Giáo Trình Quản Trị Rủi Ro Dự Án: Phân Tích và Giải Pháp

Giáo trình nghiên cứu rủi ro dự ắn, trình bày lý thuyết rõ ràng, minh họa ví dụ thực tế, phù hợp sinh viên kinh tế., phục vụ nghiên cứu và ứng dụng thực tiễn

• Tác giả: Nhóm Tác Giả
• Trường học: Thái Nguyên University
• Chuyên ngành: An Toàn Thông Tin, Kỹ Thuật Phần Mềm
• Đề tài: Hướng Dẫn Quản Trị Rủi Ro Dự Án Hiệu Quả
• Loại tài liệu: giáo trình
• Năm xuất bản: 2021
• Địa điểm: Thái Nguyên

Mục lục chi tiết

• MỤC LỤC
• DANH MỤC TỪ VIẾT TẮT
• DANH MỤC HÌNH VẼ
• DANH MỤC BẢNG BIỂU
• 1. CHƯƠNG 1: GIỚI THIỆU TỔNG QUAN VỀ QUẢN LÝ RỦI RO
• 1.1. Tại sao rủi ro nên được tiến hành phân tích rủi ro?
• 1.2. Khi nào nên tiến hành phân tích rủi ro?
• 1.3. Ai nên tiến hành phân tích rủi ro và đánh giá rủi ro?
• 1.4. Cách thức tiến hành đánh giá và phân tích rủi ro?
• 1.5. Điều gì có thể là kết quả của một quản lý rủi ro của một tổ chức?
• 1.6. Đối tượng xét các kết quả của một phân tích rủi ro?
• 1.7. Thế nào là sự thành công của các phân tích rủi ro?
• 2. CHƯƠNG 2: QUẢN LÝ RỦI RO
• 2.1. Quản lý rủi ro là một phần của Quản lý dự án phần mềm
• 2.2. Chu trình phát triển của hệ thống thông tin
• 2.3. Quản lý rủi ro trong mô hình Ước lượng dự án phần mềm
• 2.4. Các pha của quy trình ước lượng
• 2.5. Vị trí của ước lượng chi phí trong chu trình phát triển phần mềm
• 2.6. Ước lượng chi phí phần mềm tại Việt Nam. Vai trò và trách nhiệm của nhân viên
• 2.7. Chu trình bảo mật thông tin và Quy trình quản lý rủi ro
• 2.8. Phân tích rủi ro
• 2.9. Phân tích tác động Hazard
• 2.10. Phương pháp dùng Bảng câu hỏi
• 2.11. Quy trình bảng câu hỏi đánh giá rủi ro
• 2.12. Đánh giá rủi ro
• 2.13. Phân tích chi phí - lợi ích
• 2.14. Giảm thiểu rủi ro
• 3. CHƯƠNG 3: QUY TRÌNH ĐÁNH GIÁ RỦI RO
• 3.1. Quy trình đánh giá rủi ro
• 3.2. Thông tin là một tài sản
• 3.3. Phương pháp đánh giá rủi ro
• 3.4. Xác định tài sản
• 3.5. Xác định mối đe dọa
• 3.6. Xác định mức độ rủi ro
• 3.7. Điều khiển và biện pháp tự vệ
• 3.8. Phân tích Chi phí lợi ích
• 4. CHƯƠNG 4: ĐÁNH GIÁ RỦI RO BẰNG PHƯƠNG PHÁP ĐỊNH TÍNH
• 4.1. Phương pháp đánh giá rủi ro
• 4.2. Phương pháp phân tích rủi ro định tính
• 4.3. Phương pháp phân tích rủi ro định lượng
• 4.4. So sánh hai phương pháp
• 4.5. Khái niệm cơ bản đánh giá rủi ro định tính
• 4.6. Quy trình đánh giá và phân tích rủi ro FRAAP
• 4.7. Các biến thể của FRAAP
• DANH MỤC TÀI LIỆU THAM KHẢO
• LỜI NÓI ĐẦU

Tóm tắt

I. Hướng Dẫn Tổng Quan Về Quản Trị Rủi Ro Dự Án Hiệu Quả

Quản trị rủi ro là một phần không thể thiếu trong quản lý dự án. Việc hiểu rõ về quy trình này giúp tổ chức giảm thiểu thiệt hại và tối ưu hóa cơ hội thành công. Quản trị rủi ro không chỉ là việc phát hiện và xử lý các rủi ro mà còn là một chiến lược dài hạn để bảo vệ tài sản và uy tín của tổ chức.

1.1. Tại Sao Phân Tích Rủi Ro Là Cần Thiết

Phân tích rủi ro giúp tổ chức nhận diện và đánh giá các yếu tố có thể ảnh hưởng đến dự án. Điều này không chỉ giúp đưa ra quyết định đúng đắn mà còn tạo ra các biện pháp phòng ngừa hiệu quả.

1.2. Ai Là Người Chịu Trách Nhiệm Phân Tích Rủi Ro

Các nhà quản lý dự án và các chuyên gia trong tổ chức thường là những người thực hiện phân tích rủi ro. Họ cần có kiến thức chuyên môn và kinh nghiệm để đánh giá chính xác các rủi ro tiềm ẩn.

II. Những Thách Thức Trong Quản Trị Rủi Ro Dự Án

Quản trị rủi ro không phải là một nhiệm vụ dễ dàng. Nhiều tổ chức gặp khó khăn trong việc nhận diện và đánh giá các rủi ro. Các yếu tố như thiếu thông tin, sự không chắc chắn và áp lực thời gian có thể làm cho quá trình này trở nên phức tạp hơn.

2.1. Những Rủi Ro Khó Nhận Diện

Nhiều rủi ro có thể không được phát hiện cho đến khi chúng xảy ra. Điều này có thể dẫn đến những hậu quả nghiêm trọng cho dự án và tổ chức.

2.2. Áp Lực Thời Gian Trong Quản Trị Rủi Ro

Thời gian hạn chế có thể khiến cho việc phân tích và đánh giá rủi ro không được thực hiện đầy đủ. Điều này có thể dẫn đến việc bỏ sót các yếu tố quan trọng.

III. Phương Pháp Quản Trị Rủi Ro Hiệu Quả

Để quản trị rủi ro hiệu quả, tổ chức cần áp dụng các phương pháp và công cụ phù hợp. Việc lập kế hoạch chi tiết và thực hiện các biện pháp phòng ngừa là rất quan trọng.

3.1. Quy Trình Lập Kế Hoạch Quản Trị Rủi Ro

Quy trình này bao gồm việc xác định, phân tích và lập kế hoạch đối phó với các rủi ro. Mỗi bước cần được thực hiện một cách cẩn thận để đảm bảo hiệu quả.

3.2. Công Cụ Hỗ Trợ Quản Trị Rủi Ro

Sử dụng các công cụ như bảng câu hỏi và phân tích chi phí-lợi ích giúp tổ chức đánh giá rủi ro một cách chính xác và hiệu quả hơn.

IV. Ứng Dụng Thực Tiễn Của Quản Trị Rủi Ro

Việc áp dụng quản trị rủi ro trong thực tiễn giúp tổ chức giảm thiểu thiệt hại và tối ưu hóa cơ hội thành công. Các nghiên cứu cho thấy rằng các tổ chức thực hiện quản trị rủi ro hiệu quả thường có tỷ lệ thành công cao hơn.

4.1. Kết Quả Nghiên Cứu Về Quản Trị Rủi Ro

Nghiên cứu cho thấy rằng các tổ chức có quy trình quản trị rủi ro rõ ràng thường đạt được mục tiêu dự án tốt hơn và giảm thiểu chi phí phát sinh.

4.2. Các Ví Dụ Thành Công Trong Quản Trị Rủi Ro

Nhiều tổ chức đã áp dụng thành công các phương pháp quản trị rủi ro, từ đó nâng cao hiệu quả hoạt động và tăng cường uy tín trên thị trường.

V. Kết Luận Về Quản Trị Rủi Ro Dự Án

Quản trị rủi ro là một yếu tố quan trọng trong thành công của bất kỳ dự án nào. Việc áp dụng các phương pháp và công cụ phù hợp sẽ giúp tổ chức giảm thiểu thiệt hại và tối ưu hóa cơ hội thành công.

5.1. Tương Lai Của Quản Trị Rủi Ro

Với sự phát triển của công nghệ, quản trị rủi ro sẽ ngày càng trở nên quan trọng hơn. Các tổ chức cần cập nhật và cải tiến quy trình của mình để đáp ứng với những thách thức mới.

5.2. Lời Khuyên Cho Các Tổ Chức

Các tổ chức nên đầu tư vào đào tạo nhân viên về quản trị rủi ro và áp dụng các công cụ hiện đại để nâng cao hiệu quả quản lý rủi ro.

Nội dung chính

Tổng quan về giáo trình

Giáo trình Quản lý rủi ro (xuất bản tháng 6 năm 2021 tại Thái Nguyên) được biên soạn nhằm phục vụ chương trình đào tạo trình độ đại học và sau đại học cho hai chuyên ngành: Kỹ thuật phần mềm và An toàn thông tin. Trong khung chương trình đào tạo kỹ sư công nghệ thông tin, học phần này giữ vị trí cầu nối chuyên môn giữa khối kiến thức quản lý dự án (Project Management) và kỹ thuật bảo mật hệ thống thông tin (Information Security).

Mục tiêu học tập của giáo trình tập trung vào việc cung cấp cho người học hệ thống phương pháp luận để nhận diện, phân tích, ước lượng, đánh giá và xây dựng giải pháp kiểm soát các yếu tố không chắc chắn phát sinh trong chu trình phát triển phần mềm và vận hành hệ thống thông tin. Hoàn thành giáo trình, người học có năng lực thiết lập quy trình quản lý rủi ro theo các chuẩn mực quốc tế, xây dựng hồ sơ ước lượng chi phí - lịch trình, và triển khai các kỹ thuật đánh giá định tính, định lượng trên tài sản thông tin.

Cấu trúc giáo trình gồm 4 chương chính được triển khai theo tiến trình logic:

• Chương 1: Giới thiệu tổng quan về quản lý rủi ro
• Chương 2: Quản lý rủi ro trong chu trình phát triển và ước lượng dự án phần mềm
• Chương 3: Quy trình đánh giá rủi ro an toàn thông tin
• Chương 4: Đánh giá rủi ro bằng phương pháp định tính (Quy trình FRAAP)

Điểm đặc thù của tài liệu là việc kết hợp chặt chẽ giữa quản trị dự án phần mềm thực nghiệm với các khung tiêu chuẩn an toàn thông tin như ISO 31000 và NIST. Nội dung giáo trình định hướng xử lý rủi ro không chỉ ở khía cạnh công nghệ mà tiếp cận như một quy trình nghiệp vụ (Business Development Life Cycle - BDLC) nhằm cân bằng giữa chi phí hoạt động và mức độ an toàn của hệ thống.

---

Nội dung kiến thức cốt lõi

Các chương/chủ đề chính

Nội dung học thuật của giáo trình được tổ chức qua 4 chương chuyên đề với chuỗi logic phát triển từ nhận thức quản trị, mô hình hóa kỹ thuật, đến công cụ thực thi chuyên sâu:

• Chương 1: Giới thiệu tổng quan về quản lý rủi ro
  Chương này làm rõ cơ sở lý luận của việc phân tích rủi ro trong tổ chức. Nội dung giải quyết các câu hỏi nền tảng: lý do, thời điểm, nhân sự và phương thức tiến hành phân tích rủi ro. Chương 1 xác lập 8 bước trong kế hoạch quản lý rủi ro: từ làm rõ rủi ro, đánh giá mức độ, lựa chọn rủi ro, xác định phương pháp tránh, lập kế hoạch ứng phó bất trắc, theo dõi - báo cáo, phân định trách nhiệm đến chuẩn bị cơ sở dữ liệu. Tiêu chí thành công của một quy trình phân tích rủi ro được lượng hóa qua hai thước đo: tối ưu hóa chi phí và tốc độ hỗ trợ ra quyết định quản lý.

• Chương 2: Quản lý rủi ro trong quản trị dự án phần mềm
  Chương 2 phân tích sự giao thoa giữa quản lý rủi ro và Vòng đời phát triển phần mềm (SDLC). Nội dung đối sánh các mô hình chu trình phát triển: mô hình thác nước (Waterfall - Royce, 1970), mô hình tăng trưởng (Incremental), mô hình xoắn ốc (Spiral - Boehm, 1988), mô hình lắp ráp cấu phần (CBD), mô hình làm nguyên mẫu (Prototyping) và kỹ thuật thế hệ thứ tư (4GT). Trọng tâm chương là quy trình 8 bước ước lượng chi phí phần mềm tích hợp đánh giá rủi ro:

  1. Ước lượng kích cỡ (SLOC/FP);
  2. Ước lượng chi phí và công sức (mô hình thuật toán, COCOMO II, chuyên gia);
  3. Ước lượng lịch trình;
  4. Ước lượng tài nguyên máy tính;
  5. Đánh giá rủi ro (áp dụng Pert Sizing, Wideband Delphi);
  6. Kiểm tra và phê duyệt độc lập;
  7. Theo dõi và báo cáo qua Hồ sơ ước lượng phần mềm (SEF) và Kế hoạch phát triển phần mềm (SDP);
  8. Đo đạc và hoàn thiện quy trình.

• Chương 3: Quy trình đánh giá rủi ro
  Chương 3 định nghĩa thông tin như một tài sản chiến lược của tổ chức. Quy trình đánh giá rủi ro được chuẩn hóa qua các khâu: nhận dạng và định giá tài sản, xác định mối đe dọa, nhận diện lỗ hổng bảo mật, tính toán mức độ rủi ro theo thuật toán quan hệ: $\text{Rủi ro} = f(\text{Tài sản} \times \text{Mối đe dọa} \times \text{Lỗ hổng})$, lựa chọn biện pháp tự vệ (controls/safeguards) và thực hiện phân tích chi phí - lợi ích (Cost-Benefit Analysis).

• Chương 4: Đánh giá rủi ro bằng phương pháp định tính
  Chương 4 cung cấp phương pháp phân tích rủi ro định tính đối sánh với phương pháp định lượng. Trọng tâm là Quy trình phân tích và đánh giá rủi ro thuận lợi FRAAP (Facilitated Risk Analysis and Assessment Process) và các biến thể của nó. Nội dung hướng dẫn cách thức tổ chức đội ngũ chuyên gia nội bộ, sử dụng bảng hỏi, ma trận định mức rủi ro, phân loại mối đe dọa theo nguồn gốc/hậu quả/yếu tố kỹ thuật và xếp hạng ưu tiên xử lý.

+-----------------------------------------------------------------------------------+
|                           TIẾN TRÌNH NỘI DUNG GIÁO TRÌNH                          |
+-----------------------------------------------------------------------------------+
|  Chương 1: Tổng quan quản lý rủi ro (Khung khái niệm & 8 bước lập kế hoạch)       |
|                                       ↓                                           |
|  Chương 2: Tích hợp rủi ro vào SDLC & Quy trình 8 bước ước lượng dự án CNTT       |
|                                       ↓                                           |
|  Chương 3: Quy trình đánh giá rủi ro tài sản thông tin (R = Tài sản x Đe dọa x Lỗ hổng) |
|                                       ↓                                           |
|  Chương 4: Kỹ thuật định tính FRAAP, Ma trận mức độ rủi ro & Bảng tính HIA/VACE  |
+-----------------------------------------------------------------------------------+

Kiến thức nền tảng được xây dựng

Giáo trình cung cấp nền tảng lý thuyết và các khung tham chiếu chuyên ngành:

• Lý thuyết nền tảng (Fundamental Theories): Lý thuyết vòng đời phát triển hệ thống thông tin (SDLC) và vòng đời phát triển kinh doanh (BDLC); lý thuyết ước lượng công sức và độ phức tạp phần mềm; hệ thống quản lý an toàn thông tin (ISMS).
• Nguyên tắc cốt lõi (Core Principles): Nguyên tắc quản lý rủi ro chủ động thay vì ứng phó sự cố thụ động; nguyên tắc cân bằng chi phí triển khai biện pháp kiểm soát và giá trị tài sản cần bảo vệ; nguyên tắc kiểm soát bù trừ (compensating controls).
• Khung tiêu chuẩn và quy trình (Essential Frameworks): Tiêu chuẩn ISO 31000 về quản lý rủi ro; hướng dẫn quản lý rủi ro an toàn thông tin từ Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST); quy trình đánh giá nhanh FRAAP; phân tích tác động mối nguy hại (Hazard Impact Analysis - HIA); đánh giá lỗ hổng và hoạt động kiểm soát (Vulnerability Assessment and Controls Evaluation - VACE).

Kỹ năng phát triển

Người học được rèn luyện các nhóm kỹ năng thực hành kỹ thuật và quản lý:

• Kỹ năng kỹ thuật (Technical Skills): Đo lường kích cỡ phần mềm bằng số dòng lệnh (SLOC/KSLOC) và Điểm chức năng (Function Points); thiết lập cấu trúc phân rã công việc (Work Breakdown Structure - WBS) đến các thành phần CSCI (Computer Software Configuration Item) và SU (Software Unit); lập hồ sơ ước lượng phần mềm (Software Estimation File - SEF) và kế hoạch phát triển (SDP).
• Kỹ năng phân tích (Analytical Skills): Phân tích nguồn gốc, xác suất và mức độ tác động của các mối đe dọa kỹ thuật; phân tích chi phí - lợi ích của các phương án phòng vệ; tính toán sai số ước lượng trong các pha dự án (khoảng biến thiên 30-50%).
• Kỹ năng năng lực thực tiễn (Practical Competencies): Tổ chức và điều phối phiên làm việc đánh giá rủi ro định tính trong thời gian ngắn với các bên liên quan; xây dựng ma trận định mức rủi ro; thực hiện quy trình kiểm tra, phê duyệt độc lập (verification & validation) đối với các báo cáo quản lý dự án.

---

Phương pháp giảng dạy và học tập

Giáo trình áp dụng phương pháp tiếp cận quy trình kỹ nghệ kết hợp với quản trị kinh doanh. Việc truyền thụ kiến thức không chỉ dừng lại ở các định nghĩa lý thuyết mà gắn liền với các công cụ mô hình hóa, biểu mẫu dữ liệu và quy trình chuẩn hóa.

+-----------------------------------------------------------------------------------+
|                   CẤU TRÚC PHƯƠNG PHÁP GIẢNG DẠY VÀ HỌC TẬP                      |
+-----------------------------------------------------------------------------------+
|  TIẾP CẬN SƯ PHẠM    | Kết hợp lý thuyết SDLC/BDLC với kỹ thuật mô hình hóa chuẩn |
|  THỰC HÀNH TỔ CHỨC   | Lập WBS, tính toán SLOC/FP, điền bảng tính HIA & VACE      |
|  CASE STUDIES        | Xây dựng Hồ sơ SEF mẫu, xử lý bài toán biến động 30-50%    |
|  ĐÁNH GIÁ NĂNG LỰC   | Đo lường hiệu quả quá trình & Đo lường chi phí quá trình   |
+-----------------------------------------------------------------------------------+

Tiếp cận sư phạm và nghiên cứu tình huống

• Tiếp cận theo tiến trình kỹ nghệ: Hướng dẫn sinh viên cách ánh xạ từng hoạt động quản trị rủi ro vào 5 pha của SDLC (Khảo sát, Phân tích, Thiết kế, Xây dựng & Kiểm thử, Vận hành & Bảo trì) theo chuẩn NIST.
• Hệ thống bài tập và nghiên cứu tình huống (Case Studies): Giáo trình cung cấp cấu trúc hồ sơ mẫu ước lượng dự án (Bảng 2.3), yêu cầu sinh viên tổng hợp các tham số giả định, số lượng CSCI, kích cỡ mã nguồn mới/tái sử dụng và dự đoán mốc lịch trình.
• Thực hành biểu mẫu kỹ thuật: Người học thao tác trực tiếp trên các bảng tính phân tích tác động Hazard (HIA - Hình 2.7, 2.8, 2.9), bảng danh mục kiểm soát CNTT (Bảng 2.8, 2.9) và các ma trận định mức rủi ro (Bảng 2.10a, 2.10b).

Phương pháp đánh giá và hướng dẫn tự học

• Phương pháp đánh giá học phần (Assessment Methods): Năng lực của người học được đo lường thông qua kỹ năng xây dựng hồ sơ SEF, khả năng áp dụng tối thiểu 2 phương pháp ước lượng độc lập (kết hợp thủ công và tự động) để so sánh sai lệch dưới ngưỡng 20%. Giáo trình áp dụng hai chỉ số đo lường quy trình (Bảng 2.4):
  1. Phép đo hiệu quả của quá trình: Đánh giá độ chính xác qua sự chênh lệch giữa giá trị ước lượng ban đầu và giá trị thực tế sau cập nhật (về mã nguồn, chi phí, lịch trình).
  2. Phép đo chi phí của quá trình: Định lượng chi phí thực hiện đánh giá (giờ nhân công, chi phí công cụ, bản quyền, chuyên gia tư vấn).
• Hướng dẫn tự học (Self-study Guidelines): Tự đối sánh ưu - nhược điểm của các chu trình SDLC (Waterfall, Incremental, Spiral, CBD); tự thực hành các kỹ thuật xử lý bất định như Pert Sizing và Wideband Delphi; nghiên cứu các chuẩn mực bảo mật ISO 31000 để rèn luyện kỹ năng phân loại mối đe dọa.

---

Điểm nổi bật và cập nhật

Nội dung giáo trình phản ánh các thực tiễn trong công tác quản lý dự án và bảo mật hệ thống thông tin tại Việt Nam tính đến năm 2021:

• Giải quyết bài toán thời gian và nguồn lực trong doanh nghiệp: Giáo trình phân tích phương pháp FRAAP nhằm khắc phục hạn chế của các phương pháp đánh giá rủi ro truyền thống vốn kéo dài nhiều tuần hoặc nhiều tháng. Quy trình này được thiết kế để hoàn thành trong ngày, tận dụng kiến thức chuyên sâu của đội ngũ chuyên gia nội bộ mà không làm gián đoạn tiến độ công việc hàng ngày.
• Tích hợp các mô hình phát triển phần mềm hiện đại: Cập nhật các mô hình phát triển dựa trên cấu phần (Component-Based Development - CBD) với dữ liệu thực tế từ QSM Associate, Inc (giảm 70% thời gian chu trình phát triển và 84% chi phí), mô hình phát triển nhanh (RAD), mô hình phát triển tiến hóa, lập trình cực đoan (Extreme Programming), quy trình hợp nhất (RUP) và ngôn ngữ mô hình hóa UML.
• Gắn liền thực tiễn ước lượng chi phí tại Việt Nam: Phân tích trực diện các nguyên nhân gây rủi ro tiến độ và ngân sách trong nước, bao gồm việc giá thành bị áp đặt trước từ chủ đầu tư, đặc tả yêu cầu chưa đầy đủ, và xu hướng đánh giá lạc quan thái quá về khả năng tái sử dụng mã nguồn (thực tế thay đổi thường vượt quá 50% so với mức dự tính 10%).
• Chuẩn hóa hệ thống biểu mẫu kỹ thuật: Tài liệu cung cấp chi tiết danh mục phân loại mối đe dọa theo nguồn gốc, hậu quả, yếu tố kỹ thuật, cùng hệ thống bảng đo lường xác suất, mức độ tác động và tính toán yếu tố nguy cơ.

---

Đối tượng sử dụng giáo trình

Giáo trình Quản lý rủi ro được thiết kế cho các nhóm độc giả học thuật và chuyên môn:

• Sinh viên đại học: Sinh viên năm thứ 3 và năm thứ 4 chuyên ngành Kỹ thuật phần mềm, An toàn thông tin, Hệ thống thông tin quản lý và Công nghệ thông tin. Giáo trình cung cấp kiến thức nền tảng để sinh viên thực hiện đồ án môn học Quản trị dự án CNTT, Đồ án An toàn mạng và Khóa luận tốt nghiệp.
• Học viên cao học: Học viên các chương trình thạc sĩ ngành Khoa học máy tính, Kỹ thuật phần mềm và An toàn thông tin sử dụng tài liệu để nghiên cứu các mô hình đo lường rủi ro phần mềm, tối ưu hóa quy trình kiểm soát và xây dựng khung ISMS.
• Điều kiện tiên quyết (Prerequisites): Người học cần hoàn thành các học phần: Nhập môn Công nghệ phần mềm, Phân tích và Thiết kế hệ thống thông tin, Lập trình hướng đối tượng, Cơ sở dữ liệu và Cơ bản về mạng máy tính.
• Giảng viên và cán bộ nghiên cứu: Dùng làm đề cương bài giảng chính thức, tài liệu tham khảo cho việc thiết kế học phần Quản lý dự án CNTT hoặc Đánh giá rủi ro an toàn thông tin.
• Kỹ sư và chuyên gia thực hành: Tài liệu tham khảo hữu ích cho các Quản lý dự án (Project Managers), Kỹ sư đảm bảo chất lượng phần mềm (SQA), Chuyên viên bảo mật và Cán bộ kiểm toán hệ thống thông tin tại doanh nghiệp.

---

Câu hỏi thường gặp

1. Giáo trình này phù hợp với ai?

Giáo trình phục vụ giảng dạy cho sinh viên đại học từ năm thứ 3, học viên cao học các ngành Kỹ thuật phần mềm, An toàn thông tin, CNTT, đồng thời là tài liệu tham khảo cho các kỹ sư quản lý dự án và chuyên viên bảo mật hệ thống.

2. Cần kiến thức nền nào để học giáo trình này?

Người học cần nắm vững kiến thức về vòng đời phát triển phần mềm (SDLC), phân tích thiết kế hệ thống thông tin, các khái niệm cơ bản về kiến trúc hệ thống và an toàn mạng máy tính.

3. Điểm khác biệt của giáo trình so với các tài liệu quản lý rủi ro chung?

Tài liệu tích hợp song song hai khía cạnh: Quản lý rủi ro dự toán phần mềm (ước lượng kích cỡ SLOC/FP, chi phí, công sức, lịch trình) và Đánh giá rủi ro an toàn thông tin (tính toán mức độ rủi ro dựa trên tài sản, đe dọa, lỗ hổng theo ISO 31000/NIST và quy trình định tính FRAAP).

+-----------------------------------------------------------------------------------+
|          SO SÁNH CÁC PHƯƠNG PHÁP ĐÁNH GIÁ RỦI RO TRONG GIÁO TRÌNH                 |
+-----------------------------------------------------------------------------------+
| TIÊU CHÍ         | ĐÁNH GIÁ ĐỊNH TÍNH (FRAAP)        | ĐÁNH GIÁ ĐỊNH LƯỢNG        |
+------------------+-----------------------------------+----------------------------+
| Thời gian        | Ngắn (hoàn thành trong ngày)      | Dài (nhiều tuần đến tháng) |
| Chi phí          | Thấp, dùng chuyên gia nội bộ      | Cao, cần công cụ & dữ liệu |
| Đầu ra           | Ma trận phân hạng ưu tiên rủi ro  | Giá trị thiệt hại tiền tệ  |
| Khả năng áp dụng | Linh hoạt cho mọi quy mô dự án    | Phù hợp hệ thống lớn, cố định|
+-----------------------------------------------------------------------------------+

4. Làm sao để tự học và nắm bắt kiến thức hiệu quả?

Người học nên kết hợp nghiên cứu lý thuyết chu trình SDLC với việc tự điền các biểu mẫu thực hành trong giáo trình: lập cấu trúc phân rã WBS, tính toán thử nghiệm ước lượng chi phí theo hai phương pháp độc lập, lập hồ sơ SEF và hoàn thành bảng tính HIA.

5. Có tài liệu và chuẩn mực bổ trợ nào được trích dẫn trong giáo trình?

Giáo trình trích dẫn và đối chiếu với các chuẩn mực quốc tế: Tiêu chuẩn quản lý rủi ro ISO 31000, khung quản lý rủi ro của NIST, các công trình nghiên cứu SDLC của Royce (1970), Boehm (1988), mô hình COCOMO II, và tài liệu thống kê kỹ nghệ từ QSM Associate, Inc.

---

Kết luận

Giáo trình Quản lý rủi ro thiết lập một khung tri thức có hệ thống, phản ánh bản chất kỹ thuật và quản trị của việc kiểm soát sự bất định trong các dự án công nghệ thông tin. Giá trị học thuật cốt lõi của tài liệu nằm ở cấu trúc tích hợp: gắn kết chặt chẽ giữa ước lượng nguồn lực kỹ nghệ phần mềm với quy trình thẩm định an toàn thông tin theo chuẩn quốc tế.

Lộ trình học tập khuyến nghị bắt đầu từ việc nắm vững 8 bước lập kế hoạch rủi ro tại Chương 1, thực hành quy trình 8 bước ước lượng chi phí và theo dõi hồ sơ SEF tại Chương 2, làm chủ công thức rủi ro tài sản tại Chương 3, và hoàn thiện kỹ năng phân tích định tính với quy trình FRAAP tại Chương 4. Để mở rộng kiến thức, người học nên kết hợp tham khảo các tài liệu chuyên sâu về tiêu chuẩn ISO/IEC 27005, NIST SP 800-30 và các công cụ ước lượng tự động hóa theo mô hình COCOMO II.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: GIỚI THIỆU TỔNG QUAN VỀ QUẢN LÝ RỦI RO 1. Tại sao rủi ro nên được tiến hành phân tích rủi ro? Quản lý gắn liền với việc chỉ ra rằng tính khả thi được thực hiện trong suốt quá trình quyết định thực hiện với bất kỳ doanh nghiệp nào. Một đánh giá rủi ro chính thức cung cấp các tài liệu để chứng minh rằng tính khả thi được thực hiện. Kết quả của quá trình phân tích và đánh giá rủi ro thường sẽ được sử dụng hai lần.

Lần đầu tiên sẽ được diễn ra khi quyết định được thực hiện; đối với phân tích rủi ro đó có nghĩa là quyết định có nên tiến hành một dự án mới hay không, và đối với đánh giá rủi ro, những loại kiểm soát hoặc biện pháp bảo vệ nào cần phải được thực hiện. Đối với đánh giá rủi ro, đầu ra sẽ xác định những biện pháp đối phó cần được thực hiện hoặc quản lý đã xác định rằng quyết định tốt nhất là chấp nhận rủi ro. Lần sử dụng khác, kết quả sẽ được sử dụng là khi một vấn đề phát sinh và tổ chức phải chỉ ra được quá trình nó đã từng đạt được. Các tài liệu được tạo ra trong quá trình quản lý rủi ro sẽ cho phép các tổ chức chỉ ra những người đã tham gia, những gì đã được thảo luận, những gì được xem xét, những quyết định đã được thực hiện.

Một quy trình quản lý rủi ro cũng cho phép một doanh nghiệp điều khiển vận mệnh của chính mình. Với một quá trình phân tích rủi ro hiệu quả tại chỗ, chỉ việc kiểm soát và bảo vệ thực sự cần thiết mới được thực hiện. Doanh nghiệp sẽ không bao giờ phải đối mặt với việc phải thực hiện một kiểm soát bắt buộc tuân thủ các yêu cầu kiểm toán. Bất kỳ dự án nào cũng phải đối diện với những sự kiện có tác động đến mục tiêu dự án.

Những sự kiện này có thể được dự báo trước hoặc đôi khi không thể dự báo trước. Một khi được dự báo trước, nhóm dự án sẽ có những biện pháp dự phòng chủ động và vì thế sẽ hạn chế được tác động có thể xảy ra của rủi ro. Có những rủi ro có thể dễ dàng nhìn thấy trước khi bắt đầu tiến hành dự án, nhưng cũng có những rủi ro chỉ nhìn thấy được khi đã xảy ra. Dự án càng có nhiều sự cố xảy ra càng minh chứng cho việc nhóm dự án không thấy được đa số các rủi ro xảy ra trong dự án, và cũng có thể minh chứng cho việc nhóm dự án có thể thấy được rủi ro nhưng không có biện pháp phòng ngừa hợp lý.

Việc một sự cố xảy ra mà không có kế hoạch dự phòng sẽ dẫn đến mục tiêu dự án bị tác động. Mức độ ảnh hưởng nhỏ sẽ làm trễ tiến độ, vượt ngân sách, giảm chất lượng, rối 9 loạn nội bộ tổ chức, xa hơn nữa có thể làm thất bại toàn bộ dự án, ảnh hưởng đến uy tín tổ chức và quan hệ với khách hàng. Vì thế, nói đến quản lý rủi ro tức là nói đến việc quản lý chủ động, tích cực hơn là xử lý sự cố, thụ động. Ý nghĩa lớn nhất của quản lý rủi ro là khai phá những rủi ro tiềm ẩn chưa được nhận diện thành những rủi ro có thể nhận diện, song hành với việc phân tích và có giải pháp hợp lý để đối phó với những rủi ro ấy.

Vì sao phải quản lý rủi ro? Dự án luôn tồn tại vô số các rủi ro tiềm ẩn chưa được nhận diện, và khi ấy, nếu rủi ro xảy ra sẽ là một bất ngờ đối với nhóm dự án. Và sự bất ngờ tiêu cực có thể mang đến những hậu quả không lường trước được. Quản lý rủi ro chính là quá trình xác định trước các rủi ro có thể xảy ra trong dự án, phân tích, và có giải pháp phù hợp nhằm mục tiêu tăng cơ hội thành công và giảm thiệt hại cho dự án. Đây là quy trình dành cho mọi loại dự án, không quan tâm đến quy mô, tính chất dự án.

Việc quản lý rủi ro cần được thực hiện theo các quy trình có thứ tự, dùng các công cụ phù hợp, và có giải pháp hiệu quả. Quản lý rủi ro thông thường trải qua những quá trình sau: lập kế hoạch quản lý rủi ro, xác định rủi ro, phân tích rủi ro định tính, phân tích rủi ro định lượng, lập kế hoạc đối phó rủi ro, và kiểm soát rủi ro. Việc quản lý rủi ro tốt sẽ đưa đến: chủ động phát hiện các cơ hội và nguy cơ có khả năng xảy ra làm tác động đến mục tiêu dự án, từ đó thực hiện giải pháp phù hợp nhằm làm tăng khả năng của cơ hội và giảm tác động của nguy cơ. Tiết kiệm chi phí và thời gian thực hiện dự án ngay từ giai đoạn lập kế hoạch.

Việc xác định được rủi ro ngay từ đầu dự án sẽ giúp phát hiện sớm các sự cố, có giải pháp dự phòng và làm giảm chi phí, thời gian cho dự án. Ý nghĩa thứ hai của việc này chính là loại bỏ các thông tin không chắc chắn và vì thế việc ước tính sẽ chính xác hơn và khoản chi phí dự phòng sẽ ít đi, điều này giúp tiết kiệm thời gian và chi phí cho dự án. Tăng giá trị cho kế hoạch, làm kế hoạch thực tế và giá trị hơn. Rủi ro sẽ được thực hiện cũng với các lĩnh vực kiến thức khác như yêu cầu, thời gian, chi phí, nhân dự, chất lượng, đấu thầu.

Nếu áp dụng quá trình phân tích rủi ro vào yêu cầu sẽ làm yêu cầu rõ ràng hơn, đầy đủ và chính xác hơn. Áp dụng quản lý rủi ro và thời gian sẽ làm cho việc ước tính 10 thời gian chính xác hơn. Áp dụng quản lý rủi ro vào nhân sự sẽ lựa chọn được những nhân sự phù hợp cho dự án hơn… Hạn chế hoặc loại bỏ những thay đổi không cần thiết xảy ra trong quá trình thực thi dự án giúp tránh các phát sinh một cách không kiểm soát được về các yêu cầu nguồn lực, thời gian, chi phí… Đánh giá chi tiết và cụ thể cơ hội/nguy cơ các thành phần nhỏ hay hạng mục công việc trong dự án và có đối sách phù hợp. Việc thành công của dự án là một nỗ lực tổng hòa của từng chi tiết trong công việc cũng như việc phối hợp các lĩnh vực kiến thức lại với nhau.

Áp dụng quản lý rủi ro vào từng hạng mục công việc chắc chắn sẽ mạng lại sự thành công cho từng hạng mục công việc và vì thế cho toàn bộ dự án. Đánh giá chi tiết và cụ thể cơ hội/nguy cơ từ các phương diện: yêu cầu, thời gian, chi phí, chất lượng, nhân sự, truyền thông, mua sắm, đấu thầu và có đối sách phù hợp. Cơ hội và nguy cơ của dự án đến từ mọi lĩnh vực kiến thức khác có thể tác động đến hiệu quả của dự án. - Việc hoàn thành xuất sắc một lĩnh vực nào đều mang lại cơ hội thành công lớn hơn cho dự án.

- Việc áp dụng quản lý rủi ro vào tất cả các lĩnh vực kiến thức một cách toàn diện sẽ là một phương pháp tối ưu nhằm loại bỏ những nguy cơ và phát huy những cơ hội từ nhiều góc nhìn khác nhau. - Đánh giá chi tiết và cụ thể về cơ hội/nguy cơ từ môi trường bên ngoài, môi trường nội bộ, các ràng buộc, và các giả định của dự án và có đối sách phù hợp. Giúp nhà quản trị hiểu rõ hơn về dự án/hoạt động kinh doanh nếu áp dụng quá trình quản lý rủi ro. - Giúp công tác quản lý của tổ chức mang tính hệ thống, bài bản, và chuyên nghiệp.

- Ảnh hưởng tích cực đến văn hóa tổ chức, tinh thần làm việc của nhân viên, và trách nhiệm với cộng đồng. - Tăng sự thỏa mãn khách hàng, nâng cao giá trị thương hiệu, uy tín. Khi nào nên tiến hành phân tích rủi ro? Một phân tích rủi ro nên được tiến hành bất cứ khi nào nguồn tiền hoặc nguồn lực được chi tiêu. Trước khi bắt đầu một nhiệm vụ, dự án, hoặc chu kỳ phát triển, một doanh nghiệp nên tiến hành phân tích sự cần thiết cho dự án.

Sự hiểu biết các khái niệm, nội dung 11 về phân tích rủi ro và áp dụng chúng vào nhu cầu của các doanh nghiệp sẽ đảm bảo rằng chỉ chi tiêu cần thiết được thực hiện. Ngoài ra, sẽ không bao giờ cần phải thực hiện kiểm soát hoặc sử dụng biện pháp bảo vệ trừ khi chúng thực sự cần thiết. Theo các chuyên gia quản lý rủi ro, điều quan trọng là phải hiểu rằng không có các hạng mục như yêu cầu bảo mật hoặc các yêu cầu kiểm toán. Chỉ có mục tiêu kinh doanh hoặc yêu cầu nhiệm vụ.

Một quy trình quản lý rủi ro thích hợp sẽ đảm bảo rằng kiểm soát bù trừ là cần thiết để xác định rằng kinh doanh hay nhiệm vụ của doanh nghiệp được đáp ứng. Quản lý rủi ro là các tiến trình có tính hệ thống để xác định, phân tích và ứng phó với các rủi ro. Nó tận dụng tối đa khả năng xuất hiện và tác động của các biến cố tích cực, đồng thời giảm thiểu tối đa khả năng xuất hiện và tác động của các biến cố tiêu cực. Lập kế hoạch quản lý rủi ro: Bắt đầu bằng việc các rủi ro có khả năng xảy ra và kết thúc bằng cách hoàn thành kế hoạch đối phó rủi ro.

Điều này gồm có tám nội dung: Bước 1. Làm rõ các rủi ro Là một quá trình nhận ra được tất cả rủi ro có nguy cơ xảy ra trong dự án mà có thể đối phó và có thể dùng lý lẽ để giải thích được. Bất cứ một rủi ro tiềm ẩn nào không phải lúc nào cũng là mối đe dọa lớn tới sự thành công của một sự án mà cũng chẳng là một vấn đề mà tổ dự án không xem xét tới. Để thấy được tất cả các nguy cơ rủi ro trong dự án, người ta yêu cầu các nhà chỉ đạo dự án cung câp danh sách cụ thể về các vấn đề có liên quan tới phạm vi chịu trách nhiệm của riêng từng người.

Rồi họ xem xét lại các danh sách để khẳng định rằng vấn đề rủi ro đang thực sự gây nguy hiểm tới sự thành công của dự án và đang được tổ dự án chỉ đạo đối phó. Phương pháp này được thực hiện bằng cách sử dụng “Cơ cấu phân chia công việc” như là một cơ cấu của vấn đề để tìm ra các hiểm họa cụ thể.