Ma trận rủi ro "mỗi người chấm một kiểu": lập kế hoạch quản lý rủi ro trước

Tình huống minh hoạ

Trong buổi phân tích rủi ro định tính của một dự án (giả định) xây dựng hệ thống quản lý bệnh viện, rủi ro "đối tác chậm cung cấp dữ liệu danh mục thuốc" nhận ba đánh giá khác nhau: trưởng nhóm kỹ thuật chấm xác suất "cao", trưởng nhóm nghiệp vụ chấm "trung bình", còn đại diện chủ đầu tư chấm tác động "rất cao" vì lo ảnh hưởng uy tín. Cuộc họp kéo dài hai giờ mà chưa thống nhất được thứ tự ưu tiên của mười rủi ro đầu tiên.

Nguyên nhân không nằm ở chuyện ai đúng ai sai. Mỗi người đang dùng thang đo riêng trong đầu — vì dự án chưa có kế hoạch quản lý rủi ro định nghĩa thế nào là "cao", "trung bình" hay "thấp".

Phân tích theo PMBOK® Guide

PMBOK® Guide – Sixth Edition đặt quy trình Plan Risk Management trước các quy trình nhận diện và phân tích rủi ro. Đầu ra là risk management plan, có thể gồm:

• Chiến lược rủi ro (risk strategy) và phương pháp luận (methodology).
• Vai trò và trách nhiệm; nguồn kinh phí; thời điểm và tần suất các hoạt động quản lý rủi ro.
• Danh mục rủi ro, thường dùng risk breakdown structure (RBS).
• Khẩu vị rủi ro của các bên liên quan (stakeholder risk appetite).
• Định nghĩa xác suất và tác động của rủi ro.
• Ma trận xác suất – tác động (probability and impact matrix).
• Định dạng báo cáo và cách theo dõi.

Hai khái niệm thường bị nhầm:

• Risk appetite (khẩu vị rủi ro): mức độ bất định mà tổ chức hoặc cá nhân sẵn sàng chấp nhận để đổi lấy lợi ích kỳ vọng.
• Risk threshold (ngưỡng rủi ro): mức phơi nhiễm rủi ro mà trên đó rủi ro phải được xử lý, dưới đó có thể chấp nhận. Ngưỡng là cách biến khẩu vị thành con số đo được.

PMBOK® Guide – Seventh Edition, trong Uncertainty Performance Domain, cũng đề cập khẩu vị và ngưỡng rủi ro; còn Planning Performance Domain nhấn mạnh việc lập kế hoạch phải tailoring theo bối cảnh — không có một thang đo đúng cho mọi dự án.

Cách xử lý đề xuất

1. Tạm dừng việc chấm điểm và thống nhất rằng đội cần định nghĩa chung trước khi tiếp tục.
2. Làm rõ khẩu vị rủi ro với sponsor và các bên chủ chốt. Ví dụ: "Không chấp nhận trễ mốc vận hành quá 4 tuần; mọi rủi ro liên quan an toàn dữ liệu bệnh nhân phải có kế hoạch ứng phó bất kể xác suất."
3. Định nghĩa thang đo xác suất và tác động cho từng mục tiêu. Ví dụ minh hoạ, cần tailoring cho từng dự án: