Quản trị rủi ro cho doanh nghiệp nhỏ: sổ rủi ro một trang, ma trận, bốn cách xử lý, ISO 31000 và AI

Đăng ngày 23/10/2026

Tóm tắt và điều cần nhớ

Bài đơn này gom quản trị rủi ro thành một quy trình gọn cho doanh nghiệp nhỏ và vừa: xác định mức rủi ro chịu được, lập sổ rủi ro, chọn cách xử lý, đặt tín hiệu cảnh báo, rồi xem nên mượn gì từ các khung chuẩn quốc tế. Bài cũng có tình huống tại Việt Nam, giới hạn của AI và kế hoạch thử bốn tuần.

• Quản trị rủi ro không xoá rủi ro mà chọn rủi ro đáng nhận; trước hết phải biết mình sẵn lòng nhận bao nhiêu và chịu nổi tối đa bao nhiêu.
• Một sổ rủi ro một trang, chia theo năm nhóm, mỗi dòng có người phụ trách, là điểm khởi đầu đủ dùng.
• Ma trận khả năng và tác động đủ để xếp hạng; chỉ khi một quyết định tốn tiền thật mới cần giá trị kỳ vọng hay mô phỏng.
• Mỗi rủi ro có bốn lối: né, giảm, chia sẻ hoặc chuyển giao, chấp nhận; chấp nhận chỉ hợp lệ khi có ghi chép và ngày xem lại.
• Sổ rủi ro chỉ sống nếu có tín hiệu đo được và nhịp rà đều; chuẩn ISO làm ngôn ngữ chung, các khung khác phục vụ mục đích hẹp hơn.

Rủi ro lo trước, khủng hoảng lo sau: hai việc cần nối nhau

Quản trị rủi ro và quản trị khủng hoảng dễ bị nhầm là một việc, nhưng chúng chạy ở hai thời điểm khác nhau. Quản trị rủi ro hỏi điều gì có thể xảy ra và ta chuẩn bị gì, nên đều đặn và ít kịch tính. Quản trị khủng hoảng bắt đầu khi sự kiện đã xảy ra: quyết định nhanh, phân công, báo cho khách và nhân viên, đưa hoạt động trở lại. Hai việc nối thành một chuỗi: phòng ngừa, sẵn sàng, ứng phó, phục hồi. Làm tốt phần đầu thì khủng hoảng ít hơn, nhẹ hơn; khi vẫn xảy ra, bản đánh giá rủi ro có sẵn cho biết nên cứu việc gì trước.

Ở doanh nghiệp nhỏ, phần lớn việc này nằm trong đầu chủ doanh nghiệp: nhớ khách nào hay chậm trả, nhà cung cấp nào hay giao trễ. Viết ra giấy thì người thứ hai cũng thấy, và cuối năm kiểm được mình đoán đúng hay sai. Né mọi rủi ro cũng là một rủi ro: đứng yên trước thay đổi công nghệ hay thói quen mua sắm có thể mất chỗ mà không cần biến cố nào. Vậy câu hỏi đầu tiên là ta chịu nổi bao nhiêu, không phải làm sao tránh hết.

Thuật ngữ cần thống nhất trước khi lập sổ

Các thuật ngữ sau hay bị dùng lẫn lộn, và một cuộc họp mà mỗi người hiểu rủi ro cao theo một nghĩa sẽ cho ra bảng điểm vô nghĩa. Hãy dành mười phút đầu để thống nhất nghĩa rồi ghi vào đầu sổ rủi ro.

• Rủi ro (risk): khả năng một sự kiện làm hại việc đạt mục tiêu; sự kiện có lợi gọi là cơ hội (opportunity) [1].
• Yếu tố rủi ro (risk factor): điều kiện làm sự kiện dễ xảy ra hoặc nặng hơn, từ trong hay ngoài doanh nghiệp.
• Tín hiệu cảnh báo (trigger), gần nghĩa với chỉ báo rủi ro chính (KRI): dấu hiệu đo được cho thấy rủi ro đang đến gần.
• Khẩu vị rủi ro (risk appetite): mức doanh nghiệp sẵn lòng nhận để theo đuổi mục tiêu; ngưỡng chịu (risk tolerance): mức doanh nghiệp có khả năng gánh [2].
• Rủi ro còn lại (residual risk): phần còn sau khi đã xử lý; mục tiêu là phần này nằm trong ngưỡng chịu.
• Sổ rủi ro (risk register): bảng một trang ghi từng rủi ro, điểm, cách xử lý, người phụ trách, tín hiệu theo dõi.

Khẩu vị trả lời câu hỏi nên theo đuổi đến đâu: một xưởng đóng giày nhỏ (giả định) nhận thêm khách mới, nhưng chỉ khi công nợ phải thu còn dưới mức đã định. Ngưỡng chịu trả lời câu hỏi chịu nổi đến đâu: vượt mức ấy thì không còn trả được lương hay nợ đến hạn. Hãy ghi cả hai bằng con số, đừng chỉ viết thấp, vừa, cao.

Năm nhóm rủi ro làm khung cho sổ rủi ro

Muốn lập danh sách mà không bỏ sót, hãy đi qua năm nhóm: chiến lược (cạnh tranh, thị hiếu, công nghệ, mua bán sáp nhập), tuân thủ (quy định, dữ liệu cá nhân, môi trường), vận hành (chuỗi cung ứng, hệ thống thông tin, quy trình, con người, gian lận), tài chính (thị trường, tín dụng, thanh khoản) và danh tiếng (mạng xã hội, báo chí, các bên liên quan). Mỗi nhóm nên mở bằng một câu hỏi.

• Chiến lược: điều gì có thể làm sản phẩm của bạn mất chỗ trong ba năm tới?
• Tuân thủ: quy định nào vừa đổi hoặc sắp đổi, và ai theo dõi?
• Vận hành: nếu một nhà cung cấp, hệ thống hay người then chốt vắng một tuần thì chuyện gì xảy ra?
• Tài chính: tỷ giá, lãi suất, giá nguyên liệu hay khách trả chậm ảnh hưởng dòng tiền đến đâu?
• Danh tiếng: nếu một lời phàn nàn lan trên mạng trong một ngày, ai trả lời và theo kịch bản nào?

Một rủi ro thường thuộc nhiều nhóm: lộ dữ liệu khách hàng vừa là sự cố vận hành, vừa vi phạm tuân thủ, vừa hại danh tiếng. Hãy gán một nhóm chính để có người phụ trách rõ, ghi nhóm phụ để người liên quan cùng biết.

Tìm rủi ro: động não, SWOT, kịch bản và đọc tín hiệu

Ba kỹ thuật rẻ đủ cho vòng nhận diện đầu. Động não nhóm mời người từ nhiều bộ phận vì kế toán, kho và bán hàng thấy rủi ro khác nhau; ai cũng viết ra giấy trước khi thảo luận để người nói to không lấn át người nói nhỏ. SWOT đọc theo hướng ngược: điểm yếu và mối đe doạ là rủi ro hiển nhiên, còn điểm mạnh dựa vào một khách hay một người là rủi ro tập trung. Phân tích kịch bản đặt hai hoặc ba tình huống cụ thể rồi hỏi việc đầu tiên sẽ làm là gì.

Khi ghi một rủi ro vào sổ, hãy tách yếu tố khỏi tín hiệu. Yếu tố là điều kiện nền, đứng yên khá lâu: giả định xưởng giày chỉ mua đế giày của một nhà cung cấp. Tín hiệu là dấu hiệu rủi ro đang đến gần, đổi theo tuần: nhà cung cấp ấy giao trễ hai lần liên tiếp, hoặc đòi trả trước toàn bộ. Yếu tố cho biết nên lo chuyện gì, tín hiệu cho biết lúc nào phải hành động.

Chấm điểm bằng ma trận: dùng được đến đâu

Ma trận khả năng và tác động xếp hạng nhanh nhất: mỗi rủi ro đặt vào một ô theo hai câu hỏi, dễ xảy ra đến mức nào và nặng đến đâu. Ô cao cả hai cần xử lý ngay; ô thấp cả hai chỉ cần ghi nhận và rà định kỳ. Hai ô còn lại đáng chú ý nhất: hiếm mà nặng cần kế hoạch dự phòng, hay gặp mà nhẹ cần thao tác chuẩn để khỏi tích tụ. Hãy gắn thang với con số của doanh nghiệp: giả định tác động cao là mất lợi nhuận một tháng hoặc ngừng bán quá ba ngày, khả năng cao là có thể xảy ra trong một năm.

Ma trận nén rủi ro phức tạp thành hai thang chủ quan, nên nó cho thứ tự chứ không cho độ lớn: hai rủi ro cùng ô có thể chênh nhau nhiều lần về tiền, hai người chấm cùng một rủi ro có thể ra hai ô khác. Vì vậy nên có ít nhất hai người chấm, ghi lý do và nguồn dữ liệu, kèm ba đặc điểm: đến nhanh hay chậm, có dễ phát hiện không, có kéo theo rủi ro khác không. Dùng ma trận để quyết định cái nào bàn trước, rồi bổ sung số liệu cho các rủi ro đứng đầu.

Khi cần con số: giá trị kỳ vọng, độ nhạy và mô phỏng

Phân tích định tính cho biết nên bàn rủi ro nào; phân tích định lượng trả lời tốn bao nhiêu. Hãy chuyển sang số khi một quyết định tốn tiền thật, như mua bảo hiểm, chốt giá trước, mở thêm kho. Công cụ đơn giản nhất là giá trị tiền tệ kỳ vọng (EMV): khả năng xảy ra nhân với thiệt hại nếu xảy ra, rồi so với chi phí của biện pháp.

Ví dụ giả định: khả năng một khách lớn trả chậm trong năm là 30%, thiệt hại nếu xảy ra là 200 triệu đồng, vậy EMV là 60 triệu đồng. Đặt cọc hay bảo hiểm tín dụng giá 25 triệu một năm thì đáng cân nhắc; giá 90 triệu thì nên chấp nhận hoặc tìm cách khác. Nhưng EMV là con số trung bình: nếu khoản nợ ấy đủ làm công ty không trả nổi lương tháng sau, nó vượt ngưỡng chịu dù EMV nhỏ, và ngưỡng chịu phải thắng.

Phân tích độ nhạy đổi từng biến đầu vào, chẳng hạn giá da thuộc lên xuống một phần mười, rồi xem lợi nhuận đổi bao nhiêu; biến nào làm kết quả dao động nhiều nhất là chỗ đáng đặt chỉ báo. Mô phỏng Monte Carlo lặp phép tính hàng nghìn lần với giá trị lấy ngẫu nhiên theo phân phối đã chọn; mô phỏng sự kiện rời rạc dựng dòng công việc theo thời điểm để tìm nút thắt. Nhiều chữ số thập phân không làm kết quả đúng hơn, vì nó bị chặn bởi chất lượng dữ liệu và giả định; với doanh nghiệp nhỏ, bảng tính cho EMV và độ nhạy thường đủ.

Bốn cách xử lý một rủi ro và cách chọn

Mỗi rủi ro còn trên sổ có bốn lối [1]. Né là không làm hoạt động sinh ra rủi ro, như từ chối đơn quá khó hoặc bỏ một thị trường; cái giá là bỏ luôn phần lợi. Giảm là hạ khả năng xảy ra hay mức nặng bằng kiểm tra, đào tạo, sao lưu, bảo trì, thêm nhà cung cấp. Chia sẻ hoặc chuyển giao là đưa một phần gánh sang bên khác bằng bảo hiểm, hợp đồng, liên doanh, thuê ngoài. Chấp nhận là giữ nguyên và chịu hậu quả nếu xảy ra.

Mỗi lối có bẫy riêng. Bảo hiểm thường được gọi là chuyển giao, nhưng bên mua vẫn chịu trách nhiệm pháp lý [1]; hợp đồng đẩy rủi ro sang nhà cung cấp chỉ đáng giá khi bên kia đủ sức gánh, và đó là chia sẻ chứ không phải né. Chấp nhận phải là quyết định có ghi chép, vì mọi rủi ro không được né hay chuyển giao đều mặc định bị giữ lại [1]; không ghi thì đó là bỏ mặc.

Cách chọn theo năm câu hỏi nối tiếp. Rủi ro còn lại có vượt ngưỡng chịu không? Bỏ hẳn hoạt động đó thì mất bao nhiêu lợi? Giảm được với chi phí bao nhiêu so với thiệt hại kỳ vọng? Phần còn lại có bên nào chia sẻ với giá hợp lý không? Phần còn lại có nằm trong khẩu vị không; nếu có thì chấp nhận, ghi lại và đặt ngày xem lại.

Kế hoạch dự phòng, kế hoạch liên tục và diễn tập

Khác với giảm thiểu, kế hoạch dự phòng (contingency plan) là kịch bản hành động sau khi sự kiện đã xảy ra: ai làm gì, dùng nguồn lực nào, liên lạc với ai. Kế hoạch liên tục kinh doanh (business continuity plan) rộng hơn: xác định chức năng nào phải chạy tiếp trong và sau gián đoạn, phương án phục hồi, nơi làm việc thay thế, dữ liệu sao lưu, nhà cung cấp dự bị và cách thông tin cho các bên liên quan.

Cả hai kế hoạch cần ngưỡng kích hoạt và diễn tập. Ngưỡng kích hoạt là sự kiện hay con số báo đã đến lúc chuyển từ theo dõi sang hành động, ví dụ giả định kho còn dưới mức đủ bảy ngày bán. Diễn tập, kể cả buổi một giờ ngồi đọc kịch bản, lộ ra chỗ kế hoạch không chạy: số điện thoại cũ, người đã nghỉ, bản sao lưu không mở được. Kế hoạch chưa diễn tập chỉ là giả thuyết.

Theo dõi và báo cáo: chỉ báo, sổ rủi ro và người chịu trách nhiệm

Theo dõi là nhìn rủi ro đổi theo thời gian và kiểm xem biện pháp có hiệu quả không, bằng chỉ báo rủi ro chính (KRI), phân tích sự cố và rà soát kiểm soát nội bộ. Nên chọn ít chỉ báo nhưng rẻ để đo và đến sớm: phần doanh thu đến từ khách lớn nhất, số ngày thu tiền bình quân, số lần nhà cung cấp chính giao trễ, số ngày tồn kho an toàn. Mỗi chỉ báo cần ba mức xanh, vàng, đỏ và một người đọc nó.

Báo cáo cần ngắn, đều và đúng hạn: một trang gồm bản đồ nhiệt, năm rủi ro đứng đầu kèm xu hướng, các chỉ báo đang vàng hoặc đỏ, và quyết định cần chủ doanh nghiệp đưa ra. Mỗi dòng của sổ có rủi ro và nhóm, yếu tố gây ra, điểm kèm lý do, cách xử lý và hành động, người phụ trách, chỉ báo với ngưỡng, ngày xem lại.

Nhịp gợi ý: họp ba mươi phút mỗi tháng, rà toàn bộ mỗi quý, đặt lại khẩu vị mỗi năm hoặc khi đổi mô hình hay thị trường. Công ty lớn tách người gánh rủi ro khỏi người giám sát độc lập; doanh nghiệp nhỏ giữ tinh thần ấy bằng cách nhờ kế toán hay một người ngoài soát sổ mỗi quý.

Bốn khung chuẩn: ISO 31000, COSO ERM, NIST RMF và Basel

Khung chuẩn cho ngôn ngữ chung với ngân hàng, đối tác, kiểm toán; không khung nào đòi doanh nghiệp nhỏ theo trọn bộ. ISO 31000 là chuẩn hướng dẫn cho mọi tổ chức, bất kể quy mô, hoạt động hay ngành, gồm nguyên tắc, khung và quy trình; bản hiện hành là lần xuất bản thứ hai, năm 2018. ISO nói rõ chuẩn không dùng để chứng nhận nhưng cung cấp hướng dẫn cho chương trình kiểm toán nội bộ hay bên ngoài [3]. Phần quy trình xoay quanh xác định bối cảnh, đánh giá, xử lý, theo dõi và rà soát, kèm trao đổi thông tin và ghi chép báo cáo [4].

COSO ERM đi từ góc quản trị doanh nghiệp. Bản năm 2004 được mô tả với tám thành phần, từ môi trường nội bộ đến giám sát [5]. Bản cập nhật 2017 gọn lại còn năm thành phần và hai mươi nguyên tắc; quản trị rủi ro là văn hoá, năng lực và thực hành gắn với việc đặt chiến lược, và khẩu vị rủi ro phải được thiết lập, khớp với chiến lược [6].

NIST RMF là khung của Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ, dành cho rủi ro an ninh và quyền riêng tư của hệ thống thông tin. Khung gồm bảy bước: chuẩn bị, phân loại, chọn biện pháp, triển khai, đánh giá, cấp phép vận hành, giám sát; NIST nêu cách làm này áp dụng được cho hệ thống mới lẫn cũ [7].

Basel là bộ chuẩn cho ngân hàng, do Uỷ ban Basel lập cuối năm 1974. Hiệp ước năm 1988 đòi tỷ lệ vốn tối thiểu 8% so với tài sản điều chỉnh theo rủi ro; Basel II công bố tháng 6/2004 với ba trụ cột là vốn tối thiểu, giám sát và kỷ luật thị trường; Basel III được G20 thông qua cuối năm 2010, thêm đệm vốn, tỷ lệ thanh khoản và tỷ lệ đòn bẩy [8].

Cách chọn: doanh nghiệp nhỏ mượn quy trình của chuẩn ISO cùng một sổ rủi ro; có hội đồng hay nhà đầu tư thì thêm COSO để gắn rủi ro với chiến lược; giữ dữ liệu nhạy cảm thì tham khảo NIST; Basel chỉ cần đọc để hiểu người cho vay.

Công cụ riêng cho tài chính, vận hành, hệ thống thông tin, dự án và chuỗi cung ứng

Với tỷ giá, lãi suất và giá hàng hoá, doanh nghiệp có thể chốt giá trước bằng hợp đồng kỳ hạn, quyền chọn hay hoán đổi lãi suất, hoặc tự nhiên hoá: thu và chi cùng một loại tiền. Phòng ngừa có phí, có ký quỹ và có thể không khớp hẳn rủi ro thật, nên nó đổi hình dạng rủi ro chứ không xoá. Với tín dụng, cần xem báo cáo tài chính và lịch sử thanh toán của khách, rồi đặt hạn mức. Với thanh khoản, cần dự báo dòng tiền, đệm tiền mặt hoặc hạn mức vay dự phòng và kiểm tra sức chịu đựng: giả định doanh thu giảm, lãi tăng cùng lúc.

Rủi ro hệ thống thông tin đánh giá theo ba tính chất: bảo mật, toàn vẹn, sẵn sàng; phần vượt ngưỡng xử lý ngay. Biện pháp gồm phân quyền, bảo vệ mạng, sao lưu, đào tạo, kiểm toán định kỳ và kế hoạch ứng phó sự cố: chuẩn bị, phát hiện, cô lập, phục hồi từ bản sao lưu, rồi ghi lại bài học. Với dự án, quy trình rút gọn là nhận diện, phân tích, xếp hạng, chọn đối sách, dự phòng; mỗi buổi rà soát dự án nên có một mục về rủi ro.

Ba rủi ro vận hành nội bộ cần biện pháp riêng. Lỗi quy trình: vẽ lại luồng việc để thấy nút thắt. Lỗi con người: chuẩn hoá thao tác và cho phép báo quả suýt xảy ra mà không bị phạt, vì đó là tín hiệu rẻ nhất. Gian lận: tách người ghi sổ khỏi người giữ tiền, kiểm tra chéo, có đường dây tố giác.

Chuỗi cung ứng cần ba việc: tầm nhìn (biết hàng ở đâu, tồn bao nhiêu, nhà cung cấp nào sắp trễ); đánh giá nhà cung cấp theo năng lực, tài chính, chất lượng, địa lý, đạo đức chứ không chỉ theo giá; và đa dạng hoá nguồn, có nhà cung cấp dự bị ở khu vực khác nếu được.

AI trong quản trị rủi ro: giúp nhanh hơn, không thay người quyết định

AI vào quản trị rủi ro ở bốn chỗ: dự báo từ dữ liệu quá khứ, như khách nào dễ trả chậm; đọc hàng loạt báo cáo, tin tức, bình luận để nhặt tín hiệu; nhận dạng mẫu bất thường, điển hình là giao dịch đáng ngờ; và phản ứng tự động như cảnh báo hay chặn khi thấy lệch. Doanh nghiệp nhỏ nên bắt đầu bằng tính năng có sẵn trong công cụ đang dùng, trước khi nghĩ đến tự xây mô hình.

Giới hạn nằm ở ba chỗ. Dữ liệu thiếu, lệch hoặc cũ cho kết luận lệch một cách tự tin. Mô hình cần được kiểm chứng và cập nhật khi thị trường đổi, nếu không sẽ trôi khỏi thực tế. Phản ứng tự động không người giám sát có thể khuếch đại sai sót nhanh hơn người làm sai. Quy tắc đơn giản: AI đề xuất, một người có tên duyệt và chịu trách nhiệm, quyết định quan trọng được ghi lại; đừng đưa dữ liệu khách hàng lên công cụ công cộng khi chưa đọc điều khoản dữ liệu.

Cách áp dụng từng bước

Bảy bước sau phù hợp với đội từ vài người đến vài chục người; làm lần đầu mất khoảng nửa ngày và chỉ cần một bảng tính, chưa cần phần mềm chuyên dụng. Làm đúng thứ tự, vì mỗi bước dùng kết quả của bước trước.

• Bước 1: Viết ra mục tiêu quan trọng nhất của năm và mức thiệt hại tối đa chịu nổi, ví dụ giả định không để tiền mặt xuống dưới hai tháng chi phí cố định.
• Bước 2: Họp bốn mươi lăm phút với ba đến năm người từ các bộ phận khác nhau, liệt kê rủi ro theo năm nhóm, tối đa mười lăm dòng.
• Bước 3: Chấm khả năng và tác động bằng thang ba hoặc năm mức gắn với con số của doanh nghiệp; ghi lý do và nguồn dữ liệu.
• Bước 4: Lấy năm rủi ro đứng đầu, mỗi rủi ro chọn một trong bốn lối và viết hành động cụ thể; rủi ro chấp nhận phải ghi ngày xem lại.
• Bước 5: Giao mỗi rủi ro cho một người có tên và đặt hạn hoàn thành biện pháp.
• Bước 6: Đặt một đến hai chỉ báo cho mỗi rủi ro hàng đầu, kèm ngưỡng xanh, vàng, đỏ và người đọc.
• Bước 7: Họp ba mươi phút mỗi tháng, rà toàn bộ sổ mỗi quý, cập nhật sau mỗi sự cố hoặc khi đổi mô hình hay thị trường.

Tình huống áp dụng tại Việt Nam

Tại Việt Nam, ISO 31000:2018 đã có bản tiêu chuẩn quốc gia. Trang Thư viện Pháp luật ghi TCVN ISO 31000:2018 hoàn toàn tương đương ISO 31000:2018 và thay TCVN ISO 31000:2011; phạm vi nêu là cách tiếp cận chung để quản lý mọi loại rủi ro [9]. Với doanh nghiệp nhỏ, ý nghĩa thực tế là có sẵn khung bằng tiếng Việt để viết chính sách rủi ro; vì ISO nêu chuẩn không dùng để chứng nhận, không cần xin chứng chỉ [3].

Rủi ro tập trung thị trường hiện rõ ở xuất khẩu của Việt Nam. Báo Đấu thầu ngày 6/1/2026 dẫn số liệu do Cục Thống kê, cơ quan của Bộ Tài chính, công bố: xuất khẩu hàng hoá năm 2025 đạt 475,04 tỷ USD, trong đó Mỹ đứng đầu các thị trường, với kim ngạch 153,2 tỷ USD [10]. Chia ra là khoảng 32%, tức gần một phần ba kim ngạch đi qua một thị trường. Doanh nghiệp nhỏ có thể làm phép chia tương tự với khách hoặc thị trường lớn nhất của mình và coi tỷ trọng đó là chỉ báo: giả định trên một phần ba thì vàng, trên một nửa thì đỏ và phải có kế hoạch mở thêm khách.

Về chuỗi cung ứng, VnEconomy ngày 8/2/2024 tường thuật cuộc họp ngày 6/2/2024 do Cục Xuất nhập khẩu tổ chức về xung đột Biển Đỏ. Bài dẫn số liệu của Cục Hàng hải Việt Nam: cước tàu đến Bờ Tây Mỹ tăng từ 1.850 USD một container trong tháng 12/2023 lên 2.873-2.950 USD trong tháng 1/2024 [11]; Báo Sài Gòn Giải Phóng ngày 6/2/2024 nêu cùng mức cước này [12]. Ông Trương Văn Cẩm, phó chủ tịch Vitas (hiệp hội ngành dệt may), nói nếu kéo dài, các đơn hàng sau khách sẽ đòi chia sẻ chi phí, và điều đáng lo là không dự đoán được khi nào kết thúc [11].

Từ đó rút ra ba việc cho sổ rủi ro của doanh nghiệp xuất nhập khẩu nhỏ. Một là chỉ báo: cước và thời gian vận chuyển trên tuyến chính. Hai là chia sẻ qua hợp đồng: Cục Xuất nhập khẩu khuyến nghị chú ý các điều khoản về vận chuyển, giao hàng và bảo hiểm khi đàm phán hợp đồng mua bán [11]; có thể thêm điều khoản điều chỉnh giá khi cước vượt ngưỡng. Ba là dự phòng: tuyến thay thế và tồn kho đệm. Số cước nêu trên là của tháng 1/2024, không phản ánh giá hiện nay.

Sai lầm thường gặp, giới hạn và khi nào chưa cần

Phần lớn sổ rủi ro thất bại vì cách dùng chứ không vì thiếu kỹ thuật. Năm chỗ sau hay gặp nhất ở doanh nghiệp nhỏ, và đa số sửa được bằng kỷ luật làm việc chứ không cần thêm công cụ hay thêm tiền.

• Danh sách quá dài: vài chục trang thì không ai đọc; giữ mười đến mười lăm dòng và loại bớt khi thêm.
• Chấm một mình, không ghi lý do: điểm số chỉ phản ánh nỗi lo của một người và dễ bị chuyện vừa xảy ra chi phối.
• Né quá tay làm mất cơ hội, còn chấp nhận không ghi chép là bỏ mặc.
• Mua bảo hiểm hay ký hợp đồng rồi coi như xong: không đọc điều khoản loại trừ, không kiểm tra khả năng chi trả của bên nhận.
• Không có tín hiệu và ngày rà: sổ rủi ro chết sau một quý; kế hoạch chưa diễn tập sẽ hỏng đúng lúc cần.

Có trường hợp chưa cần cả bộ này. Doanh nghiệp mới có vài người, một sản phẩm, rủi ro chủ yếu là dòng tiền thì một danh sách mười dòng và một cuộc họp mỗi tháng là đủ. Ngược lại, lĩnh vực chịu quản lý chặt như ngân hàng, bảo hiểm, y tế, hoặc hợp đồng với khách đòi một chuẩn cụ thể, phải theo khung mà bên quản lý hay khách quy định.

Kế hoạch thử nghiệm bốn tuần và câu hỏi tự kiểm

Tuần một: họp lập danh sách và chấm điểm, chốt năm rủi ro đứng đầu. Tuần hai: chọn lối xử lý, giao người, viết ngưỡng chịu và khẩu vị bằng con số. Tuần ba: đặt chỉ báo, đo thử, diễn tập một kịch bản trong một giờ. Tuần bốn: họp rà đầu tiên, ghi những gì danh sách đã bỏ sót. Cuối kỳ, trả lời năm câu hỏi tự kiểm sau.

• Bạn có nói được bằng một con số mức thiệt hại mà doanh nghiệp không được vượt?
• Rủi ro nào trong sổ chưa có người phụ trách có tên?
• Chỉ báo nào đang vàng hoặc đỏ mà chưa ai đọc?
• Kế hoạch dự phòng nào chưa diễn tập lần nào trong năm?
• Rủi ro nào đang chấp nhận mà không ghi lý do và ngày xem lại?

Kết luận

Quản trị rủi ro hữu ích khi nó ngắn, có tên người và có nhịp. Một trang sổ rủi ro với mười lăm dòng, vài chỉ báo xanh vàng đỏ và một cuộc họp mỗi tháng đã đủ để chuyển phần lớn lo lắng từ trong đầu chủ doanh nghiệp ra giấy, nơi người khác cùng nhìn và cùng sửa. Khung chuẩn, mô phỏng và AI là lớp thêm vào khi quy mô tăng lên, không phải điều kiện để bắt đầu. Bài đơn này không có phần tiếp theo; hãy chọn một rủi ro hàng đầu của bạn và viết cho nó hành động, người phụ trách, chỉ báo và ngày xem lại.

Nguồn và phương pháp

Bài là tổng hợp và phân tích có hỗ trợ AI, diễn đạt lại bằng lời riêng, không phải bản dịch. Nội dung nền dựa trên tài liệu Risk Management EXPLAINED v2 (Business Explained, 2023), trang 1 đến 86; dàn ý, các ví dụ giả định và phần so sánh là của bài. Một số điểm trong tài liệu nguồn đã được đối chiếu và chỉnh: số thành phần của COSO ERM (nguồn kể tám, tức bản 2004, còn bản 2017 có năm), số bước của NIST RMF (nguồn kể sáu, trang NIST nay ghi bảy), việc xếp chuyển trách nhiệm qua hợp đồng vào né tránh (bài xếp vào chia sẻ) và nhận định định lượng luôn chính xác hơn (bài nêu rõ độ chính xác bị chặn bởi dữ liệu).

Nguồn web được mở và đối chiếu lại ngày 23/10/2026 theo giờ Việt Nam; đợt nghiên cứu này bắt đầu từ ngày 20/10/2026. Điều chưa kiểm chứng: số liệu của Cục Thống kê được đọc qua Báo Đấu thầu, không phải bản gốc; số cước đi Bờ Tây Mỹ do hai tờ báo dẫn lại từ Cục Hàng hải Việt Nam, chỉ là tháng 1/2024 và chưa đối chiếu nguồn gốc; trang Thư viện Pháp luật về TCVN ISO 31000:2018 chỉ hiển thị một phần và không ghi tình trạng hiệu lực; các trang Wikipedia (rủi ro, khẩu vị rủi ro, COSO ERM bản 2004, quy trình của ISO 31000) là nguồn thứ cấp; tỷ lệ 32% là phép chia của bài. Xưởng đóng giày và các con số trong ví dụ là giả định minh hoạ.

Bạn đọc nên tìm tài liệu gốc và các tiêu chuẩn của ISO, COSO, NIST, BIS để có bản đầy đủ. Bài không phải tư vấn pháp lý, tài chính hay bảo hiểm.