ODIN LAB Trao đổi nhu cầu ↗

Odin Lab · Chu trình Odin – Từ rủi ro đến giá trị

Chu trình Odin – Từ rủi ro đến giá trị

Chu trình Odin – Từ rủi ro đến giá trị là phương pháp ứng dụng chuyên sâu của Odin Lab trong quản trị rủi ro CNTT. Chu trình giúp tổ chức đi từ việc hiểu mục tiêu cần bảo vệ đến nhận diện rủi ro, lựa chọn phương án ứng phó, kiểm chứng hiệu quả và đưa ra quyết định tạo giá trị.

Câu hỏi trung tâm của chu trình là:

Điều gì có thể ảnh hưởng đến mục tiêu, cần xử lý như thế nào và dựa vào đâu để quyết định rằng rủi ro đã được quản lý phù hợp?

Chu trình Odin – Từ rủi ro đến giá trị Vòng tròn tám bước gồm Mục tiêu, Rủi ro, Đánh giá, Ứng phó và kiểm soát, Trách nhiệm, Bằng chứng, Quyết định và giám sát, Học hỏi và cải tiến. ODIN LAB CHU TRÌNH ODINTỪ RỦI RO ĐẾN GIÁ TRỊ 1MỤC TIÊU 2RỦI RO 3ĐÁNH GIÁ 4ỨNG PHÓ &KIỂM SOÁT 5TRÁCH NHIỆM 6BẰNG CHỨNG 7QUYẾT ĐỊNH &GIÁM SÁT 8HỌC HỎI &CẢI TIẾN
Chu trình Odin kết nối mục tiêu, rủi ro, kiểm soát, bằng chứng và quyết định để chuyển rủi ro thành giá trị.

8 bước của Chu trình ODIN

Sơ đồ phía trên thể hiện toàn bộ chu trình. Các bước dưới đây giúp đọc rõ trên màn hình nhỏ.

  1. Mục tiêuXác định giá trị cần tạo ra hoặc bảo vệ
  2. Rủi roNhận diện tình huống có thể ảnh hưởng mục tiêu
  3. Đánh giáXác định mức rủi ro và thứ tự ưu tiên
  4. Ứng phó & kiểm soátLựa chọn biện pháp và kế hoạch hành động
  5. Trách nhiệmLàm rõ người sở hữu, thực hiện và quyết định
  6. Bằng chứngKiểm chứng thiết kế và hiệu quả kiểm soát
  7. Quyết định & giám sátRa quyết định và theo dõi thay đổi
  8. Học hỏi & cải tiếnCập nhật bài học và cải thiện liên tục

1. Objective – Xác định mục tiêu

Chúng ta đang cố đạt được hoặc bảo vệ điều gì?

Mục tiêu có thể là duy trì dịch vụ trọng yếu, bảo vệ dữ liệu, đáp ứng yêu cầu pháp lý, triển khai một sản phẩm mới hoặc thực hiện một chương trình chuyển đổi trong mức rủi ro chấp nhận được.

Đầu ra: mục tiêu, phạm vi, giá trị cần bảo vệ, tiêu chí thành công và mức rủi ro có thể chấp nhận.

2. Risk – Nhận diện rủi ro

Điều gì không chắc chắn có thể ảnh hưởng đến mục tiêu?

Thực hành bước Risk: Từ bất định (uncertainty) đến kịch bản rủi ro có thể quản trị ↗

Rủi ro cần được mô tả thành một kịch bản cụ thể:

Nguyên nhân → Sự kiện → Tác động

Đầu ra: các kịch bản rủi ro đủ rõ để phân tích, phân công trách nhiệm và đưa ra quyết định.

3. Assess – Đánh giá rủi ro

Rủi ro nào thực sự quan trọng và cần được ưu tiên?

Việc đánh giá xem xét khả năng xảy ra, mức độ tác động, tính trọng yếu của mục tiêu, kiểm soát hiện có và mức rủi ro còn lại.

Đầu ra: mức độ rủi ro, thứ tự ưu tiên và cơ sở để lựa chọn phương án xử lý.

4. Response & Control – Ứng phó và kiểm soát

Tổ chức sẽ chấp nhận, tránh, chuyển giao, chia sẻ hay giảm thiểu rủi ro?

Nếu lựa chọn giảm thiểu, các kiểm soát phải phù hợp với kịch bản rủi ro và tạo ra thay đổi mong muốn đối với mức độ phơi nhiễm rủi ro.

Đầu ra: phương án ứng phó, các kiểm soát cần triển khai và kế hoạch xử lý.

5. Responsibility – Xác định trách nhiệm

Ai sở hữu rủi ro, ai vận hành kiểm soát, ai thực hiện hành động và ai có thẩm quyền chấp nhận rủi ro còn lại?

Trách nhiệm phải được xác định trước khi yêu cầu thực hiện và cung cấp bằng chứng.

Đầu ra: risk owner, control owner, action owner, đơn vị phối hợp và người có thẩm quyền quyết định.

6. Evidence – Kiểm chứng bằng chứng

Dựa vào đâu để biết kiểm soát được thiết kế phù hợp và thực sự hoạt động?

Bằng chứng có thể bao gồm cấu hình, nhật ký hệ thống, dữ liệu giám sát, kết quả kiểm thử, ticket xử lý, phê duyệt, kết quả diễn tập hoặc đánh giá độc lập.

Một chính sách, công cụ hoặc dashboard màu xanh chưa đủ để chứng minh kiểm soát có hiệu quả.

Đầu ra: bộ bằng chứng cho phép đánh giá thiết kế, hoạt động và hiệu quả của kiểm soát.

7. Decision & Monitor – Quyết định và giám sát

Tổ chức cần quyết định gì và phải tiếp tục theo dõi điều gì?

Quyết định có thể là chấp nhận rủi ro, đầu tư thêm, thay đổi kiến trúc, tăng cường kiểm soát, giới hạn hoạt động hoặc dừng một phương án không còn phù hợp. KRI, KCI và KPI được sử dụng để theo dõi rủi ro, hiệu quả kiểm soát và kết quả thực hiện.

Đầu ra: quyết định có căn cứ, điều kiện kèm theo, thời hạn xem xét lại và cơ chế giám sát.

8. Learn – Học hỏi và cải tiến

Điều gì đã thay đổi và tổ chức học được gì?

Bài học từ sự cố, kiểm thử kiểm soát, phát hiện kiểm toán, diễn tập phục hồi hoặc quyết định chấp nhận rủi ro phải được đưa trở lại chu trình quản trị.

Đầu ra: bài học, hành động cải tiến và cập nhật mục tiêu, kịch bản rủi ro hoặc kiểm soát cho chu kỳ tiếp theo.

Chuỗi quản trị xuyên suốt

Mục tiêu → Rủi ro → Đánh giá → Ứng phó → Trách nhiệm → Bằng chứng → Quyết định và giám sát → Học hỏi → Mục tiêu mới

“Giá trị” trong Chu trình Odin bao gồm:

  • Bảo vệ giá trị: hạn chế tổn thất, duy trì dịch vụ, bảo vệ dữ liệu, tuân thủ và giữ vững niềm tin.
  • Tạo ra giá trị: hỗ trợ đổi mới, lựa chọn đầu tư phù hợp và khai thác cơ hội trong mức rủi ro chấp nhận được.
  • Chứng minh giá trị: sử dụng bằng chứng và chỉ số để xác nhận các kiểm soát và hành động đang mang lại kết quả.

Chu trình Odin không thay thế các tiêu chuẩn hoặc khung quản trị rủi ro hiện hành. Đây là phương pháp thực hành của Odin Lab nhằm kết nối quản trị rủi ro với kiểm soát, GRC, kiểm toán, khả năng chống chịu và quyết định quản lý.

Bài viết và nội dung liên quan

TURN RISK INTO VALUE.

← Về trang chủ