viên ngân hàng vượt thẩm quyền, sử dụng thông tin nội bộ để trục lợi, gây thiệt hại tài chính và ảnh hưởng uy tín tổ chức.
• Gian lận bên ngoài: Một tổ chức tín dụng phi ngân hàng bị hacker xâm nhập hệ thống, đánh cắp dữ liệu khách hàng, dẫn đến tổn thất và mất lòng tin.
• Sự cố công nghệ: Hệ thống giao dịch trực tuyến của một công ty tài chính bị gián đoạn do lỗi phần mềm, khiến khách hàng không thể thực hiện giao dịch.
• Thiên tai: Một nhà máy sản xuất bị ngập lụt do bão, làm gián đoạn chuỗi cung ứng và gây thiệt hại lớn.
• Vi phạm pháp lý: Một tổ chức tín dụng phi ngân hàng vô ý vi phạm quy định về phòng, chống rửa tiền, dẫn đến bị phạt nặng.

2. Nguyên nhân rủi ro hoạt động

Rủi ro hoạt động bắt nguồn từ nhiều yếu tố, được phân loại thành bốn nhóm chính: con người, quy trình, hệ thống, và sự kiện bên ngoài.

2.1. Yếu tố con người

Con người là trung tâm của mọi hoạt động, nhưng cũng là nguồn rủi ro lớn. Sai sót do thiếu kỹ năng, thiếu tập trung, hoặc hành vi cố ý như gian lận đều có thể gây ra tổn thất. Ví dụ, một nhân viên nhập sai dữ liệu vào hệ thống kế toán có thể dẫn đến báo cáo tài chính không chính xác, ảnh hưởng đến quyết định kinh doanh. Gian lận nội bộ, như trộm cắp hoặc lợi dụng thông tin nội bộ là những nguyên nhân điển hình.

2.2. Quy trình không phù hợp

Quy trình vận hành thiếu chặt chẽ hoặc không được cập nhật thường xuyên dễ dẫn đến rủi ro. Một doanh nghiệp không có quy trình kiểm tra chất lượng sản phẩm rõ ràng có thể đưa sản phẩm lỗi ra thị trường, gây tổn hại uy tín và tài chính. Các hạn chế hoặc bất cập trong quy trình giao dịch và kiểm soát giao dịch là nguyên nhân chính gây ra rủi ro hoạt động.

2.3. Hệ thống công nghệ

Hệ thống CNTT lỗi thời, lỗi phần mềm, hoặc các cuộc tấn công mạng như mã độc ransomware có thể làm gián đoạn hoạt động kinh doanh. Ví dụ, một tổ chức tín dụng phi ngân hàng bị gián đoạn hoạt động do hệ thống công nghệ thông tin gặp sự cố. Trong thời đại công nghệ đang trở thành yếu tố quan trọng, chủ chốt trong doanh nghiệp, hạ tầng và hệ thống CNTT là mắt xích dễ bị tấn công, nguy cơ xảy ra lỗi cao nên nguy cơ rủi ro hoạt động từ hệ thống công nghệ là điều mà các doanh nghiệp cần đặc biệt quan tâm.

Doanh nghiệp nên đầu tư cho hệ thống công nghệ, phần mềm có khả năng bảo mật, đạt chứng nhận, chứng chỉ an toàn quốc tế và đặc biệt là từ các nhà cung cấp uy tín. Đặc biệt đối với công nghệ liên quan đến dữ liệu tài chính kế toán của doanh nghiệp, đầu tư cho phần mềm đạt nhiều chứng chỉ an toàn thông tin như MISA AMIS Kế toán là lựa chọn đúng đắn.

Xem thêm: Đảm bảo an toàn bảo mật dữ liệu khi dùng MISA AMIS Kế toán

2.4. Sự kiện bên ngoài

Các yếu tố bên ngoài như thiên tai, biến động chính trị, hoặc thay đổi pháp lý cũng góp phần tạo ra rủi ro hoạt động. Một cơn bão lớn có thể làm gián đoạn chuỗi cung ứng, khiến doanh nghiệp không thể giao hàng đúng hạn. Ngoài ra, các hành vi gian lận bên ngoài, như giả mạo chứng từ hoặc xâm nhập hệ thống CNTT cũng là nguyên nhân phổ biến.

3. Đặc điểm của rủi ro hoạt động

Rủi ro hoạt động có những đặc điểm riêng biệt, giúp phân biệt với các loại rủi ro khác như rủi ro tài chính hay thị trường. Rủi ro hoạt động có các đặc điểm như sau:

• Phạm vi rộng: Rủi ro hoạt động có thể xảy ra ở mọi khía cạnh của doanh nghiệp, từ sản xuất, bán hàng, đến quản lý nhân sự. Không giống rủi ro tài chính tập trung vào biến động thị trường, rủi ro hoạt động liên quan đến toàn bộ chuỗi giá trị, từ quy trình nội bộ đến sự kiện bên ngoài.
• Tính khó dự đoán: Khác với rủi ro thị trường, vốn có thể phân tích dựa trên dữ liệu lịch sử, rủi ro hoạt động thường khó lường trước. Một sự cố công nghệ bất ngờ hoặc sai sót của nhân viên có thể xảy ra mà không có dấu hiệu báo trước.
• Tác động dây chuyền: Một sự cố nhỏ trong hoạt động có thể gây ra hậu quả lớn. Ví dụ, một lỗi nhỏ trong hệ thống đặt hàng trực tuyến có thể dẫn đến mất đơn hàng, giảm uy tín thương hiệu, và gây thiệt hại tài chính nghiêm trọng. Điều này đặc biệt đúng với các tổ chức tín dụng phi ngân hàng, nơi các sự cố như vi phạm bảo mật thông tin khách hàng có thể gây tổn thất nghiêm trọng.
• Rủi ro pháp lý: Rủi ro hoạt động bao gồm rủi ro pháp lý, như vi phạm quy định về phòng, chống rửa tiền hoặc các chính sách lao động không phù hợp. Điều này làm tăng tính phức tạp của rủi ro hoạt động so với các loại rủi ro khác.

4. Phương pháp đánh giá rủi ro hoạt động

Đánh giá rủi ro hoạt động là quá trình nhận diện, phân tích và định mức rủi ro để đưa ra quyết định xử lý phù hợp. Theo TCVN ISO/IEC 31010:2013, đánh giá rủi ro bao gồm nhận diện rủi ro, phân tích rủi ro, và định mức rủi ro, được áp dụng ở nhiều cấp độ như tổ chức, phòng ban, dự án hoặc hoạt động cụ thể. Mục đích của đánh giá rủi ro là cung cấp thông tin dựa trên bằng chứng để đưa ra quyết định đúng đắn, như xác định liệu có nên thực hiện một hoạt động, ưu tiên các phương án xử lý rủi ro hoặc lựa chọn chiến lược phù hợp.

Phương pháp nhận diện rủi ro được quy định tại tiểu mục 5.2 Mục 5 Tiêu chuẩn quốc gia TCVN ISO/IEC 31010:2013 (IEC/ISO 31010:2009) về Quản lý rủi ro – Kỹ thuật đánh giá rủi ro như sau:

• Các phương pháp dựa trên bằng chứng, ví dụ về các phương pháp này là danh mục kiểm tra và xem xét dữ liệu quá khứ;
• Cách tiếp cận có hệ thống theo nhóm, trong đó một nhóm chuyên gia tuân theo một quá trình hệ thống để nhận diện rủi ro thông qua một bộ hướng dẫn hoặc câu hỏi được kết cấu;
• Kỹ thuật suy luận quy nạp như HAZOP.

5. Các biện pháp ứng xử với rủi ro hoạt động

Để giảm thiểu hoặc loại bỏ tác động của rủi ro hoạt động, doanh nghiệp cần triển khai một hệ thống biện pháp toàn diện, tích hợp các chiến lược từ cải thiện quy trình đến ứng dụng công nghệ và tuân thủ pháp lý. Trước hết, xây dựng và tối ưu hóa quy trình nội bộ như chuẩn hóa quy trình giao dịch hoặc áp dụng kiểm tra kép để giảm thiểu sai sót. Đào tạo nhân sự đóng vai trò cốt lõi với các chương trình huấn luyện về an ninh mạng, kỹ năng chuyên môn, hoặc quản lý thời gian. Hoạt động nâng cao năng lực của bộ phận nhân sự giúp nâng cao nhận thức và giảm lỗi do con người. Ví dụ, một doanh nghiệp có thể tổ chức khóa học về bảo mật thông tin để ngăn ngừa vi phạm dữ liệu khách hàng.

Bên cạnh đó, doanh nghiệp cũng nên đầu tư vào công nghệ hiện đại nhằm bảo vệ doanh nghiệp trước các sự cố như tấn công mạng hoặc mất dữ liệu, đồng thời tăng cường khả năng phát hiện sớm các vấn đề tiềm ẩn. Đặc biệt, xây dựng kế hoạch ứng phó khẩn cấp (Business Continuity Plan – BCP) đảm bảo duy trì hoạt động trong các tình huống bất ngờ, chẳng hạn chuẩn bị nhà cung cấp dự phòng để tránh gián đoạn chuỗi cung ứng do thiên tai.

Doanh nghiệp cũng có thể cân nhắc chuyển giao rủi ro thông qua bảo hiểm hoặc thuê ngoài các dịch vụ CNTT bởi phương án này giúp giảm thiểu thiệt hại từ các sự cố như hỏa hoạn hoặc lỗi hệ thống. Ngoài ra, thông qua các báo cáo nội bộ, doanh nghiệp có thể giám sát liên tục và cải tiến quy trình để thích ứng với thay đổi môi trường kinh doanh. Lưu ý, báo cáo này cần ghi nhận các trường hợp rủi ro, số liệu tổn thất, biện pháp xử lý, và đề xuất cải thiện.

Cuối cùng, doanh nghiệp cần đảm bảo tuân thủ các quy định pháp luật để nhằm giảm thiểu rủi ro pháp lý, đồng thời cập nhật chính sách thường xuyên để phù hợp với các quy định mới.

Kết luận

Rủi ro hoạt động là thách thức không thể tránh khỏi trong mọi doanh nghiệp. Doanh nghiệp cần hiểu rõ định nghĩa, nguyên nhân, và đặc điểm của rủi ro hoạt động nhằm nhận diện và quản lý rủi ro hiệu quả. Các phương pháp đánh giá rủi ro cung cấp cơ sở để đưa ra quyết định đúng đắn. Đồng thời, các biện pháp ứng phó rủi ro hoạt động nói riêng và rủi ro nói chung đảm bảo doanh nghiệp hoạt động ổn định. Quản lý rủi ro hoạt động không chỉ bảo vệ doanh nghiệp khỏi những tổn thất không đáng có mà còn tạo nền tảng cho sự phát triển bền vững trong môi trường kinh doanh đầy biến động.