1.6 .Các bộ phận hợp thành hệ thống kiểm soát nội bộ
1.6.2 .Đánh giá rủi ro
Đánh giá rủi ro là quá trình xác định và phân tích có liên quan đến rủi ro để đạt được các mục tiêu của tổ chức và xác định các hướng giải quyết thích hợp.
Đánh giá rủi ro bao gồm là: Nhận dạng rủi ro, đánh giá rủi ro, đánh giá khả năng chịu các rủi ro của tổ chức, đối phó rủi ro.
Vì tình hình chính trị, kinh tế, các luật lệ pháp lý và các hoạt động trong tổ chức thay đổi liên tục vì vậy đánh giá rủi ro phải được lặp đi lặp lại liên tục. Nó bao gồm việc xác định và phân tích các điều kiện thay đổi, các cơ hội và rủi ro (chu kỳ đánh giá rủi ro) và sửa đổi kiểm soát nội bộ để giải quyết các thay đổi rủi ro.
Kiểm sốt nội bộ có thể cung cấp sự đảm bảo hợp lý rằng các mục tiêu của tổ chức đạt được. Đánh giá rủi ro như một phần của kiểm sốt nội bộ, đóng vai trị quan trọng trong việc lựa chọn các hoạt động kiểm sốt thích hợp để thực hiện. Nó là q trình xác định và phân tích rủi ro liên quan đến việc đạt được các mục tiêu của tổ chức và xác định phù hợp phương pháp để quản lý rủi ro.
Do đó, thiết lập mục tiêu là một điều kiện tiên quyết để đánh giá rủi ro. Mục tiêu phải được xác định trước khi nhà quản lý có thể xác định được những rủi ro đến thành tích của họ và có những hành động cần thiết để quản lý các rủi ro. Điều đó có nghĩa là cần có một q trình liên tục để đánh giá và giải quyết các tác động của rủi ro một cách hiệu quả và cần có nhân viên với các kỹ năng phù hợp để xác định và đánh giá tiềm năng của rủi ro. Hoạt động kiểm soát nội bộ dùng để phản ứng với các rủi ro ở chỗ chúng được thiết kế để chứa sự không chắc chắn về kết quả đã được xác định.
Nhận dạng rủi ro
Đánh giá rủi ro phụ thuộc vào việc xác định rủi ro so với mục tiêu quan trọng của tổ chức. Rủi ro liên quan đến các mục tiêu mà nó được xem xét và đánh giá kết quả của việc xem xét các rủi ro.
Xác định rủi ro không chỉ quan trọng để xác định lĩnh vực quan trọng nhất mà là các nguồn lực trong đánh giá rủi ro không những được phân bổ mà còn để giao trách nhiệm để quản lý những rủi ro này.
Hoạt động của tổ chức sẽ gặp khó khăn do tác động các yếu tố bên trong, bên ngoài cũng như các hoạt động của tổ chức. Đánh giá rủi ro nên xem xét tất cả các rủi ro có thể xảy ra (bao gồm cả nguy cơ gian lận và tham nhũng). Do đó, việc nhận dạng rủi ro là quan trọng. Nhận dạng rủi ro phải là một quá trình lặp đi lặp lại liên tục và thường là tích hợp với q trình lập kế hoạch. Nhận dạng rủi ro phải được tiến hành từ bước đầu tiên không phải chỉ xem xét những rủi ro liên quan trước đó là đủ.
Việc tiếp cận để nhận dạng các rủi ro của tổ chức dựa vào sự thay đổi của môi trường kinh tế và luật pháp, điều kiện hoạt động bên trong và bên ngoài và từ các mục tiêu của tổ chức. Xác định các rủi ro không chỉ quan trọng trong việc đề ra hướng để tiến hành đánh giá rủi ro mà còn để phân chia trách nhiệm trong việc quản trị rủi ro. Rủi ro được chia làm hai loại đó là rủi ro hoạt động và rủi ro hệ thống.
Đánh giá rủi ro
Để xác định hướng xử lý rủi ro, bên cạnh việc xác định các nền tảng của từng loại rủi ro, cần phải xem xét độ ảnh hưởng của rủi ro cũng như khả năng rủi ro xảy ra. Có nhiều phương pháp để đánh giá rủi ro, phần lớn là do rủi ro rất khó lượng hóa và các rủi ro khác liên quan đến các con số (rủi ro tài chính). Vì thế cách tiếp cận chính là dựa vào khả năng rủi ro xảy ra. Đánh giá rủi ro là một nghệ thuật chứ không phải là khoa học. Tuy nhiên, sử dụng mức xếp hạng rủi ro sẽ làm giảm khả năng đánh giá chủ quan mà chủ yếu dựa vào khuôn mẫu.
Đánh giá khả năng chịu đựng rủi ro của tổ chức
Một vấn đề quan trọng trong xử lý rủi ro là nhận dạng khả năng chịu đựng rủi ro của tổ chức. Khả năng chịu đựng rủi ro là số lượng rủi ro mà tổ chức có thể chịu đựng được trước khi có các hướng giải quyết. Quyết định hướng giải quyết rủi ro cần kết hợp với nhận định số lượng rủi ro mà tổ chức có thể chịu đựng.
Rủi ro sẵn có và rủi ro tăng thêm đều phải được xem xét khi đánh giá khả năng của tổ chức. Rủi ro sẵn có là rủi ro của tổ chức do ban quản trị không tiến
hành các hành động xác định khả năng xảy ra cũng như tác động của rủi ro. Rủi ro tăng thêm là rủi ro còn lại sau khi ban quản trị đã tiến hành các hành động cần thiết.
Khả năng chịu rủi ro của tổ chức sẽ thay đổi tùy theo tầm ảnh hưởng của rủi ro.Ví dụ như, khả năng chịu đựng các mất mát về tài chính sẽ thay đổi tùy theo các yếu tố, bao gồm giới hạn của ngân sách, nguồn gốc của mất mát, sự liên quan đến các rủi ro khác như là bất lợi khi công khai. Việc nhận dạng khả năng chịu đựng rủi ro của tổ chức rất quan trọng trong quyết định các chiến lược xử lý rủi ro.
Đối phó rủi ro
Các vấn đề nêu ở trên là các điều cần nắm được để quản lý rủi ro của tổ chức. Việc lập ra các vấn đề như vậy giúp tổ chức có các hướng khắc phục hậu quả các rủi ro.
Việc khắc phục rủi ro chia thành 4 loại: Phân tán, chấp nhận, tránh né và xử lý hạn chế rủi ro. Trong vài trường hợp, rủi ro có thể được chuyển giao, chấp nhận hoặc loại bỏ. Tuy nhiên, rủi ro thường được xử lý, tổ chức phải tiến hành và duy trì hệ thống kiểm sốt nội bộ để giữ rủi ro ở mức chấp nhận được.
Cần phải nhấn mạnh là không thể loại bỏ hết các rủi ro và hệ thống kiểm soát nội bộ đảm bảo cho việc hoàn thành các mục tiêu của tổ chức. Tuy nhiên, tổ chức nhận dạng và khắc phục rủi ro sẽ giúp xử lý nhanh chóng khi mọi chuyện khơng như ý muốn và thích nghi với sự thay đổi.
Khi xây dựng hệ thống kiểm soát nội bộ quan trọng là các hoạt động kiểm soát phải tỷ lệ với rủi ro. Tránh các kết quả không như mong muốn, hệ thống phải đảm bảo các mất mát nằm trong khả năng chịu đựng của tổ chức. Mỗi hệ thống đều có chi phí, hệ thống phải cung cấp các giá trị tương ứng với chi phí bỏ ra khi nhận dạng rủi ro.
Mục đích của đối phó rủi ro khơng nhất thiết phải loại trừ rủi ro mà phần lớn có khả năng là bao hàm nó. Các thủ tục để tổ chức thành lập các biện pháp xử lý được gọi là các hoạt động của kiểm sốt nội bộ. Đánh giá rủi ro nên đóng một vai trị quan trọng trong việc lựa chọn các hoạt động kiểm sốt thích hợp để thực hiện. Điều quan trọng phải lặp lại rằng đánh giá rủi ro không thể loại trừ tất cả rủi ro và kiểm soát nội bộ chỉ có thể cung cấp đảm bảo hợp lý rằng các mục tiêu của tổ chức đó đã đạt được. Tuy
nhiên, các đơn vị chủ động xác định và quản lý rủi ro có nhiều khả năng được chuẩn bị tốt hơn để đáp ứng một cách nhanh chóng khi mọi thứ đi sai và để đáp ứng những thay đổi.