Risk Management
Quản trị rủi ro
Risk management (quản trị rủi ro) là quá trình nhận diện, đo lường, xử lý và theo dõi những sự kiện bất định có thể làm doanh nghiệp không đạt mục tiêu. Mục đích không phải là loại bỏ mọi rủi ro mà là chấp nhận đúng loại rủi ro, ở đúng mức, với mức bù đắp xứng đáng. Đây là nền tảng cho mọi khái niệm rủi ro chuyên sâu hơn như market risk, credit risk hay liquidity risk.
Explanation
Mọi quyết định kinh doanh đều có rủi ro: mở rộng nhà máy, nhập hàng bằng USD, cho khách hàng nợ 60 ngày. Risk management giúp ban điều hành nhìn thấy trước những gì có thể sai, ước lượng thiệt hại nếu chúng xảy ra và chọn cách ứng phó trước khi sự việc xảy ra, thay vì chữa cháy. Doanh nghiệp quản trị rủi ro tốt thường huy động vốn rẻ hơn vì ngân hàng và nhà đầu tư tin vào sự ổn định của dòng tiền.
Quy trình chuẩn gồm bốn bước lặp lại. Thứ nhất, risk identification (nhận diện rủi ro): liệt kê rủi ro vào risk register (sổ đăng ký rủi ro). Thứ hai, risk assessment (đánh giá rủi ro): ước lượng likelihood (khả năng xảy ra) và impact (mức tác động), thường vẽ thành risk matrix (ma trận rủi ro). Thứ ba, risk response (xử lý rủi ro) theo bốn hướng: tránh, giảm, chuyển giao (bảo hiểm, hợp đồng phái sinh) hoặc chấp nhận. Thứ tư, monitoring and reporting (giám sát và báo cáo) bằng các chỉ số cảnh báo sớm.
Cần phân biệt risk management với internal control (kiểm soát nội bộ) và với hedging (phòng ngừa rủi ro). Internal control là một công cụ để giảm rủi ro hoạt động và rủi ro báo cáo, còn hedging là một kỹ thuật chuyển giao rủi ro tài chính. Risk management là khung lớn hơn, quyết định khi nào dùng công cụ nào và chấp nhận bao nhiêu rủi ro còn lại (residual risk).
Ở Việt Nam, ngân hàng thương mại bắt buộc có hệ thống quản trị rủi ro theo quy định của Ngân hàng Nhà nước, công ty niêm yết chịu yêu cầu quản trị công ty và công bố thông tin. Với doanh nghiệp vừa và nhỏ, risk management thường bắt đầu rất đơn giản: một bảng risk register mười dòng, cập nhật mỗi quý, đã giúp tránh được nhiều cú sốc về tỷ giá, nhà cung cấp hay khách hàng mất khả năng thanh toán.
Key Points
- Mục tiêu là chấp nhận rủi ro có chủ đích, không phải né mọi rủi ro.
- Bốn bước: nhận diện, đánh giá, xử lý, giám sát và báo cáo.
- Bốn cách xử lý: tránh, giảm, chuyển giao, chấp nhận.
- Xếp hạng rủi ro theo expected loss = khả năng xảy ra × mức tác động.
- Rủi ro còn lại sau xử lý phải nằm trong risk appetite của doanh nghiệp.
Formula
Expected loss = Probability × Impact
- Probability
- Xác suất rủi ro xảy ra trong kỳ (thường là 1 năm), ước lượng từ dữ liệu lịch sử hoặc đánh giá chuyên gia.
- Impact
- Thiệt hại tài chính nếu rủi ro xảy ra, tính bằng tiền (doanh thu mất, chi phí phát sinh, tài sản hư hỏng).
Đây là cách xếp hạng đơn giản. Rủi ro hiếm nhưng thiệt hại cực lớn vẫn cần xem riêng vì có thể đe doạ khả năng tồn tại của doanh nghiệp.
Examples
Worked Example
Xếp hạng ba rủi ro của một công ty thực phẩm
Công ty CP Thực phẩm Hoà Bình (số liệu giả định) có ba rủi ro chính trong năm: nhà cung cấp nguyên liệu gián đoạn (xác suất 20%, thiệt hại 2.500 triệu đồng), tỷ giá tăng mạnh (xác suất 40%, thiệt hại 800 triệu đồng), cháy kho (xác suất 2%, thiệt hại 30.000 triệu đồng). Một gói bảo hiểm cháy nổ phí 150 triệu đồng/năm bồi thường 90% thiệt hại.
- Gián đoạn nguồn cung: 20% × 2.500 = 500 triệu đồng.
- Tỷ giá: 40% × 800 = 320 triệu đồng.
- Cháy kho: 2% × 30.000 = 600 triệu đồng, đứng đầu danh sách.
- Sau khi mua bảo hiểm, thiệt hại kỳ vọng do cháy còn 600 × 10% = 60 triệu đồng, cộng phí 150 triệu đồng thành 210 triệu đồng.
Thứ tự ưu tiên là cháy kho, gián đoạn nguồn cung, rồi tỷ giá. Mua bảo hiểm giảm chi phí rủi ro kỳ vọng của cháy kho từ 600 xuống 210 triệu đồng và quan trọng hơn là loại bỏ khoản lỗ 30 tỷ đồng có thể làm công ty phá sản.
Real-World Scenario
CFO xây risk register đầu tiên
Chị Lan, CFO một công ty phân phối thiết bị y tế ở TP.HCM, nhận thấy công ty liên tục bị bất ngờ: một khách hàng lớn chậm trả 4 tháng, tỷ giá tăng làm lỗ lô hàng nhập, kho hàng bị kiểm tra thiếu hồ sơ.
Chị lập risk register gồm 12 rủi ro, mỗi rủi ro có người chịu trách nhiệm, điểm likelihood và impact từ 1 đến 5, biện pháp xử lý và hạn chót. Ba rủi ro điểm cao nhất được báo cáo lên hội đồng quản trị hằng quý. Sau một năm, công ty áp hạn mức tín dụng cho từng khách hàng, ký forward contract cho các lô nhập lớn và chuẩn hoá hồ sơ kho.
Common Mistakes
Common Mistake
Chỉ nhìn xác suất, bỏ qua mức tác động
Một giám đốc xưởng gỗ bỏ qua rủi ro cháy vì xác suất chỉ 1%/năm, trong khi tập trung xử lý lỗi giao hàng trễ có xác suất 60% nhưng mỗi lần thiệt hại 20 triệu đồng. Giá trị xưởng là 40 tỷ đồng.
Thiệt hại kỳ vọng của cháy là 1% × 40.000 = 400 triệu đồng, gấp 33 lần lỗi giao trễ (60% × 20 = 12 triệu đồng), và một vụ cháy có thể xoá sổ doanh nghiệp. Cách đúng: đánh giá cả xác suất lẫn mức tác động, và ưu tiên rủi ro đe doạ khả năng tồn tại.
- Coi risk management là việc của riêng phòng pháp chế hoặc kiểm toán nội bộ, thay vì trách nhiệm của từng người quản lý.
- Lập risk register một lần rồi để đó, không cập nhật khi môi trường kinh doanh thay đổi.
- Chỉ xếp hạng theo xác suất, bỏ qua rủi ro hiếm nhưng thiệt hại cực lớn.
- Tìm cách loại bỏ mọi rủi ro, làm mất cả cơ hội sinh lời.
Exam Tip
FRM Part I (Foundations of Risk Management) và ACCA SBL đều hỏi bốn cách xử lý rủi ro và vai trò của hội đồng quản trị. Câu hỏi thường cho một tình huống và yêu cầu chọn đúng biện pháp: chuyển giao, giảm, tránh hay chấp nhận.