ISO 31000 là gì? Tổng quan tiêu chuẩn quản lý rủi ro ISO 31000:2018

ISO 31000 là tiêu chuẩn quốc tế hướng dẫn quản lý rủi ro, áp dụng được cho mọi tổ chức, quy mô và lĩnh vực. Tiêu chuẩn đưa ra nguyên tắc, khung quản lý và quy trình để nhận diện, phân tích, đánh giá và xử lý rủi ro. ISO 31000 chỉ là tiêu chuẩn hướng dẫn, không dùng để cấp chứng nhận. Bài viết của KNA CERT giải thích nội dung, phiên bản, đối tượng và lợi ích của ISO 31000.

Thông tin nhanh về ISO 31000

ISO 31000 là gì?

ISO 31000 là tiêu chuẩn quốc tế về quản lý rủi ro do Tổ chức Tiêu chuẩn hóa Quốc tế (ISO) ban hành, với tên đầy đủ “Risk management — Guidelines” (Quản lý rủi ro — Hướng dẫn). Tiêu chuẩn cung cấp cách tiếp cận chung để quản lý mọi loại rủi ro và không gắn riêng với ngành hay lĩnh vực nào.

Ban kỹ thuật ISO/TC 262 chịu trách nhiệm biên soạn tiêu chuẩn này. Theo ISO, tổ chức có thể dùng ISO 31000 trong suốt vòng đời hoạt động và áp dụng cho mọi hoạt động, kể cả việc ra quyết định ở mọi cấp.

1. Rủi ro theo ISO 31000 được hiểu như thế nào?

Theo ISO 31000, rủi ro là ảnh hưởng của sự không chắc chắn đến mục tiêu. Ảnh hưởng đó là sự chênh lệch so với kỳ vọng, có thể tích cực, tiêu cực hoặc cả hai, và có thể tạo ra cơ hội lẫn mối đe dọa cho tổ chức.

Cách hiểu này khác với suy nghĩ quen thuộc “rủi ro là điều xấu”. Quản lý rủi ro theo ISO 31000 vì thế gồm cả việc phòng ngừa thiệt hại lẫn việc nhận ra cơ hội để theo đuổi.

2. Mục đích của quản lý rủi ro theo ISO 31000 là gì?

Mục đích của quản lý rủi ro theo ISO 31000 là tạo lập và bảo vệ giá trị cho tổ chức. Quản lý rủi ro giúp cải tiến kết quả hoạt động, khuyến khích đổi mới và hỗ trợ tổ chức đạt được các mục tiêu đã đặt ra.

HỎI ĐÁP VỚI CHUYÊN GIA

ISO 31000 có những phiên bản nào?

ISO 31000 có hai phiên bản: ISO 31000:2009 ban hành ngày 13/11/2009 và ISO 31000:2018 ban hành ngày 14/02/2018. Phiên bản 2018 thay thế phiên bản 2009 và là phiên bản hiện hành tính đến ngày 22/10/2026. Cả hai đều là tiêu chuẩn hướng dẫn, không dùng để chứng nhận.

1. ISO 31000:2009 — phiên bản đầu tiên

ISO 31000:2009 mang tên “Risk management — Principles and guidelines” (Quản lý rủi ro — Nguyên tắc và hướng dẫn), ban hành ngày 13/11/2009. Tiêu chuẩn này gồm 11 nguyên tắc và được phát triển trên nền tiêu chuẩn AS/NZS 4360:2004 của Úc và New Zealand.

Tiêu chuẩn Việt Nam tương đương là TCVN ISO 31000:2011. Cả hai đã bị thay thế bởi phiên bản 2018, nên doanh nghiệp chỉ cần đến ISO 31000:2009 khi đối chiếu tài liệu cũ.

2. ISO 31000:2018 — phiên bản hiện hành

ISO 31000:2018 là lần soát xét thứ hai (Edition 2), mang tên “Risk management — Guidelines”, ban hành ngày 14/02/2018 và thay thế ISO 31000:2009. Phiên bản này ngắn gọn hơn, nhấn mạnh vai trò của lãnh đạo và việc tích hợp quản lý rủi ro vào mọi hoạt động của tổ chức.

3. So sánh ISO 31000:2009 và ISO 31000:2018

Điểm khác biệt lớn nhất giữa hai phiên bản là số nguyên tắc giảm từ 11 xuống 8, tên tiêu chuẩn bỏ phần “Nguyên tắc”, và nội dung nhấn mạnh sự lãnh đạo cùng việc tích hợp. Bảng dưới đây so sánh nhanh các điểm chính.

TCVN ISO 31000 là gì?

TCVN ISO 31000 là tiêu chuẩn quốc gia của Việt Nam, xây dựng trên cơ sở ISO 31000. Phiên bản hiện hành là TCVN ISO 31000:2018, hoàn toàn tương đương ISO 31000:2018 và thay thế TCVN ISO 31000:2011 (tương đương ISO 31000:2009).

Bản TCVN dùng cụm “khuôn khổ quản lý rủi ro”, trong khi nhiều tài liệu gọi là “khung quản lý rủi ro”. Hai cách gọi cùng chỉ phần “framework” ở Điều 5 của tiêu chuẩn. Doanh nghiệp có thể dùng bản tiếng Việt để thống nhất thuật ngữ về rủi ro giữa các phòng ban.

ISO 31000:2018 gồm những nội dung gì?

ISO 31000:2018 xây dựng trên ba thành phần liên kết với nhau: nguyên tắc (Điều 4), khung quản lý (Điều 5) và quy trình (Điều 6). Nguyên tắc nêu đặc điểm của quản lý rủi ro hiệu quả, khung quản lý đưa rủi ro vào hoạt động của tổ chức, còn quy trình là chuỗi hoạt động xử lý rủi ro cụ thể.

1. Tám nguyên tắc quản lý rủi ro của ISO 31000:2018

ISO 31000:2018 nêu 8 nguyên tắc: tích hợp; có cấu trúc và toàn diện; được tùy chỉnh; có tính bao gồm; năng động; dựa trên thông tin sẵn có tốt nhất; tính đến yếu tố con người và văn hóa; cải tiến liên tục. Cả tám nguyên tắc cùng hướng tới mục đích tạo lập và bảo vệ giá trị.

2. Khung quản lý rủi ro trong ISO 31000:2018

Khung quản lý rủi ro (Điều 5) giúp tổ chức tích hợp quản lý rủi ro vào quản trị, chiến lược, kế hoạch và hoạt động hằng ngày. Khung gồm năm hoạt động xoay quanh sự lãnh đạo và cam kết: tích hợp, thiết kế, triển khai, đánh giá và cải tiến.

Phần thiết kế (Điều 5.4) gồm năm nội dung cần làm rõ:

• Hiểu về tổ chức và bối cảnh của tổ chức.
• Xác định cam kết quản lý rủi ro.
• Phân công vai trò, thẩm quyền, trách nhiệm và trách nhiệm giải trình.
• Phân bổ nguồn lực.
• Thiết lập hoạt động trao đổi thông tin và tham vấn.

Phần cải tiến (Điều 5.7) gồm hai hướng: thích ứng với thay đổi và cải tiến liên tục.

3. Quy trình quản lý rủi ro trong ISO 31000:2018

Quy trình quản lý rủi ro (Điều 6) gồm ba hoạt động chính là thiết lập phạm vi, bối cảnh, tiêu chí; đánh giá rủi ro; xử lý rủi ro. Ba hoạt động đi kèm xuyên suốt là trao đổi thông tin và tham vấn, theo dõi và xem xét, ghi chép và báo cáo.

Ở bước xử lý rủi ro (Điều 6.5.2), tiêu chuẩn nêu các phương án: tránh rủi ro bằng cách không bắt đầu hoặc dừng hoạt động; chấp nhận hoặc tăng rủi ro để theo đuổi cơ hội; loại bỏ nguồn rủi ro; thay đổi khả năng xảy ra; thay đổi hậu quả; chia sẻ rủi ro, chẳng hạn qua hợp đồng hoặc bảo hiểm; và duy trì rủi ro dựa trên quyết định có hiểu biết.

ISO 31000 được sử dụng để làm gì?

ISO 31000 được dùng làm cơ sở để xây dựng, đánh giá và cải tiến cách quản lý rủi ro trong tổ chức. Tiêu chuẩn giúp tổ chức đặt mục tiêu, ra quyết định ở mọi cấp, phân bổ nguồn lực xử lý rủi ro và đối chiếu thực hành của mình với chuẩn mực quốc tế.

Các mục đích sử dụng phổ biến gồm:

• Xây dựng chính sách và quy trình quản lý rủi ro dùng chung cho toàn tổ chức.
• Đưa tiêu chí rủi ro vào quản trị, chiến lược, kế hoạch và báo cáo.
• Tạo ngôn ngữ chung về rủi ro giữa các phòng ban và cấp quản lý.
• Đối chiếu thực hành hiện tại với chuẩn mực quốc tế khi đánh giá nội bộ hoặc đánh giá bên ngoài.
• Làm nền để đáp ứng yêu cầu về rủi ro của các tiêu chuẩn hệ thống quản lý khác.

Ai cần áp dụng tiêu chuẩn ISO 31000?

Mọi tổ chức đều có thể áp dụng ISO 31000, bất kể quy mô, loại hình sở hữu hay lĩnh vực hoạt động. Tiêu chuẩn đặc biệt hữu ích với các ngành chịu quản lý chặt như tài chính, chăm sóc sức khỏe và năng lượng, cùng cơ quan nhà nước và đơn vị quản lý dự án, kỹ thuật.

ISO 31000 mang lại những lợi ích gì?

Áp dụng ISO 31000 giúp tổ chức tăng khả năng đạt mục tiêu, nhận diện cơ hội và mối đe dọa sớm hơn, phân bổ nguồn lực xử lý rủi ro hợp lý hơn và củng cố niềm tin của các bên liên quan. Lợi ích đến từ việc quản lý rủi ro trở thành một phần của ra quyết định, không còn là việc làm riêng lẻ.

1. Lợi ích đối với tổ chức

Với tổ chức, lợi ích lớn nhất của ISO 31000 là một cách hiểu thống nhất về rủi ro và một quy trình chung để xử lý chúng. Các lợi ích cụ thể gồm:

• Thúc đẩy hiểu biết chung về rủi ro, bản chất của rủi ro và cách quản lý rủi ro trong toàn tổ chức.
• Hỗ trợ ra quyết định chiến lược nhờ tích hợp quản lý rủi ro vào quản trị, chiến lược, kế hoạch, báo cáo, chính sách, giá trị và văn hóa.
• Chuyển từ phản ứng bị động sang chủ động dự đoán và giải quyết rủi ro.
• Phân bổ nguồn lực hợp lý nhờ nhận biết kịp thời các mối đe dọa và cơ hội tiềm tàng.
• Củng cố niềm tin của nhà đầu tư, khách hàng và các bên liên quan khác nhờ cách tiếp cận có cấu trúc.

2. Lợi ích đối với người làm quản lý rủi ro

Với người làm quản lý rủi ro, ISO 31000 cung cấp bộ nguyên tắc và hướng dẫn được quốc tế chấp nhận, giúp công việc có khung tham chiếu rõ ràng. Cụ thể, người làm quản lý rủi ro có được:

• Nguyên tắc và hướng dẫn quản lý rủi ro được quốc tế chấp nhận.
• Khung có cấu trúc để triển khai quy trình quản lý rủi ro.
• Tiêu chí chuẩn mực để theo dõi, xem xét và cải tiến quản lý rủi ro.
• Công cụ báo cáo và trao đổi thông tin về rủi ro trên toàn tổ chức.

ISO 31000 có được cấp chứng nhận không?

Không. ISO 31000 là tiêu chuẩn hướng dẫn thực hành tốt, không phải tiêu chuẩn quản lý rủi ro có thể chứng nhận. Tổ chức không thể xin “chứng nhận ISO 31000”, nhưng có thể dùng tiêu chuẩn làm chuẩn so sánh trong đánh giá nội bộ hoặc đánh giá bên ngoài.

Theo ISO, tiêu chuẩn không dùng cho mục đích chứng nhận mà đóng vai trò hướng dẫn cho các chương trình đánh giá. Tổ chức đối chiếu thực hành quản lý rủi ro của mình với chuẩn mực quốc tế để thấy chỗ cần hoàn thiện.

Bạn có thể gặp quảng cáo “chứng chỉ ISO 31000”. Đó thường là chứng chỉ đào tạo cá nhân do đơn vị đào tạo cấp sau khóa học, xác nhận người học đã hoàn thành khóa. Chứng chỉ này không xác nhận hệ thống quản lý rủi ro của tổ chức phù hợp với ISO 31000.

Nếu doanh nghiệp cần một chứng nhận hệ thống quản lý có yêu cầu về rủi ro, các tiêu chuẩn như ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001 hoặc ISO 22301 là lựa chọn phù hợp hơn.

ISO 31000 liên hệ thế nào với ISO 9001 và các tiêu chuẩn khác?

ISO 31000 cung cấp ngôn ngữ và quy trình chung về rủi ro, còn các tiêu chuẩn hệ thống quản lý như ISO 9001, ISO 14001, ISO 45001 và ISO/IEC 27001 đặt yêu cầu về rủi ro cho từng lĩnh vực. ISO 31000 không thay thế các tiêu chuẩn đó mà hỗ trợ tổ chức đáp ứng yêu cầu về rủi ro của chúng.

* Lưu ý riêng với ISO 9001: phiên bản ISO 9001:2015 không yêu cầu tổ chức có quy trình quản lý rủi ro chính thức hay dạng văn bản. Doanh nghiệp muốn làm bài bản hơn có thể tham chiếu ISO 31000.

ISO 31073 và IEC 31010: hai tài liệu đi cùng ISO 31000

Hai tài liệu thường dùng cùng ISO 31000 là ISO 31073 và IEC 31010. ISO 31073 giải thích thuật ngữ về quản lý rủi ro, còn IEC 31010 giới thiệu các kỹ thuật đánh giá rủi ro cụ thể để áp dụng ở bước đánh giá rủi ro (Điều 6.4).

Làm thế nào để bắt đầu áp dụng ISO 31000 trong doanh nghiệp?

Doanh nghiệp có thể bắt đầu áp dụng ISO 31000 qua năm bước: lấy cam kết của lãnh đạo, xác định phạm vi và tiêu chí rủi ro, đánh giá rủi ro, xử lý rủi ro, rồi theo dõi và cải tiến. Cách làm thực tế là bắt đầu từ một quy trình hoặc một dự án trọng yếu, sau đó mở rộng dần.

• Lấy cam kết của lãnh đạo. Ban hành chính sách quản lý rủi ro, phân công vai trò và bố trí nguồn lực (Điều 5.2 và 5.4).
• Xác định phạm vi, bối cảnh và tiêu chí rủi ro. Chọn đối tượng áp dụng ban đầu, như chuỗi cung ứng hoặc một dự án, và thống nhất mức rủi ro chấp nhận được (Điều 6.3).
• Đánh giá rủi ro. Nhận diện, phân tích và đánh giá rủi ro, rồi ghi vào sổ đăng ký rủi ro (Điều 6.4).
• Xử lý rủi ro. Chọn phương án xử lý, giao người phụ trách và đặt thời hạn thực hiện (Điều 6.5).
• Theo dõi, báo cáo và cải tiến. Xem xét định kỳ, báo cáo cho lãnh đạo và cập nhật khi bối cảnh thay đổi (Điều 6.6, 6.7 và 5.7).

Ví dụ minh họa sổ đăng ký rủi ro

Sổ đăng ký rủi ro là công cụ phổ biến để ghi lại kết quả đánh giá và xử lý rủi ro theo Điều 6.7. ISO 31000 không quy định mẫu bắt buộc, nên tổ chức tự thiết kế các cột thông tin phù hợp. Bảng dưới đây là ví dụ minh họa cho doanh nghiệp sản xuất.

* Lưu ý: Đây là ví dụ minh họa, không phải mẫu bắt buộc của ISO 31000.

Câu hỏi thường gặp về ISO 31000

1. ISO 31000 có bắt buộc áp dụng không?

Không. ISO 31000 là tiêu chuẩn hướng dẫn nên bản thân tiêu chuẩn không bắt buộc. Tổ chức áp dụng theo nhu cầu quản trị, hoặc theo yêu cầu của đối tác, nhà đầu tư hay cơ quan quản lý trong từng trường hợp cụ thể.

2. ISO 31000:2018 còn hiệu lực không?

Còn. ISO 31000:2018 vẫn là phiên bản hiện hành tính tới thời điểm 22/10/2026, ban hành ngày 14/02/2018 và thay thế ISO 31000:2009, chưa có phiên bản mới thay thế nó. Tiêu chuẩn Việt Nam tương ứng là TCVN ISO 31000:2018.

3. ISO 31000 khác ISO 9001 ở điểm nào?

ISO 31000 hướng dẫn cách quản lý mọi loại rủi ro và không dùng để chứng nhận. ISO 9001 đặt yêu cầu cho hệ thống quản lý chất lượng và có thể được chứng nhận, trong đó có yêu cầu xác định rủi ro và cơ hội ở Điều 6.1.

4. Doanh nghiệp nhỏ có cần áp dụng ISO 31000 không?

Doanh nghiệp nhỏ có thể áp dụng ISO 31000 vì tiêu chuẩn dùng được cho mọi quy mô và có tính tùy chỉnh. Doanh nghiệp nhỏ nên bắt đầu đơn giản, với một sổ đăng ký rủi ro và buổi rà soát định kỳ cho các rủi ro trọng yếu.

5. TCVN ISO 31000 có khác ISO 31000 không?

Không khác về nội dung. TCVN ISO 31000:2018 hoàn toàn tương đương ISO 31000:2018, là bản chuyển ngữ sang tiếng Việt để doanh nghiệp trong nước dễ tra cứu và thống nhất thuật ngữ.

6. Rủi ro trong ISO 31000 chỉ là mối đe dọa phải không?

Không. ISO 31000 định nghĩa rủi ro là ảnh hưởng của sự không chắc chắn đến mục tiêu, và ảnh hưởng này có thể tích cực, tiêu cực hoặc cả hai. Vì vậy rủi ro có thể là mối đe dọa hoặc cơ hội đối với tổ chức.

LIÊN HỆ HỖ TRỢ

ISO 31000 không cấp chứng nhận, nhưng là chuẩn tham chiếu quốc tế giúp doanh nghiệp quản lý rủi ro bài bản, với nguyên tắc rõ ràng, khung quản lý gắn với lãnh đạo và quy trình dùng được ở mọi cấp. Nếu doanh nghiệp bạn đang vận hành hệ thống quản lý theo các tiêu chuẩn ISO và muốn quản lý rủi ro thống nhất hơn, hãy liên hệ KNA CERT qua số Hotline: 0983.246.419 hoặc Email: salesmanager@knacert.com để được hướng dẫn áp dụng ISO 31000.