TCVNISO/TR31004:2015

Tiêu chuẩn quốc gia TCVN ISO/TR 31004:2015 (ISO/TR 31004:2013) về Quản lý rủi ro - Hướng dẫn áp dụng TCVN ISO 31000 TIÊU CHUẨN QUỐC GIA TCVN ISO/TR 31004:2015 ISO/TR 31004:2013 QUẢN LÝ RỦI RO - HƯỚNG DẪN ÁP DỤNG TCVN ISO 31000 Risk management - Guidance for the implementation of I SO 31000 Lời nói đầu TCVN ISO 31004:2015 hoàn toàn tương đương với ISO 31004:2013. TCVN ISO 31004:2015 do Ban kỹ thuật Tiêu chuẩn Qu ố c gia TCVN/TC 176 Quản lý chất lượng và đảm bảo chất lượng biên soạn, Tổng cục Tiêu chuẩn Đo lường Chất lượng đ ề ngh ị , Bộ Khoa học và Công nghệ công bố. Lời giới thiệu 0.1 Khái quát Tổ chức sử dụng các phương pháp khác nhau đ ể quản lý tác động của sự chắc chắn tới các mục tiêu của m ì nh, nghĩa là quản lý rủi ro, bằng cách phát hiện và hiểu được rủi ro và điều chỉnh nó khi cần thiết. Tiêu chuẩn này nhằm hỗ trợ các t ổ chức để nâng cao hi ệ u lực của các nỗ lực quản lý rủi ro của họ phù hợp với TCVN ISO 31000. TCVN ISO 31000 đưa ra cách tiếp cận chung về quản lý rủi ro, có thể áp dụng cho tất cả các tổ chức, giúp đạt được mục tiêu của họ. Tiêu chuẩn này dự định sử dụng bởi những người trong tổ chức đưa ra quyết định có ảnh hưởng đến việc đạt được mục tiêu của tổ chức, bao g ồ m cả những người chịu trách nhiệm quản tr ị và cả những người cung cấp hướng dẫn quản lý rủi ro hoặc dịch vụ hỗ trợ. Tiêu chuẩn n à y cũng được dự định sẽ sử dụng bởi bất cứ ai quan tâm đến rủi ro và việc quản lý của m ì nh, bao g ồ m giáo viên, sinh vi ê n, các nhà lập pháp và quản lý. Tiêu chuẩn này dự định s ẽ được sử dụng đồng thời với TCVN ISO 31000 và có thể áp dụng cho mọ i loại h ì nh tổ chức với quy mô khác nhau. Các khái niệm và định nghĩa chính là trung t â m đ ể hiểu TCVN ISO 31000 được giải thích trong Phụ lục A. Điều 3 đưa ra phương pháp luận chung giúp t ổ chức đưa các sắp xếp quản lý rủi ro hiện có phù hợp với TCVN ISO 31000 một cách có k ế hoạch và c ấ u trúc. Điều này cũng tạo ra một c á ch điều chỉn h năng động khi những thay đổi xảy ra tr ong m ô i trường bên trong và bên ngoài tổ chức. Các phụ lục cung cấp chỉ dẫn, các ví dụ và giải thích v ề việc áp dụng các kh í a cạnh được lựa chọn của TCVN ISO 31000 nhằm giúp người sử dụng phù hợp với nhu cầu và kinh nghiệm chuyên môn của họ. Các v í dụ nêu trong tiêu chuẩn này có thể hoặc kh ô ng có thể áp dụng trực tiếp vào các t ì nh huống hay cho các tổ chức cụ thể mà chỉ nhằm mục đích minh họa. 0.2 Những nguy ê n tắc và khái niệm cơ bản Một số từ và khái niệm cụ thể là nền t ả ng để hiểu v ề cả TCVN ISO 31000 v à tiêu chuẩn này, chúng được giải thích trong TCVN ISO 31000:2011 (ISO 31000:2009), Điều 2 và trong Phụ lục A. TCVN ISO 31000 n ê u 11 nguyên tắc đ ể quản lý rủi ro một cách hi ệ u lực. Vai trò của các nguy ê n tắc là đ ể th ô ng báo và hướng dẫn tất cả các kh í a cạnh của phư ơ ng pháp ti ế p cận của t ổ chức đ ể quản l ý rủi ro. Các nguy ê n tắc mô tả những đặc trưng của quản lý rủi ro hiệu quả. Thay v ì chỉ đơn giản thực hiện các nguyên tắc, đ iều quan trọng là tổ chức phải thể hiện chúng trong tất cả các khía cạnh của vi ệ c quản lý. Chúng được dùng như các chỉ số v ề kết quả quản lý rủi ro và nâng cao giá trị cho tổ chức trong quản lý rủi ro một cách hiệu lực. Chúng cũng ảnh hưởng đến tất cả các yếu tố của quá trình chuyển đổi đã được quy định trong tiêu chuẩn này cũng như trong các vấn đề kỹ thuật là đối tượng nêu trong các phụ lục. Nh ữ ng chỉ dẫn khác được nêu trong Phụ lục B. Tiêu chuẩn này sử dụng hai cụm từ “ lãnh đạo cao nh ấ t ” và “bộ phận giám sát”. “ L ã nh đạo cao nhất ” đề cập đến những người hoặc nhóm người điều hành và kiểm soát một tổ chức ở cấp cao nhất, trong khi các “ bộ phận giám sát” đ ề cập đến người hoặc nhóm người quản trị v ề mặt tổ chức, đặt ra định h ướ ng, sử dụng “lã nh đạo cao nhất”. CHÚ THÍCH: Trong nhiều tổ chức, bộ phận giám sát có thể được gọi là Ban gi á m đốc, Ban đảm bảo t í nh tin cậy, Ban giám sát, v.v... QUẢN LÝ RỦI RO - HƯỚNG D Ẫ N ÁP DỤNG TCVN ISO 31000 Risk management - Guidance for the implementation of I SO 31000 1. Phạm vi áp dụng Tiêu chuẩn này này đưa ra hướng dẫn cho các tổ chức về quản lý rủi ro một cách hiệu lực thông qua việc: áp dụng TCVN ISO 31000:2011 (ISO 31000:2009). Tiêu chuẩn này đưa ra: - cách tiếp cận có cấu trúc đối với các tổ chức để chuyển những sắp xếp về quản lý rủi ro của m ì nh phù hợp với TCVN ISO 31000 theo cách l à phù hợp với đặc điểm của tổ chức; - giải thích các khái niệm cơ bản của TCVN ISO 31000; - hướng dẫn về các khía cạnh của các nguyên tắc và khuôn khổ quản lý rủi ro được quy định trong TCVN ISO 31000. Tiêu chuẩn này có thể được sử dụng bởi bất kỳ doanh nghiệp công, tư hay cộng đồng, hiệp hội, nhóm hoặc cá nhân. CH Ú THÍCH: Đ ể thuận tiện, tất cả những người sử dụng tiêu chuẩn này được gọi bằng thuật ngữ chung là “tổ chức ” . Tiêu chuẩn này kh ô ng áp dụng r i ê ng cho bất kỳ ngành công nghiệp hay lĩnh vực nào hoặc với bất kỳ loại h ì nh rủi ro cụ th ể nào, ti ê u chuẩn có thể được áp dụng cho t ấ t c ả các hoạt động và cho tấ t cả các bộ phận của tổ chức. 2. Tài liệu viện dẫn Tài liệu viện dẫn dưới đây rất cần thiết cho việc áp dụng ti ê u chuẩn n à y. Đ ố i với các tài liệu ghi năm công bố th ì áp dụng bản đ ư ợc nêu. Đ ố i với các tài liệu kh ô ng ghi năm công bố thì áp dụng bản mới nh ất, bao g ồ m cả các sửa đổi. TCVN ISO 31000:2011 (ISO 31000:2009), Quản lý rủi ro - Nguy ê n t ắ c và hướng dẫn. 3. Áp dụng TCVN ISO 31000 3.1 Khái quát Điều n à y nêu hướng dẫn cho các tổ chức đang tiếp cận và thực hành quản lý rủi ro của m ì nh theo TCVN ISO 31000 và tiếp tục duy tr ì những thực hành theo định hướng đó. Điều này nêu phương pháp luận áp dụng thích hợp, theo cách đ ã được hoạch định, đối với b ấ t kỳ tổ chức nào không phụ thuộc vào bản chất của các cách thức quản lý rủi ro hiện tại của tổ chức đó. Phương pháp luận này bao gồm: - so sánh thực hành hi ệ n tại với nh ữ ng quy định và thực hiện một k ế hoạch để l à m nh ư vậy; - duy trì việc theo dõi và xem xét thường xuy ê n đ ể đảm bảo việc thực hành hiện tại và cải ti ế n liê n tục. Điều này giúp t ổ chức có được sự hiểu biết hiện tại và toàn diện về các rủi ro của m ì nh và đảm b ả o rằng những rủi ro đó phù hợp với thái độ đối với rủi ro và các ti ê u chí rủi ro của tổ chức. Dù động cơ áp dụng TCVN ISO 31000 là gì th ì việc làm như trên được kỳ vọng s ẽ tạo điều kiện thuận lợi cho một tổ chức đều quản lý tốt hơn các rủi ro, hỗ trợ cho các mục ti ê u của m ì nh. Tất cả các tổ chức qu ả n lý rủi ro ở mức độ nào đó. Chi ế n lược áp dụng TCVN ISO 31000 cần nhận biết về việc một tổ chức đang quản lý rủi ro như thế nào. Quá trình áp dụng, như mô tả trong 3.2, sẽ xem xét, đánh giá những cách thức đang thực hiện và n ế u cần thiết, điều chỉnh và sửa đổi đ ể phù hợp với TCVN ISO 31000. TCVN ISO 31000 xác định các yếu t ố khác nhau của một khuôn kh ổ quản lý rủi ro. Có một số l ợ i thế có thể nảy sinh khi các y ế u t ố của khu ô n kh ổ này được lồng ghép vào hoạt động qu ả n tr ị , các chức năng và các quá trình của tổ chức. Điều này li ê n quan đến tính hiệu lực về mặt tổ chức, việc ra quyết định đúng đắn và t í nh hiệu quả. a) Khuôn khổ để quản lý rủi ro cần được thực hiện bằng cách tích hợp các thành phần của khuôn kh ổ này vào h ệ thống quản lý và ra quyết định của tổ chức, cho dù hệ thống này l à chính thức hay không chính thức; các quá trình quản lý hiện tại có thể được cải ti ế n bằng cách tham khảo TCVN ISO 31000. b) Sự hi ể u biết và quản lý về sự kh ô ng chắc chắn trở thành một phần không thể thiếu trong (các) hệ thống quản lý, thiết lập n ê n một cách tiếp cận chung cho tổ chức. c) Việc áp dụng quá trình quản lý rủi ro này có thể phù hợp từng phần với quy mô và các yêu cầu của tổ chức. d) Hoạt động quản trị (nghĩa là điều hành và giám sát) về chính sách, khuôn khổ và (các) quá trình quản lý rủi ro có thể được tích hợp vào những cách thức quản trị hiện tại của tổ chức. e) Việc báo cáo quản lý rủi ro được tích hợp với việc báo cáo quản lý khác. f) Kết quả thực hiện quản lý rủi ro trở thành một phần không thể thiếu của cách tiếp cận kết quả thực hiện tổng thể. g) Sự tương tác và kết nối giữa các lĩnh vực quản lý rủi ro t ách biệt của một tổ chức (ví dụ như quản lý rủi ro doanh nghiệp, quản lý rủi ro tài chính, quản lý rủi ro dự án, quản lý an toàn và an ninh, quản lý tính li ê n tục của hoạt động kinh doanh, quản lý bảo hiểm) có thể được đảm bảo hoặc được cải thiện, do sự chú trọng hàng đầu vào việc thiết lập và t h ực hiện thành c ô ng các mục tiêu của tổ chức và c ó t í nh đến các rủi ro. h) Trao đổi thông tin về sự không chắc chắn và rủi ro giữa các đội quản lý và các cấp quản lý được cải thiện. i) Các hoạt động quản lý rủi ro trong một tổ chức đặt trọng tâm vào việc thực hiện thành công các mục ti ê u của tổ chức. Điều này có thể mang lại những lợi ích x ã hội gián tiếp do các bên liên quan bên ngoài có thể được khích lệ để cải thiện hoạt động quản lý rủi ro riêng của m ì nh. j) Việc xử lý và các biện pháp kiểm soát rủi ro có thể trở thành một phần không thể thiếu trong các hoạt động hàng ngày. 3.2 Cách thức áp dụng TCVN ISO 31000 Mặc dù TCVN ISO 31000 có giải thích v ề cách thức để quản lý rủi ro một cách hiệu lực nhưng tiêu chuẩn nà y kh ô ng diễn giải cách thức tích hợp quản lý rủi ro vào các quá trình quản lý của tổ chức. Tuy vậy, dù các tổ chức có thể khác nhau và các điểm khởi đầu của họ có thể khác nhau nh ư ng trong mọi trường hợp, họ vẫn có thể áp dụng tiêu chuẩn này nhờ một cách tiếp cận áp dụng chung và có hệ thống. Tổ chức cần xác định liệu c ó cần có những thay đổi đối với khuôn khổ hiện tại của mình để quản lý rủi ro, trước khi hoạch định và thực hiện những thay đổi đó và sau đó theo dõi thường xuyên tính hiệu lực của khuôn khổ đã được sửa đổi này. Điều này cho phép tổ chức: - thống nhất các hoạt động quản lý rủi ro của mình với các nguyên tắc quản lý rủi ro có hiệu lực như nêu trong TCVN ISO 31000:2011 (ISO 31000:2009), Điều 3; - áp dụng quá trình quản lý rủi ro như nêu trong TCVN ISO 31000:2009, Điều 5; - đáp ứng các đặc tính quản lý rủi ro nâng cao như n ê u trong TCVN ISO 31000:2011 (ISO 31000:2009), A.3; - nhờ đó đạt được những kết quả quan trọng như nêu trong TCVN ISO 31000:2011 (ISO 31000:2009), A.2. Cách tiếp cận này cũng được áp dụng cho các tổ chức v ố n đ ã tuân thủ TCVN ISO 31000 và mong muốn liên tục cải tiến khuôn khổ và quá trình đ ể quản lý rủi ro như đã khuy ế n ngh ị trong TCVN ISO 31000:2011 (ISO 31000:2009), 4.6 và 5.6. Tất cả các kh í a cạnh của quá trình chuyển đổi có thể được tr ợ giúp nhờ kinh nghiệm được rút ra từ các tổ chức khác khi họ quản lý các loại h ì nh rủi ro tương tự hoặc đã trải qua một quá trình tương tự. 3.3 Tích hợp ISO 31000 vào các quá trình quản lý của tổ chức 3.3.1 Khái quát TCVN ISO 31000 đưa ra khuôn khổ và một quá trình chung đ ể quản lý rủi ro trong tất cả hoặc một phần của mọi loại hình tổ chức. Điều này nêu hướng dẫn cho việc tích hợp các yếu tố của TCVN ISO 31000 vào cách tiếp cận quản lý của một tổ chức, bao gồm các hoạt động, quá trình và chức năng của tổ chức. Các tổ chức có thể lựa chọn tích hợp các khái n iệ m của TCVN ISO 31000 với các quá trình hiện tại của mình, hoặc có thể lựa chọn thiết kế và thiết lập mộ t cách tiếp cận mới dựa trên TCVN ISO 31000. Điều n à y mô t ả các yếu tố cốt lõi cửa khuôn khổ quản lý và quá trình, cũng như các hành động cần thiết đ ể tích hợp thành công các yếu tố này nhằm đáp ứng các mục tiêu c ủ a tổ chức. Có rất nhiều cách để tích hợp TCVN ISO 31000 vào một tổ chức. Việc lựa chọn và s ắ p xếp thứ tự của các yếu tố cần phù hợp với nhu cầu và các bên liên quan của tổ chức. Phải thận trọng khi áp dụng tiêu chuẩn n ày đ ể đảm b ả o rằng việc tích hợp s ẽ hỗ trợ cho chiến lược quản lý kinh doanh tổng thể. Đi ề u này dẫn đến nỗ lực đáp ứ ng các mục ti ê u của tổ chức v ề bảo vệ và tạo lập giá trị. Cách tiếp cận này cũng cần phải cân nhắc đến văn hóa của t ổ chức, cũng nh ư các phương pháp luận về quản lý dự án và quản lý thay đổi. Điều này mô tả các yếu tố cốt lõi của khuôn khổ và quá trình, các hành động cần thiết để tích hợp thành công các yếu tố này nhằm đáp ứng các mục tiêu của tổ chức. Áp dụng TCVN ISO 31000 là một quá trình liên tục mang tính động và lặp lại. Hơn nữa, việc áp dụng khuôn khổ này được kết nối tương hỗ với các quá trình quản lý rủi ro n ê u trong TCVN ISO 31000:2 0 11 (ISO 31000:2009), Điều 5. Sự thành công được đo lường về cả sự tích hợp của khuôn khổ này l ẫn việc cải tiến liê n tục quản lý rủi ro trong toàn bộ t ổ chức. Việc tích hợp di ễ n ra trong một bối cảnh năng động. Tổ chức cần theo dõi cả những thay đổi phát sinh do quá trình áp dụng và những thay đ ổi đối vớt bối cảnh b ê n trong và b ê n ngoài của tổ chức. Điều này có thể bao gồm nhu cầu t hay với các t iê u chí rủi ro của t ổ chức. 3.3.2 Nh iệm vụ v à cam kết Mọi hoạt động qu ả n l ý kinh doanh đều bắt đầu từ việc phân tích về t í nh hợp lý, các bước của các quá trình và phân tích lợi ích - chi phí. Ti ế p theo là quyết định của l ã nh đạo và bộ phận giám sát về vi ệc thực hiện và đưa ra cam kết và cung cấp các nguồn lực cần thiết. Th ô ng thường, quá trình áp dụng bao gồm: a) Yêu c ầ u nh iệ m vụ và cam kết (n ế u y ê u cầu); b) Phân tích kho ả ng trống; c) Điều chỉ nh và x á c lập quy m ô trên cơ sở các nhu cầu, văn hóa, việc tạo lập và bảo vệ giá trị của tổ chức; d) Xem xét, đánh giá các rủi ro liên quan tới việc chuy ể n đ ổ i; e) Xây dựng một kế hoạch kinh doanh: - thiết lập các mục tiêu, th ứ tự ưu tiên và thước đo; - thiết lập tình huống kinh doanh, bao gồm sự phù hợp với các mục tiêu của tổ chức; - xác định phạm vi, trách nhiệm giải trình, khung thời gian và nguồn lực; f) xác định bối cảnh áp dụng, bao gồm trao đổi thông tin với các bên liên quan. 3.3.3 Thiết k ế khuôn khổ 3.3.3.1 Các cách tiếp cận quản lý rủi ro hiện tại trong tổ chức c ầ n được xem xét, đánh giá, bao gồm b ố i c ả nh và v ă n hóa. a) Điều quan trọng là phải cân nhắc về các trách nhiệm pháp lý, ch ế đ ị nh hoặc trách nhiệm đối với khách hàng và các yêu cầu chứng nhận phát sinh từ bất kỳ hệ thống quản lý và các tiêu chuẩn quản lý mà tổ chức lựa chọn áp dụng. Mục đích của bước này là cho phép điều chỉnh một cách cẩn trọng đối với thiết kế khuôn khổ quản lý rủi ro và kế hoạch áp dụng khuôn khổ quản lý rủi ro, đồng thời cho phép thống nhất cơ cấu, văn hóa với hệ thống quản lý chung của tổ chức. b) Điều quan trọng là cân nhắc về cả quá trình được sử dụng để quản lý rủi ro l ẫ n các kh í a cạnh của khuôn khổ quản lý r ủ i ro hiện có h ỗ trợ việc áp dụng quá trình này. c) Cần thiết lập các tiêu chí rủi ro thích hợp. Các t iê u chí rủi ro cần nh ấ t quán với các mục tiêu của tổ chức và đ ị nh hư ớ ng theo thái độ đối với rủi ro của tổ chức. N ế u các mục tiêu này thay đ ổ i, các tiêu ch í rủi ro cần được điều chỉnh cho phù hợp. Điều quan trọng đối với việc quản lý rủi ro có hiệu lực là các tiêu chí rủi ro được thiết lập phản ánh được thái độ đối với rủi ro và các mục tiêu của tổ chức. Để th iế t kế khuôn khổ mới, c ầ n xem xét, đánh giá cụ thể: - Các nguy ê n tắc và các đặc tính, như được mô tả trong TCVN ISO 31000; - Khuôn khổ quản lý trước đây mà việc xem xét, đánh giá cần so sánh một cách cụ thể những thực hành hiện tại với các yêu cầu n ê u trong các điều sau của TCVN ISO 31000 (ISO 31000): - 4.3.2 (chính sách quản lý rủi ro); - 4.3.3 (trách nhiệm giải trình); - 4.3.4 (tích hợp vào các quá trình tổ chức); - 4.3.5 (nguồn lực); - 4.3.6 và 4.3.7 (các c ơ ch ế báo cáo và trao đổi thông tin nội bộ và bên ngoài); - Quá trình mà việc xem xét, đánh giá cần so sánh các yếu tố của các quá trình hiện tại với quy đ ị nh tại T CVN ISO 31000:2011 (ISO 31000:2009), Điều 5, cũng như các nguyên tắc n ề n tảng mà dẫn đến và cung cấp cơ sở hợp lý cho quá trình này với các nguyên t ắ c n ê u trong TCVN ISO 31000:2011 (ISO 31000:2009), Điều 3 (ví dụ liệu quá trình này có áp dụng thực sự cho việc ra quyết định ở tất cả các cấp hay không): - Xem xét, đánh giá xem liệu quá trình hiện tại này có cung cấp cho những người ra quyết định các thông tin rủi ro mà họ cần để đưa ra các quyết định c ó chất lượng và đáp ứng hoặc vượt các mục ti ê u hay kh ô ng; - Xem xét, đánh giá xem liệu các cách tiếp cận quản lý rủi ro hiện tại c ó đ ề cập đầy đủ các rủi ro có tương tác lẫn nhau và các rủi ro xảy ra tại nhiều địa điểm khác nhau hay không. 3.3.3.2 Cần xác định các yêu cầu và thiết kế khuôn khổ Trên cơ sở các xem xét, đánh giá được mô tả trong 3.3.3. 1 , tổ chức cần quyết định các khía cạnh nào của cách tiếp cận rủi ro hiện tại: a) có thể tiếp tục được sử dụng trong tương lai (có thể được mở rộng cho các loại hình ra quyết định khác); b) cần sửa đổi hoặc nâng cao; c) không c ò n tạo giá trị gia tăng và cần ngừng áp dụng; Tổ chức cần xây dựng, lập thành tài liệu và trao đổi thông tin về việc s ẽ quản lý rủi ro như th ế nào. Quy m ô và nội dung của các tiêu chuẩn, các h ướ ng dẫn và các mô hình nội bộ của tổ chức có liên quan đến quản lý rủi ro cần phản ánh đặc điểm v ă n hóa và b ố i cảnh của tổ chức. Các tài liệu này có thể quy định rằng: - Các rủi ro được quản lý trong toàn bộ tổ chức nhờ sử dụng các phương pháp tiếp cận nhất quán; - Có những cấp trách nhiệm giải trình khác nhau trong quản lý rủi ro; - Năng lực và nhi ệ m vụ của tất cả nh ữ ng người có trách nhiệm giải trình và quản lý rủi ro đều được xác định r õ ràng; - Cả các b ên liê n quan nội bộ và bên ngoài đều tham gia một cách phù hợp thông qua việc trao đổi thông tin và tham v ấ n toàn diện; - Các thông tin về rủi ro và đầu ra từ t ấ t c ả các ứng dụng của quá trình quản lý rủi ro được ghi nhận một cách nhất quán và an toàn, thuận tiện cho việc ti ế p cận. Cũng c ầ n có quy đị nh v ề việc xem xét định kỳ các yêu cầu, c ô ng cụ, đào tạo và các nguồn lực củ a tổ chức đ ối với quản lý rủi ro, n ế u sau đó có những thay đổi v ề tổ chức và bối cảnh của tổ chức hoặc nếu như việc theo dõi và xem xét l i ê n tục xác định thấy c ó những điểm yếu hoặc kh ô ng hiệu quả. 3.3.3.3 Cần xác định phạm vi, mục tiêu, chỉ tiêu, nguồn lực và các b iệ n pháp đ ã thành công và các t iê u chí theo dõi, xem xét đối với giai đoạn thực hiện. 3.3.3.4 Cần thiế t lập cơ ch ế báo cáo và trao đổi thông tin nội bộ và b ê n ngoài. 3.3.4 Thực hiện quản lý r ủi ro Cần có một kế hoạch thực hiện chi tiết để đảm bảo r ằ ng những thay đổi cần thiết sẽ được thực hiện theo một trình tự rõ ràng và phải cung cấp, đưa vào sử dụng các nguồn lực cần thiết. Kế hoạch này cần được hỗ trợ bởi các nguồn lực cần thiết trong quá trình thực hiện và điều này có thể đòi hỏi việc phân bổ các khoản ngân sách cụ thể mà việc phân bổ này c ầ n là một phần c ô ng việc của quá trình lập k ế h oạch. Bản thân kế hoạch này c ầ n là đối tượng của đánh giá rủi ro theo TCVN ISO 31000:2011 (ISO 31000:2009), 5.4 và mọi hành động cần thiết được áp dụng để xử lý rủi ro. Kế hoạch này cần vừa yêu cầu, vừa cho phép việc theo dõi và báo cáo về ti ế n triển với lãnh đạo cao nhất và bộ phận giám sát và cần có điều khoản quy định về xem xét định kỳ kế hoạch này. Do đ ó , kế hoạch này cần: - Nêu chi tiết các hoạt động cụ thể được thực hiện, tr ì nh tự, người thực hiện, tiến độ hoàn thành: các hành động này sẽ bao g ồ m cả việc sửa đổi các ti ê u chuẩn, hướng dẫn nội bộ; giải thích và đào tạo để xây dựng năng lực và thực hiện các điều chỉnh về trách nhiệm giải trình; - Xác định bất kỳ hành động nào s ẽ được thực hiện n hư một phần của một số hành động có phạm vi rộng hơn và gắn kết với sự phát triển của tổ chức, hoặc những hành động có m ố i liên h ệ khác (v í dụ như xây dựng tài liệu đào tạo và sự tham gia của các giảng vi ê n); - Xác định các trách nhiệm thực hiện; - Kết hợp với cơ chế về báo cáo việc hoàn thành, ti ế n triển và các vấn đề; - Xác định và ghi nhận bất kỳ tiêu chí nào s ẽ dẫn đến xem xét lại kế hoạch này. Việc thực hiện có thể đòi h ỏ i một khoảng thời gian để hoàn thành và có thể được ti ế n hành theo các giai đoạn. Thực hành thông thường cần được áp dụng là giành sự ưu tiên cho những thay đổi có ảnh hưởng l ớ n nhất đối với thực hiện thành công mục đích cuối cùng. Việc thực hiện này có thể xảy ra ở các giai đoạn khác nhau của sự lớn mạnh và c ơ cấu của tổ chức. Điều này cũng có thể có hiệu lực hơn khi tích hợp việc thực hiện với các chương tr ì nh thay đổi khác. 3.3. 5 Theo dõi và xem xét Cần theo dõi, phân tích và báo cáo kịp thời về sự tiến triển so với kế hoạch cho l ã nh đạo cao nh ấ t (h àn g tháng, hàng quý, v.v...). Các báo cáo về sự tiến triển so với kế hoạch và kết quả thực hiện so với các thước đo c ầ n được xác nhận định kỳ theo một quá trình xem xét khách quan. Hoạt động xem xét cần bao g ồ m việc kiểm tra về khuôn khổ, các quá trình, bản thân các rủi ro và sự thay đổi đối với m ô i trường. C ầ n c ó một cuộc xem xét định kỳ về chi ế n lược thực hiện và đo lường sự ti ế n bộ, tính nhất quán cũng như sự sai lệch so với kế hoạch quản lý rủi ro. Các cuộc xem xét cũng có thể thực hiện nếu như các t iê u chí xem xét đã đ ề ra trong kế hoạch được khởi sự thực hiện. Cần xem xét, đánh giá kết quả thực hiện trên cơ sở t í nh hiệu lực của sự thay đổi và quản lý rủi ro, cũng như để xác định các bài học kinh nghiệm và các cơ hội cải ti ế n. Các v ấ n đề quan trọng có được từ việc theo dõi thực hiện kế hoạch này c ầ n được báo cáo cho những người có trách nhiệm. Các kết quả của bước này s ẽ được phản hồi vào bối cảnh và các chức năng khác, sao cho những rủi ro mới có thể được xác định, các thay đổi đối với rủi ro hiện tại có thể được phát hiện, và t ì nh t r ạng thực hiện của khuôn khổ này có thể được ghi nhận để cải tiến [(xem TCVN ISO 31000:2011 (ISO 31000:2009), 4.6 và 5.7]. 3.4 Cải tiến liên tục Cả khuôn khổ quản lý rủi ro và các quá trình quản lý rủi ro cần được xem xét để đánh giá xem thiết kế của chúng có phù hợp và việc thực hiện có làm gia t ă ng giá trị cho tổ chức như dự định hay không. Nếu các kết quả của việc theo dõi và xem xét cho th ấ y sự cải tiến có thể được thực hiện th ì chúng cần được áp dụng càng sớm c à ng tốt. Đối với các tổ chức đ ã chuy ể n sang áp dụng TCVN ISO 31000, cần có sự nhận thức và sự lĩnh hội vững vàng về cơ hội đ ể c ả i ti ế n. Các bước tương tự như đã được sử dụng trong quá trình chuyển đổi cũng sẽ hữu ích cho việc thực hiện các cuộc kiểm tra đ ị nh k ỳ nhằm phát hiện xem liệu có sự chệch hướng khỏi quá trình này hay không. Có những nguy ê n do dẫn đến việc cải tiến liên tục, bao gồm: - việc theo dõi và xem xét thường xuyên khuôn khổ và quá trình quản lý rủi ro để từ đó xác định các cơ hội cải tiến; - những kiến thức mới có được; - sự thay đổi thật sự, đáng kể đối với bối cảnh nội bộ và b ê n ngoài của tổ chức. Phụ lục A (Tham khảo) Các khái niệm và nguyên tắc nền tảng A.1 Khái quát Phụ lục này giải thích một số từ và khái niệm cụ thể (ví dụ như “rủi ro”) đang được sử dụng hàng ngày và chúng có thể có một số ngữ nghĩa, nhưng trong cả TCVN ISO 31000 và trong tiêu chuẩn này th ì chúng có ngữ nghĩa đặc trưng riêng. TCVN ISO 31000 định nghĩa rủi ro là “tác động của sự kh ô ng chắc chắn lên các mục t iê u ” .. CHÚ TH Í CH: Các độc giả n ê n làm quen với các thuật ngữ và định nghĩa trong phụ lục n à y. A.2 Rủi ro và các mục tiêu Các tổ chức thuộc mọi loại hình đ ề u phải đối mặt với các nhân tố và những ảnh hưởng bên trong và bên ngoài làm cho tổ chức không chắc chắn về việc khi nào và ở quy mô n à o thì họ s ẽ đạt hoặc vượt các mục tiêu của mình. Ả nh hưởng của sự không chắc chắn tới các mục tiêu của tổ chức chính là “ rủi ro ” . Những mục ti ê u nêu trong TCVN ISO 31000 và trong tiêu chuẩn n à y là kết quả mà tổ chức đang t ì m kiếm. Thông thường, đ â y là những biểu hiện cao nhất về ý định và mục đích mà tổ chức đang tìm kiếm, và ch ú ng thường phản ánh các kết quả rõ ràng hoặc ngầm hiểu, biểu th ị giá trị và những đòi hỏi của n ó , bao gồm cả việc xem xét trách nhiệm xã hội và yêu cầu pháp lý và luật định. Nói chung, quản l ý rủi ro sẽ được triển khai thuận lợi nếu các mục tiêu được thể hiện bằng hạng mục đo lường được. Thường có các mục tiêu ph ứ c tạp, chứa nhiều hạng mục, tuy nhiên, sự kh ô ng nh ấ t quán giữa các mục tiêu cũng có thể là một ngu ồ n của rủi ro. Khả năng xảy ra không chỉ xét ở góc độ một sự kiện xảy ra mà là toàn bộ kh ả năng của các h ệ quả có th ể x ảy ra từ sự kiện và mức độ của h ệ quả k ể cả tích cực lẫn ti ê u cực. Thông thường, có thể có nhiều hệ quả có thể phát sinh từ một sự kiện và m ỗi hệ quả sẽ có khả n ă ng riêng của n ó . Mức rủi ro có thể được biểu hiện là khả n ă ng xảy ra những hệ quả cụ thể này (bao gồm cả quy mô/độ lớn) của nó là chấp nhận được với thực tiễn. Các hệ quả liên quan trực tiếp đến mục ti ê u và chúng nảy sinh khi một cái gì đó xảy ra hay không xảy ra. Rủi ro là tác động của sự không chắc chắn đối với các mục tiêu, bất luận là lĩnh vực hay các hoàn cảnh nào, bởi vậy một sự kiện hay một mối nguy (hoặc bất kỳ nguồn rủi ro nào khác) có thể không được mô tả như là một rủi ro. Rủi ro cần được mô tả như sự kết hợp của khả năng x ả y ra một sự kiện (hay mối nguy hoặc nguồn gốc rủi ro) và hệ quả của nó. Sự hiểu biết rằng rủi ro có thể c ó những hệ quả tích cực hay tiêu cực là một khái niệm trung tâm và quan trọng mà những người l ã nh đạo phải biết. Rủi ro có thể đặt cho tổ chức vào một cơ hội, một mối đe dọa hoặc cả hai. Rủi ro phát sinh hoặc b ị thay đổi khi đưa ra các quyết định. Do hầu như luôn có những sự không chắc chắn gắn liền với các quyết định và việc ra quyết định, nên cũng hầu như luôn có rủi ro. Người có trách nhiệm đối với việc đạt được các mục tiêu r ấ t cần đánh giá được rằng rủi ro là một phần tất yếu của các hoạt động của tổ chức và nó thường được tạo ra hoặc bị thay đổi khi đưa ra các quyết định. Phải biết và hiểu các rủi ro liên quan đến một quyết định ngay thời điểm ra quyết định đó và do vậy phải ch ủ động chấp nhận rủi ro đó. Điều này có thể được thực hiện khi sử dụng quá trình quản lý rủi ro nêu trong TCVN ISO 31000. A.3 Sự không chắc chắn Sự không chắc chắn gắn li ề n với các mục tiêu, làm phát sinh rủi ro luôn bắt nguồn từ chính môi trường b ê n trong và b ê n ngoài mà tại đó tổ chức hoạt động. Sự không chắc chắn có thể là: - Hệ quả của các yếu tố xã hội học, tâm lý và văn hóa có tính n ề n tảng liên quan đ ế n hành vi của con người; - Được phát sinh b ở i các quá trình tự nhiên được đặc trưng bởi sự thay đổi vốn có, v í dụ nh ư t hời tiết, sự biến động giữa các kết quả quan trắc cộng đ ồ ng. - N ẩ y sinh do thông tin không đầy đủ, không ch ín h xác, ví dụ: do thiếu thông tin, diễn giải sai, không đáng tin cậy, sự mâu thuẫn nội bộ hoặc không thể truy cập dữ liệu; - Thay đổi theo th ờ i gian, ví dụ do cạnh tranh, các xu hướng, thông tin mới, những thay đổi trong các yếu tố cơ bản; - Được tạo ra do cảm giác về sự không chắc chắn và có thể khác nhau giữa các bộ phận của tổ chức và các bên li ê n quan. A.4 Kiểm soát và xử lý rủi ro Kiểm soát là các biện pháp được các tổ chức thực hiện để điều chỉnh rủi ro nhằm tạo khả năng đạt được các mục tiêu. Kiểm soát có thể điều chỉnh rủi ro bằng cách thay đổi bất kỳ ngu ồ n phát sinh sự không chắc chắn (ví dụ, làm cho nó nhiều hoặc ít hơn theo xu hướng có khả năng xảy ra) hoặc bằng cách thay đổi mức độ của những hệ quả tại thời điểm có thể xảy ra. Xử lý rủi ro, như định nghĩa trong TCVN ISO 31000, là quá trình nhằm thay đổi hoặc tạo ra những cách kiểm soát và k ể cả việc duy tr ì rủi ro. A.5 Khuôn khổ quản lý rủi ro Khuôn khổ quản lý rủi ro bao gồm những việc b ố tr í , sắp xếp (bao gồm c á c thực hành, quá trình, hệ thống, nguồn lực và văn hóa) trong hệ thống quản lý của t ổ chức mà hệ thống đ ó cho phép quản lý được rủi ro. Các đặc điểm của một khuôn khổ và mức độ mà theo đó nó được tích hợp vào hệ thống quản lý của tổ chức, s ẽ giúp đánh giá được một cách cơ bản rủi ro được quản lý hiệu lực như th ế nào. Khuôn khổ quản lý phải bao gồm các tuyên b ố rõ ràng của l ã nh đạ o về mục đích của tổ chức liên quan đến quản lý rủi ro (được mô tả trong TCVN ISO 31000 như là nhiệm vụ và cam kết) và năng lực cần thi ế t (các nguồn lực và khả năng) để đạt được mục đích này. Năng lực này không tồn tại như một hệ thống hay là một bộ phận được xác lập đơn biệt mà bao gồm nhiều yếu tố tích hợp trong các quá trình quản lý tổng thể của tổ chức. Chúng hoặc có thể là một bộ phận duy nh ấ t để phục vụ cho công tác quản lý rủi ro (ví dụ như một hệ thống thông tin chuyên ngành), hoặc là các khía cạnh của hệ thống quản lý của tổ chức (v í dụ các thực hành về nguồn nh â n lực của tổ chức). A.6 Các ti ê u chí rủi ro Ti ê u chí rủi ro là các th ô ng s ố do tổ chức xác lập, nó cho phép m ô t ả rủi ro và đưa ra quyết định về mức ý nghĩa của rủi ro mà đối với nó, tổ chức phải cân nhắc thái độ về rủi ro của mình. Những quyết định này cho phép đánh giá được rủi ro và lựa chọn được cách xử lý. A.7 Quản lý , quản lý rủi ro và việc quản lý rủi ro Quản lý bao gồm các hoạt động được kết hợp để chỉ đạo và ki ể m soát một tổ chức trong việc theo đuổi các mục tiêu của n ó . Quản lý rủi ro là một phần không thể thiếu của quản lý v ì nó bao gồm các hoạt động được ph ố i hợp liên quan tới tác động của sự không chắc chắn đối với những mục tiêu. Đó là lý do tại sao, để có hiệu lực, điều quan trọng là quản lý rủi ro phả i được tích hợp đầy đ ủ vào hệ thống quản lý và các quá trình quản lý của tổ chức. Trong tiêu chuẩn này, cũng như trong TCVN ISO 31000, khái niệm “quản lý rủi ro” đề cập cơ cấu kiến trúc mà các tổ chức đang sử dụng (các nguyên tắc, khuôn khổ và các quá trình) đ ể qu ả n lý rủi ro một cách hiệu lực và khái niệm “việc quản lý rủi ro ” đ ề cập đến việc áp dụng cơ c ấ u kiến trúc cho những quyết định, hoạt động và rủi ro c ụ thể. Phụ lục B (tham kh ả o) Áp dụng các nguyên tắc của TCVN ISO 31000 B.1 Khái quát Trong kh i tất cả các tổ chức đ ề u quản lý rủi ro ở những mức đ ộ nh ấ t định th ì TCVN ISO 31000:2011 (ISO 31000:2009) thiết lập mười một nguy ê n tắc cần được thỏa m ã n để thực hiện quản lý rủi ro hiệu lực. Các nguyên tắc này nêu các hướng dẫn về: a) Cơ sở để quản lý rủi ro có hiệu lực (ví dụ như quản lý rủi ro tạo ra và bảo vệ giá trị); b) Những đặc điểm của quản lý rủi ro cho phép quản lý rủi ro có hiệu lực, ví dụ như nguyên tắc b), quy định rằng việc quản lý rủi ro là một phần không thể thiếu của tất cả các quá trình của tổ chức. Trong TCVN ISO 31000, m ỗ i nguyên tắc được tóm tắt qua một vài từ ở tiêu đề của nó, kèm phần giải thích hoặc sự cụ thể hóa bằng l ờ i để hỗ trợ. Tất cả m ư ời một nguyên tắc s ẽ được cân nhắc khi thiết kế các mục tiêu quản lý rủi ro của tổ chức, tuy nhi ê n, ý nghĩa của các nguyên tắc ri ê ng biệt có thể thay đổi tùy theo các phần của khu ô n khổ tổ chức được xem xét và được thay đổi đối với việc áp dụng cụ thể của họ. Việc áp dụng thành c ô ng các ng uyê n tắc này sẽ giúp xác định cả t í nh hiệu lực và hiệu quả của hoạt động quản lý rủi ro trong tổ chức. Luôn phải ghi nhớ đủ cả mười một nguyên t ắ c này, cho dù ý nghĩa của những nguyên tắc riêng biệt có thể thay đổi tùy theo từng phần của khuôn khổ quản lý đang được xem xét. Mặc dù các nguyên tắc này được diễn tả một cách, nhưng những cách áp dụng m ỗ i nguy ê n tắc lại đ òi h ỏ i phải am hiểu kỹ đ ể tạo được sự tác động đối với chúng tr ê n cơ s ở li ê n tục cải tiến. Sau đ ó , những kết quả phân tích này cần được phản ánh trong thiết kế hoặc trong thay đổi của khuôn khổ (ví dụ trong việc giao trách nhiệm, cung cấp việc đào tạo, thông tin với các bên liên quan và thiết kế để giám sát và xem xét lại thư ờ ng xuy ê n về kết quả hoạt động quản lý rủi ro). Phụ lục n à y cung cấp hướng dẫn về cách thức áp dụng từng nguy ê n tác và ngoài ra, đối với một số nguyên tắc, còn có ph ầ n hỗ trợ thực tiễn nêu riêng trong phần c ó đóng khung. B.2 Các nguy ê n tắc B.2.1 Quản lý rủi ro tạo ra và bảo vệ giá trị B.2.1.1 Nguy ê n tắc a) Quản lý rủi ro tạo ra và bảo vệ giá trị Quản lý rủi ro góp phần vào việc đạt được mục tiêu và cải tiến việc thực hiện, như an toàn và sức khỏe con người, an ninh, tuân thủ luật định và ch ế định, sự chấp nhận của công chúng, bảo vệ môi trường, chất lượng sản phẩm, quản lý dự án, hiệu quả hoạt động, qu ả n trị và uy tín. B .2.1.2 Áp dụng nguy ê n tắc Mục đích của quản lý rủi ro là tạo ra và bảo vệ các giá trị bằng cách giúp cho tổ chức đạt được các mục tiêu của mình. Nguyên tắc này giúp cho tổ chức xác định và xử lý các yếu tố cả bên trong hoặc bên ngoài của nó làm phát sinh và gia tăng sự kh ô ng chắc chắn liên quan đến các mục tiêu của mình. Mối liên hệ giữa t í nh hiệu lực của quản lý rủi ro và cách để nó góp phần vào sự thành công của tổ chức phải được chứng minh và truy ề n đạt rõ ràng. Nguyên tắc này nêu r õ , không n ê n quản lý rủi ro vì lợi ích riêng của mình mà phải quản lý rủi ro sao cho các mục t iê u s ẽ đạt được mà kết quả thực hiện lại được nâng cao. Có những thuộc t í nh và các đại lượng kh ó đo trực tiếp (ví dụ như đo bằng ti ề n), nhưng chúng cũng đóng góp mạnh mẽ cho kết quả thực hiện, cho uy tín và việc tuân th ủ pháp luật. Các giá trị về con người, xã hội và sinh thái đặc biệt quan trọng trong việc quản lý an ninh, an toàn và các rủi ro liên quan đến việc tuân thủ, hay tương tự, các rủi ro có li ê n quan tớ i tài sản vô hình, chính v ì vậy, c ầ n tạo ra đại lượng có thể được biểu đạt nhờ sử dụng các mô tả định tính chứ không phải là nhờ các thư ớ c đo định lượng. B.2.2 Quản lý rủi ro là một phần không tách rời của tất cả c á c qu á trình của tổ chức B.2.2.1 Nguyên tắc b) Quản lý rủi ro là một phần không tách rời của tất c ả các quá trình của tổ chức Quản lý rủi ro không phải là mộ t hoạt động độc lập, tách biệ t với các hoạt động và quá trình chính của tổ chức. Quản lý rủi ro là một phần trong trách nhiệm quản lý và là phần không thể thiế u trong tất cả các quá trình của t ổ chức, bao gồm các quá trình hoạch đ ị nh chiến lược, tất cả các dự án và quản lý thay đổi. B.2.2.2 Áp dụng nguy ê n tắc Các hoạt động của một tổ chức, bao gồm cả các quyết định được ban hành đều làm phát sinh, gia tăng rủi ro. Những thay đổi trong bối cảnh b ê n ngoài nằm ngoài tầm kiểm soát và ả nh hư ở ng của tổ chức cũng có thể làm phát sinh, rủi ro mới. Tất cả các hoạt động và quá trình của tổ chức diễn ra dù trong m ô i trường b ê n trong và b ê n ngo à i, th ì đều có sự không chắc chắn. Nó liên quan các nội dung sau: a) Khuôn khổ qu ả n lý rủi ro cần phải được thực hiện bằng cách kết hợp các thành ph ầ n của nó vào hệ thống quản lý và ra quyết định chung của tổ chức, cho dù hệ th ố ng là chính thức hay không chính thức; các quá trình quản lý hiện tại có thể được cải thiện bằng cách tham khảo TCVN ISO 31000; b) Quá trình quản lý rủi ro là một phần gắn li ề n của các hoạt động tạo ra rủi ro; nếu không, tổ chức s ẽ thấy sự cần thiết để điều chỉnh quyết định sau đ ó khi hiểu được các rủi ro liên quan; c) Nếu chưa có một hệ thống quản lý chính thức, có thể áp dụng khuôn khổ quản lý rủi ro để sử dụng cho mục đích này. Nếu việc quản lý rủi ro không được tích hợp vào các hoạt động và các quá trình quản lý , nó có thể được coi là một nhiệm vụ bổ sung mang t í nh quản trị, hoặc xem như một công việc điều hành của văn phòng chứ kh ô ng phải dạng công việc tạo ra hoặc bảo vệ giá trị. Có hai phương pháp chính để áp dụng các nguyên tắc như nêu dư ới đây: - Đưa vào giai đoạn lập khuôn khổ quản lý rủi ro (bao gồm c ả việc duy trì và cải tiến). - Đưa vào việc áp dụng các quá trình quản lý rủi ro để ra quyết định và các hoạt động liên quan. Phương pháp biểu th ị ý định của tổ chức về quản lý rủi ro cần được nêu tương tự như cách mà nó thể hiện những ý định khác của tổ chức (ví dụ nhiệm vụ và cam kết) (xem Phụ lục C). B ấ t cứ kh i nào có thể, các thành ph ầ n khác của khuôn khổ quản lý rủi ro cần được lồng ghép vào các thành phần của các h ệ thống quản lý hiện có (Chỉ dẫn ch i tiết hơn c ó thể xem trong Phụ lục F và trong TCVN ISO 31000). Các tổ chức đánh giá cũng có th ể đóng một vai trò quan trọng, chẳng hạn th ô ng qua việc t ì m hiểu xem l ã nh đạo đã ra các quyết định như thế nào và kiểm tra xem liệu quyết định đó c ó được đưa vào triển khai một cách thích hợp trong quá trình quản lý rủi ro. B.2.3 Quản lý rủi ro l à một phần của v iệ c ra quyết định. B.2.3.1 Nguy ê n t ắ c c) Quản lý rủ i ro là một phần của việc ra quyết đị nh Quản lý rủi ro giúp những người ra quyết định đưa ra những lựa chọn sáng suốt, hành động ưu tiên và phân biệt giữa các kế hoạch hành động thay thế. B.2.3.2 Áp dụng ngu yê n tắc Nguyên tắc này nêu rằng, quản lý rủi ro cung cấp nền t ả ng cho việc ra quyết định đ ú ng đắn. Quản lý rủi ro c ầ n được lồng ghép vào các hoạt động hỗ trợ cho việc đạt được các mục tiêu và quá trình ra quyết định. Quá trình ra quyết định cần được đánh giá một cách nhất quán và khi cần thiết, cả cách xử lý rủi ro. Chấp nhận hay không chấp nhận các quyết định đ ề u liên quan đến rủi ro, và đ iề u quan trọng là hiểu biết về các rủi ro liên quan tr ong cả hai trường hợp. Quản lý rủi ro cần phải được áp dụng như là một phần của một quyết định, và phải được thực hiện ngay tại thời điểm ra quyết định (nghĩa là chủ động) chứ không phải sau khi đã c ó quyết định (tính bị động - đ ố i phó). Ví dụ như: - Khi ra các quyết định về các v ấ n đ ề chiến lược c ầ n cân nhắc những bất ổn liên quan đến những thay đổi trong các yếu tố môi trư ờ ng, cũng như những thay đổi về các ngu ồ n lực của tổ chức; - Quá trình đổi mới nên được tiến hành trên cơ sở cân nhắc không chỉ về sự không chắc chắn có quyết định sự thành công của việc đổi mới, mà còn cả những rủi ro li ê n quan đến con người, xã hội, an toàn và các khía cạnh môi trường của sự đ ổ i mới, những việc phải xử lý theo y ê u cầu của pháp luật ví dụ như an toàn s ả n phẩm); - Các kế hoạch gắn với vốn đầu tư lớn phải xá c đ ịnh các mốc trọng yếu ra quyết định mà tại đ ó sẽ phải tiến hành đánh giá rủi ro. Chính sách của tổ chức về quản lý rủi ro và cách thức mà nó được truyền đạt cần phản ánh nguyên tắc n à y. Khi thiết lập các phần khác của khuôn khổ này ta cũng cần cân nh ắ c cách đ ư a ra quyết định sao cho quá trình này được áp dụng một cách hiệu quả và nhất quán trong tất cả các bước đưa ra quyết định, ví dụ như quản lý dự án, thẩm định đầu tư, mua s ắ m Người có trách nhiệm ra quyết định chung trong tổ chức phải hiểu chính sách quản lý rủi ro của tổ chức và phải đáp ứng yêu cầu cụ thể đ ể có năng lực áp dụng quy trình quản lý rủi ro đối với việc ra quyết định. Điều này s ẽ đòi hỏi phải có sự phân định rõ ràng tr ách nhiệm tại các v ị trí, việc được hỗ trợ đ à o tạo kỹ năng và cách xem xét kết quả thực hiện. Hỗ trợ thực t ế : Đ ể có tác dụng đối với nguyên tác này, ngay từ đầu; c ầ n xem xét một cách cẩn thận các câu hỏi sau: - L àm th ế nào đ ể điều này có thể giúp tạo ra và bảo vệ các giá trị? (Nguyên tắc a) - Các quyết định trong tổ chức được đưa ra như thế nào và từ đâu? - Ai tham gia vào việc ra quyết định? - Kiến thức và kỹ năng g ì là cần thiết cho những người ra các quyết định và đ ả m bảo việc quản lý rủi ro sẽ là một phần trong việc ra quyết định của họ? - Làm thế nào đ ể những người ra quyết định có được kiến thức và kỹ năng mà họ c ầ n? - Những định hướng và sự hỗ trợ nào là cần thiết cho nhân viên hiện có? - Làm th ế nào để các nhân viên mới sẽ được làm quen với phương pháp ra quyết định này ? - Là m thế nào đ ể có thể tác động t ớ i các bên liên quan b ê n ngoài? - Quá trình đưa ra quyết định trong tổ chức c ầ n phải thay đổi điều g ì ? - Làm thế nào để giám sát sự tiến bộ trong việc áp dụng nguyên tắc này? B.2.4 Quản lý r ủi ro đặc bi ệ t chú trọng đến s ự không chắc chắn B.2.4.1 Nguyên tắc d) Quản lý rủi ro đặc b iệt chú trọng đ ế n sự không ch ắ c chắn Quản lý rủi ro tính đến sự kh ô ng chắc chắn, bản chất của sự không chắc chắn và cách t hức gi ải quyết. B.2.4.2 Áp dụng nguyên tắc Trong các loại hình quản lý, quản lý rủi ro là loại hình quản lý duy nh ấ t gắn liề n một cách cụ thể tới tác động của s ự không chắc chắn đối với các mục tiêu. Rủi ro chỉ có thể được đánh giá hoặc xử lý thành công nếu ta hiểu được bản chất và nguồn gốc của sự không chắc chắn đó. Mọi h ì nh thức không chắc chắn đ ề u đòi hỏi phải cân nh ắ c, theo dõi và cần được đánh g i á đúng, không đánh giá cao hoặc th ấ p hơn. Ch ú trọng vào sự không chắc chắn là quan trọng khi lựa chọn những cách xử lý và khi xem xét các tác động và độ tin cậy của việc kiểm soát. Tương tự như vậy, sẽ có những sự không chắc chắn gắn liền v ới các bước hỗ trợ của quá trình quản lý rủi ro, ví dụ: liệu thông tin đ ã được chuyển t ả i thành công k hi giao tiếp và tham v ấ n với các b ê n liên quan, hoặc liệu các khoảng thời gian đ ã được lựa chọn cho quá trình giám sát là đủ để phát hiện sự thay đổi. Những người tham gia quản lý rủi ro cần ph ả i nhạy cảm, biết được mức độ quan trọng của sự không chắc chắn, bi ế t các loại hình và nguồn của sự không chắc chắn . S ố lượng và chủng loại các ph ư ơng pháp đánh giá rủi ro được sử dụng để giải quyết sự kh ô ng chắc chắn ph ả i phù hợp và li ê n quan đến mức quan trọng của quyết định: có thể dùng nhiều phư ơ ng pháp đa dạng. Ghi nhận các t ì nh huống giả định khi lập hồ sơ quá trình quản lý rủi ro [TCVN ISO 31000: 2011 (ISO 31000:2009), 5.7]. Các t ì nh huống giả định thường phản ánh một s ố hình thức của sự không chắc chắn, cũng nh ư b ấ t k ỳ sự không chắc chắn rõ ràng đã được phát hiện tại các bư ớ c khác nhau của quá trình. Khi một rủi ro đang được đánh giá, điều quan trọng là phải xem x é t sự không chắc chắn đ ó sẽ liên quan đến mức độ ước tính nào về k hả năng có thể xảy ra được và hệ quả của nó. Khi phân tích rủi ro và đ ề xuất các bi ệ n pháp xử lý, cần áp dụng những nghiên cứu đủ độ nhạy để hi ể u r õ ảnh hưởng thực t ế của những điều không chắc chắn như vậy. Hỗ trợ thực t ế - Những ng ười ra quyết định n ê n thừa nhận thực t ế là luôn phải hỏi “ các giả đ ị nh là g ì?” Và “ những b ấ t ổ n liên quan đến các giả định này l à g ì ?”. Chỉ dẫn thực hành này không giới hạn cho một dạng xác định khi đánh giá rủi ro, nghĩa là, nó c ó th ể áp dụng cho tất cả các giả định. - Kh i xem xét môi trường b ê n trong và b ê n ngoài như một phần của việc thiết lập b ố i cảnh, th ì bất kỳ đặc đi ể m nào có thể li ê n quan tới sự bi ế n động cao n ê n được lưu ý . Đây chính là nguồn g ố c của sự không chắc chắn và nó thông tin cho ta cách thức bối cảnh này c ầ n được theo d õi và xem xét thường xuy ê n. - N ế u sự không chắc chắn cho thấy một giá trị cụ thể đã được bi ế t và chỉ nằm trong phạm vi nhất định th ì phải thông báo phạm vi này. B.2.5 Quản lý rủi ro có tính hệ thống, cấu trúc và kịp thời B.2.5.1 Nguyên lý e) Quản lý rủi ro có t í nh hệ thống, cấu trúc và k ị p thời Phương pháp tiếp cận kịp thời, có c ấ u trúc và mang tính hệ th ố ng của quản lý rủi ro tạo ra hiệ u quả và các kết quả nhất quán, có t hể so sánh được và đáng tin cậy. B.2.5.2 Áp dụng nguy ê n tắc Cách tiếp cận nhất quán đối với t ì nh trạng rủi ro đang được quản lý tại thời điểm ra các quyết định sẽ tạo ra hiệu quả trong một tổ chức, và có thể cung c ấ p các kết quả xác lập nên sự tin cậy và sự thành c ô ng. Điều n à y đòi hỏi những cách thực hiện của tổ chức đ ó , chẳng hạn cân nhắc các rủi ro liên quan đến t ấ t cả các quyết định, quan tâm việc sử dụng các ti ê u chí rủi ro nhất quán, có liên quan đến các mục tiêu của tổ chức cũng như phạm v i các hoạt động của n ó . Cách tiếp cận c ó xét đến yếu tố thời gian thể h iệ n rằng, quá trình quản lý rủi ro được áp dụng tại các điểm tối ưu trong quá trình ra quy ế t đ ị nh. Một phần, điều này phụ thuộc vào việc thiết kế các khuôn khổ thực hiện mà theo đó nguy ê n tắc này được áp dụng. N ế u việc cân nhắc rủi ro được thực hiện quá sớm hoặc quá muộn, th ì hoặc m ấ t các cơ hội, hoặc phải b ổ sung khoản chi ph í đáng k ể cho việc xem xét lại quyết định. Những t ì nh huống có sự phụ thuộc thời gian cần được đánh giá và hi ể u đ ể xác định cách quản lý rủi ro hiệu qu ả nhất. Cách ti ế p cận có xét t ớ i cơ cấu t ổ chức thể hiện rằng việc áp dụng quá trình quản lý rủi ro tuân theo cách mô tả trong TCVN ISO 31000:2011 (ISO 31000:2009), Điều 5, bao gồm cả những việc chuẩn b ị thích hợp cho các hoạt động này. Tùy thuộc vào nhu cầu, phương pháp này c ầ n nhất quán với cách tiếp cận từ trên xuống hay cách tiếp cận từ dưới lên để gắn với đúng c ấ p quản lý tương ứng. B.2.6 Quản lý rủ i ro dựa trên thông tin t ố t nhất sẵn có B.2.6.1 Nguyên tắc f) Quản lý rủi ro dựa tr ê n những thông tin tốt nhất sẵn có. Đầu vào cho quá trình quản lý rủi ro dựa tr ê n các nguồn thông tin như dữ liệu quá khứ, kinh nghiệm, phản hồi của các bên liên quan, quan trắc, dự báo và phán đoán của chuyên gia. Tuy nhiên, những người ra quyết định nên tự tìm hiểu, xem xét bất kỳ hạn ch ế nào về dữ liệu hay m ô hình được sử dụng hoặc khả năng bất đồng giữa các chuyên gia. B.7.6.2 Áp dụng nguyên tắc Điều quan trọng là phải c ó được những thông tin hiện c ó tốt nhất đ ể có một sự hiểu biết ch í nh xác về mọi rủi ro. Do đó, khuôn khổ quản lý rủi ro cần bao g ồ m các phương pháp (ví dụ nghi ê n cứu) để thu thập và tạo thông tin. Tuy nhiên, dù có mọi n ỗ lực tốt nh ấ t, đôi khi, những thông tin c ó sẵn v ẫ n bị hạn chế. Ví dụ: dự đoán những g ì sẽ xảy ra trong tương lai thường bị giới hạn đối với việc sử dụng các dữ liệu về thống kê. Từ các thông tin, t a c ầ n hiểu được độ nhạy của các quyết định đối với bất kỳ sự không chắc chắn nào. Độ tin cậy của đánh giá rủi ro s ẽ phụ thuộc một phần vào sự rõ ràng và chính xác của tiêu chí rủi ro. Thu thập dữ liệu có l iê n quan rủi ro (ví dụ như s ự xuất hiện của sự cố và các thông tin mang t í nh kinh nghiệm khác) có thể hỗ tr ợ nhờ phương pháp đánh giá thống k ê . Mặc dù việc đưa ra quyết định dựa trên bằng chứng l à mục tiêu cuối cùng, điều này có thể không phải luôn luôn có thể làm được trong khoảng thời gian xác đ ị nh hoặc với các ngu ồ n lực sẵn có. Tr o ng những tình huống như vậy, có thể sử dụng cách đánh giá mang tính chuyên gia, kết hợp với các th ô ng tin hiện có. Tuy nhi ê n, c ầ n cẩn tr ọng đ ể tránh sai lệch dạng nhóm khi áp dụng cách đánh giá như vậy. H ơn thế, bằng chứng của quá khứ có thể không dự đoán ch í nh xác cho tương lai. Trong các t ì nh h uố ng có khả năng hiện diện của những sự kiện có hệ quả rất cao, thì ph ả i cảnh báo khi thấy thông tin không đầy đủ và khi có bằng chứng về tác hại tiềm n ă ng, chứ không phải chờ tới k hi có bằng chứng sự thực sự về sự có hại. Nguyên tắc này cũng được áp dụng cho việc th iế t k ế (hoặc c ả i ti ế n) khuôn khổ quản lý rủi ro, b ởi v ì sẽ có các khía cạnh của khuôn kh ổ này (ví dụ, đối với những người tiến hành khảo sát năng lực, h o ặc những ng ười thu thập, phân tích, cập nhật và tạo thông t i n để hỗ trợ việc á p dụng của quá trình) những khía cạnh đó sẽ quyết định nguy ê n t ắ c này được áp dụng t ố t như thế nào. C ầ n thường xuy ê n đánh giá độ tin cậy, độ chính x á c của thông tin v ề sự ph ù hợp, kịp th ờ i, đáng tin cậy, v ớ i những giả định được lập thành văn bản. Khuôn khổ cũng cần được định k ỳ xem xét, đề đưa ra các th ô ng tin cập nhật hay chỉnh sửa. Hỗ trợ thực t ế - Khi thiết kế cách thức báo cáo các sự cố trước h ế t cần cân nhắc c ẩ n thận về các quyết định n à o thông tin này có thể hỗ trợ tức là nh ữ ng người sử dụng cuối cùng, hiện tại và trong tương lai là ai, c á c thông tin này có thể cần thiết được lưu tr ữ , s ắ p xếp như thế nào, làm th ế n à o đ ể nó được toàn vẹn, được bổ sung, truy cập được. Một khi đ iề u này đ ã được thực hiện, hình thức báo cáo có thể được thiết kế với lưu ý rằng, ch ấ t lượng được tạo ra b ởi thông tin đ ó có thể bị ả nh hư ở ng b ở i thời điểm cần ti ế p nhận nó. - Mô tả về bối cảnh (bao gồm cả ngày nó được vi ế t ra) phải bao gồm như là một phần của các mô tả và tài liệu chi t iế t về những rủi ro ch í nh phải đối mặt (ví dụ như b ả n đ ă ng k ý rủi ro). Điều này cho phép những ng ườ i sử dụng b ả n đăng k ý này cân nh ắ c được m ọ i sự thay đổi trong b ố i cảnh có thể đã xảy r a sau đó với những thay đổi trong rủi ro. - Trường hợp các giả đ ị nh đã được thực h iệ n trong đánh giá, cần ghi lại rõ ràng, d ễ hiểu về tính hợp lý của những giả định, k ể cả những giới hạn bất kỳ. - Khi thi ế t k ế cách xử lý rủi ro, cần cân nh ắ c xem kết quả thực hiện của việc ki ể m soát khi xử lý sẽ được theo dõi và có sẵn như th ế n à o để những người n ê u các quyết định sau này có thể dựa v à o những cách kiểm soát đó. B.2.7 Quản lý rủi ro cần phù hợp B.2.7.1 Nguyên tắc g) Quản lý rủ i ro cần ph ù hợp Quản lý rủi ro phù hợp với bối cảnh bên trong và bên ngoài của tổ chức và đặc tr ư ng của rủi ro. B.2.7.2 Áp dụng nguy ê n tắc TCVN ISO 31000 cung cấp một cách tiếp cận chung để quản lý rủi ro, nó c ó thể áp dụng cho tất cả các loại h ì nh tổ chức và tất cả các loại rủi ro. Mọi tổ chức đều có văn hóa và đặc điểm, có các tiêu ch í rủi ro và b ố i cảnh của hoạt động riêng của chính họ. Quản lý rủi ro cần phù hợp để đáp ứng các nhu cầu của từng tổ chức. S ẽ không có một cách đơn biệt, chính xác kiểu chuẩn mực đ ể thiết kế và áp dụng khuôn khổ và các quá trình quản lý rủi ro v ì ch ú ng đòi hỏi sự linh hoạt và điều chỉnh th í ch ứng trong mỗi một tổ chức. Việc thiết kế có thể được xác định bởi nhiều khía cạnh, bao gồm quy mô tổ chức, văn hóa, ngành, c ấu h ì nh và phong cách quản lý. Các lĩnh vực rủi ro khác nhau có thể đòi h ỏ i các quá trình điều chỉnh khác nhau dù trong cùng một t ổ chức. Khi tất cả các quá trình phù hợp với TCVN ISO 31000, thì vẫn có sự khác biệt tr ong hệ thống, trong các mô hình và trong mức độ đánh giá có liên quan, ví dụ như giữa những người tham gia trong việc đánh giá các rủi ro liên quan đến c ô ng nghệ thông tin, rủi ro trong quản lý tài sản và trong đ ầ u tư, hoặc những rủi ro liên quan đến đối thủ cạnh tranh. Mỗi quá trình đ ề u cần thích hợp với mục đích cụ thể của nó. V ì mục đích của khuôn khổ quản lý này là để đảm bảo rằng quá trình quản lý rủi ro sẽ được áp dụng cho việc ra quyết định một cách có hiệu quả và phản ánh được ch í nh sách, việc thi ế t k ế khuôn khổ nên phản ánh xem các quyết định được đưa ra tại đâu và như thế nào và cần cân nhắc tới bất kỳ nghĩa v ụ pháp lý hoặc bổn phận b ê n ngoài khác mà theo đó tổ chức có cam kết. Điều quan trọng là cần nh ớ rằng phù hợp không ám chỉ việc thay đổi các yếu tố của khuôn khổ (như mô tả trong TCVN ISO 31000:2011 (ISO 31000:2009), Điều 4) hoặc các bước của quá trình này (xem T C VN ISO 31000:2011 (ISO 31000:2009), Điều 5). Tất cả những điều tr ê n đều là cốt lõi cho việc quản lý r ủi ro c ó hiệu lực. Nguyên tắc này là quan trọng trong việc thiết kế và hoàn thiện khuôn khổ quản lý rủi ro và nó cũng liên quan tới cách mà các kh í a cạnh của ch í nh quá trình được xác lập. Nguyên tắc này cũng biểu thị rằng tổ chức c ầ n xem xét các v ấ n đ ề nội bộ, ví dụ: nguồn lực nhân viên (nguồn lực đó, n ế u khá cao, có thể c ầ n những sự điều chỉnh phù hợp với quy mô đào tạo ban đầu, để đảm bảo rằng tất cả các nhân viên mới có thể đáp ứng những g ì đòi hỏi đối với họ về quản lý rủi ro). Sự phù hợp của một khuôn khổ là cần thiết đ ể đạt được sự tích hợp với các quá trình ra quy ế t định của tổ chức. C ũ ng có khả năng, chính những quá trình ra quyết định như vậy c ầ n được điều chỉnh cho phù hợp với một khuôn khổ quản lý rủi ro đã được lập. Hỗ trợ thực t ế : - Thiết kế khuôn khổ quản lý rủi ro cần bao gồm việc tìm ki ế m và cân nhắc các quan điểm của những người sẽ tham gia vào vi ệ c áp dụng nó. - Xây dựng một sự hiểu bi ế t sâu s ắc hơn về các khái niệm cơ b ả n của TCVN ISO 31000 sẽ giúp đả m bảo rằng sự phù hợp cả khuôn khổ và quá trình sẽ đạt được các thuộc tính của quản lý rủi ro có hiệu lực, như đ ượ c liệt kê trong TCVN ISO 31000:2011 (ISO 31000:2009), Phụ lục A. Ngược lại, n ế u chỉ đánh dấu vào các ô th ì s ẽ không đạt được điều này. B.2.8 Quản lý rủi ro có t í nh đ ế n các yế u t ố con ng ư ời v à v ă n hóa B.2.8.1 Nguyên tắc h) Quản lý rủi ro có t í nh đến các y ế u t ố con ng ườ i v à văn hóa Quản lý rủi ro thừa nhận khả năng, nhận thức và ý định của mọi người b ê n trong và bên ngoài tổ ch ứ c có thể tạo thuận lợi hoặc c ả n trở việc đạt được mục tiêu của tổ chức. B.2.8.2 Áp dụng nguyên tắc Nguy ê n tắc này đòi h ỏ i việc thu thập các quan điểm của các b ê n liên quan, cũng như hiểu biết rằng quan điểm của những người đ ó có thể bị ảnh h ưở ng bởi những đặc điểm về t í nh cách con người, văn hóa. Các yếu tố cần xem xét bao gồm x ã hội, ch í nh trị, văn hóa, cũng như khái niệm về th ờ i gian. Các loại sai s ó t phổ bi ế n thư ờ ng bao gồm: a) thất bại trong việc phát h iệ n và phản h ồ i với những cảnh báo sớ m b) Sự th ờ ơ với quan điểm của người khác hoặc thiếu k iế n thức; c) Sai lệch do ch iế n lược xử lý th ô ng tin bị đơn giản hóa khi giải quyết các v ấ n đ ề phức tạp; d) Không nhận ra sự phức tạp. Khi thiết kế các cơ c ấ u quản lý và khi áp dụng tất c ả các kh í a cạnh của quá trình quản lý rủi ro, các hành động cụ thể là cần thiết để hiểu và vận dụng được các y ế u tố v ề con người và v ă n h ó a nh ư vậy. Khi xác lập cơ c ấ u quản lý, cơ c ấ u truyền thống về rủi ro cần cân nhắc các đặc điểm văn hó a và các mức độ h iể u biết của đối tượng liên quan. Hỗ tr ợ thực t ế : - Các nhà quản lý cần hành động theo cách đ ể thể hiện rằng họ thúc đ ẩ y và hỗ trợ cũng như t ô n trọng và h i ểu biết những sự khác biệt c á nhân. - T ôn trọng những người được h ỏ i về quan điểm của họ. - Về nguyên tắc chung, các tổ chức đều khen thưởng những g ì họ coi trọng. Nếu việc lựa chọn nhân viên, khuyến khích và trả thù lao không có mối liên h ệ c ô ng khai đến các kết quả hoạt động quản lý rủi ro thực tế, sẽ kh ó m à tin rằng những kết quả thực hiện như vậy sẽ là chuẩn mực mong đợi. Những nỗ lực của cá nhân phải được ghi nhận một cách thích hợp. - Về nguyên tắc chung, việc dựa vào sự ki ể m soát của một cá nhân đ ể thực hiện thay đổi lớn đối với rủi ro là thiếu thận trọng. - Các tổ chức đa quốc gia cần am hiểu và kh ô n ngoan khi ghi nhận tầm quan trọng của v ă n hóa tr ong việc xác đ ị nh hành vi ứng xử của m ọ i người. H ỗ trợ thực tế: Ví dụ về các câu hỏi hữu ích về yếu tố con người và tổ chức bao gồm: - Liệu cơ cấu tổ chức có phù hợp với nhu cầu của tổ chức? - Liệu những cá nhân c ó trách nh iệ m giả i tr ì nh ch í nh thức đã được xác định rõ ràng? - Liệu t ấ t c ả những bản m ô t ả công việc có nêu những quy định rõ ràng về quy ề n hạn và trách nhiệm của cá nhân? - Liệu tất cả các k ê nh trao đổi thông tin đ ề u rõ ràng và có hiệu lực? - Liệu thỉnh thoảng đã t iế n hành kiểm tra xem trao đổi th ô ng tin được chuyển tải, được h iể u một cách ch í nh xác tại tất cả các cấp trong tổ chức? - Liệu những g ì liên quan đến đạo đức, tinh thần trong tổ chức được theo d õi , giám sát không? - C ó xem xét mối quan h ệ tương quan giữa các tổ đội không ? - Có khu ô n khổ để nhận ra và phản h ồ i đối với các tin đ ồ n trong tổ chức trước khi chúng gây tác động tiêu cực? - Ch í nh sách tuyển dụng, đãi ngộ và thăng ti ế n có rõ ràng không ? - Nếu chính sách đang có vấn đề, liệu có một quá trình xem xét lại? - Các ch í nh sách và các quá trì nh có được coi trọng không? Nếu kh ô ng, có tiến hành tìm hiểu? Chúng có bị ép buộc tuân thủ không? - Các chuyên gia đánh giá nội bộ và bên ngoài có t ì m thấy các hành vi, cách ứng xử không an toàn hoặ c phi đạo đức trong tổ chức? B.2.9 Quản lý rủi ro c ầ n minh b ạ ch và có sự tham gia của các b ê n B.2.9.1 Nguy ê n tắc i ) Quản lý rủi ro cần minh bạch và có sự tham gia của các b ê n Việc tham gia thích hợp và kịp thời của các b ê n li ê n quan, đặc biệt là những người ra quyết định ở các c ấ p của tổ chức, đảm bảo rằng việc quản lý rủi ro duy tr ì sự ph ù hợp và c ậ p nhật. Việc tham gia này cũng cho phép các b ê n liên quan c ó được sự đại diện thích hợp và quan điểm của họ được xem xét khi xác định tiêu chí rủi ro. B.2.9.2 Áp dụng nguyên tắc Nguyên tắc này có thể có tác dụng tại các c ấ p quản lý khác nhau. Nó có thể được phản ánh tro n g ch í nh sách qu ả n lý rủi ro của tổ chức (ví dụ: “ Chúng t ô i s ẽ th ô ng báo và hỏi ý ki ế n các b ê n l iên qu a n nhằm mong họ hi ể u được các mục tiêu của chúng tôi và có thể đóng góp ki ế n thức và quan điểm của họ để hỗ trợ trong việc ra quyết định của chúng tôi’). Việc tham v ấ n với các bên liên quan đòi hỏi lập kế hoạch cẩn thận và được xem như một phần của việc áp dụng các quá trình quản lý rủi ro. Đây là nơi mà n i ềm tin có thể được tạo dựng hay đánh mất. Đ ể có hiệu quả và tăng cư ờ ng niềm tin trong các kết quả, các b ê n liên quan n ê n tham gia vào tất cả các kh í a cạnh của quá trình quản lý rủi ro, bao gồm cả việc thiết kế quá trình trao đổi th ô ng tin và tham v ấ n. Khi áp dụng nguyên t ắ c này nên xem xét các vấn đề bảo mật, an ninh và sự riêng tư, Ví dụ: có thể y ê u cầu th ô ng tin trong danh mục rủi ro được tạo lập một cách tách biệt sao cho có thể hạn ch ế việc truy cập vào một số thông tin. H ỗ trợ thực t ế : - Trong đào tạo quản lý rủi ro, có thể vận dụng cách “ đóng vai di ễ n ” liên quan đến trao đổi thông tin và tham vấn. - Việc đánh giá cần được thực hiện theo cách đ ể nh ữ ng người nhận được thông tin s ẽ cảm nhận được nó. - Định kỳ cung cấp thông tin phản hồi, chứng minh những g ì đã hứa hoặc đã được dự định và thực tế chúng đã được thực hiện như th ế nào. - Những ý ki ế n được gửi đ ế n một cách tự nguyện cũng cần được khuy ế n khích, ghi nhận và đánh g i á cao và bất cứ khi nào có thể, c ầ n phản h ồ i về chúng. B.2.10 Quản lý rủi ro c ầ n năng động, lặp lại và đáp ứng với sự thay đổi B.2.10.1 Nguyên tắc j) Quản lý rủi ro cần năng động, lặp lạ i v à đáp ứng với sự thay đ ổi Việc quản lý rủi ro cảm nhận và đáp ứng li ê n tục với thay đổi. V ì các sự kiện nội bộ và b ê n ngoài xảy ra, b ố i cảnh và kiến thức thay đổi, việc theo dõi và xem xét rủi ro diễn ra, những rủi ro mới xuất hiện, một số rủi ro thay đổi và những rủi ro khác bi ế n m ấ t. B.2.10.2 Áp dụng nguy ê n tắc Bất kỳ sự thay đổi trong các mục tiêu của tổ chức, hoặc của bất kỳ khía cạnh trong các bối cảnh bên trong hay bên ngoài, chắc chắn s ẽ làm thay đổi rủi ro (ví dụ như tái cơ c ấ u nội bộ, có th ê m một nh à cung cấp ch í nh m ớ i, hoặc sự thay đổi trong điều luật có liên quan). Tương tự như vậy, những thay đổi trong b ố i cảnh tổ chức (ví dụ như việc mua lại một c ô ng ty khác, có được một hợp đ ồ ng lớn mới) đều có thể đòi hỏi thay đổi trong cơ cấu quản lý (ví dụ như trong đào tạo các chuy ê n gia về rủi ro). Quá tr ình quản lý rủi ro cần được thiết kế để phản ánh sự năng động của tổ chức (ví dụ như tốc độ của sự thay đổi). TCVN ISO 31000 n ê u hai cách gồm theo d õ i và xem xét (đối với khuôn khổ và quá trình). Mỗi cách có đặc điểm riêng cho mục đích của n ó và m ỗ i cách đều yêu cầu sự thấu hiểu và áp dụng. Cơ cấu quản lý cần được theo dõi và xem xét để đảm bảo nó có thể tiếp tục có hiệu lực cho các nguyên tắc quản lý rủi ro hiệu quả, có hiệu lực cho ch í nh sách quản lý rủi ro của tổ chức và h ỗ trợ việc áp dụng quá trình này để đưa ra quyết định của tổ chức. Ho ạ t động theo dõi và xem xét cần được kết hợp trong mỗi bước cốt l õ i của quá tr ì nh quản lý rủi ro. Các hoạt động kiểm soát c ũ ng nên được xem xét lại để đảm bảo tiếp tục có hiệu lực và đáp ứng với sự thay đổi. Ví dụ, những hoạt động kiểm soát lệ thuộc vào kết quả thực hiện của những người cụ thể s ẽ có thể không có hiệu quả n ế u đã có những sự thay đổi về nhân sự. Hoạt động theo dõi và xem xét cần được điều chỉ nh cẩn thận, cụ thể , chúng cần nhạy cảm với các yếu tố của sự thay đổi m à chúng có thể có những ảnh hưởng r õ n é t nhất. V iệ c theo dõi và xem x é t cần đ á nh giá được mức độ quan trọng mang tính thường xuyên của các chỉ số dùng đ ể theo dõi và n ế u cần các chỉ s ố này s ẽ được điều chỉnh theo sự thay đổi hoặc b ố i cảnh mới xu ấ t hiện. Việ c theo dõi và xem xé t là những hoạt động c ó sự khác bi ệ t, như được giải th í ch trong TCVN ISO 31000:2011 (ISO 31000:2009), 4.5 và 5.6. Theo dõi li ê n quan tới việc quan trắ c liên tục các th ô ng số quan trọng để xác định xem liệu chúng đang thực hiện như dự định hay là giả định không. Xem xét được thực hiện từ thời điểm này đ ế n thời đi ể m khác, được b ố trí theo mục đích của n ó và thường được dùng để xác định liệu các giả định mà từ đó các quyết định đã được nêu (ví dụ thiết k ế khuôn khổ quản lý) hiện tại còn hiệu lực hay không, và do đó dẫn đến việc liệu có c ầ n xem xét các quyết định này không. Việ c xem xét cũng cần cân nhắc tới tr í thức và công nghệ mới. Hỗ tr ợ thực tế: - Khi áp dụng quá trình quản lý rủi ro và kh i xác lập tuyên bố về b ố i cảnh, cần xác định các thành ph ầ n (v í dụ như các đặc điểm của m ô i trường bên ngoài) có nh iề u khả năng thay đổi và cần theo dõi chặt chẽ chúng về sự thay đổi. B ấ t kỳ một sự thay đổi đ ề u có thể yêu cầu đ á nh giá lại toàn bộ hoặc một s ố các rủi ro đã được lập thành tài liệu. - Cần và khuyến khích có biện pháp cảnh báo cho mọi người có li ê n quan về t ì nh trạng hiện tại đáng lo ngại (chẳng hạn b ằ ng cách tạo ti ế ng còi). - Ngay cả các tổ chức nhỏ cũng nên lưu ý những thay đổi ở m ứ c toàn cầu, ví dụ: cuộc khủng hoả n g tài chính toàn cầu n ă m 2008 đã có tác động s â u sắc đến một s ố nhà cung cấp nhỏ mà các khách hàng lớn của họ là các tổ chức chịu tác động trực tiếp hoặc gián tiếp bởi những thất bại của ngân hàng. Các sự kiện bên ngoài hoặc những bối cảnh mới xuất hiện như vậy có thể y ê u cầu thay đổi một cách chủ động đối v ớ i các khuôn khổ quản lý rủi ro. B.2.11 Quản lý rủi ro tạo thuận lợi cho việc c ả i tiến liên tục của tổ chức B.2.11.1 Nguyên tắc k) Quản lý rủi ro tạo thuận l ợ i cho việc cả i tiến l iê n tục của tổ chức Tổ chức cần xây dựng và thực hiện các chiến lược để n â ng cao sự nhu ầ n nhuyễn trong việc quản lý rủi ro của mình cùng với tất cả các kh í a cạnh khác của t ổ chức. B.2.11.2 Áp dụng nguyên t ắ c này như th ế nào Cải tiến liên tục các kết quả hoạt động của tổ chức cần gắn kết tương quan với việc cải tiến liên tục kết quả của hoạt động quản lý rủi ro. Việc cải tiến quản lý rủi ro, trên cơ s ở ra quyết định dựa tr ê n rủi ro, c ó thể làm giảm sự kh ô ng chắc chắn trong việc đạt được các mục tiêu, gi ả m thiểu bi ế n động và tăng tính linh hoạt. Tuy nhiên, c ầ n thận trọng để không đặt ra kết quả thực hiện quản lý rủi ro một cách quá phức tạp đ ế n mức quá bị áp lực cho việc theo đuổi các cơ hội và mất đi tính linh hoạt của hành động ph ả n hồi. Thay vào đó, tầm quan trọng của nguyên t ắ c này nằm trong việc các tổ chức luôn nhớ đ ể cảnh báo về các cơ hội m ớ i để cải tiến. Những cơ hội này có thể phát sinh trong nội bộ (ví dụ như học hỏi được từ các sự c ố đã được báo cáo) hoặc bê n ng o ài (ví dụ nh ư sự sẵn có của các công cụ và ki ế n thức mới đ ể cải tiến quản lý rủi ro). Nguyên t ắ c này c ũ ng có li ê n quan t ớ i việc thường xuy ê n tìm ki ế m các cải tiến trong việc quản lý rủi ro hiệu qu ả , v í dụ: tri ể n khai công nghệ mới giúp kết nối t ố t hơn thông tin cho những người ra quyết định. Mục tiêu của cải tiến liên tục phải được nêu rõ ràng trong ch í nh sách quản lý rủi ro của tổ chức v à được truyền đạt thư ờ ng xuyên theo cả hai cách chính thức và không chính thức. C ả i ti ế n liên tục có thể bao g ồ m: - Cải tiến mức độ tích hợp hoạt động quản lý rủi ro vào hoạt động chung; - Nâng cao chất lượng đánh giá rủi ro; - Cải tiến khuôn khổ quản lý, ví dụ chất lượng và cách tiếp cận th ô ng tin; - C ả i ti ế n tốc độ của việc ra quyết định. Cải tiến li ê n tục dựa trên các chỉ số định tính và định lượng của sự tiến bộ. Các tổ ch ứ c sử dụng những cách ti ế p cận từng giai đoạn và các mô hình đã được xác nhận nên thiết kế các chỉ số sao cho chúng s ẽ là động lực cho việc cải tiến liên tục dựa trên các nguồn lực và đặc điểm văn hóa của tổ chức. Mọi tổ chức nên ghi nhận rằng trong nhiều nỗ lực của con người, thành công sẽ nuôi dưỡng thành công. Mục đích của việc quản lý rủi ro hiệu lực thực chất chỉ nằm trong việc nâng cao khả năng để một tổ chức sẽ đạt được đ ầ y đủ các mục tiêu của nó. Một tổ chức đạt được tính hiệu lực trong quản lý rủi ro càng nhanh, sẽ thực hiện được các mục tiêu của mình càng hiệu quả. Thực ra, trong một số trường hợp, một số cải tiến đ ò i hỏi thời gian mớ i đạt được, ví dụ như một số có thể yêu cầu phân bổ kinh phí, hoặc lập kế hoạch và triển khai c ẩ n thận. Các kế hoạch để cải tiến cần cân nhắc t í nh ưu tiên và các lợi ích liên quan và có cách theo dõi tiến triển của nó. H ỗ trợ thực tế: - Khi sử dụng các yếu tố của việc theo dõ i và xem xét cơ cấu quản lý, h à ng năm phải xem xét kết quả thực hiện so với các nguy ê n t ắc quản lý rủi ro và xem xét những cải tiến về thiết kế. - Cần đánh giá, xem xét tính đầy đủ, khả năng sử dụng và hiệu lực của các khuôn kh ổ quản lý rủi ro. - Sử dụng hệ thống báo cáo sự cố để tiến hành phân tích nguyên nhân g ố c r ễ , tìm ki ế m không chỉ ở những nguyên nhân gắn với các vụ việc, m à c ả các đặc điểm của khuôn khổ quản lý rủi ro đã tạo khả năng cho sự c ố đó xảy ra. - C ầ n theo d õ i kết quả thành công (ví dụ như dự án đúng hạn, đúng hạn mức kinh phí) để hiểu được các tí nh n ă ng n à o của khuôn khổ quản lý rủi ro đã gây ra khả năng cho s ự cố đó xảy ra. Phụ lục C (Tham khảo) Thể hiện nhiệm vụ và cam kết C.1 Khái quát Phụ lục n à y cung cấp các hướng dẫn và chiến lược giúp tổ chức biểu thị và trao đổi th ô ng tin về nh iệ m vụ và cam kết cũng như việc thông tin, truy ề n đạt về việc này như th ế nào. Để nhiệm vụ và cam kết có hiệu lực, lãnh đạo cao nh ấ t và bộ phận giám sát của tổ chức cần nêu rõ ràng cho các bên li ê n quan biết về cách tiếp cận đối với việc quản lý rủi ro và nếu thích hợp, lập thành văn bản và trao đổi thông tin về việc này. Nhiệm vụ về quản lý rủi ro thường liên quan đến những thay đổi trong hành vi, tập quán, văn hóa, ch í nh sách, các quá tr ình và các kết quả thực hiện đã dự định trong việc quản lý các rủi ro sẽ được phản ánh trong khuôn khổ quản lý rủi ro. Nhiệm vụ và cam kết c ó thể là một tuy ê n bố ngắn gọn về chính sách được phổ biến rộng rãi. Tri ể n khai nhiệm vụ liên quan đến việc quyết định chuỗi hành động đòi h ỏ i, cũng n hư việc tạo điều k iệ n thực hiện. Lúc nào cũng vậy, trong các tổ chức đang tồn tại, luôn cần có sự tham gia của những người có thẩm quyền đ ể mang lại thay đổi. Không có nhiều chỉ dẫn trong việc xác định các quá trình c ầ n ư u tiên hành động, ngoại trừ, c ù ng một lúc, có một cam kết tương ứng về điều này. Nhiệm vụ và cam kết là một phần cơ bản của khuôn khổ quản lý rủi ro đồng th ờ i cần là một phần của cả các khuôn khổ quản lý và quản trị của tổ chức và c ầ n tác động đến thiế t kế của các loại hình khuôn khổ này. Nhiệm vụ và cam kết cần phản ánh mười một nguyên tắc nêu trong TCVN ISO 31000:2011 (ISO 31000:2009), Điều 3. Trong thực t ế , nhiệm vụ cũng như cam kết được thể hiện và tiếp nhận theo cả cách ngầm hiểu và rõ ràng. Những thể hiện ngầm hiểu (ví dụ như các hành động thường ngày của lãnh đạo c ấ p cao hay của bộ phận giám sát trong bối cảnh văn hóa hiện hành đã được chấp nhận của tổ chức) thường tạo được một sự thúc đ ẩ y mạnh mẽ hơn 80 với những cách bi ể u thị công khai (ví dụ chính sách quản lý rủi ro). C.2 Phương pháp biểu th ị nhiệm vụ và cam kết C.2.1 Các đặc điểm chính Nhiệm vụ và cam kết cần đáp ứng các tiêu chí sau: a) Cần phù hợp với kế hoạch chi ế n lược; các mục tiêu, ch í nh sách, phong cách trao đổi th ô ng tin và h ệ thống quản lý của tổ chức; b) Cần ph ù hợp với các tiêu chí rủi ro mà bộ phận giám sát đã xác định; c) Cần đáp ứng các nguyên tắc của TCVN ISO 31000 cũng như phải hướng tới cách quản lý rủi ro hoàn thiện như được nêu trong TCVN ISO 31000:2011 (ISO 31000:2009), Phụ lục A; d) Cần cụ thể, rõ ràng đ ể tạo thuận lợi cho việc trao đổi th ô ng tin và được kiểm tra để cả bên trong và bên ngo à i tổ chức hiểu th ấ u đáo; e) Cần có những kỳ vọng hợp lý về việc nó được thực hiện thành công; f) Cần đ ề cập đến các trách nhiệm đối với những ch ủ sở hữu rủi ro. Khi nhiệm vụ quản lý rủi ro hiện đang được thực hiện và cam kết của tổ chức đối với quản lý rủi ro chư a thực sự đáp ứng các tiêu ch í này th ì cả các khía cạnh ngầm hiểu và công bố rõ ràng về việc n à y cần được thay đổi. VÍ DỤ: Nếu bộ phận giám sát hoặc lãnh đạo cao nh ấ t đ ã ban hành các quyết định nhưng các quyết định đó không đ ề c ậ p đ ầ y đ ủ việc đánh giá rủi ro, đây là một dấu hiệu rõ ràng rằng tổ chức không đảm bảo sự cam kết đối với việc th ấ u hiểu các rủi ro của tổ chức. Một phần quan trọng khi chấp nhận một nhiệm vụ đ ã được sửa đ ổ i là cần xây dựng một kế hoạch để thay đổi sự hiểu bi ế t về những gì đòi hỏi phải thay đổi. Mục đích của k ế hoạch này sẽ là đảm bảo rằng cả nhiệm vụ và các lợi í ch của n ó được th ấ u hiểu rộng khắp và được tin tưởng và tổ chức luôn cam kết nhất quán trong các nhiệm vụ và hành vi tương ứng. Đó s ẽ là hành vi của tổ chức và cách so sá n h nhữ n g hành vi này với những tuy ê n bố công khai về nhiệm vụ s ẽ tạo ra những tác động lớn nhất đ ể xác định nhiệm vụ được thực hiện được chấp nhận bởi các bên li ê n quan khác nhau chấp nhận hay không. C.2.2 Thiết lập và trao đổ i thông tin v ề chính sách và cam kết quản lý rủ i ro Một phương thức để bi ể u thị và thông tin về nhiệm vụ theo cách r õ ràng là thông qua việc thiết lập và sau đó trao đổi thông tin về chính sách quản lý rủi ro. TCVN ISO 31000:2011 (ISO 31000:2009), 4.3.2, xác định rằng tổ chức không chỉ cần nêu r õ r à ng chính sách về quản lý rủi ro mà còn cần trao đổi thông tin về chính sách này cả ở bên trong và b ê n ngoài tổ chức. TCVN ISO 31000:2011 (ISO 31000:2009), 4.3.2, cũng x á c định các v ấ n đề cụ thể thường cần được phản ánh trong chính sách này. Luôn phải ghi nhớ nguyên tắc g) (tức là quản lý rủi ro phải phù hợp), việc biểu th ị về chính sách cần phù hợp, nh ấ t quán với phương thức chung mà tổ chức đang vận hành. N ế u không, th ì v iệ c biểu thị này có thể không được xem là có liên quan đến hoặc là một phần của hệ thống chung mà tổ chức đang vận hành. Đối với các tổ chức lớn h ơ n, việc thiết lập một ch í nh sách s ẽ thư ờ ng có nghĩa là triển khai một tuyên bố chính thức về nhiệm vụ đối với việc quản lý rủi ro mà s ẽ cấu thành một phần của bộ chính sách của tổ chức. Theo đó, việc này sẽ được hoàn thành bởi bộ phận quản trị và sau đ ó được truy ề n đạt và củng cố , thúc đ ẩ y áp dụng thông qua hệ thống quản lý. Hỗ trợ thực t ế Lãnh đạo cao nh ấ t và bộ phận giám sát cần cam kết và thực s ự tham gia s ẽ là ch ì a khóa cho sự thành c ô ng của bất kỳ chương trình quản lý rủi ro nào. Các t ổ chức n ê n xem xét các câu hỏi sau khi thiết lập nhiệm vụ và cam kết của mình đối với quản lý rủi ro: - Các mục tiêu chi ế n lược của tổ chức là g ì ? Chúng có rõ ràng? Những gì là ngầm hiểu và những gì là công bố công khai tr ong những mục tiêu đó? - Lãnh đạo cấp cao có n ắ m rõ bản chất và mức độ của những rủi ro quan trọng mà h ọ ph ả i đối mặt và mong muốn n ắ m các cơ hội mà họ sẵn sàng theo đuổi để đạt được các mục tiêu chiến l ược của mình? - Lãnh đạo c ấ p cao có cần phải thiết lập khuôn khổ rõ ràng hơn đ ể nâng cao quan điểm về rủi ro của tổ chức? - Lãnh đạo cao nh ấ t sẽ ti ế n hành những bước nào để bảo đảm giám sát toàn diện việc quản lý các rủi ro này? - Những người quản lý thực hiện việc ra quyết định có hiểu được mức độ mà theo đó họ (với tư cách cá nhân) được phép thể hiện r õ với tổ chức những hệ quả của một sự kiện hoặc t ì nh huống? Có bất kỳ quan điểm rủi ro nào c ầ n được thực hành, hướng dẫn cho các nhà quản lý đ ể đưa ra quyết định dựa trên rủi ro? - Những người thực hiện có hiểu được mức độ, tích hợp, liên hệ về rủi ro đ ể họ có thể xác định xem liệu nó có thể được chấp nhận hay không? - Lãnh đạo cao nh ấ t và quản lý điều hành có hiểu được mức độ đan xen, tích hợp của rủi ro đối với cả tổ chức nói chung? - Cả các nhà quản lý và điều hành hi ể u r õ rằng quan điểm rủi ro không phải là cố định? N ó c ó thể thay đổi khi môi trường và điều kiện kinh doanh thay đổi. B ấ t cứ điều g ì đã được phê duyệt của lãnh đạo c ấ p cao đ ề u c ầ n phải có một vài sự linh hoạt trong triển khai. - Liệu các quyết định rủi ro đã được thực hiện với sự xem xét đầy đủ về hệ quả? Khuôn khổ quản lý rủi ro cần thiết để giúp các nhà quản lý và những người điều hành n ắ m được mức độ thích hợp của rủi ro cho các hoạt động sản xuất kinh doanh, đưa ra được các lợi th ế tiềm năng. - Những rủi ro nào là quan trọng mà lãnh đạo cao nh ấ t sẵn s à ng đối mặt và muốn theo đuổi các cơ hội? Rủi ro nào là quan trọng nhưng l ã nh đạo cao nh ấ t không sẵn sàng đối mặt? Cho dù chính sách đối với t ì nh trạng rủi ro hiện đang được quản lý được n ê u dưới dạng nào th ì nó lu ô n c ầ n cùng đồng hành với các chính sách khác vốn đang là định hướng đ ể tổ chức hoạt động. - Ch í nh sách c ầ n được hỗ trợ theo cả cách ngầm hiểu và công bố rõ ràng và phải được phản ánh phù hợp, phải đáp ứng 6 ti ê u chí n ê u trong C.2.1. C.2.3 Củng c ố L ã nh đạo cao nhất và bộ phận giám sát cần chứng minh và c ủ ng c ố cam kết của tổ chức về các nhiệm vụ th ô ng qua sự kết hợp các hành động ngầm hiểu và được công bố r õ r à ng bao gồm: - làm r õ các mục tiêu quản lý rủi ro được liên kết và không tách rời với các mục tiêu quản lý khác; - làm rõ rằng quản lý rủi ro s ẽ tạo nên hiệu quả cho các mục tiêu của tổ chức; - đảm bảo phương thức mà nhiệm vụ của các hoạt động quản lý rủi ro đòi hỏi được tích hợp v à o trong các quá trình quản trị và quản lý hiện có và được đưa vào chi ế n lược, các quá trình tác nghiệp, dự án; - cần thường xuyên theo dõi, báo cáo về khuôn khổ quản lý rủi ro, về các quá trình của tổ chức đ ể đảm bảo rằng n ó vẫn được duy tr ì phù hợp và hiệu lực; - theo dõi về việc tổ chức có một sự hiểu biết hiện tại và toàn di ệ n về các rủi ro của mình và những rủi ro này hiện vẫn n ằ m tr ong khuôn khổ của các ti ê u chí rủi ro đã được xác định và tổ chức có hành động kh ắ c phục khi nh ữ ng ti ê u ch í này không được đáp ứng; - nêu ví dụ liê n quan đến các hoạt động của riêng m ì nh; - xem xét, làm m ớ i cam kết đối với các nhiệm vụ theo thời gian, s ự kiện và sự thay đổi của lãnh đạ o cao nh ấ t. Á p d ụng TCVN ISO 31000 có thể diễn ra trong toàn tổ chức một cách tổng thể, hoặc là được thực hiện theo từng phần, ví dụ tại các c ôn g ty con. C.3 Hướng d ẫ n xây dựng nh iệ m vụ và cam k ế t Thiết lập nhiệm vụ về qu ả n lý rủi ro đ ò i hỏi suy xét c ẩ n thận, có được quan đi ể m chiến lược và sự tham vấn giữa các bộ phận giám sát và lãnh đạo cạo nhất . Điều này s ẽ giúp đảm bảo rằng một khi nó được th ô ng qua, tổ chức s ẽ tuân theo nhiệm vụ này. Sự biểu th ị về nhiệm vụ và cam kết cần được xem xét tr ê n cả c ấ p độ chi ế n thuật và chiến lược. Tổ chức phải xác định và đ á nh giá năng lực để đáp ứng các mục tiêu của mình và trau dồ i các kỹ năng và kinh nghiệm cần thiết đ ể đạt được ch ú ng. Ảnh hưởng của những thay đổi the o y ê u cầu của nhiệm vụ sẽ c ầ n sự cân nhắc c ẩ n trọng. Đi ề u này bao gồm việc ai sẽ là ng ười dẫn dắt sự thay đổi và ai s ẽ cần hướng dẫn hoặc h ỗ trợ. Đ ô i khi có những thay đổi đ ò i hỏi khá triệt để ở phạm vi lớn (ví dụ như thay đổi trong các bản mô t ả công việc, quá trình theo dõi và quản l ý kết quả) và như vậy s ẽ đ ò i h ỏ i một số năng lực của t ổ chức cho sự thay đổi này. Điều này cần được xem xét theo b ố i cảnh của những sự thay đổi khác đang di ễ n ra cho dù có thể có sự tích hợp, l ồ ng ghép hay không. Những người sẽ b ị ảnh hưởng đáng k ể b ở i những thay đổi cần được tham vấn, đặc bi ệ t là những người lưu giữ bất kỳ loại dữ liệu quản lý rủi ro nào trong tổ chức (ví dụ như sức kh ỏ e và sự an toàn, quản lý an ninh), sao cho tất cả những việc áp dụng theo sự thay đổi có thể được hiểu r õ . Nhiệm vụ cần được nêu trong một tuyên bố về chính sách thể hiện cam kết của tổ chức đối v ớ i việc này. Hỗ trợ thực t ế : Một s ố những cách mà việc triển khai có thể đạt được bao gồm: - Xem x é t cách thức để nhiệm vụ này s ẽ được giải thích đối với tổ chức và làm th ế nào những cách giải thích như vậy s ẽ được củng c ố bởi những hành động đang diễn ra; - C â n nh ắ c khung thời gian đ ể nhiệm vụ này có hiệu lực (điều này cần được đ ề cập và được tích hợp với các mệnh l ệ nh khác của tổ chức, n ế u không, d ù ngay cả khi khuôn khổ quản lý là hoàn chỉnh, th ì những lợi í ch đầy đủ của nó s ẽ không được thực hiện và việc qu ả n lý rủi ro s ẽ không có được hiệu lực như nó có thể có); - Xác định các vai trò chủ yếu đ ể mang lại thay đổi c ầ n thiết trong cách tiếp cận quản lý rủi ro và chỉ đạo, dẫn dắt c ác hoạt động quản lý rủi ro; - Xác định những khía cạnh nào và những hoạt động nào của khuôn khổ quản lý rủi ro s ẽ được theo dõi ở c ấ p lãnh đạo cao nhất, cấp quản lý và c ấ p ủy ban và làm thế n à o đ ể các thông tin như vậy s ẽ được thu thập và thể hiện. - Đưa kết quả hoạt động quản lý rủi ro thành một hạng mục th ườn g xuyên trong ch ươ ng trình nghị sự tại tất cả các cuộc họp ban giám sát và lãnh đạo cao nhất; - Xây dựng các phương pháp hiệu quả để thông tin v ề kết qu ả hoạt động quản lý rủi ro (ví dụ như xuất bản bản tin cho nh â n vi ê n theo k i ểu của một báo cáo quản lý rủi ro); - Cân nh ắ c những gì cần được k í ch hoạt để xem xét lại nhiệm vụ này. Phụ lục D (tham khảo) Theo dõi và xem xét D.1 Cơ sở D.1.1 Khái quát Phụ lục này cung cấp chỉ dẫn về theo dõi và xem xét khuôn khổ và quá trình quản lý rủi ro theo TCVN ISO 31000:2011 (ISO 31000:2009), 4.5, 4.6 và 5.6. Th eo dõi và xem x é t là hai hoạt động phân bi ệ t nhằm x á c định xem liệu các giả định và các quyết định vẫn có hiệu lực. Các kỹ thuật được sử dụng trong cả việc duy tr ì khuôn khổ quản lý rủi ro hiệu lực và cả trong mỗi bước của quá trình quản lý rủi ro. - Theo dõi liên quan đến việc quan trắc thường xuy ê n k ế t quả thực hi ệ n thực tế và so sánh nó với kết quả dự kiến hoặc yêu cầu. Nó bao g ồ m việc kiểm tra hoặc điều tra liên tục, việc theo dõi trong thực hiện, quan trắc mang t í nh ph ê phán hoặc xác định tình trạng đ ể xác định sự thay đổi mức độ kết quả thực hiện so với y ê u cầu hoặc mong đợi, cũng như những thay đổi về bối cảnh. - Xem xét có thể là việc ki ể m tra định kỳ hoặc b ấ t thường về t ì nh trạng hiện tại, về những thay đổi trong mô i trường, về thực hành ngành công nghiệp, hoặc về thực tiễn về tổ chức. Đây là một hoạt đ ộng được thực hiện đ ể xác định sự phù hợp, đầy đủ và hiệu lực của khuôn khổ và của quá trình để đ ạ t được mục tiêu được n ê u. Việc xem xét cần cân nhắc đến các kết quả đầu ra từ các hoạt động theo dõi. - Đánh giá là một quá trình xem xét một cách hệ thống, dựa trên bằng chứng đ ể so sánh với các tiêu chí kh ác đã được xác định trước. Trong khi mọ i cuộc đánh giá đều có xem xét thì không phải tất cả xem xét đều là một cuộc đánh giá. Cùng với nhau, theo dõi và xem xét cung cấp sự đảm bảo rằng kết quả hoạt động quản lý rủi ro là đạt được như mong đợi, cho dù nó có thể cần được cải tiến và cho d ù có thay đổi đã xảy ra hiện đòi hỏi phả i điều chỉnh hoặc sửa đổi về khuôn khổ quản lý hoặc một số khía cạnh của quá trình . Theo d õ i và xem xét đ ề u nh ằ m cung cấp sự đảm bảo hợp lý rằng các rủi ro được quản lý đầy đủ, nhằm xác định những thiếu sót trong quản lý rủi ro, và nhằm xác định các cơ hội đ ể cải tiến quản lý rủi ro. Cả hai đều cần thiết để đảm bảo tổ chức duy tr ì một sự hiểu bi ế t hiện tại về các rủi ro của mình c ó liên quan đ ế n với các ti ê u ch í rủi ro đó, bám sát tuân th ủ quan điểm rủi ro của mình. Cả hai đ ề u yêu cầu một cách tiếp cận có hệ thống tích hợp với các hệ thống quản lý chung của tổ chức. Các hoạt động theo dõi và xem xét và các hành động để đáp ứng với những phát hiện này thường đượ c mô tả đặc trưng như là một hệ thống đ ả m b ả o bởi vì ch ú ng có ti ề m năng đ ể phát hiện và khắc phục những điểm yếu trước khi các tác động bất lợi xảy ra hoặc để cung cấp sự tin tưởng rằng các rủi ro vẫn nằm trong chuẩn mực của tổ chức. Những hoạt động này cũng có thể đ ư ợc sử dụng để cung cấp cho các bên li ê n quan bên trong và b ê n ngoài sự đảm bảo hợp lý rằng rủi ro đang được quản lý một cách hiệu lực. Do các yếu tố về bối cảnh bên trong và b ê n ngoài thay đổi, nên luôn có rủi ro. Tương tự như vậy, theo dõi b ối c ả nh b ê n ngo à i có thể cảnh báo cho tổ chức các thay đổi có thể dẫn đến cơ hội để cải thiện kết quả thực hiện hoặc một hoạt động mới. Bằng cách luôn được cảnh báo bởi những thay đổi như vậy, bởi những kết quả thực hiện, bởi những sự không phù hợp, và bởi những lần thoát nạn, tổ chức sẽ có thể xác định các cơ hội đ ể c ả i tiến khuôn khổ quản lý quản lý rủi ro cũng như kết quả thực hiện chung của tổ chức. Nên có một ch ươ ng tr ì nh toàn diện để theo dõi và ghi nhận các chỉ số về kết quả thực hiện và các chỉ số n à y cần được sử dụng cùng với các chỉ số về kết quả thực hiện khác của tổ chức. Chương tr ì nh này cung cấp cảnh báo sớm v ề các xu hướng bất lợi, đòi hỏi phải hành động ph ò ng ngừa và sự can thiệp. Một hành động riêng biệt về theo d õ i hay hành động có thể nhằm vào một rủi ro đơn lẻ hay một số các rủi ro có mối liên quan, cần chú trọng vào các rủi ro n à y hoặc những hoạt động ki ể m soát mang tính phòng ngừa gắn liền với chúng. D.1.2 Trách nhiệm theo dõi và xem xét Trách nhiệm chung về các hoạt động giám sát và xem xét thuộc bộ phận theo dõi và lãnh đạo cao nhất chứ không phải là các nhà cung cấp sự đảm bảo, ví dụ: đánh giá nội bộ. Các chức năng đảm bảo chất lượng, chức năng xem xét độc lập và theo dõi theo nghĩa pháp lý đều là những bổ sung hữu í ch cho quá trình báo cáo quản lý chuyên ngành v ì những hoạt động như vậy cung cấp một cách nhìn có tính lựa chọn. Các hoạt động theo dõi và xem xét có thể được cân nh ắ c theo nghĩa của một hệ thống phân cấp, thường được áp dụng tại c ấ p l ã nh đạo: Nếu được thiết kế hoàn chỉnh, điề u này sẽ tạo mức đảm b ả o lớn nh ấ t. Tuy nhiên, một chương tr ì nh theo dõ i và xem xét cần bao gồm tất cả ba yếu tố. Chương trình theo dõi và xem xét cần xác minh rằng chính sách quản lý rủi ro vừa được thực hiện vừa có hiệu lực. Phương cách mà l ã nh đạo c ấ p cao phản hồi/ xử lý với các kết qu ả của chương tr ì nh theo dõi có thể ảnh hư ởn g đến hành vi của nhân viên và điều quan trọng là lãnh đạo c ấ p cao phải hành động đúng với vai trò mẫu mực. D.1.3 Xem xét độc lập Cho dù được ti ế n hành bởi b ê n trong hoặc b ê n ngoài, th ì đối với bên tham gia, t í nh độc lập là y ê u cầu xuất phát điểm trong các mối quan hệ của người xem xét, người đánh giá. Độc l ập là cơ sở cho t í nh khách quan của việc xem xét và t í nh khách quan của kết luận xem xét. Khi có thể, người xem xét và người đánh giá đều phải độc lập đối với hoạt động đang được xem xé t đánh giá và trong mọi trường hợp, họ c ầ n hành động theo một phương cách sao cho kh ô ng bi lệch hoặc xung đột về lợi ích. Đối với đánh giá nội bộ, các chuyên gia đánh giá cần độc lập đối với các nhà quản lý đang điều hành các chức năng được đánh giá. Những người xem xét hoặc đánh giá c ầ n giữ được t í nh khách quan trong suốt quá trình đánh giá/ xem xét để đảm bảo rằng những phát hiện và kết luận chỉ dựa trên các bằ n g chứng. Đối với các tổ chức nhỏ, khả năng để những người tiến hành xem xét hay đánh giá ho à n to à n độc lập đối với hoạt động hiện được xem xét và đánh giá thường khó, tuy nhiên cần cố gắng thực hiện để loại b ỏ định ki ế n và thúc đẩy t í nh khách quan. T í nh độc lập của những người xem xét/người đánh giá sẽ giúp cho các cuộc xem x é t và đánh giá là một công cụ hiệu quả và đ á ng tin cậy, hỗ trợ các chính sách và hoạt động kiểm soát rủi ro bằng cách cung cấp thông tin mà theo đó tổ chức có thể hành động để cải thiện k ế t qu ả thực hiện của nó. Những việc xem xét như vậy có thể tập trung vào việc tuân thủ các tiêu chuẩn (nội bộ hay bên ngoài) các thủ tục hoặc các yêu cầu pháp lý. Thường th ì chúng c ũ ng xem xét sự phù hợp, hiệu quả và hiệu lực của các hoạt động kiểm soát, ví dụ: có thể xem xét liệu các hoạt động quản lý rủi ro c ó cung cấp các giá trị nh ư đã được nêu trong các nguyên tắc của TCVN ISO 31000. Nhiều tổ chức có chức năng tư vấn và xem xét hệ thống quản lý (như cử chuyên gia tư vấn về quản lý rủi ro, chuyên gia về sự phù hợp, cán bộ quản lý và đảm bảo chất lượng), những người này thực hiện việc xem xét thư ờ ng ngày, đánh giá nội bộ, lập các báo cáo thông thường về các kết quả xem xét của họ cho bộ phận giám sát và lãnh đạo cao nhấ t . Mục tiêu của các cuộc xem xét này là cung cấp cho bộ phận giám sát cho l ã nh đạo cao nh ấ t sự đảm bảo rằng: - Các tiêu chí rủi ro phù hợp với các mục tiêu và bối c ả nh mà trong đó tổ chức đang hoạt động; - Một quá trình thích hợp và có hệ thống đã được á p dụng để xác định, đánh giá và xử lý các rủi ro và có sự tin cậy rằng, quá trình này sẽ hoạt động liên tục; - Các rủi ro không thể chấp nhận hiện được nhận dạng, lưu ý bằng cách xử lý rủi ro thích hợp; - Những rủi ro không thể chấp nhận được đang được kiểm soát một cách phù hợp và c ó hiệu lực, nếu kh ô ng các biện pháp kiểm soát cần được điều chỉnh; - Tiến độ thích hợp đang được thực hiện với các phương án xử lý rủi ro. Các loạt động của một quá trình xem xét độc lập không làm giảm trách nhiệm theo dõi và xem x é t của lãnh đạo các c ấ p. D.1.4 Thu nhận c á c th ô ng tin thích h ợ p Cũng giống như các kh í a cạnh khác của quản lý rủi ro, theo dõi và xem xét đòi hỏi việc sử dụng các thông tin c ó sẵn tốt nhất [xem nguyên tắc f)]. Đ ể phù hợp với mục đích, thông tin cần liên quan tới người sử dụng và thể hiện đúng những g ì nó muốn n ê u. Sự hữu í ch của th ô ng tin được nâng cao nếu nó có thể so sánh, kiểm chứng, kịp thời và dễ hiểu. Thông tin có th ể thu được từ hai nguồn: a) Nguồn trực tiếp: Các quan trắc và các phép đo về các quá trình tác nghiệp thực t ế hay những đ ầ u ra của chúng; b) Nguồn gián tiếp: Các kết quả đo dẫn xuất từ các quá trình hoặc kết quả đầu ra đang được xem xét. Việc kết hợp của các phép đo từ các nguồn khác nhau được chọn tùy theo sự cần thiết (tùy thuộc vào khả năng có thể có) hoặc theo sự tiện lợi (tính k ị p thời, chi phí, vv ). D.1.5 Báo cáo quá trình xem x é t Báo cáo cần cung c ấ p thông tin cho bộ phận giám sát, lãnh đạo cao nhất và các bên liên quan của tổ chức về việc liệu những rủi ro của tổ chức c ó n ằ m trong các tiêu chí rủi ro của mình hoặc liệu đã có các kế hoạch xử lý rủi ro đáng tin cậy cho phép cuối cùng s ẽ dẫn đến kết quả này. Ngoài ra n ó có thể cung cấp thông tin về những rủi ro mới, đang hình thành. Bất kỳ cách thu nhận các th ô ng tin rủi ro (ví dụ như trong một đăng k ý rủi ro) cần được định kỳ cập nhật. Các loại và t ầ n suất báo c á o s ẽ phụ thuộc vào tính chất, quy mô và phạm vi của việc đánh giá rủi ro. Các đầu ra của việc đánh giá hoặc xem xét s ẽ là một báo cáo t ó m tắt các phát hiện, cung cấp các kết luận của đánh giá so với các tiêu chí đã xác định. Báo cáo dựa trên những g ì mà những người xem xét đã quan sát có thể cung cấp các khuyến ngh ị để cải tiến hệ thống. Đôi khi, ng ườ i xem xét có thể nêu các đ ề ngh ị lớn hơn, hướng vào chính bản thân các ti ê u chí. Phản h ồ i đối với mọi cuộc xem xét c ầ n chú trọng vào việc cải tiến hệ thống và tìm được các nguy ê n nhân gốc rễ của v ấ n đ ề . D.1.6 Hành động khắc phục và cả i tiến liên tục Cần thiết lập các quá trình để đảm bảo rằng các khuyến nghị đang được lãnh đạo của tổ chức tích cực xem xét và những ph ả n hồi thống nhất đ a ng được thực hiện. Hành động đáp ứng đối với các cuộc xem xét cần được báo cáo cho bộ phận giám sát và c ầ n theo dõi thường xuyên cho đến khi nó được thực hiện. D.2 Thao dõi và xem x é t khuôn khổ D.2.1 Khái quát Mục đích của việc theo dõi và xem xét là để giữ hiện trạng của khuôn khổ quản lý rủi ro gắn li ề n, nhất quán với những dự định quản lý rủi ro của tổ chức. Khuôn khổ quản lý đ ề cập đến các thành phần và các quá trình trong hệ thống quản lý của tổ chức để giúp các rủi ro s ẽ được quản lý. TCVN 31000:2011 (ISO 31000: 2009), Điều 4, nêu hướng dẫn về các thành phần cần thiết của một khuôn khổ và lưu ý rằng những thành phần này cần phải được xét trong mối liên h ệ với bối cảnh b ê n trong và bên ngoài của tổ chức. Khi có những thay đổi xảy ra với b ố i cảnh nội bộ hay b ê n ngoài của tổ chức, có thể phải điều chỉnh khuôn khổ quản lý để đảm bảo nó vẫn có hiệu lực. Thậm chí ngay cả khi không có sự thay đổi nội bộ hay bên ngoài, đòi hỏi có sự thay đổi trong thiết kế, việc theo d õ i và xem xét vẫ n cần thiết đ ể đảm bảo rằng bất cứ lúc nào việc kiểm tra đối với các t hành phần của khuôn khổ quản lý về kế hoạch thực hiện để đảm bảo rằng chúng đ ã được thực hiện một cách chính xác. Đối với tổ chức đã áp dụng TCVN ISO 31000 n ó s ẽ liên quan đến việc đ ả m bảo rằng các thành ph ầ n của khuôn khổ quản lý tiếp tục t ồ n tại và đang hoạt động đúng như đã dự định. D.2.2 Trách nhiệm giải trình L ã nh đạo c ó trách nhiệm đảm bảo định kỳ xem xét và theo d õ i khuôn khổ theo các chỉ số kết quả thực hiện. Là một phần trong việc phân c ô ng trách nhiệm, một người (ví dụ một cán bộ quản lý c ấ p cao) hoặc một bộ phận chức năng của tổ chức (ví dụ như bộ ph ậ n hỗ trợ và hợp tác quản lý rủi ro) số đảm nhận m ộ t ph ầ n được giao về cá c trách nhiệm quản lý rủi ro, người hoặc bộ phận này cần thực hiện việc theo dõi khu ô n kh ổ và đảm nhận trách nhiệm chính để đảm bảo rằng khuôn khổ vẫn duy trì hiệu lực. D.2.3 Thiết lập ranh giới Cần thiết lập một ranh giới đối với việc quản lý r ủi ro trong tổ chức. Ranh giới này có thể được mô tả theo những cách khác nhau nhưng c ầ n bao gồm: a) các thành phần của khuôn khổ (nh ư m ô tả trong TCVN ISO 31000:2011, 4.3) đ ể cung cấp kh ả năng giúp đạt được mục đích này. b) mức độ h ỗ trợ mà bộ phận giám sát và lãnh đạo cao nhất cần nêu đ ể thực hiện trong các nhiệm vụ và cam kết quản l ý rủi ro (thường được thể hiện dưới hình thức của một chính sách quản lý rủi ro). Các hình thức dự định và cấu trúc của khuôn kh ổ này thư ờ ng được ghi lại khi nó đã được thiết kế, và các thông tin như nêu trong Bảng D.1 là cần có sẵn. Đ iề u này tạo n ê n một ranh giới mang tính nguy ê n t ắ c hoặc hạng mục đ ể tham chiếu đối với các so sánh đã được nêu khi theo dõi hoặc xem xét. Bảng D.1 - Ví dụ v ề bảng danh mục các thành ph ầ n của khuôn khổ Thành phần Được triển khai ở đâu Mục t iê u Hành động chính Trách nhi ệ m và lịch trình Thước đo kết quả Tình trạng á p dụng Trách nhiệm giải tr ì nh C ấ p tổ chức Duy tr ì ch í nh sách, quản lý rủi ro của tổ chức • Xác định chuẩn mực • Lập báo cáo • Giao quy ề n • Công bố chính sác h. • Chính thức hóa lịch tr ì nh những nội dung đã nêu • Lịch xem xét ti ế p theo: ngày/tháng/năm … … ... Các ngu ồ n lực: Đào tạo C ấ p ph ò ng ban Cung cấp các thành ph ầ n quản lý rủi ro cho tất cả đ à o tạo • Ti ế p nhận chỉ dẫn • Thiết kế nội dung đào tạo • Đào tạo giảng viên • Thiết kế: Hợp tác quản lý rủi ro • Tri ể n khai: Quản lý rủi ro tạ i các bộ phận • Lần xem x é t tiếp ngày/tháng/năm • Đã thực hiện: Báo cáo tháng • Chất lượng: Báo cáo và đánh giá việc đào tạo … Tổ chức cũng cần thiết lập các chỉ số về kết quả thực hiện có liên quan đến các mục tiêu của mình nhằm đưa ra bi ể u hiện về tính hiệu lực c ủa khuôn khổ chung đối với hiện trạng rủi ro đang được qu ả n lý. Các chỉ số về kết quả thực hiện, đôi khi được gọi chung là các chỉ số đầu ra chẳng hạn: - sự cố, tai nạn và những l ầ n thoát nạn; - thiệt hại thực t ế ; - những việc ngo à i ý muốn, không nh ư dự định; - khiếu nại của khách hàng; - m ó n nợ lớn; - t ì nh trạng sẵn sàng của hệ thống; - mức độ mà theo đ ó các mục tiêu tổ chức hiện được đáp ứng; - mức độ mà theo đó các mục tiêu quản lý rủi ro hiện được đáp ứng. D.2.4 Đánh giá xem liệu c á c đặc điểm v à b ố i c ả nh của tổ chức đ ã thay đổ i Xác định xem liệu bối cảnh nội bộ hay b ê n ngoài của tổ chức đã có sự thay đổi hiện hữu hay về kinh nghiệm thực t ế k ể từ khi khuôn khổ quản lý rủi ro đã được xây dựng hoặc được sửa đ ổ i. Hỗ trợ thực t ế Các đặc trưng nội bộ có thể đã có sự thay đổi bao gồm: - cơ c ấ u; - thực tiễn và các yêu cầu quản trị; - các ch í nh sách, tiêu chuẩn và các mô hình nộ i bộ; - các yêu c ầ u của hợp đồng; - các chiến lược và các hệ thống tác nghiệp b ị ảnh h ưở ng bởi các y ế u t ố b ê n trong hoặc b ê n ngoài (ví dụ như thay đổi quy định của pháp luật); - khả năng và các nguồn lực (ví dụ như nguồn v ố n và tài ch í nh có tiếng tăm, thời gian, con người, các quá trình, các hệ thống và công nghệ); - trí thức, các kỹ năng và sở hữu trí tuệ; - các hệ thống và các dòng th ô ng tin; - hành v i ứ ng xử x ã hội, m ô i trường, văn hóa; - những v ấ n đ ề và các nhiệm vụ có tính ưu ti ê n có thể được nhận th ứ c đ ể cạ nh tranh với những ý định của tổ chức trong quản lý rủi ro. C ác chỉ số quan trọng là các chỉ số có thể giúp chỉ ra những thay đổi và bối cảnh b ê n ngoài, thường được th ấ y trong các báo cáo và nghi ê n cứu, phản ánh n hữ ng thay đổi và xu hướng trong ngành công nghiệp, tr ong đó tổ chức đang hoạt động. Các ví dụ bao g ồ m: - giá cả hàng hóa, lãi suất ngân hàng, lãi suất trái phi ế u, tỷ giá hối đoái, chỉ số th ị trường chứng khoán, chỉ s ố giá ti ê u dùng (xu th ế ); - các chỉ số xu thế khác; - mức độ hoặc các sự vụ mang tinh ch ấ t gian lận trong các t ổ chức tương tự; - quy mô th ị trư ờ ng và các chỉ số tăng trưởng, những thay đổi đột ngột về khối lượng đơn hàng; - t ì nh trạng ổn định chính trị và xã hội, tình trạng b ấ t m ã n hay tán đồng của x ã hội; Nếu b ố i cảnh tổ chức đã thay đ ổ i k ể từ k hi khuôn kh ổ quản lý rủi ro được xây dựng, khuôn khổ qu ả n lý rủi ro này c ầ n được đánh giá và s ắ p xếp l ại theo cách có tính đến những thay đổi này. Mục đích của hoạt động này là để xác nhận r ằ ng khuôn khổ và các quá trình là ph ù hợp và nhất quán với các mục tiêu, với các v ấ n đề được ưu tiên của tổ chức. Từ việc xem x é t, tổ chức c ó th ể cần thay đổi những nguyên tắc cơ bản của n ó . VÍ DỤ 1: Một sự thay đổi trong cơ c ấ u của một tổ chức có thể đòi hỏi một số việc cần nh ì n nhận l ạ i ch í nh sách quản lý rủi ro và phân b ổ lại trách nh iệ m, nguồn lực cho phép rủi ro tiếp tục đ ượ c quản lý một cách hiệu lực. Nếu tổ chức đã mở rộng quy mô, ví dụ do sáp nhập hoặc mua lại, cân cân nhắc t ì nh tr ạ ng đáp ứng đ ầ y đ ủ tiếp theo của nguồn lực quản lý rủi ro cũng như sẽ ph â n tích c ẩ n thận bất kỳ sự khác biệt giữa các tổ chức trong cách tiếp cận đ ể quản lý rủi ro. Đây c ó th ể là sự cần thiết đ ể triển khai một k ế hoạch chuyển tiếp việc áp dụng bất kỳ thay đổ i phát sinh nhờ việc ph â n tích. VÍ DỤ 2: Nếu các yêu cầu pháp lý m ới đ ã có hiệu lực, các khía cạnh của khuôn khổ c ó liên quan đến trách nhiệm, đào tạo và việc nắ m giữ thông t i n hay báo cáo có th ể c ũ ng cần sửa đổi hoặc mở rộng. D.2.5 Xem x é t khuôn khổ Khi việc đánh giá các đặc điểm và bối cảnh b ê n ngoài đã được thực hiện xong, cần ti ế n hành một cuộc xem xét toàn diện hơn về hệ thống này để xác định xem: a) Kế hoạch rủi ro hiện được thực hiện đúng như dự đ ị nh; b) Khuôn khổ quản lý và các quá trình được nêu hiện đang được tuân thủ như dự định; c) Mức rủi ro nằm trong phạm vi tiêu chí; d) Các mục tiêu cốt l õ i của tổ chức đang tạo được ảnh hưởng tích cực tới việc quản lý rủi ro; e) Các b ê n liên quan đều nhận được báo cáo đ ầ y đủ đ ể giúp họ có thể thể thể hiện vai trò và trách nhiệm của mình trong cơ cấu quản trị; f) Mọi ngư ờ i trong toàn tổ chức có đầy đủ kỹ năng, kiến thức và năng lực để thực hiện trách nhiệm của họ đúng như chúng đã được xác định; g) Các ngu ồ n lực quản lý rủi ro là khá đầy đủ; h) Những bài học đã được rút ra t ừ kết q uả thực t ế đã xảy ra, bao gồm cả tổn thất, những lần thoát nạn cũng như các cơ hội; i) Các mục ti ê u đặt ra cho quản lý rủi ro hiện đang đạt được. N ê n có một lịch trình xem x é t thường xuy ê n được đồng thuận để có khả năng ti ế n hành các cuộc xem xét n ế u như có sự thay đổi hoàn cảnh, ví dụ khi những hậu quả của các rủi ro là bất ngờ hoặc nghiêm trọng. Các dạng dẫn xuất từ một cuộc xem xét như vậy thường bao gồm: - b á o cáo tổng th ể về kết quả hoạt động của khuôn khổ quản lý rủi ro; - báo cáo về ti ế n độ thực hiện kế hoạch quản lý rủi ro (bao gồm phân t í ch về b ấ t kỳ sự chậm trễ trong việc thực hiện); - báo cáo nêu r õ t ì nh trạng tiến triển của tổ chức liên quan đến thực hành t ố t nhất; - các khuyến nghị về những thay đổi c ầ n thiết đ ể cải tiến quản lý rủi ro và t í nh hiệu lực của n ó trong tổ chức; - cập nhật chính sách, mục tiêu và kế hoạch quản lý rủi ro khi cần thiết; - cập nhật các mô tả về bối cảnh trong đ ó tổ chức đang hoạt động, khi thích hợp; - b áo cáo về các xu hướng các chỉ số rủi ro chính; - kế hoạch hành động gắn liền với các thay đổi cần thiết để đáp ứng các mục tiêu quản lý rủi ro. D.3 Theo dõi và xem xé t quá tr ình D.3.1 Khái quát Mục đích của việc theo dõi và xem xét quá trình quản lý rủi ro là đ ể đảm bảo r ằ ng nó: - thích hợp cho hoạt động sản xuất kinh doanh; - đa ng được ti ế n hành theo kế hoạch. Những rủi ro mà việc kiểm soát và xử lý cơ bản của chúng có thể thay đổi theo thời gian th ì những người có trách nhiệm trong việc quản lý rủi ro c ầ n phải nhận thức được các tác động của những thay đổi này. Th ấ t bại trong việc xử lý c ó th ể làm cho rủi ro n à y trở n ê n không chấp nhận được. Hơn n ữa n ê n tiến hành th ê m những hoạt động kiểm soát m à mục đích của chúng là đ ể cải biên những rủi ro có thể thay đổi theo nghĩa thích tạo sự thích hợp và hiệu quả, như vậy, n ế u không được theo dõ i hay xem xét, những rủi ro không th ể duy tr ì trong các ti ê u chí rủi ro chấp nhận của tổ chức và tổ chức có thể không có một sự hiểu bi ế t hiện tại về rủi ro của mình. Kết quả theo dõi và xem xét s ẽ được phản h ồ i lại cho giai đoạn thiết lập ngữ cảnh, cung cấp cơ sở cho việc đánh giá rủi ro mới, đáp ứng đầy đủ b ả n chất tự nhiên về t í nh chu kỳ và n ă ng động của quá trình quản lý rủi ro và thiết kế cơ c ấ u quản lý rủi ro. D.3.2 Trách nhiệm giải tr ì nh Theo dõi là một phần không thể thiếu trong quản lý. Các hoạt động kiểm soát rủi ro phải được giao cho những người l iên quan, họ có trách nhiệm theo dõi ch ú ng. Trách nhiệm này phải được ghi lại trong vai trò, tr ong b ả n mô tả vị tr í . Phạm vi các lĩ nh vực chính của tổ chức, theo cách xem xét chính thức của người lao động, ví dụ như về t ài chính, các b ê n liên quan, hiệu quả nội bộ, các mục tiêu học tập và phát triển của các mục tiêu nội bộ hiện đang được xem xét. Những kết quả thực hiện so với cùng một tập hợp các chỉ số có thể đo được ở tất cả các c ấ p của tổ chức và sau đó được báo cáo một cách ph ù hợp. Các phương án xử lý rủi ro cũng cần được theo dõi đ ể đ ả m bảo rằng ti ế n tr ì nh đang đ ượ c thực hiện và các hành động được hoàn thành đúng thời hạn. D.3.3 Học hỏ i kinh nghiệm Các tổ chức n ê n học hỏi từ chính các kết quả thực t ế . Những kết quả này phải bao gồm cả các t ổ n th ấ t, những sự vụ suýt xảy ra, những sự không phù hợp và các cơ hội đã được xác định trước, đã xảy ra, nhưng vẫn chưa được xử lý. Các điểm c ầ n được cân nh ắ c theo cách xem xét này bao gồm: - chuyện g ì đả xảy ra; - làm thế nào và tại sao kết quả lại xảy ra như vậy; - liệu có bất kỳ giả định cần nào phải được xem xét như là một kết quả của đầu ra; - hành động đã được thực hiện (nếu c ó ) để phản hồi; - khả n ă ng để điều đó lại xảy ra; - b ấ t kỳ sự ph ả n hồi hay các bước bổ sung cần được thực hiện; - những điểm đúc rút, học hỏi chính và ai là người cần được truyền đạt. D.3.4 Theo dõi D.3.4.1 Những cách tiếp cận điển hình để theo d õ i bao gồm những điều sau đây a) Chủ sở hữu rủi ro có thể rà soát m ô i trường để theo dõi những thay đổi về ngữ cảnh. T ầ n suất của hoạt động này s ẽ phụ thuộc vào mức độ rủi ro và sự năng động của những thay đổi về ngữ cảnh. Trong một s ố trường hợp, báo cáo riêng, ngoại lệ về các chỉ số c ó thể là đủ. Chủ sở hữu rủi ro so sánh các yếu tố bên ngoài hoặc nội bộ có liên quan so với các tuyên bố của ngữ c ả nh để xác đ ịnh xem liệu có sự thay đổi hiện hữu nào đó đã xảy ra. Điều này có thể bao g ồ m việc th ô ng tin và tham khảo định kỳ ý kiến các bên liên quan để xác định xem liệu quan đi ể m, mục tiêu của họ đ ã c ó g ì thay đổi. b) Các chủ rủi ro cũng n ê n theo dõi các phương á n xử lý rủi ro đối với các hành động và phản h ồ i kịp thời khi có những thay đổi về môi t rư ờng. c) Những người được giao nhiệm vụ ki ể m soát phải có trách nhiệm kiểm soát mang tính theo dõ i đối với những g ì đã được giao cho họ, trong đó có thể bao gồm kiểm tra định kỳ hoặc theo dõi liên tục. V ì quản lý rủi ro hiệu quả nhất khi nó được tích hợp hoàn toàn với việc ra quyết định thông thường và với hệ thống quản lý của tổ chức, n ê n kết quả thực hiện quản lý hoạt động của tổ chức phải được sử dụng đ ể theo dõi rủi ro và hiệu quả của quá trình quản lý rủi ro. Các chỉ số về kết quả thực hiện cần phản ánh phạm vi của các mục tiêu trọng điểm của tổ chức vốn đã được xác định ở ngay giai đoạn đầu của quá trình khi xác lập ngữ cảnh của tổ chức. Những chỉ số này cũng có thể được phát triển theo cách có liên quan đến các rủi ro cũng như cách kiểm soát cụ thể, cách áp dụng chúng vào quá trình quản lý rủi ro. CH Ú TH Í CH: Trong tự như trường hợp với các rủi ro, phải lưu ý rằng, các hoạt động kiểm s oát cũng phải được gắn cho những người ch ị u trách nhiệm đối với hoạt động của họ. Thông thư ờ ng, chủ sở hữu việc k iể m s oát hay người thao tác l à người thực hiện việc kiểm soát theo n ề n ế p thường ngày nhưng c ũ ng có thể là một ai đó, khác với chủ sở hữu rủi ro. Đ iề u này kh ô ng ảnh h ưở ng đến trách nhiệm chung của chủ sở hữu rủi ro trong việc phải đi ề u chỉnh một cách th í ch hợp rủi ro đ ó, trong trách nhiệm th iế t k ế , triển khai, ứng dụng, theo d õ i, đánh giá các hoạt động ki ể m soát tương ứng. D.3.4.2 Các chỉ số kết quả thực hiện có thể đo được các kết quả (v í dụ như các tổn thất hoặc các khoản thu được c ụ thể) hoặc các quá trình (v í dụ như việc hoàn thành kịp thời các phương án xử lý rủi ro). B ì nh thư ờ ng, có thể sử dụng hỗn hợp các chỉ số, ngoại trừ khi các chỉ s ố v ề kết quả đầu ra được dùng để biểu thị kết quả của sự suy giảm đáng k ể do những thay đổi mà những thay đổi đó làm cho các hệ số này tăng lên. Do vậy, trong một môi trường có sự thay đổi cao, việc sử dụng các chỉ số quá trình (như các chỉ số quan trọng) thư ờ ng hữu í ch hơn. Trong việc lựa chọn các chỉ số kết quả thực hiện, điều quan trọng là phải kiểm tra xem: - chúng phải đo được; - việc sử dụng ch ú ng là có hiệu quả xét theo nghĩa đ ò i h ỏ i về thời gian, c ô ng sức và ngu ồ n lực; - quá trình đo lường hoặc theo dõi chúng s ẽ khuyến khích hoặc tạo điều kiện cho hành v i mong muố n và không thúc đẩ y hành vi không mong muốn (ví dụ như ngụy tạo các dữ l iệ u); - nh ữ ng người tham gia h iể u quá trình và những lợi í ch mong đợi và có c ơ hội cung cấp được th ô ng tin đầu v à o để thiết lập các chỉ số; - các kết quả được ghi lại và kết quả thực hiện được phân tích và báo cáo theo một hình thức cho ph é p tạo điều kiện học tập và c ả i thiện toàn bộ tổ chức. D.3.4.3 Khi áp dụng việc quản lý kế t quả thực hiện cho quá trình quản lý rủi ro, cần lưu ý rằng: - việc đo lư ờ ng hiệu quả kết quả thực hiện đòi hỏi phải có nguồn lực, nguồn lực này cần được xác định và ph â n b ố như là một phần của việc phát tri ể n của các chỉ số về k ế t quả thực hiện; - một s ố hoạt động quản lý rủi ro có thể khó đo lường được, nh ư ng không v ì thế mà chúng kém quan trọng. Trong những trường hợp này, n ê n sử dụng các chỉ s ố thay th ế , ví dụ: các nguồn lực dành cho các ho ạ t động quản lý rủi ro có thể là một thước đo thay thế cho cam kết đ ể quản l ý rủi ro hiệu quả; - bất kỳ sự bi ế n động, sai khác giữa dữ liệu đo các chỉ số kết quả hoạt động và cảm nhận bản năng đề u quan trọng và cần được điều tra, ví dụ: nếu người lãnh đạo vẫn thấy quan ngại rằng những rủi ro không được quản lý đúng cách, mặc d ù các đ á nh giá rủi ro dạng c o n số cho thấy các mức độ rủi ro là thấp, th ì những mối quan ngại n à y cần được điều tra và không đ ể b ị bỏ qua. - thường thì sự suy giảm đột ngột về chỉ số s ẽ luôn gây sự chú ý , điều này cũng phải được á p dụng như đối với sự suy giảm chỉ s ố về mức độ t iế n triển, cụ thể, ta phải theo dõi và phân tích về xu hư ớ ng chỉ số hoạt động. D.3. 5 Xem xét L ã nh đ ạo c ầ n đ ị nh kỳ xem x é t các quá trình, các h ệ th ố ng và các hoạt động đ ể đảm bảo rằng: a) Không phát sinh những rủi ro mới; b) Các hoạt động kiểm soát, phương pháp xử lý rủi ro v ẫ n còn phù hợp và hiệu quả. Những cuộc xem xét như vậy nên được lập thành kế hoạch (xem chương tr ì nh và cách tiếp cận đánh giá dựa trên rủi ro và làm thế nào để lựa chọn những người xem xét, như được nêu trong TCVN ISO 19011). Những cuộc xem xét này có thể sử dụng các kỹ thuật tương tự như theo dõi thực tế đang diễn ra, nhưng nếu chúng được thực hiện bởi một người không trực tiếp tham gia v à o các hoạt động của các quá trình, thì chúng có thể cung cấp nh ữ ng phân tích khách quan hơn. Tần suất xem xét có thể bị ảnh hư ở ng b ở i mức độ rủi ro, bởi chu kỳ lập kế hoạch kinh doanh, bởi sự năng động trong môi trư ờ ng/b ố i cảnh, hoặc bởi một cuộc họp của bộ phận quản trị có trách nhiệm theo dõi các rủi ro và quản lý rủi ro. Nếu phát hiện các v ấ n đề , tổ chức n ê n xem xét chúng đ ã xuất hiện như th ế nào và tại sao, trước đây ch ú ng kh ô ng được phát hiện. Các hoạt động kiểm soát phải được đ ả m bảo thông qua các hành động của các nhà quản lý có trách nhiệm (các ch ủ rủi ro) vốn được xem như là một phần của các công việc và các vai trò b ì nh thường của họ. Việc chỉ r õ những hoạt động kiểm soát cụ thể để k iể m soát các chủ rủi ro s ẽ thúc đẩy việc áp dụng các hoạt động kiểm soát, nhưng để đảm bảo tính hiệu lực, những chủ sở hữu đó c ầ n được đào tạo ki ế n thức về kiểm soát sự đảm bảo của các quá trình. Khi những sự thay đổi trong tổ chức đã được lập kế hoạch, hoặc khi những thay đổi b ê n ngoài đ ã được phát hiện, có thể dẫn đến những thay đổ i trong: - môi trường bên ngoài hoặc bên trong hoặc đối với các b ê n liên quan và quan điểm của họ; - bối cảnh quản lý rủi ro, các mục tiêu của tổ chức và các tiêu chí rủi ro của nó; - các rủi ro và các mức độ rủi ro; - sự cần thiết đối với những phương pháp xử lý rủi ro; - ảnh hưởng và hiệu lực của hoạt độ n g kiểm soát. V ì lý do này, khi xây dựng hoặc sửa đổi các kế hoạch kinh doanh hay các phương án chi ế n lược, điều tối cần thiết đối với các tổ chức là phải xe m xét các rủi ro, các phương pháp xử lý, các hoạt động kiểm soát rủi ro của mình. Ngoài ra, do các phư ơ ng án kinh doanh và kế hoạch chi ế n lược có thể tạo ra hoặc buộc điều chỉnh các mục tiêu của một tổ chức, nên sẽ rất hữu ích n ế u ta sử dụng quá trình đánh giá rủi ro nh ư phép kiểm chứng về tính chắc chắc của các phương án dự thảo để đảm bảo các mục tiêu dự kiến là đạt được, và cũng đ ể xác định biện pháp xử lý rủi ro cần thiết nhằm đảm bảo kết qu ả thành công. Những người thực hiện quá trình quản lý rủi ro cũng n ê n thường xuy ê n xem xét k inh nghiệm, các đầu ra, các kết quả của họ để xác định các cơ hội cải tiến. Phụ lục E (tham khảo) Tích hợp quản lý rủi ro trong một hệ thống quản lý E.1 Khái quát Quản lý rủi ro là một phần không tách rời của hệ thống quản lý của một tổ chức. TCVN ISO 31000 hướng dẫn các tổ chức xây dựng, thực hiện và cải tiến liên tục một khuôn khổ quản lý mà mục đích của nó là để tích hợp quản lý rủi ro vào hệ thống quản lý của tổ chức (bao g ồ m quản trị và chiến lược). Đặc biệt, sự tích hợp cần đảm bảo rằng, thô n g tin về rủi ro được sử dụng như là cơ sở cho việc ra quyết định ở tất cả các cấp của tổ chức. Những người và các bộ phận cụ thể thực hiện quản lý rủi ro hàng ngày phải được cân nhắc như là một phần trong cách để họ đưa ra các quyết định. Quản lý rủi ro đã được tích hợp một cách tự nhi ê n trong tất cả những gì ch ú ng tôi làm trước khi chúng tôi quyết định làm một c á i g ì đó. Dù chỉ một số người làm t ố t hơn những người khác về điều đó, nhưng tất cả có thể cải thiện chất lượng quản lý rủi ro và cải thi ệ n việc ra quyết định, d ẫ n đến sự cải thiện trong việc đạt được các mục tiêu và sự tin cậy nhờ đó cũng được nâng lên. N ế u mục đích của việc quản lý rủi ro tích hợp là để gia tăng giá trị, nó xác định một cách logic các phương thức chấp nhận tạo được ảnh h ưở ng đến những gì đã diễn ra và thúc đ ẩ y, cải thiện nó, chứ không phải thay th ế nó bằng một cái g ì đ ó khác đi. Nó không có tác dụng bổ sung hoặc ép buộc một cái g ì đó khác lạ vào những gì s ẽ thực sự ph ải diễn ra một cách tự nhiên của chức năng ra quyết định. Tích hợp không chỉ đơn giản l à việc đưa các công cụ và các quá trình quản lý rủi ro đ ã được thiết lập, đã được tiêu chuẩn hóa vào trong (các) hệ thống quản lý hiện có, n ó đòi hỏi sự điều chỉnh, thay đổi những công cụ và quá trình của mình cho phù hợp với nhu cầu của người ra quyết định, phù hợp với các quá trình hiện có của họ để ra quyết định. Phụ lục này cung cấp một số ví dụ thực tế về việc quản lý rủi ro có thể được tích hợp như thế nào vào (các) hệ th ố ng quản l ý hiện hành. E.2 H ệ th ố ng quản lý là gì? Tất cả các tổ chức đ ề u sử dụng một số loại hệ thống quản lý. Trong thời gian gần đây, các hệ thống quản lý đã được chuyển hóa thành dạng ch í nh tắc gắn l iền với các yêu cầu đã được tạo ra, cung cấp một khuôn khổ quản l ý trong đó một tổ chức c ó thể thiết lập các biện pháp và các quá trình quản lý để chỉ đ ạo và kiểm soát các hoạt động của nó. Nhiều tiêu chuẩn quốc tế đề cập t ớ i các h ệ th ố ng quản lý nói c hung hay có li ê n quan tới những nội dung cụ thể. Một hệ thống quản lý là một tập hợp các yếu tố liên quan hay tương tác lẫn nhau của một tổ chức để thiết lập các chính sách, các mục tiêu, cũng như các quá trình để đạt được những mục tiêu đó. Với góc độ quản lý kinh doanh, nhờ c ó một hệ thống quản lý hay hệ thống quản lý tích hợp, ta sẽ thu được hiệu quả. Ví dụ, quản lý chất lượng như được nêu t rong TCVN ISO 9001 đề cập một cách tiếp cận rộng lớn hướng tới sự hài lòng của khách hàng, trong khi quản lý rủi ro lại đề cập tới những tác động của sự không chắc chắn đối với các mục tiêu v ố n có thể không chỉ liên quan đến khách hàng mà còn đối với cả hàng loạt các b ê n li ê n quan khác. Nhiều tổ chức đã áp dụng hệ thống quản lý chất lượng dựa tr ê n các yêu cầu của TCVN ISO 9001, và quản lý rủi ro có thể được tích hợp trong các h ệ th ố ng quản lý như vậy, tạo ra sự phối hợp hài hòa và tránh trùng lặp E.3 H ệ th ố ng quản lý đư ợ c tích hợp và quản lý rủi ro Tích hợp việc quản lý rủi ro với các quá tr ình kinh doanh cốt l õ i cũng gi ố ng như mọi nhu cầu đ ể tạo ra sự tương tác giữa tất cả các cách tiếp cận hệ thống quản lý, ví dụ như quản lý chất lượng, quản lý môi trường, quản lý an toàn, quản lý an ninh, quản lý sự tuân thủ luật pháp, quản lý tài chính và báo cáo t ài ch í nh, và thậm chí cả với quản l ý bảo hiểm li ê n quan t ớ i các sự kiện về việc ph ả i chuy ể n trả về tài chính cho các tổ chức khác. Các hệ thống quản lý tách biệt này c ầ n tạo n ê n một hệ thống quản lý tích hợp, dựa tr ê n các chính sách và chiến lược c ủ a mỗi một tổ chức. Ngay cả khi một tổ chức có các hệ thống quản lý tách biệt để quản lý các rủi ro r ấ t cụ thể th ì khuôn khổ quản lý đ ể quản lý rủi ro cũng n ê n mở rộng đ ể có bao hàm hoặc được kết hợp với các hệ thống k hác của nó. Cách tiếp cận quản lý rủi ro bao hàm dọc toàn bộ tổ chức có thể: a) Nâng cao sự ch ú trọng của l ã nh đạo cấp cao đối với các mục tiêu chiến lược của tổ chức; b) Tạo khả năng để mọi rủi ro trong hệ thống quản lý tích hợp sẽ được x ử lý theo các nguyên tắc và hướng dẫn của TCVN ISO 31000. Cách tiếp cận này có thể liên quan đến những điều sau đây: - đưa vào hệ thống quản lý chất lượng việc áp dụng các kỹ thuật quản lý rủi ro có li ê n quan đến sản phẩm ch í nh yếu, li ê n quan quản lý rủi ro dự án; - đ ố i phó với những sự b ấ t ổn trong quản lý môi trường, ví dụ nh ư c ố và tai nạn tiềm ẩn tại các cơ sở liê n quan độc hại, vấn đ ề xử lý vật liệu và chất nguy hại; - xử lý các rủi ro kết hợp với các hoạt động như an toàn tại nơi làm việc; - xử lý, kiểm soát các rủi ro an ninh, ví dụ hành vi bạo lực đối với các tổ chức hoặc các nhân viên hay khách hàng của mình; - xử lý các rủi ro an ninh trong công nghệ thông tin (CNTT), ví dụ nh ư các tác nghiệp làm CNTT bị sập, m ấ t dữ liệu, vi phạm bảo mật và đảm bảo t í nh liên tục kinh doanh; - quản lý các rủi ro liên quan tính li ê n tục kinh doanh nhằm đảm bảo sự chuẩn bị, phản ứng nhanh chóng đối với các s ự kiện gây gián đoạn; - thiết lập các hoạt động kiểm soát để b ả o vệ tài sản vật chất của tổ chức, đ ể đảm bảo báo cáo ch í nh xác, đ ể đảm bảo tuân thủ các yêu cầu pháp lý, hoặc để quản lý các rủi ro c ó khả năng được bảo hiểm theo cách giảm thi ể u các phí bảo hiểm. E.4 Áp dụng quản lý r ủi ro trong cơ cấu quản lý của h ệ th ố ng quản lý chất lượn g E.4.1 Khái quát Quá trình quản lý rủi ro cần được lồng ghép vào các quá trình ra quyết định của một tổ chức, bất kể mức độ và chức năng mà tại đó những quyết định này được đưa ra. E.4.2 Xác đị nh và nhận thức v ề nắm bắt, h iể u quyết định Các phương pháp sau đây giúp nhận biết được khi nào và ở đâu các quyế t định được nêu ra theo chu kỳ Lập kế hoạch - Thực hiện - Kiểm tra - Hành động (PDCA). a) Xác định tất cả các hình thức về những thực t ế ra quyết định đã được chính thức hóa và thực tế đã tồn tại trong tổ chức. b) Trong các tổ chức lớn, thường có nhiều thủ tục đòi hỏi những sự ch ấ p thuận chính t hức cho một loạt các quyết định, ví dụ như ph ê duyệt các kế hoạch chiến lược hàng năm, hạn mức vốn, thu ê tuy ể n nh â n viên m ớ i, sửa đổi các cách ki ể m soát quá trình, bố trí việc đi lại của nhân viên. c) Sử dụng lưu đ ồ , hoặc một số kỹ thuật khác, để lập sơ đồ m ô tả sát thực về trình tự và các quy tắc thực hành ch í nh của việc ra quyết định hiện được áp dụng cho cả các dự án cụ thể và tất cả các kh í a cạnh của hoạt động kinh doanh. Điều này có thể được cân nhắc tr ê n cơ s ở bộ phận hoặc chức năng và n ê n mở rộng cho c ả việc ra quyết định về quản trị và quản lý. Nếu có những hoạt động đang được quản l ý bởi việc áp dụng một hệ thống quản lý đã được ch í nh thức hóa (ví dụ như quản lý chất lượng qua áp dụng TCVN ISO 9001), những điểm quyết định trong các hệ thống như vậy sẽ tạo thành một phần của việc phân tích này. Tương tự nh ư vậy, n ế u tổ chức có bất kỳ hình thức nào về ủy nhiệm ra quyết định, những nhiệm vụ như vậy cũng n ê n được đưa vào phân tích. Kết quả cuối cùng s ẽ có một bức tranh mạch lạc, được văn bản hóa về việc các quyết định được ban hành ở đâu, do ai nêu và các quá trình hiện đ ang sử dụng đối với các quyết định như vậy. Việc kết hợp các kỹ thuật nói trên s ẽ tạo ra một mức độ cao về nhận thức của cá nhân lẫn c ả tổ chức trong việc ra quyết định. E.4.3 Đánh giá rủi ro Thường s ẽ th í ch hợp, n ế u trong một số loại quyết định (ví dụ như phát triển và thực hiện một sản ph ẩ m mới, hoặc lập kế hoạch và thực hiện một dự án lớn), ta áp dụng được đánh giá rủi ro dạng ch í nh tắc tại các giai đoạn khác nhau của dự án. Ví dụ, hầu hết các dự án có nhi ề u điểm quyết định phức tạp, chẳng hạn tính khả thi, điều kiện sản xuất - kinh doanh, việc lập ngân sách và kế hoạch chi ti ế t, thực hiện và bàn giao. Tại mỗi điểm, một đánh giá rủi ro dạng chính tắc là thích hợp đ ể quyết định giữa các tùy chọn. Điều này l àm tăng tính hợp lý về sự thành công của dự án và cũng cải thiện tính hiệu quả. Đ ể đánh giá rủi ro các quyết định tác nghiệp, những h ì nh thức đơn giản đã được tiêu chuẩn hóa của quá trình quản lý rủi ro có th ể được những nhân viên tham gia phát triển để sử dụng. Những phương pháp này đặc biệt thích hợp trong t ì nh huống mà mọi người làm việc m à không có sự theo dõi trực tiếp. Một thành phần quan trọng của các phương pháp này là n ó tạo ra những nhận thức về các gi ả định như là đầu vào cho các quyết định. Theo định nghĩa, các giả định là một nguồn g ố c của sự không chắc chắn. Các quá trình chuẩn hóa như vậy có thể được cụ thể đối với một hình thức liên quan đến việc ra quyết định, đối với một nhóm người cụ thể thực hiện một nhiệm vụ cụ thể, và đối với b ố i cảnh đi ể n hình mà trong đó những v ấ n đề trên xảy ra. Các hệ thống đơn giản có thể được biên soạn/ hệ thống hóa thành sổ tay bỏ túi hay bản hướng dẫn dạng danh mục kiểm tra và được tất cả những người tham gia trong loại hình công việc đ ể thực hiện. E.4.4 Những g ợ i ý cho khu ô n khổ quản lý rủi ro Việc áp dụng các kỹ thuật được mô tả trong đ iề u khoản này s ẽ đ ò i hỏi một số hạng mục và sự đ iều chỉnh thích hợp đối với khuôn khổ quản lý rủi ro, ví dụ: - sửa đổi các chính sách quản lý rủi ro của tổ chức; - sắp xếp đ ể tiến hành việc điều tra ban đầu và lập bản đ ồ thực hành ra quyết định; - tiến hành sửa đổi đối với các sổ tay dạng quy tr ì nh; - đào tạo cán bộ quản lý và nhân vi ê n; - đào tạo cụ thể cho những người có công việc phải được thực hiện phù hợp với một hệ thống quản lý cụ thể. (v í dụ như những ng uồn có liên quan tới những dạng đặc biệt về rủi ro); - các điều ch ỉ nh đối với hệ thống đảm bảo và quản lý rủi ro li ê n quan n ă ng lực thông tin của c ô ng ty; - trao đổi thông tin nội bộ và tham vấn hiệu quả. THƯ MỤC TÀI LIỆU THAM KHẢO [1] TCVN ISO 9000 (ISO 9000), Hệ thống quản lý ch ấ t lượng - Thuật ngữ và định nghĩa. [ 2] TCVN ISO 9001 (ISO 9001), Hệ thống quản lý chất lượng - Các yêu cầu. [3] TCVN ISO 19011 (ISO 19011), Hướng dẫn đ á nh giá hệ thống quản lý. [4] TCVN 9788:2013 (ISO Guide 73:2009), Quản lý rủi ro - Từ vựng. [5] TCVN ISO/IEC 31010 (IEC 31010), Quản lý rủi ro- Kỹ thuật đánh gi á rủi ro. MỤC LỤC Lời nói đầu Lời giới thiệu 1 Phạm vi áp dụng 2 Tài liệu viện dẫn 3 Á p dụng TCVN ISO 31000 3.1 Khái quát 3.2 Cách thức áp dụng TCVN ISO 31000 3.3 Tích hợp TCVN ISO 31000 vào các quá trình quản lý của tổ chức 3.4 Cải tiến liên tục Phụ lục A (tham khảo) Khái niệm và các nguyên t ắ c nền tảng Phụ lục B (tham khảo) Áp dụng các nguyên tắc của TCVN ISO 31000 Phụ lục C (tham khảo) Thể hiện nhiệm v ụ và cam k ế t Phụ lục D (tham khảo) Theo d õ i và xem xét Phụ lục E (tham khảo) Tích hợp quản lý rủi ro trong một hệ thống qu ả n lý Thư mục tài l iệ u tham khảo