ISO 31000 là tiêu chuẩn quốc tế đưa ra hướng dẫn quản lý rủi ro cho mọi loại tổ chức, không phân biệt quy mô hay ngành. Bản hiện hành là ISO 31000:2018, gồm ba khối: nguyên tắc (vì sao và như thế nào thì quản lý rủi ro có hiệu lực), khung (cách gắn quản lý rủi ro vào bộ máy) và quy trình (các bước nhận diện, phân tích, đánh giá, xử lý, theo dõi).
Điểm cần biết ngay: ISO 31000 không phải tiêu chuẩn để chứng nhận. Không có “chứng chỉ ISO 31000” cho doanh nghiệp như ISO 9001 hay ISO 27001; nơi nào quảng cáo cấp chứng nhận cho tổ chức theo ISO 31000 là hiểu sai bản chất tiêu chuẩn. Giá trị của nó nằm ở việc cung cấp một ngôn ngữ chung và một trình tự đã được hàng chục quốc gia thống nhất.
Dưới đây là cách đọc từng khối, những thay đổi chính so với bản 2009, các tài liệu đi kèm và cách áp dụng để tiêu chuẩn thành công cụ ra quyết định thay vì thêm một bộ hồ sơ.
Nguồn gốc và vị trí của ISO 31000
Tiền thân trực tiếp của ISO 31000 là tiêu chuẩn Úc–New Zealand AS/NZS 4360, ban hành năm 1995 và sửa đổi các năm 1999, 2004. Khi Tổ chức Tiêu chuẩn hoá Quốc tế quyết định xây một chuẩn chung về quản lý rủi ro, phần lớn cấu trúc của AS/NZS 4360 được giữ lại. Bản ISO 31000 đầu tiên ra đời năm 2009, kèm bộ thuật ngữ ISO Guide 73:2009.
Bản 2018 được viết lại theo hướng ngắn gọn hơn đáng kể, nhấn mạnh vai trò lãnh đạo và việc tích hợp quản lý rủi ro vào mọi hoạt động, thay vì coi nó là một chức năng riêng. Mục đích của quản lý rủi ro được phát biểu rõ: tạo lập và bảo vệ giá trị.
Trong họ tiêu chuẩn này cần phân biệt ba tài liệu. ISO 31000 là hướng dẫn tổng quát. IEC 31010 (bản hiện hành 2019) mô tả hàng chục kỹ thuật đánh giá rủi ro cụ thể, từ phỏng vấn có cấu trúc tới phân tích cây sự cố, mô phỏng Monte Carlo. ISO Guide 73 cho định nghĩa thuật ngữ. Ngoài ra, các tiêu chuẩn hệ thống quản lý như ISO 9001, ISO 14001, ISO 27001 đều có yêu cầu “tư duy dựa trên rủi ro” và thường dẫn chiếu về cách tiếp cận của ISO 31000. Tại Việt Nam, tiêu chuẩn này đã được chấp nhận thành tiêu chuẩn quốc gia; nên tra cổng của cơ quan tiêu chuẩn để biết số hiệu và phiên bản hiện hành.
Tám nguyên tắc: đọc như tiêu chí kiểm tra
Tích hợp. Quản lý rủi ro là một phần của mọi hoạt động, không phải việc riêng của một phòng. Câu hỏi kiểm tra: kế hoạch năm và hồ sơ trình duyệt đầu tư có mục rủi ro không?
Có cấu trúc và toàn diện. Cách làm nhất quán giúp kết quả so sánh được giữa các đơn vị. Kiểm tra: các chi nhánh có dùng chung thang đo khả năng, tác động không?
Tuỳ biến. Khung và quy trình phải khớp với bối cảnh và mục tiêu của chính tổ chức. Sao chép nguyên mẫu của tập đoàn nước ngoài là vi phạm nguyên tắc này.
Có sự tham gia. Các bên liên quan được tham gia đúng lúc để kiến thức và quan điểm của họ được tính đến. Kiểm tra: rủi ro vận hành có được hỏi người làm trực tiếp không?
Linh hoạt, cập nhật. Rủi ro xuất hiện, thay đổi, biến mất theo bối cảnh. Sổ rủi ro không cập nhật sau một biến động lớn là dấu hiệu vi phạm.
Dựa trên thông tin tốt nhất hiện có. Dữ liệu lịch sử, kinh nghiệm, ý kiến chuyên gia và dự báo đều dùng được, nhưng phải nêu rõ giới hạn và độ bất định của chúng.
Tính tới yếu tố con người và văn hoá. Hành vi, thiên kiến và văn hoá ảnh hưởng tới mọi bước. Một tổ chức trừng phạt người báo tin xấu sẽ có sổ rủi ro đẹp và thông tin sai.
Cải tiến liên tục. Học từ sự cố, từ suýt sự cố và từ kinh nghiệm để điều chỉnh. Kiểm tra: có rà soát sau sự cố và kết quả có quay lại sổ rủi ro không?
Khung: sáu thành phần quanh vai trò lãnh đạo
Khung trả lời câu hỏi “bộ máy phải có gì để quy trình quản lý rủi ro chạy được”. ISO 31000:2018 đặt lãnh đạo và cam kết ở trung tâm, năm thành phần còn lại xoay quanh như một chu trình.
| Thành phần | Nội dung chính | Bằng chứng thực tế nên có |
|---|---|---|
| Lãnh đạo và cam kết | Ban lãnh đạo chịu trách nhiệm, cấp nguồn lực, đặt chính sách | Chính sách rủi ro được HĐQT hoặc tổng giám đốc ký; người điều phối có quyền hạn rõ |
| Tích hợp | Gắn quản lý rủi ro vào cơ cấu, quy trình, quyết định | Mẫu tờ trình đầu tư có mục rủi ro; KPI quản lý có chỉ tiêu xử lý rủi ro |
| Thiết kế | Hiểu bối cảnh, phân vai trò, cấp nguồn lực, thiết lập kênh trao đổi | Ma trận trách nhiệm; thang đo thống nhất; lịch rà soát |
| Triển khai | Đưa khung vào vận hành theo kế hoạch | Đào tạo người sở hữu rủi ro; sổ rủi ro được dùng trong họp |
| Đánh giá | Đo hiệu lực của khung so với mục đích | Rà soát định kỳ; kiểm toán nội bộ đánh giá quy trình rủi ro |
| Cải tiến | Điều chỉnh khung theo kết quả đánh giá và thay đổi bối cảnh | Biên bản thay đổi thang đo, quy trình sau mỗi kỳ rà soát |
Điểm thay đổi rõ nhất so với bản 2009 là thành phần “tích hợp” được tách riêng. Thông điệp của ban soạn thảo rất thẳng: quản lý rủi ro thất bại khi nó là một hệ song song với cách công ty thật sự ra quyết định.
Quy trình sáu bước, kèm việc cụ thể ở mỗi bước
Quy trình là phần doanh nghiệp đụng tới hằng ngày. Hai hoạt động bao trùm (trao đổi–tham vấn và theo dõi–xem xét) chạy suốt, bốn bước giữa đi theo trình tự:
- Trao đổi và tham vấn: xác định ai cần được hỏi, ai cần được báo, ở bước nào. Không có bước này, rủi ro chỉ phản ánh góc nhìn của người viết sổ.
- Phạm vi, bối cảnh và tiêu chí: nêu mục tiêu đang xét, bối cảnh bên ngoài (thị trường, pháp lý, công nghệ) và bên trong (năng lực, văn hoá), và đặt tiêu chí rủi ro: thang khả năng, thang tác động, ngưỡng chấp nhận. Đây là bước hay bị bỏ qua nhất và cũng là bước quyết định chất lượng mọi bước sau.
- Nhận diện rủi ro: tìm, ghi nhận và mô tả rủi ro, gồm nguồn rủi ro, sự kiện, nguyên nhân và hậu quả tiềm tàng.
- Phân tích rủi ro: hiểu bản chất rủi ro, ước lượng khả năng và hậu quả, xem xét hiệu lực của biện pháp kiểm soát hiện có. Có thể định tính, bán định lượng hoặc định lượng.
- Đánh giá (định mức) rủi ro: so kết quả phân tích với tiêu chí đã đặt để quyết định rủi ro nào cần xử lý, ưu tiên ra sao.
- Xử lý rủi ro: chọn phương án, lập kế hoạch, triển khai, rồi đánh giá rủi ro còn lại có chấp nhận được không.
- Theo dõi, xem xét; ghi chép và báo cáo: kiểm tra định kỳ, cập nhật khi bối cảnh thay đổi, báo cáo cho cấp ra quyết định.
Ba bước nhận diện, phân tích, định mức gộp lại gọi là đánh giá rủi ro (risk assessment). Khi đọc tài liệu tiếng Việt cần chú ý chữ “đánh giá” có thể chỉ toàn bộ cụm ba bước hoặc chỉ bước cuối, tuỳ người dịch.
Hiểu lầm phổ biến về ISO 31000
Vì tiêu chuẩn viết ở mức nguyên tắc, nó thường bị diễn giải theo những cách làm mất giá trị.
| Hiểu lầm | Thực tế |
|---|---|
| Doanh nghiệp có thể được chứng nhận ISO 31000 | Đây là hướng dẫn, không có yêu cầu để đánh giá chứng nhận tổ chức. Chứng chỉ cá nhân về ISO 31000 do các tổ chức đào tạo cấp, không phải chứng nhận hệ thống |
| ISO 31000 quy định ma trận 5x5 | Tiêu chuẩn không bắt buộc bất kỳ thang đo hay công cụ nào; IEC 31010 liệt kê nhiều kỹ thuật để lựa chọn |
| Áp dụng ISO 31000 nghĩa là lập sổ rủi ro | Sổ rủi ro chỉ là một hình thức ghi chép; trọng tâm là tích hợp vào quyết định |
| Rủi ro chỉ là mặt tiêu cực | Định nghĩa bao gồm cả ảnh hưởng tích cực; cơ hội cũng thuộc phạm vi |
| Phải có phòng quản lý rủi ro riêng | Tiêu chuẩn yêu cầu trách nhiệm rõ ràng, không yêu cầu cơ cấu cụ thể |
Khi thuê tư vấn, câu hỏi kiểm tra đơn giản: nếu họ bắt đầu bằng mẫu biểu thay vì bằng mục tiêu và tiêu chí rủi ro của công ty, gần như chắc chắn kết quả sẽ là hồ sơ để cất tủ.
Áp dụng thực tế: bắt đầu từ tiêu chí rủi ro
Cách áp dụng ít tốn kém mà hiệu quả nhất là bắt đầu từ bước bối cảnh và tiêu chí, vì mọi bước sau phụ thuộc vào nó. Ban điều hành cần thống nhất thang tác động gắn với con số của chính công ty: ví dụ giả định với doanh nghiệp doanh thu 500 tỷ đồng, “nghiêm trọng” có thể là ảnh hưởng lợi nhuận trên 20 tỷ, mất một khách hàng chiếm trên 10% doanh thu, hoặc đình chỉ hoạt động một nhà máy trên một tuần. Thang khả năng nên gắn với tần suất hoặc xác suất trong kỳ kế hoạch, không dùng chữ mơ hồ như “thỉnh thoảng”.
Tiếp theo, chọn một quy trình đang có để tích hợp đầu tiên, thường là quy trình duyệt đầu tư hoặc lập ngân sách năm. Thêm vào đó một mục bắt buộc: ba rủi ro chính, đánh giá theo thang chung, phương án xử lý và người chịu trách nhiệm. Sau một chu kỳ, mở rộng sang quy trình khác.
Cuối cùng, nhờ kiểm toán nội bộ hoặc một người độc lập đánh giá sau một năm theo đúng tám nguyên tắc ở trên. Kết quả đánh giá quay lại thành thay đổi của khung, khép vòng cải tiến mà tiêu chuẩn mô tả. Doanh nghiệp đã có ISO 9001 có thể tận dụng chu trình xem xét của lãnh đạo sẵn có thay vì tạo cuộc họp mới.
Câu hỏi thường gặp
ISO 31000 bản 2018 khác bản 2009 ở những điểm nào?
Bản 2018 ngắn hơn đáng kể, rút số nguyên tắc từ mười một xuống tám, đặt lãnh đạo và cam kết vào trung tâm khung, tách tích hợp thành thành phần riêng, nhấn mạnh yếu tố con người, văn hoá và việc tạo lập, bảo vệ giá trị. Quy trình giữ cấu trúc chính nhưng bổ sung rõ bước ghi chép và báo cáo.
ISO 31000 có dùng được cho dự án không?
Có. Tiêu chuẩn áp dụng ở mọi cấp: toàn tổ chức, đơn vị, dự án, sản phẩm hay một quyết định đơn lẻ. Với dự án, bối cảnh và tiêu chí rủi ro gắn với mục tiêu phạm vi, tiến độ, chi phí và chất lượng; cách làm vẫn là sáu bước như mô tả.
Quan hệ giữa ISO 31000 và ISO 27001 là gì?
ISO 27001 là tiêu chuẩn hệ thống quản lý an toàn thông tin có thể chứng nhận, trong đó đánh giá và xử lý rủi ro an toàn thông tin là yêu cầu bắt buộc. ISO 31000 cung cấp nguyên tắc chung về quản lý rủi ro mà ISO 27001 có thể dựa vào; doanh nghiệp có cả hai nên dùng chung thang đo để kết quả so sánh được.
Có cần mua bản gốc tiêu chuẩn không?
Nếu doanh nghiệp định xây khung chính thức, nên mua bản gốc hoặc bản tiêu chuẩn quốc gia tương đương từ kênh chính thức để đọc đúng câu chữ. Tài liệu tóm tắt trên mạng thường bỏ sót hoặc diễn giải sai, đặc biệt ở phần tiêu chí rủi ro và tích hợp.
Phân biệt rủi ro gốc và rủi ro còn lại trong ISO 31000 thế nào?
Tiêu chuẩn dùng khái niệm rủi ro còn lại cho phần rủi ro tồn tại sau khi xử lý. Rủi ro gốc (trước kiểm soát) không được định nghĩa chính thức nhưng được dùng phổ biến trong thực hành. Điều quan trọng là thống nhất trong công ty mình đang chấm mức nào để tránh so sánh lệch.
Doanh nghiệp nhỏ áp dụng ISO 31000 có quá sức không?
Không, vì tiêu chuẩn yêu cầu tuỳ biến theo quy mô. Doanh nghiệp nhỏ có thể dùng một trang chính sách, một thang đo đơn giản, một bảng rủi ro chục dòng và một buổi rà soát mỗi quý. Mức chi tiết tăng dần khi tổ chức lớn lên.