ABCDEFGHIJKLMNOPQRSTUVWXYZ
1
MA TRẬN RỦI RO & KIỂM SOÁT NỘI BỘ (RISK CONTROL MATRIX)
DÀNH CHO DOANH NGHIỆP VỪA VÀ NHỎ – THAM CHIẾU KHUNG COSO 2013
2
3
Phiên bản 2026 | Đơn vị áp dụng: ……………………………… | Người lập: ……………… | Người phê duyệt: ………………
4
5
I. MỤC ĐÍCH CỦA MA TRẬN RỦI RO & KIỂM SOÁT (RCM)
6
Ma trận Rủi ro & Kiểm soát là công cụ nền tảng của hệ thống kiểm soát nội bộ, giúp doanh nghiệp trả lời năm câu hỏi: (1) Rủi ro nào có thể phát sinh trong từng quy trình; (2) Nguyên nhân gốc rễ gây ra rủi ro đó; (3) Mức độ ảnh hưởng và khả năng xảy ra; (4) Hoạt động kiểm soát nào đang có và còn thiếu khoảng trống gì; (5) Ai chịu trách nhiệm kiểm soát, với tần suất nào và để lại bằng chứng gì.
File được thiết kế theo tinh thần khung COSO 2013 với 05 cấu phần: Môi trường kiểm soát – Đánh giá rủi ro – Hoạt động kiểm soát – Thông tin và truyền thông – Giám sát. Sheet 2 là nơi vận hành cấu phần Đánh giá rủi ro và Hoạt động kiểm soát; cột "Người chịu trách nhiệm", "Tần suất" và "Bằng chứng kiểm soát" phục vụ cấu phần Giám sát.
7
8
9
10
11
II. THANG ĐIỂM ĐÁNH GIÁ RỦI RO
12
MỨC ĐỘ ẢNH HƯỞNG (IMPACT)KHẢ NĂNG XẢY RA (LIKELIHOOD)
13
1Không đáng kể – ảnh hưởng dưới ngưỡng trọng yếu, tự khắc phục trong nội bộ1Hiếm xảy ra – trên 3 năm mới có thể xuất hiện một lần
14
2Thấp – ảnh hưởng nhỏ tới kết quả kỳ báo cáo, khắc phục trong vài ngày2Ít xảy ra – khoảng 1 lần trong 1–3 năm
15
3Trung bình – ảnh hưởng rõ rệt tới lợi nhuận hoặc dòng tiền của kỳ3Có thể xảy ra – khoảng 1 lần trong năm
16
4Cao – tổn thất tài chính lớn, bị xử phạt, ảnh hưởng uy tín với đối tác4Thường xuyên xảy ra – vài lần trong năm, đã từng xảy ra tại doanh nghiệp
17
5Rất nghiêm trọng – đe dọa khả năng hoạt động liên tục hoặc trách nhiệm pháp lý của người đại diện5Rất thường xuyên – hàng tháng hoặc gần như chắc chắn xảy ra
18
NGUYÊN TẮC CHẤM ĐIỂM: chấm theo RỦI RO HIỆN TẠI (residual risk) – tức mức rủi ro còn lại sau khi đã tính đến hiệu lực thực tế của "Kiểm soát hiện tại" ghi tại cùng dòng. Không chấm theo rủi ro tiềm tàng khi giả định không có kiểm soát nào.
19
CÔNG THỨC: ĐIỂM RỦI RO = MỨC ĐỘ ẢNH HƯỞNG × KHẢ NĂNG XẢY RA (thang 1 – 25)
20
21
III. PHÂN LOẠI MỨC ĐỘ RỦI RO VÀ ĐỊNH HƯỚNG XỬ LÝ
22
Điểm rủi roMức độMàu cảnh báoĐịnh hướng xử lý
23
1 – 5Rủi ro thấpXanhChấp nhận rủi ro, duy trì kiểm soát hiện tại và soát xét lại hàng năm.
24
6 – 12Rủi ro trung bìnhVàngTheo dõi chủ động, bổ sung kiểm soát khi chi phí hợp lý, rà soát hàng quý.
25
13 – 25Rủi ro caoĐỏƯu tiên xử lý ngay: phân công người chịu trách nhiệm, đặt thời hạn và báo cáo tiến độ hàng tháng lên Ban giám đốc.
26
27
IV. HƯỚNG DẪN NHẬP LIỆU – Ô NÀO ĐƯỢC SỬA, Ô NÀO KHÔNG
28
Sheet 2 – cột A đến I, L đến RÔ nhập liệu. Các cột Bộ phận, Mức độ ảnh hưởng, Khả năng xảy ra, Người chịu trách nhiệm, Tần suất và Trạng thái đã cài dropdown, chỉ cần chọn từ danh sách.
29
Sheet 2 – cột J và KKHÔNG SỬA. Điểm rủi ro và Mức độ rủi ro được tính tự động bằng công thức và tô màu cảnh báo tự động.
30
Sheet 4 và Sheet 5KHÔNG SỬA. Toàn bộ số liệu và biểu đồ tự cập nhật theo Sheet 2.
31
Sheet 3Thư viện tham khảo. Sao chép dòng phù hợp sang Sheet 2 rồi điều chỉnh theo thực tế doanh nghiệp.
32
Sheet DATA (đang ẩn)Chứa danh mục cho dropdown. Bỏ ẩn sheet này để bổ sung tên bộ phận hoặc chức danh mới.
33
Thêm dòng rủi ro mớiVùng công thức và định dạng đã trải sẵn đến dòng 100. Nhập tiếp từ dòng trống kế tiếp, không cần copy công thức.
34
35
V. QUY TRÌNH TRIỂN KHAI RCM TẠI DOANH NGHIỆP (06 BƯỚC)
36
Bước 1 – Xác định phạm vi: liệt kê các bộ phận và quy trình trọng yếu (thường bắt đầu từ tiền, mua hàng, bán hàng, kho, thuế).
37
Bước 2 – Nhận diện rủi ro: phỏng vấn trưởng bộ phận, rà soát sự cố đã xảy ra trong 12 tháng gần nhất, đối chiếu với Sheet 3.
38
Bước 3 – Đánh giá: chấm điểm Mức độ ảnh hưởng và Khả năng xảy ra theo thang tại Mục II, thống nhất trong cuộc họp có biên bản.
39
Bước 4 – Rà soát kiểm soát hiện tại và chỉ ra khoảng trống kiểm soát (control gap) một cách thẳng thắn, không tô hồng.
40
Bước 5 – Thiết kế biện pháp kiểm soát bổ sung: gắn với người chịu trách nhiệm cụ thể, tần suất và bằng chứng lưu lại.
41
Bước 6 – Giám sát: cập nhật cột Trạng thái hàng tháng, báo cáo Dashboard cho Ban giám đốc, soát xét lại toàn bộ ma trận mỗi 6–12 tháng.
42
43
LƯU Ý QUAN TRỌNG: Bộ 38 rủi ro mẫu trong file là dữ liệu tham khảo được xây dựng trên thực tiễn phổ biến của doanh nghiệp vừa và nhỏ tại Việt Nam, không phải kết quả đánh giá riêng cho một doanh nghiệp cụ thể. Điểm số Mức độ ảnh hưởng và Khả năng xảy ra cần được Ban giám đốc chấm lại theo bối cảnh thực tế. Các nội dung liên quan tới nghĩa vụ thuế, lao động, bảo hiểm và bảo vệ dữ liệu cá nhân cần được đối chiếu với văn bản pháp luật đang có hiệu lực tại thời điểm áp dụng.
44
45
46
47
[ KHU VỰC CHÈN LOGO DOANH NGHIỆP – Insert > Picture vào ô này ]
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100