1.3.1. Một số quy trình QTRR
Theo thống kê, trên thế giới có hơn 80 quy trình/ hƣớng dẫn về quản trị rủi ro doanh nghiệp. Trong đó có một số quy trình và hƣớng dẫn quản trị rủi ro phổ biến nhất, đƣợc áp dụng rộng rãi cho các lĩnh vực, ngành nghề khác nhau.
- COSO ERM-2004 - Khung quản trị rủi ro doanh nghiệp tích hợp, mục tiêu chính là cải thiện hiệu suất hoạt động của tổ chức thông qua việc kết hợp hiệu quả các mục tiêu chiến lƣợc, rủi ro, điều hành và quản trị rủi ro. Cung cấp các khái niệm then chốt cơ bản về quản trị rủi ro, một khung quản trị rủi ro toàn diện, chi tiết các cấu phần. Hƣớng dẫn áp dụng cho các tổ chức lĩnh vực công nghiệp và hƣớng tới một quy trình quản trị rủi ro toàn diện.
- ISO 31000:2009 - Nguyên tắc và hƣớng dẫn chung về quản trị rủi ro, cung cấp hƣớng dẫn về bản chất và cách thức thực hiện quy trình quản trị rủi ro; đƣa ra các hƣớng dẫn cần thiết thực hiện khung quản trị rủi ro. Hƣớng dẫn áp dụng cho tất cả các lĩnh vực, hiệp hội, doanh nghiệp.
- AS/NZS ISO 31000:2009 - Tiêu chuẩn quản trị rủi ro áp dụng tại Australia và New Zealand, nội dung tƣơng tự nhƣ ISO 31000:2009, nhƣng đƣợc điều chỉnh để phù hợp với các đặc điểm của Australia và New Zealand.
- BS 31100:2008 - Tiêu chuẩn quản trị rủi ro của Anh, nội dung tƣơng tự ISO 31000:2009;
- FERMA 2002 - Tiêu chuẩn quản trị rủi ro, khá tƣơng đồng với ISO 31000:2009 và COSO ERM, nhƣng FERMA 2002 tập trung mô tả các thành phần cần thiết của một hệ thống quản trị rủi ro doanh nghiệp;
- Hiệp ƣớc Basel - Chuẩn mực an toàn vốn lĩnh vực tài chính ngân hàng; - Sovlvency II:2012 - Quản trị rủi ro cho lĩnh vực bảo hiểm.
- Ở Việt Nam hiện nay có: Mô hình QTRR liên tục của Hoàng Đình Phi (2015)
Đặc điểm chung của các quy trình/hƣớng dẫn:
- Tiếp cận trên góc độ toàn doanh nghiệp, dựa trên sự ủng hộ của cấp quản lý, có sự phân chia rõ ràng về các trách nhiệm giải trình;
23
- Các bƣớc thực hiện, giám sát và báo cáo các rủi ro đƣợc cấu trúc rõ ràng; - Dựa trên sự hiểu biết và phân chia trách nhiệm rõ ràng trong việc xác định rủi ro và các giới hạn chấp nhận rủi ro;
- Các hoạt động đánh giá rủi ro và danh mục rủi ro đƣợc văn bản hóa một cách chính thức và áp dụng trong toàn doanh nghiệp;
- Các mục tiêu, hoạt động trong quy trình quản trị rủi ro đƣợc xây dựng và truyền thông đầy đủ;
- Xây dựng các kế hoạch ứng phó rủi ro đƣợc giám sát chặt chẽ.
Phân tích một số quy trình quản trị rủi ro
a. Mô hình QTRR liên tục của Hoàng Đình Phi (2015)
Trong quy trình trên, tác giả Hoàng Đình Phi đã xác định Quy trình liên tục QTRR gồm 6 bƣớc: Đặt mục tiêu; nhận diện rủi ro; đánh giá rủi ro; phân loại rủi ro; xử lý rủi ro; theo dõi báo cáo. Hoạt động QTRR là hoạt động liên tục, không ngừng nghỉ của DN. Trong KD luôn tồn tại rất nhiều loại rủi ro, đánh giá, phân loại rủi ro đúng, DN sẽ có phƣơng pháp xử lý rủi ro hiệu quả. Ngoài ra, tác giả Hoàng Đình Phi chỉ rõ công thức đảm bảo An ninh của một chủ thể:
An ninh của 1 chủ thể = (An toàn + Ổn định + Phát triển bền vững) – (Rủi ro + Khủng hoảng + Chi phí khắc phục).
Hình 1.1. Quy trình liên tục quản trị rủi ro
Nguồn: Hoàng Đình Phi (2015), “Tập bài giảng: Quản trị Rủi ro và An ninh doanh nghiệp”
24
b. Mô hình AS / NZS 4360:1999 của Australia và New Zealand
Mô hình AS / NZS 4360:1999 của Australia và New Zealand cung cấp một bản hƣớng dẫn chung về việc thiết lập và thực thi quá trình quản trị rủi ro liên quan tới việc hình thành bối cảnh và nhận biết, phân tích, đánh giá, phân hạng, giao tiếp và giám sát liên tục. Mô hình có thể áp dụng cho từng hành động hay hoạt động của bất kỳ nhóm, tổ chức, cộng đồng hay DN nào.
Trong mô hình này, kiểm soát rủi ro là một phần trong quản trị rủi ro liên quan tới việc thực thi những sự thay đổi về chính sách, tiêu chuẩn, thủ tục và vật chất nhằm loại bỏ/giảm thiểu những rủi ro.
Hình 1.2. Quá trình quản trị rủi ro theo AS / NZS 4360:1999
Nguồn: AS / NZS (1999)
Theo mô hình này, quá trình quản lý rủi ro bao gồm bảy bƣớc, có liên quan chặt chẽ với nhau, gồm:
Bước 1: Giao tiếp và tham khảo ý kiến. Bƣớc này nhằm xác định những ngƣời cần đƣợc tham gia vào việc đánh giá rủi ro, bao gồm xác định, phân tích và đánh giá. Hai vấn đề trọng tâm của bƣớc này cần đƣợc xác định để thiết lập các yêu cầu cho quá trình còn lại là gợi ý thông tin rủi ro và quản lý nhận thức các bên liên quan cho việc quản lý rủi ro.
25
Bước 2: Thiết lập phạm vi. Mục đích chính của bƣớc này là để xác định cụ thể phạm vi mà trong đó quản lý rủi ro sẽ đƣợc áp dụng. Bƣớc này cần thiết lập đƣợc các nội dung: Phạm vi chiến lƣợc Phạm vi tổ chức Phạm vi quản trị rủi ro Tiêu chí phát triển Quyết định cấu trúc
Bước 3: Xác định các rủi ro. Mục đích của xác định rủi ro là xác định rủi ro có thể ảnh hƣởng, hoặc là tiêu cực hay tích cực, các mục tiêu của doanh nghiệp....Bƣớc này cần trả lời đƣợc các câu hỏi sau:
Điều gì có thể xảy ra?
Làm thế nào nó có thể xảy ra?
Và tại sao nó có thể xảy ra?
Bước 4: Phân tích rủi ro. Mục tiêu của bƣớc này là để xác định những hậu quả có thể, hoặc tác động của một sự kiện. Mục đích của phân tích rủi ro là cung cấp thông tin cho các chủ doanh nghiệp đƣa ra quyết định về thứ tự ƣu tiên và lựa chọn xử lý, hoặc các chi phí cân bằng và lợi ích. Ba loại phân tích rủi ro có thể đƣợc sử dụng để xác định mức độ rủi ro: định tính, bán định lƣợng và định lƣợng. Việc phân tích rủi ro cần thể hiện:
Xác định khả năng xảy ra rủi ro
Xác định sự ảnh hƣởng của rủi ro
Ƣớc tính mức độ của rủi ro
Bước 5: Đánh giá rủi ro. Doanh nghiệp có thể lựa chọn giữa xử lý các rủi ro và chấp nhận rủi ro. Rủi ro có thể đƣợc chấp nhận nếu mức độ rủi ro thấp và chi phí xử lý rủi ro cao hơn là đƣợc hƣởng lợi, hoặc có thể không có cách xử lý hợp lý. Kết quả của việc đánh giá cần phải đạt:
So sánh rủi ro thực tế với tiêu chí đã đƣa ra
Phân hạng mức độ cao thấp của các rủi ro
26
Bước 6: Xử lý những rủi ro. Xử lý rủi ro là bƣớc quan trọng trong quá trình quản trị rủi ro theo mô hình AS / NZS, với mục đích để gia tăng kết quả tích cực. Đây và kiểm soát rủi ro cũng nằm trong bƣớc này. Bƣớc xử lý rủi ro cần thực hiện các công việc sau: Xác định các phƣơng thức xử lý Đánh giá các phƣơng thức xử lý Lựa chọn phƣơng thức xử lý Lên kế hoạch xử lý Thực thi kế hoạch
Các phƣơng thức có xử lý đề xuất gồm: tránh rủi ro, thay đổi khả năng xảy ra, thay đổi hậu quả, chia sẻ rủi ro, và giữ lại các rủi ro.
Bước 7: Giám sát và đánh giá. Giám sát và đánh giá là một bƣớc cần thiết và không thể thiếu trong quy trình quản lý rủi ro.
Trong mô hình của AS / NZS, kiểm soát rủi ro nằm trong bƣớc thứ 6 - xử lý rủi ro. Kiểm soát rủi ro liên quan tới việc làm giảm khả năng xảy ra và hậu quả tác động của rủi ro. Kiểm soát rủi ro liên quan đến việc xác định lợi ích tƣơng đối của những sự kiểm soát mới trong việc so sánh hiệu quả với những sự kiểm soát hiện có. Những sự kiểm soát này có thể liên quan đến những thay đổi hiệu quả về chính sách, thủ tục hoặc vật chất. Mô hình cụ thể của kiểm soát rủi ro trong bƣớc này đƣợc thể hiện nhƣ hình sau.
27
Hình 1.3. Kiểm soát rủi ro trong mô hình AS / NZS 4360:1999
Nguồn: AS / NZS (1999)
1.3.2. Quy trình Quản trị rủi ro trong hoạt động kinh doanh xăng dầu
Từ những mô hình QTRR nêu trên và những đặc điểm trong hoạt động kinh doanh xăng dầu trong nƣớc, tác giả đề xuất quy trình QTRR trong hoạt động kinh doanh xăng dầu trong nƣớc gồm chi tiết 6 bƣớc nhƣ sau:
28
Hình 1.4. Quy trình QTRR trong hoạt động kinh doanh xăng dầu trong nƣớc
Nguồn: Tác giả (2018) a. Nhận diện rủi ro
Xác định các vấn đề, qua trình cần nhận diện dựa trên các yếu tố:
Tầm nhìn, sứ mạng, chính sách, chiến lƣợc kinh doanh xăng dầu trong nƣớc của đơn vị.
Bối cảnh của đơn vị: Các vấn đề bên trong, bên ngoài… Các vấn đề trong quá trình phân phối xăng dầu của công ty.
Sau khi nhận diện rủi ro, cần phải phân loại các loại rủi ro đó, xác định xem rủi ro đó nằm trong nhóm nào (theo cách phân loại đã trình bày trong chƣơng 1 bên trên). Phƣơng pháp để nhận diện rủi ro có thể áp dụng nhƣ phƣơng pháp phỏng vấn, phƣơng pháp điều tra tài liệu, phƣơng pháp sơ đồ để xác định rủi ro trong từng bƣớc triển khai hoạt động kinh doanh, phân phối xăng dầu.
b. Đánh giá rủi ro
Cụ thể hóa các phƣơng pháp đánh giá rủi ro, những kỹ thuật đánh giá rủi ro thƣờng đƣợc sử dụng gồm:
- Đánh giá Khả năng xảy ra của rủi ro (KN) Nhận diện rủi ro
Đánh giá rủi ro
Đề xuất hành động giải quyết RR
Triển khai thực hiện
Theo dõi, giám sát
Lưu hồ sơ
29
- Đánh giá Mức độ ảnh hƣớng của rủi ro (AH)
Kết quả đánh giá hay đo lƣờng rủi ro đƣợc ƣớc lƣợng bằng công thức:
Giá trị RR = KN x AH
Trong đó:
Bảng 1.1. Tính điểm rủi ro dựa trên khả năng xảy ra
Mức Xếp loại Khả năng Giải thích
1 Rất hiếm xảy ra Sự kiện hầu nhƣ không xảy ra
- Chƣa bao giờ xảy ra tính đến nay.
- Chƣa biết hoặc chƣa quan sát thấy nhƣng xét về bản chất rủi ro thì vẫn có khả năng
2 Khó xảy ra
Sự kiện chỉ xảy ra trong những trƣờng hợp ngoại lệ
Sự kiện chƣa xảy ra lần nào tính từ trƣớc tới nay, nhƣng đã biết/ nghe/ thấy ở nơi khác trong những tình huống tƣơng tự.
3 Có thể xảy ra Sự kiện có thỉnh thoảng xảy ra
Đã xảy ra một lần hoặc đã biết/nghe/thấy một vài lần trong ngành hoặc các công trình khác tƣơng tự.
4 Rất có thể xảy ra Sự kiện có thể xảy ra trong hầu hết trƣờng hợp
Có thể xảy ra vài lần và có tính lặp lại hoặc đã từng xảy ra tại đơn vị.
Nguồn: Tác giả (2018)
Bảng 1.2. Tính điểm rủi ro dựa trên mức độ nghiêm trọng
Mức Xếp loại Chất lƣợng Môi trƣờng/an toàn
1 Thấp
- Sai sót nhỏ, sửa chữa ngay, không ảnh hƣởng đến mức độ hài lòng của khách hàng. - Không ảnh hƣởng đến mục tiêu của đơn vị.
- Không gây thiệt hại về tài
- Ảnh hƣởng nhỏ, không nguy hại đến sức khỏe của con ngƣời, động/thực vật ở thời điểm hiện tại.
- Mức độ ô nhiễm nằm trong giới hạn cho phép của luật pháp
30 chính. và các yêu cầu khác 2 Trung bình - Góp ý/ phản hồi của khách hàng, không ảnh hƣởng đến mức độ hài lòng của khách hàng.
- Không gây gián đoạn trong hoạt động SXKD.
- Thiệt hại không đáng kể về tài chính.
- Ảnh hƣởng đến sức khỏe con ngƣời, động/ thực vật, cộng đồng địa phƣơng trong thời gian ngắn.
- Không vƣợt tiêu chuẩn nhƣng có khả năng gây tác động nghiêm trọng nếu không đƣợc kiểm soát. 3 Khá lớn - Chất lƣợng sản phẩm/ dịch vụ không đạt, ảnh hƣởng đến mức độ hài lòng của khách hàng.
- Gây thiệt hại tài chính của đơn vị.
- Ảnh hƣởng đến môi trƣờng (có thể khắc phục đƣợc); gây nguy hại trong thời gian ngắn cho động/ thực vật, sức khỏe con ngƣời nhƣng không ảnh hƣởng đến tính mạng con ngƣời.
- Vi phạm pháp luật hoặc yêu cầu khác.
4 Lớn
- Khiếu nại nghiêm trọng của khách hàng hoặc hủy hợp đồng.
- Vi phạm nghiêm trọng các yêu cầu pháp luật.
- Gây gián đoạn hoạt động sản xuất kinh doanh.
- Thiệt hại tài chính lớn.
- Ảnh hƣởng nghiêm trọng đến sức khỏe con ngƣời hoặc xảy ra chết ngƣời.
- Ảnh hƣởng nghiêm trọng đến môi trƣờng trong thời gian dài. - Bị pháp luật lên án, bị cộng đồng, khách hàng phản đối, khiếu nại nghiêm trọng.
Nguồn: Tác giả (2018)
Mức rủi ro đƣợc xác định trên cơ sở sử dụng ma trận rủi ro 4x4 (4 mức hậu quả và 4 mức khả năng xảy ra rủi ro tƣơng ứng)
31
Bảng 1.3. Xác định mức độ rủi ro
Khả năng xảy ra rủi ro
H ậu qu ả củ a r ủ i ro
Rất hiếm xảy ra Khó xảy ra Có thể xảy ra Rất có thể xảy ra
Thấp 1 2 3 4
Trung bình 2 2 6 8
Khá lớn 3 6 9 12
Lớn 4 8 12 16
Nguồn: Tác giả (2018)
Rủi ro đƣợc xếp loại theo các mức sau:
Bảng 1.4. Xếp loại rủi ro
Mức rủi ro Điểm đánh giá
Rủi ro thấp 1-4
Rủi ro trung bình 6-8
Rủi ro cao 9-16
Nguồn: Tác giả (2018) c. Đề xuất hành động giải quyết rủi ro
Rủi ro sau khi đƣợc đánh giá sẽ có phƣơng án kiểm soát rủi ro tƣơng thích, tùy theo mức độ xếp loại và điểm cấu thành để bộ phận liên quan sẽ đề xuất các phƣơng án hành động để giải quyết rủi ro.
d. Triển khai thực hiện
Sau khi các phòng ban phụ trách phát hiện và đánh giá đƣợc rủi ro, đề xuất hành động để giải quyết rủi ro đƣợc thông qua thì bắt đầu tiến hành kiểm soát rủi ro. Có thể nói, đây là giai đoạn quan trọng nhất quyết định hƣớng triển khai và hiệu quả của việc kiểm soát rủi ro. Căn cứ vào việc đánh giá rủi ro, xác định đƣợc giá trị rủi ro dựa trên ma trận bên trên, đơn vị sẽ có các cách thức kiểm soát rủi ro nhƣ sau:
Tránh né rủi ro Giảm nhẹ rủi ro Chuyển giao rủi ro Chấp nhận rủi ro
32
e. Theo dõi, giám sát
Rủi ro biến hóa và thay đổi liên tục, do vậy sau khi kiểm soát xong, doanh nghiệp cần theo dõi, giám sát sự biến đổi của rủi ro. Đánh giá hiệu quả của phƣơng pháp đánh giá và kiểm soát rủi ro đã sử dụng. Họp và đƣa ra các kinh nghiệm cần phát huy, những việc cần tránh cho hoạt động quản trị rủi ro lần sau.
f. Lưu hồ sơ
Sau giám sát, đánh giá phải ghi chép và lƣu hồ sơ để làm căn cứ xác định những việc liên quan sau này và để làm tài liệu nghiên cứu về sau.
Tiểu kết chƣơng 1: Tại chƣơng 1, tác giả đã đƣa ra đƣợc hệ thống cơ sở lý
luận về rủi ro, quản trị rủi ro gắn với an ninh phi truyền thống. Tác giả đã đƣa ra một số quy trình quản trị rủi ro phổ biến trên Thế giới và lựa chọn, xây dựng QTRR phù hợp với đề tài. Đồng thời, khi xây dựng đƣợc QTRR tác giả cũng đã đƣa ra