Quản trị rủi ro là gì? Các loại rủi ro doanh nghiệp thường gặp

Một đơn hàng có thể giao trễ vì nhà cung cấp thiếu nguyên liệu. Nếu đợi đến ngày giao mới tìm cách xoay xở, doanh nghiệp dễ phải trả thêm chi phí hoặc lỡ cam kết với khách. Quản trị rủi ro giúp nhận ra những khả năng như vậy sớm hơn, chọn cách ứng phó phù hợp và theo dõi hiệu quả sau khi thực hiện. Hãy cùng Sansan Academy tìm hiểu khái niệm này qua quy trình và những tình huống thường gặp trong công việc.

Quản trị rủi ro là gì?

Quản trị rủi ro, hay risk management, là các hoạt động phối hợp để định hướng và kiểm soát doanh nghiệp trước những tác động của sự không chắc chắn lên mục tiêu. Người phụ trách nhận diện rủi ro, phân tích khả năng và hậu quả, chọn cách xử lý rồi theo dõi kết quả.

Rủi ro không chỉ là xác suất xảy ra sự cố, mà gắn với ảnh hưởng lên điều doanh nghiệp muốn đạt được. Bài Risk? What risk? của ISO/TC 210 giải thích cách hiểu theo ISO Guide 73: tác động có thể khác với dự kiến theo hướng tích cực hoặc bất lợi.

Trong công việc, quản lý rủi ro và quản trị rủi ro thường được dùng gần nghĩa. Việc này bao gồm cả quyết định chấp nhận một rủi ro sau khi cân nhắc chi phí ứng phó, chứ không chỉ tìm cách phòng ngừa. Kiểm soát nội bộ hỗ trợ quá trình ấy bằng những biện pháp cụ thể, như kiểm tra chứng từ trước khi duyệt thanh toán để giảm khả năng chi sai.

Tầm quan trọng của quản trị rủi ro trong doanh nghiệp

Khi điều kiện kinh doanh thay đổi, một kế hoạch từng hợp lý có thể không còn phù hợp. Quản trị rủi ro giúp người quản lý nhận ra điều cần xem lại, dành nguồn lực cho đúng vấn đề và chuẩn bị phương án trước khi hoạt động bị gián đoạn.

Ra quyết định sát với mục tiêu kinh doanh

Doanh thu dự kiến chưa đủ để quyết định mở thị trường mới. Ban quản lý còn phải xem nguy cơ hàng tồn, tỷ giá và khả năng thực hiện của đội vận hành. Nếu doanh thu phụ thuộc vào nhu cầu chưa được kiểm tra, kế hoạch đầu tư cần tính cả khả năng giả định ấy không đúng.

Quản trị rủi ro theo COSO, trong tài liệu Enterprise Risk Management—Integrating with Strategy and Performance, gắn việc xem xét rủi ro với xây dựng chiến lược và kết quả thực hiện. Đánh giá ngay khi lựa chọn giúp người ra quyết định cân nhắc lại quy mô đầu tư hoặc đặt mốc xem lại kế hoạch, thay vì đợi đến lúc đã bỏ nguồn lực.

Dồn nguồn lực vào rủi ro đáng ưu tiên

Một lỗi giao hàng có thể ảnh hưởng đến cam kết với khách nhiều hơn một khoản chi văn phòng phát sinh. Trong phần How can I use ISO 31000, and can I become certified? của tài liệu giới thiệu ISO 31000:2018 — Risk management — Guidelines, ISO nêu rõ việc áp dụng ISO 31000 có thể hỗ trợ tổ chức phân bổ nguồn lực cho việc xử lý rủi ro. Người quản lý vì thế cần xem mức tác động, khả năng xảy ra và yêu cầu bắt buộc, không chỉ chọn sự cố xuất hiện thường xuyên nhất.

Chuẩn bị phương án khi hoạt động bị gián đoạn

Nếu hệ thống nhận đơn ngừng hoạt động, đội vận hành cần biết cách tiếp nhận đơn tạm thời và thời điểm phải chuyển sang phương án dự phòng. Chuẩn bị từ trước giúp họ không phải vừa xử lý sự cố vừa tìm người có quyền quyết định.

Tiêu chuẩn ISO 22301:2019 đưa ra yêu cầu đối với Business Continuity Management System, thường viết tắt là BCMS. Hệ thống này tổ chức việc chuẩn bị, ứng phó và phục hồi sau gián đoạn, đồng thời theo dõi để cải tiến cách thực hiện. Với từng hoạt động quan trọng, doanh nghiệp xác định mức dịch vụ cần duy trì, thời gian gián đoạn có thể chịu được và người có quyền kích hoạt phương án. Kế hoạch còn cần được kiểm tra khả năng thực hiện trong điều kiện thực tế.

Cân nhắc cơ hội cùng với mặt trái của lựa chọn

Thử một kênh bán mới có thể mở rộng thị trường, nhưng cũng khiến doanh nghiệp bỏ lỡ lựa chọn khác hoặc nhận kết quả ngoài dự tính. Bài Business risks của Cơ quan thông tin doanh nghiệp của Chính phủ Australia, ở phần What are business risks?, lưu ý rằng quản lý rủi ro cũng cần xét cơ hội có tác động tích cực. Thay vì bác bỏ mọi quyết định có bất định, người quản lý có thể giới hạn ngân sách thử nghiệm và thống nhất dấu hiệu cần dừng hoặc mở rộng.

Các nguyên tắc quản trị rủi ro

Rủi ro cần được xem xét ngay trong các quyết định kinh doanh, với sự tham gia của những người hiểu công việc liên quan. Khi bắt đầu áp dụng, doanh nghiệp nên làm rõ mục tiêu, trách nhiệm và cách rà soát để việc đánh giá không tách rời hoạt động hằng ngày.

Gắn rủi ro với mục tiêu và mức chấp nhận rủi ro

Nếu mục tiêu là giao hàng đúng hạn, tác động của rủi ro có thể được xem qua số ngày trễ, đơn hàng bị ảnh hưởng hoặc chi phí phát sinh. Ban lãnh đạo cần xác định loại và mức rủi ro doanh nghiệp sẵn sàng chấp nhận, rồi đặt ngưỡng hành động hoặc báo cáo cho từng hoạt động.

Các giới hạn không nhất thiết giống nhau. Trễ một tác vụ nội bộ có thể xử lý bằng đổi lịch, trong khi nguy cơ vi phạm nghĩa vụ pháp lý hoặc an toàn lao động đòi hỏi đánh giá nghiêm ngặt hơn. Một ngưỡng điểm chung cho mọi rủi ro dễ bỏ sót sự khác biệt này.

Phân công người chịu trách nhiệm cho từng rủi ro

Risk owner là người có trách nhiệm và thẩm quyền quản lý một rủi ro. Với nguy cơ nguyên liệu về trễ, quản lý thu mua có thể giữ vai trò này, phối hợp cùng vận hành và tài chính để theo dõi dấu hiệu, đề xuất nguồn thay thế và báo cáo khi vượt ngưỡng. Việc phân công phải kèm quyền xử lý hoặc cách trình phương án lên người có quyền quyết định. Chỉ ghi tên một người trong sổ theo dõi chưa giải quyết được tình huống hàng chậm về.

Rà soát rủi ro khi bối cảnh kinh doanh thay đổi

Một rủi ro được chấp nhận tháng trước có thể cần ưu tiên lại khi sản lượng tăng hoặc nhà cung cấp ngừng hoạt động. Ngoài lịch kiểm tra định kỳ, doanh nghiệp nên đánh giá lại sau những thay đổi đáng kể về đơn hàng, nhân sự, thị trường hay yêu cầu tuân thủ.

Lần rà soát cần làm rõ biện pháp cũ còn tác dụng đến đâu và ai tiếp tục chịu trách nhiệm. Nếu xuất hiện nguy cơ mới hoặc mức tác động đã khác, người quản lý phải điều chỉnh phương án và nguồn lực tương ứng.

Doanh nghiệp thường đối mặt với những loại rủi ro nào?

Phân loại rủi ro giúp chọn người xử lý và cách đánh giá phù hợp, nhưng các nhóm không tách biệt hoàn toàn. Thiếu nguyên liệu vừa có thể làm gián đoạn sản xuất, vừa phát sinh chi phí và ảnh hưởng đến cam kết với khách hàng.

Rủi ro chiến lược và thị trường

Nhu cầu thấp hơn dự tính hoặc đối thủ đổi cách định giá có thể làm mất cơ sở của một quyết định mở rộng. Kế hoạch khi đó không đạt doanh thu dù đội vận hành vẫn làm đúng quy trình. Người quản lý cần xem lại giả định thị trường, quy mô đầu tư và mốc đánh giá kế hoạch. Cách xử lý rủi ro chiến lược này khác với việc sửa một lỗi thực hiện của nhân viên.

Rủi ro tài chính

Dòng tiền về chậm, khoản phải thu khó thu hồi hoặc giá đầu vào tăng đều có thể khiến doanh nghiệp không đạt mục tiêu tài chính. Để đánh giá mức ảnh hưởng, bộ phận tài chính cần đặt các khoản thu chi lên cùng một lịch, kiểm tra ngày đến hạn và xác định khoản chi có thể điều chỉnh khi tiền về muộn.

Doanh nghiệp có giao dịch ngoại tệ còn phải xét tỷ giá, bên cạnh những rủi ro thường gặp khi bán hàng nội địa. Cách ứng phó phụ thuộc hợp đồng, thời điểm thanh toán và khả năng chịu tổn thất của doanh nghiệp, không thể suy từ một phương án dùng chung cho mọi khoản thu chi.

Khóa học CEO

Phát triển năng lực nhìn toàn doanh nghiệp, lựa chọn ưu tiên và xây cơ chế thực thi cho vai trò CEO.

Xem khóa học

Rủi ro vận hành, con người và chuỗi cung ứng

Hoạt động có thể gián đoạn vì quy trình, hệ thống, nhân sự hoặc đối tác không đáp ứng yêu cầu. Những điểm cần kiểm tra thường nằm ngay trong cách công việc được thực hiện:

• Ca làm thiếu người thay thế, khiến nhiệm vụ quan trọng không có người đảm nhận.
• Máy ngừng đột xuất hoặc nguyên liệu không đạt chuẩn, làm chậm kế hoạch sản xuất.
• Một loại vật tư chỉ có một nguồn cung, trong khi tìm nguồn thay thế mất nhiều thời gian.

Với dự án hoặc đơn hàng cụ thể, hãy xác định khâu nào có thể khiến các khâu khác phải chờ. Đánh giá sự phụ thuộc ấy giúp người quản lý chọn biện pháp sát với điểm nghẽn, thay vì dùng lại nguyên danh sách sự cố cũ.

Rủi ro tuân thủ và pháp lý

Rủi ro tuân thủ xuất hiện khi hoạt động có khả năng không đáp ứng yêu cầu pháp luật, hợp đồng hoặc quy định nội bộ đang áp dụng. Bỏ sót điều khoản giao nhận khi duyệt hợp đồng, chẳng hạn, có thể khiến bộ phận thực hiện hiểu sai nghĩa vụ đã cam kết.

Doanh nghiệp cần xác định yêu cầu áp dụng cho từng hoạt động và giao người kiểm tra trước khi ký hoặc triển khai. Với nghĩa vụ pháp lý cụ thể, người phụ trách phải đối chiếu văn bản hiện hành và tham vấn người có chuyên môn khi cần.

Quy trình quản trị rủi ro trong doanh nghiệp

Quy trình quản trị rủi ro bắt đầu bằng mục tiêu cần bảo vệ, rồi mới chuyển sang nhận diện, phân tích, đánh giá, xử lý và theo dõi. Người phụ trách cũng cần trao đổi với các bộ phận liên quan trong suốt quá trình. Khi dữ liệu hoặc hoàn cảnh đổi khác, các đánh giá và phương án phải được xem lại.

Xác định mục tiêu, bối cảnh và tiêu chí đánh giá

Trước hết, ghi rõ mục tiêu đang xét, thời hạn và người có quyền quyết định. Chẳng hạn, một dự án cần giao 500 sản phẩm trước ngày hẹn, còn quản lý thu mua chịu trách nhiệm chuẩn bị nguyên liệu.

Để các bộ phận đánh giá trên cùng một cơ sở, kế hoạch quản lý rủi ro cần thống nhất:

• Phạm vi công việc và những điều kiện phụ thuộc vào khách hàng, nhà cung cấp hoặc bộ phận khác.
• Cách đánh giá khả năng xảy ra và tác động đến chi phí, tiến độ, chất lượng.
• Mức có thể chấp nhận và ngưỡng phải xử lý hoặc báo cáo lên cấp cao hơn.

Nhận diện rủi ro có thể ảnh hưởng đến mục tiêu

Từ mục tiêu đã chọn, người phụ trách cùng các bộ phận liên quan tìm những tình huống có thể ảnh hưởng đến kết quả. Với dự án giao hàng trên, lịch sử giao nhận, lượng tồn kho, năng lực nhà cung cấp và thời gian phê duyệt mua hàng đều giúp xác định điều cần đề phòng.

Một mô tả rủi ro nên nối được ba thông tin:

• Nguyên nhân: nhà cung cấp thiếu nguyên liệu.
• Sự kiện: lô nguyên liệu được giao muộn.
• Hậu quả: dây chuyền phải chờ, đơn hàng có nguy cơ trễ hạn.

Cách ghi này cụ thể hơn một nhãn chung như rủi ro về đối tác. Khi nguyên nhân và mục tiêu bị ảnh hưởng đã rõ, người quản lý có cơ sở chọn biện pháp ở bước tiếp theo.

Phân tích khả năng xảy ra và mức độ tác động

Phân tích rủi ro làm rõ tình huống có khả năng xảy ra đến đâu và sẽ ảnh hưởng thế nào đến mục tiêu. Hai khía cạnh này cần được đánh giá riêng. Một sự kiện xảy ra thường xuyên nhưng ít thiệt hại khác với sự kiện hiếm gặp có hậu quả nghiêm trọng.

Doanh nghiệp có thể dùng mức thấp, trung bình, cao với tiêu chí mô tả rõ, hoặc dùng phép đo chi tiết hơn khi dữ liệu và giả định đủ tin cậy. Mức độ phân tích cũng phải phù hợp quyết định. Dự án ảnh hưởng lớn đến an toàn hoặc nghĩa vụ hợp đồng cần được thẩm định kỹ hơn một tác vụ nhỏ.

Đánh giá và ưu tiên rủi ro cần xử lý

Ở bước đánh giá rủi ro, người quản lý đối chiếu kết quả phân tích với tiêu chí đã thống nhất để quyết định có cần xử lý thêm hay không. Cần tính đến cả hiệu lực của biện pháp đang áp dụng. Tình huống hiếm nhưng có hậu quả không chấp nhận được vẫn có thể phải ưu tiên.

Khi hai rủi ro cùng điểm, hãy xét thời điểm có thể xảy ra, mức sẵn sàng của phương án và sự phụ thuộc giữa các bộ phận. Kết quả cần dẫn đến quyết định cụ thể về việc phải làm và nguồn lực sẽ dành cho việc đó.

Chọn biện pháp né tránh, giảm thiểu, chuyển giao hoặc chấp nhận

Với rủi ro bất lợi, doanh nghiệp có thể chọn một hoặc kết hợp nhiều cách ứng phó:

• Né tránh: dừng hoặc không tham gia hoạt động tạo ra rủi ro.
• Giảm thiểu: tác động vào nguyên nhân, khả năng xảy ra hoặc hậu quả. Thêm nguồn cung dự phòng có thể giảm phụ thuộc vào một nhà cung cấp.
• Chuyển giao: chia sẻ một phần tổn thất qua hợp đồng hoặc bảo hiểm, trong phạm vi điều khoản đã thỏa thuận.
• Chấp nhận: quyết định giữ rủi ro sau khi đã đánh giá và xác định cách theo dõi.

Chuyển giao không khiến doanh nghiệp hết trách nhiệm với khách hàng hay tránh được mọi tổn thất. Với phương án đã chọn, cần ghi chi phí, người thực hiện và cách kiểm tra hiệu quả. Phần rủi ro còn lại sau các biện pháp, hay residual risk, vẫn phải được xem xét.

Theo dõi kết quả, báo cáo và điều chỉnh phương án

Tỷ lệ giao muộn hoặc số ngày thu hồi công nợ có thể là dấu hiệu cần theo dõi sau khi áp dụng biện pháp. Khi chỉ số chạm ngưỡng, người phụ trách kiểm tra nguyên nhân, thực hiện hành động đã thống nhất và cập nhật người ra quyết định. Nếu sự kiện đã xảy ra, phải xử lý sự cố thực tế, không chỉ đổi điểm trên sổ theo dõi.

Báo cáo nên làm rõ biện pháp đã thực hiện, mức rủi ro còn lại và quyết định cần đưa ra tiếp theo. Nếu phương án không còn tác dụng hoặc xuất hiện nguy cơ khác, doanh nghiệp điều chỉnh kế hoạch quản trị rủi ro theo kết quả theo dõi.

Công cụ nào giúp đánh giá và theo dõi rủi ro?

Ma trận rủi ro hỗ trợ nhìn mức ưu tiên, còn risk register là sổ lưu thông tin về từng rủi ro để theo dõi người phụ trách và hành động. Một bảng tính đơn giản cũng có thể đáp ứng nhu cầu ban đầu nếu dữ liệu được cập nhật và dùng trong các quyết định thực tế.

Ma trận khả năng xảy ra và mức độ tác động

Ma trận đặt khả năng xảy ra và mức tác động trên hai chiều đánh giá. Chẳng hạn, doanh nghiệp có thể quy ước mỗi chiều từ 1 đến 3 rồi nhân hai điểm để hỗ trợ xếp thứ tự. Trong cùng bộ tiêu chí, điểm 3 × 3 = 9 thường cần được xem xét trước điểm 1 × 1 = 1. Đây là minh họa cách chấm điểm, không phải thang bắt buộc.

Phép nhân các mức đánh giá không dự báo chính xác tổn thất. Người quản lý vẫn phải xem bản chất hậu quả và nghĩa vụ liên quan, nhất là với rủi ro hiếm gặp nhưng có tác động không chấp nhận được.

Sổ đăng ký rủi ro, người phụ trách và dấu hiệu cảnh báo

Risk register lưu thông tin để người quản lý theo dõi từng rủi ro, không chỉ liệt kê tên sự cố. Một bản ghi nên có:

• Tình huống, nguyên nhân và mục tiêu bị ảnh hưởng.
• Mức đánh giá cùng người chịu trách nhiệm.
• Biện pháp, dấu hiệu cảnh báo và thời điểm xem lại.

Ví dụ, nhà cung cấp chưa xác nhận lịch giao trước hạn cần đặt hàng thay thế là tín hiệu để quản lý thu mua kiểm tra nguồn dự phòng. Khi sự cố đã xảy ra, bản ghi cần bổ sung việc xử lý và mức rủi ro còn lại để lần đánh giá sau sử dụng được thông tin mới.

Ví dụ giả định

Trong các tình huống giả định sau, mục tiêu và sự phụ thuộc giữa các bên quyết định cách ứng phó. Các ví dụ minh họa việc chuẩn bị trước và hành động khi có dấu hiệu cảnh báo, không phải kết quả triển khai của doanh nghiệp có thật.

Nhà cung cấp giao nguyên liệu chậm

Giả sử xưởng cần nguyên liệu vào thứ Hai để hoàn thành đơn hàng ngày thứ Sáu. Quản lý thu mua kiểm tra lượng tồn còn dùng được và thời gian bổ sung hàng từ nguồn thay thế trước khi chốt lịch sản xuất.

Đến mốc xác nhận vận chuyển mà nhà cung cấp chưa phản hồi, người phụ trách kiểm tra nguồn dự phòng và báo bộ phận sản xuất xem lại thứ tự công việc. Nếu phải mua gấp, họ trình chi phí phát sinh cùng ảnh hưởng đến ngày giao để người có quyền quyết định lựa chọn phương án. Chi phí ứng phó cần được cân nhắc với giá trị đơn hàng và cam kết với khách, không phải cứ có nguy cơ giao muộn là mua thay bằng mọi giá.

Khách hàng thanh toán muộn

Doanh nghiệp dự kiến dùng khoản phải thu cuối tháng để trả nhà cung cấp đầu tháng sau. Trong tình huống giả định này, nhân viên tài chính kiểm tra ngày đến hạn, lịch sử thanh toán và khả năng thiếu tiền nếu khoản thu về muộn. Khi công nợ vượt mốc cảnh báo, người được giao liên hệ khách hàng xác nhận thời điểm trả và trình phương án điều chỉnh khoản chi chưa cấp bách. Lịch thu chi cần cập nhật theo thông tin đã kiểm tra, thay vì dựa vào một ngày thanh toán chưa được khách hàng xác nhận.

Nhân sự chủ chốt nghỉ giữa dự án

Một dự án giả định có toàn bộ tài liệu bàn giao nằm ở một người. Để giảm phụ thuộc, quản lý dự án phân công người có thể thay thế, lưu thông tin tại nơi nhóm được truy cập theo quyền phù hợp và kiểm tra khả năng tiếp nhận công việc trước khi phát sinh việc vắng mặt.

Nếu người phụ trách nghỉ đột xuất, nhóm xác định các đầu việc chưa bàn giao rồi điều chỉnh lịch theo năng lực thực tế. Phương án dự phòng cần giữ được tiến độ khả thi, đồng thời báo sớm những cam kết phải thương lượng lại.

Mọi người cũng hỏi về quản trị rủi ro

Quản trị rủi ro có thể là công việc chuyên trách hoặc một phần trách nhiệm quản lý hằng ngày. Hiểu phạm vi này giúp bạn tìm đúng vị trí nghề nghiệp và biết doanh nghiệp cần tổ chức những việc gì để quản lý rủi ro.

Quản trị rủi ro lương bao nhiêu?

Thu nhập của người làm quản trị rủi ro phụ thuộc ngành, chức danh, kinh nghiệm, địa điểm và phạm vi trách nhiệm. Vì vậy, mức lương của chuyên viên trong ngân hàng không đại diện cho mọi công việc quản trị rủi ro tại Việt Nam.

Để có con số phù hợp khi ứng tuyển, bạn nên so sánh tin tuyển dụng còn hiệu lực cho cùng chức danh và địa điểm. Kiểm tra thêm mức được công bố là gross hay net, gồm những khoản nào và yêu cầu công việc tương ứng.

Quản trị rủi ro gồm những gì?

Quản trị rủi ro gồm xác định mục tiêu và tiêu chí, nhận diện, phân tích, đánh giá rủi ro, chọn cách xử lý rồi theo dõi, báo cáo. Các bộ phận cần trao đổi thông tin trong suốt quá trình này. Tùy quy mô, doanh nghiệp có thể dùng sổ theo dõi đơn giản hoặc quy trình chi tiết, nhưng mỗi rủi ro quan trọng vẫn cần người chịu trách nhiệm và hành động tiếp theo rõ ràng.

Mục tiêu của quản trị rủi ro là gì?

Mục tiêu là giúp doanh nghiệp ra quyết định có cân nhắc sự không chắc chắn, bảo vệ và tạo giá trị trong giới hạn rủi ro có thể chấp nhận. Điều đó không đồng nghĩa phải loại bỏ mọi rủi ro, bởi nhiều cơ hội kinh doanh đi cùng khả năng kết quả khác dự tính.

Để xem cách quản trị đang có tác dụng hay không, người quản lý cần trả lời:

• Rủi ro ưu tiên đã có phương án và người thực hiện chưa?
• Biện pháp đang áp dụng có giảm được khả năng xảy ra hoặc hậu quả không?
• Kết quả theo dõi có dẫn đến điều chỉnh khi cần không?

Kết luận

Bắt đầu quản trị rủi ro từ một mục tiêu cụ thể sẽ dễ hơn lập ngay một danh sách quá dài. Hãy chọn quyết định hoặc quy trình đang có nhiều bất định, ghi vài tình huống đáng chú ý, giao người theo dõi và đặt thời điểm xem lại. Khi cách làm này tạo ra quyết định rõ ràng hơn, doanh nghiệp mới mở rộng sang các hoạt động khác.