Bài 4. Kiểm soát và giảm thiểu rủi ro (Risk Control and Mitigation)

Sau khi đã nhận diện và đánh giá được các rủi ro trong hệ thống, bước tiếp theo mang tính hành động là thiết kế và triển khai các biện pháp kiểm soát nhằm giảm thiểu rủi ro. Nếu dừng lại ở việc liệt kê và phân loại, quản lý rủi ro sẽ không tạo ra giá trị thực tế. Giá trị chỉ xuất hiện khi rủi ro được kiểm soát một cách có hệ thống trong quá trình vận hành.

Trong thực tế, nhiều tổ chức có danh sách rủi ro khá đầy đủ, nhưng các biện pháp kiểm soát lại mang tính hình thức, không gắn với quy trình hoặc không được duy trì. Nguyên nhân nằm ở việc chưa hiểu đúng bản chất của kiểm soát rủi ro: kiểm soát không phải là thêm bước kiểm tra, mà là thiết kế lại hệ thống để giảm khả năng xảy ra sai lệch hoặc giảm hậu quả khi sai lệch xảy ra.

1. Bản chất của kiểm soát rủi ro

Kiểm soát rủi ro là quá trình:

thiết lập các biện pháp trong hệ thống nhằm giảm khả năng xảy ra rủi ro hoặc giảm mức độ ảnh hưởng nếu rủi ro xảy ra.

Có hai hướng kiểm soát chính:

• Giảm khả năng xảy ra (Prevention)
• Giảm hậu quả (Mitigation)

Điểm quan trọng là:

• Không phải mọi rủi ro đều có thể loại bỏ hoàn toàn
• Mục tiêu là đưa rủi ro về mức chấp nhận được

2. Nguyên tắc thiết kế biện pháp kiểm soát

Để kiểm soát hiệu quả, cần tuân thủ một số nguyên tắc cốt lõi:

• Tích hợp vào quy trình
  Biện pháp kiểm soát phải là một phần của quy trình, không phải hoạt động tách rời
• Ưu tiên kiểm soát tại nguồn
  Ngăn sai sót xảy ra ngay từ đầu thay vì phát hiện sau
• Đơn giản và khả thi
  Biện pháp quá phức tạp sẽ không được tuân thủ
• Phù hợp với mức độ rủi ro
  Rủi ro cao cần kiểm soát mạnh, rủi ro thấp không nên gây quá tải
• Có thể kiểm tra và đánh giá
  Biện pháp phải đo lường được hiệu quả

3. Các loại biện pháp kiểm soát rủi ro

Trong thực hành, có thể phân loại các biện pháp kiểm soát theo chức năng:

3.1. Kiểm soát phòng ngừa (Preventive controls)

Nhằm ngăn rủi ro xảy ra ngay từ đầu.

Ví dụ:

• Chuẩn hóa quy trình
• Đào tạo nhân viên
• Thiết kế biểu mẫu rõ ràng

Đây là loại kiểm soát hiệu quả nhất vì:

• Giảm sai sót trước khi xảy ra

3.2. Kiểm soát phát hiện (Detective controls)

Nhằm phát hiện rủi ro hoặc sai sót khi đang xảy ra hoặc vừa xảy ra.

Ví dụ:

• Kiểm tra chéo
• Giám sát tuân thủ
• Kiểm tra hồ sơ

Vai trò:

• Ngăn sai sót lan rộng

3.3. Kiểm soát khắc phục (Corrective controls)

Nhằm giảm hậu quả sau khi rủi ro xảy ra.

Ví dụ:

• Quy trình xử lý sự cố
• Cơ chế báo cáo và phản hồi

Vai trò:

• Giảm thiệt hại
• Khôi phục hệ thống

Một hệ thống hiệu quả cần kết hợp cả ba loại, nhưng nên:

• Ưu tiên kiểm soát phòng ngừa
• Hạn chế phụ thuộc vào kiểm soát sau

4. Mối liên hệ giữa mức độ rủi ro và biện pháp kiểm soát

Không phải mọi rủi ro đều cần mức kiểm soát như nhau. Cần điều chỉnh:

• Rủi ro cao:
  • Kiểm soát chặt chẽ
  • Nhiều lớp kiểm soát
  • Giám sát thường xuyên
• Rủi ro trung bình:
  • Kiểm soát hợp lý
  • Theo dõi định kỳ
• Rủi ro thấp:
  • Kiểm soát tối thiểu
  • Có thể chấp nhận

Nếu không phân biệt:

• Dễ gây quá tải hệ thống
• Hoặc bỏ sót rủi ro quan trọng

5. Ví dụ trong thực tế bệnh viện

Tình huống: Rủi ro nhầm bệnh nhân

Biện pháp kiểm soát:

• Phòng ngừa:
  • Sử dụng vòng định danh
  • Quy định xác nhận 2 thông tin
• Phát hiện:
  • Kiểm tra chéo trước khi thực hiện thủ thuật
• Khắc phục:
  • Quy trình báo cáo sự cố
  • Xử lý và đánh giá lại hệ thống

Kết quả:

• Giảm đáng kể nguy cơ sai sót nghiêm trọng

6. Sai lầm phổ biến trong kiểm soát rủi ro

Một số sai lệch thường gặp:

• Chỉ thêm bước kiểm tra mà không thay đổi quy trình
• Thiết kế kiểm soát nhưng không triển khai thực tế
• Biện pháp quá phức tạp, khó tuân thủ
• Không đánh giá hiệu quả kiểm soát
• Không cập nhật khi hệ thống thay đổi

Những sai lệch này khiến:

• Kiểm soát trở thành hình thức
• Không giảm được rủi ro thực sự

7. Kiểm soát rủi ro và văn hóa tổ chức

Hiệu quả của kiểm soát không chỉ phụ thuộc vào thiết kế, mà còn phụ thuộc vào:

• Nhận thức của nhân viên
• Mức độ tuân thủ
• Văn hóa an toàn

Nếu nhân viên:

• Không hiểu ý nghĩa kiểm soát
• Xem đó là thủ tục

Thì dù thiết kế tốt, hiệu quả vẫn thấp.

8. Mối liên hệ với các nội dung trước

Kiểm soát rủi ro gắn chặt với:

• Quy trình → nơi tích hợp kiểm soát
• Đo lường → theo dõi hiệu quả kiểm soát
• Dữ liệu → đánh giá và điều chỉnh
• Cải tiến → nâng cao biện pháp kiểm soát

Nếu không tích hợp, kiểm soát sẽ rời rạc và kém hiệu quả.

9. Hàm ý cho triển khai thực tế

Để triển khai hiệu quả, tổ chức cần:

• Ưu tiên kiểm soát tại các điểm rủi ro cao
• Tích hợp kiểm soát vào quy trình
• Đào tạo nhân viên về mục tiêu kiểm soát
• Theo dõi và đánh giá định kỳ
• Điều chỉnh khi có thay đổi

Quan trọng hơn, cần thay đổi cách nhìn:

• Không coi kiểm soát là “giám sát để bắt lỗi”
• Mà là thiết kế hệ thống để vận hành an toàn

Kiểm soát và giảm thiểu rủi ro là bước chuyển từ phân tích sang hành động trong quản lý rủi ro. Khi được thực hiện đúng, tổ chức không chỉ giảm thiểu sai sót, mà còn nâng cao độ ổn định và tin cậy của toàn bộ hệ thống. Đây là nền tảng để tiến tới bước cao hơn: phòng ngừa và cải tiến dựa trên rủi ro, giúp hệ thống không ngừng hoàn thiện một cách chủ động và bền vững.