Quản trị rủi ro doanh nghiệp (Enterprise Risk Management, ERM) là cách tổ chức nhận diện, đánh giá, xử lý và theo dõi toàn bộ rủi ro ảnh hưởng tới mục tiêu của mình như một danh mục thống nhất, gắn trực tiếp với chiến lược và việc phân bổ nguồn lực, thay vì để mỗi phòng ban tự lo phần rủi ro của mình.
Khác biệt cốt lõi so với quản lý rủi ro truyền thống nằm ở ba điểm: ERM nhìn rủi ro từ đỉnh (hội đồng quản trị, ban điều hành) chứ không chỉ từ từng nghiệp vụ; nó quan tâm tới tương tác giữa các rủi ro; và nó coi rủi ro là thứ phải chọn để theo đuổi lợi nhuận, không chỉ là thứ phải tránh. Hai khung tham chiếu phổ biến nhất là ISO 31000 và COSO ERM.
Bài này đi qua định nghĩa chính xác, lịch sử ý tưởng, cơ chế tạo giá trị, bằng chứng thực nghiệm còn tranh luận, những lời phê bình đáng nghe và một lộ trình khởi động thực tế cho doanh nghiệp Việt Nam quy mô vừa.
Rủi ro là gì khi nhìn từ góc doanh nghiệp
ISO 31000 định nghĩa rủi ro là ảnh hưởng của sự không chắc chắn lên mục tiêu. Định nghĩa ngắn này chứa hai hệ quả mà nhiều doanh nghiệp bỏ qua. Thứ nhất, rủi ro luôn gắn với một mục tiêu cụ thể: không có mục tiêu rõ thì không thể nói rủi ro nào lớn hay nhỏ. Một công ty đặt mục tiêu tăng trưởng doanh thu xuất khẩu sẽ có bộ rủi ro khác hẳn công ty đặt mục tiêu giữ biên lợi nhuận ổn định, dù cùng ngành. Thứ hai, ảnh hưởng có thể tích cực hoặc tiêu cực, nghĩa là cơ hội cũng nằm trong phạm vi quản trị.
COSO (bản 2017) diễn đạt theo hướng chiến lược hơn: rủi ro là khả năng các sự kiện xảy ra và ảnh hưởng tới việc đạt chiến lược và mục tiêu kinh doanh. Hai định nghĩa không mâu thuẫn, chỉ khác điểm nhấn. Điều quan trọng là cả hai đều rời xa cách hiểu hẹp “rủi ro = tổn thất có thể bảo hiểm”, vốn thống trị tư duy doanh nghiệp tới tận thập niên 1990.
Trong thực hành, cần phân biệt rủi ro với vấn đề (issue) và với sự bất định thuần tuý. Vấn đề là thứ đã xảy ra, cần xử lý ngay, không còn là rủi ro. Bất định thuần tuý theo nghĩa của Frank Knight (1921, Risk, Uncertainty and Profit) là tình huống không thể gán xác suất có cơ sở. Phần lớn rủi ro doanh nghiệp nằm ở giữa: có dữ liệu một phần, phải kết hợp số liệu với phán đoán chuyên môn. ERM tồn tại chính vì vùng giữa đó cần một quy trình có kỷ luật thay vì cảm tính của từng người.
Quản lý rủi ro truyền thống và ERM khác nhau ở đâu
Cách dễ nhất để thấy giá trị của ERM là đặt nó cạnh cách làm cũ mà phần lớn doanh nghiệp vẫn đang áp dụng, dù không gọi tên.
| Tiêu chí | Quản lý rủi ro truyền thống | ERM |
|---|---|---|
| Phạm vi | Rủi ro có thể bảo hiểm, an toàn, tài chính | Mọi rủi ro ảnh hưởng mục tiêu, kể cả chiến lược và danh tiếng |
| Người chịu trách nhiệm | Từng phòng: tài chính lo tỷ giá, kỹ thuật lo an toàn | Ban điều hành sở hữu, HĐQT giám sát, từng phòng thực thi |
| Đơn vị phân tích | Từng rủi ro riêng lẻ | Danh mục rủi ro và tương quan giữa chúng |
| Thái độ | Phòng thủ, giảm thiểu | Chọn mức rủi ro đáng chấp nhận để theo đuổi lợi nhuận |
| Nhịp | Sau sự cố, theo năm | Gắn vào lập kế hoạch, ngân sách, quyết định đầu tư |
| Đầu ra | Hợp đồng bảo hiểm, quy trình an toàn | Khẩu vị rủi ro, sổ rủi ro, chỉ số cảnh báo, báo cáo cho HĐQT |
Cột bên phải không có nghĩa là bỏ cột bên trái. Bảo hiểm, quy trình an toàn hay phòng ngừa tỷ giá vẫn là công cụ xử lý rủi ro. Khác biệt là chúng được chọn sau khi đã nhìn cả danh mục và so với khẩu vị chung, chứ không phải mua theo thói quen. Một ví dụ giả định: công ty dệt may mua bảo hiểm cháy nổ đầy đủ nhưng 60% doanh thu đến từ một khách hàng duy nhất. Nhìn theo silo, mọi thứ ổn. Nhìn theo danh mục, rủi ro tập trung khách hàng mới là rủi ro lớn nhất và không hợp đồng bảo hiểm nào che được.
Lịch sử ý tưởng: ERM hình thành thế nào
ERM không do một người phát minh mà kết tinh từ nhiều dòng thực hành. Những mốc chính, theo thứ tự thời gian:
- 1921: Frank Knight tách rủi ro đo được khỏi bất định không đo được, đặt nền cho việc nghĩ về rủi ro như đối tượng quản trị.
- 1952: Harry Markowitz công bố lý thuyết danh mục, cho thấy rủi ro của tổng thể phụ thuộc vào tương quan giữa các thành phần. Đây chính là trực giác “danh mục” mà ERM mượn sang.
- Thập niên 1990: các ngân hàng phát triển giá trị chịu rủi ro (VaR); chức danh giám đốc rủi ro (CRO) xuất hiện, James Lam thường được nhắc là một trong những người đầu tiên giữ chức này tại GE Capital.
- 1995: Úc và New Zealand ban hành tiêu chuẩn AS/NZS 4360, tiền thân trực tiếp của ISO 31000.
- 1999–2002: Báo cáo Turnbull ở Anh và Đạo luật Sarbanes–Oxley ở Mỹ đặt trách nhiệm kiểm soát rủi ro lên HĐQT công ty niêm yết.
- 2004: COSO ban hành khung ERM tích hợp (mô hình khối lập phương tám thành phần).
- 2009: ISO 31000 ra đời, sửa đổi năm 2018 thành bản gọn hơn.
- 2017: COSO viết lại khung thành Integrating with Strategy and Performance, chuyển trọng tâm từ kiểm soát sang chiến lược.
Khủng hoảng tài chính 2008 là bước ngoặt: nhiều ngân hàng có bộ phận rủi ro đồ sộ vẫn sụp đổ, buộc giới thực hành thừa nhận rằng mô hình định lượng không thay được văn hoá và quản trị. Bản COSO 2017 phản ánh bài học đó.
ERM tạo giá trị qua cơ chế nào
Giảm xác suất tổn thất cực đoan. Giá trị lớn nhất của ERM không nằm ở việc giảm những tổn thất nhỏ thường ngày mà ở việc tránh các sự kiện đe doạ sự tồn tại: mất khách hàng chủ lực, vỡ dòng tiền, sự cố làm đóng cửa nhà máy. Những sự kiện này hiếm nên dễ bị bỏ quên trong kế hoạch năm, và đó là lỗ hổng một quy trình có hệ thống lấp được.
Phân bổ vốn và sự chú ý tốt hơn. Khi mọi rủi ro được đặt trên cùng một thang đo, ban điều hành thấy được nơi đang dồn quá nhiều nguồn lực cho rủi ro nhỏ và bỏ trống rủi ro lớn. Đây là lý do ERM nên gắn với ngân sách chứ không chạy song song.
Ra quyết định chiến lược tốt hơn. Một dự án mở thị trường mới được đánh giá không chỉ bằng lợi nhuận kỳ vọng mà bằng việc nó thay đổi danh mục rủi ro chung ra sao. Hai dự án có cùng lợi nhuận kỳ vọng có thể có hồ sơ rủi ro rất khác nhau.
Bằng chứng thực nghiệm: dương nhưng chưa kết luận. Hoyt và Liebenberg (2011, Journal of Risk and Insurance) tìm thấy liên hệ dương giữa việc áp dụng ERM và giá trị doanh nghiệp đo bằng Tobin's Q ở nhóm công ty bảo hiểm Mỹ. Tuy vậy các nghiên cứu khác cho kết quả lẫn lộn, và vấn đề nhân quả chưa được giải quyết: công ty quản trị tốt có thể vừa dễ áp dụng ERM vừa có giá trị cao. Nên đọc bằng chứng này như gợi ý, không phải chứng minh.
Một hệ ERM gồm những phần nào
Dù theo ISO 31000 hay COSO, một hệ ERM vận hành được luôn có năm phần nối thành vòng lặp. Thiếu phần nào, cả hệ thành thủ tục giấy tờ.
- Quản trị và văn hoá: HĐQT giám sát, ban điều hành sở hữu, có người điều phối (CRO hoặc kiêm nhiệm), trách nhiệm ghi rõ trong mô tả công việc.
- Khẩu vị rủi ro: tuyên bố doanh nghiệp sẵn sàng chấp nhận loại rủi ro nào, ở mức nào, chuyển thành hạn mức đo được.
- Nhận diện và đánh giá: quy trình định kỳ và theo sự kiện, dùng thang đo thống nhất về khả năng và tác động, ghi vào sổ đăng ký rủi ro.
- Xử lý: mỗi rủi ro trọng yếu có chủ sở hữu, phương án (tránh, giảm, chuyển giao, chấp nhận) và kế hoạch hành động có hạn.
- Giám sát và báo cáo: chỉ số rủi ro chính, báo cáo định kỳ cho HĐQT, rà soát sau sự cố để cập nhật toàn bộ vòng.
Điểm hay bị đánh giá thấp là bước 1. Kinh nghiệm chung của giới thực hành cho thấy ERM thất bại nhiều nhất không vì thiếu công cụ mà vì không ai trong ban điều hành thật sự coi nó là việc của mình.
Những lời phê bình đáng nghe
Michael Power (London School of Economics) trong The Risk Management of Everything (2004) và Organized Uncertainty (2007) cảnh báo rằng quản trị rủi ro dễ biến thành “quản trị rủi ro cho chính người quản lý”: mục tiêu thật trở thành chứng minh mình đã tuân thủ quy trình để khỏi bị đổ lỗi, thay vì hiểu và xử lý rủi ro. Sổ rủi ro dày hàng trăm dòng nhưng không dòng nào thay đổi một quyết định là triệu chứng điển hình.
Douglas Hubbard trong The Failure of Risk Management (2009) tấn công từ phía phương pháp: phần lớn hệ ERM dựa vào thang điểm định tính và ma trận màu, thứ ông cho là tạo cảm giác chính xác giả. Ông chủ trương lượng hoá bằng xác suất có hiệu chỉnh và mô phỏng. Phê bình này đúng ở nhiều điểm, nhưng chi phí lượng hoá đầy đủ thường vượt sức doanh nghiệp vừa và nhỏ.
Nassim Taleb (The Black Swan, 2007) nhắc rằng những sự kiện tác động lớn nhất thường nằm ngoài danh sách đã lập. Hệ quả thực tế không phải là bỏ ERM mà là bổ sung phần khả năng chống chịu: dự trữ thanh khoản, đa dạng nguồn cung, quy trình ra quyết định nhanh khi có điều bất ngờ, bất kể sự kiện cụ thể là gì.
Lộ trình khởi động 90 ngày cho doanh nghiệp vừa
Doanh nghiệp vài trăm nhân sự không cần phòng rủi ro riêng để bắt đầu. Lộ trình gọn dưới đây đủ để có một hệ tối thiểu có ích:
- Tuần 1–2: tổng giám đốc chỉ định người điều phối (thường là giám đốc tài chính), HĐQT thông qua mục đích và phạm vi bằng một trang.
- Tuần 3–4: phỏng vấn 10–15 người chủ chốt, mỗi người nêu ba điều có thể khiến mục tiêu năm của họ thất bại.
- Tuần 5–6: hội thảo nửa ngày với ban điều hành, gom trùng, chấm theo thang thống nhất, chọn 10–15 rủi ro trọng yếu.
- Tuần 7–8: giao chủ sở hữu cho từng rủi ro, viết phương án xử lý và hạn, chọn 1–2 chỉ số cảnh báo cho mỗi rủi ro.
- Tuần 9–10: soạn dự thảo khẩu vị rủi ro cho 4–5 nhóm chính, trình HĐQT.
- Tuần 11–12: đưa mục “rủi ro trọng yếu” vào họp giao ban tháng; lần rà soát đầu tiên sau quý.
Đích đến của 90 ngày không phải bộ hồ sơ đẹp mà là thói quen: mỗi quyết định lớn đều có câu hỏi “rủi ro chính là gì và ai giữ nó”.
Câu hỏi thường gặp
ERM có bắt buộc với doanh nghiệp Việt Nam không?
Không có quy định chung buộc mọi doanh nghiệp áp dụng ERM. Ngân hàng, công ty bảo hiểm, chứng khoán và một số doanh nghiệp nhà nước có yêu cầu riêng về hệ thống quản lý rủi ro và kiểm soát nội bộ theo quy định chuyên ngành. Công ty đại chúng chịu yêu cầu về quản trị công ty. Doanh nghiệp nên kiểm văn bản hiện hành áp dụng cho ngành mình.
ERM khác kiểm soát nội bộ thế nào?
Kiểm soát nội bộ tập trung vào việc đảm bảo hoạt động, báo cáo và tuân thủ diễn ra đúng như thiết kế. ERM rộng hơn: bao gồm cả việc chọn chiến lược, đặt khẩu vị rủi ro và cân nhắc cơ hội. Kiểm soát nội bộ là một công cụ xử lý rủi ro nằm bên trong ERM, không phải tên gọi khác của nó.
Doanh nghiệp nhỏ có cần giám đốc rủi ro không?
Thường là không. Với doanh nghiệp vài chục đến vài trăm người, vai trò điều phối có thể giao cho giám đốc tài chính hoặc trợ lý tổng giám đốc, dành khoảng một phần năm thời gian. Điều cần là người đó có quyền mời mọi trưởng bộ phận vào cuộc và báo cáo trực tiếp lên tổng giám đốc.
Nên chọn ISO 31000 hay COSO ERM?
ISO 31000 ngắn, nguyên tắc, áp dụng cho mọi loại tổ chức, hợp với doanh nghiệp muốn khung gọn. COSO ERM chi tiết hơn về quản trị, chiến lược và báo cáo cho HĐQT, quen thuộc với kiểm toán và nhà đầu tư Mỹ. Nhiều doanh nghiệp dùng ISO 31000 làm quy trình và mượn cấu trúc quản trị của COSO.
Làm sao đo được ERM có hiệu quả hay không?
Không nên đo bằng số rủi ro trong sổ. Dấu hiệu tốt hơn: số quyết định lớn có phân tích rủi ro trước khi duyệt, tỷ lệ rủi ro trọng yếu có hành động đúng hạn, số sự cố lớn đã nằm trong danh sách trước đó, và việc HĐQT dành thời gian thảo luận rủi ro trong các phiên họp.
ERM có giúp tránh được khủng hoảng như đại dịch không?
ERM không giúp dự báo chính xác sự kiện, nhưng giúp chuẩn bị năng lực ứng phó: dự trữ tiền mặt, nguồn cung thay thế, kịch bản giảm doanh thu đột ngột. Các doanh nghiệp đã từng phân tích kịch bản gián đoạn lớn thường ra quyết định nhanh hơn khi sự kiện thật xảy ra, dù kịch bản cụ thể khác.