Mở đầu. ✓ Chương 2: Cơ sở lý thuyết về quản trị rủi ro. ✓ Chương 3: Phương pháp nghiên cứu. ✓ Chương 4: Kết quả nghiên cứu.
✓ Chương 5: Kết luận và hàm ý giải pháp nâng cao hiệu quả quản trị rủi ro tại Trung tâm Cung ứng vật tư. 8 Chương 2: CƠ SỞ LÝ THUYẾT VỀ QUẢN TRỊ RỦI RO 2.1 Cơ sở lý thuyết về quản trị rủi ro 2.1 Rủi ro Rủi ro, theo cách hiểu mang tính phổ biến, là khả năng xảy ra thiệt hại cho doanh nghiệp do các tình huống có thể xảy ra. Tuy nhiên, trong thực tế hoạt động của một doanh nghiệp thường phải đối mặt với các thách thức và các cơ hội, khi đó rủi ro đã được nhìn nhận một cách khái quát hơn, trong đó gồm cả các tình huống có thể đem lại lợi ích cho doanh nghiệp nếu như có sự quản lý phù hợp. Cách hiểu mang tính khái quát này được các tổ chức tư vấn quốc tế như ISO 31000:2009, COSO1 ERM- 2004 … sử dụng để định nghĩa về rủi ro trong hướng dẫn xây dựng quản trị rủi ro doanh nghiệp: “Rủi ro là ảnh hưởng của các yếu tố không chắc chắn đến mục tiêu của doanh nghiệp”.
Mức độ của rủi ro được xác định thông qua sự kết hợp giữa hệ quả của một sự kiện và khả năng xảy ra sự kiện đó. Rủi ro cũng có liên quan đến tính bất định, nó có thể ảnh hưởng đến mục tiêu của doanh nghiệp một cách tiêu cực (đe dọa) hoặc tích cực (cơ hội). Đây là đặc tính 2 mặt của 1 rủi ro khi có thể làm tăng hoặc giảm giá trị doanh nghiệp. Rủi ro là một sự kết hợp của khả năng điều gì đó xảy ra và mức độ mất mát khi nó xảy ra trong một tình huống hoặc một hành động cụ thể.
Những mất mát này có thể trực tiếp hoặc gián tiếp. Những mất mát gián tiếp bao gồm các sự mất mát về danh tiếng, sự tin tưởng của khách hàng, những chi phí hoạt động gia tăng trong suốt quá trình hồi phục. Những khả năng xảy ra sẽ ảnh hưởng đến việc đạt được các mục tiêu (Partnership, BC, 2005 và NIST, 2004). Rủi ro thường được định lượng bởi ảnh hưởng đến lợi nhuận của một số sự kiện không chắc chắn.
Trong khi những loại và mức độ của rủi ro trong một số tổ chức thì phụ thuộc vào số lượng các nhân tố như quy mô của tổ chức, mức độ phức tạp của các hoạt động (SBP, 2003, P. Rui ro có nhiều cách phân loại, thông thường rủi ro được chia thành rủi ro chiến lược, rủi ro tài chính, rủi ro hoạt động, rủi ro tuân thủ.2 Quản trị rủi ro Quản trị rủi ro có thể được hiểu bằng nhiều cách thức khác nhau. Chẳng hạn, Anderson và Terp (2006) đã duy trì một cách hiểu cơ bản về quản trị rủi ro là một quá trình mà nó cho phép việc ước tính, giảm thiểu và kiểm soát các rủi ro, nâng cao lợi ích và tránh những thiệt hại từ sự đầu cơ. Mục tiêu của quản trị rủi ro là nhằm tối đa hóa tiềm năng thành công và tối thiểu hóa khả năng mất mát trong tương lai.
Rủi ro đã trở thành vấn đề có ảnh hưởng tiêu cực tới chi phí, thời gian, chất lượng và hệ thống. Theo COSO (Committee of Sponsoring Organizations, 2004, p.2), quản trị rủi ro là một quá trình, ảnh hưởng bởi ban giám đốc, nhà quản lý và những cá nhân khác. Được áp dụng trong việc lập chiến lược và xuyên suốt của tổ chức, được thiết kế nhằm nhận diện những sự kiện tiềm tàng mà có thể ảnh hưởng tới tổ chức, và quản trị rủi ro trong mức mong đợi, cung cấp sự đảm bảo hợp lý cho việc đạt được những mục tiêu của tổ chức. Quản trị rủi ro là một quá trình để quản lý những rủi ro tiềm tàng bằng việc nhận diện, phân tích.
Quá trình này có thể hỗ trợ để giảm thiểu những ảnh hưởng tiêu cực. Đầu ra của quá trình có thể hỗ trợ việc giảm thiểu khả năng xảy ra rủi ro và những ảnh hưởng tiêu cực nếu nó xảy ra (Partnerships, BC, 2005). Quản trị rủi ro bao gồm việc nhận diện, đo lường, duy trì và kiểm soát rủi ro. Quá trình này đảm bảo rằng các cá nhân hiểu rõ về quản trị rủi ro và đầy đủ mục tiêu và chiến lược của tổ chức (SBP, 2003).
Quản trị rủi ro là những hoạt động để định hướng và kiểm soát tổ chức về những vấn đề liên quan đến rủi ro. Quản trị rủi ro bao gồm việc thiết lập cơ cấu quản trị rủi ro, xác định trách nhiệm giải trình, các quá trình chính, … Hoạt động quản trị rủi ro được thực hiện bởi các quản lý cấp cao của tổ chức (ISO 31000:2009) Dựa trên những phân tích trên, có thể tóm tắt các khái niệm như sau: Rủi ro: Khả năng và hệ quả của một điều gì đó khi nó xảy ra. Khả năng của việc đó ảnh hưởng đến việc đạt được mục tiêu đã đề ra. 10 Quản trị rủi ro: Quá trình ước tính, giảm thiểu và kiểm soát rủi ro Quá trình nhận diện, phân tích, đánh giá, duy trì và kiểm soát rủi ro.
Hạn chế mức thấp nhất những ảnh hưởng tiêu cực khi điều gì đó xảy ra và qua đó đạt được những mục tiêu và chiến lược của tổ chức.2 Hệ thống quản trị rủi ro và các quy trình quản trị rủi ro Theo định nghĩa của từ điển Longman và Businessdictionnary.com thì cụm từ “quy trình” có nghĩa là: - Một cách thức làm việc gì đó, đặc biệt là theo một cách đúng đắn và thông thường (Longman). - Các hoạt động cố định, từng bước với định rõ điểm đầu và điểm cuối theo thứ tự thực hiện nhiệm vụ (Businessdictionary.com) Hệ thống quản trị rủi ro đã được đề cập nhiều trong các tiêu chuẩn về quản trị rủi ro và các báo cáo chuyên ngành. Hệ thống quản trị rủi ro là một cơ cấu quản trị rủi ro bao gồm phạm vi, quy trình, hệ thống để quản lý các rủi ro và định ra các vai trò và trách nhiệm của các cá nhân liên quan đến quản trị rủi ro. Một cơ cấu quản trị rủi ro bao gồm chính sách và thủ tục quản trị rủi ro, trong đó bao gồm việc nhận diện, chấp nhận, đo lường, giám sát, báo cáo và kiểm soát rủi ro (SBP, 2003).
NIST soát xét quy trình quản trị rủi ro trên ba mặt, bao gồm: nhận diện rủi ro, đánh giá rủi ro và giảm thiểu rủi ro. Như vậy quản trị rủi ro sẽ bao gồm việc nhận diện, đánh giá ảnh hưởng của rủi ro và quan đó đưa ra các phương pháp giảm thiểu rủi ro. Việc giảm thiểu rủi ro bao gồm việc xếp hạng ưu tiên rủi ro, duy trì và thực thi các kiểm soát thích hợp được đề xuất từ kết quả của đánh giá rủi ro. Việc đánh giá rủi ro là nhân tố chính của chương trình quản trị rủi ro thành công.
Hướng dẫn về quản trị rủi ro doanh nghiệp (COSO) mô tả quá trình quản trị rủi ro theo các bước: (1) Thiết lập bối cảnh; (2) Nhận diện rủi ro; (3) Phân tích rủi ro; (4) Đánh giá rủi ro; (5) Phát triển chiến lược giảm thiểu rủi ro; (6) Giám sát và soát xét chiến lược giảm thiểu rủi ro; (7) Định lượng rủi ro; (8) Thông tin và tham vấn về rủi ro. 11 Tiêu chuẩn về quản trị rủi ro (ISO 31000:2009) định nghĩa về quy trình quản trị rủi ro bao gồm các bước: (1) Thiết lập bối cảnh; (2) Đánh giá rủi ro; (3) Ứng phó rủi ro; (4) Thông tin và tham vấn; (5) Báo cáo và giám sát.1: Quy trình quản trị rủi ro (Nguồn: ISO 31000:2009, trang 22) ❖ Thiết lập bối cảnh Thiết lập bối cảnh là việc xác định các hiện trạng, tình huống bên ngoài và bên trong doanh nghiệp, thiết lập các tiêu chí về rủi ro làm nền tảng cho các chính sách quản trị rủi ro (ISO 31000:2009). Thiết lập bối cảnh gồm có ba nội dung là: Thiết lập bối cảnh bên ngoài; Thiết lập bối cảnh bên trong; Thiết lập bối cảnh của quy trình quản trị rủi ro. 12 - Thiết lập bối cảnh bên ngoài: Bối cảnh bên ngoài là môi trường mà tổ chức tìm kiếm để đạt được mục tiêu.
Thiết lập bối cảnh bên ngoài rất quan trọng để đảm bảo rằng các mục tiêu và mối quan tâm của các bên liên quan bên ngoài được xem xét khi phát triển các tiêu chí rủi ro. Bối cảnh bên ngoài này có thể bao gồm: Các yếu tố về văn hóa và xã hội, chính trị, pháp lý, chế định, tài chính, công nghệ, kinh tế, điều kiện tự nhiên, môi trường cạnh tranh, … Các yếu tố về định lượng và xu hướng kinh doanh có tác động đến mục tiêu phát triển của tổ chức. Các mối quan hệ, nhận thức và giá trị của các bên liên quan bên ngoài với tổ chức (cổ đông, nhà đầu tư, …) - Thiết lập bối cảnh bên trong: Bối cảnh bên trong là môi trường trong đó tổ chức tìm kiếm để đạt được mục tiêu. Quy trình quản trị rủi ro phải liên kết với văn hóa, quá trình hoạt động, cơ cấu và chiến lược của tổ chức.
Bối cảnh bên trong là bất kỳ điều gì trong tổ chức mà có thể ảnh hưởng đến cách thức mà một tổ chức quản trị rủi ro. Bối cảnh bên trong rất quan trọng bởi: (1) Quản trị rủi ro diễn ra trong bối cảnh các mục tiêu của tổ chức, thực hiện để đảm bảo tổ chức đạt được các mục tiêu đó; (2) Các dự án hoặc chương trình được thực hiện cũng có những mục tiêu cụ thể phù hợp với mục tiêu chung của tổ chức và hướng tới mục tiêu chung; (3) Việc không nhận diện được những cơ hội để đạt được những mục tiêu chiến lược, các dự án, … sẽ ảnh hưởng đến uy tín, danh tiếng và giá trị của tổ chức. Bối cảnh bên trong bao gồm: Cách thức quản trị, cơ cấu tổ chức, vai trò và trách nhiệm giải trình. Các chính sách, mục tiêu và chiến lược để đạt được mục tiêu.
Nguồn lực và năng lực, kiến thức của tổ chức (vốn, thời gian, con người, quá trình, hệ thống, công nghệ). Hệ thống thông tin và quy trình ra quyết định trong tổ chức. Mối quan hệ và giá trị của các bên liên quan nội bộ (các tương tác giữa các phòng ban trong tổ chức). Văn hóa của tổ chức.
13 - Thiết lập bối cảnh của quá trình quản trị rủi ro: Bối cảnh của quá trình quản trị rủi ro sẽ khác nhau tùy theo nhu cầu của một tổ chức.