แนวทาง/กรอบการบริหารความเสี่ยงขององค์กร

เมษายน 11, 2009

ก่อนที่หลาย ๆ ท่าน รวมถึงตัวผมด้วยนั้น จะหยุดไปพักผ่อนในช่วงเทศกาลสงกรานต์นี้ ผมอยากจะให้ท่านผู้อ่านเห็นถึงประโยชน์ของการบริหารจัดการความเสี่ยงขององค์กร ซึ่งเป็นเรื่องเบา ๆ ที่ผมเห็นว่าเหมาะที่จะนำเสนอในช่วงวันหยุดยาวแบบนี้ แต่กลับมีความสำคัญต่อการจัดการกับความเสี่ยงขององค์กรอย่างยิ่งยวด

ผมคิดว่าคงไม่มีองค์กรใด ไม่ว่าภาครัฐหรือภาคเอกชนสามารถดำเนินการภายใต้สภาพแวดล้อมที่ปราศจากความเสี่ยงได้ องค์กรที่ต้องดำเนินการในสภาวะแวดล้อมดังกล่าว การจัดการความเสี่ยงจะช่วยให้ฝ่ายบริหารจัดการกับสภาพแวดล้อมให้เหมาะสมกับความเสี่ยงได้เป็นอย่างดี เพื่อก้าวสู่การบรรลุวัตถุประสงค์และเป้าหมายได้อย่างสมเหตุสมผล

การจัดการความเสี่ยงขององค์กร เป็นการส่งเสริมความสามารถในด้าน

– การปรับความเสี่ยงที่องค์กรหรือองค์กรยอมรับได้
เป็นการกำหนดกลยุทธ์ที่เหมาะสมให้เป็นไปในทิศทางเดียวกันกับความเสี่ยงที่องค์กรยอมรับได้ คือระดับความเสี่ยงที่องค์กรเต็มใจที่จะยอมรับเพื่อมุ่งไปสู่เป้าหมายขององค์กร ซึ่งการบริหารความเสี่ยงจะพิจารณาถึงความเสี่ยงที่องค์กรยอมรับได้เป็นอย่างแรก เพื่อประเมินทางเลือกและพัฒนากลไกในการบริหารความเสี่ยงที่เกี่ยวข้องต่อไป

– ความเชื่อมโยงการเติบโต ความเสี่ยงและผลตอบแทน
การบริหารความเสี่ยงช่วยในการระบุและประเมินความเสี่ยง รวมทั้งกำหนดระดับความเสี่ยงที่สามารถยอมรับได้ ที่สัมพันธ์กับการเติบโตและเป้าหมายของผลตอบแทนตามวัตถุประสงค์ที่องค์กรกำหนดไว้

– ส่งเสริมการตัดสินใจในการตอบสนองความเสี่ยงที่เกิดขึ้น
การบริหารความเสี่ยงใช้ในการระบุและเลือกทางเลือกในการตอบสนองความเสี่ยงในรูปแบบต่าง ๆ ทั้งยังช่วยจัดหาวิธีการและเทคนิคสำหรับการตัดสินใจ เช่น การหลีกเลี่ยงความเสี่ยง การลดความเสี่ยง การกระจายความเสี่ยงและการยอมรับความเสี่ยง

– การลดความไม่แน่นอนและความสูญเสียในการปฏิบัติงานให้น้อยที่สุด
ช่วยให้องค์กรสามารถระบุเหตุการณ์ที่มีความเป็นไปได้ที่จะเกิดขึ้น ประเมินความเสี่ยงและจัดการตอบสนองต่อความเสี่ยงที่เกิดขึ้น รวมทั้งลดสิ่งไม่แน่นอนที่อาจเกิดขึ้น ตลอดจนความสัมพันธ์ของต้นทุนและการสูญเสีย

– การระบุและบริหารความเสี่ยงภายในองค์กร
ทุก ๆ องค์กรเผชิญกับความเสี่ยงมากมายหลายประเภทที่ส่งผลต่อส่วนต่าง ๆ ขององค์กรที่แตกต่างกัน ฝ่ายบริหารไม่เพียงแต่ต้องบริหารความเสี่ยงเฉพาะบุคคล แต่ต้องเข้าใจถึงผลกระทบที่เกิดขึ้นด้วย

– มีการตอบสนองแบบบูรณาการกับความเสี่ยงที่หลากหลาย
กระบวนการทางธุรกิจนำมาซึ่งความเสี่ยงสืบเนื่อง หรือความเสี่ยงจากลักษณะธุรกิจในหลายรูปแบบ และ ERM ทำให้เกิดการแก้ปัญหาแบบบูรณาการต่อการบริหารความเสี่ยง

– การฉกฉวยโอกาส
ฝ่ายบริหารพิจารณาเหตุการณ์ที่มีความเป็นไปได้ที่จะเกิดขึ้นมากกว่าพิจารณาเฉพาะความเสี่ยง โดยการพิจารณาทุกระดับของเหตุการณ์

– การจัดการกับทุนอย่างสมเหตุสมผล
ข้อมูลที่ถูกต้องมีความหมายต่อความเสี่ยงทั้งหมดขององค์กร สิ่งนี้จะทำให้การบริหารเป็นไปอย่างมีประสิทธิภาพมากขึ้นในการเข้าถึงความต้องการและปรับปรุงการจัดสรรทรัพย์สินหรือทุน รวมถึงงบประมาณได้อย่างเหมาะสม

ภาพด้านล่างนี้จะช่วยให้เห็นถึงความสำคัญและประโยชน์ของการจัดการความเสี่ยงได้ชัดเจนยิ่งขึ้น

Translating Vision & Strategy to  State Enterprise Performance Measurement

Translating Vision & Strategy to State Enterprise Performance Measurement

ERM หรือการบริหารความเสี่ยงทั่วทั้งองค์กรไม่ใช่จุดสิ้นสุดโดยตัวเอง แต่มีความหมายที่สำคัญในการบรรลุวัตถุประสงค์ ที่ไม่สามารถปฏิบัติแยกออกจากองค์กรได้ แต่จะเป็นตัวกลไก (enabler) ในกระบวนการทางการบริหาร
ERM เป็นสิ่งที่เกี่ยวข้องกับความสัมพันธ์กับความร่วมมือของหน่วยการจัดการต่าง ๆ โดยจัดหาข้อมูลให้แก่คณะกรรมการบริหาร ได้ทราบถึงความเสี่ยงที่มีนัยสำคัญและการบริหารความเสี่ยงดังกล่าว การปรับเปลี่ยนความเสี่ยงโดยการควบคุมภายใน ซึ่งเป็นส่วนหนึ่งของ ERM

ERM ช่วยให้องค์กรประสบความสำเร็จในผลประกอบการและบรรลุเป้าหมายการทำกำไร การป้องกันความสูญเสียของทรัพยากร ช่วยทำให้มั่นใจถึงการรายงานที่มีประสิทธิภาพ การปฏิบัติที่ถูกต้องตามกฎหมายและกฎเกณฑ์ต่าง ๆ การหลีกเลี่ยงความเสียชื่อเสียงและผลลัพธ์ที่ตามมาอื่น ๆ

โดยรวมแล้วการจัดการความเสี่ยงขององค์กรจะช่วยให้องค์กรทั่วไปดำเนินไปในทิศทางที่ต้องการได้อย่างเหมาะสม และสามารถบรรลุวัตถุประสงค์ขององค์กรที่กำหนดไว้ได้เป็นอย่างดี


แนวทาง/กรอบ/คู่มือการบริหารความเสี่ยงขององค์กร

เมษายน 9, 2009

วันนี้ ผมจะมาทบทวนในเรื่องของความหมายของความเสี่ยงและการบริหารความเสี่ยง เพื่อให้บรรลุเป้าหมายขององค์กร ที่ผมเคยได้กล่าวไปในช่วงต้น ๆ แล้ว ซึ่งเป็นการเน้นย้ำให้เห็นความสำคัญของการบริหารจัดการกับความเสี่ยงให้ได้ดุลยภาพ เพื่อบรรลุเป้าประสงค์ขององค์กรต่อไป

ในการบริหารความเสี่ยงขององค์กรทั่วไปนั้น คณะกรรมการบริหาร ผู้บริหารและพนักงานทุกคนในองค์กร ต้องมีความรู้ ความเข้าใจถึงความหมายของความเสี่ยงที่ถูกต้องตรงกัน เพื่อให้ทุกคนในองค์กรสามารถมองความเสี่ยงไปในทิศทางเดียวกัน และสามารถนำไปประยุกต์ใช้ในการกำหนดกลยุทธ์ และการวางแผนขององค์กรได้ในทุกระดับ โดยได้รับการออกแบบให้สามารถบ่งชี้เหตุการณ์ที่อาจเกิดขึ้นที่มีผลกระทบต่อองค์กร และสามารถจัดการความเสี่ยงให้อยู่ในระดับที่องค์กรยอมรับ เพื่อให้ได้รับความมั่นใจอย่างสมเหตุสมผลในการบรรลุวัตถุประสงค์ขององค์กร

ความหมายของความเสี่ยงในมุมมองขององค์กรทั่วไป

ความเสี่ยง (Risk) หมายถึง เหตุการณ์ / การกระทำใด ๆ ที่มีความไม่แน่นอน ซึ่งหากเกิดขึ้นจะมีผลกระทบในเชิงลบ ต่อวัตถุประสงค์หรือเป้าหมายขององค์กร หรือลดโอกาสที่จะบรรลุความสำเร็จต่อการบรรลุเป้าหมายและวัตถุประสงค์ของแผนงาน/โครงการที่จะก้าวสู่พันธกิจ และวิสัยทัศน์ ที่ได้กำหนดไว้

โอกาส (Opportunity) หมายถึง เหตุการณ์ที่มีความไม่แน่นอน ซึ่งหากเกิดขึ้นจะมีผลกระทบในเชิงบวก ต่อวัตถุประสงค์หรือเป้าหมายขององค์กร ซึ่งผู้บริหารและผู้ที่เกี่ยวข้องควรจะได้ทบทวนถึงกลยุทธ์ที่เหมาะสม และแผนงานที่เหมาะสมใหม่ เพื่อสร้างคุณค่าเพิ่ม (Value Creation) ให้กับองค์กร นอกเหนือจากแผนงานและโครงการที่ได้กำหนดไว้แล้ว

ความเสี่ยงเป็นเรื่องที่เกิดขึ้นได้ในอนาคต ประกอบด้วยปัจจัย 2 ประการ คือ ความเป็นไปได้ของโอกาสที่จะเกิดเหตุการณ์หรือความน่าจะเกิดขึ้น และความรุนแรงของผลตรงข้ามที่เกิดขึ้นจากเหตุการณ์นั้นสิ่งสำคัญต้องทำให้ทั้ง 2 ประการได้สมดุลกัน ดังรูปที่ได้แสดงด้านล่างนี้

ดุลยภาพในการบริหารความเสี่ยงและการสร้างโอกาส

ดุลยภาพในการบริหารความเสี่ยงและการสร้างโอกาส

ประเภทของความเสี่ยง

1. ความเสี่ยงที่เป็นอุปสรรคหรืออันตราย (Hazard)
เหตุการณ์ในเชิงลบ/เหตุการณ์ไม่ดีที่หากเกิดขึ้นแล้วอาจเป็นอันตรายหรือสร้างความเสียหายต่อองค์กร เช่น ภาวะการเปลี่ยนแปลงของเทคโนโลยี การแข่งขันทางการตลาดทั้งสินค้าและบริการ การเปลี่ยนแปลงนโยบาย กลยุทธ ศักยภาพ ความสามารถของผู้บริหารและพนักงาน เป็นต้น

2. ความเสี่ยงที่เป็นความไม่แน่นอน (Uncertainly)
เหตุการณ์ที่ทำให้ผลที่องค์กรได้รับจากเหตุการณ์ไม่เป็นไปตามที่คาดการณ์ไว้ หรือการไม่สามารถคาดการณ์เหตุการณ์ล่วงหน้าได้อย่างแม่นยำ อันเนื่องมาจากสาเหตุต่าง ๆ กัน เช่น ต้นทุนที่เกิดขึ้นจริงสูงกว่างบประมาณที่กำหนดไว้ เป็นต้น

3. ความเสี่ยงที่เป็นโอกาส (Opportunity)
เหตุการณ์ที่ทำให้องค์กรเสียโอกาสในการแข่งขันการดำเนินงานและการเพิ่มมูลค่าของผู้มีผลประโยชน์ร่วม เช่น การไม่ส่งเสริมหรือพัฒนาบุคคลากรให้มีทักษะในการปฏิบัติงาน เพื่อยกระดับประสิทธิภาพขององค์กร เป็นต้น

สาเหตุแห่งความเสี่ยง
ความเสี่ยงทุกประเภทเกิดขึ้นโดยมีเหตุแห่งความเสี่ยง (Risk Driver) ซึ่งอาจเป็นเหตุที่เกิดจากภายในองค์กร ดังตัวอย่างในภาพด้านล่างนี้ ผู้บริหารควรทำความเข้าใจถึงการเปลี่ยนแปลงที่มีผลต่อธุรกิจและเหตุแห่งความเสี่ยงที่เกิดขึ้นตลอดเวลา เพื่อจะได้สามารถควบคุมได้อย่างเพียงพอและเหมาะสมต่อการเปลี่ยนแปลงที่เกิดขึ้นนั้น

Business Risk Exposures

Business Risk Exposures

ความเสี่ยงสามารถเกิดขึ้นได้เสมอ โดยองค์กรทั่วไปมักต้องเผชิญกับเหตุการณ์เหล่านี้ เช่น แผนงาน/โครงการใหม่ไม่เป็นไปตามที่คาดไว้ การลงทุนไม่ให้ผลตอบแทนตามที่คาดไว้ การละเลยกระบวนการทางธุรกิจ ภาวะการเปลี่ยนแปลงของเทคโนโลยี คุณภาพหรือปัญหาข้อขัดข้องของกิจกรรมประมวลผลและระบบสารสนเทศ เป็นต้น ดังนั้น องค์กรทั่วไปควรดำเนินการเพื่อหลีกเลี่ยงหรือลดเหตุการณ์ที่อาจก่อให้เกิดความเสียหาย แต่สามารถบ่งชี้เหตุการณ์ที่เป็นโอกาสในการเพิ่มคุณค่าให้กับองค์กร สิ่งที่ทำให้ผู้บริหารต้องให้ความสำคัญหรือการกำหนดระดับความไม่แน่นอนที่องค์กรยอมรับได้ แต่ในขณะเดียวกันก็สามารถเพิ่มคุณค่าให้กับผู้มีผลประโยชน์ร่วมด้วย

การจัดการความเสี่ยงขององค์กร (Enterprise Risk Management – ERM)
COSO (Committee of Sponsoring Organizations of Treadway Commission) ได้เสนอแนวทางใหม่ที่เรียกว่า การจัดการความเสี่ยงขององค์กร (Enterprise Risk Management – ERM) ซึ่งเป็นกระบวนการที่ระบุและวิเคราะห์ความเสี่ยงในมุมมองของภาพที่เป็นองค์รวมแบบบูรณาการทั่วทั้งองค์กร

ทุกองค์กรไม่ว่าจะเป็นองค์กรที่หวังผลกำไร องค์กรทางการกุศล หรือหน่วยงานของรัฐบาลที่ตั้งขึ้นเพื่อเพิ่มคุณค่าแก่ผู้มีส่วนได้เสีย ทุกองค์กรนั้นต้องเผชิญกับความไม่แน่นอนและความท้าทายทางการบริหาร เพื่อที่จะกำหนดระดับของความไม่แน่นอนที่สามารถเตรียมพร้อมในการยอมรับมัน ในความไม่แน่นอนนั้นเป็นได้ทั้งความเสี่ยงและโอกาส มีความเป็นไปได้ทั้งที่จะลดหรือเพิ่มคุณค่า ERM เป็นกรอบความคิดทางการบริหารเพื่อที่จะจัดการกับสภาวการณ์ที่ไม่มีความแน่นอนอย่างมีประสิทธิภาพและเกี่ยวข้องกับความเสี่ยง โอกาสและการเพิ่มความสามารถในการสร้างคุณค่าได้อย่างแท้จริงในหลักการของการบริหารเชิงรุก หรือการบริหารความเสี่ยงภายใต้หลักการ การกำกับดูแลกิจการที่ดีในการสร้างคุณค่าเพิ่มระยะยาวให้กับองค์กรและสังคม


IT Governance & Control Objective to Environmental Control (ต่อ)

เมษายน 9, 2009

จากครั้งก่อนที่ได้กล่าวถึงกิจกรรมด้าน IT Governance โดยสรุปไปแล้ว ครั้งนี้ผมจะนำเสนอแนวทางในการกำหนดกิจกรรมหลักของ IT Governance ต่อเลยครับ

การที่จะประสบความสำเร็จในยุคเทคโนโลยีสารสนเทศ ธรรมาภิบาลขององค์กร และ IT Governance ไม่สามารถแยกกันหรือใช้กฎเกณฑ์ที่แตกต่างกันได้อีกต่อไป ธรรมาภิบาลขององค์กรที่มีประสิทธิภาพ มุ่งเน้นความชำนาญและประสบการณ์ทั้งปัจเจกบุคคลและของหมู่คณะ ซึ่งก่อให้เกิดผลสูงสุด เฝ้าติดตามและวัดผลการดำเนินงาน และรับประกันการแก้ปัญหาวิกฤต เทคโนโลยีสารสนเทศ ซึ่งเดิมได้รับการพิจารณาว่าเป็นเพียงปัจจัยหนุนกลยุทธ์ของธุรกิจมาเป็นเวลานาน ปัจจุบันได้รับการพิจารณาให้รวมอยู่เป็นหนึ่งในกลยุทธ์ของธุรกิจ

IT Governance มีโครงสร้างที่เชื่อมโยง กระบวนการทางด้านเทคโนโลยีสารสนเทศ (IT process) ทรัพยากรด้านเทคโนโลยีสารสนเทศ (IT resource) และสารสนเทศ (Information) ควบคู่ไปกับกลยุทธ์และวัตถุประสงค์ของธุรกิจ IT Governanceได้รวบรวมและจัดให้มีวิธีที่ดีที่สุดสำหรับการวางแผนและการจัดองค์กร การจัดหาและการนำระบบออกใช้งานจริง การส่งมอบและการสนับสนุน และการเฝ้าติดตามการดำเนินงานด้านเทคโนโลยีสารสนเทศ IT Governance ถูกรวมเป็นส่วนหนึ่งของความสำเร็จในธรรมาภิบาลขององค์กร โดยรับประกันในเรื่องการปรับปรุงที่สามารถวัดผลได้ทางด้านประสิทธิภาพและประสิทธิผลของกระบวนการทางธุรกิจ IT Governance ช่วยให้องค์กรใช้ข้อได้เปรียบจากสารสนเทศได้อย่างเต็มที่ เพื่อให้ได้รับผลประโยชน์สูงสุด ใช้โอกาสทางธุรกิจ และเกิดความได้เปรียบเชิงแข่งขัน

เมื่อมองถึงบทบาทความสัมพันธ์ระหว่างกระบวนการของธรรมาภิบาลขององค์กร และ IT Governance ในรายละเอียด จะเห็นได้ว่าธรรมาภิบาลขององค์กรนั้น เป็นระบบซึ่งทำหน้าที่กำกับ ควบคุม ผลักดัน และกำหนด IT Governance ในขณะเดียวกันเทคโนโลยีสารสนเทศควรให้ข้อมูลที่สำคัญในการจัดทำแผนกลยุทธ์ และควรเป็นส่วนหนึ่งที่สำคัญของแผนฯ อันที่จริงแล้วเทคโนโลยีสารสนเทศอาจมีอิทธิผลต่อโอกาสเชิงกลยุทธ์ที่องค์กรได้จัดร่างขึ้น

การกำหนดและผลักดันธรรมาภิบาลขององค์กรสู่ IT Governance

การกำหนดและผลักดันธรรมาภิบาลขององค์กรสู่ IT Governance

กิจกรรมขององค์กรต้องการข้อมูลที่ได้มาจากการทำงานของระบบเทคโนโลยีสารสนเทศ ในอันที่จะบรรลุถึงวัตถุประสงค์ขององค์กร องค์กรที่ประสบความสำเร็จต้องแน่ใจได้ว่า กิจกรรมด้านเทคโนโลยีสารสนเทศและการวางแผนกลยุทธ์นั้นมีความสัมพันธ์กัน เทคโนโลยีสารสนเทศจะต้องสอดคล้องกับองค์กร และช่วยให้องค์กรใช้ข้อได้เปรียบจากสารสนเทศได้อย่างเต็มที่ เพื่อให้ได้รับผลประโยชน์สูงสุด ใช้โอกาสทางธุรกิจ และเกิดความได้เปรียบเชิงแข่งขัน

กิจกรรมขององค์กรต้องการข้อมูลจากกิจกรรมด้าน IT Governance

กิจกรรมขององค์กรต้องการข้อมูลจากกิจกรรมด้าน IT Governance

องค์กรมักได้รับการกำกับดูแลด้วยแนวทางการปฏิบัติที่ดี (หรือที่เป็นเลิศ) ซึ่งเป็นที่ยอมรับโดยทั่วไป เพื่อให้แน่ใจได้ว่าองค์กรจะสามารถบรรลุถึงเป้าหมาย โดยมีการควบคุมบางประการเพื่อรับประกันในเรื่องดังกล่าว วัตถุประสงค์เหล่านี้ช่วยให้เกิดการดำเนินงานไปตามทิศทางขององค์กร ซึ่งกำหนดกิจกรรมต่าง ๆ ที่ใช้ทรัพยากรขององค์กร ผลของการดำเนินกิจกรรมจะต้องได้รับการวัดผลและการรายงาน เพื่อเป็นข้อมูลในการปรับปรุงและบำรุงรักษามาตรการการควบคุมอย่างสม่ำเสมอ

ธรรมาภิบาลขององค์กร

ธรรมาภิบาลขององค์กร

เทคโนโลยีสารสนเทศถูกกำกับโดยวิธีการปฏิบัติที่ดี (หรือเป็นเลิศ) เพื่อแน่ใจได้ว่าสารสนเทศขององค์กรและเทคโนโลยีที่นำมาใช้เป็นไปตามวัตถุประสงค์ของธุรกิจ รวมถึงการนำทรัพยากรไปใช้อย่างรับผิดชอบ และการจัดการความเสี่ยงเป็นไปอย่างเหมาะสม วิธีการปฏิบัติเหล่านี้เป็นพื้นฐานของการกำหนดทิศทางในกิจกรรมต่าง ๆ ด้านเทคโนโลยีสารสนเทศ ได้แก่การวางแผนและจัดองค์กร การจัดหาและการนำระบบงานออกใช้งานจริง การส่งมอบและการสนับสนุน และการเฝ้าติดตาม โดยมีจุดประสงค์ทั้งสองประการคือ การจัดการความเสี่ยง (เพื่อให้มีความปลอดภัย ความน่าเชื่อถือ และการปฏิบัติตามกฎระเบียบข้อบังคับ) การได้รับผลประโยชน์ (การเพิ่มประสิทธิภาพและประสิทธิผล) และให้มีการรายงานผลการทำงานของกิจกรรมด้านเทคโนโลยีสารสนเทศ ซึ่งมีการวัดผลเปรียบเทียบกับวิธีการปฏิบัติและการควบคุมอื่น ๆ


IT Governance & Control Objective to Environmental Control (ต่อ)

เมษายน 9, 2009

จากครั้งก่อนที่ได้กล่าวถึงกิจกรรมด้าน IT Governance โดยสรุปไปแล้ว ครั้งนี้ผมจะนำเสนอแนวทางในการกำหนดกิจกรรมหลักของ IT Governance ต่อเลยครับ

การที่จะประสบความสำเร็จในยุคเทคโนโลยีสารสนเทศ ธรรมาภิบาลขององค์กร และ IT Governance ไม่สามารถแยกกันหรือใช้กฎเกณฑ์ที่แตกต่างกันได้อีกต่อไป ธรรมาภิบาลขององค์กรที่มีประสิทธิภาพ มุ่งเน้นความชำนาญและประสบการณ์ทั้งปัจเจกบุคคลและของหมู่คณะ ซึ่งก่อให้เกิดผลสูงสุด เฝ้าติดตามและวัดผลการดำเนินงาน และรับประกันการแก้ปัญหาวิกฤต เทคโนโลยีสารสนเทศ ซึ่งเดิมได้รับการพิจารณาว่าเป็นเพียงปัจจัยหนุนกลยุทธ์ของธุรกิจมาเป็นเวลานาน ปัจจุบันได้รับการพิจารณาให้รวมอยู่เป็นหนึ่งในกลยุทธ์ของธุรกิจ

IT Governance มีโครงสร้างที่เชื่อมโยง กระบวนการทางด้านเทคโนโลยีสารสนเทศ (IT process) ทรัพยากรด้านเทคโนโลยีสารสนเทศ (IT resource) และสารสนเทศ (Information) ควบคู่ไปกับกลยุทธ์และวัตถุประสงค์ของธุรกิจ IT Governanceได้รวบรวมและจัดให้มีวิธีที่ดีที่สุดสำหรับการวางแผนและการจัดองค์กร การจัดหาและการนำระบบออกใช้งานจริง การส่งมอบและการสนับสนุน และการเฝ้าติดตามการดำเนินงานด้านเทคโนโลยีสารสนเทศ IT Governance ถูกรวมเป็นส่วนหนึ่งของความสำเร็จในธรรมาภิบาลขององค์กร โดยรับประกันในเรื่องการปรับปรุงที่สามารถวัดผลได้ทางด้านประสิทธิภาพและประสิทธิผลของกระบวนการทางธุรกิจ IT Governance ช่วยให้องค์กรใช้ข้อได้เปรียบจากสารสนเทศได้อย่างเต็มที่ เพื่อให้ได้รับผลประโยชน์สูงสุด ใช้โอกาสทางธุรกิจ และเกิดความได้เปรียบเชิงแข่งขัน

เมื่อมองถึงบทบาทความสัมพันธ์ระหว่างกระบวนการของธรรมาภิบาลขององค์กร และ IT Governance ในรายละเอียด จะเห็นได้ว่าธรรมาภิบาลขององค์กรนั้น เป็นระบบซึ่งทำหน้าที่กำกับ ควบคุม ผลักดัน และกำหนด IT Governance ในขณะเดียวกันเทคโนโลยีสารสนเทศควรให้ข้อมูลที่สำคัญในการจัดทำแผนกลยุทธ์ และควรเป็นส่วนหนึ่งที่สำคัญของแผนฯ อันที่จริงแล้วเทคโนโลยีสารสนเทศอาจมีอิทธิผลต่อโอกาสเชิงกลยุทธ์ที่องค์กรได้จัดร่างขึ้น

การกำหนดและผลักดันธรรมาภิบาลขององค์กรสู่ IT Governance

การกำหนดและผลักดันธรรมาภิบาลขององค์กรสู่ IT Governance

กิจกรรมขององค์กรต้องการข้อมูลที่ได้มาจากการทำงานของระบบเทคโนโลยีสารสนเทศ ในอันที่จะบรรลุถึงวัตถุประสงค์ขององค์กร องค์กรที่ประสบความสำเร็จต้องแน่ใจได้ว่า กิจกรรมด้านเทคโนโลยีสารสนเทศและการวางแผนกลยุทธ์นั้นมีความสัมพันธ์กัน เทคโนโลยีสารสนเทศจะต้องสอดคล้องกับองค์กร และช่วยให้องค์กรใช้ข้อได้เปรียบจากสารสนเทศได้อย่างเต็มที่ เพื่อให้ได้รับผลประโยชน์สูงสุด ใช้โอกาสทางธุรกิจ และเกิดความได้เปรียบเชิงแข่งขัน

กิจกรรมขององค์กรต้องการข้อมูลจากกิจกรรมด้าน IT Governance

กิจกรรมขององค์กรต้องการข้อมูลจากกิจกรรมด้าน IT Governance

องค์กรมักได้รับการกำกับดูแลด้วยแนวทางการปฏิบัติที่ดี (หรือที่เป็นเลิศ) ซึ่งเป็นที่ยอมรับโดยทั่วไป เพื่อให้แน่ใจได้ว่าองค์กรจะสามารถบรรลุถึงเป้าหมาย โดยมีการควบคุมบางประการเพื่อรับประกันในเรื่องดังกล่าว วัตถุประสงค์เหล่านี้ช่วยให้เกิดการดำเนินงานไปตามทิศทางขององค์กร ซึ่งกำหนดกิจกรรมต่าง ๆ ที่ใช้ทรัพยากรขององค์กร ผลของการดำเนินกิจกรรมจะต้องได้รับการวัดผลและการรายงาน เพื่อเป็นข้อมูลในการปรับปรุงและบำรุงรักษามาตรการการควบคุมอย่างสม่ำเสมอ

ธรรมาภิบาลขององค์กร

ธรรมาภิบาลขององค์กร

เทคโนโลยีสารสนเทศถูกกำกับโดยวิธีการปฏิบัติที่ดี (หรือเป็นเลิศ) เพื่อแน่ใจได้ว่าสารสนเทศขององค์กรและเทคโนโลยีที่นำมาใช้เป็นไปตามวัตถุประสงค์ของธุรกิจ รวมถึงการนำทรัพยากรไปใช้อย่างรับผิดชอบ และการจัดการความเสี่ยงเป็นไปอย่างเหมาะสม วิธีการปฏิบัติเหล่านี้เป็นพื้นฐานของการกำหนดทิศทางในกิจกรรมต่าง ๆ ด้านเทคโนโลยีสารสนเทศ ได้แก่การวางแผนและจัดองค์กร การจัดหาและการนำระบบงานออกใช้งานจริง การส่งมอบและการสนับสนุน และการเฝ้าติดตาม โดยมีจุดประสงค์ทั้งสองประการคือ การจัดการความเสี่ยง (เพื่อให้มีความปลอดภัย ความน่าเชื่อถือ และการปฏิบัติตามกฎระเบียบข้อบังคับ) การได้รับผลประโยชน์ (การเพิ่มประสิทธิภาพและประสิทธิผล) และให้มีการรายงานผลการทำงานของกิจกรรมด้านเทคโนโลยีสารสนเทศ ซึ่งมีการวัดผลเปรียบเทียบกับวิธีการปฏิบัติและการควบคุมอื่น ๆ


IT Governance & Control Objective to Environmental Control (ต่อ)

เมษายน 7, 2009

ครั้งก่อนผมได้เล่าสู่กันฟังถึงแนวคิดหลัก และหลักการในการกำหนดกรอบของ IT Governance รวมถึงความสัมพันธ์ของ IT Governance กับ Corporate Governance ที่มีความสัมพันธ์แบบพึ่งพากัน ในวันนี้เราจะมาพูดคุยต่อถึงปัจจัยที่ใช้วัดความสำเร็จที่เกี่ยวกับ IT Governance รวมถึงบทบาท หน้าที่ของฝ่ายตรวจสอบ คณะกรรมการและผู้บริหารขององค์กรที่เกี่ยวข้องกับ IT Governance กันครับ

ปัจจัยที่ใช้วัดความสำเร็จที่เกี่ยวกับ IT Governance โดยย่อ
ปัจจัยที่ใช้วัดความสำเร็จทางด้านเทคโนโลยีสารสนเทศ และ IT Governance ที่สำคัญ ซึ่งจะเชื่อมโยงนำไปสู่ความสำเร็จขององค์กรโดยรวม จะพิจารณาทางด้านกฎหมาย ด้านการจัดองค์กร และกระบวนการปฏิบัติงานทั่วทั้งองค์กร ไม่ว่าจะใช้โปรแกรมประยุกต์เพื่อการบริหารทรัพยากรทั่วทั้งองค์กรด้านเทคนิค ซึ่งอาจเป็นระบบ Enterprise Resource Planning (ERP) หรือไม่ก็ตาม การวางแผน การปฏิบัติ การสอบทาน และการแก้ไข เพื่อนำไปสู่ความคิดในการพัฒนางานด้าน IT Governance ให้เป็นส่วนหนึ่งของการกำกับดูแลกิจการที่ดีขององค์กร (GCG – Good Corporate Governance) นั้น เป็นทั้งหน้าที่และความรับผิดชอบของคณะกรรมการ และผู้บริหารระดับสูงของทุกองค์กร

สำหรับการบริหาร IT Governance เท่าที่เป็นอยู่ในปัจจุบัน เมื่อเทียบกับมาตรฐานที่ใช้ในการประเมินผลการบริหารความเสี่ยงด้าน IT Governance ซึ่งเป็นส่วนหนึ่งของการประเมินระดับการบริหารความเสี่ยงขององค์กรนั้น มีข้อควรพิจารณาปรับปรุงบางประการ เช่น BCP-Business Continuity Plan การบริหารสภาพแวดล้อมของศูนย์คอมพิวเตอร์หลัก โดยการจัดให้มีการควบคุมสภาพแวดล้อมที่เหมาะสมตามมาตรฐาน ที่วัดได้ ปฎิบัติได้ โดยมี Performance Measurement ที่เหมาะสม

การจัดให้มีกระบวนการสร้างความมั่นใจถึงความสมดุลระหว่างผลตอบแทนจากการลงทุนและการจัดการด้าน เทคโนโลยีสารสนเทศ กับความเสี่ยงที่อาจเกิดขึ้น

การสร้างเกณฑ์วัดคุณภาพงานและผลสำเร็จของกลยุทธ์ หรือนโยบาย และการจัดการด้านเทคโนโลยีสารสนเทศตามที่กำหนดไว้ เช่น กลยุทธ์ หรือนโยบายด้านเทคโนโลยีสารสนเทศ ในการสนับสนุนให้องค์กรมีผลตอบแทนจากการลงทุนที่มากขึ้น กลยุทธ์หรือนโยบายด้านเทคโนโลยีสารสนเทศในการกำหนดมาตรฐานการปฏิบัติงานขององค์กร เป็นต้น

บทบาทของฝ่ายตรวจสอบที่เกี่ยวข้องกับ IT Governance
ฝ่ายตรวจสอบควรมีบทบาทในฐานะเป็นผู้ให้คำแนะนำ และสร้างคุณค่าเพิ่มในการปฏิบัติหน้าที่ตามมาตรฐานการตรวจสอบภายในของทุกสายงาน และในฐานะผู้ประเมินคุณภาพการบริหารความเสี่ยง การควบคุมภายในทางด้านต่าง ๆ เช่น
1. คุณภาพของการปฏิบัติงาน (Operational)
2. คุณภาพทางด้านการปฏิบัติตามนโยบาย กฎเกณฑ์ ระเบียบ คำสั่ง (Compliance)
3. คุณภาพด้านการเงิน และการรายงาน (Financial) รวมทั้งการให้คำแนะนำด้านเทคโนโลยีสารสนเทศ และ IT Governance
4. การตรวจสอบทางด้านเทคโนโลยีสารสนเทศ รวมทั้งการใช้ Outsource เพื่อเป้าหมายดังกล่าว รวมทั้งมุมมองที่กว้างกว่านั้น องค์กรควรวางกรอบความต้องการของตนให้ชัดเจนเพื่อความคุ้มค่าในการดำเนินงาน เพราะการตรวจสอบด้านเทคโนโลยียุคใหม่จะเป็นการตรวจสอบการจัดการความเสี่ยงทางด้าน IT Governance โดยเฉพาะอย่างยิ่งการตรวจสอบความสามารถในการดำเนินธุรกิจอย่างต่อเนื่อง (BCM – Business Continuity Management) และ Control Objective ไปสู่ Business Process เพื่อก้าวไปสู่ Business Objective ขององค์กร โดยเน้นหลักการ Best Practice

บทบาทหน้าที่ของคณะกรรมการและผู้บริหารขององค์กรเกี่ยวกับ IT Governance
1. นำกรอบงานธรรมาภิบาลด้านเทคโนโลยีสารสนเทศ (IT Governance) มาใช้ในองค์กร
2. กำหนดกลยุทธ์ด้านเทคโนโลยีสารสนเทศที่สอดคล้องกับเป้าหมายการทำธุรกิจ
3. การเชื่อมโยงกลยุทธ์ และเป้าหมายลงไปในแต่ละระดับขององค์กร
4. กำหนดโครงสร้างองค์กรที่ช่วยสนับสนุนการดำเนินงานตามกลยุทธ์ที่วางไว้
5. นำกรอบงานด้านการควบคุมเทคโนโลยีสารสนเทศ และด้าน IT Governance มาใช้
6. จัดให้มีโครงสร้างพื้นฐานด้านเทคโนโลยีที่ช่วยสนับสนุนการสร้างสารสนเทศทางธุรกิจและการใช้สารสนเทศดังกล่าวร่วมกัน
7. การผนวกรวมความรับผิดชอบด้านการบริหารความเสี่ยงไว้ในองค์กร
8. มุ่งเน้นกระบวนการเทคโนโลยีสารสนเทศที่สำคัญ และความสามารถหลักของเทคโนโลยีสารสนเทศ (Core IT Competencies)
9. วัดผลการดำเนินงาน (Balanced Business Scorecard)

กิจกรรมด้าน IT Governance โดยสรุป
1. กำหนด IT Master Plan วิธีการปฏิบัติงานใหม่ที่มีกระบวนการที่ใช้เทคโนโลยีสารสนเทศ และคำนึงถึงผลกระทบทางด้านเทคโนโลยีสารสนเทศที่มีต่อองค์กรและวิธีการทำงานใหม่ ๆ
2. กำหนดความคาดหวังและผลตอบแทน เพื่อกำหนดแนวทางการใช้เทคโนโลยีสารสนเทศอย่างคุ้มค่า
3. มีการพิจารณา Physical Security และ Information Security Governance ที่เป็นรูปธรรมโดยเฉพาะจากข้อกำหนดของหน่วยงานภาครัฐฯ และบุคคลภายนอกที่เกี่ยวข้อง
4. กำหนดหน้าที่ ความรับผิดชอบ การประสานงาน การใช้เทคโนโลยีสารสนเทศของแต่ละสายงานทั่วทั้งองค์กรที่สามารถทำงานกับสายงานได้อย่างลงตัว
5. การพิจารณาใช้เทคโนโลยีสารสนเทศสนับสนุนกระบวนการปฏิบัติงาน ทั้งภายในและภายนอกองค์กรอย่างสอดคล้อง และต่อเนื่องทั่วถึงกันทุกระบบที่สำคัญขององค์กร
6. กำหนดจุดควบคุมของทุกกระบวนการ และมีการสอบทานติดตามในกระบวนการปฏิบัติงาน
7. รวบรวม และบริหารทรัพยากรอย่างผสมผสานระหว่าง IT Process และ Business Process ตั้งแต่การวางแผนการจัดองค์กร การพนักงาน การกำกับไปจนถึงการติดตาม
8. การบริหารและจัดการกับความเสี่ยงที่เกี่ยวข้องทั่วทั้งองค์กร ที่รวมทั้งความเสี่ยงทางด้านเทคโนโลยีสารสนเทศตามคุณลักษณะที่ดี
9.จัดให้มีการวัดผลการปฏิบัติงานทุกสายงาน และภาพโดยรวมขององค์กร โดยเน้นการพลิกฟื้นด้านปฏิบัติการ (Operation Turnaround) การพลิกโฉมทางยุทธศาสตร์ (Strategic Turnaround)
10. สอบทาน และรับรองคุณภาพของผลการปฏิบัติงานโดยรวม จากการมีการใช้เทคโนโลยีสารสนเทศ และ IT Governance
11. การพิจารณาความดีความชอบจากการบริหาร และการปฏิบัติงานด้าน IT Governance อย่างผสมผสานทั่วทั้งองค์กรในส่วนที่เกี่ยวข้อง


IT Governance & Control Objective to Environmental Control (ต่อ)

เมษายน 7, 2009

ครั้งก่อนผมได้เล่าสู่กันฟังถึงแนวคิดหลัก และหลักการในการกำหนดกรอบของ IT Governance รวมถึงความสัมพันธ์ของ IT Governance กับ Corporate Governance ที่มีความสัมพันธ์แบบพึ่งพากัน ในวันนี้เราจะมาพูดคุยต่อถึงปัจจัยที่ใช้วัดความสำเร็จที่เกี่ยวกับ IT Governance รวมถึงบทบาท หน้าที่ของฝ่ายตรวจสอบ คณะกรรมการและผู้บริหารขององค์กรที่เกี่ยวข้องกับ IT Governance กันครับ

ปัจจัยที่ใช้วัดความสำเร็จที่เกี่ยวกับ IT Governance โดยย่อ
ปัจจัยที่ใช้วัดความสำเร็จทางด้านเทคโนโลยีสารสนเทศ และ IT Governance ที่สำคัญ ซึ่งจะเชื่อมโยงนำไปสู่ความสำเร็จขององค์กรโดยรวม จะพิจารณาทางด้านกฎหมาย ด้านการจัดองค์กร และกระบวนการปฏิบัติงานทั่วทั้งองค์กร ไม่ว่าจะใช้โปรแกรมประยุกต์เพื่อการบริหารทรัพยากรทั่วทั้งองค์กรด้านเทคนิค ซึ่งอาจเป็นระบบ Enterprise Resource Planning (ERP) หรือไม่ก็ตาม การวางแผน การปฏิบัติ การสอบทาน และการแก้ไข เพื่อนำไปสู่ความคิดในการพัฒนางานด้าน IT Governance ให้เป็นส่วนหนึ่งของการกำกับดูแลกิจการที่ดีขององค์กร (GCG – Good Corporate Governance) นั้น เป็นทั้งหน้าที่และความรับผิดชอบของคณะกรรมการ และผู้บริหารระดับสูงของทุกองค์กร

สำหรับการบริหาร IT Governance เท่าที่เป็นอยู่ในปัจจุบัน เมื่อเทียบกับมาตรฐานที่ใช้ในการประเมินผลการบริหารความเสี่ยงด้าน IT Governance ซึ่งเป็นส่วนหนึ่งของการประเมินระดับการบริหารความเสี่ยงขององค์กรนั้น มีข้อควรพิจารณาปรับปรุงบางประการ เช่น BCP-Business Continuity Plan การบริหารสภาพแวดล้อมของศูนย์คอมพิวเตอร์หลัก โดยการจัดให้มีการควบคุมสภาพแวดล้อมที่เหมาะสมตามมาตรฐาน ที่วัดได้ ปฎิบัติได้ โดยมี Performance Measurement ที่เหมาะสม

การจัดให้มีกระบวนการสร้างความมั่นใจถึงความสมดุลระหว่างผลตอบแทนจากการลงทุนและการจัดการด้าน เทคโนโลยีสารสนเทศ กับความเสี่ยงที่อาจเกิดขึ้น

การสร้างเกณฑ์วัดคุณภาพงานและผลสำเร็จของกลยุทธ์ หรือนโยบาย และการจัดการด้านเทคโนโลยีสารสนเทศตามที่กำหนดไว้ เช่น กลยุทธ์ หรือนโยบายด้านเทคโนโลยีสารสนเทศ ในการสนับสนุนให้องค์กรมีผลตอบแทนจากการลงทุนที่มากขึ้น กลยุทธ์หรือนโยบายด้านเทคโนโลยีสารสนเทศในการกำหนดมาตรฐานการปฏิบัติงานขององค์กร เป็นต้น

บทบาทของฝ่ายตรวจสอบที่เกี่ยวข้องกับ IT Governance
ฝ่ายตรวจสอบควรมีบทบาทในฐานะเป็นผู้ให้คำแนะนำ และสร้างคุณค่าเพิ่มในการปฏิบัติหน้าที่ตามมาตรฐานการตรวจสอบภายในของทุกสายงาน และในฐานะผู้ประเมินคุณภาพการบริหารความเสี่ยง การควบคุมภายในทางด้านต่าง ๆ เช่น
1. คุณภาพของการปฏิบัติงาน (Operational)
2. คุณภาพทางด้านการปฏิบัติตามนโยบาย กฎเกณฑ์ ระเบียบ คำสั่ง (Compliance)
3. คุณภาพด้านการเงิน และการรายงาน (Financial) รวมทั้งการให้คำแนะนำด้านเทคโนโลยีสารสนเทศ และ IT Governance
4. การตรวจสอบทางด้านเทคโนโลยีสารสนเทศ รวมทั้งการใช้ Outsource เพื่อเป้าหมายดังกล่าว รวมทั้งมุมมองที่กว้างกว่านั้น องค์กรควรวางกรอบความต้องการของตนให้ชัดเจนเพื่อความคุ้มค่าในการดำเนินงาน เพราะการตรวจสอบด้านเทคโนโลยียุคใหม่จะเป็นการตรวจสอบการจัดการความเสี่ยงทางด้าน IT Governance โดยเฉพาะอย่างยิ่งการตรวจสอบความสามารถในการดำเนินธุรกิจอย่างต่อเนื่อง (BCM – Business Continuity Management) และ Control Objective ไปสู่ Business Process เพื่อก้าวไปสู่ Business Objective ขององค์กร โดยเน้นหลักการ Best Practice

บทบาทหน้าที่ของคณะกรรมการและผู้บริหารขององค์กรเกี่ยวกับ IT Governance
1. นำกรอบงานธรรมาภิบาลด้านเทคโนโลยีสารสนเทศ (IT Governance) มาใช้ในองค์กร
2. กำหนดกลยุทธ์ด้านเทคโนโลยีสารสนเทศที่สอดคล้องกับเป้าหมายการทำธุรกิจ
3. การเชื่อมโยงกลยุทธ์ และเป้าหมายลงไปในแต่ละระดับขององค์กร
4. กำหนดโครงสร้างองค์กรที่ช่วยสนับสนุนการดำเนินงานตามกลยุทธ์ที่วางไว้
5. นำกรอบงานด้านการควบคุมเทคโนโลยีสารสนเทศ และด้าน IT Governance มาใช้
6. จัดให้มีโครงสร้างพื้นฐานด้านเทคโนโลยีที่ช่วยสนับสนุนการสร้างสารสนเทศทางธุรกิจและการใช้สารสนเทศดังกล่าวร่วมกัน
7. การผนวกรวมความรับผิดชอบด้านการบริหารความเสี่ยงไว้ในองค์กร
8. มุ่งเน้นกระบวนการเทคโนโลยีสารสนเทศที่สำคัญ และความสามารถหลักของเทคโนโลยีสารสนเทศ (Core IT Competencies)
9. วัดผลการดำเนินงาน (Balanced Business Scorecard)

กิจกรรมด้าน IT Governance โดยสรุป
1. กำหนด IT Master Plan วิธีการปฏิบัติงานใหม่ที่มีกระบวนการที่ใช้เทคโนโลยีสารสนเทศ และคำนึงถึงผลกระทบทางด้านเทคโนโลยีสารสนเทศที่มีต่อองค์กรและวิธีการทำงานใหม่ ๆ
2. กำหนดความคาดหวังและผลตอบแทน เพื่อกำหนดแนวทางการใช้เทคโนโลยีสารสนเทศอย่างคุ้มค่า
3. มีการพิจารณา Physical Security และ Information Security Governance ที่เป็นรูปธรรมโดยเฉพาะจากข้อกำหนดของหน่วยงานภาครัฐฯ และบุคคลภายนอกที่เกี่ยวข้อง
4. กำหนดหน้าที่ ความรับผิดชอบ การประสานงาน การใช้เทคโนโลยีสารสนเทศของแต่ละสายงานทั่วทั้งองค์กรที่สามารถทำงานกับสายงานได้อย่างลงตัว
5. การพิจารณาใช้เทคโนโลยีสารสนเทศสนับสนุนกระบวนการปฏิบัติงาน ทั้งภายในและภายนอกองค์กรอย่างสอดคล้อง และต่อเนื่องทั่วถึงกันทุกระบบที่สำคัญขององค์กร
6. กำหนดจุดควบคุมของทุกกระบวนการ และมีการสอบทานติดตามในกระบวนการปฏิบัติงาน
7. รวบรวม และบริหารทรัพยากรอย่างผสมผสานระหว่าง IT Process และ Business Process ตั้งแต่การวางแผนการจัดองค์กร การพนักงาน การกำกับไปจนถึงการติดตาม
8. การบริหารและจัดการกับความเสี่ยงที่เกี่ยวข้องทั่วทั้งองค์กร ที่รวมทั้งความเสี่ยงทางด้านเทคโนโลยีสารสนเทศตามคุณลักษณะที่ดี
9.จัดให้มีการวัดผลการปฏิบัติงานทุกสายงาน และภาพโดยรวมขององค์กร โดยเน้นการพลิกฟื้นด้านปฏิบัติการ (Operation Turnaround) การพลิกโฉมทางยุทธศาสตร์ (Strategic Turnaround)
10. สอบทาน และรับรองคุณภาพของผลการปฏิบัติงานโดยรวม จากการมีการใช้เทคโนโลยีสารสนเทศ และ IT Governance
11. การพิจารณาความดีความชอบจากการบริหาร และการปฏิบัติงานด้าน IT Governance อย่างผสมผสานทั่วทั้งองค์กรในส่วนที่เกี่ยวข้อง


แนวทาง/กรอบ/คู่มือการบริหารความเสี่ยงขององค์กร

เมษายน 7, 2009

มาแล้วครับ ตามที่ได้บอกทิ้งท้ายเอาไว้ในครั้งก่อนว่า ครั้งนี้เราจะมาพูดคุยและลงลึกกันในรายละเอียดของการจัดการความเสี่ยงขององค์กรกัน แต่ก่อนอื่นผมอยากให้ท่านผู้อ่านได้ทำความเข้าใจกับภาพ ๆ หนึ่ง ซึ่งจะช่วยให้เห็นภาพของการบริหารความเสี่ยงในระดับ ๆ ต่าง ๆ แบบบูรณาการและมีดุลยภาพได้เป็นอย่างดี ดังภาพด้านล่างนี้ ก่อนที่จะได้กล่าวถึงรายละเอียดต่าง ๆ ที่เกี่ยวข้องกับการจัดการความเสี่ยงต่อไป

การบริหารความเสี่ยงระดับต่าง ๆ กับเจ้าภาพ

การบริหารความเสี่ยงระดับต่าง ๆ กับเจ้าภาพ

การจัดการความเสี่ยงขององค์กรทั่วไป
การจัดการความเสี่ยงขององค์กร ได้ถูกนำมาประยุกต์ในการกำหนดกลยุทธ์และกิจกรรมทั้งหมดขององค์กร อันจะช่วยให้ผู้บริหารสามารถระบุ ประเมินและบริหารความเสี่ยงเมื่อต้องเผชิญอย่างคาดไม่ถึง และสนับสนุนการสร้างและรักษาค่านิยมขององค์กร การจัดการความเสี่ยงขององค์กร จะเป็นตัวสนับสนุนความสามารถในการจัดการความเสี่ยงและกลยุทธ์ให้เป็นแนวทางเดียวกัน เชื่อมโยงความเสี่ยงกับความเติบโตและผลตอบแทน ส่งเสริมการตัดสินใจตอบสนองต่อความเสี่ยง ลดความตื่นตระหนักและความสูญเสียในการปฏิบัติการ ระบุและบริหารความเสี่ยงระหว่างสถานประกอบได้ สามารถตอบสนองความเสี่ยงที่ซับซ้อนอย่างบูรณาการได้ สามารฉกฉวยโอกาสและมีการลงทุนอย่างเหมาะสม

ทุกองค์กรต้องเผชิญกับความไม่แน่นอน และความท้าทายสำหรับฝ่ายบริหารขององค์กรทั่วไป ก็คือการกำหนดระดับความไม่แน่นอนที่มีอยู่เพื่อเพิ่มคุณค่าให้กับผู้มีผลประโยชน์ร่วม ความไม่แน่นอนที่เกิดขึ้นเป็นทั้งโอกาสและความเสี่ยงต่อศักยภาพและบั่นทอนหรือส่งเสริมคุณค่า การจัดการความเสี่ยงขององค์กรทั่วไป จึงเป็นการสร้างกรอบของงานเพื่อให้ผู้บริหารได้จัดการกับความไม่แน่นอน ความเสี่ยงและโอกาสเพื่อส่งเสริมความสามารถในการสร้างคุณค่าเพิ่มให้กับองค์กรและผู้มีผลประโยชน์ร่วม การบริหารความเสี่ยงจะช่วยให้แน่ใจอย่างสมเหตุสมผลว่า องค์กรทั่วไปสามารถบรรลุเป้าประสงค์ขององค์กรได้

องค์กรที่ดำเนินงานในสภาพแวดล้อม ซึ่งปัจจัยต่าง ๆ เช่น โลกาภิวัฒน์ เทคโนโลยี กฎระเบียบ การปรับโครงสร้างใหม่ การเปลี่ยนแปลงตลาด และการแข่งขันที่สร้างความไม่แน่นอน ความไม่แน่นอนมักถูกแสดงออกมาและสร้างขึ้นจากทางเลือกเชิงกลยุทธ์ ตัวอย่างเช่น องค์กรที่มีกลยุทธ์สร้างความเติบโตโดยมีพื้นฐานจากการขยายการดำเนินงานไปยังประเทศอื่น ทางเลือกเชิงกลยุทธ์นี้จะแสดงให้เห็นความเสี่ยงและโอกาสของการมีส่วนร่วมกับความมีเสถียรภาพของสภาพแวดล้อมทางการเมือง ทรัพยากร ตลาด ช่องทาง ความสามารถของแรงงาน และต้นทุนของประเทศนั้น

ความไม่แน่นอนนั้นเป็นไปได้ทั้งความเสี่ยงและโอกาส มีความเป็นไปได้ทั้งที่จะลดหรือเพิ่มคุณค่าให้กับองค์กร

การจัดการความเสี่ยง (Enterprise Risk Management – ERM) เป็นกรอบความคิดทางการบริหารเพื่อที่จะจัดการกับสภาวการณ์ที่ไม่มีความแน่นอนอย่างมีประสิทธิภาพ และเพิ่มความสามารถในการสร้างโอกาสและคุณค่าให้กับองค์กร สำหรับความไม่แน่นอนขององค์กรทั่วไป ก็คือการที่องค์กรไม่อาจจะบรรลุพันธกิจตามแผนงานการบริหารงานที่กำหนดไว้ได้

คุณค่าและค่านิยมร่วม (Shared Value) จึงเป็นเป้าหมายสูงสุด ที่ถูกกำหนดและยอมรับจากทั้งผู้บริหาร และสมาชิกทุกคนขององค์กร โดยตั้งปรัชญาและค่านิยมที่จะปลูกฝังให้พนักงานทุกคนยึดถือเป็นหลักในการปฏิบัติงานในทางปฏิบัติ ดังนั้นค่านิยมร่วมกันจึงเป็นสิ่งที่พนักงานขององค์กรจะยึดถือร่วมกันอยู่ตลอดเวลา ซึ่งอาจจะแสดงออกอย่างชัดเจน หรือต้องศึกษาและทำความเข้าใจเองจากสภาพแวดล้อมในองค์กร

ภาพต่อไปนี้จะแสดงให้เห็นถึงความโยงใยสัมพันธ์กันของพนักงานทุกคนในองค์กรที่มีค่านิยมร่วมกันในสภาพแวดล้อมขององค์กรเดียวกัน

คุณค่าและค่านิยมร่วม

คุณค่าและค่านิยมร่วม

การตัดสินใจของผู้บริหารจะสร้าง รักษา หรือให้คุณค่า ในทุกกิจกรรมจากการกำหนดการปฏิบัติงานในองค์กรในแต่ละวัน การตัดสินใจจะต้องตระหนักถึงความเสี่ยงและโอกาส ความต้องการที่ฝ่ายบริหารจะต้องพิจารณาข้อมูลสารสนเทศเกี่ยวกับสภาพแวดล้อมภายในและภายนอก ใช้ทรัพยากรอย่างมีคุณค่าและส่งเสริมกิจกรรมต่าง ๆ ขององค์กร เพื่อที่จะเปลี่ยนแปลงสถานการณ์ที่เกิดขึ้น

การสร้างคุณค่าเกิดขึ้นโดยการพัฒนาทรัพยากร อันประกอบด้วย บุคลากร ทุน เทคโนโลยี และ ความน่าเชื่อถือ เช่น แบรนด์ เป็นต้น เพื่อสร้างประโยชน์จากการใช้ทรัพยากรให้มากขึ้นกว่าเดิม การรักษาคุณค่าโดยเน้นไปยัง บุคลากร กระบวนการ ระบบและการปฏิบัติเพื่อสร้างคุณค่าที่ยั่งยืน ประกอบด้วยสิ่งอื่น ๆ เช่น คุณภาพของสินค้า ความสามารถในการผลิตและความพึงพอใจของลูกค้า คุณค่าอาจถูกบั่นทอนจากการปฏิบัติที่ไม่สมบูรณ์หรือไม่เหมาะสมเกี่ยวกับความเสี่ยงและโอกาส หรือโดยกลยุทธ์หรือการบริหารจัดการที่ไม่ดีพอ

คุณค่าสามารถเพิ่มขึ้นได้เมื่อกลยุทธ์และวัตถุประสงค์ของฝ่ายบริหารมีความสมดุลระหว่างการเติบโต วัตถุประสงค์ ความเสี่ยงที่เกี่ยวข้อง ประสิทธิผลและประสิทธิภาพในการจัดสรรทรัพยากรในการดำเนินการตามวัตถุประสงค์ การจัดการความเสี่ยงขององค์กรทั่วไป จะช่วยอำนวยความสะดวกในการระบุความต้องการของตลาด ความไม่เพียงพอและเหตุการณ์อื่น ๆ ที่แสดงให้เห็นถึงโอกาสในการสร้างคุณค่าและความเสี่ยงต่อกลยุทธ์และความสำเร็จในการบรรลุวัตถุประสงค์ขององค์กร

คุณค่าของการบริหารความเสี่ยง
1. การบริหารความเสี่ยงอย่างมีประสิทธิผล สามารถช่วยบ่งชี้และประเมินความเสี่ยงในทุกระดับขององค์กร และช่วยให้การประเมินโอกาสเกิดและผลกระทบของความเสี่ยงที่มีคุณค่าขององค์กรมีความน่าเชื่อถือมากขึ้น โดยการบริหารความเสี่ยงที่มีประสิทธิภาพจะสามารถเพิ่มมูลค่าให้กับผู้มีผลประโยชน์ร่วม
2. สามารถลดความสูญเสียและเพิ่มโอกาสให้กับองค์กร
3. ช่วยจัดการกับความไม่แน่นอนที่อาจเกิดขึ้น และสามารถกำหนดแนวทางการบริหารความเสี่ยงเพื่อให้องค์กรสามารถบรรลุวัตถุประสงค์
4. ความสำเร็จขององค์กร

การบริหารความเสี่ยงที่มีประสิทธิผล ควรตระหนักถึงคุณค่าที่อาจเกิดขึ้น ซึ่งได้ถูกสร้าง รักษา หรือซ่อนเร้นอยู่ภายในการดำเนินงานปัจจุบัน และคุณค่าซึ่งซ่อนเร้นอยู่ในการตัดสินใจในอนาคต คุณค่าที่ซ่อนเร้น หมายถึงคุณค่าที่อาจเกิดขึ้นได้จากปัจจัยต่าง ๆ โดยองค์กรไม่ได้นำออกมาใช้หรือกำลังหมดค่าไปในที่สุด

RM & BSC - KPI & Hidden Value

RM & BSC - KPI & Hidden Value

การวัดคุณค่าขององค์กร
การวัดคุณค่าจะเกี่ยวข้องกับคุณค่า ประโยชน์ หรือเรื่องที่สำคัญขององค์กรต่อผู้มีผลประโยชน์ร่วม ผู้บริหารองค์กรหลายแห่งมักคิดถึงคุณค่าในลักษณะการวัดการเงิน เช่น กำไรทางเศรษฐศาสตร์ คุณค่าเพิ่มของผู้มีผลประโยชน์ร่วม การปรับความเสี่ยงจากผลตอบแทนจากทุนทรัพย์ หรืองบประมาณที่ได้รับจากทางการในกรณีที่เกี่ยวข้องกับหน่วยงานของรัฐ และองค์กรมหาชน

คุณค่าขององค์กร จะเกิดขึ้นได้จากความน่าเชื่อถือในการบริหารงานโดยรวม ของคณะกรรมการบริหารและพนักงานที่เกี่ยวข้อง โดยเฉพาะอย่างยิ่งการรักษาชื่อเสียงที่เกี่ยวข้องกับศักยภาพในการดำเนินการให้ได้ตามแผนงาน และโครงการที่เกี่ยวข้องอย่างมั่นใจที่จะก้าวไปสู่พันธกิจและวิสัยทัศน์ตามที่กำหนดไว้ได้ ดังภาพที่เห็นด้านล่างนี้ แสดงถึงการบริหารความเสี่ยงกับการเพิ่มคุณค่าขององค์กรในระดับต่าง ๆ

แนวทางการพัฒนาและเพิ่มคุณค่าการบริหารความเสี่ยงระดับต่าง ๆ ขององค์กร

แนวทางการพัฒนาและเพิ่มคุณค่าการบริหารความเสี่ยงระดับต่าง ๆ ขององค์กร


แนวทาง/กรอบ/คู่มือการบริหารความเสี่ยงขององค์กร

เมษายน 7, 2009

มาแล้วครับ ตามที่ได้บอกทิ้งท้ายเอาไว้ในครั้งก่อนว่า ครั้งนี้เราจะมาพูดคุยและลงลึกกันในรายละเอียดของการจัดการความเสี่ยงขององค์กรกัน แต่ก่อนอื่นผมอยากให้ท่านผู้อ่านได้ทำความเข้าใจกับภาพ ๆ หนึ่ง ซึ่งจะช่วยให้เห็นภาพของการบริหารความเสี่ยงในระดับ ๆ ต่าง ๆ แบบบูรณาการและมีดุลยภาพได้เป็นอย่างดี ดังภาพด้านล่างนี้ ก่อนที่จะได้กล่าวถึงรายละเอียดต่าง ๆ ที่เกี่ยวข้องกับการจัดการความเสี่ยงต่อไป

การบริหารความเสี่ยงระดับต่าง ๆ กับเจ้าภาพ

การบริหารความเสี่ยงระดับต่าง ๆ กับเจ้าภาพ

การจัดการความเสี่ยงขององค์กรทั่วไป
การจัดการความเสี่ยงขององค์กร ได้ถูกนำมาประยุกต์ในการกำหนดกลยุทธ์และกิจกรรมทั้งหมดขององค์กร อันจะช่วยให้ผู้บริหารสามารถระบุ ประเมินและบริหารความเสี่ยงเมื่อต้องเผชิญอย่างคาดไม่ถึง และสนับสนุนการสร้างและรักษาค่านิยมขององค์กร การจัดการความเสี่ยงขององค์กร จะเป็นตัวสนับสนุนความสามารถในการจัดการความเสี่ยงและกลยุทธ์ให้เป็นแนวทางเดียวกัน เชื่อมโยงความเสี่ยงกับความเติบโตและผลตอบแทน ส่งเสริมการตัดสินใจตอบสนองต่อความเสี่ยง ลดความตื่นตระหนักและความสูญเสียในการปฏิบัติการ ระบุและบริหารความเสี่ยงระหว่างสถานประกอบได้ สามารถตอบสนองความเสี่ยงที่ซับซ้อนอย่างบูรณาการได้ สามารฉกฉวยโอกาสและมีการลงทุนอย่างเหมาะสม

ทุกองค์กรต้องเผชิญกับความไม่แน่นอน และความท้าทายสำหรับฝ่ายบริหารขององค์กรทั่วไป ก็คือการกำหนดระดับความไม่แน่นอนที่มีอยู่เพื่อเพิ่มคุณค่าให้กับผู้มีผลประโยชน์ร่วม ความไม่แน่นอนที่เกิดขึ้นเป็นทั้งโอกาสและความเสี่ยงต่อศักยภาพและบั่นทอนหรือส่งเสริมคุณค่า การจัดการความเสี่ยงขององค์กรทั่วไป จึงเป็นการสร้างกรอบของงานเพื่อให้ผู้บริหารได้จัดการกับความไม่แน่นอน ความเสี่ยงและโอกาสเพื่อส่งเสริมความสามารถในการสร้างคุณค่าเพิ่มให้กับองค์กรและผู้มีผลประโยชน์ร่วม การบริหารความเสี่ยงจะช่วยให้แน่ใจอย่างสมเหตุสมผลว่า องค์กรทั่วไปสามารถบรรลุเป้าประสงค์ขององค์กรได้

องค์กรที่ดำเนินงานในสภาพแวดล้อม ซึ่งปัจจัยต่าง ๆ เช่น โลกาภิวัฒน์ เทคโนโลยี กฎระเบียบ การปรับโครงสร้างใหม่ การเปลี่ยนแปลงตลาด และการแข่งขันที่สร้างความไม่แน่นอน ความไม่แน่นอนมักถูกแสดงออกมาและสร้างขึ้นจากทางเลือกเชิงกลยุทธ์ ตัวอย่างเช่น องค์กรที่มีกลยุทธ์สร้างความเติบโตโดยมีพื้นฐานจากการขยายการดำเนินงานไปยังประเทศอื่น ทางเลือกเชิงกลยุทธ์นี้จะแสดงให้เห็นความเสี่ยงและโอกาสของการมีส่วนร่วมกับความมีเสถียรภาพของสภาพแวดล้อมทางการเมือง ทรัพยากร ตลาด ช่องทาง ความสามารถของแรงงาน และต้นทุนของประเทศนั้น

ความไม่แน่นอนนั้นเป็นไปได้ทั้งความเสี่ยงและโอกาส มีความเป็นไปได้ทั้งที่จะลดหรือเพิ่มคุณค่าให้กับองค์กร

การจัดการความเสี่ยง (Enterprise Risk Management – ERM) เป็นกรอบความคิดทางการบริหารเพื่อที่จะจัดการกับสภาวการณ์ที่ไม่มีความแน่นอนอย่างมีประสิทธิภาพ และเพิ่มความสามารถในการสร้างโอกาสและคุณค่าให้กับองค์กร สำหรับความไม่แน่นอนขององค์กรทั่วไป ก็คือการที่องค์กรไม่อาจจะบรรลุพันธกิจตามแผนงานการบริหารงานที่กำหนดไว้ได้

คุณค่าและค่านิยมร่วม (Shared Value) จึงเป็นเป้าหมายสูงสุด ที่ถูกกำหนดและยอมรับจากทั้งผู้บริหาร และสมาชิกทุกคนขององค์กร โดยตั้งปรัชญาและค่านิยมที่จะปลูกฝังให้พนักงานทุกคนยึดถือเป็นหลักในการปฏิบัติงานในทางปฏิบัติ ดังนั้นค่านิยมร่วมกันจึงเป็นสิ่งที่พนักงานขององค์กรจะยึดถือร่วมกันอยู่ตลอดเวลา ซึ่งอาจจะแสดงออกอย่างชัดเจน หรือต้องศึกษาและทำความเข้าใจเองจากสภาพแวดล้อมในองค์กร

ภาพต่อไปนี้จะแสดงให้เห็นถึงความโยงใยสัมพันธ์กันของพนักงานทุกคนในองค์กรที่มีค่านิยมร่วมกันในสภาพแวดล้อมขององค์กรเดียวกัน

คุณค่าและค่านิยมร่วม

คุณค่าและค่านิยมร่วม

การตัดสินใจของผู้บริหารจะสร้าง รักษา หรือให้คุณค่า ในทุกกิจกรรมจากการกำหนดการปฏิบัติงานในองค์กรในแต่ละวัน การตัดสินใจจะต้องตระหนักถึงความเสี่ยงและโอกาส ความต้องการที่ฝ่ายบริหารจะต้องพิจารณาข้อมูลสารสนเทศเกี่ยวกับสภาพแวดล้อมภายในและภายนอก ใช้ทรัพยากรอย่างมีคุณค่าและส่งเสริมกิจกรรมต่าง ๆ ขององค์กร เพื่อที่จะเปลี่ยนแปลงสถานการณ์ที่เกิดขึ้น

การสร้างคุณค่าเกิดขึ้นโดยการพัฒนาทรัพยากร อันประกอบด้วย บุคลากร ทุน เทคโนโลยี และ ความน่าเชื่อถือ เช่น แบรนด์ เป็นต้น เพื่อสร้างประโยชน์จากการใช้ทรัพยากรให้มากขึ้นกว่าเดิม การรักษาคุณค่าโดยเน้นไปยัง บุคลากร กระบวนการ ระบบและการปฏิบัติเพื่อสร้างคุณค่าที่ยั่งยืน ประกอบด้วยสิ่งอื่น ๆ เช่น คุณภาพของสินค้า ความสามารถในการผลิตและความพึงพอใจของลูกค้า คุณค่าอาจถูกบั่นทอนจากการปฏิบัติที่ไม่สมบูรณ์หรือไม่เหมาะสมเกี่ยวกับความเสี่ยงและโอกาส หรือโดยกลยุทธ์หรือการบริหารจัดการที่ไม่ดีพอ

คุณค่าสามารถเพิ่มขึ้นได้เมื่อกลยุทธ์และวัตถุประสงค์ของฝ่ายบริหารมีความสมดุลระหว่างการเติบโต วัตถุประสงค์ ความเสี่ยงที่เกี่ยวข้อง ประสิทธิผลและประสิทธิภาพในการจัดสรรทรัพยากรในการดำเนินการตามวัตถุประสงค์ การจัดการความเสี่ยงขององค์กรทั่วไป จะช่วยอำนวยความสะดวกในการระบุความต้องการของตลาด ความไม่เพียงพอและเหตุการณ์อื่น ๆ ที่แสดงให้เห็นถึงโอกาสในการสร้างคุณค่าและความเสี่ยงต่อกลยุทธ์และความสำเร็จในการบรรลุวัตถุประสงค์ขององค์กร

คุณค่าของการบริหารความเสี่ยง
1. การบริหารความเสี่ยงอย่างมีประสิทธิผล สามารถช่วยบ่งชี้และประเมินความเสี่ยงในทุกระดับขององค์กร และช่วยให้การประเมินโอกาสเกิดและผลกระทบของความเสี่ยงที่มีคุณค่าขององค์กรมีความน่าเชื่อถือมากขึ้น โดยการบริหารความเสี่ยงที่มีประสิทธิภาพจะสามารถเพิ่มมูลค่าให้กับผู้มีผลประโยชน์ร่วม
2. สามารถลดความสูญเสียและเพิ่มโอกาสให้กับองค์กร
3. ช่วยจัดการกับความไม่แน่นอนที่อาจเกิดขึ้น และสามารถกำหนดแนวทางการบริหารความเสี่ยงเพื่อให้องค์กรสามารถบรรลุวัตถุประสงค์
4. ความสำเร็จขององค์กร

การบริหารความเสี่ยงที่มีประสิทธิผล ควรตระหนักถึงคุณค่าที่อาจเกิดขึ้น ซึ่งได้ถูกสร้าง รักษา หรือซ่อนเร้นอยู่ภายในการดำเนินงานปัจจุบัน และคุณค่าซึ่งซ่อนเร้นอยู่ในการตัดสินใจในอนาคต คุณค่าที่ซ่อนเร้น หมายถึงคุณค่าที่อาจเกิดขึ้นได้จากปัจจัยต่าง ๆ โดยองค์กรไม่ได้นำออกมาใช้หรือกำลังหมดค่าไปในที่สุด

RM & BSC - KPI & Hidden Value

RM & BSC - KPI & Hidden Value

การวัดคุณค่าขององค์กร
การวัดคุณค่าจะเกี่ยวข้องกับคุณค่า ประโยชน์ หรือเรื่องที่สำคัญขององค์กรต่อผู้มีผลประโยชน์ร่วม ผู้บริหารองค์กรหลายแห่งมักคิดถึงคุณค่าในลักษณะการวัดการเงิน เช่น กำไรทางเศรษฐศาสตร์ คุณค่าเพิ่มของผู้มีผลประโยชน์ร่วม การปรับความเสี่ยงจากผลตอบแทนจากทุนทรัพย์ หรืองบประมาณที่ได้รับจากทางการในกรณีที่เกี่ยวข้องกับหน่วยงานของรัฐ และองค์กรมหาชน

คุณค่าขององค์กร จะเกิดขึ้นได้จากความน่าเชื่อถือในการบริหารงานโดยรวม ของคณะกรรมการบริหารและพนักงานที่เกี่ยวข้อง โดยเฉพาะอย่างยิ่งการรักษาชื่อเสียงที่เกี่ยวข้องกับศักยภาพในการดำเนินการให้ได้ตามแผนงาน และโครงการที่เกี่ยวข้องอย่างมั่นใจที่จะก้าวไปสู่พันธกิจและวิสัยทัศน์ตามที่กำหนดไว้ได้ ดังภาพที่เห็นด้านล่างนี้ แสดงถึงการบริหารความเสี่ยงกับการเพิ่มคุณค่าขององค์กรในระดับต่าง ๆ

แนวทางการพัฒนาและเพิ่มคุณค่าการบริหารความเสี่ยงระดับต่าง ๆ ขององค์กร

แนวทางการพัฒนาและเพิ่มคุณค่าการบริหารความเสี่ยงระดับต่าง ๆ ขององค์กร


ความสำคัญของ Integrity of the Information ที่มีผลต่อกระบวนการบริหารและการตรวจสอบ (ต่อ)

เมษายน 4, 2009

อ่านส่วนที่เหลือของรายการนี้ »


ความสำคัญของ Integrity of the Information ที่มีผลต่อกระบวนการบริหารและการตรวจสอบ (ต่อ)

เมษายน 4, 2009

อ่านส่วนที่เหลือของรายการนี้ »