Rủi ro bủa vây doanh nghiệp: Hội đồng quản trị đang ở đâu trên trận tuyến?

NỘI DUNG CHÍNH

. Dù mô hình quản trị rủi ro có thể khác nhau giữa các doanh nghiệp (có hoặc không có ủy ban quản trị rủi ro), HĐQT vẫn là tuyến phòng thủ cuối cùng và cơ quan chịu trách nhiệm cao nhất trong việc giám sát rủi ro tài chính lẫn phi tài chính.

. Rủi ro phải được nhận diện, đánh giá và kiểm soát ngay từ giai đoạn hoạch định chiến lược, không chỉ khi đã thực thi. Việc giám sát rủi ro cần dựa trên công cụ cụ thể như bản đồ rủi ro, phân tích độ nhạy, và gắn liền với hiệu quả hoạt động kinh doanh.

. Hiệu quả giám sát rủi ro không chỉ đến từ cấu trúc tổ chức mà còn từ năng lực thành viên HĐQT, sự chủ động đối thoại với các bên liên quan, và cơ chế bảo vệ người báo cáo rủi ro. HĐQT cần thúc đẩy văn hóa minh bạch và không ngừng củng cố năng lực quản trị rủi ro nội tại.

Nhiều mô hình, một trách nhiệm

Chỉ 24 trong số 69 doanh nghiệp tham gia đánh giá thẻ điểm ASEAN có ủy ban quản trị rủi ro. Phần lớn trong đó nằm trong khối tài chính, ngân hàng, bảo hiểm… vốn là những ngành kinh doanh về rủi ro. Theo ông Nguyễn Thế Mạnh, Giám đốc Tư vấn của Deloitte Đông Nam Á, điều này phản ánh một trong những hạn chế của công tác giám sát rủi ro của hội đồng quản trị (HĐQT) tại nhiều doanh nghiệp.

Trong bối cảnh môi trường kinh doanh ngày càng biến động, HĐQT không chỉ đóng vai trò hoạch định chiến lược mà còn là tuyến phòng thủ cao nhất trong việc giám sát các rủi ro trọng yếu. Việc nhận diện và kiểm soát rủi ro kịp thời giúp doanh nghiệp tránh rơi vào thế bị động khi biến cố xảy ra hoặc bỏ lỡ các cơ hội do quá thận trọng.

Ủy ban quản trị rủi ro, nếu được thành lập, là đơn vị hỗ trợ HĐQT trong việc rà soát quy chế, chính sách liên quan đến quản trị rủi ro; đề xuất khẩu vị rủi ro; đồng thời xem xét các rủi ro có khả năng tác động lớn đến hoạt động tài chính và vận hành. Mục tiêu là cung cấp cho HĐQT một cái nhìn toàn diện, làm cơ sở cho các quyết định chiến lược.

Dù nhấn mạnh tầm quan trọng của ủy ban quản trị rủi ro, ông Mạnh lưu ý, không có một mô hình đúng cho tất cả. Có nơi HĐQT giám sát trực tiếp, không qua ủy ban. Có nơi giao cho ủy ban kiểm toán. Có nơi vừa có ủy ban kiểm toán, vừa có ủy ban quản trị rủi ro. Mô hình đầy đủ nhất là phân tách rõ vai trò giữa các ủy ban, nhưng cuối cùng HĐQT vẫn là cơ quan chịu trách nhiệm tối cao về giám sát rủi ro.

Ở những doanh nghiệp có ủy ban quản trị rủi ro, dù rủi ro có được phân bổ cho nhiều bên thì ủy ban này vẫn cần nắm tổng thể để đánh giá tác động đến hoạt động tài chính và kinh doanh. Việc này cần bắt đầu từ giai đoạn xây dựng chiến lược, chứ không chỉ khi đi vào thực thi.

Một vấn đề được đặt ra là ủy ban quản trị rủi ro có nên xây dựng kênh báo cáo độc lập, tức là báo cáo tuyến hai, vượt cấp CEO để báo cáo thẳng lên HĐQT hay không?

Về mặt lý thuyết, đây là một thông lệ tốt. Nhưng trên thực tế, rất hiếm tổ chức vận hành hiệu quả cơ chế này. Không dễ để một giám đốc rủi ro hoặc giám đốc tuân thủ đủ dũng cảm và tin tưởng vào hệ thống để báo cáo vượt cấp bởi điều đó có thể gây xung đột hoặc ảnh hưởng đến quan hệ vận hành trong các tình huống khác.

Để cơ chế này đi vào thực chất, ông Mạnh cho rằng, cần cụ thể hóa vai trò và trách nhiệm của các bên trong quy chế và mô tả chức năng. HĐQT cũng cần chủ động thúc đẩy văn hóa minh bạch và tạo cơ chế bảo vệ người báo cáo. Ngoài ra, Chủ tịch ủy ban quản trị rủi ro, thường là thành viên độc lập HĐQT, nên duy trì trao đổi trực tiếp, thường xuyên với giám đốc rủi ro để tránh tình trạng thiếu thông tin.

Một điểm quan trọng khác là cần phân biệt rõ giữa điểm thảo luận và ra quyết định. Có khi thảo luận rất nhiều nhưng không có quyết định, hoặc ngược lại, quyết định được đưa ra mà không có thảo luận đúng mức về rủi ro. Khi ban điều hành trình hồ sơ rủi ro lớn như biến động giá đầu vào, chuỗi cung ứng hay tỷ giá, ủy ban quản trị rủi ro phải yêu cầu có phân tích độ nhạy, đánh giá tác động đến kết quả kinh doanh, mức độ tin cậy của các giả định, rồi từ đó mới xem xét quyết định tiếp tục, điều chỉnh hay báo cáo lên HĐQT để xem xét lại khẩu vị rủi ro.

Điều đó cho thấy, mục tiêu của quản trị rủi ro không phải là né tránh rủi ro bằng mọi giá, mà là hiểu, đánh giá và kiểm soát rủi ro gắn với hiệu quả hoạt động và ra quyết định kinh doanh.

“Việc lựa chọn mô hình quản trị nào cần dựa trên đặc thù rủi ro, ngành nghề và mức độ trưởng thành trong hệ thống quản trị doanh nghiệp. Vấn đề cốt lõi là dù phân công ra sao, HĐQT vẫn phải chịu trách nhiệm toàn diện với bức tranh rủi ro của doanh nghiệp, cả rủi ro tài chính lẫn phi tài chính”, ông Mạnh nói trong Directors Talk #21 của VIOD.

Quản trị rủi ro cần gắn với hiệu quả vận hành

Câu hỏi được đặt ra là HĐQT nên giám sát cái gì và giám sát như thế nào? Ông Mạnh nhấn mạnh hai tầng quan trọng gồm hệ thống và các vấn đề cụ thể.

Ở góc độ hệ thống, HĐQT cần phản biện và đặt vấn đề với ban điều hành về mức độ chi tiết, cấp độ và hiệu quả của việc nhận diện và đánh giá rủi ro. Việc này nhằm đảm bảo rằng doanh nghiệp đã xây dựng đầy đủ các chính sách, quy chế, quy định hỗ trợ cho công tác quản trị rủi ro. Và quan trọng hơn, các chính sách đó phải được triển khai một cách thực chất và hiệu quả trong vận hành.

Dù HĐQT không can thiệp vào công việc điều hành, nhưng quá trình chuyển từ chiến lược sang thực thi sẽ phát sinh nhiều rủi ro tiềm ẩn. Do đó, HĐQT cũng cần tham gia rà soát và đánh giá một số rủi ro trọng yếu của công ty, chẳng hạn như các thương vụ mua bán và sáp nhập (M&A), kế hoạch mở rộng ra thị trường nước ngoài hay hợp tác chiến lược.

Đây không phải là những đánh giá chi tiết ở cấp vận hành, mà là những câu hỏi lớn mang tính định hướng. Ví dụ, nếu doanh nghiệp đầu tư bất động sản tại một địa phương mới, HĐQT cần xem xét rủi ro pháp lý tại khu vực đó, cũng như phương án xử lý trong trường hợp huy động vốn không kịp tiến độ, gây ảnh hưởng đến khả năng thanh toán của công ty.

Ở cả hai tầng này, HĐQT cần đặt ra các câu hỏi chiến lược như: rủi ro này có được nhận diện kịp thời không? Việc đánh giá có đáng tin cậy không? Có công cụ nào đang theo dõi mức độ rủi ro so với khẩu vị rủi ro đã được phê duyệt chưa? Và nếu vượt quá, thì cần điều chỉnh chiến lược hay điều chỉnh khẩu vị?

Điều này một lần nữa nhấn mạnh việc quản trị rủi ro phải gắn chặt với việc quản lý hiệu suất và hoạt động kinh doanh, đảm bảo mọi quyết định được đưa ra đều có cơ sở và mang tính chiến lược.

Muốn làm được điều đó, HĐQT cần có những công cụ và cơ chế kỹ thuật cụ thể để giám sát. Đó có thể là các bảng điều khiển quản trị rủi ro, báo cáo hồ sơ rủi ro tổng thể, bản đồ rủi ro hoặc phân tích độ nhạy...

Không chỉ kỹ thuật, yếu tố con người cũng vô cùng quan trọng. Nếu không có ủy ban quản trị rủi ro, HĐQT các doanh nghiệp cần có trong tay một đội ngũ kiểm toán nội bộ đủ mạnh. HĐQT cũng có thể duy trì các cuộc đối thoại trực tiếp với giám đốc rủi ro, tham gia vào các thảo luận chuyên sâu về từng loại rủi ro thay vì chỉ thảo luận chung chung với ban điều hành. Ngoài ra, HĐQT còn có thể thuê bên thứ ba để đánh giá các rủi ro tiềm ẩn mà đôi khi ban điều hành hoặc chính HĐQT cũng không nhận ra vì chúng có thể bị che khuất sau những "điểm mù".

“Giám sát rủi ro hiệu quả không chỉ là xem báo cáo mà là đối thoại sâu và đa chiều với người chịu trách nhiệm về rủi ro và các bên kiểm soát”, ông Mạnh nói.

Ông Mạnh cũng lưu ý, các rủi ro không đứng một mình mà luôn có mối liên hệ hỗ trợ lẫn nhau nên các ủy ban cần xây dựng được cái năng lực về quản trị rủi ro cho các thành viên trong HĐQT.