Chương I. QUY ĐỊNH CHUNG
Điều 1. Phạm vi điều chỉnh. Thông tư này quy định về hệ thống kiểm soát nội bộ của tổ chức tín dụng phi ngân hàng.
Điều 2. Đối tượng áp dụng
1. Tổ chức tín dụng phi ngân hàng bao gồm công ty tài chính, công ty cho thuê tài chính.
2. Tổ chức, cá nhân có liên quan đến hệ thống kiểm soát nội bộ của tổ chức tín dụng phi ngân hàng.
Điều 3. Giải thích từ ngữ. Trong Thông tư này, các từ ngữ dưới đây được hiểu như sau:
1. Hệ thống kiểm soát nội bộ là tập hợp các cơ chế, chính sách, quy trình, quy định nội bộ, cơ cấu tổ chức của tổ chức tín dụng phi ngân hàng được xây dựng phù hợp với quy định tại Luật Các tổ chức tín dụng, Thông tư này và các quy định của pháp luật có liên quan và được tổ chức thực hiện nhằm kiểm soát, phòng ngừa, phát hiện, xử lý kịp thời rủi ro và đạt được yêu cầu đề ra. Hệ thống kiểm soát nội bộ thực hiện giám sát của quản lý cấp cao, kiểm soát nội bộ, quản lý rủi ro và kiểm toán nội bộ.
2. Giám sát của quản lý cấp cao là việc giám sát của Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc) đối với kiểm soát nội bộ, quản lý rủi ro và giám sát của Ban kiểm soát của tổ chức tín dụng phi ngân hàng đối với kiểm toán nội bộ.
3. Kiểm soát nội bộ là việc kiểm tra, giám sát đối với các cá nhân, bộ phận trong việc thực hiện cơ chế, chính sách, quy định nội bộ, chuẩn mực đạo đức nghề nghiệp, văn hóa kiểm soát nhằm kiểm soát xung đột lợi ích, kiểm soát rủi ro.
4. Quản lý rủi ro là việc nhận dạng, theo dõi và kiểm soát rủi ro trong hoạt động của tổ chức tín dụng phi ngân hàng.
5. Văn hóa kiểm soát là giá trị văn hóa doanh nghiệp của tổ chức tín dụng phi ngân hàng thể hiện sự nhận thức thống nhất về tầm quan trọng của hoạt động kiểm soát và quản trị rủi ro của Hội đồng quản trị, Hội đồng thành viên, Ban kiểm soát, Tổng giám đốc (Giám đốc) và các cá nhân, bộ phận. Văn hóa kiểm soát được hình thành thông qua chuẩn mực đạo đức nghề nghiệp, quy định nội bộ, chế độ khen thưởng, kỷ luật nhằm khuyến khích, đảm bảo các cá nhân, bộ phận chủ động nhận diện, kiểm soát rủi ro trong hoạt động của mình và hoạt động của tổ chức tín dụng phi ngân hàng.
6. Rủi ro là khả năng xảy ra tổn thất (tổn thất tài chính, tổn thất phi tài chính) làm giảm thu nhập, vốn tự có dẫn đến làm giảm tỷ lệ an toàn vốn hoặc hạn chế khả năng đạt được mục tiêu kinh doanh của tổ chức tín dụng phi ngân hàng.
7. Trạng thái rủi ro là phần giá trị của tài sản có rủi ro, nợ phải trả có rủi ro và các khoản mục ngoại bảng có rủi ro của tổ chức tín dụng phi ngân hàng.
8. Rủi ro tín dụng bao gồm:
a) Rủi ro tín dụng là rủi ro do khách hàng không thực hiện hoặc không có khả năng thực hiện một phần hoặc toàn bộ nghĩa vụ trả nợ theo hợp đồng hoặc thỏa thuận với tổ chức tín dụng phi ngân hàng, trừ các trường hợp quy định tại điểm b Khoản này. Trong đó, khách hàng (bao gồm cả tổ chức tín dụng, chi nhánh ngân hàng nước ngoài) có quan hệ với tổ chức tín dụng phi ngân hàng trong việc nhận cấp tín dụng (bao gồm cả nhận cấp tín dụng thông qua ủy thác), nhận tiền gửi, phát hành trái phiếu doanh nghiệp;
b) Rủi ro tín dụng đối tác là rủi ro do đối tác không thực hiện hoặc không có khả năng thực hiện một phân hoặc toàn bộ nghĩa vụ thanh toán trước hoặc khi đến hạn của các giao dịch tự doanh; giao dịch repo và giao dịch reverse repo; giao dịch sản phẩm phái sinh để phòng ngừa rủi ro; giao dịch mua bán ngoại tệ, tài sản tài chính để phục vụ nhu cầu của khách hàng, đối tác. Trong đó, đối tác (bao gồm cả tổ chức tín dụng, chi nhánh ngân hàng nước ngoài) có giao dịch với tổ chức tín dụng phi ngân hàng trong các giao dịch tự doanh; giao dịch repo và giao dịch reverse repo; giao dịch sản phẩm phái sinh để phòng ngừa rủi ro; giao dịch mua bán ngoại tệ, tài sản tài chính để phục vụ nhu cầu của khách hàng, đối tác.
9. Rủi ro hoạt động là rủi ro do các quy trình nội bộ quy định không đầy đủ hoặc có sai sót, do yếu tố con người, do các lỗi, sự cố của hệ thống hoặc do các yếu tố bên ngoài làm tổn thất về tài chính, tác động tiêu cực phi tài chính đối với tổ chức tín dụng phi ngân hàng (bao gồm cả rủi ro pháp lý). Rủi ro hoạt động không bao gồm:
a) Rủi ro danh tiếng là rủi ro do khách hàng, đối tác, cổ đông, nhà đầu tư hoặc công chúng có phản ứng tiêu cực về uy tín của tổ chức tín dụng phi ngân hàng;
b) Rủi ro chiến lược là rủi ro do tổ chức tín dụng phi ngân hàng có hoặc không có chiến lược, chính sách ứng phó kịp thời trước các thay đổi môi trường kinh doanh làm giảm khả năng đạt được chiến lược kinh doanh, mục tiêu lợi nhuận của tổ chức tín dụng phi ngân hàng.
10. Xung đột lợi ích là tình huống khi một cá nhân, bộ phận đưa ra các quyết định theo thẩm quyền tạo ra lợi ích không phù hợp hoặc trái với lợi ích của tổ chức tín dụng phi ngân hàng.
11. Quyết định có rủi ro là các quyết định của cấp có thẩm quyền của tổ chức tín dụng phi ngân hàng làm phát sinh rủi ro hoặc thay đổi trạng thái rủi ro của tổ chức tín dụng phi ngân hàng.
12. Quyết định có rủi ro tín dụng là các quyết định có rủi ro trong hoạt động tín dụng, tối thiểu bao gồm: quyết định cấp tín dụng; quyết định hạn mức tín dụng; quyết định cấp tín dụng vượt hạn mức; quyết định cơ cấu lại thời hạn trả nợ; quyết định chuyển nhóm nợ.
13. Khoản cấp tín dụng có vấn đề do tổ chức tín dụng phi ngân hàng quy định đảm bảo tối thiểu là khoản cấp tín dụng được phân loại vào nhóm nợ từ nhóm 2 trở lên theo quy định của Ngân hàng Nhà nước Việt Nam (Ngân hàng Nhà nước) về phân loại tài sản có, mức trích, phương pháp trích lập dự phòng rủi ro và việc sử dụng dự phòng để xử lý rủi ro trong hoạt động của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài.
14. Hoạt động thuê ngoài là việc tổ chức tín dụng phi ngân hàng thỏa thuận bằng văn bản về việc thuê tổ chức, doanh nghiệp, tổ chức tín dụng, chi nhánh ngân hàng nước ngoài khác (gọi là doanh nghiệp thuê ngoài) để thực hiện một hoặc một số hoạt động (bao gồm xử lý dữ liệu hoặc một số công đoạn của quy trình nghiệp vụ) thay cho tổ chức tín dụng phi ngân hàng theo quy định của pháp luật.
15. Kiểm toán viên nội bộ là người thực hiện kiểm toán nội bộ thuộc bộ phận kiểm toán nội bộ của tổ chức tín dụng phi ngân hàng.
Điều 4. Yêu cầu đối với hệ thống kiểm soát nội bộ
1. Hệ thống kiểm soát nội bộ của tổ chức tín dụng phi ngân hàng phải đáp ứng các yêu cầu sau:
a) Yêu cầu về hệ thống kiểm soát nội bộ theo quy định của Luật Các tổ chức tín dụng;
b) Phù hợp với quy mô, điều kiện và mức độ phức tạp trong hoạt động kinh doanh của tổ chức tín dụng phi ngân hàng;
c) Có đủ nguồn lực về tài chính, con người, công nghệ thông tin để đảm bảo hiệu quả của hệ thống kiểm soát nội bộ;
d) Xây dựng, duy trì văn hóa kiểm soát, chuẩn mực đạo đức nghề nghiệp cho tổ chức tín dụng phi ngân hàng.
2. Tổ chức tín dụng phi ngân hàng phải có các quy định nội bộ theo quy định của Luật Các tổ chức tín dụng, trong đó phải đảm bảo:
a) Phù hợp với quy định tại Thông tư này và quy định của pháp luật có liên quan;
b) Hội đồng quản trị, Hội đồng thành viên ban hành quy định về tổ chức, quản trị và hoạt động của tổ chức tín dụng phi ngân hàng, trừ các vấn đề thuộc thẩm quyền của Đại hội đồng cổ đông, chủ sở hữu; Ban kiểm soát ban hành quy định nội bộ của Ban kiểm soát; Tổng giám đốc (Giám đốc) ban hành các quy chế, quy trình, thủ tục tác nghiệp (sau đây gọi là quy trình nội bộ);
c) Được đánh giá định kỳ theo quy định tại Thông tư này và quy định của tổ chức tín dụng phi ngân hàng về tính thích hợp, tuân thủ quy định của pháp luật và sửa đổi, bổ sung (nếu cần thiết).
3. Hệ thống kiểm soát nội bộ phải có 03 tuyến bảo vệ độc lập như sau:
a) Tuyến bảo vệ thứ nhất có chức năng nhận dạng, kiểm soát và giảm thiểu rủi ro do các bộ phận sau thực hiện: Các bộ phận kinh doanh (bao gồm cả bộ phận phát triển sản phẩm), các bộ phận có chức năng tạo ra doanh thu khác; các bộ phận có chức năng thực hiện các quyết định có rủi ro; Các bộ phận có chức năng phân bổ hạn mức rủi ro, kiểm soát rủi ro, giảm thiểu rủi ro (thuộc bộ phận kinh doanh hoặc bộ phận độc lập) đối với từng loại hình giao dịch, hoạt động kinh doanh; Bộ phận nhân sự, bộ phận kế toán;
b) Tuyến bảo vệ thứ hai có chức năng xây dựng các nội dung liên quan đến quản lý rủi ro, quy định nội bộ về quản trị rủi ro, theo dõi rủi ro và tuân thủ quy định pháp luật do các bộ phận sau đây thực hiện: Bộ phận tuân thủ quy định tại Điều 16 Thông tư này; Bộ phận quản lý rủi ro quy định tại Điều 18 Thông tư này;
c) Tuyến bảo vệ thứ ba có chức năng kiểm toán nội bộ do bộ phận kiểm toán nội bộ thực hiện theo quy định tại Luật Các tổ chức tín dụng và Thông tư này.
4. Ý kiến thảo luận và kết luận về hệ thống kiểm soát nội bộ trong cuộc họp của Hội đồng quản trị, Hội đồng thành viên, Ban kiểm soát, Ủy ban quản lý rủi ro, Ủy ban nhân sự phải được lập thành biên bản, trong đó nêu rõ ý kiến thống nhất, không thống nhất của từng thành viên.
5. Việc đánh giá độc lập đối với hệ thống kiểm soát nội bộ được thực hiện theo quy định của Ngân hàng Nhà nước về kiểm toán độc lập đối với tổ chức tín dụng, chi nhánh ngân hàng nước ngoài.
Điều 5. Lưu trữ hồ sơ, tài liệu về hệ thống kiểm soát nội bộ
1. Tổ chức tín dụng phi ngân hàng có quy định nội bộ về việc quản lý, lưu trữ các hồ sơ, tài liệu về hệ thống kiểm soát nội bộ.
2. Việc quản lý, lưu trữ hồ sơ, tài liệu về hệ thống kiểm soát nội bộ của tổ chức tín dụng phi ngân hàng đảm bảo:
a) Tuân thủ quy định của pháp luật;
b) Lưu trữ đầy đủ để cung cấp theo yêu cầu của kiểm toán nội bộ, tổ chức kiểm toán độc lập, cơ quan có thẩm quyền trong quá trình kiểm toán nội bộ, kiểm toán độc lập, kiểm tra, thanh tra, giám sát.
Điều 6. Báo cáo Ngân hàng Nhà nước về hệ thống kiểm soát nội bộ
1. Tổ chức tín dụng phi ngân hàng phải lập báo cáo về hệ thống kiểm soát nội bộ theo các phụ lục ban hành kèm theo Thông tư này, bao gồm:
a) Báo cáo hằng năm về kiểm soát nội bộ và quản lý rủi ro (Phụ lục số 01);
b) Báo cáo hằng năm về kiểm toán nội bộ (Phụ lục số 02);
c) Báo cáo đột xuất về kiểm toán nội bộ.
2. Báo cáo về hệ thống kiểm soát nội bộ phải cập nhật các tồn tại, hạn chế, rủi ro phát sinh (nếu có) trong toàn bộ tổ chức tín dụng phi ngân hàng (bao gồm các bộ phận tại trụ sở chính; chi nhánh và các đơn vị phụ thuộc khác của tổ chức tín dụng phi ngân hàng).
3. Thời hạn gửi báo cáo:
a) Báo cáo quy định tại điểm a khoản 1 Điều này: Trong thời hạn 45 ngày từ ngày kết thúc năm tài chính;
b) Báo cáo quy định tại điểm b khoản 1 Điều này: Trong thời hạn 60 ngày từ ngày kết thúc năm tài chính;
c) Báo cáo quy định tại điểm c khoản 1 Điều này: Trong thời hạn 15 ngày làm việc từ ngày kết thúc kiểm toán nội bộ đột xuất (bao gồm việc phê duyệt của Ban Kiểm soát).
4. Thời hạn chốt số liệu báo cáo là thời điểm kết thúc năm tài chính.
5. Báo cáo được lập bằng văn bản, gửi trực tiếp hoặc qua dịch vụ bưu chính tới Ngân hàng Nhà nước (Cơ quan Thanh tra, giám sát ngân hàng).
Điều 7. Báo cáo nội bộ về hệ thống kiểm soát nội bộ
1. Báo cáo nội bộ về hệ thống kiểm soát nội bộ bao gồm:
a) Báo cáo nội bộ về kiểm soát nội bộ;
b) Báo cáo nội bộ về rủi ro tín dụng;
c) Báo cáo nội bộ về rủi ro hoạt động;
d) Báo cáo nội bộ kết quả kiểm toán nội bộ.
2. Báo cáo nội bộ về kiểm soát nội bộ bao gồm đánh giá về hoạt động kiểm soát theo nội dung quy định tại Điều 14 Thông tư này và nội dung khác theo quy định nội bộ của tổ chức tín dụng phi ngân hàng.
3. Báo cáo nội bộ về rủi ro tín dụng tối thiểu bao gồm các nội dung sau đây:
a) Chất lượng tín dụng đối với các khoản cấp tín dụng, danh mục cấp tín dụng theo đối tượng khách hàng và theo sản phẩm;
b) Khoản cấp tín dụng có vấn đề, các biện pháp xử lý khoản cấp tín dụng có vấn đề;
c) Khách hàng có dư nợ tín dụng thực tế cao hơn hạn mức rủi ro tín dụng quy định tại điểm a khoản 2 Điều 20 Thông tư này;
d) Tình hình trích lập dự phòng rủi ro, sử dụng dự phòng rủi ro để xử lý rủi ro tín dụng;
đ) Cảnh báo sớm khả năng vi phạm các giới hạn, hạn mức rủi ro tín dụng;
e) Các vi phạm về quản lý rủi ro tín dụng và lý do vi phạm;
g) Các đề xuất, kiến nghị về quản lý rủi ro tín dụng;
h) Kết quả thực hiện các yêu cầu, kiến nghị về quản lý rủi ro tín dụng của kiểm toán nội bộ, Ngân hàng Nhà nước, tổ chức kiểm toán độc lập và các cơ quan chức năng khác.
4. Báo cáo nội bộ về rủi ro hoạt động tối thiểu bao gồm các nội dung sau đây:
a) Các trường hợp phát sinh rủi ro hoạt động trong kỳ báo cáo và lý do;
b) Số liệu tổn thất do rủi ro hoạt động, các biện pháp xử lý tổn thất và duy trì hoạt động liên tục (nếu có);
c) Sự kiện, tác động bên ngoài ảnh hưởng đến rủi ro hoạt động của tổ chức tín dụng phi ngân hàng;
d) Tình hình hoạt động thuê ngoài và quản lý rủi ro hoạt động đối với hoạt động thuê ngoài;
đ) Thay đổi về ứng dụng công nghệ (nếu có) và tình hình quản lý rủi ro hoạt động trong ứng dụng công nghệ;
e) Các đề xuất, kiến nghị về quản lý rủi ro hoạt động;
g) Kết quả thực hiện các yêu cầu, kiến nghị về quản lý rủi ro hoạt động của kiểm toán nội bộ, Ngân hàng Nhà nước, tổ chức kiểm toán độc lập và các cơ quan chức năng khác.
5. Báo cáo nội bộ kết quả kiểm toán nội bộ (kiểm toán nội bộ định kỳ hăng năm và kiểm toán nội bộ đột xuất) bao gồm các nội dung sau đây:
a) Tình hình thực hiện nội dung, phạm vi kiểm toán trong năm tài chính;
b) Việc tuân thủ cơ chế, chính sách, quy định nội bộ về giám sát của quản lý cấp cao, kiểm soát nội bộ, quản lý rủi ro của Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc), cá nhân, bộ phận;
c) Sự phù hợp, tuân thủ quy định của pháp luật và quy định tại Thông tư này của cơ chế, chính sách, quy định nội bộ về giám sát của quản lý cấp cao kiểm soát nội bộ, quản lý rủi ro;
d) Các tồn tại, hạn chế được phát hiện khi thực hiện kiểm toán nội bộ và các kiến nghị đối với cấp có thẩm quyền và các bộ phận liên quan;
đ) Các nội dung khác theo quy định nội bộ của Ban Kiểm soát của tổ chức tín dụng phi ngân hàng.
6. Thời hạn báo cáo:
a) Báo cáo nội bộ về kiểm soát nội bộ: Định kỳ hằng năm hoặc đột xuất theo quy định nội bộ của tổ chức tín dụng phi ngân hàng;
b) Báo cáo nội bộ về rủi ro tín dụng: Định kỳ tối thiểu hàng quý hoặc đột xuất theo quy định nội bộ của tổ chức tín dụng phi ngân hàng;
c) Báo cáo nội bộ về rủi ro hoạt động: Định kỳ tối thiểu 06 tháng hoặc đột xuất theo quy định nội bộ của tổ chức tín dụng phi ngân hàng;
d) Báo cáo nội bộ kết quả kiểm toán nội bộ: Sau khi kết thúc kiểm toán nội bộ, bộ phận kiểm toán nội bộ trình Ban kiểm soát phê duyệt báo cáo kết quả kiểm toán nội bộ để gửi Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc) theo quy định nội bộ của Ban kiểm soát của tổ chức tín dụng phi ngân hàng.
7. Cá nhân, bộ phận nhận báo cáo: Hội đồng quản trị, Hội đồng thành viên, Ban kiểm soát, Tổng giám đốc (Giám đốc) và cá nhân, bộ phận có liên quan theo quy định nội bộ của tổ chức tín dụng phi ngân hàng.