Thông tư 83/2025/TT-NHNN hệ thống kiểm soát nội bộ của ngân hàng thương mại mới nhất

• Số hiệu: 83/2025/TT-NHNN
• Loại văn bản: Thông tư
• Nơi ban hành: Ngân hàng Nhà nước Việt Nam
• Người ký: Đoàn Thái Sơn
• Ngày ban hành: 31/12/2025

NGÂN HÀNG NHÀ NƯỚC VIỆT NAM -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số: 83/2025/TT-NHNN	Hà Nội, ngày 31 tháng 12 năm 2025

THÔNG TƯ

QUY ĐỊNH VỀ HỆ THỐNG KIỂM SOÁT NỘI BỘ CỦA NGÂN HÀNG THƯƠNG MẠI, CHI NHÁNH NGÂN HÀNG NƯỚC NGOÀI

Căn cứ Luật Ngân hàng Nhà nước Việt Nam số 46/2010/QH12;

Căn cứ Luật Các tổ chức tín dụng số 32/2024/QH15 được sửa đổi, bổ sung bởi Luật số 96/2025/QH15;

Căn cứ Nghị định số 26/2025/NĐ-CP của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Ngân hàng Nhà nước Việt Nam;

Theo đề nghị của Cục trưởng Cục An toàn hệ thống các tổ chức tín dụng;

Thống đốc Ngân hàng Nhà nước Việt Nam ban hành Thông tư quy định về hệ thống kiểm soát nội bộ của ngân hàng thương mại, chi nhánh ngân hàng nước ngoài.

Chương I

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

1. Thông tư này quy định về hệ thống kiểm soát nội bộ của ngân hàng thương mại, chi nhánh ngân hàng nước ngoài (sau đây gọi tắt là ngân hàng).

2. Ngân hàng thương mại được kiểm soát đặc biệt không phải tuân thủ quy định tại Mục 9 Chương III Thông tư này.

Điều 2. Đối tượng áp dụng

1. Ngân hàng thương mại.

2. Chi nhánh ngân hàng nước ngoài.

Điều 3. Giải thích từ ngữ

Trong Thông tư này, các từ ngữ dưới đây được hiểu như sau:

1. Hoạt động kiểm soát là việc giám sát, theo dõi, kiểm tra, tự kiểm soát của các cá nhân, bộ phận trong việc thực hiện hoạt động của ngân hàng theo cơ chế, chính sách, quy trình, quy định nội bộ, chuẩn mực đạo đức nghề nghiệp nhằm tuân thủ quy định của pháp luật, kiểm soát xung đột lợi ích, phát hiện và xử lý kịp thời các hành vi vi phạm, thiết lập và duy trì văn hóa kiểm soát của ngân hàng. Hoạt động kiểm soát bao gồm giám sát của quản lý cấp cao và kiểm soát nội bộ.

2. Quản lý cấp cao bao gồm Hội đồng quản trị, Hội đồng thành viên; Ban kiểm soát; Tổng giám đốc (Giám đốc).

3. Quản lý rủi ro (quản trị rủi ro) là việc nhận dạng, đo lường, theo dõi và kiểm soát rủi ro trong hoạt động của ngân hàng.

4. Văn hóa kiểm soát là giá trị văn hóa doanh nghiệp của ngân hàng thể hiện sự nhận thức thống nhất về tầm quan trọng của hoạt động kiểm soát và quản lý rủi ro để Hội đồng quản trị, Hội đồng thành viên, Ban kiểm soát, Tổng giám đốc (Giám đốc) và các cá nhân, bộ phận của ngân hàng chủ động nhận dạng, theo dõi, kiểm soát rủi ro trong hoạt động của mình và hoạt động của ngân hàng.

5. Xung đột lợi ích là tình huống khi một cá nhân, bộ phận đưa ra các quyết định theo thẩm quyền tạo ra lợi ích không phù hợp hoặc trái với lợi ích của ngân hàng.

6. Đánh giá nội bộ về mức đủ vốn là việc ngân hàng tự đánh giá mức đủ vốn đảm bảo tuân thủ quy định của Ngân hàng Nhà nước Việt Nam (sau đây gọi tắt là Ngân hàng Nhà nước) về tỷ lệ an toàn vốn và quy định tại Thông tư này.

7. Vốn kinh tế là mức vốn do ngân hàng tự xác định trên cơ sở tính toán mức vốn cần thiết để bù đắp các rủi ro trọng yếu và đảm bảo tỷ lệ an toàn vốn trong kịch bản có diễn biến bất lợi.

8. Kiểm tra sức chịu đựng là công cụ quản lý rủi ro mang tính dự báo để đánh giá tác động tiềm ẩn của biến động, thay đổi bất lợi, qua đó xác định khả năng chịu đựng rủi ro của ngân hàng.

9. Rủi ro là khả năng xảy ra tổn thất (tổn thất tài chính, tổn thất phi tài chính) hoặc khả năng xảy ra kết quả bất lợi có thể ảnh hưởng tiêu cực đến thu nhập, vốn, thanh khoản của ngân hàng. Các loại rủi ro bao gồm: rủi ro tín dụng, rủi ro thị trường, rủi ro hoạt động, rủi ro thanh khoản, rủi ro tập trung, rủi ro lãi suất trên sổ ngân hàng, rủi ro mô hình, rủi ro danh tiếng, rủi ro chiến lược và rủi ro khác cần quản lý trong hoạt động ngân hàng.

10. Khẩu vị rủi ro là mức độ rủi ro mà ngân hàng sẵn sàng chấp nhận trong quá trình thực hiện chiến lược kinh doanh được thể hiện bằng các tỷ lệ và chỉ tiêu quy định tại điểm a khoản 2 Điều 19 Thông tư này.

11. Trạng thái rủi ro là mức độ rủi ro của ngân hàng tại một thời điểm thể hiện thông qua giá trị sau khi đã được quy đổi theo rủi ro của tài sản có rủi ro, nợ phải trả có rủi ro, khoản mục ngoại bảng có rủi ro.

12. Hoạt động trọng yếu là hoạt động do ngân hàng tự xác định theo quy định nội bộ của ngân hàng trên cơ sở tiêu chí định lượng (như vốn tự có, tổng tài sản, thu nhập, chi phí), tiêu chí định tính.  

13. Rủi ro trọng yếu bao gồm:

a) Rủi ro tín dụng, rủi ro thị trường, rủi ro hoạt động, rủi ro thanh khoản, rủi ro tập trung, rủi ro lãi suất trên sổ ngân hàng;

b) Rủi ro khác theo quy định nội bộ của ngân hàng.

14. Rủi ro tín dụng bao gồm:

a) Rủi ro tín dụng khách hàng là rủi ro do khách hàng không thực hiện hoặc không có khả năng thực hiện một phần hoặc toàn bộ nghĩa vụ trả nợ theo hợp đồng hoặc thỏa thuận với ngân hàng.

Khách hàng là cá nhân, pháp nhân (bao gồm cả tổ chức tín dụng, chi nhánh ngân hàng nước ngoài) có quan hệ tín dụng, gửi tiền với ngân hàng;

b) Rủi ro tín dụng đối tác là rủi ro do đối tác không thực hiện hoặc không có khả năng thực hiện một phần hoặc toàn bộ nghĩa vụ thanh toán trước hoặc khi đến hạn của các giao dịch tự doanh; giao dịch mua lại và giao dịch mua lại đảo ngược; giao dịch sản phẩm phái sinh để phòng ngừa rủi ro; giao dịch mua bán ngoại tệ, vàng, tài sản tài chính với mục đích phục vụ nhu cầu của khách hàng, đối tác và các giao dịch để đối ứng với các giao dịch này.

Đối tác là cá nhân, tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, pháp nhân khác có giao dịch với ngân hàng bao gồm giao dịch tự doanh; giao dịch mua lại và giao dịch mua lại đảo ngược; giao dịch sản phẩm phái sinh để phòng ngừa rủi ro; giao dịch mua bán ngoại tệ, vàng, tài sản tài chính với mục đích phục vụ nhu cầu của khách hàng, đối tác và các giao dịch để đối ứng với các giao dịch này.

15. Rủi ro thị trường là rủi ro do biến động bất lợi của lãi suất, tỷ giá, giá vàng, giá chứng khoán và giá hàng hóa trên thị trường, bao gồm:

a) Rủi ro lãi suất là rủi ro do biến động bất lợi của lãi suất trên thị trường đối với giá trị của giấy tờ có giá, công cụ tài chính có lãi suất, sản phẩm phái sinh lãi suất trên sổ kinh doanh của ngân hàng;

b) Rủi ro ngoại hối là rủi ro do biến động bất lợi của tỷ giá, giá vàng trên thị trường khi ngân hàng có trạng thái ngoại tệ, trạng thái vàng;

c) Rủi ro giá cổ phiếu là rủi ro do biến động bất lợi của giá cổ phiếu trên thị trường đối với giá trị của cổ phiếu, giá trị chứng khoán phái sinh trên sổ kinh doanh của ngân hàng;

d) Rủi ro giá hàng hóa là rủi ro do biến động bất lợi của giá hàng hóa trên thị trường đối với giá trị của sản phẩm phái sinh hàng hóa, giá trị của sản phẩm trong giao dịch giao ngay chịu rủi ro giá hàng hóa của ngân hàng.

16. Rủi ro hoạt động là rủi ro do các cơ chế, chính sách, quy trình, quy định nội bộ không đầy đủ hoặc có sai sót, do yếu tố con người, do các lỗi, sự cố của hệ thống, do các yếu tố bên ngoài. Rủi ro hoạt động bao gồm cả rủi ro pháp lý và không bao gồm rủi ro danh tiếng, rủi ro chiến lược.

17. Rủi ro pháp lý là rủi ro do việc ngân hàng có thể phải chịu khoản phạt (bao gồm cả trách nhiệm tài chính và phi tài chính) phát sinh từ vi phạm quy định của pháp luật hoặc từ việc vi phạm nghĩa vụ, thỏa thuận với bên có liên quan.

18. Rủi ro danh tiếng là rủi ro do khách hàng, đối tác, cổ đông, nhà đầu tư, công chúng có phản ứng tiêu cực về uy tín của ngân hàng.

19. Rủi ro chiến lược là rủi ro do ngân hàng không có chiến lược hoặc có chiến lược nhưng không hiệu quả để ứng phó kịp thời trước các thay đổi môi trường kinh doanh làm giảm khả năng thực hiện chiến lược kinh doanh và giảm khả năng đạt được mục tiêu lợi nhuận của ngân hàng. 

20. Rủi ro thanh khoản là rủi ro do:

a) Ngân hàng không có khả năng thực hiện nghĩa vụ tài chính khi đến hạn;

b) Ngân hàng có khả năng thực hiện nghĩa vụ tài chính khi đến hạn nhưng phải trả chi phí cao hơn mức chi phí bình quân của thị trường theo quy định nội bộ của ngân hàng.

21. Rủi ro tập trung là rủi ro do ngân hàng có hoạt động kinh doanh tập trung vào một khách hàng; một khách hàng và người có liên quan; một hoặc một số khách hàng, đối tác, sản phẩm, giao dịch, ngành kinh tế ở mức độ có tác động đáng kể theo quy định nội bộ của ngân hàng đến thu nhập, trạng thái rủi ro của ngân hàng.

22. Rủi ro lãi suất trên sổ ngân hàng là rủi ro do biến động bất lợi của lãi suất tác động tới trạng thái sổ ngân hàng, làm ảnh hưởng tới vốn và thu nhập của ngân hàng. Rủi ro lãi suất trên sổ ngân hàng bao gồm:

a) Rủi ro chênh lệch (Gap risk) phát sinh từ sự không khớp về thời điểm định giá lại lãi suất hoặc không khớp về kỳ hạn giữa tài sản và nợ phải trả (bao gồm cả các khoản mục ngoại bảng) trên sổ ngân hàng;

b) Rủi ro cơ sở (Basis risk) phát sinh từ sự khác nhau giữa lãi suất được sử dụng để định giá lại tài sản và nợ phải trả (bao gồm cả các khoản mục ngoại bảng) có cùng kỳ hạn;

c) Rủi ro quyền chọn (Option risk) phát sinh từ việc thực hiện quyền chọn tự động hoặc quyền lựa chọn hành vi gắn với tài sản và nợ phải trả (bao gồm cả khoản mục ngoại bảng) trên sổ ngân hàng làm thay đổi giá trị và thời điểm phát sinh dòng tiền, bao gồm:

(i) Rủi ro quyền chọn tự động (Automatic option risk) phát sinh khi lãi suất thay đổi dẫn đến việc chắc chắn thực hiện quyền chọn theo quy định tại hợp đồng;

(ii) Rủi ro quyền lựa chọn hành vi (Behavioural option risk) phát sinh khi lãi suất thay đổi có thể làm thay đổi hành vi của khách hàng.

23. Mô hình là phương pháp, hệ thống, cách thức tiếp cận định lượng (trong đó sử dụng các giả định, kỹ thuật, lý thuyết về toán học, thống kê, kinh tế, tài chính, ý kiến chuyên gia) để xử lý dữ liệu đầu vào thành kết quả đầu ra sử dụng trong hoạt động của ngân hàng.

24. Rủi ro mô hình là rủi ro do lỗi mô hình (model errors) trong giai đoạn xây dựng mô hình, triển khai mô hình hoặc do sử dụng mô hình không phù hợp.

25. Vòng đời mô hình bao gồm tối thiểu các giai đoạn sau:

a) Xây dựng mô hình (bao gồm xây dựng mô hình mới, điều chỉnh mô hình hiện hành);

b) Triển khai mô hình;

c) Sử dụng, ứng dụng mô hình (sau đây viết tắt là sử dụng mô hình);

d) Theo dõi, giám sát mô hình;

đ) Kiểm định mô hình.

26. Quyết định có rủi ro là quyết định của cấp có thẩm quyền của ngân hàng làm phát sinh rủi ro hoặc thay đổi trạng thái rủi ro của ngân hàng.

27. Quyết định có rủi ro tín dụng là quyết định có rủi ro của ngân hàng trong hoạt động tín dụng theo quy định nội bộ của ngân hàng, tối thiểu bao gồm: quyết định cấp tín dụng, quyết định hạn mức tín dụng, quyết định cấp tín dụng vượt hạn mức, quyết định cơ cấu lại thời hạn trả nợ, quyết định chuyển nhóm nợ.

28. Khoản cấp tín dụng có vấn đề là khoản cấp tín dụng được phân loại vào nhóm nợ từ nhóm 2 trở lên theo quy định của Ngân hàng Nhà nước về phân loại tài sản có trong hoạt động của ngân hàng thương mại, tổ chức tín dụng phi ngân hàng, chi nhánh ngân hàng nước ngoài và khoản cấp tín dụng khác được xác định là khoản cấp tín dụng có vấn đề theo quy định nội bộ của ngân hàng.

29. Hoạt động thuê ngoài là việc ngân hàng thỏa thuận bằng văn bản về việc thuê cá nhân, tổ chức, tổ chức tín dụng, chi nhánh ngân hàng nước ngoài khác (sau đây gọi tắt là bên thứ ba) để xử lý dữ liệu; nhận biết khách hàng; thực hiện một hoặc một số công đoạn của quy trình nghiệp vụ của ngân hàng (trừ quyết định có rủi ro của ngân hàng) thay cho ngân hàng theo quy định của pháp luật. 

30. Kiểm toán viên nội bộ là người thực hiện kiểm toán nội bộ thuộc bộ phận kiểm toán nội bộ của ngân hàng.

31. Ngân hàng mẹ là ngân hàng nước ngoài có chi nhánh được cấp phép hoạt động tại Việt Nam.

32. Sổ kinh doanh là danh mục ghi nhận các trạng thái của:

a) Giao dịch tự doanh;

b) Giao dịch để thực hiện nghiệp vụ bảo lãnh phát hành công cụ tài chính;

c) Giao dịch sản phẩm phái sinh để phòng ngừa rủi ro của các giao dịch tự doanh của ngân hàng;

d) Giao dịch mua bán ngoại tệ, vàng, tài sản tài chính để phục vụ nhu cầu của khách hàng, đối tác và các giao dịch để đối ứng với các giao dịch này.

33. Sổ ngân hàng là danh mục ghi nhận trạng thái của:

a) Giao dịch mua lại và giao dịch mua lại đảo ngược;

b) Giao dịch sản phẩm phái sinh để phòng ngừa rủi ro cho các khoản mục của Báo cáo tình hình tài chính (bao gồm cả các khoản mục ngoại bảng) của ngân hàng, trừ các giao dịch đã phân loại vào sổ kinh doanh của ngân hàng quy định tại điểm a và điểm c khoản 32 Điều này;

c) Giao dịch mua bán tài sản tài chính với mục đích dự trữ khả năng thanh khoản;

d) Các giao dịch còn lại không thuộc sổ kinh doanh của ngân hàng.

34. Giao dịch tự doanh là giao dịch mua, bán, trao đổi do ngân hàng, công ty con của ngân hàng thương mại thực hiện theo quy định của pháp luật với mục đích mua, bán, trao đổi trong thời hạn không quá một năm để thu lợi từ chênh lệch giá thị trường cho ngân hàng đối với các công cụ tài chính, bao gồm:

a) Các công cụ tài chính trên thị trường tiền tệ;

b) Các loại tiền tệ (bao gồm cả vàng);

c) Chứng khoán trên thị trường vốn;

d) Các sản phẩm phái sinh;

đ) Các công cụ tài chính khác được giao dịch trên thị trường chính thức.

35. Giao dịch mua lại (Repurchase Agreement – Repo) là giao dịch trong đó một bên bán và chuyển giao quyền sở hữu tài sản tài chính cho một bên khác, đồng thời cam kết sẽ mua lại và nhận lại quyền sở hữu tài sản tài chính đó sau một thời gian xác định với một mức giá xác định.

36. Giao dịch mua lại đảo ngược (Reverse Repo) là giao dịch trong đó một bên mua và nhận chuyển giao quyền sở hữu tài sản tài chính từ một bên khác, đồng thời cam kết sẽ bán lại và chuyển giao quyền sở hữu tài sản tài chính đó sau một thời gian xác định với một mức giá xác định, bao gồm cả giao dịch mua có kỳ hạn công cụ chuyển nhượng, giấy tờ có giá khác theo quy định của Ngân hàng Nhà nước về hoạt động chiết khấu của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài đối với khách hàng.

Điều 4. Yêu cầu đối với hệ thống kiểm soát nội bộ

1. Hệ thống kiểm soát nội bộ của ngân hàng phải đáp ứng các yêu cầu sau:

a) Tuân thủ quy định tại Luật Các tổ chức tín dụng và các văn bản sửa đổi, bổ sung (sau đây gọi tắt là Luật Các tổ chức tín dụng), Thông tư này và các văn bản quy phạm pháp luật khác có liên quan; xử lý, khắc phục theo yêu cầu, kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác;

b) Phù hợp với quy mô, tính chất và mức độ phức tạp trong hoạt động kinh doanh của ngân hàng;

c) Có đủ nguồn lực về tài chính, con người, hệ thống thông tin để đảm bảo hiệu quả của hệ thống kiểm soát nội bộ;

d) Xây dựng, duy trì văn hóa kiểm soát của ngân hàng;

đ) Có hệ thống thông tin quản lý đáp ứng các quy định tại Luật Các tổ chức tín dụng, Điều 8 Thông tư này và quy định pháp luật có liên quan đảm bảo độ tin cậy, đầy đủ và kịp thời của thông tin quản lý.

2. Hệ thống kiểm soát nội bộ của ngân hàng phải có 03 tuyến bảo vệ độc lập như sau:

a) Tuyến bảo vệ thứ nhất là các bộ phận tạo ra rủi ro gồm bộ phận tạo ra doanh thu, thực hiện các quyết định có rủi ro, thực hiện phân bổ hạn mức rủi ro theo từng hoạt động kinh doanh, hoạt động nghiệp vụ cụ thể; và bộ phận tạo ra rủi ro khác. Tuyến bảo vệ thứ nhất có chức năng nhận dạng, thực hiện các biện pháp kiểm soát, theo dõi, giảm thiểu rủi ro;

b) Tuyến bảo vệ thứ hai gồm tối thiểu Bộ phận tuân thủ và Bộ phận quản lý rủi ro. Tuyến bảo vệ thứ hai có chức năng xây dựng chính sách quản lý rủi ro, quy định nội bộ về quản lý rủi ro; đo lường, theo dõi, kiểm soát rủi ro toàn ngân hàng và tuân thủ quy định của pháp luật;

c) Tuyến bảo vệ thứ ba có chức năng kiểm toán nội bộ do bộ phận kiểm toán nội bộ thực hiện theo quy định tại Luật Các tổ chức tín dụng và Thông tư này;

d) Đối với việc quản lý rủi ro mô hình, ngân hàng có 03 tuyến bảo vệ độc lập theo quy định tại khoản 7 Điều 56 Thông tư này.

3. Ý kiến thảo luận, kết luận liên quan đến hệ thống kiểm soát nội bộ trong cuộc họp của Hội đồng quản trị, Hội đồng thành viên; Ban kiểm soát; Ủy ban, Hội đồng theo quy định tại Thông tư này phải được ghi lại bằng văn bản.

Điều 5. Cơ chế, chính sách, quy trình, quy định nội bộ

1. Yêu cầu đối với cơ chế, chính sách, quy trình, quy định nội bộ của ngân hàng:

a) Phù hợp với quy định tại Thông tư này và các quy định của pháp luật có liên quan;

b) Việc phân cấp thẩm quyền quyết định phải căn cứ mức độ tin cậy của cấp có thẩm quyền và năng lực của cá nhân, bộ phận thực hiện. Thẩm quyền quyết định phải được thể hiện bằng tiêu chí về quy mô, mức độ phức tạp của giao dịch, hạn mức rủi ro, các giới hạn, tiêu chí khác theo quy định nội bộ của ngân hàng; 

c) Việc quy định chức năng, nhiệm vụ của cá nhân, bộ phận từ cấp thấp nhất đến cấp cao nhất trong tất cả các giao dịch, quy trình nghiệp vụ tại ngân hàng đảm bảo nguyên tắc:

(i) Thành viên Hội đồng quản trị, thành viên Hội đồng thành viên không tham gia xem xét, phê duyệt các quyết định có rủi ro thuộc chức năng, nhiệm vụ của Tổng giám đốc (Giám đốc). Trường hợp thành viên Hội đồng quản trị, thành viên Hội đồng thành viên đồng thời là Tổng giám đốc (Giám đốc), ngân hàng phải áp dụng biện pháp kiểm soát để bảo đảm không xảy ra xung đột lợi ích và vẫn duy trì sự giám sát độc lập;

(ii) Thành viên Hội đồng quản trị, thành viên Hội đồng thành viên không được đồng thời đảm nhiệm các chức danh, chức vụ khác tại ngân hàng thương mại đó, trừ trường hợp đảm nhiệm chức vụ Tổng Giám đốc (Giám đốc) quy định tại Luật Các tổ chức tín dụng, các chức danh, chức vụ tại Hội đồng xử lý rủi ro, các ủy ban do Hội đồng quản trị, Hội đồng thành viên thành lập;

(iii) Đối với khoản cấp tín dụng thuộc thẩm quyền thông qua, quyết định của Hội đồng quản trị, Hội đồng thành viên theo quy định tại các Điều 70, 74, 79 Luật Các tổ chức tín dụng, ngân hàng thương mại phải thực hiện đầy đủ quy trình cấp tín dụng như đối với khoản cấp tín dụng không thuộc thẩm quyền nêu trên của Hội đồng quản trị, Hội đồng thành viên và phải được Tổng giám đốc (Giám đốc) hoặc Phó Tổng giám đốc (Phó Giám đốc) được Tổng giám đốc (Giám đốc) ủy quyền đề xuất, trình Hội đồng quản trị, Hội đồng thành viên.

(iv) Phân tách rõ ràng chức năng và nhiệm vụ trong các giao dịch, quy trình nghiệp vụ nhằm ngăn ngừa, kiểm soát xung đột lợi ích; bảo đảm không có cá nhân nào chi phối toàn bộ một giao dịch hoặc quy trình nghiệp vụ; không giao đồng thời cho một cá nhân các nhiệm vụ có khả năng phát sinh xung đột lợi ích; có nguyên tắc kiểm soát trước, trong và sau khi thực hiện giao dịch, quy trình nghiệp vụ;

(v) Có các cá nhân độc lập trong cùng bộ phận hoặc bộ phận độc lập với bộ phận khác để kiểm tra định kỳ và đột xuất theo quy định nội bộ của ngân hàng;

(vi) Trường hợp việc thực hiện quy định tại điểm c(iv) và c(v) khoản này mà vẫn có nguy cơ xung đột lợi ích, xảy ra vi phạm quy định nội bộ, ngân hàng phải xác định nguyên nhân, có biện pháp để giảm thiểu tối đa rủi ro trong hoạt động và thực hiện theo dõi chặt chẽ, đánh giá độc lập với tần suất thường xuyên hơn;

d) Việc phân cấp trách nhiệm quản lý tài sản (bao gồm cả tài sản tài chính và tài sản hữu hình) phải được thực hiện rõ ràng đối với từng cá nhân, bộ phận dựa trên giá trị của tài sản hoặc các giới hạn cụ thể khác theo quy định trong chính sách nội bộ của ngân hàng. Phạm vi phân cấp bao gồm hoạt động giao nhận, bảo quản, vận chuyển, kiểm tra và kiểm kê tài sản;

đ) Chuẩn mực đạo đức nghề nghiệp (trừ chuẩn mực đạo đức nghề nghiệp đối với thành viên Ban kiểm soát, kiểm toán viên nội bộ) phải được Hội đồng quản trị, Hội đồng thành viên của ngân hàng thương mại, Tổng giám đốc (Giám đốc) chi nhánh ngân hàng nước ngoài ban hành đảm bảo nguyên tắc:

(i) Cán bộ, nhân viên ở các cấp thực hiện nhiệm vụ, thẩm quyền được giao một cách trung thực vì lợi ích của ngân hàng; không lợi dụng địa vị, chức vụ, sử dụng thông tin, bí quyết, cơ hội kinh doanh và tài sản của ngân hàng để thu lợi cá nhân hoặc làm tổn hại tới lợi ích của ngân hàng;

(ii) Các cá nhân, bộ phận có trách nhiệm báo cáo kịp thời với cấp có thẩm quyền khi phát hiện hành vi vi phạm quy định tại điểm đ(i) khoản này và các hành vi vi phạm quy định nội bộ, quy định của pháp luật;

e) Phải được đánh giá định kỳ theo quy định của ngân hàng và phải sửa đổi, bổ sung để đảm bảo tuân thủ quy định của pháp luật;

g) Quy định nội bộ về hoạt động kiểm soát của trụ sở chính đối với chi nhánh, đơn vị phụ thuộc tối thiểu có quy định về chức năng, nhiệm vụ, cơ chế báo cáo, tiền lương, khen thưởng, kỷ luật, luân chuyển cán bộ và cơ chế khác đối với các cá nhân, bộ phận thực hiện hoạt động kiểm soát chi nhánh, đơn vị phụ thuộc;

h) Quy định nội bộ về hoạt động quản lý rủi ro theo quy định tại Điều 18 Thông tư này;

i) Quy định nội bộ về kiểm toán nội bộ theo quy định tại Điều 68 Thông tư này;

k) Quy định nội bộ về báo cáo nội bộ đảm bảo có các nội dung về: thời điểm lấy số liệu để lập báo cáo; thời điểm hoàn thành báo cáo; cá nhân, bộ phận lập, phê duyệt, nhận báo cáo; trách nhiệm xử lý đối với đề xuất, kiến nghị trong báo cáo (nếu có).

2. Thẩm quyền ban hành của ngân hàng thương mại:

a) Hội đồng quản trị, Hội đồng thành viên ban hành quy định về tổ chức, quản trị và hoạt động của ngân hàng thương mại, trừ các vấn đề thuộc thẩm quyền của Đại hội đồng cổ đông, chủ sở hữu;

b) Ban kiểm soát ban hành quy định nội bộ của Ban kiểm soát;

c) Tổng giám đốc (Giám đốc) ban hành các quy chế, quy định nội bộ; quy trình, thủ tục tác nghiệp để vận hành hệ thống điều hành kinh doanh, hệ thống thông tin quản lý (sau đây gọi tắt là quy trình nội bộ), trừ các vấn đề thuộc thẩm quyền của Đại hội đồng cổ đông, chủ sở hữu, Hội đồng quản trị, Hội đồng thành viên, Ban kiểm soát.

3. Thẩm quyền ban hành của chi nhánh ngân hàng nước ngoài: Tổng giám đốc (Giám đốc) ban hành quy chế, quy định nội bộ, quy trình nội bộ của chi nhánh ngân hàng nước ngoài theo quy định của ngân hàng mẹ hoặc sử dụng quy định nội bộ của ngân hàng mẹ ban hành.

Điều 6. Cơ cấu tổ chức thực hiện hệ thống kiểm soát nội bộ

1. Cơ cấu tổ chức thực hiện hệ thống kiểm soát nội bộ tại ngân hàng thương mại gồm: Hội đồng quản trị, Hội đồng thành viên; Ban kiểm soát; Tổng Giám đốc (Giám đốc); cá nhân, bộ phận quy định tại Điều này.

2. Hội đồng quản trị, Hội đồng thành viên của ngân hàng thương mại có nhiệm vụ, quyền hạn theo quy định tại Luật Các tổ chức tín dụng và quy định tại Thông tư này.

a) Hội đồng quản trị, Hội đồng thành viên phải thành lập các ủy ban theo quy định tại khoản 5 Điều 50 Luật Các tổ chức tín dụng. Cơ cấu tổ chức, chức năng, nhiệm vụ của Ủy ban quản lý rủi ro, Ủy ban nhân sự thực hiện theo quy định của Ngân hàng Nhà nước và phải đảm bảo mỗi ủy ban có ít nhất trên một phần hai (1/2) số thành viên có quyền biểu quyết không phải là người điều hành.

b) Hội đồng quản trị, Hội đồng thành viên được thành lập các Ủy ban khác (nếu cần thiết).

3. Ban kiểm soát có các nhiệm vụ, quyền hạn theo quy định tại Luật Các tổ chức tín dụng và quy định tại Thông tư này. Ban kiểm soát quy định cơ cấu tổ chức, chức năng, nhiệm vụ, quyền hạn của Bộ phận kiểm toán nội bộ theo quy định tại Luật Các tổ chức tín dụng và Thông tư này.

4. Tổng giám đốc (Giám đốc) của ngân hàng thương mại có nhiệm vụ, quyền hạn theo quy định tại Luật Các tổ chức tín dụng và quy định tại Thông tư này. Tổng giám đốc (Giám đốc) có hội đồng, bộ phận giúp việc như sau:

a) Hội đồng rủi ro có nhiệm vụ đề xuất, tham mưu Tổng giám đốc (Giám đốc) về nội dung quản lý rủi ro quy định tại điểm a khoản 5 Điều 25 Thông tư này; thực hiện nội dung quy định tại điểm b khoản 5 Điều 25 Thông tư này. Hội đồng rủi ro gồm: Chủ tịch là người điều hành chuyên trách về quản lý rủi ro tại trụ sở chính (không phải là Tổng giám đốc (Giám đốc)), có kinh nghiệm, hiểu biết, trình độ chuyên môn về quản lý rủi ro và thành viên khác thuộc các bộ phận có liên quan theo quy định nội bộ của ngân hàng thương mại. Tổng giám đốc (Giám đốc) quyết định quy chế làm việc của Hội đồng rủi ro, tối thiểu bao gồm chức năng, nhiệm vụ, cơ chế ra quyết định, cơ chế họp (họp định kỳ tối thiểu mỗi quý 01 lần, họp đột xuất);

b) Hội đồng quản lý Tài sản/Nợ phải trả (Hội đồng ALCO) có nhiệm vụ đề xuất, tham mưu Tổng giám đốc (Giám đốc) về nội dung quản lý Tài sản/Nợ phải trả quy định tại khoản 3 Điều 25 Thông tư này. Hội đồng ALCO gồm: Chủ tịch là Tổng giám đốc (Giám đốc) hoặc người điều hành khác tại trụ sở chính và thành viên khác thuộc các bộ phận có liên quan theo quy định nội bộ của ngân hàng thương mại. Tổng giám đốc (Giám đốc) quyết định quy chế làm việc của Hội đồng ALCO, tối thiểu bao gồm chức năng, nhiệm vụ, cơ chế ra quyết định, cơ chế họp (họp định kỳ tối thiểu mỗi quý 01 lần, họp đột xuất);  

c) Hội đồng quản lý vốn có nhiệm vụ đề xuất, tham mưu Tổng giám đốc (Giám đốc) về nội dung thực hiện đánh giá nội bộ về mức đủ vốn quy định tại khoản 4 Điều 25 Thông tư này. Hội đồng quản lý vốn gồm: Chủ tịch là Tổng giám đốc (Giám đốc) hoặc người điều hành khác chuyên trách về tài chính tại trụ sở chính, có kinh nghiệm, hiểu biết, trình độ chuyên môn về kế toán, tài chính và thành viên khác thuộc các bộ phận có liên quan theo quy định nội bộ của ngân hàng thương mại. Tổng giám đốc (Giám đốc) quyết định quy chế làm việc của Hội đồng quản lý vốn, tối thiểu bao gồm chức năng, nhiệm vụ, cơ chế ra quyết định, cơ chế họp (họp định kỳ tối thiểu 06 tháng 01 lần, họp đột xuất);  

d) Bộ phận tuân thủ có chức năng, nhiệm vụ do Tổng Giám đốc (Giám đốc) quyết định tùy theo quy mô, tính chất và mức độ phức tạp của hoạt động kinh doanh, đảm bảo tính độc lập, không xung đột lợi ích, tối thiểu bao gồm nhiệm vụ quy định tại khoản 3 Điều 14 Thông tư này;

đ) Bộ phận quản lý rủi ro có chức năng, nhiệm vụ do Tổng Giám đốc (Giám đốc) quyết định, tối thiểu bao gồm nhiệm vụ, trách nhiệm quy định tại khoản 5 Điều 25 Thông tư này;

e) Ngân hàng được thành lập Hội đồng phê duyệt cấp tín dụng (nếu cần thiết). Tổng giám đốc (Giám đốc) quyết định quy chế làm việc của Hội đồng phê duyệt cấp tín dụng, tối thiểu bao gồm chức năng, nhiệm vụ, trách nhiệm của thành viên Hội đồng, cơ chế ra quyết định, cơ chế họp. Hội đồng này có Chủ tịch Hội đồng là Tổng giám đốc (Giám đốc) hoặc Phó Tổng giám đốc (Phó Giám đốc) được Tổng giám đốc (Giám đốc) ủy quyền;

g) Ngân hàng được thành lập Hội đồng khác (nếu cần thiết). Tổng giám đốc (Giám đốc) quyết định quy chế làm việc của Hội đồng này, tối thiểu bao gồm chức năng, nhiệm vụ, cơ chế ra quyết định, cơ chế họp (định kỳ, đột xuất).

5. Cá nhân, bộ phận khác trong cơ cấu tổ chức của ngân hàng thương mại có chức năng, nhiệm vụ liên quan đến việc thực hiện hệ thống kiểm soát nội bộ.

6. Cơ cấu tổ chức của hệ thống kiểm soát nội bộ tại chi nhánh ngân hàng nước ngoài bao gồm:

a) Tổng giám đốc (Giám đốc) có nhiệm vụ, quyền hạn theo quy định tại Luật Các tổ chức tín dụng và quy định tại Thông tư này;

b) Bộ phận tuân thủ có chức năng, nhiệm vụ do Tổng giám đốc (Giám đốc) quyết định tùy theo quy mô, tính chất và mức độ phức tạp của hoạt động kinh doanh, đảm bảo tính độc lập, không xung đột lợi ích, tối thiểu bao gồm nhiệm vụ quy định tại khoản 3 Điều 14 Thông tư này;

c) Bộ phận quản lý rủi ro có chức năng, nhiệm vụ do Tổng giám đốc (Giám đốc) quyết định tùy theo quy mô, tính chất và mức độ phức tạp của hoạt động kinh doanh, tối thiểu bao gồm nhiệm vụ, trách nhiệm quy định tại điểm b khoản 7 Điều 25 Thông tư này;

d) Cá nhân, bộ phận khác trong cơ cấu tổ chức của chi nhánh ngân hàng nước ngoài có chức năng, nhiệm vụ liên quan đến việc thực hiện hệ thống kiểm soát nội bộ;

đ) Cơ cấu tổ chức, nhiệm vụ, quyền hạn, trách nhiệm của bộ phận kiểm toán nội bộ, kiểm toán viên nội bộ của chi nhánh ngân hàng nước ngoài thực hiện theo quy định của ngân hàng mẹ.

Điều 7. Tổ chức thực hiện hệ thống kiểm soát nội bộ

Ngân hàng tổ chức thực hiện hệ thống kiểm soát nội bộ thông qua:

1. Hoạt động kiểm soát quy định tại Chương II Thông tư này.

2. Hoạt động quản lý rủi ro quy định tại Chương III Thông tư này.

3. Kiểm toán nội bộ quy định tại Chương IV Thông tư này.

Điều 8. Hệ thống thông tin quản lý

1. Ngân hàng phải thiết lập hệ thống thông tin quản lý để thu thập, xử lý, lưu trữ và cung cấp thông tin phục vụ quản lý, điều hành và ra quyết định trong hoạt động ngân hàng.

2. Hệ thống thông tin quản lý của ngân hàng tối thiểu bao gồm:

a) Cơ cấu tổ chức quản lý, vận hành hệ thống thông tin quản lý và có quy định nội bộ về trách nhiệm của cá nhân, bộ phận trong việc quản lý, vận hành, sử dụng hệ thống thông tin quản lý;

b) Quy trình thu thập, xử lý, lưu trữ, cung cấp thông tin;

c) Dữ liệu để phục vụ việc quản lý, điều hành và ra quyết định trong hoạt động của ngân hàng, bao gồm cả dữ liệu rủi ro được quản lý theo quy định tại Điều 24 Thông tư này;

d) Các báo cáo nội bộ (tối thiểu có các báo cáo nội bộ về hoạt động kiểm soát, quản lý rủi ro, đánh giá nội bộ về mức đủ vốn, kiểm toán nội bộ) và thông tin quản lý khác được gửi, tiếp nhận, xử lý theo quy định nội bộ của ngân hàng;

đ) Hạ tầng công nghệ thông tin (phần cứng, phần mềm) phù hợp với yêu cầu của hệ thống thông tin quản lý;

e) Các hệ thống dự phòng để đảm bảo việc lưu trữ, sử dụng dữ liệu, thông tin được an toàn, hiệu quả và không bị gián đoạn.

3. Hệ thống thông tin quản lý phải đảm bảo:

a) Dữ liệu, thông tin đầy đủ, chính xác, kịp thời, đáp ứng các yêu cầu quản lý của ngân hàng theo quy định tại Thông tư này, quy định nội bộ của ngân hàng; nguồn dữ liệu, thông tin đầu vào phải được kiểm tra độ tin cậy;

b) Đảm bảo an toàn, bảo mật dữ liệu, thông tin theo quy định của pháp luật và quy định nội bộ của ngân hàng;

c) Hội đồng quản trị, Hội đồng thành viên, ngân hàng mẹ, Ban kiểm soát, Tổng giám đốc (Giám đốc) và các cá nhân, bộ phận liên quan được cung cấp thông tin đầy đủ, kịp thời để thực hiện chức năng, nhiệm vụ, quyền hạn của mình;

d) Có cơ chế báo cáo kịp thời cho các cấp có thẩm quyền của ngân hàng về các hành vi vi phạm pháp luật, quy định nội bộ, chuẩn mực đạo đức nghề nghiệp của các cá nhân, bộ phận đảm bảo bảo mật thông tin và bảo vệ người cung cấp thông tin;

đ) Được rà soát, đánh giá lại tối thiểu hằng năm và đột xuất; được nâng cấp, cập nhật thường xuyên phù hợp với nhu cầu thông tin quản lý, quy mô, cơ cấu và mức độ phức tạp trong hoạt động kinh doanh của ngân hàng đảm bảo tuân thủ các quy định của pháp luật, quy định nội bộ của ngân hàng.

Điều 9. Báo cáo Ngân hàng Nhà nước về hệ thống kiểm soát nội bộ

1. Ngân hàng phải lập và gửi Ngân hàng Nhà nước (Ngân hàng Nhà nước chi nhánh Khu vực theo đối tượng thanh tra, giám sát vi mô; Cục Quản lý, giám sát tổ chức tín dụng; Thanh tra Ngân hàng Nhà nước) báo cáo về hệ thống kiểm soát nội bộ theo quy định tại khoản 2, 3 và 4 Điều này. Trường hợp phát hiện báo cáo bị thiếu, lỗi, sai hoặc cần làm rõ, Ngân hàng Nhà nước yêu cầu ngân hàng báo cáo, giải trình hoặc làm việc trực tiếp theo quy định về trình tự, thủ tục giám sát ngân hàng.

2. Báo cáo về hệ thống kiểm soát nội bộ bao gồm:

a) Báo cáo hằng năm về kết quả tự kiểm tra, đánh giá hoạt động kiểm soát theo Phụ lục I ban hành kèm theo Thông tư này;

b) Báo cáo hằng năm về quản lý rủi ro theo Phụ lục II ban hành kèm theo Thông tư này;

c) Báo cáo hằng năm về đánh giá nội bộ về mức đủ vốn theo Phụ lục III ban hành kèm theo Thông tư này;

d) Báo cáo hằng năm về kiểm toán nội bộ theo Phụ lục IV ban hành kèm theo Thông tư này, báo cáo đột xuất về kiểm toán nội bộ.

3. Thời hạn gửi báo cáo:

a) Đối với các báo cáo quy định tại điểm a, b và c khoản 2 Điều này: Trong thời hạn 90 ngày kể từ ngày kết thúc năm tài chính, ngân hàng gửi báo cáo của năm tài chính;

b) Đối với báo cáo quy định tại điểm d khoản 2 Điều này:

(i) Trong thời hạn 60 ngày kể từ ngày kết thúc năm tài chính, ngân hàng thương mại gửi báo cáo kiểm toán nội bộ của năm tài chính;

(ii) Trong thời hạn 60 ngày kể từ ngày kết thúc năm tài chính, chi nhánh ngân hàng nước ngoài gửi báo cáo kiểm toán nội bộ của năm tài chính. Trường hợp không kiểm toán nội bộ trong năm tài chính, chi nhánh ngân hàng nước ngoài không phải gửi báo cáo;

(iii) Trong thời hạn 07 ngày làm việc kể từ ngày kết thúc kiểm toán nội bộ đột xuất, ngân hàng gửi báo cáo kiểm toán nội bộ đột xuất.

4. Thẩm quyền phê duyệt báo cáo:

a) Hội đồng quản trị, Hội đồng thành viên chịu trách nhiệm phê duyệt báo cáo quy định tại điểm a khoản 2 Điều này;

b) Ban kiểm soát chịu trách nhiệm phê duyệt báo cáo quy định tại điểm d khoản 2 Điều này;

c) Tổng giám đốc (Giám đốc) của ngân hàng thương mại chịu trách nhiệm phê duyệt các báo cáo quy định tại điểm b và điểm c khoản 2 Điều này;

d) Tổng giám đốc (Giám đốc) của chi nhánh ngân hàng nước ngoài chịu trách nhiệm phê duyệt các báo cáo quy định tại điểm a, b và c khoản 2 Điều này.

5. Báo cáo về hệ thống kiểm soát nội bộ quy định tại khoản 2 Điều này phải cập nhật các hạn chế, rủi ro mới phát sinh của hệ thống kiểm soát nội bộ trong toàn bộ ngân hàng.

6. Các báo cáo quy định tại khoản 2 Điều này được gửi tới Ngân hàng Nhà nước bằng một trong các hình thức sau:

a) Nộp trực tiếp đến Ngân hàng Nhà nước;

b) Gửi qua dịch vụ bưu chính;

c) Nộp trực tuyến (nếu có).

Điều 10. Lưu trữ hồ sơ, tài liệu về hệ thống kiểm soát nội bộ

1. Ngân hàng có quy định nội bộ về việc quản lý, lưu trữ các hồ sơ, tài liệu về hệ thống kiểm soát nội bộ.

2. Việc quản lý, lưu trữ hồ sơ, tài liệu về hệ thống kiểm soát nội bộ của ngân hàng đảm bảo:

a) Tuân thủ quy định của pháp luật và quy định của Ngân hàng Nhà nước về thời hạn bảo quản hồ sơ, tài liệu lưu trữ trong ngành ngân hàng;

b) Lưu trữ đầy đủ để cung cấp theo yêu cầu của kiểm toán nội bộ, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền trong quá trình kiểm toán nội bộ, kiểm toán độc lập, kiểm tra, thanh tra, giám sát.

Chương II

HOẠT ĐỘNG KIỂM SOÁT

Điều 11. Yêu cầu của hoạt động kiểm soát

1. Hoạt động kiểm soát phải được thực hiện đối với tất cả các hoạt động, quy trình nghiệp vụ, cá nhân, bộ phận tại ngân hàng, đảm bảo đáp ứng các quy định tại Thông tư này và quy định nội bộ của ngân hàng.

2. Việc hạch toán kế toán tuân thủ đúng quy định về chuẩn mực và chế độ kế toán; tổng hợp, lập và gửi các loại báo cáo tài chính theo quy định của pháp luật và quy định nội bộ của ngân hàng. Việc hạch toán kế toán phải được kiểm tra, đối chiếu để đảm bảo phát hiện, xử lý kịp thời các sai sót và phải được báo cáo cho cấp có thẩm quyền theo quy định nội bộ của ngân hàng.

3. Có biện pháp phòng ngừa, xử lý kịp thời đối với các sai phạm, hành vi vi phạm quy định của pháp luật, quy định nội bộ tại ngân hàng.

4. Phân bổ nguồn nhân lực phù hợp với tính chất và mức độ phức tạp của từng hoạt động kinh doanh và hoạt động kiểm soát, bao gồm cả phương án nhân sự thay thế khi người lao động vắng mặt, cũng như quy trình tuyển dụng, luân chuyển và bổ nhiệm cán bộ nhằm duy trì hiệu quả hoạt động kiểm soát và tính liên tục trong hoạt động.

5. Hoạt động kiểm soát của trụ sở chính của ngân hàng thương mại đối với chi nhánh, đơn vị phụ thuộc phải đảm bảo:

a) Trụ sở chính giám sát, kiểm soát được các giao dịch, hoạt động của chi nhánh, đơn vị phụ thuộc, bao gồm cả việc giám sát, kiểm soát thông qua cá nhân hoặc bộ phận thực hiện hoạt động kiểm soát đối với chi nhánh, đơn vị phụ thuộc đó;

b) Trụ sở chính quyết định về chức năng, nhiệm vụ, cơ chế báo cáo, tiền lương, khen thưởng, kỷ luật, luân chuyển cán bộ và cơ chế khác đối với cá nhân hoặc bộ phận thực hiện hoạt động kiểm soát;

c) Cá nhân, bộ phận thực hiện hoạt động kiểm soát đối với chi nhánh, đơn vị phụ thuộc đảm bảo độc lập, không xung đột lợi ích với cá nhân, bộ phận khác của chi nhánh, đơn vị phụ thuộc đó.

6. Định kỳ hằng năm và đột xuất, ngân hàng có báo cáo nội bộ về hoạt động kiểm soát gửi các cấp có thẩm quyền theo quy định nội bộ của ngân hàng. Báo cáo nội bộ về hoạt động kiểm soát bao gồm đánh giá về hoạt động kiểm soát theo nội dung quy định tại Điều này và nội dung khác theo quy định nội bộ của ngân hàng.

7. Ngân hàng phải có quy định về hoạt động kiểm soát đối với các hoạt động được thực hiện bằng phương tiện điện tử đảm bảo đáp ứng các quy định tại Thông tư này và các quy định của pháp luật có liên quan.

Điều 12. Giám sát của quản lý cấp cao

1. Việc giám sát của quản lý cấp cao phải phù hợp với yêu cầu quy định tại Điều 11 Thông tư này.

2. Việc giám sát của quản lý cấp cao tại ngân hàng thương mại được thực hiện như sau:

a) Hội đồng quản trị, Hội đồng thành viên giám sát Tổng giám đốc (Giám đốc) trong việc thực hiện quy định tại khoản 2 Điều 14 và khoản 2 Điều 25 Thông tư này;

b) Ban kiểm soát của ngân hàng thương mại giám sát bộ phận kiểm toán nội bộ trong việc thực hiện quy định tại Điều 71, khoản 1, 2 và 3 Điều 72 Thông tư này;

c) Tổng giám đốc (Giám đốc) của ngân hàng thương mại giám sát các cá nhân, bộ phận trong việc thực hiện quy định tại khoản 3 và khoản 4 Điều 14, khoản 3, 4, 5 và 6 Điều 25 Thông tư này.

3. Tổng giám đốc (Giám đốc) của chi nhánh ngân hàng nước ngoài:

a) Giám sát cá nhân, bộ phận trong việc thực hiện quy định tại khoản 3 và khoản 5 Điều 14, điểm b khoản 7 Điều 25 Thông tư này;

b) Giám sát cá nhân, bộ phận theo quy định của ngân hàng mẹ trong việc thực hiện kiểm toán nội bộ.

Điều 13. Kiểm soát nội bộ

1. Việc kiểm soát nội bộ phải phù hợp với yêu cầu quy định tại Điều 11 Thông tư này.

2. Việc kiểm soát nội bộ của ngân hàng được thực hiện thông qua hoạt động tự kiểm soát của các cá nhân, bộ phận tại các quy trình nghiệp vụ và hoạt động của các cá nhân, bộ phận có chức năng theo dõi, kiểm tra đối với các cá nhân, bộ phận khác trong việc tuân thủ các cơ chế, chính sách, quy trình, quy định nội bộ và quy định của pháp luật.

Điều 14. Trách nhiệm của Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc), cá nhân, bộ phận trong hoạt động kiểm soát

1. Hội đồng quản trị, Hội đồng thành viên của ngân hàng thương mại thực hiện các chức năng, nhiệm vụ liên quan đến hoạt động kiểm soát theo quy định tại Thông tư này, quy định nội bộ của ngân hàng.

2. Tổng giám đốc (Giám đốc) của ngân hàng có trách nhiệm tổ chức thực hiện:

a) Hoạt động kiểm soát theo thẩm quyền;

b) Việc vận hành và duy trì hệ thống thông tin quản lý đảm bảo đáp ứng các yêu cầu quy định tại Điều 8 Thông tư này;

c) Duy trì văn hóa kiểm soát quy định tại khoản 4 Điều 3 Thông tư này và chuẩn mực đạo đức nghề nghiệp quy định tại khoản 1 Điều 5 Thông tư này;

d) Xử lý vi phạm quy định nội bộ và chuẩn mực đạo đức nghề nghiệp (trừ chuẩn mực đạo đức nghề nghiệp của thành viên Ban kiểm soát, kiểm toán viên nội bộ); chuyển cơ quan có thẩm quyền để xử lý kịp thời các hành vi vi phạm pháp luật;

đ) Thực hiện nội dung khác do ngân hàng quy định.

3. Bộ phận tuân thủ của ngân hàng có tối thiểu các nhiệm vụ sau đây:

a) Đầu mối xác định các vấn đề cần tuân thủ liên quan đến hoạt động của ngân hàng theo quy định của pháp luật;

b) Đánh giá quy định nội bộ định kỳ theo quy định của ngân hàng về tính thích hợp, tuân thủ quy định của pháp luật và đề xuất sửa đổi, bổ sung (nếu cần thiết);

c) Đánh giá quy định về nhiệm vụ, quyền hạn của bộ phận tuân thủ để đề xuất sửa đổi, bổ sung (nếu cần thiết);

d) Báo cáo cho Tổng giám đốc (Giám đốc):

(i) Tình hình tuân thủ quy định của pháp luật theo định kỳ, đột xuất;

(ii) Các vi phạm nghiêm trọng trong việc tuân thủ quy định của pháp luật, thay đổi quy định liên quan của pháp luật theo quy định nội bộ của ngân hàng; 

(iii) Việc khắc phục các hạn chế về kiểm soát nội bộ (nếu có);

đ) Trực tiếp báo cáo Hội đồng quản trị, Hội đồng thành viên, ngân hàng mẹ trong trường hợp cần thiết (bao gồm cả khi Tổng giám đốc (Giám đốc) phát sinh những vi phạm nghiêm trọng) theo quy định nội bộ của ngân hàng;

e) Theo dõi, kiểm tra cá nhân, bộ phận trong việc tuân thủ các quy định của pháp luật, cơ chế, chính sách, quy trình, quy định nội bộ;

g) Hỗ trợ các bộ phận liên quan trong việc xây dựng, rà soát quy định nội bộ đảm bảo tuân thủ quy định của pháp luật; phối hợp xử lý các vướng mắc về việc tuân thủ quy định của pháp luật theo quy định nội bộ của ngân hàng; thông báo cho các bộ phận liên quan về thay đổi quy định liên quan của pháp luật theo quy định nội bộ của ngân hàng.

4. Cá nhân, bộ phận khác của ngân hàng thương mại có trách nhiệm:

a) Thực hiện quy định nội bộ về kiểm soát nội bộ, duy trì văn hóa kiểm soát; thực hiện chuẩn mực đạo đức nghề nghiệp (trừ chuẩn mực đạo đức nghề nghiệp của thành viên Ban kiểm soát, kiểm toán viên nội bộ);

b) Vận hành, đánh giá, nâng cấp, cập nhật hệ thống thông tin quản lý theo quy định nội bộ của ngân hàng đảm bảo đáp ứng các yêu cầu quy định tại Điều 8 Thông tư này;

c) Thực hiện nội dung khác do ngân hàng thương mại quy định.

5. Cá nhân, bộ phận khác của chi nhánh ngân hàng nước ngoài có trách nhiệm:

a) Thực hiện quy định nội bộ về kiểm soát nội bộ, duy trì văn hóa kiểm soát; thực hiện chuẩn mực đạo đức nghề nghiệp (trừ chuẩn mực đạo đức nghề nghiệp của kiểm toán viên nội bộ);

b) Thực hiện nội dung khác do chi nhánh ngân hàng nước ngoài quy định.

Điều 15. Hoạt động kiểm soát trong hoạt động cấp tín dụng

1. Hoạt động kiểm soát trong hoạt động cấp tín dụng của ngân hàng phải đáp ứng các yêu cầu quy định tại Điều 11 Thông tư này.

2. Hoạt động cấp tín dụng, trừ quy định tại khoản 3 Điều này phải được kiểm soát xung đột lợi ích thông qua nguyên tắc cá nhân hoặc bộ phận có chức năng thẩm định tín dụng độc lập với cá nhân hoặc bộ phận có chức năng:

a) Phê duyệt quyết định cấp tín dụng;

b) Kiểm soát hạn mức rủi ro tín dụng, quản lý khoản cấp tín dụng có vấn đề, trích lập dự phòng rủi ro và sử dụng dự phòng để xử lý rủi ro tín dụng;

c)  Quan hệ khách hàng theo quy định nội bộ của ngân hàng.

3. Ngân hàng tổ chức xét duyệt cấp tín dụng bằng phương tiện điện tử phải kiểm soát xung đột lợi ích thông qua nguyên tắc phân định trách nhiệm của từng cá nhân, bộ phận xây dựng, thiết lập và vận hành hệ thống thông tin phục vụ khâu thẩm định và quyết định cấp tín dụng. Trường hợp có rủi ro phát sinh, ngân hàng phải có cơ chế để xác định từng cá nhân, bộ phận chịu trách nhiệm và xử lý kịp thời các vấn đề, rủi ro phát sinh để đảm bảo hiệu quả, an toàn trong việc tổ chức xét duyệt cấp tín dụng bằng phương tiện điện tử của ngân hàng.

Điều 16. Hoạt động kiểm soát trong giao dịch tự doanh

1. Hoạt động kiểm soát trong giao dịch tự doanh của ngân hàng phải đáp ứng các yêu cầu quy định tại Điều 11 Thông tư này.

2. Giao dịch tự doanh phải được kiểm soát đảm bảo tối thiểu các nguyên tắc sau đây:

a) Có cá nhân, bộ phận chuyên trách để thực hiện giao dịch tự doanh đảm bảo độc lập với cá nhân, bộ phận kiểm soát giao dịch tự doanh, cá nhân, bộ phận thực hiện thanh toán giao dịch tự doanh; phân cấp cụ thể thẩm quyền của cá nhân, bộ phận thực hiện giao dịch tự doanh;

b) Giao dịch tự doanh được thực hiện trong các hạn mức đã quy định, các cam kết thực hiện giao dịch (bao gồm cả trường hợp hủy giao dịch hoặc thay đổi, bổ sung điều khoản giao dịch) và việc hạch toán, kế toán các giao dịch tự doanh phù hợp với quy định có liên quan của pháp luật đối với giao dịch tự doanh đó;

c) Thông tin, tài liệu, hồ sơ về giao dịch tự doanh được cung cấp đầy đủ, kịp thời cho các cá nhân, bộ phận kiểm soát giao dịch tự doanh;

d) Có quy trình nội bộ về thực hiện giao dịch tự doanh theo quy định tại khoản 3 Điều này và quy trình nội bộ về thanh toán giao dịch tự doanh theo quy định tại khoản 4 Điều này.

3. Quy trình nội bộ về thực hiện giao dịch tự doanh tối thiểu đảm bảo:

a) Giao dịch viên chỉ được thực hiện các giao dịch theo loại giao dịch, đối tác, thẩm quyền, hạn mức giao dịch được giao;

b) Trường hợp giao dịch tự doanh thực hiện qua điện thoại, các cuộc đàm thoại thực hiện giao dịch tự doanh của giao dịch viên phải được ghi âm và lưu trữ tối thiểu trong vòng 02 tháng kể từ ngày đàm thoại. Trường hợp giao dịch tự doanh thực hiện qua hệ thống máy tính, giao dịch viên chỉ được phép nhập dữ liệu giao dịch tự doanh vào hệ thống quản lý giao dịch nội bộ bằng chính mã giao dịch viên của mình. Hệ thống máy tính tự động nhập ngày, giờ giao dịch, mã số giao dịch tự doanh và không cho phép giao dịch viên thay đổi các thông tin này;

c) Giá cả trong giao dịch tự doanh phải được kiểm tra độc lập đảm bảo phù hợp với giá của thị trường (nếu có).

4. Quy trình nội bộ về thanh toán giao dịch tự doanh phải đáp ứng các yêu cầu sau đây:

a) Cá nhân, bộ phận thực hiện thanh toán giao dịch tự doanh gửi và nhận xác nhận giao dịch đối với các giao dịch tự doanh đã thực hiện theo các hình thức xác nhận phù hợp với quy định của pháp luật (bao gồm cả việc theo dõi, kiểm tra việc xác nhận giao dịch của khách hàng, thông báo cho khách hàng nếu không nhận được xác nhận của khách hàng hoặc nội dung xác nhận chưa đầy đủ, có sai sót);

b) Nội dung xác nhận giao dịch bao gồm các điều khoản, các thông tin về giao dịch. Trường hợp giao dịch tự doanh được thực hiện thông qua bên môi giới, nội dung xác nhận phải có thông tin của bên môi giới;

c) Các chênh lệch phát hiện trong quá trình thanh toán phải được bộ phận thực hiện thanh toán giao dịch tự doanh xử lý kịp thời.

Chương III

HOẠT ĐỘNG QUẢN LÝ RỦI RO

Mục 1. QUY ĐỊNH CHUNG VỀ HOẠT ĐỘNG QUẢN LÝ RỦI RO

Điều 17. Yêu cầu về quản lý rủi ro

1. Ngân hàng thực hiện quản lý rủi ro đảm bảo các yêu cầu sau đây:

a) Quản lý các rủi ro trong hoạt động của ngân hàng theo quy định tại Thông tư này và quy định nội bộ của ngân hàng;

b) Nhận dạng đầy đủ, đo lường hợp lý, theo dõi thường xuyên để kịp thời phòng ngừa, giảm thiểu rủi ro trọng yếu. Việc đo lường quy định tại điểm này áp dụng tối thiểu đối với các loại rủi ro trọng yếu quy định tại điểm a khoản 13 Điều 3 Thông tư này;

c) Kiểm soát trạng thái rủi ro đảm bảo tuân thủ các hạn mức rủi ro;

d) Có hệ thống thông tin để thực hiện quản lý rủi ro, trong đó dữ liệu phải đảm bảo đáp ứng yêu cầu tại Điều 24 Thông tư này;

đ) Các quyết định có rủi ro phải minh bạch, rõ ràng và phù hợp với chính sách quản lý rủi ro, hạn mức rủi ro;

e) Phân cấp cụ thể thẩm quyền phê duyệt, thực hiện các biện pháp phòng ngừa tối thiểu đối với từng loại rủi ro trọng yếu.

2. Đối với ngân hàng thương mại có công ty con, ngân hàng thương mại chỉ đạo, giám sát thông qua người đại diện phần vốn để đảm bảo việc quản lý rủi ro của công ty con phù hợp với chính sách quản lý rủi ro của ngân hàng thương mại và đảm bảo ngân hàng thương mại duy trì tỷ lệ an toàn vốn tối thiểu hợp nhất theo quy định của Ngân hàng Nhà nước.

Điều 18. Quy định nội bộ về hoạt động quản lý rủi ro

1. Ngân hàng phải có quy định nội bộ về hoạt động quản lý rủi ro, trong đó tối thiểu có các nội dung sau đây:

a) Việc xây dựng, ban hành và thực hiện chính sách quản lý rủi ro;

b) Việc xây dựng, ban hành và thực hiện hạn mức rủi ro đối với tối thiểu từng loại rủi ro trọng yếu quy định tại điểm a khoản 13 Điều 3 Thông tư này (bao gồm cả các phương pháp xây dựng hạn mức rủi ro, cá nhân, bộ phận thực hiện xây dựng hạn mức rủi ro, phân bổ hạn mức rủi ro và xử lý vi phạm đối với các trường hợp vi phạm hạn mức rủi ro);

c) Nhận dạng, đo lường, theo dõi và kiểm soát rủi ro đối với tối thiểu từng loại rủi ro trọng yếu quy định tại điểm a khoản 13 Điều 3 Thông tư này;

d) Cơ chế báo cáo nội bộ về quản lý rủi ro;

đ) Quản lý rủi ro đối với sản phẩm mới, hoạt động trên thị trường mới;

e) Kiểm tra sức chịu đựng;

g) Quản lý dữ liệu rủi ro;

h) Quy trình đánh giá nội bộ về mức đủ vốn;

i) Các nội dung cần thiết khác theo yêu cầu quản lý đối với từng loại rủi ro trọng yếu.

2. Quy định nội bộ về quản lý rủi ro phải đảm bảo các nguyên tắc:

a) Được xây dựng phù hợp với chiến lược kinh doanh, văn hóa kiểm soát, nguồn nhân lực, điều kiện về hạ tầng công nghệ thông tin và hệ thống thông tin quản lý của ngân hàng;

b) Các trạng thái rủi ro, hành vi vi phạm về quản lý rủi ro phải được báo cáo kịp thời, đầy đủ cho Hội đồng quản trị, Hội đồng thành viên, Ban kiểm soát, ngân hàng mẹ; có cơ chế xử lý đối với các vi phạm về quản lý rủi ro.

Điều 19. Chính sách quản lý rủi ro

1. Chính sách quản lý rủi ro của ngân hàng thương mại do Hội đồng quản trị, Hội đồng thành viên ban hành, sửa đổi, bổ sung. Thẩm quyền ban hành, sửa đổi, bổ sung chính sách quản lý rủi ro của chi nhánh ngân hàng nước ngoài thực hiện theo quy định của ngân hàng mẹ.

2. Chính sách quản lý rủi ro tối thiểu bao gồm các nội dung sau đây:

a) Khẩu vị rủi ro bao gồm:

(i) Tỷ lệ an toàn vốn mục tiêu;

(ii) Chỉ tiêu về thu nhập: Tỷ suất giữa Lợi nhuận so với Vốn chủ sở hữu (Returns on Equity - ROE), Tỷ suất giữa lợi nhuận có điều chỉnh rủi ro so với vốn tự có (Risk Adjusted Returns on Capital - RAROC);

(iii) Chỉ tiêu và mức độ chấp nhận rủi ro (định tính) khác theo quy định nội bộ của ngân hàng;

b) Danh sách các rủi ro trọng yếu;

c) Chiến lược quản lý rủi ro đối với từng rủi ro trọng yếu.

3. Chính sách quản lý rủi ro phải đảm bảo các yêu cầu sau:

a) Được lập cho thời gian tối thiểu 03 năm nhưng không quá 05 năm tiếp theo, được đánh giá định kỳ tối thiểu một năm một lần và đánh giá đột xuất do ngân hàng thương mại, ngân hàng mẹ quy định để điều chỉnh kịp thời khi có thay đổi về môi trường kinh doanh, pháp lý;

b) Phù hợp lợi ích của cổ đông, chủ sở hữu, thành viên góp vốn của ngân hàng thương mại, ngân hàng mẹ theo quy định của pháp luật;

c) Phù hợp với mức vốn tự có và mức độ sẵn có của nguồn tăng vốn tự có;

d) Có tính kế thừa, liên tục để bảo đảm tính khả thi qua các chu kỳ kinh tế.

Điều 20. Hạn mức rủi ro

1. Hạn mức rủi ro của ngân hàng thương mại do Tổng giám đốc (Giám đốc) ban hành, sửa đổi, bổ sung. Thẩm quyền ban hành, sửa đổi, bổ sung hạn mức rủi ro của chi nhánh ngân hàng nước ngoài thực hiện theo quy định của ngân hàng mẹ.

2. Hạn mức rủi ro phải đảm bảo:

a) Tuân thủ các quy định về các hạn chế để bảo đảm an toàn trong hoạt động của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài tại Luật Các tổ chức tín dụng và quy định của Ngân hàng Nhà nước;

b) Có hạn mức rủi ro để kiểm soát các rủi ro trọng yếu phát sinh quy định tại điểm a khoản 13 Điều 3 Thông tư này;

c) Phù hợp với khẩu vị rủi ro, chiến lược quản lý rủi ro và tổng tài sản có rủi ro phân bổ cho rủi ro đó;

d) Phải được rà soát, đánh giá lại (sửa đổi, bổ sung nếu cần thiết) định kỳ tối thiểu một năm một lần hoặc khi có thay đổi lớn ảnh hưởng đến trạng thái rủi ro theo quy định nội bộ của ngân hàng. Trường hợp sửa đổi, bổ sung hạn mức rủi ro của ngân hàng thương mại theo hướng nới lỏng hơn, Tổng giám đốc (Giám đốc) phải báo cáo Hội đồng quản trị, Hội đồng thành viên sau khi điều chỉnh;

đ) Được phổ biến cho các cá nhân, bộ phận có liên quan.

3. Trường hợp một hoạt động, giao dịch, sản phẩm có hạn mức rủi ro khác nhau đối với các rủi ro khác nhau, ngân hàng phải áp dụng hạn mức rủi ro thận trọng hơn.

Điều 21. Quản lý rủi ro đối với sản phẩm mới, hoạt động trong thị trường mới

1. Việc quản lý rủi ro đối với sản phẩm mới, hoạt động trong thị trường mới của các hoạt động kinh doanh được phép của ngân hàng phải đảm bảo các yêu cầu sau đây:

a) Có quy định nội bộ quy định các tiêu chí xác định sản phẩm mới, hoạt động trong thị trường mới;

b) Có quy trình cung cấp sản phẩm mới, hoạt động trong thị trường mới đảm bảo nguyên tắc:

(i) Đối với ngân hàng thương mại, Hội đồng quản trị, Hội đồng thành viên phê duyệt chủ trương cung cấp sản phẩm mới, hoạt động trong thị trường mới trên cơ sở đề xuất của Tổng giám đốc (Giám đốc). Tổng giám đốc (Giám đốc) phê duyệt kế hoạch cung cấp sản phẩm mới, hoạt động trong thị trường mới;

(ii) Đối với chi nhánh ngân hàng nước ngoài, việc phê duyệt chủ trương, kế hoạch cung cấp sản phẩm mới, hoạt động trong thị trường mới thực hiện theo quy định của ngân hàng mẹ.

2. Kế hoạch cung cấp sản phẩm mới, hoạt động trong thị trường mới phải được bộ phận quản lý rủi ro thẩm định về rủi ro, biện pháp quản lý rủi ro và xác định cụ thể, tối thiểu bao gồm:

a) Quy mô, thời gian thử nghiệm cung cấp sản phẩm mới, hoạt động trong thị trường mới trên cơ sở đánh giá rủi ro có thể phát sinh từ việc cung cấp sản phẩm mới, hoạt động trong thị trường mới, tác động đối với vốn tự có và thu nhập để đảm bảo phù hợp khả năng kiểm soát rủi ro của ngân hàng;

b) Thời gian chính thức cung cấp sản phẩm mới, hoạt động trong thị trường mới trên cơ sở đánh giá kết quả thử nghiệm so với các chỉ tiêu đề ra về quản lý rủi ro của ngân hàng.

3. Khi chính thức cung cấp sản phẩm mới, hoạt động trong thị trường mới, ngân hàng phải ban hành quy định, quy trình về cung cấp sản phẩm mới, hoạt động trong thị trường mới và thực hiện quản lý các rủi ro trọng yếu của sản phẩm mới, hoạt động trong thị trường mới.

Điều 22. Nhận dạng, đo lường, theo dõi và kiểm soát rủi ro

1. Nhận dạng rủi ro: Ngân hàng phải nhận dạng rủi ro trọng yếu trong các giao dịch, sản phẩm, hoạt động, quy trình nghiệp vụ, nguy cơ gây ra rủi ro và xác định nguyên nhân gây ra rủi ro.

2. Đo lường rủi ro:

a) Ngân hàng đo lường mức độ rủi ro trên cơ sở xác định tác động ngắn hạn, dài hạn của rủi ro đó đối với thu nhập, vốn, thanh khoản của ngân hàng;

b) Việc đo lường rủi ro phải đảm bảo kịp thời và được thực hiện tối thiểu bằng phương pháp hoặc mô hình. Phương pháp, mô hình đo lường rủi ro phải được kiểm tra, đánh giá định kỳ về tính chính xác và tính hợp lý theo quy định nội bộ của ngân hàng. Dữ liệu sử dụng trong các phương pháp, mô hình đo lường rủi ro phải đảm bảo tuân thủ quy định tại khoản 1 Điều 24 Thông tư này.

3. Theo dõi rủi ro: Ngân hàng phải theo dõi trạng thái rủi ro và đánh giá kịp thời, cảnh báo sớm khả năng vi phạm các hạn mức rủi ro, hạn chế để bảo đảm an toàn trong hoạt động.

4. Kiểm soát rủi ro:

a) Ngân hàng phải kiểm soát các trạng thái rủi ro, giao dịch, hoạt động theo các hạn mức rủi ro tương ứng;

b) Ngân hàng có các biện pháp phòng ngừa, giảm thiểu và xử lý kịp thời các rủi ro để đảm bảo tuân thủ các hạn mức rủi ro, các hạn chế để bảo đảm an toàn trong hoạt động và có cơ chế giám sát, kiểm tra việc thực hiện các biện pháp này.

Điều 23. Kiểm tra sức chịu đựng

1. Ngân hàng phải thực hiện kiểm tra sức chịu đựng về vốn và thực hiện kiểm tra sức chịu đựng cho tối thiểu các rủi ro trọng yếu sau:

a) Rủi ro tín dụng;

b) Rủi ro thị trường;

c) Rủi ro lãi suất trên sổ ngân hàng;

d) Rủi ro thanh khoản.

2. Ngân hàng phải ban hành quy định nội bộ về kiểm tra sức chịu đựng, tối thiểu bao gồm:

a) Các loại kiểm tra sức chịu đựng theo quy định tại khoản 1 Điều này và mục tiêu chính khi thực hiện kiểm tra sức chịu đựng;

b) Tần suất thực hiện kiểm tra sức chịu đựng;

c) Xác định phạm vi hoạt động của ngân hàng và các trạng thái nội bảng, ngoại bảng để thực hiện kiểm tra sức chịu đựng;

d) Phương pháp luận về kiểm tra sức chịu đựng, trong đó tối thiểu bao gồm: phạm vi các giả định, danh sách các yếu tố rủi ro, kịch bản (nếu có), mô hình (nếu có), dữ liệu được sử dụng trong kiểm tra sức chịu đựng và việc sử dụng kết quả kiểm tra sức chịu đựng;

đ) Quy trình (bao gồm cả quy trình xem xét kết quả kiểm tra sức chịu đựng và báo cáo kết quả kiểm tra sức chịu đựng), trách nhiệm của các bên tham gia vào quá trình kiểm tra sức chịu đựng.

3. Ngân hàng lựa chọn tối thiểu một trong các phương pháp sau đây để kiểm tra sức chịu đựng cho rủi ro tín dụng, rủi ro thị trường:

a) Phân tích độ nhạy: Đánh giá tác động của sự thay đổi một hoặc một nhóm các yếu tố rủi ro có liên quan chặt chẽ với nhau trong khi giữ nguyên các yếu tố rủi ro còn lại. Phương pháp phân tích độ nhạy cần xem xét tối thiểu 02 mức độ nghiêm trọng có thể xảy ra;

b) Phân tích kịch bản: Đánh giá tác động của sự thay đổi đồng thời nhiều yếu tố rủi ro theo các kịch bản có khả năng xảy ra, dựa trên các sự kiện mang tính lịch sử và các sự kiện giả định đảm bảo rõ ràng và nhất quán. Các kịch bản phải được xác định có khả năng xảy ra trên cơ sở phân tích các sự kiện trong quá khứ và dự báo diễn biến kinh tế vĩ mô, có tính đến các rủi ro trọng yếu phát sinh trong hoạt động của các ngân hàng. Phương pháp phân tích kịch bản cần lập tối thiểu 02 kịch bản gồm kịch bản hoạt động bình thường và kịch bản có diễn biến bất lợi có thể xảy ra phù hợp với mục đích thực hiện kiểm tra sức chịu đựng;

c) Kiểm tra sức chịu đựng ngược (Reverse Stress Testing): Thực hiện dựa trên giả định ngân hàng xảy ra trường hợp bất lợi nghiêm trọng (như vi phạm yêu cầu về tỷ lệ an toàn vốn tối thiểu, vi phạm tỷ lệ bảo đảm an toàn khác, tác động bất lợi khác) và xác định sự kiện, yếu tố dẫn đến trường hợp đó.

4. Phương pháp kiểm tra sức chịu đựng cho rủi ro thanh khoản (kiểm tra sức chịu đựng về thanh khoản) thực hiện theo quy định tại Điều 48 Thông tư này, kiểm tra sức chịu đựng cho rủi ro lãi suất trên sổ ngân hàng thực hiện theo quy định tại Điều 54 Thông tư này, kiểm tra sức chịu đựng về vốn thực hiện theo quy định tại Điều 60 Thông tư này.

5. Ngân hàng thực hiện kiểm tra sức chịu đựng theo tần suất sau:

a) Kiểm tra sức chịu đựng về thanh khoản định kỳ tối thiểu hằng quý và bất cứ khi nào xảy ra các sự kiện có thể gây tác động nghiêm trọng đến tính thanh khoản của ngân hàng;

b) Kiểm tra sức chịu đựng cho rủi ro tín dụng, kiểm tra sức chịu đựng cho rủi ro thị trường định kỳ tối thiểu hằng năm;

c) Kiểm tra sức chịu đựng cho rủi ro lãi suất trên sổ ngân hàng định kỳ tối thiểu hằng quý; 

d) Kiểm tra sức chịu đựng về vốn định kỳ tối thiểu hằng năm và bất cứ khi nào xảy ra các sự kiện có thể gây tác động nghiêm trọng đến mức đủ vốn của ngân hàng.

6. Căn cứ kết quả kiểm tra sức chịu đựng, ngân hàng phải:

a) Đánh giá khả năng tuân thủ các tỷ lệ bảo đảm an toàn, các hạn chế khác để bảo đảm an toàn trong hoạt động của ngân hàng liên quan đến các loại kiểm tra sức chịu đựng theo khoản 1 Điều này;

b) Sử dụng kết quả kiểm tra sức chịu đựng để xây dựng hoặc sửa đổi các kế hoạch, chiến lược kinh doanh, chính sách quản lý rủi ro, kế hoạch dự phòng, phương án khắc phục theo quy định tại Luật Các tổ chức tín dụng trong trường hợp cần thiết.

c) Lập kế hoạch dự phòng theo quy định tại khoản 4 Điều 48 Thông tư này (đối với kết quả kiểm tra sức chịu đựng về thanh khoản);

d) Tính toán vốn kinh tế để xác định vốn mục tiêu quy định tại Mục 9 Chương này (đối với kết quả kiểm tra sức chịu đựng về vốn).

Điều 24. Quản lý dữ liệu rủi ro

Dữ liệu rủi ro được sử dụng để thực hiện hoạt động quản lý rủi ro theo quy định tại Chương này. Ngân hàng quản lý dữ liệu rủi ro theo quy định nội bộ, tối thiểu đảm bảo các yêu cầu sau:

1. Dữ liệu rủi ro phải chính xác (accuracy) và toàn vẹn (integrity) trong đó đảm bảo nhất quán các khái niệm về dữ liệu, có kênh báo cáo nội bộ và kế hoạch khắc phục về tình trạng dữ liệu kém chất lượng (nếu có).

2. Ngân hàng phải thu thập và tổng hợp được dữ liệu rủi ro, tối thiểu bao gồm toàn bộ dữ liệu rủi ro từ các rủi ro trọng yếu.

3. Ngân hàng có khả năng tổng hợp dữ liệu rủi ro phục vụ cho hoạt động quản lý rủi ro một cách nhanh chóng, kịp thời.

4. Ngân hàng có khả năng tổng hợp dữ liệu rủi ro đáp ứng yêu cầu các loại báo cáo quản lý rủi ro khác nhau.

Điều 25. Trách nhiệm của Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc), cá nhân, bộ phận về hoạt động quản lý rủi ro

1. Hội đồng quản trị, Hội đồng thành viên của ngân hàng thương mại thực hiện các chức năng, nhiệm vụ liên quan đến hoạt động quản lý rủi ro theo quy định tại Thông tư này, quy định nội bộ của ngân hàng.

2. Tổng giám đốc (Giám đốc) của ngân hàng thương mại có trách nhiệm:

a) Xây dựng, tổ chức thực hiện chính sách quản lý rủi ro;

b) Tổ chức thực hiện đánh giá nội bộ về mức đủ vốn;

c) Thực hiện nội dung khác do ngân hàng thương mại quy định.

3. Cá nhân, bộ phận quản lý Tài sản/Nợ phải trả của ngân hàng thương mại có trách nhiệm:

a) Quản lý bảng cân đối tài sản hiệu quả, phù hợp với chính sách quản lý rủi ro;

b) Rà soát, đề xuất kế hoạch huy động vốn, kế hoạch sử dụng vốn, nguyên tắc xây dựng giá điều chuyển vốn nội bộ;

c) Xây dựng khung lãi suất, khung giá cho các sản phẩm khác để quản lý tài sản tài chính và nợ phải trả tài chính;

d) Kiểm soát hoạt động kinh doanh đảm bảo tuân thủ hạn mức rủi ro thanh khoản, hạn mức rủi ro lãi suất trên sổ ngân hàng, tổng tài sản tính theo rủi ro lãi suất trên sổ ngân hàng;

đ) Thực hiện nội dung khác do ngân hàng thương mại quy định.

4. Cá nhân, bộ phận thực hiện đánh giá nội bộ về mức đủ vốn của ngân hàng thương mại có trách nhiệm:

a) Thực hiện đánh giá nội bộ về mức đủ vốn;

b) Thực hiện nội dung khác do ngân hàng thương mại quy định.

5. Bộ phận quản lý rủi ro của ngân hàng thương mại có nhiệm vụ, trách nhiệm:

a) Giúp Hội đồng rủi ro đề xuất, tham mưu Tổng giám đốc (Giám đốc) trong việc:

(i) Xây dựng, thực hiện, đánh giá, đề xuất điều chỉnh chính sách quản lý rủi ro theo quy định tại khoản 3 Điều 19 Thông tư này để trình Hội đồng quản trị, Hội đồng thành viên quyết định;

(ii) Xây dựng, thực hiện và phân bổ hạn mức rủi ro;

(iii) Tự kiểm tra, đánh giá về quản lý rủi ro và đề xuất Hội đồng quản trị, Hội đồng thành viên các biện pháp xử lý, khắc phục;

b) Giúp Hội đồng rủi ro trong việc theo dõi trạng thái rủi ro so với các hạn mức rủi ro để cảnh báo, nhận biết sớm rủi ro và nguy cơ vi phạm hạn mức rủi ro;

c) Phối hợp với tuyến bảo vệ thứ nhất để nhận dạng đầy đủ và theo dõi các rủi ro phát sinh;

d) Xây dựng và sử dụng các phương pháp đánh giá và đo lường rủi ro;

đ) Kiểm soát, phòng ngừa và đề xuất biện pháp giảm thiểu rủi ro phát sinh;

e) Tham gia các nội dung liên quan đến rủi ro trong quá trình đưa ra các quyết định có rủi ro tương ứng với từng cấp có thẩm quyền theo quy định nội bộ của ngân hàng;

g) Xây dựng phương pháp luận và lập kịch bản cho kiểm tra sức chịu đựng trên cơ sở phối hợp với bộ phận kinh doanh, bộ phận tuân thủ và các bộ phận khác có liên quan;

h) Thực hiện báo cáo nội bộ về quản lý rủi ro theo quy định nội bộ của ngân hàng thương mại;

i) Trực tiếp báo cáo Hội đồng quản trị, Hội đồng thành viên về các vấn đề có liên quan đến quản lý rủi ro trong trường hợp cần thiết theo quy định nội bộ của ngân hàng thương mại;

k) Thực hiện nội dung khác do ngân hàng thương mại quy định.

6. Cá nhân, bộ phận khác của ngân hàng thương mại liên quan đến việc quản lý rủi ro có trách nhiệm thực hiện theo quy định nội bộ về quản lý rủi ro của ngân hàng.

7. Đối với chi nhánh ngân hàng nước ngoài:

a) Tổng giám đốc (Giám đốc) của chi nhánh ngân hàng nước ngoài thực hiện các chức năng, nhiệm vụ liên quan đến hoạt động quản lý rủi ro theo quy định của ngân hàng mẹ;

b) Bộ phận quản lý rủi ro; cá nhân, bộ phận khác của chi nhánh ngân hàng nước ngoài trong việc quản lý rủi ro có nhiệm vụ, trách nhiệm:

(i) Thực hiện quản lý rủi ro, đánh giá nội bộ về mức đủ vốn;

(ii) Thực hiện nội dung khác do chi nhánh ngân hàng nước ngoài quy định.

Mục 2. QUẢN LÝ RỦI RO TÍN DỤNG

Điều 26. Yêu cầu, chiến lược quản lý rủi ro tín dụng, hạn mức rủi ro tín dụng

1. Quản lý rủi ro tín dụng được thực hiện trong suốt quá trình xem xét, thẩm định, quyết định, quản lý cấp tín dụng đảm bảo tuân thủ quy định của Ngân hàng Nhà nước và quy định của pháp luật có liên quan.

2. Ngân hàng phải ban hành chiến lược quản lý rủi ro tín dụng, tối thiểu bao gồm:

a) Có các mục tiêu về chất lượng tín dụng (tối thiểu bao gồm tỷ lệ nợ xấu mục tiêu, tỷ lệ cấp tín dụng xấu mục tiêu) theo sản phẩm, khách hàng, ngành kinh tế; lợi nhuận, tăng trưởng trong hoạt động cấp tín dụng;

b) Có phương pháp tiếp cận mang tính kế thừa, liên tục, trong đó chiến lược quản lý rủi ro tín dụng phải tính đến các yếu tố mang tính chu kỳ kinh tế, tác động dự kiến đến danh mục cấp tín dụng;

c) Nguyên tắc xác định chi phí bù đắp rủi ro tín dụng trong phương pháp tính lãi suất, định giá sản phẩm tín dụng (pricing) theo mức độ rủi ro tín dụng của khách hàng;

d) Nguyên tắc áp dụng biện pháp giảm thiểu rủi ro tín dụng (bao gồm cả thẩm quyền phê duyệt biện pháp giảm thiểu rủi ro tín dụng);

đ) Nguyên tắc thực hiện kiểm tra sức chịu đựng về rủi ro tín dụng.

3. Ngân hàng phải thiết lập hạn mức rủi ro tín dụng, tối thiểu bao gồm hạn mức cấp tín dụng đối với sản phẩm, khách hàng, ngành kinh tế, hình thức bảo đảm.

Điều 27. Hệ thống xếp hạng tín dụng nội bộ

1. Ngân hàng phải có hệ thống xếp hạng tín dụng nội bộ theo quy định của Ngân hàng Nhà nước về phân loại tài sản có trong hoạt động của ngân hàng thương mại, tổ chức tín dụng phi ngân hàng, chi nhánh ngân hàng nước ngoài làm cơ sở cho việc đo lường rủi ro tín dụng, cung cấp thông tin về danh mục cấp tín dụng, quản lý rủi ro tín dụng.

2. Hệ thống xếp hạng tín dụng nội bộ phải đảm bảo tối thiểu các yêu cầu sau đây:

a) Có các tiêu chí để đánh giá khả năng trả nợ của khách hàng (trong đó có xem xét đến các yếu tố kinh tế - xã hội vĩ mô, môi trường kinh doanh ảnh hưởng đến khả năng trả nợ của khách hàng);

b) Có hệ thống thông tin để vận hành hệ thống xếp hạng tín dụng nội bộ;

c) Hệ thống xếp hạng tín dụng nội bộ phải được đánh giá tối thiểu hằng năm bởi cá nhân hoặc bộ phận độc lập với cá nhân hoặc bộ phận xây dựng, sử dụng hệ thống xếp hạng nội bộ làm cơ sở để xem xét, sửa đổi, bổ sung (nếu cần thiết);

d) Có đầy đủ thông tin về hệ thống xếp hạng tín dụng nội bộ để cung cấp theo yêu cầu của kiểm toán nội bộ, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác khi thực hiện kiểm toán, thanh tra, kiểm tra, giám sát.

Điều 28. Đo lường, theo dõi và kiểm soát rủi ro tín dụng

1. Ngân hàng phải sử dụng phương pháp hoặc mô hình hoặc cả phương pháp và mô hình để đo lường rủi ro tín dụng.

2. Ngân hàng phải theo dõi, kiểm soát rủi ro tín dụng tối thiểu đảm bảo:

a) Thực hiện phân loại nợ, trích lập dự phòng rủi ro, sử dụng dự phòng rủi ro để xử lý rủi ro tín dụng, theo dõi kết quả phân loại nợ và đánh giá mức độ đầy đủ của dự phòng rủi ro theo quy định của pháp luật;

b) Theo dõi, đánh giá rủi ro tín dụng đối với từng khoản cấp tín dụng và toàn bộ danh mục cấp tín dụng và có biện pháp xử lý khi chất lượng tín dụng bị suy giảm;

c) Kiểm soát trạng thái rủi ro tín dụng thực tế theo hạn mức rủi ro tín dụng được phân bổ đối với từng khoản cấp tín dụng, danh mục các khoản cấp tín dụng, đảm bảo tuân thủ giới hạn cấp tín dụng theo quy định của pháp luật;

d) Thực hiện giám sát từ xa và kiểm tra tại chỗ đối với khách hàng để theo dõi, kiểm soát rủi ro tín dụng. Riêng đối với khoản cấp tín dụng có mức giá trị nhỏ, ngân hàng thực hiện biện pháp kiểm tra, giám sát theo quy định của Ngân hàng Nhà nước về việc kiểm tra, giám sát đối với khoản cấp tín dụng có mức giá trị nhỏ. Tần suất việc thực hiện kiểm tra, giám sát theo quy định nội bộ của ngân hàng;

đ) Xây dựng và thực hiện theo các tiêu chí đánh giá, phương pháp xác định mức độ suy giảm chất lượng tín dụng của từng khoản cấp tín dụng và danh mục cấp tín dụng, cơ chế cảnh báo sớm khi có nguy cơ chất lượng tín dụng của khách hàng bị suy giảm.

Điều 29. Thẩm định cấp tín dụng

1. Ngân hàng thực hiện thẩm định tín dụng đảm bảo tối thiểu bao gồm:

a) Thẩm định khả năng đáp ứng các điều kiện để khách hàng được cấp tín dụng;

b) Xác định người có liên quan của khách hàng thuộc đối tượng phải cung cấp thông tin người có liên quan theo quy định của pháp luật về cấp tín dụng; tổng mức dư nợ cấp tín dụng (bao gồm cả mức dư nợ cấp tín dụng mà khách hàng đang đề nghị) của khách hàng, khách hàng và người có liên quan của khách hàng thuộc đối tượng phải cung cấp thông tin người có liên quan theo quy định của pháp luật về cấp tín dụng;

c) Việc sử dụng kết quả xếp hạng khách hàng, bao gồm cả xếp hạng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài khác (nếu có);

d) Đánh giá tính đầy đủ về hồ sơ, tình trạng pháp lý của tài sản bảo đảm và khả năng thu hồi nợ từ việc xử lý tài sản bảo đảm đối với trường hợp cấp tín dụng có tài sản bảo đảm;

đ) Thẩm định khả năng thực hiện các nghĩa vụ cam kết của bên bảo lãnh đối với các khoản cấp tín dụng có bảo lãnh.

2. Trong quá trình thẩm định, trường hợp sử dụng các kênh thông tin khác ngoài ngân hàng đối với khách hàng, ngân hàng phải kiểm tra chất lượng thông tin và tính độc lập của kênh thông tin với bên được cấp tín dụng.

Điều 30. Quyết định có rủi ro tín dụng

Quyết định có rủi ro tín dụng được ngân hàng quyết định phải đảm bảo:

1. Thẩm quyền quyết định và các trường hợp chuyển lên cấp thẩm quyền cao hơn để quyết định phải được xác định theo các tiêu chí định lượng, định tính.

2. Trường hợp quyết định theo cơ chế hội đồng, hội đồng phải có biên bản quyết định hoặc hình thức tương đương, trong đó nêu rõ lý do quyết định hoặc không quyết định và ghi nhận đầy đủ ý kiến của các thành viên hội đồng. Thành viên hội đồng phải chịu trách nhiệm đối với quyết định của mình.

3. Thông tin cung cấp để quyết định phải đầy đủ, phù hợp với quy mô, loại hình cấp tín dụng. Quy định về danh mục thông tin làm cơ sở để quyết định phải được bộ phận quản lý rủi ro đánh giá đảm bảo thực hiện hiệu quả việc quản lý rủi ro tín dụng.

Điều 31. Quản lý cấp tín dụng

1. Ngân hàng thực hiện quản lý cấp tín dụng đáp ứng các yêu cầu sau đây:

a) Quy định cụ thể về trách nhiệm, thẩm quyền của cá nhân, bộ phận trong việc lập, lưu trữ hồ sơ tín dụng bảo đảm hồ sơ tín dụng đầy đủ theo quy định của pháp luật;

b) Giải ngân phù hợp với mục đích sử dụng vốn, loại hình cấp tín dụng;

c) Kiểm tra, giám sát khoản cấp tín dụng sau khi được giải ngân phải đảm bảo nguyên tắc sau đây:

(i) Kiểm tra, giám sát việc sử dụng vốn vay theo quy định của pháp luật và thỏa thuận trong hợp đồng cấp tín dụng giữa ngân hàng và khách hàng;

(ii) Đánh giá các yếu tố ảnh hưởng đến khả năng trả nợ của khách hàng;

(iii) Thực hiện quản lý tài sản bảo đảm đối với trường hợp cấp tín dụng có tài sản bảo đảm theo quy định tại Điều 33 Thông tư này;

(iv) Theo dõi lịch trả nợ, nhắc nhở khách hàng thực hiện nghĩa vụ trả nợ khi đến hạn, báo cáo kịp thời cho các cấp có thẩm quyền khi khách hàng có nguy cơ không thực hiện hoặc chậm thực hiện nghĩa vụ trả nợ.

2. Ngân hàng phải lưu trữ hồ sơ tín dụng, các thông tin về khả năng thực hiện nghĩa vụ trả nợ, lịch sử trả nợ của khách hàng và thông tin khác có liên quan theo quy định của pháp luật.

Điều 32. Quản lý khoản cấp tín dụng có vấn đề

1. Ngân hàng phải thực hiện quản lý khoản cấp tín dụng có vấn đề để có biện pháp xử lý kịp thời.

2. Việc quản lý khoản cấp tín dụng có vấn đề tối thiểu bao gồm:

a) Có quy định nội bộ quy định rõ tiêu chí, phương pháp để xác định khoản cấp tín dụng có vấn đề;

b) Tăng cường đánh giá khả năng trả nợ của khách hàng, khả năng thu hồi nợ từ các biện pháp bảo đảm;

c) Có biện pháp xử lý, cơ cấu lại đối với các khoản cấp tín dụng có vấn đề, kế hoạch thu hồi nợ;

d) Tăng cường theo dõi, giám sát, thu hồi nợ;

đ) Xác định trách nhiệm để có biện pháp xử lý cá nhân, bộ phận liên quan đến khoản nợ xấu (nếu có).

Điều 33. Quản lý tài sản bảo đảm

1. Ngân hàng phải có quy định nội bộ về quản lý tài sản bảo đảm, tối thiểu bao gồm:

a) Xác định cụ thể các loại tài sản bảo đảm mà ngân hàng chấp nhận đảm bảo phù hợp với quy định của pháp luật;

b) Phương pháp xác định giá trị tài sản theo quy định của pháp luật về định giá hoặc thuê tổ chức có chức năng thẩm định giá để xác định giá trị tài sản bảo đảm làm cơ sở quản lý tài sản bảo đảm, xác định tài sản bảo đảm đủ điều kiện được khấu trừ và tỷ lệ khấu trừ khi trích lập dự phòng theo quy định của pháp luật;

c) Đánh giá mức độ biến động giá trị của tài sản bảo đảm định kỳ hoặc đột xuất theo nguyên tắc tài sản bảo đảm có sự biến động giá trị nhiều hơn sẽ phải đánh giá thường xuyên hơn;

d) Việc tiếp nhận, bảo quản an toàn tài sản bảo đảm.

2. Ngân hàng thực hiện quản lý tài sản bảo đảm theo quy định nội bộ của ngân hàng và quy định của pháp luật có liên quan.

Điều 34. Báo cáo nội bộ về rủi ro tín dụng

1. Định kỳ tối thiểu hằng quý hoặc đột xuất, ngân hàng có báo cáo nội bộ về rủi ro tín dụng quy định tại khoản 2 Điều này.

2. Báo cáo nội bộ về rủi ro tín dụng tối thiểu bao gồm:

a) Chất lượng tín dụng đối với các khoản cấp tín dụng, danh mục cấp tín dụng theo đối tượng khách hàng, ngành kinh tế;

b) Khoản cấp tín dụng có vấn đề, các biện pháp xử lý khoản cấp tín dụng có vấn đề;

c) Khách hàng, ngành kinh tế có dư nợ tín dụng thực tế cao hơn hạn mức rủi ro tín dụng quy định tại khoản 3 Điều 26 Thông tư này (nếu có) và biện pháp kiểm soát;

d) Giá trị tài sản bảo đảm, danh mục tài sản bảo đảm theo từng loại tài sản bảo đảm quy định tại Điều 33 Thông tư này;

đ) Tình hình trích lập dự phòng rủi ro, sử dụng dự phòng rủi ro để xử lý rủi ro tín dụng;

e) Kết quả kiểm tra sức chịu đựng về rủi ro tín dụng trong kỳ báo cáo (nếu có);

g) Cảnh báo sớm khả năng vi phạm các giới hạn, hạn mức rủi ro tín dụng;

h) Các vi phạm về quản lý rủi ro tín dụng và lý do vi phạm;

i) Đề xuất, kiến nghị về quản lý rủi ro tín dụng với cấp nhận báo cáo;

k) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của kiểm toán nội bộ, Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác (nếu có).

Mục 3. QUẢN LÝ RỦI RO THỊ TRƯỜNG

Điều 35. Chiến lược quản lý rủi ro thị trường, hạn mức rủi ro thị trường

1. Ngân hàng phải ban hành chiến lược quản lý rủi ro thị trường, tối thiểu bao gồm:

a) Trạng thái rủi ro thị trường của sổ kinh doanh phải thực hiện phòng ngừa rủi ro thị trường;

b) Nguyên tắc quản lý rủi ro thị trường trong điều kiện bình thường và trong điều kiện biến động mạnh về giá chứng khoán, giá hàng hóa, tỷ giá, giá vàng, lãi suất theo quy định nội bộ của ngân hàng;

c) Nguyên tắc áp dụng biện pháp phòng ngừa rủi ro thị trường (bao gồm cả thẩm quyền phê duyệt biện pháp phòng ngừa rủi ro thị trường);

d) Nguyên tắc kiểm tra sức chịu đựng cho rủi ro thị trường.

2. Ngân hàng phải thiết lập hạn mức rủi ro thị trường, tối thiểu bao gồm:

a) Hạn mức rủi ro lãi suất bao gồm hạn mức rủi ro lãi suất đối với danh mục sản phẩm giao dịch, hạn mức cắt lỗ và hạn mức về tổng trạng thái rủi ro lãi suất trên sổ kinh doanh;

b) Hạn mức rủi ro ngoại hối bao gồm hạn mức về tổng trạng thái ngoại tệ dương, tổng trạng thái ngoại tệ âm, trạng thái vàng và hạn mức cắt lỗ;

c) Hạn mức rủi ro giá hàng hóa bao gồm hạn mức đối với danh mục sản phẩm giao dịch và hạn mức cắt lỗ;

d) Hạn mức giao dịch cho giao dịch viên.

Điều 36. Đo lường, theo dõi và kiểm soát rủi ro thị trường

1. Ngân hàng phải có phương pháp hoặc mô hình hoặc phương pháp và mô hình đo lường rủi ro thị trường đối với rủi ro lãi suất, rủi ro ngoại hối, rủi ro giá cổ phiếu và rủi ro giá hàng hóa. Việc đo lường tối thiểu đảm bảo:

a) Đo lường rủi ro thị trường gắn với từng loại tài sản tài chính, nợ phải trả tài chính, khoản mục ngoại bảng;

b) Tham số, giả định phải được kiểm định, điều chỉnh trên cơ sở so sánh diễn biến thực tế (nếu có) và kết quả thu được từ các phương pháp, mô hình này;

c) Trường hợp ngân hàng sử dụng mô hình giá (mark to model) thì mô hình giá phải đảm bảo yêu cầu sau đây:

(i) Đánh giá đầy đủ các yếu tố ảnh hưởng đến giá trị giao dịch tự doanh, giá trị tài sản cơ sở;

(ii) Được ước tính trên cơ sở thông tin, dữ liệu thị trường được thu thập từ các nguồn tin cậy. Thông tin, dữ liệu thị trường phải được đánh giá độc lập về độ tin cậy, phù hợp theo quy định nội bộ của ngân hàng;

(iii) Được rà soát, đánh giá định kỳ tối thiểu hằng năm hoặc đột xuất nhằm xác định hạn chế của mô hình giá để điều chỉnh cho phù hợp.

2. Ngân hàng thực hiện theo dõi, kiểm soát rủi ro thị trường đối với rủi ro lãi suất, rủi ro ngoại hối, rủi ro giá cổ phiếu và rủi ro giá hàng hóa tối thiểu đảm bảo:

a) Theo dõi trạng thái rủi ro thị trường gắn với từng loại tài sản tài chính, nợ phải trả tài chính, khoản mục ngoại bảng;

b) Cảnh báo sớm về khả năng vi phạm hạn mức rủi ro thị trường;

c) Ngân hàng phải thường xuyên đánh giá trạng thái rủi ro thị trường thực tế (bao gồm cả các giao dịch phòng ngừa rủi ro thị trường) và kịp thời điều chỉnh hạn mức rủi ro thị trường (nếu cần thiết) để đảm bảo tuân thủ hạn mức rủi ro thị trường của ngân hàng;

d) Việc điều chỉnh hạn mức rủi ro thị trường phải được thông báo kịp thời cho các cá nhân, bộ phận có liên quan để thực hiện giao dịch tự doanh, kiểm soát rủi ro thị trường.

Điều 37. Báo cáo nội bộ về rủi ro thị trường

1. Chậm nhất ngày làm việc tiếp theo (ngày T), ngân hàng phải có báo cáo nội bộ về rủi ro thị trường đối với sổ kinh doanh của ngày làm việc hôm trước (ngày T-1), tối thiểu bao gồm:

a) Tổng trạng thái rủi ro thị trường trong ngày;

b) Các phát hiện từ hoạt động kiểm soát đối với giao dịch tự doanh;

c) Mức lãi (lỗ) thực tế và dự tính lãi (lỗ) theo giá trị thị trường của các giao dịch tự doanh;

d) Các hạn mức giao dịch trong ngày và tình hình sử dụng các hạn mức này tính đến thời điểm kết thúc ngày giao dịch.

2. Định kỳ tối thiểu 06 tháng hoặc đột xuất, ngân hàng có báo cáo nội bộ về rủi ro thị trường, tối thiểu bao gồm:

a) Tổng trạng thái rủi ro thị trường so với hạn mức rủi ro thị trường tại thời điểm báo cáo;

b) Kết quả rà soát, đánh giá phương pháp, mô hình đo lường, theo dõi rủi ro thị trường (nếu có);

c) Mức lãi (lỗ) thực tế và dự tính lãi (lỗ) theo giá trị thị trường của các giao dịch tự doanh;

d) Các vi phạm về quản lý rủi ro thị trường và lý do vi phạm (nếu có);

đ) Các trường hợp bất thường trong hoạt động giao dịch tự doanh, thay đổi các giả định chính của phương pháp đo lường rủi ro thị trường;

e) Kết quả kiểm tra sức chịu đựng về rủi ro thị trường trong kỳ báo cáo (nếu có);

g) Các đề xuất, kiến nghị về quản lý rủi ro thị trường với cấp nhận báo cáo;

h) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của kiểm toán nội bộ, Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác (nếu có).

Mục 4. QUẢN LÝ RỦI RO HOẠT ĐỘNG

Điều 38. Chiến lược quản lý rủi ro hoạt động, hạn mức rủi ro hoạt động

1. Ngân hàng phải ban hành chiến lược quản lý rủi ro hoạt động, tối thiểu bao gồm:

a) Nguyên tắc thực hiện quản lý rủi ro hoạt động;

b) Nguyên tắc sử dụng hoạt động thuê ngoài, mua bảo hiểm, ứng dụng công nghệ, bao gồm việc nhận dạng, đánh giá và giám sát rủi ro phát sinh từ bên thứ ba;

c) Các trường hợp phải có kế hoạch duy trì hoạt động liên tục, tối thiểu bao gồm:

(i) Mất tài liệu, cơ sở dữ liệu quan trọng;

(ii) Hệ thống công nghệ thông tin bị sự cố;

(iii) Các sự kiện bất khả kháng (chiến tranh, thiên tai, dịch bệnh, cháy nổ...).

d) Nguyên tắc triển khai đánh giá rủi ro hoạt động theo các kịch bản giả định (Scenario Analysis) để chủ động nhận diện điểm yếu, chuẩn bị biện pháp ứng phó và bảo đảm khả năng hoạt động liên tục trong trường hợp ngân hàng sử dụng phương pháp tại điểm e khoản 3 Điều 39 Thông tư này.

2. Ngân hàng phải thiết lập hạn mức rủi ro hoạt động, tối thiểu bao gồm:

a) Hạn mức về mức độ tổn thất tài chính đối với từng trường hợp quy định tại khoản 2 Điều 39 Thông tư này theo 06 nhóm quy định tại khoản 3 Điều này;

b) Hạn mức về mức độ tổn thất phi tài chính (bao gồm cả uy tín, danh tiếng, nghĩa vụ pháp lý).

3. Ngân hàng phải phân loại hoạt động thành 06 nhóm sau đây để quản lý rủi ro hoạt động:

a) Hoạt động tạo thu nhập lãi và các khoản thu nhập tương tự;

b) Hoạt động phát sinh chi phí lãi và các chi phí tương tự;

c) Hoạt động dịch vụ;

d) Hoạt động kinh doanh ngoại hối;

đ) Hoạt động mua bán chứng khoán kinh doanh, chứng khoán đầu tư;

e) Hoạt động khác.

Điều 39. Nhận dạng, đo lường, theo dõi và kiểm soát rủi ro hoạt động

1. Ngân hàng phải nhận dạng đầy đủ rủi ro hoạt động trong tất cả các giao dịch, sản phẩm, hoạt động, quy trình nghiệp vụ, hệ thống thông tin, rủi ro từ bên thứ ba.

2. Việc nhận dạng rủi ro hoạt động được thực hiện đối với các trường hợp sau đây:

a) Gian lận nội bộ do hành vi lừa đảo, chiếm đoạt tài sản, vi phạm các chiến lược, chính sách và quy định nội bộ liên quan đến ít nhất một cá nhân của ngân hàng (bao gồm việc thực hiện các hành vi để trục lợi như thực hiện không đúng chức trách, nhiệm vụ, vượt thẩm quyền, trộm cắp, lợi dụng thông tin nội bộ);

b) Gian lận bên ngoài do các hành vi lừa đảo, chiếm đoạt tài sản do đối tượng bên ngoài gây nên mà không có sự trợ giúp, cấu kết của cá nhân, bộ phận của ngân hàng (bao gồm cả hành vi trộm cắp, cướp, giả mạo thẻ ngân hàng, chứng từ ngân hàng, xâm nhập hệ thống thông tin để chiếm đoạt dữ liệu, tiền);

c) Chính sách về lao động, an toàn nơi làm việc không phù hợp hợp đồng lao động, quy định của pháp luật về lao động, bảo vệ sức khỏe và an toàn nơi làm việc;

d) Sản phẩm, dịch vụ, cách thức cung cấp sản phẩm, dịch vụ không phù hợp với quy định, quyền lợi khách hàng (bao gồm cả hành vi vi phạm bảo mật thông tin khách hàng, vi phạm quy định về phòng chống rửa tiền, cung cấp sản phẩm, dịch vụ không đúng thẩm quyền);

đ) Hư hỏng, mất mát tài sản, công cụ, thiết bị do các sự kiện bất khả kháng, tác động của con người và các sự kiện khác;

e) Gián đoạn hoạt động kinh doanh do hạ tầng công nghệ thông tin gặp sự cố;

g) Hạn chế của quy trình giao dịch, kiểm soát giao dịch và quản lý giao dịch;

h) Các trường hợp khác theo quy định nội bộ của ngân hàng.

3. Ngân hàng phải áp dụng tối thiểu hai trong số các công cụ sau đây nhằm đánh giá, đo lường rủi ro hoạt động đối với các trường hợp quy định tại khoản 2 Điều này theo 06 nhóm quy định tại khoản 3 Điều 38 Thông tư này:

a) Quản lý sự kiện (Event management) để nhận diện, phân tích, quản lý xuyên suốt sự kiện rủi ro hoạt động; cung cấp thông tin đầu vào cho tự đánh giá rủi ro hoạt động và hiệu quả của các biện pháp kiểm soát;

b) Thu thập và phân tích dữ liệu tổn thất nội bộ của ngân hàng và dữ liệu tổn thất bên ngoài từ hệ thống ngân hàng (Internal and external loss data collection and analysis) để xác định tổn thất nội bộ;

c) Tự đánh giá kiểm soát rủi ro hoạt động (Risk Control Self Assessment - RCSA) để xác định hiệu quả của hoạt động kiểm soát đối với rủi ro hoạt động trước và sau khi kiểm soát;

d) Khung giám sát và đảm bảo kiểm soát (Control Monitoring and Assurance Framework) để đánh giá, rà soát, giám sát liên tục và kiểm tra các hoạt động kiểm soát phù hợp với từng loại rủi ro hoạt động và hoạt động kinh doanh;

đ) Chỉ số kết quả kinh doanh và chỉ số rủi ro trọng yếu (Risk and Performance Indicators) để theo dõi yếu tố tác động đến rủi ro hoạt động và xác định các hạn chế và tổn thất tiềm ẩn;

e) Phân tích kịch bản (Scenario Analysis) để xác định nguồn phát sinh rủi ro hoạt động và các yêu cầu kiểm soát, giảm thiểu rủi ro hoạt động trong các kịch bản và sự kiện có thể xảy ra;

g) Đối chiếu và phân tích so sánh (Benchmarking and Comparative Analysis) để so sánh giữa kết quả của các công cụ đo lường, quản lý rủi ro khác nhau trong chính ngân hàng và với các ngân hàng khác nhằm hiểu rõ hồ sơ rủi ro hoạt động;

h) Sơ đồ hóa các quy trình nghiệp vụ (Business Process Mapping - BPM) để xác định mức độ rủi ro hoạt động của từng quy trình nghiệp vụ, rủi ro hoạt động chung của các quy trình nghiệp vụ và mối liên hệ của các rủi ro này;

i) Sử dụng các phát hiện của kiểm toán nội bộ và kiểm toán độc lập (Audit Findings) để đánh giá hiệu quả của biện pháp kiểm soát, thực hiện biện pháp ngăn ngừa, khắc phục rủi ro hoạt động.

4. Ngân hàng thực hiện theo dõi, kiểm soát rủi ro hoạt động thông qua hoạt động kiểm soát quy định tại Thông tư này và biện pháp khác theo quy định nội bộ của ngân hàng. Trường hợp tổn thất thực tế vượt hạn mức rủi ro hoạt động, ngân hàng phải có biện pháp tăng cường để kiểm soát, giảm thiểu rủi ro hoạt động đó trong tương lai.

Điều 40. Quản lý rủi ro hoạt động đối với hoạt động thuê ngoài

1. Ngân hàng thực hiện quản lý rủi ro hoạt động đối với hoạt động thuê ngoài thông qua:

a) Quản lý hoạt động thuê ngoài theo quy định tại khoản 2 Điều này;

b) Nhận dạng, đo lường, theo dõi và kiểm soát rủi ro hoạt động phát sinh từ hoạt động thuê ngoài theo quy định tại Điều 39 Thông tư này;

2. Quản lý hoạt động thuê ngoài tối thiểu bao gồm:

a) Xác định phạm vi hoạt động thuê ngoài và mức độ phụ thuộc vào bên thứ ba;

b) Phân cấp thẩm quyền phê duyệt, quyết định đối với các hoạt động thuê ngoài;

c) Thẩm định năng lực của bên thứ ba trong việc đáp ứng các yêu cầu, mục tiêu đề ra của hoạt động thuê ngoài trước khi ký hợp đồng thuê ngoài; đánh giá khả năng thực hiện hợp đồng của bên thứ ba trong suốt quá trình thực hiện hợp đồng;

d) Hợp đồng thuê ngoài phải đảm bảo chặt chẽ, đầy đủ, bảo vệ quyền sở hữu, bảo mật cơ sở dữ liệu, thông tin khách hàng, quyền chấm dứt hợp đồng thuê ngoài của ngân hàng. Hợp đồng thuê ngoài tối thiểu bao gồm: mức độ và phạm vi hoạt động thuê ngoài; quyền, nghĩa vụ cụ thể của ngân hàng và bên thứ ba; điều khoản xử lý tranh chấp theo quy định của pháp luật; 

đ) Lập hoặc yêu cầu bên thứ ba lập kế hoạch duy trì hoạt động liên tục cho hoạt động thuê ngoài theo Điều 43 Thông tư này;

e) Thiết lập cơ chế giám sát của ngân hàng đối với bên thứ ba trong thời gian thực hiện thuê ngoài.

3. Ngân hàng thực hiện quản lý rủi ro bên thứ ba từ hoạt động thuê ngoài tối thiểu đảm bảo:

a) Ngân hàng theo dõi các hợp đồng thuê ngoài tối thiểu bao gồm các nội dung sau: mức độ trọng yếu của thỏa thuận, khả năng thay thế cho dịch vụ bên thứ ba đang cung cấp (substitutability), danh sách các nhà cung cấp dự phòng (contingent providers), việc có hay không chia sẻ thông tin mật hoặc thông tin độc quyền, địa điểm cung cấp dịch vụ;

b) Ngân hàng thực hiện đánh giá tổng thể các rủi ro có khả năng phát sinh từ hoạt động thuê ngoài trước khi ký kết hợp đồng;

c) Ngân hàng giám sát các rủi ro phát sinh từ hoạt động thuê ngoài, định kỳ báo cáo cấp có thẩm quyền theo quy định nội bộ của ngân hàng;

d) Ngân hàng xây dựng và định kỳ rà soát, cập nhật kế hoạch duy trì hoạt động liên tục bao gồm các biện pháp phục hồi đảm bảo không bị gián đoạn vận hành khi hoạt động thuê ngoài xảy ra sự cố.

4. Ngân hàng phải đảm bảo việc thực hiện hoạt động thuê ngoài không làm thay đổi trách nhiệm trong việc thực hiện nghĩa vụ của ngân hàng đối với bên liên quan.

Điều 41. Quản lý rủi ro hoạt động trong ứng dụng công nghệ

1. Ngân hàng quản lý rủi ro hoạt động trong ứng dụng công nghệ vào hoạt động nội bộ và hoạt động giao dịch với khách hàng (sau đây gọi tắt là ứng dụng công nghệ) thông qua:

a) Quản lý ứng dụng công nghệ theo quy định tại khoản 2 Điều này;

b) Nhận dạng, đo lường, theo dõi và kiểm soát rủi ro hoạt động phát sinh trong ứng dụng công nghệ theo quy định tại Điều 39 Thông tư này tối thiểu đảm bảo:

(i) Nhận dạng nguy cơ phát sinh rủi ro hoạt động liên quan hệ thống mạng kết nối nội bộ và bên ngoài, phần cứng, phần mềm, ứng dụng, giao diện giao dịch, vận hành và yếu tố con người;

(ii) Đo lường rủi ro trên cơ sở ước tính tổn thất khi xảy ra rủi ro hoạt động đối với hoạt động kinh doanh;

(iii) Theo dõi, đánh giá khả năng duy trì hoạt động ổn định trước nguy cơ phát sinh rủi ro hoạt động trong ứng dụng công nghệ;

(iv) Kiểm soát, có các biện pháp giảm thiểu rủi ro hoạt động (nếu cần thiết) trong hoạt động ứng dụng công nghệ.

2. Quản lý ứng dụng công nghệ của ngân hàng tối thiểu đảm bảo:

a) Có quy định quản lý ứng dụng công nghệ tối thiểu bao gồm:

(i) Phạm vi quản lý ứng dụng công nghệ tối thiểu đối với hệ thống thông tin;

(ii) Nhiệm vụ, trách nhiệm, quyền hạn của cá nhân, bộ phận thực hiện quản lý ứng dụng công nghệ;

(iii) Quản lý hiệu quả khi có sự cố, thay đổi ứng dụng công nghệ;

(iv) Hệ thống xác thực đảm bảo bảo mật thông tin của khách hàng, an toàn giao dịch và hệ thống thông tin của ngân hàng;

b) Tuân thủ quy định của Ngân hàng Nhà nước về giao dịch điện tử; an toàn, bảo mật cho việc cung cấp dịch vụ trực tuyến trong ngành Ngân hàng và quy định có liên quan của pháp luật.

Điều 42. Mua bảo hiểm để giảm thiểu tổn thất rủi ro hoạt động

1. Ngân hàng được mua bảo hiểm để giảm thiểu tổn thất phát sinh từ rủi ro hoạt động theo quy định của pháp luật, đảm bảo phù hợp với năng lực tài chính và bù đắp tổn thất của ngân hàng.

2. Ngân hàng không sử dụng việc mua bảo hiểm để thay thế quản lý rủi ro hoạt động.

3. Khi mua bảo hiểm, ngân hàng phải đánh giá năng lực tài chính, uy tín của doanh nghiệp bán bảo hiểm trong việc thực hiện hợp đồng bảo hiểm.

4. Ngân hàng phải đánh giá định kỳ về hiệu quả của việc mua bảo hiểm để giảm thiểu tổn thất rủi ro hoạt động. 

Điều 43. Kế hoạch duy trì hoạt động liên tục

1. Ngân hàng phải xây dựng, phê duyệt, duy trì và định kỳ cập nhật kế hoạch duy trì hoạt động liên tục trong các trường hợp quy định tại điểm c khoản 1 Điều 38 Thông tư này để đảm bảo khả năng ứng phó, phục hồi và tiếp tục kinh doanh, cung ứng hoạt động ngân hàng trong các tình huống gián đoạn nghiêm trọng, phù hợp với khẩu vị rủi ro, năng lực tài chính và định hướng kinh doanh của ngân hàng.

2. Kế hoạch duy trì hoạt động liên tục phải đáp ứng tối thiểu các yêu cầu sau đây:

a) Xác định rõ thẩm quyền kích hoạt kế hoạch duy trì hoạt động liên tục và vai trò, trách nhiệm của cá nhân, bộ phận có liên quan trong việc thực hiện kế hoạch này;

b) Phù hợp với tính chất, quy mô hoạt động của ngân hàng;

c) Xác định các hoạt động quan trọng, sản phẩm, dịch vụ và quy trình nghiệp vụ trọng yếu cần được ưu tiên duy trì;

d) Có hệ thống dự phòng về nhân sự, địa điểm làm việc thay thế, hệ thống thông tin và hạ tầng thiết yếu;

đ) Đảm bảo khả năng phối hợp, trao đổi thông tin kịp thời, hiệu quả trong nội bộ và với cơ quan quản lý, khách hàng, đối tác quan trọng trong tình huống gián đoạn;

e) Có các biện pháp giảm thiểu tổn thất và tác động bất lợi từ sự cố hoặc ngừng hoạt động;

g) Đảm bảo khôi phục hoạt động kinh doanh bị gián đoạn về trạng thái bình thường trong thời hạn yêu cầu;

h) Được rà soát và thử nghiệm hoặc diễn tập định kỳ tối thiểu hằng năm hoặc khi có thay đổi trọng yếu về môi trường hoạt động, công nghệ hoặc tổ chức nhằm đánh giá hiệu quả của kế hoạch duy trì hoạt động liên tục và điều chỉnh (nếu cần thiết).

Điều 44. Báo cáo nội bộ về rủi ro hoạt động

1. Định kỳ tối thiểu 06 tháng hoặc đột xuất, ngân hàng có báo cáo nội bộ về rủi ro hoạt động theo quy định tại khoản 2 Điều này.

2. Báo cáo nội bộ về rủi ro hoạt động tối thiểu bao gồm:

a) Tình hình thực hiện chiến lược quản lý rủi ro hoạt động, tuân thủ hạn mức rủi ro hoạt động;

b) Trường hợp phát sinh rủi ro hoạt động trong kỳ báo cáo và lý do;

c) Dữ liệu tổn thất do rủi ro hoạt động theo 06 nhóm quy định tại khoản 3 Điều 38 Thông tư này, các biện pháp xử lý tổn thất (nếu có);

d) Việc xây dựng, hoàn thiện kế hoạch duy trì hoạt động liên tục, việc kích hoạt, kết quả thử nghiệm, diễn tập, kết quả rà soát kế hoạch này (nếu có);

đ) Sự kiện, tác động bên ngoài ảnh hưởng đến rủi ro hoạt động của ngân hàng;

e) Các công cụ đo lường rủi ro hoạt động và thay đổi về công cụ đo lường (nếu có);

g) Tình hình hoạt động thuê ngoài và quản lý rủi ro hoạt động đối với hoạt động thuê ngoài;

h) Thay đổi về ứng dụng công nghệ (nếu có) và tình hình quản lý rủi ro hoạt động trong ứng dụng công nghệ;

i) Các đề xuất, kiến nghị về quản lý rủi ro hoạt động;

k) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của kiểm toán nội bộ, Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác (nếu có).

Mục 5. QUẢN LÝ RỦI RO THANH KHOẢN

Điều 45. Yêu cầu, chiến lược quản lý rủi ro thanh khoản, hạn mức rủi ro thanh khoản

1. Việc quản lý rủi ro thanh khoản của ngân hàng phải đáp ứng tối thiểu các yêu cầu sau đây:

a) Duy trì đủ tài sản có tính thanh khoản cao theo quy định của Ngân hàng Nhà nước để đáp ứng nhu cầu thanh khoản trong điều kiện ngân hàng hoạt động bình thường và trong điều kiện có diễn biến bất lợi về thanh khoản (bao gồm cả việc xác định tổn thất, chi phí khi tiếp cận thanh khoản trên thị trường);

b) Xác định được chi phí đáp ứng nhu cầu thanh khoản và rủi ro thanh khoản trong việc định giá vốn nội bộ, đánh giá kết quả kinh doanh đối với các hoạt động kinh doanh trọng yếu (bao gồm cả nội bảng và ngoại bảng).

2. Ngân hàng phải ban hành chiến lược quản lý rủi ro thanh khoản, tối thiểu bao gồm:

a) Nguyên tắc quản lý thanh khoản, tối thiểu các quy định tại Điều 46 Thông tư này;

b) Chiến lược đa dạng hóa nguồn vốn huy động, thời hạn vốn huy động để tăng sự ổn định của nợ phải trả, hỗ trợ thanh khoản hằng ngày;

c) Nguyên tắc thực hiện kiểm tra sức chịu đựng về thanh khoản.

3. Ngân hàng phải thiết lập hạn mức rủi ro thanh khoản bao gồm:

a) Các hạn mức rủi ro thanh khoản bảo đảm tuân thủ quy định của pháp luật về:

(i) Tỷ lệ khả năng chi trả;

(ii) Tỷ lệ dư nợ cho vay so với tổng tiền gửi, tỷ lệ tối đa của nguồn vốn ngắn hạn được sử dụng để cho vay trung hạn và dài hạn (đối với ngân hàng áp dụng tỷ lệ này);

(iii) Tỷ lệ khác theo quy định của pháp luật (đối với ngân hàng áp dụng tỷ lệ này);

b) Các hạn mức rủi ro khác theo quy định nội bộ của ngân hàng đáp ứng quy định tại Điều 20 Thông tư này.

Điều 46. Quản lý thanh khoản

1. Ngân hàng thực hiện quản lý thanh khoản theo:

a) Phạm vi gồm:

(i) Ngân hàng thương mại;

(ii) Chi nhánh của ngân hàng thương mại theo quy định nội bộ của ngân hàng thương mại;

(iii) Chi nhánh ngân hàng nước ngoài;

b) Đồng Việt Nam và đô la Mỹ (bao gồm đô la Mỹ và các ngoại tệ khác được quy đổi thành đô la Mỹ), ngoại tệ khác (nếu cần thiết).

2. Ngân hàng thực hiện quản lý thanh khoản tối thiểu bao gồm:

a) Quản lý thanh khoản trong ngày: Theo dõi trạng thái thanh khoản, xác định các nguồn vốn và khả năng huy động nguồn vốn này để đảm bảo thanh khoản, dự báo các tình huống làm thay đổi bất thường thanh khoản và có biện pháp xử lý;

b) Quản lý tài sản có tính thanh khoản cao theo giá trị thị trường và khả năng chuyển đổi thành tiền để đáp ứng yêu cầu thanh khoản trong điều kiện thị trường hoạt động bình thường và thị trường khó khăn về thanh khoản;

c) Quản lý nguồn vốn huy động đảm bảo thống kê số liệu về tiền gửi, chỉ số khác tuân thủ quy định của Ngân hàng Nhà nước về các giới hạn, tỷ lệ bảo đảm an toàn trong hoạt động của ngân hàng và chỉ số theo quy định nội bộ của ngân hàng;

d) Quản lý dòng tiền phải xác định chênh lệch về dòng tiền thông qua so sánh dòng tiền ra và dòng tiền vào, đảm bảo tuân thủ quy định của Ngân hàng Nhà nước về các giới hạn, tỷ lệ bảo đảm an toàn trong hoạt động của ngân hàng và các tỷ lệ về thanh khoản khác theo quy định nội bộ của ngân hàng;

đ) Quản lý nguồn thanh khoản đảm bảo đánh giá khả năng tiếp cận các nguồn thanh khoản để đáp ứng nhu cầu thanh khoản tương lai trong điều kiện thị trường hoạt động bình thường và trong điều kiện thị trường khó khăn về thanh khoản.

Điều 47. Nhận dạng, đo lường, theo dõi và kiểm soát rủi ro thanh khoản

1. Việc nhận dạng rủi ro thanh khoản của ngân hàng phải đảm bảo:

a) Thực hiện trên cơ sở phân tích nhu cầu thanh khoản, nguồn thanh khoản của từng hoạt động kinh doanh, cơ cấu Tài sản/Nợ phải trả và dòng tiền của các khoản mục nội bảng và ngoại bảng, khả năng tiếp cận thanh khoản trên thị trường;

b) Nhận dạng rủi ro thanh khoản phát sinh từ rủi ro tín dụng, rủi ro thị trường, rủi ro hoạt động, rủi ro danh tiếng và các rủi ro khác.

2. Ngân hàng phải có công cụ đo lường rủi ro thanh khoản tối thiểu đối với:

a) Dòng tiền tương lai của Tài sản/Nợ phải trả;

b) Nhu cầu thanh khoản bất thường và các trường hợp phải thực hiện nghĩa vụ của các khoản ngoại bảng;

c) Đồng tiền giao dịch;

d) Các hoạt động ngân hàng đại lý, lưu ký và thanh toán.

3. Ngân hàng phải theo dõi, kiểm soát rủi ro thanh khoản tối thiểu đảm bảo:

a) Theo dõi, kiểm soát trạng thái rủi ro thanh khoản đảm bảo tuân thủ các hạn mức rủi ro thanh khoản;

b) Có các chỉ tiêu cảnh báo sớm về rủi ro thanh khoản để có các biện pháp xử lý thiếu hụt thanh khoản tạm thời và dài hạn.

Điều 48. Kiểm tra sức chịu đựng về thanh khoản

1. Khi thực hiện kiểm tra sức chịu đựng về thanh khoản, ngân hàng phải có phương pháp tính toán tác động của các giả định đảm bảo đánh giá được khả năng thực hiện các nghĩa vụ, cam kết và tuân thủ các hạn mức rủi ro thanh khoản. Các giả định, phương pháp tính toán tác động của giả định phải được rà soát, tự đánh giá.

2. Ngân hàng phải áp dụng tối thiểu 03 kịch bản sau khi thực hiện kiểm tra sức chịu đựng về thanh khoản:

a) Kịch bản đặc thù của ngân hàng: Giả định xảy ra khủng hoảng thanh khoản đối với ngân hàng trong khi thanh khoản toàn hệ thống ngân hàng vẫn ổn định (như: Chất lượng tài sản bị xấu đi, nợ phải trả tăng cao, tài sản có tính thanh khoản cao bị sụt giảm nghiêm trọng, gia tăng thâm hụt thanh khoản, xếp hạng tín nhiệm của ngân hàng giảm, ngân hàng bị tấn công thông tin…);

b) Kịch bản toàn hệ thống ngân hàng: Giả định xảy ra khủng hoảng tài chính quy mô rộng có thể ảnh hưởng đến nhiều ngân hàng hoặc toàn bộ hệ thống ngân hàng (như: Có cú sốc kinh tế vĩ mô, gián đoạn thị trường tài chính…);

c) Kịch bản hỗn hợp là kịch bản kết hợp yếu tố của sự kiện đặc thù của ngân hàng và toàn hệ thống: Giả định xảy ra khủng hoảng đặc thù của một ngân hàng lây lan ra toàn hệ thống ngân hàng.

3. Các kịch bản được quy định tại khoản 2 Điều này bao gồm tập hợp các yếu tố rủi ro liên quan đến tài sản có, nợ phải trả, cam kết ngoại bảng. Việc phân tích các yếu tố rủi ro phải xem xét tối thiểu bao gồm:

a) Loại tiền tệ (Đồng Việt Nam và đô la Mỹ (bao gồm đô la Mỹ và các ngoại tệ khác được quy đổi thành đô la Mỹ), ngoại tệ khác (nếu có)) của tài sản có, nợ phải trả và các cam kết ngoại bảng để phản ánh khả năng chuyển đổi tiền tệ;

b) Việc ngân hàng phải thực hiện mua lại nợ hoặc thực hiện nghĩa vụ khác để giảm thiểu rủi ro danh tiếng;

c) Tỷ lệ rút trước hạn (run-off rate) của nợ phải trả thực tế trong thời kỳ căng thẳng gia tăng;

d) Mức độ tập trung của huy động vốn;

đ) Mất hoặc giảm đáng kể khả năng thu hút vốn từ các khách hàng gửi tiền quan trọng hoặc các chủ nợ khác của ngân hàng (bao gồm cả thị trường liên ngân hàng).

4. Căn cứ kết quả kiểm tra sức chịu đựng, ngân hàng phải lập kế hoạch dự phòng trong trường hợp không đáp ứng được các yêu cầu về thanh khoản, tối thiểu bao gồm:

a) Nhận diện khủng hoảng thanh khoản và sự kiện kích hoạt kế hoạch dự phòng;

b) Xác định rõ thẩm quyền kích hoạt kế hoạch dự phòng và vai trò, trách nhiệm của cá nhân, bộ phận có liên quan trong việc thực hiện kế hoạch này;

c) Xác định rõ các nguồn dự phòng tài chính bao gồm lượng vốn có thể huy động, mức độ sẵn có, các điều kiện để được sử dụng, mức độ tin cậy, thời gian huy động dự kiến của những nguồn này;

d) Việc báo cáo, trao đổi thông tin đảm bảo kịp thời, hiệu quả trong và ngoài ngân hàng (bao gồm cả Ngân hàng Nhà nước, cơ quan có thẩm quyền khác) trong quá trình thực hiện kế hoạch dự phòng;

đ) Kế hoạch dự phòng phải được rà soát định kỳ và điều chỉnh (nếu cần thiết).

Điều 49. Báo cáo nội bộ về rủi ro thanh khoản

1. Định kỳ tối thiểu hằng quý hoặc đột xuất, ngân hàng có báo cáo nội bộ về rủi ro thanh khoản theo quy định tại khoản 2 Điều này.

2. Báo cáo nội bộ về rủi ro thanh khoản tối thiểu bao gồm:

a) Nhận định về chỉ số xếp hạng tín nhiệm của ngân hàng và tình hình thanh khoản trên thị trường;

b) Cơ cấu của bảng cân đối tài sản, sản phẩm huy động vốn mới, đối tượng gửi tiền, kỳ hạn và lãi suất tiền gửi;

c) Các nguồn thanh khoản, chênh lệch về dòng tiền, kỳ hạn nguồn vốn, tình hình tuân thủ các hạn mức rủi ro thanh khoản;

d) Kết quả kiểm tra sức chịu đựng về thanh khoản trong kỳ báo cáo (nếu có);

đ) Đề xuất, kiến nghị về quản lý rủi ro thanh khoản với cấp nhận báo cáo;

e) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của kiểm toán nội bộ, Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác (nếu có).

Mục 6. QUẢN LÝ RỦI RO TẬP TRUNG

Điều 50. Chiến lược quản lý rủi ro tập trung, hạn mức rủi ro tập trung

1. Ngân hàng phải ban hành chiến lược quản lý rủi ro tập trung áp dụng tối thiểu đối với:

a) Hoạt động cấp tín dụng;

b) Hoạt động giao dịch tự doanh.

2. Chiến lược quản lý rủi ro tập trung tối thiểu bao gồm:

a) Đối với hoạt động cấp tín dụng:

(i) Nguyên tắc xác định hạn mức tập trung tín dụng theo sản phẩm tín dụng, khách hàng, ngành kinh tế;

(ii) Các tiêu chí xác định người có liên quan của khách hàng phù hợp với quy định của pháp luật;

(iii) Nguyên tắc xác định mức độ đa dạng và mức độ tương tác giữa các sản phẩm tín dụng, ngành kinh tế;

b) Đối với hoạt động giao dịch tự doanh:

(i) Nguyên tắc xác định hạn mức tập trung giao dịch tự doanh theo đối tác giao dịch, sản phẩm giao dịch;

(ii) Tiêu chí xác định danh mục giao dịch tự doanh để áp dụng hạn mức tập trung giao dịch tự doanh đảm bảo mức độ đa dạng và mức độ tương tác theo quy định của ngân hàng.

3. Ngân hàng phải thiết lập hạn mức rủi ro tập trung, tối thiểu bao gồm:

a) Đối với hoạt động cấp tín dụng:

(i) Hạn mức cấp tín dụng cho một khách hàng, một khách hàng và người có liên quan so với vốn tự có và tổng dư nợ;

(ii) Hạn mức cấp tín dụng theo sản phẩm, ngành kinh tế so với tổng dư nợ;

b) Đối với hoạt động giao dịch tự doanh: Hạn mức giao dịch theo đối tác giao dịch, sản phẩm giao dịch so với tổng số dư giao dịch tự doanh.

Điều 51. Nhận dạng, đo lường, theo dõi, kiểm soát rủi ro tập trung

1. Ngân hàng phải nhận dạng rủi ro tập trung tối thiểu trong hoạt động cấp tín dụng, hoạt động giao dịch tự doanh, bao gồm:

a) Các khoản mục được hạch toán là khoản mục nội bảng, khoản mục ngoại bảng của ngân hàng;

b) Các khoản mục chưa được hạch toán theo quy định của pháp luật về kế toán.

2. Ngân hàng thực hiện đo lường rủi ro tập trung trên cơ sở đánh giá mức độ tác động đối với thu nhập của từng hoạt động cấp tín dụng, hoạt động giao dịch tự doanh có rủi ro tập trung.

3. Ngân hàng thực hiện theo dõi, kiểm soát rủi ro tập trung như sau:

a) Theo dõi, kiểm tra dư nợ cấp tín dụng, số dư giao dịch tự doanh theo các hạn mức rủi ro tập trung; cảnh báo sớm các khoản dư nợ, các giao dịch tự doanh gần vượt hạn mức rủi ro tập trung;

b) Có biện pháp xử lý kịp thời đối với các trường hợp vượt quá hạn mức rủi ro tập trung.

Điều 52. Báo cáo nội bộ về rủi ro tập trung

1. Định kỳ tối thiểu 06 tháng hoặc đột xuất, ngân hàng có báo cáo nội bộ về rủi ro tập trung theo quy định tại khoản 2 Điều này.

2. Báo cáo nội bộ về rủi ro tập trung tối thiểu bao gồm:

a) Cơ cấu tín dụng theo sản phẩm, loại khách hàng, ngành kinh tế;

b) Cơ cấu danh mục giao dịch tự doanh theo đối tác giao dịch, sản phẩm giao dịch;

c) Tình hình thực hiện các hạn mức rủi ro tập trung, lý do vượt hạn mức (nếu có);

d) Đề xuất, kiến nghị về quản lý rủi ro tập trung với cấp nhận báo cáo;

đ) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của kiểm toán nội bộ, Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác (nếu có).

Mục 7. QUẢN LÝ RỦI RO LÃI SUẤT TRÊN SỔ NGÂN HÀNG

Điều 53. Chiến lược quản lý rủi ro lãi suất trên sổ ngân hàng, hạn mức rủi ro lãi suất trên sổ ngân hàng

1. Ngân hàng phải ban hành chiến lược quản lý rủi ro lãi suất trên sổ ngân hàng, tối thiểu bao gồm:

a) Nguyên tắc quản lý rủi ro lãi suất trên sổ ngân hàng tối thiểu theo các chỉ số sau đây:

(i) Trạng thái chênh lệch kỳ định lại lãi suất (repricing gap profile) là mức chênh lệch giữa giá trị tài sản nhạy cảm với lãi suất (bao gồm cả khoản mục ngoại bảng) và nợ phải trả nhạy cảm với lãi suất (bao gồm cả khoản mục ngoại bảng) theo thời điểm ấn định mức lãi suất mới hoặc thời điểm định giá lại. 

(ii) Chỉ số đo lường tác động của biến động lãi suất phải bao gồm chỉ tiêu thay đổi thu nhập lãi thuần (Change in Net Interest Income - ΔNII) và chỉ tiêu thay đổi giá trị kinh tế của vốn chủ sở hữu (Change in Economic Value of Equity - ΔEVE). Việc tính toán 2 chỉ tiêu này thực hiện theo quy định tại Phụ lục V ban hành kèm theo Thông tư này;

b) Nguyên tắc áp dụng biện pháp phòng ngừa rủi ro lãi suất trên sổ ngân hàng (bao gồm cả thẩm quyền phê duyệt biện pháp phòng ngừa rủi ro lãi suất trên sổ ngân hàng).

2. Ngân hàng phải thiết lập hạn mức rủi ro lãi suất trên sổ ngân hàng, tối thiểu bao gồm:

a) Hạn mức về thay đổi thu nhập lãi thuần do thay đổi của lãi suất;

b) Hạn mức về thay đổi giá trị kinh tế của vốn chủ sở hữu do thay đổi của lãi suất.

Điều 54. Nhận dạng, đo lường, theo dõi và kiểm soát rủi ro lãi suất trên sổ ngân hàng

1. Ngân hàng thực hiện nhận dạng, đo lường, theo dõi và kiểm soát rủi ro lãi suất trên sổ ngân hàng đáp ứng tối thiểu các yêu cầu sau đây:

a) Có quy trình và thực hiện nhận dạng, đo lường, theo dõi và kiểm soát rủi ro lãi suất trên sổ ngân hàng định kỳ tối thiểu hằng quý và đột xuất theo quy định nội bộ của ngân hàng;

b) Có cá nhân, bộ phận thực hiện đo lường, theo dõi và kiểm soát rủi ro lãi suất trên sổ ngân hàng phải độc lập với cá nhân, bộ phận kinh doanh phát sinh rủi ro lãi suất trên sổ ngân hàng.

2. Nhận dạng rủi ro lãi suất trên sổ ngân hàng phải xác định nguyên nhân, yếu tố làm phát sinh rủi ro lãi suất trên sổ ngân hàng (bao gồm cả rủi ro mới phát sinh từ việc thực hiện hoạt động phòng ngừa rủi ro lãi suất trên sổ ngân hàng).

3. Đo lường rủi ro lãi suất trên sổ ngân hàng phải đảm bảo:

a) Có phương pháp đo lường phù hợp với nguyên tắc quản lý rủi ro lãi suất trên sổ ngân hàng quy định tại điểm a khoản 1 Điều 53 Thông tư này;

b) Thực hiện kiểm tra sức chịu đựng về rủi ro lãi suất trên sổ ngân hàng thông qua đo lường tác động của biến động lãi suất theo các chỉ tiêu quy định tại điểm a(ii) khoản 1 Điều 53 Thông tư này;

c) Đo lường rủi ro lãi suất trên sổ ngân hàng theo từng loại tiền tệ khi có tổng giá trị tài sản hoặc tổng nợ phải trả được hạch toán bằng loại tiền tệ đó chiếm từ 5% trở lên trên tổng tài sản trên sổ ngân hàng của ngân hàng;

d) Các giả định và thay đổi của giả định trong đo lường rủi ro lãi suất trên sổ ngân hàng cần được ghi nhận và lưu trữ.

4. Theo dõi, kiểm soát rủi ro lãi suất trên sổ ngân hàng phải đảm bảo:

a) Theo dõi các thời điểm ấn định mức lãi suất mới, thời điểm định giá lại của tài sản, nợ phải trả, khoản mục ngoại bảng nhạy cảm với lãi suất. Trường hợp không xác định được thời gian đáo hạn, thời điểm ấn định mức lãi suất mới, ngân hàng có thể sử dụng giả định và giả định được sử dụng phải được cấp có thẩm quyền phê duyệt theo quy định nội bộ của ngân hàng.

b) Trạng thái rủi ro lãi suất trên sổ ngân hàng đảm bảo tuân thủ các hạn mức rủi ro lãi suất trên sổ ngân hàng;

c) Có cảnh báo sớm các trường hợp gần vượt hạn mức rủi ro lãi suất trên sổ ngân hàng và biện pháp xử lý kịp thời các trường hợp vượt hạn mức rủi ro lãi suất trên sổ ngân hàng.

Điều 55. Báo cáo nội bộ về rủi ro lãi suất trên sổ ngân hàng

1. Định kỳ tối thiểu hằng quý hoặc đột xuất, ngân hàng có báo cáo nội bộ về rủi ro lãi suất trên sổ ngân hàng theo quy định tại khoản 2 Điều này.

2. Báo cáo nội bộ về rủi ro lãi suất trên sổ ngân hàng tối thiểu bao gồm:

a) Trạng thái chênh lệch kỳ định lại lãi suất quy định tại điểm a(i) khoản 1 Điều 53 Thông tư này;

b) Thay đổi thu nhập lãi thuần, thay đổi giá trị kinh tế của vốn chủ sở hữu quy định tại điểm a(ii) khoản 1 Điều 53 Thông tư này (kết quả kiểm tra sức chịu đựng);

c) Tình hình tuân thủ các hạn mức rủi ro lãi suất trên sổ ngân hàng;

d) Biện pháp phòng ngừa rủi ro lãi suất trên sổ ngân hàng được sử dụng trong kỳ và kết quả thực hiện biện pháp phòng ngừa rủi ro lãi suất trên sổ ngân hàng;

đ) Đề xuất, kiến nghị về quản lý rủi ro lãi suất trên sổ ngân hàng với cấp nhận báo cáo;

e) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của kiểm toán nội bộ, Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác (nếu có).

Mục 8. QUẢN LÝ RỦI RO MÔ HÌNH

Điều 56. Yêu cầu quản lý rủi ro mô hình

1. Ngân hàng xác định danh mục mô hình cần quản lý theo quy định nội bộ; định kỳ xếp hạng, phân loại thành mô hình có rủi ro cao, trung bình, thấp dựa trên các yếu tố (như tính trọng yếu (materiality), tính phức tạp (complexity), mục đích sử dụng của mô hình, chất lượng mô hình (quality)...) theo quy định nội bộ của ngân hàng. Kể từ thời điểm ngân hàng thực hiện giai đoạn chuyển đổi sang phương pháp xếp hạng nội bộ theo quy định của Ngân hàng Nhà nước về tỷ lệ an toàn vốn đối với ngân hàng, mô hình được sử dụng trong phương pháp xếp hạng nội bộ phải được xác định là mô hình có rủi ro cao.

2. Ngân hàng thực hiện quản lý rủi ro mô hình theo quy định tại Mục này, tối thiểu bao gồm các mô hình có rủi ro cao tại khoản 1 Điều này.

3. Ngân hàng thực hiện quản lý rủi ro mô hình có rủi ro thấp, trung bình theo quy định nội bộ của ngân hàng.

4. Trường hợp ngân hàng tự xây dựng mô hình (bao gồm cả hoạt động thuê ngoài đối với mô hình), việc quản lý rủi ro mô hình phải phù hợp với các giai đoạn trong vòng đời mô hình và đáp ứng tối thiểu các yêu cầu sau:

a) Trong giai đoạn xây dựng mô hình, ngân hàng phải xác định mục đích sử dụng, phạm vi sử dụng dự kiến và đánh giá chất lượng dữ liệu đầu vào của mô hình (tối thiểu về tính chính xác, tính đầy đủ) theo quy định nội bộ của ngân hàng;

b)  Trong giai đoạn triển khai mô hình (bao gồm cả việc kiểm thử chấp nhận người dùng (user acceptance testing)), ngân hàng phải đảm bảo triển khai thống nhất với kết quả xây dựng mô hình đã được phê duyệt; trường hợp phát sinh thay đổi không thống nhất thì phải được cấp có thẩm quyền của ngân hàng phê duyệt lại và lưu giữ trong hồ sơ mô hình;

c) Trong quá trình sử dụng mô hình, ngân hàng phải đảm bảo:

(i) Mô hình được sử dụng đúng mục đích, phạm vi;

(ii) Việc ghi đè (override) đối với dữ liệu đầu vào và kết quả đầu ra của mô hình (như trường hợp nhập dữ liệu đầu vào, kết quả đầu ra bị bỏ qua, thay đổi hoặc đảo ngược…) phải được quản lý, tối thiểu bao gồm trường hợp được ghi đè, trường hợp thực hiện ghi đè phải được cấp có thẩm quyền phê duyệt, lưu giữ thông tin và đánh giá việc ghi đè;

(iii) Các phản hồi của cá nhân, bộ phận sử dụng (nếu có) phải được xử lý;

d) Ngân hàng phải theo dõi, giám sát mô hình, trong đó đánh giá về hiệu quả của việc sử dụng mô hình;

đ) Ngân hàng phải kiểm định mô hình tối thiểu bao gồm: Kiểm định trước khi sử dụng, kiểm định khi mô hình có những thay đổi trọng yếu được xác định theo quy định nội bộ của ngân hàng, kiểm định định kỳ tối thiểu hằng năm. Kết quả kiểm định mô hình phải bao gồm báo cáo đánh giá về khả năng đáp ứng mục tiêu ban đầu và hiệu quả sử dụng thực tế của mô hình.

5. Trường hợp ngân hàng mua mô hình (bao gồm cả trường hợp sử dụng mô hình từ ngân hàng mẹ), ngân hàng phải có biện pháp quản lý tối thiểu đảm bảo các yêu cầu sau:

a) Yêu cầu bên bán hoặc ngân hàng mẹ cung cấp thông tin liên quan về mô hình để phục vụ việc đánh giá, sử dụng mô hình;

b) Đánh giá hiệu quả của việc sử dụng mô hình theo quy định của ngân hàng.

6. Ngân hàng phải lập, quản lý hồ sơ mô hình đối với tối thiểu các mô hình quy định tại khoản 2 Điều này (bao gồm cả mô hình đang sử dụng, mô hình được điều chỉnh, mô hình đã ngừng sử dụng).

7. Đối với việc quản lý rủi ro mô hình, ngân hàng có 03 tuyến bảo vệ độc lập như sau:

a) Tuyến bảo vệ thứ nhất là bộ phận hoặc cá nhân thực hiện chức năng xây dựng, triển khai, sử dụng mô hình, nhận dạng, thực hiện các biện pháp kiểm soát, theo dõi, giảm thiểu rủi ro;

b) Tuyến bảo vệ thứ hai là bộ phận hoặc cá nhân thực hiện chức năng kiểm định mô hình, xây dựng chính sách quản lý rủi ro, quy định nội bộ về quản lý rủi ro; theo dõi, kiểm soát rủi ro toàn ngân hàng và tuân thủ quy định của pháp luật;

c) Tuyến bảo vệ thứ ba là bộ phận hoặc cá nhân thực hiện chức năng kiểm toán nội bộ.

Điều 57. Nhận dạng, theo dõi và kiểm soát rủi ro mô hình

1. Nhận dạng rủi ro mô hình phải xác định nguyên nhân làm phát sinh rủi ro mô hình.

2. Theo dõi, kiểm soát rủi ro mô hình để có biện pháp phòng ngừa, giảm thiểu, xử lý rủi ro phát sinh, biện pháp khắc phục (remedial action) đối với hạn chế của mô hình (nếu có).

Điều 58. Báo cáo nội bộ về rủi ro mô hình

1. Định kỳ tối thiểu hằng năm hoặc đột xuất, ngân hàng có báo cáo nội bộ về rủi ro mô hình theo quy định tại khoản 2 Điều này.

2. Báo cáo nội bộ về rủi ro mô hình tối thiểu bao gồm:

a) Danh mục mô hình cần quản lý của ngân hàng, bao gồm: Mô hình có rủi ro cao (mô hình sử dụng trong phương pháp xếp hạng nội bộ, mô hình khác có rủi ro cao), mô hình có rủi ro trung bình, mô hình có rủi ro thấp;

b) Danh mục mô hình được điều chỉnh, mô hình đã ngừng sử dụng trong kỳ báo cáo;

c) Tình hình xây dựng (bao gồm cả hoạt động thuê ngoài đối với mô hình), triển khai, sử dụng mô hình (bao gồm cả mua mô hình);

d) Kết quả kiểm định mô hình định kỳ hoặc đột xuất (nếu có);

đ) Đề xuất, kiến nghị về quản lý rủi ro mô hình với cấp nhận báo cáo;

e) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của kiểm toán nội bộ, Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác (nếu có).

Mục 9. ĐÁNH GIÁ NỘI BỘ VỀ MỨC ĐỦ VỐN

Điều 59. Yêu cầu, nội dung đánh giá nội bộ về mức đủ vốn

1. Việc đánh giá nội bộ về mức đủ vốn phải đảm bảo:

a) Tuân thủ quy định về tỷ lệ an toàn vốn của Ngân hàng Nhà nước;

b) Duy trì tỷ lệ an toàn vốn mục tiêu trong kịch bản hoạt động bình thường và kịch bản có diễn biến bất lợi;

c) Phù hợp với khẩu vị rủi ro và diễn biến của các rủi ro trọng yếu;

d) Làm cơ sở cho việc xây dựng, điều chỉnh kế hoạch kinh doanh của ngân hàng;

đ) Thực hiện định kỳ tối thiểu hằng năm và đột xuất khi có thay đổi về môi trường kinh doanh, các yếu tố có thể tác động đến rủi ro, nguồn vốn dẫn đến không đáp ứng được chỉ tiêu về vốn mục tiêu.

2. Ngân hàng thực hiện đánh giá nội bộ mức đủ vốn cho khoảng thời gian tối thiểu 03 năm nhưng không quá 05 năm tiếp theo theo các bước như sau:

a) Thực hiện đo lường rủi ro đối với các loại rủi ro trọng yếu và xác định vốn kinh tế theo kế hoạch kinh doanh theo hướng dẫn tại Phụ lục VI ban hành kèm theo Thông tư này;

b) Thực hiện kiểm tra sức chịu đựng về vốn để xác định tổng tài sản có rủi ro của các rủi ro trọng yếu, vốn kinh tế trong kịch bản có diễn biến bất lợi;

c) Xác định vốn mục tiêu, vốn tự có dự kiến theo hướng dẫn tại Phụ lục VI ban hành kèm theo Thông tư này;

d) Lập kế hoạch vốn;

đ) Giám sát về mức đủ vốn để quản lý vốn theo vốn mục tiêu và điều chỉnh kế hoạch vốn (khi cần thiết);

e) Rà soát quy trình đánh giá nội bộ về mức đủ vốn.

Điều 60. Kiểm tra sức chịu đựng về vốn

1. Ngân hàng lập 02 kịch bản là kịch bản hoạt động bình thường và kịch bản có diễn biến bất lợi với tối thiểu các giả định về lãi suất, tỷ giá, giá vàng, chất lượng tín dụng và có phương pháp tính toán tác động của các giả định đối với tổng tài sản có rủi ro theo từng loại rủi ro và tỷ lệ an toàn vốn, tối thiểu đảm bảo:

a) Tính toán tác động theo giả định về lãi suất đối với tổng tài sản tính theo rủi ro hoạt động, rủi ro thị trường (rủi ro lãi suất), rủi ro lãi suất trên sổ ngân hàng;

b) Tính toán tác động theo giả định về tỷ giá, giá vàng đối với tổng tài sản tính theo rủi ro hoạt động, rủi ro thị trường (rủi ro ngoại hối nếu phát sinh trạng thái ngoại hối, vàng);

c) Tính toán tác động theo giả định về chất lượng tín dụng đối với tổng tài sản tính theo rủi ro hoạt động, rủi ro tín dụng, rủi ro tập trung.

2. Ngân hàng rà soát, đánh giá mức độ phù hợp của các giả định, phương pháp tính toán tác động của các giả định đối với tỷ lệ an toàn vốn theo quy định nội bộ của ngân hàng.

Điều 61. Lập kế hoạch vốn

1. Ngân hàng phải lập kế hoạch vốn tối thiểu bao gồm:

a) Phương án tăng vốn trong trường hợp vốn tự có dự kiến không đáp ứng được vốn mục tiêu bao gồm:

(i) Nguồn vốn để tăng Vốn cấp 1, Vốn cấp 2 đảm bảo tính khả thi và phù hợp với quy định của pháp luật;

(ii) Thời gian, lộ trình thực hiện phương án tăng vốn;

b) Chính sách thực hiện chia cổ tức, chia lợi nhuận phải đảm bảo sau khi chia cổ tức, chia lợi nhuận, vốn tự có dự kiến không thấp hơn vốn mục tiêu;

c) Phân bổ vốn mục tiêu theo tổng tài sản tính theo rủi ro cho các rủi ro trọng yếu để làm cơ sở xác định các hạn mức rủi ro;

d) Các mức cảnh báo sớm về tổng tài sản tính theo rủi ro của từng rủi ro trọng yếu để theo dõi, giám sát việc tuân thủ tổng tài sản tính theo rủi ro được phân bổ cho từng loại rủi ro tại điểm c khoản này và có biện pháp xử lý kịp thời.

2. Kế hoạch vốn của ngân hàng thương mại do Hội đồng quản trị, Hội đồng thành viên phê duyệt theo đề nghị của Tổng giám đốc (Giám đốc).

3. Kế hoạch vốn của chi nhánh ngân hàng nước ngoài thực hiện theo quy định của ngân hàng mẹ.

Điều 62. Rà soát quy trình đánh giá nội bộ về mức đủ vốn

1. Quy trình đánh giá nội bộ về mức đủ vốn phải được rà soát định kỳ tối thiểu hằng năm hoặc đột xuất bởi một bộ phận độc lập với bộ phận xây dựng và thực hiện quy trình đánh giá nội bộ về mức đủ vốn.

2. Việc rà soát quy trình đánh giá nội bộ về mức đủ vốn tối thiểu bao gồm:

a) Tính hợp lý của quy trình nội bộ về đánh giá nội bộ về mức đủ vốn (bao gồm cả cơ cấu tổ chức, chức năng, nhiệm vụ của các cá nhân, bộ phận thực hiện đánh giá nội bộ về mức đủ vốn);

b) Tính phù hợp giữa khẩu vị rủi ro với kế hoạch kinh doanh, giữa tổng tài sản tính theo rủi ro với các hạn mức rủi ro;

c) Tính chính xác, đầy đủ của dữ liệu đầu vào;

d) Tính hợp lý của các giả định sử dụng trong kịch bản kiểm tra sức chịu đựng về vốn;

đ) Tính khả thi của phương án tăng vốn;

e) Đề xuất, kiến nghị với cấp có thẩm quyền về đánh giá nội bộ về mức đủ vốn (nếu có).

Điều 63. Báo cáo nội bộ về đánh giá nội bộ về mức đủ vốn

1. Định kỳ hằng năm, ngân hàng có báo cáo nội bộ về đánh giá nội bộ về mức đủ vốn theo quy định tại khoản 2 Điều này.

2. Báo cáo nội bộ về đánh giá nội bộ về mức đủ vốn tối thiểu bao gồm các nội dung sau đây:

a) Vốn mục tiêu, vốn kinh tế;

b) Kết quả kiểm tra sức chịu đựng về vốn;

c) Kế hoạch vốn;

d) Kết quả phân bổ vốn;

đ) Kết quả rà soát quy trình đánh giá nội bộ về mức đủ vốn theo quy định tại Điều 62 Thông tư này;

e) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của kiểm toán nội bộ, Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác (nếu có).

Chương IV

KIỂM TOÁN NỘI BỘ

Điều 64. Nguyên tắc kiểm toán nội bộ

1. Nguyên tắc độc lập:

a) Kiểm toán viên nội bộ, bộ phận kiểm toán nội bộ không được đồng thời đảm nhận các công việc, nhiệm vụ (trừ điểm a và điểm b khoản 7 Điều 56 Thông tư này) của các cá nhân, bộ phận thuộc tuyến bảo vệ thứ nhất và tuyến bảo vệ thứ hai;

b) Kiểm toán nội bộ không chịu bất cứ sự chi phối, can thiệp của các cá nhân, bộ phận thuộc tuyến bảo vệ thứ nhất và tuyến bảo vệ thứ hai;

c) Kiểm toán viên nội bộ không thực hiện kiểm toán đối với:

(i) Quy định nội bộ về kiểm toán nội bộ do kiểm toán viên đó xây dựng;

(ii) Đơn vị, bộ phận mà người đứng đầu đơn vị, bộ phận là người có liên quan của kiểm toán viên nội bộ đó;

(iii) Các hoạt động, bộ phận mà kiểm toán viên nội bộ đó thực hiện, chịu trách nhiệm trong thời hạn 03 năm kể từ khi không thực hiện, chịu trách nhiệm đối với hoạt động, bộ phận đó;

d) Tiêu chí xây dựng mức lương, lợi ích khác đối với các chức danh thuộc bộ phận kiểm toán nội bộ phải tách biệt với kết quả kinh doanh, kết quả hoạt động của các đơn vị, bộ phận thuộc tuyến bảo vệ thứ nhất và tuyến bảo vệ thứ hai.

2. Nguyên tắc khách quan:

a) Các ghi nhận kiểm toán trong báo cáo kiểm toán nội bộ phải được phân tích cẩn trọng và dựa trên cơ sở các dữ liệu, thông tin thu thập được;

b) Kiểm toán viên nội bộ phải trung thực khi thực hiện báo cáo, đánh giá trong quá trình kiểm toán nội bộ;

c) Kiểm toán viên nội bộ có quyền và nghĩa vụ báo cáo các cấp có thẩm quyền về các vấn đề liên quan đến tính khách quan trong quá trình thực hiện kiểm toán nội bộ.

3. Nguyên tắc chuyên nghiệp:

a) Bộ phận kiểm toán nội bộ có ít nhất một kiểm toán viên nội bộ để thực hiện kiểm toán hạ tầng công nghệ thông tin, ứng dụng công nghệ (sau đây gọi tắt là kiểm toán viên công nghệ);

b) Kiểm toán viên nội bộ phải đáp ứng các tiêu chuẩn quy định tại Điều 66 Thông tư này.

4. Kiểm toán nội bộ phải có biện pháp kiểm tra để đảm bảo tuân thủ các nguyên tắc quy định tại khoản 1, 2 và 3 Điều này trong quá trình thực hiện kiểm toán nội bộ (bao gồm cả quá trình lập, gửi báo cáo kiểm toán nội bộ). Trưởng kiểm toán nội bộ báo cáo kịp thời cho Ban kiểm soát khi phát hiện các trường hợp vi phạm, nguy cơ vi phạm các nguyên tắc quy định tại khoản 1, 2 và 3 Điều này.

Điều 65. Cơ chế phối hợp

1. Ngân hàng thương mại phải có cơ chế phối hợp giữa:

a) Hội đồng quản trị, Hội đồng thành viên và Ban kiểm soát, bộ phận kiểm toán nội bộ theo quy định tại khoản 2 Điều này;

b) Tổng giám đốc (Giám đốc), các bộ phận thuộc tuyến bảo vệ thứ nhất, tuyến bảo vệ thứ hai và Ban kiểm soát, bộ phận kiểm toán nội bộ theo quy định tại khoản 3 Điều này.

2. Cơ chế phối hợp của Hội đồng quản trị, Hội đồng thành viên và Ban kiểm soát, kiểm toán nội bộ của ngân hàng thương mại phải đảm bảo:

a) Hội đồng quản trị, Hội đồng thành viên phối hợp với bộ phận kiểm toán nội bộ khi kiểm toán nội bộ về giám sát của quản lý cấp cao đối với Hội đồng quản trị, Hội đồng thành viên;

b) Hội đồng quản trị, Hội đồng thành viên thực hiện các kiến nghị của Ban kiểm soát đối với Hội đồng quản trị, Hội đồng thành viên tại báo cáo kết quả kiểm toán nội bộ (nếu có) và thông báo cho Ban kiểm soát về kết quả thực hiện kiến nghị.

3. Cơ chế phối hợp của Tổng giám đốc (Giám đốc), các bộ phận thuộc tuyến bảo vệ thứ nhất và tuyến bảo vệ thứ hai và Ban kiểm soát, bộ phận kiểm toán nội bộ của ngân hàng thương mại phải đảm bảo:

a) Tổng giám đốc (Giám đốc) thực hiện:

(i) Phối hợp với bộ phận kiểm toán nội bộ khi kiểm toán nội bộ về giám sát của quản lý cấp cao đối với Tổng giám đốc (Giám đốc);

(ii) Chỉ đạo bộ phận quản lý rủi ro và các bộ phận có liên quan cung cấp đầy đủ thông tin về rủi ro để bộ phận kiểm toán nội bộ lập kế hoạch kiểm toán nội bộ;

(iii) Tổng giám đốc (Giám đốc) tiếp nhận báo cáo nội bộ về kiểm toán nội bộ, tổ chức thực hiện các kiến nghị của Ban kiểm soát đối với Tổng giám đốc (Giám đốc) tại báo cáo kết quả kiểm toán nội bộ (nếu có) và báo cáo Ban kiểm soát kết quả thực hiện các kiến nghị;

b) Các bộ phận thuộc tuyến bảo vệ thứ nhất và tuyến bảo vệ thứ hai thực hiện:

(i) Cung cấp thông tin, tài liệu, hồ sơ đầy đủ, trung thực, chính xác theo yêu cầu của bộ phận kiểm toán nội bộ khi kiểm toán nội bộ;

(ii) Thông báo kịp thời cho bộ phận kiểm toán nội bộ khi phát hiện các hạn chế, vi phạm, tổn thất hoặc nguy cơ tổn thất;

(iii) Tạo điều kiện thuận lợi để bộ phận kiểm toán nội bộ thực hiện kiểm toán nội bộ.

4. Chi nhánh ngân hàng nước ngoài phải có cơ chế phối hợp giữa Tổng giám đốc (Giám đốc), các bộ phận thuộc tuyến bảo vệ thứ nhất, tuyến bảo vệ thứ hai và bộ phận kiểm toán nội bộ của chi nhánh ngân hàng nước ngoài.

Điều 66. Tiêu chuẩn đối với thành viên Ban kiểm soát, kiểm toán viên nội bộ

1. Thành viên Ban kiểm soát của ngân hàng thương mại phải có đủ các tiêu chuẩn, điều kiện theo quy định tại Luật Các tổ chức tín dụng.

2. Ngân hàng thương mại phải có tiêu chuẩn đối với kiểm toán viên nội bộ đáp ứng các yêu cầu sau đây:

a) Đối với kiểm toán viên nội bộ:

(i) Có bằng đại học trở lên về một trong các ngành kinh tế, quản trị kinh doanh, luật, kế toán, kiểm toán, toán học và thống kê hoặc chuyên ngành phù hợp với yêu cầu kiểm toán;

(ii) Có kinh nghiệm làm việc trực tiếp trong ngành ngân hàng, tài chính, kế toán, kiểm toán hoặc lĩnh vực phù hợp với yêu cầu kiểm toán tối thiểu là 02 năm đối với kiểm toán viên nội bộ và 03 năm đối với Trưởng kiểm toán nội bộ;

b) Đối với kiểm toán viên công nghệ:

(i) Có bằng đại học trở lên về ngành công nghệ thông tin hoặc chuyên ngành phù hợp với yêu cầu kiểm toán;

(ii) Có kinh nghiệm làm việc trong ngành công nghệ thông tin tối thiểu là 02 năm.

3. Tiêu chuẩn của kiểm toán viên nội bộ của chi nhánh ngân hàng nước ngoài thực hiện theo quy định của ngân hàng mẹ.

Điều 67. Chuẩn mực đạo đức nghề nghiệp của thành viên Ban kiểm soát, kiểm toán viên nội bộ

1. Chuẩn mực đạo đức nghề nghiệp của thành viên Ban kiểm soát, kiểm toán viên nội bộ (bao gồm cả Trưởng kiểm toán nội bộ và các chức danh khác của bộ phận kiểm toán nội bộ) của ngân hàng thương mại phải tối thiểu bao gồm các nguyên tắc sau đây:

a) Chính trực: Thực hiện công việc được giao một cách thẳng thắn, trung thực;

b) Khách quan: Thực hiện công việc được giao một cách khách quan, đánh giá công bằng không vì lợi ích cá nhân hoặc lợi ích của người khác;

c) Bảo mật: Tuân thủ các quy định về bảo mật thông tin theo quy định của pháp luật và quy định nội bộ của ngân hàng thương mại;

d) Trách nhiệm: Thực hiện công việc được giao đảm bảo tiến độ và chất lượng;

đ) Thận trọng: Thực hiện công việc được giao một cách thận trọng trên cơ sở đánh giá các yếu tố sau đây:

(i) Mức độ phức tạp, tầm quan trọng của nội dung được kiểm toán nội bộ;

(ii) Khả năng xảy ra các sai sót nghiêm trọng trong quá trình thực hiện kiểm toán nội bộ.

2. Chuẩn mực đạo đức nghề nghiệp của kiểm toán viên nội bộ của chi nhánh ngân hàng nước ngoài thực hiện theo quy định của ngân hàng mẹ.

Điều 68. Quy định nội bộ về kiểm toán nội bộ

Quy định nội bộ của Ban kiểm soát của ngân hàng thương mại phải có quy định về kiểm toán nội bộ tối thiểu bao gồm:

1. Cơ cấu tổ chức, nhiệm vụ, quyền hạn, trách nhiệm của bộ phận kiểm toán nội bộ theo quy định tại khoản 3 Điều 6, Điều 71 và Điều 72 Thông tư này; tiêu chuẩn của kiểm toán viên nội bộ theo quy định tại Điều 66 Thông tư này; chuẩn mực đạo đức nghề nghiệp của thành viên Ban kiểm soát, kiểm toán viên nội bộ theo quy định tại Điều 67 Thông tư này.

2. Tiêu chí xác định mức độ rủi ro, mức độ trọng yếu và tần suất thực hiện kiểm toán nội bộ của các hoạt động, quy trình, bộ phận quy định tại điểm a và điểm b khoản 2 Điều 69 Thông tư này; nội dung kiểm toán nội bộ theo quy định tại Điều 70 Thông tư này.

3. Quy trình lập, thực hiện kế hoạch kiểm toán nội bộ.

4. Việc rà soát, đánh giá quy định về kiểm toán nội bộ, xử lý kiến nghị về kiểm toán nội bộ của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác.

5. Quy định về việc thuê chuyên gia, tổ chức bên ngoài để thực hiện kiểm toán nội bộ.

6. Chế độ báo cáo nội bộ về kiểm toán nội bộ quy định tại Điều 73 Thông tư này.

Điều 69. Kế hoạch kiểm toán nội bộ

1. Kiểm toán nội bộ của ngân hàng thương mại được thực hiện định kỳ hằng năm và đột xuất theo quy định nội bộ của Ban kiểm soát.

2. Kế hoạch kiểm toán nội bộ hằng năm của ngân hàng thương mại được Ban kiểm soát ban hành theo đề nghị của Trưởng kiểm toán nội bộ sau khi tham khảo ý kiến của Hội đồng quản trị, Hội đồng thành viên và Tổng giám đốc (Giám đốc). Việc lập kế hoạch kiểm toán nội bộ phải đảm bảo đáp ứng:

a) Nguyên tắc định hướng theo rủi ro: Các hoạt động, quy trình, bộ phận phải được đánh giá mức độ rủi ro (cao, trung bình và thấp) theo quy định nội bộ của Ban kiểm soát. Các hoạt động, quy trình, bộ phận có mức độ rủi ro cao được tập trung nguồn lực, ưu tiên thực hiện kiểm toán trước và được kiểm toán ít nhất mỗi năm một lần;

b) Đảm bảo tính toàn diện: Các hoạt động, quy trình, bộ phận đều phải được kiểm toán nội bộ. Các hoạt động, quy trình, bộ phận có mức độ trọng yếu theo quy định nội bộ của Ban kiểm soát phải được được kiểm toán ít nhất mỗi năm một lần;

c) Có dự phòng về nguồn lực, thời gian để thực hiện kiểm toán nội bộ đột xuất;

d) Kế hoạch kiểm toán định kỳ hằng năm phải được điều chỉnh khi có thay đổi trọng yếu về quy mô hoạt động, trạng thái rủi ro hoặc nguồn lực kiểm toán nội bộ theo quy định nội bộ của Ban kiểm soát.

3. Kế hoạch kiểm toán nội bộ hằng năm của ngân hàng thương mại phải được ban hành trước ngày 15 tháng 12 của năm trước và tối thiểu bao gồm các nội dung sau: phạm vi kiểm toán, đối tượng kiểm toán, các mục tiêu kiểm toán, thời gian kiểm toán, nguồn lực kiểm toán (bao gồm cả việc thuê chuyên gia, tổ chức bên ngoài) để thực hiện kiểm toán nội bộ và các nội dung khác do ngân hàng thương mại quy định.

4. Kế hoạch kiểm toán nội bộ của chi nhánh ngân hàng nước ngoài do ngân hàng mẹ quyết định.

5. Trong thời hạn 10 ngày làm việc kể từ ngày ban hành, sửa đổi, bổ sung, ngân hàng gửi kế hoạch kiểm toán nội bộ cho Ngân hàng Nhà nước (Ngân hàng Nhà nước chi nhánh Khu vực theo đối tượng giám sát vi mô; Cục Quản lý, giám sát tổ chức tín dụng).

Điều 70. Nội dung kiểm toán nội bộ

1. Kiểm toán nội bộ của ngân hàng thương mại thực hiện quy định tại Điều 58 Luật Các tổ chức tín dụng trên cơ sở các nội dung sau đây:

a) Kiểm tra, đánh giá độc lập, khách quan việc tuân thủ cơ chế, chính sách, quy trình, quy định nội bộ của Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc), cá nhân, bộ phận trong hoạt động kiểm soát, hoạt động quản lý rủi ro, bao gồm cả việc xác định hạn chế và nguyên nhân;

b) Rà soát, đánh giá độc lập, khách quan về tính thích hợp, tuân thủ quy định của pháp luật của cơ chế, chính sách, quy trình, quy định nội bộ trong hoạt động kiểm soát, hoạt động quản lý rủi ro, bao gồm cả việc xác định các hạn chế và nguyên nhân;

c) Đề xuất, kiến nghị đối với cấp có thẩm quyền và các bộ phận liên quan để xử lý các hạn chế;

d) Nội dung khác theo quy định nội bộ của bộ phận kiểm toán nội bộ.

2. Nội dung kiểm toán nội bộ của chi nhánh ngân hàng nước ngoài thực hiện theo quy định của ngân hàng mẹ.

Điều 71. Quyền hạn của bộ phận kiểm toán nội bộ

Quyền hạn của bộ phận kiểm toán nội bộ của ngân hàng thương mại bao gồm:

1. Được trang bị nguồn lực cần thiết (nhân lực, tài chính, tài sản và các công cụ khác).

2. Được cung cấp các thông tin, tài liệu, hồ sơ cần thiết cho công tác kiểm toán nội bộ, bao gồm cả các văn bản, biên bản họp của Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc).

3. Được phỏng vấn các cá nhân về nội dung liên quan đến kiểm toán nội bộ; kiến nghị cấp có thẩm quyền theo quy định nội bộ của ngân hàng thương mại xử lý đối với hành vi bất hợp tác của cá nhân, bộ phận trong quá trình thực hiện kiểm toán nội bộ.

4. Được tham dự các cuộc họp nội bộ theo Điều lệ và quy định nội bộ của ngân hàng thương mại.

5. Quyền hạn khác theo quy định nội bộ của Ban kiểm soát.

Điều 72. Trách nhiệm của Ban kiểm soát, bộ phận kiểm toán nội bộ và kiểm toán viên nội bộ

1. Ban kiểm soát của ngân hàng thương mại thực hiện các chức năng, nhiệm vụ liên quan đến kiểm toán nội bộ theo quy định tại Thông tư này, quy định nội bộ của Ban kiểm soát, tối thiểu bao gồm:

a) Giám sát, đánh giá việc thực hiện chuẩn mực đạo đức nghề nghiệp của thành viên Ban kiểm soát, kiểm toán viên nội bộ;

b) Giám sát, đánh giá bộ phận kiểm toán nội bộ, Trưởng kiểm toán nội bộ trong việc thực hiện chức năng, nhiệm vụ. Ban kiểm soát được thuê tổ chức bên ngoài có chuyên môn đánh giá chất lượng hoạt động của bộ phận kiểm toán nội bộ.

2. Bộ phận kiểm toán nội bộ của ngân hàng thương mại có nhiệm vụ, trách nhiệm tối thiểu bao gồm:

a) Thực hiện kiểm toán nội bộ đối với trụ sở chính, chi nhánh, đơn vị phụ thuộc khác của ngân hàng thương mại;

b) Rà soát, tự đánh giá tính hiệu quả của kiểm toán nội bộ;

c) Xây dựng, rà soát để trình Ban kiểm soát ban hành, sửa đổi, bổ sung:

(i) Chuẩn mực đạo đức nghề nghiệp của thành viên Ban kiểm soát, kiểm toán viên nội bộ theo quy định tại Điều 67 Thông tư này;

(ii) Quy định nội bộ của Ban kiểm soát;

(iii) Kế hoạch kiểm toán nội bộ;

d) Theo dõi, đánh giá việc thực hiện các kiến nghị của Ban kiểm soát đối với Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc), cá nhân, bộ phận;

đ) Xử lý, khắc phục theo yêu cầu, kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác đối với kiểm toán nội bộ;

e) Lập báo cáo về kiểm toán nội bộ theo quy định tại điểm d khoản 2 Điều 9 và Điều 73 Thông tư này.

g) Bảo mật tài liệu, thông tin theo quy định của pháp luật và quy định nội bộ của ngân hàng thương mại;

h) Chịu trách nhiệm trước Ban kiểm soát về việc thực hiện nhiệm vụ được giao.

3. Trách nhiệm của kiểm toán viên nội bộ của ngân hàng thương mại tối thiểu bao gồm:

a) Thực hiện các quy định tại điểm g và h khoản 2 Điều này;

b) Chịu trách nhiệm trước pháp luật và trước Trưởng kiểm toán nội bộ về nhiệm vụ kiểm toán được giao.

4. Bộ phận kiểm toán nội bộ, kiểm toán viên nội bộ của chi nhánh ngân hàng nước ngoài có trách nhiệm:

a) Thực hiện kiểm toán nội bộ;

b) Xử lý, khắc phục theo yêu cầu, kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác đối với kiểm toán nội bộ;

c) Thực hiện nhiệm vụ khác theo quy định của ngân hàng mẹ.

Điều 73. Báo cáo nội bộ về kiểm toán nội bộ

1. Ngân hàng thương mại phải lập báo cáo kết quả kiểm toán nội bộ theo quy định tại khoản 2 và khoản 3 Điều này và báo cáo kết quả tự đánh giá kiểm toán nội bộ theo quy định tại khoản 4 Điều này như sau:

a) Sau khi kết thúc kiểm toán nội bộ, bộ phận kiểm toán nội bộ trình Ban kiểm soát phê duyệt báo cáo kết quả kiểm toán nội bộ để gửi Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc) theo quy định nội bộ của Ban kiểm soát của ngân hàng thương mại;

b) Trong thời hạn 30 ngày kể từ ngày kết thúc năm tài chính, bộ phận kiểm toán nội bộ trình Ban kiểm soát báo cáo kết quả tự đánh giá kiểm toán nội bộ theo quy định nội bộ của Ban kiểm soát.

2. Nội dung báo cáo kết quả kiểm toán nội bộ định kỳ hằng năm tối thiểu bao gồm:

a) Tình hình thực hiện nội dung, phạm vi kiểm toán trong năm tài chính;

b) Việc tuân thủ cơ chế, chính sách, quy trình, quy định nội bộ của Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc), cá nhân, bộ phận;

c) Tính thích hợp, tuân thủ quy định của pháp luật của cơ chế, chính sách, quy trình, quy định nội bộ trong hoạt động kiểm soát, hoạt động quản lý rủi ro;

d) Các hạn chế được phát hiện khi thực hiện kiểm toán nội bộ và các kiến nghị đối với cấp có thẩm quyền và các bộ phận liên quan.

3. Nội dung báo cáo kết quả kiểm toán nội bộ đột xuất tối thiểu bao gồm:

a) Nội dung, phạm vi kiểm toán đột xuất;

b) Kết quả thực hiện nội dung kiểm toán đột xuất;

c) Các hạn chế được phát hiện khi thực hiện kiểm toán nội bộ đột xuất và các kiến nghị đối với cấp có thẩm quyền và các bộ phận liên quan.

4. Nội dung báo cáo kết quả tự đánh giá kiểm toán nội bộ trong năm tối thiểu bao gồm:

a) Đánh giá kết quả thực hiện nhiệm vụ kiểm toán nội bộ; rà soát, đánh giá lại (bao gồm đề nghị sửa đổi, bổ sung) quy định nội bộ của Ban kiểm soát; đề xuất và kiến nghị (nếu có);

b) Tình hình thực hiện các kiến nghị của Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc), cá nhân, bộ phận đối với kiểm toán nội bộ;

c) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác đối với kiểm toán nội bộ (nếu có).

5. Nội dung báo cáo nội bộ về kiểm toán nội bộ của chi nhánh ngân hàng nước ngoài thực hiện theo quy định của ngân hàng mẹ.

Chương V

ĐIỀU KHOẢN THI HÀNH

Điều 74. Hiệu lực thi hành

1. Thông tư này có hiệu lực thi hành kể từ ngày 01 tháng 07 năm 2026, trừ quy định tại khoản 2, 3 và 4 Điều này.

2. Chậm nhất kể từ ngày 01 tháng 01 năm 2028, ngân hàng phải thực hiện:

a) Kiểm tra sức chịu đựng cho rủi ro tín dụng, kiểm tra sức chịu đựng cho rủi ro thị trường theo quy định tại Điều 23 Thông tư này;

b) Quản lý dữ liệu rủi ro theo quy định tại Điều 24 Thông tư này.

3. Việc thực hiện quy định về quản lý rủi ro mô hình như sau: 

a) Đối với ngân hàng đã thực hiện giai đoạn chuyển đổi sang phương pháp xếp hạng nội bộ theo quy định của Ngân hàng Nhà nước về tỷ lệ an toàn vốn đối với ngân hàng trước ngày 01 tháng 07 năm 2026, ngân hàng phải quản lý rủi ro mô hình đối với các mô hình được sử dụng trong phương pháp xếp hạng nội bộ theo quy định tại Mục 8 Chương III Thông tư này kể từ ngày 01 tháng 07 năm 2026;

b) Đối với ngân hàng thực hiện giai đoạn chuyển đổi sang phương pháp xếp hạng nội bộ theo quy định của Ngân hàng Nhà nước về tỷ lệ an toàn vốn đối với ngân hàng từ ngày 01 tháng 07 năm 2026, ngân hàng phải quản lý rủi ro mô hình đối với các mô hình được sử dụng trong phương pháp xếp hạng nội bộ theo quy định tại Mục 8 Chương III Thông tư này kể từ ngày bắt đầu thực hiện giai đoạn chuyển đổi;

c) Chậm nhất kể từ ngày 01 tháng 01 năm 2028, ngân hàng (bao gồm cả ngân hàng thực hiện quy định tại điểm a và điểm b khoản này) phải thực hiện quản lý rủi ro mô hình tại Mục 8 Chương III Thông tư này.

4. Việc xác định hạn mức, đo lường và kiểm tra sức chịu đựng rủi ro lãi suất trên sổ ngân hàng như sau:

a) Kể từ ngày 01 tháng 07 năm 2026 đến ngày 31 tháng 12 năm 2027, ngân hàng được thực hiện xác định hạn mức, đo lường và kiểm tra sức chịu đựng rủi ro lãi suất trên sổ ngân hàng theo chỉ tiêu thay đổi thu nhập lãi thuần hoặc chỉ tiêu thay đổi giá trị kinh tế của vốn chủ sở hữu, trừ trường hợp quy định tại điểm b khoản này.

b) Chậm nhất kể từ ngày 01 tháng 01 năm 2028, ngân hàng phải thực hiện xác định hạn mức, đo lường và kiểm tra sức chịu đựng rủi ro lãi suất trên sổ ngân hàng theo chỉ tiêu thay đổi thu nhập lãi thuần và chỉ tiêu thay đổi giá trị kinh tế của vốn chủ sở hữu theo quy định tại Thông tư này.

5. Trường hợp ngân hàng thực hiện quy định tại khoản 2, khoản 3 và điểm b khoản 4 Điều này trước ngày 01 tháng 01 năm 2028, ngân hàng phải thông báo cho Ngân hàng Nhà nước (Ngân hàng Nhà nước chi nhánh Khu vực theo đối tượng thanh tra, giám sát vi mô; Cục Quản lý, giám sát tổ chức tín dụng; Thanh tra Ngân hàng Nhà nước) trong thời hạn 10 ngày kể từ ngày thực hiện.

6. Kể từ ngày 01 tháng 07 năm 2026, Thông tư này bãi bỏ các quy định sau đây:

a) Thông tư số 13/2018/TT-NHNN ngày 18 tháng 5 năm 2018 của Thống đốc Ngân hàng Nhà nước Việt Nam quy định về hệ thống kiểm soát nội bộ của ngân hàng thương mại, chi nhánh ngân hàng nước ngoài;

b) Thông tư số 40/2018/TT-NHNN ngày 28 tháng 12 năm 2018 của Thống đốc Ngân hàng Nhà nước Việt Nam sửa đổi, bổ sung một số điều của Thông tư số 13/2018/TT-NHNN ngày 18 tháng 5 năm 2018;

c) Điều 3 Thông tư số 09/2024/TT-NHNN ngày 28 tháng 6 năm 2024 của Thống đốc Ngân hàng Nhà nước Việt Nam sửa đổi, bổ sung một số điều của các Thông tư quy định các giới hạn, tỷ lệ bảo đảm an toàn trong hoạt động, hệ thống kiểm soát nội bộ của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài.

Điều 75. Tổ chức thực hiện

Thủ trưởng các đơn vị thuộc Ngân hàng Nhà nước Việt Nam, ngân hàng và các tổ chức, cá nhân có liên quan chịu trách nhiệm tổ chức thực hiện Thông tư này./.

Nơi nhận: - Như Điều 75; - Ban lãnh đạo NHNN; - Văn phòng Chính phủ; - Bộ Tư pháp (để kiểm tra); - Công báo; - Cổng thông tin điện tử NHNN; - Lưu: VP, PC, ATHT(03)

KT. THỐNG ĐỐC PHÓ THỐNG ĐỐC Đoàn Thái Sơn

Phụ lục I

(Ban hành kèm theo Thông tư số 83/2025/TT-NHNN ngày 31 tháng 12 năm 2025 của Thống đốc Ngân hàng Nhà nước Việt Nam)

TÊN NGÂN HÀNG -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số:.....	......, ngày ….. tháng ... năm .....

BÁO CÁO

KẾT QUẢ TỰ KIỂM TRA, ĐÁNH GIÁ HOẠT ĐỘNG KIỂM SOÁT

(Năm...)

Kính gửi: Ngân hàng Nhà nước Việt Nam

I. Tình hình thực hiện hoạt động kiểm soát

1. Đối với tình hình thực hiện kiểm soát nội bộ

a) Mô tả hoạt động kiểm soát theo nguyên tắc ba tuyến bảo vệ;

b) Quy định nội bộ:

(i) Liệt kê các quy định nội bộ đã ban hành (theo quy định tại Điều 101 Luật Các tổ chức tín dụng và Thông tư số 83/2025/TT-NHNN);

(ii) Tính phù hợp, tuân thủ của các quy định nội bộ đối với quy định của Ngân hàng Nhà nước và quy định của pháp luật có liên quan (kết quả tự đánh giá);

(iii) Tình hình tuân thủ quy định nội bộ của các cá nhân, bộ phận;

c) Kết quả tự kiểm tra, đánh giá kiểm soát nội bộ (theo quy định tại Điều 11, 13, 15 và 16 Thông tư số 83/2025/TT-NHNN).

2. Đối với tình hình thực hiện giám sát của quản lý cấp cao (theo quy định tại Điều 12 Thông tư số 83/2025/TT-NHNN).

3. Hạn chế của hoạt động kiểm soát

II. Đối với hệ thống thông tin quản lý

1. Mô tả về hệ thống thông tin quản lý;

2. Đánh giá việc đáp ứng của hệ thống thông tin quản lý (theo quy định tại Điều 8 Thông tư số 83/2025/TT-NHNN).

III. Kết quả xử lý, khắc phục các hạn chế, yếu kém của hoạt động kiểm soát theo kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác

IV. Đề xuất, kiến nghị đối với Ngân hàng Nhà nước 

NGƯỜI ĐẠI DIỆN HỢP PHÁP CỦA NGÂN HÀNG (Ký và ghi rõ họ tên, đóng dấu)

Phụ lục II

(Ban hành kèm theo Thông tư số 83/2025/TT-NHNN ngày 31 tháng 12 năm 2025 của Thống đốc Ngân hàng Nhà nước Việt Nam)

TÊN NGÂN HÀNG -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số:.....	......, ngày ….. tháng ... năm .....

BÁO CÁO

QUẢN LÝ RỦI RO

(Năm...)

Kính gửi: Ngân hàng Nhà nước Việt Nam

I. Chính sách quản lý rủi ro

1. Khẩu vị rủi ro.

2. Các hoạt động trọng yếu và rủi ro trọng yếu.

3. Thay đổi về chính sách quản lý rủi ro, khẩu vị rủi ro trong kỳ báo cáo, lý do thay đổi.

4. Quản lý dữ liệu rủi ro.

II. Quản lý các rủi ro cụ thể

1. Quản lý rủi ro tín dụng

a) Chiến lược quản lý rủi ro tín dụng, thay đổi trong kỳ báo cáo (nếu có), lý do thay đổi và tình hình thực hiện;

b) Hạn mức rủi ro tín dụng, thay đổi trong kỳ báo cáo (nếu có), lý do thay đổi và tình hình thực hiện;

c) Đánh giá về việc đo lường, theo dõi, kiểm soát rủi ro tín dụng;

d) Kiểm tra sức chịu đựng về rủi ro tín dụng:

(i) Mô tả phương pháp sử dụng;

(ii) Đánh giá tính phù hợp của phương pháp (nêu rõ điểm mạnh, hạn chế);

(iii) Trường hợp ngân hàng sử dụng phương pháp phân tích kịch bản, ngân hàng báo cáo về:

- Các giả định đã sử dụng trong kịch bản có diễn biến bất lợi;

- Phương pháp tính toán tác động của các giả định;

- Kết quả kiểm tra sức chịu đựng về rủi ro tín dụng;

đ) Các trường hợp vi phạm về quản lý rủi ro tín dụng, lý do vi phạm;

e) Hạn chế, vướng mắc trong quản lý rủi ro tín dụng và nguyên nhân;

g) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác đối với quản lý rủi ro tín dụng.

2. Quản lý rủi ro thị trường

a) Chiến lược quản lý rủi ro thị trường, thay đổi trong kỳ báo cáo (nếu có), lý do thay đổi và tình hình thực hiện;

b) Hạn mức rủi ro thị trường, thay đổi trong kỳ báo cáo (nếu có), lý do thay đổi và tình hình thực hiện;

c) Đánh giá về việc đo lường, theo dõi, kiểm soát rủi ro thị trường;

d) Kiểm tra sức chịu đựng về rủi ro thị trường:

(i) Mô tả phương pháp sử dụng;

(ii) Đánh giá tính phù hợp của phương pháp (nêu rõ điểm mạnh, hạn chế);

(iii) Trường hợp ngân hàng sử dụng phương pháp phân tích kịch bản, ngân hàng báo cáo về:

- Các giả định đã sử dụng trong kịch bản có diễn biến bất lợi;

- Phương pháp tính toán tác động của các giả định;

- Kết quả kiểm tra sức chịu đựng về rủi ro thị trường;

đ) Các trường hợp vi phạm về quản lý rủi ro thị trường, lý do vi phạm;

e) Hạn chế, vướng mắc trong quản lý rủi ro thị trường và nguyên nhân;

g) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác đối với quản lý rủi ro thị trường.

3. Quản lý rủi ro hoạt động

a) Chiến lược quản lý rủi ro hoạt động, thay đổi trong kỳ báo cáo (nếu có), lý do thay đổi và tình hình thực hiện;

b) Hạn mức rủi ro hoạt động, thay đổi trong kỳ báo cáo (nếu có), lý do thay đổi và tình hình thực hiện;

c) Đánh giá về việc nhận dạng, đo lường, theo dõi, kiểm soát rủi ro hoạt động;

d) Các trường hợp vi phạm về quản lý rủi ro hoạt động, lý do vi phạm;

đ) Đánh giá tác động của các sự kiện dẫn đến rủi ro hoạt động và tổn thất trọng yếu;

e) Đánh giá hiệu quả của việc mua bảo hiểm để giảm thiểu tổn thất rủi ro hoạt động (nếu có);

g) Đánh giá việc xây dựng kế hoạch duy trì hoạt động liên tục;

h) Hạn chế, vướng mắc trong quản lý rủi ro hoạt động và nguyên nhân;

i) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác đối với quản lý rủi ro hoạt động.

4. Quản lý rủi ro thanh khoản

a) Chiến lược quản lý rủi ro thanh khoản, thay đổi trong kỳ báo cáo (nếu có), lý do thay đổi và tình hình thực hiện;

b) Hạn mức rủi ro thanh khoản, thay đổi trong kỳ báo cáo (nếu có), lý do thay đổi và tình hình thực hiện;

c) Đánh giá về việc nhận dạng, đo lường, theo dõi, kiểm soát rủi ro thanh khoản;

d) Kiểm tra sức chịu đựng về rủi ro thanh khoản:

(i) Các giả định đã sử dụng trong kịch bản;

(ii) Phương pháp tính toán tác động của các giả định:

- Mô tả phương pháp sử dụng;

- Đánh giá tính phù hợp của phương pháp (nêu rõ điểm mạnh, hạn chế);

(iii) Kết quả kiểm tra sức chịu đựng về rủi ro thanh khoản;

đ) Kế hoạch dự phòng nhằm đảm bảo khả năng thanh khoản;

e) Các trường hợp vi phạm về quản lý rủi ro thanh khoản, lý do vi phạm;

g) Hạn chế, vướng mắc trong quản lý rủi ro thanh khoản và nguyên nhân;

h) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác đối với quản lý rủi ro thanh khoản.

5. Quản lý rủi ro tập trung

a) Chiến lược quản lý rủi ro tập trung, thay đổi trong kỳ báo cáo (nếu có), lý do thay đổi và tình hình thực hiện;

b) Hạn mức rủi ro tập trung, thay đổi trong kỳ báo cáo (nếu có), lý do thay đổi và tình hình thực hiện;

c) Đánh giá về việc nhận dạng, đo lường, theo dõi, kiểm soát rủi ro tập trung;

d) Các trường hợp vi phạm về quản lý rủi ro tập trung, lý do vi phạm;

đ) Hạn chế, vướng mắc trong quản lý rủi ro tập trung và nguyên nhân;

e) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác đối với quản lý rủi ro tập trung.

6. Quản lý rủi ro lãi suất trên sổ ngân hàng

a) Chiến lược quản lý rủi ro lãi suất trên sổ ngân hàng, thay đổi trong kỳ báo cáo (nếu có), lý do thay đổi và tình hình thực hiện;

b) Hạn mức rủi ro lãi suất trên sổ ngân hàng, thay đổi trong kỳ báo cáo (nếu có), lý do thay đổi và tình hình thực hiện;

c) Đánh giá về việc nhận dạng, đo lường, theo dõi, kiểm soát rủi ro lãi suất trên sổ ngân hàng;

d) Kiểm tra sức chịu đựng về rủi ro lãi suất trên sổ ngân hàng:

(i) Các giả định đã sử dụng trong kịch bản;

(ii) Phương pháp tính toán tác động của các giả định;

(iii) Kết quả kiểm tra sức chịu đựng về rủi ro lãi suất trên sổ ngân hàng;

đ) Các trường hợp vi phạm về quản lý rủi ro lãi suất trên sổ ngân hàng, lý do vi phạm;

e) Hạn chế, vướng mắc trong quản lý rủi ro lãi suất trên sổ ngân hàng và nguyên nhân;

g) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác đối với quản lý rủi ro lãi suất trên sổ ngân hàng.

7. Quản lý rủi ro mô hình

a) Danh mục mô hình cần quản lý của ngân hàng, bao gồm: Mô hình có rủi ro cao (mô hình sử dụng trong phương pháp xếp hạng nội bộ, mô hình khác có rủi ro cao), mô hình có rủi ro trung bình, mô hình có rủi ro thấp;

b) Danh mục mô hình được điều chỉnh, mô hình đã ngừng sử dụng trong kỳ báo cáo;

c) Tình hình xây dựng (bao gồm cả hoạt động thuê ngoài đối với mô hình), triển khai, sử dụng mô hình (bao gồm cả mua mô hình);

d) Đánh giá về việc nhận dạng, theo dõi, kiểm soát rủi ro mô hình;

đ) Kết quả kiểm định mô hình định kỳ hoặc đột xuất (nếu có);

e) Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác đối với quản lý rủi ro mô hình;

g) Nội dung khác.

III. Đề xuất, kiến nghị đối với Ngân hàng Nhà nước

NGƯỜI ĐẠI DIỆN HỢP PHÁP CỦA NGÂN HÀNG (Ký và ghi rõ họ tên, đóng dấu)

Phụ lục III

(Ban hành kèm theo Thông tư số 83/2025/TT-NHNN ngày 31 tháng 12 năm 2025 của Thống đốc Ngân hàng Nhà nước Việt Nam )

TÊN NGÂN HÀNG -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số:.....	......, ngày ….. tháng ... năm .....

BÁO CÁO

ĐÁNH GIÁ NỘI BỘ VỀ MỨC ĐỦ VỐN

(Năm...)

Kính gửi: Ngân hàng Nhà nước Việt Nam

1. Tình hình thực hiện tỷ lệ an toàn vốn mục tiêu trong năm (năm t₀)

a) Đánh giá việc tuân thủ tỷ lệ an toàn vốn theo quy định của Ngân hàng Nhà nước;

b) Đánh giá việc thực hiện tỷ lệ an toàn vốn mục tiêu.

2. Khẩu vị rủi ro

a) Các hoạt động trọng yếu và rủi ro trọng yếu:

b) Khẩu vị rủi ro:

Chỉ tiêu		Năm t0	Năm t0+1	Năm t0+2	Năm t0+3
Tỷ lệ an toàn vốn mục tiêu CARtarget (%)
Chỉ tiêu về thu nhập	ROE (%)
	RAROC (%)

3. Vốn mục tiêu

a) Vốn mục tiêu:

TT	Vốn mục tiêu	Đơn vị	Năm t0	Năm t0+1	Năm t0+2	Năm t0+3
I	Vốn theo quy định của NHNN
1	RWA	tỷ đồng
2	CARR	%
3	CR (=RWA*CARR)	tỷ đồng
II	Vốn mục tiêu
1	RWA^*E	tỷ đồng
	RWACR	tỷ đồng
	RWAOR	tỷ đồng
	RWAMR	tỷ đồng
	RWACOR	tỷ đồng
	RWAIRRBB	tỷ đồng
	RWAOMR	tỷ đồng
2	∆RWAB	tỷ đồng
3	CARtarget	%
4	CE = RWA^*E x CARTarget + ∆RWA B x CARR	tỷ đồng
5	CTarget = Max (CR ,CE)	tỷ đồng
III	Chênh lệch giữa vốn tự có dự kiến và vốn mục tiêu
1	CA	tỷ đồng
2	Chênh lệch = CA - CTarget	tỷ đồng

Ghi chú:

- RWA là tổng tài sản tính theo rủi ro theo quy định của Ngân hàng Nhà nước;

- Các chỉ tiêu khác theo quy định tại Phụ lục VI Thông tư số 83/2025/TT-NHNN.

b) Phương pháp xác định RWA_CR, RWA_OR, RWA_MR, RWA_IRRBB, RWA_COR, RWA_OMR và ∆RWA_B:

(i) Mô tả phương pháp sử dụng;

(ii) Đánh giá tính phù hợp của phương pháp (nêu rõ điểm mạnh, hạn chế);

(iii) Nội dung điều chỉnh các thành phần (biến số, tham số, giả định...) của phương pháp trong kỳ báo cáo (nếu có).

4. Kiểm tra sức chịu đựng về vốn

a) Các giả định đã sử dụng trong kịch bản có diễn biến bất lợi;

b) Phương pháp tính toán tác động của các giả định đối với tổng tài sản có rủi ro theo từng loại rủi ro:

(i) Mô tả phương pháp sử dụng;

(ii) Đánh giá tính phù hợp của phương pháp (nêu rõ điểm mạnh, hạn chế);

(iii) Nội dung điều chỉnh các thành phần (biến số, tham số, giả định...) của phương pháp trong kỳ báo cáo (nếu có);

(iv) Kết quả tính toán tổng tài sản tính theo rủi ro trong kịch bản có diễn biến bất lợi, Tổng tài sản tính theo rủi ro trong kịch bản hoạt động bình thường.

5. Kế hoạch vốn

a) Phương án tăng vốn trong trường hợp vốn tự có dự kiến không đáp ứng được vốn mục tiêu bao gồm: nguồn tăng vốn; thời gian, lộ trình, dự kiến các giải pháp tăng vốn;

b) Chính sách về cổ tức, chia lợi nhuận;

c) Phân bổ vốn mục tiêu theo tổng tài sản tính theo rủi ro cho các rủi ro trọng yếu;

d) Các mức cảnh báo sớm về tổng tài sản tính theo rủi ro của từng rủi ro trọng yếu.

6. Rà soát quy trình đánh giá nội bộ về mức đủ vốn

a) Kết quả rà soát (bao gồm kết quả thực hiện kiến nghị của năm trước);

b) Kiến nghị, đề xuất và kế hoạch thực hiện (nếu có)./.

NGƯỜI ĐẠI DIỆN HỢP PHÁP CỦA NGÂN HÀNG (Ký và ghi rõ họ tên, đóng dấu)

Phụ lục IV

(Ban hành kèm theo Thông tư số 83/2025/TT-NHNN ngày 31 tháng 12 năm 2025 của Thống đốc Ngân hàng Nhà nước Việt Nam)

TÊN NGÂN HÀNG -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số:.....	......, ngày ….. tháng ... năm .....

BÁO CÁO

VỀ KIỂM TOÁN NỘI BỘ

(Năm...)

Kính gửi: Ngân hàng Nhà nước Việt Nam

I. Nội dung kiểm toán, phạm vi kiểm toán nội bộ

II. Kết quả kiểm toán nội bộ

1. Tình hình tuân thủ cơ chế, chính sách, quy trình, quy định nội bộ của ngân hàng trong hoạt động kiểm soát, hoạt động quản lý rủi ro.

2. Tính thích hợp, tuân thủ quy định của pháp luật của cơ chế, chính sách, quy trình, quy định nội bộ trong hoạt động kiểm soát, hoạt động quản lý rủi ro.

3. Hạn chế và kiến nghị đối với Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc).

4. Nội dung khác (nếu có).

III. Kết quả tự đánh giá kiểm toán nội bộ của ngân hàng trong năm

1. Đánh giá kết quả thực hiện nhiệm vụ kiểm toán nội bộ.

2. Đánh giá quy định nội bộ của Ban kiểm soát (bao gồm cả kết quả rà soát, đánh giá tính thích hợp, tuân thủ quy định của pháp luật của quy định nội bộ của Ban kiểm soát).

3. Kiến nghị của Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc), cá nhân, bộ phận đối với kiểm toán nội bộ đã được thực hiện, chưa được thực hiện.

IV. Kết quả xử lý, khắc phục theo yêu cầu, kiến nghị của Ngân hàng Nhà nước, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền khác

1. Các kiến nghị đã thực hiện.

2. Các kiến nghị chưa thực hiện.

V. Đề xuất, kiến nghị đối với Ngân hàng Nhà nước

TRƯỞNG BAN KIỂM SOÁT CỦA NGÂN HÀNG THƯƠNG MẠI/ NGƯỜI ĐẠI DIỆN HỢP PHÁP CỦA CHI NHÁNH NGÂN HÀNG NƯỚC NGOÀI (Ký và ghi rõ họ tên, đóng dấu)

Phụ lục V

(Ban hành kèm theo Thông tư số 83/2025/TT-NHNN ngày 31 tháng 12 năm 2025 của Thống đốc Ngân hàng Nhà nước Việt Nam)

HƯỚNG DẪN ĐO LƯỜNG RỦI RO LÃI SUẤT TRÊN SỔ NGÂN HÀNG

A. Trình tự đo lường rủi ro lãi suất trên sổ ngân hàng theo chỉ tiêu thay đổi giá trị kinh tế của vốn chủ sở hữu

Thay đổi giá trị kinh tế của vốn chủ sở hữu (ΔEVE) là mức độ thay đổi của giá trị hiện tại ròng giữa dòng tiền vào của tài sản nhạy cảm với lãi suất (bao gồm cả các khoản mục ngoại bảng) và dòng tiền ra của nợ phải trả nhạy cảm với lãi suất (bao gồm cả các khoản mục ngoại bảng) khi thay đổi lãi suất.

Ngân hàng đo lường rủi ro lãi suất trên sổ ngân hàng theo chỉ tiêu ΔEVE theo các bước như sau:

I. Bước 1: Ngân hàng xác định và phân nhóm tài sản, nợ phải trả, các khoản mục ngoại bảng nhạy cảm với lãi suất trên sổ ngân hàng

1. Ngân hàng xác định tài sản, nợ phải trả, các khoản mục ngoại bảng nhạy cảm với lãi suất trên sổ ngân hàng theo quy định nội bộ của ngân hàng đảm bảo:

a) Tài sản nhạy cảm với lãi suất không bao gồm:

(i) Các khoản giảm trừ khỏi Vốn lõi cấp 1;

(ii) Tài sản cố định;

(iii) Các khoản đầu tư vốn chủ sở hữu trên sổ ngân hàng (equity exposures in the banking book);

b) Nợ phải trả nhạy cảm với lãi suất bao gồm cả các khoản tiền gửi không hưởng lãi (non-remunerated deposits);

c) Tài sản, nợ phải trả, các khoản mục ngoại bảng nhạy cảm với lãi suất có dòng tiền định giá lại giả định trong tương lai (future notional repricing cash flows) (sau đây gọi tắt là dòng tiền). Trong đó:

Dòng tiền được xác định là:

(i) Bất kỳ khoản trả gốc (ví dụ: tại ngày đáo hạn theo hợp đồng);

(ii) Bất kỳ khoản gốc được định giá lại tại ngày gần nhất mà ngân hàng hoặc đối tác của ngân hàng có quyền đơn phương thay đổi lãi suất hoặc tại ngày mà lãi suất của một công cụ lãi suất thả nổi tự động thay đổi để phản ánh sự thay đổi của chỉ số tham chiếu bên ngoài;

(iii) Bất kỳ khoản trả lãi trên một phần của gốc chưa được hoàn trả hoặc chưa được định giá lại.

Ngày định giá lại (repricing date) được xác định là ngày của khoản trả gốc,  định giá lại gốc, khoản trả lãi quy định tại điểm c(i), c(ii), c(iii) khoản này.

2. Phân nhóm tài sản, nợ phải trả, khoản mục ngoại bảng nhạy cảm với lãi suất quy định tại khoản 1 Mục I Phần A Phụ lục này như sau:

a) Nhóm đáp ứng đủ tiêu chuẩn (Amenable to standardisation) bao gồm khoản mục có lãi suất cố định và khoản mục có lãi suất thả nổi (không bao gồm các khoản mục thuộc nhóm không đáp ứng đủ tiêu chuẩn). Trong đó, đối với khoản mục đính kèm quyền chọn liên quan đến lãi suất, ngân hàng không xem xét đến việc thực hiện quyền chọn và ngân hàng phân nhóm quyền chọn này vào nhóm chưa đáp ứng đủ tiêu chuẩn;

b) Nhóm chưa đáp ứng đủ tiêu chuẩn (Less amenable to standardisation) bao gồm các quyền chọn lãi suất tự động (automatic interest rate options) (nếu có);

c) Nhóm không đáp ứng đủ tiêu chuẩn (Not amenable to standardisation) bao gồm:

(i) Tiền gửi không kỳ hạn (Non-maturity Deposits – NMDs);

(ii) Khoản cho vay có lãi suất cố định có rủi ro trả trước hạn (Fixed rate loans subject to prepayment risk);

(iii) Khoản tiền gửi có kỳ hạn có rủi ro rút trước hạn (Term deposits subject to early redemption risk).

II. Bước 2: Ngân hàng phân bổ dòng tiền của các nhóm tài sản, nợ phải trả, khoản mục ngoại bảng nhạy cảm với lãi suất quy định tại Bước 1 Mục I Phần A Phụ lục này vào: (i) 19 thang kỳ hạn có ngày định giá lại quy định tại Bảng 1 Phụ lục này, hoặc (ii) điểm giữa của thang kỳ hạn quy định tại Bảng 1 Phụ lục này. Trường hợp phân bổ dòng tiền vào điểm giữa của thang kỳ hạn, ngân hàng đảm bảo giữ nguyên kỳ hạn của dòng tiền này bằng việc chia nhỏ (splitting up) các dòng tiền giữa hai điểm giữa của thang kỳ hạn liền kề. Cụ thể như sau:

1. Đối với nhóm đáp ứng đủ tiêu chuẩn:

a) Khoản mục có lãi suất cố định: Ngân hàng phân bổ dòng tiền từ tiền trả gốc, lãi (định kỳ hoặc cuối kỳ) vào thang kỳ hạn có ngày trả gốc, lãi hoặc vào điểm giữa của thang kỳ hạn.

b) Khoản mục có lãi suất thả nổi:

(i) Ngân hàng phân bổ dòng tiền từ tiền trả gốc, lãi định kỳ (nếu có) cho đến ngày định giá lại tiếp theo gần nhất vào thang kỳ hạn có ngày trả gốc, lãi hoặc vào điểm giữa của thang kỳ hạn;

(ii) Ngân hàng phân bổ dòng tiền từ tiền gốc còn lại sau khi thực hiện quy định tại điểm b(i) khoản này vào thang kỳ hạn có ngày định giá lại tiếp theo gần nhất hoặc vào điểm giữa của thang kỳ hạn.

Bảng 1. 19 thang kỳ hạn

STT	Thang kỳ hạn	Điểm giữa thang kỳ hạn (
1	Qua đêm	0,0028 năm
2	Qua đêm tới 1 tháng	0,0417 năm
3	Từ trên 1 tháng tới 3 tháng	0,1667 năm
4	Từ trên 3 tháng tới 6 tháng	0,375 năm
5	Từ trên 6 tháng tới 9 tháng	0,625 năm
6	Từ trên 9 tháng tới 1 năm	0,875 năm
7	Từ trên 1 năm tới 1,5 năm	1,25 năm
8	Từ trên 1,5 năm tới 2 năm	1,75 năm
9	Từ trên 2 năm tới 3 năm	2,5 năm
10	Từ trên 3 năm tới 4 năm	3,5 năm
11	Từ trên 4 năm tới 5 năm	4,5 năm
12	Từ trên 5 năm tới 6 năm	5,5 năm
13	Từ trên 6 năm tới 7 năm	6,5 năm
14	Từ trên 7 năm tới 8 năm	7,5 năm
15	Từ trên 8 năm tới 9 năm	8,5 năm
16	Từ trên 9 năm tới 10 năm	9,5 năm
17	Từ trên 10 năm tới 15 năm	12,5 năm
18	Từ trên 15 năm tới 20 năm	17,5 năm
19	Từ trên 20 năm	25 năm

2. Đối với nhóm chưa đáp ứng đủ tiêu chuẩn: Ngân hàng không phân bổ dòng tiền đối với nhóm này.

3. Đối với nhóm không đáp ứng đủ tiêu chuẩn:

a) Đối với NMDs:

(i) Ngân hàng phân loại NMDs thành:

- Tiền gửi cá nhân: được ghi nhận vào tài khoản giao dịch (transactional account) khi các giao dịch thường xuyên (như trả lương định kỳ) được thực hiện trên tài khoản đó (như tài khoản thanh toán). Các khoản tiền gửi cá nhân khác được ghi nhận vào tài khoản không giao dịch (non – transactional account).

- Tiền gửi tổ chức.

(ii) Đối với mỗi loại NMDs quy định tại điểm a(i) khoản này, ngân hàng sử dụng dữ liệu lịch sử để phân tách thành NMDs ổn định (stable NMDs) và NMDs không ổn định (non-stable NMDs). Trong đó, NMDs ổn định là NMDs có khả năng cao khách hàng sẽ duy trì khoản tiền gửi này.

- Từ NMDs ổn định, ngân hàng xác định NMDs lõi (core deposits). NMDs lõi là phần NMDs ổn định và gần như không được định giá lại ngay cả khi lãi suất thay đổi đáng kể. Tổng giá trị NMDs lõi và kỳ hạn trung bình của NMDs lõi đáp ứng yêu cầu quy định tại Bảng 2 Phụ lục này.

Bảng 2. Bảng giới hạn tỷ trọng và giới hạn kỳ hạn trung bình NMDs lõi

	Giới hạn tỷ trọng NMDs lõi (%)	Giới hạn kỳ hạn trung bình NMDs lõi (năm)
NMDs cá nhân
NMDs lõi/ tổng NMDs trên tài khoản giao dịch của cá nhân	90	5
NMDs lõi/ tổng NMDs trên tài khoản không giao dịch của cá nhân	70	4,5
NMDs tổ chức
NMDs lõi/ tổng NMDs tổ chức	50	4

- NMDs không lõi (non-core deposits) là phần NMDs còn lại khác với NMDs lõi.

(iii) Ngân hàng phân bổ dòng tiền cho NMDs như sau:

- Phân bổ NMDs lõi vào thang kỳ hạn hoặc điểm giữa của thang kỳ hạn đảm bảo đáp ứng yêu cầu quy định tại Bảng 2 phụ lục này.

- Phân bổ NMDs không lõi vào thang kỳ hạn qua đêm hoặc điểm giữa của thang kỳ hạn.

b) Đối với khoản cho vay có lãi suất cố định có rủi ro trả trước hạn (Fixed rate loans subject to prepayment risk):

(i) Ngân hàng phải có quy định nội bộ quy định các tiêu chí xác định khoản cho vay có lãi suất cố định có rủi ro trả trước hạn của cá nhân, tổ chức;

(ii)  Đối với khoản cho vay có lãi suất cố định có rủi ro trả trước hạn của cá nhân, ngân hàng xác định dòng tiền của khoản cho vay này theo trình tự sau:

- Ngân hàng xác định tỷ lệ trả trước hạn cơ sở   (baseline conditional prepayment rate) cho mỗi danh mục p gồm các khoản cho vay theo đồng tiền c có cùng đặc điểm trong điều kiện hiện hành.

- Ngân hàng xác định tỷ lệ trả trước có điều kiện (conditional prepayment rate – CPR) cho mỗi danh mục p này đối với đồng tiền c theo kịch bản cú sốc lãi suất i được xác định như sau:

)

Trong đó:  là hệ số nhân áp dụng cho kịch bản cú sốc lãi suất i theo Bảng 3 Phụ lục này

Bảng 3. Hệ số nhân theo các kịch bản cú sốc lãi suất

Số kịch bản (𝑖)	Kịch bản cú sốc lãi suất
1	Cú sốc tăng song song	0,8
2	Cú sốc giảm song song	1,2
3	Cú sốc dốc	0,8
4	Cú sốc phẳng	1,2
5	Cú sốc tăng lãi suất ngắn hạn	0,8
6	Cú sốc giảm lãi suất ngắn hạn	1,2

- Ngân hàng xác định dòng tiền của các khoản cho vay có lãi suất cố định có rủi ro trả trước hạn như sau:

Trong đó:

+  là khoản trả gốc, lãi định kỳ.

+  là số dư gốc còn lại của khoản vay tại thang kỳ hạn (k-1).

+ Kịch bản cú sốc lãi suất i được xác định tương ứng từ 1 đến 6.

(iii) Đối với khoản cho vay có lãi suất cố định có rủi ro trả trước hạn của tổ chức, ngân hàng tự xác định dòng tiền của khoản cho vay này để đo lường ΔEVE.

c) Đối với khoản tiền gửi có kỳ hạn có rủi ro rút trước hạn (Term deposits subject to early redemption risk):

(i) Ngân hàng phải có quy định nội bộ quy định các tiêu chí xác định khoản tiền gửi có kỳ hạn có rủi ro rút trước hạn của cá nhân, tổ chức;

(ii) Đối với khoản tiền gửi có kỳ hạn có rủi ro rút trước hạn của cá nhân, ngân hàng xác định dòng tiền trả trước hạn theo trình tự sau:

- Ngân hàng xác định tỷ lệ rút trước hạn cơ sở baseline term deposit redemption ratio) cho mỗi danh mục p bao gồm các khoản tiền gửi theo đồng tiền c có cùng đặc điểm trong điều kiện hiện hành.

- Ngân hàng xác định tỷ lệ rút trước hạn cho danh mục p này đối với thang kỳ hạn k hoặc điểm giữa thang kỳ hạn t_k theo kịch bản cú sốc lãi suất i như sau:

Bảng 4. Hệ số nhân theo các kịch bản cú sốc lãi suất

Số kịch bản	Kịch bản cú sốc lãi suất	Hệ số nhân
1	Cú sốc tăng song song	1,2
2	Cú sốc giảm song song	0,8
3	Cú sốc dốc	0,8
4	Cú sốc phẳng	1,2
5	Cú sốc tăng lãi suất ngắn hạn	1,2
6	Cú sốc giảm lãi suất ngắn hạn	0,8

- Ngân hàng xác định dòng tiền gửi rút trước hạn theo kịch bản cú sốc lãi suất i như sau: 

Trong đó,  là số dư tiền gửi còn lại của danh mục p.

Ngân hàng phân bổ dòng tiền gửi rút trước hạn này vào thang kỳ hạn qua đêm hoặc điểm giữa của thang kỳ hạn.

(iii) Đối với khoản tiền gửi có kỳ hạn có rủi ro rút trước hạn của tổ chức, ngân hàng tự xác định dòng tiền của các khoản tiền gửi này để đo lường ΔEVE.

III. Bước 3: Ngân hàng tính giá trị kinh tế của vốn chủ sở hữu theo 6 kịch bản cú sốc lãi suất

1. Sáu (06) kịch bản cú sốc lãi suất được sử dụng để tính giá trị kinh tế của vốn chủ sở hữu bao gồm:

a) Cú sốc tăng song song (parallel shock up): Lãi suất tăng tương tự cho tất cả các kỳ hạn;

b) Cú sốc giảm song song (parallel shock down): Lãi suất giảm tương tự cho tất cả các kỳ hạn;

c) Cú sốc dốc (steepener shock): Giảm lãi suất cho kỳ hạn ngắn hạn và tăng lãi suất cho kỳ hạn dài hạn;

d) Cú sốc phẳng (flattener shock): Tăng lãi suất cho kỳ hạn ngắn hạn và giảm lãi suất cho kỳ hạn dài hạn;

đ) Cú sốc tăng lãi suất ngắn hạn (short rates shock up): Tăng lãi suất cho kỳ hạn ngắn hạn;

e) Cú sốc giảm lãi suất ngắn hạn (short rates shock down): Giảm lãi suất cho kỳ hạn ngắn hạn.

2. Tính giá trị kinh tế của vốn chủ sở hữu:

Ngân hàng sử dụng 06 kịch bản cú sốc lãi suất quy định tại khoản 1 Mục III Phần A Phụ lục này để tính giá trị kinh tế của vốn chủ sở hữu theo từng loại đồng tiền c như sau:

- Trong mỗi kịch bản, tất cả các dòng tiền được phân bổ vào thang kỳ hạn 𝑘 ∈ {1,2, …, 𝐾} hoặc phân bổ vào điểm giữa của thang kỳ hạn , 𝑘 ∈ {1,2, …, 𝐾}. Tại mỗi thang kỳ hạn k hoặc tại điểm giữa của thang kỳ hạn , ngân hàng xác định dòng tiền vào và dòng tiền ra của tài sản, nợ phải trả, khoản mục ngoại bảng nhạy cảm với lãi suất để tính dòng tiền ròng (dòng tiền vào trừ dòng tiền ra) cho từng thang kỳ hạn. Tổng kết quả các dòng tiền ròng tại tất cả các thang kỳ hạn là  hoặc , 𝑘 ∈ {1,2, …, 𝐾}.

- Dòng tiền ròng tại mỗi thang kỳ hạn k hoặc tại điểm giữa thang kỳ hạn được chiết khấu theo hệ số chiết khấu lãi kép liên tục (continuously compounded discount factor) theo kịch bản cú sốc lãi suất i đối với đồng tiền c. Dòng tiền tại mỗi thang kỳ hạn được chiết khấu theo lãi suất phi rủi ro (risk-free rate).

Hệ số chiết khấu lãi kép liên tục được xác định như sau:

Trong đó, là điểm giữa của thang kỳ hạn k. Ngân hàng tính hệ số chiết khấu phù hợp với việc phân bổ dòng tiền của ngân hàng.

- Ngân hàng xác định giá trị kinh tế của vốn chủ sở hữu đối với đồng tiền c theo kịch bản cú sốc lãi suất i (không bao gồm các quyền chọn lãi suất tự động) như sau:

+ Trường hợp ngân hàng phân bổ dòng tiền vào thang kỳ hạn có ngày định giá lại:

+ Trường hợp ngân hàng phân bổ dòng tiền vào điểm giữa của thang kỳ hạn:

IV. Bước 4: Ngân hàng tự đo lường rủi ro quyền chọn tự động đối với các quyền chọn lãi suất tự động (nếu có) theo kịch bản cú sốc lãi suất i đối với từng đồng tiền c () để tính ΔEVE.

V. Bước 5: Ngân hàng xác định ΔEVE

Ngân hàng tính ΔEVE đối với đồng tiền c theo kịch bản i bằng cách lấy chênh lệch giữa giá trị kinh tế của vốn chủ sở hữu hiện hành  với giá trị kinh tế của vốn chủ sở hữu theo kịch bản i .

- Trường hợp ngân hàng phân bổ dòng tiền vào thang kỳ hạn có ngày định giá lại:

- Trường hợp ngân hàng phân bổ dòng tiền vào điểm giữa của các thang kỳ hạn:

Căn cứ vào kết quả tính theo từng đồng tiền c, ngân hàng xác định các khoản giảm giá trị kinh tế của vốn chủ sở hữu >0 và tính tổng giá trị giảm cho tất cả các đồng tiền theo từng kịch bản cú sốc lãi suất i. Tổng giá trị giảm giá trị kinh tế của vốn chủ sở hữu lớn nhất trong tất cả các kịch bản cú sốc lãi suất được xác định là giá trị đo lường rủi ro lãi suất trên sổ ngân hàng theo

B. Đo lường rủi ro lãi suất trên sổ ngân hàng theo chỉ tiêu thay đổi thu nhập lãi thuần

I. Thay đổi thu nhập lãi thuần (ΔNII) là mức độ thay đổi của thu nhập lãi thuần do thay đổi lãi suất từ các tài sản, nợ phải trả, khoản mục ngoại bảng có lãi suất trên sổ ngân hàng.

II. Ngân hàng đo lường ΔNII trong khoảng thời gian 01 năm với giả định báo cáo tình hình tài chính của ngân hàng không đổi (constant balance sheet).

III. Ngân hàng sử dụng 2 kịch bản gồm kịch bản cú sốc tăng song song và kịch bản cú sốc giảm song song để đo lường ΔNII. Giá trị giảm lớn nhất của thu nhập lãi thuần trong 2 kịch bản cú sốc lãi suất này là giá trị đo lường rủi ro lãi suất trên sổ ngân hàng theo ΔNII.

C. Xác định cú sốc lãi suất cho các đồng tiền

I. Ngân hàng xác định cú sốc lãi suất cho các đồng tiền theo trình tự sau đây:

1. Ngân hàng áp dụng tham số quy định tại Bảng 5 Phụ lục này trong tính toán cú sốc lãi suất cho đồng tiền c quy định tại khoản 3 Mục I Phần C Phụ lục này.

Bảng 5. Tham số  (đơn vị: bp)

	ARS	AUD	BRL	CAD	CHF	CNY	EUR	GBP	HKD	IDR	INR
Song song	400	300	400	200	100	250	200	250	200	400	400
Ngắn hạn	500	450	500	300	150	300	250	300	250	500	500
Dài hạn	300	200	300	150	100	150	100	150	100	350	300

	JPY	KRW	MXN	RUB	SAR	SEK	SGD	TRY	USD	ZAR
Song song	100	300	400	400	200	200	150	400	200	400
Ngắn hạn	100	400	500	500	300	300	200	500	300	500
Dài hạn	100	200	300	300	150	150	100	300	150	300

2. Trường hợp đồng tiền c không được quy định tại Bảng 5 Phụ lục này hoặc ngân hàng không áp dụng tham số cho các đồng tiền quy định tại Bảng 5 Phụ lục này, ngân hàng xác định tham số  trong tính toán cú sốc lãi suất cho đồng tiền c quy định tại khoản 3 Mục I Phần C Phụ lục này như sau:

a) Ngân hàng xác định lãi suất bình quân hằng ngày đối với đồng tiền:

Ngân hàng thu thập lãi suất hằng ngày đối với đồng tiền c trong 16 năm hoặc khoảng thời gian khác do ngân hàng tự xác định đối với các kỳ hạn 3 tháng, 6 tháng, 1 năm, 2 năm, 5 năm, 7 năm, 10 năm, 15 năm và 20 năm.

Lãi suất bình quân hằng ngày đối với đồng tiền c được xác định bằng cách tính lãi suất bình quân từ tất cả các mức lãi suất hằng ngày thuộc các kỳ hạn 3 tháng, 6 tháng, 1 năm, 2 năm, 5 năm, 7 năm, 10 năm, 15 năm và 20 năm.

b) Ngân hàng xác định tham số bằng cách nhân lãi suất bình quân hằng ngày của đồng tiền c được xác định tại điểm a khoản này với tham số cú sốc lãi suất toàn cầu cơ sở (tương ứng theo Bảng 6 Phụ lục này.

Bảng 6. Các tham số cú sốc lãi suất toàn cầu cơ sở

Song song (parallel)		60%
Lãi suất ngắn hạn (short rate)		85%
Lãi suất dài hạn (long rate)		40%

c) Tham số  quy định tại điểm b khoản này phải đảm bảo:

(i) Mức sàn tối thiểu 100bp;

(ii) Mức trần tương ứng:

- Mức 500 bp đối với cú sốc lãi suất ngắn hạn;

- Mức 400 bp đối với cú sốc lãi suất song song;

- Mức 300 bp đối với cú sốc lãi suất dài hạn.

3. Ngân hàng xác định cú sốc lãi suấtcho các kịch bản cú sốc lãi suất như sau:

a) Đối với kịch bản cú sốc song song cho đồng tiền c:

b) Đối với kịch bản cú sốc ngắn hạn cho đồng tiền c:

Trong đó: hệ số

c) Đối với kịch bản cú sốc dài hạn cho đồng tiền c:

Trong đó: ;

d)  Đối với kịch bản cú sốc dốc và kịch bản cú sốc phẳng cho đồng tiền c:

.

II. Trường hợp ngân hàng không thực hiện quy định tại Mục I Phần C Phụ lục này, ngân hàng được tự xác định cú sốc lãi suất, đảm bảo phù hợp với hướng dẫn cập nhật của Ủy ban Basel về phương pháp xác định cú sốc lãi suất^[1] cho các kịch bản cú sốc lãi suất.

Phụ lục VI

(Ban hành kèm theo Thông tư số 83/2025/TT-NHNN ngày 31 tháng 12 năm 2025 của Thống đốc Ngân hàng Nhà nước Việt Nam)

HƯỚNG DẪN CÁCH XÁC ĐỊNH MỘT SỐ CHỈ TIÊU VỀ VỐN

I. Vốn mục tiêu:

1. Vốn kinh tế:

Vốn kinh tế (C_E) được xác định theo công thức sau đây:

C_E = RWA^*_E × CAR_Target + ∆RWA _B × CAR_R

Trong đó:

a) CAR_Target: Tỷ lệ an toàn vốn mục tiêu trong khẩu vị rủi ro (%);

b) CAR_R: Tỷ lệ an toàn vốn theo quy định của Ngân hàng Nhà nước về tỷ lệ an toàn vốn đối với ngân hàng (%);

c) ∆RWA_B: Giá trị chênh lệch dương giữa Tổng tài sản tính theo rủi ro trong kịch bản có diễn biến bất lợi trừ đi Tổng tài sản tính theo rủi ro trong kịch bản hoạt động bình thường;

d) RWA^*_E: Tổng tài sản tính theo rủi ro trong kịch bản hoạt động bình thường được xác định theo công thức sau đây:

RWA^*_E = RWA_CR + RWA_OR + RWA_MR+ RWA_IRRBB + RWA_COR + RWA_OMR

Trong đó:

- RWA_CR: Tổng tài sản tính theo rủi ro tín dụng;

- RWA_OR: Tổng tài sản tính theo rủi ro hoạt động;

- RWA_MR: Tổng tài sản tính theo rủi ro thị trường;

- RWA_IRRBB: Tổng tài sản tính theo rủi ro lãi suất trên sổ ngân hàng;

- RWA_COR: Tổng tài sản tính theo rủi ro tập trung;

- RWA_OMR: Tổng tài sản tính theo các rủi ro trọng yếu khác (không bao gồm rủi ro thanh khoản).

(i) RWA_CR: được xác định theo quy định của Ngân hàng Nhà nước về tổng tài sản có tính theo rủi ro tín dụng.

(ii) RWA_OR, RWA_MR:  được xác định phù hợp với quy định của Ngân hàng Nhà nước về vốn yêu cầu đối với rủi ro hoạt động, vốn yêu cầu đối với rủi ro thị trường.

(iii) RWA_COR: được tính theo công thức sau đây:

RWA_COR = RWA^1_COR + RWA^2_COR

Trong đó:

- RWA^1_COR: Tổng tài sản tính theo rủi ro tập trung đối với hoạt động cấp tín dụng được xác định theo phương pháp của ngân hàng tự xây dựng nhưng không thấp hơn mức RWA^1*_COR được xác định như sau:

+ Công thức xác định:

RWA^1*_COR= Max{(E_i – A × C); 0} + Max{(E_j – B × C); 0}

Tỷ lệ vốn tự có tương ứng cho một khách hàng, một khách hàng và người có liên quan theo lộ trình sau:

Từ	Tỷ lệ đối với một khách hàng (A)	Tỷ lệ đối với một khách hàng và người có liên quan (B)
01/07/2026	8,7	16,8
01/01/2027	8	15,2
01/01/2028	7,3	13,6
01/01/2029	6,5	12

Trong đó:

+ E_i: Tổng dư nợ cấp tín dụng đối với một khách hàng; không bao gồm các khoản cấp tín dụng có hệ số rủi ro bằng 0%, các khoản cấp tín dụng đã trừ khỏi Vốn tự có theo quy định của Ngân hàng Nhà nước về tỷ lệ an toàn vốn đối với ngân hàng;

+ E_j: Tổng dư nợ cấp tín dụng đối với một khách hàng và người có liên quan; không bao gồm các khoản cấp tín dụng có hệ số rủi ro bằng 0%, các khoản cấp tín dụng đã trừ khỏi Vốn tự có theo quy định của Ngân hàng Nhà nước về tỷ lệ an toàn vốn đối với ngân hàng;

+ C: Vốn tự có của ngân hàng được xác định theo quy định của Ngân hàng Nhà nước;

+ RWA^2_COR: Tổng tài sản tính theo rủi ro tập trung đối với hoạt động tự doanh được xác định theo phương pháp của ngân hàng tự xây dựng.

(iv) RWA_IRRBB: được xác định theo phương pháp của ngân hàng tự xây dựng. Chậm nhất kể từ ngày 01 tháng 01 năm 2028, ngân hàng thực hiện tính RWA_IRRBB theo chỉ tiêu thay đổi giá trị kinh tế của vốn chủ sở hữu (ΔEVE) theo quy định tại Thông tư này.

(v) RWA_OMR: được xác định theo phương pháp của ngân hàng tự xây dựng.

2. Vốn mục tiêu (C_Target) được xác định theo công thức sau đây:

C_Target = Max (C_R, C_E)

Trong đó:

(i) C_R: Vốn tự có để đáp ứng tỷ lệ an toàn vốn theo quy định của Ngân hàng Nhà nước về tỷ lệ an toàn vốn đối với ngân hàng, chi nhánh ngân hàng nước ngoài;

(ii) C_E: Vốn kinh tế được xác định theo điểm 1 Mục này.

II. Vốn tự có dự kiến (C_A)

Vốn tự có dự kiến (C_A) là mức vốn tự có xác định theo quy định của Ngân hàng Nhà nước trên cơ sở kế hoạch kinh doanh tối thiểu 03 năm tiếp theo và không quá 05 năm tiếp theo với các giả định sau:

- Không có kế hoạch tăng vốn;

- Không có yêu cầu bổ sung vốn cho công ty con, công ty liên kết, các khoản đã góp vốn, mua cổ phần;

- Tỷ lệ chia cổ tức bằng tỷ lệ chia cổ tức bình quân của 03 năm gần nhất;

- Phần lợi nhuận giữ lại sau khi chia cổ tức được bổ sung vốn.

III. Tỷ suất giữa lợi nhuận có điều chỉnh rủi ro so với Vốn tự có (Risk Adjusted Returns on Capital - RAROC)

RAROC là tỷ lệ phần trăm giữa tổng lợi nhuận trước thuế so với Vốn kinh tế (C_E) được xác định tại điểm 1 Mục I Phụ lục này./.

---

[1] Văn bản BCBS D578 - Bản hiệu chỉnh cú sốc lãi suất trên sổ ngân hàng năm 2024 (Recalibration of shocks in the interest rate risk in the banking book standard) của Ủy ban Basel.

Tiếng Anh (English)

THE STATE BANK OF VIETNAM -------	THE SOCIALIST REPUBLIC OF VIETNAM Independence - Freedom - Happiness ---------------
No. 83/2025/TT-NHNN	Hanoi, December 31, 2025

CIRCULAR

INTERNAL CONTROL SYSTEMS OF CREDIT INSTITUTIONS AND FOREIGN BANK BRANCHES

Pursuant to the Law on the State Bank of Vietnam No. 46/2010/QH12;

Pursuant to Law on Credit Institutions No. 32/2024/QH15, as amended and supplemented by Law No. 96/2025/QH15;

Pursuant to Government’s Decree No. 26/2025/ND-CP defining the functions, tasks, powers and organizational structure of the State Bank of Vietnam;

At the request of the Director of the Department of System Safety Supervision of Credit Institutions

The Governor of the State Bank of Vietnam hereby promulgates a Circular on internal control systems of credit institutions and foreign bank branches.

Chapter I

...

...

...

Article 1. Scope

1. This Circular provides for internal control systems of credit institutions and foreign bank branches (hereinafter referred to as “banks”)

2.  Commercial banks placed under special control shall not comply with Section 9, Chapter III of this Circular.1

Article 2. Regulated entities  

1. Commercial banks

2. Branches of foreign banks.

Article 3. Interpretation of terms

For the purposes of this Circular, the terms below shall be construed as follows:

1. Control activities refers to supervision, monitoring, inspection, and self-control conducted by individuals or departments in banking operations in accordance with internal mechanisms, policies, procedures, regulations, and professional ethical standards; such activities aims to ensure compliance with laws, manage conflict of interest, promptly detect and address violations, and establish and maintain a culture of control within the bank. Control activities include senior management oversight and internal controls.

...

...

...

3. Risk management (risk administration) refers to identification, measurement, monitoring and control of risks in banking operations.

4. Control culture refers to the corporate cultural value of a bank showing a unified awareness of the importance of control and management among the Board of Directors, the Board of Members, the Board of Controllers, the Director General (Director), individuals and departments; encouraging them to proactively identify, monitor, and control risks in their operations and banking operations.

5. Conflict of interest arises when an individual or department makes decisions within their authority that create benefits that are inappropriate or contrary to the interests of the bank.

6. Internal capital adequacy assessment refers to self-assessment of capital adequacy in order to ensure compliance with the regulations of the State Bank of Vietnam (SBV) on capital prudential ratio and provisions in this Circular.

7. Economic capital is the capital level determined by the bank, based on calculation to cover major risks and ensure capital prudential ratios under adverse scenarios.

8. A stress test is a forward-looking risk management tool that evaluates the potential impact of adverse changes or fluctuations, thereby determining the bank’s risk tolerance.

9. Risk refers to potential events that can cause losses (both financial losses and non-financial losses) or negatively affect the bank’s income, capital, or liquidity. Types of risks include: credit risk, market risk, operational risk, liquidity risk, and concentration risk, interest rate risk in the banking book (IRRBB), model risk, reputational risk, strategic risk, and other risks requiring management in banking operations.

10. Risk appetite refers to the level of risk the bank is willing to accept while executing its business strategy, which is expressed through ratios and indicators specified in point a Clause 2 Article 19 of this Circular.

11. Risk position refers to the level of risk of the bank at a specific time, expressed through values adjusted for risk in assets, liabilities, and off-balance-sheet items.

...

...

...

13. Major risks include:

a) Credit risk, market risk, operational risk, liquidity risk, concentration risk, and IRRBB;

b) Other risks as specified in the bank’s internal regulations;

14. Credit risk includes:

a) Customer credit risk refers to the risk arising when customers fail or are unable to fulfill part or all of their debt obligations under contracts or agreements with the bank.  

Customers include individuals and juridical persons (including credit institutions and foreign bank branches) that have credit or deposit relationships with the bank.

b) Counterparty credit risk refers to the risk that a counterparty fails or is unable to fulfill part or all of their payment obligations before or at maturity for proprietary trading transactions; repurchase agreements and reverse repurchase agreements, foreign exchange, gold, and financial asset trading transactions for the needs of customers, counterparties, and corresponding transactions.

Counterparties include individuals, credit institutions, foreign bank branches, and other juridical persons engaging in such transactions with the bank.

15. Market risk arises from adverse fluctuations in interest rates, exchange rates, gold prices, securities prices, and commodity prices, including:

...

...

...

b) Foreign exchange risk refers to the risk caused by adverse fluctuations in exchange rates or gold prices when the bank holds foreign currency or gold positions;

c) Equity price risk refers to the risk caused by adverse fluctuations in stock prices affecting the value of equities or equity derivatives in the banking book;

d) Commodity price risk refers to the risk caused by adverse fluctuations in commodity prices affecting the value of commodity derivatives or spot transactions subject to commodity price risks in the bank.

16. Operational risk refers to the risk arising from incomplete mechanisms, policies, procedures, and internal regulations; human factors; system errors or failures; or external factors. Operational risk includes legal risk but excludes reputational and strategic risks.

17. Legal risk arises when the bank may incur penalties (include financial and non-financial penalties) due to violations against regulations or breaches of obligations or agreements with related parties.

18. Reputational risk refers to the risk arising when customers, counterparties, shareholders, investors, or the public react negatively to the bank’s reputation.

19. Strategic risk refers to the risk arising when the bank fails to prepare a strategy or has an ineffective strategy to response to changes in the business environment promptly, thereby reducing its ability to execute its business strategy and achieve its profit objectives.

20. Liquidity risk refers to the risk arising when:

a) The bank fails to fulfill debt obligations at maturity;

...

...

...

21. Concentration risk is the risk arises when the bank's business activities are concentrated on a single customer; a single customer and their related parties; or one or several customers, partners, products, transactions, or economic sectors to a significant extent, as specified in the bank's internal regulations, affecting the bank's income and risk position.

22. Interest rate risk in the banking book (IRRBB) refers to the risk arising from adverse changes in interest rates that impact the banking book and affect the bank's capital and income. IRRBB includes:

a) Gap risk: arising from mismatches in the timing of interest rate re-pricing or mismatches in the maturity between assets and liabilities (including off-balance-sheet items) in the banking book.

b) Basis risk: arising from differences in interest rates used to re-price assets and liabilities (including off-balance-sheet items) with the same maturity;

c) Option risk: arising from the exercise of automatic options or behavioral options associated with assets and liabilities (including off-balance-sheet items), which alter the value and timing of cash flows, including:

(i) Automatic option risk: arising when interest rate changes result in the mandatory exercise of options as stipulated in contracts.

(ii) Behavioral option risk: arising when interest rate changes lead to changes in customer behavior.

23. Model refers to a method, system, or quantitative approach (including assumptions, techniques, and theories in mathematics, statistics, economics, finance, and expert opinions) used to process input data into output results for the bank’s operations.

24. Model risk refers to the risk caused by model errors during the development, implementation, or use of an inappropriate model.

...

...

...

a) Model development (including new model development or adjustments to existing models);

b) Model implementation;

c) Model use and application (hereafter referred to as model use);

d) Model monitoring and supervision;

dd) Model validation.

26. Risk-bearing decision refers to a decision made by the competent authority of the bank that creates risk or changes the bank’s risk position.

27. Credit risk-bearing decision refers to a risk-bearing decision made by the bank in credit activities as specified in internal regulations, including at least: credit extension decisions; credit limit decisions; limit-exceeding loan decisions; loan term restructuring decisions; loan group transfer decisions.

28. Credit extensions requiring attention refers to credit classified into group 2 or above as specified in the State Bank’s regulations on classification of assets in banking activities for commercial banks, non-bank credit institutions, and foreign bank branches and other credits extensions identified as credit extensions requiring attention as specified in the internal regulations of the bank.

29. Outsourcing refers to agreements made in writing by the bank to hire individuals, organizations, credit institutions, or foreign bank branches (hereinafter referred to as “third parties”) to handle data processing, customer identification, or perform one or several stages of the bank's operational processes (excluding risk-bearing decision of the bank) on behalf of the bank in accordance with the law.

...

...

...

31. Parent bank refers to a foreign bank that has its branches licensed to operate in Vietnam.

32. Trading book refers to the portfolio that records the positions of:

a) Proprietary trading transactions;

b) Transactions for underwriting financial instruments;

c) Derivative transactions for hedging risks in the bank’s proprietary trading;

d) Foreign currency, gold and financial asset transactions serving the demands of customers and partners; corresponding transactions.

33. Banking book refers to the portfolio that records the positions of:

a) Repurchase agreement and reverse repurchase agreement;

b) Derivative transactions for hedging risks in the bank’s financial statement accounts or entries (including off-balance-sheet accounts or entries) of the bank, except for transactions classified into the trading books as stipulated in point a and c Clause 32 of this Decree;

...

...

...

d) Other transactions which are not classified under the trading book.

34. Proprietary trading refers to transactions of selling, buying and exchange conducted by the bank or its subsidiaries, in accordance with regulations, with the purposes of profiting from market price differences for the bank within a period not exceeding one year. These transactions include:

a) Financial instruments on the money market;

b) Currencies (including gold);

c) Securities on the capital market;

d) Derivatives;

dd) Other financial instruments traded on formal markets.

35. Repurchase agreement (hereinafter referred to as "repo”) refers to a transaction where a party sells and transfers ownership of a financial asset to another party and commits to repurchase and regain ownership of the financial asset after a specified period at a predetermined price.  

36. Reverse repurchase agreement (hereinafter referred to as “reverse repo”) refers to a transaction where a party purchases and receives ownership of a financial asset from another party and commit to resell and transfer ownership of the financial asset after a specified period at a predetermined price, Including term purchases of transferable instruments or other valuable papers stipulated by the State Bank of Vietnam (SBV) regarding discounting provided by credit institutions and foreign bank branches to customers.

...

...

...

1. The internal control system of a bank must fulfill the following requirements:

a) Comply with Law on Credit Institutions and its amendments (hereinafter referred to as “Law on Credit Institutions”), this Circular, and other relevant legislative documents; address and rectify issues upon requests and recommendations of SBV, independent auditing organizations, and other competent authorities;

b) Appropriate for the scale, conditions, and complexity of the bank’s business activities;

c) Have sufficient financial and human systems and information resources in order to ensure the internal control system’s efficiency;

d) Develop and maintain a control culture of the bank;

dd) Have an information system that meets the requirements of the Law on Credit Institutions, Article 8 of this Circular and relevant regulations, ensuring the reliability, completeness, and timeliness of management information.

2. The internal control system of the bank must have three lines of defense as follows:

a) The first line of defense consists of risk-generating departments, including revenue-generating departments, risk-bearing decision departments, departments allocating risk limits for specific business and operations, and other risk-generating departments. The first line of defense is responsible for identifying, implementing control measures, monitoring, and minimizing risks;

b) The second line of defense consists of at least the Compliance Department and the Risk Management Department. The second line of defense is used for developing risk management policies, internal regulations on risk management, measuring, monitoring, and controlling risks across the bank, and ensuring compliance with legal regulations.

...

...

...

d) For model risk management, the bank must maintain three independent lines of defense as stipulated in Clause 7 Article 56 of this Circular.

3. Opinions and conclusions related to the internal control system during meetings of the Board of Directors, the Board of Members, the Board of Controller; Committees, or Councils stipulated in this Circular must be made in writing.

Article 5. Mechanisms, policies, procedures, and internal regulations

1. Requirements for the mechanisms, policies, procedures, and internal regulations of the bank:

a)  They must be in compliance with this Circular and other relevant regulations.

b) The devolution of decision-making authority must be based on the prestige of the competent authority and capacity of the executing individual/department. The competence to approve must be defined by criteria such as transaction scale, complexity, risk limits, and other limits or criteria as specified in the internal regulations of the bank;

c) Responsibilities and functions for individuals and departments, from the lowest to the highest level, in all transactions and operational processes of the bank must be specified in accordance with the following principles:

(i) Members of the Board of Directors/Board of Members shall not participate in review and approval of risk-bearing decisions that fall under the functions and responsibilities of the General Director (Director). In cases where a member of the Board of Directors or the Board of Members concurrently holds the position of General Director (Director), the bank must implement control measures to prevent conflict of interest and maintain independent supervision;

(ii) Members of the Board of Directors/Board of Members must not concurrently hold any other positions or titles at the commercial bank, except for the position of General Director (Director) as stipulated in the Law on Credit Institutions, or positions in the Risk Handling Council or committees established by the Board of Directors or the Board of Members;

...

...

...

 (iv) Functions and tasks shall be divided among transactions and business processes in order to prevent and control conflict of interest; provided that an individual shall not be in control of a whole transaction or its process; an individual shall not be given tasks that give rise to conflict of interest; pre-transaction, transaction, and post-transaction must comply with principles for control;

(v) There are independent individuals within a department or independent departments to conduct periodic and ad hoc inspection in accordance with internal regulations;

(vi) If conflict of interest or violation against internal regulations still occurs despite implementation of regulations specified in Points c(iv) and c(v) of this Clause, the bank must identify the causes, take measures to mitigate risks, carry out tight surveillance and independent assessment more frequently;

d) The devolution of asset management responsibilities (including financial and tangible assets) must be defined for each individual and department based on asset value or other specific limits as specified in the bank's internal policies. The scope includes activities such as receipt, safekeeping, transportation, inspection, and inventory of assets;

dd) Professional ethics standards (excluding those for members of the Board of Controllers and internal auditors) must be issued by the Board of Directors, the Board of Members, or General Director (Director) of foreign bank branches and complies with the following principles:

(i) Employees at all levels must perform their assigned duties and powers honestly, in the bank's interest; they must not exploit their position, use confidential information, business opportunities, or bank assets for personal gain or cause harm to the bank's interests;

(ii) Individuals and departments must promptly report to the authorized authority upon detecting any violations specified in point dd(i) or any violations against internal regulations or laws;

e) They must undergo periodical assessment in accordance with internal regulations; they shall be amended and supplemented to ensure compliance with laws;

g) Internal regulations on head office's control activities over branches and affiliated units must at least include provisions on functions, responsibilities, reporting mechanisms, salaries, commendation, disciplinary measures, personnel transfer, and other mechanisms for individuals and departments responsible for control activities;

...

...

...

i) Internal regulations on internal audits must comply with Article 68 of this Circular;

k) Internal regulations on reporting must include: data collection timeline, report completion deadlines; individuals or departments responsible for preparing, approving, and receiving reports, and responsibilities for addressing proposals or recommendations within the reports (if any).

2. Authority to promulgate of commercial banks:

a) The Board of Directors or the Board of Members shall promulgate regulations on the organization, governance, and operations of the commercial bank, except for matters falling under the authority of the General Meeting of Shareholders or the owner;

b) The Board of Controllers shall promulgate internal regulations of the Board of Controllers;

c) The General Director (Director) shall promulgate internal regulations, procedures, and operational processes to manage the business operations and information management systems (hereinafter referred to as “internal procedures”), except for matters falling under the authority of the General Meeting of Shareholders, the owner, the Board of Directors, the Board of Members, or the Board of Controllers.

3. Authority to promulgate of branches of foreign banks: The General Director (Director) shall promulgate internal regulations and procedures for the foreign bank branch in accordance with the parent bank's policies or adopting the internal regulations issued by the parent bank.

Article 6. Organizational structure for implementing the internal control system

1. Organizational structure for implementing the internal control system in a commercial bank includes  the Board of Directors, the Board of Members, the Board of Controllers, the General Director (Director), and individuals or departments specified in this Article.

...

...

...

a) The Board of Directors or the Board of Members must establish committees as required in Clause 5 Article 50 of the Law on Credit Institutions. Organizational structure, functions, and responsibilities of the Risk Management Committee and Human Resources Committee must comply with the SBV’s regulations, ensuring that at least more than half (1/2) of the voting members are not executives.

b) The Board of Directors or the Board of Members may establish other committees if necessary.

3. The Board of Controllers shall have responsibilities and authority stipulated in the Law on Credit Institutions and this Circular. The Board of Controllers shall define the organizational structure, functions, responsibilities, and authority of the Internal Audit Department in accordance with the Law on Credit Institutions and this Circular.

4. The General Director (Director) of a commercial bank shall have responsibilities and authority stipulated in the Law on Credit Institutions and this Circular; his/her assistance councils  and departments include:

a) Risk council: Responsible for advising and assisting the General Director (Director) on risk management as specified in point a Clause 5 Article 25 of this Circular; performing other tasks specified in point b Clause 5 Article 25 of this Circular. The Risk council consists of a full-time risk management executive at the headquarters (who is not the General Director (Director)) who has experience, knowledge, and expertise in risk management and other members from relevant departments as per the bank's internal regulations.  The General Director (Director) shall decide the working regulations of the Risk Council, including at least: functions, responsibilities, decision-making mechanisms, and meeting mechanisms (quarterly meetings and ad hoc meetings).

b) Asset and liability management committee (ALCO): Responsible for advising and assisting the General Director (Director) on asset and liability management in accordance with Clause 3 Article 25 of this Circular. The ALCO consists of： the General Director (Director) as the chairperson or another executive at the headquarters and other members from relevant departments as per the bank's internal regulations. The General Director (Director) shall decide the working regulations of the ALCO, including at least: functions, responsibilities, decision-making mechanisms, and meeting mechanisms (quarterly meetings and ad hoc meetings).

c) Capital management council: responsible for advising and assisting the General Director (Director) on internal capital adequacy assessment in accordance with Clause 4 Article 25 of this Circular. The Capital management council consists of: the General Director (Director) as the chairperson or another executive specializing in finance at the headquarters who has experience, knowledge, and expertise in accounting and finance, other members from relevant departments as per the bank's internal regulations. The General Director (Director) shall decide the working regulations of the Capital management council, including at least: functions, responsibilities, decision-making mechanisms, and meeting mechanisms (6-month meetings and ad hoc meetings).

d) Compliance department: its functions and responsibilities are determined by the General Director (Director) based on the scale, nature, and complexity of business activities; which must ensure independence, avoid conflicts of interest, and include at least duties specified in Clause 3 Article 14 of this Circular;

dd) Risk management department: Its functions and responsibilities are determined by the General Director (Director), which must include at least roles and responsibilities specified in Clause 5 Article 25 of this Circular;

...

...

...

g) Other councils (if necessary): The General Director (Director) shall decide the working regulations of any other council, including at least: functions, responsibilities, decision-making mechanisms, and meeting mechanisms (regular meetings and ad hoc meetings).

5. Other individuals and departments within the organizational structure of the commercial bank which have functions and responsibilities related to the implementation of the internal control system.

6. The organizational structure of the internal control system in foreign bank branches includes:

a) The General Director (Director) shall have responsibilities and authority stipulated in the Law on Credit Institutions and this Circular;

b) The Compliance department shall have its functions and responsibilities determined by the General Director (Director) based on the scale, nature, and complexity of business activities; which must ensure independence, avoid conflicts of interest, and include at least duties specified in Clause 3 Article 14 of this Circular;

c) The Risk management department shall have its functions and responsibilities determined by the General Director (Director) based on the scale, nature, and complexity of business activities; including at least duties specified in point b lause 7 Article 25 of this Circular;

d) Other individuals and departments within the organizational structure of the foreign bank branch whose functions and responsibilities are related to the implementation of the internal control system.

dd) The organizational structure, responsibilities, authority, and obligations of the Internal Audit Department and internal auditors within the foreign bank branch shall comply with regulations of the parent bank.

Article 7. Implementation of internal control systems

...

...

...

1. Control activities stipulated in Chapter II of this Circular.

2. Risk management activities stipulated in Chapter III of this Circular

3. Internal audit stipulated in Chapter IV of this Circular.

Article 8. Management information systems

1. Banks must establish a management information system to collect, process, store, and provide information for management, operations, and decision-making in banking operations.

2. Minimum requirements for management information systems of banks include:

a) Organizational structure for managing and operating the management information system; internal regulations defining the responsibilities of individuals and departments in managing, operating, and using the system;

b) Procedures for collecting, processing, storing, and providing information;

c) Data to serve the management, operations, and decision-making processes of the bank, including risk data managed in accordance with Article 24 of this Circular;

...

...

...

dd) Information technology infrastructure (hardware and software) that meets the requirements of the management information system.

e) Backup systems to ensure the safe, efficient, and uninterrupted storage and use of data and information.

3. The management information systems must ensure:

a) The completeness, accuracy, and timeliness of data and information in accordance with bank’s management requirements as prescribed in this Circular and the bank’s internal regulations; the reliability of input data and information sources;

b) The safety and confidentiality of data and information in accordance with the law and the bank’s internal regulations;

c) The Board of Directors, the Board of Members, parent bank, Board of Controllers, General Director (Director), and other relevant individuals or departments shall be provided with complete and timely information to fulfill their functions, responsibilities, and authorities;

d) Reporting mechanism to promptly inform the bank’s competent authorities of any violations against laws, internal regulations, or professional ethics by individuals or departments. Such mechanism must ensure information confidentiality and protect information providers;

dd) The system must be reviewed and reassessed at least annually and on an ad-hoc basis; upgraded, and regularly updated to meet management information needs, the scale, structure, and complexity of the bank’s operations, and to ensure compliance with the laws and the bank’s internal regulations.

Article 9. Reporting to the State Bank of Vietnam on the internal control system

...

...

...

2. Internal control system reports include:

a) Annual report on self-inspection and evaluation of control activities: Appendix I issued with this Circular;

b) Annual report on risk management: Appendix II issued with this Circular

c) Annual report on internal capital adequacy assessment: Appendix III issued with this Circular;

d) Annual internal audit report: Appendix IV issued with this Circular; and ad-hoc internal audit reports.

3. Deadlines for report submission:

a) For reports specified in points a, b, and c Clause 2 of this Article: Reports for the fiscal year must be submitted within 90 days from the end of the fiscal year;

b) For reports specified in point d Clause 2 of this Article:

(i) Commercial banks must submit the annual internal audit report of this fiscal year within 60 days from the end of the fiscal year.

...

...

...

(iii) Ad-hoc internal audit reports must be submitted within 07 working days from the completion of the ad-hoc internal audit.

4. Authority to approve reports:

a) The Board of Directors or Board of Members shall approve reports specified in point a Clause 2 of this Article;

b) The Board of Controllers shall approve reports specified in point d Clause 2 of this Article;

c) The General Director (Director) of a commercial bank shall approve reports specified in points b and c Clause 2 of this Article;

d) The General Director (Director) of a foreign bank branch shall approve reports specified in points a, b and c Clause 2 of this Article;

5. Reports on the internal control system specified in Clause 2 of this Article shall include updates on new limitations and risks of this internal control system across the bank.

6. The reports specified in Clause 2 of this Article may be submitted to the SBV:

a) in person;

...

...

...

c) online (if applicable).

Article 10. Retention of internal control records and documents

1. A bank is required to have internal regulations on management and retention of records and documents on the internal control system.

2. Management and retention of records and documents on the internal control system in the bank shall:

a) Comply with regulations of law and SBV’s regulations regarding the retention period for records and documents in banking operations;

b) Fully retain records and documents in order to provide them upon request of internal auditors, the independent auditing organization, and the authority having competence in internal audit, independent audit, inspection and supervision.

Chapter II

CONTROL ACTIVITIES

Article 11. Requirements of control activities

...

...

...

2. Accounting must comply with regulations on accounting standards and regime; financial statements must be compiled, prepared, and submitted in accordance with law and the bank’s internal regulations. The accounting process must be reviewed and reconciled to promptly detect and address errors; which must be reported to the competent authority in accordance with the bank’s internal regulations.

3. Measures for preventing and handling violations against law and internal regulations of the banks shall be adopted;

4. Human resources allocation shall be appropriate for the nature and complexity of each business activity and control operation, including: contingency staffing plans during employee absences, recruitment, rotation, and appointment processes to maintain effective control and ensure continuity of operations.

5. The head office's oversight of its branches and affiliated units must ensure:

a) The head office must monitor and control the transactions and activities of its branches and affiliated units, including both supervision and control performed by individuals or departments specifically assigned to oversee these units;

b) The head office shall decide on functions, responsibilities, reporting mechanisms, salaries, commendation, disciplinary measures, personnel transfer, and other mechanisms for individuals and departments responsible for control activities;

c) Individuals or departments conducting control activities for branches or affiliated units must be independent and avoid conflicts of interest with other individuals or departments of those branches or units.

6. Banks must prepare annual and ad-hoc internal reports on control activities and submit them to the competent authority as stipulated in the bank’s internal regulations. Such internal reports must include assessment on control activities stipulated in this Article and other contents as stipulated in the bank’s internal regulations.

7. Banks must establish control mechanisms for activities conducted via electronic means to ensure compliance with provisions of this Circular and other relevant laws.

...

...

...

1. The supervision structure must comply with the requirements stipulated in Article 11 of this Circular.

2. The senior management supervision in commercial banks:

a) The Board of Directors or the Board of Members shall supervises the General Director (Director) in implementing Clause 2 Article 14 and Clause 2 Article 25 of this Circular;

b) The Board of Controllers of the commercial bank shall supervise the Internal Audit Department in implementing the provisions of Article 71 and Clauses 1, 2, and 3 of Article 72 of this Circular;

c) The General Director (Director) of the commercial bank shall supervise individuals and departments in implementing the provisions of Clauses 3 and 4, Article 14, and Clauses 3, 4, 5, and 6, Article 25 of this Circular.

3. The Director General (Director) of a foreign bank branch shall:

a) Supervise individuals and departments in implementing Clauses 3 and 5 Article 14, point b Clause 7 Article 25 of this Circular;

b) Supervise individuals and departments in accordance with regulations of the parent bank in conducting internal audits.

Article 13. Internal control

...

...

...

2. Internal control within the bank shall be conducted through self-control activities performed by individuals and departments during business processes and supervisory and inspection activities conducted by individuals and departments assigned to monitor the compliance of other individuals and departments with mechanisms, policies, procedures, internal regulations, and requirements of laws.

Article 14. Responsibilities of the Board of Directors, the Board of Members, General Director (Director), individuals, and departments in control activities

1. The Board of Directors, the Board of Members of a commercial bank must perform functions and duties related to control activities stipulated in this Circular and the bank’s internal regulations.

2. The General Director (Director) of the bank shall:

a) Control activities within their authority;

b) Operate and maintain the management information system to ensure compliance with requirements in Article 8 of this Circular;

c) Maintain a control culture specified in Clause 4 Article 3 of this Circular and professional ethical standards stipulated in Clause 1 Article 5 of this Circular;

d) Take actions against violations against internal regulations and professional ethical standards (except for the ethical standards of members of the Board of Controllers and internal auditors); and promptly inform competent authorities for resolution;

dd) Perform other duties as prescribed by the bank.

...

...

...

a) Act as the focal point for identifying compliance issues related to bank’s activities as per laws;

b) Periodically evaluate internal regulations to assess their conformation and compliance with the law, and propose amendments or supplements (if necessary);

c) Assess the responsibilities and authorities of the Compliance Department and propose amendments or supplements  (if necessary);

d) Report to the General Director (Director) on:

(i) Compliance with the law on a periodic or ad-hoc basis;

(ii) Serious violations against legal regulations, changes in relevant regulations as per the bank’s internal regulations;

(iii) Resolution of internal control shortcomings (if any);

dd) Directly report to the Board of Directors, Board of Members, or parent bank when necessary (including when the General Director (Director) commits serious violations) as stipulated in the bank’s internal regulations;

e) Monitor and inspect individuals and departments to ensure compliance with laws, mechanisms, policies, procedures, and internal regulations;

...

...

...

4. Other individuals and departments in a commercial bank shall:

a) Comply with internal regulations on internal control, maintain a control culture and professional ethical standards (excluding the ethical standards for members of Board of Controllers and internal auditors);

b) Operate, evaluate, upgrade, and update the management information system in accordance with the bank’s internal regulations to meet the requirements specified in Article 8 of this Circular;

c) Perform other duties as prescribed by the commercial bank.

5. Other individuals and departments in a foreign bank branch shall:

a) Comply with internal regulations on internal control, maintain a control culture and professional ethical standards (excluding the ethical standards for internal auditors);

b) Perform other duties as prescribed by the foreign bank branch.

Article 15. Control activities in credit extension

1. Control activities in credit extension must meet the requirements as prescribed in Article 11 of this Circular.

...

...

...

a) Approving credit extension;

b) Controlling credit risk limits, managing credit extensions requiring attention, establishing and using provisions for credit risks;

c) Customer relationships, as per the bank’s internal regulations.

3. The bank appraising electronic credit extensions must has conflict of interest controlled by defining the responsibilities of each individual or department involved in formulating, setting up and operating the information system used for appraisal and credit extension. If any risks emerge, the bank is required to have mechanisms to identify responsible individuals or departments and promptly address issues and risks to ensure the efficiency and safety of electronic credit approval processes.

Article 16. Control activities in proprietary trading

1. Control activities in proprietary trading must meet the requirements as prescribed in Article 11 of this Circular.

2. The bank must have its proprietary trading controlled to ensure at least the following principles:

a) The bank must assign individuals or departments to perform proprietary trading, provided that they work independently from those responsible for proprietary trading control and transaction settlement. Authority must be clearly delegated to individuals or departments engaged in proprietary trading.

b) Proprietary trading shall be conducted within the prescribed limits and transaction commitments (including cases of transaction cancellations or amendments/supplements to transaction terms); the accounting for transactions shall comply with relevant regulations applicable to such proprietary transactions;

...

...

...

d) Internal procedures on proprietary trading shall comply with Clause 3 of this Article; internal procedures on proprietary transaction settlement shall comply with Clause 4 of this Article.

3. Internal procedures for proprietary trading must ensure at least the following:

a) Bank tellers are only allowed to execute transactions within their assigned types of transactions, counterparties, authorities, and trading limits;

b) For proprietary trading conducted via telephone, conversations related to proprietary trading must be recorded and retained for at least 2 months from the date of the conversation. For proprietary trading conducted through computer systems, the bank teller must input proprietary transaction data into the internal transaction management system using their own bank teller ID number. The system must automatically record the transaction date, time, and proprietary transaction code, which may not be altered by bank tellers.

c) Pricing in proprietary trading must be verified independently to ensure it aligns with market prices (if available).

4. Internal procedures for proprietary transaction settlement must meet the following requirements:

a) Individuals or departments responsible for transaction settlements must send and receive transaction confirmations for completed proprietary trading transactions in accordance with regulations (monitoring and verifying of transaction confirmations from customers, notifying customers if confirmations are not received or if the confirmations are incomplete or contain errors);

b) Transaction confirmations must include terms and information for about the transaction. If the proprietary trading is conducted through brokers, the confirmation must include broker information;

c) Any discrepancies detected during the settlement process should be promptly addressed by the department responsible for proprietary transaction settlements.

...

...

...

RISK MANAGEMENT

Section 1. GENERAL PROVISIONS ON RISK MANAGEMENT

Article 17. Risk management requirements

1. Banks must perform risk management to:

a) Manage risks in the bank’s activities in compliance with this Circular and the bank’s internal regulations;

b) Fully identify, reasonably measure, and regularly monitor risks to promptly prevent and mitigate major risks. The measurement requirement applies at a minimum to major risks  specified in point a Clause 13 Article 3 of this Circular;

c) Control risk position to ensure compliance with risk limits;

d) Maintain an information system for risk management, where the data complies with requirements specified in Article 24 of this Circular;

dd) Risk-related decisions must be transparent, clear, and in compliance with the bank’s risk management policies and limits;

...

...

...

2. The commercial bank shall direct and supervise its subsidiaries through its capital representatives to ensure the compliance with commercial bank's risk management policies and the maintenance of minimum consolidated capital adequacy ratio as required by the State Bank of Vietnam.

Article 18. Internal regulations on risk management

1. Banks must have internal regulations on risk management, including at least:

a) The development, issuance, and implementation of risk management policies;

b) The development, issuance, and implementation of minimum risk limits for each major risk type specified in point a Clause 13 Article 3 of this Circular (including methods for setting risk limits, individuals or departments responsible for setting the limits, allocation of risk limits, and measures for addressing violations of risk limits);

c) Processes for identifying, measuring, monitoring, and controlling risks for at least each major risk type specified in point a Clause 13 Article 3 of this Circular;

d) Internal reporting mechanisms on risk management;

dd) Risk management for new products or activities in new markets;

e) Stress testing;

...

...

...

h) Internal capital adequacy assessment processes;

i) Other necessary content as required for managing each major risk type.

2. Internal risk management regulations must ensure the following principles:

a) Regulations must be formulated in alignment with the bank’s business strategy, control culture, human resources, IT infrastructure, and management information system;

b) Risk positions and violations against risk management must be promptly and thoroughly reported to the Board of Directors, Board of Members, Board of Controllers, and parent bank. The bank must have mechanisms for addressing risk management violations.

Article 19. Risk management policies

1. Risk management policies of commercial banks are issued, amended, and supplemented by the Board of Directors or the Board of Members. The authority to issue, amend, and supplement risk management policies for foreign bank branches is determined by the parent bank.

2. Risk management policies must include at least the following:

a) Risk appetite, including:

...

...

...

(ii) Income indicators: Return on Equity (ROE) and Risk-Adjusted Return on Capital (RAROC);

(iii) Other qualitative indicators and levels of risk tolerance as defined in the bank’s internal regulations;

b) A list of major risks;

c) Risk management strategies for each major risk type.

3. Risk management policies must meet the following requirements:

a) The policies are for the next 3-5 years, subject to periodic evaluations annually or ad-hoc evaluations as determined by the commercial bank or parent bank to ensure timely adjustments in response to changes in the business or legal environment;

b) The policies must align with the interests of shareholders, owners, and capital contributors of the commercial bank or parent bank in accordance with the law;

c) The policies must be consistent with the level of the bank’s capital and the availability of additional capital sources;

d) The policies must ensure the continuity and feasibility throughout economic cycles.

...

...

...

1. Risk limits for commercial banks are issued, amended, and supplemented by the General Director (Director). The authority to issue, amend, and supplement risk limits for foreign bank branches is determined by the parent bank.

2. Risk limits must:

a) Ensure compliance with regulations on restrictions to ensure the safety in operations for credit institutions and foreign bank branches as stipulated in the Law on Credit Institutions and SBV’s regulations.

b) Have risk limits to control major risks as specified in point a Clause 13 Article 3 of this Circular ;

c) Ensure compliance with the bank’s risk appetite, risk management strategy, and total risk-weighted assets allocated to such risks;

d) Be reviewed and reassessed (amendments or supplements if necessary) at least once a year or where there are significant changes may affect the risk situations in accordance with the bank’s internal regulations. In case of raising the commercial bank’s risk limit, the Director General (Director) must notify the Board of Directors/Board of Members of that adjustment;

dd) Be disseminated to the related individuals and departments.

3. If an activity, transaction or product has different limits for different risks, the commercial bank/foreign bank's branch must apply the more conservative risk limit.

Article 21. Risk management for new products or operations in new markets

...

...

...

a) There are criteria for determination of new products/operations in new markets;

b) There is a process for provision of new products/operations in new markets, applying the following principles:

(i) In the commercial bank, the Board of Directors/Board of Members approves policies on provision of new products/operations in new markets, based on the Director General’s (Director’s) proposal.  The Director General (Director) approves plans for provision of new products/operations in new markets;

(ii) In the foreign bank's branch, approval for policies on and plans for provision of new products/operations in new markets is done as specified in the parent bank’s regulations.

2. The plan for provision of new products/operations in new markets must be appraised by the risk management department on risks, risk management measures and must have at least the following contents:

a) The scale and trial period of provision of new products/operations in new markets, based on assessment of risks coming from those activities as well as the way affect equity and income in order to ensure their suitability for the bank’s risk management capabilities;

b) The official time for provision of new products/operations in new markets is based on the trial’s results compared with the set risk management criteria of the bank.

3. When the provision of new products/operations in new markets become official, the commercial bank/foreign bank's branch must promulgate new regulations on and processes for those activities and carry out material risk management for those activities.

Article 22. Risk identification, measurement, monitoring and control

...

...

...

2. Risk measurement:

a) Banks must measure risk levels based on the short-term and long-term impacts of the risks on income, capital, and liquidity;

b) Risk measurement must be carried out in a timely manner and conducted using at least methods or models. These methods and models must be regularly inspected and assessed on their accuracy and appropriateness as specified by the bank’s internal regulations. The data used in risk measurement methods and models must comply with Clause 1 Article 24 of this Circular.

3. Risk monitoring: The bank must monitor the risk position, carry out timely assessments and give early warnings about the possibility on violations against risk limits and restrictions in order to ensure operational safety.

4. Risk control:

a) The bank must control risk positions, transactions and activities according to their respective risk limits;

b) The bank must have measures for prevention, minimization and timely handling of risk to ensure compliance to the risk limits and restrictions, ensuring operational safety, and have mechanisms for oversight and inspection of those measures' implementation.

Article 23. Stress tests

1. The bank shall conduct stress tests with on capital and at least for the following major risks:

...

...

...

b) Market risk;

c) IRRBB;

d) Liquidity risk.

2. Banks must issue internal regulations on stress testing, including at least:

a) Types of stress tests as specified in Clause 1 of this Article and primary objectives of conducting stress testing;

b) Frequency of stress testing;

c) The scope of the bank’s operations and both on-balance-sheet and off-balance-sheet positions to be included in the stress tests;

d) Methodology for stress testing, which must include at least: The scope of assumptions, a list of risk factors, scenarios (if applicable), models (if applicable), data used in stress testing, and the use of stress testing results;

dd) Processes (including the process for reviewing and reporting stress testing results) and responsibilities of parties involved in the stress testing process.

...

...

...

a) Sensitivity analysis: Assess the impact of changes in one or a closely related group of risk factors while keeping other risk factors constant.  Sensitivity analysis must consider at least two levels of severity.

b) Scenario analysis: Evaluate the impact of simultaneous changes in multiple risk factors under scenarios that are plausible, based on historical events or hypothetical events that are clearly defined and consistent. Scenarios must be identified based on analyses of past events and macroeconomic forecasts, considering major risks arising in the bank’s operations.  Scenario analysis must include at least 01 base-case scenario representing normal conditions and 01 worst-case scenario representing unfavorable developments that align with the objectives of the stress test;

c)  Reverse stress testing: conduct tests assuming a worst-case scenario occurs (such as a breach of minimum capital adequacy ratios, violations against other prudential ratios, or other adverse effects) and identify the events or factors that would lead to such a case.

4. Stress testing for liquidity and capital risks (stress testing for liquidity risks) shall comply with Article 48 of this Circular; stress testing for IRRBB shall comply with Article 54 of this Circular; stress testing for capital risks shall comply with Article 60 of this Circular.

5. Banks must conduct stress tests according to the following frequencies:

a) Liquidity stress tests must be conducted quarterly and upon any events that may severely impact the bank’s liquidity;

b) Stress tests for credit risk and market risk must be conducted at least annually;

c) Stress tests for IRRBB must be conducted quarterly;

d) Capital stress tests must be conducted at least annually and upon any events that may severely impact the bank’s capital adequacy;

...

...

...

a) Assess their ability to comply with prudential ratios and other restrictions to maintain operational safety related to the types of stress tests specified in Clause 1 of this Article;

b) Use stress testing results to develop or revise business plans, strategies, risk management policies, contingency plans, and remedial measures in accordance with the Law on Credit Institutions if necessary.

c) Develop contingency plans as specified in Clause 4 Article 48 of this Circular (for liquidity stress testing results);

d) Calculate economic capital to determine target capital as specified in Section 9 of this Chapter (for capital stress testing results).

Article 24. Risk data management

Risk data is used to serve the risk management stipulated in this Chapter. Banks must manage risk data according to their internal regulations, ensuring at least the following requirements:

1. Risk data must be accurate and complete, ensuring consistency in data definitions; an internal reporting channel and a remediation plan for poor-quality data is also required (if any).

2. Banks must collect and consolidate risk data, including at least all risk data related to major risks.

3. Banks must have the ability to consolidate risk data promptly to serve risk management activities.

...

...

...

Article 25. Responsibilities of the Board of Directors, the Board of Members, General Director (Director), individuals, and departments in risk management

1. The Board of Directors, the Board of Members of a commercial bank must perform functions and duties related to risk management stipulated in this Circular and the bank’s internal regulations.

2. The General Director (Director) of a commercial bank shall:

a) Develop and organize the implementation of risk management policies;

b) Organize and conduct internal assessments of capital adequacy;

c) Perform other duties as prescribed by the commercial bank.

3. Individuals/departments managing assets/liabilities in a commercial bank shall:

a) Manage assets and liabilities effectively, in compliance with the bank's risk management policies;

b) Review and propose capital mobilization plans, capital utilization plans, and principles for internal fund transfer pricing;

...

...

...

d)  Control business activities to ensure compliance with liquidity risk limits, IRRBB, and total risk-weighted assets related to IRRBB;

dd) Perform other duties as prescribed by the commercial bank.

4. Individuals and departments responsible for internal capital adequacy assessments in a commercial bank shall:

a) Conduct internal assessments of capital adequacy;

b) Perform other duties as prescribed by the commercial bank.

5. The risk management department of a commercial bank has the following duties and responsibilities:

a) Assist the Risk Committee in advising the General Director (Director) on:

(i) Develop, implement, evaluate, and propose adjustments to risk management policies stipulated in Clause 3, Article 19 of this Circular for submission to the Board of Directors or Board of Members.

(ii) Develop, implement, and allocate risk limits;

...

...

...

b) Assist the Risk Committee in monitoring risk situations against risk limits to provide early warnings and identify potential risks or violations against risk limits;

c) Cooperate with the first line of defense to fully identify and monitor risks;

d) Develop and apply risk assessment and measurement methods;

dd) Control, prevent, and propose measures to mitigate emerging risks;

e) Participate in decision-making processes involving risks corresponding to each authority level as specified in the bank's internal regulations;

g) Developing methodologies and scenarios for stress testing in cooperation with business departments, compliance departments, and other relevant departments;

h) Prepare internal reports on risk management as required by the bank's internal regulations;

i) Report directly to the Board of Directors, Board of Members on matters related to risk management when necessary, as stipulated in the bank's internal regulations;

k) Perform other duties as prescribed by the commercial bank.

...

...

...

7. Branches of foreign banks:

a) The General Director (Director) of a foreign bank branch shall perform functions and duties related to risk management as determined by the parent bank;

b) The risk management department; other individuals and departments in foreign bank branches shall:

(i) Conduct risk management and internal capital adequacy assessments.

(ii) Perform other duties as prescribed by the foreign bank branch.

Section 2: CREDIT RISK MANAGEMENT

Article 26: Credit risk management requirements and strategies, credit risk limits

1. Credit risk management is carried out throughout the credit review, appraisal, approval and management processes, in compliance with the State Bank's regulations and related regulations of law.

2. Credit risk management strategies must include at least the following contents:

...

...

...

b) A consistent and continuous approaching measure, where the credit risk management strategy must account for economic cycles and projected impacts on the credit extension portfolios;

c) Principles for determining credit risk compensation costs in interest rate calculation methods and credit product pricing based on the credit risk level of customers;

d) Principles for applying credit risk mitigation measures (including the authority to approve credit risk mitigation measures);

dd) Principles for conducting stress testing on credit risk.

3. Banks must establish credit risk limits, including credit extension limits by product, customer, economic sector, and forms of collateral.

Article 27. Internal credit rating system

1. Banks must have an internal credit rating system in accordance with the SBV’s regulations on classification of assets in the operations of commercial banks, non-bank credit institutions, and foreign bank branches, which serves as a basis for measuring credit risk, providing information on credit extension portfolios, and managing credit risk.

2. The internal credit rating system must meet at least the following requirements:

a) It has criteria to evaluate the creditworthiness of customers (including consideration of macroeconomic and socio-economic factors, business environment affecting the customer’s creditworthiness);

...

...

...

c) The internal credit rating system must be evaluated at least annually by individuals or departments independent of those who develop or use the system, serving as the basis for reviewing, amending, or supplementing it if necessary;

d) It has complete information about the internal credit rating system to provide upon request to internal auditors, independent auditors, and other competent authorities during audits, inspections, examinations, or supervision.

Article 28. Credit risk measurement, monitoring and control

1. Banks must use methods or models or both to measure credit risk.

2. Banks must monitor and control credit risk to ensure the following minimum requirements:

a) Perform debt classification, establish provisions for credit losses, use provisions for credit losses, monitor debt classification results, and assess the adequacy of provisions in accordance with regulations;

b) Monitor and evaluate credit risk for each credit extension and the entire credit extension portfolio, and take appropriate measures upon credit quality deterioration;

c) Control actual credit situations within the allocated credit risk limits for each credit extension and credit extension portfolio, ensuring compliance with credit limits as stipulated by law;

d) Conduct remote monitoring and on-site inspections of customers to track and control credit risk. For credit extension that is a small-value loan, banks must implement monitoring and inspection measures in accordance with the SBV’s regulations on monitoring and inspection small-value loans. The frequency of inspections and monitoring must comply with the bank's internal regulations;

...

...

...

Article 29. Credit extension appraisal

1. The bank shall carry out credit extension appraisal, which must at least have the following contents:

a) Assess the customer’s creditworthiness;

b) Identify affiliated persons of the customer who are required to provide information about his/her affiliated persons as stipulated by law on credit extension; determine the total outstanding credit balance (including the credit balance being requested) of the customer and his/her affiliated persons who are required to provide information about his/her affiliated persons as stipulated by law on credit extension;

c) Use customer credit rating results, including ratings from other credit institutions or foreign bank branches (if available);

d) Review the completeness of application, the legal status of collateral, and ability to recover the debts through collateral disposal in the case of credit extensions with collateral;

dd) Assess the ability to fulfill obligations of the guarantor in the case of credit extensions with guarantees.

2. During appraisal, if any line of communication with customers other than the bank is used, the bank must inspect the line of communication’s information quality and independence from the party receiving credit extension.

Article 30. Credit risk-bearing decisions

...

...

...

1. The authority to make decisions and cases requiring higher competence’s approval must be determined by quantitative and qualitative criteria.

2. In the case of decision by committee, the committee shall prepare a decision or any equivalent, which clearly states the reason for decision or non-decision and include committee members’ opinions. The committee members must be responsible for their decisions.

3. The information provided for approval of credit risk-bearing decisions must be sufficient and appropriate for the scale and type of credit extension. The regulations on list of information to be used as basis for credit risk-bearing decisions must be assessed by the risk management department in order to ensure credit risk management’s effectiveness.

Article 31. Credit extension management

1. The bank managing the credit extension must meet the following requirements:

a) It has specific regulations on responsibilities and competence of individuals and departments in preparing and retaining credit records, ensuring sufficient credit records as specified in the regulations of law;

b) The disbursement is appropriate for the capital use and type of credit extension;

c) Oversight on credit extensions after disbursement must apply the following principles:

(i) Inspect loan use in accordance with laws and terms of the credit extension agreement between the bank and the customer;

...

...

...

(iii) Carry out collateral management in the case of credit extensions with collateral as specified in Article 33 of this Circular;

(iv) Monitor the repayment schedule, remind the customers of their obligation to repay at maturity date, notify the competent level in a timely manner when the customer has the risk of failure to repay or late repayment.

2. The bank must retain credit records, information on solvency and repayment history of customers and other relevant information as specified in the regulations of law.

Article 32. Management of credit extensions requiring attention

1. The bank must manage credit extensions requiring attention to take actions in a timely manner.

2. Management of credit extensions requiring attention must fulfill the following requirements:

a) The bank has its specific regulations on criteria and methods of identifying credit extensions requiring attention;

b) Intensify assessment of customers’ solvency and ability to recover the debts through security measures;

c) The bank has measures for handling and restructuring credit extensions requiring attention and debt collection plans;

...

...

...

dd) Determine responsibilities of individuals and departments related to NPLs (if any).

Article 33. Management of collateral

1. The bank must fulfill at least the following requirements while managing collateral:

a) Determine the types of asset subject to collateral in compliance with the regulations of law;

b) Use the bank’s asset valuation method, as specified in the regulations of law on pricing, or hire a firm that has the function of price appraisal to determine each asset type’s value, which serve as basis for management of collateral; determine the asset’s eligibility for deduction and deduction rate during establishment of risk provisions as per laws;

c) Conduct periodic or ad-hoc assessment of collateral, provided that collateral with higher value fluctuations must be assessed more frequently;

d) Have regulations on receiving and safe preservation of collateral.

2. The bank shall conduct the collateral management in accordance with its internal regulations and relevant laws.

Article 34. Internal credit risk reports

...

...

...

2. The internal credit risk report must include at least the following contents:

a) Quality of credit extensions credit extension portfolios by customer and line of business;

b) Credit extensions requiring attention and measures for handling them;

c) Customers, business lines having outstanding loan balances exceeding the credit risk limits specified in Clause 3 Article 26 of this Circular (if any) and handling measures;

d) The value of collateral and the portfolio of collateral categorized by each type of collateral specified in Article 33 of this Circular;

dd) The status of establishment and use of provisions for credit losses;

e) Results of credit risk stress testing during the reporting period (if applicable);

g) Early warnings of potential violations of credit risk limits and restrictions;

h) Violations in credit risk management and their causes;

...

...

...

k) Handling and remediation results based on the requirements or recommendations from internal audits, the State Bank of Vietnam, independent audit firms, or other competent authorities (if applicable).

Section 3. MARKET RISK MANAGEMENT

Article 35. Market risk management strategies and limits

1. The bank must issue a market risk management strategy that includes at least the following:

a) The required risk position in the accounting book;

b) Principles of market risk management in normal conditions and in case of high volatility in securities prices, commodity prices, exchange rates, gold prices, and interest rates, as stipulated in the bank's internal regulations;

c) Principles for applying market risk mitigation measures (including the authority to approve market risk mitigation measures);

d) Principles for conducting stress testing for market risk.

2. The bank must establish market risk limits, including at least the following:

...

...

...

b) Foreign exchange risk limits, including limits on total positive foreign currency positions, total negative foreign currency positions, gold positions, and stop-loss limits;

c) Commodity price risk limits, including limits for the trading portfolio and stop-loss limits;

d) Transaction limits for bank tellers.

Article 36. Market risk measurement, monitoring and control

1. Banks must have methods, models, or a combination of methods and models to measure market risk, including interest rate risk, foreign exchange risk, equity price risk, and commodity price risk.  Measurement must ensure at least the following:

a) Market risk measurement for each type of financial asset, financial liability, and off-balance-sheet item;

b) Parameters and assumptions must be inspected and adjusted, based on comparisons between the result of the methods and models;

c) If the bank applies the mark-to-model method, the model must fulfill the following requirements:

(i) Factors affecting the value of proprietary trading and the value of the underlying asset must be fully assessed;

...

...

...

(iii) It is reviewed and assessed periodically (at least annually) or on an ad hoc basis to identify limitations of the pricing model and make necessary adjustments.

2. Banks must monitor and control market risk based on interest rate, exchange rate, share price and commodity price risks to ensure at least the following:

a) Monitor market risk measurement for each type of financial asset, financial liability, and off-balance-sheet item;

b) Provide early warnings of potential violations against market risk limits;

c) Regularly evaluate actual market risk positions (including market risk management transactions) and promptly adjust market risk limits (if necessary) to ensure compliance with the bank's market risk limits;

d) Adjustments to market risk limits must be promptly notified to relevant individuals and departments to carry out proprietary trading and market risk control.

Article 37. Internal reports on market risk

1. By the next working day (day T), the bank must prepare an internal report on market risk in the trading book of the previous working day (day T-1), including at least the following contents:

a) The total risk position of the day;

...

...

...

c) Actual and estimated profit (loss) of proprietary transactions based on market prices;

d) The day’s transaction limits and the state of employing those limits until the end of transaction date.

2. On at least a semiannual basis or on an ad-hoc basis, the bank must prepare an internal report on market risk, which must include at least the following contents:

a) The total market risk position compared to market risk limits at the reporting date;

b) Results of reviews and assessments of methods and models for measuring and monitoring market risk (if applicable);

c) Actual and estimated profit (loss) of proprietary transactions based on market prices;

d) Violations in market risk management and their causes (if any);

dd) Extraordinary cases during proprietary transactions, changes to key assumptions of market risk measurement methods;

e) Results of stress testing on market risk during the reporting period (if applicable);

...

...

...

h) Results of handling and remedial measures based on the requirements or request of internal auditors,   the SBV, independent audit firms, or other competent authorities (if applicable).

Section 4. OPERATIONAL RISK MANAGEMENT

Article 38. Operational risk management strategy and operational risk limits

1. The bank must issue an operational risk management strategy that includes at least the following:

a) Principles for operational risk management;

b) Principles for outsourcing, insurance purchasing and technology application, including identifying, assessing, and monitoring risks arising from third parties;

c) Cases that require plans to  sustain operations, including at least:

(i) Loss of important documents and database;

(ii) Failures of the information technology system;

...

...

...

d) Principles for operational risk assessments using scenario analysis in order to proactively identify weaknesses, prepare response measures, and ensure the sustain operations if the bank adopts the method specified in point e Clause 3 Article 39 of this Circular.

2. The bank must establish operational risk limits, including at least the following:

a) Financial loss limit for each case specified in clause 2 Article 39 of this Circular, according to the 06 business groups specified in clause 3 of this Article;

b) Non-financial loss limit (including prestige, reputation, legal obligations).

3. Banks must classify activities into the following 06 business groups for operational risk management:

a) Activities generating interest income and similar income;

b) Activities incurring interest expenses and similar expenses;

c) Service activities;

d) Foreign exchange trading activities;

...

...

...

e) Other activities.

Article 39. Identification, measurement, monitoring and control of operational risk

1. The bank must fully identify operational risks in all transactions, products, activities, business processes, information systems, and risks arising from third parties.

2. The identification of operational risks must be carried out for the following cases:

a) Internal fraud, caused by acts of deception, misappropriation of assets or violations against strategies, policies, and internal regulations related to at least one individual of the bank (including ultra vires acts, theft, and misuse of internal information);

b) External fraud caused by acts of deception, misappropriation of assets committed by outsiders without the assistance or collusion of bank individuals or departments (including theft, robbery, forgery of bank cards or documents, or intrusion into information systems to steal data and funds);

c) Labor and workplace safety policies that is not appropriate with employment contracts and laws on labor, health protection and workplace safety;

d) Products, services, or service delivery methods that do not comply with regulations or customer rights (including violations of customer data confidentiality, anti-money laundering regulations, or unauthorized provision of products and services);

dd) Damage or loss of assets, tools, or equipment due to force majeure events, human impact, or other incidents;

...

...

...

g) Limitations in transaction processes, transaction control, and transaction management;

h) Other cases as stipulated in the bank’s internal regulations.

3. Banks must apply at least two of the following tools to assess and measure operational risk for the cases specified in Clause 2 of this Article, according to 06 business groups specified in Clause 3 Article 38 of this Circular;

a) Event management: to identify, analyze, and manage operational risk events comprehensively; provide input for operational risk self-assessment and evaluate the effectiveness of control measures;

b) Internal and external loss data collection and analysis: to identify internal losses;

c) Risk Control Self Assessment – RCSA: To determine the effectiveness of operational risk controls before and after their implementation;

d) Control Monitoring and Assurance Framework: To evaluate, review, monitor, and test control activities appropriate to each type of operational risk and business activity;

dd) Risk and Performance Indicators: To monitor factors affecting operational risk and identify potential limitations and losses;

e) Scenario Analysis: To identify sources of operational risk and establish control and mitigation requirements for potential scenarios and events;

...

...

...

h) Business Process Mapping – BPM: To identify the operational risk level for each business process, the overall operational risk of all processes, and the interconnections between these risks;

i) Audit Findings: To use findings from internal and independent audits to evaluate the effectiveness of controls and implement measures to prevent and mitigate operational risks.

4. Banks must monitor and control operational risk through the control operations specified in this Circular and other measures as stipulated in the bank’s internal regulations.  In cases where actual losses exceed operational risk limits, the bank must apply measures to intensify control and reduce similar operational risks in the future.

Article 40. Operational risk management in outsourcing

1. Banks must manage operational risks in outsourcing by:

a) Managing outsourcing stipulated in Clause 2 of this Article;

b) Identifying, measuring, monitoring, and controlling operational risks arising from outsourcing in accordance with Article 39 of this Circular;

2. Management of outsourcing must include at least the following contents:

a) Determination of outsourcing scope and the dependence on third parties;

...

...

...

c) Assessment of the third party's capability to fulfill requirements and objectives of the outsourcing before signing the outsourcing contract; assessment of the contractor's capability during execution of the contract;

d) Outsourcing contracts must include strict and comprehensive provisions, protection of ownership rights, confidentiality of databases and customer information, and the right to terminate the outsourcing contract. The outsourcing contract must include at least: the scope and extent of outsourcing; specific rights and obligations of the bank and the third party; and dispute resolution terms in compliance with the law;

dd) Development or request of the third party to develop a sustain operation plan for outsourcing in accordance with Article 43 of this Circular;

e) Establishment of a mechanism for the bank to monitor the third party during the outsourcing period.

3. The bank must manage third-party risks arising from outsourcing:

a) The bank shall monitor outsourcing contracts, including: the criticality of the agreement, the substitutability of the third-party service, a list of contingent providers, the sharing (or non-sharing) of confidential or proprietary information, and the location of service provision;

b) The bank must perform an overall risk assessment of potential risks arising from outsourcing before signing the contract;

c) The bank must monitor risks arising from outsourcing and send periodical report to the competent authority in accordance with internal regulations;;

d) The bank must develop, periodically review and update a sustain operation plan, including remedial measures to ensure its sustain operation in case of outsourcing disruptions.

...

...

...

Article 41. Operational risk management in technology application

1. Banks shall manage operational risks in technology application to internal operations and transactions with customers (hereinafter referred to as “technology application”) in the following methods:

a) Manage technological applications as stipulated in Clause 2 of this Article

b) Identify, measure, monitor, and control operational risks arising from technology application in accordance with Article 39 of this Circular, ensuring at least:

(i) Identify risks related to internal and external network connections, hardware, software, applications, transaction interfaces, operations, and human factors;

(ii) Measure risks based on estimating potential losses if they affect business operations;

(iii) Monitor and assess the operational sustainability in the face of operational risk in technology application;

(iv) Control and implement measures to mitigate operational risks (if necessary) in technology application.

2. Management of technological applications in a bank must ensure at least the following contents:

...

...

...

(i) The minimum scope of technology application management of information technology system;

(ii) Tasks, responsibilities and powers of individuals and departments managing technology application;

(iii) Efficient management in case of IT application failures/changes;

(iv) The verification system that ensures confidentiality of customer information, transaction security, and the safety of information systems of the bank;

b) Compliance with the SBV’s regulations on electronic transactions; safety and security for online service provision in banking sector and other relevant regulations.

Article 42. Insurance to mitigate operational risk losses

1. The bank may purchase insurance for mitigate losses arising from operational risks in accordance with regulations, ensuring alignment with bank's financial capacity and compensation for losses.

2. The insurance purchase must not serve as a substitute for operational risk management..

3. When purchasing insurance, the bank must assess the financial capacity and reputation of insurer in fulfilling the insurance contract.

...

...

...

Article 43. Plans to sustain operations

1. The bank must develop, approve, maintain, and update the plan to sustain operations periodically in the cases specified in point c Clause 1 Article 38 of this Circular to ensure the  capability to response, recover, and continue to operate in severe disruption scenarios. The plan must align with the bank's risk appetite, financial capacity, and business strategy.

2. A plan to sustain operations must meet at least the following requirements:

a) It clearly defines the authority to activate the plan to sustain operations and the roles and responsibilities of individuals and departments implementing the plan;

b) It is appropriate to the nature and scale of the bank's operations;

c) The critical activities, products, services, and essential processes are identified and given priority for maintenance;

d) It has backup systems for personnel, alternative working locations, essential information systems and infrastructure;

dd) It must ensure timely and effective cooperation and communication within the bank and with supervisory authorities, customers, and key partners during disruptions;

e) It has measures to mitigate losses and adverse impacts from incidents or operational shutdowns;

...

...

...

h) It is reviewed, tested, or rehearsed periodically (at least annually) or when there are significant changes in the operating environment, technology, or organizational structure, in order to evaluate the plan's effectiveness and make adjustments (if necessary).

Article 44. Internal reports on operational risks

1. Either ad-hoc or at least on a quarterly basis, the bank shall prepare internal reports on operational risks as specified in Clause 2 of this Article.

2. The internal reports on operational risk must include at least the following contents:

a) Implementation of operational risk management strategy and compliance with operational risk limits;

b) Cases of operational risks arising during the reporting period and their causes;

c) Loss data due to operational risks that are classified into six groups specified in Clause 3 Article 38 of this Circular, measures taken to address losses (if any);

d)  Progress in developing and improving the plan to sustain operations, its activation, results of testing, rehearsals, and reviews (if any);

dd) External events and impacts affecting the bank's operational risks;

...

...

...

g) Outsourcing and the management of operational risks relevant to outsourcing;

h) Changes in technology application (if any) and their management of operational risks;

i) Proposals and recommendations on operational risk management;

k) Handling and remediation results based on the requirements or recommendations from internal audits, the State Bank of Vietnam, independent audit firms, or other competent authorities (if applicable).

Section 5. LIQUIDITY RISK MANAGEMENT

Article 45. Liquidity risk management requirements and strategies, liquidity risk limits

1. The liquidity risk management by banks must at least the following requirements:

a) The bank must maintain sufficient high-quality liquid assets as required by the SBV to meets the liquidity needs in both business-as-usual and liquidity stress scenarios (including determination of losses and costs of meeting liquidity in the market);

b) It is able to determine costs of meeting liquidity needs and liquidity risk in internal capital pricing, assessing results of material business activities (applied to both on- and off-balance items).

...

...

...

a) Principles of liquidity management, including at least the contents as prescribed in Article 46 of this Circular;

b) Strategies to diversify sources and terms of mobilized capital in order increase stability of liabilities and support daily liquidity;

c) Principles of liquidity stress test.

3. Liquidity risk limits of the bank include:

a) Liquidity risk limits in compliance with laws, including:

(i) solvency ratio;

(ii) Loan-to-deposit ratios, the maximum ratio of short-term funds used for medium- and long-term loans (if applicable);

(iii) Other ratios as specified by law (if applicable);

b) Other liquidity risk limits as per the bank's internal regulations, which must comply with Article 20 of this Circular.

...

...

...

1. The bank manages liquidity for:

a) The following scope:

(i) Commercial banks;

(ii) Branches of commercial banks, as per the internal regulations of the commercial bank;

(iii) Branches of foreign banks;

b) Vietnamese dong and USD (including USD and other currencies converted to USD), other foreign currencies (if necessary).

2. Liquidity risk management must include at least the following contents:

a) Intra-day liquidity management: monitor liquidity status, identify sources of capital and assess their availability to ensure liquidity, forecast scenarios that may cause changes in liquidity and propose handling measures;

b) Management of high-liquidity assets: manage assets based on market value and their convertibility to cash for meeting liquidity requirements in both normal conditions and a low-liquidity market;

...

...

...

d) Management of cash flow: determine the cash flow gap by comparing the inflows and outflows in compliance with the State Bank's regulations on prudential limits and ratios for banking operations and other liquidity rations specified in the bank’s internal regulations;

dd) Management of liquidity sources: assess the accessibility of liquidity sources to meet future liquidity needs in both normal conditions and a low-liquidity market.

Article 47. Liquidity risk identification, measurement, monitoring and control

1. Liquidity risk identification must fulfill the following requirements:

a) It is conducted based on the analysis of liquidity needs, liquidity sources of each business activity, Asset-Liability structure, on- and off-balance cash flows and liquidity’s accessibility in the market;

b) The bank must identify liquidity risk arising from credit risk, market risk, operational risk, reputational risk, and other risks.

2. Measuring and monitoring liquidity must at least fulfill the following requirements:

a) Future cash flows of assets and liabilities;

b) Extraordinary liquidity needs and cases obligations arising from off-balance items;

...

...

...

d) Activities of the bank’s agencies, deposits and payments.

3. Liquidity risk control must ensure that:

a) The liquidity risk position complies with liquidity risk limits;

b) The bank has early warning indicators for liquidity risks to take measures to address temporary and long-term liquidity shortages.

Article 48. Liquidity stress tests

1. When conducting a liquidity stress, the bank must use methods to calculate the impact of assumptions in order to assess the ability to fulfill obligations, commitments, and compliance with liquidity risk limits. These assumptions and calculation methods must be reviewed and self-assessed.

2. The bank must apply at least 03 scenarios when conducting liquidity stress test:

a) Idiosyncratic scenario: refers to a liquidity crisis that occurs at the bank while the overall banking system's liquidity remains stable (asset quality deterioration, significant increase in liabilities, sharp drop in high-quality liquid assets, heightened liquidity deficits, downgrade in the bank's credit rating, or information attacks on the bank, etc.);

b) System-wide scenario: refers to a broad-scale financial crisis that affects multiple banks or the entire banking system (macroeconomic shocks, disruptions in financial markets, etc.);

...

...

...

3. The scenarios specified in Clause 2 of this Article must include a set of risk factors related to assets, liabilities, and off-balance commitments. The analysis of risk factors should consider at least the following:

a) Currency types (VND and USD (including USD and other foreign currencies converted into USD), and other foreign currencies, if applicable) of assets, liabilities, and off-balance commitments to reflect currency convertibility;

b) Obligations to repurchase debt or fulfill other commitments to mitigate reputational risks;

c) Actual run-off rates of liabilities during periods of heightened stress;

d) Concentration levels of capital mobilization;

dd) Loss or significant reduction in the ability to mobilize capital from key depositors or other creditors (including the interbank market).

4. Based on the results of liquidity stress tests, the bank shall develop a contingency plan for the case of non-compliance with liquidity requirements, including at least:

a) Identify liquidity crises and cases where the contingency plan activates;

b) Clearly define the authority to activate the contingency plan and the roles and responsibilities of individuals and departments implementing the plan;

...

...

...

d) Ensure timely and effective communication and submission of reports on internal and external operations (to the State Bank of Vietnam and other competent authorities) during the implementation of the contingency plan;

dd) Periodically review and modify the contingency plan if necessary.

Article 49. Internal reports on liquidity risks

1. Either ad-hoc or at least on a quarterly basis, the bank shall prepare internal reports on liquidity risks as specified in Clause 2 of this Article.

2. The internal reports on liquidity risk must include at least the following contents:

a) Appraisal of the bank's credit rating and the market’s state of liquidity;

b) Structure of the balance sheet, new capital-mobilizing products; depositors; deposit terms and interest rates;

c) Liquidity sources, cash flow gaps, terms of capital, state of compliance with liquidity risk limits;

d) Results of liquidity stress tests (if any) during the reporting period;

...

...

...

e) Handling and remediation results based on the requirements or recommendations from internal audits, the State Bank of Vietnam, independent audit firms, or other competent authorities (if applicable).

Section 6. CONCENTRATION RISK MANAGEMENT

Article 50. Concentration risk management strategies and limits

1. Concentration risk management strategies shall be at least applied to:

a) Credit extensions;

b) Proprietary transactions.

2. Concentration risk management strategies must include at least the following contents:

a) In the case of credit extensions;

(i) Principles of determining credit concentration limits by credit products, customers, and economic sectors;

...

...

...

(iii) Principles of determining divisibility and degree of interaction between credit products and economic sectors;

b) In the case of proprietary transactions:

(i) Principles of determining proprietary transaction concentration limits by transaction counterparties and transaction products;

(ii) Criteria for identifying proprietary trading portfolios subject to concentration limits, ensuring divisibility and degree of interaction as specified in the bank’s regulations.

3. The bank must establish concentration risk limits, including at least the following:

a) In the case of credit extensions;

(i)  Credit extension limit for each customer, each customer and affiliated persons compared to the bank's capital and outstanding loans;

(ii) Credit limits by product and economic sector compared to total outstanding loans;

b) In the case of proprietary transactions: Limits for trading by counterparty and trading product compared to the total balance of proprietary transaction.

...

...

...

1. Banks must identify concentration risk at least in credit extensions and proprietary transactions, including:

a) On- and off-balance items of the bank;

b) Items that have not recorded in accordance with accounting laws.

2. The bank shall measure concentration risk based on assessment of the impact on income from each concentration risk-bearing credit extension and proprietary transaction.

3. The bank shall monitor and control the concentration risk as follows:

a) Monitor and review credit outstanding balances and proprietary transaction balances according to concentration risk limits; provide early warning about credit outstanding balances and proprietary transaction balances that nearly exceed the concentration risk limits;

b) Take measures to address cases where concentration risk limits are exceeded.

Article 52. Internal report on concentration risks

1. Either ad-hoc or at least on a quarterly basis, the bank shall prepare internal reports on concentration risks as specified in Clause 2 of this Article.

...

...

...

a) Credit structure by products, customers, and economic sectors;

b) Proprietary transaction portfolio structure by counterparties and economic sectors;

c) The state of imposition of concentration risk limits; reasons for exceeding such risks (if any);

d) Proposals and requests about concentration risk management and the levels they are submitted to;

dd) Handling and remediation results based on the requirements or recommendations from internal audits, the State Bank of Vietnam, independent audit firms, or other competent authorities (if any).

Section 7. MANAGEMENT OF INTEREST RATE RISK IN THE BANKING BOOK (IRRBB)

Article 53. IRRBB management strategies and limits

1. IRRBB management strategies must include at least the following contents:

a) Principles of IRRBB management, which employ at least the following indices:

...

...

...

(ii) Change in Net Interest Income (∆NII) and Change in Economic Value of Equity - ∆EVE. The calculation of these two metrics must follow the provisions in Appendix V attached hereto;

b) Principles for applying IRRBB measures (including competence to approve those measures).

2. IRRBB risk limits must be developed by the bank, including at least:

a) Limits on changes in net interest income caused by interest rate fluctuations;

b) Limits on changes in the economic value of equity caused by interest rate fluctuations

Article 54. IRRBB  identification, measurement, monitoring and control

1. The bank shall identify, measure, monitor, and control IRRBB in accordance with the following requirements:

a) It has processes for IRRBB identification, measurement, monitoring and control periodically at least quarterly and on an ad hoc basis as per the bank's internal regulations;

b) Persons and departments responsible for measuring, monitoring, and controlling IRRBB are independent of those responsible for business activities that generate IRRBB.

...

...

...

3. Measurement of IRRBB must ensure the following requirements:

a) IRRBB measurement methods shall comply with point a Clause 1 Article 53 of this Circular.

b) IRRBB stress tests shall be conducted by measuring the impact of interest rate fluctuations using the metrics specified in Point a(ii) Clause 1 Article 53 of this Circular;

c) IRRBB measurement shall be conducted by currency type when the total value of assets or liabilities recorded in such currency accounts for at least 5% of the total banking book assets;

d) Assumptions and changes in assumptions used in measuring IRRBB shall be made in writing and retained.

4. IRRBB monitoring and control must fulfill the following requirements:

a) The repricing dates or reset dates of interest rates for assets, liabilities, and interest rate-sensitive off-balance items are subject to monitoring. In the case where the bank fails to determine the maturity date or repricing date, assumptions may be used upon approval of the competent authority in accordance with the bank's internal regulations.

b) The position of IRRBB complies with the IRRBB limits;

c) Early warnings about cases that nearly exceed the IRRBB limits and measures must be provided for promptly handling.

...

...

...

1. Either ad-hoc or at least on a quarterly basis, the bank shall prepare internal reports on IRRBB as specified in Clause 2 of this Article.

2. The internal IRRBB report must include at least the following contents

a) The repricing gap profile as prescribed in Point a(i) Clause 1 Article 53 of this Circular;

b) Changes in net interest income (∆NII) and changes in the economic value of equity (∆EVE) as prescribed in Point a(ii) Clause 1 Article 53 of this Circular;

c) Compliance with IRRBB limits;

d) Interest rate risk mitigation measures and the results of their implementation within the period;

dd) Proposals and recommendations on IRRBB management and the levels they are submitted to;

e) Handling and remediation results based on the requirements or recommendations from internal audits, the State Bank of Vietnam, independent audit firms, or other competent authorities (if any).

Section 8. MODEL RISK MANAGEMENT

...

...

...

1. The bank shall identify a list of models requiring management in accordance with its internal regulations; periodically rank and classify models as high, medium, or low risk based on materiality, complexity, purpose of use, model quality, etc.,  as specified in the bank’s internal regulations. From the date of bank transitions to the internal ratings-based method stipulated by the SBV’s regulations on capital adequacy ratios for banks, any models used in the internal ratings-based method must be classified as high-risk models.

2. The bank shall manage model risks as specified in this Section, including at least high-risk models as prescribed in Clause 1 of this Article.

3. The bank shall manage medium- and low-risk models in accordance with their internal regulations.

4. For self-developed models (including outsourced model development), the model risk management must align with the stages of the model lifecycle and meet at least the following requirements:

a) In the model development stage, the bank shall determine the purpose and intended scope of the model, assess the quality of input data (ensuring at least accuracy and completeness) in accordance with the bank's internal regulations;

b) In the model implementation stage (including user acceptance testing), the bank must ensure that the implementation aligns with the approved model development results; any changes or inconsistencies shall be reapproved by the competent authority of the bank and retained in the model records;

c) In the model usage stage, the bank must ensure that:

(i) The model is used for its intended purpose and scope;

(ii) The overrides to input data and output results (cases where input data is bypassed, altered, or reversed, etc.) must be managed; overrides must be approved by the competent authority, made in writing, and evaluated;

...

...

...

d) The bank must monitor and assess the model's effectiveness during usage;

dd) The bank shall validate models, including at least the following: Validation before use, validation when significant changes are made in accordance with the bank's internal regulations, periodic validation (at least annually). Model validation results must include a report on the possibility of achieving the initial objectives and its actual effectiveness in use.

5. For purchased models (including models provided by the parent bank), the bank must implement risk management measures that meet the following minimum requirements:

a) Request the seller or parent bank to provide relevant information about the model to facilitate evaluation and usage;

b) Assess the effectiveness of the model in accordance with the bank's internal regulations.

6. The bank shall establish and manage model records  for at least the models specified in Clause 2 of this Article (including models currently in use, adjusted models, and discontinued models).

7. For model risk management, the bank must maintain 03 lines of defense as follows:

a) The first line of defense: individuals or departments responsible for model development, implementation, and usage; identifying, controlling, monitoring, and mitigating risks;

b) The second line of defense: individuals or departments responsible for validating model, developing risk management policies, internal regulations on risk management; measuring, monitoring, and controlling risks across the bank, and ensuring compliance with legal regulations;

...

...

...

Article 57. Model risk identification, monitoring and control

1. The identification of model risks requires determining the causes of model risks.

2. The bank monitors and controls model risks to take preventive measures, mitigate risks, address emerging risks and remedial actions for model limitations (if any).

Article 58. Internal reports on model risks

1. Either ad-hoc or at least on an annually basis, the bank shall prepare internal reports on model risks as specified in Clause 2 of this Article.

2. The internal report on model risks must include at least the following contents:

a) List of models requiring management by the bank, including: High-risk models (models used in internal rating-based methods, other high-risk models), medium-risk models, low-risk models;

b) List of models that have been modified or discontinued during the reporting period;

c) Model development (including outsourced model development), implementation, and use (including model purchases);

...

...

...

dd) Proposals and requests about model risk management and the levels they are submitted to;

e) Handling and remediation results based on the requirements or recommendations from internal audits, the State Bank of Vietnam, independent audit firms, or other competent authorities (if any).

Section 9. INTERNAL ASSESSMENT OF CAPITAL ADEQUACY

Article 59. Requirements for and contents of internal capital adequacy assessment

1. Internal capital adequacy assessment must:

a) Comply with the SBV’s regulations on capital adequacy ratios;

b) Maintain the capital adequacy ratio target in both business-as-usual and stress scenarios;

c) Be compliance to the risk appetite and the developments of material risks;

d) Serve as the basis for formulating and adjusting the business plan of the bank;

...

...

...

2. The bank shall conduct an internal assessment of capital adequacy at least in the last 3 years but no more than 5 years thereafter, following the procedures:

a) Measure risks for key risks and determine economic capital as prescribed in its business plan in Appendix VI attached hereto;

b) Conduct capital stress tests to determine the total risk-weighted assets for major risks and economic capital in stress scenarios;

c) Determine the capital target and regulatory capital in accordance with Appendix VI attached here;

d) Develop a capital plan; 

dd) Monitor capital adequacy to manage capital in accordance with the capital target and make adjustments to the plan if necessary;

e) Review the process of internal capital adequacy assessment;

Article 60. Capital tress tests

1. The bank shall develop 02 scenarios: a business-as-usual scenario and a stress scenario, including at least assumptions regarding interest rates, exchange rates, gold prices, and credit quality. These scenarios must include methods to calculate the impact of these assumptions on total risk-weighted assets for each type of risk and the capital adequacy ratio, ensuring at least:

...

...

...

b) Calculate the impact of exchange rate and gold price assumptions on total risk-weighted assets for operational risk and market risk (foreign exchange risk if foreign exchange or gold positions exist);

c) Calculate the impact of credit quality assumptions on total risk-weighted assets for operational risk, credit risk, and concentration risk.

2. The bank shall review and assess the satisfactory of assumptions and methods used to calculate the impact of these assumptions on the capital adequacy ratio, in accordance with the bank's internal regulations.

Article 61. Formulation of capital plans

1. The bank must formulate capital plans, which at least include the following contents:

a) Plan to raise capital, where its regulatory capital fails to meet capital target, including:

(i) Sources for increasing Tier 1 and Tier 2 capital, ensuring feasibility and compliance with regulations;

(ii) Schedules and roadmap to carry out the capital increase plan;

b) Dividend and profit distribution policies, ensuring that its regulatory capital is not lower than the target capital;

...

...

...

d) Early warning levels for total risk-weighted assets of each material risk to monitor and ensure compliance with the allocated risk-weighted assets for each risk type specified in point c of this Clause and to take corrective measures timely.

2. The capital plan of a commercial bank must be approved by the Board of Directors, the Board of Members based on the proposal of the General Director (Director).

3. The capital plan of a foreign bank branch must comply with the regulations of its parent bank.

Article 62. Review of internal capital adequacy assessment process (ICAAP)

1. The internal capital adequacy assessment process (ICAAP) must be reviewed periodically at least annually or on an ad hoc basis by a department independent of the department developing and implementing the ICAAP.

2. The review of the ICAAP must include at least the following contents:

a) The logicality of the internal regulations on internal capital adequacy assessment (including organizational structure, functions and tasks of individuals and departments conducting the ICAAP)

b) The alignment between the risk appetite and the business plan, between total risk-weighted assets and risk limits;

c) The accuracy and sufficiency of input data;

...

...

...

dd) The feasibility of the capital increase plan;

e) Recommendations and proposals to the competent authority regarding the ICAAP (if any).

Article 63. Internal reports on ICAAP

1. The bank must prepare an annual internal report on ICAAP in accordance with Clause 2 of this Article.

2. The internal ICAAP report must include at least the following contents:

a) Target capital and economic capital;

b) Results of capital stress tests;

c) Capital plans;

d) Results of capital allocation;

...

...

...

e) Handling and remediation results based on the requirements or recommendations from internal audits, the State Bank of Vietnam, independent audit firms, or other competent authorities (if any).

Chapter IV

INTERNAL AUDIT

Article 64. Internal audit principles

1. Independence principle:

a) Internal auditors and the internal audit department must not undertake the tasks or duties (excluding points a and b, Clause 7, Article 56 of this Circular) of individuals and departments belonging to the first and second lines of defense;

b) Internal audit must not be subject to control or interference from individuals or departments in the first and second lines of defense;

c) An internal auditor shall not perform audits if:

(i) He/she has developed the internal audit regulations;

...

...

...

(iii) Activities or departments where he/she was responsible or performed duties within the past 3 years;

d) Criteria for developing pay rates and other benefits for positions in the internal audit department must be separated from the business and operational results of the units and departments belonging to the first and second lines of defense,

2. Impartiality principle:

a) Audit findings in internal audit reports must be carefully analyzed and based on collected data and information;

b) Internal auditors must be honest in reporting and assessment during the internal audit process;

c) Internal auditors have the right and obligation to report to competent authorities on matters related to impartiality during the internal audit process.

3. Professionalism principle:

a) The internal audit department must include at least have at least 01 internal auditor for auditing information technology and application of technology (hereinafter referred to as technology auditor);

b) Internal auditors must meet the requirements specified in Article 66 of this Circular.

...

...

...

Article 65. Cooperation mechanism

1. The commercial bank must have mechanisms for operation between:

a) The Board of Directors/Members and the Board of Controllers, internal audit department as specified in Clause 2 of this Article;

b) The Director General (Director), departments belonging to the first and second lines of defense and the Board of Controllers, internal audit department as specified in Clause 3 of this Article;

2. The mechanism for cooperation between the Board of Directors, the Board of Members and the Board of Controllers, internal audit department of the commercial bank must ensure that:

a) The Board of Directors/Board of Members shall cooperate with the internal audit department during internal audit for senior management oversight on the Board of Directors/ Board of Members;

b) The Board of Directors/Board of Members shall carry out the request of the Board of Controllers in the internal audit reports (if any) and notify the Board of Controllers of the implementation results.

3. The mechanism for cooperation between the Director General (Director), departments belonging to the first and second lines of defense and the Board of Controllers, internal audit department must ensure that:

a) The Director General (Director) shall:

...

...

...

(ii) Direct the risk management department and related departments to provide sufficient information on risks so that the internal audit department can formulate internal auditing plans;

(iii) Receive internal reports on internal audit, organize implementation of requests of the Board of Controllers in internal audit result reports (if any), and report to the Board of Controllers on the implementation results;

b) Departments in the first and second lines of defense shall:

(i) Provide complete, truthful, and accurate information, documents, and records as requested by the internal audit department during internal audits;

(ii) Promptly notify the internal audit department upon detecting limitations, violations, losses, or risks of losses;

(iii) Facilitate the internal audit department's performance of internal audits.

4.  Foreign bank branches must establish a cooperation mechanism among the General Director (Director), departments in the first and second lines of defense, and the internal audit department of the foreign bank branch.

Article 66. Qualifications of members of Boards of Controllers and internal auditors

1. Members of the Board of Controllers of a commercial bank must meet the qualifications  and conditions prescribed by the Law on Credit Institutions.

...

...

...

a) An internal auditor must:

(i) have a bachelor degree (or above) in economics, business administration, law, accounting, auditing, mathematics and statistics, or other disciplines relevant to audit requirements;

(ii) Have at least 2 years of direct work experience in banking, finance, accounting, auditing, or other fields relevant to audit requirements for an internal auditor and at least 3 years for the Chief Internal Auditor;

b) A technology auditor must:

(i) have a bachelor degree (or above) in information technology or other disciplines relevant to audit requirements;

(ii) Have at least 2 years of work experience in the field of information technology.

3. The qualifications of internal auditors of foreign bank branches shall comply with the regulations of its parent bank.

Article 67. Professional ethics standards for members of the Board of Controllers and internal auditors

1. The professional ethics standards for members of the Board of Controllers and internal auditors (including the Chief Internal Auditor and other positions within the internal audit department) of a commercial bank must include at least the following principles:

...

...

...

b) Impartiality: carry out the assigned tasks impartially, assess fairly, not out his/her own or anyone else’s interest;

c) Security: comply with the regulations of on information confidentiality as stipulated by law and the internal regulations of the commercial bank;

d) Responsibility: carry out the assigned tasks in a timely manner and with quality;

dd) Prudence: carry out the assigned tasks with prudence and take the following factors into consideration:

(i) Complexity and importance of the internal audit’s subject;

(ii) Probability of serious errors during the internal audit process.

2. The professional ethics standards of internal auditors of foreign bank branches shall comply with the regulations of its parent bank.

Article 68. Internal regulations of internal audit

The internal regulations of the Board of Controllers of a commercial bank have at least the following contents regarding internal audit:

...

...

...

2. Criteria for determining risk level, material level, and internal audit frequency of operations, processes and departments as prescribed in points a and b Clause 2 Article 69 of this Circular; internal audit contents as prescribed in Article 70 of this Circular.

3. The internal audit plan formulation and implementation processes.

4. Review and assessment of internal audit regulations; handling of requests from the State Bank, independent auditing firms and other relevant authorities on internal audit.

5. Regulations on hiring external specialists and firms for internal audit.

6. Regulations on internal reports on internal audit shall comply with Article 73 of this Circular;

Article 69. Internal audit plans

1. The commercial bank’s internal audit shall be conducted annually and on an ad-hoc basis as specified in the Board of Controllers.

2. The commercial bank’s annual internal audit plans are issued by the Board of Controllers upon the request of the Chief Internal Auditor, after consulting the Board of Directors, the Board of Members, and the General Director (Director). The preparation of the internal audit plan must meet the following requirements:

a) Risk-oriented principle: Activities, processes, and departments must be assessed for their level of risk (high, medium, and low) according to the internal regulations of the Board of Controllers. Activities, processes, and departments identified as high risk must be prioritized and audited at least once a year;

...

...

...

c) There are reserves of resources and time for ad-hoc internal audits;

d) The annual audit plan must be adjusted when there are material changes in the scale of operation, risk position or internal audit resources as specified by the internal regulations  of the Board of Controllers.

3. The annual internal audit plan of the commercial bank must be issued before December 15 of the preceding year and include at least the following contents: scope, subject, objectives, time, resources (also including hiring external specialists and firms) of internal audit and other contents specified by the bank.

4. The foreign bank's branch’s internal audit plans shall be decided by the parent bank.

5. Within 10 days from the date of issuance or amendments, the bank shall submit its internal audit plan to the State Bank of Vietnam (regional SBV’s branches, based on micro-supervision subjects, and the Credit Institution Management and Supervision Department).

Article 70. Internal audit contents

1. The internal audit of a commercial bank shall comply with Article 58 of the Law on Credit Institutions and has the following contents:

a) Independent inspection and assessment of compliance with mechanisms, policies, internal regulations of the Board of Directors, Board of Members, Director General (Director), individuals and departments, including identification of problems, limitation and their causes;

b) Independent review and assessment of suitability and compliance with the regulations of law of mechanisms, policies, internal regulations on control and risk management, including identification of limitation and their causes;

...

...

...

d) Other contents specified in the internal audit department’s internal regulations.

2. The internal audit contents of foreign bank branches shall comply with the regulations of its parent bank.

Article 71. Powers of the internal audit department

The powers of the internal audit department of a commercial bank include:

1. It is provided with the necessary resources (human resources, finances, assets, and other tools).

2. It is provided with the necessary information, materials, and documents for internal audit, including documents and meeting minutes of the Board of Directors, the Board of Members, and the General Director (Director).

3. It may interview individuals about matters related to internal audit; provide recommendations to the competent authority, in accordance with the internal regulations of the commercial bank, in order to address non-cooperation by individuals or departments during the internal audit process.

4. It attends internal meetings as stipulated the charter and internal regulations of the commercial bank.

5. It has other powers as prescribed by the internal regulations of the Board of Controllers

...

...

...

1. The Board of Controllers of a commercial bank shall perform functions and duties related to internal audit in accordance with this Circular and the internal regulations of the Board of Controllers, which must include at least the following contents:

a) Monitor and assess the professional ethics standards for members of the Board of Controllers and internal auditors;

b) Monitor and assess the internal audit department and the Chief internal auditor in their functions and duties. The Board of Controllers may hire an organization with expertise to evaluate the quality of the performance of the internal audit department.

2. The internal audit department of a commercial bank shall have at least the following duties and responsibilities:

a) Conduct internal audits of the headquarters, branches, and other affiliated units of the commercial bank;

b) Review and self-assess the effectiveness of internal audits;

c) Develop, review and propose the Board of Controllers to issue, amend, supplement:

(i) Professional ethics standards for members of the Board of Controllers and internal auditors as prescribed in Article 67 of this Circular;

(ii) Internal regulations of the Board of Controllers;

...

...

...

d) Monitor and assess the implementation of recommendations of the Board of Controllers for the Board of Directors, the Board of Members, the General Director (Director), individuals, and departments;

dd) Address and rectify issues as requested or recommended by the State Bank of Vietnam, independent audit firms, or other competent authorities regarding internal audits;

e) Prepare reports on internal audits as prescribed in point d Clause 2 Article 9 and Article 73 of this Circular.

g) Keep confidentiality of documents and information as stipulated by law and the internal regulations of the commercial bank;

h) Be hold accountable to the Board of Controllers for the performance of assigned duties.

3. An internal auditor of a commercial bank shall have at least the following responsibilities:

a) Comply with the provisions of points g and h Clause 2 of this Article;

b) Take responsibilities to the law and the Chief Internal Auditor for the assigned audit tasks.

4. The internal audit department of a foreign bank branch shall have the following responsibilities:

...

...

...

b) Address and rectify issues as requested or recommended by the State Bank of Vietnam, independent audit firms, or other competent authorities regarding internal audits;

c) Perform other duties as prescribed by the parent bank.

Article 73. Internal reports on internal audit

1. The commercial bank must report internal audit results as specified in Clauses 2 and 3 of this Article and report self-assessment of internal audit results as specified in Clause 4 of this Article. To be specific:

a) After the end of internal audit, the internal audit department submits the report on internal audit results to the Board of Controllers for approval and submission to the Board of Directors, the Board of Members, and the Director General (Director) as specified in the internal regulations of the Board of Controllers;

b) Within 30 days from the end of the fiscal year, the internal audit department shall submit a report on self-assessment of internal audit results to the Board of Controllers in accordance with internal regulations of the Board of Controllers.

2. The contents of the report on annual internal audit results include at least:

a) The state of audit scope’s and contents' implementation in the fiscal year;

b) Compliance with mechanisms, policies, internal regulations of the Board of Directors, the Board of Members, the Director General (Director), individuals and departments;

...

...

...

d) Limitations detected during internal audit and requests to competent levels and relevant departments;

3. The contents of the report on ad-hoc internal audit results include at least:

a) Contents and scope of internal audits;

b) Results of ad-hoc internal audits;

c) Limitations detected during ad-hoc internal audit and requests to competent levels and relevant departments;

4. The contents of the about internal audit annual internal audit results include at least:

a) Assessment of internal audit execution results; review and reassessment internal regulations  (including requests for amendments) of the Board of Controllers; proposals and recommendations (if any);

b) Implementation of recommendations on internal audits of the Board of Directors, the Board of Members, the General Director (Director), individuals, and departments;

c) Handling and remediation results based on the requirements or recommendations from State Bank of Vietnam, independent audit firms, or other competent authorities (if any).

...

...

...

Chapter V

IMPLEMENTATION CLAUSES

Article 74. Effect

1. This Circular shall come into force from July 01, 2026, except Clauses 2, 3, and 4 of this Article.

2. By January 01, 2028, the bank must:

a) Conduct stress tests for credit risk and market risk in accordance with Article 23 of this Circular;

b) Manage risk data in accordance with Article 24 of this Circular.

3. The implementation of regulations on model risk management:

a) If the bank has completed the transition to the internal ratings-based method as prescribed in the SBV’s regulations on capital adequacy ratios for banks before July 1, 2026, the bank must manage model risks for the models used in internal ratings-based method in accordance with Section 8 Chapter III of this Circular from July 1, 2026;

...

...

...

c) By January 01, 2028, banks (including those implementing the provisions in points a and b of this clause) shall apply model risk management as prescribed in Section 8, Chapter III of this Circular;

4. The determination, measurement, and stress tests of IRRBB:

a) From July 1, 2026, to December 31, 2027, the bank may determine, measure, and conduct stress tests of IRRBB based on the change in net interest income or change in the economic value of equity, except for cases stipulated in point b of this Clause.

a) By January 1, 2028, the bank shall determine, measure, and conduct stress tests of IRRBB based on the change in net interest income or change in the economic value of equity in accordance with this Circular.

5. In cases where a bank implements the provisions of Clauses 2 and 3 and point b of Clause 4 of this Article before January 1, 2028, the bank must notify the State Bank of Vietnam (or the regional SBV’s branches according to entities subject to microprudential inspections and supervision; the Department of Credit Institution Management and Supervision; or the Banking Inspectorate) within 10 days from the date of implementation.

6. From July 1, 2026, the following regulations shall cease to have effect:

a) Circular No. 13/2018/TT-NHNN dated May 18, 2018 of the Governor of the State Bank of Vietnam on internal control systems of commercial banks and foreign bank branches;

b) Circular No. 40/2018/TT-NHNN dated December 28, 2018 of the Governor of the State Bank of Vietnam amending and supplementing the Circular No. 13/2018/TT-NHNN dated May 18, 2018;

c) Article 3 of Circular No. 09/2024/TT-NHNN dated June 28, 2024 of the Governor of the State Bank of Vietnam on amendments to some Articles of Circulars on prudential ratios and limits on operations and internal control systems of credit institutions and foreign bank branches.

...

...

...

Heads of entities affiliated to SBV, banks, and relevant organizations and individuals are responsible for the implementation of this Circular./.

PP.  GOVERNOR
DEPUTY GOVERNOR




Doan Thai Son

APPENDIX I

 (Issued together with Circular 83/2025/TT-NHNN dated December 31, 2025 of the Governor of the State Bank of Vietnam)

BANK NAME
-------

THE SOCIALIST REPUBLIC OF VIETNAM
Independence - Freedom - Happiness
---------------

...

...

...

………. [Location and date]

REPORT
ON RESULTS OF SELF-INSPECTION AND ASSESSMENT OF CONTROL ACTIVITIES

 (Year…)

To: The State Bank of Vietnam

I. Implementation of control activities

1. Regarding the implementation of internal control

a) Description of control activities based on three lines of defense principle;

b) Internal regulations:

...

...

...

 (ii) Suitability and compliance of internal regulations with those of the State Bank and relevant laws (self-assessment results);

 (iii) Individuals and departments’ compliance with internal regulations;

c) Results of self-inspection and assessment of control activities (as specified in Articles 11, 12, 15, and 16 of Circular No. …./2025/TT-NHNN).

2. Regarding the implementation of senior management oversight (as specified in Article 12 of Circular No. …../2025/TT-NHNN).

3. Limitations of control activities 

II. Regarding the management information systems

1. Description of the management information system;

2. Assessment of the management information system's adequacy (as specified in Article 8 of Circular No. …../2025/TT-NHNN).

III. Results of handling and rectifying limitations and weaknesses in control activities based on recommendations of the State Bank of Vietnam, independent audit firms, or other competent authorities

...

...

...

LEGAL REPRESENTATIVE OF THE BANK
(signature, full name and seal)

APPENDIX II

 (issued together with Circular 83/2025/TT-NHNN dated December 31, 2025 of the Governor of the State Bank of Vietnam)

BANK NAME
-------

THE SOCIALIST REPUBLIC OF VIETNAM
Independence - Freedom - Happiness
---------------

No. .......

...

...

...

REPORT
RISK MANAGEMENT

 (Year…)

To: The State Bank of Vietnam

I. Risk management policies

1. Risk appetite

2. Material activities and major risks.

3. Changes in risk management policies and risk appetite during the reporting period and their reasons.

4. Risk data management.

...

...

...

1. Credit risk management

a) Credit risk management strategy, changes during the reporting period (if any), reasons for changes, and implementation;

b) Credit risk limits, changes during the reporting period (if any), reasons for changes, and implementation;

c) Assessment of credit risk measurement, monitoring, and control

d) Credit risk stress test:

 (i) Description of the methodology;

 (ii) Assessment of the methodology's suitability (clearly stating strengths and limitations);

 (iii) If the bank uses scenario analysis, the bank shall report on:

- Assumptions used in adverse scenario developments;

...

...

...

dd) Cases of credit risk management violations and their causes;

e) Limitations in credit risk management and their causes;

g) Handling and remediation results based on the requirements or recommendations from State Bank of Vietnam, independent audit firms, or other competent authorities (if any).

2. Market risk management

a) Market risk management strategy, changes during the reporting period (if any), reasons for changes, and implementation;

b) Market risk limits, changes during the reporting period (if any), reasons for changes, and implementation;

c) Assessment of market risk measurement, monitoring, and control

d) Market risk stress test:

 (i) Description of the methodology;

...

...

...

 (iii) If the bank uses scenario analysis, the bank shall report on:

- Assumptions used in adverse scenario developments;

- Method for calculating the impact of the assumptions;

- Results of the market risk stress test;

d) Cases of market risk management violations and their causes;

e) Limitations in market risk management and their causes;

g) Handling and remediation results based on the requirements or recommendations from State Bank of Vietnam, independent audit firms, or other competent authorities (if any).

3. Operational risk management

a) Operational risk management strategy, changes during the reporting period (if any), reasons for changes, and implementation;

...

...

...

c) Assessment of operational risk measurement, monitoring, and control

d) Cases of operational risk management violations and their causes;

dd) Assessment of the impact of events leading to operational risks and material losses;

e)  Assessment of the effectiveness of insurance in mitigating operational risk losses (if any);

g) Assessment of the formulation of the business continuity plan;

h) Limitations in operational risk management and their causes;

i) Results of rectification and handling based on the requirements or recommendations from State Bank of Vietnam, independent audit firms, or other competent authorities (if any) regarding operational risk management.

4. Liquidity risk management

a) Liquidity risk management strategy, changes during the reporting period (if any), reasons for changes, and implementation;

...

...

...

c) Assessment of liquidity risk measurement, monitoring, and control

d) Liquidity stress tests

 (i) Assumptions used in the scenarios;

 (ii) Method for calculating the impact of the assumptions;

- Description of the methodology;

- Assessment of the methodology's suitability (clearly stating strengths and limitations);

 (iii) Results of the liquidity risk stress test; 

dd) Contingency plans to ensure liquidity;

e) Cases of liquidity risk management violations and their causes;

...

...

...

i) Results of rectification and handling based on the requirements or recommendations from State Bank of Vietnam, independent audit firms, or other competent authorities (if any) regarding liquidity risk management.

5. Concentration risk management

a) Concentration risk management strategy, changes during the reporting period (if any), reasons for changes, and implementation;

b) Concentration risk limits, changes during the reporting period (if any), reasons for changes, and implementation;

c) Assessment of concentration risk measurement, monitoring, and control

d) Cases of concentration risk management violations and their causes; 

dd) Limitations in concentration risk management and their causes;

e) Results of rectification and handling based on the requirements or recommendations from State Bank of Vietnam, independent audit firms, or other competent authorities (if any) regarding concentration risk management.

6. Management of interest rate risk in the banking book (IRRBB)

...

...

...

b) IRRBB risk limits, changes during the reporting period (if any), reasons for changes, and implementation;

c)  Assessment of IRRBB risk measurement, monitoring, and control;

d) IRRBB stress tests:

 (i) Assumptions used in the scenarios;

 (ii) Method for calculating the impact of the assumptions;

 (iii) Results of IRRBB stress tests;

dd) Cases of IRRBB risk management violations and their causes;

e) Limitations in IRRBB risk management and their causes;

g) Handling and remediation results based on the requirements or recommendations from State Bank of Vietnam, independent audit firms, or other competent authorities (if any) regarding IRRBB.

...

...

...

a) List of models requiring management by the bank, including: High-risk models (models used in internal rating-based methods, other high-risk models), medium-risk models, low-risk models;

b) List of models that have been modified or discontinued during the reporting period;

c) Model development (including outsourced model development), implementation, and use (including model purchases);

d) Assessment of model risk identification, monitoring, and control;

dd) Results of periodic or ad hoc model validation (if any);

e) Results of rectification and handling based on the requirements or recommendations from State Bank of Vietnam, independent audit firms, or other competent authorities (if any) regarding model risk management.

g) Other contents.

III. Proposals and recommendations to the State Bank of Vietnam

...

...

...

LEGAL REPRESENTATIVE OF THE BANK
(signature, full name and seal)

APPENDIX III

 (issued together with Circular 83/2025/TT-NHNN dated December 31, 2025 of the Governor of the State Bank of Vietnam)

BANK NAME
-------

THE SOCIALIST REPUBLIC OF VIETNAM
Independence - Freedom - Happiness
---------------

No. .......

………. [Location and date]

...

...

...

 (Year…)

To: The State Bank of Vietnam

1. Implementation of the target capital adequacy ratio in the year (year t0)

a) Evaluation of compliance with the SBV’s regulations on capital adequacy ratio;

b) Evaluation of the implementation of the target capital adequacy ratio.

2. Risk appetite

a) Material activities and major risks.

b) Risk appetite:

Indicator

...

...

...

Year t0+1

Year t0+2

Year t0+3

Target Capital Adequacy Ratio CAR_target (%)

Income Indicators

...

...

...

RAROC (%)

...

...

...

a) Target capital

No.

Target capital

Unit

Year t0

Year t0+1

Year t0+2

Year t0+3

I

...

...

...

1

RWA

Billion VND

2

CAR_R

...

...

...

3

C_R (=RWA*CAR_R)

Billion VND

...

...

...

II.

Target capital

1

Billion VND

...

...

...

RWA_CR

Billion VND

RWA_OR

Billion VND

...

...

...

RWA_MR

Billion VND

...

...

...

RWA_COR

Billion VND

RWA_IRRBB

...

...

...

RWA_OMR

Billion VND

...

...

...

2

ΔRWA_B

Billion VND

3

...

...

...

%

4

CE = RWA*E x CAR_Target + ΔRWA_B x CAR_R

Billion VND

...

...

...

5

C_Target = Max (C_R , C_E)

Billion VND

...

...

...

Difference between projected equity and target capital

1

C_A

Billion VND

2

...

...

...

Billion VND

Note:

- RWA refers to risk-weighted assets regulated by the State Bank of Vietnam;

- Other indicators follow the provisions of Appendix VI, Circular No. .../2025/TT-NHNN. b) Methods for determining RWA_CR, RWA_OR, RWA_MR, RWA_IRRBB, RWA_COR, RWA_OMR and ΔRWA_B:

 (i) Description of the methodology;

...

...

...

 (iii) Adjustments to individual components (variables, parameters, assumptions, etc.) of the method during the reporting period (if any).

4. Capital stress tests

a) Assumptions used in adverse scenario developments;

b) Methodology for calculating the impact of assumptions on total risk-weighted assets by risk type:

 (i) Description of the methodology;

 (ii) Assessment of the methodology's suitability (clearly stating strengths and limitations);

 (iii) Adjustments to individual components (variables, parameters, assumptions, etc.) of the method during the reporting period (if any).

 (iv) Results of calculating total risk-weighted assets under adverse scenarios and business-as-usual scenarios.

5. Capital plans

...

...

...

b) Dividend and profit distribution policies;

c) Allocation of target capital to total risk-weighted assets for material risks;

d) Early warning levels for total risk-weighted assets of each material risk.

6. Review of internal capital adequacy assessment process (ICAAP)

a) Review results (including results of implementing recommendations from the previous year);

b) Recommendations, proposals, and implementation plans (if any)./.

LEGAL REPRESENTATIVE OF THE BANK
(signature, full name and seal)

...

...

...

APPENDIX IV

 (issued together with Circular 83/2025/TT-NHNN dated December 31, 2025 of the Governor of the State Bank of Vietnam)

BANK NAME
-------

THE SOCIALIST REPUBLIC OF VIETNAM
Independence - Freedom - Happiness
---------------

No. .......

………. [Location and date]

REPORT
ON INTERNAL AUDIT

 (Year…)

...

...

...

I. Contents and scope of internal audit

II. Internal audit results

1. Compliance with the regulations of mechanisms, policies, processes, internal regulations on internal control and risk management of the bank.

2. Appropriateness and compliance with laws of mechanisms, policies, processes, internal regulations on internal control and risk management;

3. Weaknesses and proposals to the Board of Directors, Boards of Members, and Director General (Director).

4. Other contents (if any).

III. Results of the self-assessment of internal audit of the bank in the reporting year

1. Assessment of internal audit results.

2. Assessment of internal regulations of the Board of Controllers (including the results of assessment of the appropriateness and compliance with laws of internal regulations of the Board of Controllers)

...

...

...

IV. Handling and remediation results based on the requirements and recommendations from internal audits, the State Bank of Vietnam, independent audit firms, and other competent authorities

1. Recommendations that have been implemented.

2. Recommendations that have not been implemented.

V. Proposals and recommendations to the State Bank of Vietnam

HEAD OF SUPERVISION BODY OF COMMERCIAL BANK/LEGAL REPRESENTATIVE OF FOREIGN BANK BRANCH
(signature, full name and seal)

APPENDIX V

 (issued together with Circular 83/2025/TT-NHNN dated December 31, 2025 of the Governor of the State Bank of Vietnam)

...

...

...

Change in economic value of equity (ΔEVE) refers to the difference between the net present value (NPV) of the cash inflows of interest-rate-sensitive assets (including off-balance items) and the cash inflows of interest-rate-sensitive liabilities (including off-balance items) due to interest rate shifts.

The bank shall measure IRRBB using the ΔEVE as follows:

I. Step 1: The bank shall identify and categorize interest rate-sensitive assets, liabilities, and off-balance items in the banking book.

1. The bank shall identify interest rate-sensitive assets, liabilities, and off-balance items in the banking book in accordance with the bank's internal regulations, provided:

a) Interest rate-sensitive assets do not include:

 (i) Items deducted from Tier 1 Capital;

 (ii) Fixed assets;

 (iii) Equity exposures in the banking book;

b) Interest rate-sensitive liabilities include non-remunerated deposits;

...

...

...

Cash flows are defined as:

 (i) Any principal payments (e.g. on the maturity date as per contract);

 (ii) Any principal repriced on the most recent date that either the bank or its counterparty has the unilateral right to change the interest rate, or on the date when the interest rate of a floating-rate instrument automatically adjusts to reflect changes in an external reference index;

 (iii) Any interest payments on part of principal that has not yet been repaid or repriced.

The repricing date is determined as the date of the principal repayment, principal repricing, and interest payment as stipulated in points c(i), c(ii), and c(iii) of this clause.

2. Interest rate-sensitive assets, liabilities, and off-balance items shall be classified as specified in Clause 1, Section I, Part A of this Appendix as follows:

a) Amenable to standardisation includes items with fixed and floating interest rates (excluding items not amenable to standardisation). For embedded interest rate options, the bank shall disregard the exercise of the option and classify such options into the “not amenable to standardisation” category;

b) Less amenable to standardisation includes automatic interest rate options (if any);

c) Not amenable to standardisation includes:

...

...

...

 (ii) Fixed rate loans subject to prepayment risk;

 (iii) Term deposits subject to early redemption risk.

II. Step 2: The bank shall allocate the cash flows of interest rate-sensitive assets, liabilities, and off-balance items in accordance with Clause 1, Section I, Part A of this Appendix into: (i) 19 time buckets based on the repricing dates specified in Table 1 of this Appendix, or (ii) time bucket midpoints specified in Table 1 of this Appendix. If the bank allocates the cash flows into time bucket midpoints, the original maturity of these cash flows shall be preserved by splitting up the cash flows between the midpoints of two adjacent time buckets. To be specific:

1. Amenable to standardisation:

a) Fixed-rate items: The bank shall allocate cash flows from principal and interest payments (periodic or at maturity) into the time bucket corresponding to the payment date or into time bucket midpoints.

b) Floating-rate items:

 (i) The bank shall allocate cash flows from periodic principal or interest payments (if any) until the next repricing date into the time bucket corresponding to the payment date or into time bucket midpoints;

 (ii) The bank shall allocate the remaining principal balance, after applying the provisions in point b(i) of this Clause, into the time bucket corresponding to the payment date or into time bucket midpoints.

...

...

...

No.

Time buckets

Time bucket midpoints (t_k)

1

Overnight

0,0028 years

2

Overnight to 1 month

0,0417 years

...

...

...

Over 1 month to 3 months

0,1667 years

4

Over 3 months to 6 months

0,375 years

5

Over 6 months to 9 months

0,625 years

6

...

...

...

0,875 years

7

Over 1 year to 1,5 years

1,25 years

8

Over 1,5 years to 2 years

1,75 years

9

Over 2 years to 3 years

...

...

...

10

Over 3 years to 4 years

3,5 years

11

Over 4 years to 5 years

4,5 years

12

Over 5 years to 6 years

5,5 years

...

...

...

Over 6 years to 7 years

6,5 years

14

Over 7 years to 8 years

7,5 years

15

Over 8 years to 9 years

8,5 years

16

...

...

...

9,5 years

17

Over 10 years to 15 years

12,5 years

18

Over 15 years to 20 years

17,5 years

19

Over 20 years

...

...

...

2. Not amenable to standardisation: The bank shall not allocate cash flows for this case.

3. Less amenable to standardisation:

a) For NMDs:

 (i) The bank shall classify NMDs into:

- Retail  deposits: recorded as a transactional account when regular transactions (such as periodic salary payments) are conducted (e.g., current accounts). Other retail  deposits are recorded as non-transactional accounts.

- Wholesale deposits.

 (ii) For each type of NMD specified in point a(i), the bank shall use historical data to distinguish between stable NMDs and non-stable NMDs. Stable NMDs are those where customers are highly likely to maintain their deposits.

- From stable NMDs, the bank shall identify core deposits. Core deposits are the portion of stable NMDs and shall not be repriced even if interest rates change significantly. The total value and the average maturity of core deposits must comply with the requirements in Table 2 of this Appendix.

Table 2. Caps on core deposit proportions and average maturity

...

...

...

Cap on core deposit proportions (%)

Cap on average maturity of core deposits (years)

Consumer NMDs

Core deposits/Total consumer transactional NMDs

90

5

Core deposits/Total consumer non-transactional NMDs

...

...

...

4.5

Institutional NMDs

Core deposits/Total institutional transactional NMDs

50

4

- Non-core deposits are the remaining portion of NMDs other than core deposits.

 (iii) The bank shall allocate NMD cash flows as follows:

...

...

...

- Allocate non-core deposits into the overnight time bucket or the time bucket midpoint.

b) For fixed rate loans subject to prepayment risk:

 (i) The bank shall establish internal regulations on criteria for identifying fixed-rate loans for both individuals and institutions subject to prepayment risk;

 (ii) For fixed-rate personal loans subject to prepayment risk, the bank shall determine the cash flows as follows:

- Determine the baseline conditional prepayment rate () for each portfolio p of loans in currency c with similar characteristics under the applicable conditions.

- Determine the conditional prepayment rate (CPR) for each portfolio p in currency c under interest rate shock scenario i, calculated as follows:

Where: γ_i is the multiplier applied to interest rate shock scenario i according to Table 3 of this Appendix.

Table 3. Multipliers according to interest rate shock scenarios

...

...

...

Interest rate shock scenario

γ_i

1

Parallel shock up

0,8

2

Parallel shock down

1,2

3

...

...

...

0,8

4

Flattener shock

1,2

5

Short rates shock up

0,8

6

Short rates shock down

...

...

...

- The bank shall determine the cash flows for fixed-rate loans subject to prepayment risk as follows:

Where:

+  is the periodic principal and interest payment.

+  is the outstanding principal balance of the loan at the time bucket (k-1).

+ Interest rate shock scenario i is determined from 1 to 6 respectively.

 (iii) For fixed-rate loans for institutional customers subject to prepayment risk, the bank shall independently determine the cash of these loans to measure ΔEVE.

c) Term deposits subject to early redemption risk:

 (i) The bank shall establish internal regulations on criteria for identifying term deposits for individuals/organizations subject to early redemption risk;

...

...

...

- Determine the baseline term deposit redemption ratio  for each portfolio p of deposits in currency c with similar characteristics under the applicable conditions.

- Determine the early redemption ratio for this portfolio p at time bucket k or time bucket midpoint t_k under interest rate shock scenario i as follows:

Table 4. Multipliers according to interest rate shock scenarios

Scenario No.

Interest rate shock scenario

Multiplier u_i

1

Parallel shock up

...

...

...

2

Parallel shock down

0,8

3

Steepener shock

0,8

4

Flattener shock

1.2

...

...

...

Short rates shock up

1,2

6

Short rates shock down

0,8

- The bank shall determine the early redemption cash flows under the interest rate shock scenario i as follows:

Where  is the outstanding deposit balance of portfolio p.

The bank shall allocate these early redemption cash flows into the overnight time bucket or its midpoint.

...

...

...

III. Step 3: The bank shall calculate economic value of equity (EVE) under 6 interest rate shock scenarios

1. The six (06) interest rate shock scenarios used to calculate EVE include:

a) Parallel shock up: Interest rates increase equally across all maturities;

b) Parallel shock down: Interest rates decrease equally across all maturities;

c) Steepener shock: Interest rates for short-term maturities and increase for long-term maturities;

d) Flattener shock: Interest rates increase for short-term maturities and decrease for long-term maturities;

dd) Short rates shock up: Interest rates increase for short-term maturities

e) Short rates shock down: Interest rates decrease for short-term maturities.

2. Calculation of EVE:

...

...

...

In each scenario, all cash flows shall be allocated to the time bucket k ϵ {1,2,....K} or its midpoint t_k, k ϵ {1,2,.... K}. At each time bucket k or its midpoint t_k, the bank shall determine the inflows and outflows of interest rate-sensitive assets, liabilities, and off-balance items to calculate the net cash flow (cash inflows minus cash outflows). The aggregated net cash flow of all time buckets is CF_i,c(k) or CF_i,c(t_k), k ϵ {1,2…, K}.

- The net cash flow at each time bucket k or its midpoint t_k shall be discounted using a continuously compounded discount factor under the interest rate shock scenario i for currency c. The cash flows at each time bucket shall be discounted using the risk-free rate.

The continuously compounded discount factor is determined as follows:

Where t_k is the midpoint of time bucket k. The bank shall calculate the discount factor according to the allocation of its cash flows.

- The bank shall determine EVE for currency c under the interest rate shock scenario i (excluding automatic interest rate options) as follows:

+ If cash flows are allocated into a time bucket with a repricing date:

+ If cash flows are allocated into a time bucket midpoint:

...

...

...

IV. Step 4:  The bank shall independently measure the risk of automatic interest rate options (if any) under interest rate shock scenario i for each currency c (KAO_i,c) to calculate ΔEVE.

V. Step 5: The bank shall determine ΔEVE.

The bank shall calculate ΔEVE for currency c under scenario i by calculating the difference between the applicable Economic Value of Equity  and the Economic Value of Equity under scenario i 

- If cash flows are allocated into a time bucket with a repricing date:

- - If cash flows are allocated into a time bucket midpoint:

Based on the ΔEVE_i,c results for each currency c, the bank shall identify the reductions in EVE (where ΔEVE_i,c>0) and calculate the total reduction of all currencies for each scenario i. The maximum total reduction across all 6 scenarios shall be defined as the measure of IRRBB according to ΔEVE.

...

...

...

I. Change in Net Interest Income (ΔNII) refers to the extent of change in net interest income due to changes in interest rates on interest-bearing assets, liabilities, and off-balance items on the banking book

II. The bank shall measure ΔNII over a one-year period based on a constant balance sheet assumption.

III. The bank shall apply 02 scenarios, which are the parallel shock up and the parallel shock down, to measure ΔNII. The maximum reduction in the NNI across these two interest rate shock scenarios shall be determined as the measure of IRRBB according to ΔNII.

C. Determination of interest rate shocks (ΔR_shock,c) for currencies

I. The bank shall determine the interest rate shocks for currencies as follows:

1. The bank shall apply  specified in Table 5 of this Appendix for calculating the interest rate shock for currency c as specified in Clause 3 Section I Part C of this Appendix.

Table 5.  parameter (unit: bp)

ARS

...

...

...

BRL

CAD

CHF

CNY

EUR

GBP

HKD

IDR

INR

...

...

...

400

300

400

200

100

250

200

250

200

...

...

...

400

Short term

500

450

500

300

150

300

250

...

...

...

250

500

500

Long term

300

200

300

150

100

...

...

...

100

150

100

350

300

JPY

KRW

...

...

...

RUB

SAR

SEK

SGD

TRY

USD

ZAR

Parallel

100

...

...

...

400

400

200

200

150

400

200

400

Short term

...

...

...

400

500

500

300

300

200

500

300

500

...

...

...

100

200

300

300

150

150

100

300

150

...

...

...

2. If the currency c is not specified in Table 5 of this Appendix, or if the bank does not apply the parameter  provided in Table 5 for those currencies, the bank shall determine the parameter  for calculating the interest rate shock for currency c as prescribed in Clause 3 Section I Part C of this Appendix as follows:

a) The bank shall determine the daily average interest rate for the currency:

The bank shall collect daily interest rate data for currency c over a 16-year period or another period determined by the bank for the following maturities: 3 months, 6 months, 1 year, 2 years, 5 years, 7 years, 10 years, 15 years, and 20 years.

The daily average interest rate for currency c shall be determined by calculating the daily average interest rate for the following maturities: 3 months, 6 months, 1 year, 2 years, 5 years, 7 years, 10 years, 15 years, and 20 years.

b) The bank shall calculate  by multiplying the daily average interest rate for currency c as determined in point a of this Clause by the baseline global interest rate shock parameter  as specified in Table 6 of this Appendix.

Table 6: Baseline Global Interest Rate Shock Parameters

Parallel

60%

...

...

...

85%

Long rate

40%

c)  stipulated in point b of this Clause must ensure:

 (i) A minimum floor of 100 bps;

 (ii) Respective caps:

- 500 bps for the short rate shock;

...

...

...

- 300 bps for the long rate shock;

3. The bank shall determine the interest rate shock  for each scenario as follows:

a) For the parallel shock scenario for currency c:

b) For the short rate shock scenario for currency c:

Where:

c) For the long rate shock scenario for currency c:

...

...

...

d) For the steepener and flattener shock scenarios for currency c:

II. In cases where the bank does not follow the provisions in Section I Part C of this Appendix, the bank may determine the interest rate shocks, provided they comply with updated guidelines of the Basel Committee on Banking Supervision (BCBS) regarding interest rate shock methodologiesfor various interest rate shock scenarios.

APPENDIX VI

 (issued together with Circular 83/2025/TT-NHNN dated December 31, 2025 of the Governor of the State Bank of Vietnam)

GUIDANCE FOR DETERMINING CAPITAL METRICS

I. Target capital

1. Economic capital

...

...

...

Where:

a) CAR_target: Target Capital Adequacy Ratio within the risk appetite (%).

b) CAR_R: Capital Adequacy Ratio as prescribed by the State Bank of Vietnam on capital adequacy ratios for banks (%).

c) ΔRWA_B: Difference between total risk-weighted assets under an adverse scenario and total risk-weighted assets under a business-as-usual scenario.

d) RWA*_E: Total Risk-Weighted Assets under a business-as-usual scenario, determined by the following formula:

Where:

- RWA_CR: Total risk-weighted assets for credit risk;

...

...

...

- RWA_MR: Total risk-weighted assets for market risk;

- RWA_IRRBB: Total risk-weighted assets for IRRBB;

- RWA_COR: Total risk-weighted assets for concentration risk

- RWA_OMR: Total risk-weighted assets for other material risks (excluding liquidity risk).

 (i) RWAC_R: determined in accordance with SBV regulations on total credit risk-weighted assets;

 (ii) RWA_OR, RWA_MR: determined in accordance with SBV regulations on capital requirements for operational risk and market risk.

 (iii) RWA_COR: calculated using the formula below:

Where:

...

...

...

+ Formula:

The applicable capital ratios for a single customer or a customer and his/her affiliated person follow this roadmap:

Effective Date

Ratio for a single customer (A)

Ratio for a customer and his/her affiliated person (B)

01/07/2026

8,7

16,8

...

...

...

8

15,2

01/01/2028

7,3

13,6

01/01/2029

6,5

12

Where:

...

...

...

+ E_j: Total credit exposure to a single customer; excluding 0% risk-weighted exposures and amounts deducted from the equity as per the SBV’s regulations on capital adequacy ratio;

+ C: Equity of the bank as defined by SBV.

+ RWA^2_COR Total risk-weighted assets for proprietary trading concentration risk, determined by the bank's internal method.

 (iv) RWA_IRRBB: determined by the bank's internal method. By January 1, 2028, the bank shall calculate RWA_IRRBB based on the Change in Economic Value of Equity (ΔEVE) as prescribed in this Circular.

 (v) RWA_OMR: determined by the bank's internal method.

2. Target capital (C_Target) is determined using the following formula:

C_Target = Max (C_R, C_E)

Where:

 (i) C_R: Equity required meeting the Capital Adequacy Ratio as prescribed by the SBV for banks and foreign bank branches:

...

...

...

II. Projected equity (C_A)

Projected equity (C_A) refers to the equity determined in accordance with the SBV’s regulations, based on a business plan for at least the next 03 years and no more than the next 05 years, under the following assumptions:

- There are no plans for capital increase;

- There are no requirements for capital contributions to subsidiaries, associates, or existing capital contributions and share purchases;

- The dividend payout ratio is equal to the average dividend payout ratio of the most recent 03 years;

- Retained earnings after dividend distribution are added to the capital.

III. Risk-Adjusted Return on Capital (RAROC)

RAROC refers to the percentage ratio of total profit before tax to economic capital (C_E) determined in point 1 Section I of this Appendix./.