Rủi ro gồm cả đe doạ và cơ hội: kế hoạch quản lý rủi ro, nhận diện, phân tích định tính và định lượng, chiến lược ứng phó, chủ sở hữu rủi ro, theo dõi yếu tố kích hoạt, rủi ro tồn dư, rủi ro thứ phát và rủi ro tổng thể dự án.
Rủi ro (risk) là một sự kiện hoặc điều kiện không chắc chắn, nếu xảy ra, sẽ tác động tích cực hoặc tiêu cực đến ít nhất một mục tiêu của dự án. Hai chữ "tích cực" thường bị quên: rủi ro bao gồm cả đe doạ (threat) và cơ hội (opportunity). Lĩnh vực Rủi ro của PMBOK® Guide 8 giúp dự án chủ động với sự không chắc chắn thay vì bị động chạy theo sự cố.
Rủi ro khác vấn đề
Rủi ro: chưa xảy ra, có xác suất. Quản lý bằng sổ đăng ký rủi ro và kế hoạch ứng phó.
Vấn đề (issue): đã xảy ra, đang ảnh hưởng. Quản lý bằng nhật ký vấn đề và hành động xử lý.
Khi một rủi ro xảy ra, nó trở thành vấn đề; nếu đã có kế hoạch ứng phó, đội thực hiện kế hoạch đó; nếu chưa lường trước, đội dùng giải pháp tình thế (workaround).
Quy trình quản lý rủi ro
Lập kế hoạch quản lý rủi ro: phương pháp, vai trò, ngân sách, thời điểm, phân loại (thường dùng cấu trúc phân rã rủi ro — RBS: kỹ thuật, quản lý, thương mại, bên ngoài…), thang đo xác suất và tác động, khẩu vị rủi ro và của bên liên quan.
ngưỡng rủi ro
Nhận diện rủi ro: động não, phỏng vấn chuyên gia, danh mục kiểm tra, phân tích giả định và ràng buộc, SWOT, bài học kinh nghiệm. Viết rủi ro theo cấu trúc nguyên nhân – sự kiện – hệ quả: "Do nhà cung cấp duy nhất ở nước ngoài (nguyên nhân), thiết bị có thể giao trễ (sự kiện), làm chậm mốc chạy thử 4 tuần (hệ quả)."
Phân tích định tính: chấm xác suất và tác động, xếp hạng bằng ma trận xác suất – tác động; xét thêm mức khẩn cấp, khả năng phát hiện, mức gần (proximity).
Phân tích định lượng (khi cần, cho dự án lớn, rủi ro cao): mô phỏng Monte Carlo, giá trị tiền tệ kỳ vọng (EMV), cây quyết định, biểu đồ lốc xoáy (độ nhạy).
Lập kế hoạch ứng phó: chọn chiến lược, giao chủ sở hữu rủi ro, xác định yếu tố kích hoạt, lập dự phòng.
Thực hiện ứng phó: chủ sở hữu thực hiện khi yếu tố kích hoạt xuất hiện.
Theo dõi rủi ro: cập nhật sổ đăng ký, đánh giá hiệu quả ứng phó, nhận diện rủi ro mới, kiểm toán rủi ro, rà soát dự phòng còn lại.
Ví dụ chấm điểm định tính
Thang xác suất 0,1 – 0,3 – 0,5 – 0,7 – 0,9; thang tác động 0,05 – 0,1 – 0,2 – 0,4 – 0,8. Rủi ro "giao thiết bị trễ" có xác suất 0,5, tác động 0,4 → điểm 0,5 × 0,4 = 0,20. Nếu kế hoạch quy định từ 0,18 trở lên là "cao", rủi ro này cần chủ sở hữu và kế hoạch ứng phó chủ động.
Chiến lược ứng phó
Đe doạ
Cơ hội
Leo thang (escalate): vượt thẩm quyền dự án, chuyển cho cấp phù hợp
Leo thang
Né tránh (avoid): loại bỏ nguyên nhân, đổi kế hoạch
Khai thác (exploit): làm cho chắc chắn xảy ra
Chuyển giao (transfer): bảo hiểm, hợp đồng, bảo lãnh
Chia sẻ (share): hợp tác với bên nắm bắt tốt hơn
Giảm thiểu (mitigate): giảm xác suất hoặc tác động
Tăng cường (enhance): tăng xác suất hoặc lợi ích
Chấp nhận (accept): chủ động (lập dự phòng) hoặc bị động
Chấp nhận
Với rủi ro tổng thể dự án (mức độ không chắc chắn của cả dự án), các chiến lược tương tự được áp dụng ở cấp toàn dự án, ví dụ thay đổi phạm vi, cách tiếp cận hoặc thậm chí huỷ dự án nếu rủi ro vượt ngưỡng chấp nhận.
Sau khi ứng phó
Rủi ro tồn dư (residual risk): phần rủi ro còn lại sau khi đã ứng phó — thường được chấp nhận và có dự phòng.
Rủi ro thứ phát (secondary risk): rủi ro mới phát sinh do chính biện pháp ứng phó. Ví dụ thuê nhà thầu phụ để giảm rủi ro chậm tiến độ lại tạo rủi ro chất lượng của nhà thầu phụ.
Kế hoạch dự phòng (contingency plan) thực hiện khi yếu tố kích hoạt xảy ra; kế hoạch dự phòng thứ cấp (fallback plan) dùng khi kế hoạch dự phòng không hiệu quả.
Rủi ro trong agile
Agile giảm rủi ro bằng cấu trúc làm việc: vòng lặp ngắn phát hiện sai sớm; bàn giao thường xuyên giảm rủi ro "làm sai sản phẩm"; spike (thử nghiệm kỹ thuật có khung thời gian) giảm bất định công nghệ; rủi ro được đưa vào backlog và thảo luận trong lập kế hoạch Sprint, buổi cải tiến. Bảng rủi ro có thể là một phần của bảng thông tin trực quan.
Ví dụ: dự án xây nhà máy ở Bình Dương
Đội nhận diện 42 rủi ro theo RBS. Rủi ro "mùa mưa làm chậm san nền" (đe doạ) được giảm thiểu bằng cách dời san nền lên trước tháng 5 và dự phòng 2 tuần. Rủi ro "giá thép tăng" được chuyển giao một phần bằng hợp đồng giá cố định với nhà cung cấp. Rủi ro "khu công nghiệp được nâng cấp đường điện sớm" (cơ hội) được tăng cường bằng cách nộp hồ sơ đấu nối sớm. Rủi ro "thay đổi chính sách ưu đãi thuế" vượt thẩm quyền dự án nên được leo thang cho ban giám đốc. Mỗi rủi ro cao đều có chủ sở hữu và yếu tố kích hoạt cụ thể.
Khẩu vị rủi ro và ngưỡng rủi ro
Khẩu vị rủi ro (risk appetite) là mức độ không chắc chắn mà tổ chức sẵn sàng chấp nhận để đổi lấy lợi ích — nói chung, định tính. Ngưỡng rủi ro (risk threshold) là mức đo được cụ thể, ví dụ "không chấp nhận khả năng vượt ngân sách quá 5%" hoặc "mọi rủi ro an toàn lao động đều phải được giảm thiểu". Một công ty khởi nghiệp có khẩu vị cao với rủi ro công nghệ; một bệnh viện có khẩu vị gần bằng 0 với rủi ro an toàn người bệnh. Ngưỡng được ghi trong kế hoạch quản lý rủi ro và quyết định rủi ro nào cần hành động.
Đối chiếu PMBOK 7 → 8
PMBOK 7 gọi lĩnh vực này là "Sự không chắc chắn (Uncertainty)", bàn rộng về mơ hồ, phức tạp, biến động. PMBOK 8 dùng tên Rủi ro, quay lại cách tổ chức quen thuộc hơn nhưng vẫn giữ tinh thần xử lý bất định rộng. Liên hệ đề thi: task BE5 (lập kế hoạch và quản lý rủi ro) của ECO 2026. Tính toán EMV và cây quyết định có ở bài Phân tích rủi ro định lượng.
Điểm cần nhớ
Rủi ro gồm cả đe doạ và cơ hội; rủi ro chưa xảy ra, vấn đề đã xảy ra.
Viết rủi ro theo cấu trúc nguyên nhân – sự kiện – hệ quả; chấm xác suất × tác động theo thang trong kế hoạch quản lý rủi ro.
Đe doạ: leo thang, né tránh, chuyển giao, giảm thiểu, chấp nhận; cơ hội: leo thang, khai thác, chia sẻ, tăng cường, chấp nhận.
Mỗi rủi ro quan trọng cần chủ sở hữu và yếu tố kích hoạt; theo dõi rủi ro tồn dư và rủi ro thứ phát.
Mẹo thi PMP
Rủi ro vượt thẩm quyền của dự án (chính sách, chiến lược) → leo thang, không cố tự xử lý.
Rủi ro đã nhận diện xảy ra → thực hiện kế hoạch ứng phó đã có; sự kiện chưa lường trước → giải pháp tình thế, rồi cập nhật sổ đăng ký.
Thuật ngữ chính
Kế hoạch quản lý rủi ro · Risk Management Plan
Kế hoạch thành phần mô tả cách dự án tổ chức quản lý rủi ro: phương pháp, vai trò, ngân sách và thời điểm cho hoạt động rủi ro, phân loại rủi ro (RBS), thang đo xác suất và tác động, khẩu vị và ngưỡng rủi ro của bên liên quan, mẫu báo cáo và cách theo dõi. Không chứa danh sách rủi ro cụ thể — đó là việc của sổ đăng ký rủi ro.
Sơ đồ phân cấp các nguồn rủi ro tiềm ẩn của dự án, ví dụ cấp 1 gồm kỹ thuật, quản lý, thương mại, bên ngoài; mỗi nhóm lại chia nhỏ hơn (bên ngoài → pháp lý, thời tiết, tỷ giá…). RBS thường nằm trong kế hoạch quản lý rủi ro, dùng làm danh mục gợi ý khi nhận diện rủi ro để không bỏ sót nhóm nào, và để gom rủi ro theo nguồn khi phân tích, tìm ra vùng tập trung nhiều rủi ro.
Ma trận xác suất – tác động · Probability and Impact Matrix
Lưới dùng trong phân tích định tính rủi ro, ánh xạ xác suất xảy ra của mỗi rủi ro với tác động lên mục tiêu dự án để xếp hạng ưu tiên (thường thành vùng cao – trung bình – thấp). Điểm rủi ro = xác suất × tác động theo thang đã định nghĩa trong kế hoạch quản lý rủi ro. Có thể dùng ma trận riêng cho mối đe doạ và cơ hội; ranh giới các vùng phản ánh ngưỡng rủi ro của tổ chức.
Ngưỡng rủi ro · Risk Threshold
Mức độ phơi nhiễm rủi ro đo lường được, vượt quá mức đó thì rủi ro phải được xử lý (ứng phó hoặc báo cáo lên cấp trên). Ngưỡng là cách lượng hoá khẩu vị rủi ro của tổ chức.
Yếu tố kích hoạt rủi ro · Risk Trigger
Dấu hiệu hoặc sự kiện cảnh báo một rủi ro sắp xảy ra hoặc đã xảy ra, dùng làm điều kiện để thực hiện kế hoạch dự phòng. Trigger nên cụ thể và đo được (ngưỡng số liệu, mốc thời gian, sự kiện quan sát được), được ghi cùng rủi ro trong sổ đăng ký và giao cho người phụ trách rủi ro (risk owner) theo dõi.
Rủi ro tồn dư · Residual Risk
Phần rủi ro vẫn còn lại sau khi các biện pháp ứng phó đã được thực hiện. Rủi ro tồn dư được dự kiến và chấp nhận có chủ đích; nó cần được ghi trong sổ đăng ký rủi ro, theo dõi tiếp và thường được bao phủ bằng dự phòng rủi ro (contingency reserve) hoặc kế hoạch dự phòng. Không nhầm với rủi ro thứ phát — loại rủi ro mới sinh ra do chính hành động ứng phó.
Rủi ro thứ phát · Secondary Risk
Rủi ro phát sinh trực tiếp do việc thực hiện một biện pháp ứng phó rủi ro. Khi lập kế hoạch ứng phó, đội phải nhận diện, phân tích và lên ứng phó cho cả rủi ro thứ phát, rồi ghi vào sổ đăng ký rủi ro; nếu rủi ro thứ phát lớn hơn rủi ro ban đầu thì nên cân nhắc chiến lược ứng phó khác.
Chiến lược leo thang rủi ro · Escalate (Risk Response Strategy)
Chiến lược ứng phó dùng cho cả mối đe doạ và cơ hội khi rủi ro nằm ngoài phạm vi dự án hoặc vượt thẩm quyền của PM. Rủi ro được chuyển cho cấp phù hợp (chương trình, danh mục, đơn vị khác) và người nhận phải chấp nhận trách nhiệm. Sau khi leo thang, đội dự án không còn theo dõi nó nữa, dù có thể vẫn ghi trong sổ đăng ký để tham khảo. Khác với "báo cáo cấp trên vì ngại quyết định".
Theo PMBOK® Guide – Ấn bản 8 (PMI, 2025): 6 nguyên tắc, 7 lĩnh vực hiệu suất, 5 nhóm trọng tâm với 40 quy trình không bắt buộc. PMBOK là nhãn hiệu đã đăng ký của Project Management Institute.