การพัฒนาในเชิงรุกเพื่อให้เกิด Resilience ทางด้าน Cybersecurity ของรัฐวิสาหกิจ – มุมมองประเมินผล

มิถุนายน 24, 2025

ในยุคที่ภัยคุกคามทางไซเบอร์กลายเป็นความเสี่ยงระดับชาติ การรับมือเชิงรับเพียงอย่างเดียวไม่เพียงพออีกต่อไป โดยเฉพาะสำหรับองค์กรภาครัฐและรัฐวิสาหกิจ ซึ่งมีบทบาทสำคัญต่อโครงสร้างพื้นฐานและการให้บริการสาธารณะ สำหรับโพสต์นี้ ผมจึงชวนผู้อ่านมาทำความเข้าใจแนวทางการพัฒนาเชิงรุก (Proactive Development) เพื่อสร้างความสามารถในการฟื้นตัวและยืนหยัด (Cyber Resilience) ให้กับรัฐวิสาหกิจ โดยอิงจากกรอบแนวคิดและ/หรือมาตรฐานต่าง ๆ เพื่อเชื่อมโยง Cybersecurity เข้ากับการบริหารยุทธศาสตร์องค์กรอย่างเป็นระบบ

เชื่อม Cybersecurity กับยุทธศาสตร์องค์กร: เริ่มต้นที่วิสัยทัศน์

Cybersecurity ไม่ใช่เรื่องของฝ่าย IT เท่านั้น แต่ควรเป็นส่วนหนึ่งของกลยุทธ์องค์กรอย่างแท้จริง จุดเริ่มต้นของความมั่นคงที่ยั่งยืน คือการออกแบบ Cybersecurity Strategy ให้สนับสนุนวิสัยทัศน์ พันธกิจ และวัตถุประสงค์ขององค์กรได้อย่างชัดเจน ซึ่งควรถูกฝังอยู่ในแผนยุทธศาสตร์ เช่น Enterprise Risk Management, KPI ระดับองค์กร หรือแผนพัฒนาทรัพยากรบุคคล การมีวิสัยทัศน์ที่เชื่อมโยง Cybersecurity กับเป้าหมายองค์กร จึงเป็นรากฐานของ Resilience ที่แท้จริง

กรอบมาตรฐานช่วยให้มีกลยุทธ์ที่เป็นรูปธรรม

การเลือกกรอบมาตรฐานที่เหมาะสมเป็นหัวใจในการยกระดับการบริหารด้านไซเบอร์ โดยมีกรอบที่ได้รับการยอมรับอย่างแพร่หลาย เช่น:

  • NIST Cybersecurity Framework (CSF): โดดเด่นในการเชื่อมความเสี่ยงไซเบอร์กับเป้าหมายเชิงกลยุทธ์ ผ่าน 5 ฟังก์ชันหลัก: Identify, Protect, Detect, Respond, และ Recover
  • COBIT: เน้น Governance และการจัดการที่เชื่อมโยงกับกลยุทธ์องค์กรได้ชัดเจน โดยเฉพาะในการบริหาร IT อย่างมีระบบ
  • ISO/IEC 27001 และ 27002: เหมาะสำหรับการจัดการความมั่นคงสารสนเทศเป็นระบบ มีบริบทที่เชื่อมโยงกับองค์กรและเป้าหมายทางธุรกิจ
  • SE-AM: เป็นกรอบที่พัฒนาโดยหน่วยงานภาครัฐไทย (สรอ.) เมื่อปรับปรุงเรื่อง Cybersecurity Framework แล้วจะช่วยให้องค์กรภาครัฐและรัฐวิสาหกิจสามารถกำหนดแนวทางเชิงยุทธศาสตร์ด้านไซเบอร์ให้สอดคล้องกับ Governance และ PDPA (Personal Data Protection Act)/GDPR (General Data Protection Regulation)  ได้ง่าย

SE-AM: ทางเลือกเชิงยุทธศาสตร์ของรัฐวิสาหกิจไทย

สำหรับรัฐวิสาหกิจไทย กรอบ SE-AM ถือว่าเหมาะสม เพราะออกแบบมาโดยเฉพาะสำหรับบริบทองค์กรภาครัฐ มีจุดแข็งที่สำคัญคือ การเน้นการขับเคลื่อนจากบนลงล่าง (Top-down) ซึ่งสอดคล้องกับโครงสร้างการบริหารภาครัฐ และสามารถผสานเข้ากับกรอบสากลอื่นได้ เช่น นำ NIST CSF มาใช้เป็น baseline และค่อยต่อยอดไปยัง ISO 27001 ตามลำดับความพร้อม

อย่างไรก็ดี Core Business Enablers ในการที่หน่วยงานกำกับใช้เป็นกรอบในการประเมินผลการดำเนินงานรัฐวิสาหกิจนั้น ยังไม่ได้รวมมาตรฐานที่เกี่ยวข้องกับการปฏิบัติตามกฎหมาย กฎเกณฑ์ ทั้งภายในประเทศและภายนอกประเทศ ที่มีผลอย่างสำคัญยิ่งต่อรัฐวิสาหกิจที่ควรจะปฏิบัติตาม หลักการ Governance และ Management ที่มีผลไปถึง Performance และ Conformance ของรัฐวิสาหกิจ ที่มีผลสะท้อนไปยังยุทธศาสตร์ชาติ นโยบายรัฐบาล และแผนยุทธศาสตร์ของรัฐวิสาหกิจ ฯลฯ

นอกจากนี้ จะส่งผลกระทบต่อผลการดำเนินงานที่สำคัญ (Key Results) ต่อผลการดำเนินงานตามภารกิจที่สำคัญที่เกี่ยวข้องกับแผนงาน โครงการ ที่สะท้อนประสิทธิภาพ ประสิทธิผล ผลสัมฤทธิ์ ฯลฯ ในแต่ละ Core Business Enablers รวมทั้งการบูรณาการ ในการประเมินประสิทธิภาพ และประสิทธิผล ต่อ Core Business Enablers โดยรวม โดยเฉพาะอย่างยิ่ง ในเรื่องที่เกี่ยวข้องกับการพัฒนาในเชิงรุกเพื่อให้เกิด Resilience ทางด้าน Cybersecurity ฯลฯ ของรัฐวิสาหกิจที่เกี่ยวข้องกับการปฏิบัติตามกฎหมาย กฎเกณฑ์ ตามมาตรฐานและ Best Practice ที่เกี่ยวข้อง ซึ่งมีผลกระทบอย่างสำคัญต่อ GRC และ ESG และ output, outcome ต่อ performance และ conformance รวมทั้ง กระบวนการสร้างคุณค่าเพิ่ม (Value Creation) ในลักษณะ End-to-End ของรัฐวิสาหกิจ/องค์กร และกรอบมาตรฐาน ที่ช่วยให้องค์กรมีกลยุทธ์ที่เป็นรูปธรรม ตามที่ได้กล่าวข้างต้น

ภาพรวม: ใช้ 7S Model เป็นเลนส์ในการพัฒนา Cybersecurity Resilience

Cybersecurity ไม่ใช่เรื่องเทคนิคเท่านั้น แต่ต้อง “ฝังอยู่ในระบบคุณค่า” และ “ถูกขับเคลื่อนร่วมกัน” โดยทุกส่วนงานขององค์กร ดังที่ McKinsey 7S Model แสดงไว้ แบ่งเป็น:

  • Hard S (Strategy, Structure, Systems) – สิ่งที่จัดการได้ชัดเจน
  • Soft S (Shared Values, Skills, Staff, Style) – สิ่งที่ฝังลึกในวัฒนธรรมองค์กร

แนวทางบูรณาการที่ครอบคลุมเพื่อ Resilience ด้านไซเบอร์:

1. Strategy:

จุดเสี่ยง: ยุทธศาสตร์ที่ยังไม่เชื่อมโยงกับภาครัฐและไม่ตอบโจทย์การเปลี่ยนผ่านสู่ดิจิทัล (Thailand 4.0) และอาจยังไม่เชื่อมโยงกับแนวทางการพัฒนาสู่ AI Transformation ซึ่งจะมีผลกระทบอย่างสำคัญต่อกระบวนการ Governance และ Management ที่สำคัญของทุกองค์กร
แนวทาง:

  • ต้องกำหนด Cybersecurity Strategy ให้สอดคล้องกับ Vision และ Strategic Plan ระดับองค์กร
  • เสนอให้รวมไซเบอร์เข้าใน KPI ยุทธศาสตร์, แผนบริหารความเสี่ยงองค์กร และ SE-AM Framework

2. Structure:

จุดเสี่ยง: โครงสร้างยังมีความซับซ้อน และขาดความคล่องตัว
แนวทาง:

  • ปรับโครงสร้างให้เกิด Cyber Governance Board หรือ CISO ที่รายงานต่อผู้บริหารโดยตรง
  • ส่งเสริมโครงสร้างที่เอื้อต่อ cross-functional team ในการบริหารเหตุการณ์ไซเบอร์

3. Systems:

จุดเสี่ยง: ขาดระบบ Centralized, Back/Front office ไม่สอดประสาน, KM ยังไม่ครบ
แนวทาง:

  • พัฒนา Cybersecurity Architecture แบบ Zero Trust
  • ใช้ระบบ Cyber KM และ Threat Intelligence เป็นระบบประสานร่วม
  • เชื่อมโยงกับ GRC Tools และ PDPA Compliance Platform

4. Shared Values:

จุดเสี่ยง: ขาดพลังร่วม (Synergy) ในการขับเคลื่อนเป้าหมายองค์กร
แนวทาง:

  • วาง “Cybersecurity เป็นวาระองค์กร”
  • สื่อสารคุณค่าเรื่อง “Trust, Integrity, และ Resilience” ผ่าน Internal Branding
  • จัดกิจกรรมสร้างวัฒนธรรมไซเบอร์ เช่น Cyber Month หรือ Cyber Ambassadors

5. Staff:

จุดเสี่ยง: หน่วย ICT ยังไม่ทำงานตามมาตรฐาน และไม่มีบทบาทเชิงรุก
แนวทาง:

  • ต้องสร้างแผนพัฒนากำลังคนไซเบอร์แบบ Multi-level (ทั้งผู้บริหาร, ผู้ปฏิบัติ, และผู้เชี่ยวชาญ)
  • กำหนด JD ด้าน Cybersecurity ให้ชัดเจน และเสริมทักษะให้กับ non-IT units

6. Skills:

จุดเสี่ยง: ขาดทักษะ ICT เชิงลึก ต้องจ้างภายนอก
แนวทาง:

  • อบรม Reskill & Upskill ด้าน Cybersecurity ตาม framework เช่น NICE Framework
  • ใช้ internal sandbox ในการฝึกซ้อม/เรียนรู้ เช่น CTF, War Room, Incident Drill

7. Style:

จุดเสี่ยง: การบริหารยังเป็นแบบราชการ ไม่คล่องตัว
แนวทาง:

  • ต้องปรับ Style การบริหารเป็น Agile + Risk-informed + Evidence-based
  • ผู้นำองค์กรต้องแสดง Tone at the Top ด้าน Cybersecurity อย่างจริงจัง

“หาก Cybersecurity คือเส้นเลือดของความมั่นคงในยุคดิจิทัล… Enablers ทั้ง 7S ก็คือโครงสร้างร่างกายของรัฐวิสาหกิจ”

การประเมินผลองค์กรจึงควรใช้ 7S เป็นกรอบการพัฒนาแบบองค์รวม โดยเฉพาะเมื่อนำไปเชื่อมโยงกับโมเดล SE-AM / GRC / Performance Evaluation เพื่อให้เกิด Cybersecurity Resilience ที่ไม่เพียงแค่ป้องกันได้ แต่ฟื้นตัวและเติบโตต่อได้

การบูรณาการไซเบอร์กับกระบวนการบริหารในทุกมิติ

Resilience ทางด้าน Cybersecurity จะเกิดขึ้นได้จริงก็ต่อเมื่อการบริหารจัดการไซเบอร์ไม่ถูกแยกออกจากกระบวนการบริหารหลักขององค์กร แต่ถูก “ฝังตัว” อยู่ในกระบวนการต่าง ๆ เช่น การจัดซื้อจัดจ้าง (procurement), การบริหารบุคลากร (HR), การเงินการบัญชี ฯลฯ และมีโครงการหรือแผนงานที่สอดคล้องกับเป้าหมายเชิงกลยุทธ์ เช่น การฝึกอบรมพนักงาน การทดสอบแผนตอบสนองเหตุการณ์ (incident response) หรือการนำระบบ automation เข้ามาช่วยลดความเสี่ยง

มาตรฐานไม่ได้มีไว้ให้เลือกเพียงหนึ่ง แต่ต้องผสานอย่างมียุทธศาสตร์

การเลือกใช้มาตรฐานควรคำนึงถึงความเหมาะสมกับบริบทขององค์กร ไม่จำเป็นต้องเลือกเพียงหนึ่ง แต่สามารถผสานกันได้ เช่น:

  • เริ่มต้นจาก NIST CSF เพื่อความเข้าใจง่ายและเป็น baseline ที่ดี
  • ใช้ COBIT สำหรับการจัดการ Governance และการกำหนดทิศทางเชิงกลยุทธ์
  • นำ ISO 27002 มาใช้เฉพาะด้านการควบคุมภายในเพื่อไม่ให้ภาระมากเกินไปในช่วงเริ่มต้น

การแยกแยะระหว่าง Governance และ Management ช่วยให้องค์กรวางแผนได้ถูกจุด

ความเข้าใจเรื่อง Governance กับ Management ช่วยให้องค์กรออกแบบบทบาทและหน้าที่ได้เหมาะสม:

  • Governance: มองระดับภาพรวม เช่น การกำหนดนโยบาย วิสัยทัศน์ และ oversight โดยคณะกรรมการ
  • Management: มองระดับปฏิบัติ เช่น การจัดการ user, patching, หรือ incident response โดยผู้บริหาร

บทบาทของผู้บริหารในแต่ละระดับ: ร่วมขับเคลื่อน Cyber Resilience

การพัฒนา Cybersecurity ที่ยั่งยืน จำเป็นต้องมีการมีส่วนร่วมในทุกระดับ:

  • Board of Directors: กำหนดทิศทาง และสร้าง “Tone at the Top”
  • C-Level (CEO, CIO, CISO): วางกลยุทธ์ จัดสรรทรัพยากร สร้างความร่วมมือ และวัดผลความเสี่ยง
  • ผู้บริหารระดับกลาง/ต้น: ดำเนินการ ประสานงาน และสนับสนุนบุคลากรในหน้างาน

การกำหนดบทบาทที่ชัดเจนเหล่านี้ช่วยให้ทุกคนในองค์กรรู้ว่า “Cybersecurity ไม่ใช่หน้าที่ของใครคนหนึ่ง แต่คือความรับผิดชอบร่วมกัน”

จาก SILO สู่ระบบ – เปลี่ยนความมั่นคงไซเบอร์เป็นวัฒนธรรมองค์กร

Cybersecurity ที่มี Resilience ไม่ได้เกิดขึ้นจากการออกนโยบาย หรือการใช้เครื่องมือที่ล้ำหน้าเพียงอย่างเดียว แต่เกิดจากการเข้าใจ เชื่อมโยง และมีส่วนร่วมของทุกคนในองค์กร รัฐวิสาหกิจ สามารถใช้โอกาสนี้เปลี่ยน “ไซโล” ทางไซเบอร์ให้กลายเป็นระบบที่เชื่อมโยงกับยุทธศาสตร์องค์กร สร้างวัฒนธรรมความมั่นคงที่ยั่งยืน และพร้อมรับมือกับภัยคุกคามในอนาคตอย่างมั่นใจ

การประเมินผลการดำเนินงานรัฐวิสาหกิจควรมีการปรับปรุงโดยผู้กำกับให้รัฐวิสาหกิจมีกรอบและแนวการปฏิบัติที่เหมาะสมกับการเปลี่ยนแปลงของ Digital Transformation ไปสู่ Gen-AI Transformation จึงไม่ใช่แค่แนวคิด แต่คือพลังในการขับเคลื่อนองค์กรให้มีชีวิต มีเป้าหมาย และมีภูมิคุ้มกันทางไซเบอร์ที่แข็งแกร่งในทุกระดับของการบริหารในยุคปัจจุบันและอนาคต

1 ความเห็น | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

NRC ยุค Gen-AI เพื่อการกำกับและบริหารแบบบูรณาการอย่างยั่งยืน

มิถุนายน 17, 2025

ปรากฏการณ์ Gen-AI กับองค์กรยุคใหม่

ในช่วงไม่กี่ปีที่ผ่านมา เทคโนโลยีปัญญาประดิษฐ์ (AI) โดยเฉพาะ Generative AI หรือ Gen-AI ได้เข้ามามีบทบาทอย่างลึกซึ้งต่อการดำเนินงานขององค์กรทั้งภาครัฐและเอกชน การที่ AI สามารถสร้างเนื้อหา วิเคราะห์ข้อมูล และเรียนรู้พฤติกรรมผู้ใช้อย่างชาญฉลาด ทำให้เกิดคำถามสำคัญว่า องค์กรกำกับนโยบายอย่าง NRC (National Research Council หรือองค์กรในลักษณะคล้ายกัน) ควรปรับตัวอย่างไรท่ามกลางกระแสเทคโนโลยีที่ก้าวกระโดด

NRC ในฐานะองค์กรที่มีภารกิจด้านการส่งเสริม วิจัย พัฒนา หรือแม้แต่กำกับดูแลระดับประเทศ จำเป็นต้องก้าวสู่บทบาทใหม่ที่ไม่ได้เป็นเพียงแค่ผู้กำหนดนโยบาย แต่ต้องเป็น “ผู้นำเชิงระบบ” (System Enabler) ที่สามารถเชื่อมโยงการบริหาร กำกับ และสร้างความยั่งยืนในทุกมิติ ผ่านการใช้ศักยภาพของ AI อย่างรับผิดชอบและมีจริยธรรม

NRC ยุค Gen-AI: เมื่ออัลกอริทึมกลายเป็นส่วนหนึ่งของการตัดสินใจ

การพูดถึง NRC ยุค Gen-AI ไม่ใช่เพียงการเพิ่มเครื่องมือเทคโนโลยีเข้าไปในกระบวนการ แต่คือการ “ยกระดับบทบาท” ขององค์กร โดยมอง AI เป็นพลังสนับสนุน (enabler) ให้กับพันธกิจเดิม ได้แก่ การวิจัย การวิเคราะห์เชิงนโยบาย และการกำกับดูแล

ในยุคนี้ NRC ควรมีลักษณะสำคัญ 3 ประการ:

  1. AI-Augmented Organization: ใช้ AI เพื่อวิเคราะห์ข้อมูล วิจัยเชิงลึก และกำกับติดตามได้อย่างแม่นยำ
  2. Evidence-Based Governance: ตัดสินใจโดยอิงข้อมูลแบบ real-time จากแหล่งข้อมูลหลากหลายที่เชื่อมโยงกัน
  3. Agile Policy & Regulatory Lab: เป็นพื้นที่ทดลองเชิงนโยบายและการกำกับที่ยืดหยุ่น คล่องตัว ทันต่อการเปลี่ยนแปลง

การกำกับและบริหารแบบบูรณาการ: แนวคิดและความจำเป็น

ปัญหาในหลายองค์กรคือการบริหารที่แยกส่วน (Silo-Based) ซึ่งขัดต่อการจัดการเชิงระบบในยุคที่ปัญหามีความซับซ้อนสูง ดังนั้น NRC ควรนำแนวคิด “Integrated Governance” มาใช้ ซึ่งครอบคลุมทั้ง 5 มิติ ได้แก่:

  • Policy: เชื่อมโยงเป้าหมายเชิงนโยบายกับแผนปฏิบัติการ
  • People: ส่งเสริมทักษะดิจิทัลและ AI แก่บุคลากร
  • Platform: ลงทุนในเทคโนโลยีที่สนับสนุนการทำงานแบบเปิด
  • Process: ปรับกระบวนการให้ยืดหยุ่นและอิงข้อมูล
  • Performance: มีระบบติดตามผลแบบใกล้ชิดและต่อเนื่อง

การใช้ AI ในการผนวกมิติเหล่านี้จะช่วยให้องค์กรสามารถบริหารเชิงกลยุทธ์ได้มีประสิทธิภาพมากขึ้น

กรอบแนวคิด GRC + ESG + Digitalization

GRC (Governance, Risk, Compliance) เป็นโครงสร้างสำคัญของการบริหารองค์กรสมัยใหม่ เมื่อผนวกกับ ESG (Environment, Social, Governance) และ Digital Transformation จะเกิดเป็นแนวคิด “GRC-D” หรือ “GRC for Digital Era” ซึ่งมีองค์ประกอบดังนี้:

  • Governance: AI ต้องมีกรอบกำกับเพื่อความโปร่งใส ตรวจสอบได้ และมีจริยธรรม
  • Risk: ต้องประเมินความเสี่ยงเชิงเทคโนโลยี เช่น bias, cyber threat, model drift
  • Compliance: สอดคล้องกับข้อกำหนดทางกฎหมายและแนวทางสากล
  • Sustainability: ใช้เทคโนโลยีเพื่อสร้างผลกระทบที่ยั่งยืนต่อสังคมและสิ่งแวดล้อม

NRC ควรเป็นต้นแบบองค์กรที่สามารถประยุกต์ใช้แนวคิดนี้ในระดับยุทธศาสตร์

ตัวอย่าง Use Case: NRC ใช้ AI เพื่อการกำกับอย่างชาญฉลาด

ตัวอย่างที่เป็นไปได้ของการใช้ AI ใน NRC ได้แก่:

  • AI for Research Prioritization: วิเคราะห์เทรนด์งานวิจัยทั่วโลกเพื่อกำหนดเป้าหมายเชิงยุทธศาสตร์
  • Policy Simulation: ใช้ AI จำลองผลกระทบนโยบายต่าง ๆ ก่อนนำไปใช้จริง
  • Regulatory Monitoring: ตรวจสอบการปฏิบัติตามกฎระเบียบในแบบเรียลไทม์ผ่านระบบอัตโนมัติ
  • Knowledge Automation: สร้าง Chatbot หรือระบบสนับสนุนการตัดสินใจให้กับผู้บริหาร

การจัดการความเสี่ยงและจริยธรรมในยุค AI

แม้ AI จะทรงพลัง แต่ก็แฝงความเสี่ยง ทั้งด้านจริยธรรม ความเอนเอียงของข้อมูล และความไม่โปร่งใสในการตัดสินใจ NRC ควรมีแนวทางดังนี้:

  • กำหนด AI Governance Framework ภายใน
  • ส่งเสริมการใช้ Explainable AI (XAI) เพื่ออธิบายผลลัพธ์
  • มีระบบ AI Audit ตรวจสอบการใช้ AI ทั้งในเชิงเทคนิคและจริยธรรม

สร้าง จรรยาบรรณ AI สำหรับบุคลากร

เปลี่ยนผ่านจาก Digital Transformation สู่ Gen-AI: NRC ต้องปรับตัวอย่างไร?

Digital Transformation คือการวางรากฐานดิจิทัล เช่น ERP, Cloud และ RPA ส่วน Gen-AI คือการนำความฉลาดของข้อมูลมาใช้สร้างคุณค่า NRC ต้องเข้าใจการใช้ข้อมูลและ AI ในมุมมองของ “ศักยภาพผู้นำ” และ “ความสามารถปรับตัวต่อเทคโนโลยี” เช่น NRC ต้องเรียนรู้แนวโน้มผู้นำที่สามารถผสาน ESG และ AI ไปด้วยกัน เช่น CEO ที่ผลักดัน Carbon Neutral ด้วย Digital Twin

แผนที่ทางการเปลี่ยนผ่าน (Transformation Roadmap)

การเปลี่ยนผ่านของ NRC ไปสู่ยุค AI ไม่ใช่เพียงเรื่องเทคโนโลยี แต่เป็นการเปลี่ยนวัฒนธรรมองค์กร โดยสามารถแบ่งได้เป็น 3 ระยะ:

ระยะสั้น (1 ปี): Digitalization พื้นฐาน เช่น ระบบจัดเก็บและวิเคราะห์ข้อมูล

ระยะกลาง (2–3 ปี): AI Integration เช่น การใช้ AI ในงานวิเคราะห์และติดตามนโยบาย

ระยะยาว (4–5 ปี): สร้างระบบกำกับนโยบายและการวิจัยแบบบูรณาการด้วย AI (AI Ecosystem)

ข้อเสนอเชิงนโยบายและแนวปฏิบัติ

  • NRC ควรเป็น AI Policy Lab แห่งชาติ: พัฒนานโยบายต้นแบบโดยใช้ AI เป็นเครื่องมือ
  • สร้าง Data Sharing Platform ระหว่างหน่วยงานเพื่อเพิ่มประสิทธิภาพการกำกับ
  • ตั้งหน่วยงานย่อยด้าน AI Governance ภายใน NRC เพื่อควบคุม ตรวจสอบ และสร้างมาตรฐาน

กำหนดยุทธศาสตร์ NRC 5 ปี โดยมี AI และความยั่งยืนเป็นแกนกลาง

NRC ยุค Gen-AI: ผู้นำแห่งการสรรหา ค่าตอบแทน และคุณค่าที่ขับเคลื่อนด้วยข้อมูลและจริยธรรม

NRC กับความรับผิดชอบเชิงบูรณาการ: สร้างสมดุลระหว่างมนุษย์กับอัจฉริยะเทียม

ในยุคของ Generative AI (Gen-AI) ที่องค์กรต่างแสวงหาความสามารถของเทคโนโลยีเพื่อเพิ่มประสิทธิภาพ ความเร็ว และนวัตกรรม คณะกรรมการสรรหาและกำหนดค่าตอบแทน (Nomination and Remuneration Committee: NRC) กำลังเผชิญกับบทบาทที่ลึกซึ้งยิ่งกว่าการคัดเลือกผู้บริหารหรือการออกแบบแพ็กเกจเงินเดือน

NRC กลายเป็นฟันเฟืองสำคัญ ที่ต้องเข้าใจทั้งบริบทของ “มนุษย์” และ “อัจฉริยะเทียม” เพื่อสร้างสมดุลระหว่างการใช้ศักยภาพของ AI กับการรักษาหลักจริยธรรม ความโปร่งใส และคุณค่าทางวัฒนธรรมขององค์กร

NRC ต้องกำกับทั้งผู้นำมนุษย์และการใช้เทคโนโลยี AI อย่างมีจริยธรรม ต้องมีหลักเกณฑ์ว่าการใช้ AI ต้องไม่ละเมิดสิทธิ์ หรือทำลายคุณค่าความเป็นมนุษย์ อย่างเช่น ในการสรรหาผู้บริหารฝ่าย HR, NRC พิจารณาความสามารถในการใช้ AI คัดเลือกบุคลากรโดยไม่ลำเอียงทางเชื้อชาติหรือเพศ

เมื่อข้อมูล (Data) และความรู้ (Knowledge) คือทุนใหม่: NRC ต้องเข้าใจอย่างไร?

ในอดีต ความสามารถ ทักษะ และประสบการณ์ เป็นทรัพยากรหลักในการสรรหาผู้บริหาร แต่ในวันนี้ “ข้อมูล” (Data) และ “ความรู้” (Knowledge) ได้กลายเป็นทุนใหม่ที่มีค่า NRC ต้องพิจารณาผู้นำที่สามารถจัดการ Data Governance และนำความรู้มาใช้สร้างนวัตกรรม

NRC ต้องปรับมุมมองจากการวัดคุณสมบัติแบบเดิม มาเป็นการเข้าใจ “ศักยภาพการบริหารข้อมูล” ของผู้สมัคร เช่น การใช้ data-driven decision, การเรียนรู้จากข้อมูล (learning agility) และความสามารถในการสร้างความรู้จากข้อมูลในองค์กร สิ่งนี้ไม่เพียงแต่ส่งผลต่อการสรรหา แต่ยังรวมถึงการกำหนดค่าตอบแทนตามศักยภาพในการใช้ “ทุนข้อมูล” เพื่อสร้างคุณค่าองค์กรในอนาคต

ตัวอย่างเช่น NRC ประเมิน CEO candidate โดยดูความสามารถในการนำ ISO 30401 มาใช้จัดการความรู้ในองค์กรขนาดใหญ่

จริยธรรมของ AI ในกระบวนการสรรหา: NRC ต้องตั้งคำถามอะไรบ้าง?

แม้ AI จะช่วยให้กระบวนการสรรหาแม่นยำและรวดเร็วขึ้น แต่ NRC ต้องไม่ลืมมองผ่านแว่นของจริยธรรม (Ethics)

  • อัลกอริธึมเลือกผู้สมัครอย่างเป็นธรรมจริงหรือไม่?
  • มีอคติฝังลึกในข้อมูลที่ใช้เทรน AI หรือไม่?
  • ผู้สมัครมีสิทธิรู้ว่าตนถูกประเมินอย่างไรหรือไม่?

คำถามเหล่านี้ไม่ใช่เรื่องของ IT เท่านั้น แต่เป็นความรับผิดชอบทางธรรมาภิบาลที่ NRC ต้องตั้งขึ้นเพื่อรักษาความยุติธรรม ความเท่าเทียม และความโปร่งใสในการใช้เทคโนโลยี

เช่น AI คัดเลือกผู้สมัครโดยอคติหรือไม่? มีความโปร่งใสในการตั้งเกณฑ์หรือไม่? NRC ต้องตรวจสอบ Algorithm และตั้งคำถามอย่างมีหลักการ

ตัวอย่างเช่น NRC ขอให้ฝ่าย HR อธิบาย Training Data ของ AI ที่ใช้คัดเลือกผู้บริหารระดับสูง ว่าครอบคลุมความหลากหลายเพียงใด

AI for NRC: เครื่องมือที่ช่วยให้การสรรหามีประสิทธิภาพและโปร่งใสมากขึ้น

AI ไม่ได้เป็นเพียงวัตถุแห่งการกำกับ แต่เป็น “เครื่องมือ” ที่ NRC สามารถใช้เพื่อเพิ่มความสามารถของตนเอง

AI สามารถช่วย:

  • วิเคราะห์โปรไฟล์ผู้สมัครจากแหล่งข้อมูลหลากหลาย
  • ประเมินทักษะพฤติกรรมผ่านการวิเคราะห์การสื่อสาร
  • คัดกรองผู้สมัครที่สอดคล้องกับค่านิยมองค์กร
  • ตรวจสอบความสอดคล้องของค่าตอบแทนกับแนวโน้มตลาด

ด้วยการใช้ AI อย่างมีกลยุทธ์ NRC สามารถยกระดับมาตรฐานการสรรหาให้มีความชัดเจน ตรวจสอบได้ และตอบสนองอนาคตที่ขับเคลื่อนด้วยข้อมูล NRC ควรรู้จัก Talent Intelligence, AI Interview Analysis, Leadership Simulation ที่ใช้ AI ช่วยให้เห็นศักยภาพผู้นำได้รอบด้าน ตัวอย่าง การใช้ AI วิเคราะห์พฤติกรรมและภาษาในการสัมภาษณ์ เพื่อเสริมการตัดสินใจของคณะกรรมการแบบไม่เอนเอียง

ค่าตอบแทนแบบไหนจึงจะดึงดูดผู้นำยุค AI?

ผู้นำในยุค AI ไม่ได้มองค่าตอบแทนเพียงในรูปของเงินเดือนหรือโบนัส แต่ให้ความสำคัญกับ “ความหมายของงาน” (Purpose), “ความยืดหยุ่น” (Flexibility) และ “โอกาสในการเติบโตทางวิชาชีพ” ซึ่งหมายรวมถึง Learning Allowance, Innovation Bonus หรือแม้กระทั่ง AI Research Budget สำหรับผู้นำ

NRC ต้องออกแบบระบบค่าตอบแทนที่เป็น:

  • Value-Based Compensation: สะท้อนคุณค่าที่สร้างจริง ไม่ใช่แค่ตำแหน่ง
  • Long-Term Incentive: เชื่อมโยงเป้าหมายระยะยาวขององค์กรกับผลงาน
  • Non-Financial Rewards: เช่น การเรียนรู้ต่อเนื่อง การมีส่วนร่วมในนวัตกรรม

การดึงดูดและรักษาผู้นำที่เข้าใจโลกดิจิทัล จำเป็นต้องคิดใหม่เกี่ยวกับ “รางวัล” และ “แรงจูงใจ” ในมุมมองแบบองค์รวม ตัวอย่างเช่น บริษัทเทคใช้ระบบพิจารณา “ค่าตอบแทนตามผลลัพธ์ของ AI Initiatives” เช่น หากโครงการ AI ลดต้นทุนได้จริง ผู้นำได้ Bonus เพิ่มขึ้น

NRC ในฐานะผู้นำการสร้างวัฒนธรรมองค์กรแห่งอนาคต

การสรรหาผู้นำไม่เพียงเป็นเรื่องของทักษะ แต่คือการคัดเลือก “ผู้ถ่ายทอดวัฒนธรรม”

NRC มีบทบาทในการขับเคลื่อนวัฒนธรรมองค์กรให้ทันสมัย สอดคล้องกับโลกที่เปลี่ยนแปลง โดยคำนึงถึงความยั่งยืน ความหลากหลาย (DEI) และนวัตกรรม

NRC ยังมีบทบาทเลือกผู้นำที่สร้างวัฒนธรรมการเรียนรู้ การทดลอง และความโปร่งใส เพื่อสร้างองค์กรที่เรียนรู้ได้ด้วยตนเอง (self-adaptive)

ผู้นำที่ NRC เลือก ควรเป็นผู้สร้าง “สภาพแวดล้อมที่เอื้อต่อการเติบโตของ AI และคนร่วมกัน” ไม่ใช่คนใดคนหนึ่ง

ตัวอย่าง: NRC เลือก CFO ที่สนับสนุนระบบ Knowledge Graph เพื่อให้พนักงานทุกระดับเข้าถึงข้อมูลเชิงกลยุทธ์

ร่วมมือกับคณะกรรมการอื่นอย่างไร เพื่อการกำกับแบบ End-to-End

องค์กรไม่สามารถสร้างการกำกับที่ดีได้ด้วยคณะกรรมการชุดเดียว NRC ต้องทำงานหรือประสานงานร่วมกับ:

  • คณะกรรมการความเสี่ยง (Risk Committee) เพื่อประเมินความเสี่ยงจากการใช้ AI
  • คณะกรรมการบรรษัทธรรมาภิบาล (CG Committee) เพื่อวางกรอบจริยธรรม
  • คณะกรรมการเทคโนโลยี (Technology Committee) เพื่อเชื่อมโยงข้อมูลและนวัตกรรม

การสร้าง “การกำกับแบบ End-to-End” คือการประสานกลยุทธ์ กฎหมาย ข้อมูล และคน ให้เป็นหนึ่งเดียวภายใต้เป้าหมายองค์กร

ตัวอย่าง: NRC ทำงานร่วมกับคณะกรรมการไอที ในการกำหนดค่าตอบแทน CTO ที่สามารถทำ Digital Risk Assessment ร่วมกับทีมตรวจสอบภายใน

จาก NRC สู่องค์กรแห่งคุณค่าเพิ่ม (Value-Centric Organization)

NRC ที่เข้าใจการเปลี่ยนผ่านของโลกดิจิทัลจะไม่เพียงสรรหาคนเก่ง แต่จะสรรหาคนที่สร้าง “คุณค่าเพิ่ม”

NRC ต้องเปลี่ยนบทบาทจากแค่ “คัดเลือกและกำหนดค่าตอบแทน” ไปเป็น “ผู้ออกแบบคุณค่าองค์กรผ่านคน” โดยเฉพาะในยุคที่ AI คือผู้ช่วยสำคัญ การกำหนดค่าตอบแทนที่สะท้อนผลกระทบที่ผู้บริหารมีต่อ Stakeholder อย่างแท้จริง คือรากฐานของการขับเคลื่อนองค์กรให้เติบโตอย่างมีจริยธรรมและยั่งยืน นี่คือบทบาทของ NRC ที่ก้าวข้ามจาก “ผู้ประเมินผลงาน” ไปสู่ “ผู้สร้างผลกระทบ”

ตัวอย่าง: NRC ออกแบบค่าตอบแทนผู้นำตาม KPI ที่เกี่ยวกับ Innovation, ESG, Customer-Centricity และ AI Adoption

NRC ยุค Gen-AI: เมื่อการสรรหาไม่ใช่แค่เรื่องของคน แต่เป็นเรื่องของข้อมูลและคุณค่า

สุดท้าย NRC ในยุค Gen-AI ต้องมองการสรรหาและค่าตอบแทนไม่ใช่แค่การบริหาร “คน” แต่คือการบริหาร “ข้อมูล” และ “คุณค่า” เพราะคนที่ใช่ในตำแหน่งสำคัญ ไม่ได้ถูกเลือกแค่ด้วยเรซูเม่หรือประวัติ แต่ด้วย “หลักฐานเชิงข้อมูล” ที่มีความหมาย และ “กรอบจริยธรรม” ที่ชัดเจน องค์กรที่มี NRC ที่เข้าใจสิ่งนี้ คือองค์กรที่พร้อมก้าวสู่อนาคตด้วยความมั่นใจ โปร่งใส และยั่งยืน

ยุคนี้ NRC ต้องรู้ว่า ข้อมูลและคุณค่า (Value) นั้น เดินไปพร้อมกัน NRC ที่ดีจึงไม่ใช่แค่เลือกคนเก่ง แต่ต้องเลือกคนที่สร้างคุณค่าจากข้อมูลได้อย่างยั่งยืน ทั้งด้านธุรกิจ มนุษย์ และสังคม

สรุป NRC ในยุค Gen-AI ต้องเปลี่ยนบทบาทจากผู้กำกับหรือส่งเสริมวิจัยแบบเดิม มาเป็นผู้สร้างระบบนิเวศของการกำกับ วิจัย และพัฒนาที่ยั่งยืน โดยใช้พลังของ AI อย่างมีจริยธรรม บูรณาการ และเน้นผลลัพธ์ที่ตอบโจทย์สังคมอย่างแท้จริง

บทความหน้าจะเป็นเรื่องเกี่ยวกับอะไร โปรดติดตามกันนะครับ สวัสดีครับ

Leave a Comment » | AI กับ GRC | ติดป้ายกำกับ: , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

หนังสือการจัดระบบควบคุมความเสี่ยงของสถาบันการเงิน

มิถุนายน 8, 2025

ในโลกที่สถาบันการเงินต้องเผชิญกับความซับซ้อนของธุรกรรม ความเปลี่ยนแปลงของเทคโนโลยี และแรงกระเพื่อมของเศรษฐกิจระดับโลก การบริหารจัดการความเสี่ยงได้กลายมาเป็นเสาหลักสำคัญที่ไม่สามารถมองข้ามได้อีกต่อไป การเปลี่ยนแปลงเหล่านี้ ไม่ได้เพียงเพิ่มความท้าทายในการดำเนินงาน แต่ยังสร้างภารกิจใหม่ให้กับผู้บริหาร ผู้ควบคุมภายใน และผู้ตรวจสอบในการวิเคราะห์จุดเปราะบางขององค์กรก่อนที่ปัญหาจะเกิดขึ้นจริง

สถาบันการเงินจำเป็นต้อง “มองให้ไกล” กว่าปัญหาที่อยู่ตรงหน้า การจัดการความเสี่ยงไม่ใช่แค่การแก้ไขเมื่อปัญหาเกิดขึ้น (after the fact) แต่ต้องรวมถึงการวางแผนล่วงหน้า (before the fact) โดยอาศัยข้อมูล การวิเคราะห์ และระบบควบคุมที่รัดกุมในทุกมิติของธุรกรรม เพื่อป้องกันความเสียหายทั้งในระดับองค์กรและระบบเศรษฐกิจของประเทศ

หนังสือ “การจัดระบบควบคุมความเสี่ยงของสถาบันการเงินเล่มนี้” จึงมุ่งนำเสนอแนวคิด ประสบการณ์ และบทเรียนที่สั่งสมมาจากการปฏิบัติจริงในภาคสนาม ผ่านสายตาของผู้ที่อยู่ในภารกิจการกำกับดูแลสถาบันการเงินโดยตรง เพื่อเป็นแนวทางแก่ผู้บริหาร ผู้ตรวจสอบ และผู้ที่เกี่ยวข้องทุกภาคส่วน ในการวางระบบควบคุมภายในและการบริหารความเสี่ยงอย่างเป็นรูปธรรม

เพราะในท้ายที่สุดแล้ว ความมั่นคงของสถาบันการเงินไม่ได้เกิดจากการหลีกเลี่ยงปัญหา แต่เกิดจากการเผชิญหน้าและเตรียมรับมือกับปัญหานั้นอย่างชาญฉลาดและมีจริยธรรม

ผมจึงได้นำหนังสือ “การจัดระบบควบคุมความเสี่ยงของสถาบันการเงิน” มาเผยแพร่ไว้ ณ ที่นี้ http://www.itgthailand.wordpress.com ถึงแม้จะล่วงเวลามาพอสมควร แต่ผมคิดว่าก็น่าจะเป็นประโยชน์ต่อผู้ที่เกี่ยวข้องบ้าง ไม่มากก็น้อย

การจัดระบบควบคุมความเสี่ยงของสถาบันการเงิน

คํานํา

  1. การดําเนินธุรกิจของสถาบันการเงิน เช่น ธนาคารพาณิชย์ บริษัทเงินทุนและบริษัทเครดิต ฟองซิเอร์ ปัจจุบันมีความสลับซับซ้อนมากยิ่งขึ้น ต้องมีการติดตามนวัตกรรมทางการเงินใหม่ ๆ (Financial Innovation) และข้อมูลข่าวสารทางการเงินจากทั่วโลก (Globalization) ดังนั้น สถาบันการเงินต่าง ๆ จึงพยายามแข่งขันกันลงทุนปรับปรุงเทคโนโลยี (Technology) ด้านการเงินให้ทันสมัย ซึ่งทําให้การทําธุรกรรมของสถาบันการเงินมีความยุ่งยากและซับซ้อน ก่อให้เกิดความเสี่ยงซึ่งจะมีผลทําให้เกิดความเสียหายเป็นจํานวนสูงมากยิ่งขึ้น
  2. การศึกษาและวิเคราะห์ความเสี่ยงรวมทั้งการบริหารความเสี่ยงในด้านต่าง ๆ หรือการมองปัญหาให้พบและหาหนทางป้องกันก่อนที่ปัญหานั้นจะเกิดขึ้นในองค์กรตามธุรกรรมขององค์กร เป็นการชี้ให้เห็นถึงปัญหาและหาหนทางแก้ไขปัญหาล่วงหน้า ในลักษณะมองประเด็นปัญหาที่จะเกิดกับสถาบันการเงินต่าง ๆ ให้ออก และหาหนทางแก้ไข หรือป้องกันล่วงหน้าก่อนที่ปัญหาเหล่านั้นจะลุกลามให้กลับมาเป็นปัญหาที่องค์กรนั้น หรือทางการต้องหาทางแก้ไขในที่สุด (Point to the problem before it points to us) โดยรวมถึงกิจกรรมที่ทําให้เกิดความเสี่ยง ซึ่งเป็นที่มาของการวางกฎเกณฑ์ การออกระเบียบกับสิ่งที่เกี่ยวข้องกับการควบคุมภายในขององค์กร ดังนั้น การเน้นถึงจุดควบคุม ผู้ปฏิบัติและผู้ตรวจสอบ ตลอดจนถึงผู้บริหาร ระดับสูง ซึ่งควรเข้าใจถึงที่มาของการควบคุม นั้น เพราะการวิเคราะห์ความเสี่ยง เพื่อหาทางป้องกันหรือบรรเทาปัญหาที่อาจเกิดขึ้นต่อองค์กร เป็นการเข้าถึงการควบคุมภายในและการตรวจสอบ ตลอดจนการปฏิบัติงานที่มีประสิทธิภาพยิ่ง ความสําเร็จที่สมบูรณ์ของแนวความคิดนั้น ก็คือ การไม่มีปัญหาต้องแก้ไขในภายหลัง หรือหากจะมีก็ต้องมีให้น้อยที่สุดนั่นเอง
  3. การมองภาพปัญหาที่อาจจะเกิดขึ้นได้ในอนาคตทั้งในวงแคบและในวงกว้าง เป็นเรื่องที่ต้องใช้ความสามารถและความเข้าใจ ในเรื่องที่เกี่ยวข้องกับการปฏิบัติงานของสถาบันการเงินในด้านต่าง ๆ ตลอดจนภาวะเศรษฐกิจ การเงิน การคลังและสังคม ทั้งในประเทศและต่างประเทศ นวัตกรรม ทางการเงินใหม่ ๆ รวมทั้งปัจจัยสิ่งแวดล้อมอื่นของสถาบันการเงินที่เปลี่ยนแปลงไป เช่น การพัฒนาการดําเนินงานและการให้บริการไปสู่ระบบ ELECTRONIC BANKING การเข้าไปสู่ยุค PAPERLESS SYSTEM และกลไกการโอนเงินชําระหนี้ระหว่างประเทศที่เปลี่ยนแปลงไปมากเหล่านี้ มีส่วนทําให้ต้องมีการพัฒนาและเปลี่ยนแปลงด้านนโยบายและการปฏิบัติงาน ทั้งของสถาบันการเงินและธนาคารแห่งประเทศไทย ในฐานะเป็นผู้รับผิดชอบในการกํากับดูแลการดําเนินงานของสถาบันการเงินในส่วนที่เกี่ยวข้องด้วย ระเบียบคําสั่งและกฎเกณฑ์ต่าง ๆ ที่ประกาศตามความในพระราชบัญญัติสถาบันการเงินนั้น ก็มุ่งที่จะลดความเสียหายที่อาจเกิดขึ้น และส่งเสริมให้การดําเนินงานของสถาบันการเงินต่าง ๆ ให้มีความมั่นคงเป็นที่เชื่อถือของคนในสังคม ทั้งในและต่างประเทศ รวมทั้งมุ่งหวังให้สถาบันการเงิน มีส่วนร่วมช่วยเหลือเกื้อกูลการพัฒนาสังคมและเศรษฐกิจของประเทศ ตามกําลังและความสามารถที่จะกระทําได้
  4. การกํากับและตรวจสอบสถาบันการเงินตลอดจนการให้คําชี้แนะการแก้ไขปัญหาเป็นการล่วงหน้า ทั้ง ๆ ที่ปัญหาหรือความเสียหายยังไม่ทันจะเกิดขึ้นกับสถาบันการเงินที่ธนาคารแห่งประเทศไทยดูแลนั้น ในบางครั้งอาจมีผู้ได้รับคําแนะนํามักจะสงสัยทั้งในหลักการ วิธีการ ตลอดจนแนวการปฏิบัติของผู้ตรวจการฯ จากธนาคารแห่งประเทศไทยอยู่บ้าง เพราะอาจมองเห็นภาพยังไม่ชัดเท่ากับเหตุการณ์ที่เกิดขึ้นแล้ว (after the fact) ดังนั้น ผู้ตรวจการฯ ในปัจจุบันของธนาคารแห่งประเทศไทย จึงได้มองภาพของปัญหา ทั้งในลักษณะ after the fact และ before the fact ควบคู่กันไป ส่วนการจะเน้นในวิธีการใดมากกว่ากัน ก็ขึ้นกับเหตุการณ์เป็นกรณี ๆ ไป เช่น เมื่อมีปัญหาเกิดขึ้นแล้ว ทางเราจะพิจารณาหาทางแก้ไขปัญหาอย่างรีบด่วนก่อน แล้วก็จะมีมาตรการป้องกันปัญหาที่อาจเกิดขึ้นต่อไป และในกรณีที่เหตุการณ์ปกติ ผู้กํากับและผู้ตรวจการฯ ก็จะศึกษาหาทางป้องกันปัญหาที่อาจจะเกิดขึ้น เพื่อลดความเสี่ยงจากการดําเนินงานด้านต่าง ๆ ของสถาบันการเงินด้วย
  5. สาระของหนังสือเล่มนี้ได้มุ่งวิเคราะห์ความเสี่ยงที่อาจเกิดขึ้นกับธุรกรรมต่าง ๆ ที่สถาบันการเงินให้บริการแก่ลูกค้าของตน ที่อาจก่อให้เกิดความเสียหาย และหาแนวทางป้องกันปัญหาล่วงหน้าที่อาจกระทําได้ เพื่อบรรเทาความเสียหายที่เกิดขึ้น และเป็นแนวทางเบื้องต้นสําหรับผู้บริหารและสําหรับผู้ตรวจสอบ ที่จะใช้เป็นเครื่องมือช่วยในการตรวจสอบ ประเมินประสิทธิภาพของระบบการควบคุมภายในของสถาบันการเงิน ในการควบคุมและป้องกันความเสี่ยงในแต่ละธุรกรรมของตนเอง ในอีกรูปแบบหนึ่งที่เข้าใจได้ง่าย ๆ อย่างไรก็ดี ผมและเพื่อนร่วมงานก็ไม่อาจระบุกิจกรรมที่ก่อให้เกิดความเสี่ยงของธนาคารพาณิชย์ และสถาบันการเงินได้ครบถ้วน ผู้อ่านจึงต้องใช้ดุลยพินิจเพิ่มเติมด้วย
  6. หนังสือเล่มนี้ได้พิมพ์เผยแพร่โดยส่วนกํากับสถาบันการเงิน เพื่อเป็นเครื่องเสริมความเข้าใจต่อผู้ตรวจสอบของส่วนกํากับสถาบันการเงินของธนาคารแห่งประเทศไทย และเป็นความร่วมมือระหว่างธนาคารแห่งประเทศไทย สาขาภาคตะวันออกเฉียงเหนือ กับสถาบันการเงินในภูมิภาคฯ เท่าที่ทําได้ เพื่อทําให้สถาบันการเงินมีเสถียรภาพและความมั่นคง โดยการเข้าใจปัญหาที่อาจเกิดกับองค์กรของตน ซึ่งได้จัดพิมพ์เพิ่มเติมและแก้ไขทั้งเนื้อหาสาระที่ไม่ได้พิมพ์มาก่อนหลังจากได้ดําเนินการเผยแพร่ไปแล้ว เมื่อปี พ.ศ. 2537 ในภาคตะวันออกเฉียงเหนือ และผมเองได้ใช้เนื้อหากิจการที่ก่อให้เกิดความเสี่ยงของธนาคารพาณิชย์และสถาบันการเงิน ในการบรรยายให้แก่องค์กรต่าง ๆ ในอดีตหลายแห่ง ตั้งแต่ปี พ.ศ. 2534 ที่กรุงเทพมหานครและต่างจังหวัด ก่อนนํามาเผยแพร่ที่ภาคตะวันออกเฉียงเหนือ ในปี พ.ศ. 2537 ซึ่งผู้อ่านส่วนใหญ่ที่เป็นผู้ตรวจสอบ และผู้ที่อยู่ในวงการสถาบันการเงินได้ให้ความสนใจและเห็นว่าเป็นประโยชน์ต่อสถาบันการเงิน และการทําความเข้าใจในแง่การบริหารความเสี่ยงที่เข้าถึงจุดควบคุมที่เห็นชัดเป็นรูปธรรม และปฏิบัติได้
  7. ผมหวังว่าเอกสารฉบับนี้ คงจะเป็นประโยชน์ต่อท่านที่สนใจในเรื่องที่เกี่ยวกับการบริหารสถาบันการเงินตามสมควร การพิมพ์ครั้งนี้ได้แก้ไขและเพิ่มเติมเนื้อหาให้ครอบคลุมบริษัทเงินทุนที่ไม่เคยเผยแพร่มาก่อน และนวัตกรรมทางการเงินใหม่ ๆ เช่น อนุพันธ์ทางการเงิน (Financial Derivative) รวมทั้งเพิ่มภาคผนวกเกี่ยวกับตลาดทางการเงิน (Financial Market) เช่น ตลาดทุน ตลาดเงิน และ ตลาดตราสารอนุพันธ์ พร้อมคําอธิบายผลิตภัณฑ์ทางการเงิน (Financial Product) โดยย่อ เพื่อให้มีเนื้อหาเครื่องมือทางการเงินครบถ้วนสมบูรณ์ยิ่งขึ้น โดยยังคงรักษาลักษณะการวิเคราะห์ความเสี่ยงธุรกรรมการเงินของสถาบันการเงินไว้ในรูปแบบเดิม ทั้งนี้ เพื่อให้ผู้ตรวจสอบในส่วนกํากับสถาบันการเงินและสถาบันการเงิน ที่ธนาคารแห่งประเทศไทย สาขาภาคตะวันออกเฉียงเหนือ ดูแลอยู่ได้ใช้เป็นการศึกษาเพื่อเพิ่มประสิทธิภาพในการตรวจสอบเป็นสําคัญ
  8. การจัดรูปแบบการอธิบายถึงกิจกรรมที่ทําให้เกิดความเสี่ยง ตัวบ่งชี้ความเสี่ยง และการควบคุมความเสี่ยงที่อธิบายในหนังสือเล่มนี้ เป็นการค้นคว้าของผู้ตรวจสอบในส่วนที่ผมได้ดูแลและรับผิดชอบ ตลอดจนมอบหมายให้ดําเนินการ โดยอาศัยพื้นฐานและประสบการณ์จากแนวความคิดและการศึกษาเรื่องการวิเคราะห์ความเสี่ยงที่ใช้ Concept จากหนังสือของต่างประเทศ มาประยุกต์ใช้อธิบายในรูปแบบที่ผมคิดว่า จะทําให้ผู้ตรวจสอบและผู้บริหารงานที่เกี่ยวข้องได้เข้าใจเรื่องที่ใกล้ตนเองได้ง่ายขึ้น
  9. ความเสี่ยงที่น่ากลัวที่สุดในการบริหารสถาบันการเงินก็คือ ผู้บริหารระดับสูงไม่สนใจการควบคุมกิจกรรมที่ก่อให้เกิดความเสี่ยงเท่าที่ควรประการหนึ่ง และที่สําคัญ ซึ่งถือเป็นหัวใจของความสําเร็จหรือความล้มเหลวของการบริหารสถาบันการเงิน ก็คือ ผู้บริหารระดับสูงขาดจรรยาบรรณและขาดคุณธรรม ในการบริหารการเงินในองค์กรของตนนั่นเอง ซึ่งหน่วยงานที่เกี่ยวข้องควรให้ความสนใจความเสี่ยงทางจรรยาบรรณ หรือความเสี่ยงทางบริหาร อันเกิดจากความผิดพลาดของผู้บริหาร รวมทั้งการทุจริตของผู้บริหารให้มากขึ้น โดยการเพิ่มการดูแลระบบการบริหารงานและความเสี่ยงต่าง ๆ ที่เกี่ยวข้องกับระบบการบริหาร และการดําเนินงานของสถาบันการเงินให้มากยิ่งขึ้น ก่อนที่จะเกิดปัญหากับสถาบันการเงินตามมา ซึ่งจะมีผลกระทบต่อเศรษฐกิจและระบบการเงินของประเทศได้ในที่สุด
    หนังสือที่ได้ปรับปรุงขึ้นใหม่เล่มนี้ จึงได้นําเรื่องที่ผมคิดว่าน่าสนใจมาก สําหรับผู้บริหารสถาบันการเงินและผู้ตรวจสอบ นั่นคือ เรื่อง “สัญญาณเตือนภัยของการทุจริตและการประพฤติมิชอบของพนักงานธนาคาร” มารวบรวมไว้เป็นบทแรกแทนที่จะอยู่ในภาคผนวก เพราะสิ่งนี้เป็นปัญหาที่ควบคุมได้ยาก ไม่ว่าจะมีวิธีวิเคราะห์ความเสี่ยงดีเลิศประการใดก็ตาม ก็ไม่อาจใช้กับผู้บริหารของสถาบันการเงินที่ขาดจรรยาบรรณและมีพฤติกรรมมิชอบได้
  10. ขอขอบคุณเพื่อนร่วมงานในอดีต ที่ช่วยพยายามคิดค้นกิจกรรมที่ก่อให้เกิดความเสี่ยงในสถาบันการเงิน ซึ่งทําให้เข้าถึงการควบคุมที่เหมาะสมได้อย่างมีประสิทธิภาพ ผู้ที่มีส่วนช่วยเหลือในอดีต ก็คือ ผู้ร่วมงานกับผมในช่วงที่ผมอยู่ฝ่ายกํากับและตรวจสอบธนาคารพาณิชย์ และฝ่ายกํากับและตรวจสอบสถาบันการเงินเดิมก่อนแยกหน่วยงานใหม่ ซึ่งผมได้แนวความคิดการเข้าถึงจุดควบคุมต่าง ๆ ในกิจกรรมที่ก่อให้เกิดความเสี่ยง จากการศึกษาและประสบการณ์จากการตรวจสอบธนาคารพาณิชย์ด้านคอมพิวเตอร์ ส่วนงานพิเศษที่ผมรับผิดชอบอยู่ในช่วงนั้น และขออภัยที่ไม่อาจกล่าวนามทั้งหมดได้ เพราะเป็นกิจกรรมที่ได้ดําเนินการมานานก่อนการมารับหน้าที่ใหม่ที่ธนาคารแห่งประเทศไทย สาขาภาคตะวันออกเฉียงเหนือ จังหวัดขอนแก่น เมื่อเดือนตุลาคม พ.ศ.2536
    อย่างไรก็ดี ผู้ที่มีส่วนช่วยเหลือเพิ่มเติมในการรวบรวมนวัตกรรมทางการเงินใหม่ ๆ ซึ่งอยู่ในภาคผนวก เพื่อทําให้หนังสือเล่มนี้มีความสมบูรณ์เพิ่มขึ้นก็ได้แก่ เพื่อนร่วมงานในส่วนกํากับสถาบันการเงินจากธนาคารแห่งประเทศไทย สาขาภาคตะวันออกเฉียงเหนือ ซึ่งผมได้แนะนําให้ศึกษาและรวบรวมจากเอกสารที่น่าศึกษา ในบางเรื่องเป็นเรื่องใหม่มากและยังไม่มีความชัดเจนในปัจจุบัน ผมและเพื่อนร่วมงาน ก็ได้ช่วยกันสรุปขึ้นมาจากความเข้าใจในเบื้องต้น เพื่อให้ได้เป็นข้อเขียนที่พอใช้อธิบายเท่าที่ทําได้ ดังนั้น หากท่านผู้อ่านท่านใดพบข้อสรุปหรือคําอธิบายใดที่อาจผิดพลาดหรือไม่ชัดเจน ขอได้โปรดแจ้งให้ผู้เขียนและผู้รวบรวมทราบด้วย เพื่อพิจารณาการปรับปรุงแก้ไขในคราวต่อไป ทั้งนี้ เพราะผมพิจารณาว่าการได้มีโอกาสช่วยกันศึกษาเรื่องใหม่ ๆ ที่มีประโยชน์ต่อผู้ที่เกี่ยวข้องทางการเงิน โดยเฉพาะอย่างยิ่งต่อผู้ตรวจสอบ จะมีส่วนช่วยให้ระบบสถาบันการเงินของประเทศไทยเราโดยส่วนรวมมีความมั่นคงเพิ่มขึ้นได้ทางหนึ่ง
    จึงขอขอบคุณผู้ตรวจสอบส่วนกํากับสถาบันการเงิน ซึ่งประกอบด้วยคุณไตรวุฒิ เรืองจิรารัตน์ คุณชัชวาลย์ ตียะพาณิชย์ คุณกฤษดา พุทธนารัตน์ คุณชนัช เทียมมณีเนตร คุณชุติมา ไชยบุตร คุณก้องเกียรติ วินโกมินทร์ และคุณณัฐพงศ์ ศิริจริยวัตร ที่ได้ช่วยรวบรวมเอกสารอ้างอิงต่าง ๆ และจัดพิมพ์ภายในส่วนงาน จนสําเร็จเป็นรูปเล่ม ตลอดจนพนักงานในหน่วยวิชาการที่ช่วยกันดูโครงสร้างของตลาดการเงินไว้ ณ ที่นี้ด้วย

    เมธา สุวรรณสาร ผู้อํานวยการธนาคารแห่งประเทศไทย
    สาขาภาคตะวันออกเฉียงเหนือ
    16 กรกฎาคม 2540

***** สำหรับท่านที่สนใจ หนังสือ “การจัดระบบควบคุมความเสี่ยงของสถาบันการเงิน” สามารถติดตาม เนื้อหา/ลิงก์ดาวโหลด ได้ที่ด้านล่างนี้ *****

การจัดระบบควบคุมความเสี่ยงของสถาบันการเงินDownload


Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

Compliance: การปฏิบัติตามกฎหมาย มาตรฐาน และแนวทางกำกับ AI

พ.ค. 25, 2025

ในตอนที่แล้ว เราได้พูดถึงเรื่อง Risk หรือความเสี่ยงที่เกี่ยวข้องกับการใช้ AI และทำความเข้าใจถึงความเสี่ยงหลัก ๆ ที่ผู้ตรวจสอบต้องคำนึงถึงในการใช้ AI ในองค์กรไปแล้ว

วันนี้เราจะมาพูดถึงอีกส่วนสำคัญของ GRC นั่นคือ Compliance หรือ “การปฏิบัติตามกฎหมาย มาตรฐาน และแนวทางกำกับ” ที่เกี่ยวข้องกับการใช้ AI กันครับ

การใช้งาน AI ต้องสอดคล้องกับกฎหมายและมาตรฐานที่กำหนดไว้ ทั้งในระดับประเทศและระดับสากล โดยเฉพาะในเรื่องของการคุ้มครองข้อมูลส่วนบุคคล (Personal Data Protection) ความโปร่งใส และจริยธรรมในการตัดสินใจ

ความสำคัญของการปฏิบัติตามกฎหมาย (Compliance) ในการใช้ AI

AI ที่ใช้อยู่ในองค์กรต้องมีการปฏิบัติตามกฎหมาย เพื่อให้เกิดความเชื่อถือและป้องกันการกระทำที่ผิดกฎหมาย ซึ่งอาจนำมาซึ่งการฟ้องร้อง การสูญเสียชื่อเสียง หรือแม้แต่ค่าปรับทางการเงินที่สูงลิ่ว

ตัวอย่างเช่น กฎหมาย PDPA (Personal Data Protection Act) ในประเทศไทย ที่กำหนดให้ข้อมูลส่วนบุคคลต้องได้รับการคุ้มครองอย่างเข้มงวด หาก AI นำข้อมูลส่วนบุคคลมาใช้โดยไม่ได้รับความยินยอมจากเจ้าของข้อมูล อาจทำให้เกิดการละเมิดกฎหมายนี้ได้

หรือกรณีของ GDPR (General Data Protection Regulation) ของยุโรป ซึ่งมีข้อกำหนดที่เข้มงวดเกี่ยวกับการใช้ข้อมูลส่วนบุคคลในการฝึกฝน AI เช่น การต้องสามารถอธิบายได้ว่า AI ตัดสินใจอย่างไร และต้องสามารถทบทวนได้ (Explainability)

Compliance และการตรวจสอบภายใน

การปฏิบัติตามกฎหมายไม่เพียงแค่เกี่ยวข้องกับการทำตามข้อบังคับที่มีอยู่ แต่ยังเกี่ยวข้องกับการตรวจสอบเพื่อให้แน่ใจว่า AI ที่ใช้ในองค์กรมีการควบคุมที่ถูกต้องและเหมาะสม ซึ่งเป็นหน้าที่ของผู้ตรวจสอบ

ในส่วนนี้ ผู้ตรวจสอบต้องตรวจสอบทั้งในด้าน:

  1. การปฏิบัติตามกฎหมาย: เช่น การใช้ข้อมูลส่วนบุคคลตาม PDPA หรือ GDPR, การใช้เทคโนโลยีอย่าง AI อย่างโปร่งใส และยุติธรรม
  2. การปฏิบัติตามมาตรฐานอุตสาหกรรม: เช่น การปฏิบัติตามมาตรฐาน ISO/IEC หรือแนวทางที่องค์กรได้ตั้งขึ้นเองในการใช้ AI
  3. การปฏิบัติตามนโยบายภายใน: เช่น นโยบายการป้องกันการเลือกปฏิบัติ การจัดการข้อมูล และการควบคุมความเสี่ยงที่เกี่ยวข้องกับ AI

ขั้นตอนในการตรวจสอบ Compliance ในการใช้ AI

ในการตรวจสอบให้แน่ใจว่า AI ปฏิบัติตามกฎหมายและมาตรฐานที่เกี่ยวข้อง ผู้ตรวจสอบสามารถใช้กรอบการตรวจสอบต่าง ๆ เช่น:

1. ตรวจสอบการใช้ข้อมูล

  • ตรวจสอบการขออนุญาต: AI ใช้ข้อมูลส่วนบุคคลหรือไม่? หากใช่ มีการขออนุญาตจากเจ้าของข้อมูลหรือไม่?
  • ความโปร่งใสในการใช้ข้อมูล: ข้อมูลที่ AI ใช้นั้นถูกเปิดเผยให้ผู้ใช้งาน หรือเจ้าของข้อมูลทราบหรือไม่?
  • การเก็บรักษาข้อมูล: ข้อมูลที่ AI เก็บมีมาตรการในการป้องกันการรั่วไหลหรือไม่?

2. ตรวจสอบการออกแบบและการใช้งาน AI

  • Explainability: AI สามารถอธิบายการตัดสินใจได้หรือไม่? ตัวอย่างเช่น เมื่อ AI บอกว่า “ลูกค้ามีความเสี่ยงสูงในการชำระเงิน” จะสามารถอธิบายได้ว่า AI ใช้เกณฑ์อะไรในการตัดสินใจเช่นนั้น
  • การทดสอบและการตรวจสอบ AI: ระบบ AI ได้รับการทดสอบอย่างเพียงพอก่อนนำไปใช้งานหรือไม่? มีการประเมินความเสี่ยงและความถูกต้องของโมเดล AI หรือยัง?

3. ตรวจสอบการปฏิบัติตามมาตรฐานและกฎหมาย

  • PDPA, GDPR หรือกฎหมายที่เกี่ยวข้อง: ตรวจสอบให้แน่ใจว่า AI ปฏิบัติตามข้อกำหนดของกฎหมายที่เกี่ยวข้อง เช่น การใช้ข้อมูลส่วนบุคคลอย่างถูกต้อง
  • มาตรฐานอุตสาหกรรม: ตรวจสอบว่า AI สอดคล้องกับมาตรฐานที่กำหนดในอุตสาหกรรมหรือไม่ เช่น ISO/IEC 27001 สำหรับความปลอดภัยของข้อมูล

การสื่อสารผลการตรวจสอบกับผู้บริหาร

เมื่อผู้ตรวจสอบพบข้อบกพร่องหรือช่องโหว่ในด้าน Compliance ที่เกี่ยวข้องกับการใช้ AI การสื่อสารผลการตรวจสอบให้กับผู้บริหารจึงเป็นสิ่งสำคัญมาก

ผู้ตรวจสอบต้อง:

  • อธิบายผลกระทบที่อาจเกิดขึ้น: เช่น การละเมิดข้อมูลส่วนบุคคลอาจนำไปสู่การฟ้องร้องหรือการถูกปรับจากหน่วยงานกำกับดูแล
  • แนะนำแนวทางการแก้ไข: เสนอแนะวิธีการปฏิบัติที่ถูกต้อง เช่น การปรับปรุงกระบวนการเก็บและใช้งานข้อมูล, การพัฒนา AI ให้สามารถอธิบายการตัดสินใจได้

สรุป การปฏิบัติตามกฎหมายและมาตรฐานในกระบวนการใช้ AI จึงเป็นสิ่งที่ไม่สามารถมองข้ามได้ เพราะการละเมิดกฎหมายอาจนำมาซึ่งผลเสียที่ยากจะคาดเดาได้ ทั้งในเรื่องการเงิน ชื่อเสียง และความน่าเชื่อถือขององค์กร

ผู้ตรวจสอบจึงมีบทบาทสำคัญในการตรวจสอบและให้คำแนะนำให้องค์กรปฏิบัติตามกฎหมายและมาตรฐานที่เกี่ยวข้องอย่างเต็มที่ เพื่อให้การใช้ AI ในองค์กรนั้นเป็นไปอย่างปลอดภัย โปร่งใส และมีความรับผิดชอบ

Leave a Comment » | AI กับ GRC | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

Risk: เมื่อ AI ไม่ได้สมบูรณ์แบบเสมอไป – ความเสี่ยงที่ผู้ตรวจสอบไม่ควรมองข้าม

พ.ค. 17, 2025

ในตอนที่แล้ว เราได้พูดคุยกันถึงเรื่อง Governance หรือ “ธรรมาภิบาล” ในการใช้ AI ว่าองค์กรควรมีกลไกในการกำกับดูแลให้ AI ถูกพัฒนาและใช้อย่างรับผิดชอบ ไม่ละเมิดสิทธิ ไม่สร้างความเสียหายโดยไม่รู้ตัว และผู้ตรวจสอบเองก็มีบทบาทสำคัญไม่น้อยในการเข้าไปช่วยดูแลให้กรอบ Governance นี้เป็นรูปธรรม

แต่แน่นอนว่า… Governance อย่างเดียวคงไม่พอครับ

เพราะถึงแม้ AI จะถูกพัฒนาโดยคนที่เก่งแค่ไหน ใช้ข้อมูลดีแค่ไหน ความเสี่ยง (Risk) ก็ยังคงอยู่ ไม่ว่าจะเป็นความเสี่ยงจากระบบเอง หรือจากคนที่ใช้มัน และนั่นคือสิ่งที่เราจะคุยกันในตอนนี้

AI ไม่ได้แปลว่า “ปลอดภัย” หรือ “ถูกต้องเสมอไป”

ในสายตาของใครหลายคน AI คือเทคโนโลยีอัจฉริยะที่แม่นยำ ไร้ข้อผิดพลาด แต่จริง ๆ แล้ว AI ก็เป็นเพียง โมเดลที่เรียนรู้จากข้อมูลที่คนให้มัน

ถ้าข้อมูลมีปัญหา – ผลลัพธ์ก็มีปัญหา ถ้าโมเดลถูกออกแบบโดยขาดความเข้าใจ – การตัดสินใจก็อาจผิดพลาดได้
และถ้าใช้โดยไม่ควบคุม – ความเสี่ยงก็ยิ่งขยายวงกว้างขึ้น

ดังนั้น งานของผู้ตรวจสอบจึงไม่ใช่แค่ “เชื่อในผลลัพธ์ของ AI” แต่ต้อง “กล้าตั้งคำถามว่าเบื้องหลังของผลลัพธ์นั้นปลอดภัยหรือไม่”

ประเภทของความเสี่ยงจาก AI ที่ควรจับตา

ผู้ตรวจสอบสามารถเริ่มต้นประเมินความเสี่ยงของ AI ได้จากหลากหลายมุม ในที่นี้ เราขอแบ่งความเสี่ยงออกเป็น 5 กลุ่มหลัก เพื่อให้ง่ายต่อการตรวจสอบ

1. ความเสี่ยงจากข้อมูล (Data Risk)

  • ข้อมูลที่ใช้ฝึก AI อาจ ไม่ครบถ้วน หรือ มีอคติ (bias) ซึ่งจะทำให้โมเดลตัดสินใจผิด ๆ
  • ตัวอย่างเช่น AI ประเมินความเสี่ยงของพนักงาน โดยใช้ข้อมูลพฤติกรรมการใช้คอมพิวเตอร์ แต่ละเลยบริบทของงานที่แตกต่างกัน

บทบาทของผู้ตรวจสอบ : ควรตรวจสอบแหล่งที่มาของข้อมูล ความน่าเชื่อถือ ความครอบคลุม และการควบคุมอคติที่เกิดขึ้น

2. ความเสี่ยงจากโมเดล (Model Risk)

  • AI ที่แม่นยำวันนี้ อาจไม่แม่นยำในอนาคต หากไม่มีการอัปเดตให้ทันสมัย ทันกาล
  • โมเดลอาจซับซ้อนเกินกว่าจะอธิบายได้ ทำให้ไม่สามารถตรวจสอบการทำงานได้

บทบาทของผู้ตรวจสอบ : ตรวจสอบว่าโมเดลถูกออกแบบและดูแลตามแนวทางมาตรฐานหรือไม่ เช่น มีการทดสอบซ้ำ มีบันทึกการปรับปรุง มีผู้รับผิดชอบที่ชัดเจน

3. ความเสี่ยงด้านความปลอดภัย (Security Risk)

  • AI ก็เหมือนระบบ IT อื่น ๆ ที่อาจโดนเจาะระบบ ขโมยข้อมูล หรือแม้กระทั่ง “ล่อให้คิดผิด” ได้ (เช่น ผ่านเทคนิค adversarial attack)
  • หาก AI ถูกควบคุมโดยบุคคลภายนอกที่ไม่ประสงค์ดี ผลลัพธ์ที่ออกมาก็อาจกลายเป็นเครื่องมือทำลายองค์กรได้

บทบาทของผู้ตรวจสอบ : ตรวจสอบว่า AI มีมาตรการความปลอดภัยที่เหมาะสมหรือไม่ อย่างไร เช่น การเข้ารหัสข้อมูล การควบคุมสิทธิ์เข้าถึง และการตรวจสอบเหตุการณ์ย้อนหลัง (audit log)

4. ความเสี่ยงด้านกฎหมายและจริยธรรม (Legal & Ethical Risk)

  • AI อาจละเมิดสิทธิส่วนบุคคล โดยเฉพาะในประเทศที่มีกฎหมายคุ้มครองข้อมูล (เช่น PDPA, GDPR)
  • หรืออาจก่อให้เกิดการเลือกปฏิบัติ (discrimination) หากโมเดลถูกฝึกให้ “ชอบ” หรือ “ไม่ชอบ” คนบางกลุ่มโดยไม่รู้ตัว

บทบาทของผู้ตรวจสอบ : ตรวจสอบความสอดคล้องกับกฎหมาย ตรวจสอบการมี “Explainability” หรือความสามารถในการอธิบายผลลัพธ์ และแนวทางการจัดการผลกระทบ

5. ความเสี่ยงจากผู้ใช้งาน (Human Risk)

  • ต่อให้ AI ถูกสร้างมาดีแค่ไหน ถ้า “คนใช้” ไม่เข้าใจหลักการ ก็อาจนำไปใช้ผิดจุด หรือไว้ใจเกินเหตุ
  • เช่น ใช้ AI เป็น “คำตัดสินสุดท้าย” แทนการใช้เป็น “เครื่องมือช่วยตัดสินใจ”

บทบาทของผู้ตรวจสอบ : ตรวจสอบว่ามีการอบรมผู้ใช้ มีการอธิบายขอบเขตการใช้งานที่ชัดเจน และมีมาตรการควบคุมการเข้าถึงอย่างเหมาะสมหรือไม่

เครื่องมือช่วยผู้ตรวจสอบประเมินความเสี่ยงของ AI

มีหลายแนวทางที่สามารถใช้ในการประเมินความเสี่ยงของ AI ต่อไปนี้คือกรอบที่สามารถนำไปปรับใช้ได้ทันที:

  • AI Risk Assessment Checklist: ตารางคำถามพื้นฐาน เช่น AI ใช้ข้อมูลอะไร? มีใครดูแลโมเดล? มีการ audit หรือยัง?
  • Model Risk Management Framework: แนวทางการดูแลวงจรชีวิตของโมเดล ตั้งแต่พัฒนา ทดสอบ ใช้งาน และยุติการใช้งาน
  • Ethical AI Guideline: แนวทางจริยธรรม เช่นของ OECD, ISO/IEC หรือกรอบขององค์กรระดับสากลที่สามารถอ้างอิงได้

สรุป AI มีพลังมากในการเปลี่ยนแปลงการทำงานขององค์กร แต่ “พลัง” นี้เองก็ต้องการการควบคุมที่เข้มงวด เพื่อไม่ให้กลายเป็น “ความเสี่ยงเงียบ” ที่แฝงตัวอยู่ในกระบวนการ

ผู้ตรวจสอบในยุคนี้จึงไม่ใช่แค่คนตรวจเอกสาร หรือดูรายการบัญชี แต่ต้องเป็น “ผู้ประเมินความเสี่ยงของเทคโนโลยี” ด้วย เพื่อให้มั่นใจว่า AI ทำหน้าที่ได้ดี… โดยไม่พาองค์กรหลุดจากราง

ในตอนหน้า เราจะไปต่อกันที่ตัวสุดท้ายของ GRC คือ Compliance – การปฏิบัติตามกฎหมาย มาตรฐาน และแนวทางกำกับ AI และแน่นอนว่าเราจะพาไปดูว่าเรื่องนี้เกี่ยวอะไรกับผู้ตรวจสอบ และเราจะตรวจ compliance ของ AI ได้อย่างไร แบบไม่ต้องเป็นโปรแกรมเมอร์ก็ทำได้ครับ

Leave a Comment » | AI กับ GRC | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

Governance: ธรรมาภิบาลกับการใช้ AI อย่างมีความรับผิดชอบในงานตรวจสอบ

พ.ค. 5, 2025

สวัสดีครับ ก่อนที่เราจะพูดคุยกันต่อไป ผมขอท้าวความในตอนที่แล้วกันสักนิด เราได้เริ่มต้นปูพื้นฐานเกี่ยวกับการนำ AI (Artificial Intelligence) เข้ามาใช้ในงานตรวจสอบ ทั้งในมุมของการวิเคราะห์ข้อมูล การตรวจจับความผิดปกติ และการลดภาระงานซ้ำซาก ซึ่งช่วยให้ผู้ตรวจสอบสามารถทำงานได้ลึกขึ้นและมีประสิทธิภาพมากขึ้น

อย่างไรก็ตาม การใช้ AI อย่างไร้ทิศทางก็อาจก่อให้เกิดความเสี่ยงได้หากไม่มี กรอบคิดที่ดีในการควบคุม ซึ่งก็คือแนวคิด GRC – Governance, Risk, Compliance ที่เราได้เกริ่นไว้ในตอนก่อน

วันนี้เราจะมาต่อยอดเนื้อหา โดยเจาะลึกที่ตัวแรกของ GRC นั่นคือ Governance หรือ “ธรรมาภิบาล”
คำนี้อาจฟังดูคุ้น แต่เมื่อพูดถึงในบริบทของการใช้ AI โดยเฉพาะในสายงานตรวจสอบ หลายคนอาจยังไม่เคยมองลึกลงไปว่า…

Governance สำคัญอย่างไรกับ AI?
แล้วผู้ตรวจสอบเกี่ยวข้องกับธรรมาภิบาลในเรื่องนี้อย่างไร?

ลองไปสำรวจคำตอบด้วยกันนะครับ

Governance ในความหมายที่มากกว่า “การบริหารจัดการ”

โดยทั่วไป “Governance” คือกรอบการบริหารจัดการที่มุ่งเน้นให้การดำเนินงานขององค์กรเป็นไปอย่างมีประสิทธิภาพ โปร่งใส และสอดคล้องกับเป้าหมายระยะยาว

แต่เมื่อเราพูดถึง AI Governance โดยเฉพาะในบริบทของการตรวจสอบหรือใช้ AI ในองค์กร คำนี้จะหมายถึง

“การกำกับดูแลการพัฒนา การใช้งาน และการควบคุม AI ให้เกิดประโยชน์สูงสุดโดยไม่ละเลยความปลอดภัย ความโปร่งใส และจริยธรรม”

กล่าวอีกอย่างคือ เป็นแนวทางที่ช่วยให้ AI:

  • ไม่เป็นเครื่องมือที่ใช้อย่างไร้การควบคุม
  • ไม่ละเมิดสิทธิของบุคคล
  • ไม่ก่อให้เกิดผลกระทบที่องค์กรคาดไม่ถึง

ทำไมเราต้องมีธรรมาภิบาลกับ AI?

AI ไม่ใช่แค่เครื่องมือที่ทำตามคำสั่ง
แต่มัน “เรียนรู้” และ “ตัดสินใจ” บางอย่างได้เองจากข้อมูลที่ได้รับ ซึ่งอาจส่งผลกระทบในระดับนโยบาย กฎหมาย หรือแม้แต่มนุษย์

ลองนึกภาพระบบ AI ที่ตรวจจับความเสี่ยงทางบัญชี แล้วเกิด “flag” พนักงานบางคนว่ามีพฤติกรรมต้องสงสัย — หากโมเดลที่ใช้ไม่มีความแม่นยำ หรือถูกออกแบบโดยไม่คำนึงถึงบริบท อาจเกิดผลเสียกับชื่อเสียงและความน่าเชื่อถือของบุคคลนั้นได้

ดังนั้น AI Governance จึงเข้ามาช่วยสร้างแนวทาง เช่น:

  • การตั้งคณะทำงานกำกับดูแลการใช้ AI
  • การกำหนดหลักเกณฑ์ในการเก็บ ใช้ และแบ่งปันข้อมูล
  • การสร้างนโยบายการตรวจสอบโมเดล AI ให้เป็นกลาง ไม่เลือกปฏิบัติ
  • การสื่อสารกับ Stakeholders ว่า AI ใช้เพื่ออะไร และมีขอบเขตอย่างไร

บทบาทของผู้ตรวจสอบกับเรื่อง Governance

สำหรับผู้ตรวจสอบ โดยเฉพาะผู้ที่อาจไม่ได้มาจากสาย IT โดยตรง (Non-IT Auditors) บางคนอาจคิดว่าเรื่อง Governance ด้าน AI เป็นเรื่องของฝ่ายเทคโนโลยีอย่างเดียว แต่ความจริงแล้ว ผู้ตรวจสอบมีบทบาทสำคัญไม่น้อยเลยมาดูกันว่าผู้ตรวจสอบมีบทบาทอะไรกันบ้างครับ

1. ตรวจสอบ Framework ของ AI Governance

ผู้ตรวจสอบสามารถเข้าไปดูว่าองค์กรมีการกำกับดูแล AI อย่างเป็นระบบหรือไม่ เช่น มีการกำหนด Roles & Responsibilities อย่างชัดเจนหรือเปล่า? มีการอนุมัติโปรเจกต์ AI ตามระดับความเสี่ยงหรือไม่?

2. ตรวจสอบความโปร่งใสของ AI Model

AI ควรอธิบายการตัดสินใจได้ในระดับหนึ่ง ไม่ใช่ “Black Box” ที่ไม่มีใครรู้ว่าทำไมถึงได้ผลลัพธ์แบบนั้น
Auditor สามารถช่วยตรวจสอบได้ว่าโมเดลที่ใช้สามารถ audit ได้หรือไม่ มี log การทำงานที่ตรวจสอบย้อนหลังได้หรือเปล่า

3. ประเมินความสอดคล้องกับนโยบายองค์กร

เช่น การใช้ AI สอดคล้องกับนโยบายข้อมูลส่วนบุคคล (PDPA) หรือไม่? มีการควบคุมความเสี่ยงเรื่องอคติ (bias) หรือเปล่า?

4. สื่อสารผลกระทบในมุมที่ธุรกิจเข้าใจ

ผู้ตรวจสอบสามารถทำหน้าที่เป็น “สะพาน” เชื่อมระหว่างโลกของเทคโนโลยีและโลกของธุรกิจ ช่วยให้ผู้บริหารเข้าใจว่า Governance ของ AI ส่งผลต่อภาพลักษณ์ ความเสี่ยง และโอกาสขององค์กรอย่างไร

กรณีตัวอย่าง: AI ที่ดี ต้องอธิบายได้

องค์กรแห่งหนึ่งใช้ AI ในการประเมินความน่าเชื่อถือของซัพพลายเออร์ โดยดูจากข้อมูลการส่งของในอดีต คุณภาพสินค้า และรีวิวจากลูกค้า ปรากฏว่าซัพพลายเออร์รายหนึ่งถูกลดระดับความน่าเชื่อถืออย่างมาก โดยที่ไม่มีใครเข้าใจว่าเพราะอะไร เมื่อทีมผู้ตรวจสอบภายในเข้าไปดู พบว่า AI ให้ค่าน้ำหนักกับ “รีวิวเชิงลบ” มากเกินไป โดยไม่สนใจบริบทของช่วงโควิดที่มีปัญหาเรื่องโลจิสติกส์ทั่วทั้งอุตสาหกรรม

จากจุดนี้ทำให้ต้องมีการ:

  • ปรับโมเดล AI ให้มีเหตุผลในการตัดสินใจที่เหมาะสม
  • จัดตั้งคณะทำงานดูแล AI Model
  • เพิ่มหลักเกณฑ์การ review โมเดลแบบรายไตรมาส

สิ่งเหล่านี้เกิดจากการมีระบบ AI Governance ที่ดี และการเข้ามาช่วยเหลือของผู้ตรวจสอบที่เข้าใจธรรมาภิบาลในบริบทของเทคโนโลยี

สรุป Governance ไม่ใช่เพียงคำสวยหรูในเอกสารนโยบาย แต่คือกลไกสำคัญที่จะช่วยให้ AI ถูกใช้ในทิศทางที่สร้างประโยชน์และลดผลกระทบที่ไม่พึงประสงค์ และผู้ตรวจสอบในยุคใหม่ก็มีบทบาทสำคัญในฐานะผู้ช่วย “เฝ้าระวัง” ว่า AI ที่ถูกนำมาใช้ในองค์กรนั้น เป็นไปอย่างรับผิดชอบ โปร่งใส และสามารถตรวจสอบได้

ในตอนต่อไป เราจะเข้าสู่ตัวที่สองของ GRC คือ Risk – ความเสี่ยงที่แฝงอยู่ในการใช้ AI
เราจะไปดูว่าความเสี่ยงของ AI มีอะไรบ้าง และผู้ตรวจสอบจะเข้ามามีบทบาทในการประเมินและควบคุมความเสี่ยงเหล่านี้ได้อย่างไรครับ

Leave a Comment » | AI กับ GRC | ติดป้ายกำกับ: | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

AI กับการตรวจสอบ IT Audit และ Non-IT Auditors โดยใช้หลักการ GRC

เมษายน 26, 2025

เรื่องที่ผมจะพูดคุยกับทุกท่านในวันนี้ เป็นเรื่องของ AI กับการตรวจสอบ IT Audit และ Non-IT Auditors โดยใช้หลักการ GRC ซึ่งจะมีหลายประเด็นที่น่าสนใจและมีประโยชน์ที่เราจะได้แบ่งปันกันในโพสต์นี้ หรืออาจจะในครั้งต่อ ๆ ไป เพื่อไม่ให้แต่ละโพสต์ยืดยาวจนเกินไป

AI กับการตรวจสอบ – จุดเปลี่ยนของวงการ Audit

การตรวจสอบในยุคที่ข้อมูลไม่เคยหยุดนิ่ง

ในอดีต การทำงานของผู้ตรวจสอบภายในหรือ External Auditor มักเกี่ยวข้องกับเอกสาร ปากกา สมุดโน้ต และแฟ้มกระดาษที่มีรายการทางการเงินเรียงรายให้ตรวจสอบ การตรวจเช็คความถูกต้องของข้อมูลตามร่องรอยที่ปรากฏในหลักฐาน (audit trail) เป็นกิจวัตรที่คุ้นชิน แต่เมื่อยุคของ “ข้อมูลมหาศาล” (Big Data) มาถึง รูปแบบการตรวจสอบแบบเดิมก็เริ่มตั้งคำถามกับตัวเองว่า “เรายังเพียงพอหรือเปล่า?”

ปัจจุบัน ข้อมูลที่องค์กรสร้างขึ้นในแต่ละวัน ไม่ว่าจะมาจากระบบ ERP, ระบบบัญชี, ข้อมูลลูกค้า หรือแม้แต่ log ของระบบเครือข่าย มีปริมาณมากเกินกว่าที่มนุษย์จะตรวจสอบทั้งหมดได้แบบ manual ตรงจุดนี้เองที่เทคโนโลยี AI (Artificial Intelligence) เริ่มเข้ามามีบทบาทมากขึ้นในสายงานตรวจสอบ แต่นั่นไม่ได้หมายความว่า AI จะมาแทนที่ผู้ตรวจสอบในเร็ววัน ตรงกันข้าม AI จะเข้ามาเป็น “ผู้ช่วยอัจฉริยะ” ที่ช่วยให้ผู้ตรวจสอบทำหน้าที่ได้ดียิ่งขึ้น
และเมื่อเราใช้งานภายใต้กรอบแนวคิด GRC อย่างเหมาะสม ก็จะช่วยให้ทั้งองค์กร ก้าวสู่การตรวจสอบยุคใหม่ได้อย่างมั่นคงและปลอดภัย

ทำความรู้จัก AI – การพัฒนาเทคโนโลยีที่ลึกซึ้งและครอบคลุม

AI (Artificial Intelligence) คือ เทคโนโลยีที่ทำให้คอมพิวเตอร์หรือเครื่องจักรสามารถ “คิด วิเคราะห์ และตัดสินใจ” ได้ในระดับหนึ่ง โดยอิงจากข้อมูลที่เรียนรู้มาหรือถูกป้อนเข้าไป ซึ่งแตกต่างจากซอฟต์แวร์ทั่วไปที่ทำงานตามคำสั่งแบบตายตัว

AI ไม่ได้เป็นเรื่องใหม่เสียทีเดียว แต่ในช่วงไม่กี่ปีที่ผ่านมา การเติบโตของ Machine Learning, Deep Learning และความสามารถในการประมวลผลข้อมูลขนาดใหญ่ ได้ผลักดันให้ AI ก้าวเข้าสู่หลายอุตสาหกรรม รวมถึงงานด้านการตรวจสอบด้วย

ตัวอย่าง AI ใกล้ตัวในชีวิตประจำวัน เช่น ระบบแนะนำวิดีโอบน YouTube หรือ Netflix, การใช้งาน Google Maps ที่แนะนำเส้นทางสั้นที่สุด , Chatbot ที่ตอบคำถามลูกค้าในเว็บไซต์ หรือ แม้แต่ระบบตรวจจับการฉ้อโกงของธนาคารก็ใช้ AI อยู่เบื้องหลัง

AI เข้ามาช่วยอะไรในงานตรวจสอบ?

AI ไม่ได้เข้ามาแทนที่ผู้ตรวจสอบ แต่ทำหน้าที่เป็น “เครื่องมือ” หรือ “คู่คิด” ที่ช่วยให้เราทำงานได้ดียิ่งขึ้น โดยเฉพาะใน 4 ด้านหลักต่อไปนี้:

1. วิเคราะห์ข้อมูลจำนวนมากได้รวดเร็ว

AI สามารถอ่านข้อมูลนับล้านรายการในไม่กี่วินาที ตรวจหาความผิดปกติ (anomaly) ได้ทันที ซึ่งหากใช้คนตรวจด้วยตา อาจต้องใช้เวลาหลายวัน

2. ตรวจจับความผิดปกติที่ซ่อนอยู่

ระบบ AI ที่เรียนรู้จากพฤติกรรมปกติของธุรกรรม สามารถจับความเปลี่ยนแปลงเล็ก ๆ ที่อาจบ่งบอกถึงการทุจริตหรือความเสี่ยงได้เร็วกว่ามนุษย์

3. ลดภาระงานซ้ำซาก

ผู้ตรวจสอบไม่จำเป็นต้องตรวจเช็กรายการเดิม ๆ ซ้ำ ๆ เพราะ AI จะคัดกรองให้เบื้องต้น ทำให้เหลือเพียงเคสที่ต้องใช้วิจารณญาณของคนจริง ๆ เท่านั้น

4. เพิ่มความแม่นยำ

เมื่อใช้ข้อมูลจำนวนมาก AI สามารถระบุความเสี่ยงหรือจุดบกพร่องได้อย่างแม่นยำมากกว่าการสุ่มตัวอย่าง (sampling) แบบดั้งเดิม

แม้ว่า AI จะทรงพลังเพียงใด หากใช้โดยไม่มีกรอบคิดและการควบคุม ก็อาจนำไปสู่ความเสี่ยงทั้งด้านจริยธรรม กฎหมาย และชื่อเสียงองค์กร และนี่เองที่ “GRC” เข้ามาเป็น Framework สำคัญ ถ้าจะให้ AI ทำงานได้ดี ต้องอยู่ในกรอบที่เหมาะสม GRC จึงเป็นคำตอบ

GRC ย่อมาจาก Governance, Risk และ Compliance เป็นแนวทางที่ช่วยให้องค์กรดำเนินงานด้านเทคโนโลยี (รวมถึง AI) ได้อย่างโปร่งใส ปลอดภัย และสอดคล้องกับกฎหมายและนโยบายองค์กร

องค์ประกอบความหมายบทบาทกับ AI
Governanceการกำกับดูแลที่ดีสร้างแนวทางการใช้งาน AI อย่างมีจริยธรรม
Riskการบริหารความเสี่ยงตรวจสอบและควบคุมความเสี่ยงจากการใช้ AI
Complianceการปฏิบัติตามกฎหมาย/กฎเกณฑ์/ระเบียบ/ข้อบังคับให้แน่ใจว่า AI สอดคล้องกับระเบียบ/กฎหมายที่เกี่ยวข้อง

การใช้ AI ในงานตรวจสอบจึงไม่ใช่เพียงเรื่องของ “เครื่องมือ” แต่คือการ “วางระบบควบคุมและแนวทางการใช้งาน” ที่สอดคล้องกับหลัก GRC ด้วยเช่นกัน

บทบาทใหม่ของผู้ตรวจสอบในโลกที่มี AI

ผู้ตรวจสอบในยุคดิจิทัลไม่จำเป็นต้องเป็นผู้เชี่ยวชาญด้านเทคนิคหรือโปรแกรมเมอร์ แต่ควรเข้าใจ “หลักการของการใช้เทคโนโลยี” และมองเห็นโอกาสในการปรับใช้เครื่องมืออย่างชาญฉลาด

สิ่งที่ยังคงเป็นบทบาทของมนุษย์และ AI ยังทำแทนไม่ได้ ได้แก่:

  • การตั้งคำถามเชิงกลยุทธ์
  • การตัดสินใจบนบริบทขององค์กร
  • การประเมินผลกระทบต่อคนและวัฒนธรรมองค์กร
  • การให้ข้อเสนอแนะที่สื่อสารได้ชัดเจนและเหมาะสม

กล่าวคือ AI ทำงานได้ดีในการ “วิเคราะห์” แต่ “การตีความ” และ “การตัดสินใจเชิงวิจารณญาณ” ยังคงเป็นของผู้ตรวจสอบเสมอ

สรุป-จุดเริ่มต้นของการยกระดับสายงานตรวจสอบ

AI และ GRC ไม่ใช่เรื่องไกลตัวหรือซับซ้อนเกินเข้าใจ หากแต่คือเครื่องมือและกรอบความคิดที่ช่วยให้ผู้ตรวจสอบทำงานได้ลึกขึ้น แม่นยำขึ้น และมีผลกระทบต่อองค์กรอย่างเป็นรูปธรรมมากขึ้น การทำความเข้าใจพื้นฐานในตอนแรกนี้ จึงเป็นก้าวสำคัญสำหรับผู้ตรวจสอบทุกคน ไม่ว่าจะมีพื้นฐานด้าน IT หรือไม่ก็ตาม

ในตอนต่อไป เราจะลงลึกในองค์ประกอบแรกของ GRC คือ “Governance – ธรรมาภิบาลในการใช้งาน AI” และบทบาทของผู้ตรวจสอบในการกำกับดูแลระบบ AI อย่างมีจริยธรรม

Leave a Comment » | AI กับ GRC | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

Digital Transformation กับ GRC – เมื่อการเปลี่ยนแปลงต้องอยู่ภายใต้การควบคุม

เมษายน 16, 2025

จากตอนที่แล้ว ผมได้พูดถึงความเหมือนและความต่างระหว่าง “AI” และ “Digital Transformation” ซึ่งแม้จะเป็นคำที่มักถูกใช้ควบคู่กัน แต่จริง ๆ แล้วมีขอบเขตที่ต่างกันอย่างชัดเจน AI เป็นเทคโนโลยีเฉพาะทางที่มุ่งเน้นความฉลาดของระบบ ส่วน Digital Transformation (DX) คือกรอบการเปลี่ยนแปลงเชิงกลยุทธ์ขององค์กร ที่ครอบคลุมกระบวนการ โครงสร้าง และวัฒนธรรมทั้งหมด

เรายังได้พูดถึง AI Governance ซึ่งเป็นกลไกกำกับดูแลความฉลาดของระบบไม่ให้หลุดกรอบ และนั่นก็พาเราเข้าสู่คำถามสำคัญว่า… แล้วการเปลี่ยนแปลงดิจิทัลทั้งหมดล่ะ? จะอยู่ภายใต้การควบคุมแบบไหน? ใครกำหนดทิศทาง? ใครรับผิดชอบเมื่อเกิดความเสี่ยง?

และนี่เองคือเรื่องที่ผมจะพูดถึงในตอนนี้…

การเปลี่ยนแปลงที่ไม่อาจละเลย และความจำเป็นของการควบคุมที่ชัดเจน

ในยุคที่ทุกอย่างขับเคลื่อนด้วยเทคโนโลยี คำว่า “Digital Transformation” กลายเป็นคีย์เวิร์ดหลักของแทบทุกองค์กร ไม่ว่าจะเป็นภาครัฐหรือเอกชน ต่างก็หาทางพลิกโฉมการทำงานแบบเดิม ๆ ให้เข้าสู่กระบวนการดิจิทัล ทั้งในด้านกระบวนการทำงาน การให้บริการ และการบริหารจัดการข้อมูล

แต่ในความเร็วของการเปลี่ยนแปลง ก็มีความเสี่ยงซ่อนอยู่ไม่น้อย การรีบเร่งเปลี่ยนผ่านโดยไม่มีแนวทางควบคุมอาจทำให้เกิดความสับสน เสียหาย หรือแม้กระทั่งละเมิดกฎหมายและสิทธิของผู้ใช้งานโดยไม่รู้ตัว

นั่นคือเหตุผลที่ “GRC” หรือ Governance, Risk, and Compliance เข้ามามีบทบาทสำคัญในการวางรากฐานให้ Digital Transformation เกิดขึ้นอย่างปลอดภัย โปร่งใส และยั่งยืน

GRC คืออะไร?

GRC ย่อมาจาก Governance, Risk Management, และ Compliance ซึ่งเมื่อรวมกันแล้วคือกรอบแนวทางที่ช่วยให้องค์กร:

  • Governance (ธรรมาภิบาล): มีการบริหารจัดการที่ดี โปร่งใส รับผิดชอบ และสามารถตรวจสอบได้
  • Risk Management (การบริหารความเสี่ยง): ระบุ ประเมิน และจัดการความเสี่ยงที่อาจเกิดขึ้นจากกระบวนการและเทคโนโลยี
  • Compliance (การปฏิบัติตามข้อกำหนด): ดำเนินงานตามกฎหมาย กฎเกณฑ์ และมาตรฐานต่าง ๆ ที่เกี่ยวข้อง

การบูรณาการ GRC เข้ากับการดำเนินงานขององค์กร ไม่เพียงช่วยลดความเสี่ยง แต่ยังช่วยสร้างความเชื่อมั่นให้แก่ผู้มีส่วนได้ส่วนเสีย ทั้งลูกค้า พนักงาน นักลงทุน และหน่วยงานกำกับดูแล

GRC กับ Digital Transformation: ความสัมพันธ์ที่ต้องเดินไปด้วยกัน

Digital Transformation ไม่ใช่แค่เรื่องของการนำเทคโนโลยีมาใช้ ยังหมายถึงการเปลี่ยนแปลง วัฒนธรรมองค์กร การเปลี่ยนแปลงวิธีคิด โครงสร้างองค์กร และการตัดสินใจทางธุรกิจ เช่น การตัดสินใจด้วยข้อมูล, การเปิดรับนวัตกรรม, การทำงานแบบ agile GRC จึงกลายเป็นเสาหลักที่คอยกำกับดูแลไม่ให้การเปลี่ยนแปลงนั้นหลุดจากแนวทางที่เหมาะสม ซึ่ง GRC ก็ต้องปรับแนวคิดให้ยืดหยุ่นและทันสมัยด้วย


ยกตัวอย่าง Digital Transformation ที่ล้มเหลวเพราะละเลย GRC เช่น เปลี่ยนระบบเร็วเกินไปจนพนักงานใช้งานไม่ทัน (People Risk) หรือใช้ Cloud โดยไม่มีการประเมินความมั่นคง (Data Risk)

Digital Transformation ไม่ใช่แค่เรื่องของการนำเทคโนโลยีมาใช้ ยังหมายถึงการเปลี่ยนแปลง วัฒนธรรมองค์กร การเปลี่ยนแปลงวิธีคิด โครงสร้างองค์กร และการตัดสินใจทางธุรกิจ เช่น การตัดสินใจด้วยข้อมูล, การเปิดรับนวัตกรรม, การทำงานแบบ agile GRC จึงกลายเป็นเสาหลักที่คอยกำกับดูแลไม่ให้การเปลี่ยนแปลงนั้นหลุดจากแนวทางที่เหมาะสม ซึ่ง GRC ก็ต้องปรับแนวคิดให้ยืดหยุ่นและทันสมัยด้วย


การเปลี่ยนระบบเร็วเกินไปจนพนักงานใช้งานไม่ทัน (People Risk) หรือใช้ Cloud โดยไม่มีการประเมินความมั่นคง (Data Risk) ล้วนเป็นตัวอย่างของ Digital Transformation ที่ล้มเหลวเพราะละเลย GRC

1. Governance: วางโครงสร้างการบริหารที่โปร่งใส

การเปลี่ยนผ่านดิจิทัลควรมีกลยุทธ์ที่ชัดเจน และต้องมีโครงสร้างการบริหารจัดการที่ตอบโจทย์ ไม่ว่าจะเป็น:

  • การจัดตั้งคณะกรรมการกำกับดูแลด้านเทคโนโลยี (Technology Governance Board)
  • การกำหนดบทบาทของผู้บริหารระดับสูง เช่น CDO (Chief Digital Officer) หรือ CIO (Chief Information Officer)
  • การวางนโยบายด้าน Data Governance และ AI Governance ให้สอดคล้องกับแผนกลยุทธ์

2. Risk: รู้จักและเตรียมรับมือกับความเสี่ยง

เทคโนโลยีใหม่ ๆ มาพร้อมกับความเสี่ยงใหม่ ๆ เช่น:

  • ความเสี่ยงด้านข้อมูล (Data Risk): ข้อมูลรั่วไหล หรือข้อมูลผิดพลาด
  • ความเสี่ยงด้านบุคลากร (People Risk): พนักงานไม่พร้อมกับการเปลี่ยนแปลง
  • ความเสี่ยงจาก Third-party หรือ Vendor

การประเมินความเสี่ยง (Risk Assessment) และการกำหนดมาตรการควบคุม เช่น Business Continuity Plan (BCP) จึงเป็นเรื่องที่ละเลยไม่ได้

3. Compliance: ปฏิบัติตามกฎหมายและมาตรฐาน

เมื่อองค์กรใช้เทคโนโลยีเพิ่มมากขึ้น ความซับซ้อนของกฎหมายและมาตรฐานก็เพิ่มขึ้นตามไปด้วย เช่น:

  • กฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA, GDPR)
  • มาตรฐานความมั่นคงปลอดภัยสารสนเทศ (ISO/IEC 27001)
  • มาตรฐานอุตสาหกรรมเฉพาะ เช่น PCI-DSS สำหรับธุรกิจการเงิน

GRC จะช่วยให้องค์กรสามารถติดตามและตอบสนองต่อข้อกำหนดเหล่านี้ได้อย่างเป็นระบบ

ตัวอย่างการบูรณาการ GRC กับ Digital Transformation

ลองนึกภาพองค์กรที่ต้องการใช้ AI ในการสรรหาบุคลากร:

  • Governance: มีคณะทำงานกำกับดูแลการใช้ AI ให้เป็นธรรมและโปร่งใส
  • Risk: ประเมินความเสี่ยงว่า AI อาจมี Bias หรือเลือกปฏิบัติ
  • Compliance: ตรวจสอบว่าเป็นไปตามกฎหมายแรงงานและกฎหมายคุ้มครองข้อมูลส่วนบุคคล

หรือในกรณีการย้ายระบบไปใช้ Cloud:

  • Governance: ตรวจสอบผู้ให้บริการ Cloud ที่มีมาตรฐานความมั่นคง
  • Risk: กำหนดนโยบายจัดการความเสี่ยงเรื่องข้อมูลสูญหายหรือ downtime
  • Compliance: ตรวจสอบว่า Cloud Provider ปฏิบัติตามมาตรฐานและกฎหมายที่เกี่ยวข้อง

GRC ไม่ใช่เรื่องของฝ่ายกำกับดูแลเท่านั้น

หลายองค์กรยังเข้าใจว่า GRC เป็นหน้าที่ของฝ่ายกฎหมาย หรือฝ่ายตรวจสอบภายในเท่านั้น แต่ความจริงแล้ว GRC คือ “เรื่องของทั้งองค์กร” ที่ทุกฝ่ายต้องมีส่วนร่วม โดยเฉพาะในการเปลี่ยนผ่านยุคดิจิทัล ที่ทุกฝ่ายต่างได้รับผลกระทบ

เมื่อ GRC ฝังอยู่ในวัฒนธรรมองค์กร จะช่วยให้พนักงานทุกคนเข้าใจว่าการทำงานอย่างมีธรรมาภิบาล ไม่ใช่แค่เรื่องกฎระเบียบ แต่คือวิธีทำงานอย่างมืออาชีพและยั่งยืน

สรุป Digital Transformation คือเส้นทางที่ทุกองค์กรต้องเดิน แต่จะเดินอย่างไรให้ปลอดภัย ไม่ตกหลุมพรางของความเสี่ยงหรือข้อผิดพลาดทางกฎหมาย จึงต้องมี GRC เป็นเข็มทิศและระบบควบคุม

ในตอนต่อไป เราจะคุยกันในเรื่องของ AI กับการตรวจสอบกันครับ

Leave a Comment » | AI กับ GRC | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

AI กับ Digital Transformation ในโลกธุรกิจยุคใหม่

เมษายน 6, 2025

สวัสดีครับ สำหรับเนื้อหาในโพสต์นี้ ผมอยากจะพูดคุยกับทุกท่านเกี่ยวกับเรื่องของ AI กับ Digital Transformation ซึ่งกำลังเข้ามามีบทบาทสำคัญสำหรับองค์กรหรือธุรกิจในยุคใหม่นี้ และหลาย ๆ คน หลาย ๆ ท่านอาจจะยังไม่เข้าใจกับความหมาย หรือความเหมือนและความแตกต่างระหว่างคำ 2 คำนี้ คือ “AI” กับ “Digital Transformation”

ความเหมือนและความต่างของ AI กับ Digital Transformation

เทคโนโลยีสองคำที่ใกล้กัน แต่ไม่เหมือนกันซะทีเดียว

ในช่วงไม่กี่ปีที่ผ่านมา เรามักจะได้ยินคำว่า “AI” และ “Digital Transformation” ควบคู่กันเสมอ ทั้งในข่าวธุรกิจ การบรรยายสัมมนา หรือแม้แต่ในแผนกลยุทธ์ขององค์กร แต่คำถามหนึ่งที่หลายคนยังสงสัยคือ… สองคำนี้มันคือสิ่งเดียวกันหรือเปล่า? หรือแค่คล้ายกันเฉย ๆ?

ผมจะชวนคุณมาทำความเข้าใจว่า AI กับ Digital Transformation มีความเกี่ยวข้องกันอย่างไร และที่สำคัญคือ เหมือนหรือต่างกันตรงไหน แบบเข้าใจง่าย ๆ แต่ยังคงความเข้มของเนื้อหาไว้ครบถ้วน

AI คืออะไร? ในมุมขององค์กร

AI หรือ Artificial Intelligence หมายถึง การทำให้เครื่องจักรหรือระบบคอมพิวเตอร์สามารถคิด วิเคราะห์ ตัดสินใจ หรือเรียนรู้ได้เหมือนกับมนุษย์ ไม่ว่าจะเป็นการรู้จำเสียง วิเคราะห์ภาพ การแนะนำสิ่งที่น่าสนใจ (เช่น ระบบแนะนำหนังใน Netflix) หรือการตรวจจับความผิดปกติในระบบ IT

ในแง่ขององค์กร AI มักถูกใช้เพื่อ:

  • วิเคราะห์ข้อมูลปริมาณมาก
  • คาดการณ์แนวโน้ม
  • เพิ่มความแม่นยำในการตัดสินใจ
  • หรือแม้แต่ช่วย “ทำงานแทนมนุษย์” ในบางส่วน

พูดง่าย ๆ ก็คือ AI เป็นเทคโนโลยีเฉพาะทาง ที่เน้น “ความฉลาด” ของระบบ

แล้ว Digital Transformation คืออะไร?

Digital Transformation (DX) ไม่ใช่แค่การนำเทคโนโลยีมาใช้ แต่คือ “การเปลี่ยนแปลงทั้งองค์กร” ในเชิงวัฒนธรรม กระบวนการ และโครงสร้าง โดยมีเป้าหมายเพื่อให้ธุรกิจสามารถปรับตัวอยู่รอดและเติบโตในโลกดิจิทัล

บางองค์กรอาจเริ่มต้นจากการเปลี่ยนระบบจัดเก็บเอกสารแบบกระดาษ ไปเป็นระบบดิจิทัล แต่ในระยะยาว DX มักจะรวมถึง:

  • การปรับวิธีคิดของผู้บริหารและพนักงาน
  • การออกแบบบริการใหม่ ๆ บนโลกออนไลน์
  • การใช้ข้อมูลเป็นศูนย์กลางของการตัดสินใจ
  • และการนำเทคโนโลยี เช่น Cloud, IoT, RPA และ AI มาใช้

Digital Transformation คือกรอบใหญ่ ที่ครอบคลุมหลายด้าน ไม่ใช่แค่เรื่องเทคโนโลยี แล้วทั้งสองเหมือนหรือต่างกันอย่างไร?

ความแตกต่างระหว่าง AI กับ Digital Transformation

หัวข้อAIDigital Transformation
ประเภทเทคโนโลยีเฉพาะทางกระบวนการเชิงกลยุทธ์
ขอบเขตใช้กับงานเฉพาะเปลี่ยนแปลงระดับองค์กร
จุดเน้นทำให้ระบบ “ฉลาด”ทำให้ธุรกิจ “คล่องตัว ทันสมัย”
บทบาทในองค์กรเป็นเครื่องมือหนึ่งที่ช่วยให้ DX มีประสิทธิภาพเป็นแนวทางใหญ่ที่ AI เป็นหนึ่งในองค์ประกอบ

อธิบายให้เข้าใจง่าย ๆ ได้ว่า ถ้าเปรียบเป็นวงกลม AI จะเป็น “วงกลมเล็ก” ที่อยู่ภายใน “วงกลมใหญ่” ของ Digital Transformation พูดอีกอย่างคือ AI คือเครื่องมือ ที่องค์กรใช้ในการ “ขับเคลื่อนการเปลี่ยนผ่าน” ให้เกิดขึ้นจริง

AI คือเทคโนโลยีที่ใช้ในการขับเคลื่อนองค์กร ส่วน Digital Transformation คือการเปลี่ยนแปลงทั้งองค์กร และทั้งสอง “เสริมพลังกัน” เพื่อให้ธุรกิจก้าวไปข้างหน้าได้อย่างมั่นคงในโลกดิจิทัล

หากองค์กรของคุณกำลังอยู่ในช่วงวางแผน Digital Transformation อย่าลืมพิจารณา AI เป็นหนึ่งในเครื่องมือยุทธศาสตร์ที่สามารถเพิ่มความสามารถในการแข่งขัน และสร้างคุณค่าใหม่ ๆ ได้อย่างแท้จริง

จาก AI สู่ AI Governance – เมื่อความฉลาดต้องมีคนดูแล

AI ไม่ใช่แค่เทคโนโลยี แต่คือ “พลังขับเคลื่อน” องค์กร

ในโลกยุคดิจิทัล คำว่า “AI” หรือ Artificial Intelligence ได้กลายเป็นคำฮิตที่หลายองค์กรนำมาใช้ในเชิงกลยุทธ์ ไม่ว่าจะเป็นการวิเคราะห์ข้อมูลลูกค้า การคัดเลือกผู้สมัครงาน หรือแม้กระทั่งการวินิจฉัยโรค ความสามารถของ AI ในการประมวลผลและตัดสินใจอย่างรวดเร็ว ทำให้หลายคนมองว่า AI คือ “ตัวช่วยมหัศจรรย์” ของยุคนี้

แต่เบื้องหลังความฉลาดของ AI นั้น ยังมีคำถามสำคัญที่มาพร้อมกันเสมอว่า:

  • ใครเป็นผู้ควบคุมการตัดสินใจของ AI?
  • เราเชื่อมั่นได้อย่างไรว่า AI ตัดสินใจอย่างยุติธรรม?
  • หาก AI ทำผิด ใครควรรับผิดชอบ?

คำถามเหล่านี้ไม่ใช่เพียงแค่เรื่องเทคนิค แต่สะท้อนถึงประเด็นด้านจริยธรรม กฎหมาย และธรรมาภิบาล ซึ่งเป็นที่มาของสิ่งที่เราเรียกว่า “AI Governance”

AI Governance คืออะไร?

AI Governance หมายถึง กรอบแนวทาง นโยบาย และกลไกการกำกับดูแลการออกแบบ พัฒนา และใช้งาน AI เพื่อให้แน่ใจว่า AI มีความโปร่งใส ยุติธรรม ตรวจสอบได้ เคารพสิทธิของผู้ใช้งาน และสามารถรับผิดชอบต่อผลกระทบที่เกิดขึ้นได้อย่างเหมาะสม

พูดให้เข้าใจง่ายขึ้น AI Governance คือ “ระบบควบคุม” ที่ทำหน้าที่เหมือนพวงมาลัยให้กับรถยนต์ AI ไม่ให้ขับออกนอกเส้นทาง หรือไปเร็วเกินกว่าที่ควรจะเป็น

ในยุคที่องค์กรเริ่มพึ่งพา AI ในการตัดสินใจมากขึ้นทุกวัน การมีแนวทาง AI Governance ที่ชัดเจนจึงไม่ใช่ทางเลือกอีกต่อไป แต่เป็น “ความจำเป็น” ที่จะทำให้องค์กรสามารถใช้ AI ได้อย่างมั่นคง ยั่งยืน และมีจริยธรรม

องค์ประกอบสำคัญของ AI Governance

เพื่อให้การใช้งาน AI เป็นไปอย่างปลอดภัยและน่าเชื่อถือ AI Governance ควรครอบคลุมประเด็นหลัก ๆ ดังต่อไปนี้:

1. ความโปร่งใสและการอธิบายได้ (Transparency & Explainability)

AI ควรสามารถอธิบายได้ว่ามีวิธีคิดและเหตุผลในการตัดสินใจอย่างไร โดยเฉพาะในระบบที่ใช้ Machine Learning หรือ Deep Learning ซึ่งมักเป็น “กล่องดำ” (Black Box) ที่แม้แต่นักพัฒนาเองก็ยังเข้าใจได้ยาก

การใช้เครื่องมืออย่าง Explainable AI (XAI) หรือการวิเคราะห์โมเดล (Model Interpretation Tools) จะช่วยให้ผู้ใช้งานและผู้ตรวจสอบสามารถเข้าใจว่า AI ตัดสินใจจากปัจจัยอะไร เพื่อป้องกันความลำเอียงหรือการตัดสินใจที่ไม่เหมาะสม

2. การตรวจสอบและติดตาม (AI Auditing & Monitoring)

ระบบ AI ควรมีการเก็บ log การทำงาน ตรวจสอบประสิทธิภาพอย่างสม่ำเสมอ และวิเคราะห์ว่ามี Bias หรือไม่ เช่น:

  • การทดสอบ Bias Testing
  • การวิเคราะห์ Performance Metrics
  • การประเมินผลกระทบของโมเดล

3. ความปลอดภัยทางไซเบอร์ (AI Security & Cybersecurity)

AI อาจตกเป็นเป้าหมายของการโจมตี เช่น:

  • Adversarial Attacks: ป้อนข้อมูลหลอกลวงเพื่อให้ AI ตัดสินใจผิดพลาด
  • Data Poisoning: แอบแทรกข้อมูลผิดพลาดลงไปในชุดข้อมูลฝึกสอน
  • Model Inversion: ดึงข้อมูลภายในออกจากโมเดล

การใช้แนวทาง Zero Trust Security และการควบคุมการเข้าถึงโมเดล AI จึงเป็นสิ่งจำเป็น

4. ความเป็นธรรมและการลด Bias (Fairness & Bias Mitigation)

AI อาจสะท้อนความลำเอียงจากข้อมูลเดิม เช่น การเลือกปฏิบัติทางเพศ เชื้อชาติ หรืออายุ การใช้ Fairness Metrics และ Bias Auditing จึงช่วยให้มั่นใจว่า AI ปฏิบัติต่อทุกคนอย่างเท่าเทียม

5. ความเป็นส่วนตัวและการปฏิบัติตามกฎหมาย (Privacy & Compliance)

ระบบ AI ต้องไม่ละเมิดสิทธิของผู้ใช้งาน และต้องปฏิบัติตามกฎหมายที่เกี่ยวข้อง เช่น GDPR, PDPA หรือกฎหมายข้อมูลส่วนบุคคลในแต่ละประเทศ

เทคโนโลยีที่ช่วยในเรื่องนี้ เช่น:

  • Federated Learning (การเรียนรู้จากข้อมูลกระจายตัว)
  • Differential Privacy (การปกป้องข้อมูลโดยใช้สถิติ)

6. ความรับผิดชอบและการกำกับดูแล (Accountability & Ethical Governance)

องค์กรควรตั้งคณะกรรมการกำกับดูแล AI (AI Governance Committee) หรือมีนโยบายชัดเจนในการกำกับจริยธรรม เช่น:

  • ใช้ Human-in-the-Loop ในการตัดสินใจสำคัญ
  • ห้ามใช้ AI ตัดสินใจอัตโนมัติในเรื่องที่กระทบต่อชีวิตมนุษย์ เช่น การวินิจฉัยโรคร้ายแรง หรือการตัดสินโทษ

ความสัมพันธ์ของ AI Governance กับ Digital Transformation

หาก AI คือเครื่องยนต์ขับเคลื่อน Digital Transformation AI Governance ก็คือระบบเบรก พวงมาลัย และแผนที่ที่ช่วยให้องค์กรไม่หลุดโค้ง

องค์กรที่มุ่งสู่การเปลี่ยนแปลงดิจิทัลอย่างรวดเร็ว แต่ไม่มีกลไกควบคุม AI ที่เหมาะสม อาจตกอยู่ในภาวะเสี่ยง ไม่ว่าจะเป็นด้านกฎหมาย ชื่อเสียง หรือแม้กระทั่งผลกระทบต่อสังคม

AI Governance จึงไม่ใช่แค่เรื่องของฝ่าย IT หรือ Data Science เท่านั้น แต่เป็นประเด็นร่วมของผู้บริหาร ฝ่ายกฎหมาย ฝ่ายกำกับดูแล และหน่วยงานตรวจสอบภายใน ที่ต้องร่วมมือกันวางแนวทางให้ชัดเจน

สรุปว่า AI ฉลาดอย่างเดียวไม่พอ ต้องมีธรรมาภิบาลด้วย

AI ทำให้ธุรกิจฉลาดขึ้นจริง แต่หากไม่มีการกำกับดูแลที่เหมาะสม ความฉลาดนั้นอาจกลายเป็นอาวุธที่ย้อนกลับมาทำร้ายองค์กรเองได้

AI Governance จึงเป็นรากฐานสำคัญที่ทำให้องค์กรสามารถใช้ AI ได้อย่างปลอดภัย มีความรับผิดชอบ และเกิดประโยชน์ต่อผู้มีส่วนได้ส่วนเสียทุกฝ่าย

ซึ่งในตอนถัดไป เราจะไปต่อกันที่ “Digital Transformation กับ GRC: เมื่อการเปลี่ยนแปลงต้องอยู่ภายใต้การควบคุม” ซึ่งจะอธิบายว่า GRC (Governance, Risk, and Compliance) คืออะไร และมีบทบาทสำคัญอย่างไรในการเปลี่ยนผ่านองค์กรสู่ยุคดิจิทัล โปรดติดตามนะครับ

Leave a Comment » | AI กับ GRC | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

AI กับ Cybersecurity: การบริหารความเสี่ยงอย่างมีมาตรฐานด้วย Machine Learning และ NIST”

มีนาคม 24, 2025

ในยุคที่ภัยคุกคามทางไซเบอร์มีความซับซ้อนและรุนแรงมากขึ้น องค์กรและธุรกิจทั่วโลกต่างเผชิญกับความท้าทายในการป้องกัน ตรวจจับ และตอบสนองต่อการโจมตีทางไซเบอร์อย่างมีประสิทธิภาพ เทคโนโลยี Artificial Intelligence (AI) และ Machine Learning (ML) จึงกลายเป็นเครื่องมือสำคัญที่ช่วยยกระดับระบบ Cybersecurity โดยช่วยให้องค์กรสามารถวิเคราะห์ข้อมูลมหาศาล คาดการณ์ความเสี่ยง และดำเนินมาตรการป้องกันได้แบบเรียลไทม์

อย่างไรก็ตาม แม้ว่า AI จะช่วยเสริมความสามารถในการรักษาความปลอดภัยทางไซเบอร์ได้อย่างมีประสิทธิภาพ แต่การใช้งาน AI เพียงอย่างเดียวอาจไม่เพียงพอ หากไม่มีมาตรฐานหรือกรอบแนวทางที่ชัดเจน NIST Cybersecurity Framework (CSF) จึงเข้ามามีบทบาทในการกำหนดแนวทางปฏิบัติที่เป็นระบบ เพื่อให้ AI ถูกนำไปใช้อย่างเหมาะสมและเป็นไปตามมาตรฐานสากล

วันนี้ผมอยากจะพูดคุยกับทุกท่าน เพื่อทำความเข้าใจว่า Machine Learning ทำงานอย่างไรในด้าน Cybersecurity, AI มีบทบาทอย่างไรในการบริหารความเสี่ยง, และ ความแตกต่างระหว่าง AI กับมาตรฐาน NIST รวมถึงแนวทางที่ดีที่สุดในการนำทั้งสองสิ่งมาใช้ร่วมกัน เพื่อเสริมสร้างระบบความปลอดภัยไซเบอร์ที่แข็งแกร่งและมีมาตรฐานรองรับ

หลักการทำงานของ Machine Learning

Machine Learning (ML) คือ การใช้ข้อมูลเพื่อสอนให้คอมพิวเตอร์เรียนรู้และตัดสินใจโดยไม่ต้องมีการเขียนโค้ดที่กำหนดเงื่อนไขแบบชัดเจน

กระบวนการทำงานของ Machine Learning

รวบรวมข้อมูล (Data Collection) – ข้อมูลที่ใช้ฝึก ML เช่น ข้อมูล Log ไฟล์, Network Traffic, พฤติกรรมผู้ใช้

ทำความสะอาดข้อมูล (Data Preprocessing) – ขจัด Noise และแปลงข้อมูลให้อยู่ในรูปแบบที่เหมาะสม

เลือกและฝึกโมเดล (Model Training) – ใช้อัลกอริธึม เช่น

  • Supervised Learning (เรียนรู้จากข้อมูลที่มี Label) → เช่น การจำแนกอีเมลว่าเป็น Spam หรือไม่
  • Unsupervised Learning (ค้นหารูปแบบในข้อมูลที่ไม่มี Label) → เช่น การตรวจจับพฤติกรรมที่ผิดปกติในระบบ
  • Reinforcement Learning (เรียนรู้จากการทำซ้ำและปรับปรุงจาก Feedback) → เช่น AI ปรับปรุงระบบ Firewall อัตโนมัติ

ทดสอบและปรับปรุง (Testing & Optimization) – ใช้ข้อมูลใหม่เพื่อตรวจสอบว่าโมเดลทำงานได้ดีแค่ไหน

ตัวอย่างการใช้ ML ใน Cybersecurity:

  • Anomaly Detection → ตรวจจับพฤติกรรมที่ผิดปกติในเครือข่าย
  • Phishing Email Detection → วิเคราะห์อีเมลเพื่อป้องกันการหลอกลวง
  • Intrusion Detection System (IDS) → ตรวจจับภัยคุกคามแบบเรียลไทม์

การใช้ AI และ Machine Learning เพื่อบริหารความเสี่ยงทาง Cybersecurity

AI ถูกใช้ในการป้องกันและบริหารความเสี่ยงด้านไซเบอร์อย่างไร?

AI ช่วยองค์กร/ธุรกิจ ตรวจจับและป้องกันการโจมตีทางไซเบอร์แบบเรียลไทม์ และปรับตัวให้เข้ากับภัยคุกคามใหม่ๆ

การใช้ AI ใน 4 มิติของ Cybersecurity:

การตรวจจับ (Detection)

  • ใช้ AI และ ML วิเคราะห์พฤติกรรมของผู้ใช้ (User Behavior Analytics – UBA)
  • ตรวจจับ Anomalies (พฤติกรรมผิดปกติ) ในระบบเครือข่าย
  • ตัวอย่าง: AI วิเคราะห์ Log Files จาก SIEM (Security Information and Event Management)

การป้องกัน (Prevention)

  • ใช้ AI ทำนายความเสี่ยง (Predictive Analytics)
  • ป้องกัน Malware โดยใช้ AI-based Threat Intelligence
  • ใช้ AI Firewall และ AI-powered Antivirus

การตอบสนอง (Response)

  • ใช้ Automated Incident Response (เช่น SOAR – Security Orchestration, Automation, and Response)
  • AI วิเคราะห์ข้อมูลจาก Endpoint Detection & Response (EDR)

การฟื้นฟู (Recovery)

  • ใช้ AI วิเคราะห์ Root Cause Analysis
  • ช่วยวิเคราะห์ Incident Reports และแนะนำมาตรการป้องกัน

ตัวอย่างเครื่องมือ AI ใน Cybersecurity:

  • Darktrace – ใช้ ML วิเคราะห์พฤติกรรมเครือข่ายและตรวจจับภัยคุกคาม
  • IBM Watson for Cybersecurity – ใช้ AI วิเคราะห์ข้อมูลภัยคุกคาม
  • Cylance AI Antivirus – ใช้ ML ทำนายและป้องกัน Malware


AI และ มาตรฐาน NIST – แตกต่างกันอย่างไร?

  • AI คือเทคโนโลยี → ช่วยป้องกันและตอบสนองภัยคุกคาม
  • NIST คือมาตรฐาน → เป็น Framework ที่กำหนดแนวทางการบริหารความเสี่ยงทาง Cybersecurity

NIST Cybersecurity Framework (CSF) มี 5 องค์ประกอบหลัก

  1. Identify (ระบุ) → ใช้ AI วิเคราะห์ความเสี่ยงของสินทรัพย์ในองค์กร
  2. Protect (ป้องกัน) → AI ช่วยบังคับใช้นโยบายรักษาความปลอดภัย
  3. Detect (ตรวจจับ) → AI วิเคราะห์ข้อมูล Log และพฤติกรรมที่ผิดปกติ
  4. Respond (ตอบสนอง) → AI จัดการ Incident Response อัตโนมัติ
  5. Recover (ฟื้นฟู) → AI วิเคราะห์ Root Cause และปรับปรุงมาตรการความปลอดภัย

ความแตกต่างระหว่าง AI และ NIST

เปรียบเทียบAI & Machine LearningNIST Cybersecurity Framework
เป้าหมายป้องกันและตอบสนองภัยคุกคามโดยอัตโนมัติให้แนวทางบริหารความเสี่ยงและกำหนดมาตรฐาน
การทำงานวิเคราะห์ข้อมูลและคาดการณ์ภัยคุกคามช่วยองค์กรกำหนดนโยบายและกระบวนการป้องกัน
ข้อดีทำงานเรียลไทม์, ปรับตัวเร็ว, ใช้ Big Dataเป็นแนวทางที่ชัดเจน, ช่วยให้ปฏิบัติตามมาตรฐาน
ข้อเสียต้องการข้อมูลที่ดีเพื่อให้แม่นยำไม่สามารถตอบสนองอัตโนมัติ ต้องอาศัยบุคลากร

การนำไปใช้ร่วมกัน:

  • ใช้ AI + NIST CSF เพื่อสร้างระบบ Cybersecurity ทั้งอัตโนมัติและมีมาตรฐานรองรับ
  • AI ช่วยให้องค์กร ตรวจจับภัยคุกคามแบบเรียลไทม์ ขณะที่ NIST ให้แนวทางวางมาตรการป้องกันและตอบสนอง

สรุป – AI & Machine Learning กับ Cybersecurity และ NIST

  1. Machine Learning ทำงานโดยเรียนรู้จากข้อมูลและใช้เพื่อวิเคราะห์พฤติกรรมผิดปกติในระบบ Cybersecurity
  2. AI สามารถช่วยป้องกันและบริหารความเสี่ยงทาง Cybersecurity ได้ใน 4 ด้าน (Detection, Prevention, Response, Recovery)
  3. NIST เป็นแนวทางมาตรฐานด้าน Cybersecurity ที่กำหนดขั้นตอนให้ AI ปรับใช้ในองค์กร
  4. AI & NIST ควรใช้ร่วมกัน → AI เป็นเครื่องมือในการดำเนินการ ส่วน NIST เป็นแนวทางกำหนดกลยุทธ์

คำถามที่องค์กร/ธุรกิจควรพิจารณาเพื่อการใช้งาน AI & NIST อย่างมีประสิทธิภาพ

  1. องค์กร/ธุรกิจของท่านใช้ AI ตรวจจับภัยคุกคามทางไซเบอร์แล้วหรือยัง?
  2. นโยบาย Cybersecurity ขององค์กร/ธุรกิจสอดคล้องกับ NIST Framework หรือไม่?
  3. หากมีการโจมตีไซเบอร์ องค์กร/ธุรกิจของท่านสามารถตอบสนองได้เร็วแค่ไหน? AI สามารถช่วยให้เร็วขึ้นได้หรือไม่?

หากองค์กร/ธุรกิจของท่านสามารถตอบคำถามเหล่านี้ได้ จะสามารถใช้ AI เพื่อสร้าง Cybersecurity ที่มี Resilience และสอดคล้องกับมาตรฐานสากลอย่างมีประสิทธิภาพ

โดยสรุป AI ไม่ควรทำงานโดยลำพัง แต่ควรถูกนำมาใช้ร่วมกับ มาตรฐานและ Best Practices สากล เช่น COBIT, NIST, ISO 27001, ITIL, และอื่น ๆ เพื่อให้การบริหารความเสี่ยง การควบคุม และการตรวจสอบมี โครงสร้างที่มั่นคงและสามารถตรวจสอบได้

เหตุผลที่ AI ควรใช้ร่วมกับมาตรฐานและ Best Practices

1. AI สามารถทำงานได้อย่างมีประสิทธิภาพมากขึ้นเมื่อมีแนวทางที่ชัดเจน

    • มาตรฐานอย่าง COBIT, NIST, ISO 27001 ช่วยกำหนด นโยบายและกระบวนการ ที่ AI ควรปฏิบัติตาม
    • AI จะช่วยให้การดำเนินงานเหล่านี้รวดเร็วขึ้น อัตโนมัติมากขึ้น และแม่นยำมากขึ้น

    2. มาตรฐานช่วยให้ AI มีความโปร่งใสและตรวจสอบได้ (Auditability & Compliance)

    • NIST CSF กำหนดว่าองค์กรควรมี การประเมินความเสี่ยงและมาตรการป้องกัน
    • COBIT ช่วยให้ AI สอดคล้องกับ IT Governance และ Risk Management
    • ISO 27001 ให้แนวทาง การบริหารความปลอดภัยของข้อมูล (Information Security Management System – ISMS)

    3. ช่วยลด Bias และป้องกันการใช้ AI อย่างไม่ถูกต้อง (Ethical AI & Risk Management)

    • AI อาจมีอคติในการเรียนรู้ข้อมูล (Bias) ซึ่งอาจส่งผลต่อการตัดสินใจ
    • การใช้ COBIT และมาตรฐานอื่น ๆ ช่วยกำหนด แนวทางการบริหารความเสี่ยงด้านจริยธรรมและความเป็นธรรมของ AI

    4. ช่วยให้ AI ปรับตัวและพัฒนาไปในทิศทางที่ถูกต้อง (AI Governance & Continuous Improvement)

    • AI ต้องมีการปรับปรุงและเรียนรู้อย่างต่อเนื่อง
    • COBIT และ ITIL ช่วยให้มั่นใจว่า AI ถูกนำไปใช้ในบริบทที่เหมาะสม และมีการปรับปรุงอย่างเป็นระบบ

    ตัวอย่างการใช้ AI ร่วมกับมาตรฐานสากล

    มาตรฐานบทบาทของมาตรฐานAI ช่วยเสริมได้อย่างไร?
    COBITIT Governance & Risk ManagementAI วิเคราะห์ความเสี่ยง และช่วยทำ Automation ของ IT Controls
    NIST CSFCybersecurity FrameworkAI ตรวจจับและตอบสนองต่อภัยคุกคามไซเบอร์แบบเรียลไทม์
    ISO 27001Information SecurityAI ป้องกันการรั่วไหลของข้อมูลและช่วยทำ Compliance
    ITILIT Service ManagementAI วิเคราะห์และปรับปรุงประสิทธิภาพของ IT Services
    PCI DSSมาตรฐานความปลอดภัยของบัตรเครดิตAI วิเคราะห์พฤติกรรมธุรกรรมเพื่อตรวจจับ Fraud
    GDPRData PrivacyAI ตรวจสอบการใช้งานข้อมูลให้สอดคล้องกับกฎหมายความเป็นส่วนตัว

    สรุปแนวทางปฏิบัติที่ดีที่สุด (Best Practice)

    1. ใช้ AI เพื่อเสริมมาตรฐาน ไม่ใช่แทนที่มาตรฐาน
    2. ตรวจสอบให้แน่ใจว่า AI สอดคล้องกับนโยบายและข้อกำหนดขององค์กร
    3. ใช้ AI เพื่อทำให้กระบวนการ Compliance เป็นอัตโนมัติ (Automate Compliance Monitoring)
    4. บริหารความเสี่ยงของ AI โดยใช้กรอบแนวทางที่กำหนดโดยมาตรฐาน เช่น NIST AI RMF (Risk Management Framework for AI)
    5. พัฒนาแนวทางปฏิบัติด้าน AI Governance ที่สอดคล้องกับมาตรฐานสากล

    สรุปข้อคิดสำคัญ

    • AI + มาตรฐานสากล = ระบบที่มีประสิทธิภาพ ปลอดภัย และตรวจสอบได้
    • COBIT, NIST, ISO 27001 และมาตรฐานอื่นๆ เป็นรากฐานของ AI Governance
    • การใช้ AI อย่างถูกต้องต้องอยู่ภายใต้กรอบมาตรฐาน เพื่อให้เกิดความยืดหยุ่น (Resilience) และความมั่นคงปลอดภัย (Security)

    ดังนั้น AI ควรถูกใช้เป็น “เครื่องมือ” ที่ทำให้มาตรฐานและ Best Practices มีประสิทธิภาพมากขึ้น แทนที่จะใช้แทนที่มาตรฐานเหล่านั้น

    แม้ว่า AI และ Machine Learning ได้กลายเป็นเครื่องมือสำคัญในการป้องกันและบริหารความเสี่ยง แต่การใช้งาน AI อย่างมีประสิทธิภาพจำเป็นต้องอยู่บนรากฐานของ มาตรฐานและแนวทางปฏิบัติที่ชัดเจน เช่น NIST Cybersecurity Framework ซึ่งช่วยกำหนดโครงสร้างในการจัดการความปลอดภัยทางไซเบอร์ให้เป็นระบบและตรวจสอบได้ องค์กร/ธุรกิจที่ต้องการเสริมสร้างความมั่นคงปลอดภัย (Security) และ ความยืดหยุ่น (Resilience) ควรนำ AI มาใช้เป็น “เครื่องมือ” ที่ช่วยให้การดำเนินงานตามมาตรฐานเป็นไปอย่างรวดเร็วและแม่นยำยิ่งขึ้น แทนที่จะมองว่า AI เป็นตัวแทนที่สามารถทำงานได้โดยลำพัง การผสานพลังระหว่าง AI และแนวทางปฏิบัติที่เป็นมาตรฐานสากล จะช่วยให้ระบบ Cybersecurity ขององค์กรแข็งแกร่งและพร้อมรับมือกับภัยคุกคามในอนาคตได้อย่างมั่นใจ

    Leave a Comment » | AI กับ GRC | ลิงก์ถาวร
    โพสต์โดย Metha Suvanasarn

    กลับไปหน้าที่แล้ว
    รายการถัดไป »