KRI (Key Risk Indicator, chỉ số rủi ro chính) là thước đo cho biết mức độ phơi nhiễm của doanh nghiệp với một rủi ro đang thay đổi thế nào, lý tưởng là trước khi rủi ro biến thành tổn thất. Nếu KPI trả lời “ta đang đạt mục tiêu tới đâu”, thì KRI trả lời “khả năng ta trượt mục tiêu đang tăng hay giảm”.
KRI tốt có ba đặc điểm: gắn với một rủi ro cụ thể trong sổ rủi ro, có tính dẫn dắt (thay đổi trước sự kiện), và có ngưỡng đã thống nhất kèm hành động khi chạm ngưỡng. Một con số được theo dõi mà không ai biết phải làm gì khi nó xấu đi chỉ là thống kê, không phải KRI.
Bài này giải thích nguồn gốc khái niệm, phân biệt KRI với KPI, cách tìm chỉ số dẫn dắt bằng chuỗi nhân quả, cách đặt ngưỡng, ví dụ cho các nhóm rủi ro thường gặp và cách báo cáo để KRI dẫn tới quyết định.
Nguồn gốc và định nghĩa chính xác
Khái niệm KRI phát triển mạnh trong ngành ngân hàng từ đầu những năm 2000, khi khung Basel II yêu cầu ngân hàng quản lý rủi ro hoạt động một cách có hệ thống. Ủy ban Basel định nghĩa rủi ro hoạt động là rủi ro tổn thất do quy trình nội bộ, con người, hệ thống không đầy đủ hoặc thất bại, hoặc do sự kiện bên ngoài. Vì loại rủi ro này khó lượng hoá trực tiếp, ngân hàng cần các chỉ số trung gian để theo dõi: tỷ lệ nghỉ việc ở bộ phận giao dịch, số giao dịch bị sửa lỗi, số lần hệ thống ngừng. Từ ngân hàng, cách làm lan sang doanh nghiệp phi tài chính cùng với ERM.
Định nghĩa thực hành: KRI là một đại lượng đo được, theo dõi định kỳ, có quan hệ nhân quả hoặc tương quan đã hiểu với một rủi ro cụ thể, và có ngưỡng kích hoạt hành động. Bốn vế đều cần. Thiếu “đo được” thì thành đánh giá chủ quan. Thiếu “định kỳ” thì không thấy xu hướng. Thiếu quan hệ với rủi ro thì theo dõi nhầm thứ. Thiếu ngưỡng thì không ai hành động.
Cần nói rõ giới hạn về bằng chứng: phần lớn tài liệu về KRI là hướng dẫn thực hành từ hiệp hội nghề và công ty tư vấn, không phải nghiên cứu thực nghiệm chứng minh KRI làm giảm tổn thất. Giá trị của KRI dựa trên lập luận hợp lý về cảnh báo sớm, và hiệu quả phụ thuộc nhiều vào chất lượng chọn chỉ số của từng doanh nghiệp.
KRI, KPI và KCI khác nhau ở đâu
Ba loại chỉ số này thường bị trộn trong cùng một bảng điều khiển. Phân biệt rõ giúp mỗi loại được đọc đúng cách.
| Tiêu chí | KPI (chỉ số hiệu quả) | KRI (chỉ số rủi ro) | KCI (chỉ số kiểm soát) |
|---|---|---|---|
| Câu hỏi | Ta đạt mục tiêu tới đâu? | Phơi nhiễm rủi ro đang tăng hay giảm? | Biện pháp kiểm soát có vận hành đúng không? |
| Hướng nhìn | Thường nhìn lại kết quả | Ưu tiên nhìn trước | Nhìn hiện tại |
| Ví dụ (bán hàng B2B) | Doanh thu quý so với kế hoạch | Tỷ trọng doanh thu từ khách hàng quá hạn thanh toán trên 60 ngày | Tỷ lệ hợp đồng có kiểm tra tín dụng trước khi ký |
| Ai thường giữ | Quản lý kinh doanh | Chủ sở hữu rủi ro | Chủ sở hữu kiểm soát |
| Khi xấu đi | Điều chỉnh kế hoạch hành động | Kích hoạt biện pháp giảm rủi ro | Sửa hoặc thay kiểm soát |
Một chỉ số có thể đóng nhiều vai tuỳ góc nhìn. Tỷ lệ nghỉ việc là KPI của phòng nhân sự nhưng là KRI cho rủi ro mất năng lực kỹ thuật của khối sản xuất. Điều quan trọng là khi đặt nó vào bảng KRI, người đọc biết nó đang được dùng để cảnh báo rủi ro nào.
Tìm chỉ số dẫn dắt bằng chuỗi nhân quả
Khó nhất trong việc xây KRI là tìm chỉ số thay đổi trước sự kiện, thay vì chỉ ghi nhận sau. Cách làm hiệu quả là đi ngược chuỗi nhân quả từ hậu quả về nguyên nhân gốc:
- Chọn một rủi ro trọng yếu trong sổ, viết rõ sự kiện và hậu quả. Ví dụ giả định: “mất khách hàng xuất khẩu lớn do giao hàng trễ liên tục”.
- Hỏi “điều gì xảy ra ngay trước sự kiện này”: tỷ lệ giao đúng hạn với khách đó giảm. Đây là chỉ số trễ gần sự kiện.
- Hỏi tiếp “điều gì làm tỷ lệ giao đúng hạn giảm”: tồn kho nguyên liệu chính dưới mức an toàn, công suất dây chuyền bị dùng quá cao, nhà cung cấp chính giao trễ.
- Hỏi thêm một tầng: vì sao nhà cung cấp giao trễ? Số ngày nợ nhà cung cấp kéo dài, nhà cung cấp gặp khó khăn tài chính, phụ thuộc một nguồn duy nhất.
- Chọn hai đến ba chỉ số ở các tầng khác nhau: một chỉ số gần sự kiện để xác nhận, một hoặc hai chỉ số xa hơn để cảnh báo sớm.
- Kiểm tra dữ liệu lịch sử: những lần giao trễ trước, chỉ số xa có xấu đi trước đó không, trước bao lâu.
- Ghi lại giả định nhân quả để sau này kiểm chứng và thay chỉ số nếu nó không báo trước được gì.
Kỹ thuật này về bản chất là phân tích nguyên nhân gốc chạy theo chiều phòng ngừa. Doanh nghiệp đã quen với “năm câu hỏi tại sao” trong cải tiến chất lượng sẽ thấy cách làm rất gần.
Ví dụ KRI cho các nhóm rủi ro thường gặp
Danh sách dưới đây là gợi ý xuất phát; mỗi doanh nghiệp cần chọn theo rủi ro trọng yếu của mình và dữ liệu sẵn có:
- Tập trung khách hàng: tỷ trọng doanh thu của năm khách lớn nhất; số khách mới đạt quy mô đáng kể trong quý.
- Tín dụng thương mại: tỷ lệ phải thu quá hạn theo tuổi nợ; số ngày thu tiền bình quân; số khách vượt hạn mức.
- Thanh khoản: số tháng chi phí cố định được che bởi tiền và hạn mức chưa dùng; tỷ lệ nợ vay đáo hạn trong 12 tháng.
- Chuỗi cung ứng: tỷ trọng vật tư chính chỉ có một nguồn; số ngày tồn kho an toàn của nguyên liệu trọng yếu; tỷ lệ giao trễ của nhà cung cấp hạng A.
- Nhân sự then chốt: tỷ lệ vị trí then chốt chưa có người kế nhiệm sẵn sàng; tỷ lệ nghỉ việc tự nguyện của nhóm kỹ thuật.
- Vận hành: giờ ngừng máy ngoài kế hoạch; tỷ lệ bảo trì phòng ngừa đúng lịch; số suýt sự cố an toàn được báo cáo.
- Tuân thủ: số giấy phép sắp hết hạn trong 90 ngày; tỷ lệ nhân viên hoàn thành đào tạo tuân thủ bắt buộc.
- Công nghệ: tỷ lệ máy chủ chưa vá lỗ hổng nghiêm trọng quá hạn; kết quả kiểm tra khôi phục dữ liệu.
Lưu ý chỉ số “số suýt sự cố được báo cáo” có chiều ngược trực giác: số tăng có thể là dấu hiệu tốt (văn hoá báo cáo lành mạnh) chứ không phải rủi ro tăng. Những chỉ số kiểu này cần ghi chú cách đọc ngay trong bảng.
Đặt ngưỡng: ba màu và quy tắc hành động
Dựa vào khẩu vị rủi ro. Ngưỡng đỏ của KRI nên tương ứng với ranh giới khẩu vị mà HĐQT đã duyệt; ngưỡng vàng là khoảng cảnh báo đủ xa để còn thời gian hành động. Nếu tuyên bố khẩu vị nói tỷ trọng khách lớn nhất không vượt 25%, ngưỡng vàng có thể ở 20%.
Dựa vào dữ liệu lịch sử khi chưa có khẩu vị. Lấy phân phối của chỉ số trong hai đến ba năm, đặt vàng quanh mức thường chỉ vượt vài lần một năm, đỏ ở mức hiếm khi vượt. Cách này thống kê đơn giản nhưng cần hiệu chỉnh bằng phán đoán vì quá khứ có thể không phản ánh rủi ro mới.
Theo dõi cả xu hướng, không chỉ mức. Một chỉ số còn xanh nhưng xấu đi ba kỳ liên tiếp đáng chú ý hơn chỉ số vàng đứng yên. Nhiều doanh nghiệp thêm mũi tên xu hướng hoặc quy tắc “ba kỳ xấu đi liên tiếp thì coi như vàng”.
Gắn hành động cụ thể với từng màu. Vàng: chủ sở hữu rủi ro phân tích nguyên nhân, báo trong họp giao ban tiếp theo. Đỏ: báo tổng giám đốc trong thời hạn quy định, kích hoạt kế hoạch xử lý đã chuẩn bị, báo HĐQT kỳ gần nhất. Không có hành động gắn kèm thì ngưỡng chỉ là màu sắc.
Rà soát ngưỡng mỗi năm. Ngưỡng luôn xanh nhiều năm có thể là quá lỏng; ngưỡng luôn đỏ có thể là quá chặt hoặc rủi ro thật sự vượt kiểm soát. Cả hai đều cần thảo luận.
Báo cáo KRI để dẫn tới quyết định
Bảng KRI cho ban điều hành nên ngắn: mười đến hai mươi chỉ số gắn với rủi ro trọng yếu cấp công ty, mỗi dòng gồm rủi ro liên quan, giá trị hiện tại, màu, xu hướng ba kỳ, chủ sở hữu, và một câu bình luận khi chỉ số ở vàng hoặc đỏ. Phần bình luận là phần quan trọng nhất và hay bị bỏ trống nhất. Một con số đỏ không kèm giải thích và kế hoạch chỉ gây lo lắng mà không gây hành động.
Với HĐQT, nên trình bày theo ngoại lệ: chỉ những chỉ số đỏ, những chỉ số xấu đi liên tục, và tình trạng xử lý của những chỉ số đỏ kỳ trước. Thành viên HĐQT không cần xem chỉ số xanh đứng yên; họ cần thấy nơi khẩu vị đang bị thử thách.
Cuối cùng, đánh giá chính bộ KRI mỗi năm bằng một câu hỏi: những sự cố và gần sự cố trong năm, có KRI nào báo trước không, báo trước bao lâu? Chỉ số không bao giờ báo trước điều gì nên được thay. Một bộ KRI được hiệu chỉnh theo cách đó qua vài năm sẽ trở thành tài sản thông tin thật sự của doanh nghiệp.
Câu hỏi thường gặp
Một rủi ro nên có bao nhiêu KRI?
Thường một đến ba chỉ số là đủ: một chỉ số gần sự kiện để xác nhận, một hoặc hai chỉ số dẫn dắt để cảnh báo sớm. Nhiều hơn thì khó theo dõi và dễ mâu thuẫn nhau. Toàn bộ bảng KRI cấp công ty nên gọn trong khoảng hai chục chỉ số.
Không có dữ liệu lịch sử thì đặt ngưỡng thế nào?
Có thể bắt đầu bằng ngưỡng theo phán đoán của chủ sở hữu rủi ro và ban điều hành, ghi rõ là ngưỡng tạm, rồi theo dõi sáu đến mười hai tháng để hiệu chỉnh. Tham khảo ngưỡng trong điều kiện hợp đồng vay hoặc yêu cầu của khách hàng lớn cũng là nguồn hợp lý.
KRI có cần tự động hoá không?
Không bắt buộc. Doanh nghiệp vừa có thể tổng hợp từ báo cáo kế toán, phần mềm bán hàng, sản xuất vào một bảng tính mỗi tháng. Tự động hoá có ích khi chỉ số cần cập nhật hằng ngày hoặc nhiều đơn vị; nhưng chọn đúng chỉ số quan trọng hơn công cụ.
Làm sao biết một KRI thật sự dẫn dắt?
Kiểm tra lịch sử: trong những lần rủi ro xảy ra trước đây, chỉ số đó có xấu đi trước không, trước bao lâu. Nếu không có sự kiện trong quá khứ, theo dõi và đánh giá lại sau mỗi sự cố hoặc gần sự cố. Chỉ số chỉ thay đổi cùng lúc với sự kiện là chỉ số trễ.
KRI cho rủi ro chiến lược có khả thi không?
Khó hơn rủi ro vận hành nhưng làm được. Ví dụ: tỷ trọng doanh thu từ sản phẩm ra mắt trong ba năm gần đây, thị phần ở phân khúc mục tiêu, giá bán bình quân so với đối thủ chính. Các chỉ số này thay đổi chậm nên theo dõi theo quý là hợp lý.
Ai chịu trách nhiệm khi KRI chuyển đỏ mà không ai hành động?
Chủ sở hữu rủi ro chịu trách nhiệm đề xuất và triển khai hành động; người điều phối rủi ro chịu trách nhiệm báo cáo và nhắc; tổng giám đốc chịu trách nhiệm cuối cùng trước HĐQT. Quy trình xử lý khi chạm ngưỡng nên ghi rõ trong chính sách để tránh đùn đẩy.