Nhận diện rủi ro là bước tìm, ghi nhận và mô tả những sự kiện có thể ảnh hưởng tới mục tiêu của doanh nghiệp, cùng nguyên nhân và hậu quả của chúng. Đây là bước quyết định chất lượng của cả hệ quản trị rủi ro: rủi ro không được nhận diện thì không được đánh giá, không được xử lý, và thường chính là rủi ro gây tổn thất lớn nhất.
Không có kỹ thuật duy nhất đúng. Cách làm hiệu quả là kết hợp một kỹ thuật nhìn từ trên xuống (bối cảnh, chiến lược), một kỹ thuật nhìn từ dưới lên (quy trình, người làm trực tiếp) và một kỹ thuật chống thiên kiến (như pre-mortem). IEC 31010 mô tả hàng chục kỹ thuật; bài này chọn tám kỹ thuật dùng được ngay ở doanh nghiệp Việt Nam quy mô vừa.
Với mỗi kỹ thuật, bài nêu cơ chế, khi nào nên dùng, cách làm và giới hạn; phần cuối bàn về các thiên kiến nhận thức làm hỏng việc nhận diện và cách thiết kế quy trình để giảm chúng.
Bốn kỹ thuật nền tảng
Phỏng vấn có cấu trúc. Người điều phối gặp riêng 10–20 người chủ chốt, dùng bộ câu hỏi giống nhau: mục tiêu của anh chị là gì, điều gì có thể làm nó thất bại, kiểm soát nào đang có, rủi ro nào anh chị nghĩ công ty đang đánh giá thấp. Ưu điểm là thu được thông tin người ta ngại nói trước đám đông. Nhược điểm là tốn thời gian và phụ thuộc kỹ năng người phỏng vấn.
Rà soát tài liệu và dữ liệu sự cố. Đọc biên bản kiểm toán, khiếu nại khách hàng, báo cáo sự cố, tranh chấp hợp đồng, sổ ghi chép bảo trì của hai đến ba năm. Sự cố nhỏ lặp lại thường là dấu hiệu của rủi ro lớn chưa xảy ra. Đây là nguồn khách quan nhất nhưng chỉ cho thấy rủi ro đã từng có dấu vết.
Danh mục kiểm tra. Dùng danh sách rủi ro chuẩn của ngành, của khung tham chiếu hoặc từ kinh nghiệm của doanh nghiệp tương tự. Nhanh và giúp không bỏ sót rủi ro phổ biến; nhưng làm người tham gia lười nghĩ ngoài danh sách, nên chỉ nên dùng sau khi đã nhận diện tự do.
Phân tích quy trình. Vẽ quy trình chính từ đặt hàng đến thu tiền, hoặc từ nguyên liệu đến thành phẩm, rồi hỏi ở mỗi bước: cái gì có thể sai, sai thì sao, ai phát hiện. Phiên bản có hệ thống của cách này là FMEA (phân tích dạng hỏng và tác động), phát triển trong quân đội Mỹ cuối thập niên 1940 và phổ biến trong ngành ô tô, hàng không. Rất mạnh với rủi ro vận hành, yếu với rủi ro chiến lược.
PESTLE và phân tích bối cảnh: nhìn từ ngoài vào
Rủi ro chiến lược và rủi ro bên ngoài cần một khung quét bối cảnh. PESTLE chia môi trường thành sáu chiều. Ví dụ câu hỏi gợi ý cho doanh nghiệp sản xuất xuất khẩu:
| Chiều | Câu hỏi gợi ý | Ví dụ rủi ro có thể nhận diện |
|---|---|---|
| Chính sách (Political) | Chính sách thương mại của thị trường chính thay đổi thế nào? | Thuế quan, điều tra phòng vệ thương mại với mặt hàng chủ lực |
| Kinh tế (Economic) | Tỷ giá, lãi suất, nhu cầu ở thị trường chính biến động ra sao? | Nhu cầu giảm ở thị trường chiếm phần lớn đơn hàng |
| Xã hội (Social) | Lực lượng lao động, hành vi tiêu dùng thay đổi thế nào? | Thiếu lao động phổ thông tại khu công nghiệp |
| Công nghệ (Technological) | Công nghệ nào có thể thay đổi cấu trúc chi phí ngành? | Đối thủ tự động hoá hạ giá thành |
| Pháp lý (Legal) | Quy định mới nào trong nước và ở nước nhập khẩu? | Yêu cầu truy xuất nguồn gốc, quy định chống phá rừng |
| Môi trường (Environmental) | Khí hậu và yêu cầu phát thải ảnh hưởng gì? | Hạn mặn ảnh hưởng vùng nguyên liệu; khách hàng yêu cầu số liệu phát thải |
Giới hạn của PESTLE là nó dễ biến thành danh sách xu hướng chung chung. Để thành rủi ro, mỗi xu hướng cần được viết lại theo ba vế nguyên nhân – sự kiện – hậu quả gắn với mục tiêu cụ thể của công ty. Nếu không viết lại được, có thể xu hướng đó không thật sự ảnh hưởng doanh nghiệp.
Pre-mortem: chống thói lạc quan bằng hồi tưởng giả định
Pre-mortem do nhà tâm lý học Gary Klein đề xuất và mô tả trong bài viết trên Harvard Business Review năm 2007. Cách làm: trước khi triển khai một kế hoạch hay dự án, nhóm được yêu cầu tưởng tượng rằng đã một năm trôi qua và kế hoạch thất bại hoàn toàn. Mỗi người tự viết, trong vài phút, mọi lý do có thể giải thích thất bại đó. Sau đó lần lượt từng người đọc một lý do, ghi lại, cho tới khi hết.
Cơ chế đứng sau là cái mà Mitchell, Russo và Pennington (1989) gọi là hồi tưởng giả định (prospective hindsight): khi được bảo rằng một sự kiện đã xảy ra, con người tìm ra lời giải thích dễ hơn so với khi được hỏi nó có thể xảy ra không. Pre-mortem cũng hợp thức hoá việc nói điều tiêu cực: trong buổi họp bình thường, người nêu nghi ngờ về kế hoạch của sếp có thể bị coi là thiếu tinh thần; trong pre-mortem, đó chính là nhiệm vụ được giao. Kahneman trong Thinking, Fast and Slow (2011) nhắc pre-mortem như một cách giảm ảo tưởng lập kế hoạch và tư duy nhóm.
Pre-mortem đặc biệt hợp với quyết định đầu tư, dự án mở rộng, ra mắt sản phẩm. Giới hạn: nó tốt trong việc khơi ý, không đánh giá được khả năng; kết quả vẫn cần đưa qua bước phân tích. Và nếu người có chức vụ cao nhất phản ứng tiêu cực với lý do được nêu, lần sau sẽ không ai nói thật nữa.
Phân tích bow-tie: nối nguyên nhân, sự kiện và hậu quả
Bow-tie (sơ đồ nơ bướm) phổ biến trong ngành dầu khí và hoá chất, đặc biệt sau thảm hoạ giàn khoan Piper Alpha năm 1988. Sơ đồ đặt sự kiện rủi ro ở giữa, nguyên nhân bên trái, hậu quả bên phải, các rào chắn ở hai bên. Cách lập:
- Chọn một sự kiện trọng yếu, gọi là “sự kiện đỉnh”, ví dụ giả định “mất kiểm soát nhiệt độ kho lạnh chứa hàng xuất khẩu”.
- Liệt kê các nguyên nhân có thể dẫn tới sự kiện ở bên trái: mất điện, hỏng máy nén, cửa kho mở lâu, cảm biến sai.
- Liệt kê hậu quả ở bên phải: hàng hỏng, giao trễ, bị khách từ chối, khiếu nại an toàn thực phẩm.
- Với mỗi nguyên nhân, ghi các rào chắn phòng ngừa đang có: máy phát dự phòng, bảo trì định kỳ, cảnh báo cửa mở.
- Với mỗi hậu quả, ghi các rào chắn giảm nhẹ: cảnh báo nhiệt độ qua điện thoại cho người trực, kho dự phòng thuê ngoài, quy trình cách ly lô nghi ngờ.
- Đánh dấu rào chắn yếu, rào chắn phụ thuộc chung một yếu tố (ví dụ cả cảnh báo và máy phát cùng cần một người trực ca đêm).
- Ghi các yếu tố làm suy yếu rào chắn, như thiếu đào tạo hay ca trực thiếu người.
Bow-tie mạnh ở chỗ nó cho thấy rủi ro là một chuỗi chứ không phải một ô trong ma trận, và trực quan đủ để trình bày cho người không chuyên. Nó tốn công nên chỉ nên dùng cho vài rủi ro trọng yếu nhất, không phải cho cả sổ.
Phân tích kịch bản: cho rủi ro chiến lược và sự kiện hiếm
Phân tích kịch bản xây dựng vài câu chuyện mạch lạc về tương lai có thể xảy ra, rồi hỏi doanh nghiệp sẽ ra sao trong từng câu chuyện. Truyền thống này gắn với Shell từ đầu thập niên 1970, khi nhóm lập kế hoạch của Pierre Wack giúp công ty chuẩn bị tư duy cho khả năng giá dầu tăng mạnh. Mức độ mà kịch bản thật sự giúp Shell ứng phó tốt hơn đối thủ vẫn được bàn, nhưng phương pháp đã lan rộng.
Cho doanh nghiệp vừa, cách làm đơn giản là chọn hai bất định lớn nhất và độc lập với nhau, mỗi bất định có hai cực, tạo thành bốn kịch bản. Ví dụ giả định với một doanh nghiệp đồ gỗ xuất khẩu: trục thứ nhất là nhu cầu ở thị trường chính (phục hồi hoặc suy giảm kéo dài), trục thứ hai là yêu cầu truy xuất gỗ hợp pháp (giữ như hiện nay hoặc siết mạnh). Mỗi ô là một tương lai; với mỗi tương lai, nhóm hỏi rủi ro nào xuất hiện, chiến lược hiện tại có đứng vững không, cần chuẩn bị gì từ bây giờ.
Biến thể quan trọng là kiểm tra sức chịu đựng ngược (reverse stress test): thay vì hỏi kịch bản X gây hại bao nhiêu, hỏi điều gì phải xảy ra để công ty mất khả năng thanh toán. Câu hỏi này thường làm lộ ra một tổ hợp rủi ro mà từng rủi ro riêng lẻ đều trông vừa phải, nhưng cùng xảy ra thì đủ quật ngã doanh nghiệp.
Thiên kiến làm hỏng việc nhận diện và cách giảm
Thiên kiến sẵn có. Rủi ro vừa xảy ra gần đây, ở mình hoặc trên báo, được nhắc nhiều; rủi ro chưa từng xảy ra bị bỏ quên. Cách giảm: kết hợp dữ liệu sự cố nhiều năm và kỹ thuật như pre-mortem, kịch bản.
Lạc quan và ảo tưởng kiểm soát. Người lập kế hoạch có xu hướng đánh giá thấp khả năng thất bại của chính kế hoạch mình. Cách giảm: để người không trực tiếp làm kế hoạch tham gia nhận diện, dùng pre-mortem.
Tư duy nhóm và hiệu ứng cấp trên. Khi người có chức vụ cao nói trước, những người khác điều chỉnh theo. Cách giảm: mọi người viết độc lập trước khi thảo luận, lãnh đạo cao nhất nói sau cùng.
Thiên kiến tự phục vụ. Người ta dễ nêu rủi ro bên ngoài hơn rủi ro do chính bộ phận mình tạo ra. Cách giảm: hỏi chéo, phòng này nêu rủi ro mà phòng kia có thể gây cho mình, và cho phép góp ý ẩn danh.
Đóng khung theo cơ cấu tổ chức. Mỗi phòng chỉ nhìn phạm vi mình, bỏ sót rủi ro nằm ở khe giữa các phòng, như quy trình bàn giao giữa kinh doanh và sản xuất. Cách giảm: phân tích theo quy trình xuyên phòng thay vì theo sơ đồ tổ chức.
Câu hỏi thường gặp
Nên nhận diện rủi ro bao lâu một lần?
Nên có một đợt nhận diện toàn diện mỗi năm gắn với lập kế hoạch, cộng thêm nhận diện theo sự kiện khi có quyết định lớn như dự án mới, mở thị trường, mua bán doanh nghiệp, thay đổi pháp lý hay sau sự cố. Rủi ro trọng yếu được xem lại mỗi quý.
Ai nên tham gia hội thảo nhận diện rủi ro?
Kết hợp người ra quyết định, người làm trực tiếp và ít nhất một người có góc nhìn ngoài, như kiểm toán nội bộ, pháp chế hay chuyên gia độc lập. Nhóm khoảng tám đến mười hai người là phù hợp; đông hơn nên chia nhóm nhỏ.
Có cần thuê tư vấn để nhận diện rủi ro không?
Không bắt buộc. Tư vấn có ích khi doanh nghiệp làm lần đầu, cần người điều phối trung lập, hoặc cần chuyên môn ngành đặc thù. Tuy nhiên người trong công ty mới biết rõ nhất rủi ro thật; tư vấn chỉ nên điều phối và chuẩn hoá, không thay thế.
Làm sao phân biệt nguyên nhân, rủi ro và hậu quả khi ghi?
Rủi ro là sự kiện không chắc chắn ở giữa. Nguyên nhân là điều kiện đang tồn tại làm sự kiện có thể xảy ra. Hậu quả là tác động lên mục tiêu nếu sự kiện xảy ra. Viết theo câu ba vế giúp tách rõ và tránh ghi điểm yếu hay chủ đề chung thay cho rủi ro.
Kỹ thuật nào hợp với doanh nghiệp nhỏ có ít thời gian?
Kết hợp phỏng vấn ngắn với năm đến bảy người chủ chốt, rà soát sự cố một năm qua và một buổi pre-mortem cho kế hoạch năm là đủ để có danh sách rủi ro chất lượng trong vài ngày công. Các kỹ thuật như bow-tie hay kịch bản để dành cho vài rủi ro lớn nhất.
Có nên dùng trí tuệ nhân tạo để nhận diện rủi ro không?
Có thể dùng như công cụ gợi ý danh mục ban đầu hoặc rà văn bản, hợp đồng để tìm điều khoản rủi ro. Nhưng kết quả cần người hiểu doanh nghiệp kiểm tra, vì công cụ không biết bối cảnh, quan hệ khách hàng hay điểm yếu nội bộ, và có thể đưa ra rủi ro chung chung hoặc sai.