Cách xây dựng ma trận rủi ro pháp lý từ kết quả rà soát văn bản

Một danh sách dài các điểm khác nhau giữa văn bản chưa đủ để hỗ trợ ra quyết định. Lãnh đạo cần biết khác biệt nào có thể làm phát sinh vi phạm, khác biệt nào chỉ mang tính kỹ thuật và vấn đề nào chưa đủ căn cứ để kết luận. Ma trận rủi ro giúp chuyển kết quả rà soát thành thứ tự ưu tiên có thể giải thích.

1. Tình huống: hệ thống cảnh báo một văn bản địa phương trái luật

Nếu AI phát hiện quyết định của Ủy ban nhân dân có nghĩa vụ khác với luật, kết quả chưa đủ để kết luận văn bản trái pháp luật. Cần xác định văn bản có phải văn bản quy phạm pháp luật theo Điều 2, thuộc hệ thống văn bản tại Điều 4, còn hiệu lực theo các Điều 53–57 và cùng điều chỉnh một vấn đề hay không. Sau đó mới áp dụng khoản 3 Điều 58 về ưu tiên văn bản có hiệu lực pháp lý cao hơn. Việc kết luận, xử lý văn bản được thực hiện theo thẩm quyền kiểm tra tại Điều 63, không thuộc về hệ thống AI hoặc doanh nghiệp sử dụng kết quả.

2. Phân biệt rủi ro áp dụng và kết luận vi phạm

Ma trận rủi ro cần tách ba tầng: dữ kiện đã được xác minh; quy phạm pháp luật dự kiến áp dụng; hậu quả nếu cách áp dụng đó đúng. Điểm rủi ro cao không đồng nghĩa đã có vi phạm. Với hệ thống AI, Điều 9 Luật Trí tuệ nhân tạo số 134/2025/QH15 yêu cầu phân loại dựa vào mức thiệt hại tiềm ẩn và phạm vi ảnh hưởng; Điều 14 yêu cầu quản lý rủi ro, hồ sơ kỹ thuật, nhật ký và giám sát con người đối với hệ thống rủi ro cao. Logic này phù hợp để đánh giá cảnh báo pháp lý nhưng không thay thế việc chứng minh các yếu tố cấu thành trách nhiệm.

3. Gắn kiểm soát với trách nhiệm và bằng chứng

Điều 29 Luật Trí tuệ nhân tạo quy định tổ chức, cá nhân vi phạm có thể bị xử lý và phải bồi thường nếu gây thiệt hại; đối với hệ thống rủi ro cao, bên triển khai có thể phải bồi thường ngay cả khi hệ thống được quản lý đúng quy định, trừ các trường hợp miễn trừ luật định. Vì vậy, biện pháp kiểm soát phải chỉ rõ ai xác minh nguồn, ai phê duyệt kết luận, ngưỡng nào buộc dừng sử dụng và bằng chứng nào được lưu. Sau kiểm soát, rủi ro còn lại phải được mô tả bằng hậu quả pháp lý có thể phát sinh, không chỉ bằng nhãn màu cao–trung bình–thấp.

4. Tách dữ kiện khỏi nhận định

Mỗi vấn đề nên bắt đầu bằng dữ kiện có thể kiểm chứng: văn bản, điều khoản, tình trạng hiệu lực, chủ thể, nghĩa vụ và bối cảnh áp dụng. Sau đó mới trình bày nhận định về mâu thuẫn, chồng chéo, khoảng trống hoặc nguy cơ không tuân thủ.

Việc tách hai lớp này đặc biệt quan trọng khi dùng AI. Hệ thống có thể phát hiện đoạn văn tương tự hoặc khác nhau, nhưng chuyên gia phải đánh giá liệu khác biệt có thực sự làm thay đổi quyền, nghĩa vụ hoặc thẩm quyền hay không.

5. Chấm rủi ro theo tiêu chí nhất quán

Một mô hình đơn giản có thể sử dụng bốn tiêu chí: khả năng xảy ra, mức độ tác động, phạm vi ảnh hưởng và khả năng phát hiện hoặc khắc phục. Bên cạnh điểm số, cần ghi rõ lý do chấm và căn cứ để người đọc hiểu vì sao một vấn đề được xếp ưu tiên cao.

Độ tin cậy của dữ liệu nên được đánh giá riêng. Một cảnh báo có tác động lớn nhưng nguồn chưa đầy đủ cần được chuyển sang bước xác minh khẩn cấp, không nên bị hạ thấp chỉ vì chưa đủ thông tin và cũng không nên được trình bày như kết luận chắc chắn.

6. Gắn rủi ro với biện pháp kiểm soát

Mỗi rủi ro phải dẫn đến một hành động cụ thể: sửa mẫu hợp đồng, cập nhật quy trình, xin ý kiến cơ quan có thẩm quyền, đào tạo người dùng hoặc dừng một hoạt động cho đến khi hoàn tất đánh giá. Biện pháp cần có chủ sở hữu, thời hạn và bằng chứng hoàn thành.

Sau khi áp dụng kiểm soát, tổ chức cần đánh giá rủi ro còn lại. Cách làm này tránh tình trạng đánh dấu công việc đã hoàn thành nhưng nguyên nhân gốc hoặc phạm vi ảnh hưởng vẫn chưa được xử lý.

7. Thiết kế thang điểm phù hợp với tổ chức

Thang điểm không nên sao chép máy móc từ một mẫu chung. Doanh nghiệp cần xác định tiêu chí phản ánh hoạt động của mình, chẳng hạn ảnh hưởng tài chính, nguy cơ đình chỉ, tác động đến khách hàng, dữ liệu, uy tín và khả năng khắc phục. Mỗi tiêu chí phải có mô tả cho từng mức để hai người đánh giá không hiểu điểm cao và điểm thấp theo cách hoàn toàn khác nhau.

Bên cạnh điểm rủi ro, nên có mức độ chắc chắn của đánh giá. Một vấn đề có điểm tác động cao nhưng độ chắc chắn thấp cần được ưu tiên xác minh. Một vấn đề có điểm trung bình nhưng xảy ra thường xuyên có thể cần kiểm soát hệ thống. Ma trận nên cho phép người dùng đọc lý do và căn cứ, không biến kết quả pháp lý thành một con số thiếu bối cảnh.

8. Tình huống minh họa: hai cảnh báo có điểm giống nhau

Cảnh báo thứ nhất liên quan một điều khoản hợp đồng mẫu có thể ảnh hưởng đến số lượng lớn giao dịch nhưng doanh nghiệp có thể sửa nhanh. Cảnh báo thứ hai chỉ liên quan một dự án nhưng có nguy cơ lộ dữ liệu nhạy cảm và khó khắc phục. Nếu chỉ dùng phép nhân khả năng với tác động, hai cảnh báo có thể nhận điểm gần nhau. Tuy nhiên, biện pháp và thứ tự xử lý phải khác vì tính chất hậu quả và khả năng phục hồi không giống nhau.

Ma trận tốt cho phép bổ sung tiêu chí về phạm vi, tốc độ phát sinh thiệt hại, khả năng đảo ngược và nghĩa vụ báo cáo. Người phê duyệt có thể điều chỉnh mức ưu tiên nhưng phải ghi lý do. Nhờ đó, hệ thống hỗ trợ quyết định mà không che giấu phán đoán của con người sau một công thức tự động.

9. Rà soát định kỳ và học từ sự cố

Ma trận cần được xem xét lại khi pháp luật, hoạt động kinh doanh hoặc biện pháp kiểm soát thay đổi. Một rủi ro từng ở mức thấp có thể tăng khi doanh nghiệp mở rộng thị trường, tích hợp hệ thống mới hoặc thay nhà cung cấp. Ngược lại, rủi ro có thể giảm sau khi quy trình được tự động hóa và kiểm thử hiệu quả. Mỗi lần đánh giá lại nên giữ lịch sử để người dùng hiểu xu hướng.

Sự cố, khiếu nại và kết quả kiểm tra là dữ liệu quan trọng để hiệu chỉnh mô hình chấm điểm. Nếu nhiều sự cố xuất hiện ở nhóm từng được đánh giá thấp, tiêu chí hoặc trọng số cần được xem lại. Nền tảng có thể tổng hợp mẫu, nhưng chuyên gia phải quyết định thay đổi phương pháp. Cách học có kiểm soát giúp ma trận phản ánh thực tế thay vì trở thành bảng báo cáo được cập nhật hình thức.

10. Nền tảng hỗ trợ như thế nào?

– Căn chỉnh điều khoản và hiển thị khác biệt theo đúng bối cảnh.

– Tách dữ kiện, nhận định, giả định và câu hỏi cần xác minh.

– Gợi ý tiêu chí chấm điểm nhưng cho phép tổ chức điều chỉnh trọng số.

– Theo dõi biện pháp kiểm soát, bằng chứng hoàn thành và rủi ro còn lại.

11. Câu hỏi thường gặp

Câu hỏi 1. Rủi ro được chấm mức cao có đồng nghĩa đã có vi phạm không?

Không. Điểm rủi ro phản ánh khả năng và hậu quả tiềm ẩn trên cơ sở dữ kiện hiện có. Muốn xác định vi phạm phải áp dụng đúng quy phạm và chứng minh các yếu tố pháp lý liên quan; vì vậy ma trận phải tách dữ kiện, giả định và nhận định.

Câu hỏi 2. Phát hiện văn bản địa phương khác với luật thì nên làm gì?

Cần kiểm tra loại văn bản, thẩm quyền, hiệu lực, phạm vi và việc hai quy định có cùng điều chỉnh một vấn đề hay không. Nếu có dấu hiệu trái pháp luật, báo cáo phải chuyển đến chủ thể có thẩm quyền kiểm tra, xử lý thay vì tự tuyên bố văn bản vô hiệu.

Câu hỏi 3. Biện pháp kiểm soát nào cần được ghi trong ma trận?

Mỗi biện pháp nên có người chịu trách nhiệm, thời hạn, hành động cụ thể, căn cứ, bằng chứng hoàn thành và ngưỡng chuyển cấp hoặc dừng. Sau khi thực hiện cần chấm lại rủi ro còn lại, không chỉ đánh dấu đã xử lý.

12. Căn cứ pháp lý tham khảo

1. Luật Ban hành văn bản quy phạm pháp luật số 64/2025/QH15, được sửa đổi, bổ sung bởi Luật số 87/2025/QH15.

2. Luật Trí tuệ nhân tạo số 134/2025/QH15.

13. Kết luận

Ma trận rủi ro pháp lý giúp chuyển cảnh báo từ hoạt động rà soát thành quyết định có thứ tự ưu tiên. Một ma trận đáng tin cậy không chỉ có điểm số mà phải giải thích được quy phạm áp dụng, chất lượng dữ liệu, biện pháp kiểm soát và rủi ro còn lại.