COSO ERM 2017, tên đầy đủ Enterprise Risk Management — Integrating with Strategy and Performance, là khung quản trị rủi ro doanh nghiệp do Uỷ ban COSO (Mỹ) ban hành tháng 6/2017. Khung gồm năm thành phần và 20 nguyên tắc, với thông điệp chính: rủi ro phải được cân nhắc ngay từ lúc chọn chiến lược, không chỉ khi triển khai.
Năm thành phần là: quản trị và văn hoá; chiến lược và thiết lập mục tiêu; hiệu quả hoạt động; xem xét và điều chỉnh; thông tin, truyền thông và báo cáo. Khung này thay cho bản COSO ERM 2004 (mô hình khối lập phương) và khác với COSO Kiểm soát nội bộ 2013, vốn là khung dành cho kiểm soát nội bộ chứ không phải quản trị rủi ro toàn diện.
Bài này giải thích logic của khung, đi qua 20 nguyên tắc theo từng thành phần, chỉ ra điểm mới so với 2004, so sánh với ISO 31000 và cách dùng khung trong doanh nghiệp không niêm yết tại Mỹ.
COSO là ai và vì sao có bản 2017
COSO (Committee of Sponsoring Organizations of the Treadway Commission) hình thành năm 1985 để hỗ trợ Uỷ ban Treadway nghiên cứu gian lận báo cáo tài chính. Năm tổ chức bảo trợ là AICPA, IIA, FEI, AAA và IMA, đều là các hiệp hội nghề kế toán, kiểm toán và tài chính. Sản phẩm nổi tiếng nhất là khung Kiểm soát nội bộ tích hợp (1992, cập nhật 2013), được dùng rộng rãi khi Đạo luật Sarbanes–Oxley yêu cầu công ty niêm yết Mỹ đánh giá kiểm soát nội bộ.
Năm 2004, COSO ban hành khung ERM đầu tiên dưới dạng khối lập phương ba chiều: bốn nhóm mục tiêu, tám thành phần và các cấp tổ chức. Khung này bị phê bình là quá giống kiểm soát nội bộ, nặng tính tuân thủ và khó gắn với quyết định chiến lược. Khủng hoảng 2008 làm rõ thêm điểm yếu: nhiều tổ chức có quy trình rủi ro đầy đủ trên giấy nhưng HĐQT không thấy được rủi ro trong chiến lược tăng trưởng của chính mình.
Bản 2017 trả lời bằng cách đổi trục: thay vì hỏi “kiểm soát đã đủ chưa”, khung hỏi “chiến lược đang chọn có phù hợp với khẩu vị rủi ro không, và rủi ro đang ảnh hưởng tới hiệu quả hoạt động ra sao”. Cấu trúc thành phần–nguyên tắc được giữ giống COSO 2013 để người dùng quen, nhưng nội dung chuyển hẳn sang chiến lược. Năm 2018, COSO cùng Hội đồng Phát triển bền vững Thế giới (WBCSD) ra hướng dẫn áp dụng khung cho rủi ro liên quan môi trường, xã hội và quản trị.
Năm thành phần và 20 nguyên tắc
Đọc bảng theo hàng: mỗi thành phần là một câu hỏi lớn, các nguyên tắc là những việc phải đúng để trả lời câu hỏi đó.
| Thành phần | Nguyên tắc | Câu hỏi quản trị |
|---|---|---|
| 1. Quản trị và văn hoá | (1) HĐQT giám sát rủi ro; (2) thiết lập cơ cấu vận hành; (3) xác định văn hoá mong muốn; (4) thể hiện cam kết với giá trị cốt lõi; (5) thu hút, phát triển, giữ người có năng lực | Ai chịu trách nhiệm và hành vi nào được khuyến khích? |
| 2. Chiến lược và thiết lập mục tiêu | (6) phân tích bối cảnh kinh doanh; (7) xác định khẩu vị rủi ro; (8) đánh giá các chiến lược thay thế; (9) xây dựng mục tiêu kinh doanh | Chiến lược nào phù hợp với mức rủi ro ta chịu được? |
| 3. Hiệu quả hoạt động | (10) nhận diện rủi ro; (11) đánh giá mức nghiêm trọng; (12) ưu tiên rủi ro; (13) triển khai ứng phó; (14) xây dựng góc nhìn danh mục | Rủi ro nào đe doạ mục tiêu và ta làm gì? |
| 4. Xem xét và điều chỉnh | (15) đánh giá thay đổi trọng yếu; (16) xem xét rủi ro và hiệu quả; (17) theo đuổi cải tiến ERM | Khi bối cảnh đổi, hệ thống có theo kịp không? |
| 5. Thông tin, truyền thông và báo cáo | (18) tận dụng thông tin và công nghệ; (19) truyền thông thông tin rủi ro; (20) báo cáo về rủi ro, văn hoá và hiệu quả | Người ra quyết định có đúng thông tin, đúng lúc không? |
Ba thành phần giữa (2, 3, 4) bám theo vòng đời chiến lược: chọn, thực thi, điều chỉnh. Hai thành phần đầu và cuối là nền móng: quản trị và văn hoá ở dưới, thông tin ở mọi nơi. Đồ hoạ chính thức của COSO thể hiện ý này bằng dải băng xoắn chạy từ sứ mệnh tới giá trị gia tăng.
Năm điểm mới đáng chú ý so với bản 2004
Rủi ro nằm trong lựa chọn chiến lược, không chỉ trong thực thi. Nguyên tắc 8 yêu cầu so các phương án chiến lược theo hồ sơ rủi ro của chúng. Đây là thay đổi lớn nhất: ERM tham gia từ cuộc họp chiến lược, không đợi chiến lược được duyệt rồi mới “quản lý rủi ro triển khai”.
Khái niệm hồ sơ rủi ro gắn với hiệu quả. Khung đề xuất vẽ quan hệ giữa mức hiệu quả mục tiêu và lượng rủi ro phải gánh. Mục tiêu tăng trưởng càng tham vọng thì rủi ro càng lớn; câu hỏi là điểm nào trên đường cong vượt khẩu vị.
Văn hoá được đặt lên đầu. Nguyên tắc 3 và 4 thừa nhận rằng hệ thống quy trình không cứu được tổ chức có văn hoá che giấu tin xấu hay thưởng cho việc chấp nhận rủi ro thiếu kiểm soát.
Ứng phó rủi ro có thêm lựa chọn “theo đuổi”. Bên cạnh chấp nhận, tránh, giảm, chia sẻ, bản 2017 nêu rõ lựa chọn chủ động nhận thêm rủi ro để đạt hiệu quả cao hơn khi còn dư địa trong khẩu vị.
Bỏ khối lập phương, dùng thành phần–nguyên tắc. Cách trình bày này dễ đánh giá hơn: mỗi nguyên tắc có thể được kiểm tra là đã có, có một phần hay chưa có, giống cách COSO 2013 được đánh giá.
COSO ERM 2017 và ISO 31000:2018: chọn hay kết hợp
Hai khung thường được đặt cạnh nhau. Chúng không cạnh tranh trực tiếp mà khác nhau về độ chi tiết và đối tượng chính.
| Tiêu chí | COSO ERM 2017 | ISO 31000:2018 |
|---|---|---|
| Người ban hành | Năm hiệp hội nghề kế toán, kiểm toán, tài chính Mỹ | Tổ chức Tiêu chuẩn hoá Quốc tế, đồng thuận nhiều quốc gia |
| Độ dài và mức chi tiết | Dài, có 20 nguyên tắc và ví dụ minh hoạ | Ngắn, nguyên tắc tổng quát |
| Trọng tâm | Chiến lược, hiệu quả, vai trò HĐQT, báo cáo | Quy trình quản lý rủi ro áp dụng mọi cấp |
| Đối tượng quen dùng | Công ty niêm yết, kiểm toán, nhà đầu tư | Mọi loại tổ chức, khu vực công, dự án |
| Định nghĩa rủi ro | Khả năng sự kiện ảnh hưởng chiến lược và mục tiêu | Ảnh hưởng của sự không chắc chắn lên mục tiêu |
| Chứng nhận | Không | Không |
Cách kết hợp phổ biến: dùng ISO 31000 cho quy trình vận hành ở các đơn vị (bối cảnh, nhận diện, phân tích, xử lý), và dùng các nguyên tắc COSO về quản trị, khẩu vị, chiến lược và báo cáo cho tầng HĐQT. Điều cần tránh là mỗi bộ phận theo một khung với thang đo khác nhau, khiến không ai gộp được bức tranh chung.
Phân biệt với COSO Kiểm soát nội bộ 2013
Nhầm lẫn phổ biến nhất ở Việt Nam là coi “COSO” chỉ có một. COSO Kiểm soát nội bộ 2013 có năm thành phần (môi trường kiểm soát, đánh giá rủi ro, hoạt động kiểm soát, thông tin và truyền thông, giám sát) với 17 nguyên tắc, nhằm đảm bảo hợp lý về hoạt động, báo cáo và tuân thủ. Trong khung đó, “đánh giá rủi ro” là một thành phần phục vụ thiết kế kiểm soát.
COSO ERM 2017 rộng hơn: bao gồm việc chọn chiến lược, đặt khẩu vị, cân nhắc cơ hội, và coi kiểm soát nội bộ là một phần trong cách ứng phó rủi ro. Chính COSO nói rõ hai khung bổ sung cho nhau, không thay thế nhau. Doanh nghiệp đang xây kiểm soát nội bộ theo COSO 2013 không phải bỏ đi khi áp dụng ERM, mà dùng nó làm lớp kiểm soát bên dưới.
Hệ quả thực tế: phần kiểm soát nội bộ và kiểm toán nội bộ thường do kiểm toán viên nội bộ dẫn dắt, còn phần ERM theo COSO 2017 cần ban điều hành và bộ phận chiến lược làm chủ. Giao toàn bộ ERM cho kiểm toán nội bộ là trái với nguyên tắc độc lập của chính chức năng kiểm toán.
Áp dụng COSO ERM ở doanh nghiệp Việt Nam: đánh giá khoảng cách
Không cần áp dụng cả 20 nguyên tắc một lúc. Cách làm thực tế là đánh giá khoảng cách rồi chọn ưu tiên:
- Lập bảng 20 nguyên tắc, mỗi nguyên tắc ba cột: hiện trạng, bằng chứng, mức độ (chưa có, có một phần, đã vận hành).
- Phỏng vấn thành viên HĐQT, tổng giám đốc, giám đốc tài chính, hai đến ba trưởng đơn vị kinh doanh; đối chiếu với tài liệu thật (biên bản họp, tờ trình đầu tư, báo cáo quản trị).
- Ưu tiên nhóm nguyên tắc 6–9 (bối cảnh, khẩu vị, phương án chiến lược, mục tiêu) nếu công ty đang chuẩn bị kế hoạch năm năm; ưu tiên 10–14 nếu đã có chiến lược nhưng thiếu kỷ luật quản lý rủi ro.
- Gắn nguyên tắc 8 vào quy trình chiến lược: mỗi phương án trình HĐQT kèm ba đến năm rủi ro chính và so với khẩu vị.
- Thiết kế mẫu báo cáo rủi ro quý cho HĐQT theo nguyên tắc 20, tối đa hai trang: rủi ro trọng yếu, xu hướng, vi phạm khẩu vị, hành động trễ hạn.
- Đánh giá lại khoảng cách sau 12 tháng, cập nhật lộ trình.
Doanh nghiệp gia đình hoặc công ty chưa có HĐQT độc lập có thể thay “HĐQT” bằng hội đồng thành viên hoặc chủ sở hữu; tinh thần của nguyên tắc 1 là có một cấp giám sát tách khỏi người điều hành hằng ngày.
Câu hỏi thường gặp
Có tài liệu COSO ERM tiếng Việt chính thức không?
COSO phát hành tài liệu bằng tiếng Anh và bán bản đầy đủ qua kênh của mình; bản tóm tắt điều hành được công bố công khai. Các bản dịch tiếng Việt lưu hành thường do tổ chức đào tạo hoặc cá nhân thực hiện, nên đối chiếu thuật ngữ với bản gốc khi dùng cho tài liệu chính thức.
COSO ERM có bắt buộc với công ty niêm yết Việt Nam không?
Không có quy định nêu tên COSO ERM là bắt buộc. Công ty đại chúng và tổ chức tín dụng phải đáp ứng yêu cầu về quản trị công ty, kiểm soát nội bộ và quản lý rủi ro theo văn bản chuyên ngành; COSO là một khung tham chiếu được dùng để đáp ứng. Nên kiểm quy định hiện hành của cơ quan quản lý ngành.
Nguyên tắc nào khó áp dụng nhất?
Theo kinh nghiệm chung của giới thực hành, nguyên tắc 8 về đánh giá phương án chiến lược thay thế và nguyên tắc 14 về góc nhìn danh mục là khó nhất, vì cần dữ liệu về tương quan giữa rủi ro và cần ban điều hành sẵn sàng thảo luận rủi ro của chính kế hoạch họ đề xuất.
COSO ERM có hướng dẫn lượng hoá rủi ro không?
Khung mô tả việc đánh giá mức nghiêm trọng bằng phương pháp định tính, định lượng hoặc kết hợp, nhưng không quy định công thức. Doanh nghiệp tự chọn kỹ thuật phù hợp với dữ liệu và năng lực, từ thang điểm đến mô phỏng phân phối kết quả.
Ai nên dẫn dắt việc áp dụng COSO ERM?
Ban điều hành, thường qua giám đốc tài chính hoặc giám đốc rủi ro, với HĐQT giám sát. Kiểm toán nội bộ có thể tư vấn và sau đó đánh giá độc lập, nhưng không nên làm chủ quy trình để giữ tính độc lập.
Doanh nghiệp đã theo ISO 31000 có cần chuyển sang COSO không?
Không cần chuyển. Có thể dùng bảng 20 nguyên tắc như danh mục kiểm tra bổ sung, đặc biệt ở phần quản trị, văn hoá và gắn với chiến lược, những chỗ ISO 31000 nói ngắn. Hai khung dùng song song được nếu thống nhất thang đo và thuật ngữ.