CHƯƠNG 1 Cơ sở lý thuyết 1. Rủi ro và độ lớn của rủi ro 1. Khái niệm rủi ro Hiểu theo nghĩa chung nhất, rủi ro là những nhân tố có thể xảy ra và (khi xảy ra thì) tác động tiêu cực đến mục tiêu. Khái niệm rủi ro nội hàm hai ý đồng thời.
Ý thứ nhất, rủi ro là những nhân tố có thể xảy ra. Những nhân tố hoặc biến cố chắc chắn xảy ra (xác suất bằng 1) và những nhân tố chắc chắn không xảy ra (xác suất bằng 0) không thuộc phạm vi của rủi ro. Như vậy, rủi ro là những nhân tố mà xác suất xảy ra lớn hơn 0 và nhỏ dưới 1. Ý thứ hai, rủi ro là những nhân tố gây tác động tiêu cực đến mục tiêu.
Những nhân tố có thể xảy ra nhưng không ảnh hưởng gì đến mục tiêu thì không thuộc phạm vi của rủi ro. Nói theo cách khác, rủi ro chính là sự kết hợp giữa mức độ nguy hiểm và khả năng có thể xảy ra. Mức độ nguy hiểm chính là hậu quả gây ra bởi một sự cố hay một tai nạn nào đó. Khả năng có thể xảy ra chính là xác suất của sự cố.
Do đó, độ lớn của rủi ro là tích số giữa mức độ nguy hiểm và xác suất xảy ra sự cố gây nguy hiểm như mô tả trong hình 1. Ngoài ra, ta có thể viết dưới dạng công thức dưới đây. Rủi ro = Mức độ nguy hiểm × Khả năng xảy ra.1: Rủi ro là tích giữa mức nguy hiểm và khả năng xảy ra Tóm lại, đánh giá rủi ro gồm hai quá trình: định tính và định lượng. Định tính là việc nhận diện các mối nguy hiểm có thể tác động tiêu cực đến mục tiêu của tổ chức.
Định lượng nhằm ước lượng độ lớn của tác động tiêu cực để xếp hạng rủi ro rồi quản trị có trọng tâm. Gọi R là độ lớn của rủi ro (hoặc giá trị của rủi ro), L là mức độ nguy hiểm hay mức độ tác hại, pL là xác suất xảy ra mối nguy, ta có công thức như sau: 1. Nhận diện rủi ro Năm 2009, Tổ chức Tiêu chuẩn quốc tế ban hành ISO 31000:2009, quản lý rủi ro - Các nguyên tắc và các hướng dẫn, nhằm cung cấp các nguyên tắc, khuôn khổ và xử lý hình thức quản lý rủi ro bất kỳ một cách minh bạch, có hệ thống và đáng tin cậy trong mọi phạm vi hoặc ngữ cảnh. Bên cạch đó là bộ tiêu chuẩn ISO Guide 73:2009, quản lý rủi ro - vốn từ vựng, nhằm trình bày các điều khoản và định nghĩa liên quan đến việc quản lý rủi ro.
123doc 8 Theo các Bộ tiêu chuẩn này, có rất nhiều loại rủi ro khác nhau như rủi ro chiến lược, rủi ro hoạt động, rủi ro tài chính, rủi ro chính trị, rủi ro pháp luật, rủi ro quản lý tri thức, rủi ro thông tin,… Việc kiểm soát rủi ro phải được thực hiện theo một quy trình chặt chẽ và phối hợp với đặc thù của từng tổ chức, doanh nghiệp. Tổng quát, quy trình quản lý rủi ro cơ bản bao gồm các bước chính được trình bày ở hình 1. Ở mức chi tiết hơn, quy trình quản lý rủi ro bao gồm các bước cùng với trình tự xử lý và mối quan hệ giữa chúng như hình 1.2: Quy trình quản lý Hình 1.3: Mối quan hệ và trình tự các bước rủi ro cơ bản trong quy trình quản lý rủi ro Để nhận diện được rủi ro, có nhiều kỹ thuật được áp dụng. Các kỹ thuật này giúp cho dự án "khoanh vùng" và xác định dấu hiệu xuất hiện rủi ro, vừa giúp tránh bỏ sót các dấu hiệu, vừa làm tăng kết quả và độ tin cậy của việc nhận 123doc 9 diện các rủi ro.
Từng kỹ thuật đều có những hạn chế riêng, do đó việc kết hợp các kỹ thuật để có kết quả tốt nhất là cần thiết. Các kỹ thuật được sử dụng rộng rãi bao gồm: - Xem xét tài liệu Là cách thức xác định rủi ro cơ bản, đơn giản và thông dụng. Phương thức này thường bao gồm việc xem xét các tài liệu của dự án như các kế hoạch, giả định, cam kết với khách hàng, cơ chế thông tin giữa 2 bên, môi trường dự án, thông tin của các dự án khác trong quá khứ., từ đó nhận diện các yếu tố có khả năng gây ra rủi ro cho dự án. - Động não Đây là kỹ thuật được sử dụng rộng rãi nhất để nhận diện rủi ro.
Đó là sự đóng góp ý kiến từ nhiều người khác nhau, từ các chuyên gia đến các thành viên của dự án, hoặc bất cứ ai có liên quan hoặc có kinh nghiệm về các vấn đề xảy ra trong dự án. Từ những ý kiến này (có thể nhiều ý trùng nhau), các rủi ro sẽ được định vị nhanh chóng. - Kỹ thuật Delphi Tương tự kỹ thuật "Động não", khác biệt chỉ là các thành viên tham gia không biết nhau, do đó kỹ thuật này thích hợp nếu các thành viên ở xa nhau. Ngày nay kỹ thuật Delphi thực hiện dễ hơn trước đây do sự trợ giúp của email và hệ thống hỗ trợ làm việc từ xa.
Do thành viên là “vô danh” nên kỹ thuật này hạn chế nhược điểm của kỹ thuật "Động não" là một vài cá nhân (chẳng hạn sếp) sẽ có ảnh hưởng đến suy nghĩ của các thành viên khác. - Nhóm danh nghĩa Nhóm làm việc từ 7-10 người, mỗi thành viên sẽ ghi ý kiến riêng của mình (thường là 1 rủi ro quan trọng nhất) trên 1 mẫu giấy. Các ý kiến sau đó được tập 123doc 10 hợp và nhóm sẽ phân tích và đánh giá trên từng ý kiến. Kết quả là rủi ro quan trọng nhất được sắp xếp trên cùng.
Kỹ thuật này không chỉ dùng để nhận biết mà còn để đánh giá rủi ro; không loại bỏ hoàn toàn những người có ảnh hưởng; được thực hiện nhanh và ít tốn kém hơn kỹ thuật Delphi - Hỏi ý kiến chuyên gia Thường được dùng để hỏi ý kiến cá nhân của những người có nhiều kinh nghiệm từ các dự án tương tự hoặc các dự án đã hoàn thành trong quá khứ. Công cụ sử dụng thường là bảng câu hỏi có trả lời sẵn để chọn lựa, hoặc để trống cho người được hỏi tự ghi ý kiến hoặc trả lời. - Sử dụng phiếu kiểm tra hoặc bảng câu hỏi Phiếu kiểm tra hoặc bảng câu hỏi thường đúc kết kinh nghiệm từ các dự án quá khứ đặc biệt và các dự án tương tự, trong đó liệt kê những rủi ro thường hay gặp nhất. Phiếu này giúp cho dự án nhanh chóng xác định rủi ro có thể xảy đến cho dự án.
Kỹ thuật này có thể tham khảo các kinh nghiệm từ bên ngoài, một trong những tham khảo tốt theo cách này là sử dụng bảng phân loại và liệt kê các rủi ro thường gặp của Viện Kỹ thuật Phần mềm Hoa Kỳ (SEI Taxonomy-Based Risk Identification) 1. Định lượng độ lớn rủi ro Độ lớn của rủi ro hay trị số của rủi ro được khái quát qua công thức: Độ lớn Xác suất xảy ra Mức tác động Thời gian có = × × rủi ro sự cố của sự cố thể xảy ra Như vậy, định lượng độ lớn rủi ro được tiến hành bằng việc phân tích độ lớn của ba nhân tố trong công thức. 123doc 11 • Phân tích khả năng xuất hiện của rủi ro (Risk probability) hay xác suất xảy ra sự cố Có 4 mức để đo lường khả năng xuất hiện của rủi ro, mỗi mức độ được gán với một giá trị số (tùy thuộc tổ chức, doanh nghiệp, dự án) để có thể ước lượng sự quan trọng của nó. 6 - Thường xuyên: Khả năng xuất hiện rủi ro rất cao.
4 - Hay xảy ra: Khả năng xuất hiện rủi ro cao. 2 - Đôi khi: Khả năng xuất hiện rủi ro trung bình. 1 - Hiếm khi: Khả năng xuất hiện thấp, chỉ xuất hiện trong những điều kiện nhất định.4: Ví dụ đơn giản dùng sơ đồ xương cá định vị rủi ro • Phân tích mức tác động của rủi ro (sự cố) ( Risk impact) Có 4 mức để đo lường mức tác động của rủi ro, mỗi mức độ được gán với một giá trị số (tùy thuộc tổ chức, doanh nghiệp, dự án) để có thể ước lượng sự tác động của nó. 8 - Trầm trọng 6 - Quan trọng 2 - Vừa phải 1 - Không đáng kể 123doc 12 • Phân tích thời điểm xuất hiện rủi ro ( Risk Time Frame) hay thời gian có thể xảy ra sự cố Có 4 mức để ước lượng thời điểm rủi ro xuất hiện, mỗi mức được gán với một giá trị số (tùy thuộc tổ chức, doanh nghiệp, dự án) để có thể ước lượng sự tác động của nó.
6 - Ngay lập tức: Rủi ro xuất hiện gần như tức khắc 4 - Rất gần: Rủi ro sẽ xuất hiện trong thời điểm rất gần thời điểm phân tích 2 - Sắp xảy ra: Rủi ro sẽ xuất hiện trong tương lai gần 1 - Rất lâu: Rủi ro sẽ xuất hiện trong tương lai xa hoặc chưa định được. Ghi chú: Các giá trị số cho trên chỉ mang tính tham khảo và minh họa, giá trị của chúng được định tùy tổ chức, tùy dự án. Kiểm soát rủi ro Kiểm soát rủi ro bắt đầu với việc chọn lựa chiến lược và phương pháp đối phó rủi ro. Có nhiều chiến lược và phương pháp đối phó khác nhau, tùy theo tình huống dự án, môi trường và đặc thù của từng rủi ro.
Trong thực tế, các chiến lược phổ biến nhất bao gồm (Hình 1.5: Một số chiến lược và minh họa các phương pháp đối phó rủi ro thường gặp - Tránh né Dùng “đường đi khác” để né tránh rủi ro, đường đi mới có thể không có rủi ro, có rủi ro nhẹ hơn, hoặc chi phí đối phó rủi ro thấp hơn. Chẳng hạn: Thay đổi phương pháp, công cụ thực hiện, thay đổi con người Thương lượng với khách hàng (hoặc nội bộ) để thay đổi mục tiêu. - Chuyển giao Giảm thiểu rủi ro bằng cách chia sẻ tác hại khi chúng xảy ra. Chẳng hạn: Đề nghị với khách hàng chấp nhận và chia sẻ rủi ro (tăng thời gian, chi phí.) Báo cáo ban lãnh đạo để chấp nhận tác động và chi phí đối phó rủi ro Mua bảo hiểm để chia sẻ chi phí khi rủi ro xảy ra.
- Giảm nhẹ Thực thi các biện pháp để giảm thiểu khả năng xảy ra rủi ro hoặc giảm thiểu tác động và chi phí khắc phục rủi ro nếu nó xảy ra.