Bài 4. Tích hợp quản lý rủi ro vào vận hành

1. Vì sao phải tích hợp rủi ro vào vận hành?

Quản lý rủi ro chỉ có giá trị khi trở thành một phần của vận hành thường quy. Nếu rủi ro chỉ được đánh giá một lần trong năm, chỉ xuất hiện trong hồ sơ hoặc chỉ làm khi có đoàn kiểm tra, tổ chức khó phòng ngừa được sai sót thật. Rủi ro luôn thay đổi theo quy trình, con người, khối lượng công việc, công nghệ, khách hàng, quy định và môi trường. Vì vậy, quản lý rủi ro phải được cập nhật liên tục trong hoạt động hằng ngày.

Tích hợp quản lý rủi ro vào vận hành nghĩa là mọi quy trình quan trọng đều được xem xét điểm nguy cơ; mọi thay đổi lớn đều được đánh giá rủi ro trước khi triển khai; mọi sự cố đều được phân tích không chỉ để xử lý mà để phòng ngừa tái diễn; mọi chỉ số bất thường đều được xem như tín hiệu cảnh báo; và mọi biện pháp kiểm soát rủi ro đều được theo dõi hiệu quả.

Một tổ chức không cần tạo ra quá nhiều biểu mẫu rủi ro phức tạp. Điều quan trọng là đưa câu hỏi rủi ro vào đúng điểm của hệ thống quản lý: khi thiết kế quy trình, khi đào tạo, khi giám sát, khi họp chất lượng, khi cải tiến, khi đánh giá nội bộ và khi ra quyết định thay đổi.

2. Các điểm tích hợp quản lý rủi ro

Quản lý rủi ro có thể được tích hợp vào nhiều hoạt động vận hành.

Cách tích hợp này giúp rủi ro không bị tách thành một hệ thống song song. Rủi ro trở thành một góc nhìn trong mọi hoạt động quản lý chất lượng.

3. Tích hợp rủi ro vào xây dựng SOP

Khi xây dựng SOP, không nên chỉ mô tả trình tự công việc. Cần xác định bước nào dễ sai, sai thì hậu quả gì và cần kiểm soát ra sao.

Ví dụ, trong SOP tiếp nhận hồ sơ, bước kiểm tra tài liệu là bước nguy cơ cao. SOP cần quy định rõ sử dụng checklist, xử lý khi thiếu tài liệu, không chuyển hồ sơ khi chưa đủ điều kiện và ghi nhận lỗi để tổng hợp. Nếu SOP chỉ viết “kiểm tra hồ sơ đầy đủ” thì chưa đủ kiểm soát rủi ro.

Một SOP có tích hợp rủi ro nên có các nội dung:

• Điểm nguy cơ cao trong quy trình.
• Biện pháp kiểm soát tại điểm nguy cơ.
• Trách nhiệm kiểm tra hoặc xác nhận.
• Cách xử lý khi phát hiện không đạt.
• Hồ sơ hoặc dữ liệu cần ghi nhận.
• Chỉ số theo dõi liên quan.

4. Tích hợp rủi ro vào checklist

Checklist nên được thiết kế theo rủi ro. Không phải mọi bước trong quy trình đều cần đưa vào checklist. Checklist tốt tập trung vào những điểm nếu bỏ sót sẽ gây hậu quả hoặc thường xảy ra sai lệch.

Ví dụ, nếu lỗi thường gặp là thiếu tài liệu, nhập sai thông tin và thiếu chữ ký, checklist cần tập trung vào các điểm này. Không nên đưa quá nhiều mục ít giá trị khiến người dùng đánh dấu hình thức.

Khi một rủi ro mới được phát hiện, checklist cần được cập nhật. Ngược lại, nếu một mục checklist không còn rủi ro đáng kể hoặc không còn giá trị kiểm soát, có thể xem xét loại bỏ để giữ checklist gọn và hiệu quả.

5. Tích hợp rủi ro vào họp và dashboard

Rủi ro cần được đưa vào nhịp quản lý định kỳ. Các cuộc họp chất lượng hoặc giao ban không nên chỉ báo cáo hoạt động đã làm, mà cần xem xét các tín hiệu rủi ro.

Các tín hiệu có thể gồm:

• Chỉ số vượt ngưỡng cảnh báo.
• Sự cố hoặc gần sự cố mới.
• Lỗi nhỏ lặp lại nhiều lần.
• Tỷ lệ không tuân thủ checklist tăng.
• Khiếu nại hoặc phản ánh bất thường.
• Thay đổi quy trình, nhân sự, phần mềm, khối lượng công việc.
• Rủi ro cao chưa có biện pháp kiểm soát hoàn thành.

Dashboard rủi ro không cần quá phức tạp. Có thể bắt đầu bằng danh sách rủi ro trọng yếu, mức rủi ro hiện tại, chỉ số cảnh báo, biện pháp kiểm soát, người chịu trách nhiệm và tình trạng thực hiện.

6. Tích hợp rủi ro vào cải tiến chất lượng

Rủi ro là cơ sở quan trọng để chọn ưu tiên cải tiến. Không phải vấn đề nào nhiều nhất cũng là vấn đề cần cải tiến trước. Một vấn đề tần suất thấp nhưng hậu quả nghiêm trọng có thể cần ưu tiên cao hơn.

Khi lập kế hoạch cải tiến, tổ chức nên hỏi:

• Vấn đề này liên quan đến rủi ro nào?
• Nếu không cải tiến, hậu quả có thể là gì?
• Rủi ro hiện tại ở mức nào?
• Giải pháp cải tiến sẽ làm giảm khả năng xảy ra, giảm hậu quả hay tăng khả năng phát hiện?
• Sau cải tiến, rủi ro còn lại có chấp nhận được không?

Cách hỏi này giúp cải tiến gắn với phòng ngừa và an toàn hệ thống, không chỉ chạy theo chỉ số bề mặt.

7. Tích hợp rủi ro vào quản lý thay đổi

Mọi thay đổi đều có thể tạo rủi ro mới. Thay đổi quy trình, biểu mẫu, phần mềm, nhân sự, thiết bị, nhà cung cấp hoặc cách phân công đều có thể ảnh hưởng đến chất lượng. Vì vậy, trước khi triển khai thay đổi quan trọng, cần đánh giá rủi ro.

Một bảng đánh giá rủi ro trước thay đổi có thể gồm:

Đây là điểm rất quan trọng vì nhiều sự cố phát sinh không phải từ quy trình cũ, mà từ giai đoạn chuyển đổi sang cách làm mới.

8. Thiết lập danh mục rủi ro vận hành

Tổ chức nên có danh mục rủi ro vận hành cho các quy trình trọng yếu. Danh mục này không cần quá phức tạp nhưng phải sống, nghĩa là được cập nhật khi có dữ liệu mới.

Một danh mục rủi ro có thể gồm:

Danh mục này nên được rà soát định kỳ, đặc biệt khi có sự cố, chỉ số xấu hoặc thay đổi quy trình.

9. Lỗi thường gặp khi tích hợp rủi ro

Lỗi thứ nhất là tách quản lý rủi ro thành hồ sơ riêng, không liên quan đến vận hành. Khi đó, rủi ro được ghi nhận nhưng không ai sử dụng.

Lỗi thứ hai là chỉ cập nhật rủi ro theo định kỳ hành chính, không cập nhật khi có thay đổi thực tế.

Lỗi thứ ba là không giao trách nhiệm cụ thể. Rủi ro không có chủ sở hữu sẽ không được kiểm soát.

Lỗi thứ tư là biện pháp kiểm soát không đo được. Ví dụ, “tăng cường giám sát” nhưng không rõ giám sát gì, ai làm, tần suất nào, kết quả ghi ở đâu.

Lỗi thứ năm là không theo dõi rủi ro còn lại. Sau khi kiểm soát, tổ chức không biết rủi ro đã giảm chưa.

Lỗi thứ sáu là văn hóa không khuyến khích báo cáo nguy cơ. Khi nhân viên ngại nói về rủi ro, hệ thống mất cảnh báo sớm.

10. Checklist tích hợp quản lý rủi ro vào vận hành

11. Kết luận của bài

Tích hợp quản lý rủi ro vào vận hành là bước chuyển quan trọng từ quản lý rủi ro hình thức sang phòng ngừa thực chất. Rủi ro không nên chỉ nằm trong một bảng đánh giá riêng, mà phải đi vào SOP, checklist, đào tạo, dashboard, họp chất lượng, đánh giá nội bộ, quản lý thay đổi và cải tiến.

Bài học quan trọng là: quản lý rủi ro hiệu quả không phải là có một danh mục rủi ro thật dài, mà là làm cho mỗi rủi ro trọng yếu đều có kiểm soát cụ thể, có người chịu trách nhiệm và có dữ liệu theo dõi trong vận hành hằng ngày.