Thực trạng quản trị rủi ro doanh nghiệp tại Việt Nam trong bối cảnh chuyển đổi số và phát triển

PGS, TS.Từ Quang Phương

Trường Đại học Kinh doanh và Công nghệ Hà Nội

Email: [email protected]

TS.Phan Thúy Thảo

Trường Đại học Thủy lợi

Email: [email protected]

GIỚI THIỆU

Cuộc cách mạng công nghiệp lần thứ tư, quá trình chuyển đổi số và làn sóng hội nhập quốc tế mới đang làm thay đổi căn bản cấu trúc vận hành của nền kinh tế toàn cầu. Bên cạnh cơ hội phát triển, môi trường kinh doanh hiện đại liên tục xuất hiện các rủi ro mới mang tính hệ thống như: tấn công an ninh mạng, biến động địa chính trị, gián đoạn chuỗi cung ứng và rủi ro khí hậu, với đặc điểm chung là lan truyền nhanh và khuếch đại tổn thất vượt xa phạm vi một bộ phận chức năng đơn lẻ.

Trước bối cảnh đó, quản trị rủi ro doanh nghiệp (ERM) hiện đại không chỉ được hiểu là hệ thống kiểm soát tuân thủ, mà là tập hợp văn hóa, năng lực và các thực tiễn được tích hợp vào quá trình hoạch định chiến lược và điều hành nhằm quản lý rủi ro trong giới hạn chấp nhận được, qua đó tạo lập và gia tăng giá trị dài hạn (COSO, 2017).

Câu hỏi đặt ra là hệ thống ERM tại doanh nghiệp Việt Nam hiện đang ở đâu so với các xu hướng của thế giới. Các nghiên cứu trong nước chủ yếu giới thiệu khuôn khổ lý thuyết hoặc mô hình quốc tế (Hoàng Thị Đào và Nguyễn Đức Minh, 2018; Hiệp hội Kiểm toán nội bộ Việt Nam, 2022; Nguyễn Đình Thọ, 2022). Bài viết lấp khoảng trống đó bằng cách tổng hợp và phân tích có hệ thống các nguồn dữ liệu thứ cấp công bố gần đây, nhằm phác họa bức tranh tổng thể về thực trạng ERM tại doanh nghiệp Việt Nam.

CƠ SỞ LÝ THUYẾT VÀ PHƯƠNG PHÁP NGHIÊN CỨU

Khuôn khổ và xu hướng phát triển của quản trị rủi ro doanh nghiệp hiện đại

Khuôn khổ COSO ERM (2017) xác định ERM gồm 5 thành phần và 20 nguyên tắc, trong đó thành phần nền tảng là Quản trị và văn hóa; ISO 31000:2018 khẳng định quản trị rủi ro là bộ phận cấu thành của hoạt động quản trị chung (ISO, 2018). Mô hình Ba tuyến phân định trách nhiệm giữa đơn vị kinh doanh, bộ phận quản trị rủi ro tuân thủ và kiểm toán nội bộ, đơn vị cung cấp sự bảo đảm khách quan cho Hội đồng quản trị (IIA, 2020). Ngược lại, mô hình truyền thống theo từng bộ phận riêng lẻ khiến mỗi phòng ban tự xử lý rủi ro trong phạm vi chức năng của mình, dẫn đến thiếu bức tranh tổng thể và bỏ sót rủi ro liên kết chéo (Fraser và cộng sự, 2021).

Sự chuyển dịch sang mô hình tích hợp thể hiện qua 3 xu hướng, đồng thời là 3 tiêu chí dùng để đánh giá thực trạng về: (i) chuyển đổi số và quản trị rủi ro dựa trên dữ liệu, với cơ sở dữ liệu rủi ro tập trung, hệ thống chỉ số rủi ro trọng yếu (KRIs) và phân tích dự báo ứng dụng trí tuệ nhân tạo (AI), trong đó rủi ro an ninh mạng trở thành rủi ro chiến lược (Fraser và cộng sự, 2021); (ii) tích hợp rủi ro ESG, các sự kiện môi trường, xã hội và quản trị có thể tác động bất lợi đến kết quả tài chính, uy tín hoặc mục tiêu chiến lược (COSO & WBCSD, 2018) cùng khả năng chống chịu của doanh nghiệp; (iii) phát triển văn hóa rủi ro và mô hình quản trị toàn tổ chức, khi văn hóa rủi ro ảnh hưởng trực tiếp đến khẩu vị rủi ro và hành vi ra quyết định (COSO, 2017).

Phương pháp nghiên cứu

Bài viết sử dụng phương pháp định tính kết hợp thống kê mô tả trên cơ sở tổng hợp và phân tích dữ liệu thứ cấp từ 4 nhóm nguồn: (i) các văn bản quy phạm pháp luật về quản trị rủi ro, kiểm toán nội bộ và bảo vệ dữ liệu; (ii) kết quả đánh giá Thẻ điểm Quản trị Công ty ASEAN (ACGS) 2024 và thống kê quản trị công ty của Viện Thành viên Hội đồng Quản trị Việt Nam (VIOD); (iii) Khảo sát tiến trình thực hành ESG năm 2025 của PwC Việt Nam với 174 đại diện doanh nghiệp, đối chiếu với khảo sát cùng chủ đề năm 2022; (iv) Báo cáo khảo sát an ninh mạng năm 2025 của Hiệp hội An ninh mạng quốc gia (NCA) trên hơn 5.300 đơn vị và báo cáo thường niên chuyển đổi số doanh nghiệp của Cục Phát triển doanh nghiệp.

THỰC TRẠNG QUẢN TRỊ RỦI RO DOANH NGHIỆP TẠI VIỆT NAM

Khung pháp lý và mức độ thể chế hóa

Khung pháp lý về quản trị rủi ro tại Việt Nam được bổ sung khá nhanh giai đoạn 2019-2026 nhưng vẫn phân tán theo ngành, chưa hình thành một văn bản khung thống nhất. Nghị định số 05/2019/NĐ-CP đặt nền móng cho chức năng kiểm toán nội bộ và đánh giá rủi ro tại công ty niêm yết, doanh nghiệp nhà nước và một số đối tượng khác (Chính phủ, 2019); Thông tư số 77/2022/TT-BTC quy định chi tiết về quản trị rủi ro, kiểm soát nội bộ và kiểm toán nội bộ nhưng chỉ áp dụng cho lĩnh vực bảo hiểm (Bộ Tài chính, 2022).

Về dữ liệu, Nghị định số 13/2023/NĐ-CP (Chính phủ, 2023) được nâng cấp thành Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, thông qua ngày 26/6/2025 và có hiệu lực từ ngày 01/01/2026, xác lập trách nhiệm pháp lý của doanh nghiệp trong toàn bộ vòng đời thu thập, xử lý, lưu trữ và chia sẻ dữ liệu (Quốc hội, 2025). Ở cấp độ thông lệ, Bộ Nguyên tắc Quản trị Công ty Việt Nam 2026 nhấn mạnh trách nhiệm của Hội đồng quản trị trong quản trị rủi ro và yêu cầu tích hợp ESG vào chiến lược doanh nghiệp (Ủy ban Chứng khoán Nhà nước và VIOD, 2026).

Như vậy, đối với phần lớn doanh nghiệp ngoài lĩnh vực tài chính - ngân hàng - bảo hiểm, ERM vẫn được triển khai chủ yếu trên cơ sở tự nguyện. Đây là nguyên nhân trực tiếp dẫn đến mức độ triển khai không đồng đều được phản ánh ở các nội dung tiếp theo.

Tổ chức bộ máy và vai trò của Hội đồng quản trị

Chỉ báo rõ nhất về mức độ thể chế hóa ERM là việc thành lập Ủy ban Quản trị rủi ro trực thuộc Hội đồng quản trị. Theo kết quả đánh giá sơ bộ Thẻ điểm Quản trị Công ty ASEAN kỳ 2024, chỉ 24/69 doanh nghiệp niêm yết Việt Nam trong danh sách đánh giá có thành lập Ủy ban Quản trị rủi ro, tương đương khoảng 34,8%, phần lớn thuộc nhóm ngân hàng, công ty chứng khoán và bảo hiểm, những lĩnh vực chịu ràng buộc pháp lý chặt chẽ (VIOD, 2025).

Bức tranh quản trị công ty tổng thể phản ánh khoảng cách tương tự: điểm bình quân của doanh nghiệp Việt Nam trong kỳ đánh giá ACGS 2024 đạt 60,2/130 điểm, cao gấp đôi kỳ đầu tiên, song vẫn thấp nhất trong các quốc gia ASEAN được đánh giá và chưa đạt mục tiêu 65 điểm Chính phủ đặt ra (VIOD, 2025).

Vai trò của Hội đồng quản trị trong giám sát rủi ro phi tài chính cũng còn hạn chế. Khảo sát của PwC Việt Nam năm 2025 cho thấy, 32% Hội đồng quản trị hoàn toàn không tham gia giám sát hoặc định hướng công tác quản lý ESG - tỷ lệ không thay đổi so với năm 2022 - và chỉ 13% thể hiện vai trò lãnh đạo chiến lược chủ động (PwC Việt Nam, 2025). Trong khi đó, khu vực doanh nghiệp nhà nước ảnh hưởng lớn tới mặt bằng quản trị chung: trong rổ VNX All Share năm 2025 có 155/481 doanh nghiệp có vốn nhà nước, chiếm 32% về số lượng nhưng tương đương 42% tổng vốn hóa thị trường (VIOD, 2025).

Chuyển đổi số và quản trị rủi ro dựa trên dữ liệu

Điều kiện tiên quyết để chuyển sang quản trị rủi ro dựa trên dữ liệu là năng lực số hóa của bản thân doanh nghiệp và đây chính là điểm nghẽn lớn nhất. Báo cáo thường niên chuyển đổi số doanh nghiệp Việt Nam năm 2022 của Cục Phát triển doanh nghiệp, thực hiện trên 1.000 doanh nghiệp, cho thấy chỉ 2,2% doanh nghiệp làm chủ công nghệ; 6,2% đã xác định xong mục tiêu chuyển đổi số và 7,6% từng bước xây dựng kế hoạch; đáng chú ý, 48,8% cho biết đã từng sử dụng một số giải pháp chuyển đổi số nhưng hiện không còn sử dụng (Cục Phát triển doanh nghiệp, 2023).

Thực trạng năng lực dữ liệu ESG là minh chứng cụ thể. Khảo sát của PwC Việt Nam năm 2025 cho thấy, chỉ 10% doanh nghiệp ứng dụng công cụ phân tích dữ liệu kinh doanh để thu thập dữ liệu liên tục và phân tích chiến lược, trong khi 47% nhóm lớn nhất vẫn thu thập thủ công hoặc thiếu nhất quán, dẫn đến dữ liệu khó phân tích và kiểm chứng (PwC Việt Nam, 2025).

Vì vậy, các cấu phần cốt lõi như hệ thống chỉ số rủi ro trọng yếu gắn ngưỡng cảnh báo, mô hình phân tích dự báo và bảng điều khiển rủi ro thời gian thực mới chỉ triển khai ở một số ngân hàng thương mại và tập đoàn lớn; việc ứng dụng AI vào dự báo rủi ro về cơ bản vẫn ở giai đoạn thử nghiệm.

Quản trị rủi ro an ninh mạng

An ninh mạng là lĩnh vực bộc lộ rõ nhất khoảng cách giữa mức độ rủi ro và mức độ đầu tư. Theo khảo sát của Hiệp hội An ninh mạng quốc gia trên hơn 5.300 cơ quan, tổ chức, năm 2025, các hệ thống thông tin tại Việt Nam phải đối mặt với khoảng 552.000 cuộc tấn công mạng, giảm 19,38% so với năm 2024. Tuy nhiên, tỷ lệ cơ quan, doanh nghiệp chịu tổn hại lại tăng từ 46,15% lên 52,30%, cho thấy tin tặc chuyển sang chiến lược tấn công có chọn lọc, chuẩn bị kỹ lưỡng và khai thác sâu hơn vào từng mục tiêu (NCA, 2026).

Số liệu tại Bảng 1 cho thấy bức tranh 2 mặt. Ở khía cạnh tích cực, 76,35% đơn vị đã có hệ thống sao lưu dữ liệu dự phòng, cấu phần cơ bản của năng lực phục hồi sau sự cố. Tuy nhiên, khoảng trống về quản trị vẫn rất lớn: 47,72% thiếu hụt nhân sự an ninh mạng và 27,80% chưa triển khai bất kỳ tiêu chuẩn nào trong nội bộ. Về giải pháp kỹ thuật, 51,87% chưa có phần mềm phòng chống mã độc quản lý tập trung và 9,38% không có hình thức kiểm soát truy cập internet như tường lửa (NCA, 2026).

Năm hình thức tấn công phổ biến nhất năm 2025 gồm: tấn công từ chối dịch vụ (DDoS), chèn liên kết quảng cáo cờ bạc, tấn công gián điệp có chủ đích (APT), đánh cắp dữ liệu và mã hóa dữ liệu tống tiền; các hình thức này không còn riêng lẻ mà được kết hợp đan xen theo kịch bản tính toán kỹ lưỡng (NCA, 2026). Đặc điểm này đòi hỏi doanh nghiệp tiếp cận an ninh mạng như một rủi ro chiến lược đa chiều thay vì xử lý từng sự cố kỹ thuật riêng lẻ.

Nguồn: Tổng hợp từ NCA (2026)

Quản trị rủi ro ESG và khả năng chống chịu

Quản trị rủi ro ESG ghi nhận chuyển biến nhanh nhất về nhận thức và cam kết. Khảo sát của PwC Việt Nam năm 2025 với 174 đại diện doanh nghiệp cho thấy 89% đã đặt cam kết hoặc có kế hoạch cam kết ESG trong vòng 2-4 năm tới, tăng so với mức 80% năm 2022; tỷ lệ chưa có kế hoạch ESG chính thức giảm hơn một nửa, từ 35% xuống 15% (PwC Việt Nam, 2025; PwC Việt Nam và VIOD, 2022).

Tuy nhiên, tiến độ rất không đồng đều: doanh nghiệp có vốn đầu tư nước ngoài dẫn đầu với 71%, chủ yếu do yêu cầu tuân thủ tiêu chuẩn toàn cầu của công ty mẹ; doanh nghiệp niêm yết đạt 57% dưới áp lực từ nhà đầu tư và quy định pháp lý; trong khi doanh nghiệp tư nhân và doanh nghiệp gia đình chỉ đạt 27% (PwC Việt Nam, 2025). Khoảng cách này phản ánh thực tế rằng, động lực thực hành ESG chủ yếu đến từ bên ngoài: 70% doanh nghiệp coi tuân thủ pháp lý là động lực hàng đầu, tiếp đến là áp lực từ các bên liên quan (40%) và chỉ đạo từ lãnh đạo cấp cao (39%), trong khi chỉ 16% xem giảm thiểu chi phí là động lực (PwC Việt Nam, 2025).

Khoảng cách giữa chiến lược và hành động vẫn rõ rệt: 61% doanh nghiệp đã xây dựng chiến lược ESG chính thức, nhưng chỉ 44% thực sự triển khai các sáng kiến hướng đến kiến tạo giá trị; 26% chưa xác lập bất kỳ cấu trúc quản trị ESG nào và 25% chưa có lãnh đạo phụ trách ESG rõ ràng, dù tỷ lệ này đã giảm từ mức 38% năm 2022 (PwC Việt Nam, 2025).

Mức độ trưởng thành theo từng trụ cột cũng mất cân đối đáng kể: trụ cột Quản trị đạt 34%, trong khi Môi trường chỉ đạt 23% và Xã hội 21% (PwC Việt Nam, 2025). Doanh nghiệp Việt Nam đang tiếp cận ESG theo hướng ưu tiên quản trị, còn các nội dung môi trường và xã hội là nơi phát sinh phần lớn rủi ro vật lý và rủi ro chuyển đổi vẫn được xem là thứ yếu. Về công bố thông tin, tỷ lệ báo cáo ESG ra bên ngoài tăng lên 57% so với 52% năm 2022, và tỷ lệ báo cáo theo các tiêu chuẩn đã thiết lập tăng từ 30% lên 43% (PwC Việt Nam, 2025).

Đối với khả năng chống chịu, hiện chưa có khảo sát chuyên biệt quy mô quốc gia về mức độ triển khai kế hoạch duy trì hoạt động liên tục hay kiểm tra sức chịu đựng theo kịch bản. Các chỉ báo gián tiếp cho thấy năng lực này còn ở mức cơ bản: 76,35% đơn vị có hệ thống sao lưu dữ liệu dự phòng, nhưng 27,80% chưa áp dụng bất kỳ tiêu chuẩn an ninh mạng nào (NCA, 2026). Đây là khoảng trống dữ liệu cần được bổ sung trong thời gian tới.

ĐÁNH GIÁ CHUNG

Những kết quả đạt được

Thứ nhất, khung pháp lý và khung thông lệ về quản trị rủi ro đã được hoàn thiện đáng kể, từ Nghị định số 05/2019/NĐ-CP, Thông tư số 77/2022/TT-BTC đến Luật Bảo vệ dữ liệu cá nhân năm 2025 (Quốc hội, 2025) và Bộ Nguyên tắc Quản trị Công ty Việt Nam 2026 (Ủy ban Chứng khoán Nhà nước và VIOD, 2026). Thứ hai, nhận thức về rủi ro phi tài chính được nâng lên rõ rệt: tỷ lệ cam kết ESG tăng từ 80% lên 89% và tỷ lệ báo cáo ESG theo tiêu chuẩn thiết lập tăng từ 30% lên 43% chỉ trong 3 năm. Thứ ba, chất lượng quản trị công ty cải thiện, với điểm ACGS bình quân đạt 60,2/130 cao gấp đôi kỳ đánh giá đầu tiên.

Những hạn chế chủ yếu

Thứ nhất, mức độ thể chế hóa ERM ở cấp Hội đồng quản trị còn thấp: chỉ khoảng 34,8% doanh nghiệp niêm yết trong danh sách đánh giá ACGS thành lập Ủy ban Quản trị rủi ro và tập trung ở nhóm ngành chịu ràng buộc pháp lý, cho thấy ERM ở khu vực phi tài chính vẫn chủ yếu là hoạt động tuân thủ ở cấp điều hành.

Thứ hai, năng lực dữ liệu là điểm nghẽn căn bản: khi chỉ 2,2% doanh nghiệp làm chủ công nghệ và 47% còn thu thập dữ liệu ESG thủ công, việc chuyển sang quản trị rủi ro dựa trên dữ liệu khó triển khai trên diện rộng.

Thứ ba, đầu tư cho an ninh mạng chưa tương xứng với mức độ rủi ro: tỷ lệ đơn vị chịu tổn hại tăng lên 52,30% trong khi gần 1/2 thiếu hụt nhân sự chuyên trách và hơn 1/4 chưa áp dụng bất kỳ tiêu chuẩn nào.

Thứ tư, sự tham gia của Hội đồng quản trị vào giám sát rủi ro phi tài chính còn hình thức, với 32% hoàn toàn không tham gia giám sát ESG và chỉ 13% thể hiện vai trò lãnh đạo chiến lược chủ động. Gắn với điều này, động lực triển khai chủ yếu mang tính đối phó: 70% doanh nghiệp coi tuân thủ pháp lý là động lực hàng đầu, trong khi chỉ 16% nhìn thấy giá trị từ tiết giảm chi phí, cho thấy quản trị rủi ro và ESG vẫn được xem như gánh nặng chi phí thay vì công cụ tạo lập giá trị.

Ba nguyên nhân chính của các hạn chế trên là: khung pháp lý phân tán theo ngành khiến phần lớn doanh nghiệp không chịu ràng buộc bắt buộc; nguồn lực tài chính và nhân lực hạn chế, đặc biệt ở doanh nghiệp nhỏ và vừa và nhận thức của lãnh đạo về vai trò tạo lập giá trị của ERM chưa đầy đủ.

GIẢI PHÁP HOÀN THIỆN HỆ THỐNG QUẢN TRỊ RỦI RO DOANH NGHIỆP TẠI VIỆT NAM

Một là, đưa quản trị rủi ro lên cấp Hội đồng quản trị và tích hợp với chiến lược

Doanh nghiệp cần từng bước thành lập Ủy ban Quản trị rủi ro trực thuộc Hội đồng quản trị hoặc, với doanh nghiệp quy mô vừa, giao nhiệm vụ này cho một thành viên Hội đồng quản trị độc lập. Danh mục rủi ro trọng yếu cần được rà soát đồng thời với chu trình lập kế hoạch hằng năm, mỗi mục tiêu chiến lược gắn với các rủi ro cản trở việc thực hiện mục tiêu đó và chỉ tiêu giám sát tương ứng (COSO, 2017).

Hai là, ưu tiên chuẩn hóa dữ liệu rủi ro trước khi đầu tư công nghệ

Doanh nghiệp cần triển khai theo lộ trình 3 bước thay vì đầu tư dàn trải: (i) chuẩn hóa và tập trung hóa dữ liệu rủi ro thông qua bộ phân loại rủi ro thống nhất, sổ đăng ký rủi ro chung và cơ sở dữ liệu sự kiện tổn thất; (ii) xây dựng hệ thống chỉ số rủi ro trọng yếu gắn ngưỡng cảnh báo, kết hợp bảng điều khiển phục vụ Ban điều hành; (iii) ứng dụng dữ liệu lớn, AI và các hệ thống quản trị tích hợp.

Bốn là, nâng cấp quản trị rủi ro an ninh mạng thành rủi ro chiến lược

Doanh nghiệp cần đưa rủi ro an ninh mạng vào danh mục rủi ro trọng yếu để đánh giá chung cùng rủi ro chiến lược, tài chính và tuân thủ, thay vì quản lý tách biệt trong khối công nghệ thông tin. Trước mắt, cần triển khai tiêu chuẩn an ninh thông tin nội bộ, trang bị giải pháp phòng chống mã độc quản lý tập trung, bảo đảm nhân sự chuyên trách thông qua tuyển dụng, đào tạo lại hoặc thuê ngoài dịch vụ giám sát; đồng thời rà soát nghĩa vụ tuân thủ theo Luật Bảo vệ dữ liệu cá nhân và đánh giá rủi ro phát sinh từ đối tác trong chuỗi giá trị.

Năm là, chuyển quản trị rủi ro ESG từ tuân thủ sang tạo lập giá trị và nâng cao khả năng chống chịu

Doanh nghiệp cần bổ sung rủi ro khí hậu, môi trường, lao động và quản trị vào danh mục rủi ro trọng yếu theo đặc thù ngành nghề; xây dựng bộ chỉ tiêu đo lường và cơ chế thu thập dữ liệu ESG phục vụ cả quản trị nội bộ lẫn công bố thông tin; khắc phục mất cân đối giữa 3 trụ cột bằng cách đầu tư nâng cao năng lực về môi trường và xã hội.

Về khả năng chống chịu, doanh nghiệp cần xây dựng kế hoạch duy trì hoạt động liên tục cho các quy trình trọng yếu, xác định thời gian phục hồi mục tiêu và nguồn lực dự phòng; kiểm tra sức chịu đựng theo kịch bản ít nhất một lần mỗi năm; tổ chức diễn tập xử lý khủng hoảng.

Sáu là, xây dựng văn hóa rủi ro và hoàn thiện khung pháp lý

Hiệu quả của ERM còn phụ thuộc vào nhận thức và hành vi của mọi thành viên trong tổ chức. Các biện pháp cụ thể gồm: đào tạo kiến thức quản trị rủi ro theo từng cấp độ trách nhiệm; xây dựng kênh báo cáo rủi ro thuận tiện, bảo mật; khuyến khích chia sẻ bài học từ các sự cố thay vì che giấu; gắn chỉ tiêu quản trị rủi ro vào đánh giá kết quả công việc của người quản lý; phát triển đội ngũ chuyên trách kết hợp nghiệp vụ quản trị rủi ro với kỹ năng phân tích dữ liệu.

Ở cấp độ vĩ mô, cơ quan quản lý cần xem xét mở rộng phạm vi áp dụng các quy định về quản trị rủi ro ra ngoài nhóm ngành tài chính, đồng thời ban hành hướng dẫn áp dụng ERM phù hợp với doanh nghiệp nhỏ và vừa - khu vực chiếm đa số nhưng triển khai thấp nhất.

KẾT LUẬN

Việt Nam đã đạt tiến bộ đáng kể về khung pháp lý và nhận thức, nhưng khoảng cách giữa cam kết và hành động vẫn lớn, biểu hiện ở 4 điểm: mức độ thể chế hóa ERM ở cấp Hội đồng quản trị còn thấp với chỉ khoảng 1/3 doanh nghiệp niêm yết được đánh giá có Ủy ban Quản trị rủi ro; năng lực dữ liệu hạn chế khiến quản trị rủi ro dựa trên dữ liệu chưa thể triển khai trên diện rộng; đầu tư an ninh mạng chưa tương xứng trong khi tỷ lệ doanh nghiệp chịu tổn hại tiếp tục tăng; và rủi ro ESG tuy được cam kết mạnh mẽ nhưng chưa được tích hợp vào quy trình ra quyết định.

Điểm chung của cả 4 hạn chế là ERM vẫn được nhìn nhận như một yêu cầu tuân thủ thay vì chức năng quản trị chiến lược tạo lập giá trị. Thu hẹp khoảng cách này đòi hỏi hành động đồng bộ từ cả doanh nghiệp và cơ quan quản lý và chuẩn hóa nền tảng dữ liệu rủi ro.

Hạn chế của nghiên cứu là dựa hoàn toàn vào dữ liệu thứ cấp từ nhiều nguồn khảo sát khác nhau, nên chưa cho phép đánh giá định lượng chính xác mức độ hoàn thiện của hệ thống ERM. Hướng nghiên cứu tiếp theo là khảo sát trực tiếp với thang đo chuẩn hóa, qua đó kiểm định mối quan hệ giữa mức độ tích hợp ERM với kết quả hoạt động của doanh nghiệp Việt Nam.

Tài liệu tham khảo:

1. Bộ Tài chính (2022). Thông tư số 77/2022/TT-BTC ngày 16/11/2022 về quản trị rủi ro, kiểm soát nội bộ và kiểm toán nội bộ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh doanh nghiệp bảo hiểm phi nhân thọ nước ngoài, chi nhánh doanh nghiệp tái bảo hiểm nước ngoài.
2. Chính phủ (2019). Nghị định số 05/2019/NĐ-CP ngày 22/01/2019 về kiểm toán nội bộ.
3. Chính phủ (2023). Nghị định số 13/2023/NĐ-CP ngày 17/4/2023 về bảo vệ dữ liệu cá nhân.
4. Committee of Sponsoring Organizations of the Treadway Commission (COSO) (2017). Enterprise Risk Management - Integrating with Strategy and Performance.
5. Committee of Sponsoring Organizations of the Treadway Commission (COSO) & World Business Council for Sustainable Development (WBCSD) (2018). Applying Enterprise Risk Management to Environmental, Social and Governance-related Risks.
6. Cục Phát triển doanh nghiệp - Bộ Kế hoạch và Đầu tư (2023). Báo cáo thường niên chuyển đổi số doanh nghiệp Việt Nam năm 2022: Mức độ sẵn sàng chuyển đổi số của doanh nghiệp Việt Nam.
7. Fraser, J. R. S., Quail, R., & Simkins, B. (Eds.) (2021). Enterprise Risk Management: Today’s Leading Research and Best Practices for Tomorrow’s Executives (2nd ed.). Hoboken, NJ: John Wiley & Sons.
8. Hiệp hội An ninh mạng quốc gia (NCA) (2026). Báo cáo nghiên cứu, khảo sát an ninh mạng tại Việt Nam năm 2025 - khu vực cơ quan, doanh nghiệp.
9. Hiệp hội Kiểm toán nội bộ Việt Nam (2022). Quản trị rủi ro doanh nghiệp theo thông lệ quốc tế. Nxb Tài chính.
10. Hoàng Thị Đào, Nguyễn Đức Minh (2018). Mô hình quản trị rủi ro doanh nghiệp theo thông lệ quốc tế. Tạp chí Dầu khí, 1, 53-60.
11. Institute of Internal Auditors (IIA) (2020). The IIA’s Three Lines Model: An Update of the Three Lines of Defense. Lake Mary, FL: The Institute of Internal Auditors.
12. International Organization for Standardization (ISO) (2018). ISO 31000:2018 Risk Management - Guidelines. Geneva: ISO.
13. Nguyễn Đình Thọ (2022). Quản trị rủi ro trong doanh nghiệp. Nxb Tài chính.
14. PwC Việt Nam (2025). Vượt trên yêu cầu tuân thủ: Tái định hình vai trò của ESG đối với doanh nghiệp tại Việt Nam - Khảo sát tiến trình thực hành ESG năm 2025.
15. PwC Việt Nam & Viện Thành viên Hội đồng Quản trị Việt Nam (VIOD) (2022). Từ tham vọng đến hành động - Báo cáo về Mức độ sẵn sàng thực hành ESG tại Việt Nam năm 2022.
16. Quốc hội (2025). Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025.
17. Ủy ban Chứng khoán Nhà nước & Viện Thành viên Hội đồng Quản trị Việt Nam (VIOD) (2026). Bộ Nguyên tắc Quản trị Công ty Việt Nam 2026.
18. Viện Thành viên Hội đồng Quản trị Việt Nam (VIOD) (2025). Kết quả đánh giá Thẻ điểm Quản trị Công ty ASEAN (ACGS) kỳ 2024 và đánh giá quản trị công ty đối với doanh nghiệp thuộc rổ VNX All Share năm 2025.