Ma trận rủi ro là bảng hai chiều xếp mỗi rủi ro theo khả năng xảy ra (trục dọc hoặc ngang) và mức tác động nếu xảy ra, rồi tô màu các ô để chỉ mức ưu tiên. Dạng phổ biến nhất là 5x5: năm mức khả năng, năm mức tác động, ba hoặc bốn vùng màu từ xanh đến đỏ.
Ma trận dùng tốt để sàng lọc và truyền thông: nhìn một trang là thấy rủi ro nào cần chú ý. Nhưng nó có giới hạn toán học thật, được Louis Anthony Cox Jr. phân tích trong bài What's Wrong with Risk Matrices? (Risk Analysis, 2008): ma trận có thể xếp sai thứ tự hai rủi ro, gộp những rủi ro rất khác nhau vào cùng ô, và dẫn tới phân bổ nguồn lực kém.
Bài này hướng dẫn thiết kế ma trận cho doanh nghiệp theo từng bước, kèm ví dụ thang đo, giải thích vì sao lỗi xảy ra và cách giảm chúng mà không phải bỏ công cụ.
Ma trận rủi ro làm được gì và không làm được gì
Giá trị thật của ma trận nằm ở ba việc. Thứ nhất, nó buộc người đánh giá tách hai câu hỏi khác nhau: chuyện này có hay xảy ra không, và nếu xảy ra thì hại tới đâu. Thiếu tách bạch, con người có xu hướng trộn hai chiều thành một cảm giác “đáng lo” chung, chịu ảnh hưởng mạnh của thiên kiến sẵn có (sự kiện vừa xảy ra gần đây trông có vẻ hay xảy ra hơn), như Tversky và Kahneman mô tả từ năm 1973. Thứ hai, ma trận tạo ngôn ngữ chung giữa các phòng ban. Thứ ba, nó là hình ảnh dễ đưa vào báo cáo cho HĐQT.
Những gì ma trận không làm được cũng cần nói thẳng. Nó không cộng được rủi ro: mười rủi ro vàng không cho biết tổng rủi ro của công ty. Nó không thể hiện tương quan: hai rủi ro cùng do một nguyên nhân (ví dụ tỷ giá tăng làm vừa đội giá nguyên liệu nhập vừa tăng nợ vay ngoại tệ) hiện thành hai chấm riêng. Nó cũng không phân biệt được rủi ro có phân phối hậu quả dài đuôi với rủi ro có hậu quả gần như cố định.
Vì vậy nên coi ma trận là công cụ phân loại thô ở tầng sàng lọc. Rủi ro rơi vào vùng đỏ hoặc gần ranh giới đỏ cần được phân tích sâu hơn, có thể bằng kịch bản hoặc ước lượng định lượng, trước khi quyết định chi tiền xử lý.
Thiết kế ma trận cho doanh nghiệp: sáu bước
Phần lớn lỗi của ma trận đến từ thiết kế thang đo cẩu thả. Làm đúng thứ tự dưới đây giảm được nhiều vấn đề:
- Gắn với mục tiêu và kỳ đánh giá. Ghi rõ ma trận dùng cho rủi ro đối với mục tiêu nào (kế hoạch năm, dự án) và trong khoảng thời gian nào. “Khả năng 20%” trong một năm khác hẳn trong năm năm.
- Định nghĩa thang tác động theo nhiều chiều. Tài chính (tỷ lệ trên lợi nhuận hoặc vốn chủ), con người (an toàn), pháp lý, khách hàng, danh tiếng, gián đoạn vận hành. Rủi ro được chấm theo chiều nặng nhất.
- Định nghĩa thang khả năng bằng số. Mỗi mức gắn với khoảng xác suất hoặc tần suất. Chữ “hiếm” cần đi kèm “dưới 5% trong năm” chẳng hạn, vì các nghiên cứu về diễn giải từ ngữ xác suất cho thấy mỗi người hiểu chữ “có thể” với xác suất rất khác nhau.
- Chọn cách tô màu theo khẩu vị rủi ro. Ranh giới vùng đỏ phản ánh mức HĐQT không chấp nhận; không dùng mẫu tô màu sẵn từ nơi khác.
- Quy định chấm rủi ro gốc hay còn lại. Thường chấm cả hai: trước kiểm soát để thấy mức phụ thuộc vào kiểm soát, sau kiểm soát để quyết định hành động.
- Hiệu chỉnh bằng ví dụ neo. Đặt sẵn 5–6 rủi ro đã thống nhất vị trí làm mốc, người chấm so rủi ro mới với các mốc này.
Bước 6 ít được làm nhưng hiệu quả nhất trong việc giảm chênh lệch giữa người chấm. Không có mốc, cùng một rủi ro có thể bị phòng kinh doanh chấm 6 và phòng tài chính chấm 16.
Ví dụ thang đo 5 mức cho doanh nghiệp vừa
Ví dụ giả định cho doanh nghiệp sản xuất doanh thu khoảng 800 tỷ đồng, lợi nhuận trước thuế khoảng 60 tỷ. Doanh nghiệp cần thay số bằng quy mô của chính mình.
| Mức | Khả năng trong 12 tháng | Tác động tài chính | Tác động vận hành, pháp lý |
|---|---|---|---|
| 1 – Rất thấp | Dưới 5% | Dưới 1 tỷ đồng | Gián đoạn dưới nửa ngày; không có hệ quả pháp lý |
| 2 – Thấp | 5–20% | 1–3 tỷ | Gián đoạn dưới 2 ngày; nhắc nhở của cơ quan quản lý |
| 3 – Trung bình | 20–50% | 3–8 tỷ | Gián đoạn một tuần ở một dây chuyền; xử phạt hành chính |
| 4 – Cao | 50–80% | 8–20 tỷ | Mất một khách hàng lớn; đình chỉ một phần hoạt động |
| 5 – Rất cao | Trên 80% | Trên 20 tỷ (một phần ba lợi nhuận) | Đình chỉ nhà máy; trách nhiệm hình sự với người quản lý |
Hai điểm cần chú ý. Thang tác động thường nên tăng theo cấp số nhân (mỗi mức gấp khoảng hai đến ba lần mức trước) vì hậu quả thực tế trải rộng nhiều bậc độ lớn; thang tuyến tính làm dồn hầu hết rủi ro lớn vào mức 5. Và mức 5 về khả năng (trên 80%) thực chất gần như là vấn đề đã biết, nên cân nhắc đưa sang danh sách vấn đề cần xử lý thay vì để trong ma trận rủi ro.
Những lỗi toán học mà Cox chỉ ra năm 2008
Độ phân giải kém. Ma trận 5x5 chỉ có 25 ô; hai rủi ro cùng ô có thể khác nhau hàng chục lần về tổn thất kỳ vọng. Ở ranh giới giữa các mức, hai rủi ro gần như giống hệt có thể rơi vào hai màu khác nhau.
Xếp sai thứ tự. Cox chỉ ra rằng với những rủi ro có khả năng và tác động tương quan âm (khả năng cao thì tác động thấp và ngược lại), ma trận có thể xếp rủi ro nhỏ hơn về định lượng vào ô ưu tiên cao hơn. Trong trường hợp xấu, ma trận còn kém hơn chọn ngẫu nhiên.
Phân bổ nguồn lực kém tối ưu. Màu ô không cho biết chi phí xử lý. Dồn tiền cho tất cả ô đỏ mà không so chi phí với mức giảm rủi ro dẫn tới chi nhiều cho rủi ro khó giảm và bỏ qua rủi ro vàng giảm được rất rẻ.
Đầu vào và đầu ra mơ hồ. Phép nhân điểm khả năng với điểm tác động (ví dụ 3 x 4 = 12) không có ý nghĩa toán học vì đó là thang thứ bậc, không phải số đo. Điểm 12 không “gấp đôi” điểm 6.
Thiên kiến người chấm. Các nghiên cứu về đánh giá chủ quan cho thấy người chấm có xu hướng dồn về ô giữa, và kết quả nhạy với cách đặt câu hỏi. Khi rủi ro do chính phòng mình gây ra, điểm thường bị kéo xuống.
Giảm lỗi mà không bỏ ma trận
Phản ứng hợp lý với phê bình của Cox và Hubbard không phải là bỏ ma trận mà dùng nó đúng tầng và bổ sung:
- Dùng thang khả năng và tác động có số, giúp có thể tính tổn thất kỳ vọng xấp xỉ khi cần so hai rủi ro gần nhau.
- Đánh dấu riêng rủi ro tác động cực đại (mức 5 về tác động) bất kể khả năng; nhóm này xem xét bằng kịch bản thay vì điểm số.
- Cho phép ghi khoảng thay vì điểm đơn: “khả năng 2–3, tác động 4” phản ánh độ bất định trung thực hơn.
- Thêm cột tốc độ tác động (velocity): rủi ro xảy ra trong vài giờ cần cách xử lý khác rủi ro diễn biến trong nhiều tháng.
- Ghi nguyên nhân chung để phát hiện cụm rủi ro tương quan, rồi xem xét chúng như một kịch bản.
- Với 3–5 rủi ro lớn nhất, ước lượng định lượng đơn giản: khoảng tổn thất 90% tin cậy, mô phỏng nếu có dữ liệu.
- So chi phí xử lý với mức giảm kỳ vọng trước khi duyệt ngân sách, không duyệt theo màu.
Với phần lớn doanh nghiệp vừa, ba thay đổi đầu tiên đã đủ để ma trận bớt sai lệch đáng kể mà không tốn thêm nhiều công.
Tổ chức buổi chấm điểm để kết quả đáng tin
Ma trận chỉ tốt bằng quy trình chấm. Một buổi chấm tốt có ba đặc điểm. Thứ nhất, chấm độc lập trước, thảo luận sau: mỗi người ghi điểm riêng trước khi nghe ý kiến người khác, rồi mới so và thảo luận chênh lệch. Cách này kế thừa tinh thần của phương pháp Delphi do RAND phát triển từ thập niên 1950, hạn chế việc người có chức vụ cao nhất nói trước kéo cả phòng theo.
Thứ hai, thảo luận chênh lệch lớn chứ không lấy trung bình. Khi một người chấm khả năng 1 và người khác chấm 4, thường là hai người đang nghĩ về hai kịch bản khác nhau hoặc một người có thông tin người kia không có. Làm rõ điều đó có giá trị hơn con số trung bình 2,5.
Thứ ba, ghi lý do. Mỗi điểm số kèm một câu giải thích dựa trên dữ liệu hoặc sự kiện. Sau một năm, đối chiếu điểm đã chấm với những gì thật sự xảy ra để hiệu chỉnh thang và người chấm. Tổ chức nào làm đều bước hiệu chỉnh này sẽ thấy ma trận của mình chính xác dần, điều mà hầu hết ma trận dán tường không bao giờ đạt được.
Câu hỏi thường gặp
Nên dùng ma trận 3x3, 4x4 hay 5x5?
Ma trận 3x3 dễ dùng nhưng quá thô với doanh nghiệp có nhiều loại rủi ro. 5x5 phổ biến nhất và đủ phân biệt cho phần lớn nhu cầu. 4x4 có ưu điểm không có mức giữa, buộc người chấm chọn phía. Quan trọng hơn số ô là định nghĩa thang bằng số rõ ràng.
Có nên nhân điểm khả năng với tác động không?
Có thể dùng tích làm cách sắp xếp sơ bộ, nhưng cần hiểu đó không phải số đo thật vì thang là thứ bậc. Nếu thang được định nghĩa bằng khoảng xác suất và khoảng tiền, tốt hơn là tính tổn thất kỳ vọng xấp xỉ từ điểm giữa các khoảng.
Rủi ro tác động cực lớn nhưng khả năng rất thấp xếp thế nào?
Đây là điểm yếu nổi tiếng của ma trận: nhóm này thường rơi vào vùng vàng và bị bỏ qua. Nên có quy tắc riêng: mọi rủi ro tác động mức cao nhất đều được xem xét bằng kịch bản và kế hoạch ứng phó, bất kể khả năng chấm ở mức nào.
Ma trận cho rủi ro cơ hội trông thế nào?
Một số tổ chức dùng ma trận đối xứng: nửa trái cho mối đe doạ, nửa phải cho cơ hội, với thang lợi ích tương ứng thang tác động. Cách này hữu ích trong hội thảo chiến lược nhưng phức tạp khi báo cáo, nên nhiều nơi theo dõi cơ hội trong danh sách riêng.
Có phần mềm nào bắt buộc phải dùng không?
Không. Bảng tính là đủ cho phần lớn doanh nghiệp vừa. Phần mềm quản trị rủi ro hữu ích khi có nhiều đơn vị, cần lưu lịch sử và luồng phê duyệt; nhưng phần mềm không sửa được thang đo thiết kế kém.
Bao lâu nên chấm lại ma trận?
Rủi ro trọng yếu nên được xem lại mỗi quý, toàn bộ danh sách mỗi năm gắn với kế hoạch năm. Ngoài lịch định kỳ, cần chấm lại ngay khi có thay đổi lớn: mở thị trường mới, mua bán doanh nghiệp, thay đổi pháp lý hay một sự cố nghiêm trọng.