Information Technology Governance

ครั้งก่อนผมได้พูดถึงกรอบของการบริหารความเสี่ยงในภาพโดยรวม และยังเคยกล่าวถึงประเภทของความเสี่ยงให้พอได้ทราบกันมาบ้างแล้ว ครั้งนี้เรามาดูกันต่อว่าความเสี่ยงทั้ง 4 ประเภทที่กล่าวถึงนั้นมีอะไรบ้าง และความเสี่ยงต่าง ๆ นั้นมีแหล่งที่มาเกิดจากอะไร ซึ่งในที่นี้ผมจะขอเน้นเฉพาะความเสี่ยงทางด้านปฏิบัติการที่เกิดขึ้นกับองค์กรโดยส่วนใหญ่ เพื่อจะได้ใช้เป็นแนวทางในการระบุความเสี่ยง และจัดการกับความเสี่ยง ซึ่งผมจะได้กล่าวถึงรายละเอียดในคราวต่อ ๆ ไป

ความเสี่ยงของทุกองค์กร อาจแบ่งได้เป็น 4 ประเภท ได้แก่
1. ความเสี่ยงด้านกลยุทธ์ (Strategic Risk)
2. ความเสี่ยงด้านปฏิบัติการ (Operational Risk)
3. ความเสี่ยงด้านการเงินและการรายงาน (Financial & Reporting Risk)
4. ความเสี่ยงด้านกฎหมาย กฎเกณฑ์ต่าง ๆ (Compliance Risk)

ความเสี่ยงส่วนใหญ่ขององค์กรทั่วไป จะเป็นความเสี่ยงด้านปฏิบัติการ ซึ่งหากดูจากแผนภาพด้านล่างก็คงจะพอเข้าใจภาพของ Operational Risk ได้ชัดเจนขึ้น ก่อนที่จะได้กล่าวถึงรายละเอียดกันต่อ

Operational Risk Business Objectives

ความเสี่ยงด้านปฏิบัติการ หมายถึง ความเสี่ยงที่จะเกิดความเสียหายอันเนื่องมาจากการขาดการกํากับดูแลกิจการที่ดี หรือขาดธรรมาภิบาลในองค์กร และการขาดการควบคุมที่ดี โดยอาจเกี่ยวข้องกับกระบวนการปฏิบัติงานภายใน คน ระบบงาน หรือเหตุการณ์ภายนอก และส่งผลกระทบต่อรายได้และเงินกองทุนขององค์กร

แหล่งที่มาของความเสี่ยง
เหตุแห่งความเสี่ยงด้านปฏิบัติการ เป็นความเสี่ยงที่จะเกิดความเสียหายโดยตรงหรือโดยอ้อม เนื่องจากการขาดระบบงาน การขาดการควบคุมที่ดี การจัดการภายในล้มเหลวจนทำให้เกิดความสูญเสีย และความผิดพลาดในการปฏิบัติงาน โดยมีสาเหตุต่าง ๆ ดังนี้

1. ความเสี่ยงที่เกิดจากบุคลากร (People Risk) ได้แก่
• ความด้อยศักยภาพของพนักงาน
– การขาดความรู้ความชำนาญในงานที่รับผิดชอบ
– การขาดความสามารถในการทำงานเป็นทีม
– การละเลยไม่ให้ความสำคัญกับกลุ่มลูกค้า
– การขาดการทำงานแบบมืออาชีพ
– การขาดความสามารถในการวิเคราะห์หรือใช้วิจารณญานในการตัดสินใจ
– การตีความข้อมูลที่ใช้ในการปฏิบัติงานผิดพลาด

• การทุจริต
– การทุจริตหรือกระทำผิดจรรยาบรรณ
– การใช้ตำแหน่งหน้าที่ของตนเพื่อประโยชน์ส่วนตัว

• ความผิดพลาดของพนักงาน (Human Error)
– ความผิดพลาดของพนักงานในการปฏิบัติงาน โดยมิได้มีเจตนาจะกระทำผิดหรือทุจริต
– ความประมาท เลินเล่อ หรือไม่รอบคอบ

• การบริหารและการจัดการบุคลากร
– การบริหารทรัพยากรบุคคลไม่เหมาะสม เช่น การมีพนักงานมาก-น้อยเกินไป
– การด้อยประสิทธิภาพในการสรรหา
– การมอบหมายงานไม่ตรงตามความสามารถ
– การขาดการอบรมให้พนักงานมีความเชี่ยวชาญหรือเพิ่มขีดความสามารถในการปฏิบัติงาน
– การขาดเครื่องมือในการสร้างแรงจูงใจให้พนักงานที่มีความสามารถให้คงอยู่กับองค์กร
– การประเมินผลงานที่ไม่ยุติธรรม
– ค่าตอบแทนที่ไม่เหมาะสม
– การพึ่งพิงกับพนักงานหลักมากเกินไป

• การบริหารทรัพยากรขององค์กร
– การบริหารทรัพยากรขององค์กรไม่เหมาะสม เช่น ไม่มีอุปกรณ์ที่ให้ความสะดวกหรือมีไม่เพียงพอต่อความจำเป็นในการปฏิบัติงาน
– อุปกรณ์ไม่อยู่ในสภาพที่ดีต่อการใช้งาน
– การมีโครงสร้างพื้นฐานทางเทคโนโลยีที่ไม่เหมาะสมกับงานหรือล้าสมัย

2. ความเสี่ยงที่เกิดจากกระบวนการหรือขั้นตอนการปฏิบัติงาน
(Process Risk)
• ความบกพร่องของการบริหารองค์กรที่ได้คุณภาพ (Model / Methodology Error)
– ความบกพร่องของการวางแผนการใช้โปรแกรมเพื่อการบริหารและการจัดการแบบบูรณาการ (Plan – Do – Check – Act)
– ความผิดพลาดในการพัฒนากำหนดสูตรการคำนวณต่าง ๆ เช่น การกำหนดน้ำหนักของกลยุทธ์ พันธกิจ แผนงานและโครงการต่าง ๆ ของ องค์กรในการก้าวสู่วิสัยทัศน์ที่กำหนด ในกรณีที่เป็นสถาบันการเงินก็จะเป็นความผิดพลาดจากการกำหนดอัตราส่วนทางการเงิน การประเมินมูลค่าหลักทรัพย์/ทรัพย์สิน/หนี้สิน และการประเมินมูลค่าหลักประกันผิดพลาด
– ข้อบกพร่องของวิธีการ/ขั้นตอนการปฏิบัติงาน ซึ่งทำให้การปฏิบัติงานไม่มีประสิทธิภาพเพียงพอ
– การรายงานผลต่าง ๆ ไม่ถูกต้อง และขาดการติดตาม

• ผลิตภัณฑ์ และบริการที่ไม่เหมาะสม
– การกำหนดน้ำหนักของงบประมาณเพื่อขับเคลื่อนแผนงานของการบรรลุเป้าหมายที่ไม่สัมพันธ์กับวิสัยทัศน์และเป้าประสงค์ขององค์กร
– การออกแบบ/พัฒนาและส่งเสริมผลิตภัณฑ์และบริการไม่สอดคล้องกับทิศทางของพันธกิจและวิสัยทัศน์
– ผลิตภัณฑ์/บริการมีความซับซ้อนหรือมีข้อบกพร่อง หรือไม่อาจวัดผลความสำเร็จที่ชัดเจนเป็นรูปธรรม ทำให้ผู้มีผลประโยชน์ร่วมไม่พึงพอใจ

• การปฏิบัติตามกฎหมาย กฎเกณฑ์ ของผู้กำกับ
– เกิดจากการกำกับดูแลและกฎระเบียบที่องค์กรเผชิญอยู่ หากองค์กรวางแผนการปฏิบัติต่าง ๆ ไม่สอดคล้องกับข้อกำหนดของทางการ หรือหน่วยงานที่กำกับดูแล
– ความเสี่ยงจากการตีความข้อกฎหมาย ที่เอื้ออำนวยต่อการดำเนินธุรกิจขององค์กร

• การสื่อสารเพื่อสร้างความเข้าใจ (Communication)
– การเข้าใจไม่ตรงกันในการสื่อข้อความทำให้ตีความผิดพลาด
– การสื่อสารที่ไม่ทั่วถึงทุกฝ่ายงานที่เกี่ยวข้อง
– การขาดการประสานงาน/ร่วมมือที่ดีระหว่างฝ่ายงาน
– ข้อมูลที่เผยแพร่ภายนอกองค์กรไม่ถูกต้อง ไม่สอดคล้องกันก่อให้เกิดความไม่น่าเชื่อถือ โดยเฉพาะกรณีที่มีการนำข้อมูลไปใช้อ้างอิง

• ระบบงานขาดมาตรฐานและการควบคุมที่ดี
– การขาดมาตรฐาน/คู่มือ/แนวทางและรายละเอียดในการปฏิบัติงาน
– การขาดระบบการตรวจสอบ/การควบคุม/การรักษาความปลอดภัยที่ดีหรือมีไม่เพียงพอ

3. ความเสี่ยงที่เกิดจากการใช้เทคโนโลยี (Technology Risk)
• การรักษาความปลอดภัยตามมาตรฐานที่ดี
– การขาดระบบรักษาความปลอดภัยของข้อมูลหรือระบบคอมพิวเตอร์ ตลอดจนการสำรองข้อมูล หรือมีแต่ด้อยประสิทธิภาพ
– การขาดมาตรการควบคุมและตรวจสอบระบบอย่างสม่ำเสมอ
– การขาดแผนสำรองฉุกเฉิน

• ระบบงานมีข้อผิดพลาดหรือล้มเหลว
– ความผิดพลาด/ความสูญเสียของระบบ เนื่องจากอัคคีภัย ภัยธรรมชาติ
– ปัญหาด้านเทคนิค กระแสไฟฟ้าขัดข้อง
– ระบบสูญเสียความสามารถบางส่วน/ทั้งหมด จากการทำลายของไวรัสคอมพิวเตอร์

• ความบกพร่องของโปรแกรมคอมพิวเตอร์
– ความผิดพลาด/ไม่สมบูรณ์ของโปรแกรมคอมพิวเตอร์ที่ใช้

• ความบกพร่องของระบบการสื่อสาร
– การขัดข้องของระบบการสื่อสาร เช่น Computer Network , โทรศัพท์ , โทรสาร

• สารสนเทศที่ใช้ในการบริหารและปฏิบัติงานไม่น่าเชื่อถือ
– ข้อมูลสำหรับการปฏิบัติงานมีไม่เพียงพอ ไม่สมบูรณ์ ไม่ถูกต้อง
– ระบบข้อมูลไม่ถูกต้อง ทำให้ไม่สามารถนำข้อมูลไปใช้งานได้
– การมีหลายระบบที่แสดงข้อมูลในลักษณะเดียวกัน แต่แสดงข้อมูลไม่สอดคล้อง/ไม่ตรงกัน

4. ความเสี่ยงที่เกิดจากเหตุการณ์ภายนอก (External Risk)
– ความไม่แน่นอนของนโยบายของรัฐ และหน่วยงานที่เกี่ยวข้อง
– การสูญเสียที่เกิดขึ้นกับทรัพย์สินหรือรายได้อันเนื่องมาจากอุบัติภัยต่าง ๆ ที่ไม่คาดคิด เช่นไฟไหม้ น้ำท่วม แผ่นดินไหว
– ความเสียหายจากการที่คู่ค้าหรือคู่สัญญาขององค์กรไม่สามารถปฏิบัติตามข้อตกลงหรือปฏิบัติตามสัญญาที่ให้ไว้กับองค์กรได้
– ความเสียหายจากการที่คู่ค้าหรือคู่สัญญาขององค์กร ใช้องค์กรเป็นเครื่องมือในการฟอกเงินและกระทำผิดกฎหมาย
– การขาดแผนรองรับเหตุการณ์ฉุกเฉินต่าง ๆ
– ไม่มีการทำประกันภัย ในธุรกรรมใด ๆ ที่มีความเสี่ยง

หลังจากที่ได้เข้าใจในความหมายของความเสี่ยง แนวคิดและมุมมองการบริหารความเสี่ยงกันไปพอสมควรแล้ว ผมจะขอพูดถึงกรอบของการบริหารความเสี่ยง ซึ่งกรอบการบริหารความเสี่ยงจะช่วยให้ทุกหน่วยงานในองค์กรมีวิธีการในการระบุ ประเมิน และจัดการความเสี่ยงไปในทิศทางเดียวกัน อันจะส่งผลให้การบริหารความเสี่ยงเกิดประสิทธิผลสูงสุด

กรอบการบริหารความเสี่ยงควรประกอบไปด้วย 4 องค์ประกอบหลัก ซึ่งมีคุณลักษณะ ดังนี้

กรอบการบริหารความเสี่ยง

– วัฒนธรรมองค์กร (Culture)
ในการบริหารความเสี่ยงในทุก ๆ ระดับขององค์กร ผู้บริหารระดับสูงควรกำหนดนโยบาย วัตถุประสงค์ และกลยุทธ์ในการบริหารความเสี่ยงและระดับความเสี่ยงที่องค์กรยอมรับได้ และชี้แจงสิ่งเหล่านี้ให้ทุกคนในองค์กรได้รับทราบเพื่อจะได้ตระหนักถึงความสำคัญของการบริหารความเสี่ยง

– โครงสร้างการบริหารความเสี่ยง (Structure)กำหนดโครงสร้างการบริหารความเสี่ยงที่เหมาะสม และระบุหน้าที่และความรับผิดชอบต่อการบริหารความเสี่ยงอย่างชัดเจน โดยถือว่าการบริหารความเสี่ยงเป็นหน้าที่และความรับผิดชอบของทุกคนในองค์กร

– กระบวนการ (Process)ปฏิบัติตามกระบวนการบริหารความเสี่ยงอย่างเป็นระบบและต่อเนื่อง โดยมีการปรับปรุงกระบวนการให้มีความเหมาะสมกับการดำเนินธุรกิจอยู่เสมอ

– ปัจจัยพื้นฐาน (Infrastructure)มีปัจจัยพื้นฐานที่ดี ซึ่งประกอบด้วย
 บุคลากรที่มีความสามารถ
 วิธีการวัดผลการดำเนินงาน
 การให้ความรู้และฝึกอบรม
 ช่องทางในการสื่อสารทั้งภายในและภายนอกองค์กร
 วิธีการสอบทานคุณภาพเพื่อทำให้มั่นใจได้ว่าองค์กร สามารถดำเนินการบริหารความเสี่ยงได้อย่างมีประสิทธิผลและประสิทธิภาพ

หลังจากที่ได้เข้าใจในความหมายของความเสี่ยง แนวคิดและมุมมองการบริหารความเสี่ยงกันไปพอสมควรแล้ว ผมจะขอพูดถึงกรอบของการบริหารความเสี่ยง ซึ่งกรอบการบริหารความเสี่ยงจะช่วยให้ทุกหน่วยงานในองค์กรมีวิธีการในการระบุ ประเมิน และจัดการความเสี่ยงไปในทิศทางเดียวกัน อันจะส่งผลให้การบริหารความเสี่ยงเกิดประสิทธิผลสูงสุด

กรอบการบริหารความเสี่ยงควรประกอบไปด้วย 4 องค์ประกอบหลัก ซึ่งมีคุณลักษณะ ดังนี้

กรอบการบริหารความเสี่ยง

– วัฒนธรรมองค์กร (Culture)
ในการบริหารความเสี่ยงในทุก ๆ ระดับขององค์กร ผู้บริหารระดับสูงควรกำหนดนโยบาย วัตถุประสงค์ และกลยุทธ์ในการบริหารความเสี่ยงและระดับความเสี่ยงที่องค์กรยอมรับได้ และชี้แจงสิ่งเหล่านี้ให้ทุกคนในองค์กรได้รับทราบเพื่อจะได้ตระหนักถึงความสำคัญของการบริหารความเสี่ยง

– โครงสร้างการบริหารความเสี่ยง (Structure)กำหนดโครงสร้างการบริหารความเสี่ยงที่เหมาะสม และระบุหน้าที่และความรับผิดชอบต่อการบริหารความเสี่ยงอย่างชัดเจน โดยถือว่าการบริหารความเสี่ยงเป็นหน้าที่และความรับผิดชอบของทุกคนในองค์กร

– กระบวนการ (Process)ปฏิบัติตามกระบวนการบริหารความเสี่ยงอย่างเป็นระบบและต่อเนื่อง โดยมีการปรับปรุงกระบวนการให้มีความเหมาะสมกับการดำเนินธุรกิจอยู่เสมอ

– ปัจจัยพื้นฐาน (Infrastructure)มีปัจจัยพื้นฐานที่ดี ซึ่งประกอบด้วย
 บุคลากรที่มีความสามารถ
 วิธีการวัดผลการดำเนินงาน
 การให้ความรู้และฝึกอบรม
 ช่องทางในการสื่อสารทั้งภายในและภายนอกองค์กร
 วิธีการสอบทานคุณภาพเพื่อทำให้มั่นใจได้ว่าองค์กร สามารถดำเนินการบริหารความเสี่ยงได้อย่างมีประสิทธิผลและประสิทธิภาพ

เมื่อกล่าวถึงการบริหารความเสี่ยง ผู้บริหารองค์กร เจ้าหน้าที่ผู้ปฏิบัติงาน พนักงานทุกคนในองค์กรควรจะต้องเข้าใจในพื้นฐานของแนวความคิดของการบริหารความเสี่ยงที่ทุกคนในองค์กรต้องทำความเข้าใจร่วมกัน เพื่อให้การบริหารความเสี่ยงบรรลุเป้าประสงค์ วิสัยทัศน์ และพันธกิจขององค์กร ผู้เขียนจึงได้กล่าวถึงแนวคิดการบริหารความเสี่ยงไว้กว้าง ๆ ดังนี้

แนวคิดการบริหารความเสี่ยง
การบริหารความเสี่ยง (Risk Management) เป็นกลวิธีที่เป็นเหตุเป็นผลที่นำมาใช้ในการบ่งชี้ วิเคราะห์ ประเมิน จัดการ ติดตาม และสื่อสารความเสี่ยงที่เกี่ยวข้องกับกิจกรรมหน่วยงาน/ฝ่ายงาน หรือกระบวนการดำเนินงานขององค์กร เพื่อช่วยลดความสูญเสียในการไม่บรรลุเป้าหมายให้เหลือน้อยที่สุดและเพิ่มโอกาสแก่องค์กรมากที่สุด

การบริหารความเสี่ยงยังหมายความถึงการประกอบกันอย่างลงตัวของวัฒนธรรมองค์กร กระบวนการและโครงสร้างองค์กร ซึ่งมีผลโดยตรงต่อประสิทธิภาพการบริหาร และผลได้ผลเสียขององค์กรอีกด้วย

การบริหารความเสี่ยงขององค์กรโดยรวม (Enterprise Wide Risk Management) คือการบริหารความเสี่ยงโดยมีโครงสร้างองค์กร กระบวนการ และวัฒนธรรมองค์กร ประกอบเข้าด้วยกันและมีลักษณะสำคัญ ดังนี้

– ผสมผสานและเป็นส่วนหนึ่งของ องค์กร เพราะเป็นกลไกส่วนหนึ่งของการขับเคลื่อนไปสู่การกำกับดูแลกิจการที่ดี เพื่อบรรลุวัตถุประสงค์และการเติบโตอย่างยั่งยืนขององค์กร และเป็นที่พอใจของผู้มีผลประโยชน์ร่วม

– การบริหารความเสี่ยงควรสอดคล้องกับแผนการดำเนินงานต่าง ๆ ขององค์กร เพื่อบรรลุวัตถุประสงค์ การตัดสินใจ และสามารถนำไปใช้กับองค์ประกอบอื่น ๆ ในการบริหารขององค์กรได้เป็นอย่างดี

– พิจารณาความเสี่ยงทั้งหมด โดยครอบคลุมความเสี่ยงทั่วทั้งองค์กร ไม่ว่าจะเป็นความเสี่ยงเกี่ยวกับกลยุทธ์ การดำเนินงาน การปฏิบัติตามกฎระเบียบ และการเงิน ซึ่งความเสี่ยงเหล่านี้อาจทำให้เกิดความเสียหาย ความไม่แน่นอน และโอกาส รวมถึงการมีผลกระทบต่อวัตถุประสงค์และความต้องการของผู้มีผลประโยชน์ร่วม

– ความเสี่ยงโดยรวมของทุกองค์กร ได้แก่
1. ความเสี่ยงเกี่ยวกับกลยุทธ์ (Strategic Risk)
2. ความเสี่ยงเกี่ยวกับประสิทธิภาพและประสิทธิผลในการดำเนินงาน(Operational Risk)
3. ความเสี่ยงเกี่ยวกับการรายงานทุกประเภท รวมทั้งรายงานทางการเงิน (Financial Risk) และ
4. ความเสี่ยงทางด้านการปฏิบัติตามกฎหมาย ระเบียบ คำสั่งต่าง ๆ ที่เกี่ยวข้อง (Compliance Risk)

ซึ่งความเสี่ยงเหล่านี้อาจทำให้เกิดความเสียหาย ความไม่แน่นอน และการสูญเสียโอกาสการสร้างคุณค่าเพิ่ม รวมถึงการมีผลกระทบต่อวัตถุประสงค์ และความพึงพอใจของผู้มีส่วนได้เสียอย่างสำคัญ

การบริหารความเสี่ยงมีความคิดแบบมองไปข้างหน้า โดยบ่งชี้ปัจจัยของความเสี่ยงว่า เหตุการณ์ใดที่อาจจะเกิดขึ้นที่มีผลทางลบและหากเกิดขึ้นจริงจะมีผลกระทบอย่างไรต่อการบรรลุวัตถุประสงค์ขององค์กร เพื่อให้ผู้บริหารที่เกี่ยวข้องจัดให้มีแนวทางป้องกันและการจัดการที่เหมาะสม ก่อนเกิดปัญหาจริง ๆ ในภายหน้า

การบริหารความเสี่ยงได้รับการสนับสนุนและมีส่วนร่วม โดยทุกคนในองค์กร ตั้งแต่ระดับกรรมการบริหาร ผู้บริหารระดับสูง และพนักงานทุกคนมีส่วนร่วมในการบริหารความเสี่ยง เพื่อความสำเร็จของเป้าประสงค์ พันธกิจ และวิสัยทัศน์ขององค์กร

การบริหารความเสี่ยงเป็นองค์ประกอบสำคัญของการกำกับดูแลกิจการ เพื่อช่วยให้องค์กรทั่วไป บรรลุวัตถุประสงค์หรือกลยุทธ์ทางธุรกิจที่กำหนดไว้ ช่วยให้เกิดผลการดำเนินงานที่ดี และปฏิบัติงานตามกฎระเบียบที่เกี่ยวข้อง

คณะกรรมการบริหาร และผู้บริหารขององค์กรทั่วไป ควรมีความเข้าใจต่อผลลัพธ์ในข้อดี และข้อด้อยของแต่ละเหตุการณ์ที่อาจเกิดขึ้นและจัดให้มีการบริหารความเสี่ยงที่มีประสิทธิภาพเพื่อช่วยเพิ่มโอกาสแห่งความสำเร็จ ลดโอกาสของการล้มเหลว และลดความไม่แน่นอนในผลการดำเนินงานโดยรวม เพื่อก้าวสู่วิสัยทัศน์ขององค์กรได้อย่างมั่นใจ

หลังจากที่ผู้เขียนได้นำเสนอแนวทางหรือคู่มือการบริหารความเสี่ยงระดับองค์กร โดยได้กล่าวถึงความหมาย และประเภทของความเสี่ยง ซึ่งเป็นพื้นฐานเบื้องต้นที่ผู้ที่มีส่วนเกี่ยวข้องกับการบริหารความเสี่ยงจำเป็นต้องรู้และเข้าใจในเรื่องของความเสี่ยง ตามที่ผู้เขียนได้นำเสนอไปในครั้งก่อนแล้วนั้น ครั้งนี้จะได้กล่าวกันต่อถึงที่มาหรือเหตุแห่งความเสี่ยง

เหตุแห่งความเสี่ยง
ความเสี่ยงทุกประเภทเกิดขึ้นโดยมีเหตุแห่งความเสี่ยง (Risk Driver) ซึ่งอาจเป็นเหตุที่เกิดจากภายในองค์กร เช่น วัฒนธรรม โครงสร้างองค์กร บุคลากร หรือเหตุที่เกิดจากปัจจัยภายนอก เช่น การเมือง คู่แข่ง สภาวะเศรษฐกิจ เป็นต้น

เหตุแห่งความเสี่ยง

ผู้บริหาร ควรทำความเข้าใจถึงการเปลี่ยนแปลงที่มีผลต่อองค์กรและเหตุแห่งความเสี่ยงที่เกิดขึ้นตลอดเวลา โดยการตั้งคำถามถามตนเองเสมอว่า “สามารถเข้าใจถึงการเปลี่ยนแปลงที่เกิดแก่องค์กรและความเสี่ยงที่อาจเกิดขึ้นจากการเปลี่ยนแปลงนั้นเพียงใด” และ “องค์กรได้มีแนวปฏิบัติทางธุรกิจ รวมทั้งการควบคุมภายในอย่างเพียงพอและเหมาะสมต่อการเปลี่ยนแปลงหรือไม่”

ความเสี่ยงขององค์กรทั่วไป ในระดับบนหรือในระดับคณะกรรมการบริหาร และผู้อำนวยการ ที่สำคัญได้แก่ ความไม่แน่นอนในการบรรลุเป้าหมายที่กำหนดไว้

นอกจากนี้ความเสี่ยงขององค์กรทั่วไป ในระดับกลาง ได้แก่ ความไม่แน่นอนในการบรรลุเป้าหมาย และสูญเสียโอกาสในการปรับเปลี่ยนเป้าหมายขององค์กรที่ไม่อาจดำเนินการได้สำเร็จตามแผนงาน เป็นต้น

หากองค์กรทั่วไปในภาพโดยรวมมีความเข้าใจในเรื่องการบริหารความเสี่ยง ซึ่งหมายถึง กระบวนการที่กำหนดขึ้นจากคณะกรรมการบริหาร ฝ่ายบริหาร และบุคลากรทุกระดับในองค์กร เพื่อใช้เป็นแนวทางในการกำหนดวิธีการที่จะทำให้การปฏิบัติงานสำหรับหน่วยงานต่าง ๆ ภายในองค์กรประสบความสำเร็จตามวัตถุประสงค์ที่กำหนดไว้

กระบวนการที่กำหนดขึ้นจะช่วยชี้ให้เห็นเหตุการณ์ต่าง ๆ ที่เกิดขึ้นในอนาคต ซึ่งมีผลกระทบในระดับต่าง ๆ กันที่ทำให้ องค์กรทั่วไป ไม่อาจบรรลุวิสัยทัศน์ พันธกิจ นโยบาย กลยุทธ์ และแผนงานตามเวลาที่กำหนดไว้ได้ และกำหนดการจัดการความเสี่ยงให้อยู่ในระดับที่ยอมรับได้ เพื่อให้มั่นใจอย่างสมเหตุสมผลว่าการดำเนินงานขององค์กร จะประสบความสำเร็จตามวัตถุประสงค์ พันธกิจ และวิสัยทัศน์ตามเวลาที่กำหนดได้อย่างมั่นใจ

เพื่อความเข้าใจที่ดีอาจพิจารณาแผนภาพตัวอย่างความเสี่ยงขององค์กรทั่วไป ในบางมุมมองได้ดังนี้

แผนภาพความเสี่ยง

ก่อนที่หลาย ๆ ท่าน รวมถึงตัวผมด้วยนั้น จะหยุดไปพักผ่อนในช่วงเทศกาลสงกรานต์นี้ ผมอยากจะให้ท่านผู้อ่านเห็นถึงประโยชน์ของการบริหารจัดการความเสี่ยงขององค์กร ซึ่งเป็นเรื่องเบา ๆ ที่ผมเห็นว่าเหมาะที่จะนำเสนอในช่วงวันหยุดยาวแบบนี้ แต่กลับมีความสำคัญต่อการจัดการกับความเสี่ยงขององค์กรอย่างยิ่งยวด

ผมคิดว่าคงไม่มีองค์กรใด ไม่ว่าภาครัฐหรือภาคเอกชนสามารถดำเนินการภายใต้สภาพแวดล้อมที่ปราศจากความเสี่ยงได้ องค์กรที่ต้องดำเนินการในสภาวะแวดล้อมดังกล่าว การจัดการความเสี่ยงจะช่วยให้ฝ่ายบริหารจัดการกับสภาพแวดล้อมให้เหมาะสมกับความเสี่ยงได้เป็นอย่างดี เพื่อก้าวสู่การบรรลุวัตถุประสงค์และเป้าหมายได้อย่างสมเหตุสมผล

การจัดการความเสี่ยงขององค์กร เป็นการส่งเสริมความสามารถในด้าน

– การปรับความเสี่ยงที่องค์กรหรือองค์กรยอมรับได้
เป็นการกำหนดกลยุทธ์ที่เหมาะสมให้เป็นไปในทิศทางเดียวกันกับความเสี่ยงที่องค์กรยอมรับได้ คือระดับความเสี่ยงที่องค์กรเต็มใจที่จะยอมรับเพื่อมุ่งไปสู่เป้าหมายขององค์กร ซึ่งการบริหารความเสี่ยงจะพิจารณาถึงความเสี่ยงที่องค์กรยอมรับได้เป็นอย่างแรก เพื่อประเมินทางเลือกและพัฒนากลไกในการบริหารความเสี่ยงที่เกี่ยวข้องต่อไป

– ความเชื่อมโยงการเติบโต ความเสี่ยงและผลตอบแทน
การบริหารความเสี่ยงช่วยในการระบุและประเมินความเสี่ยง รวมทั้งกำหนดระดับความเสี่ยงที่สามารถยอมรับได้ ที่สัมพันธ์กับการเติบโตและเป้าหมายของผลตอบแทนตามวัตถุประสงค์ที่องค์กรกำหนดไว้

– ส่งเสริมการตัดสินใจในการตอบสนองความเสี่ยงที่เกิดขึ้น
การบริหารความเสี่ยงใช้ในการระบุและเลือกทางเลือกในการตอบสนองความเสี่ยงในรูปแบบต่าง ๆ ทั้งยังช่วยจัดหาวิธีการและเทคนิคสำหรับการตัดสินใจ เช่น การหลีกเลี่ยงความเสี่ยง การลดความเสี่ยง การกระจายความเสี่ยงและการยอมรับความเสี่ยง

– การลดความไม่แน่นอนและความสูญเสียในการปฏิบัติงานให้น้อยที่สุด
ช่วยให้องค์กรสามารถระบุเหตุการณ์ที่มีความเป็นไปได้ที่จะเกิดขึ้น ประเมินความเสี่ยงและจัดการตอบสนองต่อความเสี่ยงที่เกิดขึ้น รวมทั้งลดสิ่งไม่แน่นอนที่อาจเกิดขึ้น ตลอดจนความสัมพันธ์ของต้นทุนและการสูญเสีย

– การระบุและบริหารความเสี่ยงภายในองค์กร
ทุก ๆ องค์กรเผชิญกับความเสี่ยงมากมายหลายประเภทที่ส่งผลต่อส่วนต่าง ๆ ขององค์กรที่แตกต่างกัน ฝ่ายบริหารไม่เพียงแต่ต้องบริหารความเสี่ยงเฉพาะบุคคล แต่ต้องเข้าใจถึงผลกระทบที่เกิดขึ้นด้วย

– มีการตอบสนองแบบบูรณาการกับความเสี่ยงที่หลากหลาย
กระบวนการทางธุรกิจนำมาซึ่งความเสี่ยงสืบเนื่อง หรือความเสี่ยงจากลักษณะธุรกิจในหลายรูปแบบ และ ERM ทำให้เกิดการแก้ปัญหาแบบบูรณาการต่อการบริหารความเสี่ยง

– การฉกฉวยโอกาส
ฝ่ายบริหารพิจารณาเหตุการณ์ที่มีความเป็นไปได้ที่จะเกิดขึ้นมากกว่าพิจารณาเฉพาะความเสี่ยง โดยการพิจารณาทุกระดับของเหตุการณ์

– การจัดการกับทุนอย่างสมเหตุสมผล
ข้อมูลที่ถูกต้องมีความหมายต่อความเสี่ยงทั้งหมดขององค์กร สิ่งนี้จะทำให้การบริหารเป็นไปอย่างมีประสิทธิภาพมากขึ้นในการเข้าถึงความต้องการและปรับปรุงการจัดสรรทรัพย์สินหรือทุน รวมถึงงบประมาณได้อย่างเหมาะสม

ภาพด้านล่างนี้จะช่วยให้เห็นถึงความสำคัญและประโยชน์ของการจัดการความเสี่ยงได้ชัดเจนยิ่งขึ้น

Translating Vision & Strategy to State Enterprise Performance Measurement

ERM หรือการบริหารความเสี่ยงทั่วทั้งองค์กรไม่ใช่จุดสิ้นสุดโดยตัวเอง แต่มีความหมายที่สำคัญในการบรรลุวัตถุประสงค์ ที่ไม่สามารถปฏิบัติแยกออกจากองค์กรได้ แต่จะเป็นตัวกลไก (enabler) ในกระบวนการทางการบริหาร
ERM เป็นสิ่งที่เกี่ยวข้องกับความสัมพันธ์กับความร่วมมือของหน่วยการจัดการต่าง ๆ โดยจัดหาข้อมูลให้แก่คณะกรรมการบริหาร ได้ทราบถึงความเสี่ยงที่มีนัยสำคัญและการบริหารความเสี่ยงดังกล่าว การปรับเปลี่ยนความเสี่ยงโดยการควบคุมภายใน ซึ่งเป็นส่วนหนึ่งของ ERM

ERM ช่วยให้องค์กรประสบความสำเร็จในผลประกอบการและบรรลุเป้าหมายการทำกำไร การป้องกันความสูญเสียของทรัพยากร ช่วยทำให้มั่นใจถึงการรายงานที่มีประสิทธิภาพ การปฏิบัติที่ถูกต้องตามกฎหมายและกฎเกณฑ์ต่าง ๆ การหลีกเลี่ยงความเสียชื่อเสียงและผลลัพธ์ที่ตามมาอื่น ๆ

โดยรวมแล้วการจัดการความเสี่ยงขององค์กรจะช่วยให้องค์กรทั่วไปดำเนินไปในทิศทางที่ต้องการได้อย่างเหมาะสม และสามารถบรรลุวัตถุประสงค์ขององค์กรที่กำหนดไว้ได้เป็นอย่างดี