Trang chủ » Blog » Quản trị rủi ro trong doanh nghiệp: Ai chịu trách nhiệm nhận diện và xử lý rủi ro?

Quản trị rủi ro trong doanh nghiệp: Ai chịu trách nhiệm nhận diện và xử lý rủi ro?

Trong một công ty, quyết định kinh doanh có thể được thông qua đúng thẩm quyền, hợp đồng được ký đầy đủ, quy trình nội bộ đã ban hành và hồ sơ được lưu giữ cẩn thận, nhưng doanh nghiệp vẫn có thể gặp tổn thất. Nguyên nhân đôi khi không nằm ở một quy định bị thiếu, mà ở việc không ai nhận ra một dấu hiệu bất thường đang xuất hiện, hoặc đã nhận ra nhưng không có cơ chế đưa vấn đề đến đúng người có khả năng xử lý.

Ví dụ, một khách hàng lớn liên tục chậm thanh toán nhưng bộ phận kinh doanh vẫn tiếp tục gia hạn công nợ để duy trì doanh thu. Một nhà cung cấp duy nhất đang nắm giữ phần lớn nguồn nguyên liệu, trong khi doanh nghiệp chưa có phương án thay thế. Một sản phẩm mới được đưa ra thị trường nhưng những thay đổi về điều kiện kinh doanh, nghĩa vụ với khách hàng hoặc yêu cầu pháp lý chưa được đánh giá đầy đủ. Trong từng trường hợp, các bộ phận có thể vẫn hoàn thành công việc theo chỉ tiêu của mình, trong khi rủi ro đối với toàn doanh nghiệp ngày càng tăng.

Những tình huống như vậy đặt ra một câu hỏi quan trọng trong quản trị: ai chịu trách nhiệm nhận diện rủi ro, ai có quyền quyết định cách ứng phó và ai phải theo dõi để bảo đảm biện pháp xử lý thực sự được thực hiện?

Câu trả lời không thể chỉ là phòng pháp chế, bộ phận kiểm soát nội bộ hay người đứng đầu doanh nghiệp. Quản trị rủi ro là một quá trình liên quan đến nhiều cấp độ, trong đó trách nhiệm cần được phân định rõ nhưng không thể tách rời khỏi hoạt động điều hành chung.

Xem thêm: Thẩm quyền trong doanh nghiệp

Rủi ro không chỉ xuất hiện khi doanh nghiệp vi phạm pháp luật

Trong thực tế, doanh nghiệp thường chú ý đến rủi ro khi đã xuất hiện một sự kiện cụ thể: khách hàng không thanh toán, hợp đồng phát sinh tranh chấp, cơ quan quản lý yêu cầu giải trình, một khoản chi bị đặt vấn đề hoặc hoạt động kinh doanh bị gián đoạn. Cách tiếp cận này dễ khiến quản trị rủi ro trở thành công việc khắc phục hậu quả, thay vì một bộ phận của quá trình ra quyết định. Tuy nhiên, rủi ro có thể hình thành từ rất lâu trước khi có dấu hiệu vi phạm hoặc thiệt hại rõ ràng.

Một doanh nghiệp phụ thuộc quá nhiều vào một khách hàng chưa chắc đã gặp vấn đề ngay lập tức. Nhưng nếu khách hàng đó chiếm tỷ trọng lớn trong doanh thu, đồng thời thường xuyên kéo dài thời gian thanh toán, doanh nghiệp đang phải đối mặt với nguy cơ tập trung doanh thu và áp lực dòng tiền. Một hợp đồng chưa phát sinh tranh chấp cũng không có nghĩa rằng các điều khoản về nghiệm thu, thanh toán, bảo mật hoặc chấm dứt hợp đồng đã phù hợp với cách thức vận hành thực tế.

Tương tự, việc doanh nghiệp chưa nhận được yêu cầu kiểm tra không đồng nghĩa với việc mọi nghĩa vụ pháp lý đã được nhận diện và thực hiện đầy đủ. Rủi ro tuân thủ có thể nằm trong những thay đổi của mô hình kinh doanh, sản phẩm, thị trường, cơ cấu tổ chức hoặc quy định pháp luật mà doanh nghiệp chưa kịp cập nhật.

Vì vậy, cần phân biệt ít nhất ba nhóm vấn đề. Rủi ro kinh doanh liên quan đến khả năng đạt mục tiêu, duy trì doanh thu, lợi nhuận và vị thế thị trường. Rủi ro vận hành phát sinh từ con người, quy trình, hệ thống, dữ liệu, nhà cung cấp hoặc sự gián đoạn hoạt động. Rủi ro pháp lý và tuân thủ liên quan đến nghĩa vụ theo pháp luật, hợp đồng, giấy phép, trách nhiệm với người lao động, đối tác và các chủ thể khác.

Ba nhóm này có thể giao thoa. Một thay đổi trong hợp đồng có thể đồng thời ảnh hưởng đến doanh thu, dòng tiền và nghĩa vụ pháp lý. Một sai sót trong quản lý dữ liệu có thể gây gián đoạn vận hành, làm phát sinh trách nhiệm với khách hàng và ảnh hưởng đến uy tín doanh nghiệp. Bởi vậy, nếu mỗi bộ phận chỉ nhìn vấn đề trong phạm vi chuyên môn của mình, ban điều hành có thể không nhận ra mức độ rủi ro tổng thể.

Xem thêm: Phân quyền và ủy quyền trong doanh nghiệp

Người trực tiếp quản lý hoạt động phải là tuyến đầu nhận diện rủi ro

Một quan niệm chưa đầy đủ trong nhiều doanh nghiệp là giao toàn bộ việc quản trị rủi ro cho bộ phận pháp chế hoặc kiểm soát nội bộ. Các bộ phận chuyên môn có thể hỗ trợ xây dựng phương pháp, đánh giá và giám sát, nhưng không thể thay thế trách nhiệm của những người trực tiếp tổ chức hoạt động kinh doanh.

Người quản lý bán hàng thường là người đầu tiên nhận thấy khách hàng có dấu hiệu giảm khả năng thanh toán. Bộ phận mua hàng hiểu rõ mức độ phụ thuộc vào nhà cung cấp và những biến động của thị trường đầu vào. Bộ phận nhân sự có thể nhận biết tình trạng thiếu hụt nhân lực ở vị trí trọng yếu, trong khi bộ phận công nghệ thông tin phát hiện những điểm yếu của hệ thống hoặc nguy cơ gián đoạn dữ liệu.

Những thông tin này chỉ có giá trị quản trị khi được chuyển thành hành động phù hợp. Người trực tiếp quản lý cần có trách nhiệm nhận diện dấu hiệu bất thường, đánh giá ban đầu, thông báo theo quy trình và thực hiện những biện pháp thuộc phạm vi được giao. Đối với vấn đề vượt quá thẩm quyền hoặc khả năng xử lý, trách nhiệm của họ không phải là tự mình quyết định mọi việc, mà là chuyển vấn đề đến cấp có thẩm quyền kịp thời.

Cách phân công này giúp tránh hai thái cực. Một bên là bộ phận chuyên môn phải xử lý tất cả rủi ro dù không trực tiếp kiểm soát hoạt động phát sinh rủi ro. Bên kia là các bộ phận kinh doanh tự xử lý vấn đề theo kinh nghiệm, không có tiêu chí báo cáo và không đánh giá đầy đủ tác động đến toàn doanh nghiệp.

Quản trị rủi ro cần đặt trách nhiệm nhận diện ở nơi phát sinh thông tin, đồng thời thiết lập cơ chế để thông tin đó được đánh giá và xử lý ở cấp độ phù hợp.

Ban điều hành phải nhìn thấy rủi ro vượt ra ngoài từng bộ phận

Nếu trách nhiệm của các bộ phận là nhận diện và quản lý rủi ro trong hoạt động được giao, thì ban điều hành phải xem xét những rủi ro có thể ảnh hưởng đến toàn doanh nghiệp, đặc biệt là các vấn đề vượt qua ranh giới giữa các bộ phận.

Một bộ phận kinh doanh có thể cho rằng việc tiếp tục bán hàng cho khách hàng chậm thanh toán là cần thiết để giữ doanh thu. Bộ phận tài chính lại quan tâm đến khả năng thu hồi công nợ và nhu cầu vốn lưu động. Bộ phận pháp chế có thể lưu ý đến điều kiện thanh toán, quyền tạm ngừng thực hiện hợp đồng hoặc biện pháp xử lý khi khách hàng vi phạm nghĩa vụ. Mỗi góc nhìn đều có cơ sở, nhưng quyết định cuối cùng cần cân nhắc lợi ích và rủi ro tổng thể.

Đó là lý do quản trị rủi ro không thể chỉ dựa vào báo cáo riêng lẻ của từng bộ phận. Ban điều hành cần có cơ chế tổng hợp những thông tin có liên quan, xác định mức độ ảnh hưởng, quyết định thứ tự ưu tiên và phân bổ nguồn lực xử lý.

Không phải rủi ro nào cũng cần đưa lên cấp lãnh đạo cao nhất. Nếu mọi sai lệch nhỏ đều phải chờ phê duyệt, hệ thống sẽ trở nên chậm chạp và làm giảm trách nhiệm của người quản lý trực tiếp. Ngược lại, nếu không có tiêu chí báo cáo, những vấn đề có khả năng gây tổn thất lớn có thể bị giữ lại ở cấp vận hành quá lâu.

Doanh nghiệp cần xác định rõ những tình huống phải báo cáo ngay, những vấn đề có thể xử lý trong phạm vi bộ phận và những trường hợp cần sự tham gia của nhiều chức năng. Các tiêu chí có thể dựa trên giá trị tài chính, mức độ ảnh hưởng đến hoạt động, khả năng gây vi phạm pháp luật, tác động đến khách hàng, uy tín hoặc tính liên tục của hoạt động kinh doanh.

Quan trọng hơn, người có trách nhiệm xử lý phải được trao quyền và nguồn lực tương ứng. Giao một nhiệm vụ kiểm soát rủi ro nhưng không cho phép người thực hiện tiếp cận thông tin, yêu cầu bộ phận liên quan phối hợp hoặc đề xuất biện pháp khắc phục sẽ khiến trách nhiệm chỉ tồn tại trên giấy.

Phân định trách nhiệm không đồng nghĩa với chia cắt rủi ro

Một hệ thống quản trị rủi ro có thể phân công trách nhiệm cho người trực tiếp thực hiện, người quản lý bộ phận, bộ phận chuyên môn và ban điều hành. Tuy nhiên, việc phân công chỉ có ý nghĩa nếu giữa các chủ thể có cơ chế phối hợp.

Bộ phận pháp chế có thể xác định một giao dịch cần được xem xét về nghĩa vụ pháp lý. Bộ phận tài chính đánh giá tác động đến dòng tiền và khả năng thanh toán. Bộ phận vận hành xem xét khả năng thực hiện các cam kết. Người quản lý kinh doanh cung cấp thông tin về khách hàng, thị trường và mục tiêu thương mại. Khi cần thiết, những người có trách nhiệm phải cùng đánh giá phương án thay vì lần lượt đưa ra các ý kiến rời rạc.

Điều này không có nghĩa mọi quyết định đều cần một cuộc họp liên phòng ban. Cơ chế phối hợp nên được thiết kế theo mức độ phức tạp và ảnh hưởng của vấn đề. Với rủi ro thường xuyên, doanh nghiệp có thể thiết lập tiêu chí và quy trình xử lý tiêu chuẩn. Với rủi ro mới, có tác động lớn hoặc chưa rõ trách nhiệm, cần có cơ chế tham vấn và chuyển cấp xử lý.

Doanh nghiệp cũng cần phân biệt giữa người sở hữu rủi ro và người hỗ trợ kiểm soát rủi ro. Người sở hữu rủi ro là người quản lý chịu trách nhiệm đối với hoạt động có liên quan và kết quả xử lý trong phạm vi được giao. Bộ phận chuyên môn có thể tư vấn, cung cấp phương pháp, rà soát hoặc giám sát việc thực hiện. Việc có một bộ phận chuyên môn tham gia không mặc nhiên chuyển toàn bộ trách nhiệm khỏi người quản lý hoạt động.

Đây là điểm đặc biệt quan trọng khi doanh nghiệp phát triển, có nhiều cấp quản lý hoặc mở rộng sang những lĩnh vực kinh doanh mới. Nếu trách nhiệm không được xác định ngay từ đầu, khi rủi ro xuất hiện, các bộ phận có thể cho rằng vấn đề thuộc phạm vi của đơn vị khác. Khi đó, thời gian được sử dụng để xác định ai phải xử lý thay vì giảm thiểu tổn thất.

Xem thêm: Quy chế nội bộ doanh nghiệp

Không phải rủi ro nào cũng cần xử lý theo cùng một cách

Nhận diện được rủi ro mới chỉ là bước đầu. Doanh nghiệp còn phải đánh giá khả năng xảy ra, mức độ ảnh hưởng, thời gian có thể phát sinh hậu quả và khả năng kiểm soát. Nếu chỉ lập danh sách rủi ro mà không xác định thứ tự ưu tiên, nguồn lực quản lý có thể bị phân tán vào những vấn đề ít quan trọng, trong khi các nguy cơ lớn vẫn chưa được xử lý.

Một cách tiếp cận thực tế là phân loại rủi ro theo mức độ ảnh hưởng và khả năng xảy ra, sau đó xác định biện pháp ứng phó phù hợp. Có rủi ro cần loại bỏ bằng cách không thực hiện một phương án kinh doanh. Có rủi ro có thể giảm thiểu thông qua điều chỉnh quy trình, bổ sung kiểm tra, thay đổi điều khoản hợp đồng hoặc thiết lập phương án dự phòng. Một số rủi ro có thể được chia sẻ thông qua bảo hiểm hoặc thỏa thuận với đối tác, nếu điều kiện thực tế và pháp luật cho phép. Cũng có trường hợp doanh nghiệp chấp nhận rủi ro trong giới hạn đã xác định, sau khi cân nhắc lợi ích, chi phí kiểm soát và khả năng chịu đựng tổn thất.

Không có một biện pháp duy nhất phù hợp với mọi tình huống. Điều cần thiết là quyết định ứng phó phải dựa trên thông tin đủ tin cậy, có người chịu trách nhiệm, có thời hạn thực hiện và có tiêu chí đánh giá kết quả.

Chẳng hạn, nếu doanh nghiệp phụ thuộc vào một nhà cung cấp duy nhất, việc yêu cầu bộ phận mua hàng lập danh sách nhà cung cấp thay thế có thể là bước khởi đầu. Nhưng biện pháp đó chưa đủ nếu nhà cung cấp thay thế chưa được đánh giá chất lượng, chưa đáp ứng điều kiện pháp lý hoặc không thể cung cấp hàng hóa trong thời gian cần thiết. Tương tự, việc ban hành quy trình thu hồi công nợ không bảo đảm hiệu quả nếu doanh nghiệp không theo dõi thời hạn thanh toán, không xác định người chịu trách nhiệm và không có tiêu chí chuyển cấp khi khách hàng chậm trả.

Một biện pháp chỉ thực sự có giá trị khi nó làm thay đổi khả năng xảy ra rủi ro, giảm mức độ thiệt hại hoặc nâng cao khả năng phát hiện và ứng phó.

Xem thêm: Giao dịch với bên liên quan

Quản trị rủi ro phải trở thành một chu trình liên tục

Rủi ro không đứng yên. Một biện pháp từng phù hợp có thể trở nên không hiệu quả khi doanh nghiệp thay đổi quy mô, sản phẩm, công nghệ, thị trường hoặc cơ cấu tổ chức. Một nhà cung cấp từng ổn định có thể gặp khó khăn tài chính. Một hợp đồng từng được đánh giá là ít rủi ro có thể trở nên đáng chú ý khi quy mô giao dịch tăng lên hoặc điều kiện thực hiện thay đổi.

Vì vậy, quản trị rủi ro không nên kết thúc sau khi doanh nghiệp hoàn thành một đợt rà soát. Hệ thống cần có cơ chế cập nhật thông tin, theo dõi dấu hiệu cảnh báo, đánh giá lại biện pháp ứng phó và ghi nhận những vấn đề phát sinh trong quá trình thực hiện.

Doanh nghiệp có thể bắt đầu từ một danh mục rủi ro có phạm vi phù hợp với quy mô hoạt động. Mỗi rủi ro trọng yếu nên được mô tả đủ rõ để người đọc hiểu điều gì có thể xảy ra, nguyên nhân chính nằm ở đâu, hậu quả dự kiến là gì, ai chịu trách nhiệm theo dõi và biện pháp nào đang được triển khai. Danh mục này cần được cập nhật khi có sự kiện quan trọng, thay đổi trong hoạt động hoặc phát hiện mới, chứ không chỉ được lập để hoàn thành một yêu cầu báo cáo nội bộ.

Bên cạnh đó, ban điều hành cần quan tâm đến những dấu hiệu cho thấy hệ thống kiểm soát đang không hoạt động như dự kiến: vấn đề lặp lại nhiều lần, biện pháp khắc phục quá hạn, thông tin bất thường không được báo cáo, hoặc cùng một rủi ro xuất hiện ở nhiều bộ phận nhưng chưa có người chịu trách nhiệm tổng hợp.

Những dấu hiệu này thường có giá trị hơn việc chỉ đếm số lượng rủi ro đã được ghi nhận. Một hệ thống báo cáo có thể liệt kê rất nhiều rủi ro nhưng vẫn yếu nếu không giúp doanh nghiệp xác định vấn đề nào cần hành động trước và liệu các biện pháp đã thực sự làm giảm rủi ro hay chưa.

Quy mô doanh nghiệp quyết định cách tổ chức, không làm mất đi nhu cầu kiểm soát

Không phải doanh nghiệp nào cũng cần một bộ phận quản trị rủi ro độc lập, một hệ thống phần mềm chuyên dụng hoặc một quy trình nhiều tầng phê duyệt. Với doanh nghiệp nhỏ, người đứng đầu có thể trực tiếp theo dõi một số rủi ro trọng yếu, kết hợp với trách nhiệm của các bộ phận và sự hỗ trợ của chuyên gia khi cần thiết. Với doanh nghiệp có nhiều đơn vị, nhiều địa điểm hoặc hoạt động phức tạp, cơ chế báo cáo và giám sát thường cần được chuẩn hóa hơn.

Điều quan trọng không nằm ở số lượng biểu mẫu hay cấp kiểm soát, mà ở việc doanh nghiệp có trả lời được những câu hỏi cơ bản hay không: những rủi ro đáng chú ý nhất hiện nay là gì; ai chịu trách nhiệm đối với từng rủi ro; dấu hiệu nào buộc phải báo cáo; ai có quyền quyết định biện pháp ứng phó; thời hạn thực hiện được theo dõi như thế nào; và bằng cách nào doanh nghiệp biết rằng biện pháp kiểm soát đã có hiệu quả.

Đối với rủi ro pháp lý, doanh nghiệp cần xác định thêm nghĩa vụ bắt buộc nào đang được áp dụng, ai chịu trách nhiệm thực hiện và những thay đổi pháp luật nào có thể làm thay đổi đánh giá rủi ro. Tuy nhiên, không nên đồng nhất toàn bộ quản trị rủi ro với việc tuân thủ pháp luật. Một doanh nghiệp có thể thực hiện đầy đủ nghĩa vụ pháp lý nhưng vẫn chịu rủi ro thương mại, vận hành hoặc tài chính. Ngược lại, một quyết định có lợi về mặt kinh doanh vẫn có thể cần được xem xét lại nếu tạo ra nghĩa vụ pháp lý hoặc mức độ tổn thất vượt quá khả năng chấp nhận của doanh nghiệp.

Trong quản trị, điều cần tìm không phải là một hệ thống phức tạp nhất, mà là một hệ thống đủ phù hợp để thông tin quan trọng không bị bỏ sót, trách nhiệm không bị đùn đẩy và vấn đề không bị để kéo dài đến khi hậu quả trở nên khó khắc phục.

Xem thêm: Hồ sơ quản trị doanh nghiệp

Từ kiểm soát từng quy trình đến năng lực quản trị rủi ro

Sáu vấn đề đã được đề cập trong chuỗi bài trước,  thẩm quyền, phân quyền và ủy quyền, quy chế nội bộ, giao dịch với bên liên quan, xung đột lợi ích và hồ sơ quản trị, đều là những thành phần có thể hỗ trợ doanh nghiệp kiểm soát rủi ro. Nhưng từng thành phần riêng lẻ không tự tạo thành một hệ thống quản trị rủi ro hoàn chỉnh.

Thẩm quyền giúp xác định ai có quyền quyết định. Phân quyền và ủy quyền làm rõ phạm vi trách nhiệm. Quy chế nội bộ thiết lập cách thức vận hành. Kiểm soát giao dịch với bên liên quan và xung đột lợi ích giúp hạn chế những quyết định có nguy cơ bị chi phối bởi lợi ích không phù hợp. Hồ sơ quản trị giúp doanh nghiệp truy xuất căn cứ và quá trình thực hiện. Quản trị rủi ro kết nối những yếu tố này bằng một câu hỏi xuyên suốt: doanh nghiệp đang đối mặt với điều gì, ai chịu trách nhiệm và hành động nào cần được thực hiện để bảo vệ mục tiêu chung?

Khi câu hỏi ấy được đặt ra thường xuyên trong quá trình điều hành, rủi ro không còn chỉ là vấn đề được xem xét sau sự cố. Nó trở thành một yếu tố cần được cân nhắc khi doanh nghiệp lựa chọn khách hàng, thiết kế sản phẩm, ký kết hợp đồng, phân bổ nguồn lực, mở rộng thị trường hoặc thay đổi phương thức vận hành.

Năng lực quản trị rủi ro không được đo bằng việc doanh nghiệp có thể lập ra bao nhiêu danh mục hay quy trình. Nó thể hiện ở khả năng nhận biết những vấn đề đáng chú ý đủ sớm, đưa chúng đến đúng cấp xử lý và theo dõi đến khi có kết quả. Đó cũng là cơ sở để doanh nghiệp giảm sự phụ thuộc vào kinh nghiệm cá nhân, hạn chế những khoảng trống giữa các bộ phận và nâng cao chất lượng quyết định trong dài hạn.

Căn cứ pháp lý và tài liệu tham khảo

Căn cứ pháp lý

  1. Luật Doanh nghiệp số 59/2020/QH14 ngày 17/6/2020, có hiệu lực từ ngày 01/01/2021, đã được sửa đổi, bổ sung, trong đó có Luật số 76/2025/QH15.

Tài liệu tham khảo

Lưu ý: Đây là bài viết nhận định và phân tích của các chuyên gia NCA, không thay thế cho tư vấn pháp lý hoặc đánh giá chuyên môn đối với một trường hợp cụ thể.

Có thể bạn quan tâm