Information Technology Governance

http://www.itgthailand.wordpress.com ได้ถือกำเนิดขึ้นเมื่อวันศุกร์ที่ 23 มกราคม 2552 โดยมีแรงบันดาลใจจากคุณทรงศรี ศรีรุ่งเรืองจิต Manageing Director ของ Vintcom Technology Co., Ltd ซึ่งผมเคยไปบรรยายทางด้านวิชาการที่เกี่ยวข้องกับ IT และการบริหารความเสี่ยงในบางมุมมอง ได้ไปเยี่ยมเยียนผมเนื่องในโอกาสขึ้นปีใหม่ในเดือนมกราคม 2552 โดยกล่าวกับผมว่า ….

อาจารย์ได้เป็นวิทยากรให้กับหน่วยงานภาครัฐและเอกชนจำนวนมากมายหลายแห่ง โดยเฉพาะอย่างยิ่งสถาบันที่เกี่ยวข้องกับการศึกษา และเป็นผู้นำทางด้านความคิด การปฏิบัติงานที่ผสมผสานระหว่างการบริหารทางด้านความเสี่ยงทั่วทั้งองค์กร ตามหลัก COSO-ERM v.2 ผสมผสานกับการบริหารความเสี่ยงทางด้าน IT Governance ภายใต้มาตรฐานของสถาบัน ITGI – IT Governance Institute รวมทั้งบูรณาการความเสี่ยงเข้ากับการควบคุมและการตรวจสอบตามฐานความเสี่ยง โดยเชื่อมโยงกับการตรวจสอบด้านทั่วไปและการตรวจสอบทางด้าน IT ซึ่งเป็นเรื่องสำคัญมากในการบรูณาการกระบวนการบริหารเชิงรุก โดยเน้นการมองเหตุการณ์ที่อาจจะเกิดขึ้นและมีผลทางลบ หรือทางบวกต่อการบรรลุเป้าประสงค์ พันธกิจ และวิสัยทัศน์ขององค์กรต่าง ๆ เป็นผู้เขียนหนังสือเรื่องราวเกี่ยวกับคอมพิวเตอร์ การบริหารความเสี่ยง เรื่องราวเกี่ยวกับ CG, ITG และมีผลงานอื่น ๆ อีกมากมาย น่าจะนำประสบการณ์ ภูมิความรู้ ที่อาจารย์มีอยู่เผยแพร่และแบ่งปันเพื่อเป็นประโยชน์ให้กับผู้ที่สนใจ ซึ่งปัจจุบันการเผยแพร่ข้อมูล ข่าวสาร การนำเสนอแนวความคิด ความคิดเห็นต่างๆ สามารถนำเสนอผ่านรูปแบบของเว็บบล็อกได้

และ…เนื่องจากผมมีประสบการณ์ที่เกี่ยวข้องกับองค์กรต่าง ๆ ไม่น้อย โดยเฉพาะอย่างยิ่งการบริหารความเสี่ยง ซึ่งอยู่ภายใต้หลักการของ CG ซึ่งเป็นที่เข้าใจกันโดยทั่วไป แต่ผมสังเกตว่าหลายองค์กร ยังมีความเข้าใจความหมายของ CG และองค์ประกอบที่เกี่ยวข้องที่มี ITG + การบริหารความเสี่ยงทั่วทั้งองค์กร / COSO-ERM การควบคุมความเสี่ยงตามหลักการ COSO v1. และ v.2 รวมทั้งการตรวจสอบตามฐานความเสี่ยงในภาพองค์รวมยังแตกต่างกันโดยทั้งหลักการบริหารและการปฏิบัติค่อนข้างมาก และมีนัยสำคัญต่อการขับเคลื่อนความสำเร็จและการเติบโตอย่างยั่งยืนขององค์กรต่าง ๆ

โดยเฉพาะอย่างยิ่ง หลักการ CG & GCG ได้พูดถึงหรือได้เชื่อมโยงถึงหลักการที่คู่กันไปอย่างแยกไม่ได้ คือ IT Governance หรือ ITG อย่างค่อนข้างจำกัดมาก จึงทำให้การผสมผสานหลักการ CG + ITG และ GRC ซึ่งเป็น Statement ใหม่ แต่ในความเป็นจริง หากผู้ที่เกี่ยวข้องได้เข้าใจถึงองค์ประกอบของ CG และ ITG อย่างแท้จริง ก็ไม่มีอะไรใหม่ภายใต้ Statement ของ GRC ที่กล่าวถึง

หลาย ๆ องค์กรได้แบ่งโครงสร้างการบริหารงานออกไปอย่างชัดเจน ซึ่งโดยทั่วไปก็พิจารณาว่าน่าจะถูกต้อง แต่ความเป็นจริง ความเสี่ยงที่น่ากลัวอย่างหนึ่งก็คือ ความเสี่ยงทางด้าน IT Security และ IT Audit ที่เป็นองค์ประกอบหนึ่งที่สำคัญยิ่งของกระบวนการบริหารความเสี่ยงแบบสอดประสานและบูรณาการ (Allignment & Integration) ของทั้งองค์กร

ตัวอย่างง่าย ๆ ที่เกี่ยวข้องกับคำว่า Interdependent และคำว่า Risk Convergence ของกระบวนการบริหารและการตรวจสอบที่แยกกันไม่ได้ก็เป็นสิ่งที่ยังเข้าใจแตกต่างกันมากในระดับต่าง ๆ ของการจัดการ โดยเฉพาะอย่างยิ่งการควบคุมภายในและการตรวจสอบภายใน ซึ่งเป็นหน้าที่หลักอย่างหนึ่งของคณะกรรมการ ผู้บริหาร และผู้ปฏิบัติงาน ซึ่งมีหน้าที่และความรับผิดชอบที่แตกต่างกันไป แต่ก็มีแนวความคิดและแนวการปฏิบัติที่แตกต่างกันมาก ซึ่งมีผลสำคัญยิ่งต่อการกำกับดูแลกิจการที่ดีที่คู่กันไปกับการบริหารความเสี่ยงแบบบูรณาการ

ดังนั้น ในฐานะที่ผมเคยปฏิบัติหน้าที่เป็นผู้ตรวจสอบ และเป็นผู้บริหาร ทั้งทางด้าน IT และ Non-IT ของธนาคารแห่งประเทศไทย เป็นเวลาประมาณ 27 ปี ซึ่งมีหน้าที่ตรวจสอบความมั่นคงของสถาบันการเงิน ในมุมมองต่าง ๆ และในขณะเดียวกันก็ทำหน้าที่ในการตรวจสอบความพร้อมในการบริหารและการจัดการทางด้านความมั่นคงและความปลอดภัยทางด้านเทคโนโลยีสารสนเทศ ที่เกี่ยวข้องกับการบริหารศูนย์ประมวลผลข้อมูล และการตรวจสอบ รวมทั้งการควบคุมภายในที่เกี่ยวข้องด้วยทั้ง 2 ด้าน รวมทั้งการนำกรอบความคิดในการสอดประสานและบูรณาการการตรวจสอบทางด้าน IT ให้เป็นส่วนหนึ่งของการขึ้นรูปในการตรวจสอบความเสี่ยงที่เกี่ยวข้องกับการดำเนินงาน (Operational) การตรวจสอบทางด้านการเงิน (Financial) และการตรวจสอบการปฏิบัติตามกฏหมาย กฎเกณฑ์ต่าง ๆ (Compliance) ซึ่งผมได้เขียนแนวทางการบริหารการจัดการทางด้านคอมพิวเตอร์และการตรวจสอบของสถาบันการเงินไว้ รวม 4 เล่มด้วยกัน

นอกจากนี้ ลูกชายของผม คือ คุณภูริช สุวรรณสาร ยังเคยแนะนำเรื่องนี้ให้กับผมที่จะให้ผมมี website เพื่อเผยแพร่ข้อมูลข่าวสารที่ผมมีอยู่มากมายในรูปแบบของการบรรยายและการเสวนา ซึ่งผมมีโอกาสได้ร่วมกิจกรรมประเภทนี้บ่อยมาก และความคิดดังกล่าวมีความสัมพันธ์และสอดคล้องกันเป็นอย่างดีกับความเห็นของ คุณทรงศรี ศรีรุ่งเรืองจิต ที่ได้แนะนำและขึ้นรูป http://www.itgthailand.wordpress.com

ผมจึงมีความคิดที่จะเผยแพร่ความคิดเห็นต่าง ๆ จากประสบการณ์ที่ได้รับในอดีต และที่ยังเป็นอยู่ในปัจจุบันให้กับผู้ที่สนใจได้รับทราบเพื่อเป็นส่วนหนึ่งในการยกระดับความเข้าใจในเรื่องที่ผมถนัด ให้เป็นประโยชน์กับสังคม ทั้งในปัจจุบันและในอนาคต ดังนั้น ผมจึงเห็นด้วยอย่างยิ่งที่จะมีส่วนในการเผยแพร่ความคิดเห็นในแง่มุมต่าง ๆ ผ่านทาง http://www.itgthailand.wordpress.com ซึ่งได้ขึ้นรูปเว็บนี้ ในวันที่ 23 มกราคม 2552

อย่างไรก็ดี เนื่องจากเวลาจำกัด ผมจึงมีเวลาได้อัพเดทข้อมูลได้ไม่มากนักเมื่อเทียบกับความตั้งใจที่ผมมีอยู่ แต่ผมคิดว่าจะได้ดำเนินการได้มากขึ้นเมื่อมีเวลาและโอกาสอำนวย ทั้งนี้ ผมจะใช้วิธีการแบบเล่าสู่กันฟังและอธิบายด้วยรูปภาพให้มากเท่าที่จะทำได้ เพื่อให้ท่านผู้อ่านใช้จิตนาการติดตามเนื้อหาประกอบเป็นลายลักษณ์อักษรบ้างตามสมควร

ผมได้ขึ้นรูป Article ต่าง ๆ ที่ผมคิดว่าผมจะมีโอกาสได้แลกเปลี่ยนกับท่านผู้อ่านได้ และจะได้ปรับปรุงให้มีคุณค่าเพิ่มขึ้นตามลำดับ…

วันที่ 12 สิงหาคม 2552

หลังจากที่ผมได้ปรับเปลี่ยนระบบของการเขียนเว็บบล็อก ด้วยการจดทะเบียนเป็นชื่อ http://www.itgthailand.com แทน http://www.itgthailand.wordpress.com เพื่อให้มีศักยภาพ มีประสิทธิภาพ และมีความสเถียรมากขึ้น เมื่อวันที่ 9 กรกฎาคม 2552 แล้ว

itgthailand.wordpress.com ก็ไม่ได้มีการ update เพิ่มเติมอีก แต่ในบางโอกาส ผมจะนำบทความที่ผมเคยเขียนไว้ในอดีตมาใส่ไว้ใน itgthailand.wordpress.com เพื่อให้มีความเคลื่อนไหวบ้างในระดับหนึ่ง เพราะบทความและเอกสารการบรรยายของผมในอดีต ซึ่งมีจำนวนมากนั้น หากจะลงใน http://www.itgthailand.com เพียงแห่งเดียวคงไม่เหมาะสมกับเนื้อหาที่ผ่านมาพอสมควรแล้วนั้น

จากการที่ได้ใช้ http://www.itgthailand.com มีท่านผู้อ่านบางท่านให้ข้อสังเกตว่า ภาพและข้อความในภาพที่ใช้สร้างความเข้าใจให้กับผู้อ่านได้ดีกว่าการบรรยายเป็นลายลักษณ์อักษรเพียงอย่างเดียวนั้น มีขนาดเล็กเกินไป และในบางครั้งก็อาจจะไม่ชัดเจน

ผมมีข้อแนะนำเบื้องต้นดังนี้ครับ ในกรณีที่ท่านต้องการขยายภาพหรือตัวอักษร ให้ท่านกด Ctrl ค้างไว้ พร้อมเลื่อนลูกกลิ้งเม้าส์ (Scroll) ไปด้านหน้า ทั้งภาพและตัวอักษรจะใหญ่ขึ้นตามที่ท่านต้องการ และกลับกัน หากท่านเลื่อนลูกกลิ้งไปด้านหลัง ทั้งภาพและตัวอักษรก็จะเล็กลง

อนึ่ง บทความต่าง ๆ ของผมจะมีลักษณะการเล่าสู่กันฟังมากกว่าเป็นตำราเป็นทางการ ดังนั้น หากท่านที่ต้องการศึกษาในรายละเอียดของเรื่องที่ท่านสนใจ เช่น IT Audit, IT Governance, Corporate Governance, GRC, COSO – Enterprise Risk Management ท่านก็อาจติดตามได้จากตำรา ซึ่งมีเผยแพร่โดยทั่วไป และจะมีการจัดลำดับอย่างละเอียดให้ท่านได้ติดตามอย่างสะดวก

สำหรับบทความต่าง ๆ ของผม ส่วนใหญ่ จะเป็นลักษณะการเล่าประสบการณ์ และมีเป้าหมายไปยังผู้ที่มีความรู้พื้นฐานในหัวข้อดังกล่าวมาแล้วระดับหนึ่ง โดยผมจะเพิ่มข้อสังเกตและมุมมองในภาพปฏิบัติจริง โดยเฉพาะอย่างยิ่งมุมมองที่เกี่ยวกับการบริหารแบบประสานและบูรณาการเป็นสำคัญ ซึ่งเป็นหัวใจของการสร้างประสิทธิภาพและประสิทธิผลในการดำเนินงานทุกระดับในกระบวนการจัดการ

การทำเว็บไซต์นี้ ก็เพื่อเป็นประโยชน์ต่อสังคมแห่งการเรียนรู้ ในมุมมองของผมเอง ซึ่งอาจจะมีบางท่านมีความเห็นที่แตกต่างกันได้ โดยเฉพาะการพิจารณาในมุมมองที่ต่างกัน การมองภาพในมุมกว้าง มุมสูง และภาพโดยรวมที่อาจเริ่มต้นแตกต่างกันได้

หากท่านมีข้อสังเกตที่แตกต่างและเพิ่มเติมเพื่อสร้างคุณค่าเพิ่มให้กับสังคมร่วมกันได้ ขอท่านได้โปรดส่งข้อสังเกตมาให้ผมเพื่อที่จะ update ข้อมูลให้เหมาะสม และขออนุญาตลงชื่อท่านไว้ในข้อสังเกตที่ผมจะปรับปรุงและเปลี่ยนแปลงในภายหลังด้วยนะครับ

นอกจากนี้ ในการวิเคราะห์บทความต่าง ๆ ซึ่งเป็นเรื่อง hot issue ประจำวัน หรือในระยะเวลาใกล้เคียงตามที่ปรากฎเป็นข่าว ที่ผมคิดว่าน่าสนใจและเกี่ยวข้องกับบทความที่ผมเขียนอยู่ ผมจะออกความเห็นเพิ่มเติม และวิเคราะห์ข่าวในเรื่องนั้น ๆ ในทางสร้างสรร และต้องขออภัยเป็นการล่วงหน้า หากการวิเคราะห์ข้อมูลของผมจะทำให้ท่านผู้ที่เกี่ยวข้องได้รับความกระทบกระเทือนไปบ้างอย่างไม่ตั้งใจ ก็อภัยมา ณ ที่นี้ด้วยครับ

ความตั้งใจของผม นอกจากที่กล่าวแล้ว ผมตั้งใจจะมีส่วนร่วมด้วยช่วยกันในการสร้างกระบวนความคิด แนะแนวคิดที่สามารถสร้างคุณค่าเพิ่มให้กับตนเอง องค์กร และประเทศชาติได้ โดยไม่ขัดแย้งกับหลักการของการกำกับดูแลกิจการที่ดี ที่ยึดถือการเติบโตอย่างยั่งยืน และการมีจรรณยาบรรณเป็นหลัก

ดังนั้น ท่านที่มีความเห็นว่าผมควรจะอธิบายในรายละเอียดให้มากกว่านี้ ขอได้โปรดเข้าใจด้วยนะครับว่า ผมตั้งใจให้ท่านคิดต่อและให้มีส่วนร่วมกับบทความต่าง ๆ ของผม เพื่อที่จะได้ช่วยกันสร้างความคิดและการปฏิบัติที่เป็นกระบวนการที่ดีตามหลักการบริหารความเสี่ยง และการควบคุมภายใน ตามกรอบที่ยอมรับกันว่าเป็นหลักการสากล