Enterprise Risk Management (ERM)
Quản trị rủi ro doanh nghiệp
Enterprise risk management (ERM, quản trị rủi ro doanh nghiệp) là cách quản trị toàn bộ rủi ro của tổ chức trong một khung thống nhất, gắn với chiến lược và risk appetite, thay vì để từng phòng ban tự xử lý rủi ro của mình. ERM nhìn rủi ro ở cấp danh mục: các rủi ro có thể bù trừ hoặc cộng hưởng với nhau. Hai khung phổ biến nhất là COSO ERM và ISO 31000.
Explanation
Cách quản trị rủi ro truyền thống được gọi là silo approach (cách tiếp cận rời rạc): phòng tài chính lo tỷ giá, phòng kinh doanh lo công nợ, phòng IT lo an ninh mạng, không ai thấy bức tranh chung. ERM khắc phục điều đó bằng một risk register chung cho toàn tập đoàn, một ngôn ngữ đo lường thống nhất và một người đầu mối, thường là Chief Risk Officer (CRO, giám đốc quản trị rủi ro), báo cáo trực tiếp lên hội đồng quản trị.
Giá trị cốt lõi của ERM là nhìn rủi ro như một danh mục. Khi cộng rủi ro của từng đơn vị, tổng thường lớn hơn rủi ro thực của tập đoàn vì không phải mọi cú sốc đều xảy ra cùng lúc: đó là diversification benefit (lợi ích đa dạng hoá). Ngược lại, có những rủi ro cộng hưởng, ví dụ một cú sốc lãi suất vừa làm giảm giá trái phiếu nắm giữ vừa làm khách hàng vay khó trả nợ. ERM giúp đo cả hai hiệu ứng và phân bổ vốn rủi ro (economic capital) cho từng mảng.
Khung COSO ERM (phiên bản 2017) gắn rủi ro với chiến lược và hiệu quả hoạt động qua năm cấu phần: quản trị và văn hoá, chiến lược và mục tiêu, hiệu quả hoạt động, rà soát và điều chỉnh, thông tin và báo cáo. Cần phân biệt với COSO Internal Control (2013), khung về kiểm soát nội bộ. ERM rộng hơn: nó bao gồm cả rủi ro chiến lược, điều mà kiểm soát nội bộ không xử lý.
Tại Việt Nam, các ngân hàng, công ty bảo hiểm và tập đoàn lớn đã có bộ phận ERM, còn nhiều doanh nghiệp tư nhân vẫn quản trị rủi ro theo silo. Bước khởi đầu thực tế là gom risk register các đơn vị, chuẩn hoá thang đo và trình hội đồng quản trị một risk appetite statement (tuyên bố khẩu vị rủi ro) cho toàn tập đoàn.
Key Points
- ERM quản trị rủi ro toàn tổ chức trong một khung thống nhất, gắn với chiến lược.
- Thay thế cách tiếp cận silo bằng góc nhìn danh mục rủi ro.
- Đo được diversification benefit và các rủi ro cộng hưởng.
- Khung phổ biến: COSO ERM 2017 và ISO 31000.
- Hội đồng quản trị phê duyệt risk appetite, CRO điều phối thực hiện.
Examples
Worked Example
Gộp rủi ro ba công ty con và đối chiếu khẩu vị rủi ro
Tập đoàn Sao Mai (số liệu giả định) có ba công ty con với tổn thất tối đa ước tính trong kịch bản xấu: bất động sản 120 tỷ đồng, bán lẻ 80 tỷ đồng, logistics 100 tỷ đồng. Mô hình ERM ước tính tổn thất kịch bản xấu của cả tập đoàn là 210 tỷ đồng. Vốn chủ sở hữu 1.500 tỷ đồng, hội đồng quản trị chấp nhận tổn thất tối đa 15% vốn chủ sở hữu.
- Tổng tổn thất từng đơn vị: 120 + 80 + 100 = 300 tỷ đồng.
- Diversification benefit: 300 - 210 = 90 tỷ đồng, tức 90 / 300 = 30%.
- Ngưỡng khẩu vị rủi ro: 15% × 1.500 = 225 tỷ đồng, dư địa còn 225 - 210 = 15 tỷ đồng.
- Dự án mới làm tổn thất tập đoàn tăng thêm 25 tỷ đồng: 210 + 25 = 235 tỷ đồng, vượt ngưỡng 225 tỷ đồng.
Nhìn từng đơn vị riêng lẻ thì có vẻ tập đoàn đã vượt ngưỡng (300 tỷ đồng), nhưng nhờ đa dạng hoá thì vẫn còn dư địa 15 tỷ đồng. Dự án mới chỉ được duyệt nếu kèm biện pháp giảm rủi ro ít nhất 10 tỷ đồng hoặc tăng vốn.
Real-World Scenario
Hội đồng quản trị phát hiện rủi ro tập trung
Một tập đoàn sản xuất có ba nhà máy, mỗi nhà máy đều tự đánh giá rủi ro nhà cung cấp ở mức trung bình. Khi gom risk register lên cấp tập đoàn, CRO phát hiện cả ba cùng mua linh kiện chính từ một nhà cung cấp duy nhất.
Ở cấp đơn vị, mỗi rủi ro trông nhỏ, nhưng ở cấp tập đoàn đây là rủi ro tập trung có thể dừng toàn bộ sản xuất. Tập đoàn quyết định phát triển nhà cung cấp thứ hai và tăng tồn kho an toàn. Đây đúng là loại rủi ro mà cách tiếp cận silo bỏ sót.
Common Mistakes
Common Mistake
Đánh đồng ERM với việc mua phần mềm quản lý rủi ro
Một công ty mua phần mềm risk register, yêu cầu mỗi phòng nhập 20 rủi ro, rồi gọi đó là hệ thống ERM. Hội đồng quản trị chưa bao giờ thảo luận risk appetite, và rủi ro không được xem xét khi duyệt kế hoạch kinh doanh.
Đó chỉ là silo approach trên một phần mềm chung. ERM đúng nghĩa đòi hỏi hội đồng quản trị phê duyệt khẩu vị rủi ro, rủi ro được đưa vào quyết định chiến lược và phân bổ vốn, và có người chịu trách nhiệm tổng hợp rủi ro toàn tổ chức.
- Cộng thẳng rủi ro của các đơn vị mà bỏ qua diversification benefit hoặc tương quan giữa các rủi ro.
- Nhầm khung COSO ERM với khung COSO Internal Control.
- Để ERM thành thủ tục báo cáo tách rời khỏi việc lập chiến lược và ngân sách.
- Bỏ sót strategic risk (rủi ro chiến lược) và reputational risk (rủi ro danh tiếng) vì khó định lượng.
Exam Tip
FRM Part I kiểm tra lợi ích của ERM so với silo approach và vai trò của CRO. ACCA SBL và CMA Part 1 hỏi về COSO ERM, đặc biệt là việc gắn rủi ro với chiến lược và risk appetite.