Sẵn sàng — đó là phương châm của Hướng đạo sinh, một phong trào xã hội thanh niên quốc tế được thành lập vào đầu thế kỷ 20. Và điều đó hoàn toàn có lý. Để trở nên hữu ích và giúp đỡ người khác, bạn cần phải chuẩn bị sẵn sàng cho những rủi ro và mối đe dọa tiềm ẩn.
Điều này cũng đúng trong kinh doanh, đó là lý do tại sao lĩnh vực quản lý rủi ro không ngừng phát triển. Cho dù đó là cuộc tấn công từ chối dịch vụ phân tán [DDoS] vào máy chủ của bạn, xung đột chính trị ảnh hưởng đến chuỗi cung ứng của bạn, thiên tai phá hủy tài sản của bạn hay một công ty khởi nghiệp ra mắt sản phẩm cạnh tranh, mọi doanh nghiệp đều dễ gặp phải vô số rủi ro.
Trong bài đăng trên blog này, chúng tôi khám phá một phần quan trọng và ban đầu của chiến lược quản lý rủi ro của bạn: Đánh giá rủi ro. Chúng tôi cho bạn thấy lý do tại sao bạn cần đánh giá rủi ro, cách thực hiện và những công cụ giúp bạn hoàn thành công việc.
Hiểu về Đánh giá Rủi ro
Hãy bắt đầu với những kiến thức cơ bản: Đánh giá rủi ro là gì?
Đánh giá rủi ro là nghiên cứu chiến lược và định kỳ để xác định các mối nguy hiểm tiềm ẩn cho hoạt động kinh doanh.
Một đánh giá rủi ro tốt bao gồm:
Bản chất: Phần này của báo cáo đánh giá rủi ro định nghĩa rủi ro. Ví dụ, bạn có thể định nghĩa rủi ro là "vi phạm Quy định chung về bảo vệ dữ liệu [GDPR] sẽ dẫn đến phạt tiền khi sản phẩm được ra mắt tại khu vực EU"
Lý do: Điều này phức tạp hơn một chút. Việc không tuân thủ GDPR có thể là kết quả của việc không đầu tư thời gian hoặc không ưu tiên vấn đề này. Tuy nhiên, nếu bạn đang xem xét một rủi ro như thiên tai, thì lý do có thể rất nhiều và thường nằm ngoài tầm kiểm soát của bạn. Vì vậy, hãy sử dụng phần này một cách thận trọng.
Khả năng xảy ra: Khả năng rủi ro xảy ra và sự kiện bất lợi xảy ra là bao nhiêu? Nếu bạn không tuân thủ GDPR, bạn sẽ không phải đối mặt với rủi ro cho đến khi bạn tương tác với "chủ thể dữ liệu" ở EU, có thể là một cá nhân, công ty hoặc thậm chí là khách truy cập. Điều này có nghĩa là nếu khách hàng của bạn ở Mỹ sử dụng sản phẩm của bạn khi đi du lịch đến Pháp, bạn sẽ có nguy cơ vi phạm quy định.
Tác động tiềm ẩn: Trong phần này của nghiên cứu, bạn đo lường ý nghĩa của việc bạn phải chịu rủi ro đó. Ví dụ: việc không tuân thủ GDPR có thể bị phạt tới 4% doanh thu toàn cầu hoặc 20 triệu euro.
Rủi ro so với nguy hiểm
Các thuật ngữ "rủi ro" và "nguy hiểm" thường được sử dụng thay thế cho nhau, nhưng chúng có ý nghĩa khác nhau, đặc biệt trong bối cảnh an toàn và quản lý rủi ro.
Mối nguy hiểm là bất kỳ thứ gì có khả năng gây hại, thương tích hoặc thiệt hại. Điều này bao gồm các đối tượng vật lý, chất hoặc điều kiện đe dọa đến sức khỏe và an toàn. Bạn không thể đo lường mối nguy hiểm.
Rủi ro là khả năng hoặc xác suất một mối nguy hiểm thực sự gây ra thiệt hại hoặc tác động bất lợi. Rủi ro bao gồm cả sự xuất hiện và mức độ nghiêm trọng của thiệt hại tiềm ẩn. Rủi ro có thể được định lượng thành cao, trung bình hoặc thấp dựa trên khả năng xảy ra và mức độ nghiêm trọng.
Hãy tìm hiểu sự khác biệt giữa hai khái niệm này bằng một số ví dụ. Trong quá trình đánh giá rủi ro môi trường, bạn có thể gặp phải những nguy cơ sau đây.
- Thiên tai như động đất, lũ lụt, bão, sạt lở đất
- Nguy cơ sinh học, bao gồm các loài xâm lấn, dịch bệnh và đại dịch, hiện tượng tảo độc nở hoa
- Nguy hiểm hóa chất như sự cố tràn dầu, ô nhiễm kim loại nặng, thuốc trừ sâu
Các rủi ro tương ứng sẽ là:
- Rủi ro đối với tài sản và tính mạng
- Rủi ro đối với hệ sinh thái dẫn đến mất đa dạng sinh học
- Rủi ro đối với an ninh lương thực, sức khỏe và tác động kinh tế từ hạn hán, ô nhiễm thành phố và căng thẳng môi trường gia tăng
Trong môi trường làm việc, một số nguy hiểm thường gặp là:
- Các nguy cơ an toàn như sàn ướt, dây điện lộ ra ngoài hoặc máy móc không có rào chắn
- Các mối nguy hiểm trong điều kiện công việc, chẳng hạn như tiếng ồn, ánh sáng và nhiệt độ
- Nguy cơ về ergonomics như vị trí làm việc không hợp lý
Các rủi ro liên quan có thể bao gồm:
- Chấn thương
- Bệnh tật
- Trải nghiệm nhân viên kém
- Tỷ lệ thôi việc
- Mất uy tín kinh doanh
Các ví dụ trên cho thấy có nhiều loại rủi ro khác nhau. Hãy tìm hiểu những loại rủi ro phổ biến nhất trước tiên.
Các loại đánh giá rủi ro
Bạn có thể thực hiện đánh giá rủi ro theo nhiều chiều. Ví dụ: dựa trên các loại rủi ro, bạn có thể thực hiện đánh giá rủi ro môi trường, rủi ro công nghệ, rủi ro tài chính, rủi ro tuân thủ, v.v. Bạn cũng có thể thực hiện đánh giá chung hoặc cụ thể, ví dụ: bạn có thể đánh giá rủi ro sức khỏe và an toàn trong toàn tổ chức hoặc tại các địa điểm cụ thể.
Trong các khía cạnh này, có một số loại đánh giá rủi ro phổ biến, chẳng hạn như:
Đánh giá rủi ro định lượng: Đo lường rủi ro và tác động tiềm ẩn bằng dữ liệu số.
Ví dụ: bạn có thể xác định rằng bạn có 30% khả năng xảy ra vi phạm dữ liệu, có thể gây ra thiệt hại 1 triệu đô la.
Đánh giá rủi ro định tính: Sử dụng phán đoán chủ quan và quan sát để phân loại rủi ro theo thang điểm từ thấp, trung bình đến cao về mức độ nghiêm trọng và khả năng xảy ra.
Ví dụ, một trung tâm dữ liệu có thể là "rủi ro cao" do địa điểm của nó nằm trong vùng động đất.
Đánh giá rủi ro cụ thể theo địa điểm: Đánh giá các điều kiện của một địa điểm cụ thể, chẳng hạn như công trường xây dựng hoặc giàn khoan dầu. Đây cũng có thể là các địa điểm ảo như trung tâm dữ liệu hoặc cơ sở hạ tầng đám mây của bạn.
Đánh giá rủi ro dựa trên tài sản: Xác định các rủi ro liên quan đến các tài sản cụ thể như hệ thống CNTT, thiết bị, phương tiện, v.v. Một số doanh nghiệp dịch vụ cũng bao gồm con người trong đánh giá rủi ro dựa trên tài sản của họ.
Đánh giá rủi ro dựa trên lỗ hổng: Xác định các điểm yếu trong hệ thống và môi trường. Đánh giá này mang tính nội bộ. Ví dụ, trong thế giới công nghệ, đánh giá lỗ hổng và kiểm tra xâm nhập [VAPT] là thực tiễn phổ biến.
Đánh giá rủi ro dựa trên mối đe dọa: Đánh giá rủi ro bằng cách kiểm tra các điều kiện gây ra rủi ro. Đây là cách nhìn từ bên ngoài. Ví dụ, một tổ chức tài chính có thể đánh giá rủi ro liên quan đến gian lận.
Đánh giá rủi ro động: Đánh giá liên tục theo thời gian thực, phản ứng với các tình huống cấp bách hoặc thay đổi.
Ví dụ: nhân viên ứng cứu khẩn cấp tiến hành đánh giá rủi ro động trong trường hợp hỏa hoạn để hiểu khả năng sập đổ của công trình.
Mặc dù đây là những loại phổ biến, nhưng chúng không loại trừ lẫn nhau. Ví dụ: bạn có thể thực hiện đánh giá định lượng cụ thể cho tài sản hoặc đánh giá động dựa trên mối đe dọa, v.v. Loại nào bạn sử dụng tùy thuộc vào thời điểm bạn thực hiện đánh giá.
Dòng thời gian đánh giá rủi ro
Có hai thời điểm mà các tổ chức thường tiến hành đánh giá: Định kỳ hoặc dựa trên các yếu tố kích hoạt.
Các khoảng thời gian định kỳ
Việc xác định rủi ro tài chính thường được thực hiện hàng năm. Đánh giá bảo mật thông tin có thể được thực hiện hàng quý. Tùy thuộc vào loại hình kinh doanh và loại đánh giá, các tổ chức sẽ quyết định lịch trình.
Kích hoạt
Đôi khi, các mối nguy hiểm, rủi ro hoặc tình huống kinh doanh mới nổi kích hoạt nhu cầu đánh giá. Đó có thể là:
- Trước khi thực hiện đánh giá dự án, ra mắt sản phẩm hoặc mở một ngành dọc mới
- Trước khi có sự thay đổi về thiết bị, vật liệu, phần mềm hoặc lãnh đạo
- Sau một sự cố nghiêm trọng đã lộ ra một lỗ hổng bảo mật
- Để đáp ứng các thay đổi về quy định hoặc pháp luật
Với nền tảng đó, hãy cùng tìm hiểu cách thực hiện đánh giá rủi ro.
Các bước khóa trong việc thực hiện đánh giá rủi ro
Đánh giá rủi ro là một trong những khía cạnh quan trọng nhất của bất kỳ hoạt động kinh doanh nào. Chúng giúp ngăn chặn kết quả xấu. Đánh giá rủi ro tốt có thể tiết kiệm tiền, danh tiếng và thậm chí là tính mạng con người.
Vì vậy, việc thực hiện đánh giá rủi ro một cách toàn diện và hiệu quả là rất quan trọng. Dưới đây là hướng dẫn cơ bản về cách thực hiện.
1. Thiết lập hệ thống đánh giá rủi ro
Trước khi thực sự đánh giá bất cứ điều gì, hãy tạo khung quản lý dự án đánh giá rủi ro của bạn.
Xác định phạm vi
Bạn sẽ đánh giá những hàm, địa điểm, tài sản và quy trình nào? Mục tiêu của việc đánh giá là gì? Bạn có cần khám phá rủi ro chi phí dự án không? Bạn muốn xác định/tìm hiểu điều gì?
Xác định yêu cầu
Bạn sẽ cần bao nhiêu thời gian, nhân sự, ngân sách và tài sản để đánh giá rủi ro? Ví dụ: nếu bạn đang tiến hành đánh giá rủi ro đối với các đơn xin vay gian lận, bạn có thể cần các nhà khoa học dữ liệu mà công ty bạn chưa có. Hãy phác thảo rõ các yêu cầu này.
Đăng ký các bên liên quan
Ai sẽ tham gia và ở mức độ nào? Chỉ định vai trò và trách nhiệm cho mọi người. Tốt nhất, bạn sẽ cần một người quản lý rủi ro, một trưởng nhóm đánh giá, các chuyên gia về chủ đề và một đối tác kinh doanh.
Nghiên cứu các quy định và quy tắc
Bạn cần tuân thủ khung pháp lý nào trong công việc? Có quy tắc cụ thể nào bạn cần tuân thủ không? Báo cáo có phải được tạo và trình bày theo cách cụ thể cho cơ quan quản lý không?
Thiết lập các công cụ của bạn
Một quy trình kỹ lưỡng cần có một số danh sách kiểm tra cột mốc, mẫu đánh giá rủi ro, v.v. Một phần mềm quản trị, rủi ro và tuân thủ tốt, tức là phần mềm GRC, có thể đơn giản hóa đáng kể quy trình đánh giá đồng thời cải thiện độ chính xác và hiệu quả của kết quả.
Chọn một công cụ quản lý dự án đánh giá rủi ro như ClickUp để hỗ trợ bạn trong suốt quá trình này.
2. Xác định các nguy cơ
Sau khi thiết lập xong, đã đến lúc đánh giá khía cạnh đầu tiên của rủi ro, tức là mối nguy hiểm. Tùy thuộc vào loại đánh giá rủi ro, bạn có thể gặp phải các mối nguy hiểm khác nhau.
Ví dụ: nếu bạn đang thực hiện đánh giá rủi ro môi trường, bạn có thể xem xét các mối nguy hiểm sinh học và thiên tai. Nếu bạn đang đánh giá rủi ro về sự thay đổi nhân viên, bạn có thể khám phá các mối nguy hiểm về sức khỏe và an toàn như tai nạn tại nơi làm việc, đình công hoặc các mối nguy hiểm tâm lý xã hội như bắt nạt/căng thẳng, v.v.
Đối với việc xác định nguy cơ, bạn có thể thu thập dữ liệu từ:
Quan sát
Tiến hành kiểm tra địa điểm/tài sản/quy trình đang được đánh giá. Quan sát cẩn thận mọi khía cạnh và cách chúng tương tác với nhau.
Cuộc hội thoại
Nói chuyện với nhóm làm việc tại hiện trường. Hiểu những lo lắng của họ và những gì họ coi là rủi ro. [Bạn có thể không đồng ý với họ, nhưng luôn tốt khi lắng nghe].
Báo cáo lịch sử
Xem lại các báo cáo sự cố, khiếu nại, phân tích, khuyến nghị, v.v. từ trước đến nay. Nghiên cứu dữ liệu lịch sử về tai nạn hoặc sự cố để xác định các mối nguy hiểm dẫn đến chúng.
Tiêu chuẩn tham chiếu
Tham khảo các bảng dữ liệu an toàn và hướng dẫn sử dụng thiết bị để thu thập thông tin chi tiết về các rủi ro tiềm ẩn.
Cách đơn giản nhất để ghi chú mọi thứ bạn tìm thấy trong giai đoạn đánh giá này là sử dụng một công cụ như ClickUp Docs. Với tính năng cộng tác thời gian thực, các nhóm lớn có thể hợp nhất tất cả ghi chú của họ vào một nơi để xem xét và phân tích sau.
Bạn cũng có thể sử dụng bất kỳ mẫu đăng ký rủi ro nào có sẵn để hợp lý hóa quy trình này.
3. Đánh giá các rủi ro
Không phải mọi mối nguy hiểm đều là rủi ro. Bạn có thể đang xử lý hóa chất độc hại, nhưng với các biện pháp an toàn thích hợp, bạn có thể không gặp rủi ro tai nạn. Vì vậy, bước tiếp theo là đánh giá rủi ro — tìm hiểu xem có rủi ro phát sinh từ các mối nguy hiểm mà bạn đã xác định hay không.
Mẫu Bảng trắng Đánh giá rủi ro của ClickUp là một nơi tuyệt vời để thực hiện việc này. Phù hợp cho người mới bắt đầu, mẫu này cho phép bạn xác định và đánh giá rủi ro một cách có phương pháp. Khi hợp tác với một nhóm làm việc từ xa, bạn cũng có thể sử dụng mẫu Bảng trắng ClickUp này để brainstorming và đưa ra ý tưởng về các rủi ro của mình.
4. Đánh giá khả năng xảy ra và tác động
Một phần quan trọng của quy trình đánh giá là đánh giá khả năng xảy ra và tác động của các rủi ro đã được xác định.
- Khả năng xảy ra: Xác suất rủi ro xảy ra [Cao, Trung bình, Thấp]
- Tác động: Rủi ro sẽ ảnh hưởng đến đâu, ai và điều gì?
Đây cũng là bước mà hầu hết các tổ chức gặp khó khăn. Các giáo sư và chuyên gia rủi ro viết rằng "chúng ta có xu hướng quá tự tin về tính chính xác của dự báo và đánh giá rủi ro của mình, đồng thời quá hẹp hòi trong việc đánh giá phạm vi kết quả có thể xảy ra. "
Để tránh sai lầm này:
- Thận trọng là trên hết: Khi đối mặt với rủi ro, tốt hơn là lo lắng quá mức hơn là thiếu thận trọng
- Mở rộng: Phân tích rủi ro để hiểu cách các nhóm khác nhau sẽ bị ảnh hưởng và cách
- Phòng ngừa những điều bất ngờ: Trong quản lý rủi ro, không có điều gì gọi là bất ngờ vui vẻ. Luôn tìm kiếm nơi và thời điểm mà bất ngờ có thể xảy ra.
Ví dụ: nếu bạn có một tủ lạnh bị hỏng trong cửa hàng bán lẻ, hãy nghĩ xa hơn tác động của nó đối với lãng phí sản phẩm hoặc chi phí sửa chữa. Hãy xem xét khách hàng mua sản phẩm được bảo quản trong tủ lạnh đó có thể bị ốm như thế nào.
Một khung như Mẫu Đăng ký Rủi ro ClickUp giúp tổ chức tất cả thông tin này một cách hiệu quả.
Với mẫu này, bạn có thể ghi lại các rủi ro, xác suất xuất hiện, kế hoạch giảm thiểu và các biện pháp kiểm soát tại một nơi. Bạn cũng có thể theo dõi trạng thái, chỉ định quyền sở hữu và hợp nhất dữ liệu để xem xét sau này.
5. Ghi chép các quy trình hiện tại
Trừ khi đó là một rủi ro mới nổi, hầu hết các rủi ro đã có sẵn một số cơ chế phản ứng. Hãy ghi chép chi tiết các cơ chế này để có thể tối ưu hóa chúng trong các lần đánh giá tiếp theo.
Ba gồm các nội dung sau.
- Quyền sở hữu: Xác định ai chịu trách nhiệm về rủi ro và phản ứng
- Quy trình: Phác thảo quy trình làm việc sau khi xác định rủi ro, bao gồm các hành động, nguồn lực, thời hạn, cột mốc, KPI và các trách nhiệm khác
- Phụ thuộc: Các công việc hoặc nhóm có mối quan hệ phụ thuộc lẫn nhau như thế nào?
- Kiểm soát: Kế hoạch giảm thiểu rủi ro hoặc kế hoạch dự phòng hiện tại là gì?
6. Lên lịch đánh giá tiếp theo
Môi trường làm việc của bạn luôn thay đổi. Quy trình và tài liệu đánh giá rủi ro của bạn cần phản ánh điều này.
Lên lịch kiểm tra định kỳ
Thực hiện đánh giá rủi ro nửa năm một lần, hàng năm hoặc thậm chí thường xuyên hơn, tùy thuộc vào loại hình tổ chức. Nếu bạn đang làm việc trong một môi trường phát triển nhanh như an ninh mạng, bạn thậm chí có thể xem xét thực hiện đánh giá rủi ro và cảnh báo tự động liên tục.
Đọc thêm 📖: Giới thiệu về khung quản lý rủi ro an ninh mạng
Tương tác với nhân viên
Những người gần gũi nhất với thực tế là những người hiểu rõ nhất về rủi ro. Hãy thường xuyên trao đổi với họ và thu thập thông tin chi tiết và phản hồi. Trong quản lý dự án, điều này có thể đặc biệt quan trọng vì các chuyên gia về chủ đề và quản lý rủi ro có thể không nhìn thấy những phức tạp trong các hoạt động hàng ngày.
Sử dụng Mẫu phân tích rủi ro quản lý dự án của ClickUp để ghi lại các kết quả từ nhóm thực hiện.
Cập nhật thông tin
Rủi ro phát sinh từ các yếu tố nguy hiểm bên ngoài liên tục thay đổi. Các mối đe dọa an ninh mạng ngày càng trở nên phức tạp. Để ứng phó, các quy định pháp luật cũng đang được cập nhật. Hãy luôn đi trước xu hướng bằng cách chủ động thu thập thông tin.
Một quy trình đánh giá rủi ro được thiết lập tốt sẽ giúp bạn và nhóm của bạn lập kế hoạch cho mọi rủi ro tiềm ẩn, bao gồm cả những sự kiện bất ngờ. Bất kể lĩnh vực bị ảnh hưởng là gì, một phần mềm quản lý rủi ro mạnh mẽ sẽ rất hữu ích.
Công cụ để triển khai quy trình đánh giá rủi ro
Đánh giá rủi ro là một hoạt động dựa trên nghiên cứu. Nhóm thực hiện đánh giá rủi ro thường cần những điều sau đây.
- Tài liệu: Khả năng ghi chú các quan sát, lỗ hổng và các điểm quan trọng khác
- Mẫu: Khung, danh sách kiểm tra và mẫu đánh giá rủi ro như ma trận rủi ro để phân tích kết quả
- Công cụ trực quan: Các tính năng để brainstorming hoặc cộng tác với các nhóm từ xa để đạt được sự hiểu biết chung
- Chia sẻ và ghi lại: Khả năng chia sẻ báo cáo đánh giá với tất cả các bên liên quan có quyền truy cập thích hợp
Hầu hết các nhóm hiện nay sử dụng nhiều công cụ để đạt được điều này. Họ có thể sử dụng Tài liệu Google để ghi chú, bảng tính để lập danh sách kiểm tra, PDF để chia sẻ, v.v. Mặc dù phương pháp này phổ biến, nhưng cũng không hiệu quả.
Một công cụ tất cả trong một như ClickUp có thể là một công cụ thay đổi cuộc chơi cho các nhóm đánh giá rủi ro. Với ClickUp, bạn có thể tiến hành đánh giá, ghi chép kết quả, thực hiện phân tích và chia sẻ báo cáo của mình một cách an toàn, tất cả chỉ ở một nơi.
Hãy xem xét Mẫu Bảng trắng Phân tích rủi ro của ClickUp. Tại đây, bạn có thể thêm các rủi ro và phân loại chúng dựa trên xác suất và mức độ nghiêm trọng. Bao gồm các ghi chú dán về bất kỳ điểm tham chiếu nào.
Liên kết đến tài liệu, hình ảnh và các tệp khác trực tiếp từ mẫu bảng trắng. Từ đó, chỉ định quyền sở hữu và thiết lập các công việc để thực hiện chiến lược giảm thiểu rủi ro của bạn.
Giảm thiểu rủi ro với ClickUp
Khi rủi ro là điều không thể tránh khỏi, giải pháp duy nhất là chuẩn bị sẵn sàng. Đánh giá rủi ro chính là công cụ giúp bạn làm điều đó.
Chúng giúp bạn xem xét khả năng xảy ra sự cố và đảm bảo không bỏ sót các nguy hiểm. Chúng làm sáng tỏ mọi khả năng, từ các vấn đề về cổ tay và đau lưng đến bức xạ và sự cố tràn dầu.
Đánh giá rủi ro đảm bảo bạn ưu tiên và tạo ra môi trường làm việc an toàn hơn cho bạn và nhân viên của bạn. Chúng cũng cung cấp cho bạn cơ hội đưa ra quyết định dựa trên dữ liệu về phân bổ nguồn lực, ngân sách và đầu tư vào các biện pháp an toàn.
Đừng cắt giảm chi phí cho một hoạt động quan trọng như đánh giá rủi ro. Chọn một công cụ mạnh mẽ, toàn diện và hợp tác như ClickUp để tiến hành kiểm tra thường xuyên, cải thiện quy trình nội bộ, tạo kế hoạch quản lý rủi ro và tăng cường khả năng phục hồi của bạn.
ClickUp giúp bạn dễ dàng cập nhật và duy trì tính liên quan của các đánh giá rủi ro. Hứa đấy!
Đăng ký miễn phí và bắt đầu đánh giá rủi ro ngay hôm nay!