Rủi ro trong doanh nghiệp thường được chia thành bốn nhóm lớn: rủi ro chiến lược (chọn sai hướng hoặc môi trường cạnh tranh đổi), rủi ro vận hành (quy trình, con người, hệ thống, sự kiện bên ngoài làm gián đoạn), rủi ro tài chính (thị trường, tín dụng, thanh khoản) và rủi ro tuân thủ – pháp lý. Rủi ro danh tiếng thường được xem là hệ quả của các nhóm trên hơn là một nhóm độc lập.
Phân loại không phải việc hàn lâm. Nó quyết định ai chịu trách nhiệm, thang đo nào được dùng và rủi ro nào dễ bị bỏ sót. Kinh nghiệm chung của giới thực hành là doanh nghiệp quản lý tốt rủi ro tài chính và tuân thủ vì có chuyên môn và quy định rõ, nhưng thường để lọt rủi ro chiến lược, nhóm có khả năng huỷ giá trị lớn nhất.
Bài này đi qua từng nhóm với định nghĩa, cơ chế và ví dụ, bàn về các nhóm mới nổi, rồi hướng dẫn xây danh mục phân loại phù hợp với doanh nghiệp của bạn.
Rủi ro chiến lược: nhóm huỷ giá trị nhiều nhất
Rủi ro chiến lược là khả năng các lựa chọn về thị trường, sản phẩm, mô hình kinh doanh hoặc sự thay đổi của môi trường cạnh tranh khiến doanh nghiệp không đạt mục tiêu dài hạn. Nó gồm hai dạng: rủi ro trong chiến lược (chiến lược đúng nhưng thực thi kém, giả định sai) và rủi ro đối với chiến lược (môi trường thay đổi làm chiến lược mất hiệu lực, như công nghệ thay thế, khách hàng đổi hành vi, quy định mới).
Trường hợp được viết nhiều trong tài liệu quản trị là Kodak: công ty có kỹ sư tạo ra một trong những nguyên mẫu máy ảnh kỹ thuật số đầu tiên từ năm 1975, nhưng mô hình lợi nhuận dựa trên phim và giấy ảnh khiến công ty chậm chuyển dịch. Tranh luận về nguyên nhân vẫn còn: một số nhà nghiên cứu cho rằng Kodak nhìn thấy xu hướng nhưng không có mô hình kinh doanh thay thế đủ lợi nhuận, chứ không đơn giản là “không nhận ra”. Bài học cho ERM là rủi ro chiến lược hiếm khi vô hình; nó bị đánh giá thấp vì đi ngược lợi ích ngắn hạn.
Ở doanh nghiệp Việt Nam, rủi ro chiến lược hay gặp nhất là tập trung: một khách hàng, một thị trường xuất khẩu, một sản phẩm chiếm phần lớn doanh thu. Nhóm thứ hai là đa dạng hoá ngoài năng lực lõi, như doanh nghiệp sản xuất lấn sang bất động sản bằng vốn vay ngắn hạn. Rủi ro chiến lược khó đưa vào ma trận vì tác động lớn, diễn biến chậm và gắn với chính người ra quyết định, nên cần được thảo luận ở cấp HĐQT, thường bằng phân tích kịch bản.
Rủi ro vận hành: bốn nguồn theo định nghĩa Basel
Quy trình. Thiết kế quy trình thiếu, kiểm soát không đủ, lỗi nhập liệu, sai sót trong giao nhận hàng. Ví dụ giả định: kho xuất nhầm lô hàng hết hạn do quy trình nhập trước xuất trước chỉ thực hiện bằng trí nhớ.
Con người. Sai sót, gian lận nội bộ, mất nhân sự then chốt, thiếu năng lực. Nhóm này bao gồm rủi ro người quản lý duy nhất nắm quan hệ với khách hàng lớn nghỉ việc.
Hệ thống. Hỏng phần mềm, mất dữ liệu, sự cố an ninh mạng, máy móc ngừng. Rủi ro an ninh mạng ngày càng được tách thành nhóm riêng do quy mô và tính chuyên môn.
Sự kiện bên ngoài. Thiên tai, hoả hoạn, dịch bệnh, gián đoạn hạ tầng điện nước, đứt gãy chuỗi cung ứng. Doanh nghiệp ở vùng đồng bằng sông Cửu Long có rủi ro xâm nhập mặn, doanh nghiệp khu công nghiệp phía Bắc có rủi ro thiếu điện mùa nắng nóng.
Đặc điểm chung. Rủi ro vận hành chủ yếu là rủi ro thuần (chỉ có mặt thiệt hại), tần suất cao ở mức nhỏ và hiếm ở mức lớn. Công cụ chính là kiểm soát nội bộ, bảo trì, đào tạo, bảo hiểm và kế hoạch liên tục kinh doanh cho các hoạt động trọng yếu.
Rủi ro tài chính: ba nhánh và công cụ đo
Rủi ro tài chính là nhóm được lượng hoá tốt nhất, vì có giá thị trường và số liệu kế toán. Với doanh nghiệp phi tài chính, ba nhánh chính:
| Nhánh | Bản chất | Ví dụ ở doanh nghiệp Việt Nam | Thước đo thường dùng |
|---|---|---|---|
| Rủi ro thị trường | Giá biến động: tỷ giá, lãi suất, giá hàng hoá | Doanh nghiệp nhập nguyên liệu bằng đô la, bán trong nước bằng đồng; vay lãi thả nổi | Trạng thái ngoại tệ mở; độ nhạy lợi nhuận với 1% lãi suất |
| Rủi ro tín dụng | Đối tác không trả hoặc trả chậm | Đại lý phân phối nợ quá hạn; khách xuất khẩu mất khả năng thanh toán | Tuổi nợ phải thu; tỷ lệ nợ khó đòi; tập trung công nợ |
| Rủi ro thanh khoản | Không đủ tiền đúng lúc dù có tài sản | Hàng tồn kho lớn, vay ngắn hạn tài trợ dài hạn, ngân hàng thu hẹp hạn mức | Số ngày tiền mặt; tỷ lệ nợ đáo hạn 12 tháng; vòng quay vốn lưu động |
Rủi ro thanh khoản đáng được nhấn mạnh vì nó là con đường phổ biến nhất dẫn tới phá sản của doanh nghiệp đang có lãi trên sổ sách. Một ví dụ giả định: công ty xây dựng ghi nhận doanh thu theo tiến độ, lợi nhuận đẹp, nhưng chủ đầu tư chậm thanh toán sáu tháng trong khi công ty phải trả nhà thầu phụ và lãi vay hằng tháng. Lợi nhuận không trả được lương; tiền mặt mới trả được.
Rủi ro tuân thủ, pháp lý và rủi ro danh tiếng
Rủi ro tuân thủ là khả năng bị xử phạt, đình chỉ, thiệt hại tài chính hoặc danh tiếng do không tuân thủ pháp luật, quy định, tiêu chuẩn ngành hoặc cam kết hợp đồng. Rủi ro pháp lý rộng hơn một chút, bao gồm tranh chấp hợp đồng, kiện tụng, quyền sở hữu tài sản không rõ ràng. Ở Việt Nam, nhóm này có đặc thù là văn bản thay đổi thường xuyên và việc diễn giải ở địa phương có thể khác nhau, nên cần theo dõi chủ động thay vì chờ thanh tra. Doanh nghiệp xuất khẩu còn chịu quy định của nước nhập khẩu: truy xuất nguồn gốc, lao động, môi trường, chống phá rừng.
Rủi ro danh tiếng đặc biệt ở chỗ nó hiếm khi tự phát sinh. Hầu hết sự cố danh tiếng bắt đầu từ một rủi ro vận hành (sản phẩm lỗi), tuân thủ (vi phạm môi trường) hay đạo đức (ứng xử của lãnh đạo), rồi được khuếch đại bởi truyền thông. Vì vậy nhiều khung ERM coi danh tiếng là một chiều tác động trong thang đánh giá, không phải một nhóm rủi ro riêng: mỗi rủi ro được chấm thêm “nếu xảy ra, danh tiếng bị ảnh hưởng tới đâu”.
Phần xử lý khủng hoảng truyền thông khi sự cố danh tiếng đã nổ ra là một chuyên môn riêng. Ở góc ERM, việc chính là ngăn nguồn gốc: rà soát những điểm mà vi phạm hay sự cố nhỏ có thể trở thành câu chuyện công khai.
Các nhóm rủi ro mới nổi đáng đưa vào danh mục
Danh mục bốn nhóm truyền thống đang được mở rộng. Những nhóm sau đây được các khung tham chiếu và báo cáo rủi ro toàn cầu nhắc ngày càng nhiều:
- Rủi ro khí hậu: chia thành rủi ro vật lý (ngập lụt, nắng nóng, hạn mặn) và rủi ro chuyển đổi (quy định phát thải, thuế carbon biên giới, khách hàng yêu cầu báo cáo phát thải). Khung TCFD (2017) phổ biến cách chia này.
- Rủi ro an ninh mạng và dữ liệu: vừa là rủi ro vận hành vừa là rủi ro tuân thủ khi có quy định bảo vệ dữ liệu cá nhân.
- Rủi ro bên thứ ba: nhà cung cấp, đối tác thuê ngoài, đại lý có thể gây sự cố gắn tên doanh nghiệp.
- Rủi ro địa chính trị và thương mại: thuế quan, biện pháp phòng vệ thương mại, quy tắc xuất xứ thay đổi.
- Rủi ro công nghệ và mô hình kinh doanh: tự động hoá và trí tuệ nhân tạo thay đổi cấu trúc chi phí ngành.
- Rủi ro con người dài hạn: thiếu hụt kỹ năng, già hoá lao động ở một số ngành, kế nhiệm ở doanh nghiệp gia đình.
Không phải doanh nghiệp nào cũng cần mọi nhóm. Câu hỏi sàng lọc: nhóm này có thể ảnh hưởng mục tiêu ba năm tới của ta ở mức nghiêm trọng không? Nếu có, nó xứng đáng có tên riêng trong danh mục để không bị lẫn vào nhóm khác.
Xây danh mục phân loại cho doanh nghiệp của bạn
Danh mục phân loại (risk taxonomy) là bộ khung chung để mọi đơn vị ghi rủi ro vào cùng ngăn kéo. Cách xây:
- Bắt đầu từ bốn nhóm lớn, thêm một hoặc hai nhóm đặc thù ngành (ví dụ an toàn thực phẩm cho doanh nghiệp chế biến, an toàn công trình cho doanh nghiệp xây dựng).
- Chia mỗi nhóm thành ba đến sáu nhóm con; giữ tổng số nhóm con dưới khoảng ba mươi để người dùng nhớ được.
- Viết định nghĩa một câu và ví dụ cho từng nhóm con, nêu rõ ranh giới với nhóm gần nó.
- Gán một chủ sở hữu chuyên môn cho mỗi nhóm lớn (giám đốc tài chính cho tài chính, pháp chế cho tuân thủ) để có người kiểm tra chất lượng.
- Quy định: mỗi rủi ro có một nhóm chính, có thể gắn thêm nhóm phụ; danh tiếng ghi là chiều tác động.
- Thử phân loại sổ rủi ro hiện có; chỗ nào nhiều rủi ro không biết xếp đâu là chỗ danh mục cần sửa.
- Rà soát mỗi năm; thêm nhóm mới khi xuất hiện rủi ro chưa có chỗ.
Danh mục tốt làm cho báo cáo tổng hợp có nghĩa: HĐQT có thể thấy, ví dụ, bảy trong mười lăm rủi ro trọng yếu thuộc nhóm vận hành và chỉ một thuộc nhóm chiến lược. Sự lệch đó thường không phản ánh thực tế mà phản ánh việc rủi ro chiến lược chưa được nói tới.
Câu hỏi thường gặp
Rủi ro hệ thống và phi hệ thống có áp dụng cho doanh nghiệp không?
Hai khái niệm này chủ yếu dùng trong đầu tư, để phân biệt rủi ro chung của thị trường với rủi ro riêng của từng công ty. Ở góc quản trị doanh nghiệp, hữu ích hơn là phân biệt rủi ro doanh nghiệp tác động được (vận hành, tuân thủ) với rủi ro chỉ ứng phó được (vĩ mô, thiên tai).
Rủi ro thuần và rủi ro suy đoán khác nhau thế nào?
Rủi ro thuần chỉ có khả năng thiệt hại hoặc không, như hoả hoạn. Rủi ro suy đoán có cả khả năng lãi và lỗ, như mở thị trường mới hay biến động tỷ giá. Bảo hiểm thường chỉ che rủi ro thuần; rủi ro suy đoán phải xử lý bằng quyết định kinh doanh và công cụ tài chính.
Một rủi ro thuộc nhiều nhóm thì xếp vào đâu?
Chọn nhóm theo nguyên nhân gốc hoặc theo người có năng lực xử lý tốt nhất, rồi gắn nhóm phụ. Ví dụ rò rỉ dữ liệu khách hàng có thể xếp chính vào vận hành công nghệ, phụ vào tuân thủ. Quan trọng là quy tắc thống nhất trong toàn công ty.
Rủi ro ESG có phải một nhóm riêng không?
Có hai cách làm. Một số doanh nghiệp tạo nhóm ESG riêng để thuận tiện báo cáo bền vững. Cách khác, được COSO và WBCSD hướng dẫn năm 2018, là lồng rủi ro môi trường, xã hội, quản trị vào các nhóm sẵn có. Cách thứ hai tránh tạo một hệ song song.
Doanh nghiệp nhỏ có cần danh mục phân loại chi tiết không?
Không cần chi tiết. Bốn nhóm lớn kèm một danh sách vài chục rủi ro cụ thể là đủ. Danh mục chi tiết có giá trị khi có nhiều đơn vị cùng ghi rủi ro và cần tổng hợp so sánh.
Nhóm rủi ro nào thường bị bỏ sót nhất?
Theo kinh nghiệm chung, rủi ro chiến lược và rủi ro gắn với chính ban lãnh đạo như kế nhiệm, phụ thuộc vào một người, quyết định đầu tư thiếu kiểm soát. Lý do là người lập sổ ngại ghi rủi ro do cấp trên tạo ra. Phỏng vấn ẩn danh hoặc hội thảo có người điều phối độc lập giúp giảm bỏ sót.