Q014 — Khi nào Risk thực sự được chuyển thành Value?

Odin Lab | ODIN 101 — Digital Trust & Resilience
Banking Technology • Risk • GRC • Audit • Resilience • AI

Risk không tạo Value chỉ vì nó đã giảm.

Một Risk được nhận diện.

Một Control được bổ sung.

Risk Score giảm từ High xuống Medium.

Có phải Value đã được tạo ra?

Chưa chắc.

Nếu Control mới làm quy trình chậm hơn, tăng chi phí hoặc khiến tổ chức bỏ lỡ một Opportunity quan trọng, chúng ta có thể đã giảm Risk nhưng chưa chắc đã tạo thêm Value.

Đây là điểm cốt lõi của Turn Risk into Value.

Risk Management tạo thêm Value khi giúp tổ chức đạt mục tiêu nhanh hơn, bền vững hơn hoặc mở rộng được giá trị của chính mục tiêu đó.

Không phải mọi Risk đều biến thành Value. Nhưng cách chúng ta hiểu, kiểm soát và sử dụng Risk trong quyết định có thể tạo ra Value.

1. Mọi câu chuyện về Value đều phải bắt đầu từ Objective

Nếu không biết mục tiêu là gì, rất khó nói Risk Management đang tạo ra giá trị gì.

Hãy lấy một ví dụ đơn giản.

Một dịch vụ ngân hàng số có Objective:

duy trì dịch vụ ổn định, an toàn và đáp ứng nhu cầu giao dịch của khách hàng.

Một Risk xuất hiện:

dịch vụ có thể không phục hồi trong thời gian yêu cầu khi xảy ra sự cố nghiêm trọng.

Nếu chỉ nhìn Risk, phản ứng tự nhiên là tìm cách giảm nó.

Nhưng nếu nhìn từ Objective, câu hỏi tốt hơn sẽ là:

Quản lý Risk này tốt hơn có thể giúp chúng ta đạt Objective tốt hơn như thế nào?

Từ đây, Value bắt đầu xuất hiện.

Không chỉ là “Risk thấp hơn”. Mà có thể là phục hồi nhanh hơn; dịch vụ bền vững hơn; hoặc thậm chí cho phép tổ chức mở rộng dịch vụ và đổi mới với mức tự tin cao hơn.

2. Value thứ nhất: đạt mục tiêu nhanh hơn

Đây là dạng Value dễ nhận thấy nhất.

Risk Management tốt có thể giúp tổ chức giảm những thứ đang làm chậm Objective: thao tác thủ công, quá nhiều bước phê duyệt không cần thiết, sự phụ thuộc vào một vài cá nhân, thời gian xử lý sự cố, hoặc sự thiếu rõ ràng trong quyền quyết định.

Ví dụ, nếu một recovery process có 30 bước thủ công, việc bổ sung thêm checklist có thể giảm sai sót nhưng chưa chắc làm recovery nhanh hơn.

Một hướng khác là chuẩn hóa và tự động hóa những bước phù hợp, đồng thời thiết kế Control cho automation.

Nếu làm tốt, tổ chức không chỉ giảm Risk. Nó còn đạt Objective nhanh hơn.

Risk → Better Control → Faster Objective

Đó đã là Value.

3. Value thứ hai: đạt mục tiêu bền vững hơn

Nhanh nhưng không ổn định thì chưa đủ.

Một quy trình có thể chạy rất tốt khi đúng người trực ca, đúng chuyên gia có mặt và mọi hệ thống đều ở trạng thái bình thường. Nhưng nếu kết quả đó không lặp lại được, Value vẫn mong manh.

Risk Management tạo thêm Value khi nó làm Objective trở nên bền vững hơn: ít phụ thuộc cá nhân hơn, ít biến động hơn, có khả năng phục hồi tốt hơn, Control có thể kiểm chứng, Evidence có thể truy vết, và tổ chức có thể duy trì kết quả qua nhiều tình huống khác nhau.

Đây là điểm Risk Management gặp Resilience.

Một hệ thống resilient không phải hệ thống không bao giờ gặp sự cố. Nó là hệ thống có khả năng tiếp tục cung cấp giá trị hoặc phục hồi về trạng thái chấp nhận được khi bất định thực sự xảy ra.

Risk Management tốt không chỉ bảo vệ Objective hôm nay. Nó làm cho Objective có khả năng tồn tại trước thay đổi ngày mai.

Đó là Value thứ hai.

4. Value thứ ba: mở rộng giá trị của Objective

Đây là phần quan trọng hơn — và cũng thường bị bỏ qua.

Một tổ chức có thể quản lý Risk tốt đến mức không chỉ bảo vệ mục tiêu ban đầu mà còn mở rộng được những gì mục tiêu đó có thể tạo ra.

Ví dụ ban đầu Objective chỉ là:

phục hồi Digital Payment Service trong thời gian yêu cầu.

Sau khi recovery được chuẩn hóa, tự động hóa và chứng minh hiệu quả, tổ chức có thể nhận ra năng lực vừa xây dựng không chỉ dùng cho một dịch vụ.

Nó có thể được mở rộng sang nhiều ứng dụng hơn, nhiều scenario hơn, nhiều môi trường hơn, hoặc trở thành một nền tảng automation dùng chung.

Một sáng kiến ban đầu nhằm giảm Recovery Risk lúc này đã tạo ra một capability mới.

Từ “Làm sao phục hồi hệ thống này tốt hơn?”, tổ chức có thể chuyển sang “Làm sao dùng năng lực này để nâng cao resilience cho nhiều dịch vụ hơn?”

Đây là Expanded Value — giá trị mở rộng.

Và đây là lúc “Turn Risk into Value” thực sự trở nên thú vị.

5. Case Odin Lab Bank: từ Recovery Risk tới Business Value

Hãy đặt cả ba loại Value vào một tình huống cụ thể tại Odin Lab Bank.

OLB có một dịch vụ Digital Payment Service.

Objective ban đầu:

Duy trì dịch vụ thanh toán số ổn định và phục hồi trong thời gian yêu cầu.

Qua các lần test, OLB nhận thấy một số bước recovery phụ thuộc nhiều vào thao tác thủ công.

Risk được mô tả khá rõ:

Khi xảy ra disruption nghiêm trọng, các thao tác recovery thủ công có thể kéo dài Recovery Time vượt RTO, ảnh hưởng đến khả năng cung cấp Digital Payment Service.

OLB có thể xử lý bằng cách bổ sung checklist và đào tạo. Nhưng OLB lựa chọn thêm một phương án: tự động hóa những recovery steps phù hợp.

Điều này tạo ra cả Opportunity lẫn Risk mới.

Opportunity là recovery nhanh hơn, nhất quán hơn và giảm phụ thuộc cá nhân.

Risk mới gồm cấu hình sai, quyền đặc quyền phục vụ automation, dependency vào orchestration và khả năng lỗi được thực thi ở quy mô lớn hơn.

Vì vậy OLB không triển khai automation chỉ vì “automation tốt”.

OLB đặt Control quanh nó: review và phê duyệt workflow, kiểm soát privileged access, version control, pre-check, testing, logging, monitoring, và cơ chế manual intervention khi cần.

Sau đó OLB thu Evidence từ các lần recovery test.

Giả sử kết quả cho thấy Recovery Time giảm rõ rệt; tỷ lệ thao tác tự động tăng; lỗi thao tác thủ công giảm; workflow có thể lặp lại qua nhiều lần test; và các Control quan trọng có Evidence đầy đủ.

Lúc này Decision Authority có cơ sở để quyết định: mở rộng automation có kiểm soát.

Đây chính là điểm Risk bắt đầu tạo ra Value.

Odin Lab Bank (OLB) là mô hình giả lập phục vụ nghiên cứu và đào tạo.

6. Một Recovery Risk có thể tạo ra ba tầng Value

Faster — Nhanh hơn

Automation giúp OLB phục hồi Digital Payment Service nhanh hơn. Objective đạt được nhanh hơn.

More Sustainable — Bền vững hơn

Recovery ít phụ thuộc vào thao tác cá nhân, có workflow chuẩn, Control rõ và Evidence có thể kiểm chứng. Objective trở nên ổn định và lặp lại được hơn.

Expanded Value — Mở rộng giá trị

Năng lực automation đã được kiểm chứng có thể được áp dụng cho thêm các dịch vụ, scenario hoặc quy trình vận hành khác.

Objective ban đầu là recovery của một dịch vụ. Value cuối cùng có thể trở thành một năng lực resilience và automation rộng hơn cho tổ chức.

Đó là sự khác biệt giữa Reduce Risk và Turn Risk into Value.

7. Evidence là thứ quyết định Value là thật hay chỉ là kỳ vọng

Có một điểm rất quan trọng.

“Chúng ta nghĩ rằng automation sẽ nhanh hơn” chưa phải Value. “Chúng ta tin hệ thống resilient hơn” cũng chưa phải Value.

Value cần Evidence.

Với OLB, Evidence có thể rất thực tế: Recovery Time trước và sau automation; tỷ lệ automated task thành công; số manual intervention; số lỗi recovery; số lần test đạt RTO; exception còn tồn tại; Control effectiveness; và xu hướng kết quả qua nhiều lần diễn tập.

Evidence biến câu “Chúng tôi nghĩ nó tốt hơn” thành “Chúng tôi có cơ sở để quyết định nó tốt hơn.”

Đó cũng là lý do Evidence giữ vị trí riêng trong Odin Risk Management Method.

Không có Evidence, Value rất dễ chỉ là một assumption.

8. Một câu hỏi đơn giản để kiểm tra “Turn Risk into Value”

Sau một dự án Risk, Control hay remediation, chúng ta thường hỏi: Risk Score đã giảm chưa?

Odin Lab đề xuất thêm một câu hỏi khác:

Nhờ quản lý Risk tốt hơn, Objective có được đạt nhanh hơn, bền vững hơn hoặc tạo ra nhiều giá trị hơn không?

Nếu không, có thể chúng ta mới chỉ giảm Risk.

Nếu có, Risk Management đã bắt đầu tạo Value.

Có thể cô đọng thành:

Objective → Uncertainty → Risk & Opportunity → Control & Evidence → Decision → Value

Và Value được kiểm tra qua ba câu hỏi:

Faster? Chúng ta có đạt Objective nhanh hơn không?

More Sustainable? Chúng ta có đạt Objective ổn định và resilient hơn không?

Expanded? Chúng ta có tạo thêm giá trị từ Objective ban đầu không?

Nếu trả lời được ba câu này, “Turn Risk into Value” không còn là slogan. Nó trở thành một cách quản trị.

Kết luận

Risk Management không tạo Value chỉ bằng cách làm Risk nhỏ đi.

Nó tạo Value khi giúp tổ chức đạt được điều mình muốn tốt hơn.

Nhanh hơn.

Bền vững hơn.

Hoặc tạo ra nhiều giá trị hơn từ chính Objective đó.

Với Odin Lab Bank, một Recovery Risk ban đầu có thể dẫn tới một recovery workflow tốt hơn.

Workflow tốt hơn tạo Evidence.

Evidence tạo confidence.

Confidence tạo quyết định mở rộng.

Và quyết định đó có thể tạo ra một capability mới cho cả tổ chức.

Turn Risk into Value = biến hiểu biết về bất định thành khả năng đạt Objective nhanh hơn, bền vững hơn và tạo ra nhiều giá trị hơn.

TURN RISK INTO VALUE.

Đọc tiếp trong ODIN 101

← Q013: Risk và Opportunity khác nhau như thế nào?

Tiếp theo — Q015: Có phải càng nhiều Control thì càng ít Risk?

Bắt đầu từ Q001: Quản trị rủi ro thực sự bắt đầu từ đâu?

Đọc tiếp → Q015: Càng nhiều Control có luôn làm ít Risk hơn?

Xem toàn bộ ODIN 101 — Digital Trust & Resilience →

Tài liệu tham khảo

ISO 31000:2018 — Risk Management — Guidelines

COSO ERM — Enterprise Risk Management: Integrating with Strategy and Performance

ISACA / CRISC — Risk Management, Risk Response, Monitoring và Business Value