แพทริก พี. เกลซิงเกอร์ รองประธานอาวุโส และหัวหน้าฝ่ายเทคโนโลยี บริษัทอินเทลคอร์เปอเรชั่น (ซีทีโอ) ผู้ผลิตชิปคอมพิวเตอร์ยักษ์ใหญ่ของโลก กับบทเรียนเรื่องการศึกษาและการพัฒนาความคิด เพื่อความมั่นคงของชาติ

กุมภาพันธ์ 17, 2010

ในครั้งที่แล้ว ผมได้พูดถึงเรื่องของ นายมาร์ค ซัคเคอร์เบิร์ก ผู้ก่อตั้ง Facebook.com ที่โด่งดังกับบทเรียนเรื่องการศึกษา โดยเล่าว่า Mr. Mark Elliot Zuckerberg อายุ 26 ปี ได้ลาออกจากมหาวิทยาลัยฮาวาร์ด ทั้ง ๆ ที่เรียนไม่จบ แต่มีจิตนาการและความคิดที่สามารถสร้าง Facebook.com เป็นที่โด่งดังทั่วโลก และมีคนเข้าเว็บไซต์มากเป็นอันดับ 2 ของโลก และมีความร่ำรวย โดยมีเงินประมาณ 76,000 ล้านบาท ภายหลังก่อตั้ง Facebook.com มาประมาณ 6 ปี

เช่นเดียวกับกรณี นาย แพทริก พี. เกลซิงเกอร์ ซึ่งเริ่มทำงานกับอินเทล ตั้งแต่อายุ 18 ปี เขามีลักษณะเด่น คือ ฉลาด ทรนง และเชื่อมั่น รู้ตัวว่าตัวเองต้องการอะไร มีเป้าหมาย ขยัน และเก่งคอมพิวเตอร์ เขาเรียนหนังสือระดับปริญญาตรี ควบคู่ไปกับการทำงานที่อินเทลนี้ด้วย และต่อมาเขาก็เรียนจบปริญญาโท และปริญญาเอกที่มหาวิทยาลัยสแตนฟอร์ด โดยบริษัทอินเทล ไม่ยอมให้เขาลาออก แต่ให้เขาเรียนไปด้วยทำงานไปด้วยจนจบ และสัญญาว่าเขาจะได้รับสิ่งคุ้มค่า หากเขายังอยู่กับอินเทล

ทุกอย่างเป็นไปตามที่บริษัทอินเทลได้บอกไว้กับนายแพท โดยแพทได้รับตำแหน่งผู้จัดการที่คิดค้นชิปคอมพิวเตอร์ รุ่น 486 และยิ่งกว่านั้น ในวัยเพียง 32 ปี เขาก็ได้รับตำแหน่งรองประธาน ของบริษัทอินเทลคอร์เปอเรชั่น (ซีทีโอ) ที่อายุน้อยที่สุด ทุกวันนี้นายแพทเป็นคนหนึ่งที่ทรงอิทธิพลที่สุดในอินเทล ความสำเร็จที่สำคัญยิ่งที่นายแพทได้เล่าให้ฟังก็คือ เขาได้ตัดสินใจเชื่อศรัทธาในพระคริสต์ เมื่ออายุ 18 ปี

บทเรียนจากเรื่องจริงข้างต้นนี้ นอกเหนือจากที่กล่าวในวรรคต้นแล้วก็คือ นายแพท เป็นผู้ที่มีวิสัยทัศน์ ที่เกิดจากจิตวิญญาณที่มีความเข้มแข็ง ซึ่งส่งผลต่อการมีจิตนาการที่ดี ที่ถูกต้อง และผลักดันให้เกิดความคิด และพฤติกรรมในการดำเนินการตามที่เขาตั้งใจไว้ จนเขาประสบความสำเร็จ ทั้งด้านหน้าที่การงาน ความมั่นคงทางการเงิน และความสำเร็จทางด้านครอบครัว เพราะลินดา ภรรยาของเขา ซึ่งแพทย์เคยบอกว่า มีความผิดปกติในการมีบุตรในตอนแรก สามารถมีบุตรให้กับเขาได้ถึง 4 คนในเวลาต่อมา

Lesson – Learned ดังกล่าว ท่านคิดว่ามาจากโชคชะตา หรือมาจากศรัทธาจากความเชื่อที่ถูกต้อง และส่งผลไปยังความคิด และจิตนาการ รวมทั้งการตัดสินใจที่ถูกต้อง

ดังนั้น หากเราต้องการก้าวหน้า เราจึงต้องกล้าคิด และพัฒนาทางความคิดอย่างเป็นกระบวนการ ตั้งแต่ในวัยเยาว์ ถึงแม้ท่านผ่านวัยเยาว์มาแล้ว ท่านก็สามารถนำกรณีศึกษาของ นายแพท และนายมาร์ค ซัคเกอร์เบิร์ก และนายบิล เกตต์ ซึ่งเป็นตำนานของความสำเร็จจากการสร้างจิตนาการ และความสำเร็จจากความคิดที่เป็นระบบเป็นสำคัญ

ตั้งใจจะจบตั้งแต่วรรคที่แล้วครับ แต่ขอแถมนิดนึงให้เป็นข้อคิดว่า ประเทศไทยเราในอดีต เมเปิลครอฟต์จัดอันดับให้เป็นประเทศที่มีอันตรายในระดับการก่อความไม่สงบ ในอันดับที่ 20 กว่า ๆ เมื่อปี 2551 ถูกจัดอยู่ในอันดับที่ 11 เมื่อปี 2552 ถูกจัดอันดับให้อยู่ในอันดับที่ 9 นับว่าเป็นประเทศที่มีอันตรายในระดับการก่อความไม่สงบของโลก

แล้วผู้บริหารของประเทศเรา ในด้านต่าง ๆ ในระดับรัฐบาล รวมทั้งทางด้านความมั่นคงคิดอย่างไรบ้างครับ เกี่ยวกับข่าวสารที่มาจากต่างประเทศชิ้นนี้ มีการติดตามเรื่องนี้กันอย่างไร มีการกำหนดวิสัยทัศน์ พันธกิจ แผนกลยุทธ์ที่เกี่ยวข้องกับการยอมรับความเสี่ยง หรือกำหนดระดับความเสี่ยงว่า ประเทศไทยของเราจะถูกจัดอันดับให้เป็นประเทศที่มีโอกาสเกิดการก่อความไม่สงบ อันดับที่เท่าไหร่ของโลกจึงจะยอมรับไม่ได้ เพราะเรื่องนี้เป็นเรื่องใหญ่ และกระทบกระเทือนถึงความมั่นคงของประเทศ กระทบกระเทือนต่อความมั่งคงทางเศรษฐกิจ กระทบกระเทือนต่อการลงทุน กระทบต่อการท่องเที่ยว และการพัฒนาในทุกด้าน ++

ผมไม่สบายใจเป็นอย่างยิ่ง และกำลังเป็นห่วงมากว่า ในกรณีที่ประเทศไทยเรายังขาดกระบวนการพัฒนาทางความคิดอย่างเป็นระบบ ยังขาดความเข้าใจในหลักการบริหารความเสี่ยง ทั้งระดับองค์กรและระดับประเทศที่น่าเชื่อถือได้อีกมาก และยังขาดวิสัยทัศน์ในแง่มุมต่าง ๆ ที่เป็นรูปธรรม ประเทศไทยในอนาคตจะเป็นเช่นไร

หากผู้บริหารในระดับประเทศ ไม่กำหนดทิศทางที่ชัดเจน ในมุมมองต่าง ๆ ของชาติ อย่างเช่น กรณีการยอมรับได้ หรือการยอมรับไม่ได้ของการถูกจัดระดับความเสี่ยงของชาติ จากสถาบันจัดอันดับประเภทนี้จากต่างชาติว่า เราควรกำหนด และ/หรือจัดการกับความเสี่ยงที่ถูกนานาชาติ มองประเทศเราว่าเป็นประเทศที่มีความเสี่ยงจากการก่อความไม่สงบ ระดับที่ 9 ของโลกนั้น เราควรจัดการลดความเสี่ยงอย่างเป็นกระบวนการอย่างไร ในทุกมุมมองของกระบวนการบริหาร เพื่อลดระดับความเสี่ยงจากที่ได้เพิ่มตลอดมาในช่วง 3-4 ปีที่ผ่านมา โดยอาจกำหนด และมีกระบวนการจัดการที่ชัดเจนว่า ประเทศไทยไม่ควรยอมรับระดับความเสี่ยงประเภทนี้ หรือถูกจัดอันดับให้เป็นประเทศที่มีความเสี่ยงในการก่อความไม่สงบที่สูงเกินกว่าระดับที่ 20 ของโลก (นั่นคือ อันดับที่ 1-19 เป็นความเสี่ยงที่ประเทศไทยยอมรับไม่ได้ ซึ่งต้องมีกระบวนการบริหารการจัดการที่ดีตามมาในทุกมุมมองตามหลักการของ GRC

Leave a Comment » | COSO-ERM กับ ITG และ GRC กับการวิเคราะห์เพื่อสร้างสรรสาระ | ติดป้ายกำกับ: , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

กุมภาพันธ์ 15, 2010

หลังจากได้ทราบถึงบทบาทของคณะกรรมการบริหาร คณะกรรมการบริหารความเสี่ยง ผู้จัดการ ผู้ตรวจสอบภายใน รวมทั้งพนักงานทุกคนที่มีส่วนเกี่ยวข้อง ที่ทำให้การบริหารความเสี่ยงขององค์กรบรรลุเป้าประสงค์แล้ว วันนี้ผมจะพูดคุยกับท่านถึงแนวปฏิบัติสู่ความเป็นเลิศในการบริหารความเสี่ยงขององค์กรทั่วไป ซึ่งได้นำเสนอเป็นข้อ ๆ เพื่อให้กระชับ เข้าใจง่าย และสามารถใช้เป็นแนวปฏิบัติในการบริหารความเสี่ยงขององค์กรได้ต่อไป ไปติดตามกันครับว่าแนวปฏิบัตินี้จะกล่าวถึงอะไรบ้าง

แนวปฏิบัติสู่ความเป็นเลิศในการบริหารความเสี่ยงประกอบด้วย
1. การนำการบริหารความเสี่ยงมาใช้เป็นเครื่องมือทางกลยุทธ์ เพื่อช่วยสนับสนุนการบรรลุวัตถุประสงค์ขององค์กร

2. การทำให้การบริหารความเสี่ยงมีความสอดคล้องและรวมอยู่ในกระบวนการดำเนินงานที่มีอยู่ในปัจจุบันขององค์กร ทั้งนี้รวมถึงการกำหนดให้การบริหารความเสี่ยงเป็นขั้นตอนหนึ่งในการจัดทำแผนธุรกิจ การกำหนดงบประมาณ การตัดสินใจลงทุน และการบริหารโครงการ

3. การบริหารความเสี่ยงที่ครอบคลุมถึงความเสี่ยงเกี่ยวกับการปฏิบัติงานในภาพรวมและความเสี่ยงเชิงกลยุทธ์ นอกจากนี้องค์กรควรเพิ่มความสนใจต่อความเสี่ยงทั้งที่เป็นความเสียหาย ความไม่แน่นอน การเสียโอกาส ซึ่งต่างจากการบริหารความเสี่ยงแบบเดิมที่เน้นเฉพาะความเสี่ยงที่เกี่ยวกับการปฏิบัติตามกฎระเบียบเท่านั้น

4. กรรมการผู้จัดการและผู้บริหารระดับสูงต้องสนับสนุนและเน้นถึงประโยชน์ที่จะได้รับจากการบริหารความเสี่ยง รวมทั้งแสดงความรับผิดชอบและมีส่วนร่วมในการบริหารความเสี่ยง

5. การใช้คำนิยามเกี่ยวกับความเสี่ยงที่เป็นที่เข้าใจและใช้ร่วมในองค์กร

6. การมีกระบวนการในการบ่งชี้ วิเคราะห์ จัดการ ติดตาม และรายงานความเสี่ยง

7. องค์กรต้องมีความมุ่งมั่นและพยายามอย่างจริงจัง ในการบ่งชี้และบริหารความเปลี่ยนแปลงที่เกิดจากการนำการบริหารความเสี่ยงเข้ามาปรับใช้ภายในองค์กร

8. มีการสื่อสารให้ข้อมูลเกี่ยวกับความเสี่ยงอย่างสม่ำเสมอ โดยเน้นให้เห็นถึงความสำคัญของการบริหารความเสี่ยง ประเด็นความเสี่ยงที่ควรต้องได้รับการจัดการทันที และการปรับปรุงแผนการดำเนินงานที่จำเป็น

9. การวัดผลความเสี่ยงทั้งในเชิงคุณภาพ เช่น ชื่อเสียง การขาดบุคลากรหลักในการดำเนินงาน และเชิงปริมาณ เช่น ผลขาดทุน มูลค่ารายได้ หรือค่าใช้จ่ายที่อาจเพิ่มขึ้นหรือลดลงโดยพิจารณาจาก 2 ประเด็นคือ โอกาสที่อาจเกิดขึ้น และผลกระทบ

10. การจัดให้มีการฝึกอบรมและใช้กลไกการบริหารทรัพยากรบุคคลเพื่อเผยแพร่ข้อมูลต่างๆเกี่ยวกับการบริหารความเสี่ยง ความรับผิดชอบของแต่ละบุคคล และเพื่อส่งเสริมให้เกิดการปฏิบัติที่เหมาะสม

11. การจัดให้มีหน่วยงานหรือผู้รับผิดชอบในการบริหารความเสี่ยง เพื่อทำหน้าที่ช่วยเหลือในการดำเนินการ การสนับสนุนการนำการบริหารความเสี่ยงมาปฏิบัติ และการพัฒนาความสามารถในการบริหารความเสี่ยงของพนักงาน แต่ไม่มีหน้าที่โดยตรงในการประเมินและจัดการความเสี่ยงที่ดีที่เกิดขึ้น

12. ผู้ตรวจสอบภายในมีบทบาทสำคัญในการสร้างความมั่นใจว่าองค์กรมีการควบคุมภายในที่มีประสิทธิภาพและประสิทธิผลในการจัดการความเสี่ยง และในกรณีที่จำเป็น ผู้ตรวจสอบภายในควรเสนอแนะประเด็นที่ควรได้รับการปรับปรุง แต่ผู้ตรวจสอบภายในไม่มีบทบาทโดยตรงต่อการเป็นผู้นำในการพัฒนากรอบการบริหารความเสี่ยง หรือเป็นผู้บริหารความเสี่ยงโดยตรง ทั้งนี้ อาจจะถ่ายทอดการกำกับดูแลกิจการที่ดีไปสู่การบริหารความเสี่ยงอย่างเป็นระบบและเป็นขั้นตอน โดยอธิบายสั้น ๆ ด้วยแผนภาพดังนี้

สำหรับแนวปฏิบัติในการบริหารความเสี่ยงข้างต้นในวันนี้ ก็คงพูดคุยกันสั้น ๆ แต่เพียงเท่านี้ ครั้งหน้าเราไปติดตามการพัฒนาลำดับขั้นของความเสี่ยงกันครับ

Leave a Comment » | แนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร COSO-ERM Framework | ติดป้ายกำกับ: , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

แนวทางบางประการในการบริหารงานตรวจสอบองค์กรที่ใช้คอมพิวเตอร์บางมุมมอง ในเบื้องต้น (ต่อ)

กุมภาพันธ์ 11, 2010

สวัสดีครับ วันนี้เรามาต่อกันเรื่องแนวทางการบริหารงานตรวจสอบองค์กรที่ใช้คอมพิวเตอร์กันครับ ซึ่งผมจะพูดถึงแนวโน้มการเปลี่ยนแปลงของการตรวจสอบในอนาคต ติดตามต่อกันเลยครับ

วิธีการตรวจสอบเท่าที่เคยทำกันมาพอจะสรุปได้เป็น 2 ลักษณะ คือ รวบรวมเอกสารต่าง ๆ และสอบถามเกี่ยวกับการดำเนินการของหน่วยงาน และระบบงานที่ใช้คอมพิวเตอร์ แล้วประเมินความเพียงพอของการควบคุมความเสี่ยงที่มีอยู่ ซึ่งเป็นวิธีการที่ใช้เวลามากและไม่ใคร่ได้ผล หลังจากนั้น จึงทำการทดสอบความถูกต้องของการทำงานในระบบคอมพิวเตอร์ ซึ่งทำได้ทั้งวิธีไม่ใช้เครื่องคอมพิวเตอร์และใช้คอมพิวเตอร์

อย่างไรก็ตามในขณะที่เทคโนโลยีด้านนี้ ได้เปลี่ยนแปลงไปอย่างรวดเร็ว แต่งานด้านการตรวจสอบทางด้านคอมพิวเตอร์ ก็ยังขาดทั้งบุคลากรที่มีประสบการณ์ และวิธีการตรวจสอบที่ทันกับการเปลี่ยนแปลงที่เกิดขึ้น เป็นผลให้การทำงานของผู้ตรวจสอบเท่าที่ผ่านมา อยู่ในลักษณะที่ทำงานให้ลุ่ล่วงไปเป็นเรื่อง ๆ เท่านั้น ขาดการวางแผนและควบคุมที่เหมาะสมในลักษณะการตรวจสอบแบบบูรณาการ ที่ควรคำนึงถึง Risk IT และ IT Risk ที่มีผลกระทบต่อกลยุทธ์ และการบรรลุเป้าประสงค์ขององค์กรโดยรวม สภาพการณ์ดังกล่าวย่อมผลักดันให้แนวโน้มการตรวจสอบในอนาคตต้องเปลี่ยนแปลงไปจากเดิมใน 4 ลักษณะ เป็นเบื้องต้นดังนี้

1. การเปลี่ยนแปลงในตัวผู้ตรวจสอบ
ในระยะต่อไปนี้ ผู้ตรวจสอบทั่วไปที่ตรวจงานเฉพาะด้าน Manual อย่างเดียวจะค่อย ๆ หมดไป ผู้ตรวจสอบทั่วไป จะต้องเข้ามาตรวจสอบงานที่ประมวลด้วยระบบคอมพิวเตอร์มากขึ้น และในกรณีที่ผู้ตรวจสอบทางด้าน Manual มีความเข้าใจในผลกระทบทางด้าน IT Risk และ Risk IT ที่มีผลต่อ Business และการควบคุมความเสี่ยงโดยรวมอย่างจำกัด คุณภาพของงานตรวจสอบก็จะถูกจำกัดเป็นอย่างมาก และเป็นอย่างยิ่ง จนถึงระดับที่ไม่น่าจะยอมรับได้

ส่วนผู้ตรวจสอบด้าน IT จะเปลี่ยนสภาพไปในลักษณะผู้ตรวจสอบด้าน Information System และระบบงาน ซึ่งเน้นการตรวจสอบระบบงานที่ยุ่งยากซับซ้อน ผู้ตรวจสอบด้าน Information System จะต้องรู้ระบบงานที่ใช้เทคโนโลยีสูง ๆ การใช้คอมพิวเตอร์ และโปรแกรมขั้นสูง วิธีการทางสถิติ การใช้โปรแกรมการตรวจสอบ การบริหารความเสี่ยง และการควบคุมทางด้าน Risk IT และ IT Risk ด้วยวิธีการต่าง ๆ ที่จะนำมาใช้ทดสอบข้อมูลและระบบงานอย่างบูรณาการ

2. การเปลี่ยนแปลงกระบวนการตัดสินใจเกี่ยวกับเรื่องที่จะตรวจ
ในการเลือกเรื่องตรวจ ผู้ตรวจสอบจะต้องมีความรู้ความเข้าใจเกี่ยวกับเป้าหมาย และนโยบายของกิจการทั้งในปัจจุบันและอนาคต เข้าใจหน้าที่เกี่ยวกับการประมวลผล มีการติดต่อที่ดีระหว่างส่วนงานต่าง ๆ ที่เกี่ยวข้อง ควรจะมีการสะสมระบบงานต่าง ๆ และจัดลำดับตามชนิดและความสำคัญไว้ และเมื่อมีการเปลี่ยนแปลงเกิดขึ้น ควรทบทวนใหม่ ระมัดระวังการตรวจสอบเรื่องที่เกินขอบเขต ไม่ควรเสียเวลาประเมินผลการควบคุมภายในของระบบงานเก่า ที่กำลังจะมีการยกเลิกเปลี่ยนแปลงแก้ไข แต่ควรจะให้ความสนใจ วิธีการที่จะสร้างการควบคุมที่ดีที่จะนำมาใช้กับระบบงานใหม่

3. การเปลี่ยนแปลงความคิดเห็นเกี่ยวกับการควบคุมภายใน
การสร้างระบบการควบคุมภายใน ควรจะเริ่มจากระดับสูงของกิจการ แต่ผู้ตรวจสอบจะต้องเข้าใจด้วยว่า รายการต่าง ๆ เกิดขึ้นอย่างไร และผ่านขบวนการปฏิบัติอย่างไร จึงจะบรรลุผลและจุดประสงค์ตามที่คาดไว้ การดูเฉพาะจุดที่เตรียมไว้ อาจเป็นผลให้ไม่พบสิ่งที่ผิดปกติตามมาตรฐานการตรวจสอบของ AICPA ไม่ได้บังคับ ผู้ตรวจสอบจะต้องใช้ Audit Through The Computer แต่บังคับว่าผู้ตรวจสอบต้องเข้าใจระบบเพียงพอ ที่จะทำการตัดสินใจกำหนดขอบเขตการตรวจสอบที่ถูกต้องตามเหตุผลได้ นอกจากนี้การสำรวจระบบการควบคุมภายในของระบบ IT จะทำให้มั่นใจในขอบเขตการตรวจสอบที่สมบูรณ์และเข้าใจง่าย

4. การเปลี่ยนแปลงวิธีการประเมินผลการควบคุมของผู้ตรวจสอบ
เนื่องจากการพัฒนาระบบงานใหม่ ๆ ที่จะเพิ่มขึ้นอย่างรวดเร็ว และปัญหาเรื่องการขาดแคลนบุคลากรด้านนี้ จะเป็นแรงผลักดันให้จำเป็นต้องมีการคิดค้นวิธีการวิเคราะห์ และประเมินผลการควบคุม ของกิจการที่ใช้คอมพิวเตอร์ให้เป็นไปตามหลักเหตุผล และมีประสิทธิภาพมากขึ้น สามารถตอบสนองวัตถุประสงค์ในหลาย ๆ ด้าน โดยมีหลักการเป็นขั้น ๆ ดังนี้

4.1. ทำความเข้าใจกับผลกระทบของระบบคอมพิวเตอร์ในด้านต่าง ๆ
4.2. พิจารณาว่าจะทำอะไรกับระบบงานใด ต้องใช้ความพยายามในระดับไหน
4.3. ดูว่าในระบบงานนั้น ๆ มีผลเสียหายที่อาจเกิดขึ้นหรือไม่ มีระบบการควบคุมหรือไม่ และทำการประเมินการควบคุมต่าง ๆ
4.4. หยิบยกการควบคุมสำคัญ ๆ มาทำการทดสอบ
4.5. ให้มีการรวบรวม และจัดทำเอกสารประกอบการตรวจสอบอย่างมีประสิทธิภาพ และสามารถสอบทานได้
4.6. รายงานผลการตรวจสอบ ในลักษณะที่จะช่วยให้การทำงานดีขึ้นและให้ข้อแนะนำในทางสร้างสรรค์

Leave a Comment » | IT Audit, Non - IT Audit / การตรวจสอบโดยทั่วไป | ติดป้ายกำกับ: , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

กุมภาพันธ์ 7, 2010

สวัสดีครับ ครั้งที่แล้วผมได้พูดถึงบทบาท และการกำกับดูแลการบริหารความเสี่ยงของคณะกรรมการบริหารองค์กร คณะกรรมการตรวจสอบ คณะกรรมการบริหารความเสี่ยง ผู้บริหาร ผู้ตรวจสอบภายใน รวมถึงพนักงานทุกคนในองค์กรที่ต้องมีหน้าที่ และบทบาทร่วมกัน ในการบริหารจัดการความเสี่ยงทั่วทั้งองค์กรให้เกิดประสิทธิภาพ ประสิทธิผล และบรรลุเป้าประสงค์ขององค์กร

วันนี้ผมจะมาพูดต่อถึงบทบาทและการกำกับดูแลการบริหารความเสี่ยง ซึ่งนอกเหนือจากคณะกรรมการบริหาร คณะกรรมการตรวจสอบ ผู้บริหาร และผู้ตรวจสอบภายในแล้ว บางองค์กรมีการจัดตั้งจุดประสานงานกลาง เพื่ออำนวยความสะดวกในการบริหารความเสี่ยงขององค์กร นั่นก็คือ Risk Officer

Risk Officer ในบางค์กรคือ Chief Risk Officer หรือ Risk Manager ที่ทำงานร่วมกับผู้จัดการอื่น ๆ ในการจัดตั้งการบริหารความเสี่ยงที่มีประสิทธิผลในขอบเขตที่รับผิดชอบ

หน้าที่ของ Risk Officer ประกอบด้วย
1. กำหนดนโยบายการบริหารความเสี่ยงในหน่วยงานของตน รวมทั้งกำหนดบทบาทและความรับผิดชอบ และการมีส่วนร่วมในการกำหนดเป้าหมายเพื่อนำไปปฏิบัติ
2. วางกรอบการตรวจสอบ และอำนาจหน้าที่สำหรับการบริหารความเสี่ยงขององค์กรในหน่วยงาน
3. ส่งเสริมความสามารถในการบริหารความเสี่ยงขององค์กรให้กับทุกคนในหน่วยงาน รวมทั้งอำนวยความสะดวกในการพัฒนาผู้เชี่ยวชาญทางเทคนิคในการบริหารความเสี่ยงขององค์กร และช่วยผู้จัดการวางการตอบสนองความเสี่ยงด้วย Risk Tolerances ของหน่วยงาน
4. ให้แนวทางการบูรณาการบริหารความเสี่ยงขององค์กรกับการวางแผนธุรกิจอื่น ๆ และกิจกรรมการบริหาร
5. การจัดตั้งภาษาการบริหารความเสี่ยงทั่วไป ที่รวมถึงการวัดทั่ว ๆ ไปเกี่ยวกับความน่าจะเกิด (Likelihood) และผลกระทบ (Impact) และประเภทของความเสี่ยงทั่ว ๆ ไป
6. ดูแลการพัฒนา Risk Tolerance ของทั้งองค์กร และหน่วยธุรกิจ และทำงานร่วมกับผู้จัดการ ในการกำหนดกิจกรรมการควบคุมและข้อเสนอแนะที่จำเป็นในการปฏิบัติที่ถูกต้อง
7. อำนวยความสะดวกให้กับผู้จัดการในการพัฒนาบันทึกการรายงาน รวมถึงปริมาณและคุณภาพเบื้องต้น และการตรวจสอบกระบวนการรายงาน
8. การรายงานความคืบหน้าและหัวข้อและข้อเสนอแนะ ในการปฏิบัติที่จำเป็นต่อหัวหน้าฝ่ายบริหาร

การยอมรับในความสามารถในการบริหารความเสี่ยง
ความสามารถสะท้อนให้เห็นถึงความรู้ และทักษะที่จำเป็นสำหรับการปฏิบัติงานตามที่ได้รับมอบหมาย ฝ่ายบริหารจะตัดสินใจถึงวิธีต่าง ๆ ที่จำเป็นในการทำงานให้สำเร็จโดยการให้น้ำหนักระหว่างกลยุทธ์ และวัตถุประสงค์เทียบกับแผนในการนำกลยุทธ์ไปปฏิบัติ และการบรรลุวัตถุประสงค์ ผู้บริหารควรกำหนดระดับของความรู้ความสามารถที่จำเป็นสำหรับการปฏิบัติงานแต่ละงาน เช่น การจัดทำเอกสารกำหนดลักษณะงาน เป็นต้น

ความรู้และทักษะที่จำเป็นนั้นอาจขึ้นอยู่กับความฉลาด การฝึกอบรมและประสบการณ์ของแต่ละคน ปัจจัยที่ต้องพิจารณาในการพัฒนาระดับความรู้และทักษะ จะรวมถึงธรรมชาติและระดับของการตัดสิน ในการนำไปประยุกต์ใช้ในงานที่มีความเฉพาะเจาะจง ซึ่งกิจกรรมดังกล่าวจะบรรลุผลสัมฤทธิ์ได้ องค์กรทั่วไปควรกำหนดความสามารถในการบริหารความเสี่ยงในแต่ละตำแหน่งไว้อย่างเหมาะสม

วิธีการมอบอำนาจและความรับผิดชอบ
การมอบอำนาจและความรับผิดชอบ มีความสัมพันธ์กับระดับที่แต่ละบุคคลและทีมงานได้รับมอบหมายอำนาจ และการส่งเสริมให้ใช้ความคิดริเริ่มในประเด็นต่าง ๆ และการแก้ปัญหา และการขอบเขตของอำนาจ

ประเด็นที่สำคัญในการมอบหมายอำนาจก็คือ ต้องการให้บรรลุวัตถุประสงค์ นั่นหมายถึง ต้องแน่ใจว่าการยอมรับความเสี่ยงนั้นมีพื้นฐานมาจากวิธีการในการระบุความเสี่ยง ประเมินความเสี่ยง รวมถึงขนาดและการให้น้ำหนักของการสูญเสีย เทียบกับประโยชน์ที่ได้รับในระดับการตัดสินใจทางธุรกิจที่ดี

อีกประการหนึ่งคือ ทำให้แน่ใจว่าทุกคนเข้าใจวัตถุประสงค์ขององค์กร และประโยชน์ที่ทุกคนรู้วิธีการในการปฏิบัติเพื่อให้บรรลุวัตถุประสงค์
บางครั้งการเพิ่มการมอบอำนาจ อาจขึ้นอยู่กับโครงสร้างขององค์กรว่าเป็นแบบแนวดิ่งหรือแนวราบ การเปลี่ยนแปลงโครงสร้างต้องสนับสนุนให้เกิดความคิดสร้างสรรค์ การริเริ่มและการตอบสนองการแข่งขัน และความพึงพอใจของผู้มีผลประโยชน์ร่วมอย่างรวดเร็ว

การเพิ่มการมอบอำนาจอาจต้องใช้ความสามารถของพนักงานในระดับที่สูงขึ้น และต้องสามารถตรวจสอบได้มากขึ้น และต้องมีวิธีการที่มีประสิทธิภาพ เพื่อให้ฝ่ายบริหารสามารติดตามผลเพื่อการตัดสินใจเท่าที่จำเป็น

นโยบายบริหารงานด้านทรัพยากรมนุษย์
บุคลากรเป็นปัจจัยสำคัญและมีอิทธิพลต่อการปฏิบัติงานทุกด้าน รวมทั้งการควบคุมภายใน ดังนั้น ผู้บริหารควรมีการกำหนดนโยบาย และวิธีปฏิบัติที่กำหนดในส่วนที่เกี่ยวข้องกับการบริหารทรัพยากรมนุษย์ที่ชัดเจน ด้านการคัดเลือก การปฐมนิเทศ การฝึกอบรม การประเมินผล การให้คำปรึกษา การเลื่อนตำแหน่ง การบริหารค่าตอบแทน เป็นต้น

การจ้างงานควรมีมาตรฐาน โดยพิจารณาจากพื้นฐานทางการศึกษา ประสบการณ์การทำงาน ความสำเร็จที่ผ่านมาและพฤติกรรมด้านจริยธรรมและความซื่อสัตย์ การแสดงให้เห็นว่าเป็นบุคคลที่มีความผูกพันต่อองค์กร และมีความน่าเชื่อถือได้ วิธีการในการสรรหาจะประกอบด้วยการสัมภาษณ์ที่เป็นทางการ การสัมภาษณ์เชิงลึก และข้อมูลและการแสดงออกที่สามารถมองเห็นได้จากองค์กรเดิม วัฒนธรรมและรูปแบบการปฏิบัติงาน

นโยบายการฝึกอบรมมีอิทธิพลต่อระดับการปฏิบัติงานและพฤติกรรมที่คาดหวังไว้ โดยการสื่อสารบทบาทและความรับผิดชอบที่คาดหวังไว้ และการดำเนินงานเหมือนโรงเรียนฝึกอบรมและสัมมนา แบบฝึกหัดที่เป็นกรณีศึกษาให้ปฏิบัติและการแสดงบทบาทสมมติ

การโยกย้ายและการเลื่อนตำแหน่ง ต้องเกิดจากการประเมินผลการปฏิบัติที่สะท้อนให้เห็นถึงความผูกพันขององค์กรต่อพนักงานที่มีคุณภาพสูง
โปรแกรมการจ่ายค่าตอบแทนที่ใช้ในการแข่งขันจะประกอบด้วยการจ่ายโบนัสจูงใจ เพื่อตอบสนองและจูงใจผู้ที่มีผลการปฏิบัติงานที่ดีเลิศ โดยเฉพาะอย่างยิ่ง มีการจ่ายผลตอบแทนกับค่าความสำเร็จของการบริหารความเสี่ยง

ในครั้งหน้า ผมจะบอกถึงแนวทางปฏิบัติสู่ความเป็นเลิศในการบริหารความเสี่ยงขององค์กรทั่วไป อย่าพลาดติดตามนะครับ

Leave a Comment » | แนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร COSO-ERM Framework | ติดป้ายกำกับ: , , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

แนวทางบางประการในการบริหารงานตรวจสอบองค์กรที่ใช้คอมพิวเตอร์บางมุมมอง ในเบื้องต้น

กุมภาพันธ์ 4, 2010

วันนี้ ผมจะได้กล่าวถึง แนวทางบางประการในการบริหารงานตรวจสอบองค์กรที่ใช้คอมพิวเตอร์บางมุมมอง ในเบื้องต้น ทั้งนี้เพราะ มีท่านผู้อ่านที่ติดตามเรื่อง IT Audit และ Non – IT Audit บางท่านได้โทรศัพท์ หรือ e-mail มาคุยกับผมว่า เรื่องราวกำลังน่าสนใจมาก แต่ก็เริ่มสับสนที่จะทำความเข้าใจในภาพโดยรวม ที่เกี่ยวข้องกับ IT Audit และการนำไปอธิบายต่อให้กับเพื่อนร่วมงาน เนื่องจากผมได้เริ่มอธิบายแบบผสมผสานในมุมมองต่าง ๆ ของการตรวจสอบทางด้าน IT Audit และ Non – IT Audit ในลักษณะของ Top Down บ้าง ในลักษณะของ Bottom Up บ้าง

โดยเฉพาะอย่างยิ่ง ผมได้นำหลักการบริหารยุคใหม่ที่เกี่ยวข้องกับ GRC – Governance Risk Management ที่สร้าง Integrated – Driven Performance และนำภาพของการบริหารความเสี่ยงทั่วทั้งองค์กร ตามหลักการ COSO – ERM มาผสมผสานกับ CobiT โดยเชื่อมโยงกับกระบวนการบริหารการจัดการที่ดี ในมุมมองต่าง ๆ รวมทั้ง วิธีการนำเสนอในการจัดทำแผนการตรวจสอบในหลายลักษณะ ซึ่งขึ้นกับเป้าประสงค์ของการตรวจสอบ และขอบเขตการตรวจสอบ รวมทั้งศักยภาพของทรัพยากรขององค์กรที่มีความแตกต่างกัน

ถึงแม้จะมีการยกตัวอย่าง การตรวจสอบในบางลักษณะที่ใช้คอมพิวเตอร์ด้วยกัน แต่กระบวนการทำงานในการประมวลผลข้อมูลแตกต่างกัน รูปแบบหลักฐานการตรวจสอบที่ไม่เหมือนกัน วิธีการตรวจสอบยังแตกต่างกันมาก เป็นต้นนั้น ทำให้ท่านผู้อ่านที่ถูกดึงเข้ามาให้เข้าใจในภาพการบริหารองค์กรยุคใหม่โดยรวมที่แยกกันได้ยาก ระหว่างการตรวจสอบทางด้าน IT และ Non – IT Audit เพื่อก้าวไปสู่การประเมินผลกระทบของความเสี่ยงในระดับต่าง ๆ ที่เกี่ยวข้องกับ Risk IT และ IT Risk ที่มีผลต่อ COSO – ERM เพื่อการบรรลุวัตถุประสงค์ของธุรกิจในมุมมองต่าง ๆ

ก่อนที่ผมจะอธิบายในเชิงลึกต่อไป ผมจึงใคร่ขอย้อนกลับไปในมุมมองเบื้องต้นของการตรวจสอบองค์กรที่ใช้คอมพิวเตอร์ บางมุมมอง เพื่อทบทวนความเข้าใจของท่านผู้อ่านในวันนี้ ดังนี้ครับ…

การนำคอมพิวเตอร์มาใช้อย่างแพร่หลายของกิจการต่าง ๆ ในปัจจุบันได้ก่อให้เกิดผลกระทบในด้านต่าง ๆ ซึ่งรวมทั้งงานตรวจสอบองค์กรที่ระบบงานต่าง ๆ ประมวลผลด้วยคอมพิวเตอร์ ผู้ตรวจสอบจึงควรได้ทราบถึงวิวัฒนาการของการตรวจสอบกิจการที่นำคอมพิวเตอร์มาใช้ในงานด้านต่าง ๆ การเปลี่ยนแปลงวัตถุประสงค์ ขอบเขต และแนวการตรวจสอบ ตั้งแต่อดีตจนถึงปัจจุบันที่เกิดขึ้นแล้วแนวโน้มการเปลี่ยนแปลงในอนาคต และแนวความคิดในการพัฒนาการตรวจสอบ ให้สอดคล้องกับความก้าวหน้าทางเทคโนโลยีที่เป็นไปอย่างรวดเร็ว และแนวความคิดในการพิจารณาความเสี่ยงเพื่อการเข้าถึงจุดควบคุมหลักต่าง ๆ ที่เกี่ยวข้องกับ Risk IT และ IT Risk (ซึ่งมีความหมายแตกต่างกัน) ที่มีผลต่อ Business Risk ในมุมมองต่าง ๆ จะมีประโยชน์ในการวางแผนและการตรวจสอบในองค์กรที่ใช้คอมพิวเตอร์ประมวลข้อมูล

ผู้ตรวจสอบกับการเปลี่ยนแปลงทางเทคโนโลยีที่เกี่ยวกับการบันทึกข้อมูล
ในฐานะผู้ตรวจสอบเมื่อมีการเปลี่ยนแปลงใหม่ ๆ เกิดขึ้น ย่อมรู้สึกว่ามีปัญหา เช่น เดิมมนุษย์เคยบันทึกข้อมูลไว้บนก้อนหิน เมื่อต่อ ๆ มารู้จักทำกระดาษ รู้จักเย็บเป็นเล่ม รู้จักทำเป็นแผ่น Ledger Card หรือแบบฟอร์มต่าง ๆ ก็บันทึกข้อมูลบนสิ่งเหล่านี้แทน ในปัจจุบันเราสามารถบันทึกข้อมูลบนสื่อข้อมูลต่าง ๆ เช่น Magnetic Tap, Magnetic Disk, Floppy Disk ฯลฯ

ทุกครั้งที่มีการเปลี่ยนแปลงก็เกิดข้อสงสัยเกี่ยวกับความเชื่อถือในวิธีการบันทึกแบบใหม่ ๆ ทั้งในเรื่องการรักษาความลับของข้อมูล และความปลอดภัยของสื่อข้อมูล แม้จะถูกคัดค้านในระยะแรก ๆ แม้กระทั่งในปัจจุบัน สำหรับในบางองค์กร แต่การค้นพบเหล่านั้นก็ทำให้วิทยาการและธุรกิจเจริญก้าวหน้าขึ้น ซึ่งอาจสรุปได้ว่า การพัฒนาการตรวจสอบและการตรวจสอบด้านคอมพิวเตอร์ เป็นเรื่องจำเป็นอย่างยิ่งยวดในทุกองค์กร ทั้งในปัจจุบันและในอนาคต

วิชาชีพตรวจสอบก็ถูกผลักดันให้ต้องคิดค้นวิธีการตรวจสอบใหม่ ๆ ที่จะมาประเมิน และทดสอบความถูกต้องของระบบงาน และความเชื่อถือได้ของข้อมูลที่เปลี่ยนแปลงไปตามเทคโนโลยีใหม่ ๆ จึงจำเป็นที่ผู้ตรวจสอบจะต้องติดตามและศึกษาวิธีการตรวจสอบใหม่ ๆ เพื่อทดแทนวิธีการตรวจสอบบางอย่างที่ใช้อยู่เดิม ซึ่งไม่เหมาะสมกับเทคโนโลยีและสภาพแวดล้อมที่มีวิวัฒนาการทางด้านการพัฒนาเทคโนโลยีอย่างรวดเร็วในปัจจุบัน

สภาพการตรวจสอบด้าน IT ในปัจจุบัน
ผู้ตรวจสอบส่วนใหญ่ยังต้องการเพิ่มประสบการณ์ในการตรวจสอบงานที่ประมวลผลด้วยคอมพิวเตอร์มากขึ้น เมื่อเทียบกับระบบงานที่ยุ่งยากซับซ้อนในปัจจุบัน การฝึกอบรมผู้ที่จะมาทำงานด้านนี้มีปัญหาหลายประการ การตรวจสอบที่ทำกันอยู่ในปัจจุบันยังใช้ขอบเขต ทิศทาง และวิธีการที่น่าจะปรับปรุงได้ในหลายประการ เช่น การใช้คอมพิวเตอร์เป็นเครื่องมือช่วยในการตรวจสอบ และการกำหนดแนวทางการตรวจสอบจากความเข้าใจในระบบงานที่ประมวลผลโดยคอมพิวเตอร์ และเทคโนโลยีคอมพิวเตอร์ เช่น Terminal, Offline, Online, Communications, Storage Media, Programming, Database, System ต่าง ๆและการฝังระบบการควบคุม (Embedded) ไว้ในระบบงานอย่างอัตโนมัติตาม Logic ของการบริหารความเสี่ยงทั่วทั้งองค์กร เป็นต้น

สรุปปัญหาที่ได้เกิดขึ้นแล้ว
1. เทคโนโลยีด้านคอมพิวเตอร์ได้พัฒนาเร็วกว่าพัฒนาการทางด้านการตรวจสอบ และการสร้างระบบควบคุม ทั้งที่ผู้ตรวจสอบพยายามชี้ให้ผู้บริหารของกิจการต่าง ๆ เข้ามามีบทบาทในเรื่องการควบคุม แต่ก็ไม่เข้าไปช่วยเหลือในการสร้างระบบควบคุมอย่างจริงจัง ข้อแนะนำต่าง ๆ จากการตรวจสอบ มักจะไม่ได้คำนึงถึงความเห็นของผู้ปฏิบัติงานด้านต่าง ๆ
2. กิจการต่าง ๆ เปลี่ยนไปใช้ระบบงานใหม่ ๆ ที่ยุ่งยากซับซ้อน
3. การตรวจสอบด้านนี้ได้รับความสนใจอย่างจำกัด โดยเฉพาะอย่างยิ่งผู้บริหารระดับสูงที่มีระดับความเข้าใจ และการสนับสนุนที่แตกต่างกันมาก
4. ยังขาดบุคลากรที่มีความรู้และประสบการณ์ด้านนี้
5. ยังขาดวิธีการตรวจสอบที่จะทันกับการเปลี่ยนแปลงที่เกิดขึ้น
6. การตรวจสอบยังขาดการวางแผน และการควบคุมตามฐานความเสี่ยงที่ดี
7. ยังขาดการประสานงานที่ดีระหว่างผู้บริหาร เจ้าของงาน เจ้าหน้าที่ IT และผู้ตรวจสอบ

Leave a Comment » | IT Audit, Non - IT Audit / การตรวจสอบโดยทั่วไป | ติดป้ายกำกับ: , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

เกณฑ์การประเมินผลการบริหารการจัดการสารสนเทศของรัฐวิสาหกิจ ประจำปี 2553 (ต่อ)

กุมภาพันธ์ 2, 2010

สวัสดีครับ สำหรับเกณฑ์การประเมินผลการบริหารการจัดการสารสนเทศของรัฐวิสาหกิจ ประจำปี 2553 ในวันนี้ก็จะเป็นหัวข้อสุดท้ายแล้วนะครับ ซึ่งเป็นเกณฑ์ที่กล่าวถึง ระบบที่สนับสนุนการบริหารการจัดการสารสนเทศที่ตอบสนองต่อความต้องการของผู้มีส่วนได้เสียภายในองค์กร ไปติดตามกันเลยครับว่าเกณฑ์ดังกล่าวจะมีแนวทางอย่างไรในการนำไปปฏิบัติ

2.6 ระบบสารสนเทศที่ตอบสนองต่อความต้องการของผู้มีส่วนได้เสียภายในองค์กร

ระบบสารสนเทศที่ตอบสนองต่อความต้องการผู้รับบริการ และผู้มีส่วนได้ส่วนเสียภายในองค์กร เป็นส่วนหนึ่งของการประเมินระบบสารสนเทศที่สนับสนุนการดำเนินงานตามพระราชกฤษฎีกาว่าด้วยหลักเกณฑ์และวิธีการบริหารกิจการบ้านเมืองที่ดี พ.ศ. 2546 ซึ่งประกอบด้วย

2.6.1 การลดขั้นตอนและการอำนวยความสะดวกแก่พนักงานและผู้รับบริการภายในองค์กร

• การลดระยะเวลาในการให้บริการแก่ผู้ใช้บริการ / อนุมัติ / อนุญาต

ระบบสารสนเทศที่สามารถนำเข้ามาช่วยในกระบวนงานภายในขององค์กร โดยสามารถนำมาใช้สนับสนุนการปฏิบัติงานขององค์กรได้ ซึ่งสามารถลดระยะเวลา / ลดขั้นตอน การปฏิบัติงานภายในองค์กรได้ เช่น ระบบการจองห้องประชุม ระบบการลาหยุด ซึ่งสามารถลดขั้นตอนโดยส่งผ่านถึงผู้มีอำนาจอนุมัติโดยตรง โดยไม่ต้องส่งผ่านตัวกลาง หรือ ลดแบบฟอร์มกระดาษ ซึ่งผู้ยื่นเรื่องสามารถทราบผลการพิจารณาได้ด้วยตัวเอง และในเวลาอันรวดเร็ว เป็นต้น

ในกรณีที่แผนงานไม่ชัดเจน หรือ ผลลัพธ์ไม่สอดคล้องกับหัวข้อประเมิน จะพิจารณาจาก :
– มีการดำเนินการลดระยะเวลาการให้บริการได้ในส่วนของผู้ใช้บริการภายในโดยเห็นผลอย่างชัดเจนและมีการสำรวจหรือหลักฐานอ้างอิงว่าผู้ใช้บริการภายในได้มีความพึงพอใจ

• ความสะดวกในการให้บริการ เช่น การนำระบบสารสนเทศเข้ามาช่วยการสื่อสารภายในองค์กร การติดต่อระหว่างหน่วยงานภายในรัฐวิสาหกิจได้หลายช่องทาง

ระบบสารสนเทศสามารถนำเข้ามาช่วยในการสื่อสารภายในองค์กรได้อย่างรวดเร็ว โดยสามารถนำมาถ่ายทอดนโยบาย ข้อมูลสำคัญต่าง ๆ จากระดับบนสู่ระดับล่าง (ระดับผู้บริหาร สู่ ระดับพนักงาน) และในทางกลับกันก็สามารถรับฟังความคิดเห็น หรือรับข้อมูลสำคัญจากระดับล่างขึ้นสู่ระดับบนได้ จากความสำเร็จของระบบเครือข่ายอินเตอร์เน็ต ทำให้องค์กรส่วนหนึ่งได้นำเทคโนโลยีนี้ไปใช้สำหรับบุคลากรภายในองค์กรเอง เรียกว่า ระบบอินทราเน็ต (Intranet) ซึ่งเป็นระบบปิดที่ให้บริการสื่อสาร การปฏิบัติงานร่วมกัน และการอำนวยการเฉพาะภายในองค์กร โดยความสามารถในการเผยแพร่ข้อมูลผ่านระบบดังกล่าว ทำให้ขอบเขตการบริหารงานขยายตัวออกไปมาก ผู้บริหารสามารถใช้จดหมายอิเล็กทรอนิกส์ เอกสารเว็บ (Web documents) และซอฟต์แวร์กลุ่ม (work-group software) ในการสื่อสารกับพนักงานนับพันคนได้บ่อยเท่าที่ต้องการ หรือแม้แต่ใช้ในการสื่อสารกับกลุ่มพนักงานที่ออกไปทำหน้าที่เฉพาะด้านที่อยู่ไกลออกไปมาก

แนวทางโดยสรุป : เพื่อให้ผู้ใช้บริการภายในองค์กรสามารถติดต่อกันได้หลายช่องทาง และให้บริการด้วยความรวดเร็ว รวมทั้ง มีความสะดวกในการใช้บริการระหว่างหน่วยงาน และเกิดความเข้าใจภายในองค์กรเอง และสนับสนุนการดำเนินงานขององค์กร รวมทั้งถ่ายทอดนโยบาย ข่าวสาร และข้อมูลสำคัญต่าง ๆ

ในกรณีที่แผนงานไม่ชัดเจน หรือ ผลลัพธ์ไม่สอดคล้องกับหัวข้อประเมิน จะพิจารณาจาก :
– มีการให้ความสะดวก Stakeholder เท่าที่พึงกระทำได้ และการติดต่อระหว่างหน่วยงานภายในรัฐวิสาหกิจได้หลายช่องทาง และมีการสำรวจหรือหลักฐานอ้างอิงว่าทุก Stakeholder มีความพึงพอใจ
– มีระบบกระจายข่าวสาร/ข้อมูลให้เหมาะสมเฉพาะกลุ่ม/ฝ่าย
– ในแต่ละฝ่ายจะสามารถ distribute ข่าวสารกันภายในฝ่ายได้

2.6.2 การนำระบบสารสนเทศมาใช้เพื่อลดต้นทุนการผลิตหรือต้นทุนการให้บริการ

ระบบสารสนเทศที่เกี่ยวข้องกับการผลิต อาจเชื่อมโยงถึงระดับการวางกลยุทธ์ โดยระบบฯ จะช่วยเหลือในการจัดเตรียมวัตถุประสงค์ของการผลิตสินค้าในระยะยาว เช่น การหาสถานที่ตั้งโรงงานใหม่ หรือการให้ข้อมูลเกี่ยวกับการใช้เทคโนโลยีการผลิตแบบใหม่
ในระดับผู้บริหารงาน ระบบฯ ช่วยวิเคราะห์และตรวจสอบค่าใช้จ่าย และการใช้ทรัพยากรในการผลิตสินค้า
ระดับผู้ชำนาญการ ระบบฯ สร้างและเผยแพร่แบบสินค้าใหม่ ๆ หรือความรู้ที่เกี่ยวข้องกับการผลิต
ในระดับผู้ปฏิบัติการ ระบบฯ จะสนับสนุนการติดตามสถานะการทำงานในกระบวนการผลิต

แนวทางโดยสรุป : การนำระบบสารสนเทศเพื่อเพิ่มประสิทธิภาพหรือช่วยลดต้นทุนของการผลิต / การให้บริการ ซึ่งผลที่ได้สามารถสะท้อนถึงต้นทุนการผลิต / การให้บริการอย่างเป็นรูปธรรม

ตัวอย่าง : รัฐวิสาหกิจที่เกี่ยวข้องกับการผลิตสินค้า อาจนำระบบฯ มาใช้เพื่อช่วยในการสั่งซื้อสินค้าแต่ละครั้งให้สอดคล้องตามปริมาณการใช้งาน หรือเพื่อให้มีราคาต่ำสุด (Economic order quantity) หรือกรณีที่ค่าใช้จ่ายส่วนใหญ่ขององค์กรเป็นการบริหารงาน อาจนำระบบฯ มาช่วยในการปรับปรุงการทำงานให้มีประสิทธิภาพและลดระยะเวลาการทำงาน ทำให้สามารถลดบุคลากรและค่าใช้จ่ายของวัสดุสำนักงาน ซึ่งทำให้องค์กรสามารถประหยัดค่าใช้จ่ายในส่วนนี้ได้

ในกรณีที่แผนงานไม่ชัดเจน หรือ ผลลัพธ์ไม่สอดคล้องกับหัวข้อประเมิน จะพิจารณาจาก :
– มีการนำระบบสารสนเทศเข้ามาช่วยในการลดต้นทุน ซึ่งเป็นต้นทุนหลัก/ค่าใช้จ่ายหลักขององค์กร โดยเห็นผลที่เกิดขึ้นได้อย่างชัดเจน
– มีการประเมินความคุ้มค่าของระบบสารสนเทศที่นำมาใช้ทั้งในเชิงปริมาณและเชิงคุณภาพ

2.6.3 ระบบ Back Office ที่สามารถ Share ข้อมูลระหว่างหน่วยงานอื่นภายในองค์กรได้

ระบบ Back Office คือ ระบบที่ประกอบฟังก์ชันงานหลักในส่วนของการบริหารจัดการภายในองค์กร เช่น ระบบคงคลัง ระบบงานการเงินและระบบงานบัญชี ระบบทรัพยากรมนุษย์ ระบบงานการผลิต และระบบงานอื่น ๆ ที่มีความจำเป็นเฉพาะในแต่ละองค์กร ซึ่งข้อมูลในแต่ละระบบงานจะถูกจัดเก็บในฐานข้อมูลหลักขององค์กร และมีการเชื่อมโยง และ Share ข้อมูลระหว่างหน่วยงานอื่นภายในองค์กรได้ โดยที่ต่างฝ่ายที่มีข้อมูลจะต้องหารือร่วมกันเพื่อ Share ข้อมูลในลักษณะของการเข้าสู่ข้อมูลของหน่วยงานอื่น โดยมีระบบรักษาความปลอดภัยที่ดีเพื่อป้องกันผู้ที่ไม่มีสิทธิ์ใช้ข้อมูล

แนวทางโดยสรุป : ระบบ Back Office ที่สามารถ Share ข้อมูลระหว่างหน่วยงานภายในได้อย่างมีประสิทธิภาพ โดยใช้มาตรฐานรหัสข้อมูลและมาตรฐานการแลกเปลี่ยนข้อมูลเดียวกัน ผ่านเครือข่าย Intranet ภายในองค์กร ซึ่งมีระบบการกำกับการเข้าถึงข้อมูลที่เหมาะสม โดยมีระบบรักษาความปลอดภัยที่ดี เพื่อป้องกันผู้ที่ไม่มีสิทธิ์ใช้ข้อมูลเข้าถึงข้อมูลได้

ในกรณีที่แผนงานไม่ชัดเจน หรือ ผลลัพธ์ไม่สอดคล้องกับหัวข้อประเมิน จะพิจารณาจาก :
– สามารถ Share ข้อมูลระหว่างหน่วยงานภายในองค์กรได้
– สามารถ Share ข้อมูลระหว่างฝ่าย/บุคคลอย่างเหมาะสม
– มี Security ที่ดีในการเข้าถึงข้อมูล และเห็นข้อมูลได้เฉพาะตามสิทธิ์ที่มี

2.6.4 การนำระบบสารสนเทศเพื่อสนับสนุนให้เป็นองค์กรแห่งการเรียนรู้ (Learning Organization)

ระบบสารสนเทศสามารถช่วยส่งเสริมด้านการเรียนรู้ได้อย่างสะดวก โดยเฉพาะอย่างยิ่งในสภาวะแวดล้อมที่มีความเปลี่ยนแปลงอย่างรวดเร็ว จึงมีความจำเป็นต้องให้บุคลากรเรียนรู้สิ่งใหม่ ๆ โดยอาศัยช่องทางของระบบฯ ที่มีจุดเด่นในความคล่องตัวในการเผยแพร่ และเข้าถึงจากจุดต่าง ๆ รวมถึงความรวดเร็วในการปรับเปลี่ยนเนื้อหา นอกจากนี้ ยังประยุกต์ให้สามารถใช้เป็นเครื่องมือในการสะสม และรวมรวมข้อมูลความรู้ความชำนาญของบุคคลให้คงอยู่ภายในองค์กรได้

แนวทางโดยสรุป : ระบบสารสนเทศที่ช่วยสนับสนุนการรับรู้ข้อมูลข่าวสาร และสามารถประมวลผลความรู้ในด้านต่าง ๆ เพื่อนำมาประยุกต์ใช้ในการดำเนินงานขององค์กรได้อย่างถูกต้อง รวดเร็วและเหมาะสมกับสถานการณ์ รวมทั้ง ต้องส่งเสริมและพัฒนาความรู้ความสามารถ สร้างวิสัยทัศน์ และปรับเปลี่ยนทัศนคติของบุคลากรในองค์กรให้เป็นบุคลากรที่มีประสิทธิภาพ และมีการเรียนรู้ร่วมกัน

ตัวอย่าง :
1. การใช้ระบบเครือข่ายที่มีอยู่และพัฒนาเป็น Web based Training ที่มีหลักสูตรที่หลากหลายและสามารถเข้าใช้ได้ตลอดเวลา
2. ใช้หลักสูตรแบบโปรแกรมสำเร็จรูปที่ช่วยในการฝึกอบรมเพื่อให้ความเข้าใจมากขึ้น
3. สำหรับองค์กรที่มีบุคลากระจัดกระจายตามที่ต่าง ๆ อาจใช้ระบบ e-learning มาปรับใช้ให้เหมาะสม
4. การจัดทำห้องสมุดอิเล็กทรอนิกส์เพื่อให้เกิดความสะดวกในการเข้าใช้บริการ
5. ทางด้านการเผยแพร่ความรู้อาจมีการเขียนบทความภายในและขึ้นตามเว็บไซต์ภายในของแต่ละฝ่ายเพื่อเป็นการถ่ายทอดความรู้ทั้งภายในและภายนอกองค์กร

สำหรับหัวข้อของ CG & ITG และองค์ประกอบที่เกี่ยวข้องนี้ ผมจะนำเสนออะไรในครั้งหน้า โปรดติดตามต่อไปนะครับ

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

หากองค์กรหรือประเทศไม่ได้กำหนดวิสัยทัศน์ / ทิศทาง ที่ต้องการก้าวเดิน เพื่อความสำเร็จในอนาคต องค์กรจะกำหนดกลยุทธ์และแผนการดำเนินงานอย่างไร ติดตามตรวจสอบได้อย่างไร

มกราคม 30, 2010

ท่านผู้อ่านลองคิดดูสิครับว่า หากท่านเป็นผู้บริหารองค์กร หรือเป็นคณะกรรมการชุดต่าง ๆ ท่านจะมีแนวทางบริหารและกระบวนการจัดการอย่างไร จึงจะสามารถแน่ใจได้อย่างสมเหตุสมผลว่า แผนการดำเนินงานของท่านจะเป็นไปตามกลยุทธ์ เพื่อก้าวไปสู่เป้าหมายในอนาคตได้อย่างถูกต้อง มีทิศทางได้อย่างมีคุณภาพหรือไม่ หากขาดการกำหนดวิสัยทัศน์ หรือพันธกิจ ที่จะใช้เป็นเข็มทิศในการดำเนินงาน?

ความเข้มแข็งในการบริหารองค์กรและประเทศแบบบูรณาการ

ท่านลองดูแผนภาพด้านบนนี้นะครับ ท่านจะได้คำตอบ หรืออาจมีคำถามที่น่าสนใจว่า เราจะบริหารองค์กรหรือประเทศอย่างบูรณาการได้อย่างไร จะมีประสิทธิผล ประสิทธิภาพเพียงใด จะมีการติดตามและตรวจสอบกันอย่างไรว่า องค์กรหรือประเทศของเราอยู่ในเส้นทาง หรือระดับความคาดหวังที่ผู้มีผลประโยชน์ร่วมในระดับองค์กร หรือในระดับประเทศ พึงประสงค์และคาดหวังไว้

ในแนวทางการบริหารยุคใหม่ ที่ต้องการบริหารในลักษณะหลอมรวม หรือเป็นพวง กระบวนการจัดการต่าง ๆ ที่เรียกว่า GRC – Governance + Risk Management + Compliance ซึ่งเป็นการบริหารและการขับเคลื่อนในลักษณะ Integrity Driven Performance โดยใช้ทรัพยากรอย่างคุ้มค่าและประหยัด ลดความซ้ำซ้อนในกระบวนการทำงาน เพื่อขับเคลื่อนองค์กรและประเทศไปสู่การเติบโตอย่างยั่งยืน ที่ผสมผสานกันระหว่างการกำกับดูแลกิจการที่ดี การบริหารความเสี่ยงอย่างเป็นกระบวนการ และการปฏิบัติตามกฎหมาย กฎเกณฑ์ และกติกาของสังคมอย่างเคร่งครัด และได้มาตรฐาน อันเป็นที่ยอมรับได้โดยทั่วไปนั้น น่าจะมีปัญหาในทางปฏิบัติเป็นอย่างมาก

โดยเฉพาะอย่างยิ่ง ในกรณีที่องค์กรหรือประเทศมีทรัพยากรจำกัด ประเทศไทยในปัจจุบันมีงบเพื่อใช้ในการพัฒนาประเทศ เหลือเพียงประมาณร้อยละ 12 ของงบประมาณรายจ่าย ซึ่งนับว่าน้อยมาก เมื่อพิจารณาถึงปัจจัยต่าง ๆ ที่เกี่ยวกับโครงสร้างพื้นฐานการพัฒนาประเทศ หรือ Infrastructure ในเรื่องต่าง ๆ และเมื่อพิจารณาควบคู่กันไปกับภาระรายจ่ายเพื่อสังคม ซึ่งนับวันจะมีเม็ดเงินสูงขึ้นมาก เมื่อเทียบกับรายได้นั้น ยิ่งน่าเป็นห่วง เพราะเม็ดเงินเพื่อการพัฒนาและการลงทุน จะลดน้อยอยู่ในระดับที่น่าใจหาย หรือถ้าหากพิจารณาในมุมมองของการบริหารความเสี่ยงระดับประเทศ หากมีการกำหนดระดับความเสี่ยงที่ยอมรับได้ (Risk Appetite) อย่างเป็นกระบวนการ และตามหลักการด้วยความเข้าใจจริง ๆ ก็จะเห็นภาพในความจำเป็นที่องค์กรหรือประเทศจะต้องกำหนดให้มีวิสัยทัศน์ เพื่อกำหนดทิศทางก้าวเดินไปสู่ความมั่นคงทางด้านต่าง ๆ เช่น ด้านเศรษฐกิจการเงิน ทางด้านการทหาร ทางด้านการเมือง ทางด้านสังคม ความพึงพอใจของสังคมภายในประเทศและระหว่างประเทศ ซึ่งขึ้นกับการกำหนดระดับความสำคัญ หรือน้ำหนักความสำคัญของปัจจัยหลัก ๆ ที่เกี่ยวข้องกัน ซึ่งเราจะนำไปคุยกันในตอนต่อไปนะครับ

Leave a Comment » | คุยกับผู้เขียน | ติดป้ายกำกับ: | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

มกราคม 29, 2010

ครั้งที่แล้ว ผมได้กล่าวถึงเรื่องของการบริหารความเสี่ยงว่า การบริหารความเสี่ยงขององค์กรจะบรรลุผลสำเร็จหรือไม่ ขึ้นอยู่กับข้อจำกัดต่าง ๆ ที่มีอยู่ในกระบวนการบริหาร รวมถึงการพิจารณาตัดสินใจของผู้บริหารในรายละเอียดต่าง ๆ ที่เกิดขึ้นกันไปแล้ว วันนี้ผมจะมาเล่าให้ฟังว่าคณะกรรมการ คณะกรรมการตรวจสอบ ผู้บริหาร ผู้ตรวจสอบภายใน รวมถึงพนักงานทุกคนในองค์กร มีส่วนทำให้องค์กรบรรลุผลสำเร็จในการบริหารความเสี่ยงขององค์กรได้อย่างไร ไปติดตามบทบาทและการกำกับดูแลการบริหารความเสี่ยงกันครับ

คณะกรรมการบริหารและพนักงานทุกคนในองค์กร มีหน้าที่ในการบริหารความเสี่ยงขององค์กร CEO หรือ ผู้อำนวยการ เป็นผู้รับผิดชอบสูงสุด และอาจถือว่าเป็น “เจ้าของ” งานในการบริหารความเสี่ยงขององค์กร ผู้อำนวยการ ผู้จัดการอื่น ๆ ต้องสนับสนุนปรัชญาเรื่องความเสี่ยง สนับสนุนการปฏิบัติตามความเสี่งที่ยอมรับได้หรือ Risk Appetite และจัดการหน้าที่ต่าง ๆ ที่เป็นองค์ประกอบของการบริหารความเสี่ยงในหน้าที่ที่ได้รับมอบหมาย ตามวัฒนธรรมความเสี่ยงขององค์กรให้เกิดประสิทธิผล

คำจำกัดความ Risk Appetite หรือความเสี่ยงที่ยอมรับได้
– จำนวน หรือข้อความของความเสี่ยงในภาพกว้าง ที่องค์กรสามารถยอมรับได้เพื่อสร้างมูลค่าให้กับผู้มีผลประโยชน์ร่วม
– ใช้เป็นแนวทางในการกำหนดกลยุทธ์องค์กร เพื่อการจัดสรรทรัพยากรอย่างเหมาะสม
– การกำหนด Risk Appetite ขึ้นอยู่กับ
• ปัจจัยภายใน – ระดับของการหลีกเลี่ยงความเสี่ยง
• ปัจจัยภายนอก – ระดับของความไม่แน่นอนของสภาพแวดล้อมทางธุรกิจขององค์กร

แนวทางในการกำหนด Risk Appetite สามารถกำหนดได้จากการพิจารณาถึงประเด็นต่าง ๆ ต่อไปนี้
– ความต้องการของผู้มีผลประโยชน์ร่วม
– วัตถุประสงค์องค์กรเชิงกลยุทธ์
– ปัจจัยการสร้างมูลค่าองค์กร
– ความเสี่ยงที่อาจส่งผลต่อวัตถุประสงค์ขององค์กร

บุคลากรอื่น ๆ มีหน้าที่ในการกำหนดแนวทางและวิธีการบริหารความเสี่ยงขององค์กร คณะกรรมการบริหารจะเตรียมการดูแลที่สำคัญเรื่องการบริหารความเสี่ยงขององค์กร จำนวนของคณะที่ปรึกษาจากภายนอก จะเป็นผู้ให้ข้อมูลข่าวสารที่เป็นประโยชน์ในการบริหารความเสี่ยงขององค์กร อย่างไรก็ตามคณะบุคคลจากภายนอก เช่น บริษัทที่ปรึกษาด้านบริหารความเสี่ยง ที่ปรึกษา ผู้ตรวจสอบภายนอก ฯลฯ ไม่ได้มีความรับผิดชอบในประสิทธิผลของการบริหารความเสี่ยงขององค์กร แต่สามารถช่วยองค์กรให้บรรลุเป้าหมายตามที่ต้องการได้

โครงสร้างการบริหารความเสี่ยงขององค์กรทั่วไป
โครงสร้างการบริหารความเสี่ยงของแต่ละองค์กรนั้น ไม่มีรูปแบบที่เป็นมาตรฐานเพียงแบบเดียว หากต้องมีการปรับใช้ให้เหมาะสมกับแต่ละองค์กร โดยพิจารณาจากวัฒนธรรม ความซับซ้อนของการดำเนินงาน ประเภทของธุรกิจ และลักษณะของธุรกิจเป็นองค์ประกอบ

อย่างไรก็ตาม สิ่งที่สำคัญของโครงสร้างการบริหารความเสี่ยง คือการที่คณะกรรมการและผู้บริหารทุกระดับมีบทบาท และมีส่วนร่วมในการพัฒนาการบริหารความเสี่ยงขององค์กร

โครงสร้างการบริหารความเสี่ยงที่มีประสิทธิผลขององค์กร จะช่วยในการประเมิน ควบคุม และติดตามความเสี่ยงของแต่ละหน่วยธุรกิจ/หน่วยงาน และทำให้เกิดความมั่นใจการปฏิบัติงานในการบริหารความเสี่ยงที่ได้ผล

โครงสร้างการบริหารความเสี่ยงที่มีประสิทธิผลควรประกอบด้วย
– คณะกรรมการหรือ อนุกรรมการที่มีความรับผิดชอบโดยตรงในการกำกับดูแลการบริหารความเสี่ยง
– คณะกรรมการบริหารความเสี่ยงที่ได้รับการแต่งตั้งให้ทำหน้าที่ในการพัฒนาการบริหารความเสี่ยง อย่างน้อยควรประกอบด้วยผู้บริหารระดับสูงขององค์กร เช่น กรรมการผู้จัดการ และรองกรรมการผู้จัดการ
– หน่วยงานหรือผู้รับผิดชอบในการนำเอาวิสัยทัศน์ขององค์กรในส่วนที่เกี่ยวกับการบริหารความเสี่ยงไปกำหนดเป็นนโยบายและปฏิบัติ

บทบาทและความรับผิดชอบในการบริหารความเสี่ยง
บุคคลที่ได้รับมอบหมายให้รับผิดชอบในการจัดการความเสี่ยงในแต่ละเรื่อง ควรมีคุณสมบัติดังนี้
– สามารถทบทวนประสิทธิภาพของแนวปฏิบัติการบริหารความเสี่ยงที่มีอยู่ในปัจจุบัน
– สามารถจัดให้มีกิจกรรมต่าง ๆ ดังต่อไปนี้ได้อย่างมีประสิทธิภาพและประสิทธิผล
• การกำหนดการควบคุมที่ต้องการเพิ่มเติมเพื่อจัดการความเสี่ยงให้อยู่ในระดับที่องค์กรยอมรับได้
• การประเมินความเสี่ยงที่เหลืออยู่หลังจากได้มีการจัดการความเสี่ยงในปัจจุบันแล้ว
• การกำหนดเวลาที่แน่นอนในแต่ละขั้นตอนการดำเนินการให้เป็นไปตามแผนที่กำหนดไว้

บทบาทหน้าที่ของผู้บริหารความเสี่ยง

คณะกรรมการบริหารขององค์กร
– กำหนดนโยบายและกลยุทธ์การบริหารความเสี่ยงที่สำคัญ
– สอบทานความเสี่ยง ติดตาม และประเมินผลการบริหารความเสี่ยงในภาพรวม
– มีความเข้าใจถึงความเสี่ยงที่อาจมีผลกระทบร้ายแรงต่อองค์กร และทำให้มั่นใจว่ามีการดำเนินการที่เหมาะสมเพื่อจัดการความเสี่ยงนั้น ๆ
– ให้ข้อเสนอแนะ ให้ความเห็นชอบในการบริหารความเสี่ยงขององค์กร

คณะกรรมการตรวจสอบองค์กร
– ทำให้มั่นใจว่ามีการควบคุมภายในที่เหมาะสมเพื่อจัดการความเสี่ยงทั่วทั้งองค์กร
– กำกับดูแลและติดตามการบริหารความเสี่ยงอย่างเป็นอิสระ
– ติดตามประสิทธิภาพการทำงานของหน่วยงานตรวจสอบภายใน ในลักษณะติดตามการตรวจสอบตามฐานความเสี่ยง
– รายงานต่อคณะกรรมการและผู้มีผลประโยชน์ร่วมเกี่ยวกับประสิทธิภาพและประสิทธิผลของการควบคุมภายใน
– การสอบทานแผนการบริหารความเสี่ยง
– ให้ข้อเสนอแนะการบริหารความเสี่ยง
– สื่อสารกับคณะกรรมการบริหารความเสี่ยง เพื่อให้เข้าใจความเสี่ยงที่สำคัญ และเชื่อมโยงกับการควบคุมภายใน

คณะกรรมการหรืออนุกรรมการบริหารความเสี่ยง
– พิจารณาและกำหนดนโยบาย โครงสร้าง และกรอบการจัดวางระบบการบริหารความเสี่ยงขององค์กร
– กำหนดกรอบการจัดวางระบบการควบคุมภายในให้เป็นไปตามมาตรฐานการควบคุมภายใน ตามระเบียบคณะกรรมการตรวจเงินแผ่นดิน (คตง.) และของกระทรวงการคลัง หรือหน่วยงานภาครัฐที่เกี่ยวข้อง
– กำกับดูแล และสนับสนุนให้ทุกส่วนงานขององค์กร มีระบบการควบคุมภายในตามระเบียบ คตง. หรือหน่วยงานภาครัฐที่เกี่ยวข้อง และมีกระบวนการบริหารความเสี่ยงของส่วนงาน
– กำหนดระดับความเสี่ยงที่สามารถยอมรับได้ และกำหนดกรอบการบริหารความเสี่ยง
– พิจารณาความเสี่ยงที่มีนัยสำคัญ และใช้วิธีจัดการความเสี่ยงอย่างมีประสิทธิภาพและประสิทธิผล
– ติดตามดูแลการพัฒนาระบบการควบคุมภายใน และระบบการบริหารความเสี่ยงขององค์กร
– ติดตามกระบวนการบ่งชี้และประเมินความเสี่ยง
– นำแผนการบริหารความเสี่ยงทั่วทั้งองค์กรไปสู่การปฏิบัติ เพื่อให้แน่ใจอย่างสมเหตุสมผลว่า องค์กรจะบรรลุเป้าหมายได้อย่างมีคุณภาพ และสอดคล้องกับหลักการบริหารความเสี่ยงทั่วทั้งองค์กร
– พิจารณารายงานที่เกี่ยวกับการควบคุมภายใน และการบริหารความเสี่ยง
– สนับสนุนให้ผู้บริหาร และพนักงานมีความตระหนักถึงความสำคัญของการควบคุมภายใน และการบริหารความเสี่ยง
– ติดตาม และประเมินความเพียงพอ ประสิทธิภาพ และประสิทธิผลของการจัดการความเสี่ยงในแต่ละด้าน และให้ข้อแนะนำเพื่อปรับปรุงแก้ไขการจัดการความเสี่ยง
– รายงานต่อคณะกรรมการเกี่ยวกับความเสี่ยง และการจัดการความเสี่ยง
– สื่อสารกับคณะกรรมการตรวจสอบเกี่ยวกับความเสี่ยงที่สำคัญ

ผู้อำนวยการสำนักงาน/กรรมการผู้จัดการ
– ติดตามความเสี่ยงที่สำคัญทั้งองค์กร และทำให้มั่นใจได้ว่ามีแผนการจัดการที่เหมาะสม
– ส่งเสริมนโยบายการบริหารความเสี่ยง และทำให้มั่นใจว่ากระบวนการบริหารความเสี่ยงได้รับการปฏิบัติทั่วทั้งองค์กร

รองผู้อำนวยการสำนักงาน/รองกรรมการผู้จัดการ
– ติดตามความเสี่ยงทางกลยุทธ์ และความเสี่ยงด้านการปฏิบัติการที่สำคัญ และทำให้มั่นใจได้ว่ามีแผนการจัดการความเสี่ยงที่เหมาะสม
– ส่งเสริมวัฒนธรรมการบริหารความเสี่ยง และทำให้มั่นใจได้ว่า ผู้อำนวยการฝ่ายให้ความสำคัญกับการบริหารความเสี่ยงในฝ่ายของตน

ผู้อำนวยการฝ่าย
– ทำให้มั่นใจว่าการปฏิบัติงานรายวันมีการประเมิน จัดการและรายงานความเสี่ยงอย่างเพียงพอ
– ส่งเสริมพนักงานในฝ่ายงานให้ตระหนักถึงความสำคัญของการบริหารความเสี่ยง

หัวหน้างานหรือพนักงาน
– ระบุและรายงานความเสี่ยงที่เกี่ยวข้องกับการปฏิบัติงานต่อผู้อำนวยการฝ่าย และเข้าร่วมใจการจัดทำแผนจัดการความเสี่ยง และนำแผนไปปฏิบัติ

หน่วยงานหรือผู้รับผิดชอบการบริหารความเสี่ยง
– ปฏิบัติหน้าที่ประจำวันแทนคณะกรรมการบริหารความเสี่ยง
– จัดทำนโยบายความเสี่ยง กรอบและกระบวนการให้กับหน่วยธุรกิจ/หน่วยงาน และเสนอคณะกรรมการบริหารความเสี่ยงเพื่ออนุมัติ
– ให้การสนับสนุนและแนะนำกระบวนการบริหารความเสี่ยงแก่หน่วยงานต่าง ๆ ภายในองค์กรตามที่มีการร้องขอ

ผู้ตรวจสอบภายใน
– ทำให้มั่นใจว่ามีการควบคุมภายในที่เหมาะสมต่อการจัดการความเสี่ยงและการควบคุมเหล่านั้นได้รับการปฏิบัติตามภายในองค์กร
– ทำให้มั่นใจว่าได้มีการนำระบบการบริหารความเสี่ยงมาปรับใช้อย่างเหมาะสมและมีการปฏิบัติตามทั่วทั้งองค์กร
– สอบทานการปฏิบัติงานของหน่วยงานการบริหารความเสี่ยงและการปฏิบัติงานของ Risk Manager ทุกหน่วยงาน โดยเฉพาะอย่างยิ่ง การบริหารแผนงานและโครงการ
– สื่อสารกับหน่วยงานการบริหารความเสี่ยง เพื่อทำความเข้าใจเกี่ยวกับความเสี่ยง และดำเนินการตรวจสอบภายในตามแนวความเสี่ยง
– รายงานผลการบริหารความเสี่ยงและการควบคุมภายในตามฐานความเสี่ยงให้กับคณะกรรมการตรวจสอบ

Leave a Comment » | แนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร COSO-ERM Framework | ติดป้ายกำกับ: , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

การตรวจสอบ IT Audit ทางด้าน General Control และ Application Control (ต่อ)

มกราคม 24, 2010

ครั้งนี้ ผมตั้งใจจะนำเสนอการตรวจสอบทางด้าน Application Control ในองค์กรที่ใช้คอมพิวเตอร์ แต่ก่อนจะถึงเรื่อง Application Control ที่ใช้คอมพิวเตอร์ ผมใคร่ขอทบทวนการตรวจสอบ IT Audit ทางด้าน General Control อีกสักเล็กน้อยนะครับว่า มุมมองทางด้าน General Control กับ Application Control มีความสัมพันธ์และเกี่ยวข้องกันด้วยเสมอ เพราะหาก General Control มีจุดอ่อน จะมีผลกระทบต่อ Application Control อย่างหลีกเลี่ยงไม่ได้ ในทุกมุมมองที่เกี่ยวข้อง คือ Input – Process – Output

ท่านลองดูแผนภาพสรุปในบางมุมมองของ General Control และ Application Control ในองค์กรที่ใช้คอมพิวเตอร์ และโปรดทบทวนคำอธิบายเรื่อง IT Audit ที่ได้กล่าวมาตั้งแต่ต้น ท่านจะพบกับความท้าทายในรูปแบบต่าง ๆ ที่ต้องใช้ทักษะและศักยภาพในองค์ความรู้ที่เกี่ยวข้องกับ IT และ Business ซึ่งแยกกันไม่ได้เช่นกัน เพราะ Process ของการขับเคลื่อน Business Objective จะอาศัยเทคโนโลยีที่ไปขับเคลื่อน Business Process จาก IT Activities ในมุมมองต่าง ๆ ที่เกี่ยวข้องต่อไป

Understanding Controls on IT Environment

Understanding Controls on IT Environment

การผสมผสานองค์ความรู้ที่เกี่ยวข้อง ในการตรวจสอบของผู้ตรวจสอบและของผู้กำกับงานตรวจสอบ ทางด้าน IT และทางด้าน Manual จึงควรเข้าใจการบริหารและการจัดการองค์กรที่ต้องอาศัย IT ในภาพโดยรวม โดยเฉพาะอย่างยิ่ง หากนำหลักการของ GRC (Governance + Risk Management + Compliance) มาประยุกต์ใช้ในภาพโดยรวม ซึ่งเป็นการขับเคลื่อน Business Process ในลักษณะ Integrity – Driven Performance ซึ่งท่านที่สนใจสามารถติดตามได้จากหัวข้อที่เกี่ยวข้องในเว็บนี้

ผมใคร่ขอย้ำว่า การกำหนดขอบเขตการตรวจสอบ เพื่อให้ได้เป้าประสงค์ของการตรวจสอบในเวลาที่ต้องการ เป็นสิ่งที่ผู้ตรวจสอบต้องเข้าใจถึงองค์ประกอบที่เกี่ยวข้องเป็นอย่างมาก เพื่อให้การตรวจสอบมุ่งตรงประเด็น และเป็นไปตามการปฏิบัติอย่างที่ได้รับมอบหมาย ซึ่งอาจต้องใช้เทคนิคผสมผสาน ระหว่างการตรวจสอบเต็มรูปแบบ (Formal) และการตรวจสอบเป็นเรื่อง ๆ หรือดำเนินการในลักษณะของ Surprise Check ได้ เช่น การตรวจสอบทางด้าน IT Process ตามหลักการของ CobiT มี 4 Domain นั้น วัตถุประสงค์ในการตรวจสอบทางด้าน IT Process ต้องการเน้นเรื่องใด หรือ Domain ใด ใน 4 Domain หลักทางด้าน IT Process ซึ่งประกอบไปด้วย Planning and Organization หรือ Domain อื่น ซึ่งจะเกี่ยวข้องกับ Business Requirement ตามคุณลักษณะ 7 ประการ ของ CobiT หรือจะประเมินจุดอ่อน และความเสี่ยงจาก IT Resource ซึ่งมีองค์ประกอบ 5 ประการที่เกี่ยวเนื่องกันตามที่แสดงไว้ในแผนภาพ และอธิบายไว้ในหัวข้อนี้เมื่อวันที่ 7 มกราคม 2553 เป็นต้น

Leave a Comment » | IT Audit, Non - IT Audit / การตรวจสอบโดยทั่วไป | ติดป้ายกำกับ: , , , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

กลับไปหน้าที่แล้ว
รายการถัดไป »