Mở đầu — vì sao bài này quan trọng
Hãy tưởng tượng bạn lập một bản đăng ký rủi ro (risk register) rất công phu ở đầu dự án: liệt kê 40 rủi ro, chấm điểm xác suất và tác động, phân công risk owner, lên kế hoạch ứng phó. Ba tháng sau, bạn mở lại file đó và... nó vẫn y nguyên như ngày đầu tiên. Không rủi ro nào được cập nhật, có rủi ro đã xảy ra rồi mà vẫn ghi "chưa xảy ra", có rủi ro đã hết hạn từ lâu vẫn nằm trong danh sách "đang theo dõi". Bản risk register lúc này biến thành một tài liệu chết — đẹp để nộp cho sếp, nhưng vô dụng để quản lý dự án.
Đây chính là lý do Bài 46 tồn tại. Ở các bài trước, chúng ta đã học cách nhận diện rủi ro (Bài 21), phân tích định tính và định lượng (Bài 22, 23), và lập kế hoạch ứng phó (Bài 24). Nhưng quản trị rủi ro không phải là một hoạt động làm một lần rồi thôi. Nó là một vòng lặp sống động chạy suốt vòng đời dự án. Bài học hôm nay tập trung vào hai cơ chế giữ cho vòng lặp đó không bị "chết cứng": Risk Audit (kiểm toán rủi ro) và Risk Reassessment (tái đánh giá rủi ro).
Hai công cụ này trả lời hai câu hỏi khác nhau nhưng bổ trợ cho nhau. Risk Reassessment hỏi: "Bức tranh rủi ro của dự án bây giờ có còn giống lúc chúng ta lập kế hoạch không?" Còn Risk Audit hỏi: "Cái quy trình quản trị rủi ro của chúng ta có đang hoạt động hiệu quả không, hay chỉ đang diễn cho có?" Một cái soi vào nội dung rủi ro, một cái soi vào chất lượng của cách chúng ta làm việc. Nắm vững cả hai, bạn sẽ tránh được cái bẫy phổ biến nhất của PM non kinh nghiệm: quản trị rủi ro theo kiểu hình thức.
Khái niệm cốt lõi
Risk Reassessment — tái đánh giá rủi ro
Risk Reassessment là hoạt động định kỳ xem xét lại toàn bộ danh mục rủi ro để phản ánh đúng thực tế hiện tại của dự án. Nó gồm ba việc chính:
- Đánh giá lại rủi ro hiện có: xác suất và tác động của một rủi ro có thay đổi không? Ví dụ, rủi ro "nhà cung cấp giao trễ" ban đầu chấm xác suất trung bình, nhưng sau khi họ đã trễ hai lần liên tiếp thì xác suất phải nâng lên cao.
- Nhận diện rủi ro mới xuất hiện: dự án tiến triển sẽ sinh ra rủi ro mà lúc đầu chưa nhìn thấy. Một quy định pháp lý mới ban hành, một thành viên chủ chốt nghỉ việc, một công nghệ tích hợp phát sinh vấn đề — tất cả đều là rủi ro mới.
- Đóng những rủi ro không còn liên quan: rủi ro đã qua giai đoạn phát sinh, hoặc điều kiện gây ra nó không còn nữa, cần được đánh dấu "closed" để danh sách gọn gàng và tập trung.
Risk Audit — kiểm toán rủi ro
Risk Audit là một cuộc rà soát độc lập đánh giá xem quy trình quản trị rủi ro có được thực hiện đúng và hiệu quả không. Chữ "độc lập" ở đây rất quan trọng: người audit lý tưởng không phải là người đang trực tiếp quản lý rủi ro đó, để có góc nhìn khách quan. Trong dự án lớn có thể là PMO, kiểm toán nội bộ, hoặc một PM khác; trong dự án nhỏ có thể là một buổi tự rà soát có cấu trúc.
Risk Audit soi vào ba khía cạnh:
- Hiệu quả của quy trình quản trị rủi ro (process effectiveness): chúng ta có thực sự chạy quy trình nhận diện — phân tích — ứng phó — theo dõi không? Các cuộc họp rủi ro có diễn ra đúng lịch không? Response plan có được kích hoạt khi rủi ro chớm xảy ra không, hay chỉ nằm trên giấy?
- Trách nhiệm của risk owner (accountability): mỗi rủi ro có một owner rõ ràng không? Owner đó có thực sự theo dõi và hành động, hay tên họ chỉ được điền vào cho đủ cột?
- Tính đầy đủ của tài liệu (documentation completeness): risk register có đủ thông tin không — mô tả rủi ro, trigger (dấu hiệu cảnh báo), response plan, contingency, ngày cập nhật gần nhất? Có dấu vết cho thấy nó được cập nhật thường xuyên không?
Sự khác biệt cần nhớ
Một cách ví von dễ nhớ: nếu risk register là một bệnh nhân, thì Risk Reassessment giống như đo lại huyết áp, nhịp tim, xét nghiệm định kỳ để cập nhật tình trạng sức khỏe. Còn Risk Audit giống như thanh tra y tế đến kiểm tra xem bác sĩ có khám đúng quy trình không, hồ sơ bệnh án có ghi chép đầy đủ không, y lệnh có được thực thi không. Cả hai đều cần thiết, nhưng phục vụ mục đích khác nhau.
Tình huống thực tế
Ví dụ 1 — Công ty fintech tại TP.HCM: khi risk register hóa thành xác chết
Một công ty fintech tại Quận 1, TP.HCM triển khai dự án tích hợp cổng thanh toán mới trong 6 tháng. Đầu dự án, PM lập risk register với 32 rủi ro rất bài bản. Nhưng suốt 4 tháng đầu, do áp lực tiến độ, đội chỉ tập trung code và test, không ai đụng lại file rủi ro.
Đến tháng thứ 5, khi Ngân hàng Nhà nước ban hành hướng dẫn mới về xác thực giao dịch (một rủi ro pháp lý hoàn toàn không có trong register vì lúc lập chưa có thông tin), dự án phải làm lại toàn bộ luồng xác thực OTP. Chi phí phát sinh khoảng 800 triệu đồng và trễ 6 tuần. Điều đau nhất là: dấu hiệu về quy định sắp thay đổi đã xuất hiện trên báo chí ngành từ tháng thứ 3, nhưng vì không có buổi reassessment định kỳ nào, không ai bắt được tín hiệu đó.
Sau sự cố, PMO công ty tiến hành một Risk Audit và phát hiện: register chưa cập nhật suốt 4 tháng, 11/32 rủi ro không có trigger rõ ràng, và 7 rủi ro ghi tên owner nhưng những người đó thậm chí không biết mình được phân công.
Bài học: Reassessment định kỳ (dù chỉ 30 phút mỗi hai tuần) có thể bắt được rủi ro mới sớm hơn nhiều so với để nó ập tới. Và một Risk Audit sớm sẽ phơi bày việc "quản trị rủi ro giả" trước khi nó gây thiệt hại thật.
Ví dụ 2 — Dự án outsourcing tại một công ty phần mềm ở Đà Nẵng: audit cứu một hợp đồng
Một công ty phần mềm ở Đà Nẵng nhận dự án outsourcing cho khách hàng Nhật Bản, giá trị hợp đồng khoảng 4,5 tỷ đồng, kéo dài 9 tháng. Khách Nhật yêu cầu báo cáo rủi ro hằng tháng — một yêu cầu khá đặc thù trong văn hóa làm việc của họ.
Ở giữa dự án, phía khách hàng đề nghị một buổi Risk Audit độc lập do một Delivery Manager không thuộc đội dự án thực hiện. Kết quả audit chỉ ra ba điểm: (1) risk owner được ghi chung chung là "team lead" thay vì một cá nhân cụ thể, khiến không ai thật sự chịu trách nhiệm; (2) response plan cho rủi ro "thiếu hụt nhân sự senior" chỉ ghi vỏn vẹn "tuyển thêm người" — không có thời gian, ngân sách hay phương án B; (3) các cuộc họp rủi ro có diễn ra nhưng biên bản không ghi lại quyết định nào.
Đội đã hành động: gán từng rủi ro cho một cá nhân cụ thể có tên và email, viết lại response plan với contingency reserve rõ ràng (dự trù 15% buffer nhân sự), và chuẩn hóa mẫu biên bản họp rủi ro. Hai tháng sau, khi một dev senior thật sự nghỉ việc, response plan đã được kích hoạt trong vòng 3 ngày thay vì loay hoay cả tuần.
Bài học: Risk Audit không phải để "bắt lỗi" cho vui. Giá trị lớn nhất của nó là buộc các cam kết mơ hồ ("team lead lo", "tuyển thêm người") trở thành cam kết cụ thể, có thể thực thi. Accountability là thứ khó nhất và cũng là thứ audit soi ra rõ nhất.
Ví dụ 3 — Dự án chuyển đổi ERP tại một tập đoàn bán lẻ Đông Nam Á
Một tập đoàn bán lẻ hoạt động tại Việt Nam và Thái Lan triển khai dự án chuyển đổi hệ thống ERP kéo dài 18 tháng. Vì dự án dài, PMO quyết định lịch hai tầng: Reassessment mỗi cuối sprint (2 tuần/lần) và Risk Audit mỗi quý.
Trong buổi reassessment quý 2, đội phát hiện rủi ro "kháng cự thay đổi từ nhân viên cửa hàng" — ban đầu chấm mức thấp — cần nâng lên mức cao, vì khảo sát nội bộ cho thấy 60% nhân viên cửa hàng ở Thái Lan chưa từng dùng hệ thống số hóa. Rủi ro này nếu bỏ qua có thể làm hỏng cả giai đoạn go-live. Nhờ tái đánh giá kịp thời, đội bổ sung ngân sách đào tạo và một chương trình change champion.
Đến buổi Risk Audit quý 3, người audit độc lập từ trụ sở chính lại phát hiện một vấn đề khác: nhóm dự án cập nhật register rất chăm chỉ nhưng chưa bao giờ đóng rủi ro đã hết hiệu lực. Register phình lên 78 rủi ro, trong đó gần 30 đã không còn liên quan, khiến đội mất tập trung vào 12 rủi ro thật sự nguy hiểm.
Bài học: Hai cơ chế bổ trợ nhau. Reassessment giúp bắt rủi ro leo thang (như kháng cự thay đổi). Audit giúp phát hiện lỗi quy trình mà chính người trong cuộc không nhận ra (như quên đóng rủi ro cũ). Thiếu một trong hai, bức tranh sẽ luôn có điểm mù.
Hướng dẫn từng bước
Cách tổ chức một buổi Risk Reassessment
- Chọn nhịp phù hợp: dự án Agile thường reassess cuối mỗi sprint; dự án Waterfall reassess tại mỗi milestone hoặc theo lịch cố định (ví dụ hai tuần/lần). Dự án càng biến động, nhịp càng dày.
- Chuẩn bị dữ liệu đầu vào: mở risk register hiện tại, xem lại issue log (các vấn đề đã phát sinh), tình hình tiến độ và ngân sách, thay đổi về phạm vi hoặc nhân sự.
- Rà từng rủi ro đang mở: hỏi ba câu — Xác suất/tác động có thay đổi? Trigger đã xuất hiện chưa? Response plan còn phù hợp không?
- Quét tìm rủi ro mới: dựa trên thay đổi gần đây (quy định, công nghệ, con người, thị trường). Đây là bước dễ bị bỏ qua nhất nhưng quan trọng nhất.
- Đóng rủi ro không còn liên quan: đánh dấu closed kèm lý do, để lại dấu vết chứ không xóa.
- Cập nhật owner và ngày review: ghi rõ ngày reassessment và người chịu trách nhiệm cho kỳ tiếp theo.
Cách tiến hành một Risk Audit
- Chọn người audit độc lập: lý tưởng là người ngoài đội trực tiếp — PMO, kiểm toán nội bộ, hoặc một PM khác.
- Xác định phạm vi và tiêu chí: audit quy trình, accountability, hay documentation — hoặc cả ba? Đặt tiêu chí rõ ràng trước khi bắt đầu.
- Thu thập bằng chứng: xem register, biên bản họp rủi ro, dấu vết cập nhật, phỏng vấn vài risk owner để kiểm chứng họ có thật sự nắm rủi ro của mình.
- Đối chiếu với chuẩn: so sánh cách làm thực tế với quy trình đã cam kết hoặc chuẩn PMBOK/quy trình nội bộ.
- Ghi phát hiện và khuyến nghị: mỗi phát hiện đi kèm hành động khắc phục cụ thể, có owner và hạn.
- Theo dõi khắc phục: audit vô nghĩa nếu khuyến nghị không được thực thi. Đưa các hành động vào lần audit sau để kiểm tra.
Lỗi thường gặp & mẹo
- Nhầm lẫn Audit với Reassessment: đây là lỗi phổ biến nhất khi thi chứng chỉ và cả trong thực tế. Nhớ: Reassessment soi rủi ro, Audit soi quy trình.
- Register "một lần rồi thôi": lập xong không bao giờ đụng lại. Mẹo: đưa reassessment thành một agenda cố định trong họp định kỳ, đừng chờ có thời gian rảnh.
- Audit kiểu "bắt lỗi trừng phạt": nếu audit biến thành công cụ đổ lỗi, đội sẽ giấu vấn đề. Mẹo: định vị audit là cải tiến, tập trung vào quy trình chứ không phải con người.
- Owner ảo: gán rủi ro cho một chức danh chung ("team lead") thay vì cá nhân cụ thể. Mẹo: mỗi rủi ro phải có tên và email một người thật.
- Quên đóng rủi ro cũ: register phình to làm loãng sự chú ý. Mẹo: mỗi buổi reassessment dành 5 phút chỉ để đóng rủi ro hết hiệu lực.
- Response plan chung chung: "tuyển thêm người", "xử lý sau" là những câu vô nghĩa. Mẹo: mỗi plan phải có hành động, thời gian, ngân sách và người thực hiện.
- Không lưu dấu vết: họp rủi ro mà không có biên bản thì audit không có gì để kiểm. Mẹo: chuẩn hóa mẫu biên bản ghi rõ quyết định và thay đổi.
Bài tập thực hành
- Phân biệt khái niệm: Với mỗi tình huống sau, xác định đây là công việc của Risk Reassessment hay Risk Audit: (a) phát hiện xác suất một rủi ro tăng do nhà cung cấp trễ hạn; (b) phát hiện risk owner không biết mình được phân công; (c) nhận diện một rủi ro pháp lý mới; (d) phát hiện biên bản họp rủi ro không ghi quyết định.
- Thiết kế lịch: Bạn quản lý một dự án 12 tháng, mức độ biến động trung bình cao. Hãy đề xuất nhịp Reassessment và nhịp Risk Audit phù hợp, giải thích lý do lựa chọn.
- Đóng vai auditor: Lấy một risk register bất kỳ (của dự án bạn đang làm hoặc tự dựng 10 rủi ro giả định). Rà theo ba tiêu chí Audit — process effectiveness, accountability, documentation completeness — và viết ra ít nhất 3 phát hiện kèm khuyến nghị cụ thể.
- Viết lại response plan: Cho response plan yếu sau: "Rủi ro: thiếu nhân sự senior. Ứng phó: tuyển thêm người." Hãy viết lại thành một plan đầy đủ có hành động, thời gian, ngân sách, owner và phương án dự phòng.
Tóm tắt
Quản trị rủi ro chỉ thực sự có giá trị khi nó là một vòng lặp sống, không phải một tài liệu chết. Bài 46 giới thiệu hai cơ chế giữ cho vòng lặp đó luôn tươi mới:
- Risk Reassessment tập trung vào nội dung — cập nhật rủi ro hiện có, nhận diện rủi ro mới, đóng rủi ro không còn liên quan. Thực hiện định kỳ theo milestone hoặc cuối sprint.
- Risk Audit tập trung vào quy trình — rà soát độc lập hiệu quả của quy trình quản trị rủi ro, trách nhiệm của risk owner, và tính đầy đủ của tài liệu.