Nhiều doanh nghiệp quản trị rủi ro theo cảm tính, phát hiện đến đâu xử lý đến đó, thay vì có một khung tham chiếu hệ thống để nhận diện rủi ro trước khi chúng gây thiệt hại thực sự.
Khung quản trị rủi ro COSO là gì?
Khung quản trị rủi ro COSO (COSO ERM – Enterprise Risk Management) là bộ khung tham chiếu quốc tế được phát triển bởi Committee of Sponsoring Organizations, giúp doanh nghiệp nhận diện, đánh giá và kiểm soát rủi ro một cách có hệ thống, gắn liền với chiến lược và mục tiêu kinh doanh. Đây là nền tảng lý thuyết hỗ trợ kiểm soát rủi ro an ninh tại doanh nghiệp sản xuất.
5 cấu phần chính của khung COSO ERM
- Quản trị và văn hóa (Governance & Culture): thiết lập cấu trúc quản trị rủi ro, xây dựng văn hóa nhận thức rủi ro trong toàn tổ chức.
- Chiến lược và thiết lập mục tiêu (Strategy & Objective-Setting): gắn khẩu vị rủi ro (risk appetite) với chiến lược kinh doanh ngay từ đầu.
- Thực hiện (Performance): nhận diện, đánh giá mức độ nghiêm trọng và ưu tiên xử lý rủi ro theo tác động thực tế.
- Rà soát và điều chỉnh (Review & Revision): đánh giá lại hiệu quả kiểm soát rủi ro định kỳ, điều chỉnh khi có thay đổi.
- Thông tin, truyền thông và báo cáo (Information, Communication & Reporting): đảm bảo thông tin rủi ro được truyền đạt đúng người, đúng lúc để ra quyết định kịp thời.
Ứng dụng COSO trong quản lý an ninh nhà máy
- Nhận diện rủi ro an ninh (trộm cắp, xâm nhập trái phép, gián đoạn chuỗi cung ứng) theo cùng khung đánh giá thống nhất với các loại rủi ro khác của doanh nghiệp.
- Ưu tiên đầu tư kiểm soát an ninh dựa trên mức độ tác động thực tế thay vì phản ứng theo từng sự cố riêng lẻ.
Những vấn đề thường gặp
- Áp dụng khung COSO một cách hình thức, chỉ làm tài liệu mà không thực sự tích hợp vào quy trình ra quyết định hàng ngày.
- Không có bộ phận/cá nhân phụ trách rõ ràng cho quản trị rủi ro, dẫn đến rủi ro bị bỏ sót giữa các phòng ban.
- Đánh giá rủi ro một lần rồi không cập nhật, trong khi môi trường kinh doanh và rủi ro thay đổi liên tục.
Câu hỏi thường gặp
Doanh nghiệp vừa và nhỏ có cần áp dụng khung COSO đầy đủ không?
Không cần áp dụng đầy đủ tất cả cấu phần ngay từ đầu — có thể bắt đầu với việc nhận diện và ưu tiên rủi ro theo tác động, sau đó mở rộng dần khi doanh nghiệp lớn hơn.
COSO khác gì với ISO 31000 về quản trị rủi ro?
Cả hai đều là khung quản trị rủi ro được công nhận rộng rãi; COSO thiên về gắn kết với quản trị doanh nghiệp và kiểm soát nội bộ, còn ISO 31000 có cách tiếp cận chung hơn, áp dụng linh hoạt cho nhiều loại tổ chức.
Ai nên chịu trách nhiệm triển khai khung COSO trong doanh nghiệp?
Thường là Ban Giám đốc phê duyệt định hướng, trong khi bộ phận kiểm soát nội bộ/quản trị rủi ro chịu trách nhiệm triển khai và báo cáo thường xuyên.
Kết luận
Khung COSO giúp doanh nghiệp quản trị rủi ro một cách hệ thống thay vì chỉ phản ứng khi sự cố đã xảy ra. Doanh nghiệp có thể tham khảo thêm quản lý nhân sự nhà máy để thấy cách rủi ro nhân sự cũng cần được đưa vào cùng khung đánh giá tổng thể này.
