Khi AI có thể phân tích hồ sơ tín dụng, phát hiện giao dịch đáng ngờ và tự động xử lý một phần nghiệp vụ, quản trị rủi ro AI trở thành vấn đề quan trọng không kém hiệu quả công nghệ. Một quyết định sai có thể ảnh hưởng trực tiếp đến tài sản, dữ liệu khách hàng và uy tín ngân hàng.
Vậy làm thế nào để ngân hàng khai thác khả năng tự động hóa mà vẫn duy trì quyền kiểm soát? Câu trả lời nằm ở việc thiết lập các lớp bảo vệ xuyên suốt quy trình, từ dữ liệu đầu vào đến hành động cuối cùng của AI.
Quản Trị Rủi Ro AI Trong Ngân Hàng Không Thể Chỉ Dừng Ở Kiểm Soát Mô Hình
Theo khảo sát năm 2024 của Ngân hàng Trung ương Anh (BoE) và Cơ quan Quản lý Tài chính Anh (FCA), 75% tổ chức tài chính tham gia khảo sát đã sử dụng AI, tăng từ 58% vào năm 2022. Đáng chú ý, 55% trường hợp ứng dụng AI có một mức độ tự động hóa quyết định nhất định, trong khi chỉ 2% được vận hành hoàn toàn tự chủ.
Những con số này cho thấy AI đang tiến sâu hơn vào hoạt động tài chính, nhưng các tổ chức vẫn thận trọng khi trao quyền quyết định cho công nghệ.
Trước đây, phần lớn hoạt động kiểm soát AI tập trung vào độ chính xác, chất lượng dữ liệu và khả năng giải thích kết quả. Tuy nhiên, khi AI Agent có thể truy cập hệ thống nghiệp vụ, đối chiếu hồ sơ và kích hoạt các bước xử lý, việc đánh giá mô hình riêng lẻ không còn đủ.
Trong quy trình tín dụng, chẳng hạn, AI có thể phân tích đúng tình hình tài chính của khách hàng nhưng vẫn gây rủi ro nếu tự ý cập nhật hạn mức hoặc chuyển hồ sơ sang trạng thái phê duyệt khi chưa được cho phép. Vấn đề lúc này không nằm ở năng lực phân tích mà ở quyền thực hiện hành động.
Báo cáo của Hội đồng Ổn định Tài chính (FSB) cũng cảnh báo việc ứng dụng AI có thể làm gia tăng rủi ro liên quan đến an ninh mạng, chất lượng dữ liệu, quản trị mô hình và sự phụ thuộc vào nhà cung cấp công nghệ.
Điều đó đặt ra yêu cầu mới cho kiểm soát AI trong ngân hàng: ngân hàng phải biết AI được tiếp cận thông tin nào, được thực hiện hành động gì và ai chịu trách nhiệm khi xảy ra sai sót. Những quy định này cần được thực thi trực tiếp trong hệ thống, thay vì chỉ tồn tại dưới dạng chính sách nội bộ.
5 Lớp Kiểm Soát Khi Đưa AI Vào Quy Trình Ngân Hàng
Một hệ thống quản trị hiệu quả cần ngăn ngừa sai sót trước khi hành động xảy ra, đồng thời có khả năng phát hiện và xử lý những vấn đề không thể dự báo hoàn toàn.
Dựa trên các nguyên tắc quản trị rủi ro của NIST AI Risk Management Framework và yêu cầu kiểm soát nội bộ trong lĩnh vực ngân hàng, doanh nghiệp có thể tổ chức hoạt động giám sát AI thành năm lớp liên kết chặt chẽ. Đây là cách tiếp cận triển khai được đề xuất, không phải bộ tiêu chuẩn bắt buộc của NIST.
Mô hình 5 lớp kiểm soát rủi ro AI trong ngân hàng. (Source: Twendee)
1. Kiểm Soát Dữ Liệu Đầu Vào Và Chất Lượng Thông Tin
Chất lượng quyết định của AI phụ thuộc trực tiếp vào dữ liệu mà hệ thống được phép sử dụng. Tuy nhiên, dữ liệu chính xác chưa chắc đã phù hợp với mọi mục đích xử lý.
Ngân hàng cần xác định rõ nguồn thông tin hợp lệ, thời điểm cập nhật và điều kiện sử dụng dữ liệu cho từng nghiệp vụ. Với hồ sơ tín dụng, thông tin thu nhập, lịch sử trả nợ và tài sản bảo đảm phải được đối chiếu với nguồn đáng tin cậy trước khi đưa vào phân tích.
Đặc biệt, AI không được tự động sử dụng thông tin khách hàng ngoài phạm vi được cấp quyền, kể cả khi dữ liệu đó đã có sẵn trong hệ thống.
Lớp kiểm soát này giúp hạn chế nguy cơ đưa ra quyết định dựa trên dữ liệu sai lệch, thiếu cập nhật hoặc sử dụng không đúng mục đích.
2. Phân Quyền Truy Cập Và Giới Hạn Quyền Hạn AI
Một trong những nguyên tắc quan trọng nhất khi triển khai AI Agent ngân hàng là chỉ cấp những quyền thực sự cần thiết để hoàn thành nhiệm vụ.
Chẳng hạn, AI hỗ trợ đánh giá tín dụng có thể được quyền đọc hồ sơ và tạo báo cáo phân tích, nhưng không nhất thiết được chỉnh sửa hạn mức vay hoặc thay đổi trạng thái phê duyệt.
Sự phân biệt giữa quyền đọc, quyền cập nhật và quyền thực hiện giao dịch giúp ngân hàng hạn chế hậu quả nếu AI hoạt động ngoài dự kiến hoặc bị khai thác thông qua các yêu cầu độc hại.
Theo Nguyên tắc quản trị và kiểm soát nội bộ của Ủy ban Basel, ngân hàng cần có cơ chế phân định thẩm quyền, trách nhiệm và kiểm soát độc lập đối với những hoạt động có ảnh hưởng đến tài sản.
Khi áp dụng cho AI, nguyên tắc này đòi hỏi quyền truy cập phải được kiểm soát ở cấp hệ thống, không chỉ thông qua hướng dẫn bằng ngôn ngữ trong câu lệnh dành cho mô hình.
3. Thiết Lập Giới Hạn Cho Các Quyết Định Và Hành Động
Ngay cả khi có quyền truy cập hợp lệ, AI cũng không nên được phép tự thực hiện mọi thao tác trong quy trình.
Ngân hàng cần phân biệt rõ ba mức độ tham gia: AI đưa ra đề xuất, chuẩn bị thao tác để nhân viên xác nhận hoặc trực tiếp thực hiện công việc trong phạm vi đã được phê duyệt.
Các điều kiện quan trọng như hạn mức giao dịch, trạng thái xác minh khách hàng và quy định tuân thủ phải được kiểm tra bằng hệ thống nghiệp vụ trước khi một hành động được thực hiện.
Điểm cốt lõi là không phụ thuộc hoàn toàn vào khả năng AI tự nhận biết giới hạn của mình. Những quy tắc có tính bắt buộc phải được hệ thống kiểm tra độc lập, bảo đảm AI không thể bỏ qua chỉ vì đưa ra một lập luận có vẻ hợp lý.
4. Tích Hợp Phê Duyệt Của Con Người Và Xử Lý Ngoại Lệ
Mục tiêu của tự động hóa không phải loại bỏ con người khỏi mọi quyết định, mà là phân bổ sự giám sát vào đúng những bước có rủi ro đáng kể.
Trong hoạt động phòng chống rửa tiền (AML), AI có thể tổng hợp thông tin giao dịch và hỗ trợ phân loại cảnh báo. Tuy nhiên, những trường hợp bất thường hoặc có hệ quả pháp lý cần được chuyển đến nhân viên có thẩm quyền theo quy trình đã quy định.
Cơ chế này chỉ hiệu quả khi người phê duyệt được cung cấp đầy đủ căn cứ, dữ liệu liên quan và lịch sử xử lý. Nếu nhân viên chỉ nhận một kết luận do AI tạo ra mà không thể kiểm tra cơ sở đánh giá, bước phê duyệt dễ trở thành thủ tục hình thức.
Vì vậy, giám sát con người cần được thiết kế như một phần thực chất của quy trình ra quyết định, với quyền yêu cầu bổ sung thông tin, từ chối hoặc dừng xử lý.
5. Ghi Nhận Hoạt Động, Giám Sát Và Khôi Phục Khi Có Sự Cố
Một hành động được thực hiện đúng thẩm quyền vẫn cần có khả năng kiểm tra lại sau đó.
Hệ thống phải ghi nhận những thông tin cần thiết để xác định AI đã sử dụng dữ liệu nào, thực hiện thao tác gì, theo quy tắc nào và được ai phê duyệt. Nhật ký cũng cần được bảo vệ khỏi việc chỉnh sửa trái phép.
Hướng dẫn của Ủy ban Basel về hoạt động ngân hàng điện tử nhấn mạnh vai trò của nhật ký kiểm toán đối với giao dịch có hậu quả tài chính, thay đổi tài khoản và điều chỉnh quyền truy cập.
Với AI, yêu cầu này còn phải đi kèm khả năng phát hiện hành vi bất thường, tạm ngừng quyền thực hiện và khôi phục trạng thái hệ thống khi phù hợp.
Năm lớp kiểm soát chỉ phát huy hiệu quả khi được triển khai đồng bộ. Phân quyền giúp hạn chế hành động vượt thẩm quyền, phê duyệt con người kiểm soát những quyết định nhạy cảm, còn nhật ký hoạt động tạo cơ sở giám sát và xác định trách nhiệm.
Đưa 5 Lớp Kiểm Soát AI Vào Quy Trình Nghiệp Vụ Như Thế Nào?
Thách thức lớn nhất không nằm ở việc xác định các nguyên tắc quản trị, mà ở cách biến chúng thành những bước kiểm soát có thể thực thi.
Hãy xét một tình huống minh họa: ngân hàng triển khai AI Agent hỗ trợ xử lý hồ sơ vay vốn doanh nghiệp.
Sơ đồ AI tự động hóa quy trình cho vay thương mại tại ngân hàng. (Source: FPT IS)
Khi tiếp nhận hồ sơ, AI thu thập thông tin từ những nguồn được cấp phép, kiểm tra tính đầy đủ và đối chiếu dữ liệu tài chính. Hệ thống sau đó xác nhận quyền truy cập trước khi cho phép AI thực hiện phân tích và chuẩn bị báo cáo đánh giá.
Nếu hồ sơ đáp ứng các điều kiện thông thường, AI có thể chuyển kết quả sang bước tiếp theo. Ngược lại, trường hợp có dữ liệu mâu thuẫn hoặc vượt ngưỡng rủi ro phải được chuyển đến chuyên viên tín dụng. Việc phê duyệt khoản vay vẫn thuộc thẩm quyền đã được ngân hàng quy định.
Toàn bộ quá trình cần được ghi nhận để bộ phận kiểm soát có thể kiểm tra lại khi cần thiết.
Cách triển khai này cho phép ngân hàng tự động hóa các công việc lặp lại mà không trao cho AI quyền quyết định vượt quá phạm vi cho phép.
Đây cũng là hướng tiếp cận phù hợp với năng lực phát triển và tích hợp hệ thống của Twendee. Thay vì chỉ đưa mô hình AI vào một phần mềm có sẵn, doanh nghiệp cần thiết kế lại cách phân quyền, tổ chức các bước phê duyệt và kết nối dữ liệu giữa những hệ thống nghiệp vụ.
Giá trị của giải pháp không chỉ được đo bằng số thao tác tiết kiệm được, mà còn ở khả năng duy trì sự kiểm soát khi khối lượng xử lý tăng lên.
Ngân Hàng Cần Đáp Ứng Những Điều Kiện Gì Trước Khi Mở Rộng Ứng Dụng AI?
Triển khai thành công AI trong một quy trình chưa đồng nghĩa với việc ngân hàng đã sẵn sàng áp dụng rộng rãi trên toàn hệ thống.
Khảo sát của BoE và FCA cho thấy các tổ chức tham gia dự kiến số trường hợp ứng dụng AI trung vị sẽ tăng từ 9 lên 21 trong ba năm tiếp theo. Trong khi đó, chỉ 34% cho biết họ hiểu đầy đủ công nghệ AI đang sử dụng, còn 46% thừa nhận mới hiểu một phần.
Khoảng cách này cho thấy mở rộng ứng dụng có thể diễn ra nhanh hơn khả năng nắm bắt và kiểm soát công nghệ.
Trước khi tăng quyền tự chủ cho AI, ngân hàng cần chứng minh hệ thống có thể ngăn hành động vượt quyền, xử lý trường hợp bất thường và xác định trách nhiệm khi xảy ra sự cố. Các cơ chế này phải được kiểm thử lại khi mô hình, dữ liệu hoặc quy trình nghiệp vụ thay đổi.
Đặc biệt, cần đánh giá mức độ ảnh hưởng của từng quyết định thay vì áp dụng cùng một cơ chế kiểm soát cho mọi tác vụ. AI hỗ trợ tổng hợp báo cáo nội bộ có thể vận hành với mức giám sát khác AI tham gia xử lý giao dịch tài chính.
Khả năng kiểm soát đã được kiểm chứng mới là cơ sở để mở rộng AI một cách bền vững, chứ không phải số lượng quy trình được tự động hóa trong thời gian ngắn.
Kết Luận
Quản trị rủi ro AI trong ngân hàng không đồng nghĩa với hạn chế tự động hóa. Điều quan trọng là xác định rõ những công việc AI được phép thực hiện, những quyết định cần con người phê duyệt và cách giám sát toàn bộ quá trình.
Khi năm lớp kiểm soát được tích hợp ngay từ khâu thiết kế, ngân hàng có thể khai thác AI hiệu quả hơn mà vẫn duy trì trách nhiệm và sự an toàn trong vận hành.
Với kinh nghiệm phát triển và tích hợp giải pháp AI cho doanh nghiệp, Twendee có thể đồng hành trong việc xây dựng các quy trình tự động hóa có phân quyền, giám sát và kiểm soát phù hợp với nhu cầu thực tế. Trao đổi thêm với Twendee trên website, theo dõi Twendee trên LinkedIn hoặc đặt lịch trao đổi cùng đội ngũ chuyên gia của chúng tôi qua Calendly.
