Cyber Security Strategy and Enablers 2

ตุลาคม 28, 2019

ความมั่นคงปลอดภัยไซเบอร์ กับปัจจัยเอื้อที่ก่อให้เกิดความสำเร็จแบบบูรณาการ

จากภาพแรกของเนื้อหาในตอนแรก ผมได้ชวนคุยเกี่ยวกับ กลยุทธ์ความมั่นคงปลอดภัยไซเบอร์ กับปัจจัยเอื้อที่ก่อให้เกิดความสำเร็จ ที่เกี่ยวข้องกับ 8 Enablers และทุก Enablers ที่เป็นปัจจัยเอื้อที่ก่อให้เกิดความสำเร็จที่สามารถสร้างความเชื่อมั่นให้ผู้มีส่วนได้เสีย ที่คณะกรรมการของทุกองค์กร รวมทั้งรัฐวิสาหกิจที่มีบทบาทสำคัญในการกำกับดูแลกิจการให้นำไปสู่ Digital Governance หรือ Governance Outcome ที่สามารถเข้าใจได้ง่ายๆ คือ

  1.  สามารถปรับตัวได้ภายใต้ปัจจัยการเปลี่ยนแปลงต่าง ๆ ตามสภาพแวดล้อมที่เปลี่ยนแปลงไป โดยเฉพาะอย่างยิ่งสภาพแวดล้อมทางด้านเทคโนโลยีที่เกี่ยวกับ digital
  2.  สามารถแข่งขันได้ และมีผลประกอบการที่ดี โดยคำนึงถึงผลกระทบที่เกี่ยวข้องกับกรอบการดำเนินงานทางธุรกิจสำหรับการกำกับดูแลและการบริหารจัดการ Digital ระดับองค์กรหรือระดับประเทศ
  3. เป็นประโยชน์ต่อสังคม  และประชาชนโดยทั่วไป และพัฒนาหรือลดผลกระทบทางด้านลบต่อสิ่งแวดล้อม
  4. มีการกำกับดูแล (Digital Governance/Governance) ที่ทำให้มั่นใจได้ว่า ความต้องการเงื่อนไข และทางเลือกงของผู้มีส่วนได้เสีย เพื่อกำหนดวัตถุประสงค์ที่องค์กรหรือประเทศต้องการ ให้บรรลุซึ่งความสมดุลและเห็นชอบร่วมกัน และมีการกำหนดกรอบทิศทาง ผ่านลำดับความสำคัญและการตัดสินใจ รวมทั้งเฝ้าติดตามผลการดำเนินงานและการปฏิบัติที่เปรียบเทียบกับทิทศทางและวัตถุประสงค์ที่ตกลงร่วมกัน
  5. มีการบริหารจัดการ (Management) ที่ผู้กำกับได้ประเมินผล สั่งการ และเฝ้าติดตาม กิจกรรมต่างๆ ให้สอดคล้องกับทิศทางที่กำหนดโดยหน่วยงานกำกับดูแล (Governance Body) เพื่อให้บรรลุวัตถุประสงค์ระดับประเทศ และระดับองค์กร
  6. มีการกำหนดความต้องการของผู้มีส่วนได้เสียที่เกี่ยวข้องกับการได้รับผลประโยชน์ ที่คำนึงถึงความเสี่ยงที่เหมาะสมที่สุด และการใช้ทรัพยากรให้เกิดประโยชน์สูงสุด
  7. สร้างความมั่นใจให้กับผู้มีส่วนได้เสียในการปรับปรุง เปลี่ยนแปลง ส่วนเสริมความรู้ นวัตกรรม และการประกอบธุรกิจอย่างมีความรับผิดชอบ
  8. อื่นๆ ที่เกี่ยวข้องกับการเปลี่ยนแปลง Transform ให้เหนือกว่า (beyond) เพียงการปฏิบัติตามระเบียบ ข้อบังคับ ประกาศ คำสั่ง กฎเกณฑ์ กฎหมาย และมาตรฐานสากล (Conformance)

Digital/Data Governance and Big Data Management to Value Creation

ตามที่ผมได้กล่าวข้างต้นในเรื่องที่เกี่ยวข้องกับปัจจัยเอื้อหลักตามแนวทางของ สคร. ที่ได้กำหนดให้รัฐวิสาหกิจปฏิบัติ ซึ่งพิจารณาได้ว่า เป็น Compliance ที่รัฐวิสาหกิจต้องปฏิบัติ ตั้งแต่ปีงบประมาณ 2563 นั้น เป็นเพียงกรอบการให้คำแนะนำพื้นฐานโดยทั่วไป เพื่อให้รัฐวิสาหกิจประสบความสำเร็จโดยทั่วไป บรรลุเป้าประสงค์ที่ดีเพื่อการเติบโตอย่างยั่งยืน และสามารถเปลี่ยนแปลง (Tranformation) ให้สัมพันธ์กับสภาพแวดล้อมและวิวัฒนาการทางเทคโนโลยี/Digital ที่มีวิวัฒนาการอย่างรวดเร็วทำให้หน่วยงานทั้งภาครัฐและภาคเอกชนที่ไม่สามารถปรับปรุงและเปลี่ยนแปลง Business Model ให้เหมาะสมและองค์ประกอบอื่นๆ ที่เกี่ยวข้องกับความอยู่รอด มีผลกระทบต่อความเสี่ยงในระดับที่ไม่อาจยอมรับได้

การกำหนดเป้าหมายที่เกี่ยวข้องกับ IT/Digital ที่ส่งทอดไปยังเป้าหมายของปัจจัยเอื้ออื่นๆ

การบรรลุเป้าหมายต่างๆ ของรัฐวิสาหกิจที่เกี่ยวข้องกับ Digital/IT จำเป็นต้องมีระบบงานที่ทำงานได้ดีและใช้เป็นปัจจัยเอื้อ ซึ่งรวมถึงกระบวนการ โครงสร้างการจัดองค์กร และสารสนเทศ (Information/Digital) และได้มีการกำหนดเป้าหมายสำหรับปัจจัยเอื้อแต่ละประเภทที่สนับสนุนเป้าหมายที่เกี่ยวข้องกับ IT/Digital

ท่านผู้อ่านครับ มาถึงตอนนี้ ผมกำลังพาท่านผู้อ่านเชื่อมโยงไปยังการบูรณาการของ 8 Enablers ที่เป็นปัจจัยหลักที่ผลักดันโดย สคร. กระทรวงการคลัง ให้รัฐวิสาหกิจต้องมีการกำกับ การบริหาร การปฏิบัติการในแต่ละ Enablers ให้มีศักยภาพในตัวของมันเอง และยังต้องเชื่อมโยงกระบวนการของทั้ง 8 Enablers ดังกล่าวข้างต้นเข้าด้วยกันเป็นหนึ่งเดียว ที่เรียกว่า Integrated Enablers หรือการบูรณาการของปัจจัยหลักแต่ละมิติให้เป็นหนึ่งเดียวกันผ่าน Data-Information-Cybersecurity ที่เป็นเรื่องเกี่ยวข้องกับความถูกต้อง ความน่าเชื่อถือได้ของข้อมูล และความพร้อมใช้งานที่เกี่ยวกับความมั่นคงปลอดภัยของระบบสารสนเทศ ซึ่งปัจจุบันรวมๆ เรียกว่า ความมั่นคงปลอดภัยของระบบ Cybersecurity ที่เป็นส่วนหนึ่งของ Intregrated Governance ที่ประกอบด้วย Corporate Governance + IT Governance + Cybersecurity Governance

นอกจากนั้น มีหลายกรณีที่เมื่อกล่าวถึงธรรมาภิบาล ซึ่งเดิมเรียกว่า Governance นั้น ปัจจุบันเมื่อพูดถึงคำๆ นี้ หรือพูดเพียงคำว่า Cybersecurity Governance ก็จะหมายความรวมไปถึง คำว่า GRC และ Integrated GRC หรือ IGRC ซึ่งผมขออธิบายเพิ่มเติมอีกสักเล็กน้อยนะครับว่า ลำพังคำว่า G = Governance ตามนัยที่กล่าวข้างต้นนั้น ถ้าลองสังเกตและวิเคราะห์ดูเบื้องต้นนะครับว่า เพียงคำนี้คำเดียวหมายถึงอะไร ครอบคลุมเรื่องอะไรบ้าง ซึ่งผมได้พูดถึงตามวรรคข้างต้นแล้วนะครับ

อ้าว! แล้วคำว่า IGRC หรือ GRC ละครับ มันหมายความว่าอะไรกันแน่ ผมกำลังจะอธิบายในมุมมองของผมต่อไปว่า ลำพังคำว่า การกำกับดูแลกิจการที่ดี หรือ Governance ตามที่กล่าวที่มีวัตถุประสงค์ในการสร้างคุณค่าเพิ่ม (Value Creation) ให้กับผู้มีส่วนได้เสีย ซึ่งเป็นความรับผิดชอบ (Acountability) ของผู้บริหารสูงสุดหรือคณะกรรมการในองค์กร หรือรัฐมนตรีของหน่วยงานภาครัฐ ในกระทรวง ทบวง กรม นั้น จะเกิดขึ้นไม่ได้หากขาดกระบวนการบริหารความเสี่ยง (ERM-Enterprise Risk Managment) รวมทั้ง การปฏิบัติตามระเบียบ ข้อบังคับ ประกาศ คำสั่ง กฎเกณฑ์ กฎหมาย และมาตรฐานสากล (Conformance) นั่นคือที่มาของคำว่า IGRC – Integrated Governance + Risk Managment + Compliance นั่นเอง

ผมอาจจะอธิบายยาวไปสักเล็กน้อย ก็เพื่อสร้างความเข้าใจให้กับผู้ที่สนใจคำต่างๆ และความเกี่ยวเนื่องกับความหมายของคำต่างๆ ไปสู่การสร้างคุณค่าเพิ่มในมิติของคำว่า Governance และ Digital Governance ครับ

นอกจากนี้ ขออนุญาตพูดต่อไปอีกเล็กน้อยว่า Risk Management กับ Compliance นอกจากเป็นส่วนประกอบในการสร้างคุณค่าเพิ่มที่สร้างความน่าเชื่อถือให้กับผู้มีส่วนได้เสียตามหลักการของ Governance แล้ว ทั้ง 3 คำนี้ จึงเป็นคำนิยมที่ใช้กันโดยทั่วไป เพื่อป้องกันมิให้ผู้กำกับ ผู้บริหาร ผู้ปฏิบัติงาน ลืมถึงองค์ประกอบทั้ง 3 ที่เกี่ยวพันกันอย่างแยกไม่ได้นั่นเองครับ

กระบวนการกำกับ การบริหาร การปฏิบัติการแบบบูรณาการ

เป้าหมายของการบูรณาการ หรือการเชื่อมโยง 8 Enablers ตามที่กล่าวข้างต้นให้เป็นหนึ่งเดียวกันนั้น เมื่อมาถึงขั้นตอนนี้ ท่านผู้อ่านคงจะสังเกตเห็นแล้วนะครับว่า คำว่า Digital/Data Governance ที่มีองค์ประกอบหลักๆ ตามที่ได้กล่าวข้างต้น มีสารสนเทศที่เกี่ยวข้องกับทุก Enablers ซึ่งทุก Enablers นั้น จะเชื่อมโยงกันด้วยสารสนเทศและกระบวนการในแต่ละเป้าหมายแต่ละระดับองค์กร และเป้าหมายที่เกี่ยวข้องกับ IT/Digital ในมิติของการวัดแบบสมดุลที่เรียกกันว่า Balanced Scorecard_BSc. ที่มี 4 มิติ ซึ่งได้แก่ 1) การวัดผลสัมฤทธิ์ทางด้านการเงิน 2) ทางด้านลูกค้า ซึ่งเรียกว่า Lag Indicator ที่ใช้เป็นตัวชี้วัดตามผลสัมฤทธิ์ที่เกิดจากมิติของ Lead Indicator เพื่อให้เกิดการวัดผลแบบสมดุล ซึ่งเป็นตัวชี้วัดนำที่เรียกว่า 3) การกระบวนการปรับปรุงภายใน และ 4) การเรียนรู้และการเติบโต โดยมีเป้าหมายระดับองค์กร และเป้าหมายระดับ IT/Digital 17 เป้าหมายด้วยกัน จึงสามารถนำเชื่อมโยงไปสู่กระบวนการที่เกี่ยวข้องของการนำเป้าหมายสารสนเทศ และเทคโนโลยีที่เกี่ยวข้องทางด้าน IT/Digital เข้าไป Mapping กับเป้าหมายระดับองค์กร/ธุรกิจ ตามกรอบการดำเนินงานขององค์กร/ธุรกิจ ซึ่งเป็นไปตามหลักการของ COBIT5 ซึ่งยังใช้ได้ดี ถึงแม้จะเปลี่ยนเป็น COBIT2019 แล้วก็ตาม

ซึ่งตอนนี้ผมอยากจะกล่าวต่อไปว่า คำว่า การกำกับดูแล (Governance) ได้กลายมาเป็นความคิดของธุรกิจในระดับแนวหน้า ที่แสดงให้เห็นถึงความสำคัญของการกำกับดูแลกิจการที่ดี และในทางกลับกันก็สะท้อนให้เห็นถึงความล้มเหลวขององค์กร/ธุรกิจ อันเกิดจากการละเลยการกำกับดูแลกิจการที่ดี ซึ่งเป็นประเด็นสำคัญและอาจเปรียบเทียบได้กับการติดกระดุมเม็ดแรกในการสร้างกรอบการกำกับดูแลทางด้าน Digital เพื่อองค์กร/ธุรกิจที่ต้องอิงหลักการที่เป็นสากลใช้และปฏิบัติกันอยู่โดยทั่วไป และโดยสรุปก็อาจกล่าวได้ว่า หลักการปฏิบัติที่ดีและเป็นสากลนั้น ใช้เป็นกรอบการกำกับการบริหาร รวมทั้งการปฏิบัติงานเป็นหลัก ซึ่งจะเชื่อมด้วยการบรรลุความต้องการของผู้มีส่วนได้เสียไปสู่การสร้างเป้าหมายระดับองค์กร และส่งทอดไปยังเป้าหมาย IT/Digital และเป้าหมายของปัจจัยเอื้อ (Enablers) นั่นเอง

อาจจะสรุปในเบื้องต้นในเรื่องการกำกับ การบริหาร และการปฏิบัติการ เพื่อเป็นไปตามวัตถุประสงค์ของ 8 Enablers ในการเชื่อมเป้าหมายของทุก Enablers ไปยัง Digital/Data Governance นั้น เราควรจะเน้นถึงแผนงาน โครงสร้าง ขององค์กรหรือรัฐวิสาหกิจ รามเป้าหมายของการเขียนครั้งนี้ว่า มีคุณภาพและศักยภาพ และเป้าหมายที่มุ่งไปสู่ผลสัมฤทธิ์ของแต่ละ Enablers และทุก Enablers ได้เชื่อมโยงไปสู่เป้าหมายที่เกี่ยวข้องกับ Digital ที่เชื่อมโยงไปยังเป้าหมายระดับองค์กรหรือของแต่ละรัฐวิสาหกิจอย่างไร

เมื่อถึงตอนนี้ หากองค์กรหรือรัฐวิสาหกิจ ไม่ตั้งมิติของการวัดผลแบบสมดุล-BSc. ตามที่ได้กล่าวข้างต้น การประเมินผล (Evaluate) การสั่งการ (Direct) และการเฝ้าติดตาม (Monitoring) ของกิจกรรมตามโครงการ และตามแผนงานต่างๆ อาจก่อให้เกิดความสับสนและไม่เป็นหนึ่งเดียวของการสร้างความเข้าใจ ในกระบวนการกำกับของ Governance Body หรือ Regulatory Body และไม่สะท้อนหรือไม่เชื่อมโยงไปยัง Mission – Vision – Strategy – Policy – Risk Appetite ระดับองค์กรและ/หรือระดับประเทศ ที่เกี่ยวข้องอย่างมีนัยสำคัญ

ทำความเข้าใจกับ Data Governance and Data Management บางมุมมอง

คุณสมบัติของ Data และ Information จำเป็นต้องมีคุณสมบัติที่ดีเพราะข้อมูลหรือสารสนเทศต่างๆ รวมทั้งการควบคุมความเสี่ยงที่เกิดจากการไม่มีคุณสมบัติที่ดีของสารสนเทศ หรือ cyber ที่เกี่ยวข้องกับ 8 enablers นั้นมีความสำคัญอย่างยิ่งยวดที่จะทำให้แผนงานและโครงการต่างๆ ที่โยงใยไปจาก data governance นั้น มีผลทางลบต่อ digital governance ทั้งองค์กร

ดังนั้น เรามาทำความเข้าใจกับคุณสมบัติที่ดีของสารสนเทศ ดังคำอธิบายที่เกี่ยวข้องดังนี้

ความมีความประสิทธิผล – สารสนเทศจะมีประสิทธิผล ถ้าสามารถบรรลุความต้องการของผู้ใช้สารสนเทศ ซึ่งใช้สารสนเทศสำหรับภารกิจเฉพาะหนึ่งๆ ถ้าผู้ใช้สารสนเทศสามารถปฏิบัติภารกิจด้วยการใช้สารสนเทศนั้น ก็แสดงว่าสารสนเทศนั้นมีประสิทธิผล ซึ่งสัมพันธ์กับเป้าหมายด้านคุณภาพของสารสนเทศในเรื่องจำนวนที่เหมาะสมของความเกี่ยวเนื่อง เข้าใจได้ง่าย สามารถแปลความหมายได้และเที่ยงตรง

ความมีประสิทธิภาพ – ในขณะที่ความมีประสิทธิผลจะมองสารสนเทศเป็นผลลัพธ์ ประสิทธิภาพจะเกี่ยวข้องกับกระบวนการในการได้มาและการใช้สารสนเทศ ดังนั้น จึงสอดคล้องกับมุมมองที่ว่า “สารสนเทศเป็นการให้บริการ” (Information as service) ถ้าสารสนเทศตรงกับความต้องการของผู้ใช้สารสนเทศและใช้ได้อย่างสะดวกสบาย (เช่น ใช้ทรัพยากรน้อย ไม่ว่าจะเป็นการลงแรง การใช้ความคิด เวลา และเงิน) ก็เรียกได้ว่าการใช้งานสารสนเทศนั้นมีประสิทธิภาพ ซึ่งสัมพันธ์กับเป้าหมายด้านคุณภาพของสารสนเทศในเรื่องความน่าเชื่อถือ การเข้าถึงได้ ความง่ายในการใช้งานและชื่อเสียง

ความถูกต้องสมบูรณ์ – ถ้าสารสนเทศมีความถูกต้องสมบูรณ์ ก็หมายถึงสารสนเทศนั้นครบถ้วนและไม่มีความผิดพลาด ซึ่งสัมพันธ์กับเป้าหมายด้านคุณภาพของสารสนเทศในเรื่องความครบถ้วนและถูกต้อง

ความเชื่อถือได้ – ความเชื่อถือได้มักจะถูกมองว่ามีความหมายเช่นเดียวกับคำว่า ความถูกต้อง อย่างไรก็ตาม เราอาจกล่าวได้ว่า สารสนเทศมีความเชื่อถือได้หากเป็นเรื่องจริงและได้อย่างต้องและวางใจได้ หากเปรียบกับความถูกต้องสมบูรณ์ ความเชื่อถือได้เป็นเรื่องของดุลพินิจซึ่งขึ้นกับมุมมองของแต่ละบุคคล ไม่ได้มองเพียงข้อเท็จจริงอย่างเดียว ซึ่งสัมพันธ์กับเป้าหมายด้านคุณภาพของสารสนเทศในเรื่องความน่าเชื่อถือ ชื่อเสียง ความเที่ยงตรง

ความพร้อมใช้ – ความพร้อมใช้ เป็นหนึ่งในเป้าหมายด้านคุณภาพของสารสนเทศภายใต้หัวข้อการเข้าถึงได้และความมั่นคงปลอดภัย

การรักษาความลับ – การรักษาความลับ สัมพันธ์กับเป้าหมายด้านคุณภาพของสารสเทศในเรื่องของการจำกัดการเข้าถึง

การปฏิบัติตาม – การปฏิบัติตาม ใช้ในความหมายที่สารสนเทศต้องสอดคล้องกับ ข้อกำหนดต่างๆ ซึ่งเป็นส่วนหนึ่งของเป้าหมายด้านคุณภาพของสารสนเทศที่ขึ้นอยู่กับข้อกำหนดที่มีการปฏิบัติตามกฎระเบียบข้อบังคับ มักจะเป็นเป้าหมายหรือข้อกำหนดในการใช้สารสนเทศ ซึ่งไม่ค่อยเกี่ยวเนื่องกับคุณภาพของสารสนเทศ

สำหรับการส่งทอดเป้าหมายที่เกี่ยวข้องกับ Digital Governance ในภาพโดยรวมที่ส่งทอดไปยังเป้าหมายของ Enablers ทั้ง 8 ที่ใช้มิติการวัดผลแบบสมดุล ระหว่างเป้าหมายระดับองค์กรกับเป้าหมายที่เกี่ยวกับ IT/Digital นั้น ตามที่ผมได้กล่าวแล้วว่า คณะกรรมการและผู้บริหารระดับสูงต้องมีแนวทางกำกับและการบริหารและการติดตามผลอย่างเข้มงวดที่เกี่ยวกับแผนงานและโครงการที่ควร/ต้องมีความสัมพันธ์กับพันธกิจ วิสัยทัศน์ นโยบาย กลยุทธ์ และความเสี่ยงที่ยอมรับได้ ในระดับหน่วยงานย่อยและในระดับองค์กร หรือในระดับประเทศแล้วแต่กรณี จะได้นำมาอธิบายในตอนต่อไปนะครับ

Leave a Comment » | 8 Enablers and State Enterprises | ติดป้ายกำกับ: , , , , , , , , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

Cyber Security Strategy and Enablers 1

กันยายน 9, 2019

กลยุทธ์ความมั่นคงปลอดภัยไซเบอร์ กับปัจจัยเอื้อที่ก่อให้เกิดความสำเร็จ

ในการประเมินศักยภาพและความสามารถของรัฐวิสาหกิจ ที่ได้มาตรฐานการกำกับและการบริหารที่ยอมรับได้ ตั้งแต่ปี 2563 เป็นต้นไปนั้น จะมีการเปลี่ยนแปลงอย่างมีนัยสำคัญ นั่นคือ ได้มีการประกาศใช้พระราชบัญญัติการพัฒนาการกำกับดูแลและบริหารรัฐวิสาหกิจ (พ.ร.บ. พัฒนารัฐวิสาหกิจฯ) เมื่อวันที่ 19 พฤษภาคม 2562 ซึ่งถือเป็นหัวใจสำคัญของการปฏิรูปรัฐวิสาหกิจไทย โดย พ.ร.บ. พัฒนารัฐวิสาหกิจฯ ดังกล่าวได้กำหนดวัตถุประสงค์สำคัญในการพัฒนาการกำกับดูแลและบริหารรัฐวิสาหกิจไว้ 4 ประเด็น ซึ่งรวมถึงการส่งเสริมให้รัฐวิสาหกิจดำเนินการอย่างมีประสิทธิภาพ โปร่งใส สอดคล้องกับหลักการกำกับดูแลกิจการที่ดี และมีการประเมินผลการดำเนินการอย่างต่อเนื่อง

สคร. เห็นถึงความจำเป็นของการพัฒนาระบบประเมินผล เพื่อพัฒนาต่อยอดจากโครงการระบบประเมินผลเดิมที่สามารถใช้เป็นเครื่องมือในการกำกับ ติดตาม ประเมินผลการดำเนินงานรัฐวิสาหกิจที่มีความเหมาะสม เป็นรูปธรรม และสามารถสะท้อนถึงความมีประสิทธิภาพในการดำเนินงานได้อย่างแท้จริง โดยได้พิจารณานาข้อดี/จุดแข็ง ของระบบปัจจุบันที่มีมาใช้ ปรับปรุงข้อด้อยของระบบปัจจุบัน รวมทั้งปรับปรุง เพิ่มเติมประเด็นของการจัดการสมัยใหม่และ Update ให้เป็นปัจจุบัน และจะนำมาใช้ในการประเมินผลรัฐวิสาหกิจในปี 2563 โดยมีวัตถุประสงค์ เพื่อส่งเสริมให้รัฐวิสาหกิจตอบสนองกับสภาพแวดล้อมในการดำเนินภารกิจ/ธุรกิจ การแข่งขัน ความต้องการของผู้ใช้บริการ และ บริบทที่เปลี่ยนแปลงไป เช่น การเปลี่ยนแปลงของเทคโนโลยีดิจิทัล เป็นต้น รวมถึงนโยบายสาคัญ เช่น ไทยแลนด์ 4.0 ที่ต้องการขับเคลื่อนประเทศด้วยความคิดสร้างสรรค์และนวัตกรรมด้วยการดำเนินงาน ที่มีประสิทธิภาพ โปร่งใส ตรวจสอบได้

กรอบการประเมินผลการดำเนินงานรัฐวิสาหกิจ ปีบัญชี 2563 แบ่งออกเป็น 2 ส่วน ดังนี้
1. ผลการดำเนินงาน (Key Performance Area) (นำหนักร้อยละ 60 +/- 15) ได้แก่
1) การดำเนินงานตามยุทธศาสตร์ เช่น ยุทศาสตร์ชาติ, นโยบายรัฐบาล, แผนยุทธศาสตร์ของรัฐวิสาหกิจ ฯลฯ
2) ผลการดำเนินงานที่สาคัญ (Key Result) เช่น ผลการดำเนินงานตามภารกิจที่สาคัญ, แผนงานโครงการที่สาคัญที่สะท้อนประสิทธิภาพ ประสิทธิผล ผลสัมฤทธิ์ ฯลฯ

2. กระบวนการปฏิบัติงานและการจัดการ (Enablers) (นำหนักร้อยละ 40 +/- 15)

ทั้งนี้ มีองค์ประกอบที่อาจเรียกได้ว่าเป็นปัจจัยเอื้อที่ก่อให้เกิดความสำเร็จ (Enablers) 8 ด้าน คือ

1) การกำกับดูแลที่ดีและการนำองค์กร (Corporate Governance & Leadership)

2) การวางแผนเชิงยุทธศาสตร์ (Strategic Planning)

3) การบริหารความเสี่ยงและการควบคุมภายใน (Risk Management & Internal Control)

4) การมุ่งเน้นลูกค้าและผู้มีส่วนได้ส่วนเสีย (Stakeholder & Customer)

5) การพัฒนาเทคโนโลยีดิจิทัล (Digital Technology)

6) การบริหารทุนมนุษย์ (Human Capital Management)

7) การจัดการความรู้และนวัตกรรม (Knowledge Management & Innovation Management)

8) การตรวจสอบภายใน (Internal Audit)

แผนภาพที่อาจใช้อธิบายเพื่อความเข้าใจโดยย่อ มีดังนี้

ทั้งนี้ มีรายละเอียดที่ปรากฎใน ร่างคู่มือการประเมินผลการดำเนินงานรัฐวิสาหกิจ (ระบบประเมินผลใหม่) ของ สำนักงานคณะกรรมการนโยบายรัฐวิสาหกิจ (สคร.) ผมจึงขอออกความเห็นเป็นการส่วนตัว เพื่อให้เกิดความเข้าใจที่ดี ของหน่วยงานที่ต้องปฏิบัติ (Regulated Entities) ซึ่งก็ได้แก่ รัฐวิสาหกิจที่อยู่ในเกณฑ์ที่ต้องใช้หลักเกณฑ์นี้สำหรับประเมินผลการกำกับและการดำเนินงาน ตั้งแต่ปีบัญชี 2563 เป็นต้นไป ในลักษณะที่หน่วยงานต้องปฏิบัติ ควรจะได้เข้าใจถึงหลักการที่ สคร. ได้นำมาใช้ในการประเมินผล ที่ได้อ้างอิงถึงหลักการสากลที่เป็นทั้ง Best Practice และที่เป็นมาตรฐานสากลที่เกี่ยวข้อง เช่น COBIT, COSO, ฯลฯ ที่รัฐวิสาหกิจพึงนำมาประยุกต์ใช้ให้เหมาะสมกับสภาพแวดล้อมและบริบทต่างๆ ที่เกี่ยวข้อง ในลักษณะบูรณาการ Enabler ทั้ง 8 ด้าน ในภาพใหญ่ และในภาพย่อย ด้วยความเข้าใจจริงเป็นสำคัญ

หากท่านผู้อ่านได้ดูภาพที่ปรากฎข้างต้นก็จะพบว่า Enabler หลักทั้ง 8 ด้าน ในการกำกับและการบริหาร นอกจากจะต้องให้มีประสิทธิภาพและประสิทธิผลในตัวเองของมัน ในแต่ละเรื่องหรือในแต่ละ Enabler แล้ว ยังจะต้องบูรณาการทุก Enabler ให้มีความสัมพันธ์ซึ่งกันและกัน และต้องสอดคล้องกับปัจจัยหลักที่สำคัญยิ่งยวดเหนือสิ่งอื่นใดก็คือ Governance – GRC และ Cyber Security Governance – Strategy ที่เกี่ยวข้อง

ดังนั้น ภาพดังกล่าวจึงช่วยให้คณะกรรมการรัฐวิสาหกิจและผู้บริหาร รวมทั้งผู้ปฏิบัติแต่ละแห่ง เข้าใจได้ถึงขอบเขตและกรอบการดำเนินงานในภาพใหญ่โดยรวมตามที่กล่าวข้างต้น ทั้งนี้ ผู้เกี่ยวข้องจะต้องอ่านรายละเอียดจากร่างคู่มือการประเมินผลการดำเนินงานรัฐวิสาหกิจ (ระบบประเมินผลใหม่) ให้ละเอียดตรงกับหลักการและวัตถุประสงค์ของคณะกรรมการประเมินผลฯ

ในตอนแรกนี้ ผมจะขอเน้นในเรื่องที่เกี่ยวข้องกับ Cyber Security Strategy Governance/Framework ซึ่งในที่นี้ใคร่ขอย้ำว่า ในอดีตเรียกว่า “Information Governance” ซึ่งเป็นหนึ่งในหมวดว่าด้วย Governance นั่นเอง ทั้งนี้ใคร่ขออธิบายด้วยภาพเบื้องต้นดังต่อไปนี้

 

จากภาพที่ 2 มีลักษณะอธิบายในตัวของมันเองถึง การใช้หลักการ Governance ที่อ้างอิง ISO กับ COBIT และบทบาทของผู้มีหน้าที่กำกับ (Governing Body/Regulator) และผู้มีหน้าที่ที่เกี่ยวข้องในเรื่องการบริหาร กระบวนการ และกิจกรรมต่างๆ ที่เกี่ยวข้อง โดยแยกเรื่อง Governance ออกจาก Management ที่เชื่อมโยงกับ 8 Enablers ในภาพใหญ่ตามภาพนะครับ

ภาพนี้แสดงถึงการเชื่อมโยงแต่ละ Enabler เข้ากับหลักการ COBIT ซึ่งผมได้เคยเขียนถึงก่อนหน้านี้แล้ว

ภาพที่ 4 แสดงถึง COBIT 5 Principle ซึ่งยังใช้ได้ดี ถึงแม้ ISACA จะออก version ใหม่มาแล้ว เรียกว่า COBIT 2019 แล้วก็ตาม ทั้งนี้ตามภาพได้เชื่อมหลักการกับปัจจัยเอื้อที่ก่อให้เกิดความสำเร็จย่อยที่เป็นตัวเสริมความสำเร็จในการกำกับและบริหาร ทั้ง 8 Enablers ด้วยนะครับ

ในตอนต่อไปผมจะลงในรายละเอียดที่เกี่ยวข้องกับหลักการที่สำคัญ เพื่อสร้างความเข้าใจในทางปฏิบัติที่เกี่ยวข้องกับ Cyber Security Strategy และความเชื่อมโยงกับ governance และ Management ในมุมมองของหลักการใหญ่และหลักการย่อย รวมทั้ง ความหมายของคำว่า “Apply or Explain” ที่ใช้ในการประเมินผลรัฐวิสาหกิจปี 2563 ต่อไปครับ

Leave a Comment » | 8 Enablers and State Enterprises | ติดป้ายกำกับ: , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn