1. Tư duy nền tảng về Quản trị rủi ro doanh nghiệp (ERM)
Bản chất của rủi ro trong bối cảnh hiện đại
Quan niệm về rủi ro đã có sự thay đổi căn bản, không còn bó hẹp trong những tác động tiêu cực:
- Rủi ro hai mặt: Bao gồm cả rủi ro suy giảm (Downside risk – mối đe dọa) và rủi ro gia tăng (Upside risk – cơ hội). Quản trị đúng cách sẽ giúp doanh nghiệp tận dụng được các cơ hội này.
- Sự tiến hóa: Chuyển đổi từ Quản trị rủi ro truyền thống (Silo Risk Management) — nơi các bộ phận quản lý riêng rẽ — sang ERM (Quản trị tập trung, đồng bộ toàn hệ thống).
Mô hình Ba tuyến phòng thủ (Three Lines Model)
Trong cấu trúc Tổng công ty, vai trò quản trị rủi ro được phân định rõ ràng để đảm bảo tính khách quan và hiệu quả:
- Tuyến 1 (Chủ thể sở hữu rủi ro): Gồm các Ban/Đơn vị vận hành trực tiếp như Kinh doanh, Sản xuất, Kế toán. Đây là những đơn vị trực tiếp đối mặt và xử lý rủi ro.
- Tuyến 2 (Đơn vị Quản trị rủi ro): Đóng vai trò thiết lập khung quản trị, hướng dẫn, điều phối, giám sát và tổng hợp báo cáo. Tư duy cốt lõi của tuyến này là “Đầu mối kết nối và hỗ trợ”, không làm thay công việc của các phòng ban khác.
- Tuyến 3 (Kiểm toán nội bộ): Thực hiện đánh giá độc lập về tính hiệu quả của cả Tuyến 1 và Tuyến 2.
2. Phân tích các khung quản trị quốc tế: ISO 31000 và COSO ERM
Việc lựa chọn khung quản trị cần dựa trên mục đích cụ thể và đặc thù của đơn vị.
Khung ISO 31000: Tiếp cận tinh gọn và linh hoạt
Khung này tập trung mạnh vào tính tích hợp rủi ro vào mọi hoạt động và quyết định của tổ chức.
- 3 Trụ cột chính: Nguyên tắc (Principles) \rightarrow Khung quản trị (Framework) \rightarrow Quy trình (Process).
- Sơ đồ quy trình chuẩn: Thiết lập bối cảnh \rightarrow Nhận diện \rightarrow Phân tích \rightarrow Đánh giá \rightarrow Ứng phó.
Khung COSO ERM 2017: Tiếp cận chiến lược và hiệu năng
Khung này giúp liên kết trực tiếp rủi ro với chiến lược kinh doanh của Tổng công ty thông qua 5 thành phần:
- Quản trị và Văn hóa: Nền tảng cho sự hiểu biết và thực thi ERM.
- Chiến lược và Thiết lập mục tiêu: Tích hợp ERM vào quy trình lập kế hoạch chiến lược.
- Triển khai/Thực hiện: Nhận diện và đánh giá các rủi ro ảnh hưởng đến hiệu năng.
- Rà soát và Xét duyệt: Đánh giá sự thay đổi và hiệu quả của hệ thống ERM.
- Thông tin, Truyền thông và Báo cáo: Đảm bảo luồng thông tin xuyên suốt tổ chức.
Ma trận ứng dụng thực tế
| Tiêu chí | ISO 31000 | COSO ERM 2017 |
| Đặc điểm | Tinh gọn, linh hoạt, tập trung vào quy trình vận hành. | Gắn liền với chiến lược, quản trị hệ thống phức tạp. |
| Ứng dụng tối ưu | Các nhà máy, kho bãi, đơn vị thành viên để xây dựng quy trình vận hành nhanh. | Cấp Tổng công ty, phục vụ báo cáo Hội đồng quản trị và Ban điều hành. |
3. Phương pháp xây dựng hệ thống văn bản và chính sách
Để quản trị rủi ro hiệu quả trong mô hình đa công ty thành viên, hệ thống văn bản cần được cấu trúc theo phân cấp rõ ràng.
Cấu trúc bộ văn bản QTRR chuẩn
- Tầng 1 – Chính sách/Quy chế (Risk Policy): Do HĐQT/Ban Tổng giám đốc ban hành. Quy định các nguyên tắc chung, mô hình tổ chức, phân định trách nhiệm và mức độ chấp nhận rủi ro tổng thể.
- Tầng 2 – Quy trình (Risk Procedure): Mô tả chi tiết các bước thực hiện, các biểu mẫu hồ sơ cần thiết, tần suất thực hiện đánh giá và báo cáo.
- Tầng 3 – Hướng dẫn/Công cụ (Risk Guidelines): Các tài liệu kỹ thuật chi tiết hướng dẫn cách chấm điểm rủi ro và định nghĩa các tiêu chí định lượng/định tính.
Chiến lược triển khai tại các đơn vị thành viên
- Phân tích khoảng trống (Gap analysis): Tiến hành khảo sát thực trạng quản trị tại từng đơn vị để xác định các điểm còn thiếu hụt so với chuẩn mực.
- Nguyên tắc “Thống nhất trong đa dạng”:
- Tổng công ty ban hành khung chính sách chung để đảm bảo tính đồng bộ.
- Các đơn vị thành viên cụ thể hóa bằng các quy trình rà soát riêng, phù hợp với đặc thù vận hành của đơn vị mình nhưng không được trái với khung chung của Tổng công ty.
4. Kết luận
Việc xây dựng một hệ thống ERM vững mạnh đòi hỏi sự kết hợp giữa tư duy quản trị hiện đại (coi rủi ro là cơ hội), việc lựa chọn khung chuẩn quốc tế phù hợp (ISO 31000 hoặc COSO) và một hệ thống văn bản chính sách chặt chẽ. Vai trò của chuyên viên ERM không chỉ là giám sát mà còn là người hỗ trợ, kết nối để bảo vệ và tạo ra giá trị bền vững cho toàn hệ thống Tổng công ty.