Tổng quan nghiên cứu

Theo khảo sát của Hiệp hội các nhà quản trị tài chính quốc tế (FEI), tỷ lệ doanh nghiệp toàn cầu tiếp cận khuôn khổ quản trị rủi ro doanh nghiệp (ERM) đã tăng vọt từ 66% năm 2005 lên 86% vào năm 2006. Tại Việt Nam, trong bối cảnh nền kinh tế hội nhập quốc tế mạnh mẽ sau khi gia nhập WTO, các doanh nghiệp phải đương đầu với áp lực cạnh tranh gay gắt và nhiều biến động khó lường. Tuy nhiên, hệ thống kiểm soát nội bộ (KSNB) tại phần lớn các doanh nghiệp trong nước vẫn còn bộc lộ nhiều điểm yếu, chủ yếu vận hành theo tư duy truyền thống nhằm ghi chép kế toán và phát hiện gian lận sau khi sự việc đã xảy ra, thay vì chủ động nhận diện và kiểm soát rủi ro từ sớm.

Vấn đề cốt lõi đặt ra là sự thiếu hụt một mô hình kiểm soát nội bộ tích hợp quản trị rủi ro toàn diện, khiến doanh nghiệp dễ rơi vào thế bị động khi xảy ra sự cố. Mục tiêu nghiên cứu của luận văn là tiếp cận lý thuyết hiện đại về rủi ro theo Báo cáo COSO 2004, khảo sát thực trạng kiểm soát nội bộ và quản trị rủi ro tại 18 doanh nghiệp trên địa bàn Thành phố Hồ Chí Minh, từ đó đề xuất các định hướng hoàn thiện hệ thống KSNB phù hợp cho từng loại hình doanh nghiệp. Phạm vi khảo sát tập trung vào 14 doanh nghiệp lớn (vốn điều lệ trên 100 tỷ đồng) và 4 doanh nghiệp quy mô vừa và nhỏ (DNVVN). Nghiên cứu có ý nghĩa thực tiễn to lớn, giúp các nhà quản trị chủ động kiểm soát trên 80% các sự kiện tiềm tàng, giảm thiểu ước tính khoảng 20% đến 30% tổn thất bất ngờ và nâng cao hiệu quả phân bổ vốn kinh doanh.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn xây dựng trên nền tảng lý thuyết kiểm soát nội bộ theo Báo cáo COSO 1992 với 5 bộ phận cơ bản gồm: Môi trường kiểm soát, Đánh giá rủi ro, Hoạt động kiểm soát, Thông tin và truyền thông, Giám sát. Nhằm khắc phục hạn chế về tầm nhìn chiến lược của COSO 1992, tác giả mở rộng nghiên cứu sang Báo cáo COSO 2004 (Enterprise Risk Management - Integrated Framework) với cấu trúc 8 bộ phận: Môi trường quản lý, Thiết lập mục tiêu, Nhận dạng sự kiện tiềm tàng, Đánh giá rủi ro, Phản ứng với rủi ro, Hoạt động kiểm soát, Thông tin và truyền thông, Giám sát; đồng thời bao quát 4 nhóm mục tiêu: Chiến lược, Hoạt động, Báo cáo và Tuân thủ.

Bên cạnh khuôn mẫu COSO, đề tài tích hợp các lý thuyết quản trị hiện đại gồm: Chuẩn mực kiểm soát nội bộ và kiểm toán ngân hàng của Ủy ban Basel (1998, 2000); Khung quản trị rủi ro doanh nghiệp 7 yếu tố gắn liền với vai trò Giám đốc Quản trị rủi ro (CRO) của James Lam (2003); Lý thuyết danh mục đầu tư của Harry Markowitz (1950); cùng các khái niệm phân định xác suất rủi ro khách quan và chủ quan của Frank H. Knight (1921) và Irving Pfeffer (1956). Các khái niệm then chốt được chuẩn hóa bao gồm: Kiểm soát nội bộ, Quản trị rủi ro doanh nghiệp, Khẩu vị rủi ro (mức rủi ro có thể chấp nhận), Rủi ro tiềm tàng và Rủi ro kiểm soát.

Phương pháp nghiên cứu

Nghiên cứu tiến hành khảo sát thực chứng trên mẫu 18 doanh nghiệp tại Thành phố Hồ Chí Minh, bao gồm 14 doanh nghiệp quy mô lớn (vốn điều lệ trên 100 tỷ đồng) và 4 doanh nghiệp vừa và nhỏ. Phương pháp chọn mẫu là chọn mẫu có chủ đích kết hợp phân tầng theo quy mô vốn và hình thức sở hữu, đại diện cho các ngành phân phối, sản xuất và dịch vụ.

Nguồn dữ liệu sơ cấp được thu thập thông qua phiếu khảo sát gồm 2 phần chính: nhận định của doanh nghiệp về rủi ro và đánh giá chi tiết các yếu tố cấu thành KSNB, kết hợp phỏng vấn sâu các nhà quản lý cấp cao. Nguồn dữ liệu thứ cấp được trích xuất từ các báo cáo khảo sát quốc tế của FEI (2005, 2006) và chuẩn mực COSO. Tác giả lựa chọn phương pháp quy nạp kết hợp thống kê mô tả tần số, phân tích tỷ lệ phần trăm và đối chiếu định tính nhằm phản ánh trung thực hiện trạng vận hành KSNB tại Việt Nam so với chuẩn mực quốc tế COSO 2004, tạo cơ sở thực tiễn vững chắc cho các giải pháp.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Thứ nhất, về môi trường kiểm soát và tính chính trực, có sự cách biệt lớn giữa các nhóm quy mô. 100% doanh nghiệp lớn (14/14 đơn vị) đã ban hành quy định về đạo đức nghề nghiệp và 85,7% (12/14 đơn vị) thực hiện đúng biện pháp xử lý vi phạm. Ngược lại, 0% DNVVN (0/4 đơn vị) công bố chính thức chuẩn mực đạo đức, dẫn đến việc xử lý sai phạm mang tính cảm tính. Đáng chú ý, 28,6% doanh nghiệp lớn và 50% DNVVN chưa có biện pháp triệt tiêu áp lực và cơ hội dẫn tới hành vi sai phạm của nhân viên.

Thứ hai, về chính sách nhân sự và năng lực đội ngũ, chỉ có 50% DNVVN (2/4 đơn vị) đảm bảo bố trí đúng người đúng việc và thường xuyên cử nhân viên tham gia đào tạo nâng cao trình độ. Tại các doanh nghiệp lớn, tỷ lệ nhân viên chưa đáp ứng yêu cầu công việc vẫn ở mức 28,6% (4/14 đơn vị), chủ yếu do công tác tuyển dụng và đào tạo chưa theo kịp tốc độ phát triển.

Thứ ba, về nhận thức và cơ chế ứng phó rủi ro, trong khi 86% doanh nghiệp quốc tế đã áp dụng COSO 2004 và 44% bổ nhiệm vị trí CRO thuộc Giám đốc Tài chính, phần lớn doanh nghiệp Việt Nam chưa thiết lập mức rủi ro có thể chấp nhận (khẩu vị rủi ro) cho từng bộ phận. Phản ứng với rủi ro chỉ dừng ở biện pháp tức thời, thiếu chiến lược bài bản về chia sẻ hoặc chuyển giao rủi ro qua bảo hiểm và công cụ phái sinh.

Thứ tư, về hoạt động giám sát độc lập, vai trò của Ban kiểm soát và Kiểm toán nội bộ còn mờ nhạt, nhiều nơi chỉ mang tính hình thức và chưa đảm bảo tính độc lập tuyệt đối với Ban điều hành.

Thảo luận kết quả

Hệ thống số liệu thực nghiệm được trình bày qua 22 bảng biểu và ma trận đối sánh chi tiết trong luận văn, mô tả trực quan mức độ hoàn thiện của từng cấu phần KSNB giữa khối doanh nghiệp lớn và DNVVN. Nguyên nhân sâu xa của những hạn chế trên là do doanh nghiệp Việt Nam chịu ảnh hưởng kéo dài của phương thức quản lý hành chính cũ, thiếu nguồn lực đầu tư cho hệ thống thông tin quản lý và chưa đào tạo đội ngũ chuyên gia về rủi ro.

So với các thông lệ quốc tế chịu sự ràng buộc nghiêm ngặt của Đạo luật Sarbanes-Oxley 2002 tại Hoa Kỳ, khoảng cách quản trị rủi ro của doanh nghiệp trong nước là tương đối lớn. Điều này chứng minh rằng việc nâng cấp KSNB truyền thống lên hệ thống ERM theo chuẩn COSO 2004 không chỉ là yêu cầu tuân thủ mà còn là điều kiện tiên quyết để bảo vệ tài sản và duy trì tăng trưởng bền vững.

Đề xuất và khuyến nghị

Tác giả đề xuất 4 nhóm giải pháp mang tính đột phá nhằm hoàn thiện hệ thống KSNB trên nền tảng ERM:

Thứ nhất, hoàn thiện môi trường quản lý và cơ cấu tổ chức giám sát. Hội đồng quản trị và Ban Tổng Giám đốc các doanh nghiệp lớn cần thiết lập chức danh Giám đốc Quản trị rủi ro (CRO) hoặc Ủy ban Quản trị rủi ro chuyên trách. Đơn vị cần rà soát 100% quy chế xung đột lợi ích và chuẩn mực đạo đức, hoàn thành trong lộ trình từ 6 đến 12 tháng.

Thứ hai, chuẩn hóa quy trình thiết lập mục tiêu gắn với hạn mức rủi ro. Doanh nghiệp cần xác lập rõ khẩu vị rủi ro tổng thể và chi tiết cho từng bộ phận (ví dụ: giới hạn chi phí lao động ở mức 20% đến 23% giá trị đơn hàng, biên độ thị phần dao động từ 20% đến 30%). Ban điều hành chỉ đạo triển khai nhằm giảm thiểu trên 25% tổn thất vận hành trong timeline từ 1 đến 2 năm.

Thứ ba, ứng dụng linh hoạt các kỹ thuật nhận dạng và định lượng rủi ro. Doanh nghiệp lớn áp dụng các mô hình xác suất và phân tích độ nhạy dòng tiền; khối DNVVN áp dụng bảng kiểm tra rủi ro (checklist) đơn giản nhưng hữu hiệu tại các chu trình bán hàng, mua hàng và quản lý quỹ. Thời gian thực hiện từ 3 đến 6 tháng do Trưởng các phòng ban nghiệp vụ trực tiếp vận hành.

Thứ tư, hoàn thiện chính sách nhân sự và đa dạng hóa công cụ tài chính. Doanh nghiệp cần luân chuyển nhân sự định kỳ tối thiểu 2 năm một lần tại các khâu nhạy cảm; tăng cường mua bảo hiểm và sử dụng hợp đồng phái sinh để chuyển giao rủi ro vượt ngưỡng chấp nhận. Trách nhiệm thực hiện thuộc về Phòng Nhân sự và Phòng Tài chính - Kế toán.

Đối tượng nên tham khảo luận văn

Nhóm 1: Thành viên Hội đồng quản trị, Tổng Giám đốc, Giám đốc Tài chính (CFO) và các nhà quản lý cấp cao. Luận văn cung cấp khung định hướng tái cấu trúc bộ máy kiểm soát và phương pháp thiết lập khẩu vị rủi ro đồng bộ với chiến lược kinh doanh.

Nhóm 2: Chuyên viên Kiểm toán nội bộ, Kiểm soát viên và Trưởng bộ phận Quản lý rủi ro. Sử dụng bộ công cụ bảng câu hỏi và quy trình 8 bước đánh giá của COSO 2004 làm tài liệu chuẩn hóa các đợt rà soát, kiểm toán định kỳ.

Nhóm 3: Học viên cao học, nghiên cứu sinh và giảng viên chuyên ngành Kế toán - Kiểm toán, Quản trị kinh doanh. Tài liệu cung cấp cơ sở lý luận chuyên sâu từ COSO, Basel đến mô hình James Lam kết hợp với dữ liệu khảo sát thực chứng phong phú tại Việt Nam.

Nhóm 4: Các chuyên gia tư vấn quản trị doanh nghiệp và cơ quan quản lý nhà nước. Khai thác dữ liệu thực trạng để xây dựng các bộ cẩm nang hướng dẫn thực hành quản trị rủi ro cho cộng đồng doanh nghiệp theo từng quy mô.

Câu hỏi thường gặp

Điểm khác biệt căn bản giữa Báo cáo COSO 1992 và Báo cáo COSO 2004 là gì? Báo cáo COSO 1992 tập trung vào 5 yếu tố với 3 mục tiêu kiểm soát tài chính và tuân thủ. Báo cáo COSO 2004 mở rộng thành 8 yếu tố, bổ sung mục tiêu chiến lược và chu trình 4 bước: thiết lập mục tiêu, nhận dạng sự kiện, đánh giá rủi ro và lựa chọn phản ứng với rủi ro, giúp tổ chức quản trị chủ động thay vì kiểm soát thụ động.

Doanh nghiệp vừa và nhỏ có cần thiết phải áp dụng đầy đủ 8 bộ phận của COSO 2004 không? DNVVN không nhất thiết phải thiết lập bộ máy chuyên trách cồng kềnh. Thay vào đó, Giám đốc hoặc Kế toán trưởng có thể kiêm nhiệm phụ trách rủi ro, tập trung nâng cao ý thức nhân viên, sử dụng bảng kiểm tra đơn giản và xác lập các mục tiêu dài hạn rõ ràng để kiểm soát rủi ro trọng yếu.

Vị trí Giám đốc Quản trị rủi ro (CRO) nên được bố trí như thế nào trong doanh nghiệp? Theo kinh nghiệm quốc tế, 44% doanh nghiệp giao chức danh CRO cho Giám đốc Tài chính và 20% do Tổng Giám đốc kiêm nhiệm. Tại Việt Nam, doanh nghiệp lớn nên thành lập bộ phận quản trị rủi ro độc lập báo cáo trực tiếp cho Tổng Giám đốc hoặc Hội đồng quản trị để đảm bảo tính khách quan.

Làm thế nào để định lượng mức độ tác động của rủi ro khi thiếu dữ liệu quá khứ? Doanh nghiệp có thể kết hợp kỹ thuật định tính (thang đo cao, trung bình, thấp) qua phỏng vấn chuyên gia và các mô hình phi xác suất. Khi tích lũy đủ dữ liệu, đơn vị chuyển dần sang phương pháp định lượng như mô hình xác suất kịch bản và phân tích chu trình đối chuẩn trong cùng ngành.

Tại sao tính chính trực và đạo đức nghề nghiệp lại là nền tảng của môi trường kiểm soát? Tính chính trực chi phối toàn bộ ý thức và hành vi của con người trong tổ chức. Nếu thiếu chuẩn mực đạo đức và sự gương mẫu của lãnh đạo cấp cao, mọi thủ tục kiểm soát dù chặt chẽ đến đâu cũng dễ dàng bị vô hiệu hóa bởi sự thông đồng, lạm quyền hoặc gian lận nội bộ.

Kết luận

  • Tích hợp quản trị rủi ro vào hệ thống kiểm soát nội bộ là xu hướng tất yếu giúp doanh nghiệp Việt Nam chuyển đổi từ kiểm soát bị động sang quản trị chủ động.
  • Khuôn mẫu COSO 2004 với 8 bộ phận cấu thành cung cấp nền tảng khoa học toàn diện, khắc phục triệt để các hạn chế về tầm nhìn chiến lược của COSO 1992.
  • Thực trạng khảo sát 18 doanh nghiệp tại Thành phố Hồ Chí Minh chỉ ra sự thiếu hụt lớn về chuẩn mực đạo đức tại khối DNVVN (0%) và năng lực nhân sự tại khối doanh nghiệp lớn (28,6%).
  • Các nhóm giải pháp về thiết lập khẩu vị rủi ro, bổ nhiệm CRO và tăng cường giám sát độc lập là chìa khóa giúp doanh nghiệp giảm trên 25% các tổn thất vận hành bất ngờ.
  • Doanh nghiệp cần xây dựng lộ trình nâng cấp hệ thống liên tục từ 1 đến 3 năm nhằm đảm bảo tính cân bằng giữa chi phí đầu tư và giá trị kinh tế mang lại.

Luận văn thạc sĩ của tác giả Trần Công Chính là công trình nghiên cứu công phu, có giá trị học thuật và ứng dụng thực tiễn cao cho tiến trình hoàn thiện quản trị doanh nghiệp tại Việt Nam. Các nhà quản lý và chuyên gia kiểm soát có thể tham khảo ngay khung lý thuyết và bộ tiêu chí đánh giá trong luận văn để củng cố hệ thống phòng ngừa rủi ro cho đơn vị của mình.