Một dự án có thể chứa hàng trăm “vấn đề”: giấy tờ thiếu, tiến độ chậm, giả định giá chưa chắc, nghĩa vụ hợp đồng chưa thực hiện, mâu thuẫn diện tích hoặc phụ thuộc vào chấp thuận của cơ quan có thẩm quyền. Nếu chỉ để trong bản tóm tắt, vấn đề rất dễ bị quên.
Risk Register – sổ đăng ký rủi ro – biến phát hiện thành đối tượng quản trị có người phụ trách, hạn xử lý và bằng chứng. AI phù hợp để thu thập và chuẩn hóa phát hiện, không phù hợp để tự quyết mức chấp nhận rủi ro của tổ chức.
Chuyên đề: AI ứng dụng trong Bất động sản · Bài 17 · Pháp lý, hợp đồng và Due Diligence
Biên soạn: ThS. Nguyễn Mạnh Hùng
GV. Khoa QLĐĐ&BĐS – ĐH Nông Lâm TP.HCM
Email: nguyenmanhhung@hcmuaf.edu.vn
1. Từ “phát hiện” sang “rủi ro”
Phát hiện là dữ kiện quan sát được; rủi ro là khả năng một sự kiện ảnh hưởng mục tiêu. Ví dụ “chưa thấy văn bản X trong data room” là phát hiện; “không đủ căn cứ xác minh điều kiện Y trước ngày quyết định đầu tư” mới là mô tả rủi ro. AI phải giữ hai trường tách biệt để không biến thiếu tài liệu thành kết luận vi phạm.
2. Cấu trúc tối thiểu
| Trường | Ý nghĩa |
|---|---|
| risk_id | mã rủi ro ổn định |
| finding | phát hiện từ tài liệu/dữ liệu |
| risk_statement | nếu... thì... dẫn đến... |
| evidence | tài liệu, trang, dữ liệu nguồn |
| likelihood/impact | đánh giá theo thang đã quy định |
| owner | người chịu trách nhiệm xử lý |
| action | hành động cụ thể |
| due_date | hạn hoàn thành |
| status | OPEN/MITIGATING/CLOSED/ACCEPTED |
3. AI nên làm gì?
- Gom phát hiện giống nhau từ nhiều báo cáo.
- Gợi ý nhóm rủi ro: pháp lý, thị trường, tài chính, kỹ thuật, vận hành.
- Dự thảo risk statement theo mẫu thống nhất.
- Phát hiện rủi ro chưa có owner/hạn hoặc hành động quá chung.
- Tóm tắt thay đổi giữa hai kỳ review.
4. Điểm số không nên do mô hình ngôn ngữ tự tính
Nếu tổ chức dùng ma trận 5×5, xác suất và tác động phải được người có thẩm quyền gán hoặc lấy từ quy tắc/dữ liệu; điểm tổng và mức màu do code tính. AI có thể giải thích vì sao một rủi ro được xếp mức 4×5 sau khi con người duyệt đầu vào.
5. Ví dụ dự án
Hồ sơ cho thấy phê duyệt hạ tầng phụ thuộc một chấp thuận chưa có trong data room. AI tạo finding=MISSING_DOCUMENT, dẫn tới risk statement dự thảo. Chuyên viên pháp lý xác nhận mức tác động; giám đốc dự án được gán owner; hành động là bổ sung tài liệu hoặc làm rõ trạng thái trước cổng quyết định. Chỉ khi bằng chứng được cập nhật và người duyệt xác nhận mới đóng rủi ro.
6. Tránh Risk Register “đẹp mà vô dụng”
- Mỗi rủi ro phải có hành động kiểm chứng được, không ghi “theo dõi”.
- Không để hàng chục rủi ro trùng nghĩa do AI tạo nhiều cách diễn đạt.
- Không đóng rủi ro chỉ vì hết hạn; cần bằng chứng đóng.
- Không cho AI tự hạ mức rủi ro vì xuất hiện tài liệu mới mà chưa kiểm.
7. Dấu vết thay đổi
Mỗi lần đổi likelihood, impact, owner, action hay status phải lưu ai đổi, lúc nào, lý do và bằng chứng. Điều này biến Risk Register thành công cụ điều hành thay vì bảng chụp tĩnh.
8. Dashboard cho lãnh đạo
AI có thể soạn bản tóm tắt theo kỳ: rủi ro mới, rủi ro tăng mức, rủi ro quá hạn, hành động chưa hoàn thành, các dependency quan trọng. Nhưng số đếm và lọc phải do database thực hiện để tránh sai tổng.
Ghi nhớ trong 30 giây
- Finding không đồng nghĩa Risk; thiếu tài liệu cũng không đồng nghĩa vi phạm.
- Điểm rủi ro và trạng thái phải theo quy tắc, dữ liệu và người duyệt.
- Risk Register phải có owner, hành động, hạn và bằng chứng đóng.
- AI hữu ích nhất ở chuẩn hóa, phát hiện trùng và tóm tắt thay đổi.
Nguồn tham khảo
- NIST – AI Risk Management Framework (AI RMF) 1.0 và NIST AI 600-1 Generative AI Profile; khi triển khai cần kiểm tra phiên bản AI RMF hiện hành vì NIST đang sửa đổi AI RMF 1.0 trong năm 2026.
- ISO/IEC 42001:2023 – Hệ thống quản lý trí tuệ nhân tạo, khung quản trị rủi ro, trách nhiệm, truy vết và cải tiến liên tục.
- RICS – Responsible use of artificial intelligence in surveying practice, 1st edition; có hiệu lực từ 09/03/2026.
Bài tiếp theo
Bài 18: Thiết kế Evidence Trail: mọi kết luận AI phải quay về đúng trang, điều khoản và tài liệu nguồn