AI Agent hỗ trợ quản lý danh mục rủi ro doanh nghiệp ra sao?

Sổ đăng ký rủi ro ở nhiều doanh nghiệp được cập nhật nghiêm túc đúng một lần mỗi năm, khi chuẩn bị báo cáo cho Hội đồng hoặc kiểm toán. Giữa hai lần đó, sự cố vẫn xảy ra hằng tuần ở các phòng: một lô hàng bị trả về vì sai nhãn, một nhà cung cấp chính chậm giao, một nhân viên gửi nhầm tệp có dữ liệu khách hàng. Những sự kiện này được xử lý tại chỗ, có khi được ghi trong email, nhưng hiếm khi quay về sổ rủi ro để cho thấy một rủi ro đã được đánh giá thấp đang thực sự xảy ra.

AI Agent có thể đóng vòng lặp đó: tiếp nhận sự kiện từ các phòng theo mẫu có cấu trúc, gợi ý xếp vào khung phân loại, liên kết với rủi ro đã có trong sổ, theo dõi chỉ số rủi ro chính, nhắc chủ sở hữu kiểm soát và soạn nháp báo cáo cho ban rủi ro. Mức đánh giá rủi ro và quyết định xử lý vẫn do con người đưa ra. Bài này khác một số bài gần chủ đề: thu thập bằng chứng cho kiểm toán nội bộ có ở bài AI thu thập bằng chứng kiểm toán, theo dõi thay đổi văn bản chính sách có ở bài AI theo dõi chính sách, còn rủi ro từ nghĩa vụ hợp đồng có ở bài AI theo dõi nghĩa vụ hợp đồng.

1. Sổ rủi ro chỉ có giá trị khi nó sống cùng vận hành

Một sổ rủi ro tốt trả lời được ba câu hỏi bất cứ lúc nào: doanh nghiệp đang đối mặt với những rủi ro trọng yếu nào, mỗi rủi ro đang được kiểm soát thế nào và kiểm soát đó có hoạt động không, tín hiệu nào cho thấy rủi ro đang tăng. Sổ chỉ trả lời được khi nó nhận dữ liệu liên tục từ vận hành: sự kiện thực tế, kết quả tự đánh giá kiểm soát, chỉ số đo được. Thiếu dòng dữ liệu này, sổ rủi ro trở thành danh sách được viết một lần rồi để đó.

Phần việc tốn công nhất trong quản lý rủi ro không phải là đánh giá, mà là thu gom và sắp xếp: nhận báo cáo sự kiện viết theo đủ kiểu, đoán nó thuộc rủi ro nào, đuổi theo chủ sở hữu kiểm soát để lấy xác nhận, gom số liệu chỉ số từ nhiều hệ thống. Đây là chỗ agent giúp được nhiều. Phần đánh giá mức khả năng và mức ảnh hưởng, chọn chấp nhận hay giảm thiểu, và báo cáo với Hội đồng là phần cần phán đoán, thuộc về chủ sở hữu rủi ro, bộ phận quản lý rủi ro và ban rủi ro.

2. Các yếu tố cần thiết kế

1. Khung phân loại rủi ro

Agent cần một khung phân loại thống nhất làm nền: các nhóm rủi ro lớn như chiến lược, tài chính, vận hành, tuân thủ, công nghệ và an toàn thông tin, con người, uy tín; dưới mỗi nhóm là các rủi ro cụ thể đã có trong sổ, mỗi rủi ro có mã, mô tả, nguyên nhân, hậu quả và chủ sở hữu. Khung này do bộ phận quản lý rủi ro ban hành và cập nhật, không để agent tự sinh nhóm mới.

Khi một sự kiện không khớp nhóm nào, agent đưa vào hàng chờ “chưa phân loại” cho chuyên viên rủi ro xem. Nếu hàng chờ này thường xuyên có các sự kiện cùng kiểu, đó là tín hiệu khung đang thiếu một rủi ro, và việc bổ sung là quyết định của bộ phận rủi ro.

2. Tiếp nhận sự kiện rủi ro và sự cố từ các phòng

Nhân viên ở các phòng báo sự kiện qua kênh quen thuộc như ứng dụng chat nội bộ hoặc biểu mẫu web. Agent hỏi theo khung có cấu trúc: chuyện gì xảy ra, khi nào, ở đâu, ảnh hưởng tới ai và tới đâu, đã xử lý tạm thời thế nào, có thiệt hại ước tính không, có liên quan khách hàng hay dữ liệu cá nhân không. Agent hỏi dần, không bắt người báo điền một biểu mẫu dài.

Hai loại sự kiện cần luồng riêng: sự kiện đang diễn ra cần xử lý khẩn, như sự cố an toàn thông tin hay tai nạn lao động, thì agent hướng dẫn liên hệ ngay đầu mối ứng phó và không giữ người báo lại để hỏi thêm; sự kiện “suýt xảy ra” tuy không gây thiệt hại nhưng rất có giá trị cho quản lý rủi ro, nên agent cần khuyến khích ghi nhận chứ không bỏ qua.

3. Gợi ý liên kết sự kiện với rủi ro trong sổ

Với mỗi sự kiện, agent đề xuất một hoặc vài rủi ro trong sổ mà sự kiện có thể thuộc về, kèm lý do ngắn: mô tả tương tự, cùng quy trình, cùng nguyên nhân. Agent cũng tìm sự kiện trùng lặp, vì cùng một sự cố có thể được hai phòng báo hai lần với cách mô tả khác nhau.

Chuyên viên rủi ro xác nhận hoặc sửa liên kết. Liên kết sai làm méo bức tranh: nếu mọi sự cố giao hàng đều bị gán vào rủi ro nhà cung cấp, trong khi nguyên nhân thật là quy trình kho, ban rủi ro sẽ đầu tư kiểm soát sai chỗ. Vì vậy tỷ lệ gợi ý bị sửa là chỉ số cần theo dõi sát trong giai đoạn đầu.

4. Thang đánh giá và người quyết định mức rủi ro

Doanh nghiệp thường dùng ma trận khả năng xảy ra nhân mức ảnh hưởng, với mô tả cụ thể cho từng mức: ảnh hưởng tài chính trong khoảng nào, ảnh hưởng đến khách hàng ra sao, có hệ quả pháp lý không. Agent có thể chuẩn bị thông tin cho người đánh giá: số sự kiện liên quan rủi ro này trong kỳ, thiệt hại ghi nhận, xu hướng KRI, tình trạng kiểm soát.

Agent không tự nâng hay hạ mức rủi ro. Khi dữ liệu cho thấy một rủi ro đang được đánh giá thấp, chẳng hạn số sự kiện liên quan tăng rõ, agent đưa ra đề nghị xem xét lại kèm dữ liệu, và chủ sở hữu rủi ro cùng bộ phận quản lý rủi ro quyết định. Lịch sử thay đổi mức rủi ro phải ghi ai quyết, khi nào, dựa vào đâu.

5. Chỉ số rủi ro chính KRI và ngưỡng

KRI là tín hiệu sớm của một rủi ro, ví dụ số ngày tồn kho của mặt hàng chiến lược, tỷ lệ nghỉ việc ở nhóm vị trí chủ chốt, số lỗ hổng nghiêm trọng chưa vá quá hạn, tỷ lệ doanh thu tập trung vào vài khách hàng lớn nhất. Mỗi KRI cần định nghĩa, nguồn dữ liệu, tần suất đo và các ngưỡng cảnh báo. Agent lấy số từ hệ thống nguồn ở chế độ chỉ đọc và so với ngưỡng.

6. Kiểm soát và chủ sở hữu kiểm soát

Mỗi rủi ro trong sổ gắn với các kiểm soát: phê duyệt hai cấp cho thanh toán lớn, đối chiếu tồn kho định kỳ, sao lưu dữ liệu hằng ngày, đào tạo an toàn lao động. Mỗi kiểm soát có chủ sở hữu và lịch tự đánh giá. Agent nhắc chủ sở hữu theo lịch, gửi mẫu tự đánh giá ngắn: kiểm soát có được thực hiện đúng không, có ngoại lệ nào, bằng chứng nằm ở đâu.

Agent không tự xác nhận kiểm soát hiệu quả. Nếu chủ sở hữu không phản hồi, agent báo lên bộ phận rủi ro chứ không đánh dấu “đạt”. Khi kiểm toán nội bộ cần kiểm tra kiểm soát, họ dùng hồ sơ tự đánh giá này làm điểm bắt đầu, còn việc thu thập bằng chứng độc lập là quy trình riêng của kiểm toán.

7. Kế hoạch xử lý và hạn hoàn thành

Với rủi ro vượt khẩu vị, ban rủi ro giao kế hoạch xử lý: bổ sung kiểm soát, chuyển giao qua bảo hiểm, thay đổi quy trình. Mỗi hành động có người chịu trách nhiệm, hạn và tiêu chí hoàn thành. Agent theo dõi các hành động này như một sổ việc, nhắc trước hạn, gom cập nhật và bằng chứng hoàn thành.

Hành động trễ hạn được đưa vào báo cáo kèm lý do do người chịu trách nhiệm nêu. Agent không đóng một hành động khi chưa có xác nhận của người giao việc, vì “đã ký hợp đồng bảo hiểm” và “rủi ro đã được chuyển giao đầy đủ” là hai điều khác nhau.

8. Nháp báo cáo cho ban rủi ro

Trước mỗi kỳ họp ban rủi ro, agent soạn nháp báo cáo: bản đồ nhiệt rủi ro trọng yếu, những rủi ro có thay đổi mức, KRI vượt ngưỡng, sự kiện đáng chú ý trong kỳ, tình trạng kiểm soát và kế hoạch xử lý. Phần nhận định và đề xuất do trưởng bộ phận quản lý rủi ro viết. Nếu tóm tắt rủi ro được đưa tiếp vào tài liệu gửi Hội đồng, cách ghép vào board pack có ở bài AI báo cáo Hội đồng quản trị.

Báo cáo cần nói rõ giới hạn dữ liệu: KRI nào mất số trong kỳ, phòng nào gần như không báo sự kiện. Một phòng không báo sự kiện nào thường không có nghĩa là phòng đó không có rủi ro, mà có thể là kênh báo chưa được dùng.

3. Quy trình triển khai thực tế

Bước 1: Làm sạch sổ rủi ro và chốt khung phân loại

Bộ phận quản lý rủi ro rà sổ hiện có: gộp rủi ro trùng, viết lại mô tả mơ hồ, gán chủ sở hữu còn thiếu, xác nhận thang đánh giá và khẩu vị rủi ro. Đây là việc của con người và không nên nhờ agent làm thay, vì nó định hình mọi thứ phía sau.

Bước 2: Mở kênh báo sự kiện có cấu trúc

Thiết kế khung câu hỏi cho từng loại sự kiện, luồng khẩn cấp và chính sách sử dụng thông tin người báo. Truyền thông cho các phòng về mục đích của kênh: học hỏi và phòng ngừa, không phải tìm người để phạt. Thử với hai ba phòng có nhiều sự kiện vận hành trước khi mở rộng.

Bước 3: Nối KRI và lịch tự đánh giá kiểm soát

Với mỗi KRI, xác định nguồn, truy vấn, tần suất và ngưỡng; cấp quyền đọc cho agent. Nhập danh sách kiểm soát và lịch tự đánh giá. Chạy thử một chu kỳ để kiểm tra số liệu khớp với số các phòng vẫn theo dõi, và lời nhắc đến đúng người.

Bước 4: Chạy một chu kỳ báo cáo cho ban rủi ro

Dùng bản nháp do agent soạn cho một kỳ họp ban rủi ro, song song với cách làm cũ. Ghi lại phần nào được dùng nguyên, phần nào phải sửa, thông tin nào thiếu. Điều chỉnh mẫu và quy tắc trước khi dùng agent làm nguồn chính cho báo cáo.

4. Ví dụ giả định

Một doanh nghiệp phân phối dược phẩm có sổ rủi ro gồm vài chục rủi ro trọng yếu, trong đó rủi ro “gián đoạn chuỗi lạnh” được đánh giá ở mức trung bình. Sau khi mở kênh báo sự kiện qua agent, nhân viên kho và giao vận bắt đầu báo những chuyện trước đây chỉ nói miệng: xe lạnh đến trễ khiến hàng phải chờ ngoài khu vực bảo quản, cửa kho lạnh bị mở lâu trong giờ cao điểm. Agent gợi ý liên kết các sự kiện này với rủi ro chuỗi lạnh, chuyên viên rủi ro xác nhận phần lớn và chuyển vài sự kiện sang rủi ro năng lực nhà vận chuyển.

Đến kỳ họp ban rủi ro, bản nháp cho thấy số sự kiện liên quan chuỗi lạnh tăng rõ, KRI “số lần nhiệt độ vượt ngưỡng ghi nhận từ logger” chạm ngưỡng cảnh báo, và kiểm soát “kiểm tra nhiệt độ khi nhận hàng” có chủ sở hữu chưa phản hồi tự đánh giá. Agent đưa đề nghị xem xét lại mức rủi ro kèm dữ liệu. Giám đốc vận hành, chủ sở hữu rủi ro, quyết định nâng mức và ban rủi ro giao kế hoạch bổ sung kiểm soát ở cửa kho. Đây là ví dụ giả định để minh họa.

5. Rủi ro và giới hạn

• Gợi ý phân loại sai được xác nhận vội, làm bức tranh rủi ro lệch khỏi nguyên nhân thật
• Người dùng coi gợi ý mức rủi ro của agent là đánh giá chính thức
• Kênh báo sự kiện bị nhìn như công cụ truy trách nhiệm nên các phòng ngừng báo
• Thông tin sự kiện nhạy cảm như sự cố dữ liệu cá nhân hay vụ việc nhân sự lộ ra ngoài nhóm được phép

Agent làm cho dữ liệu rủi ro đầy đủ và kịp thời hơn, nhưng chất lượng quản lý rủi ro vẫn phụ thuộc vào khung phân loại, khẩu vị rủi ro và năng lực phán đoán của những người đánh giá. Sự kiện nhạy cảm cần phân quyền chặt: sự cố liên quan dữ liệu cá nhân hay vụ việc nhân sự chỉ những người có trách nhiệm được xem chi tiết, còn báo cáo tổng hợp chỉ hiển thị ở mức đã ẩn danh.

6. Phân chia trách nhiệm vận hành

Bộ phận quản lý rủi ro sở hữu khung phân loại, thang đánh giá, danh sách KRI và ngưỡng, xác nhận liên kết sự kiện và soạn phần nhận định trong báo cáo. Chủ sở hữu rủi ro, thường là giám đốc khối, đánh giá mức rủi ro và chịu trách nhiệm kế hoạch xử lý. Chủ sở hữu kiểm soát tự đánh giá kiểm soát đúng lịch. Ban rủi ro quyết định khẩu vị rủi ro và phê duyệt kế hoạch xử lý cho rủi ro vượt khẩu vị. Kiểm toán nội bộ giữ vai trò độc lập, dùng dữ liệu từ sổ nhưng tự kiểm tra.

Người vận hành agent duy trì kết nối với các nguồn KRI, theo dõi lỗi dữ liệu, cập nhật khung câu hỏi khi bộ phận rủi ro thay đổi phân loại, và quản lý quyền xem sự kiện nhạy cảm.

7. Chỉ số nên theo dõi

• Số sự kiện được báo theo phòng và theo loại, bao gồm sự kiện suýt xảy ra
• Tỷ lệ gợi ý phân loại của agent được chuyên viên rủi ro giữ nguyên
• Tỷ lệ kiểm soát được tự đánh giá đúng lịch và số kiểm soát có ngoại lệ
• Số KRI vượt ngưỡng và thời gian từ khi vượt ngưỡng đến khi chủ sở hữu phản hồi

Số sự kiện tăng sau khi mở kênh báo thường là dấu hiệu tốt chứ không phải xấu: nó cho thấy những gì trước đây bị bỏ qua nay đã được ghi nhận. Ban rủi ro nên được giải thích điều này từ trước để không hiểu nhầm rằng doanh nghiệp đột nhiên rủi ro hơn.

8. Checklist trước khi vận hành

• Sổ rủi ro đã làm sạch, mỗi rủi ro có mã, mô tả và chủ sở hữu
• Khung phân loại và thang đánh giá đã được ban rủi ro duyệt
• Kênh báo sự kiện có luồng khẩn cấp và chính sách sử dụng thông tin người báo
• Mỗi KRI có định nghĩa, nguồn, tần suất và ngưỡng đã thống nhất
• Quyền xem sự kiện nhạy cảm đã cấu hình và kiểm thử
• Mọi thay đổi mức rủi ro ghi rõ người quyết và căn cứ

9. Câu hỏi thường gặp

AI Agent có tự đánh giá mức độ rủi ro được không? Agent có thể gợi ý dựa trên khung phân loại và các sự kiện tương tự trước đây, nhưng mức khả năng xảy ra và mức ảnh hưởng phải do chủ sở hữu rủi ro đánh giá và bộ phận quản lý rủi ro thẩm định. Đánh giá rủi ro dựa vào bối cảnh kinh doanh, khẩu vị rủi ro và hiểu biết mà dữ liệu lịch sử không chứa đủ.

Nhân viên báo sự cố qua agent có bị truy cứu trách nhiệm không? Điều này phụ thuộc chính sách của doanh nghiệp, nhưng nếu muốn có dữ liệu sự kiện đầy đủ thì kênh báo cáo nên tập trung vào học hỏi thay vì đổ lỗi. Agent cần nói rõ thông tin được dùng cho mục đích gì, ai được xem, và có hỗ trợ báo ẩn danh hay không theo quy định nội bộ.

KRI khác KPI ở điểm nào? KPI đo kết quả hoạt động, KRI là tín hiệu sớm cho thấy một rủi ro đang tăng lên. Ví dụ tỷ lệ nghỉ việc nhóm kỹ sư chủ chốt có thể là KRI cho rủi ro thiếu năng lực vận hành. Một chỉ số có thể vừa là KPI vừa là KRI, nhưng ngưỡng và hành động khi vượt ngưỡng khác nhau.

Doanh nghiệp chưa có sổ rủi ro bài bản thì có dùng agent được không? Có thể bắt đầu, nhưng việc đầu tiên không phải là AI mà là thống nhất khung phân loại, thang đánh giá và danh sách rủi ro trọng yếu. Agent giúp duy trì sổ rủi ro đều đặn sau khi đã có khung, chứ không thay được buổi làm việc để xác định rủi ro ban đầu.

Kết luận

AI Agent giúp quản lý danh mục rủi ro bằng cách nối sổ rủi ro với nhịp vận hành hằng ngày: nhận sự kiện từ các phòng theo mẫu có cấu trúc, gợi ý liên kết với rủi ro trong sổ, theo dõi KRI, nhắc tự đánh giá kiểm soát, theo dõi kế hoạch xử lý và soạn nháp báo cáo. Đánh giá mức rủi ro, khẩu vị rủi ro và quyết định xử lý vẫn là việc của chủ sở hữu rủi ro và ban rủi ro.

Điều kiện để agent phát huy là một khung phân loại rõ ràng và một văn hóa báo cáo không đổ lỗi. Thiếu hai thứ đó, agent chỉ giúp ghi chép nhanh hơn một sổ rủi ro vốn không phản ánh thực tế.

Trao đổi với Naventic để dựng kênh báo sự kiện và theo dõi KRI cho sổ rủi ro doanh nghiệp. Đọc thêm: AI Agent nội bộ.