Information Technology Governance

ในครั้งที่แล้ว ผมได้เล่าถึงแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศของหน่วยงานของรัฐ ซึ่งได้ประกาศในราชกิจจานุเบกษาแล้ว เมื่อวันที่ 23 มิถุนายน 2553 เล่มที่ 127 ตอนพิเศษ 78 ง หน้า 131 – 138 ซึ่งท่านผู้อ่านสามารถดูได้จากเว็บไซต์ http://www.ratchakitcha.soc.go.th/DATA/PDF/2553/E/078/131.PDF

อย่างไรก็ดี เพื่อความสะดวกของผู้อ่านบางท่าน ผมขอนำเสนอข้อมูลมาให้ท่านเข้าใจด้วยการอ่านจากประกาศดังต่อไปนี้ได้เลยครับ

เล่ม ๑๒๗ ตอนพิเศษ ๗๘ ง ราชกิจจานุเบกษา ๒๓ มิถุนายน ๒๕๕๓

ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์
เรื่อง แนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ ของหน่วยงานของรัฐ พ.ศ. ๒๕๕๓

ด้วยปัญหาด้านการรักษาความมั่นคงปลอดภัยให้กับสารสนเทศมีความรุนแรงเพิ่มขึ้นทั้งในประเทศ และต่างประเทศ อีกทั้งยังมีแนวโน้มที่จะส่งผลกระทบต่อภาครัฐ และภาคธุรกิจมากขึ้น ทำให้ผู้ประกอบการ ตลอดจนองค์กร ภาครัฐ และภาคเอกชน ที่มีการดำเนินงานใด ๆ ในรูปของข้อมูลอิเล็กทรอนิกส์ผ่านระบบสารสนเทศขององค์กร ขาดความเชื่อมั่นต่อการทำธุรกรรมทางอิเล็กทรอนิกส์ในทุกรูปแบบ ประกอบกับคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ตระหนักถึงความจำเป็นที่จะส่งเสริมและผลักดัน ให้ประเทศสามารถยกระดับการแข่งขันกับประเทศอื่น ๆ โดยการนำระบบสารสนเทศและการสื่อสาร มาประยุกต์ใช้ประกอบการทำธุรกรรมทางอิเล็กทรอนิกส์อย่างแพร่หลาย

จึงเห็นความสำคัญที่จะนำกฎหมาย ข้อบังคับต่าง ๆ มาบังคับใช้กับการทำธุรกรรมทางอิเล็กทรอนิกส์ ทั้งในส่วนที่ต้องกระทำ และในส่วนที่ต้องงดเว้นการกระทำ เพื่อช่วยให้การทำธุรกรรมทางอิเล็กทรอนิกส์ของหน่วยงานของรัฐมีความมั่นคงปลอดภัย และมีความน่าเชื่อถือ เพื่อให้การดำเนินการใด ๆ ด้วยวิธีการทางอิเล็กทรอนิกส์กับหน่วยงานของรัฐ หรือโดยหน่วยงานของรัฐมีความมั่นคงปลอดภัยและเชื่อถือได้ ตลอดจนมีมาตรฐานเป็นที่ยอมรับในระดับสากล

คณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ จึงเห็นควรกำหนดแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศของหน่วยงานของรัฐ อาศัยอำนาจตามความในมาตรา ๕ มาตรา ๗ และมาตรา ๘ แห่งพระราชกฤษฎีกากำหนดหลักเกณฑ์และวิธีการในการทำธุรกรรมทางอิเล็กทรอนิกส์ภาครัฐ พ.ศ. ๒๕๔๙ คณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ จึงได้จัดทำประกาศฉบับนี้ เพื่อเป็นแนวทางเบื้องต้นให้หน่วยงานของรัฐ ใช้ในการกำหนดนโยบาย และข้อปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ ซึ่งอย่างน้อยต้องประกอบด้วยสาระสำคัญ ดังต่อไปนี้

ข้อ ๑ ในประกาศนี้
(๑) ผู้ใช้งาน หมายความว่า ข้าราชการ เจ้าหน้าที่ พนักงานของรัฐ ลูกจ้าง ผู้ดูแลระบบ ผู้บริหารขององค์กร ผู้รับบริการ ผู้ใช้งานทั่วไป
(๒) สิทธิของผู้ใช้งาน หมายความว่า สิทธิทั่วไป สิทธิจำเพาะ สิทธิพิเศษ และสิทธิอื่นใดที่เกี่ยวข้องกับระบบสารสนเทศของหน่วยงาน
(๓) สินทรัพย์ (asset) หมายความว่า สิ่งใดก็ตามที่มีคุณค่าสำหรับองค์กร
(๔) การเข้าถึงหรือควบคุมการใช้งานสารสนเทศ หมายความว่า การอนุญาต การกำหนดสิทธิ หรือการมอบอำนาจให้ผู้ใช้งาน เข้าถึงหรือใช้งานเครือข่ายหรือระบบสารสนเทศ ทั้งทางอิเล็กทรอนิกส์และทางกายภาพ รวมทั้งการอนุญาตเช่นว่านั้น สำหรับบุคคลภายนอก ตลอดจนอาจกำหนดข้อปฏิบัติเกี่ยวกับการเข้าถึงโดยมิชอบเอาไว้ด้วยก็ได้
(๕) ความมั่นคงปลอดภัยด้านสารสนเทศ (information security) หมายความว่า การธำรงไว้ซึ่งความลับ (confidentiality) ความถูกต้องครบถ้วน (integrity) และสภาพพร้อมใช้งาน (availability) ของสารสนเทศ รวมทั้งคุณสมบัติอื่น ได้แก่ความถูกต้องแท้จริง (authenticity) ความรับผิด (accountability) การห้ามปฏิเสธความรับผิด (non-repudiation) และความน่าเชื่อถือ (reliability)
(๖) เหตุการณ์ด้านความมั่นคงปลอดภัย (information security event) หมายความว่า กรณีที่ระบุการเกิดเหตุการณ์ สภาพของบริการ หรือเครือข่ายที่แสดงให้เห็นความเป็นไปได้ ที่จะเกิดการฝ่าฝืนนโยบายด้านความมั่นคงปลอดภัย หรือมาตรการป้องกันที่ล้มเหลว หรือเหตุการณ์อันไม่อาจรู้ได้ว่าอาจเกี่ยวข้องกับความมั่นคงปลอดภัย
(๗) สถานการณ์ด้านความมั่นคงปลอดภัยที่ไม่พึงประสงค์หรือไม่อาจคาดคิด (information security incident) หมายความว่า สถานการณ์ด้านความมั่นคงปลอดภัยที่ไม่พึงประสงค์หรือไม่อาจคาดคิด (unwanted or unexpected) ซึ่งอาจทำให้ระบบขององค์กรถูกบุกรุกหรือโจมตี และความมั่นคงปลอดภัยถูกคุกคาม

ข้อ ๒ หน่วยงานของรัฐ ต้องจัดให้มีนโยบายในการรักษาความมั่นคงปลอดภัย ด้านสารสนเทศของหน่วยงานเป็นลายลักษณ์อักษร ซึ่งอย่างน้อยต้องประกอบด้วยเนื้อหา ดังต่อไปนี้
(๑) การเข้าถึงหรือควบคุมการใช้งานสารสนเทศ
(๒) จัดให้มีระบบสารสนเทศและระบบสำรองของสารสนเทศซึ่งอยู่ในสภาพพร้อมใช้งาน และจัดทำ แผนเตรียมความพร้อมกรณีฉุกเฉินในกรณีที่ไม่สามารถดำ เนินการด้วยวิธีการทางอิเล็กทรอนิกส์ เพื่อให้สามารถใช้งานสารสนเทศได้ตามปกติอย่างต่อเนื่อง
(๓) การตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศอย่างสม่ำเสมอ

ข้อ ๓ หน่วยงานของรัฐต้องจัดให้มีข้อปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศของหน่วยงาน ซึ่งอย่างน้อยต้องประกอบด้วยกระบวนการ ดังต่อไปนี้
(๑) หน่วยงานของรัฐต้องจัดทำข้อปฏิบัติที่สอดคล้องกับนโยบายการรักษาความมั่นคงปลอดภัยด้านสารสนเทศของหน่วยงาน
(๒) หน่วยงานของรัฐต้องประกาศนโยบายและข้อปฏิบัติดังกล่าว ให้ผู้เกี่ยวข้องทั้งหมดทราบ เพื่อให้สามารถเข้าถึง เข้าใจ และปฏิบัติตามนโยบายและข้อปฏิบัติได้
(๓) หน่วยงานของรัฐต้องกำหนดผู้รับผิดชอบตามนโยบายและข้อปฏิบัติดังกล่าวให้ชัดเจน
(๔) หน่วยงานของรัฐต้องทบทวนปรับปรุงนโยบายและข้อปฏิบัติให้เป็นปัจจุบันอยู่เสมอ

ข้อ ๔ ข้อปฏิบัติในด้านการรักษาความมั่นคงปลอดภัย ต้องมีเนื้อหาอย่างน้อยครอบคลุม ตามข้อ ๕ – ๑๕

ข้อ ๕ ให้มีข้อกำหนดการเข้าถึงและควบคุมการใช้งานสารสนเทศ (access control) ซึ่งต้องมีเนื้อหาอย่างน้อย ดังนี้
(๑) หน่วยงานของรัฐต้องมีการควบคุมการเข้าถึงข้อมูลและอุปกรณ์ในการประมวลผลข้อมูล โดยคำนึงถึงการใช้งานและความมั่นคงปลอดภัย
(๒) ในการกำหนดกฎเกณฑ์เกี่ยวกับการอนุญาตให้เข้าถึง ต้องกำหนดตามนโยบายที่เกี่ยวข้องกับการอนุญาต การกำหนดสิทธิ หรือการมอบอำนาจของหน่วยงานของรัฐนั้น ๆ
(๓) หน่วยงานของรัฐต้องกำหนดเกี่ยวกับประเภทของข้อมูล ลำดับความสำคัญ หรือลำดับชั้นความลับของข้อมูล รวมทั้งระดับชั้นการเข้าถึง เวลาที่ได้เข้าถึง และช่องทางการเข้าถึง

ข้อ ๖ ให้มีข้อกำหนดการใช้งานตามภารกิจเพื่อควบคุมการเข้าถึงสารสนเทศ (business requirements for access control) โดยแบ่งการจัดทำข้อปฏิบัติเป็น ๒ ส่วนคือ การควบคุมการเข้าถึงสารสนเทศ และการปรับปรุงให้สอดคล้องกับข้อกำหนดการใช้งาน ตามภารกิจและข้อกำหนดด้านความมั่นคงปลอดภัย

ข้อ ๗ ให้มีการบริหารจัดการการเข้าถึงของผู้ใช้งาน (user access management) เพื่อควบคุมการเข้าถึงระบบสารสนเทศ เฉพาะผู้ที่ได้รับอนุญาตแล้ว และผ่านการฝึกอบรม หลักสูตรการสร้างความตระหนักเรื่องความมั่นคงปลอดภัยสารสนเทศ (information security awareness training) เพื่อป้องกันการเข้าถึงจากผู้ซึ่งไม่ได้รับอนุญาต โดยต้องมีเนื้อหาอย่างน้อย ดังนี้
(๑) สร้างความรู้ความเข้าใจให้กับผู้ใช้งาน เพื่อให้เกิดความตระหนัก ความเข้าใจถึงภัย และผลกระทบที่เกิดจากการใช้งานระบบสารสนเทศโดยไม่ระมัดระวังหรือรู้เท่าไม่ถึงการณ์ รวมถึงกำหนดให้มีมาตรการเชิงป้องกันตามความเหมาะสม
(๒) การลงทะเบียนผู้ใช้งาน (user registration) ต้องกำหนดให้มีขั้นตอนทางปฏิบัติสำหรับการลงทะเบียนผู้ใช้งาน เมื่อมีการอนุญาตให้เข้าถึงระบบสารสนเทศ และการตัดออกจากทะเบียนของผู้ใช้งานเมื่อมีการยกเลิกเพิกถอนการอนุญาตดังกล่าว
(๓) การบริหารจัดการสิทธิของผู้ใช้งาน (user management) ต้องจัดให้มีการควบคุม และจำกัดสิทธิเพื่อเข้าถึง และใช้งานระบบสารสนเทศแต่ละชนิดตามความเหมาะสม ทั้งนี้รวมถึงสิทธิจำเพาะสิทธิพิเศษ และสิทธิอื่น ๆ ที่เกี่ยวข้องกับการเข้าถึง
(๔) การบริหารจัดการรหัสผ่านสำหรับผู้ใช้งาน (user password management) ต้องจัดให้มีกระบวนการบริหารจัดการรหัสผ่านสำหรับผู้ใช้งานอย่างรัดกุม
(๕) การทบทวนสิทธิการเข้าถึงของผู้ใช้งาน (review of user access rights) ต้องจัดให้มีกระบวนการทบทวนสิทธิการเข้าถึงของผู้ใช้งานระบบสารสนเทศ ตามระยะเวลาที่กำหนดไว้

ข้อ ๘ ให้มีการกำหนดหน้าที่ความรับผิดชอบของผู้ใช้งาน (user responsibilities) เพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต การเปิดเผย การล่วงรู้ หรือการลักลอบทำสำเนาข้อมูลสารสนเทศ และการลักขโมยอุปกรณ์ประมวลผลสารสนเทศ โดยต้องมีเนื้อหาอย่างน้อย ดังนี้
(๑) การใช้งานรหัสผ่าน (password use) ต้องกำหนดแนวปฏิบัติที่ดีสำหรับผู้ใช้งานในการกำหนดรหัสผ่าน การใช้งานรหัสผ่าน และการเปลี่ยนรหัสผ่านที่มีคุณภาพ
(๒) การป้องกันอุปกรณ์ในขณะที่ไม่มีผู้ใช้งานที่อุปกรณ์ ต้องกำหนดข้อปฏิบัติที่เหมาะสม เพื่อป้องกันไม่ให้ผู้ไม่มีสิทธิสามารถเข้าถึงอุปกรณ์ของหน่วยงานในขณะที่ไม่มีผู้ดูแล
(๓) การควบคุมสินทรัพย์สารสนเทศและการใช้งานระบบคอมพิวเตอร์ (clear desk and clear screen policy) ต้องควบคุมไม่ให้สินทรัพย์สารสนเทศ เช่น เอกสาร สื่อบันทึกข้อมูลคอมพิวเตอร์ หรือสารสนเทศ อยู่ในภาวะซึ่งเสี่ยงต่อการเข้าถึง โดยผู้ซึ่งไม่มีสิทธิ และต้องกำหนดให้ผู้ใช้งานออกจากระบบสารสนเทศเมื่อว่างเว้นจากการใช้งาน
(๔) ผู้ใช้งานอาจนำการเข้ารหัส มาใช้กับข้อมูลที่เป็นความลับ โดยให้ปฏิบัติตามระเบียบการรักษาความลับทางราชการ พ.ศ. ๒๕๔๔

ข้อ ๙ ให้มีการควบคุมการเข้าถึงเครือข่าย (network access control) เพื่อป้องกันการเข้าถึงบริการทางเครือข่ายโดยไม่ได้รับอนุญาต โดยต้องมีเนื้อหาอย่างน้อย ดังนี้
(๑) การใช้งานบริการเครือข่าย ต้องกำหนดให้ผู้ใช้งานสามารถเข้าถึงระบบสารสนเทศ ได้แต่เพียงบริการที่ได้รับอนุญาตให้เข้าถึงเท่านั้น
(๒) การยืนยันตัวบุคคลสำหรับผู้ใช้ที่อยู่ภายนอกองค์กร (user authentication for external connections) ต้องกำหนดให้มีการยืนยันตัวบุคคล ก่อนที่จะอนุญาตให้ผู้ใช้ที่อยู่ภายนอกองค์กร สามารถเข้าใช้งานเครือข่ายและระบบสารสนเทศขององค์กรได้
(๓) การระบุอุปกรณ์บนเครือข่าย (equipment identification in networks) ต้องมีวิธีการที่สามารถระบุอุปกรณ์บนเครือข่ายได้ และควรใช้การระบุอุปกรณ์บนเครือข่ายเป็นการยืนยัน
(๔) การป้องกันพอร์ตที่ใช้สำหรับตรวจสอบและปรับแต่งระบบ (remote diagnostic and configuration port protection) ต้องควบคุมการเข้าถึงพอร์ตที่ใช้สำหรับตรวจสอบ และปรับแต่งระบบ ทั้งการเข้าถึงทางกายภาพและทางเครือข่าย
(๕) การแบ่งแยกเครือข่าย (segregation in networks) ต้องทำการแบ่งแยกเครือข่ายตามกลุ่มของบริการสารสนเทศ กลุ่มผู้ใช้งาน และกลุ่มของระบบสารสนเทศ
(๖) การควบคุมการเชื่อมต่อทางเครือข่าย (network connection control) ต้องควบคุมการเข้าถึง หรือใช้งานเครือข่ายที่มีการใช้ร่วมกัน หรือเชื่อมต่อระหว่างหน่วยงานให้สอดคล้องกับข้อปฏิบัติการควบคุมการเข้าถึง
(๗) การควบคุมการจัดเส้นทางบนเครือข่าย (network routing control) ต้องควบคุมการจัดเส้นทางบนเครือข่าย เพื่อให้การเชื่อมต่อของคอมพิวเตอร์ และการส่งผ่าน หรือไหลเวียนของข้อมูล หรือสารสนเทศสอดคล้องกับข้อปฏิบัติการควบคุมการเข้าถึง หรือการประยุกต์ใช้งานตามภารกิจ

ข้อ ๑๐ ให้มีการควบคุมการเข้าถึงระบบปฏิบัติการ (operating system access control) เพื่อป้องกันการเข้าถึงระบบปฏิบัติการโดยไม่ได้รับอนุญาต โดยต้องมีเนื้อหาอย่างน้อย ดังนี้
(๑) การกำหนดขั้นตอนปฏิบัติเพื่อการเข้าใช้งานที่มั่นคงปลอดภัย การเข้าถึงระบบปฏิบัติการ จะต้องควบคุมโดยวิธีการยืนยันตัวตนที่มั่นคงปลอดภัย
(๒) การระบุและยืนยันตัวตนของผู้ใช้งาน (user identification and authentication) ต้องกำหนดให้ผู้ใช้งาน มีข้อมูลเฉพาะเจาะจงซึ่งสามารถระบุตัวตนของผู้ใช้งาน และเลือกใช้ขั้นตอนทางเทคนิค ในการยืนยันตัวตนที่เหมาะสม เพื่อรองรับการกล่าวอ้างว่าเป็นผู้ใช้งานที่ระบุถึง
(๓) การบริหารจัดการรหัสผ่าน (password management system) ต้องจัดทำหรือจัดให้มีระบบบริหารจัดการรหัสผ่าน ที่สามารถทำงานเชิงโต้ตอบ (interactive) หรือมีการทำงานในลักษณะอัตโนมัติ ซึ่งเอื้อต่อการกำหนดรหัสผ่านที่มีคุณภาพ
(๔) การใช้งานโปรแกรมอรรถประโยชน์ (use of system utilities) ควรจำกัดและควบคุมการใช้งานโปรแกรมประเภทอรรถประโยชน์ เพื่อป้องกันการละเมิด หรือหลีกเลี่ยงมาตรการความมั่นคงปลอดภัยที่ได้กำหนดไว้ หรือที่มีอยู่แล้ว
(๕) เมื่อมีการว่างเว้นจากการใช้งานในระยะเวลาหนึ่ง ให้ยุติการใช้งานระบบสารสนเทศนั้น (session time-out)
(๖) การจำกัดระยะเวลาการเชื่อมต่อระบบสารสนเทศ (limitation of connection time) ต้องจำกัดระยะเวลาในการเชื่อมต่อ เพื่อให้มีความมั่นคงปลอดภัยมากยิ่งขึ้นสำหรับระบบสารสนเทศ หรือแอพพลิเคชั่นที่มีความเสี่ยง หรือมีความสำคัญสูง

ข้อ ๑๑ ให้มีการควบคุมการเข้าถึงโปรแกรมประยุกต์ หรือแอพพลิเคชั่นและสารสนเทศ (application and information access control) โดยต้องมีการควบคุม ดังนี้
(๑) การจำกัดการเข้าถึงสารสนเทศ (information access restriction) ต้องจำกัดหรือควบคุมการเข้าถึง หรือเข้าใช้งานของผู้ใช้งาน และบุคลากรฝ่ายสนับสนุนการเข้าใช้งานในการเข้าถึงสารสนเทศ และฟังก์ชัน (functions) ต่าง ๆ ของโปรแกรมประยุกต์ หรือแอพพลิเคชั่น ทั้งนี้โดยให้สอดคล้องตามนโยบายควบคุมการเข้าถึงสารสนเทศที่ได้กำหนดไว้
(๒) ระบบซึ่งไวต่อการรบกวน มีผลกระทบและมีความสำคัญสูงต่อองค์กร ต้องได้รับการแยกออกจากระบบอื่น ๆ และมีการควบคุมสภาพแวดล้อมของตนเองโดยเฉพาะ ให้มีการควบคุมอุปกรณ์คอมพิวเตอร์ และสื่อสารเคลื่อนที่ และการปฏิบัติงานจากภายนอกองค์กร (mobile computing and teleworking)
(๓) การควบคุมอุปกรณ์คอมพิวเตอร์และสื่อสารเคลื่อนที่ ต้องกำหนดข้อปฏิบัติและมาตรการที่เหมาะสม เพื่อปกป้องสารสนเทศจากความเสี่ยงของการใช้อุปกรณ์คอมพิวเตอร์และสื่อสารเคลื่อนที่
(๔) การปฏิบัติงานจากภายนอกสำนักงาน (teleworking) ต้องกำหนดข้อปฏิบัติ แผนงาน และขั้นตอนปฏิบัติ เพื่อปรับใช้สำหรับการปฏิบัติงานขององค์กรจากภายนอกสำนักงาน

ข้อ ๑๒ หน่วยงานของรัฐที่มีระบบสารสนเทศต้องจัดทำระบบสำรอง ตามแนวทางต่อไปนี้
(๑) ต้องพิจารณาคัดเลือกและจัดทำระบบสำรองที่เหมาะสม ให้อยู่ในสภาพพร้อมใช้งานที่เหมาะสม
(๒) ต้องจัดทำแผนเตรียมความพร้อม กรณีฉุกเฉินในกรณีที่ไม่สามารถดำเนินการด้วยวิธีการทางอิเล็กทรอนิกส์ เพื่อให้สามารถใช้งานสารสนเทศได้ตามปกติอย่างต่อเนื่อง โดยต้องปรับปรุงแผนเตรียมความพร้อมกรณีฉุกเฉินดังกล่าว ให้สามารถปรับใช้ได้อย่างเหมาะสมและสอดคล้องกับการใช้งานตามภารกิจ
(๓) ต้องมีการกำหนดหน้าที่และความรับผิดชอบของบุคลากร ซึ่งดูแลรับผิดชอบระบบสารสนเทศ ระบบสำรอง และการจัดทำแผนเตรียมพร้อมกรณีฉุกเฉินในกรณีที่ไม่สามารถดำเนินการด้วยวิธีการทางอิเล็กทรอนิกส์
(๔) ต้องมีการทดสอบสภาพพร้อมใช้งานของระบบสารสนเทศ ระบบสำรองและระบบแผนเตรียมพร้อมกรณีฉุกเฉินอย่างสม่ำเสมอ
(๕) สำหรับความถี่ของการปฏิบัติในแต่ละข้อ ควรมีการปฏิบัติที่เพียงพอต่อสภาพความเสี่ยงที่ยอมรับได้ของแต่ละหน่วยงาน

ข้อ ๑๓ หน่วยงานของรัฐต้องจัดให้มีการตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศ โดยต้องมีเนื้อหาอย่างน้อย ดังนี้
(๑) หน่วยงานของรัฐต้องจัดให้มีการตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศที่อาจเกิดขึ้นกับระบบสารสนเทศ (information security audit and assessment) อย่างน้อยปีละ ๑ ครั้ง
(๒) ในการตรวจสอบและประเมินความเสี่ยงจะต้องดำเนินการ โดยผู้ตรวจสอบภายในหน่วยงานของรัฐ (internal auditor) หรือโดยผู้ตรวจสอบอิสระด้านความมั่นคงปลอดภัยจากภายนอก (external auditor) เพื่อให้หน่วยงานของรัฐได้ทราบถึง ระดับความเสี่ยงและระดับความมั่นคงปลอดภัยสารสนเทศของหน่วยงาน

ข้อ ๑๔ หน่วยงานของรัฐต้องกำหนดความรับผิดชอบที่ชัดเจน กรณีระบบคอมพิวเตอร์ หรือข้อมูลสารสนเทศเกิดความเสียหาย หรืออันตรายใด ๆ แก่องค์กรหรือผู้หนึ่งผู้ใด อันเนื่องมาจากความบกพร่อง ละเลย หรือฝ่าฝืนการปฏิบัติตามแนวนโยบาย และแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ โดยกำหนดให้ผู้บริหารระดับสูง ซึ่งมีหน้าที่ดูแลรับผิดชอบด้านสารสนเทศของหน่วยงานของรัฐ เป็นผู้รับผิดชอบต่อความเสี่ยง ความเสียหาย หรืออันตรายที่เกิดขึ้น

ข้อ ๑๕ หน่วยงานของรัฐ สามารถเลือกใช้ข้อปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ ที่ต่างไปจากประกาศฉบับนี้ได้ หากแสดงให้เห็นว่า ข้อปฏิบัติที่เลือกใช้มีความเหมาะสมกว่า หรือเทียบเท่า

ข้อ ๑๖ ประกาศนี้ให้ใช้บังคับตั้งแต่วันถัดจากวันประกาศในราชกิจจานุเบกษาเป็นต้นไป

ประกาศ ณ วันที่ ๓๑ พฤษภาคม พ.ศ. ๒๕๕๓
ร้อยตรีหญิง ระนองรักษ์ สุวรรณฉวี
รัฐมนตรีว่าการกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร
ประธานกรรมการธุรกรรมทางอิเล็กทรอนิกส์

ทั้งนี้ นโยบายข้างต้นได้ประกาศในราชกิจจานุเบกษาแล้ว วันที่ 23 มิถุนายน 2553

ท่านผู้อ่านได้อ่าน แนวนโยบายและแนวปฎิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ ของหน่วยงานของรัฐที่มีผลใช้บังคับแล้วนั้น ท่านคงทราบแล้วนะว่าท่านควรจะต้องปฎิบัติอย่างไรบ้าง หากท่านยังไม่แน่ใจขอได้โปรดอ่าน คุยกับผู้เขียน ของหัวขัอนี้ในตอนที่แล้วนะครับ

ผมได้มีโอกาสไปร่วมสัมมนา “แนวนโยบายและแนวปฏฺบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ ของหน่วยงานของรัฐ” เมื่อวันพฤหัสบดีที่ 24 มิถุนายน 2553 ที่โรงแรมเจ้าพระยาปาร์ค ซึ่งสำนักงานธุรกรรมทางอิเล็กทรอนิกส์ กระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร ได้ร่วมกับคณะอนุกรรมการความมั่นคงปลอดภัย ภายใต้คณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เป็นผู้จัดขึ้น จึงมีเรื่องเล่าสู่กันฟังกับท่านผู้อ่าน โดยเฉพาะอย่างยิ่ง ผู้มีหน้าที่ในการดำเนินการและจัดการให้เป็นไปตามข้อกำหนดหลักเกณฑ์และวิธีการในการทำธุรกรรมทางอิเล็กทรอนิกส์ภาครัฐ พ.ศ. 2549 ซึ่งได้ประกาศในและลงในหนังสือราชกิจจานุเบกษา และมีผลทางปฏิบัติแล้ว

ท่านอดีตรัฐมนตรีกระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร ประธานกรรมการธุรกรรมทางอิเล็กทรอนิกส์ ร้อยตรีหญิง ระนองรักษ์ สุวรรณฉวี ได้ลงนามในประกาศ ณ วันที่ 31 พฤษภาคม 2553 ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ เรื่อง แนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ ของหน่วยงานของรัฐ พ.ศ. 2553 ซึ่งเป็นไปตาม มาตรา 5 ของพระราชกฤษฎีกากำหนดหลักเกณฑ์และวิธีการในการทำธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2549 ที่กำหนดไว้ว่า หน่วยงานของรัฐต้องจัดทำแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ เพื่อให้ดำเนินการใด ๆ ด้วยวิธีการทางอิเล็กทรอนิกส์กับหน่วยงานของรัฐ หรือโดยหน่วยงานของรัฐมีความมั่นคงปลอดภัยและเชื่อถือได้
แนวนโยบายและแนวปฏิบัติอย่างน้อยต้องประกอบด้วยเนื้อหา ดังต่อไปนี้
(๑) การเข้าถึงหรือควบคุมการใช้งานสารสนเทศ
(๒) การจัดให้มีระบบสารสนเทศและระบบสำรองของสารสนเทศซึ่งอยู่ในสภาพพร้อมใช้งาน
และจัดทำแผนเตรียมพร้อมกรณีฉุกเฉินในกรณีที่ไม่สามารถดำเนินการด้วยวิธีการทางอิเล็กทรอนิกส์ เพื่อให้สามารถใช้งานสารสนเทศได้ตามปกติอย่างต่อเนื่อง
(๓) การตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศอย่างสม่ำเสมอ

บัดนี้ หน่วยงานภาครัฐ สำนักธุรกรรมทางอิเล็กทรอนิกส์ กระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร ร่วมกับคณะอนุกรรมการความมั่นคงปลอดภัย ภายใต้คณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ ได้กำหนดแนวนโยบายและแนวปฏิบัติ ตามมาตรา 5 ในเรื่องการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ ของหน่วยงานของรัฐ เพื่อให้ครอบคลุมและกำหนดแนวทาง แนะนำในด้านการรักษาความมั่นคงปลอดภัยให้กับสารสนเทศที่มีความรุนแรงเพิ่มขึ้น ทั้งในประเทศและต่างประเทศ อีกทั้งยังมีแนวโน้มที่จะส่งผลกระทบต่อภาครัฐและภาคธุรกิจมากขึ้น ทำให้ผู้ประกอบการ ตลอดจนองค์กร ภาครัฐ และภาคเอกชนที่มีการดำเนินงานใด ๆ ในรูปของข้อมูลอิเล็กทรอนิกส์ผ่านระบบสารสนเทศขององค์กร ขาดความเชื่อมั่นต่อการทำธุรกรรมทางอิเล็กทรอนิกส์ในทุกรูปแบบ

ประกอบกับคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ได้ตระหนักถึงความจำเป็นที่จะส่งเสริมและผลักดันให้ประเทศสามารถยกระดับการแข่งขันกับประเทศอื่น ๆ โดยการนำระบบสารสนเทศและการสื่อสารมาประยุกต์ใช้ประกอบการทำธุรกรรมทางอิเล็กทรอนิกส์อย่างแพร่หลาย

จึงเห็นความสำคัญที่จะนำกฎหมาย ข้อบังคับต่าง ๆ มาบังคับใช้กับการทำธุรกรรมทางอิเล็กทรอนิกส์ ทั้งในส่วนที่ต้องกระทำ และในส่วนที่ต้องงดเว้นการกระทำ เพื่อช่วยให้การทำธุรกรรมทางอิเล็กทรอนิกส์ของหน่วยงานของรัฐ มีความมั่นคงปลอดภัย และมีความน่าเชื่อถือ

เพื่อให้ดำเนินการใด ๆ ด้วยวิธีการทางอิเล็กทรอนิกส์กับหน่วยงานของรัฐ หรือโดยหน่วยงานของรัฐ มีความมั่นคงปลอดภัยและเชื่อถือได้ และมีมาตรฐานเป็นที่ยอมรับในระดับสากล คณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ จึงได้กำหนดแนวนโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศของหน่วยงานของรัฐ โดยอาศัยอำนาจตามความในมาตรา 5 มาตรา 7 และมาตรา 8 แห่งพระราชกฤษฎีกากำหนดหลักเกณฑ์และวิธีการในการทำธุรกรรมทางอิเล็กทรอนิกส์ภาครัฐ พ.ศ. 2549 คณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ จึงได้จัดทำประกาศฉบับดังกล่าวขึ้น เพื่อเป็นแนวทางเบื้องต้นให้หน่วยงานของรัฐใช้ในการกำหนดนโยบาย และข้อปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ

รายละเอียดของประกาศนี้อาจติดตามได้จาก สำนักธุรกรรมทางอิเล็กทรอนิกส์ ของกระทรวง ICT ซึ่งหน่วยงานของรัฐจะต้องดำเนินการไม่ต่ำกว่าสาระสำคัญของประกาศนี้โดยทุกข้อ

ทั้งนี้ หน่วยงานของรัฐ ควรจะทำการประเมินตนเอง (Self Assesstment) ว่า หน่วยงานของตนมี
1. นโยบายและแนวปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ ตามมาตรา 5 ของ พรก.กำหนดหลักเกณฑ์และวิธีการในการทำธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2549 แล้วหรือยัง

2. ถ้ามีแล้ว ก็ควรพิจารณาทบทวนความสอดคล้อง และแนวปฏิบัติฯ กับประกาศของคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ ตามข้อ 1.

3. ถ้าไม่มี หน่วยงานของรัฐก็ต้องจัดให้มีขึ้น เพื่อให้เป็นไปตามข้อ 1. และ ข้อ 2.

4. ประกาศเรื่องแนวนโยบายฯ ดังกล่าวนี้ เป็นนโยบายและข้อปฏิบัติในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศขั้นต่ำ ซึ่งพิจารณาว่าเป็นพื้นฐานที่ทุกหน่วยงานของรัฐจะต้องดำเนินการให้ครบถ้วน

5. มาตรการในการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ ตามมาตรฐานสากล มี 11 หัวข้อหลัก แต่ประกาศของคณะกรรมการในครั้งนี้ ซึ่งดำเนินการตามมาตรา 5 นั้น ได้กำหนดขั้นต่ำไว้เพียง 3 หัวข้อ ดังนั้น ผมมีความเห็นส่วนตัวว่า หน่วยงานที่มีความสำคัญยิ่งยวดของหน่วยงานภาครัฐ อาจต้องเพิ่มมาตรการที่เกี่ยวข้องกับการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ ให้เพิ่มขึ้นจากประกาศนี้ได้ และสมควรจะต้องดำเนินการด้วย

6. แม้ประกาศของคณะกรรมการฯ จะมีเพียง 3 ข้อ การปฏิบัติให้เป็นไปตามแนวนโยบายที่เป็นรูปธรรมที่แท้จริง ยังต้องการความเอาใจใส่อย่างยิ่งยวดของผู้บริหารระดับสูง ที่ต้องติดตามการบริหารงานให้เป็นไปตามนโยบาย และแนวปฏิบัตินี้อย่างเคร่งครัด

มีความเป็นไปได้ค่อนข้างมากว่า ในอนาคตหน่วยงานกำกับภาครัฐที่เกี่ยวข้อง จะมีการประสานงานกันอย่างใกล้ชิด ในเรื่องการปฏิบัติและการรักษาความมั่นคงปลอดภัยด้านสารสนเทศ ซึ่งนับวันจะมีความสำคัญเพิ่มขึ้นอย่างรวดเร็ว และมีผลกระทบต่อความเชื่อมั่น ความเชื่อถือในการบริหารการจัดการของแต่ละองค์กร และมีผลทางด้านการเพิ่มประสิทธิผล และประสิทธิภาพอย่างมีนัยสำคัญของผู้มีผลประโยชน์ร่วมทุกฝ่าย และเป็นการขับเคลื่อนวัตถุประสงค์หลัก ให้เป็นไปตามพระราชกฤษฎีกา กำหนดหลักเกณฑ์และวิธีการในการทำธุรกรรมทางอิเล็กทรอนิกส์ พ.ศ. 2549

อนึ่ง เมื่อหน่วยงานของรัฐ ได้จัดทำตามแนวนโยบายและแนวปฏิบัติฯ ตามที่กล่าวข้างต้นแล้ว จะต้องส่งแนวทางดังกล่าวไปให้คณะอนุกรรมการความมั่นคงปลอดภัย ภายใต้คณะกรรมการธุรกรรมทางอิเล็กทรอนิกส์ สำนักธุรกรรมทางอิเล็กทรอนิกส์ กระทรวงเทคโนโลยีสารสนเทศและการสื่อสาร เพื่อพิจารณาว่าแนวนโยบายที่หน่วยงานของรัฐได้ร่างเพื่อดำเนินการนั้น สอดคล้องกับการกำหนดแนวทางดังกล่าวนี้ของกระทรวง ICT ต่อไปด้วย

ผมจะได้นำรายละเอียดตามประกาศของคณะกรรมการฯ ไว้ในตอนต่อ ๆ ไป หรือท่านที่สนใจอาจจะติดตามดูรายละเอียดได้จาก สำนักธุรกรรมทางอิเล็กทรอนิกส์ กระทรวงเทคโนโลยีสารสนเทศและการสื่อสารนะครับ

จากการสัมภาษณ์ต่อผู้สื่อข่าวของ ดร. วรเจตน์ ภาคีรัตน์ ในครั้งที่แล้ว ที่ผมได้นำมาจาก หนังสือพิมพ์ประชาชาติธุรกิจ ฉบับวันจันทร์ที่ 22 – วันพุธที่ 24 มีนาคม 2553 ให้ท่านผู้อ่านร่วมด้วยช่วยกันคิด เพื่อให้เกิดสังคมแห่งการเรียนรู้ในต่างมุมมองที่เป็นเรื่องสร้างสรร ที่อาจก่อให้เกิดคุณค่าของการมองต่างมุมโดยรวมที่เป็นวัตถุประสงค์หลักของ http://www.itgthailand.com ซึ่งได้นำข้อความทั้งหมดตามที่ได้กล่าวข้างต้นมาให้ท่านผู้อ่านได้ใช้ดุลยพินิจในมุมมองต่าง ๆ โดยไม่ได้ตัดทอนเพื่อการศึกษา และการพัฒนาแนวความคิดตามหัวข้อเรื่องข้างต้น ทั้งนี้ ขอให้ผู้อ่านใช้วิจารณญาณจากการอ่านบทสัมภาษณ์ดังต่อไปนี้ซึ่งเป็นตอนจบนะครับ

อาจารย์จะภูมิใจหรือเสียใจ ถ้าบทวิเคราะห์ 32 หน้าของอาจารย์ปรากฎอยู่ในคำอุทธรณ์ของคุณทักษิณ? (ถามโดยผู้สื่อข่าว)

ไม่เป็นปัญหาของผมเลย… ไม่เกี่ยวอะไรกับผม ผมไม่ได้ยุ่งกับคดีนี้ตั้งแต่แรก ไม่เคยเกี่ยวข้อง เหมือนกับเรื่องอื่น ๆ ที่ผมทำให้กับสังคม

ความมุ่งหมายของผมมีอย่างเดียวคือ ผมต้องการให้สังคมเห็นอีกมุมหนึ่ง ซึ่งไม่มีการพูดกัน เอาความรู้มาเถียงกัน ผมไม่อยากให้สังคมถูกพัดพาไปโดยกระแสในด้านเดียวเท่านั้นเอง และผมคิดว่าความจริงคือความจริง ความรู้คือความรู้ ไม่อยากให้ใช้ความเชื่อ ไม่อยากให้ใช้อคติมาก เพราะใช้มาเยอะแล้ว ซึ่งผมพูดในเชิงกฎหมาย ไม่ได้สนับสนุนความชอบธรรมอะไรให้คุณทักษิณ

เพราะเรื่องทางการเมืองต้องประเมินอีกอย่างหนึ่ง มีเกณฑ์อีกแบบหนึ่ง เป็นคนละเกณฑ์กัน แต่นี่เรากำลังจะเอา 2 เกณฑ์มาเป็นเรื่องเดียวกัน

ไม่ใช่เรื่องที่ผมภูมิใจหรือไม่ภูมิใจ และมีคนถามว่า นี่ผมช่วยคุณทักษิณหรือ? แล้วผมเกี่ยวอะไรกับคุณทักษิณ ผมขอบอกว่า ถ้าจะดูช่วยไปดูที่เนื้อหา สังเกตไหมว่าแถลงการณ์เที่ยวนี้ เราพูดเรื่องรัฐประหารน้อยนะ ทั้งที่เป็นประเด็นใหญ่สุด เพราะเป็นต้นสายของทุกอย่างที่ตามมันควรจะใช้ไม่ได้โดยนัย แต่ที่พูดตรงนี้น้อยเพราะเราต้องการให้ดูเรื่องเนื้อหา เพราะมีการพูดกันว่า อย่าไปเถียงเรื่องรัฐประหารและเอาเป็นว่า ถ้าเข้าสู่ระบบปกติมันผิดไหม คุณลืมเรื่องรัฐประหารไปเลยก็ได้ ผมไม่อยากให้ทุกคนคิดว่าเป็นเรื่องเทคนิค คิดว่ายุ่งยากซับซ้อนแล้วเชื่อ ๆ ตาม ๆ กันไป

ในตอนที่ทักษิณมีอำนาจก็อาจสั่งการโดยไม่ปรากฎหลักฐาน เป็นสิ่งที่อธิบายไม่ได้ เพราะทุกอย่างถูกควบคุมโดยทักษิณที่วางคนของตัวเองเอาไว้หมด แล้วอาจารย์อาจจะมองไม่เห็น?

ผมคิดว่าความคิดแบบนี้อันตราย ถ้าเราใช้ “ความเชื่อ” ลงโทษคน จะเกิดอะไรขึ้น เช่น เชื่อว่าคนขี้ยาฆ่าข่มขืนผู้หญิงคนหนึ่ง แต่ความจริงเขาอาจจะไม่ได้ทำ แต่คนเชื่อว่ามันฆ่าข่มขืนก็ให้ประหารชีวิตมันไป

ผมเชื่อในมุมนี้ ไม่ได้ไปสร้างความชอบธรรมให้คุณทักษิณ แต่อยากจะบอกแบบนี้ว่า ภายใต้การต่อสู้ทางการเมืองที่มีกลุ่มผลประโยชน์ทางการเมืองจำนวนมากเข้าร่วมวงต่อสู้ กลุ่มผลประโยชน์ทุกกลุ่มต่างต้องการช่วงชิงชัยชนะให้กับตัวเอง ซึ่งทำได้หลายวิธี เช่น การโฆษณาชวนเชื่อ การให้ข้อมูลด้านเดียว ต่าง ๆ เหล่านี้ทำกันมา คนคนหนึ่งอาจจะทำ 5 เปอร์เซ็นต์ แต่ผลของการโฆษณาชวนเชื่อ อาจจะทำให้คนเชื่อว่าไอ้หมอนี่ทำ 90 เปอร์เซ็นต์ แต่ความเชื่อนั้นใช้ไม่ได้ในทางกฎหมาย

ถ้าคุณจะเชื่ออย่างไรนั้นค่อยไปว่ากันทางการเมือง ถ้าคุณอยากจะยึดทรัพย์คุณทักษิณ คุณรัฐประหารล้มเขาแล้ว คุณออกประการยึดไปเลย แล้วจะเอาหลักฐานอะไรก็ทำไป ส่วนในอนาคต ถ้าคุณจะนิรโทษกรรมอะไรก็เป็นเรื่องในอนาคตข้างหน้า แต่ถ้าจะใช้กระบวนการทางกฎหมายก็ต้องเป็นเหตุผล

ผมกำลังจะบอกว่า เรากำลังเอา 2 เรื่องมาปนกัน เพราะการรัฐประหารมันเป็นเรื่องอำนาจ เป็นเรื่องปืน รถถัง มันเถื่อน เพราะมันไม่จำเป็นต้องให้เหตุผล แต่กระบวนการยุติธรรม กระบวนการตามกฎหมาย มันใช้เหตุผล มันมีหลัก ใช้ความเชื่อไม่ได้ ถ้าไม่อย่างงั้นก็ไม่ต้องเรียน ไม่อย่างงั้นผมก็ไปเรียนวิชายิงปืนสิ ผมจะมาเรียนกฎหมายทำไม และถ้าผมเชื่อว่าใครทำผิดผมก็ยิงมันเลย ถ้ามันชั่วนัก

ผมจะบอกว่าทั้ง 2 อย่างนี้ มันเหมือนน้ำกับน้ำมัน มันไปด้วยกันไม่ได้ และถ้าเอามาผสมกันมันจะสร้างความเสื่อมให้กับตัวระบบที่เราสร้างขึ้น เพราะฉะนั้นถ้าคุณจะทำอะไร คุณก็ทำไปสิ ตั้งแต่ตอนที่คุณมีปืน แล้วคุณก็ยอมรับว่ามันเป็นความเถื่อน ยอมรับว่า ทำด้วยความหวังดี เพราะว่าไอ้ระบบธรรมดามันใช้ไม่ได้ คุณก็ให้เหตุผลไป ผมจะเชื่อหรือไม่เชื่อมันเป็นเรื่องของผม แต่เมื่อเข้าสู่กลไกทางกฎหมาย เกิดระบบรัฐธรรมนูญ คุณต้องทำตามหลัก จะเอาความเชื่อมาใช้ไม่ได้ แล้วคุณรู้ได้ยังไงว่าที่เราเชื่อนั้นเป็นความเชื่อที่ถูก นี่เราอยู่ในยุคของการพิสูจน์นะครับ

ท่านผู้อ่านได้ติดตามบทสัมภาษณ์ในหนังสือพิมพ์ 2 ตอนจบของ ดร. วรเจตน์ ภาคีรัตน์ ท่านคงมีความเห็นที่อาจจะแตกต่างกัน ตามมุมมองของประสบการณ์และพื้นฐานที่แต่ละท่านมีอยู่ ซึ่งพิจารณาได้ว่าเป็นเรื่องปกติ อย่างไรก็ดี ดุลยพินิจของผู้ให้ความยุติธรรมขึ้นอยู่กับคณะผู้ตัดสินนั้นเราต้องเคารพเพราะเป็นกติกาของสังคมครับ

ความเห็นที่แตกต่างกัน โดยเฉพาะอย่างยิ่ง ไม่อิงขั้วการเมืองใด ซึ่งจะขึ้นกับความเชื่อหรือไม่เชื่อของผู้อ่านแต่ละท่านนั้น จะเป็นประโยชน์อย่างยิ่งต่อการสร้างความคิด สติปัญญา และมุมมองต่าง ๆ ที่อาจสร้างคุณค่าเพิ่มให้กับสังคมและส่วนรวมได้เป็นอย่างดี

ร่วมด้วยช่วยกันคิด เพื่อให้เกิดสังคมแห่งการเรียนรู้ในต่างมุมมองที่เป็นเรื่องสร้างสรร ที่อาจก่อให้เกิดคุณค่าของการมองต่างมุมโดยรวม

ข้อความต่อไปนี้ทั้งหมด ผมได้นำมาจาก หนังสือพิมพ์ประชาชาติธุรกิจ ฉบับวันจันทร์ที่ 22 – วันพุธที่ 24 มีนาคม 2553 ของ ดร. วรเจตน์ ภาคีรัตน์ ในหัวเรื่อง แกะปมรัฐธรรมนูญ – ไขรหัส “มั่ว” อุทธรณ์หรือฟื้นคดียึดทรัพย์ “ทักษิณ”

ผมได้อ่านการสัมภาษณ์พิเศษของผู้สื่อข่าวกับ ดร. วรเจตน์ ภาคีรัตน์ ที่ให้สัมภาษณ์แก่ผู้สื่อข่าว โดยนำข้อความทั้งหมดตามที่ได้กล่าวข้างต้นมาให้ท่านผู้อ่านได้ใช้ดุลยพินิจในมุมมองต่าง ๆ โดยไม่ได้ตัดทอนเพื่อการศึกษา และการพัฒนาแนวความคิดตามหัวข้อเรื่องข้างต้น ทั้งนี้ ขอให้ผู้อ่านใช้วิจารณญาณจากการอ่านบทสัมภาษณ์ดังต่อไปนี้นะครับ

หลังคำพิพากษาคดียึดทรัพย์ “ทักษิณ ชินวัตร” มีคนที่ต้องทำการบ้านเพิ่มไม่น้อยกว่า 5 ฝ่าย อย่างน้อยมีทนายฝ่าย “จำเลย” ที่ต้องหา “ข้อเท็จจริงใหม่” มาต่อสู้ในขั้นอุทธรณ์ อย่างน้อยก็มีองค์คณะในศาลฎีกาแผนกคดีอาญาของผู้ดำรงตำแหน่งทางการเมือง อย่างน้อยก็มีผู้บริหารรัฐวิสาหกิจ – อดีตรัฐมนตรีที่ผูกพันตามคำพิพากษา

นอกจากนี้ยังมีสำนักงานอัยการสูงสุดที่ต้องเตรียมข้อมูลฟ้องร้องกับผู้ที่เกี่ยวข้องในการกระทำความผิด จนทำให้ “จำเลย” ร่ำรวยผิดปกติ 1 ใน 5 ฝ่ายที่ทำการบ้านเพิ่มคือ นักวิชาการด้านกฎหมายที่ชื่อ “ดร. วรเจตน์ ภาคีรัตน์”

บรรทัดต่อไปนี้คือ “คำตอบ” จากการคร่ำเคร่งค้นคว้า-ความจริง-ไม่อิงขั้วการเมือง

หลังจากเข้ากระบวนการ 30 วัน ที่ศาลเปิดโอกาสให้อุทธรณ์แล้ว อาจารย์คาดหวังจะเห็นอะไร?

เรื่องนี้เป็นเรื่องที่หลายคนไม่เข้าใจ และเป็นปัญหากลไกซ่อนรูปในรัฐธรรมนูญ และนักกฎหมายหลายคนก็มองไม่เห็น เราพูดเรื่องอุทธรณ์ ว่าพอศาลฎีกาแผนกคดีอาญาของผู้ดำรงตำแหน่งทางการเมืองตัดสินแล้ว มีสิทธิอุทธรณ์ภายใน 30 วัน ไปยังที่ประชุมใหญ่ของศาลฎีกา อาจารย์หลายคนที่ร่างรัฐธรรมนูญ บางคนก็บอกว่า นี่ไงมีการประกันสิทธิเสรีภาพ เรื่องการอุทธรณ์กระบวนการนี้เป็นธรรม เพราะเปิดให้มีการอุทธรณ์ให้ถึงที่สุด แต่เรื่องนี้คนรู้น้อยมากว่าใช่การอุทธรณ์หรือไม่ ไปถามในทางสากลจากนักกฎหมายในโลกนี้ทั้งโลก จะรู้ว่าที่อยู่ในรัฐธรรมนูญ 2550 นี่มันไม่ใช่เรื่องการอุทธรณ์ แม้จะเขียนว่า “อุทธรณ์” ก็จริง แต่เนื้อหามันไม่ใช่ อันนี้มันซ่อนปมอีกอันหนึ่ง

เพราะสิ่งที่อยู่ในรัฐธรรมนูญนั้น เป็นลูกผสมระหว่างการอุทธรณ์กับการขอให้พิจารณาใหม่ หรือการรื้อฟื้นคดีขึ้นพิจารณาใหม่ มันเป็นหลักการสำคัญ ทั้ง 2 อย่างนี้ต่างกัน ยกตัวอย่างคดีอาญา มีบุคคลคนหนึ่งถูกกล่าวหาว่ากระทำความผิด ต่อมาพนักงานสอบสวนก็สอบสวนมีการส่งเรื่องไปที่อัยการ และอัยการฟ้องไปที่ศาล เมื่อมีการตัดสินคดีแล้วมีการอุทธรณ์ ฎีกาเมื่อศาลอุทธรณ์ ศาลฎีกายืน คดีถึงที่สุดที่ศาลฎีกา

ต่อมาเมื่อเขาอยู่ในคุก พบพยานหลักฐานว่าเขาไม่ใช่คนกระทำความผิด ระบบกฎหมายจะเปิดช่องให้เขา ขอให้พิจารณาใหม่ หรือว่ารื้อฟื้นคดีขึ้นพิจารณาใหม่ได้ ซึ่งการอุทธรณ์กับการพิจารณาใหม่มีความแตกต่างกัน เพราะการอุทธรณ์คือการที่คู่ความในคดี ซึ่งไม่เห็นด้วยกับคำพิพากษาของศาลในระดับล่าง โต้แย้งคำพิพากษาของศาลขึ้นไปยังศาลระดับสูง ซึ่งแน่นอนว่า สามารถอุทธรณ์ได้ในปัญหาข้อเท็จจริงและปัญหาข้อกฎหมาย หรืออาจให้อุทธรณ์เฉพาะปัญหาข้อกฎหมาย

และการอุทธรณ์คือ การเปิดโอกาสให้คู่ความได้โต้แย้งตัวคำพิพากษาของศาล โดยไม่จำเป็นต้องมีพยานหลักฐานใหม่ เพราะต้องใช้พยานหลักฐานอันเดิม แล้วอุทธรณ์ว่าศาลตีความกฎหมายไม่ถูก หรือถ้าเป็นการยอมให้อุทธรณ์ในข้อเท็จจริงได้ ในกรณีที่ศาลฟังข้อเท็จจริงผิด นี่คือการโต้แย้งทุกประเด็น หรือโต้แย้งประเด็นข้อกฎหมายทุกเรื่องขึ้นไป เรื่องว่าการอุทธรณ์

พอคดีจบแล้วถึงที่สุดแล้ว เมื่ออุทธรณ์ไม่ได้ เพราะมันจบ หลักก็คือ คำพิพากษาต้องเด็ดขาด ทีนี้เป็นไปได้ว่าคำพิพากษาอาจผิด ซึ่งระบบกฎหมายที่ยอมรับหลักความยุติธรรม เขาต้องยอมรับว่า มันเกิดความผิดพลาดได้เวลาที่ศาลมีคำพิพากษา เพราะฉะนั้นระบบกฎหมายอย่างนี้ได้รักษาไว้ซึ่งความมั่นคง แน่นอน ของคำพิพากษาของศาลซึ่งเป็นที่สุดแล้ว

แต่อีกด้านหนึ่งระบบกฎหมายก็ต้องรักษาความยุติธรรมด้วย เขาก็จะเปิดช่องเอาไว้ว่าในภายหลังที่ศาลพิพากษาถึงที่สุดแล้ว มีการพบพยานหลักฐานใหม่ว่าที่ศาลตัดสินไปนั้นไม่ถูก เขาก็จะเปิดโอกาสให้คนซึ่งต้องคำพิพากษาถึงที่สุดแล้วนั้น ยื่นคำร้องรื้อฟื้นคดีขึ้นพิจารณาใหม่ ซึ่งการรื้อฟื้นคดีขึ้นพิจารณาใหม่นี้ หลักในทางสากลคือ คดีอาจจบไปแล้วกี่ปีก็ได้ เพียงแต่ว่าถ้าคุณมีพยานหลักฐานใหม่ คุณต้องยื่นเสีย อาจจะภายใน 30 วัน เช่น คดีจบไปแล้ว 5 ปี แล้วคุณบังเอิญเห็นพยานหลักฐานอันนี้ซึ่งพิสูจน์ได้ว่าคุณไม่ผิด คุณก็นำไปยื่น ตรรกะจะเป็นแบบนี้

แต่รัฐธรรมนูญไทย 2550 ได้สร้างระบบประหลาดขึ้นมา ซึ่งผมไม่เคยเห็นมาก่อน ซึ่งอาจจะนับว่าเป็นการครีเอตของคนร่างรัฐธรรมนูญก็ได้ เขาบอกว่า คนที่ต้องคำพิพากษาของศาลฎีกาแผนกคดีอาญาของผู้ดำรงตำแหน่งทางการเมือง สามารถอุทธรณ์คำพิพากษาของศาลฎีกาฯ ไปที่ประชุมใหญ่ของศาลฎีกาได้ภายใน 30 วัน แต่ต้องปรากฎพยานหลักฐานใหม่ เพราะฉะนั้นมันจึงไม่ใช่การอุทธรณ์ในความหมายแท้ ๆ ที่ใช้ในทางกฎหมาย และก็ไม่ใช่การขอให้พิจารณาใหม่ด้วย

ที่ผมบอกว่าไม่ใช่การอุทธรณ์ เพราะว่าคุณไปบีบเขาว่าเขาต้องมีพยานหลักฐานใหม่ภายใน 30 วันนี้ คุณต้องเจอพยานหลักฐานใหม่ มันก็เลยไม่ใช่เรื่องการอุทธรณ์ เพราะการอุทธรณ์ไม่ต้องเจอพยานหลักฐานใหม่ในระบบ ขณะเดียวกันมันก็ไม่ใช่การรื้อฟื้นพิจารณาคดีใหม่ด้วย เพราะคุณไปจำกัดเขาว่าเขาต้องทำภายใน 30 วัน นับแต่วันที่ศาลพิพากษา ไม่ใช่ 30 วันนับแต่วันที่พบพยานหลักฐานใหม่ ซึ่งอาจจะผ่านไป 5 ปี 10 ปีก็ได้

การอุทธรณ์จึงมั่ว ๆ ระหว่าง 2 หลัก?

ถูกต้อง มันมั่วเลย ไม่ใช่มั่ว ๆ กันอยู่ แต่มันไม่มีหลักอะไรเลยตรงนี้ เพราะฉะนั้นเรื่องนี้เป็นเรื่องประหลาดมากในทางระบบ อันนี้ต้องอธิบายให้สาธารณชนเข้าใจ เพราะที่พูด ๆ กันอยู่นี่ไม่เข้าใจ ไม่รู้เรื่อง นี่พูดจริง ๆ หลายคนทำให้ผมดูถูกมากในทางความรู้ เพราะไม่เข้าใจประเด็นเหล่านี้แล้วพูดไป ทำให้สังคมเข้าใจผิด หลักก็เสียหมด

ประเด็นคือ ถ้าเอาตามตัวบทลายลักษณ์อักษรนี่ ทนายความของทักษิณต้องเจอหลักฐานใหม่ จึงจะสามารถอุทธรณ์ เพราะฉะนั้นมันไม่เป็นธรรมกับคนที่ถูกลงโทษ ต้องให้มีการอุทธรณ์ได้ ครั้นจะสนับสนุนให้เขาอุทธรณ์เต็มที่ คุณก็เกรงอีก ก็เลยเอาเป็นระบบมั่ว ๆ อย่างนี้มาในรัฐธรรมนูญ มันเลยเป็นปัญหา

เป็นประเด็นขอให้พิจารณาในเนื้อหา?

ใช่ ๆ เพราะเรื่องแรกที่ต้องฝ่าด่าน คือว่าอีกไม่กี่วันข้างหน้า หากไปถึงที่ประชุมใหญ่ศาลฎีกา ถ้ามีการอุทธรณ์ เขาต้องดูว่ามีพยานหลักฐานใหม่หรือไม่ ตามถ้อยคำ ตามตัวบท ซึ่งการเขียนรัฐธรรมนูญอย่างนี้ก็น่าเห็นใจคนที่เป็นผู้พิพากษาตุลาการ ในการตีความอยู่เหมือนกัน อันนี้จะไปโทษเขาไม่ได้ อันนี้เป็นปัญหาที่ต้นทางของรัฐธรรมนูญที่ออกแบบมาแบบนี้ คือออกแบบมามั่ว ๆ แบบนี้

จากคำให้สัมภาษณ์ของ ดร. วรเจตน์ ภาคีรัตน์ ในข้างต้น ท่านผู้อ่านพอจะมีข้อคิดเห็น หรือได้ข้อคิดอะไรบ้างครับ ถ้ายัง ก็โปรดติดตามจนจบก็อาจจะพบแง่คิดอะไรที่แตกต่างจากการสัมภาษณ์นี้ได้ ซึ่งผมขออนุญาตตัดตอนคำสัมภาษณ์ที่เหลือไปต่อในตอนหน้านะครับ

การบริหารในภาวะวิกฤตกับการบริหารความเสี่ยงมีความแตกต่างกันมาก ภาวะวิกฤตจะมีให้จัดการน้อย ถ้าองค์กรหรือประเทศมีการบริหารความเสี่ยงที่ดี หากหน่วยงานระดับสูงมีการบริหารความเสี่ยง ซึ่งเป็นการบริหารเชิงรุกอย่างแท้จริง และเป็นไปตามหลักการสากล ภาวะวิกฤตของประเทศที่ไม่ต้องการให้เกิดขึ้น ก็อาจถูกจัดการอย่างเป็นระบบได้ก่อนจะมีปัญหาให้แก้ไข ซึ่งอาจตามมาด้วยวิกฤตของประเทศหรือองค์กรที่เป็นปัญหาแก้ได้ยาก และเกิดความเสียหายขึ้นมาได้ในที่สุด และความเสียหายในหลายมุมมองเป็นความเสียหายที่ประเทศไม่น่ายอมรับได้ หากมีการกำหนดระดับความเสียหายที่ประเทศยอมรับได้ (Risk Appetite) เช่นเดียวกับหลักการบริหารองค์กรที่มีประสิทธิภาพ ภาวะวิกฤตจะลดน้อยลงอย่างแน่นอน ถ้าไม่มีการกำหนด Risk Appetite ก็แสดงว่ามีปัญหาที่กระบวนการบริหารและกลยุทธรวมทั้งนโยบายการบริหารที่น่าจะมีปัญหาตามมา

หากทุกฝ่ายที่เป็นกลุ่มสี(ถ้ามี)ยึดผลประโยชน์ของชาติเป็นตัวตั้ง แล้วถอยมาดูความต้องการของแต่ละฝ่ายและ กลับไปดูตัวตั้งที่ใช้เป็นโจทย์หลักคือผลประโยชน์ของชาติในระยะยาวและ ลดความเสียหาย ที่ไม่น่ายอมรับได้ผRisk Appetite)ในปัจจุบันในทุกมุมมองลงไปให้ได้ ผมมั่นใจว่าไปได้สวยนะครับ
แต่ถ้าแต่ละฝ่ายพิจารณาโจทย์จากผลประโยชน์ของกลุ่ม โดยไม่มองผลประโยชน์ระดับชาติ คงแก้ไขปัญหาได้ยากและคนไทยรวมทั้งคนต่างชาติ ที่หวังดีต่อไทยก็คงกังวลและเศร้าใจต่อไปอีกนาน นั่นหมายถึงต้นทุนของความไม่ปรองดองและความไม่เข้าใจต่อภาพรวมของที่ชาติต้องการอบย่างแท้จริง

หากเราตั้งใจจะลดความเสียหายของชาติทั้งปัจจุบันและอนาคต เราคงต้องมุ่งการแก้ไขปัญหาทุกอย่างไปในทิศทางที่ประเทศชาติเราได้ประโยชน์อย่างแท้จริงในอนาคต มากกว่าการคำนึงถึงผลประโยชน์เพียงของกลุ่มที่มีความเห็นตรงกันเท่านั้น เพราะโอกาสจะสำเร็จจะติดอยู่ที่วังวนของทัศนคติที่แตกต่างกัน การสร้างและฟื้นฟูความเชื่อมั่นของชาติจึงควรพิจารณาจากภาพใหญ่หรือผลประโยชน์สูงที่สุดของชาติเสมอ นั่นคือแก้ไขและจัดการปัญหาไปในทิศทางที่…ชาติจะได้ประโยชน์เป็นสำคัญโดยพยายามรักษากติกาของสังคมอย่างได้ดุลยภาพที่แท้จริงและพิสูจน์ได้ตามหลัก CG ที่ต้องคำนึงถึงเป้าประสงค์โดยรวมที่ประเทศไทยต้องการไปให้ถึงให้จงได้ และพิจารณาว่า มีปัจจัยใดที่เป็นอุปสรรคในการบรรลุเป้าหมายนั้น ที่เราต้องช่วยกันควบคุม จัดการความเสี่ยงให้เหมาะสม และยอมรับได้

Six Thinking Hats เป็นเทคนิคที่มีความสำคัญและมีประสิทธิภาพมาก พัฒนาโดย Edward de Bono ใช้ประโยชน์เป็นกรอบการทำงานที่คำนึงถึงความคิดหลายรูปแบบ โดยมีอุปมาอุปมัยว่า หมวกทั้งหกสี เพื่อแสดงถึงความคิดประเภทต่างๆที่แตกต่างกันไป มีประโยชน์ในการทำการประเมินตนเอง เพื่อการบริหารความเสี่ยงเพื่อการบรรลุเป้าหมายระดับต่างๆ ที่เรียกกันว่า CSA-Control Self Assessment และช่วยให้ผู้เกี่ยวข้องมีมุมมองที่กว้างขึ้นตามแต่สถานการณ์ สถานการณ์ปัจจุบันของไทยเราขณะนี้ มีแนวความคิดหลายแบบและเป็นเช่นสีของหมวกทั้งหกครับ

ดังนั้น ผู้นำของประเทศและผู้บริหารของทุกองค์กร ควรได้ทำความเข้าใจกับความคิดที่แตกต่างกันของแต่ละบุคคลและของแต่ละกลุ่ม เพื่อเชื่อมโยงความคิดที่แตกต่างนั้น นำมาสร้างคุณค่าเพิ่มให้กับองค์กรและของประเทศให้ประสบความสำเร็จตามเป้าหมายตามที่ต้องการ เช่น การพิจารณาความคิดเห็นที่แตกต่างกันของผู้ที่เกี่ยวข้องโดยใช้หลักการ หมวก 6 สี ให้เป็นประโยชน์ในการทำ Control Self Assessment – CSA ผู้ดำเนินการหรือผู้อำนวยความสะดวกที่ทำหน้าที่ด้านนี้ ก็จะสามารถสร้างคุณค่าเพิ่มให้กับองค์กรได้เป็นอย่างดี

หากองค์กรของเราขาดวิสัยทัศน์ หรือเป้าหมายในระยะยาว ที่จะพาองค์กรไปสู่ความสำเร็จตามที่ตั้งใจไว้ และหากองค์กรไม่กำหนดพันธกิจ กลยุทธ์ นโยบาย แผนการดำเนินงานที่จะก้าวไปสู่เป้าประสงค์หลักในอนาคต ผู้บริหารในองค์กรนั้น คณะกรรมการในองค์กรนั้น จะมีกระบวนการติดตามผลการดำเนินงานในแต่ละเดือน ในแต่ละไตรมาส และในแต่ละปีอย่างไร องค์กรจะกำหนดความสำเร็จ หรือปรับปรุงแก้ไข เพื่อก้าวไปสู่ความสำเร็จนั้นอย่างไร หากไม่มีตัวชี้วัดที่ชัดเจน เนื่องจากการขาดพันธกิจ และวิสัยทัศน์ที่ชัดเจน ซึ่งเปรียบเสมือนเข็มทิศที่กำหนดทิศทางในการก้าวเดินขององค์กร

ประเทศ ก็เปรียบเสมือนองค์กรขนาดใหญ่ ที่จำเป็นจะต้องมีแนวทาง และหลักการบริหารที่ต้องไม่ต่ำกว่า หลักการบริหารและการจัดการที่ดีขององค์กรโดยทั่วไป แต่มีปัญหาและความท้าทายที่มากกว่า ในเรื่องการบูรณาการ การบริหารและการจัดการในภาพโดยรวมของประเทศ เพื่อก้าวไปสู่วิสัยทัศน์ โดยต้องมีการกำหนดทิศทางที่ถูกต้องและเหมาะสม

จากภาพที่ผมนำเสนอในเรื่องความเข้มแข็งในการบริหารองค์กร และประเทศแบบบูรณาการในครั้งที่แล้ว ความสำเร็จของการบริหารประเทศความจะมีกรอบการบริหาร และการจัดการ ในลักษณะหลอมรวมเป้าประสงค์หลักของประเทศ และถ่ายทอดลงไปเป็นเป้าหมายรอง ๆ ให้กับหน่วยงานต่าง ๆ ไปดำเนินงานในเรื่องต่อไป โดยมีการสื่อสารให้ผู้บริหารทุกหน่วยงานของรัฐ รวมทั้งเอกชน ได้ทราบเป้าประสงค์ของประเทศให้ชัดเจน ทางด้านเศรษฐกิจ การเงิน ความมั่นคงทางด้านการทหาร การลงทุน +++

ปัจจุบันนี้ ผมยังไม่ได้รับการสื่อสารหรือผมยังไม่ได้รับทราบว่า ประเทศไทยของเรามีวิสัยทัศน์ในการบริหาร และขับเคลื่อนประเทศอย่างไร การบริหารทรัพยากรของชาติ เพื่อขับเคลื่อนทิศทางของประเทศ จึงน่าจะขาดความสอดคล้องกันเป็นอย่างมากได้ โดยเฉพาะอย่างยิ่ง ในเรื่องที่เกี่ยวข้องกับความมั่นคงทางด้านการเมือง เศรษฐกิจ และสังคม ตามสถานการณ์ที่เป็นอยู่ในปัจจุบัน

สำหรับการขับเคลื่อนเศรษฐกิจ และการลงทุน ก็เป็นหน้าที่ส่วนหนึ่งของสภาพัฒนาเศรษฐกิจแห่งชาติ แต่กรอบการพัฒนาของประเทศ ภายใต้วิสัยทัศน์ที่ควรจะมีของประเทศไทยนั้น มีภาระที่กว้างขวางกว่านี้มากนัก ผมจึงเข้าใจในเบื้องต้นว่า เรายังขาดหน่วยงานหรือผู้กำกับ หรือผู้กำหนดทิศทางของประเทศ ซึ่งหน้าที่นี้น่าจะได้กับรัฐบาล ซึ่งเปรียบได้กับผู้นำนาวาหรือกัปตันเรือ ที่จะพาเรือหรือประเทศไทยไปสู่ทิศทางหรือเป้าหมายที่ต้องการ โดยมีเครื่องมือและองค์ประกอบต่าง ๆ ที่เหมาะสมและสอดคล้องกัน

ดังนั้น ผู้นำของประเทศที่มีวิสัยทัศน์ และกำหนดวิสัยทัศน์ที่เหมาะสม ซึ่งเปรียบเสมือนเป็นการปักธง หรือกำหนดทิศทางการจัดการของประเทศโดยรวม ควรจะเป็นผู้ดำเนินการในเรื่องนี้

อย่างไรก็ดี ความเป็นรูปธรรมในการจัดการ และดำเนินการเพื่อให้เป็นไปตามวิสัยทัศน์ของประเทศ หากมีการกำหนดขึ้นในอนาคต หน่วยงานที่ควรดำเนินการในภาคปฏิบัติ ในการถ่ายทอดวิสัยทัศน์ เป็นพันธกิจ กำหนดกลยุทธ์ และแนวการปฏิบัติให้เป็นไปตามกลยุทธ์ในมุมมองต่าง ๆ เช่น มุมมองทางด้านเศรษฐกิจการเงิน มุมมองทางด้านความมั่นคงของชาติ มุมมองในแง่กระบวนการปฏิบัติ และมุมมองในแง่ความพึงพอใจของผู้มีผลประโยชน์ร่วม ควรจะมีการบริหารและการจัดการแบบบูรณาการ ที่อาจจะประยุกต์ตามหลักการ GRC – Governance + Risk Management + Compliance ซึ่งผมจะได้ออกความเห็นในเรื่อง GRC และมุมมองของการจัดการในลักษณะการขับเคลื่อนการบริหารแบบบูรณาการที่เป็นหนึ่งเดียวขององค์กร (Integrated Performance Management หรือ Integrity – Driven Performance) ซึ่งอาจนำมาประยุกต์ใช้ในระดับประเทศได้ในบางมุมมอง ซึ่งท่านอาจจะติดตามได้จาก CG & ITG + GRC ต่อไปนะครับ

ตั้งใจจะจบตั้งแต่วรรคที่แล้วครับ แต่ขอแถมนิดนึงให้เป็นข้อคิดว่า ประเทศไทยเราในอดีต เมเปิลครอฟต์จัดอันดับให้เป็นประเทศที่มีอันตรายในระดับการก่อความไม่สงบ ในอันดับที่ 20 กว่า ๆ เมื่อปี 2551 ถูกจัดอยู่ในอันดับที่ 11 เมื่อปี 2552 ถูกจัดอันดับให้อยู่ในอันดับที่ 9 นับว่าเป็นประเทศที่มีอันตรายในระดับการก่อความไม่สงบของโลก

แล้วผู้บริหารของประเทศเรา ในด้านต่าง ๆ ในระดับรัฐบาล รวมทั้งทางด้านความมั่นคงคิดอย่างไรบ้างครับ เกี่ยวกับข่าวสารที่มาจากต่างประเทศชิ้นนี้ มีการติดตามเรื่องนี้กันอย่างไร มีการกำหนดวิสัยทัศน์ พันธกิจ แผนกลยุทธ์ที่เกี่ยวข้องกับการยอมรับความเสี่ยง หรือกำหนดระดับความเสี่ยงว่า ประเทศไทยของเราจะถูกจัดอันดับให้เป็นประเทศที่มีโอกาสเกิดการก่อความไม่สงบ อันดับที่เท่าไหร่ของโลกจึงจะยอมรับไม่ได้ เพราะเรื่องนี้เป็นเรื่องใหญ่ และกระทบกระเทือนถึงความมั่นคงของประเทศ กระทบกระเทือนต่อความมั่งคงทางเศรษฐกิจ กระทบกระเทือนต่อการลงทุน กระทบต่อการท่องเที่ยว และการพัฒนาในทุกด้าน ++

ผมไม่สบายใจเป็นอย่างยิ่ง และกำลังเป็นห่วงมากว่า ในกรณีที่ประเทศไทยเรายังขาดกระบวนการพัฒนาทางความคิดอย่างเป็นระบบ ยังขาดความเข้าใจในหลักการบริหารความเสี่ยง ทั้งระดับองค์กรและระดับประเทศที่น่าเชื่อถือได้อีกมาก และยังขาดวิสัยทัศน์ในแง่มุมต่าง ๆ ที่เป็นรูปธรรม ประเทศไทยในอนาคตจะเป็นเช่นไร

หากผู้บริหารในระดับประเทศ ไม่กำหนดทิศทางที่ชัดเจน ในมุมมองต่าง ๆ ของชาติ อย่างเช่น กรณีการยอมรับได้ หรือการยอมรับไม่ได้ของการถูกจัดระดับความเสี่ยงของชาติ จากสถาบันจัดอันดับประเภทนี้จากต่างชาติว่า เราควรกำหนด และ/หรือจัดการกับความเสี่ยงที่ถูกนานาชาติ มองประเทศเราว่าเป็นประเทศที่มีความเสี่ยงจากการก่อความไม่สงบ ระดับที่ 9 ของโลกนั้น เราควรจัดการลดความเสี่ยงอย่างเป็นกระบวนการอย่างไร ในทุกมุมมองของกระบวนการบริหาร เพื่อลดระดับความเสี่ยงจากที่ได้เพิ่มตลอดมาในช่วง 3-4 ปีที่ผ่านมา โดยอาจกำหนด และมีกระบวนการจัดการที่ชัดเจนว่า ประเทศไทยไม่ควรยอมรับระดับความเสี่ยงประเภทนี้ หรือถูกจัดอันดับให้เป็นประเทศที่มีความเสี่ยงในการก่อความไม่สงบที่สูงเกินกว่าระดับที่ 20 ของโลก (นั่นคือ อันดับที่ 1-19 เป็นความเสี่ยงที่ประเทศไทยยอมรับไม่ได้ ซึ่งต้องมีกระบวนการบริหารการจัดการที่ดีตามมาในทุกมุมมองตามหลักการของ GRC

ท่านผู้อ่านลองคิดดูสิครับว่า หากท่านเป็นผู้บริหารองค์กร หรือเป็นคณะกรรมการชุดต่าง ๆ ท่านจะมีแนวทางบริหารและกระบวนการจัดการอย่างไร จึงจะสามารถแน่ใจได้อย่างสมเหตุสมผลว่า แผนการดำเนินงานของท่านจะเป็นไปตามกลยุทธ์ เพื่อก้าวไปสู่เป้าหมายในอนาคตได้อย่างถูกต้อง มีทิศทางได้อย่างมีคุณภาพหรือไม่ หากขาดการกำหนดวิสัยทัศน์ หรือพันธกิจ ที่จะใช้เป็นเข็มทิศในการดำเนินงาน?

ท่านลองดูแผนภาพด้านบนนี้นะครับ ท่านจะได้คำตอบ หรืออาจมีคำถามที่น่าสนใจว่า เราจะบริหารองค์กรหรือประเทศอย่างบูรณาการได้อย่างไร จะมีประสิทธิผล ประสิทธิภาพเพียงใด จะมีการติดตามและตรวจสอบกันอย่างไรว่า องค์กรหรือประเทศของเราอยู่ในเส้นทาง หรือระดับความคาดหวังที่ผู้มีผลประโยชน์ร่วมในระดับองค์กร หรือในระดับประเทศ พึงประสงค์และคาดหวังไว้

ในแนวทางการบริหารยุคใหม่ ที่ต้องการบริหารในลักษณะหลอมรวม หรือเป็นพวง กระบวนการจัดการต่าง ๆ ที่เรียกว่า GRC – Governance + Risk Management + Compliance ซึ่งเป็นการบริหารและการขับเคลื่อนในลักษณะ Integrity Driven Performance โดยใช้ทรัพยากรอย่างคุ้มค่าและประหยัด ลดความซ้ำซ้อนในกระบวนการทำงาน เพื่อขับเคลื่อนองค์กรและประเทศไปสู่การเติบโตอย่างยั่งยืน ที่ผสมผสานกันระหว่างการกำกับดูแลกิจการที่ดี การบริหารความเสี่ยงอย่างเป็นกระบวนการ และการปฏิบัติตามกฎหมาย กฎเกณฑ์ และกติกาของสังคมอย่างเคร่งครัด และได้มาตรฐาน อันเป็นที่ยอมรับได้โดยทั่วไปนั้น น่าจะมีปัญหาในทางปฏิบัติเป็นอย่างมาก

โดยเฉพาะอย่างยิ่ง ในกรณีที่องค์กรหรือประเทศมีทรัพยากรจำกัด ประเทศไทยในปัจจุบันมีงบเพื่อใช้ในการพัฒนาประเทศ เหลือเพียงประมาณร้อยละ 12 ของงบประมาณรายจ่าย ซึ่งนับว่าน้อยมาก เมื่อพิจารณาถึงปัจจัยต่าง ๆ ที่เกี่ยวกับโครงสร้างพื้นฐานการพัฒนาประเทศ หรือ Infrastructure ในเรื่องต่าง ๆ และเมื่อพิจารณาควบคู่กันไปกับภาระรายจ่ายเพื่อสังคม ซึ่งนับวันจะมีเม็ดเงินสูงขึ้นมาก เมื่อเทียบกับรายได้นั้น ยิ่งน่าเป็นห่วง เพราะเม็ดเงินเพื่อการพัฒนาและการลงทุน จะลดน้อยอยู่ในระดับที่น่าใจหาย หรือถ้าหากพิจารณาในมุมมองของการบริหารความเสี่ยงระดับประเทศ หากมีการกำหนดระดับความเสี่ยงที่ยอมรับได้ (Risk Appetite) อย่างเป็นกระบวนการ และตามหลักการด้วยความเข้าใจจริง ๆ ก็จะเห็นภาพในความจำเป็นที่องค์กรหรือประเทศจะต้องกำหนดให้มีวิสัยทัศน์ เพื่อกำหนดทิศทางก้าวเดินไปสู่ความมั่นคงทางด้านต่าง ๆ เช่น ด้านเศรษฐกิจการเงิน ทางด้านการทหาร ทางด้านการเมือง ทางด้านสังคม ความพึงพอใจของสังคมภายในประเทศและระหว่างประเทศ ซึ่งขึ้นกับการกำหนดระดับความสำคัญ หรือน้ำหนักความสำคัญของปัจจัยหลัก ๆ ที่เกี่ยวข้องกัน ซึ่งเราจะนำไปคุยกันในตอนต่อไปนะครับ