Quản lý rủi ro

**Quản lý rủi ro** là việc xác định, đánh giá và ưu tiên hóa rủi ro (định nghĩa trong ISO 31000 là ảnh hưởng của sự không chắc chắn về mục tiêu) tiếp theo là việc áp dụng hợp lý và tiết kiệm các nguồn lực để giảm thiểu, theo dõi và kiểm soát xác suất xảy ra hoặc ảnh hưởng của các sự kiện không may hoặc để tối đa hoá việc thực hiện các cơ hội. Mục tiêu của quản lý rủi ro là để đảm bảo sự không chắc chắn này không làm lệch hướng các hoạt động của các mục tiêu kinh doanh.

Rủi ro có thể đến từ nhiều nguồn khác nhau bao gồm sự không chắc chắn trong thị trường tài chính, các mối đe dọa từ thất bại của dự án (ở bất kỳ giai đoạn nào trong thiết kế, phát triển, sản xuất, hoặc vòng đời duy trì), trách nhiệm pháp lý, rủi ro tín dụng, tai nạn, nguyên nhân tự nhiên và thiên tai, tấn công từ đối thủ, hoặc các sự kiện có nguyên nhân gốc rễ không chắc chắn hoặc không thể đoán trước.

Có hai loại sự kiện, nghĩa là sự kiện tiêu cực có thể được phân loại là rủi ro trong khi sự kiện tích cực được phân loại là cơ hội. Một số tiêu chuẩn quản lý rủi ro đã được một số tổ chức xây dựng bao gồm Viện Quản lý Dự án, Viện Tiêu chuẩn và Kỹ thuật quốc gia Hoa Kỳ, các hiệp hội về thống kê, và các tiêu chuẩn ISO. Các phương pháp, định nghĩa và mục đích của các tiêu chuẩn này rất khác nhau, tùy theo phương pháp quản lý rủi ro trong bối cảnh nào: quản lý dự án, an ninh, kỹ thuật, quy trình công nghiệp, danh mục đầu tư tài chính, đánh giá tính toán, hoặc y tế và an toàn công cộng. Một số khía cạnh của nhiều tiêu chuẩn quản lý rủi ro đã bị chỉ trích vì không có cải thiện đáng kể về rủi ro; trong khi sự tin tưởng vào ước tính và quyết định dường như tăng lên. Ví dụ, một nghiên cứu cho thấy rằng cứ một trong sáu dự án CNTT là "thiên nga đen" với chu phí dôi dư khổng lồ (chi phí quá mức trung bình là 200% và lịch trình dôi dư 70%).

Các chiến lược để quản lý các mối đe dọa (sự không chắc chắn với hậu quả tiêu cực) thường bao gồm việc tránh né mối đe dọa, giảm tác động tiêu cực hoặc xác suất của mối đe dọa, chuyển tất cả hoặc một phần mối đe dọa cho bên khác, và thậm chí giữ lại một số hoặc toàn bộ các tiềm năng hoặc hậu quả thực tế của một mối đe doạ nhất định, và sự đối lập về cơ hội (các trạng thái không chắc chắn trong tương lai nhưng có lợi ích). Các nhà giao dịch bán lẻ cũng áp dụng quản trị rủi ro bằng cách sử dụng phương pháp phân bổ vốn theo tỷ lệ phần trăm cố định và các khung quản lý rủi ro – lợi nhuận để tránh thua lỗ lớn và hỗ trợ ra quyết định nhất quán dưới áp lực.

Với vai trò chuyên nghiệp, một **nhà quản lý rủi ro** sẽ “giám sát chương trình bảo hiểm và quản trị rủi ro toàn diện của tổ chức, đánh giá và xác định các rủi ro có thể cản trở uy tín, an toàn, bảo mật hoặc thành công tài chính của tổ chức”, sau đó lập kế hoạch để giảm thiểu và/hoặc hạn chế bất kỳ tác động tiêu cực (về tài chính) nào. **Chuyên viên phân tích rủi ro** hỗ trợ khía cạnh kỹ thuật của phương pháp quản trị rủi ro trong tổ chức: sau khi dữ liệu rủi ro được tổng hợp và đánh giá, họ chia sẻ kết quả với cấp quản lý, những người sử dụng thông tin này để lựa chọn giải pháp phù hợp. Xem thêm: Giám đốc rủi ro (Chief Risk Officer), kiểm toán nội bộ, và Quản trị rủi ro tài chính#Tài chính doanh nghiệp.

## Giới thiệu
Rủi ro được định nghĩa là khả năng xảy ra một sự kiện ảnh hưởng bất lợi đến việc đạt được một mục tiêu. Do đó, sự bất định là một khía cạnh quan trọng của rủi ro. Khái niệm quản trị rủi ro xuất hiện trong các tài liệu khoa học và quản lý từ những năm 1920. Nó trở thành một ngành khoa học chính thức vào những năm 1950, khi các bài báo và sách với tiêu đề “quản trị rủi ro” bắt đầu xuất hiện trong các kho lưu trữ thư viện. Phần lớn các nghiên cứu ban đầu tập trung vào tài chính và bảo hiểm. Một tiêu chuẩn phổ biến làm rõ thuật ngữ được sử dụng trong quản trị rủi ro là ISO Guide 31073:2022 – “Quản trị rủi ro — Thuật ngữ”

Trong quản trị rủi ro lý tưởng, một quy trình ưu tiên được áp dụng. , trong đó những rủi ro có tổn thất (hoặc tác động) lớn nhất và xác suất xảy ra cao nhất được xử lý trước. Các rủi ro có xác suất và tổn thất thấp hơn sẽ được xử lý theo thứ tự giảm dần. Trong thực tế, việc đánh giá tổng thể rủi ro có thể phức tạp, và tổ chức phải cân bằng nguồn lực để giảm thiểu rủi ro giữa hai tình huống:
* Rủi ro có **xác suất cao nhưng tổn thất thấp**.
*Rủi ro có **tổn thất lớn nhưng xác suất thấp**.

**[[Chi phí cơ hội]]** là một thách thức đặc biệt đối với các nhà quản trị rủi ro, vì khó xác định khi nào nên dùng nguồn lực cho quản trị rủi ro và khi nào nên sử dụng chúng vào việc khác. Do đó, quản trị rủi ro lý tưởng phải tối ưu hóa việc sử dụng nguồn lực (chi phí, nhân lực, v.v.) và giảm thiểu tác động tiêu cực của rủi ro.

### Rủi ro và Cơ hội

Cơ hội lần đầu xuất hiện trong nghiên cứu học thuật hoặc sách quản trị vào những năm 1990. Bản dự thảo đầu tiên của *[[Hướng dẫn về những kiến thức cốt lõi trong Quản lý dự án|Hướng dẫn về những kiến thức cốt lõi trong Quản lý dự án (PMBoK)]]* (Project Management Body of Knowledge) năm 1987 hoàn toàn không đề cập đến cơ hội.

Các trường phái quản trị dự án hiện đại thừa nhận tầm quan trọng của cơ hội. Cơ hội đã được đưa vào tài liệu quản trị dự án từ những năm 1990 (ví dụ: PMBoK) và trở thành một phần quan trọng của quản trị rủi ro dự án vào những năm 2000, khi các bài viết với tiêu đề “quản trị cơ hội” bắt đầu xuất hiện trong các tài liệu nghiên cứu. Quản trị cơ hội từ đó trở thành một phần quan trọng của quản trị rủi ro.

Lý thuyết quản trị rủi ro hiện đại xử lý bất kỳ loại sự kiện bên ngoài nào, bao gồm tích cực và tiêu cực. Rủi ro tích cực được gọi là cơ hội. Giống như rủi ro, cơ hội cũng có các chiến lược ứng phó cụ thể:

* Khai thác (Exploit)
* Chia sẻ (Share)
* Tăng cường (Enhance)
* Bỏ qua (Ignore)

Trong thực tế, rủi ro thường được coi là “tiêu cực”. Các nghiên cứu và thực hành liên quan đến rủi ro tập trung nhiều hơn đáng kể vào các mối đe dọa so với cơ hội. Điều này có thể dẫn đến các hiện tượng tiêu cực như tập trung mục tiêu quá mức (target fixation).

### Phương pháp
Về cơ bản, các phương pháp này bao gồm các yếu tố sau, được thực hiện theo thứ tự tương đối như sau:

# Xác định các mối đe dọa.
# Đánh giá mức độ dễ bị tổn thương của các tài sản quan trọng trước các mối đe dọa cụ thể.
# Xác định rủi ro (tức là khả năng xảy ra và hậu quả dự kiến của các cuộc tấn công cụ thể vào các tài sản cụ thể).
# Xác định các cách để giảm thiểu rủi ro đó.
# Ưu tiên các biện pháp giảm thiểu rủi ro.

Theo Project Management Body of Knowledge (PMBoK), khu vực này bao gồm các quy trình sau:

# **Lập kế hoạch quản trị rủi ro** (Plan Risk Management) – định nghĩa cách thực hiện các hoạt động quản trị rủi ro.
# **Nhận diện rủi ro** (Identify Risks) – xác định các rủi ro riêng lẻ của dự án cũng như các nguồn gốc của chúng.
# **Phân tích định tính rủi ro** (Perform Qualitative Risk Analysis) – ưu tiên rủi ro dự án bằng cách đánh giá xác suất và tác động.
# **Phân tích định lượng rủi ro** (Perform Quantitative Risk Analysis) – phân tích số học về tác động của rủi ro.
# **Lập kế hoạch ứng phó rủi ro** (Plan Risk Responses) – phát triển các lựa chọn, lựa chọn chiến lược và hành động.
# **Triển khai ứng phó rủi ro** (Implement Risk Responses) – thực hiện các kế hoạch ứng phó rủi ro đã thống nhất. (Trong PMBoK 4th Ed., quy trình này được bao gồm trong hoạt động Giám sát và Kiểm soát, nhưng sau đó được tách thành một quy trình riêng trong PMBoK 6th Ed.)
# **Giám sát rủi ro** (Monitor Risks) – theo dõi việc triển khai. (Trong PMBoK 4th Ed., quy trình này được gọi là Giám sát và Kiểm soát, đồng thời bao gồm cả quy trình “Triển khai ứng phó rủi ro”).

### Nguyên tắc
Tổ chức Tiêu chuẩn hóa Quốc tế (ISO) đưa ra các nguyên tắc sau cho quản trị rủi ro:

* Tạo giá trị – nguồn lực sử dụng để giảm thiểu rủi ro phải ít hơn hậu quả nếu không hành động.
* Là một phần không thể tách rời của các quy trình tổ chức.
* Là một phần của quá trình ra quyết định.
* Xử lý rõ ràng sự bất định và các giả định.
* Sử dụng quy trình có hệ thống và có cấu trúc.
* Dựa trên thông tin tốt nhất hiện có.
* Linh hoạt.
* Tính đến yếu tố con người.
* Minh bạch và bao quát.
* Động, lặp lại và phản ứng với thay đổi.
* Có khả năng cải tiến và nâng cao liên tục.
* Đánh giá lại liên tục.

### Rủi ro nhẹ (Mild) so với rủi ro dữ dội (Wild)
Benoît Mandelbrot phân biệt giữa rủi ro nhẹ và rủi ro dữ dội, và cho rằng đánh giá và quản trị rủi ro phải khác biệt cơ bản đối với hai loại này:

* **Rủi ro nhẹ** (Mild risk):
** Tuân theo phân phối chuẩn hoặc gần chuẩn (xác suất).
** Chịu sự hồi quy về trung bình (regression to the mean) và tuân theo định luật số lớn.
** Do đó, tương đối dự đoán được.
* **Rủi ro dữ dội** (Wild risk):
** Tuân theo phân phối đuôi dày (fat-tailed) như Pareto hoặc phân phối luật lũy thừa (power-law).
** Chịu sự hồi quy về đuôi (regression to the tail), có kỳ vọng hoặc phương sai vô hạn, khiến định luật số lớn không còn hiệu lực hoặc kém hiệu quả.
** Do đó, khó hoặc không thể dự đoán.

Sai lầm phổ biến trong đánh giá và quản trị rủi ro là đánh giá thấp mức độ dữ dội của rủi ro, giả định rằng rủi ro là nhẹ trong khi thực tế nó là dữ dội. Điều này cần được tránh để đảm bảo đánh giá và quản trị rủi ro hợp lệ và đáng tin cậy, theo Mandelbrot.

## See also

* Duy trì hoạt động kinh doanh
* Mô hình hóa thảm họa
* Kỹ thuật chi phí
* Hợp đồng chi phí cộng thêm
* *[[Dò đá qua sông]]*
* Giảm thiểu rủi ro thiên tai
* Cơ quan Quản lý Rủi ro Môi trường (New Zealand)
* Quản trị rủi ro tài chính
* Viện Quốc tế về Quản lý Rủi ro & An toàn
* ISO 31000
* Quản trị rủi ro công nghệ thông tin
* Khung quản trị rủi ro
* Tư vấn kiểm soát tổn thất
* Rủi ro đạo đức
* Hội đồng An toàn Quốc gia (Hoa Kỳ)
* Thiên kiến lạc quan
* Phân tích rủi ro dịch hại
* Nguyên tắc phòng ngừa
* Dự báo theo lớp tham chiếu
* Suy nghiệm đại diện
* Khẩu vị rủi ro
* Sự ác cảm rủi ro
* Công cụ quản trị rủi ro
* Phần bù rủi ro
* Tiêu chuẩn an toàn trên hết của Roy
* Quản trị an ninh
* Quản trị rủi ro xã hội
* Tài sản bị mắc kẹt
* Quản lý rủi ro chuỗi cung ứng
* Ba tuyến phòng thủ
* Mô hình Gordon–Loeb 

## Tham khảo

## Liên kết ngoài
* Risk management resources, Global Risk Institute
* Risk knowledge library, Risk and Insurance Management Society
* Risk Journals, Risk.net
* Glossary of financial risk management terms, Risk.net
* DoD Risk Management Guide for Defense Acquisition Programs  (2017)