Kiểm soát nội bộ và khả năng tự sửa sai: Làm sao phát hiện rủi ro trước khi trở thành khủng hoảng?

Một hệ thống thường không rơi vào khủng hoảng chỉ vì một sai sót duy nhất.

Phần lớn vấn đề nghiêm trọng được hình thành từ nhiều dấu hiệu nhỏ đã xuất hiện trước đó:

• Một khách hàng phản ánh nhưng không được ghi nhận.
• Một thành viên sử dụng tài liệu cũ.
• Một tài khoản cũ vẫn còn quyền truy cập.
• Một nhà cung cấp liên tục giao hàng chậm.
• Một nội dung nói quá công dụng vẫn được chia sẻ.
• Một khoản chi được duyệt bằng tin nhắn nhưng không có hồ sơ.
• Một người vừa thực hiện, vừa kiểm tra, vừa tự xác nhận kết quả.
• Một sản phẩm có phản hồi bất thường nhưng từng trường hợp được xử lý riêng lẻ.
• Một chỉ số giảm dần qua nhiều tháng nhưng không ai xem xét.
• Một người nắm toàn bộ dữ liệu, mật khẩu và quan hệ quan trọng.

Mỗi dấu hiệu riêng lẻ có thể chưa đủ lớn để khiến hệ thống dừng lại.

Mọi người vẫn tiếp tục làm việc.

Doanh thu vẫn có.

Chương trình vẫn diễn ra.

Khách hàng vẫn tham gia.

Bề ngoài, hệ thống vẫn hoạt động bình thường.

Nhưng bên trong, rủi ro đang tích tụ.

Đến một thời điểm, chỉ cần thêm một sự việc:

• Một bài đăng lan rộng.
• Một khách hàng khiếu nại công khai.
• Một người phụ trách nghỉ đột ngột.
• Một lô sản phẩm có vấn đề.
• Một file dữ liệu bị gửi sai.
• Một khoản tiền không thể đối chiếu.
• Một đối tác phủ nhận cam kết.

thì những điểm yếu từng tồn tại riêng lẻ bắt đầu liên kết với nhau.

Lúc đó, vấn đề không còn là một lỗi đơn giản.

Nó trở thành khủng hoảng về:

• Niềm tin.
• Vận hành.
• Tài chính.
• Dữ liệu.
• Sức khỏe.
• Quan hệ đối tác.
• Uy tín lãnh đạo.

Một hệ thống trưởng thành không chờ đến khi khủng hoảng xuất hiện mới bắt đầu kiểm tra.

Nó xây khả năng:

• Nhìn thấy dấu hiệu sớm.
• Ngăn lỗi trước khi xảy ra.
• Phát hiện khi lỗi vừa xuất hiện.
• Giới hạn phạm vi ảnh hưởng.
• Sửa nguyên nhân.
• Học và cập nhật lại hệ thống.

Đó là vai trò của kiểm soát nội bộ.

Kiểm soát nội bộ không phải là kiểm soát con người

Khi nghe đến kiểm soát nội bộ, nhiều người nghĩ đến:

• Kiểm tra.
• Giám sát.
• Quy định.
• Chữ ký.
• Phê duyệt.
• Báo cáo.
• Tìm lỗi.
• Truy trách nhiệm.

Nếu triển khai không đúng, kiểm soát nội bộ có thể tạo cảm giác:

• Không được tin tưởng.
• Mọi việc đều phải xin phép.
• Thủ tục nhiều hơn hành động.
• Người kiểm tra chỉ chờ bắt lỗi.
• Sai sót bị dùng để phê bình cá nhân.

Nhưng mục tiêu thật sự của kiểm soát nội bộ không phải làm cho con người sợ sai.

Nó là giúp hệ thống đạt được ba điều:

1. Làm đúng việc đã cam kết.
2. Phát hiện sớm khi thực tế đang lệch.
3. Có khả năng sửa trước khi ảnh hưởng trở nên nghiêm trọng.

Kiểm soát nội bộ tốt không bắt đầu từ câu hỏi:

Ai là người đáng nghi?

Nó bắt đầu bằng câu hỏi:

Ở bước nào hệ thống có thể xảy ra sai sót, lạm dụng, hiểu nhầm hoặc bỏ sót, và chúng ta cần thiết kế điều gì để giảm rủi ro đó?

Ví dụ:

Nếu một người có thể tự tạo nhà cung cấp, tự duyệt hợp đồng, tự xác nhận hàng và tự đề nghị thanh toán, vấn đề không nhất thiết là người đó thiếu trung thực.

Vấn đề là hệ thống đã đặt quá nhiều quyền vào một cá nhân mà không có kiểm tra chéo.

Nếu một thành viên sử dụng sai tài liệu vì chính sách được gửi qua nhiều nhóm khác nhau, vấn đề không chỉ là họ thiếu cẩn thận.

Vấn đề là hệ thống chưa tạo ra một nguồn thông tin chính thức đủ rõ.

Kiểm soát nội bộ tốt tập trung vào thiết kế công việc, không chỉ dựa vào phẩm chất cá nhân.

Người tốt vẫn có thể mắc lỗi trong một hệ thống yếu

Nhiều tổ chức xây niềm tin dựa trên quan hệ:

Người này làm lâu năm nên không cần kiểm tra.

Chị ấy rất tận tâm nên cứ giao toàn bộ.

Anh ấy là người thân quen nên chắc chắn không có vấn đề.

Niềm tin rất quan trọng.

Nhưng niềm tin không thay thế cấu trúc.

Một người trung thực vẫn có thể:

• Nhập sai số.
• Gửi nhầm file.
• Quên một thời hạn.
• Sử dụng tài liệu cũ.
• Hiểu sai chính sách.
• Đánh giá quá lạc quan về đối tác.
• Che giấu một lỗi nhỏ vì sợ làm mọi người thất vọng.
• Bỏ qua bước kiểm tra khi đang quá tải.

Còn một người có ý định lợi dụng hệ thống sẽ càng dễ hành động nếu:

• Không có phân quyền.
• Không có dấu vết.
• Không ai đối chiếu.
• Tài khoản được dùng chung.
• Hồ sơ không đầy đủ.
• Quyết định chỉ được nói bằng miệng.
• Người có thành tích cao được miễn kiểm tra.

Kiểm soát không phải biểu hiện của sự thiếu tin tưởng.

Nó là cách bảo vệ:

• Người thực hiện.
• Khách hàng.
• Lãnh đạo.
• Tổ chức.
• Những người đang hành động đúng.

Khi quy trình rõ, một người có thể chứng minh mình đã làm đúng thay vì phải dựa vào lời nói.

Ba lớp kiểm soát căn bản

Một hệ thống tốt cần cả ba lớp.

1. Kiểm soát phòng ngừa

Mục tiêu là ngăn sai sót trước khi xảy ra.

Ví dụ:

• Chỉ người đủ thẩm quyền mới được duyệt chính sách.
• Tài liệu sức khỏe phải được kiểm tra trước khi đăng.
• Người không còn vai trò bị thu hồi quyền truy cập.
• Biểu mẫu bắt buộc điền đủ trường quan trọng.
• Khoản chi vượt hạn mức cần thêm một người phê duyệt.
• Người bán không tự quyết khiếu nại hoàn tiền liên quan đến hoa hồng của mình.
• Sản phẩm mới phải trải qua thẩm định trước khi triển khai.

Kiểm soát phòng ngừa giúp giảm khả năng lỗi xuất hiện.

2. Kiểm soát phát hiện

Không có hệ thống nào phòng ngừa được mọi lỗi.

Vì vậy, cần cơ chế nhận biết khi vấn đề vừa xảy ra.

Ví dụ:

• Đối chiếu đơn hàng và thanh toán.
• Rà soát quyền truy cập định kỳ.
• Kiểm tra ngẫu nhiên nội dung tư vấn.
• Theo dõi khiếu nại theo loại.
• Phát hiện nhiều phản hồi cùng một mã lô.
• Cảnh báo khi một tài khoản tải nhiều dữ liệu bất thường.
• So sánh doanh thu, hoàn trả và tiền thực nhận.
• Kiểm tra các công việc quá hạn.

Kiểm soát phát hiện giúp hệ thống không phải chờ khách hàng hoặc truyền thông bên ngoài chỉ ra vấn đề.

3. Kiểm soát khắc phục

Sau khi phát hiện, hệ thống phải có khả năng sửa.

Ví dụ:

• Thu hồi tài liệu cũ.
• Khóa quyền truy cập.
• Tạm dừng một lô sản phẩm.
• Hoàn lại quyền lợi.
• Đính chính nội dung.
• Đào tạo lại.
• Thay đổi quy trình.
• Xử lý trách nhiệm.
• Bổ sung bước kiểm tra.
• Thông báo người bị ảnh hưởng.

Phát hiện lỗi mà không sửa nguyên nhân chỉ làm hệ thống biết rõ hơn rằng mình đang có vấn đề.

Ba lớp phải liên kết với nhau:

Ngăn trước – phát hiện sớm – sửa đến nguyên nhân.

Kiểm soát tốt bắt đầu từ những rủi ro quan trọng nhất

Một hệ thống có thể có hàng trăm quy trình.

Không thể kiểm tra mọi thứ với cùng mức độ.

Cần ưu tiên những rủi ro có:

• Khả năng xảy ra cao.
• Ảnh hưởng lớn.
• Khó phát hiện.
• Khó khắc phục.
• Liên quan nhiều người.
• Liên quan sức khỏe, dữ liệu, tài chính hoặc uy tín.

Có thể bắt đầu bằng câu hỏi:

1. Điều gì có thể làm khách hàng bị ảnh hưởng nghiêm trọng?
2. Điều gì có thể làm hệ thống mất niềm tin?
3. Điều gì có thể gây mất tiền hoặc thất thoát tài sản?
4. Điều gì có thể làm dữ liệu bị lộ hoặc sử dụng sai?
5. Điều gì đang phụ thuộc vào một người?
6. Điều gì đã từng xảy ra?
7. Điều gì đang xuất hiện lặp lại?
8. Điều gì hệ thống sẽ khó phục hồi nếu xảy ra?

Không nên xây kiểm soát chỉ theo những việc dễ kiểm tra.

Cần bắt đầu từ những điều quan trọng nhất cần được bảo vệ.

Lập bản đồ rủi ro

Một bản đồ rủi ro đơn giản có thể gồm:

Rủi ro	Khả năng xảy ra	Mức ảnh hưởng	Kiểm soát hiện tại	Người phụ trách
Tư vấn quá công dụng	Cao	Cao	Tài liệu chính thức, duyệt nội dung	Phụ trách chuyên môn
Dữ liệu gửi sai người	Trung bình	Cao	Phân quyền, kiểm tra người nhận	Phụ trách dữ liệu
Sai quyền lợi thành viên	Trung bình	Cao	Một nguồn chính sách, kiểm tra đơn	Vận hành
Nhà cung cấp giao chậm	Cao	Trung bình	Theo dõi thời gian giao, cảnh báo	Phụ trách đối tác
Người giữ quyền truy cập nghỉ đột ngột	Trung bình	Cao	Tài khoản tổ chức, người dự phòng	Quản trị hệ thống

Không cần tính toán quá phức tạp.

Mục tiêu là nhìn thấy:

• Rủi ro nào chưa có biện pháp?
• Kiểm soát nào chỉ tồn tại trên giấy?
• Ai chịu trách nhiệm theo dõi?
• Điều gì cần ưu tiên trước?

Kiểm soát phải gắn với người chịu trách nhiệm

Một quy định không có người sở hữu rất dễ bị bỏ quên.

Ví dụ:

Quyền truy cập cần được rà soát định kỳ.

Nhưng ai rà soát?

Bao lâu một lần?

Danh sách lấy từ đâu?

Ai phê duyệt việc giữ hoặc thu hồi quyền?

Nếu không có câu trả lời, việc rà soát có thể không bao giờ diễn ra.

Mỗi kiểm soát cần có:

• Mục tiêu.
• Người thực hiện.
• Người chịu trách nhiệm cuối cùng.
• Tần suất.
• Bằng chứng.
• Trường hợp cần chuyển cấp.
• Cách xử lý khi không đạt.

Ví dụ:

Vào tuần đầu mỗi tháng, người phụ trách dữ liệu xuất danh sách tài khoản đang có quyền truy cập. Trưởng bộ phận xác nhận những người còn cần quyền. Tài khoản không còn nhu cầu phải được thu hồi trong vòng đã thống nhất.

Kiểm soát chỉ thực sự tồn tại khi có bằng chứng rằng nó đã được thực hiện.

Phân tách nhiệm vụ để không một người kiểm soát toàn bộ quy trình

Một nguyên tắc rất quan trọng là:

Người tạo giao dịch không nên đồng thời là người duy nhất tự kiểm tra và tự phê duyệt giao dịch đó.

Ví dụ trong mua hàng:

• Người đề xuất nhà cung cấp.
• Người phê duyệt điều kiện.
• Người xác nhận đã nhận hàng.
• Người thực hiện thanh toán.

không nhất thiết phải là bốn người khác nhau trong một đội nhỏ.

Nhưng ít nhất cần có một điểm kiểm tra độc lập.

Trong xử lý khiếu nại:

• Người bị phản ánh không nên tự mình kết luận trường hợp.
• Người nhận hoa hồng không nên tự quyết hoàn tiền.
• Người tạo nội dung sai không nên tự quyết mức độ ảnh hưởng.

Trong quản lý dữ liệu:

• Người cấp quyền nên có danh sách được phê duyệt.
• Người sử dụng không tự mở rộng quyền cho người khác.
• Tài khoản quản trị không nên dùng cho công việc hằng ngày nếu không cần thiết.

Phân tách nhiệm vụ không nhằm làm quy trình chậm hơn.

Nó ngăn việc một sai sót hoặc hành vi cá nhân đi qua toàn bộ hệ thống mà không gặp bất kỳ điểm kiểm tra nào.

Đội nhóm nhỏ vẫn có thể kiểm tra chéo

Một đội nhỏ có thể không đủ người để phân tách mọi vai trò.

Có thể sử dụng những cách nhẹ hơn:

• Một người thực hiện, một người rà soát theo tuần.
• Các khoản lớn cần xác nhận của lãnh đạo.
• Báo cáo được đối chiếu với dữ liệu gốc.
• Kiểm tra ngẫu nhiên một số trường hợp.
• Quyền nhạy cảm chỉ sử dụng khi cần và có ghi nhận.
• Mời người ngoài quy trình xem xét những trường hợp rủi ro cao.
• Luân phiên người kiểm tra.

Mục tiêu không phải sao chép bộ máy của một công ty lớn.

Mục tiêu là tránh để một người có thể tạo, thay đổi và tự xác nhận mọi thứ mà không để lại dấu vết.

Quyền truy cập phải dựa trên nhu cầu công việc

Một người thường được cấp quyền khi bắt đầu vai trò.

Nhưng khi họ:

• Chuyển nhóm.
• Đổi nhiệm vụ.
• Nghỉ hợp tác.
• Không còn phụ trách.
• Chỉ hỗ trợ tạm thời.

quyền truy cập có thể vẫn được giữ lại.

Theo thời gian, hệ thống có nhiều người xem được:

• Danh sách khách hàng.
• Hồ sơ sức khỏe.
• Báo cáo tài chính.
• Hợp đồng.
• Tài khoản mạng xã hội.
• Thông tin nhà cung cấp.
• File nội bộ.

Mỗi quyền không cần thiết làm tăng rủi ro.

Nguyên tắc phù hợp là:

Chỉ cấp mức quyền tối thiểu đủ để một người hoàn thành công việc hiện tại.

Cần phân biệt:

• Quyền xem.
• Quyền chỉnh sửa.
• Quyền tải xuống.
• Quyền chia sẻ.
• Quyền xóa.
• Quyền quản trị.

Không phải ai cần xem dữ liệu cũng cần quyền tải xuống hoặc chia sẻ.

Không dùng chung tài khoản khi có thể tránh

Tài khoản dùng chung tạo ra nhiều vấn đề:

• Không biết ai thực hiện thay đổi.
• Mật khẩu được truyền qua nhiều người.
• Người rời vai trò vẫn có thể đăng nhập.
• Khó thu hồi riêng từng người.
• Khó xác định trách nhiệm.
• Xác thực hai bước trở nên bất tiện.

Khi công cụ cho phép, nên sử dụng:

• Tài khoản riêng.
• Quyền theo vai trò.
• Nhật ký hoạt động.
• Tài khoản tổ chức thay vì email cá nhân.
• Xác thực phù hợp.

Nếu bắt buộc dùng tài khoản chung, cần có:

• Người quản lý.
• Danh sách người được sử dụng.
• Quy tắc đổi mật khẩu.
• Cách ghi nhận lần truy cập.
• Quy trình khi một người rời vai trò.

Dữ liệu quan trọng không nên chỉ nằm trên thiết bị cá nhân

Một thành viên có thể lưu:

• Danh sách khách hàng trên điện thoại.
• Hợp đồng trên máy tính cá nhân.
• Mật khẩu trong sổ tay.
• File đào tạo trên tài khoản riêng.
• Lịch sử trao đổi trong tin nhắn cá nhân.

Điều này tạo rủi ro:

• Mất thiết bị.
• Hỏng máy.
• Người nghỉ nhưng dữ liệu không được bàn giao.
• Dữ liệu tiếp tục được giữ ngoài kiểm soát.
• Hệ thống không biết phiên bản nào đầy đủ.

Dữ liệu quan trọng cần có nơi lưu chính thức và quyền sở hữu thuộc về tổ chức hoặc vai trò được chỉ định.

Thiết bị cá nhân chỉ nên được dùng trong phạm vi đã thống nhất và có biện pháp bảo vệ phù hợp.

Kiểm soát dữ liệu bắt đầu từ việc không thu thập quá nhiều

Một cách giảm rủi ro rất hiệu quả là:

Không giữ những dữ liệu hệ thống không thật sự cần.

Mỗi trường thông tin cần được hỏi:

• Dùng để làm gì?
• Ai cần xem?
• Lưu trong bao lâu?
• Nếu bị lộ, ảnh hưởng ra sao?
• Có thể đạt mục tiêu mà không thu thập không?

Ví dụ, một hoạt động chăm sóc thông thường có thể không cần lưu:

• Toàn bộ giấy tờ cá nhân.
• Hồ sơ sức khỏe chi tiết.
• Hình ảnh riêng tư.
• Thông tin tài chính.
• Những ghi chú không liên quan.

Thu thập càng nhiều, trách nhiệm bảo vệ càng lớn.

Một kho dữ liệu lớn không được quản lý tốt không phải là tài sản.

Nó có thể trở thành một rủi ro lớn đang chờ xảy ra.

Kiểm soát nội dung và truyền thông

Trong lĩnh vực sức khỏe, làm đẹp hoặc kinh doanh cộng đồng, một câu chữ sai có thể tạo ra nhiều hệ quả:

• Khách hàng hiểu sai.
• Người bán tiếp tục sao chép.
• Nội dung lan ra nhiều nhóm.
• Chuyên gia bị gắn với tuyên bố họ chưa xác nhận.
• Sản phẩm bị kỳ vọng như giải pháp điều trị.
• Khiếu nại tăng.

Cần phân loại nội dung.

Nội dung rủi ro thấp

• Thông báo lịch.
• Nội dung cộng đồng.
• Chia sẻ trải nghiệm cá nhân không có tuyên bố chuyên môn.
• Hướng dẫn sử dụng nền tảng.

Có thể được người phụ trách truyền thông tự duyệt trong phạm vi.

Nội dung cần kiểm tra

• Công dụng sản phẩm.
• Chỉ số sức khỏe.
• Lời khuyên chuyên môn.
• Kết quả khách hàng.
• Chính sách tài chính.
• Thu nhập.
• Chứng nhận.
• Quan hệ đối tác.
• So sánh với phương pháp khác.

Những nội dung này cần người phù hợp kiểm tra trước khi công bố.

Bảng kiểm trước khi đăng nội dung nhạy cảm

Có thể hỏi:

1. Thông tin lấy từ nguồn nào?
2. Tài liệu có còn hiệu lực không?
3. Câu chữ có khiến người đọc hiểu thành cam kết không?
4. Có nói vượt phạm vi sản phẩm hoặc dịch vụ không?
5. Có sử dụng nỗi sợ quá mức không?
6. Có hình ảnh khách hàng không?
7. Đã có sự đồng ý phù hợp chưa?
8. Có dữ liệu cá nhân không?
9. Có lợi ích tài chính cần công khai không?
10. Có người chịu trách nhiệm duyệt không?

Kiểm soát nội dung nên đủ nhanh để không làm truyền thông tê liệt.

Nhưng không được bỏ qua những phần có khả năng gây ảnh hưởng thật.

Kiểm tra sau khi nội dung đã được đăng

Duyệt trước không bảo đảm mọi nội dung luôn đúng.

Sau khi đăng, cần theo dõi:

• Phản hồi của người đọc.
• Câu hỏi lặp lại.
• Cách thành viên chia sẻ lại.
• Phần dễ bị hiểu sai.
• Nội dung bị cắt khỏi bối cảnh.
• Thay đổi của thông tin hoặc chính sách.

Nếu phát hiện vấn đề:

• Sửa nội dung.
• Đính chính khi cần.
• Thông báo người đã chia sẻ.
• Cập nhật tài liệu nguồn.
• Xem nguyên nhân nằm ở người viết hay quy trình duyệt.

Không nên âm thầm sửa một tuyên bố đã lan rộng rồi xem như chưa từng xảy ra.

Kiểm soát sản phẩm và nhà cung cấp

Một nhà cung cấp được chấp nhận ban đầu không có nghĩa họ luôn duy trì chất lượng.

Theo thời gian có thể xuất hiện:

• Giao hàng chậm.
• Thay đổi bao bì.
• Thay đổi công thức.
• Hồ sơ hết hiệu lực.
• Khiếu nại tăng.
• Chất lượng lô hàng không ổn định.
• Không phản hồi sự cố.
• Thay đổi chính sách mà không thông báo.
• Truyền thông vượt phạm vi.

Vì vậy, kiểm soát không dừng ở bước ký hợp tác.

Cần theo dõi:

• Thời gian giao.
• Tỷ lệ lỗi.
• Khiếu nại.
• Đổi trả.
• Phản hồi sự cố.
• Chất lượng hỗ trợ.
• Tính nhất quán của tài liệu.
• Mức độ minh bạch khi có vấn đề.

Nhà cung cấp tốt không chỉ giao sản phẩm tốt khi bắt đầu.

Họ phải có khả năng chịu trách nhiệm trong suốt quá trình hợp tác.

Dấu hiệu cần xem xét lại nhà cung cấp

• Nhiều lần giao hàng không đúng cam kết.
• Phản hồi chậm khi có vấn đề.
• Hồ sơ được cung cấp không nhất quán.
• Tài liệu quảng bá nói mạnh hơn tài liệu chính thức.
• Đổ toàn bộ trách nhiệm cho người bán hoặc khách hàng.
• Thay đổi điều kiện mà không thông báo.
• Khiếu nại giống nhau lặp lại.
• Không cho phép kiểm tra hoặc đối chiếu.
• Gây áp lực triển khai nhanh trước khi thẩm định xong.
• Quyền lợi tài chính lớn nhưng giá trị khách hàng chưa rõ.

Một đối tác lớn hoặc có quan hệ thân thiết vẫn phải được xem xét theo tiêu chuẩn chung.

Kiểm soát tài chính không chỉ dành cho doanh nghiệp lớn

Ngay cả một đội nhóm nhỏ cũng cần trả lời được:

• Tiền đến từ đâu?
• Tiền được dùng vào việc gì?
• Ai phê duyệt?
• Có bằng chứng không?
• Có thể đối chiếu không?
• Khoản nào đang phải thu hoặc phải trả?
• Tiền khách hàng và tiền vận hành có bị trộn lẫn không?
• Có khoản hoàn trả nào chưa thực hiện không?

Những kiểm soát cơ bản có thể gồm:

• Tách tài khoản cá nhân và tài khoản hoạt động khi phù hợp.
• Mỗi khoản chi có mục đích và người phê duyệt.
• Đối chiếu tiền thực nhận với đơn hàng.
• Kiểm tra hoàn tiền.
• Hạn mức phê duyệt.
• Không để một người vừa thu, vừa ghi nhận, vừa đối chiếu toàn bộ.
• Báo cáo định kỳ về tiền vào, tiền ra và nghĩa vụ đang tồn tại.

Kiểm soát tài chính không phải để tạo thêm giấy tờ.

Nó giúp hệ thống không phải dựa vào trí nhớ hoặc niềm tin mơ hồ khi có tranh chấp.

Doanh thu không phải là tiền mặt, và tiền mặt không phải là lợi nhuận

Một hệ thống có thể báo doanh thu cao nhưng vẫn gặp khó khăn nếu:

• Khách hàng chưa thanh toán.
• Nhiều đơn bị hoàn.
• Hoa hồng đã trả trước.
• Hàng tồn cao.
• Chi phí chương trình lớn.
• Khoản phải trả nhà cung cấp đến hạn.
• Doanh thu đến từ khuyến mãi không lặp lại.

Vì vậy, báo cáo cần phân biệt:

• Doanh thu ghi nhận.
• Tiền đã thực nhận.
• Hoàn trả.
• Chi phí trực tiếp.
• Chi phí vận hành.
• Nghĩa vụ phải trả.
• Dòng tiền.

Nếu chỉ nhìn một con số doanh thu, hệ thống có thể đánh giá quá lạc quan về sức khỏe thật.

Kiểm soát khuyến mãi và cơ chế thưởng

Chương trình khuyến mãi có thể tạo ra:

• Tăng đơn hàng.
• Tăng lượng thành viên.
• Năng lượng đội nhóm.
• Dòng tiền ngắn hạn.

Nhưng cũng có thể tạo:

• Mua vượt nhu cầu.
• Giải thích sai điều kiện.
• Trùng chương trình.
• Tranh chấp quyền lợi.
• Hàng tồn.
• Doanh thu không bền.
• Cạnh tranh nội bộ.

Trước khi triển khai, cần làm rõ:

• Đối tượng áp dụng.
• Thời gian.
• Điều kiện.
• Có áp dụng cùng chương trình khác không?
• Số lượng giới hạn.
• Cách xử lý đơn đang thực hiện.
• Cách tính hoa hồng.
• Ai xác nhận đủ điều kiện?
• Trường hợp hoàn trả được xử lý thế nào?
• Kênh công bố chính thức.

Một câu nhỏ chưa rõ trong chương trình thưởng có thể tạo ra hàng trăm tranh chấp khi mở rộng.

Kiểm soát sức khỏe và giới hạn chuyên môn

Trong các hoạt động chăm sóc sức khỏe chủ động, soi, trải nghiệm hoặc hướng dẫn sản phẩm, cần có hàng rào rõ.

Người thực hiện phải biết:

• Hoạt động của mình nhằm mục đích gì?
• Không được chẩn đoán điều gì?
• Không được khuyên thay đổi thuốc.
• Không được cam kết kết quả.
• Khi nào cần dừng?
• Khi nào chuyển người có chuyên môn?
• Dấu hiệu nào cần khuyến nghị tìm hỗ trợ y tế?
• Dữ liệu sức khỏe được lưu và chia sẻ thế nào?

Kiểm soát có thể gồm:

• Chỉ người đã được đào tạo mới được thực hiện.
• Dùng tài liệu thống nhất.
• Có bảng hỏi giới hạn.
• Có câu giải thích rõ phạm vi.
• Có quy trình chuyển cấp.
• Kiểm tra ngẫu nhiên buổi tư vấn.
• Ghi nhận sự cố và phản ứng bất thường.
• Không sử dụng trường hợp sức khỏe làm nội dung khi chưa có sự đồng ý và đánh giá phù hợp.

Trong lĩnh vực sức khỏe, một trải nghiệm tốt không được đánh giá chỉ bằng số đơn hàng.

Nó còn phải được đánh giá bằng mức độ an toàn và sự hiểu đúng của khách hàng.

Khiếu nại là một công cụ kiểm soát

Nhiều hệ thống xem khiếu nại là vấn đề cần giảm.

Nhưng khiếu nại còn là một nguồn dữ liệu kiểm soát rất quan trọng.

Một phản ánh có thể cho thấy:

• Tài liệu chưa rõ.
• Quy trình bị bỏ qua.
• Người tư vấn vượt phạm vi.
• Sản phẩm có vấn đề.
• Chính sách được hiểu khác nhau.
• Nhà cung cấp phản hồi chậm.
• Khách hàng không biết kênh hỗ trợ.

Không nên chỉ xử lý từng trường hợp rồi đóng.

Cần tổng hợp theo:

• Loại vấn đề.
• Sản phẩm.
• Nhà cung cấp.
• Người thực hiện.
• Khu vực.
• Giai đoạn hành trình.
• Mức độ ảnh hưởng.
• Tần suất.

Nếu năm khách hàng khác nhau cùng hiểu sai một chính sách, vấn đề có thể nằm ở cách hệ thống truyền đạt chứ không phải ở từng khách hàng.

Không đặt mục tiêu “không có khiếu nại”

Một đội nhóm không có khiếu nại có thể vì:

• Dịch vụ rất tốt.
• Khách hàng không biết phản ánh ở đâu.
• Người chăm sóc khuyên họ bỏ qua.
• Thành viên sợ báo cáo.
• Phản ánh được xử lý ngoài hệ thống.
• Dữ liệu không được ghi nhận.

Mục tiêu phù hợp hơn là:

• Khách hàng dễ phản ánh.
• Khiếu nại được ghi nhận đầy đủ.
• Vấn đề nghiêm trọng được chuyển nhanh.
• Nguyên nhân lặp lại giảm dần.
• Khách hàng không phải kể lại nhiều lần.
• Bài học được đưa vào quy trình.

Hệ thống an toàn không phải hệ thống không có vấn đề.

Đó là hệ thống nhìn thấy vấn đề sớm và không che giấu.

Kiểm tra ngẫu nhiên giúp phát hiện điều báo cáo không thể hiện

Báo cáo thường chỉ cho thấy những gì đã được nhập.

Nhưng thực tế có thể khác.

Kiểm tra ngẫu nhiên có thể gồm:

• Đọc một số cuộc trao đổi với khách hàng.
• Kiểm tra một số hồ sơ sản phẩm.
• Đối chiếu một số giao dịch.
• Quan sát một buổi đào tạo.
• Kiểm tra một số tài khoản có quyền truy cập.
• Gọi lại một số khách hàng sau trải nghiệm.
• So sánh tài liệu đội nhóm đang dùng với phiên bản chính thức.

Mục tiêu không phải tìm cách bắt lỗi mọi người.

Nó giúp trả lời:

Quy trình trên giấy có đang được thực hiện trong thực tế không?

Kiểm tra nên có tiêu chí rõ, phạm vi hợp lý và bảo vệ quyền riêng tư.

Kiểm soát không báo trước và kiểm soát định kỳ

Hai hình thức có vai trò khác nhau.

Kiểm soát định kỳ

Được lên lịch trước.

Ví dụ:

• Rà soát quyền truy cập hằng tháng.
• Kiểm tra nhà cung cấp hằng quý.
• Đối chiếu tài chính hằng tuần.
• Rà soát tài liệu sáu tháng một lần.

Ưu điểm là dễ tổ chức và tạo thói quen.

Kiểm tra ngẫu nhiên

Không cố định từng trường hợp.

Giúp đánh giá thực tế bình thường, không chỉ khi mọi người chuẩn bị trước.

Không nên dùng kiểm tra bất ngờ để tạo sợ hãi.

Nó phải phục vụ một mục tiêu rủi ro rõ ràng và được thực hiện công bằng.

Bằng chứng kiểm soát không cần quá phức tạp

Một kiểm soát có thể để lại bằng chứng dưới dạng:

• Danh sách đã xác nhận.
• Biên bản.
• Lịch sử phiên bản.
• Nhật ký truy cập.
• Chữ ký hoặc xác nhận điện tử.
• Báo cáo đối chiếu.
• Ảnh chụp trạng thái.
• Phiếu kiểm tra.
• Mã trường hợp.
• Ghi chú quyết định.

Mục tiêu là để hệ thống có thể trả lời:

• Việc kiểm tra đã được thực hiện chưa?
• Ai thực hiện?
• Khi nào?
• Kết quả?
• Vấn đề nào được phát hiện?
• Đã xử lý ra sao?

Không nên tạo bằng chứng chỉ để đủ thủ tục nhưng không ai sử dụng.

Kiểm soát cũng có thể thất bại

Có một quy trình kiểm soát chưa chắc nghĩa là rủi ro đã được kiểm soát.

Ví dụ:

Mọi nội dung đều phải được duyệt.

Nhưng thực tế:

• Người duyệt không có chuyên môn phù hợp.
• Duyệt quá nhiều nên chỉ lướt nhanh.
• Không có tiêu chí.
• Nội dung được sửa sau khi duyệt.
• Một số người có chức vụ cao được đăng không cần duyệt.

Hoặc:

Quyền truy cập được rà soát hằng tháng.

Nhưng:

• Danh sách không đầy đủ.
• Người rà soát không biết ai đã đổi vai trò.
• Không thu hồi quyền sau khi phát hiện.
• Tài khoản dùng chung không thể xác định người sử dụng.

Vì vậy, cần kiểm tra cả hiệu quả của kiểm soát.

Không chỉ hỏi:

Quy trình có tồn tại không?

Mà phải hỏi:

Quy trình có thật sự làm giảm rủi ro không?

Kiểm tra hiệu quả của kiểm soát

Có thể hỏi:

1. Kiểm soát nhằm ngăn rủi ro nào?
2. Ai thực hiện?
3. Có được thực hiện đúng tần suất không?
4. Có bằng chứng không?
5. Người thực hiện có đủ năng lực không?
6. Khi phát hiện sai lệch, có hành động không?
7. Rủi ro vẫn xảy ra bao nhiêu lần?
8. Có cách nào đơn giản và hiệu quả hơn không?
9. Kiểm soát có bị bỏ qua khi bận không?
10. Có nhóm nào được miễn áp dụng không?

Một kiểm soát quá phức tạp có thể liên tục bị bỏ qua.

Kiểm soát tốt thường:

• Đơn giản.
• Gắn vào công việc.
• Có người chịu trách nhiệm.
• Tạo tín hiệu rõ.
• Có hành động tiếp theo.

Không xây quá nhiều kiểm soát đến mức hệ thống không thể vận hành

Khi có một sai sót, tổ chức thường phản ứng bằng cách thêm:

• Một biểu mẫu.
• Một bước duyệt.
• Một chữ ký.
• Một cuộc họp.
• Một báo cáo.

Theo thời gian, quy trình trở nên rất dài.

Mọi người bắt đầu:

• Làm cho có.
• Sao chép thông tin.
• Tìm cách đi vòng.
• Bỏ qua khi khẩn cấp.
• Xem kiểm soát là thủ tục.

Trước khi thêm một bước, cần hỏi:

• Rủi ro có đủ lớn không?
• Kiểm soát này có thật sự giảm rủi ro không?
• Có thể tự động hóa không?
• Có thể bỏ một bước cũ không?
• Chi phí thực hiện là bao nhiêu?
• Ai sẽ sử dụng kết quả?

Mục tiêu không phải càng nhiều kiểm soát càng tốt.

Mục tiêu là có đúng kiểm soát tại đúng điểm rủi ro.

Kiểm soát nên được thiết kế ngay trong quy trình

Kiểm soát tốt nhất thường không phải một cuộc kiểm tra riêng sau cùng.

Nó được tích hợp vào công việc.

Ví dụ:

• Biểu mẫu không cho gửi nếu thiếu thông tin bắt buộc.
• Hệ thống tự ghi người thay đổi.
• Tài liệu có ngày hiệu lực rõ.
• Quyền truy cập tự hết hạn sau thời gian tạm thời.
• Khoản chi vượt hạn mức tự chuyển người phê duyệt.
• Nội dung nhạy cảm có trạng thái chờ duyệt.
• Mã lô được ghi khi giao sản phẩm.
• Khiếu nại sức khỏe tự chuyển mức ưu tiên cao.

Khi kiểm soát là một phần của luồng công việc, con người ít phải nhớ thêm.

Công nghệ hỗ trợ nhưng không thay thế trách nhiệm

Công nghệ có thể giúp:

• Phân quyền.
• Theo dõi lịch sử.
• Cảnh báo.
• Đối chiếu.
• Nhắc thời hạn.
• Chặn thao tác không phù hợp.
• Tổng hợp dữ liệu.
• Phát hiện bất thường.

Nhưng công nghệ không tự biết:

• Chính sách có công bằng không.
• Nội dung có gây hiểu nhầm không.
• Người dùng có đang lách quy trình không.
• Một phản hồi sức khỏe có nghiêm trọng không.
• Nhà cung cấp có đang thiếu minh bạch không.

Công cụ chỉ hiệu quả khi:

• Dữ liệu đầu vào đúng.
• Quyền được cấu hình phù hợp.
• Người dùng được đào tạo.
• Cảnh báo có người xử lý.
• Trách nhiệm được xác định.

Một hệ thống cảnh báo tạo ra hàng trăm tín hiệu nhưng không ai xem cũng không có giá trị.

Phát hiện bất thường thay vì chỉ xem tổng số

Tổng số có thể trông bình thường nhưng bên trong có điểm bất thường.

Ví dụ:

• Tổng doanh thu ổn nhưng một nhóm hoàn trả tăng mạnh.
• Tổng khiếu nại không tăng nhưng nhiều phản ánh cùng một sản phẩm.
• Tỷ lệ hoạt động ổn nhưng một khu vực giảm liên tục.
• Tổng chi phí đúng kế hoạch nhưng một loại chi tăng bất thường.
• Tổng số bài đăng cao nhưng số nội dung phải sửa cũng tăng.

Cần theo dõi:

• Thay đổi đột ngột.
• Chênh lệch giữa nhóm.
• Trường hợp vượt ngưỡng.
• Xu hướng xấu dần.
• Dữ liệu thiếu.
• Con số quá đẹp bất thường.

Kiểm soát nội bộ không chỉ hỏi:

Tổng kết quả là bao nhiêu?

Nó hỏi:

Có điều gì khác thường cần được giải thích không?

Những tín hiệu cảnh báo sớm

Một số tín hiệu cần được chú ý:

• Khiếu nại giống nhau xuất hiện nhiều lần.
• Tỷ lệ hoàn trả tăng.
• Nhà cung cấp phản hồi chậm.
• Một người liên tục không nghỉ và nắm quá nhiều việc.
• Nhiều quyết định chỉ được nói bằng miệng.
• Thành viên né báo cáo tin xấu.
• Dữ liệu thường xuyên thiếu.
• Nhiều tài khoản dùng chung.
• Người có doanh số cao không chịu kiểm tra.
• Chính sách thay đổi nhưng tài liệu cũ vẫn được sử dụng.
• Chi phí tăng nhanh hơn doanh thu.
• Khách hàng phải liên hệ nhiều người.
• Những trường hợp sức khỏe được giải thích bằng câu “phản ứng bình thường” mà không xác minh.
• Người nghỉ vai trò vẫn giữ quyền truy cập.
• Báo cáo luôn đạt nhưng thực tế khách hàng phản ánh khác.

Một tín hiệu chưa chắc chứng minh có sai phạm.

Nhưng nó cho biết cần kiểm tra sâu hơn.

Tạo kênh báo cáo vấn đề an toàn

Nhiều rủi ro chỉ được biết bởi những người trực tiếp thực hiện.

Họ có thể phát hiện:

• Tài liệu sai.
• Sản phẩm bất thường.
• Dữ liệu bị dùng sai.
• Người quản lý bỏ qua quy trình.
• Áp lực đạt chỉ tiêu khiến tư vấn lệch.
• Một khoản chi không rõ.

Nếu họ sợ:

• Bị trả đũa.
• Mất cơ hội.
• Bị xem là không đoàn kết.
• Bị lộ danh tính.
• Phản ánh rồi không ai xử lý.

thì hệ thống sẽ mất nguồn cảnh báo quan trọng.

Kênh báo cáo cần làm rõ:

• Báo cho ai?
• Có thể báo bằng cách nào?
• Thông tin được bảo mật ra sao?
• Khi nào có phản hồi?
• Người phản ánh có được biết kết quả không?
• Trường hợp cố ý cung cấp thông tin sai được xử lý thế nào?

Bảo vệ người phản ánh có căn cứ là một phần của kiểm soát nội bộ.

Lãnh đạo phải tạo văn hóa báo sớm

Nếu một người báo vấn đề và ngay lập tức bị hỏi:

Tại sao em để việc này xảy ra?

họ sẽ học rằng tốt hơn nên tự xử lý hoặc che giấu.

Có thể hỏi trước:

• Ảnh hưởng hiện tại là gì?
• Cần ngăn điều gì tiếp tục?
• Dữ kiện nào đã có?
• Em cần hỗ trợ gì?
• Ai cần được thông báo?

Sau khi kiểm soát tình hình mới xem xét trách nhiệm và nguyên nhân.

Thông điệp cần rõ:

Báo sớm không làm một người bị đánh giá xấu. Che giấu hoặc trì hoãn mới làm rủi ro nghiêm trọng hơn.

Không phạt người báo lỗi vô ý nhanh hơn người che giấu lỗi

Nếu một người:

• Tự phát hiện sai sót.
• Báo sớm.
• Hợp tác khắc phục.
• Cập nhật quy trình.

họ cần được xử lý khác với người:

• Biết lỗi nhưng giấu.
• Sửa dữ liệu.
• Đổ lỗi cho người khác.
• Tiếp tục hành vi.
• Gây áp lực để người khác im lặng.

Nếu hệ thống xử phạt như nhau, lần sau mọi người sẽ không còn động lực báo sớm.

Văn hóa trách nhiệm cần phân biệt giữa:

• Lỗi có thể học.
• Sự bất cẩn lặp lại.
• Vi phạm có ý thức.
• Hành vi che giấu.
• Lạm dụng quyền lực.

Kiểm soát người có thành tích cao

Một rủi ro lớn xuất hiện khi người tạo ra nhiều doanh thu hoặc có ảnh hưởng được miễn kiểm tra.

Hệ thống có thể nghĩ:

Người này đóng góp lớn, không nên làm họ khó chịu.

Nhưng quyền lực, quan hệ và kết quả cao làm ảnh hưởng tiềm năng của họ lớn hơn.

Vì vậy, tiêu chuẩn không nên thấp hơn.

Có thể cần cao hơn ở những vai trò:

• Có quyền truy cập rộng.
• Ảnh hưởng nhiều thành viên.
• Đại diện thương hiệu.
• Tư vấn sức khỏe.
• Quản lý tài chính.
• Làm việc với nhà cung cấp.
• Duyệt nội dung.

Kiểm soát chỉ áp dụng mạnh với người ít quyền lực nhưng bỏ qua người có vị trí cao sẽ nhanh chóng mất uy tín.

Lãnh đạo cũng phải nằm trong hệ thống kiểm soát

Không ai nên được xem là đứng ngoài nguyên tắc.

Quyết định của lãnh đạo liên quan đến:

• Tài chính.
• Chính sách.
• Đối tác.
• Dữ liệu.
• Xung đột lợi ích.
• Ngoại lệ.

cũng cần có:

• Căn cứ.
• Ghi nhận.
• Tham vấn phù hợp.
• Người thực hiện rõ.
• Mốc xem xét lại.

Điều này không làm giảm quyền lãnh đạo.

Nó giúp quyền lực được sử dụng một cách có trách nhiệm và bảo vệ chính người ra quyết định khi có tranh chấp.

Xung đột lợi ích phải được công khai

Xung đột lợi ích không nhất thiết nghĩa đã có hành vi sai.

Nó xảy ra khi một người có lợi ích có thể ảnh hưởng đến sự khách quan.

Ví dụ:

• Người chọn nhà cung cấp có quan hệ cá nhân với nhà cung cấp.
• Người tư vấn nhận hoa hồng cao hơn từ một sản phẩm.
• Người xử lý khiếu nại là người đã tạo giao dịch.
• Người duyệt nội dung là người được hưởng lợi từ chiến dịch.
• Người đánh giá thành viên đang cạnh tranh cùng vị trí.

Biện pháp có thể là:

• Công khai mối liên hệ.
• Có người thứ hai tham gia.
• Không để người đó quyết định một mình.
• Ghi lại căn cứ.
• Tách khỏi quyết định trong trường hợp cần thiết.

Che giấu xung đột lợi ích mới là điều làm niềm tin bị tổn thương.

Kiểm soát công việc phụ thuộc một người

Một hệ thống có rủi ro cao khi chỉ một người biết:

• Mật khẩu.
• Quy trình.
• Mối quan hệ.
• Cách tính.
• Vị trí tài liệu.
• Lịch sử quyết định.
• Cách xử lý sự cố.

Cần kiểm tra:

• Có người dự phòng không?
• Tài liệu đã được ghi lại chưa?
• Quyền truy cập thuộc tài khoản tổ chức không?
• Có thể bàn giao trong bao lâu?
• Nếu người đó nghỉ 30 ngày, điều gì dừng lại?

Biện pháp có thể gồm:

• Đào tạo chéo.
• Tài liệu hóa.
• Luân phiên nhiệm vụ.
• Kế hoạch kế nhiệm.
• Hai người cùng biết những bước quan trọng.
• Kiểm tra bàn giao định kỳ.

Không nên chờ người đó rời đi mới phát hiện hệ thống đang không sở hữu tri thức của mình.

Kiểm soát chất lượng đào tạo

Một chương trình đào tạo có thể tổ chức nhiều buổi nhưng chưa chắc tạo ra năng lực.

Cần kiểm tra:

• Mục tiêu học có rõ không?
• Tài liệu có đúng phiên bản không?
• Giảng viên có đúng phạm vi không?
• Học viên có thực hành không?
• Có đánh giá khả năng làm được không?
• Có theo dõi sau học không?
• Người chưa đủ năng lực có được phép thực hiện độc lập không?
• Chứng nhận có phản ánh năng lực thật không?

Không nên đánh giá đào tạo chỉ bằng:

• Số người tham dự.
• Hình ảnh.
• Mức độ hào hứng.
• Số giờ học.

Cần xem người học có thể áp dụng đúng và biết giới hạn hay không.

Đánh giá sau sự cố phải tập trung vào hệ thống

Sau mỗi sự cố đáng kể, cần tổ chức một cuộc xem xét.

Không nhằm tìm người để đổ lỗi.

Cần trả lời:

1. Điều gì đã xảy ra?
2. Ảnh hưởng là gì?
3. Dấu hiệu nào xuất hiện trước đó?
4. Kiểm soát nào lẽ ra phải ngăn hoặc phát hiện?
5. Vì sao kiểm soát không hoạt động?
6. Có trường hợp khác tương tự không?
7. Cần sửa điều gì?
8. Ai chịu trách nhiệm?
9. Khi nào kiểm tra lại?
10. Bài học cần chia sẻ cho ai?

Nếu chỉ xử lý người gây lỗi mà không sửa hệ thống, người khác có thể lặp lại cùng lỗi đó.

Phân biệt sửa nhanh và sửa gốc

Sửa nhanh

Giúp kiểm soát ảnh hưởng ngay.

Ví dụ:

• Gỡ nội dung.
• Khóa tài khoản.
• Đổi sản phẩm.
• Hoàn tiền.
• Tạm dừng lô hàng.
• Sửa số liệu.

Sửa gốc

Giảm khả năng tái diễn.

Ví dụ:

• Cập nhật quy trình duyệt.
• Tách quyền.
• Đào tạo lại.
• Thay công cụ.
• Điều chỉnh cơ chế thưởng.
• Sửa tiêu chí nhà cung cấp.
• Làm rõ trách nhiệm.
• Tạo cảnh báo.

Cả hai đều cần thiết.

Chỉ sửa nhanh khiến hệ thống liên tục chữa triệu chứng.

Chỉ tìm nguyên nhân gốc mà không hỗ trợ người bị ảnh hưởng lại thiếu trách nhiệm.

Danh sách hành động khắc phục phải được theo dõi đến khi hoàn thành

Sau sự cố, hệ thống thường đề xuất nhiều việc:

• Sửa tài liệu.
• Đào tạo lại.
• Thu hồi quyền.
• Làm việc với nhà cung cấp.
• Cập nhật chính sách.

Nhưng khi áp lực giảm, các việc này có thể bị quên.

Mỗi hành động cần có:

• Người phụ trách.
• Thời hạn.
• Bằng chứng hoàn thành.
• Người xác nhận.
• Mốc kiểm tra hiệu quả.

Không nên đóng sự cố khi chỉ mới thống nhất phải làm gì.

Chỉ nên đóng khi:

• Hành động đã hoàn thành.
• Ảnh hưởng đã được xử lý.
• Kiểm soát mới đã được kiểm tra.
• Không còn việc quan trọng đang mở.

Báo cáo kiểm soát nên tập trung vào rủi ro và hành động

Một báo cáo kiểm soát không cần liệt kê mọi hoạt động.

Có thể gồm:

Rủi ro chính

Những rủi ro đang cao hoặc tăng.

Sự cố

Điều gì đã xảy ra?

Kiểm soát không hoạt động

Bước nào bị bỏ qua hoặc không hiệu quả?

Hành động khắc phục

Ai làm và khi nào?

Vấn đề quá hạn

Điều gì chưa được hoàn thành?

Quyết định cần lãnh đạo

Cần phê duyệt hoặc hỗ trợ gì?

Báo cáo tốt giúp lãnh đạo biết nơi nào cần can thiệp, không chỉ biết rằng đội ngũ đã thực hiện nhiều lượt kiểm tra.

Một bảng điều hành rủi ro đơn giản

Có thể theo dõi:

• Số khiếu nại theo loại.
• Thời gian xử lý.
• Sự cố sức khỏe.
• Sự cố dữ liệu.
• Nội dung phải sửa hoặc gỡ.
• Sản phẩm hoặc lô hàng có phản hồi.
• Quyền truy cập quá hạn.
• Khoản đối chiếu chưa khớp.
• Hành động khắc phục quá hạn.
• Vai trò chưa có người dự phòng.
• Nhà cung cấp đang ở mức cảnh báo.
• Kiểm soát định kỳ chưa hoàn thành.

Không cần thật nhiều màu sắc hoặc biểu đồ.

Quan trọng là hệ thống nhìn thấy:

• Điều gì đang tăng?
• Điều gì chưa được xử lý?
• Điều gì có khả năng trở thành khủng hoảng?

Không đánh giá kiểm soát chỉ bằng số lỗi phát hiện

Một người kiểm tra phát hiện nhiều lỗi chưa chắc chứng minh hệ thống yếu hơn.

Có thể họ đang làm việc tốt hơn và nhìn thấy điều trước đây bị bỏ qua.

Ngược lại, một bộ phận báo cáo không có lỗi chưa chắc an toàn.

Cần xem:

• Chất lượng kiểm tra.
• Khả năng phát hiện sớm.
• Mức độ hợp tác.
• Tỷ lệ lỗi lặp lại.
• Thời gian khắc phục.
• Hiệu quả của biện pháp mới.

Mục tiêu không phải làm số lỗi bằng không trên báo cáo.

Mục tiêu là giảm rủi ro thật trong thực tế.

Kiểm soát nội bộ cần độc lập ở mức phù hợp

Người kiểm tra không nên hoàn toàn phụ thuộc vào người đang được kiểm tra.

Ví dụ:

• Người phụ trách tài chính không nên là người duy nhất xác nhận báo cáo tài chính của chính mình.
• Người phụ trách sản phẩm không nên tự kết luận mọi khiếu nại sản phẩm.
• Người quản lý nhóm không nên tự đóng phản ánh liên quan đến mình.

Trong đội nhỏ, độc lập có thể được tạo bằng:

• Kiểm tra chéo giữa hai bộ phận.
• Lãnh đạo khác xem xét.
• Mời chuyên gia phù hợp.
• Rà soát định kỳ bởi người không trực tiếp vận hành.
• Dùng tiêu chí chuẩn.

Không nhất thiết phải có một phòng kiểm toán lớn.

Nhưng những vấn đề nhạy cảm cần có góc nhìn ngoài người trực tiếp chịu lợi ích hoặc trách nhiệm.

Khi nào cần kiểm tra độc lập sâu hơn?

Có thể cần khi:

• Có dấu hiệu gian lận.
• Dữ liệu không thể đối chiếu.
• Nhiều khiếu nại cùng loại.
• Người quản lý bị phản ánh.
• Có xung đột lợi ích lớn.
• Ảnh hưởng đến sức khỏe.
• Quyền lợi nhiều người bị tác động.
• Nhà cung cấp không hợp tác.
• Vấn đề đã lan rộng công khai.
• Lãnh đạo nội bộ có liên quan trực tiếp.

Trong những trường hợp này, việc tự kiểm tra trong nhóm có thể không đủ tạo niềm tin.

Chu kỳ kiểm soát hằng ngày, hằng tuần, hằng tháng và hằng quý

Hằng ngày

Theo dõi những rủi ro cần phản ứng nhanh:

• Sự cố sức khỏe.
• Khiếu nại nghiêm trọng.
• Dữ liệu bị gửi sai.
• Nội dung sai đang lan.
• Giao dịch bất thường.
• Hệ thống kỹ thuật bị gián đoạn.

Hằng tuần

• Đối chiếu giao dịch.
• Xem công việc quá hạn.
• Rà soát khiếu nại đang mở.
• Kiểm tra các ngoại lệ.
• Theo dõi nhà cung cấp có vấn đề.
• Xem các hành động khắc phục.

Hằng tháng

• Rà soát quyền truy cập.
• Tổng hợp xu hướng khiếu nại.
• Kiểm tra tài liệu có thay đổi.
• Đối chiếu tài chính.
• Kiểm tra ngẫu nhiên một số trường hợp.
• Xem vai trò phụ thuộc một người.
• Báo cáo rủi ro cho lãnh đạo.

Hằng quý

• Cập nhật bản đồ rủi ro.
• Đánh giá hiệu quả kiểm soát.
• Rà soát nhà cung cấp.
• Xem lại cơ chế thưởng.
• Kiểm tra dữ liệu nhạy cảm.
• Đánh giá kế nhiệm.
• Chọn một số quy trình để kiểm tra sâu.
• Loại bỏ kiểm soát thừa.

Tần suất cần điều chỉnh theo quy mô và mức độ rủi ro.

Lịch kiểm soát phải thực tế

Nếu hệ thống đưa ra quá nhiều lần kiểm tra nhưng không đủ người thực hiện, mọi người sẽ:

• Đánh dấu cho xong.
• Sao chép kết quả cũ.
• Bỏ qua.
• Mất niềm tin vào quy trình.

Nên chọn một số kiểm soát thật sự quan trọng và thực hiện đều đặn.

Một kiểm soát đơn giản được làm nghiêm túc mỗi tháng có giá trị hơn một bộ quy định rất đẹp nhưng không ai tuân thủ.

Kế hoạch 30 ngày xây nền kiểm soát nội bộ

Tuần 1 — Xác định tài sản và rủi ro quan trọng

Liệt kê:

• Dữ liệu cần bảo vệ.
• Tiền và tài sản.
• Sản phẩm.
• Cam kết với khách hàng.
• Tài khoản hệ thống.
• Vai trò quan trọng.
• Quan hệ nhà cung cấp.
• Nội dung chuyên môn.

Sau đó xác định những điều có thể sai.

Tuần 2 — Kiểm kê kiểm soát hiện tại

Hỏi:

• Hiện nay điều gì đang ngăn lỗi?
• Điều gì giúp phát hiện lỗi?
• Ai chịu trách nhiệm?
• Có bằng chứng không?
• Bước nào chỉ dựa vào trí nhớ?
• Nơi nào một người nắm toàn bộ?

Tuần 3 — Chọn năm đến mười kiểm soát ưu tiên

Ví dụ:

1. Rà soát quyền truy cập.
2. Một nguồn tài liệu chính thức.
3. Phê duyệt nội dung nhạy cảm.
4. Đối chiếu giao dịch.
5. Theo dõi khiếu nại.
6. Kiểm tra nhà cung cấp.
7. Phân tách phê duyệt và thanh toán.
8. Quy trình chuyển trường hợp sức khỏe.
9. Người dự phòng cho tài khoản quan trọng.
10. Theo dõi hành động khắc phục.

Tuần 4 — Thử và điều chỉnh

• Kiểm soát có dễ thực hiện không?
• Có phát hiện vấn đề không?
• Có làm công việc chậm quá mức không?
• Người thực hiện hiểu mục tiêu không?
• Có thể tích hợp vào công cụ không?
• Cần bỏ hoặc sửa bước nào?

Mục tiêu sau 30 ngày không phải có một hệ thống hoàn hảo.

Mà là biết rõ:

• Điều gì cần bảo vệ.
• Rủi ro lớn nằm ở đâu.
• Ai chịu trách nhiệm.
• Kiểm tra nào phải diễn ra đều đặn.

Bảng kiểm kiểm soát nội bộ tối thiểu

Con người và quyền hạn

• Vai trò có rõ không?
• Quyền có phù hợp trách nhiệm không?
• Có người dự phòng không?
• Người rời vai trò đã bị thu hồi quyền chưa?
• Người có lợi ích trực tiếp có tự quyết một mình không?

Dữ liệu

• Dữ liệu nằm ở đâu?
• Ai được truy cập?
• Có tài khoản dùng chung không?
• Có thu thập quá mức không?
• Có lịch rà soát và xóa dữ liệu không?

Tài chính

• Giao dịch có bằng chứng không?
• Tiền thực nhận có được đối chiếu không?
• Ai phê duyệt?
• Hoàn tiền được theo dõi thế nào?
• Có tách nhiệm vụ ở những khoản quan trọng không?

Sản phẩm và nhà cung cấp

• Hồ sơ có đầy đủ và còn hiệu lực không?
• Có theo dõi khiếu nại theo sản phẩm và mã lô không?
• Nhà cung cấp phản hồi sự cố thế nào?
• Có tiêu chí tạm dừng hoặc chấm dứt không?

Truyền thông

• Nội dung nhạy cảm có người duyệt không?
• Tài liệu chính thức nằm ở đâu?
• Hình ảnh khách hàng được sử dụng đúng không?
• Nội dung cũ có được thu hồi không?

Khách hàng và khiếu nại

• Khách hàng biết phản ánh ở đâu không?
• Có một đầu mối chịu trách nhiệm không?
• Khiếu nại có được phân loại không?
• Nguyên nhân lặp lại có được xử lý không?

Sức khỏe và chuyên môn

• Phạm vi hoạt động có rõ không?
• Người thực hiện đã được đào tạo chưa?
• Có quy trình chuyển cấp không?
• Có kiểm tra cách tư vấn thực tế không?
• Sự cố sức khỏe có được báo ngay không?

Dấu hiệu hệ thống kiểm soát đang yếu

• Một người giữ toàn bộ thông tin và quyền.
• Quyết định quan trọng không có hồ sơ.
• Tài khoản dùng chung phổ biến.
• Không biết ai đang có quyền truy cập.
• Khiếu nại được xử lý ngoài hệ thống.
• Người có thành tích cao được miễn kiểm tra.
• Báo cáo luôn đẹp nhưng không thể đối chiếu.
• Sai sót giống nhau liên tục lặp lại.
• Kiểm soát chỉ được làm trước khi có kiểm tra.
• Người báo vấn đề bị xem là tiêu cực.
• Không ai theo dõi hành động khắc phục.
• Hệ thống chỉ biết vấn đề khi khách hàng đăng công khai.
• Kiểm soát quá nhiều nhưng mọi người làm cho có.
• Lãnh đạo đứng ngoài nguyên tắc chung.

Dấu hiệu hệ thống có khả năng tự sửa sai

• Vấn đề được báo sớm.
• Người báo lỗi được bảo vệ.
• Quyền truy cập được rà soát.
• Tài liệu có nguồn và phiên bản rõ.
• Dữ liệu có thể đối chiếu.
• Khiếu nại được tổng hợp thành bài học.
• Người có lợi ích trực tiếp không tự quyết một mình.
• Hành động khắc phục được theo dõi đến cùng.
• Quy trình được cập nhật sau sự cố.
• Kiểm soát được đánh giá lại về hiệu quả.
• Người có vị trí cao vẫn tuân thủ tiêu chuẩn.
• Đội ngũ biết khi nào phải dừng và chuyển cấp.
• Hệ thống phát hiện một số vấn đề trước khi khách hàng bị ảnh hưởng.
• Những kiểm soát không còn giá trị được loại bỏ.

Vai trò của người lãnh đạo

Kiểm soát nội bộ không thể hoạt động nếu lãnh đạo chỉ yêu cầu người khác tuân thủ.

Đội ngũ sẽ quan sát:

• Lãnh đạo có ghi lại quyết định không?
• Có công khai xung đột lợi ích không?
• Có cho phép kiểm tra quyết định của mình không?
• Có xử lý người có thành tích cao khi vi phạm không?
• Có lắng nghe tin xấu không?
• Có dành nguồn lực để sửa vấn đề không?
• Có bảo vệ người báo rủi ro không?
• Có bỏ qua quy trình khi cần kết quả nhanh không?

Nếu lãnh đạo thường xuyên nói:

Trường hợp này đặc biệt, cứ làm trước.

thì các hàng rào sẽ dần mất ý nghĩa.

Ngược lại, khi lãnh đạo nói:

Việc này quan trọng, nhưng chúng ta vẫn phải giữ các bước bảo vệ khách hàng và dữ liệu.

đội ngũ sẽ hiểu rằng nguyên tắc thật sự có giá trị.

Kiểm soát không thay thế đạo đức

Một hệ thống có thể có nhiều quy trình nhưng vẫn yếu nếu con người:

• Cố tình lách.
• Che giấu.
• Chỉ làm khi bị nhìn thấy.
• Đặt lợi ích cá nhân trên khách hàng.
• Xem báo cáo là hình thức.

Ngược lại, chỉ dựa vào đạo đức mà không có kiểm soát cũng chưa đủ.

Đạo đức giúp con người muốn làm điều đúng.

Kiểm soát giúp họ:

• Biết điều đúng là gì.
• Có công cụ để làm đúng.
• Được phát hiện và hỗ trợ khi lệch.
• Không bị đặt trong cấu trúc dễ lạm dụng.

Một hệ thống bền cần cả:

• Con người có trách nhiệm.
• Nguyên tắc rõ.
• Quy trình phù hợp.
• Kiểm tra độc lập.
• Văn hóa sửa sai.

Khả năng tự sửa sai quan trọng hơn hình ảnh không bao giờ sai

Một tổ chức có thể cố giữ hình ảnh:

• Không có khiếu nại.
• Không có sự cố.
• Không có sai phạm.
• Mọi chương trình đều thành công.
• Mọi sản phẩm đều được phản hồi tốt.

Hình ảnh đó có thể tạo cảm giác mạnh trong ngắn hạn.

Nhưng cũng khiến người bên trong sợ nói thật.

Một tổ chức trưởng thành có thể nói:

• Chúng tôi đã phát hiện vấn đề.
• Điều này đã ảnh hưởng đến ai.
• Biện pháp tạm thời là gì.
• Nguyên nhân nằm ở đâu.
• Quy trình nào đã được thay đổi.
• Khi nào sẽ kiểm tra lại.

Sự minh bạch có trách nhiệm không làm tổ chức yếu đi.

Nó cho thấy tổ chức có khả năng nhìn thấy sự thật và hành động.

Kết luận

Kiểm soát nội bộ không phải một bộ thủ tục được tạo ra để làm chậm công việc.

Đó là hệ thống những điểm bảo vệ giúp tổ chức:

• Ngăn sai sót.
• Phát hiện bất thường.
• Giới hạn ảnh hưởng.
• Bảo vệ khách hàng.
• Bảo vệ dữ liệu.
• Bảo vệ tài chính.
• Bảo vệ người làm đúng.
• Sửa nguyên nhân.
• Học từ thực tế.

Một hệ thống không thể chỉ dựa vào:

• Người lãnh đạo tận tâm.
• Thành viên trung thực.
• Nhà cung cấp có uy tín.
• Kinh nghiệm lâu năm.
• Quan hệ thân thiết.

Những điều đó đều có giá trị.

Nhưng hệ thống cần thêm:

• Phân quyền rõ.
• Kiểm tra chéo.
• Dấu vết quyết định.
• Quyền truy cập phù hợp.
• Báo cáo bất thường.
• Kênh phản ánh.
• Người chịu trách nhiệm.
• Cơ chế khắc phục.
• Rà soát định kỳ.

Khủng hoảng thường không bắt đầu vào ngày nó bùng nổ. Nó bắt đầu từ những dấu hiệu nhỏ đã được nhìn thấy nhưng không được ghi nhận, hoặc được ghi nhận nhưng không ai chịu trách nhiệm xử lý.

Một tổ chức trưởng thành không đợi đến khi khách hàng, truyền thông hoặc đối tác phát hiện thay mình.

Nó xây khả năng tự hỏi:

• Điều gì đang lệch?
• Dấu hiệu nào đang lặp lại?
• Kiểm soát nào không hoạt động?
• Quyền nào đang tập trung quá mức?
• Có vấn đề nào đang bị che bởi những con số đẹp?
• Ai cần được hỗ trợ?
• Điều gì phải sửa ngay?
• Điều gì cần thay đổi tận gốc?

Một hệ thống mạnh không phải nơi không bao giờ có sai sót.

Đó là nơi sai sót khó đi quá xa mà không bị phát hiện.

Là nơi người lên tiếng không bị trừng phạt.

Là nơi vấn đề không bị giấu để giữ hình ảnh.

Là nơi mỗi sự cố đều để lại một bài học cụ thể trong quy trình, trách nhiệm và cách làm.

Và quan trọng nhất, đó là nơi tổ chức đủ trung thực để nhìn thấy điểm yếu của chính mình trước khi những điểm yếu ấy trở thành một cuộc khủng hoảng mà người khác buộc phải nhìn thấy.