Sổ đăng ký rủi ro (risk register) là bảng tổng hợp các rủi ro trọng yếu của doanh nghiệp, mỗi dòng một rủi ro, ghi rõ mô tả, nguyên nhân, hậu quả, đánh giá trước và sau kiểm soát, chủ sở hữu, hành động xử lý và hạn hoàn thành. Đây là công cụ ghi chép trung tâm của mọi hệ quản trị rủi ro doanh nghiệp, dù theo ISO 31000 hay COSO.
Sổ tốt không phải sổ dài. Sổ tốt là sổ mà ban điều hành mở ra trong họp giao ban và có dòng thay đổi sau mỗi lần họp. Phần lớn sổ rủi ro thất bại vì ba lý do: mô tả rủi ro mơ hồ (“rủi ro thị trường”), không ai thật sự sở hữu, và không được cập nhật sau khi lập.
Bài này đưa ra cấu trúc cột khuyến nghị, kỹ thuật viết mô tả rủi ro ba vế, cách phân cấp sổ giữa đơn vị và toàn công ty, cùng nhịp duy trì để sổ phản ánh đúng tình hình.
Cấu trúc cột khuyến nghị
Bảng dưới là bộ cột tối thiểu đủ dùng cho sổ cấp công ty. Có thể thêm cột, nhưng bớt cột nào trong bộ này thì sổ mất một chức năng.
| Cột | Nội dung | Lỗi hay gặp |
|---|---|---|
| Mã và nhóm | Mã duy nhất; nhóm (chiến lược, vận hành, tài chính, tuân thủ) | Đổi mã mỗi kỳ, mất lịch sử |
| Mô tả rủi ro | Câu ba vế: nguyên nhân – sự kiện – hậu quả | Chỉ ghi chủ đề: “rủi ro nhân sự” |
| Mục tiêu bị ảnh hưởng | Mục tiêu cụ thể trong kế hoạch | Bỏ trống, không thấy rủi ro quan trọng vì sao |
| Kiểm soát hiện có | Biện pháp đang vận hành thật | Ghi biện pháp dự định như đã có |
| Đánh giá gốc | Khả năng, tác động trước kiểm soát | Chấm sau kiểm soát rồi gọi là gốc |
| Đánh giá còn lại | Khả năng, tác động sau kiểm soát hiện có | Không có, nên không thấy kiểm soát giúp được bao nhiêu |
| Xu hướng | Tăng, giảm, đứng yên so với kỳ trước | Không có, nên HĐQT không thấy diễn biến |
| Chủ sở hữu | Một người, có tên và chức danh | Ghi tên phòng hoặc nhiều người |
| Hành động xử lý | Việc cụ thể, người làm, hạn | “Tăng cường giám sát” không có hạn |
| Chỉ số cảnh báo | KRI và ngưỡng | Không có, chỉ biết khi đã xảy ra |
| Ngày rà soát gần nhất | Ngày và người rà soát | Không ghi, sổ cũ hai năm vẫn trông như mới |
Hai cột “đánh giá gốc” và “đánh giá còn lại” cho phép tính một chỉ số đơn giản mà rất có ích: mức phụ thuộc vào kiểm soát. Rủi ro có điểm gốc rất cao nhưng điểm còn lại thấp là nơi kiểm soát đang gánh nặng; nếu kiểm soát đó hỏng, rủi ro bật lên ngay. Đây chính là danh sách ưu tiên cho kiểm toán nội bộ kiểm tra hiệu lực kiểm soát.
Viết mô tả rủi ro: kỹ thuật ba vế
Lỗi phổ biến nhất trong sổ rủi ro là ghi chủ đề thay vì rủi ro. “Rủi ro tỷ giá”, “rủi ro nhân sự”, “rủi ro pháp lý” là tên nhóm, không phải rủi ro. Không thể đánh giá khả năng của một chủ đề, cũng không thể giao một chủ đề cho ai xử lý. Kỹ thuật ba vế buộc người viết cụ thể hoá: Do [nguyên nhân], [sự kiện] có thể xảy ra, dẫn đến [hậu quả với mục tiêu].
Ví dụ giả định với một doanh nghiệp chế biến thuỷ sản xuất khẩu. Mô tả kém: “Rủi ro thị trường xuất khẩu”. Mô tả tốt: “Do thị trường nhập khẩu chính siết quy định dư lượng kháng sinh và hồ sơ truy xuất vùng nuôi, các lô hàng có thể bị từ chối hoặc bị kiểm tra tăng cường, dẫn đến chậm giao hàng, chi phí lưu kho và nguy cơ mất đơn của hai khách hàng lớn chiếm khoảng 35% doanh thu”. Từ câu thứ hai, có thể thấy ngay chủ sở hữu hợp lý (giám đốc chất lượng và giám đốc vùng nguyên liệu), kiểm soát cần có và chỉ số cần theo dõi.
Hai quy tắc phụ. Thứ nhất, một dòng một sự kiện: nếu câu có hai sự kiện độc lập, tách thành hai dòng. Thứ hai, tránh viết rủi ro là “thiếu kiểm soát X”, vì đó là nguyên nhân hoặc điểm yếu, không phải sự kiện. “Thiếu quy trình phê duyệt chi” nên viết lại thành sự kiện mà điểm yếu đó cho phép xảy ra, như chi sai hoặc gian lận, cùng hậu quả tài chính.
Phân cấp sổ: đơn vị, chức năng và công ty
Doanh nghiệp từ vài trăm người trở lên nên có nhiều tầng sổ, nối với nhau bằng quy tắc nâng cấp rõ ràng, thay vì một sổ khổng lồ.
| Tầng | Ai giữ | Số dòng hợp lý | Nhịp rà soát | Quy tắc nâng lên tầng trên |
|---|---|---|---|---|
| Dự án, chi nhánh | Quản lý dự án, giám đốc chi nhánh | 10–30 | Hằng tháng | Rủi ro vượt ngưỡng tác động của đơn vị hoặc ảnh hưởng đơn vị khác |
| Khối chức năng | Giám đốc khối | 15–40 | Hằng quý | Rủi ro chạm khẩu vị cấp công ty hoặc cần nguồn lực ngoài khối |
| Công ty | Tổng giám đốc, người điều phối rủi ro | 10–20 | Hằng quý; HĐQT xem mỗi quý hoặc nửa năm | Không áp dụng; đây là danh sách trọng yếu |
Sổ cấp công ty nên giới hạn khoảng hai chục dòng. Khi danh sách dài hơn, ban điều hành không thảo luận được từng dòng và sổ trở thành tài liệu đọc lướt. Rủi ro cấp công ty có thể là tổng hợp của nhiều rủi ro đơn vị cùng nguyên nhân, ví dụ nhiều chi nhánh cùng ghi rủi ro nghỉ việc của nhân sự kỹ thuật, gộp lên thành một rủi ro về năng lực kỹ thuật toàn công ty.
Lập sổ lần đầu trong bốn tuần
Trình tự dưới đây phù hợp khi doanh nghiệp chưa có sổ, hoặc có sổ cũ không ai dùng và muốn làm lại:
- Thống nhất thang khả năng và tác động trước khi thu thập rủi ro; không làm ngược lại.
- Lấy danh sách mục tiêu năm của công ty và từng khối làm khung; mỗi rủi ro phải gắn với ít nhất một mục tiêu.
- Phỏng vấn ngắn hoặc gửi phiếu cho trưởng bộ phận: ba sự kiện có thể làm mục tiêu của anh chị thất bại, nguyên nhân, kiểm soát hiện có.
- Người điều phối gom trùng, viết lại theo ba vế, loại những dòng là vấn đề đã xảy ra (chuyển sang danh sách vấn đề).
- Hội thảo nửa ngày: chấm độc lập rồi thảo luận, chọn danh sách trọng yếu cấp công ty, giao chủ sở hữu ngay tại phòng.
- Chủ sở hữu có hai tuần để hoàn thiện kiểm soát hiện có, hành động xử lý, hạn và chỉ số cảnh báo cho dòng của mình.
- Tổng giám đốc duyệt, trình HĐQT bản tóm tắt một trang cùng bản đồ nhiệt.
Bước 4 là bước tạo ra giá trị: người điều phối viết lại mô tả rủi ro thường phát hiện nhiều phòng đang mô tả cùng một rủi ro bằng chữ khác nhau, hoặc một rủi ro lớn chỉ được một người nhắc tới.
Giữ cho sổ sống: dấu hiệu sổ đã chết và cách chữa
Không dòng nào đổi điểm trong hai kỳ liên tiếp. Bối cảnh kinh doanh luôn thay đổi; sổ đứng yên nghĩa là không ai rà soát thật. Cách chữa: mỗi kỳ, chủ sở hữu phải ghi một câu về diễn biến, kể cả khi điểm không đổi.
Hành động xử lý trễ hạn mà không ai hỏi. Đưa tỷ lệ hành động đúng hạn vào báo cáo giao ban tháng và vào đánh giá hiệu quả công việc của chủ sở hữu.
Sự cố lớn xảy ra mà không có trong sổ. Đây không hẳn là thất bại, vì không sổ nào đủ. Nhưng phải có rà soát sau sự cố: vì sao bỏ sót, có rủi ro tương tự nào khác đang bị bỏ sót. Kết quả cập nhật vào sổ trong vòng một tháng.
Sổ chỉ có rủi ro bên ngoài. Nếu mọi dòng đều là tỷ giá, chính sách, đối thủ, mà không có dòng nào về năng lực quản lý, kế nhiệm, quyết định đầu tư sai, thì văn hoá đang ngại nói về rủi ro do chính mình tạo ra. Cách chữa thường phải bắt đầu từ tổng giám đốc tự nêu rủi ro thuộc phạm vi mình.
Sổ chỉ do một người cập nhật. Khi người điều phối tự sửa mọi dòng, chủ sở hữu thật ra không sở hữu. Nên cho chủ sở hữu tự cập nhật dòng của mình trên tệp dùng chung, người điều phối chỉ kiểm tra chất lượng.
Sổ rủi ro cấp công ty và sổ rủi ro chuyên đề
Doanh nghiệp thường có thêm các sổ chuyên đề: sổ rủi ro an toàn thông tin theo ISO 27001, sổ rủi ro an toàn vệ sinh lao động, sổ rủi ro dự án, sổ rủi ro tuân thủ. Các sổ này chi tiết hơn và do bộ phận chuyên môn giữ. Lỗi cần tránh là để chúng sống tách biệt với sổ cấp công ty, dùng thang đo khác nhau, khiến không ai biết rủi ro an ninh mạng lớn nhất có lớn hơn rủi ro mất khách hàng chủ lực hay không.
Nguyên tắc nối: mọi sổ chuyên đề dùng chung thang tác động của công ty (có thể thêm chiều riêng), và rủi ro chuyên đề nào vượt ngưỡng đã thống nhất thì tự động có một dòng tổng hợp trong sổ cấp công ty, với chủ sở hữu ở cấp ban điều hành. Ngược lại, sổ cấp công ty dẫn chiếu tới sổ chuyên đề để ai cần chi tiết thì tra.
Về công cụ, bảng tính dùng chung với phân quyền theo dòng là đủ cho đa số doanh nghiệp vừa. Khi số đơn vị và số sổ tăng, phần mềm quản trị rủi ro giúp lưu lịch sử, nhắc hạn và tổng hợp, nhưng chỉ nên chuyển sau khi cấu trúc cột và thang đo đã ổn định qua ít nhất một năm.
Câu hỏi thường gặp
Sổ rủi ro có cần HĐQT phê duyệt không?
HĐQT thường không duyệt từng dòng mà xem xét danh sách rủi ro trọng yếu, xu hướng và các rủi ro vượt khẩu vị. Phê duyệt chi tiết thuộc ban điều hành. Điều HĐQT cần duyệt là chính sách, khẩu vị rủi ro và thang đánh giá.
Rủi ro đã xảy ra có xoá khỏi sổ không?
Khi sự kiện đã xảy ra, nó trở thành vấn đề cần xử lý và theo dõi riêng. Dòng rủi ro trong sổ nên được đánh giá lại: nếu sự kiện có thể tái diễn, giữ lại với điểm cập nhật; nếu không, đóng dòng và lưu lịch sử thay vì xoá.
Bao nhiêu rủi ro là quá nhiều cho sổ cấp công ty?
Kinh nghiệm thực hành thường đặt khoảng mười đến hai mươi rủi ro cho sổ cấp công ty. Trên mức đó, ban điều hành không còn thảo luận được từng rủi ro trong một cuộc họp. Phần chi tiết thuộc về sổ cấp đơn vị và sổ chuyên đề.
Có nên ghi rủi ro cơ hội vào sổ không?
Có thể, nếu ghi rõ là cơ hội và dùng thang lợi ích tương ứng. Nhiều doanh nghiệp để cơ hội trong kế hoạch chiến lược thay vì sổ rủi ro để sổ không loãng. Điều quan trọng là có nơi nào đó cân nhắc có hệ thống cả mặt tích cực của bất định.
Ai là chủ sở hữu rủi ro khi rủi ro liên quan nhiều phòng?
Vẫn chỉ một người, thường là người có quyền điều phối nguồn lực của các phòng liên quan, hoặc người có lợi ích lớn nhất trong mục tiêu bị đe doạ. Các phòng khác có thể là chủ sở hữu từng hành động xử lý.
Sổ rủi ro có cần bảo mật không?
Có. Sổ cấp công ty chứa thông tin nhạy cảm về điểm yếu, khách hàng, pháp lý. Nên phân quyền: ban điều hành và HĐQT xem toàn bộ, trưởng bộ phận xem phần liên quan. Bản gửi ra ngoài, chẳng hạn cho ngân hàng hay nhà đầu tư, nên là bản tóm tắt đã chọn lọc.