Cách đánh giá mức độ rủi ro startup

Một cách thực dụng là đánh giá từng rủi ro theo ba biến:

·         Xác suất xảy ra: Khả năng sự kiện bất lợi thực sự xuất hiện

·         Tác động: Mức tổn thất nếu sự kiện xảy ra

·         Khả năng kiểm soát: Mức độ startup có thể phòng ngừa, phát hiện, giảm thiểu hoặc phục hồi

Ba biến này cần được xem đồng thời. Một sự kiện rất nghiêm trọng nhưng gần như không thể xảy ra chưa chắc cần được ưu tiên hơn một vấn đề ít nghiêm trọng hơn nhưng xảy ra thường xuyên. Tương tự, hai rủi ro có xác suất và tác động ngang nhau vẫn có mức nguy hiểm khác nhau nếu một rủi ro có thể xử lý nhanh còn rủi ro kia phụ thuộc gần như hoàn toàn vào yếu tố bên ngoài.

Bắt đầu từ một rủi ro cụ thể thay vì đánh giá startup bằng cảm giác

ISO 31000 tiếp cận rủi ro như tác động của sự không chắc chắn lên mục tiêu. Điểm quan trọng của cách nhìn này là rủi ro chỉ có ý nghĩa khi được gắn với một mục tiêu mà startup đang cố đạt được.

Vì vậy, câu hỏi “startup này rủi ro cao hay thấp?” quá rộng để chấm điểm trực tiếp. Trước tiên phải chuyển nó thành những sự kiện cụ thể, chẳng hạn:

·         Không đạt doanh thu cần thiết trong 6 tháng tới

·         CAC tăng khiến mô hình acquisition không còn hiệu quả

·         Một khách hàng lớn chấm dứt hợp đồng

·         Không gọi được vòng vốn tiếp theo trước khi hết tiền

·         Sản phẩm chậm ba tháng so với kế hoạch

·         Một thành viên chủ chốt rời công ty

·         Nhà cung cấp hoặc nền tảng quan trọng ngừng hỗ trợ

·         Phát sinh yêu cầu pháp lý khiến sản phẩm phải thay đổi

Đây là khác biệt quan trọng giữa risk identification và risk scoring. Chỉ sau khi rủi ro được diễn đạt thành một sự kiện đủ cụ thể, startup mới có thể ước lượng xác suất, hậu quả và khả năng kiểm soát của nó.

Một risk statement hữu ích có thể viết theo cấu trúc:

Do [nguyên nhân hoặc điều kiện], [sự kiện bất lợi] có thể xảy ra, dẫn tới [hậu quả đối với mục tiêu].

Ví dụ: “Do 45% doanh thu hiện tại phụ thuộc vào một khách hàng, việc khách hàng này không gia hạn hợp đồng có thể làm doanh thu giảm mạnh và rút ngắn runway.”

Cách diễn đạt này buộc người đánh giá phải xác định cả nguyên nhân lẫn hậu quả thay vì dùng những nhãn mơ hồ như “rủi ro khách hàng cao”.

Chấm xác suất xảy ra dựa trên bằng chứng thay vì sự lo lắng

Xác suất trả lời câu hỏi: Trong khoảng thời gian đang đánh giá, khả năng rủi ro này thực sự xảy ra là bao nhiêu?

Có thể chuẩn hóa bằng thang 1–5. Một thang tham khảo nội bộ là:

Các khoảng trên không phải benchmark chung cho mọi startup. Chúng là một cách hiệu chỉnh thang điểm để đội ngũ sử dụng cùng một ngôn ngữ. Startup có thể thay đổi ngưỡng nhưng nên giữ chúng ổn định giữa các kỳ đánh giá.

Ước lượng xác suất nên ưu tiên dữ liệu theo thứ tự: dữ liệu thực tế của startup, dữ liệu cohort hoặc lịch sử tương tự, tín hiệu hiện tại và cuối cùng mới đến judgment của đội ngũ.

Ví dụ, nếu đánh giá nguy cơ mất khách hàng lớn, thay vì nói “khách hàng này có vẻ không hài lòng”, có thể xem:

·         Mức sử dụng sản phẩm giảm bao nhiêu

·         Tần suất tương tác có thay đổi không

·         Hợp đồng còn bao lâu

·         Có ticket hoặc khiếu nại nghiêm trọng không

·         Người ra quyết định bên khách hàng có thay đổi không

·         Khách hàng đã yêu cầu giảm phạm vi hoặc giá chưa

Một sai lầm phổ biến là xem những sự kiện có hậu quả đáng sợ là những sự kiện có xác suất cao. Impact không phải probability. Hai biến phải được chấm riêng trước khi kết hợp.

Đo tác động trên mục tiêu sống còn của startup

Tác động trả lời câu hỏi: Nếu rủi ro xảy ra, startup sẽ mất gì và mất bao nhiêu?

Không nên chỉ sử dụng những từ như “thấp”, “lớn” hay “nghiêm trọng”. Tác động nên được neo vào các biến có thể quan sát như:

·         Tiền mặt

·         Doanh thu

·         Gross margin

·         Runway

·         Số khách hàng

·         Thời gian ra mắt sản phẩm

·         Khả năng vận hành

·         Nghĩa vụ pháp lý

·         Khả năng tiếp tục gọi vốn

SBA nhấn mạnh việc theo dõi tình hình tài chính và lập dự báo dòng tiền trong quản trị doanh nghiệp; FDIC cũng lưu ý rằng phân tích doanh nghiệp nên xét cả dòng tiền hiện tại, dòng tiền kỳ vọng và nhiều điều kiện tương lai thay vì chỉ dựa vào một kịch bản quá lạc quan hoặc bi quan.

Một startup có thể xây dựng thang tác động 1–5 như sau:

Để giảm tính chủ quan, mỗi startup nên tự chuyển năm mức này thành các ngưỡng định lượng.

Ví dụ, startup có thể quy định trước rằng tác động tài chính mức 5 là tổn thất đủ lớn để khiến runway xuống dưới giới hạn an toàn nội bộ; tác động sản phẩm mức 4 là sự cố làm lỡ một milestone quan trọng; tác động khách hàng mức 5 là sự kiện làm mất một tỷ trọng doanh thu vượt quá ngưỡng tập trung mà công ty đã quy định.

Điều cần giữ cố định không phải một con số chung cho toàn thị trường, mà là logic chấm điểm nhất quán bên trong cùng startup.

Khả năng kiểm soát cho biết startup dễ tổn thương đến đâu

Xác suất và tác động chưa phản ánh đầy đủ rủi ro.

Giả sử có hai startup đều có 60% khả năng gặp sự cố từ một nhà cung cấp, và hậu quả đều ở mức 4/5. Startup A có thể chuyển sang nhà cung cấp dự phòng trong 24 giờ. Startup B phụ thuộc vào một nhà cung cấp duy nhất và cần ba tháng để chuyển đổi.

Xác suất giống nhau. Tác động ban đầu giống nhau. Nhưng mức độ dễ tổn thương hoàn toàn khác.

Đó là lý do cần đánh giá khả năng kiểm soát.

Có thể chấm khả năng kiểm soát từ 1–5:

Khi đánh giá, cần xem cả bốn lớp kiểm soát:

Phòng ngừa làm giảm khả năng sự kiện xảy ra.

Phát hiện giúp nhận biết rủi ro trước khi thiệt hại lan rộng.

Giảm thiểu làm nhỏ hậu quả khi sự kiện đã xảy ra.

Phục hồi giúp startup quay lại trạng thái vận hành bình thường.

Điểm kiểm soát vì thế không nên phản ánh việc founder “tin rằng đội ngũ xử lý được”. Nó phải dựa trên năng lực thực tế: người chịu trách nhiệm, quy trình, nguồn lực, dữ liệu cảnh báo, phương án dự phòng và thời gian phản ứng.

Kết hợp ba biến thành điểm ưu tiên rủi ro

Một cách đơn giản là bắt đầu với:

Điểm rủi ro cơ bản = Xác suất × Tác động

Nếu mỗi yếu tố được chấm từ 1–5, điểm cơ bản nằm trong khoảng 1–25.

Tuy nhiên, để đưa khả năng kiểm soát vào mô hình, không nên nhân trực tiếp với điểm “khả năng kiểm soát”. Làm như vậy sẽ tạo nghịch lý: startup kiểm soát càng tốt thì điểm rủi ro lại càng cao.

Có thể chuyển khả năng kiểm soát thành độ khó kiểm soát:

Độ khó kiểm soát = 6 − Điểm khả năng kiểm soát

Sau đó:

Điểm ưu tiên rủi ro = Xác suất × Tác động × Độ khó kiểm soát

Ví dụ:

·         Xác suất = 4

·         Tác động = 5

·         Khả năng kiểm soát = 2

·         Độ khó kiểm soát = 6 − 2 = 4

Điểm ưu tiên:

4 × 5 × 4 = 80

Trong mô hình 1–5 này, điểm thấp nhất là 1 và cao nhất là 125.

Startup có thể xây dựng ngưỡng quản trị nội bộ, chẳng hạn:

Các ngưỡng trên là quy ước quản trị, không phải xác suất thất bại của startup và cũng không phải chuẩn quốc tế. Giá trị của chúng nằm ở việc giúp nhiều rủi ro được đánh giá theo cùng một cơ chế.

Quan trọng hơn con số tuyệt đối là thứ hạng tương đối. Nếu startup có 30 rủi ro nhưng chỉ đủ nguồn lực xử lý năm vấn đề trong quý, hệ thống điểm giúp chỉ ra năm rủi ro nên được đưa lên bàn quản trị trước.

Không đọc điểm rủi ro tách khỏi dòng tiền và mối quan hệ giữa các rủi ro

Điểm số tạo ra trật tự ưu tiên nhưng không thay thế judgment.

Đặc biệt với startup, các rủi ro thường liên kết với nhau.

Ví dụ:

CAC tăng → tốc độ tăng trưởng giảm → kế hoạch doanh thu hụt → burn multiple xấu đi → vòng gọi vốn khó hơn → runway ngắn lại.

Nếu mỗi vấn đề được ghi thành một dòng độc lập trong risk register, đội ngũ có thể đánh giá thấp rủi ro hệ thống vì không nhìn thấy chuỗi nguyên nhân.

Dòng tiền đặc biệt quan trọng vì nó thường biến nhiều vấn đề riêng lẻ thành rủi ro sống còn. FDIC lưu ý trong tài liệu quản trị rủi ro doanh nghiệp nhỏ rằng chi phí bất ngờ hoặc việc mất nguồn tín dụng có thể làm doanh nghiệp không đáp ứng được chi phí hàng tháng, vì vậy kế hoạch duy trì dòng tiền là một phần quan trọng của kiểm soát rủi ro.

Do đó, sau khi chấm từng rủi ro, nên thực hiện thêm ba kiểm tra.

Kiểm tra sự phụ thuộc: Rủi ro nào có thể kích hoạt rủi ro khác?

Kiểm tra sự tập trung: Startup có phụ thuộc quá lớn vào một khách hàng, founder, nhân viên, nền tảng, nhà cung cấp hay nguồn vốn không?

Kiểm tra kịch bản kết hợp: Điều gì xảy ra nếu hai hoặc ba rủi ro cùng xuất hiện trong một khoảng thời gian ngắn?

Một rủi ro riêng lẻ có thể chỉ đạt 40 điểm, nhưng nếu nó là nguyên nhân khởi phát cho nhiều rủi ro khác, mức ưu tiên quản trị thực tế có thể cao hơn vị trí mà phép tính đơn lẻ cho thấy.

Chuyển đánh giá rủi ro thành quyết định quản trị

Một risk register chỉ có giá trị khi mỗi rủi ro quan trọng dẫn tới một hành động cụ thể.

Với từng rủi ro ưu tiên cao, startup nên ghi tối thiểu:

Sau khi có bảng này, không nhất thiết phải xử lý mọi rủi ro.

Rủi ro thấp có thể chấp nhận và theo dõi.

Rủi ro có thể giảm xác suất nên được phòng ngừa.

Rủi ro khó phòng ngừa nhưng hậu quả lớn cần giảm tác động hoặc chuẩn bị phương án phục hồi.

Rủi ro có mức ưu tiên cực cao nhưng gần như không thể kiểm soát có thể buộc startup phải thay đổi cấu trúc phụ thuộc, thay vì chỉ thêm một checklist kiểm soát.

Cuối cùng, điểm rủi ro phải được cập nhật. Xác suất thay đổi khi có dữ liệu mới; tác động thay đổi khi startup lớn lên; khả năng kiểm soát thay đổi khi doanh nghiệp bổ sung con người, tiền mặt, quy trình hoặc phương án dự phòng.

Vì vậy, đánh giá rủi ro startup là một quá trình động, không phải bài kiểm tra thực hiện một lần.

Mức độ rủi ro của startup có thể được đánh giá có hệ thống bằng cách tách từng rủi ro thành xác suất xảy ra, mức tác động và khả năng kiểm soát. Xác suất cho biết sự kiện dễ xảy ra đến đâu; tác động cho biết startup sẽ mất gì nếu nó xảy ra; khả năng kiểm soát cho biết doanh nghiệp có thể ngăn chặn hoặc hạn chế hậu quả đến mức nào.

Điểm số không dự đoán chính xác startup sẽ thành công hay thất bại. Chức năng quan trọng nhất của nó là tạo ra một hệ thống ưu tiên nhất quán: rủi ro nào có thể theo dõi, rủi ro nào cần giảm ngay và rủi ro nào có khả năng đe dọa mục tiêu sống còn của startup.

Khi mô hình điểm được kết hợp với dữ liệu thực tế, cảnh báo sớm, dòng tiền, quan hệ phụ thuộc giữa các rủi ro và người chịu trách nhiệm rõ ràng, đánh giá rủi ro mới thực sự trở thành công cụ ra quyết định thay vì một danh sách những điều có thể đi sai.