ครั้งที่แล้ว ผมได้พูดถึงเกร็ดการบริหารความเสี่ยง เพื่อยกระดับและเพิ่มประสิทธิภาพการบริหารจัดการที่สามารถสร้างคุณค่าเพิ่ม และการเติบโตอย่างยั่งยืนให้กับองค์กรได้บางประการแล้วนั้น วันนี้ผมจะมาบอกเคล็ดลับบางประการในการยกระดับการบริหารความเสี่ยง ซึ่งบางมุมมองก็ยังเป็นจุดอ่อนของหลายองค์กรที่อาจปรับปรุงได้ ดังนี้
1. นโยบายผู้บริหาร
– ผู้บริหารระดับสูงยังมองข้ามความสำคัญของการบริหารความเสี่ยง และไม่มีนโยบายที่ชัดเจน รวมทั้งแนวทางการปฏิบัติที่เหมาะสมในเรื่องนี้ ++
– นโยบายการบริหารความเสี่ยงไม่ครอบคลุมเรื่องที่เกี่ยวข้องกับ Risk IT และ IT Risk ที่มีผลกระทบต่อองค์กร ซึ่งมีผลทำให้การกำหนดกลยุทธ์และแผนการดำเนินงานการบริหารความเสี่ยงมีจุดอ่อนเป็นอย่างยิ่ง ทางด้าน Operationnal Risk โดยเฉพาะทางด้าน People Risk + Process Risk + Technology Risk ซึ่งมีผลกระทบต่อไปยังกรอบใหญ่ของการบรรลุเป้าหมายของ Information Risk + Integrity Risk + Strategy Risk + Financial and Compliance Risk
– ไม่มีสายงาน หรือหน่วยงานที่ทำหน้าที่รับผิดชอบโดยตรงในเรื่องการบริหารความเสี่ยง
– อื่น ๆ +++
2. การมีส่วนร่วมในการบริหารความเสี่ยง
– พนักงานทุกคนในองค์กรขาดความสนใจ หรือไม่ให้ความสำคัญ และไม่มีส่วนร่วมในการบริหารความเสี่ยง รวมถึงไม่มีส่วนร่วมในการระบุปัจจัยเสี่ยงและกำหนดแผนบริหารความเสี่ยงขององค์กรร่วมกัน
– พนักงานหรือบุคลากรขององค์กรไม่มีทักษะ ความรู้ ความเข้าใจที่ชัดเจน ถูกต้องในเรื่องการบริหารความเสี่ยงที่เพียงพอ
– อื่น ๆ +++
3. องค์ประกอบของ ERM – Enterprise Risk Management เพื่อการบรูณาการความเสี่ยงที่ดี
– หน่วยงานหรือสายงานมีการระบุความเสี่ยงยังไม่ครบถ้วน ในมุมมองต่าง ๆ ที่เกี่ยวข้องตามคำจำกัดความของความเสี่ยงที่มี 3 องค์ประกอบหลัก ๆ
– ไม่มีการใช้ฐานข้อมูลที่เหมาะสมในการกำหนดระดับความรุนแรงของความเสี่ยง
– หน่วยงานขาดการวิเคราะห์แผนบริหารความเสี่ยงที่ครบถ้วนตาม Riks Map
– อื่น ๆ +++
4. ระบบติดตามและประเมินผลการบริหารความเสี่ยง
– องค์กรไม่มีระบบ Early Warning ในกรณีที่ผลการบริหารความเสี่ยงไม่ระบุเป้าหมาย ตามหลักการและกระบวนการบริหารความเสี่ยงที่ดี
– พนักงานในองค์กรขาดการบริหารองค์ความรู้ที่ใช้ในการติดตามและประเมินผลการบริหารความเสี่ยงอย่างมีประสิทธิภาพ
– อื่น ๆ +++
5. การสร้างมูลค่าเพิ่มให้กับองค์กร
– องค์กรไม่มีการกำหนดสายการรายงานที่เหมาะสม และเพียงพอ โดยเฉพาะอย่างยิ่ง ความเสี่ยงและผลกระทบจาก Risk IT และ IT Risk
– พนักงานในองค์กรขาดความตระหนัก และมิได้เสริมสร้างค่านิยมในเรื่องของการบริหารความเสี่ยงให้เป็นวัฒนธรรมองค์กร
– ไม่ได้นำระบบการบริหารความเสี่ยงมาใช้ในการกำหนดนโยบาย กำหนดกลยุทธ์ และวางแผนการลงทุน เพื่อสร้างคุณค่าเพิ่มให้กับองค์กร
– อื่น ๆ +++
6. IT Governance
– ความรู้และความเข้าใจในองค์ประกอบของ IT Governance ต่อ Corporate Governance และ ERM ยังมีระดับที่แตกต่างกันมาก โดยเฉพาะอย่างยิ่งการก้าวไปสู่การบริหารยุคใหม่ที่เกี่ยวข้องกับ การบริหารและการจัดการในลักษณะของ GRC ซึ่งเป็นกระบวนการหลอมรวมการบริหารและการจัดการในลักษณะเป็นหนึ่งเดียว ++
– ขาดการวิเคราะห์ความคุ้มค่าหรือมูลค่าของการลงทุนด้าน IT กับความเสี่ยงที่อาจเกิดขึ้นกับองค์กร
– ขาดการจัดทำแผน BCM และฝึกซ้อมตามที่กำหนด
– อื่น ๆ +++
เกร็ดเกี่ยวกับการพัฒนาการบริหารความเสี่ยงเพื่อยกระดับการแข่งขัน และเพิ่มประสิทธิผล ประสิทธิภาพในการจัดการ ตามที่กล่าวข้างต้นในบางประการนั้น มีเรื่องเกี่ยวเนื่องอย่างสำคัญที่มีผลกระทบต่อกระบวนการบริหารจัดการองค์กรในเรื่องต่าง ๆ อย่างหลีกเลี่ยงไม่ได้ เช่น การควบคุมภายใน การตรวจสอบภายใน การบริหารจัดการสารสนเทศ การบริหารทรัพยากรบุคคลอย่างมีคุณภาพ ซึ่งทุกเรื่องตามที่กล่าวข้างต้นมีความสัมพันธ์และโยงใยกันอย่างเป็นบูรณาการ ไม่อาจจะคิดหรือบริหารเป็นเรื่อง ๆ ตามลำพัง โดยไม่คำนึงถึงองค์ประกอบต่าง ๆ ที่เกี่ยวข้องในการพิจารณาการบริหารภาพรวมในลักษณะ Holistic Framework หรือ Interdependency Approach ที่ต้องการความเข้าใจในเรื่องที่เกี่ยวข้องกับ Risk IT และ IT Risk ที่มีผลกระทบต่อ Business Risk และ Business Objective ของทุกองค์กรได้
Information Technology Governance 