Governance cho Ngân hàng

Không ngành nào chịu áp lực dữ liệu nặng như ngân hàng. Một vài lý do cốt lõi:

• Quy định dày đặc: ngân hàng chịu sự giám sát của ngân hàng trung ương, ủy ban Basel, cơ quan phòng chống rửa tiền và nhiều khung pháp lý khác. Mỗi quy định đều áp đặt yêu cầu cụ thể lên cách dữ liệu được thu thập, lưu trữ, kiểm soát và báo cáo.
• Dữ liệu khách hàng cực kỳ nhạy cảm: thông tin định danh cá nhân (PII), số tài khoản, số dư, lịch sử giao dịch, hồ sơ tín dụng. Đây là loại dữ liệu mà tội phạm nhắm tới và pháp luật bảo vệ nghiêm ngặt nhất.
• Rủi ro tài chính trực tiếp: dữ liệu sai dẫn tới tính sai vốn, sai dự phòng, sai hạn mức rủi ro — có thể gây thiệt hại lớn hoặc khiến ngân hàng vi phạm ngưỡng an toàn vốn.
• Rủi ro uy tín: một vụ rò rỉ dữ liệu hay một báo cáo sai gửi cơ quan quản lý có thể làm sụp đổ niềm tin của khách hàng và thị trường — tài sản quý nhất của một ngân hàng.
• Báo cáo cho cơ quan quản lý: ngân hàng phải nộp hàng loạt báo cáo định kỳ (vốn, thanh khoản, rủi ro, giao dịch đáng ngờ) với yêu cầu chính xác và đúng hạn tuyệt đối.
• Chống gian lận và rửa tiền: phát hiện giao dịch bất thường, định danh khách hàng (KYC) và truy vết dòng tiền đòi hỏi dữ liệu đầy đủ, sạch và liên kết được với nhau.

BCBS 239 là bộ nguyên tắc do Ủy ban Basel về Giám sát Ngân hàng (Basel Committee on Banking Supervision) ban hành sau khủng hoảng tài chính 2008, khi người ta nhận ra nhiều ngân hàng không thể tổng hợp nhanh và chính xác mức độ rủi ro của chính mình. Tên đầy đủ là Principles for effective Risk Data Aggregation and Risk Reporting (thường viết tắt là RDARR).

Bộ nguyên tắc gồm 14 nguyên tắc, chia thành 4 nhóm. Đây thực chất là một khung data governance dành riêng cho dữ liệu rủi ro — nhấn mạnh khả năng tổng hợp đúng, đủ, đúng hạn và linh hoạt.

Ngân hàng phải sản xuất hàng loạt báo cáo cho cơ quan quản lý. Điểm chung của tất cả: dữ liệu phải chính xác, truy vết được (auditable) và nộp đúng hạn. Một số khung quan trọng:

Mỗi khung trên đều đặt ra yêu cầu cụ thể về chất lượng, phân loại và khả năng truy vết dữ liệu — và đó chính là việc của governance.

Tổng hợp dữ liệu rủi ro (Risk Data Aggregation) là khả năng gom dữ liệu rủi ro từ mọi hệ thống, mọi đơn vị kinh doanh và mọi loại rủi ro lại thành một bức tranh nhất quán về mức độ rủi ro toàn ngân hàng. Vấn đề kinh điển: cùng một con số (ví dụ dư nợ của một khách hàng) lại khác nhau giữa các hệ thống.

Lời giải là khái niệm Nguồn sự thật duy nhất (Single Source of Truth) hay golden source: với mỗi loại dữ liệu, xác định đúng một nguồn chính thức được công nhận, và mọi báo cáo đều lấy từ đó. Để vận hành được điều này cần:

• Đối soát (reconciliation): so khớp dữ liệu giữa các hệ thống và với sổ cái để phát hiện chênh lệch trước khi báo cáo.
• Data lineage end-to-end: truy vết được một con số trong báo cáo bắt nguồn từ trường nào, hệ thống nào, qua những phép biến đổi nào — điều bắt buộc khi cơ quan quản lý hoặc kiểm toán hỏi "con số này từ đâu ra?".
• Quyền sở hữu rõ ràng: mỗi golden source có một data owner chịu trách nhiệm về chất lượng và định nghĩa.

Dữ liệu ngân hàng nằm trong nhóm cần bảo vệ ở mức cao nhất. Các biện pháp cốt lõi:

Master Data Management (MDM) khách hàng giải quyết bài toán: cùng một người nhưng tồn tại nhiều bản ghi rải rác ở các hệ thống (tiền gửi, tín dụng, thẻ, đầu tư), tên viết khác nhau, thông tin lệch nhau. Mục tiêu là tạo ra một golden record — bản ghi khách hàng duy nhất, sạch và được hợp nhất.

• Hợp nhất danh tính (identity resolution): gộp các bản ghi cùng một khách hàng từ nhiều nguồn thành một hồ sơ thống nhất.
• KYC: golden record là nền tảng để thực hiện định danh khách hàng đúng và đầy đủ — không thể KYC tốt nếu dữ liệu khách hàng phân mảnh.
• Reference data: chuẩn hóa các bộ mã dùng chung — mã chi nhánh, mã sản phẩm, mã tiền tệ — để mọi hệ thống nói cùng một "ngôn ngữ".

Bên cạnh các khung quốc tế, ngân hàng tại Việt Nam phải tuân thủ khung pháp lý trong nước:

• Nghị định 13/2023/NĐ-CP (PDPD): Nghị định về Bảo vệ dữ liệu cá nhân — quy định về phân loại dữ liệu cá nhân (cơ bản và nhạy cảm), sự đồng ý (consent) của chủ thể dữ liệu, quyền của chủ thể và nghĩa vụ của bên xử lý dữ liệu.
• Quy định & thông tư của Ngân hàng Nhà nước (NHNN): các văn bản về bảo đảm an toàn hệ thống thông tin trong hoạt động ngân hàng, bảo mật dữ liệu khách hàng, an toàn giao dịch điện tử và yêu cầu kiểm soát nội bộ.
• Basel áp dụng tại Việt Nam: NHNN từng bước đưa các chuẩn mực Basel (tỷ lệ an toàn vốn, quản trị rủi ro) vào quy định trong nước, kéo theo yêu cầu về dữ liệu rủi ro tương tự BCBS 239.

Trong ngân hàng, governance không thể tách rời khỏi quản trị rủi ro và tuân thủ. Một mô hình tổ chức thường gặp:

Cách tư duy hữu ích nhất với governance ngân hàng: với mỗi quy định, hỏi "điều này đòi hỏi gì ở dữ liệu của ta?". Bảng dưới tổng hợp một số ánh xạ tiêu biểu.