Một trường học có thể có đủ nhân viên bảo vệ tại các vị trí đã được bố trí.
Nhưng điều đó chưa trả lời được câu hỏi quan trọng hơn:
Những rủi ro quan trọng có thực sự đang được kiểm soát hay không?
Sự khác biệt giữa hai câu hỏi này rất lớn.
“Có bao nhiêu nhân viên bảo vệ?” là câu hỏi về nguồn lực.
“Hệ thống có ngăn được một học sinh rời trường khi chưa được phép, kiểm soát đúng khách ra vào và phản ứng đúng khi có sự cố hay không?” là câu hỏi về kết quả vận hành.
Nhân viên an ninh rất quan trọng.
Nhưng nhân viên là một thành phần của hệ thống, không phải toàn bộ hệ thống.
Để hiểu rõ cách con người, quy trình và công nghệ phối hợp nhằm kiểm soát rủi ro trong trường học, tham khảo bài viết về Vận hành An ninh Trường học.
Đó là lý do có nhân viên bảo vệ không tự động đồng nghĩa với một trường học an toàn.
Nhân viên an ninh phối hợp với đại diện nhà trường kiểm tra thông tin tại cổng trường. (Ảnh minh họa)
Khi “đủ người” tạo ra cảm giác an toàn
Nhân sự là thứ dễ nhìn thấy.
Một cổng có người trực tạo cảm giác được kiểm soát. Một nhân viên tuần tra cho thấy nhà trường đang có hoạt động an ninh. Một bảng phân ca đầy đủ có thể cho thấy tất cả vị trí đều đã được bố trí.
Nhưng presence — sự hiện diện — khác với control — khả năng kiểm soát.
Hãy lấy một tình huống rất đơn giản.
Một học sinh đến cổng và đề nghị nhân viên an ninh cho ra ngoài.
Tại thời điểm đó, điều quyết định kết quả không chỉ là có một nhân viên đứng ở cổng.
Nhân viên đó cần biết:
- học sinh có được phép ra ngoài hay không;
- ai có thẩm quyền xác nhận;
- phải xác minh bằng cách nào;
- khi thông tin chưa rõ thì cần liên hệ ai;
- trường hợp ngoại lệ phải xử lý thế nào;
- hành động quan trọng có cần được ghi nhận hay không.
Nếu những điều này không rõ, quyết định cuối cùng có thể phụ thuộc vào phán đoán cá nhân của người đang trực.
Và khi đó, trường có presence, nhưng chưa chắc đã có một reliable control.
Headcount là đầu vào. An ninh là kết quả vận hành.
Đây là một phân biệt quan trọng đối với người quản lý.
Số lượng nhân viên là một input.
Một ca trực đầy đủ cũng là input.
Camera, bộ đàm và access-control technology cũng là input.
Những nguồn lực đó cần thiết ở mức phù hợp với rủi ro và môi trường của từng trường.
Nhưng kết quả mà ban lãnh đạo thực sự cần không phải là “đã mua đủ input”.
Kết quả cần đạt là:
- người không được phép không dễ dàng đi vào;
- học sinh không rời trường trái với quy trình;
- tình huống bất thường được nhận diện;
- sự việc cần escalation được escalation đúng;
- các vị trí quan trọng được kiểm soát;
- sai lệch được phát hiện;
- và hệ thống học được từ những vấn đề đã xảy ra.
Đó là operational outcome.
Vì vậy, tăng số lượng nhân viên có thể là giải pháp khi nguyên nhân thực sự là thiếu nguồn lực.
Nhưng nếu nguyên nhân nằm ở tiêu chuẩn không rõ, quy trình không phù hợp, đào tạo không đủ, giám sát yếu hoặc trách nhiệm bị đứt đoạn, thêm người có thể chỉ làm cho một hệ thống chưa tốt trở nên lớn hơn.
Năm khoảng trống mà headcount không tự giải quyết được
Không rõ “làm đúng” nghĩa là gì
Một mô tả công việc có thể nói:
“Kiểm soát học sinh ra vào.”
Nhưng đó chưa phải một operating standard.
Nếu một học sinh muốn ra khỏi trường giữa giờ, nhân viên cần một tiêu chuẩn đủ rõ để biết:
Ai được phép phê duyệt?
Xác minh bằng kênh nào?
Nếu không liên hệ được người phụ trách thì sao?
Có trường hợp ngoại lệ nào?
Khi nào phải escalation?
Nếu tiêu chuẩn không rõ, hai nhân viên có thể xử lý cùng một tình huống theo hai cách khác nhau — dù cả hai đều có thiện chí.
Vấn đề khi đó không phải thiếu người.
Vấn đề là thiếu một tiêu chuẩn thực thi đủ rõ.
Có SOP nhưng thực tế vận hành khác SOP
Một trường có thể có quy trình rất tốt trên giấy.
Nhưng security operations diễn ra trong điều kiện thực tế: giờ cao điểm, nhiều phụ huynh cùng đến, học sinh di chuyển liên tục, điện thoại reo, khách cần hỗ trợ và nhiều việc xảy ra cùng lúc.
Một control được thiết kế tốt trong phòng họp có thể trở nên khó thực hiện tại cổng trường lúc 7:30 sáng.
Khoảng cách giữa:
What should happen → What actually happens
là một trong những nơi quan trọng nhất lãnh đạo cần quan sát.
Không phải để tìm người mắc lỗi.
Mà để biết control có thực sự phù hợp với môi trường vận hành hay không.
Nhân viên phải tự quyết định quá nhiều
Một hệ thống yếu thường dựa rất nhiều vào “người có kinh nghiệm”.
Người trực lâu năm biết gọi ai.
Biết học sinh nào.
Biết phụ huynh nào.
Biết trường hợp nào có thể linh hoạt.
Điều đó có thể giúp công việc diễn ra thuận lợi — cho đến khi người đó nghỉ phép, đổi ca hoặc được thay bằng một nhân viên mới.
Một hệ thống đáng tin cậy không thể để những quyết định quan trọng chỉ tồn tại trong trí nhớ của một vài cá nhân.
Kinh nghiệm vẫn có giá trị.
Nhưng kinh nghiệm cần được hỗ trợ bởi standard, training, escalation và supervision để chất lượng không phụ thuộc quá mức vào một con người cụ thể.
Có hoạt động nhưng không có cách kiểm chứng
Một câu hỏi đơn giản có thể thay đổi cách lãnh đạo nhìn security operations:
“Làm thế nào chúng ta biết việc này đã thực sự được thực hiện?”
Không phải mọi nhiệm vụ đều cần thêm biểu mẫu.
Nhưng với những critical controls, cần có mức evidence phù hợp.
Nếu quy trình yêu cầu một bước kiểm tra cuối cùng, hệ thống có thể xác nhận bước đó đã được thực hiện hay không?
Nếu một sự cố phải escalation, có thể biết nó đã được chuyển đúng người và đúng thời điểm hay không?
Nếu một vấn đề lặp lại, có dữ liệu hoặc hồ sơ nào giúp management nhìn thấy pattern hay không?
Nếu không có evidence phù hợp, ban lãnh đạo dễ phải dựa vào:
“Tôi được báo cáo rằng mọi việc vẫn ổn.”
Đó chưa phải Operational Assurance.
Đại diện nhà trường và giám sát an ninh cùng rà soát hồ sơ kiểm tra tại phòng có màn hình camera giám sát. (Ảnh minh họa)
Lỗi xảy ra nhưng hệ thống không học
Sau một sai sót, phản ứng phổ biến nhất có thể là:
“Nhắc nhở nhân viên.”
Đôi khi đó là hành động phù hợp.
Nhưng nếu cùng một loại lỗi tiếp tục xuất hiện, câu hỏi cần thay đổi.
Không chỉ:
“Ai làm sai?”
mà còn:
“Tại sao hệ thống vẫn cho phép lỗi này lặp lại?”
Có thể training chưa đủ.
Có thể SOP chưa rõ.
Có thể vị trí bố trí không phù hợp.
Có thể thông tin giữa security và school operations bị đứt.
Có thể supervisor kiểm tra sai thứ cần kiểm tra.
Nếu chỉ sửa con người mà không xem xét nguyên nhân hệ thống, tổ chức có thể thay một nhân viên nhưng giữ nguyên điều kiện tạo ra sai sót.
Một tình huống nhỏ cho thấy sự khác biệt
Content OS của Samurai ghi nhận một tình huống thực tế: một học sinh đề nghị nhân viên bảo vệ cho ra ngoài.
Điểm đáng chú ý không nằm ở việc yêu cầu đó có vẻ bình thường hay bất thường.
Điểm quan trọng nằm ở control.
Nhân viên đã xác minh với bộ phận có trách nhiệm thay vì tự quyết định dựa trên yêu cầu có vẻ hợp lý của học sinh. Việc xác minh giúp ngăn một yêu cầu không được phép.
Nhân viên an ninh liên lạc xác minh việc ra ngoài trong khi học sinh chờ bên trong cổng trường. (Ảnh minh họa)
Bài học quản trị không phải:
“Hãy tuyển một người bảo vệ tốt hơn.”
Bài học là:
Một quyết định quan trọng cần có một cơ chế xác minh đáng tin cậy.
Con người thực thi control.
Nhưng chính standard + authority + verification giúp con người đưa ra quyết định đúng một cách nhất quán.
Vậy vai trò của nhân viên an ninh thực sự là gì?
Lập luận “có bảo vệ chưa đủ” không có nghĩa giảm vai trò của nhân viên an ninh.
Ngược lại.
Nó đặt người nhân viên vào đúng vị trí quan trọng hơn trong hệ thống.
Một security officer không chỉ là một người đứng tại chốt.
Họ là người thực thi những control đã được thiết kế để bảo vệ hoạt động của nhà trường.
Để làm tốt điều đó, họ cần:
Tiêu chuẩn rõ → Được đào tạo → Có quyền hạn phù hợp → Biết escalation → Được giám sát → Có feedback → Có cơ chế học và cải tiến.
Đây là lý do chất lượng dịch vụ không nên chỉ được đánh giá bằng:
- có đủ người hay không;
- có đi làm đúng giờ hay không;
- đồng phục có đầy đủ hay không;
- vị trí có người trực hay không.
Những yếu tố đó cần thiết.
Nhưng chúng mới chứng minh staffing compliance.
Chúng chưa chứng minh security effectiveness.
Đây không chỉ là quan điểm của một nhà cung cấp dịch vụ
Các hướng dẫn quốc tế về school security cũng tiếp cận vấn đề theo hướng hệ thống.
CISA mô tả physical security trường học là một hệ thống gồm những thành phần có liên hệ với nhau: con người, chính sách và quy trình, công nghệ, thiết kế cơ sở vật chất, cùng training và exercises.
Hướng dẫn cập nhật năm 2026 của UK Department for Education cũng yêu cầu trường học có security policy và plan, xác định trách nhiệm, đánh giá rủi ro, áp dụng control measures và thường xuyên review các security arrangements.
Điểm chung đáng chú ý là:
Không một thành phần đơn lẻ nào được xem là toàn bộ hệ thống an ninh.
Điều này cũng giải thích tại sao câu hỏi “có bao nhiêu bảo vệ?” chỉ phản ánh một phần của bức tranh.
Ban lãnh đạo nên hỏi gì thay cho “chúng ta có đủ bảo vệ chưa?”
Headcount vẫn là câu hỏi cần thiết.
Nhưng nó nên được đặt cùng những câu hỏi khác.
1. Chúng ta đang dùng nhân viên để kiểm soát rủi ro nào?
Mỗi vị trí phải gắn với một mục đích vận hành rõ ràng.
2. Với từng rủi ro quan trọng, “làm đúng” đã được định nghĩa đủ rõ chưa?
Nếu mỗi người hiểu một cách khác nhau, đó là một khoảng trống.
3. Điều gì xảy ra khi nhân viên không chắc phải làm gì?
Một hệ thống tốt cần có escalation path, không bắt frontline personnel phải tự đoán.
4. Supervisor đang kiểm tra sự hiện diện hay kiểm tra chất lượng thực thi?
Hai việc này khác nhau.
5. Bằng chứng nào cho thấy critical controls thực sự hoạt động?
Đừng chỉ hỏi có báo cáo hay không.
Hãy hỏi báo cáo đó giúp management biết được điều gì.
6. Khi phát hiện sai lệch, hệ thống thay đổi như thế nào?
Nếu mọi corrective action đều kết thúc bằng “đã nhắc nhở nhân viên”, nên xem xét liệu nguyên nhân gốc đã thực sự được xử lý chưa.
Từ quản lý headcount đến quản trị Security Operations
Có một sự thay đổi nhỏ về câu hỏi nhưng rất lớn về quản trị.
Thay vì:
“Hôm nay có đủ người không?”
hãy thêm:
“Hôm nay những critical controls có hoạt động đúng không?”
Thay vì chỉ hỏi:
“Nhân viên có làm đúng nhiệm vụ không?”
hãy hỏi:
“Hệ thống có giúp nhân viên làm đúng một cách nhất quán không?”
Và thay vì chỉ hỏi:
“Có sự cố không?”
hãy hỏi:
“Chúng ta có nhìn thấy những sai lệch trước khi chúng trở thành sự cố không?”
Đó là bước chuyển từ quản lý nhân viên bảo vệ sang quản trị Vận hành An ninh.
Quan điểm của Samurai
Samurai không xem nhân viên an ninh là toàn bộ sản phẩm.
Nhân viên là người thực thi một phần quan trọng của hệ thống.
Giá trị chỉ được tạo ra khi có một chuỗi đáng tin cậy:
Tiêu chuẩn → Thực thi → Kiểm soát → Bằng chứng → Cải tiến.
Tìm hiểu thêm: Điều gì tạo nên một hệ thống Vận hành An ninh đáng tin cậy?
Điều đó cũng thay đổi cách đánh giá một dịch vụ an ninh.
Không chỉ:
“Nhà cung cấp đã bố trí đủ người chưa?”
Mà còn:
“Những người đó đang vận hành trong một hệ thống có khả năng tạo ra kết quả mà nhà trường cần hay không?”
Đó là khác biệt giữa cung cấp manpower và chịu trách nhiệm cho chất lượng vận hành trong phạm vi đã cam kết.
Bước tiếp theo: Rà soát các kiểm soát hiện tại
Trước khi quyết định tăng người, đổi nhà cung cấp hoặc đầu tư thêm công nghệ, nhà trường có thể bắt đầu bằng một rà soát đơn giản.
Chọn ba rủi ro an ninh quan trọng và với mỗi rủi ro, hỏi:
Control nào đang tồn tại?
Tiêu chuẩn thực thi là gì?
Ai chịu trách nhiệm?
Làm thế nào management biết control đã được thực hiện đúng?
Điều gì xảy ra khi control không hoạt động như mong đợi?
Nếu một trong những câu hỏi này khó trả lời, đó chưa phải lý do để kết luận hệ thống đang thất bại.
Nhưng đó là một vị trí đáng để kiểm tra sâu hơn.
Để rà soát có hệ thống hơn, tham khảo bài viết Cách đánh giá hệ thống Vận hành An ninh của một trường học.
Một trường học an toàn hơn không bắt đầu bằng việc có nhiều người hơn.
Nó bắt đầu bằng việc hiểu rõ những rủi ro quan trọng đang được kiểm soát tốt đến đâu.
