OAGF #08 – Từ đánh giá đến hành động: Ngân hàng triển khai AI Governance như thế nào?

1. Khi ngân hàng có AI nhưng chưa có cách quản trị thống nhất

Trong kịch bản nghiên cứu, Odin Lab Bank (OLB) là ngân hàng giả lập đang thử nghiệm ba ứng dụng: OLB-CS-01 hỗ trợ nhân viên chăm sóc khách hàng tra cứu tài liệu; OLB-IT-02 hỗ trợ phân tích cảnh báo CNTT nhưng không được thực thi lệnh trên môi trường sản xuất; và OLB-RISK-03 hỗ trợ tổng hợp tài liệu rủi ro có bước xác minh của con người.

Các ứng dụng mang lại cơ hội nâng cao năng suất. Nhưng khi nhìn ở cấp ngân hàng, những câu hỏi khó bắt đầu xuất hiện: Ai sở hữu từng ứng dụng? Rủi ro đã được đánh giá chưa? Ai có quyền cho phép triển khai hoặc tạm dừng? Khi cần kiểm toán, bằng chứng nằm ở đâu?

OLB quyết định không giải quyết mọi khoảng trống cùng lúc. Ngân hàng bắt đầu từ một trường hợp sử dụng cụ thể, thiết kế kiểm soát có thể kiểm thử rồi mới xem xét mở rộng.

2. Bắt đầu từ Knowledge Assistant

OLB chọn OLB-CS-01 – Knowledge Assistant để thí điểm. Công cụ giúp nhân viên tìm kiếm thông tin từ tài liệu nội bộ đã được phê duyệt; không tự thực hiện giao dịch hay sửa dữ liệu khách hàng. Nhân viên vẫn chịu trách nhiệm xác minh thông tin trước khi sử dụng.

Bốn rủi ro ưu tiên gồm: câu trả lời sai hoặc dựa trên tài liệu hết hiệu lực; truy cập vượt quyền; lộ lọt dữ liệu nhạy cảm; và người dùng quá tin vào AI. Với mỗi rủi ro, OLB xác định kiểm soát – chủ sở hữu – bằng chứng – người ra quyết định. Nhờ vậy, AI Governance trở thành yêu cầu vận hành cụ thể thay vì chỉ là tuyên bố chính sách.

3. Lộ trình 12 tháng: Tiến từng bước, không chạy theo điểm trưởng thành

Tháng 1–3: Thiết lập nền tảng

OLB xác định quyền quyết định và trách nhiệm; lập danh mục AI use case trong phạm vi thí điểm; thống nhất phương pháp đánh giá rủi ro; xây dựng Risk & Control Matrix và danh mục bằng chứng cần thu thập. Đích đến của 90 ngày đầu là nền tảng quản trị được phê duyệt, không phải một hệ thống kiểm soát đã chứng minh hiệu quả.

Tháng 4–6: Triển khai và kiểm thử kiểm soát

OLB kiểm tra quản lý phiên bản tài liệu, phân quyền truy cập, chất lượng câu trả lời và giới hạn dữ liệu nhạy cảm. Có thiết kế kiểm soát không đồng nghĩa kiểm soát hoạt động tốt. Vì vậy, nhóm triển khai phải lưu kết quả kiểm thử, ghi nhận sai lệch, khắc phục và kiểm thử lại trước khi đề nghị mở rộng.

Tháng 7–12: Vận hành và mở rộng có điều kiện

OLB theo dõi tỷ lệ use case có chủ sở hữu, đánh giá rủi ro còn hiệu lực, kiểm soát trọng yếu có bằng chứng hợp lệ, chất lượng câu trả lời và các sai lệch chưa xử lý. Chỉ tiêu cụ thể được đặt sau khi có dữ liệu nền. Nếu kết quả đáp ứng điều kiện chấp nhận, OLB mới cân nhắc mở rộng OLB-CS-01 hoặc áp dụng phương pháp cho các use case khác.

Mở rộng AI là quyết định dựa trên bằng chứng, không phải mốc tự động khi đủ 12 tháng.

4. Một câu trả lời sai và bài kiểm tra thực sự của AI Governance

Trong một tình huống giả định, nhân viên phát hiện OLB-CS-01 đưa ra hướng dẫn dựa trên tài liệu sản phẩm đã hết hiệu lực. Hệ thống vẫn hoạt động bình thường về mặt kỹ thuật, nhưng câu trả lời có thể tạo rủi ro nghiệp vụ.

1. Phát hiện: Ghi nhận câu trả lời, thời điểm và nguồn tham chiếu.
2. Giới hạn ảnh hưởng: Tạm hạn chế nguồn tài liệu liên quan.
3. Đánh giá: Chủ sở hữu nội dung, nghiệp vụ và công nghệ xác minh hiệu lực, nguyên nhân và phạm vi ảnh hưởng.
4. Khắc phục: Cập nhật nguồn, sửa quy tắc quản lý phiên bản và nguyên nhân gốc.
5. Kiểm chứng: Thử lại câu hỏi gây lỗi cùng các tình huống tương tự.
6. Quyết định: Cấp được phân quyền quyết định tiếp tục, giới hạn hoặc tạm dừng sử dụng dựa trên rủi ro còn lại.

Giá trị của quy trình không chỉ nằm ở việc sửa một câu trả lời. OLB còn biết hệ thống phát hiện sai lệch nhanh đến đâu, các đơn vị phối hợp thế nào và kiểm soát có để lại bằng chứng đáng tin cậy hay không.

5. Ai chịu trách nhiệm và thế nào là thành công?

Đơn vị nghiệp vụ sở hữu mục tiêu và việc sử dụng AI; nhóm công nghệ vận hành hệ thống và kiểm soát kỹ thuật; chủ sở hữu dữ liệu chịu trách nhiệm về chất lượng và điều kiện sử dụng nguồn. Các chức năng rủi ro, an ninh, tuân thủ giám sát và phản biện; kiểm toán nội bộ thực hiện đảm bảo độc lập theo thẩm quyền. Quyết định chấp nhận rủi ro còn lại thuộc cấp được phân quyền.

Sau 12 tháng, OLB không chỉ đếm số chính sách hay cuộc họp. Thành công được nhìn qua ba góc độ: năng lực quản trị có chủ sở hữu và phương pháp nhất quán; hiệu quả kiểm soát được thử nghiệm và có bằng chứng; giá trị nghiệp vụ được cải thiện trong giới hạn rủi ro chấp nhận được.

6. Quản trị AI là năng lực cần duy trì

Trường hợp OLB gợi ra ba nguyên tắc: bắt đầu nhỏ nhưng thiết kế để mở rộng; tích hợp kiểm soát và bằng chứng vào vận hành thay vì chờ đến kỳ kiểm toán; và chỉ mở rộng khi năng lực, rủi ro và kết quả kiểm thử cho phép.

Đánh giá trưởng thành cho biết tổ chức đang ở đâu. Chính những quyết định sau đánh giá mới tạo nên thay đổi. 90 ngày để thiết lập nền tảng; sáu tháng để kiểm chứng kiểm soát; 12 tháng để hình thành năng lực vận hành và mở rộng có điều kiện.

Odin Lab — Turn Risk into Value.