Quản trị rủi ro doanh nghiệp: nhận diện, ma trận rủi ro 5×5 và kế hoạch dự phòng

Quản trị rủi ro doanh nghiệp là quá trình nhận diện, đánh giá, ứng phó và theo dõi những sự kiện có thể làm doanh nghiệp mất tiền, mất khách hoặc ngừng hoạt động, trước khi chúng xảy ra. Với doanh nghiệp vừa và nhỏ, một cú sốc như khách lớn cắt đơn có thể đủ để mất khả năng trả lương. Bài này đi qua quy trình từ phân nhóm, chấm điểm bằng ma trận rủi ro 5×5 đến sổ đăng ký rủi ro và kế hoạch dự phòng, kèm ví dụ số.

Quản trị rủi ro doanh nghiệp là gì và vì sao SME cần làm?

Quản trị rủi ro doanh nghiệp là cách làm có hệ thống để biết trước điều gì có thể đi sai, thiệt hại bao nhiêu và ai chịu trách nhiệm xử lý. SME cần làm vì vùng đệm tài chính mỏng: sự cố mà công ty lớn chịu được có thể làm doanh nghiệp nhỏ cạn tiền trong vài tuần.

Mục tiêu không phải né mọi rủi ro, mà chọn rủi ro nào đáng nhận, ở mức nào, và cắt bớt phần không đáng.

Quy trình quản trị rủi ro theo ISO 31000 và COSO ERM gồm những bước nào?

Tiêu chuẩn ISO 31000:2018 mô tả quản trị rủi ro qua các hoạt động nhận diện, phân tích, đánh giá, xử lý, giám sát và trao đổi thông tin về rủi ro. Doanh nghiệp nhỏ có thể gom thành 5 bước lặp liên tục, không cần chứng nhận hay bộ phận chuyên trách.

ISO 31000 nhấn mạnh đưa rủi ro vào chiến lược, kế hoạch và văn hóa. Khung quản trị rủi ro doanh nghiệp (ERM) của COSO, công bố lần đầu năm 2004, ở bản cập nhật “Integrating with Strategy and Performance” cũng đề cao xét rủi ro ngay khi đặt chiến lược.

Bước	Đầu ra
1. Nhận diện	Danh sách rủi ro
2. Phân tích	Điểm K × T
3. Đánh giá	Thứ tự ưu tiên
4. Ứng phó	Kế hoạch hành động
5. Theo dõi	KRI, báo cáo định kỳ

Khẩu vị rủi ro là gì?

Khẩu vị rủi ro (risk appetite) là mức rủi ro doanh nghiệp sẵn sàng chấp nhận để theo đuổi mục tiêu. Nên viết thành câu có số, ví dụ “không để một khách hàng chiếm quá 25% doanh thu” hay “luôn giữ tiền mặt đủ chi phí cố định 8 tuần”.

Các loại rủi ro doanh nghiệp thường gặp là gì?

Các loại rủi ro doanh nghiệp thường chia thành 7 nhóm: chiến lược, vận hành, tài chính, thị trường, con người, công nghệ và an ninh mạng, tuân thủ. Chia nhóm giúp không bỏ sót khi nhận diện; mỗi nhóm nên có một người trong ban điều hành đứng tên theo dõi.

Nhóm	Ví dụ ở SME
Chiến lược	Phụ thuộc một sản phẩm, đối thủ đổi mô hình
Vận hành	Nhà cung cấp giao trễ, lỗi chất lượng
Tài chính	Thiếu tiền mặt, khách trả chậm
Thị trường	Tỷ giá, lãi suất, giá nguyên liệu
Con người	Nhân sự chủ chốt nghỉ, gian lận nội bộ
Công nghệ, an ninh mạng	Mã độc tống tiền, mất dữ liệu
Tuân thủ	Vi phạm quy định, hợp đồng lỏng lẻo

Rủi ro thị trường chịu ảnh hưởng mạnh của chu kỳ kinh tế: khi kinh tế đi xuống, nhiều rủi ro cùng tăng một lúc. Rủi ro vận hành phần lớn nằm ở chuỗi cung ứng. Với an ninh mạng, NIST (Mỹ) có hướng dẫn nhanh riêng cho SME. Tuân thủ là rủi ro bị xử phạt hoặc tranh chấp do không đáp ứng quy định; nội dung pháp lý cụ thể cần hỏi chuyên gia.

Ma trận rủi ro 5×5 chấm điểm như thế nào?

Ma trận rủi ro chấm mỗi rủi ro theo hai trục, khả năng xảy ra và mức tác động, mỗi trục từ 1 đến 5. Điểm rủi ro bằng tích hai trục, từ 1 đến 25. Rủi ro ở góc khả năng cao, tác động lớn là nhóm cần hành động ngay.

Điểm rủi ro = Khả năng (1–5) × Tác động (1–5)

Thang dưới quy tác động ra tiền theo lợi nhuận trước thuế năm; đây là thang tham khảo, cần hiệu chỉnh theo ngành.

Mức	Khả năng trong 12 tháng	Tác động (so với lợi nhuận năm)
1	Hiếm: dưới 5%	Dưới 1%
2	Ít: 5–20%	1–5%
3	Có thể: 20–50%	5–20%
4	Nhiều khả năng: 50–80%	20–50%
5	Gần như chắc: trên 80%	Trên 50% hoặc mất khả năng trả lương, trả nợ

Điểm	Mức rủi ro	Xử lý (tham khảo)
1–4	Thấp	Chấp nhận, rà soát năm
5–9	Trung bình	Có biện pháp, rà soát quý
10–14	Cao	Kế hoạch hành động, rà soát tháng
15–25	Nghiêm trọng	Xử lý ngay, có kế hoạch dự phòng

Ví dụ: Công ty Minh Phát chấm 8 rủi ro ra sao?

Công ty Minh Phát (giả định) phân phối vật tư công nghiệp, doanh thu 60 tỷ đồng/năm, biên lợi nhuận gộp 22%, lợi nhuận trước thuế 3 tỷ đồng. Mốc tác động mức 5 là trên 1,5 tỷ đồng, mức 4 là 600 triệu đến 1,5 tỷ đồng. Khách lớn nhất chiếm 35% doanh thu; 40% giá vốn là hàng nhập trả bằng USD. Thiệt hại của hai rủi ro lớn:

Phép tính	Kết quả
Doanh thu từ khách lớn nhất: 60 tỷ × 35%	21 tỷ
Lợi nhuận gộp mất nếu mất khách: 21 tỷ × 22%	4,62 tỷ
So với lợi nhuận trước thuế 3 tỷ	154%
Giá vốn: 60 tỷ × (1 − 22%)	46,8 tỷ
Phần nhập bằng USD: 46,8 tỷ × 40%	18,72 tỷ
Chi phí tăng nếu USD tăng 4%: 18,72 tỷ × 4%	0,75 tỷ
So với lợi nhuận trước thuế 3 tỷ	25%

Mất khách lớn xóa hơn toàn bộ lợi nhuận năm, nên tác động là 5; tỷ giá tăng 4% rơi vào mức 4. Cơ chế này được phân tích trong bài tỷ giá hối đoái và doanh nghiệp xuất nhập khẩu. Kết quả chấm 8 rủi ro:

Mã	Rủi ro	K	T	Điểm	Mức
R1	Thiếu tiền do khách trả chậm	4	4	16	Nghiêm trọng
R2	Mất khách lớn nhất	3	5	15	Nghiêm trọng
R3	USD tăng giá	3	4	12	Cao
R4	Trưởng kinh doanh nghỉ, kéo khách	3	4	12	Cao
R5	Nhà cung cấp chính giao trễ	3	3	9	Trung bình
R6	Đối thủ giảm giá mạnh	3	3	9	Trung bình
R7	Mã độc tống tiền	2	4	8	Trung bình
R8	Vi phạm quy định, hợp đồng	2	3	6	Trung bình

Ban điều hành vốn lo nhất về đối thủ, nhưng ma trận đưa tiền mặt và khách hàng lên đầu.

Có những cách ứng phó rủi ro nào?

Có 4 cách ứng phó rủi ro: tránh (bỏ hoạt động gây rủi ro), giảm (hạ khả năng hoặc tác động), chuyển giao (đẩy thiệt hại sang bên khác qua bảo hiểm, hợp đồng) và chấp nhận (chủ động gánh, có dự phòng). Một rủi ro có thể kết hợp nhiều cách cùng lúc.

Cách	Khi nào dùng	Ví dụ ở Minh Phát
Tránh	Lợi ích không xứng rủi ro	Ngừng bán chịu cho khách nợ xấu
Giảm	Biện pháp có chi phí hợp lý	Sao lưu dữ liệu ngoại tuyến
Chuyển giao	Thiệt hại lớn, xác suất thấp	Bảo hiểm tài sản, điều khoản giá
Chấp nhận	Điểm thấp, chi phí xử lý cao	Biến động nhỏ phí vận chuyển

Sau ứng phó vẫn còn rủi ro còn lại (residual risk). Với R2, Minh Phát ký hợp đồng khung 12 tháng và kéo tỷ trọng khách lớn nhất về 25%: khả năng giảm từ 3 xuống 2, điểm còn 2 × 5 = 10. Nhưng lợi nhuận gộp gắn với khách này vẫn là 60 tỷ × 25% × 22% = 3,3 tỷ đồng, vượt lợi nhuận năm, nên vẫn cần kế hoạch dự phòng.

Sổ đăng ký rủi ro (risk register) gồm những cột nào?

Sổ đăng ký rủi ro là bảng tập trung mọi rủi ro đã nhận diện, kèm điểm, cách ứng phó, người phụ trách, chỉ báo cảnh báo và lịch rà soát. Một bảng tính dùng chung là đủ cho SME; điều quyết định là cập nhật đều đặn, không phải phần mềm đắt tiền.

Bảng dưới trích 5 dòng đầu trong sổ đăng ký rủi ro của Minh Phát; R6–R8 được ghi theo cùng cấu trúc.

Mã	Ứng phó	Phụ trách	KRI, ngưỡng đỏ	Rà soát
R1	Giảm: siết hạn mức nợ	Kế toán trưởng	Tiền mặt dưới 4 tuần chi	Tuần
R2	Giảm: đa dạng khách	Giám đốc	Khách lớn nhất trên 30%	Tháng
R3	Chuyển giao: điều khoản giá	Kế toán trưởng	USD tăng trên 3% từ đầu kỳ	Tháng
R4	Giảm: CRM, chia khách	Giám đốc	Trên 40% khách do 1 người giữ	Quý
R5	Giảm: thêm nhà cung cấp 2	Mua hàng	Trễ trên 10% số đơn	Tháng

Đưa dữ liệu khách lên phần mềm quản lý khách hàng (CRM) để giảm R4 là một bước chuyển đổi số cho doanh nghiệp nhỏ có lợi ích kép.

Kế hoạch dự phòng cho rủi ro thiếu tiền và mất khách lớn nên viết thế nào?

Kế hoạch dự phòng nên viết sẵn theo ngưỡng: khi chỉ báo chạm mức nào thì ai làm gì, trong bao lâu. Viết lúc bình tĩnh giúp tránh quyết định vội. Tập hợp các kế hoạch này là lõi của kế hoạch kinh doanh liên tục (BCP) cho doanh nghiệp nhỏ.

Dự phòng thiếu tiền mặt

Minh Phát có chi phí cố định (lương, thuê kho, lãi vay) 0,8 tỷ đồng/tháng, tức 0,8 × 12 ÷ 52 ≈ 0,185 tỷ đồng/tuần. Tiền mặt hiện có 0,95 tỷ đồng.

Số tuần tiền mặt = Tiền mặt ÷ Chi phí cố định mỗi tuần = 0,95 ÷ 0,185 ≈ 5,1 tuần

Ngưỡng	Hành động
Xanh: từ 8 tuần	Theo dõi dòng tiền hằng tuần
Vàng: 4 đến dưới 8 tuần	Thu nợ quá hạn, hoãn chi đầu tư, giãn hạn trả nhà cung cấp
Đỏ: dưới 4 tuần	Dùng hạn mức tín dụng, xả tồn kho chậm, cắt chi không thiết yếu

Minh Phát đang ở vùng vàng; để lên 8 tuần cần thêm 8 × 0,185 − 0,95 ≈ 0,53 tỷ đồng. Công cụ theo dõi phù hợp nhất là kế hoạch dòng tiền 13 tuần; các đòn bẩy rút ngắn vòng quay tiền có trong bài quản trị dòng tiền doanh nghiệp. Hạn mức tín dụng nên xin khi doanh nghiệp đang khỏe và cân nhắc trong tổng thể cấu trúc vốn và đòn bẩy tài chính.

Dự phòng mất khách hàng lớn

Phòng ngừa: theo dõi tỷ trọng, tần suất đặt hàng và số ngày trả tiền của khách lớn mỗi tháng; đơn giảm 2 tháng liền là tín hiệu sớm. Chuẩn bị: danh sách 10 khách tiềm năng cùng ngành và kịch bản cắt chi phí cố định tương ứng 4,62 tỷ đồng lợi nhuận gộp có thể mất. Khi xảy ra: trong 2 tuần đầu, chạy lại dòng tiền, kích hoạt kịch bản cắt giảm, dồn lực bán cho khách tiềm năng.

Bao lâu nên rà soát rủi ro và theo dõi chỉ báo rủi ro chính (KRI) ra sao?

SME nên rà soát toàn bộ sổ đăng ký rủi ro mỗi quý, rủi ro cao và nghiêm trọng mỗi tháng, chỉ báo tiền mặt mỗi tuần. Chỉ báo rủi ro chính (KRI) là con số cảnh báo sớm khi rủi ro tiến gần ngưỡng chịu đựng, khác với KPI vốn đo mức đạt mục tiêu.

KRI tốt có ngưỡng rõ và người nhận cảnh báo. KPI “doanh thu tăng 15%” nên đi kèm KRI “khách lớn nhất không vượt 30% doanh thu”. Gắn KRI vào hệ thống OKR và KPI giúp ban điều hành thấy cả kết quả lẫn rủi ro trên một trang. Cần rà soát đột xuất khi mở thị trường mới hay vay khoản lớn.

Những sai lầm thường gặp

• Lập sổ đăng ký rủi ro một lần rồi để đó, không cập nhật theo quý.
• Chấm điểm theo cảm giác, không quy tác động ra tiền, dẫn tới sai thứ tự ưu tiên.
• Liệt kê hàng chục rủi ro nhưng không ai đứng tên phụ trách.
• Không đặt ngưỡng kích hoạt, nên kế hoạch dự phòng chỉ được mở ra khi đã muộn.

Câu hỏi thường gặp

Doanh nghiệp nhỏ có cần áp dụng ISO 31000 không?

Không bắt buộc. ISO 31000 là bộ hướng dẫn, không dùng để cấp chứng nhận. SME có thể lấy nguyên lý của nó và thực hiện bằng một bảng tính đơn giản.

Sổ đăng ký rủi ro nên có bao nhiêu rủi ro?

Với doanh nghiệp dưới 100 người, 10–20 rủi ro thường đủ để quản lý thực chất. Nhiều hơn dễ thành danh sách hình thức.

KRI khác KPI thế nào?

KPI đo doanh nghiệp tiến tới mục tiêu tốt đến đâu. KRI cảnh báo rủi ro đang tiến gần ngưỡng chịu đựng. Hai loại nên đi theo cặp.

Kế hoạch kinh doanh liên tục (BCP) khác kế hoạch dự phòng ra sao?

Kế hoạch dự phòng xử lý một rủi ro cụ thể như thiếu tiền hay mất khách. BCP rộng hơn: xác định hoạt động then chốt, đánh giá tác động khi chúng gián đoạn và cách khôi phục. Các kế hoạch dự phòng là những chương trong BCP.

Nguồn tham khảo

• ISO 31000 Risk management – Guidelines – International Organization for Standardization, 2018
• Enterprise Risk Management – COSO, truy cập 2026
• The Orange Book – HM Treasury, 2023
• NIST Cybersecurity Framework 2.0: Small Business Quick-Start Guide – NIST, 2024
• Getting Ready to Plan – Ready.gov, 2023
• What is a Key Risk Indicator (KRI) and Why is it Important? – TechTarget, 2025

Đọc tiếp

• Lập kế hoạch dòng tiền 13 tuần cho doanh nghiệp nhỏ
• Quản trị chuỗi cung ứng: các khâu, chỉ số đo lường, tồn kho tối ưu và rủi ro nhà cung cấp
• Chu kỳ kinh tế: 4 giai đoạn, chỉ báo nhận biết và doanh nghiệp nên làm gì