Họp rủi ro hằng tuần thành buổi đọc lại sổ: tách rà soát rủi ro khỏi kiểm toán quy trình quản lý rủi ro
Buổi họp rủi ro kéo dài một tiếng mà chỉ đọc lại từng dòng trong sổ là dấu hiệu quen thuộc của quản lý rủi ro "cho có". Bài viết phân biệt hai hoạt động hay bị gộp làm một — rà soát rủi ro định kỳ và kiểm toán rủi ro — và gợi ý chương trình họp, câu hỏi kiểm toán cụ thể.
Tình huống minh hoạ
Tình huống và số liệu dưới đây là giả định, dùng để minh hoạ.
Ban quản lý dự án đường dây truyền tải điện họp rủi ro mỗi sáng thứ Hai. Thư ký chiếu sổ rủi ro 48 dòng, đọc lần lượt từ trên xuống; mỗi chủ rủi ro trả lời "không có gì mới". Buổi họp kéo dài 60 phút, thường hết giờ ở dòng 30. Các dòng cuối — trong đó có rủi ro chậm giải phóng mặt bằng ở hai vị trí móng cột — ba tuần liền không ai nhắc đến.
Đến khi rủi ro đó xảy ra, đoàn kiểm tra của chủ đầu tư hỏi: "Biện pháp ứng phó đã lên từ tháng trước, vì sao không ai thực hiện?" Câu trả lời khiến cả ban giật mình: chủ rủi ro đã chuyển sang dự án khác từ lâu, sổ vẫn ghi tên anh.
Có hai vấn đề khác nhau ở đây: buổi họp rà soát không hiệu quả, và không ai kiểm tra xem chính quy trình quản lý rủi ro có vận hành không.
Rà soát rủi ro và kiểm toán rủi ro: hai việc khác nhau
| Rà soát rủi ro (risk review) | Kiểm toán rủi ro (risk audit) | |
|---|---|---|
| Câu hỏi chính | Rủi ro nào đã thay đổi? Cần hành động gì tuần này? | Quy trình quản lý rủi ro có được làm đúng và có hiệu quả không? |
| Tần suất | Thường xuyên — hằng tuần, mỗi sprint | Định kỳ hoặc tại các mốc lớn |
| Người thực hiện | Đội dự án, chủ rủi ro | Người ngoài đội: PMO, kiểm soát nội bộ, chuyên gia độc lập |
| Đầu ra | Sổ rủi ro cập nhật, hành động mới | Phát hiện và khuyến nghị cải tiến quy trình |
PMBOK® Guide xếp kiểm toán là một kỹ thuật của giám sát rủi ro, dùng để đánh giá hiệu quả của quy trình quản lý rủi ro. Tiêu chuẩn ISO 31000 cũng coi theo dõi, xem xét và cải tiến liên tục là một phần không tách rời của quá trình quản lý rủi ro. Gộp hai việc vào một buổi họp thường làm hỏng cả hai: buổi họp tuần quá dài, còn câu hỏi về chất lượng quy trình thì không ai đặt ra.
Thiết kế lại buổi rà soát hằng tuần: chỉ bàn điều đã thay đổi
Ban quản lý dự án thử chương trình 25 phút:
- Dấu hiệu kích hoạt (5 phút). Có rủi ro nào chạm ngưỡng kích hoạt (trigger) trong tuần? Nếu có, kích hoạt kế hoạch ứng phó ngay.
Tình huống liên quan
Hai rủi ro cùng điểm 0,18 nhưng một rủi ro sẽ đến trong hai tuần: thêm tính cấp bách, độ gần và khả năng phát hiện vào phân tích định tính
Ma trận xác suất – tác động cho hai rủi ro cùng một điểm số, nhưng một rủi ro có thể xảy ra ngay tuần sau và gần như không phát hiện trước được. Bài viết hướng dẫn bổ sung các tham số như tính cấp bách, độ gần, khả năng phát hiện và khả năng kiểm soát để xếp hạng rủi ro sát thực tế hơn.
Dự phòng 10% "theo lệ": tính dự phòng cho rủi ro đã biết từ EMV của cả mối đe doạ lẫn cơ hội
Nhiều dự án cộng một khoản dự phòng 10% mà không ai giải thích được từ đâu ra. Bài viết hướng dẫn tính khoản dự phòng cho rủi ro đã nhận diện từ giá trị tiền tệ kỳ vọng (EMV), bù trừ mối đe doạ với cơ hội, và chỉ ra khi nào phép cộng EMV không còn đủ.
Có nên chi 150 triệu khảo sát địa chất trước khi chọn phương án móng? Tính giá trị kỳ vọng của thông tin hoàn hảo (EVPI)
Trước một quyết định có nhiều bất định, đội dự án thường muốn "tìm hiểu thêm" — khảo sát, làm mẫu thử, thuê chuyên gia. Nhưng thông tin cũng tốn tiền và thời gian. Giá trị kỳ vọng của thông tin hoàn hảo (EVPI) cho biết mức trần mà việc tìm hiểu thêm đáng được chi.
Sổ rủi ro mỗi tuần một dài nhưng rủi ro có giảm không? Theo dõi tổng phơi nhiễm bằng biểu đồ risk burndown
Báo cáo rủi ro thường chỉ đếm số dòng trong sổ, và con số đó chẳng nói lên điều gì. Biểu đồ risk burndown theo dõi tổng mức phơi nhiễm qua từng sprint hoặc từng tháng, giúp đội dự án và nhà tài trợ thấy rủi ro có thực sự được "đốt" đi hay không.