AI và sự dịch chuyển trong tư duy quản trị rủi ro ngân hàng

AI làm thay đổi thứ tự ưu tiên trong quản trị rủi ro

Các ngân hàng đang thay đổi cách tiếp cận đối với AI, thay vì ưu tiên mở rộng quy mô ứng dụng, điều kiện tiên quyết là phải hoàn thiện cơ chế quản trị trước khi triển khai trên diện rộng. Hiện chưa ghi nhận trường hợp AI tự sinh ra hành vi tấn công hay đe dọa, mà vấn đề nằm ở việc con người dùng AI để gian lận, hoặc dựa vào kết quả AI đưa ra mà không hiểu bản chất và giới hạn của mô hình. Chính vì vậy, các khung cơ chế quản trị (Governance) AI mà ngân hàng xây dựng đều nhắm tới việc quản lý mối tương tác giữa con người với AI, chứ không chỉ kiểm soát riêng hệ thống AI.

Chia sẻ về nguyên tắc quản trị, ông Nguyễn Hồng Quân, chuyên gia cao cấp TPBank, kiêm Chủ tịch HĐQT Công ty Chứng khoán TPS, khuyến nghị, không nên triển khai AI, nếu chưa có cơ chế quản trị rõ ràng và minh bạch. "Dù TPBank được xem là một trong những ngân hàng tiên phong ứng dụng AI, ban lãnh đạo vẫn giữ quan điểm không mở rộng quy mô (scale up) khi mà chưa có cơ chế quản trị - nếu có làm thì cũng chỉ dừng ở mức thử nghiệm", ông Nguyễn Hồng Quân chia sẻ.

Cách tiếp cận này đảo ngược lối tư duy công nghệ quen thuộc, thử nghiệm thành công xong là triển khai ngay, thành một quy trình bắt buộc: Mọi mô hình AI phải chạy trong môi trường thử nghiệm (sandbox) để kiểm định hiệu năng, bị đặt hạn mức hoạt động và bị rà soát bất thường trước khi được đưa vào vận hành thật. Ứng dụng nào không vượt qua bài kiểm tra sandbox thì không được đưa vào thực tế, bất kể mức độ hấp dẫn về mặt kinh doanh.

Tại Vietcombank, cùng một nguyên tắc “con người vẫn là chủ thể quyết định cuối cùng” thể hiện rõ trong quy trình phê duyệt tín dụng. TS. Nguyễn Thịnh, Phó Giám đốc Trung tâm Quản trị và ứng dụng - Khối dữ liệu Vietcombank cho biết, AI được dùng để phân tích dữ liệu để đề xuất/khuyến nghị nhưng “con người vẫn là bên quyết định cuối cùng”.

Như vậy, có thể thấy, điểm chung của các ngân hàng là: AI không còn được coi là một dự án công nghệ riêng lẻ, mà đang trở thành một cấu phần trong khung quản trị rủi ro tổng thể, kéo theo việc các nguyên tắc quản trị truyền thống như kiểm định độc lập, phân quyền phê duyệt, khả năng truy vết hay trách nhiệm giải trình đang được mở rộng sang cho các mô hình AI.

AI trong tín dụng, chống gian lận và an toàn thông tin

Khi nguyên tắc “cơ chế quản trị trước, mở rộng sau” được áp vào từng nghiệp vụ cụ thể, mỗi ngân hàng lại chọn một điểm vào khác nhau tùy theo bài toán của mình nhưng đều giữ chung một triết lý: AI hỗ trợ, con người quyết định.

Tại Vietcombank, AI được xếp vào 3 nhóm ứng dụng (use case), trong đó nhóm phục vụ quản trị rủi ro tập trung vào phát hiện gian lận (fraud detection) và phòng chống rửa tiền (AML). Song song đó là nhóm phục vụ quản trị dữ liệu - một bài toán mà theo TS. Nguyễn Thịnh là “bắt buộc phải dùng AI”, bởi với quy mô hàng trăm hệ thống, hàng nghìn bảng biểu và hàng chục nghìn trường dữ liệu của một ngân hàng lớn, việc đối soát thủ công bằng con người sẽ mất cả thập kỷ cũng không xong.

Ở mảng an toàn thông tin, MB cho thấy một cách vận hành cụ thể hơn của cùng nguyên tắc đó là AI được phân vai rõ ràng cho từng đội ngũ, nhưng luôn giữ con người ở vị trí quyết định cuối cùng. Ông Bùi Gia Hiếu, Giám đốc an ninh mạng chia sẻ, MB triển khai mô hình vận hành khép kín giữa các nguồn thông tin an ninh mạng, Red Team, Blue Team và phòng thủ đa lớp trên hành trình giao dịch số.

Với Blue Team (Phòng thủ), AI tự động hóa việc lọc, liên kết dữ liệu cảnh báo và gợi ý hướng điều tra, giúp năng lực xử lý thông tin đe dọa tăng vọt từ 3.000 lên 10.000 tin/ngày và nâng tốc độ nghiệp vụ thêm 60%. Còn với Red Team (Tấn công thử nghiệm), AI hỗ trợ tổng hợp bề mặt tấn công và tăng tốc kiểm thử, trong khi việc tìm ra các lỗ hổng chưa từng có tiền lệ vẫn phụ thuộc vào chuyên gia. Bốn khối vận hành - thu thập thông tin đe dọa, mô phỏng tấn công, tạo quy tắc phát hiện và thiết lập lớp chặn - tạo thành một vòng lặp phản hồi liên tục, đã bảo vệ khoảng 103.000 khách hàng và ngăn ngừa hơn 1.000 tỷ đồng giá trị rủi ro. Dù vậy, MB duy trì ranh giới phân quyền rất chặt: AI chỉ đóng vai trò thu thập, sàng lọc, tổng hợp và mô phỏng, còn mọi quyết định can thiệp thực tế — khóa tài khoản, chặn giao dịch, công bố cảnh báo - đều bắt buộc do con người phê duyệt và có khả năng khôi phục.

Hiệu quả của cách tiếp cận này cũng được thể hiện rõ qua con số tại Techcombank. Bà Nguyễn Thu Hạnh, Giám đốc quản trị dữ liệu Techcombank cho biết, các giải pháp phòng, chống gian lận “đã giúp giữ lại hơn 100 tỷ đồng cho khách hàng, phát hiện hơn 2.000 lượt cảnh báo bất thường theo thời gian thực”. Ở mặt kinh doanh, AI trong siêu cá nhân hóa giúp tăng 20% tỷ lệ chuyển đổi, còn việc bổ sung dữ liệu dưới sự đồng ý của khách hàng góp phần tăng 20% số khách hàng được phê duyệt tín dụng.

Những kết quả trên cho thấy, AI có thể tạo ra giá trị rõ rệt khi được đặt trong một khung quản trị chặt chẽ nhưng để duy trì và nhân rộng được các kết quả đó, các ngân hàng cũng đang phải đối mặt với những nút thắt nằm ngoài công nghệ.

AI đang làm thay đổi không chỉ công nghệ, mà cả triết lý quản trị của hệ thống ngân hàng. Nếu trước đây trọng tâm quản trị rủi ro là kiểm soát quy trình và tuân thủ quy định, thì trong kỷ nguyên AI, trọng tâm đã chuyển sang quản trị dữ liệu, quản trị mô hình và trách nhiệm giải trình đối với các quyết định do AI hỗ trợ. Đây sẽ là nền tảng để các ngân hàng tiến tới mô hình “ngân hàng thuần AI” (AI-native Banking), đồng thời cũng đặt ra yêu cầu hoàn thiện khung pháp lý, tiêu chuẩn kỹ thuật và cơ chế giám sát nhằm bảo đảm AI được phát triển theo hướng an toàn, minh bạch và lấy con người làm trung tâm.

Phạm Hiếu