Key Risk Indicator (KRI)
Chỉ số rủi ro chính
Key risk indicator (KRI, chỉ số rủi ro chính) là một thước đo định lượng được theo dõi định kỳ để cảnh báo sớm khi mức độ rủi ro đang tăng lên, trước khi tổn thất xảy ra. Mỗi KRI có ngưỡng cảnh báo, thường chia ba vùng xanh, vàng, đỏ, và một người chịu trách nhiệm hành động khi chỉ số vượt ngưỡng. KRI là công cụ chính để giám sát operational risk (rủi ro hoạt động) và theo dõi khẩu vị rủi ro.
Explanation
Báo cáo tổn thất chỉ cho biết điều xấu đã xảy ra. KRI tốt là leading indicator (chỉ số dẫn dắt): nó thay đổi trước khi rủi ro biến thành tổn thất. Ví dụ tỷ lệ nghỉ việc của nhân viên công nghệ thông tin tăng có thể báo trước sự cố hệ thống, số giao dịch bị sửa thủ công tăng có thể báo trước sai sót thanh toán, tỷ lệ sử dụng hạn mức tín dụng tăng đột biến có thể báo trước khách hàng gặp khó.
Một KRI tốt cần đo được khách quan, có dữ liệu định kỳ, liên hệ rõ với một rủi ro cụ thể trong sổ đăng ký rủi ro (risk register), và có ngưỡng gắn với risk appetite (khẩu vị rủi ro). Vùng xanh là bình thường, vùng vàng yêu cầu chủ sở hữu rủi ro giải thích và theo dõi sát, vùng đỏ yêu cầu hành động khắc phục và báo cáo lên cấp cao hơn. Số lượng KRI nên ít và chọn lọc: vài chục KRI cấp tổ chức thay vì hàng trăm chỉ số không ai đọc.
KRI khác key performance indicator (KPI, chỉ số hiệu quả chính) và key control indicator (KCI, chỉ số kiểm soát chính). KPI đo mức đạt mục tiêu, như doanh thu hay tăng trưởng tín dụng. KCI đo kiểm soát có vận hành không, như tỷ lệ đối chiếu được hoàn thành đúng hạn. KRI đo mức độ phơi nhiễm rủi ro. Cùng một con số có thể vừa là KPI vừa là KRI: tăng trưởng tín dụng 30% là KPI tốt cho khối kinh doanh nhưng có thể là KRI đỏ với phòng rủi ro.
Key Points
- KRI cảnh báo sớm, ưu tiên chỉ số dẫn dắt hơn chỉ số trễ.
- Mỗi KRI có ngưỡng xanh, vàng, đỏ gắn với khẩu vị rủi ro.
- Mỗi KRI có người chịu trách nhiệm và hành động định sẵn khi vượt ngưỡng.
- KRI khác KPI (đo kết quả) và KCI (đo kiểm soát).
- Ít mà chất: chọn KRI cho các rủi ro trọng yếu nhất.
Examples
Worked Example
Bảng KRI quý của một công ty chứng khoán
Công ty CP Chứng khoán Thái Bình Dương Xanh (số liệu giả định) theo dõi ba KRI. Trong quý: 12 nhân viên công nghệ nghỉ việc trên số bình quân 80 người (ngưỡng vàng 10%, đỏ 20%); hệ thống giao dịch gián đoạn 300 phút trên tổng 43.200 phút của tháng cao điểm (ngưỡng thời gian hoạt động tối thiểu 99,5%); có 45 lệnh phải sửa thủ công trên 15.000 lệnh (ngưỡng vàng 0,2%, đỏ 0,5%).
- Tỷ lệ nghỉ việc nhân viên công nghệ = 12 / 80 = 15%: vùng vàng.
- Thời gian hoạt động = (43.200 - 300) / 43.200 = 42.900 / 43.200 ≈ 99,31%: dưới 99,5%, vùng đỏ.
- Tỷ lệ lệnh sửa thủ công = 45 / 15.000 = 0,3%: vùng vàng.
- Tổng hợp: 1 KRI đỏ, 2 KRI vàng, cùng tập trung vào năng lực công nghệ.
Ba chỉ số cùng chỉ về một rủi ro: năng lực vận hành hệ thống đang yếu đi. Giám đốc rủi ro báo cáo ủy ban rủi ro, giám đốc công nghệ phải trình kế hoạch giữ người, nâng cấp hạ tầng và rà soát quy trình nhập lệnh trong 30 ngày.
Real-World Scenario
Ngân hàng dùng KRI cảnh báo sớm khách hàng doanh nghiệp
Phòng quản lý rủi ro tín dụng của một ngân hàng muốn phát hiện sớm khách hàng sắp gặp khó thay vì chờ nợ quá hạn. Chị Vy, chuyên viên phân tích, đề xuất các KRI ở cấp khách hàng.
Chị chọn: mức sử dụng hạn mức tăng trên 30 điểm phần trăm trong 3 tháng, doanh số qua tài khoản giảm trên 25%, số lần chậm nộp báo cáo tài chính, và số lần thanh toán lương chậm. Khách hàng có từ hai KRI vàng trở lên được đưa vào danh sách theo dõi đặc biệt, cán bộ tín dụng phải gặp khách hàng trong 2 tuần và cập nhật đánh giá xếp hạng.
Common Mistakes
Common Mistake
Dùng chỉ số tổn thất làm KRI duy nhất
Một công ty bán lẻ chỉ theo dõi một KRI là "giá trị hàng thất thoát hằng tháng". Trong 6 tháng chỉ số ở vùng xanh, sau đó đột ngột lên 1,2 tỷ đồng vì một nhóm nhân viên kho gian lận kéo dài.
Giá trị thất thoát là chỉ số trễ, chỉ báo khi tổn thất đã xảy ra. Công ty nên bổ sung KRI dẫn dắt như số lần điều chỉnh tồn kho thủ công, tỷ lệ kiểm kê đột xuất chưa thực hiện, số nhân viên kho làm việc liên tục không nghỉ phép, để phát hiện dấu hiệu sớm hơn.
- Chỉ dùng chỉ số trễ như số tổn thất, nên không có tác dụng cảnh báo sớm.
- Đặt quá nhiều KRI, báo cáo dày nhưng không ai hành động.
- Có ngưỡng nhưng không có người chịu trách nhiệm và hành động định sẵn khi vượt ngưỡng.
- Nhầm KPI với KRI, chỉ báo cáo mức đạt mục tiêu mà không đo mức phơi nhiễm rủi ro.
Exam Tip
FRM Part II (Operational Risk and Resilience) hỏi đặc điểm của KRI tốt và phân biệt KRI, KPI, KCI. ACCA SBL nhắc KRI khi bàn về giám sát rủi ro trong quản trị doanh nghiệp.