การตรวจสอบ IT Audit ทางด้าน General Control และ Application Control บางมุมมอง (ต่อ)

มกราคม 13, 2010

ในครั้งที่แล้ว ผมได้อธิบายการตรวจสอบทางด้าน IT Audit ที่เกี่ยวข้องกับการบริหารความเสี่ยง จากมุมเปิด (Exposure) ของจุดอ่อนที่อาจจะมีในกระบวนการบริหารในการจัดการทางด้าน IT Process เพื่อบรรลุ Business Objective ในมุมมองต่าง ๆ ซึ่งได้กล่าวและเน้นให้เห็นถึงความสำคัญความเข้าใจกระบวนการบริหารที่เกี่ยวข้องกันและแยกกันไม่ได้ระหว่าง Business Objective และ IT Objective ซึ่งพิจารณาได้ว่าเริ่มมีความซับซ้อนในมุมมองของการบริหารความเสี่ยงที่โยงใยกันระหว่างความเสี่ยงทางด้าน Business และความเสี่ยงทางด้าน IT และผลกระทบที่มีต่อภาพรวมของความเสี่ยงของทั้งองค์กร (Portfolio View of Risk) ทั้งในมุมมองของ IT และ Business

โดยความเป็นจริง ความเข้าใจถึง Portfolio View of Risk ตามมุมมองของ IT และ Business ซึ่งมีเป้าหมายในการ Focus ความเสี่ยงที่แตกต่างกัน เพราะมุมมองของ IT จะเกี่ยวข้องและเน้นถึง Information ที่สัมพันธ์กับ IT Balanced Scorecard ส่วนมุมมองของ Business จะเกี่ยวข้องกับ Business Scorecard ซึ่งมุมมองทั้ง 2 มีความสัมพันธ์กันอย่างลึกซึ้ง โดยเฉพาะมุมมองของการบริหารความเสี่ยงและการควบคุมภายใน และมีผลอย่างสำคัญต่อการสร้าง Business Value ที่มาจากฐานความเข้าใจของ Risk Driver และ Value Driver ที่ผมจะกล่าวต่อไป

วันนี้ผมกำลังพาท่านผู้ตรวจสอบเข้าสู่กระบวนการตรวจสอบทางด้าน General Control ขององค์กรที่ใช้คอมพิวเตอร์ต่อจากครั้งก่อน โดยมีมุมมองที่เน้นทางด้านกระบวนการบริหาร (Process) เพื่อบรรลุวัตถุประสงค์การควบคุมสารสนเทศที่ดี ตามหลักการของ CobiT ทีละ Domain ดังนี้

สำหรับการอ่านแผนภาพบางตารางข้างต้น อาจจะตัวอักษรเล็กไปสำหรับบางท่านนั้น ขอให้ท่านดำเนินการต่อไปนี้เพื่อขยายแผนภาพทุกแผนภาพที่ต้องการให้ใหญ่ขึ้นดังนี้ ให้ท่านกด Ctrl ค้างไว้ พร้อมเลื่อนลูกกลิ้งเม้าส์ (Scroll) ไปด้านหน้า ทั้งภาพและตัวอักษรจะใหญ่ขึ้นตามที่ท่านต้องการ และกลับกัน หากท่านเลื่อนลูกกลิ้งไปด้านหลัง ทั้งภาพและตัวอักษรก็จะเล็กลง

ครั้งต่อไป ผมจะได้นำเสนอการตรวจสอบทางด้าน Application Control ในองค์กรที่ใช้คอมพิวเตอร์ต่อไปนะครับ

Leave a Comment » | IT Audit, Non - IT Audit / การตรวจสอบโดยทั่วไป | ติดป้ายกำกับ: , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

เกณฑ์การประเมินผลการบริหารการจัดการสารสนเทศของรัฐวิสาหกิจ ประจำปี 2553 (ต่อ)

มกราคม 11, 2010

ครั้งที่แล้ว ผมได้กล่าวถึงเกณฑ์การประเมินผลการบริหารจัดการสารสนเทศของรัฐวิสาหกิจ ในส่วนที่ 2 โดยได้นำเสนอประเด็นที่ต้องพิจารณาด้านระบบสารสนเทศที่สนับสนุนการบริหารจัดการ และระบบสารสนเทศที่สนับสนุนการบริหารความเสี่ยงไปแล้ว ในวันนี้ผมจะนำเสนอต่อถึงการพิจารณาระบบสารสนเทศที่สนับสนุนการควบคุมและการตรวจสอบภายในครับ

2.3 ระบบสารสนเทศที่สนับสนุนการควบคุมและการตรวจสอบภายใน

2.3.1 การนำระบบสารสนเทศและระบบเทคโนโลยีสารสนเทศเข้ามาช่วยในการควบคุมภายในและตรวจสอบภายในเพื่อสร้างความมั่นใจได้ว่ารัฐวิสาหกิจปฏิบัติได้ตามระเบียบ กฎหมาย ข้อบังคับต่าง ๆ ตลอดจนความถูกต้องของข้อมูลด้านบัญชีและการเงิน

ระบบสารสนเทศสามารถนำมาช่วยสนับสนุนการควบคุมภายในและการตรวจสอบภายในเพื่อทำให้กระบวนการควบคุมภายในและตรวจสอบภายในขององค์กรมีประสิทธิภาพและประสิทธิผลมากยิ่งขึ้น

ทางด้านการควบคุมภายใน ระบบสารสนเทศสนับสนุนวิธีการดำเนินงาน โดยการทำงานของบุคลากรจะเปลี่ยนไปอยู่ในรูปแบบที่ต้องถูกควบคุมผ่านระบบฯ หรือได้รับการอนุญาตจากระบบฯ ซึ่งจะต้องทำตามหลักเกณฑ์ /วิธีการ / เงื่อนไขที่ได้กำหนดไว้ อันเป็นผลมาจากความสามารถของระบบสารสนเทศที่สามารถกำหนดวิธีการปฏิบัติงานโดยขึ้นอยู่กับกฎเกณฑ์ที่ได้กำหนดไว้อย่างเคร่งครัด

ทางด้านการตรวจสอบภายใน ระบบสารสนเทศสามารถนำมาใช้ในการสอบทานความถูกต้องของการดำเนินงาน เนื่องจากความสามารถของระบบสารสนเทศในการประมวลผล การเก็บรวบรวมและบันทึกข้อมูลได้อย่างเที่ยงตรงเพื่อนำมาใช้ในการตรวจสอบและอ้างอิงเมื่อต้องการ นอกจากนี้ตัวระบบสารสนเทศ สามารถตรวจสอบความผิดพลาดที่เกิดขึ้นได้โดยทันทีทำให้สามารถป้องกันความเสียหายที่จะเกิดขึ้นได้

แนวทางโดยสรุป : การนำระบบสารสนเทศและระบบเทคโนโลยีสารสนเทศ เข้ามาใช้เพื่อช่วยในการทำงานด้านควบคุมภายในและตรวจสอบภายในการปฏิบัติงานให้ถูกต้องตามกฎระเบียบ กฎหมาย ข้อบังคับต่างๆ โดยการปรับนำมาใช้ในองค์กรอย่างเหมาะสม และการนำระบบสารสนเทศเข้ามาใช้เพื่อสร้างมั่นใจได้ว่าระบบบัญชีที่ใช้มีความเหมาะสมกับองค์กร โดยสามารถเรียกดู/ตรวจสอบข้อมูลได้ตามต้องการ

ตัวอย่าง : การนำระบบสารสนเทศ และระบบเทคโนโลยีสารสนเทศ มาใช้ทางด้านการควบคุมภายใน เช่น
– การบันทึกข้อมูลเพื่อป้องกันทรัพย์สินไม่ให้สูญหายโดยการเบิกของจากคลังพัสดุที่มีการบันทึกอุปกรณ์แต่ละรายการอย่างละเอียดและสามารถตรวจสอบได้ตลอดเวลา
– การกำหนดวงเงินของการอนุมัติตามตำแหน่งหรือหน้าที่ โดยต้องผ่านการทำรายการผ่านระบบอิเล็คทรอนิกส์ที่มีการตั้งกฎเกณฑ์ไว้ นอกจากนี้ยังสามารถนำมาควบคุมกระบวนการทำงาน / การผลิตให้เป็นไปตามมาตรฐานหรือข้อบังคับที่ได้กำหนด
– การกำหนดให้ต้องมี Login และการใส่รหัสผ่าน (Password) เมื่อมีการใช้งานในแต่ละวัน ทั้งนี้ เพื่อป้องกันมิให้บุคคลที่ไม่มีอำนาจหน้าที่สามารถเข้าไปเรียกใช้ข้อมูลขององค์กรได้
– การกำหนด Firewall ทั้งระดับเครือข่าย (Network) และโปรแกรมระบบงาน (Application) เพื่อควบคุมข้อมูลหรือข้อมูลแปลกปลอมเข้ามาในระบบ (อ้างอิงจาก : เอกสาร “ แนวปฏิบัติในการรักษาความปลอดภัยการให้บริการทางการเงินทางอิเล็กทรอนิกส์”, ธนาคารแห่งประเทศไทย)

การนำระบบสารสนเทศ และระบบเทคโนโลยีสารสนเทศมาใช้ทางด้านการตรวจสอบภายใน เช่น
-การนำเทคโนโลยีสารสนเทศ เฃ่น โปรแกรมสำเร็จรูปเพื่อช่วยในการตรวจสอบภายในมาใช้ในการช่วยตรวจสอบความผิดปกติของผลิตภัณฑ์ที่ได้จากการผลิต แทน/ควบคู่กับการทำงานโดยมนุษย์
– ในส่วนของระบบบัญชีที่นำมาใช้ในองค์กรสามารถแยกรายการได้ตามความต้องการและสามารถตรวจสอบหรือเรียกดูข้อมูลได้ในระยะเวลาอันสั้น เช่น สามารถเรียกดูข้อมูลการเบิกจ่ายงบประมาณของระดับฝ่าย หรือสามารถเรียกดูข้อมูลได้ตามสมควรกับองค์กร เช่น ตามระบบ ABC (Activity Based Costing)
– การออกแบบการตรวจสอบข้อมูลเข้าขณะนำเข้าระบบ เช่น การออกแบบการให้รหัสตรวจสอบ (Self-checking Digit Coding) เพื่อให้เครื่องรับข้อมูลทราบทันทีว่ามีข้อมูลที่กำลังป้อนเข้ามามีความผิดพลาด

ในกรณีที่แผนงานไม่ชัดเจน หรือ ผลลัพธ์ไม่สอดคล้องกับหัวข้อประเมิน จะพิจารณาจาก :
– ผลการตรวจสอบภายใน (ทั้งองค์กร) ที่ผ่านมาในปี 2549 และย้อนหลัง ถึงอุปสรรคหรือการดำเนินการใดไม่เป็นไปตามกฎหมาย ระเบียบ ข้อบังคับ หรือไม่ รวมทั้งผลการตรวจสอบภายในทางด้านการเงินและบัญชี (ทั้งองค์กร) ที่ผ่านมาในปี 2549 และย้อนหลังในประเด็นปัญหาที่พบ
– การดำเนินการพิจารณาปัญหา/แก้ไขปัญหา โดยพิจารณาเฉพาะกรณีที่สามารถนำระบบสารสนเทศและระบบเทคโนโลยีสารสนเทศ เข้ามาช่วยในการดำเนินการได้ ซึ่งควรครอบคลุมการพิจารณาใน 3 ประเด็น ดังนี้
• Compliance Audit
• Operation Audit
• Efficiency Audit

2.3.2 ระบบที่ช่วยการควบคุมและการตรวจสอบเพื่อสร้างความมั่นใจได้ว่าระบบสารสนเทศมีความปลอดภัยและข้อมูลมีความถูกต้อง (Computer Audit)

ในการนำระบบสารสนเทศเข้ามาใช้ในองค์กรนั้น เพื่อสร้างความมั่นใจได้ว่าระบบฯ ที่นำมาใช้มีความปลอดภัยและถูกต้องจึงต้องมีการควบคุมและควบคู่ไปกับการตรวจสอบ โดยครอบคลุมในเรื่องทั่วไปเกี่ยวกับระบบสารสนเทศขององค์กรดังนี้
– การควบคุมกระบวนการพัฒนาระบบงาน (Implementation controls) ตรวจสอบกระบวนการพัฒนาระบบงานในจุดต่าง ๆ เพื่อให้มั่นใจได้ว่ากระบวนการพัฒนาฯ อยู่ในความควบคุมและการบริหารที่ดี การตรวจสอบการพัฒนาซอฟต์แวร์ควรที่จะมีการตรวจสอบทบทวนอย่างเป็นทางการ ในแต่ละขั้นตอนการพัฒนาซอฟต์แวร์ที่สำคัญเพื่อเปิดโอกาสให้ผู้ใช้และผู้บริหารมีโอกาสยอมรับหรือปฏิเสธระบบงานเป็นระยะก่อนที่ระบบงานจะพัฒนาเสร็จเรียบร้อย การตรวจสอบระบบงานควรจะตรวจการเข้าไปมีส่วนร่วมของผู้ใช้ในแต่ละขั้นตอนของการพัฒนาฯ และนำทฤษฎีการวิเคราะห์ค่าใช้จ่ายผลตอบแทนมาใช้ศึกษาความเป็นไปได้ของโครงการ การตรวจสอบจะต้องคำนึงถึงการประกันคุณภาพในระหว่างที่ทำการพัฒนา การเปลี่ยนแปลงระบบงาน และการทดสอบระบบงาน รวมทั้งเอกสารประกอบระบบงานนั้น
– การควบคุมซอฟต์แวร์ (Software Control) มีความจำเป็นสำหรับซอฟต์แวร์ประเภทต่างๆ ที่นำมาใช้ประกอบระบบงาน การควบคุมซอฟต์แวร์ตรวจสอบการใช้ซอฟต์แวร์ระบบและป้องกันไม่ให้ผู้ที่ไม่ได้รับอนุญาตเข้ามาใช้งานเนื่องจากซอฟต์แวร์ระบบมีความสำคัญต่อการควบคุมการทำงานของซอฟต์แวร์อื่น ๆ และเป็นตัวที่เข้าไปแก้ไขเปลี่ยนแปลงข้อมูลโดยตรง
– การควบคุมทางกายภาพ (Physical hardware controls) เป็นการป้องกันทางกายภาพเพื่อไม่ให้ใช้เครื่องคอมพิวเตอร์และอุปกรณ์ต่าง ๆ และตรวจสอบความผิดปกติของอุปกรณ์ทุกชนิด การป้องกันนี้รวมไปถึงการป้องกันอัคคีภัย การป้องกันไม่ให้อุณหภูมิและความชื้นในห้องเก็บอุปกรณ์สูงหรือต่ำเกินไป การป้องกันข้อมูลเสียหายด้วยการทำสำเนาข้อมูล การรักษาให้ฮาร์ดดิกส์สามารถให้บริการได้ตลอดเวลาที่ต้องการ เป็นต้น
– การควบคุมการปฏิบัติงานเครื่องคอมพิวเตอร์ (Computer operations controls) ประยุกต์ใช้กับงานของฝ่ายคอมพิวเตอร์เพื่อให้ขั้นตอนการปฏิบัติเกี่ยวกับอุปกรณ์บันทึกข้อมูลและการประมวลผลข้อมูลเป็นไปตามขั้นตอนที่กำหนด ได้แก่ การจัดสภาพแวดล้อมให้เหมาะสมกับการทำงานของคอมพิวเตอร์ การใช้ซอฟต์แวร์ การทำสำเนาข้อมูลและการฟื้นสภาพข้อมูลในกรณีที่โปรแกรมไม่ทำงานตามปกติ เป็นต้น
– การควบคุมความปลอดภัยข้อมูล (Data security controls) เป็นการปกป้องข้อมูลที่มีค่ายิ่งขององค์กรที่เก็บอยู่ในดิกส์หรือเทปหรืออุปกรณ์ใดก็แล้วแต่ ให้พ้นจากการใช้งาน การเปลี่ยนแปลง และการทำลายโดยบุคคลที่ไม่ได้รับอนุญาต การปกป้องนี้ต้องทำทั้งในขณะที่แฟ้มข้อมูลกำลังถูกใช้งานและเก็บรักษาไว้ ในสภาพการทำงานที่ข้อมูลมีการป้อนเข้ามาจากเครื่องเทอร์มินอล ข้อมูลที่แปลกปลอมเข้ามาจะต้องถูกกำจัดออกจากระบบ
– ระเบียบวินัยผู้บริหาร มาตรฐาน และขั้นตอนการปฏิบัติงาน (Administrative disciplines, standards, and procedures) หมายถึงการกำหนดมาตรฐาน กฎเกณฑ์ ขั้นตอนการปฏิบัติงาน และวินัยในการรักษาความปลอดภัย เพื่อให้มั่นใจได้ว่าการรักษาความปลอดภัยทั่วไปและการรักษาความปลอดภัยโปรแกรมประยุกต์ได้รับการจัดตั้งและนำไปปฏิบัติอย่างจริงจัง

ตัวอย่าง : ระบบสารสนเทศมีความปลอดภัย เช่น
1) การจัดทำคู่มือการปฏิบัติงานและแบบฟอร์มมาตรฐานในการรับส่งงานระหว่างเจ้าหน้าที่ศูนย์คอมพิวเตอร์และผู้ใช้ (Users)
2) การสอบทานกระบวนการหรือวิธีการจัดเก็บเอกสารหรือ media ที่ใช้ประกอบการออกแบบระบบงาน รวมทั้งวิธีการเก็บหรือดูแลรักษา Source Program อย่างสม่ำเสมอ
3) จัดให้มีระบบการบำรุงรักษาที่ต่อเนื่องเหมาะสมและครอบคลุมครุภัณฑ์คอมพิวเตอร์และอุปกรณ์ทุกประเภท
4) กำหนดให้มีการจัดทำทะเบียนคุมการติดตั้งหรือการนำ software จากภายนอกเข้ามาใช้กับเครื่องคอมพิวเตอร์ในหน่วยงาน
5) กำหนดผู้มีหน้าที่รับผิดชอบศึกษาทบทวนระบบรักษาความปลอดภัยและกำหนดสิทธิในการเข้าถึงระบบงานและฐานข้อมูลที่สำคัญ
6) การปรับปรุงพัฒนาระบบและสิทธิหรือ User ID ในการเข้าถึงระบบงานและระบบข้อมูลเป็นระยะ
7) จัดให้มีการตรวจสอบข้อมูลหรือเอกสารที่จะนำเข้าระบบ รวมทั้งจัดให้มีการรายงานจากโปรแกรมระบบงานสำหรับใช้ในการตรวจสอบหรือสอบทานความถูกต้องของข้อมูลก่อนการส่งต่อ
8) กำหนดระบบการจัดเก็บและสำรองแฟ้มข้อมูล ฐานข้อมูล และรายงานต่างๆ ให้เหมาะสมกับการใช้งาน
9) กำหนดให้มีวิธีการ Backup หรือทำสำเนา Source Program ระบบงานและเอกสารประกอบที่สำคัญอย่างน้อย 2 ชุด และแยกสถานที่จัดเก็บ รวมทั้งจัดทำทะเบียนคุมไว้เป็นหลักฐาน
10) จัดให้มีการสำรองข้อมูลให้ครบถ้วนตามความเหมาะสมของแต่ละระบบงานและตามเวลาที่กำหนด เช่น จัดเก็บทุกสิ้นวัน ทุกสัปดาห์ หรือทุกเดือนตามความจำเป็นและความเหมาะสม
11) จัดให้มีการทดสอบความถูกต้องของข้อมูลที่สำรองไว้เป็นครั้งคราวและทำรายงานผลการทดสอบ

ในกรณีที่แผนงานไม่ชัดเจน หรือ ผลลัพธ์ไม่สอดคล้องกับหัวข้อประเมิน จะพิจารณาจาก :
– การมีกระบวนการ Computer Audit ตามรายละเอียดข้างต้น
– การแก้ไขปัญหาหลังจากดำเนินการ Computer Audit

2.3.3 การดำเนินงานตามแผนงาน/โครงการด้านสารสนเทศที่มีมูลค่าสูงและมีผลกระทบต่อการดำเนินงานขององค์กรอย่างมีนัยสำคัญ

ในการนำระบบสารสนเทศที่มีมูลค่าสูงและมีผลกระทบต่อการดำเนินงานขององค์กร เช่น ระบบ ERP ระบบงานธุรกิจหลัก (Core System) เป็นต้น เข้ามาใช้ในองค์กรนั้น เพื่อสร้างความมั่นใจได้ว่าระบบฯ ที่นำมาใช้จะมีการดำเนินงานเป็นไปตามแผนงาน มีความปลอดภัยและถูกต้อง ไม่เกิดผลกระทบต่อระบบงานเดิม และเป็นไปตามแผนงาน / โครงการ จึงต้องมีการติดตาม ควบคุมและควบคู่ไปกับการตรวจสอบ

หมายเหตุ : ในกรณีที่รัฐวิสาหกิจไม่มีการนำระบบสารสนเทศที่มีมูลค่าสูงและมีผลกระทบต่อการดำเนินงานขององค์กรอย่างมีนัยสำคัญ มาดำเนินการหรือดำเนินการแล้วเสร็จแล้ว น้ำหนักของการประเมินผลข้อนี้จะเฉลี่ยไปที่หัวข้อ 2.3.1

2.4 ระบบสารสนเทศที่สนับสนุนการบริหารทรัพยากรบุคคล

2.4.1 ระบบสารสนเทศที่สนับสนุนการเก็บรวบรวมข้อมูลด้าน Competency ของบุคลากรทุกตำแหน่งที่องค์กรต้องการและที่บุคลากรทุกคนมีอยู่ (Competency Inventory)

เป็นระบบฐานข้อมูลด้านทรัพยากรมนุษย์ ซึ่งในระบบฐานข้อมูลนี้ นอกเหนือจากการเก็บข้อมูลด้านแฟ้มบุคคล ของพนักงานแต่ละคน ซึ่งโดยทั่วไปจะประกอบด้วย ข้อมูลใบสมัคร ข้อมูลประวัติบุคคล ข้อมูลประวัติพนักงาน ข้อมูลการจ่ายเงินเดือน ข้อมูลการประเมินผลงาน ข้อมูลตำแหน่ง และข้อมูลการลาออกหรือขาดงานแล้ว จะต้องมีการเก็บข้อมูลด้านความสามารถเฉพาะด้านของบุคลากรทุกตำแหน่งที่องค์กรต้องการและความสามารถของบุคลากรแต่ละคนที่องค์กรมีอยู่ (Competency Inventory) โดยจะมี Basic Competencies สำหรับแต่ละงาน คือ Know-How, Problem Solving, และ Accountability ซึ่ง Know-How จะประกอบด้วย 3 ด้านหลักๆ คือ ด้านบริหารจัดการ (Managerial) ด้านเทคนิค (Technical) และด้านความสัมพันธ์ (Human Relations) ส่วน Problem Solving และ Accountability นั้นสามารถมองได้หลายมิติ ขึ้นอยู่กับประเภท และความสำคัญของแต่ละงาน

การเก็บรวบรวมข้อมูลด้าน Competency ของบุคลากร นั้นจะต้องมีระบบฐานข้อมูลที่มีการจัดเก็บเป็นระบบการจัดการฐานข้อมูลทรัพยากรบุคคล (Human Resource Database Management System) โดยเฉพาะเป็นระบบที่สามารถจัดการข้อมูลของพนักงาน ตรวจสอบความชำนาญเฉพาะด้านของพนักงานแต่ละคน การอบรม ค่าตอบแทน สวัสดิการต่างๆ เป็นต้น

แนวทางโดยสรุป : เป็นระบบฐานข้อมูลด้านทรัพยากรบุคคล (HR Database) ที่มีการเก็บรวบรวมข้อมูลด้านความสามารถเฉพาะด้านของบุคลากรทุกตำแหน่งที่องค์กรต้องการ และความสามารถของบุคลากรแต่ละคนที่องค์กรมีอยู่ (Competency Inventory)

ตัวอย่าง : ระบบฐานข้อมูลด้านทรัพยากรบุคคลนี้สามารถให้ข้อมูล ด้านความสามารถเฉพาะด้านของบุคลากรทุกตำแหน่งที่องค์กรต้องการ และความสามารถของบุคลากรแต่ละคน ที่องค์กรมีอยู่ (Competency Inventory) ได้ เช่น หากเจ้าหน้าที่คนหนึ่งมีความสามารถด้านสารสนเทศ ก็จะต้องสามารถมีข้อมูลที่ระบุได้ว่า เจ้าหน้าที่ดังกล่าวอยู่ในสายงานใด เช่น สายงาน Database สายงาน Network และสายงาน Web Application ซึ่งหากเกิดความผิดพลาดในกระบวนการทำงานด้านสารสนเทศเกิดขึ้น ทางองค์กรก็สามารถที่จะมีข้อมูลเพื่อวิเคราะห์ได้ว่า ควรมีการปรับปรุงวิธีการทำงาน ควรจะจัดอบรมความรู้ในเรื่องงานด้านสารสนเทศ หรือการสรรหาบุคคลที่มีความสามารถเฉพาะด้านเป็นพิเศษเข้ามาทำงาน หรือหากองค์กรมีนโยบายใหม่เข้ามา และมีส่วนงานที่เกี่ยวข้องกับด้านสารสนเทศด้วย ระบบฐานข้อมูลด้านทรัพยากรบุคคลนี้ก็จะสามารถระบุได้ว่า บุคลากรคนใดที่มีความชำนาญด้านสารสนเทศเป็นพิเศษ ทำให้สามารถจัดหาบุคคลมาปฏิบัติงานได้อย่างถูกต้อง และมีประสิทธิภาพ

ในกรณีที่แผนงานไม่ชัดเจน หรือ ผลลัพธ์ไม่สอดคล้องกับหัวข้อประเมิน จะพิจารณาจาก :
– มีการเก็บข้อมูล Competency ครบทุกคน และชนิดของข้อมูลที่เก็บมีความเหมาะสม และสามารถค้นหาบุคลากรตาม Competency ทีต้องการได้

2.4.2 การยกระดับความรู้และความสามารถของ CEO / CFO / CIO ในการผนวกรวมการจัดการด้านเทคโนโลยีกับการวางนโยบายเพื่อพัฒนาองค์กร

กระบวนการหรือวิธีการในการยกระดับความรู้และความสามารถของ CEO / CFO / CIO ในการผนวกรวม การจัดการร่วมกันระหว่างกระบวนการหรือแผนที่เป็นรูปธรรม ด้านเทคโนโลยีกับการวางนโยบายเพื่อพัฒนาองค์กร โดยมีวิธีการส่งเสริมความรู้ให้กับ CEO / CFO / CIO เกี่ยวกับเทคโนโลยีสารสนเทศและการสื่อสาร และประโยชน์ของเทคโนโลยีต่างๆ ที่จะนำมาช่วยในการพัฒนาองค์กรได้อย่างคุ้มค่า และไปในทิศทางเดียวกับวิสัยทัศน์ ภารกิจ และนโยบายขององค์กร

โดยอาจจะมีกระบวนการวิธีการที่แตกต่างกันในการให้ความรู้ด้านสารสนเทศแก่ CEO / CFO / CIO ซึ่งจะให้ความสำคัญทางด้านประโยชน์ของสารสนเทศ และแนะนำถึงการนำมาสารสนเทศนี้มาใช้ในองค์กร เพื่อสนับสนุนการปฏิบัติงาน หรือภารกิจหลักขององค์กรได้อย่างมีประสิทธิภาพ รวมทั้งการวางนโยบายเพื่อพัฒนาองค์กรโดยมีสารสนเทศเป็นเครื่องมือสนับสนุน ซึ่งอาจจะใช้วิธีการสัมมนา หรือใช้วิธีแบบ Online Training เป็นต้น

แนวทางโดยสรุป : การยกระดับความรู้ให้กับ CEO / CFO / CIO เกี่ยวกับเทคโนโลยีสารสนเทศและการสื่อสาร และประโยชน์ของเทคโนโลยีต่างๆ ที่จะนำมาช่วยในการพัฒนาองค์กรได้อย่างคุ้มค่า และไปในทิศทางเดียวกับวิสัยทัศน์ ภารกิจ และนโยบายขององค์กร

ตัวอย่าง : การส่งเสริมความรู้ให้กับ CEO / CFO / CIO เช่น จัดนำเสนอโดยผู้เชี่ยวชาญหรือผู้ทรงคุณวุฒิที่หน่วยงานด้านสารสนเทศเป็นผู้คัดเลือก โดยให้มีการนำเสนอผ่านทางระบบ Video Conference ซึ่งอาจจะชี้ให้เห็นได้ด้วยว่า หากนำสารสนเทศ อย่าง Video Conference มาใช้ในการประชุมแล้วสามารถที่จะลดระยะเวลา ลดต้นทุนและเพิ่มประสิทธิภาพในการดำเนินงานขององค์กรได้ ซึ่ง CEO / CFO / CIO ที่ได้เรียนรู้ จะเล็งเห็นถึงความสำคัญของการใช้เทคโนโลยีสารสนเทศ และสามารถที่จะนำเทคโนโลยีเข้าไปผนวกกับการวางนโยบายเพื่อพัฒนาองค์กร อาทิเช่น การวางนโยบายขององค์กรในเรื่องของการติดต่อสื่อสารทั้งภายในและภายนอกองค์กร โดยจัดให้มีการนำระบบเทคโนโลยีด้านการสื่อสารทางไกล (Telecommunication) เข้ามาใช้เพื่อลดต้นทุนในส่วนของค่าใช้จ่ายในการเดินทาง สามารถติดต่อสื่อสารกันได้โดยไม่ขึ้นกับสถานที่ ระยะทาง และเวลา

ในกรณีที่แผนงานไม่ชัดเจน หรือ ผลลัพธ์ไม่สอดคล้องกับหัวข้อประเมิน จะพิจารณาจาก :
– มีแผนการอบรมที่ชัดเจนสำหรับผู้บริหารแต่ละท่าน (CEO, CFO, CIO)
– การนำความรู้มาใช้ประโยชน์กับองค์กรอย่างเป็นรูปธรรม หรือนำมาใช้เป็นนโยบายในการดำเนินงานขององค์กร

2.4.3 การพัฒนาความรู้ความสามารถของบุคลากรในองค์กรให้เข้าใจและรองรับระบบสารสนเทศที่องค์กรมีอยู่

ระบบสารสนเทศใหม่ ๆ ได้นำเข้ามาสู่องค์กรอย่างสม่ำเสมอเพื่อให้สอดคล้องกับการดำเนินงานขององค์กรและปรับเปลี่ยนให้ทันตามเทคโนโลยีเพื่อเพิ่มประสิทธิภาพการทำงาน อย่างไรก็ตาม มักจะพบปัญหาในทางปฏิบัติเมื่อบุคลากรไม่มีความพร้อมที่จะใช้ระบบงานใหม่เนื่องจากบุคลากรดังกล่าวยังคงคุ้นเคยกับการทำงานลักษณะเดิม ทำให้เสียโอกาสในการใช้ระบบให้มีประสิทธิภาพและเป็นการสิ้นเปลืองงบประมาณในส่วนดังกล่าว ดังนั้นรัฐวิสาหกิจควรหาแนวทางเพื่อให้บุคลากรมีความคุ้นเคยและปรับเปลี่ยนการทำงานเพื่อรองรับกับระบบที่ได้เปลี่ยนแปลงไป

แนวทางโดยสรุป : การพัฒนาความรู้ความสามารถของบุคลากรในองค์กรให้เข้าใจ และสามารถใช้ระบบสารสนเทศที่องค์กรมีอยู่

ตัวอย่าง : หากองค์กรมีระบบสารสนเทศใหม่ หรือมีใช้อยู่แล้วในองค์กร แต่จากการสำรวจพบว่า บุคลากรยังไม่สามารถใช้ระบบดังกล่าวได้อย่างถูกต้อง รวดเร็ว และมีประสิทธิภาพ ดังนั้นการพัฒนาความรู้ความสามารถของบุคลากรในองค์กรให้เข้าใจ และสามารถใช้ระบบสารสนเทศที่องค์กรมีอยู่จึงเป็นกระบวนการสำคัญในการผลักดัน ส่งเสริมให้บุคลากรสามารถใช้เทคโนโลยีได้ โดยอาจจะใช้วิธีของการจัดอบรม หรือ การสอนในรูปแบบของ Online Training หรือ e-Learning เพื่อให้บุคลากรสามารถที่จะศึกษา เรียนรู้ และใช้ระบบสารสนเทศดังกล่าวได้อย่างมีประสิทธิภาพ ตัวอย่างเช่น มหาวิทยาลัยด้านสารสนเทศแห่งหนึ่งต้องการให้อาจารย์และผู้ช่วยสอนสามารถทำ e-Learning ในรายวิชาที่อาจารย์คนนั้น ๆ สอนด้วยตนเอง โดยการนำคู่มือวิธีการทำ e-Learning ขึ้นบน Intranet ภายในมหาวิทยาลัย อาจารย์และผู้ช่วยสอนสามารถที่จะเรียนรู้และฝึกปฏิบัติทำได้ด้วยตนเอง ทั้งในรายละเอียดของ Code ในโปรแกรมที่ใช้สร้าง เช่น Dreamwaver การสร้างและใช้ Template รวมทั้ง Format ต่างๆ โปรแกรมที่ใช้ตัดต่อวิดีโอ อย่างเช่น Microsoft Producer, Microsoft Ulead และอื่นๆเป็นต้น ทำให้มหาวิทยาลัยสามารถลดค่าใช้จ่ายในการจ้างพนักงานเพื่อทำ e-Learning โดยเฉพาะ และยังเพิ่มความรู้ความสามารถให้กับบุคลากรในมหาวิทยาลัย

ในกรณีที่แผนงานไม่ชัดเจน หรือ ผลลัพธ์ไม่สอดคล้องกับหัวข้อประเมิน จะพิจารณาจาก :
– มีการฝึกอบรมและการประเมินหลังการฝึกอบรมว่า USER ใช้ประโยชน์ระบบสารสนเทศอย่างเต็มศักยภาพเพียงใด

ครั้งหน้าเราไปต่อประเด็นการพิจารณาระบบสารสนเทศที่ตอบสนองต่อความต้องการของผู้มีส่วนได้เสียภายนอกองค์กร รวมถึงนโยบายต่างๆ ของรัฐบาล และระบบสารสนเทศที่ตอบสนองต่อความต้องการของผู้มีส่วนได้เสียภายในองค์กรกันครับ

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

รากแก้วแห่งความเชื่อมั่นต่อประเทศไทยได้ถูกทำลายลงไปแล้ว!?!

มกราคม 7, 2010

สวัสดีปีใหม่ท่านผู้อ่านทุกท่านครับ ผมไม่ค่อยมีความสุขมากนักในช่วงปีใหม่นี้ มิใช่เพราะเรื่องส่วนตัว แต่เป็นเพราะเรื่องข่าวคราวความน่าเชื่อถือ ความเชื่อมั่น ความไว้วางใจ ที่ส่งผลกระทบอย่างรุนแรงต่อประเทศ ทั้งในระดับประเทศ และระหว่างประเทศ ซึ่งน่าจะเกิดจาก Policy Risk + Regulatory Risk + Compliance Risk + Strategic Risk อันเกิดจากกรณีมาบตาพุด + การยกเลิกสัญญาหวยออนไลน์ + การสั่งรื้อสัญญาสัมปทาน BMCL และอื่น ๆ

ทั้ง ๆ ที่หน่วยงานผู้กำกับภาครัฐได้ลงนามหรืออนุมัติ จัดทำสัญญา ให้ก่อสร้าง ให้ดำเนินการตามข้อตกลงต่าง ๆ ไปแล้ว ในที่สุดก็มีการให้ระงับการก่อสร้างโครงการต่าง ๆ ที่มาบตาพุด ยกเลิกหวยออนไลน์ที่มีสัญญาให้ติดตั้งตู้ออนไลน์ 1.2 หมื่นตู้ หรือสัญญาสัมปทานรถไฟฟ้าสายสีน้ำเงิน เพื่อหวังคุมค่าโดยสารจูงใจประชาชนให้ใช้บริการ ทั้ง ๆ ที่น่าจะพิจารณาเรื่องนี้ก่อนที่จะให้สัมปทาน โดยหน่วยงานของรัฐและผู้ที่เกี่ยวข้องได้อ้างว่า การดำเนินการดังกล่าว รวมทั้งการแก้ไขสัญญาไม่กระทบกระเทือนต่อความเชื่อมั่นของเอกชนที่ลงทุนกับรัฐ รวมทั้งให้หน่วยงานที่เกี่ยวข้องทบทวนวงเงินจ้างที่ปรึกษาอีกครั้ง ++++++

เหตุการณ์โดยสรุปข้างต้นตามเนื้อข่าวในสื่อต่าง ๆ นั้น มีผลกระทบอย่างรุนแรงต่อความเชื่อมั่น ความน่าเชื่อถือ ความไว้วางใจ การเคารพกติกาและกฎเกณฑ์ของสังคม ตามหลักการบริหารและการจัดการที่ดี ที่ส่งผลกระทบต่อเนื่องไปยังเครดิตของประเทศ ที่ประเทศไทยของเราจะมีต้นทุนทางเศรษฐกิจ และการเงิน จากความไม่น่าเชื่อถือของประเทศเพิ่มขึ้นอย่างมหาศาล สร้างความเสียเปรียบในการแข่งขันระดับชาติ และระดับองค์กร ที่เป็นตัวเงิน และไม่ใช่ตัวเงิน ทั้งในระยะสั้นและในระยะยาวอย่างประมาณค่าไม่ได้

ในหลักการของการกำกับดูแลกิจการที่ดี ซึ่งทางรัฐบาลได้ออกพระราชกฤษฎีกาว่าด้วยการบริหารกิจการบ้านเมืองที่ดี พ.ศ. 2546 ที่ประกอบไปด้วยหลักการบริหารความเสี่ยง การควบคุมภายใน และการสร้างประสิทธิผลและประสิทธิภาพในมุมมองต่าง ๆ เพื่อสร้างความน่าเชื่อถือให้กับผู้มีผลประโยชน์ร่วม หรือ Stakeholders เพื่อการเติบโตอย่างยั่งยืนในระดับองค์กร และในระดับประเทศนั้น ไม่น่าเป็นไปได้ในทางปฏิบัติ เพราะหากมีการนำหลักการบริหารความเสี่ยงที่เชื่อมโยงกับวิสัยทัศน์ และพันธกิจของประเทศแล้ว สิ่งที่ทางการได้ดำเนินการมา น่าจะขัดแย้งอย่างรุนแรงกับหลักการบริหารความเสี่ยง ที่จะก่อให้เกิดความเสียหายที่ไม่อาจยอมรับได้ (Risk Appetite) ทั้งนี้อาจพิจารณาได้จาก การตัดสินใจใด ๆ ที่มองต่างมุมที่ต่างคาบเวลากัน หรือมองต่างมุมและตีความที่แตกต่างกัน จากหน่วยงานกำกับที่มีอิสระแตกต่างกันของภาครัฐ ก็มีผลแตกต่างกันในทางปฏิบัติอย่างมากมาย

หากหน่วยงานภาครัฐมีการบริหารความเสี่ยงภายใต้หลักการกำกับดูแลกิจการที่ดี เหตุการณ์ดังกล่าวข้างต้น ภายใต้กรอบการบริหารความเสี่ยง และความเสียหายที่ยอมรับได้ หรือยอมรับไม่ได้ ในมุมมองต่าง ๆ จะต้องมีการพิสูจน์อย่างชัดเจน และมีการบริหารจัดการอย่างเป็นระบบ ภายใต้ร่ม Corporate Governance – CG ที่มีผลต่อ Global Governance จากการดำเนินงานของภาครัฐที่เรียกว่า Public Governance และ Social Governance ที่เกี่ยวข้องกับการบริหารความเสี่ยงในมิติต่าง ๆ ตามที่ผมเคยได้กล่าวไปแล้ว และอาจจะนำมาทบทวนอีกในบางมุมมองในทางสร้างสรรค์ต่อไป

ผลที่ตามมาของกรณีข้างต้นที่ปรากฏเป็นข่าวตามมา ซึ่งแสดงถึงผลสะท้อนของการไม่ปฏิบัติตามกติกาของสังคม ทั้งในระดับสากล และในระดับประเทศ ก็คือ ข่าวจากหนังสือพิมพ์กรุงเทพธุรกิจ ฉบับที่ 7777 วันพฤหัสบดีที่ 7 มกราคม 2553 ที่กล่าวว่า “เจโทรรับต้นเหตุมาบตาพุด – จี้รัฐแก้ปัญหาภายใน 3 เดือน ญี่ปุ่นเมินลงทุนไทยชาติแรก” ตามมาด้วยข่าว “จีเทค” ขู่ฟ้องรัฐบาล 1.2 หมื่นล้าน กรณีรัฐบาลสั่งยกเลิกหวยออนไลน์ เป็นการตอกย้ำถึงความไม่น่าเชื่อถือของประเทศไทยในสายตาของสังคม ทั้งในและต่างประเทศ

ประเทศไทยจะหวังอะไร หากคนในชาติ และนานาชาติ ขาดความเชื่อมั่น หรือไม่เชื่อถือ ไม่ไว้วางใจในนโยบายของชาติ และการปฏิบัติตามกฎหมาย กฎเกณฑ์ที่มีต่อกันแล้วเป็นลายลักษณ์อักษร +++

นอกเหนือจากเหตุการณ์ความไม่สงบ หรือความไม่เรียบร้อยของบ้านเมือง ทั้งทางการเมือง การปกครอง และความมั่นคง ที่มีข่าวคราวน่าสงสัยในเรื่องมาตรฐานการดำเนินงานที่แตกต่างกัน +++ ซึ่งก็ส่งผลอย่างร้ายแรงต่อความเชื่อมั่น ตามหลักการปฏิบัติที่เท่าเทียมกัน การดำเนินการอย่างโปร่งใส +++ ตามหลักธรรมาภิบาล

ผลกระทบต่อความไม่เชื่อมั่นเพียงอย่างเดียว ก็จะนำมาซึ่งความล้มเหลวของประเทศในระยะยาวไปอีกนาน ถึงแม้ว่าจะมีการเปลี่ยนแปลงทางการเมืองหรือไม่ก็ตาม ประเทศที่มีความเจริญและมั่งคั่งทางเศรษฐกิจจะต้องมีความมั่นคง และเสถียรภาพทางการเมือง ตัวอย่างเช่น ประเทศมาเลเซียใช้การเมืองนำเศรษฐกิจ เพราะหากการเมืองมั่นคงหรือนิ่ง ความเชื่อถือหรือเชื่อมั่นก็จะเกิดขึ้น ส่งผลดีต่อเศรษฐกิจและการดำเนินงานในภาพรวม

สำหรับกรณีของไทยเรา นอกเหนือจากความไม่มั่นคงทางการเมือง และความแตกแยกทางความคิด และการกระทำในรูปแบบต่าง ๆ ที่เห็นได้ชัดเจนแล้ว เรายังมีความไม่มั่นคงทางด้านความเชื่อถือ ซึ่งเป็นเรื่องสำคัญอย่างยิ่งยวดต่อการพัฒนาประเทศ เปรียบเสมือนหนึ่งรากแก้ว ซึ่งเป็นหลักของต้นไม้ใหญ่ได้ถูกทำลาย หรือเสียหายอย่างมากต่อการดำเนินงานที่เป็นไปตามกติกาของสังคม

ผมมีความเห็นส่วนตัวว่า การให้น้ำหนักความสำคัญของความเชื่อถือระหว่างประเทศต่อประเทศไทย น่าจะมีความสำคัญและมีน้ำหนักมาก ในกระบวนการบริหารและการจัดการบริหารความเสี่ยง เพื่อสร้างดุลยภาพในการเติบโตอย่างยั่งยืนตามหลักการกำกับดูแลกิจการที่ดี ซึ่งทางการน่าจะเป็นผู้นำและปฏิบัติได้ดีในภาคปฏิบัติให้เป็นรูปธรรม โดยนำกระบวนการบริหารความเสี่ยงตามหลักการของ COSO – ERM และหลักการของ GRC – Governance + Risk Management + Compliance ซึ่งเป็นการเน้น Integrity – Driven Performance มาขับเคลื่อนความน่าเชื่อถือ และเป็นตัวอย่างที่ดีในการบริหารความเสี่ยงตามกลไกที่รัฐบาลมีอยู่แล้วให้เป็นรูปธรรมต่อไป

Leave a Comment » | COSO-ERM กับ ITG และ GRC กับการวิเคราะห์เพื่อสร้างสรรสาระ | ติดป้ายกำกับ: , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

การตรวจสอบ IT Audit ทางด้าน General Control และ Application Control บางมุมมอง

มกราคม 7, 2010

ครั้งที่แล้ว ผมได้อธิบายการวางแผนการตรวจสอบองค์กรที่ใช้คอมพิวเตอร์ การตรวจสอบการควบคุมภายในทั่วไป ของการบริหารศูนย์คอมพิวเตอร์ และการจัดการทางด้านคอมพิวเตอร์ (General Control) ซึ่งสามารถอธิบายโดยแผนภาพย่อ ๆ และเข้าใจได้สะดวก ดังนี้

จากภาพข้างต้น ผู้ตรวจสอบจะต้องกำหนดขอบเขตการตรวจสอบ ให้เป็นไปตามวัตถุประสงค์การตรวจสอบที่ต้องการ มิฉะนั้น การวางแผนการตรวจสอบเพื่อหาหลักฐานการตรวจสอบ และข้อสรุปที่เกี่ยวข้อง จะมีขอบเขตกว้างขวางที่อาจหาข้อสรุปได้ยาก และไม่อาจหาข้อยุติในการทำรายงานในกรอบเวลาที่กำหนดแล้วได้ เรื่องนี้ จึงเป็นเรื่องที่มีความสำคัญเป็นอย่างยิ่งต่อผู้ตรวจสอบ เพื่อกำหนดทรัพยากรที่จำเป็นต้องใช้ในการตรวจสอบตามขอบเขต และวัตถุประสงค์ที่เกี่ยวข้อง ทั้งนี้ขอให้ดูแผนภาพต่อไปนี้ประกอบการพิจารณาเพิ่มเติมจากข้อมูลที่ได้กล่าวมาก่อนหน้านี้

เมื่อท่านได้เห็นแผนภาพที่ 2 ข้างต้นแล้ว ผมใคร่ขอย้ำอีกครั้งหนึ่งว่า การกำหนดขอบเขตการตรวจสอบ ตามวัตถุประสงค์การตรวจสอบที่ชัดเจน ตามทรัพยากรที่กำหนดให้นั้น เป็นเรื่องสำคัญยิ่งต่อกระบวนการตรวจสอบโดยรวม ทั้งนี้ การระบุปัจจัยเสี่ยงที่อาจจะเกิดจากการบริหารทรัพยากรด้านเทคโนโลยีสารสนเทศ (IT Resources) จะเกี่ยวข้องและมีผลกระทบกับกระบวนการ (IT Process) ตามหลักการของ CobiT และความเสี่ยงของ IT Process ก็จะเกี่ยวข้องและเกี่ยวพันกับ Activities ทางด้าน IT และทางด้าน Business ที่จะมีผลต่อกระบวนการบริหาร เพื่อให้ได้คุณลักษณะของสารสนเทศที่ดี หรือให้ได้ผลตาม Business Requirements ที่ต้องการ ซึ่งจะประกอบด้วย ประสิทธิผลของข้อมูลและการจัดการ (Effectiveness), ประสิทธิภาพของข้อมูลและการจัดการ (Efficiency), การรักษาความลับและการเข้าถึงข้อมูล (Confidentiality), ความครบถ้วนถูกต้องของข้อมูล (Integrity), สภาพพร้อมใช้งานของสารสนเทศ (Availability), การปฏิบัติตามกฎหมาย กฎเกณฑ์ (Compliance), ความน่าเชื่อถือของสารสนเทศ เพื่อการบริหารและการจัดการ (Information Reliability)

มาถึงตอนนี้ผู้ตรวจสอบและผู้กำกับงานตรวจสอบทางด้าน IT Audit ควรจะมีความเข้าใจในองค์รวมของกระบวนการบริหาร และการจัดการสารสนเทศที่ดี และเพียงพอที่สามารถจะสรุปจุดอ่อน ที่เป็นจุดเปิดของความเสี่ยง (Exposure) ที่จะก่อให้เกิดความเสียหายในมุมมองต่าง ๆ ทั้งทางด้าน IT และทางด้าน Business ที่เกี่ยวข้อง และผู้ที่เกี่ยวข้องควรจะเข้าใจการบริหารและการจัดการที่ผสมผสานระหว่าง Business Objective และ IT Objective ตามมุมมองของ Business Balanced Scorecard และ IT Balanced Scorecard อย่างพอเพียงด้วย

ถึงขั้นตอนนี้ผู้ตรวจสอบและผู้กำกับงานตรวจสอบทางด้าน IT และทางด้าน Manual Audit อาจจะเริ่มสับสนถึงมุมมองของการระบุปัจจัยเสี่ยง ที่เริ่มผสมผสานกันและแยกกันไม่ได้ ระหว่าง Business Risk และ IT Risk เพราะส่วนใหญ่จะมีการมอบหมายงานตาม Function ซึ่งเน้นเป็นเรื่อง ๆ (Silo) มากกว่า Business Process ที่เป็นการผสมผสานระหว่าง IT Activities กับ Business Objective

เรื่องนี้จะเข้าใจได้ดีขึ้นนะครับ ถ้าหากผู้ตรวจสอบจะได้ดูแผนภาพที่อธิบายโดยย่อถึง กระบวนการบริหารที่มีผลกระทบต่อเป้าหมายของการบริหารและควบคุมสารสนเทศที่ดี ที่มีผลต่อ Business Process และ Business Objective เพื่อบรรลุวัตถุประสงค์ตามหลักการของ CobiT ภายใต้ร่ม IT Governance ต่อไปนี้ทีละ Domain ซึ่งจะนำเสนอในครั้งต่อไปนะครับ

Leave a Comment » | IT Audit, Non - IT Audit / การตรวจสอบโดยทั่วไป | ติดป้ายกำกับ: , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

มกราคม 7, 2010

สวัสดีครับ วันนี้ผมจะมาเล่าต่อถึงการรายงานผลความเสี่ยงของผู้ตรวจสอบภายในว่า ภายหลังจากที่ผู้ตรวจสอบภายในได้ประเมินผล และทำการติดตามผลแล้ว ผู้ตรวจสอบภายในควรจะต้องรายงานผลต่อคณะกรรมการบริหารความเสี่ยง ซึ่งจะต้องรายงานในเรื่องใด และทำอย่างไรนั้น ผมจะนำเสนอต่อเลยนะครับ

กิจกรรมและขั้นตอนการบริหารใดที่มีจุดอ่อนที่ผู้ตรวจสอบภายในควรจะต้องรายงาน แม้ว่าไม่มีคำตอบที่เป็นสากลที่ชัดเจน แต่การเปรียบเทียบการบรรลุผลตามกิจกรรมและ/หรือผลลัพธ์ของแผนงานกับการปฏิบัติงานจริง จะช่วยชี้ประเด็นที่ผู้ตรวจสอบภายในสามารถรายงานศักยภาพการบริหารความเสี่ยงในระดับต่าง ๆ อย่างเป็นกระบวนการได้

ในการพิจารณาสิ่งจำเป็นในการติดต่อสื่อสาร และการรายงานผลการตรวจสอบภายในที่ผู้ตรวจสอบพึงปฏิบัติก็คือ การให้ข้อสังเกตที่มีนัยสำคัญต่อคุณภาพการบริหารความเสี่ยงทั้ง 8 ขั้นตอนอย่างเป็นกระบวนการ และให้คำแนะนำเพื่อสร้างคุณค่าเพิ่มในด้านการควบคุมการบริหารความเสี่ยง ที่ยังอาจไม่เหมาะสมที่ผู้รับการตรวจสอบในสายงานที่เกี่ยวข้องอาจนำไปใช้ลดจุดอ่อน และสร้างจุดแข็ง เพื่อให้แน่ใจอย่างสมเหตุสมผลว่า การบริหารความเสี่ยงของผู้ที่เกี่ยวข้องในระดับต่าง ๆ สามารถก้าวสู่การบรรลุวัตถุประสงค์ และเป้าหมายที่กำหนดได้

ทั้งนี้ ผู้ตรวจสอบภายในจะต้องมั่นใจในศักยภาพ ในความเป็นผู้ตรวจสอบภายในที่มีความรู้ในกระบวนการบริหารความเสี่ยงในระดับต่าง ๆ อย่างแท้จริง มิใช่เพียงแต่ระบุจุดอ่อนของผู้ได้รับการตรวจสอบ แต่ไม่ได้ให้คำแนะนำที่ชัดเจนในการเพิ่มคุณค่าของกระบวนการบริหารความเสี่ยงในการควบคุมภายในที่เหมาะสม

หากมีข้อโต้แย้งหรือความเห็นที่แตกต่างระหว่างผู้ได้รับการตรวจสอบกับผู้ตรวจสอบ ความเห็นที่แตกต่างและข้อเสนอแนะของฝ่ายตรวจสอบภายใน ควรจะได้รับการบันทึกไว้ในรายงานการตรวจสอบและดำเนินการตามมาตรฐานการตรวจสอบของสมาคมผู้ตรวจสอบภายในสากลด้วย

ผู้ตรวจสอบภายในควรจะรายงานผลในเรื่องใดบ้าง
ข้อมูลที่สร้างจากกิจรรมการปฏิบัติงานจะถูกรายงานผ่านช่องทางปกติไปสู่หัวหน้างานทันที หัวหน้างานอาจสื่อสารไปสู่เบื้องบนตามลำดับในองค์กร เพื่อให้ข้อมูลสิ้นสุดที่บุคลากรที่สามารถปฏิบัติได้

ช่องทางเลือกของการติดต่อสื่อสารควรมีอยู่เพื่อการรายงานผลข้อมูลที่อ่อนไหว เช่น เรื่องผิดกฎหมาย ผิดระเบียบ คำสั่ง หรือการปฏิบัติที่ไม่เหมาะสม การพบข้อบกพร่องของการบริหารความเสี่ยงควรถูกรายงานที่เฉพาะต่อความรับผิดชอบของปัจเจกบุคคลเพื่อหน้าที่หรือกิจกรรมที่เกี่ยวข้อง แต่อย่างน้อยเพื่อผู้บริหารระดับที่เหนือกว่าบุคคลนั้น และแน่นอนว่าจะต้องรายงานตามสายการบังคับบัญชาด้วยเสมอ

เรามาดูกันต่อนะครับว่า การรายงานความเสี่ยงนั้นมีประโยชน์อย่างไรต่อการบริหารความเสี่ยงกันบ้าง
1. ทำให้คณะกรรมการขององค์กร มั่นใจว่าความเสี่ยงขององค์กรสอดคล้องกับกลยุทธ์ความเสี่ยงที่ได้รับอนุมัติ และพิจารณาได้ว่าหน้าที่การบริหารความเสี่ยงได้รับการปฏิบัติอย่างมีประสิทธิผล และช่วยในการติดตามที่สำคัญในกรณีที่จำเป็น

2. หัวหน้ากลุ่มต่าง ๆ และผู้บริหารระดับสูงสามารถบ่งชี้และเข้าใจความเสี่ยงที่เกิดขึ้น และข้อกำหนดกิจกรรมการลดความเสี่ยงที่มีประสิทธิผลในระดับกลยุทธ์และระดับปฏิบัติการ

3. หัวหน้ากลุ่มและผู้บริหารระดับสูงสามารถยืนยันได้ว่าการควบคุมความเสี่ยงที่สำคัญได้ถูกนำไปปฏิบัติและดำเนินการอย่างประสบความสำเร็จ และหลีกเลี่ยงความผิดพลาดและล้มเหลวต่าง ๆ ที่จะมีผลต่อการบรรลุวัตถุประสงค์ขององค์กร

ตัวอย่างเอกสารการรายงานความเสี่ยง
– ตารางความเสี่ยง (Risk Matrix)
ตารางความเสี่ยง คือ ทะเบียนความเสี่ยงที่ประกอบไปด้วยข้อมูลของแต่ละความเสี่ยง

ตัวอย่างตารางความเสี่ยง

– แผนภาพความเสี่ยง (Risk Map)
แผนภาพความเสี่ยงจัดทำขึ้นเพื่อแสดงความเสี่ยงแต่ละเรื่องไว้ด้วยกัน และแสดงภาพใหญ่ของความเสี่ยงทั้งหมดและความสำคัญแต่ละเรื่อง

แผนภาพความเสี่ยงเป็นเครื่องมือช่วยในการ
– แสดงการประเมินความเสี่ยงเชิงคุณภาพ
– แสดงตำแหน่งของความเสี่ยง
– สนับสนุนการตัดสินใจในระดับความสำคัญของความเสี่ยงในภาพรวม

การติดตามผลและการรายงานความเสี่ยง

– แผนผังความเสี่ยง
แผนผังความเสี่ยงแสดงความสัมพันธ์ระหว่างโอกาสเกิดและผลกระทบของความเสี่ยงที่บ่งชี้ได้ นอกจากนี้ยังสามารถให้ผู้บริหารใช้เป็นเครื่องมือสำหรับวัดผลและรายงานความเสี่ยงขององค์กร

องค์ประกอบสำคัญของการติดตามผล

Leave a Comment » | แนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร COSO-ERM Framework | ติดป้ายกำกับ: , , , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

หลักเกณฑ์การพิจารณาให้ความเห็นชอบการแต่งตั้งกรรมการ ผู้จัดการผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน (ต่อ)

มกราคม 4, 2010

วันนี้ผมจะมาเล่าเนื้อหาบางประการที่เกี่ยวข้องกับ หลักเกณฑ์การพิจารณาให้ความเห็นชอบ การแต่งตั้งกรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน ของ ธปท. ซึ่งเป็นผู้กำกับที่เข้มแข็ง และกำหนดแนวทางในการบริหารและการจัดการที่ค่อนข้างชัดเจน เพื่อชี้ทิศทางให้สถาบันการเงินก้าวไปสู่การเติบโตอย่างยั่งยืน ผมจะขอเล่าอย่างสรุปในเรื่องของคุณสมบัติของกรรมการฯ ดังนี้

คณะกรรมการฯ ต้องมีความซื่อสัตย์ สุจริตและชื่อเสียง (Honesty, Integrity and Reputation) เป็นไปตามที่ธนาคารแห่งประเทศไทยกำหนด

มีความรู้ ความสามารถ และประสบการณ์ (Competence, Capability and Experiences) ที่จำเป็นและเหมาะสมกับตำแหน่งหน้าที่ที่รับผิดชอบในระดับที่ผู้ประกอบวิชาชีพการเงินการธนาคารพึง มี และต้องไม่มีลักษณะต้องห้าม เช่น เป็นผู้ที่เคยมีการทำงานที่แสดงถึงการขาดมาตรฐานทางบัญชี มาตรฐานการบริหารความเสี่ยง หรือมาตรฐานทางวิชาชีพอื่น ๆ ในการดำเนินธุรกิจ ซึ่งกำหนดโดยหน่วยงานของรัฐ หรือหน่วยงานกำหนดมาตรฐานอื่น ทั้งในประเทศและต่างประเทศ เช่น การอำพรางฐานะทางการเงิน หรือผลการดำเนินงานที่แท้จริง การจงใจหลีกเลี่ยงการเปิดเผยข้อมูลในประเด็นอันเป็นสาระสำคัญ การถูกเพิกถอนใบอนุญาตประกอบวิชาชีพ เป็นต้น

กรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงินจะต้องไม่มีลักษณะต้องห้ามที่เกี่ยวกับประเด็นด้านสถานะทางการเงิน (Financial Soundness) เช่น ไม่มีปัญหาในการชำระเงินต้น หรือดอกเบี้ยกับสถาบันการเงิน หรือบริษัทที่ให้สินเชื่อ หรือเข้าข่ายจัดชั้นเป็นลูกหนี้ชั้นต่ำกว่ามาตรฐาน ชั้นสงสัย ชั้นสงสัยจะสูญ หรือสูญ ทั้งในประเทศและต่างประเทศ

ข้อยกเว้นเกี่ยวกับลักษณะต้องห้ามตามมาตรา 24 (7) (ข) แห่งพระราชบัญญัติธุรกิจสถาบันการเงิน พ.ศ. 2551
เพื่อให้สอดคล้องกับหลักเกณฑ์การกำกับดูแลสถาบันการเงินแบบรวมกลุ่ม (Consolidated Supervision) ธนาคารแห่งประเทศไทยจึงอนุญาตให้ผู้จัดการ หรือผู้มีอำนาจในการจัดการของบริษัทที่ได้รับสินเชื่อ ได้รับการค้ำประกัน หรืออาวัล หรือมีภาระผูกพันอยู่กับสถาบันการเงินนั้น และเป็นบริษัทที่อยู่ในกลุ่มธุรกิจทางการเงินเดียวกันกับสถาบันการเงิน สามารถเป็นหรือทำหน้าที่กรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงินนั้นได้

ในกรณีที่สถาบันการเงินมีความจำเป็นจะต้องส่งกรรมการ ผู้จัดการ หรือผู้มีอำนาจในการจัดการของสถาบันการเงินของตนเข้าไปกำกับดูแลบริษัทที่ได้รับสินเชื่อ หรือได้รับการค้ำประกัน หรืออาวัล หรือมีภาระผูกพันอยู่กับสถาบันการเงินนั้น สมควรอนุญาตให้สถาบันการเงินสามารถส่งกรรมการฯ ไปเป็นผู้จัดการ หรือผู้มีอำนาจในการจัดการของบริษัทที่ได้รับสินเชื่อหรือได้รับการค้ำประกัน หรืออาวัล หรือมีภาระผูกพันอยู่กับสถาบันการเงินนั้นได้

หรืออีกนัยหนึ่ง ธนาคารแห่งประเทศไทยอนุญาตให้ผู้จัดการ หรือผู้มีอำนาจในการจัดการของบริษัทที่ได้รับสินเชื่อหรือได้รับการค้ำประกัน หรืออาวัล หรือมีภาระผูกพันอยู่กับสถาบันการเงินที่ได้รับการแต่งตั้งมาจากสถาบันการเงิน สามารถเป็นหรือทำหน้าที่กรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงินนั้นได้ เพราะเหตุแห่งความจำเป็นที่จะต้องกำกับดูแลลูกหนี้ดังกล่าว

สำหรับเนื้อหาที่เป็นรายละเอียดอื่น ๆ ของหลักเกณฑ์การพิจารณาให้ความเห็นชอบการแต่งตั้งกรรมการฯ นอกเหนือจากที่ผมได้สรุปในบางประการข้างต้นแล้ว ท่านผู้อ่านสามารถติดตามได้จากประกาศของธนาคารแห่งประเทศไทย ที่ สนส. 14/2552 ครับ

Leave a Comment » | คุยกับผู้เขียน | ติดป้ายกำกับ: , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

เกณฑ์การประเมินผลการบริหารการจัดการสารสนเทศของรัฐวิสาหกิจ ประจำปี 2553 (ต่อ)

มกราคม 1, 2010

วันนี้เป็นวันดี เริ่มต้นแห่งปีใหม่ 2553 ผมก็ขออำนวยพรให้ท่านผู้ติดตาม http://www.itgthailand.com แห่งนี้ มีความสุขความเจริญทุกท่านเลยครับ สำหรับเกณฑ์การประเมินผลการบริหารการจัดการสารสนเทศของรัฐวิสาหกิจ ประจำปี 2553 นี้ เราจะมาคุยกันต่อถึงประเด็นการพิจารณาในส่วนที่ 2 ซึ่งจะเป็นเกณฑ์การพิจารณาด้านระบบการบริหารการจัดการสารสนเทศ

จากการพิจารณาว่าแผนแม่บทฯและแผนปฏิบัติการ สอดคล้องตามประเด็นพิจารณาต่าง ๆ หรือไม่นั้น จะขึ้นอยู่กับว่าสามารถรองรับต่อความต้องการ / ความจำเป็น / ความเหมาะสมขององค์กร รวมถึงความต้องการของผู้บริหารหรือไม่ เช่น รัฐวิสาหกิจขนาดเล็กและการดำเนินงานไม่ซับซ้อนอาจเลือกใช้คอมพิวเตอร์เพียงเครื่องเดียวเพื่อสอดคล้องกับประเด็นพิจารณาของ “ระบบ MIS / EIS ที่สอดคล้องกับความต้องการของผู้บริหาร” เมื่อสามารถแสดงให้เห็นว่าสามารถตอบสนองต่อความต้องการขององค์กรได้จริง

ประเด็นการพิจารณาในส่วนที่ 2 มีรายละเอียดดังนี้

2.1 ระบบสารสนเทศที่สนับสนุนการบริหารจัดการของรัฐวิสาหกิจ

2.1.1 ระบบ MIS / EIS ที่สอดคล้องกับความต้องการของผู้บริหาร

เป็นระบบสารสนเทศ (Information System) ที่สามารถเก็บรวบรวมข้อมูล ทำการประมวลผล และสร้างสารสนเทศขึ้นมาเพื่อสนับสนุนการตัดสินใจ การวางแผน และการควบคุม ให้สอดคล้องกับความต้องการของผู้บริหาร โดยจะต้องใช้อุปกรณ์ทางคอมพิวเตอร์ (Hardware) และโปรแกรม (Application Program) ร่วมกับผู้ใช้ (Peopleware) ในการดำเนินงาน เพื่อก่อให้เกิดความสำเร็จในการได้มาซึ่งสารสนเทศที่มีประโยชน์ และสามารถนำมาใช้ได้อย่างมีประสิทธิภาพ

โดยหลักการในการสร้างระบบสารสนเทศจะประกอบด้วยคอมพิวเตอร์ ที่มีระบบการประมวลผลที่เป็นลักษณะงานพื้นฐาน (Transaction Processing Systems) เกี่ยวข้องกับการดำเนินงานประจำวันที่จำเป็นขององค์กร (Business Functions) ซึ่งโดยทั่วไปจะมี 5 ฟังก์ชัน คือ ระบบงานขายและการตลาด (Sales and Marketing) ระบบงานการเงินและระบบงานบัญชี (Finance and Accounting) ระบบทรัพยากรมนุษย์ (Human Resources) ระบบงานการผลิต (Manufacturing) และระบบงานอื่น ๆ ที่มีความจำเป็นเฉพาะในแต่ละองค์กร (Core Business Functions) ซึ่งข้อมูลในแต่ละระบบงานจะถูกจัดเก็บในฐานข้อมูล (Database) หลักขององค์กร และมีการเชื่อมโยงกับตัวแปรอื่น ๆ เช่น ลูกค้า ผู้จำหน่ายวัตถุดิบ คลังสินค้า เป็นต้น โดยจะมีโปรแกรม (Application Program) ที่ดึงข้อมูล และสรุปเป็นรายงานหรือสารสนเทศให้ตรงกับความต้องการของผู้บริหารและระดับความจำเป็นที่จะต้องใช้ในแต่ละองค์กร

แนวทางโดยสรุป Management Information System (MIS) ก็คือ ระบบสารสนเทศเพื่อการจัดการ ในส่วนของยุทธวิธีในการวางแผนการปฏิบัติ และการตัดสินใจของผู้บริหารระดับกลาง เป็นระบบที่สามารถออกรายงานสรุป (Summary Report) ในลักษณะที่เป็นงานประจำหรือ รายงานเรื่องใดเรื่องหนึ่งโดยเฉพาะ (Exception Report) เพื่อสนับสนุนการตัดสินใจของผู้บริหารได้ โดยอาจจะเป็นในรูปแบบกระดาษ หรือผ่านทางหน้าจอคอมพิวเตอร์ ตัวอย่างเช่น ระบบ MIS ขององค์กรที่เกี่ยวข้องกับการขนส่งสามารถออกรายงานสรุปยอดของจำนวนผู้ใช้บริการ ปริมาณงานขนส่ง และข้อมูลอื่นๆที่ผู้บริหารมีความต้องการเป็นรายวัน รายเดือนหรือตามความเหมาะสม ขึ้นอยู่กับความต้องการและลักษณะธุรกิจของแต่ละองค์กร

ส่วน Executive Information System (EIS) คือ ระบบสารสนเทศที่สนับสนุนการจัดการในการวางแผน นโยบาย กลยุทธ์ และการตัดสินใจของผู้บริหารในระดับสูง (Top Management) ที่สามารถออกรายงานสรุป (Summary Report) ทั้งที่เป็นลักษณะงานประจำ และที่ไม่ใช่ลักษณะงานประจำ และ ณ ช่วงเวลาใดก็ได้ตามต้องการ เพื่อสนับสนุนการตัดสินใจของผู้บริหารระดับสูงได้ โดยพิจารณาข้อมูลจากแหล่งต่าง ๆ ภายนอกองค์กร และนำมาประกอบการตัดสินใจในปัญหาที่ไม่มีโครงสร้างหรือรูปแบบที่แน่นอน ซึ่งอาจจะเป็นในรูปแบบของกระดาษ หรือหน้าจอคอมพิวเตอร์กราฟฟิก ตัวอย่างจากบริษัท Southstream Seafoods เป็นบริษัทนำเข้าและส่งออกอาหารทะเลแช่แข็ง เนื่องจากราคาของอาหารทะเลไม่คงที่ ผู้บริหารมีความจำเป็นที่จะต้องทราบราคาที่มีการเปลี่ยนแปลงอยู่ตลอดเวลา โดยข้อมูลที่ผ่านการวิเคราะห์จากระบบ EIS ทำให้ได้รายงานที่สรุปถึงการเปลี่ยนแปลงของราคา ช่วงเวลาที่เกิดการเปลี่ยนแปลง และสาเหตุ ซึ่งผู้บริหารสามารถนำข้อมูลดังกล่าวมาคิดเป็นราคาที่เหมาะสมที่สุด ได้ราคาที่จะขายรวดเร็วกว่าคู่แข่ง และสามารถแจ้งให้ลูกค้าทราบได้ทันที ส่งผลให้เกิดข้อได้เปรียบทางด้านการตลาด

2.1.2 ระบบการเก็บข้อมูลเพื่อช่วยในการติดตามหรือวัดผลการดำเนินงานขององค์กร

เป็นระบบการจัดการฐานข้อมูล (Database Management System) ที่เก็บรวบรวมข้อมูล ทำการประมวลผล และสามารถค้นคืนข้อมูล เพื่อให้ผู้บริหารมีสารสนเทศสำหรับใช้เป็นเครื่องมือในการติดตาม หรือวัดผลการดำเนินงานขององค์กรได้

โดยทั่วไปการที่จะมีระบบการเก็บข้อมูลเพื่อช่วยในการติดตามหรือวัดผลการดำเนินงานขององค์กรได้นั้น จะต้องมีฐานข้อมูล (Database) ที่เก็บข้อมูลในแต่ละกระบวนการงาน (Transaction Processing Systems) ที่มีความสำคัญหรืออยู่ในความสนใจของผู้บริหาร และมีระบบการจัดการฐานข้อมูล (Database Management System) ซึ่งเมื่อมีการสืบค้นหรือดึงข้อมูลออกมา ก็จะทำให้ทราบถึงสถานภาพของการดำเนินงานที่เป็นอยู่ในปัจจุบัน ผู้บริหารสามารถที่จะทราบถึงระดับหรือความก้าวหน้าของการดำเนินงานว่าอยู่ ณ จุดใด สามารถที่จะวัดผลการดำเนินงานเป็นเปอร์เซ็นต์ของความสำเร็จได้

แนวทางโดยสรุปก็คือ ระบบการจัดการฐานข้อมูล (Database Management System) ที่สามารถจัดเก็บ ประมวลผล และสามารถสืบค้นข้อมูลที่เกี่ยวข้องกับกระบวนการปฏิบัติงานขององค์กร เพื่อให้ทราบถึงสถานะของการดำเนินงานว่าอยู่ ณ จุดใด ซึ่งจะช่วยให้สามารถติดตามหรือวัดผลการดำเนินงานกับเป้าหมายขององค์กรที่ตั้งไว้ได้

ตัวอย่าง : ระบบสามารถออกรายงาน ที่บ่งบอกให้ทราบถึงสถานภาพของการดำเนินงาน ว่าอยู่ตรงช่วงใด โดยอาจจะเปรียบเทียบผลการดำเนินงานเป็นตัวเลข กราฟหรือในลักษณะที่เป็นกราฟฟิกออกทางหน้าจอที่สามารถวัดระดับความสำเร็จของงานได้ เช่น ระบบการจัดการฐานข้อมูลของบริษัทขายผลิตภัณฑ์รองเท้าแห่งหนึ่ง ซึ่งมีฐานข้อมูลของโรงงานการผลิตที่เชื่อมต่อกับฐานข้อมูลของ Supplier และมีระบบการจัดการฐานข้อมูล (Database Management System) ที่สามารถควบคุมและทราบถึงขั้นตอนในกระบวนการผลิต (Work in Process) ว่าอยู่ ณ จุดใด ควบคุมกระบวนการ ขั้นตอนในการจัดซื้อวัตถุดิบ หรือระบบการขนถ่ายสินค้าเป็นต้น ซึ่งหากเกิดกรณีที่ Supplier ไม่สามารถจัดส่งวัตถุดิบได้ทันต่อกระบวนการผลิต ระบบการจัดการฐานข้อมูลนี้จะทำให้ผู้บริหารทราบถึงความเป็นไปของระบบ หรือกระบวนการดำเนินงานได้ ว่า Supplier ไม่สามารถส่งวัตถุดิบได้ทันเวลา และเป็นวัตถุดิบประเภทใด จำนวนเท่าไร ณ Process ใด ทำให้สามารถที่จะแก้ปัญหา หรือปรับปรุง เปลี่ยนแปลงได้อย่างถูกต้อง ตรงจุด และมีประสิทธิภาพ

2.1.3 ระบบการรายงานผลและเปรียบเทียบผลการดำเนินงานกับเป้าหมาย

ระบบการรายงานผลและสอบเทียบผลการดำเนินงานกับเป้าหมาย เป็นระบบที่จะต้องมีระบบการจัดการฐานข้อมูล (Database Management System) เพื่อใช้ในการจัดเก็บ รวบรวม และการจัดการข้อมูลเพื่อให้ข้อมูลในแต่ละส่วนงานสามารถที่จะแสดงความสัมพันธ์กันได้ ซึ่งระบบการรายงานผลและสอบเทียบผลการดำเนินงานจะไปดึงข้อมูลในแต่ละส่วนงานที่เกี่ยวข้องกันจากฐานข้อมูลกลางที่องค์กรมี เพื่อนำมาเปรียบเทียบกับค่าเป้าหมายที่องค์กรตั้งไว้ เพื่อสรุปเป็นรายงานที่บ่งบอกให้ทราบถึงผลของการดำเนินงานที่เกิดขึ้น ซึ่งผู้บริหารสามารถนำรายงานดังกล่าว ไปใช้เป็นเครื่องมือในการตรวจสอบการดำเนินงานขององค์กรได้ว่าควรจะมีการปรับปรุง เปลี่ยนแปลง แก้ไขให้กระบวนการทำงานดีขึ้นได้อย่างไร และที่กระบวนการใด

แนวทางโดยสรุปของระบบการรายงานผลและสอบเทียบผลการดำเนินงานกับเป้าหมาย ก็คือ ระบบที่สามารถออกรายงานที่แสดงถึงผลของการดำเนินงานตามเป้าหมายต่าง ๆ ที่ได้กำหนดไว้

ตัวอย่าง : ระบบสามารถออกรายงาน ที่บ่งบอกให้ทราบถึงสถานภาพของการดำเนินงาน ว่าอยู่ตรงช่วงใด โดยอาจจะเปรียบเทียบผลการดำเนินงานเป็นตัวเลข กราฟหรือในลักษณะที่เป็นกราฟฟิกออกทางหน้าจอ ที่สามารถวัดระดับความสำเร็จของงานได้ เช่น บริษัทผลิตเสื้อผ้าแห่งหนึ่งใช้ฐานข้อมูลของ Oracle ที่ Run บน IBM AS/400 Server และมี Show Case Software (Report Generator) ที่สามารถออกรายงานตามที่ต้องการได้ และสามารถเปรียบเทียบยอดการผลิตในแต่ละช่วงเวลากับที่ทางบริษัทได้ตั้งเป้าไว้ ทำให้ทราบถึงจำนวนที่ขาดเหลือและเปอร์เซ็นต์ที่ขาดเหลือดังกล่าว ระบบสามารถควบคุมและทราบถึงขั้นตอนในกระบวนการผลิตเสื้อผ้า (Work in Process) ว่าอยู่ ณ จุดใด ควบคุมกระบวนการ ขั้นตอนในการจัดซื้อวัตถุดิบ หรือระบบการขนถ่ายสินค้าเป็นต้น ซึ่งจะทำให้ผู้บริหารสามารถติดตาม และทราบถึงความเป็นไปของระบบ หรือกระบวนการดำเนินงานได้

2.2 ระบบสารสนเทศที่สนับสนุนการบริหารความเสี่ยง

2.2.1 ระบบสารสนเทศที่สนับสนุนการเก็บข้อมูลพื้นฐานที่ใช้ในการบริหารและจัดการความเสี่ยง

ระบบในการบริหารความเสี่ยงจำเป็นจะต้องอาศัยระบบสารสนเทศที่เหมาะสมในการเก็บข้อมูลพื้นฐานและประมวลผลข้อมูล ซึ่งปัญหาของการเก็บข้อมูลในระบบคือ ข้อมูลในระบบอาจถูกนำเสนออย่างไม่เที่ยงตรงและไม่มีความสอดคล้องกับการนำเสนอข้อมูลในส่วนอื่นของระบบ และข่าวสารบางส่วนอาจมีข้อผิดพลาด คลุมเครือ หรือไม่ได้รับการแบ่งแยกอย่างเหมาะสมสำหรับการนำเสนอทางธุรกิจ

ดังนั้น ระบบสารสนเทศที่เหมาะสมจึงเป็นสิ่งสำคัญในการจัดเก็บข้อมูลพื้นฐานในแต่ละหน่วยงานขององค์กร ทั้งนี้ เพื่อให้มีศูนย์กลางในการรวบรวมข้อมูลในแต่ละหน่วยขององค์กร เพื่อให้แต่ละหน่วยสามารถแลกเปลี่ยนข้อมูลกันได้ และเพื่อให้ผู้บริหารสามารถดึงข้อมูลที่ต้องการเพื่อใช้เป็นแนวทางในการตัดสินใจถึงการบริหารความเสี่ยงใน แต่ละหน่วยงาน และเชื่อมโยงถึงการบริหารความเสี่ยงในภาพรวมขององค์กร

ตามหลักการแล้ว ในองค์กรจะมีศูนย์กลางที่เรียกว่า Risk Data Warehouse ซึ่งทำหน้าที่เก็บข้อมูล รวบรวมข้อมูล และประมวลผลข้อมูลในเบื้องต้นให้กับผู้บริหาร โดยข้อมูลดังกล่าวจะมาจากหน่วยงานต่างๆ ทั้งภายในและภายนอกองค์กร ดังนั้น หน้าที่หลักของ Risk Data Warehouse คือรวบรวมข้อมูลจากฝ่ายต่างๆ และนำมาจัดเรียงให้อยู่ในรูปแบบ (Format) ที่ฝ่ายบริหารต้องการเพื่อจะนำไปประมวลผลข้อมูลได้ทันที และระบบสารสนเทศต้องสามารถรองรับได้ทันทีหากข้อมูลมีการเปลี่ยนแปลงไป

Risk Data Processing

แนวทางโดยสรุป : ระบบสารสนเทศที่สามารถรวบรวมข้อมูลจากหน่วยงานต่างๆ ในองค์กร เพื่อเป็นศูนย์กลางในการรวบรวม แลกเปลี่ยนข้อมูลระหว่างหน่วยงาน และเพื่อให้ผู้บริหารสามารถใช้ข้อมูลเพื่อเป็นแนวทางตัดสินใจในการบริหารความเสี่ยงได้

ตัวอย่าง : ธนาคารแห่งหนึ่งมีหน่วยงานภายในหลายหน่วยงาน ล้วนแต่มีกิจกรรมที่ต่างกันและมีผลิตภัณฑ์ของแต่ละหน่วยงานที่ต่างกัน ดังนั้น จำเป็นต้องมีระบบสารสนเทศที่ทำการจัดเก็บข้อมูลในแต่ละหน่วยงาน เพื่อสามารถแปลงข้อมูลในแต่ละหน่วยงานที่มีความแตกต่างกันนี้ ให้อยู่ในรูปแบบเดียวกัน เพื่อให้ผู้บริหาร หรือหน่วยงานที่เกี่ยวข้องสามารถนำไปตัดสินใจในส่วนที่เกี่ยวข้องกับการบริหารความเสี่ยงได้ โดยผู้บริหารต้องทำการเรียกดูข้อมูลได้อย่างรวดเร็ว และเป็นข้อมูลที่ถูกต้องและอยู่ในรูปแบบที่เหมาะสมในการตัดสินใจ

โดยที่ข้อมูลดังกล่าว อาจจะมาจากภายในธนาคารเอง (Internal) หรือภายนอกธนาคาร (External) เช่น ข้อมูลของสาขาต่างประเทศของธนาคารดังกล่าวก็ได้ ซึ่งจะเป็นการใช้ประโยชน์จากระบบการเชื่อมโยงระหว่าง Server ของสาขา โดยระบบสารสนเทศนี้ต้องมีสามารถรองรับการเปลี่ยนแปลงของข้อมูล ในกรณีที่ข้อมูลมีการเปลี่ยนแปลง (Update) อยู่ตลอดเวลาได้

2.2.2 ระบบสารสนเทศที่สนับสนุนรายงานและการวิเคราะห์ระดับความรุนแรงและประเมินโอกาสที่เกิด / Early warning system (ระบบเตือนภัย / แจ้งให้ทราบถึงเหตุการณ์หรือความเสี่ยงที่จะเกิดขึ้นซึ่งมีผลกระทบรุนแรงต่อองค์กร)

องค์ประกอบหลักของการบริหารความเสี่ยงที่สำคัญคือ การระบุถึงระดับความเสียหายที่อาจจะเกิดขึ้นได้จากความเสี่ยงแต่ละประเภท ซึ่ง ระดับความเสียหาย = ระดับของความรุนแรง x โอกาสของการเกิดความเสี่ยง และองค์กรต้องมีการจัดลำดับความเสี่ยงจากผลการวิเคราะห์ระดับเสียหายข้างต้นด้วย

ดังนั้น ระบบสารสนเทศ จะต้องสนับสนุนการมี Early Warning System เพื่อป้องกันความเสี่ยงหลัก โดยจัดให้มี Management Trail เพื่อการติดตาม สอบทานแบบต่อเนื่องอย่างเหมาะสม ในการบริหารความเสี่ยง

แนวทางโดยสรุป ระบบ Early Warning System คือ ระบบสารสนเทศที่สนับสนุนการจัดรูปแบบและประมวลผลข้อมูลให้อยู่ในรูปของระดับความรุนแรงในการเกิดเหตุการณ์ และโอกาสของการเกิดความเสี่ยงแต่ละประเภท เพื่อให้องค์กรได้กำหนดระดับที่ยอมรับได้ของความเสี่ยง (Limited Risk Level) ได้ และหากระดับความเสียหายเกินกว่า Level ที่ยอมรับได้ ระบบจะต้องทำการเตือน / รายงานทันทีโดยทันกาล (Timely manner)

ตัวอย่าง : องค์กรแห่งหนึ่ง ได้กำหนดระดับความเสียหาย (ระดับของความรุนแรง x โอกาสของการเกิดความเสี่ยง) ไว้ 5 ระดับ โดยทำเป็น Matrix ดังนี้

จากตารางด้านบน จะพบว่า องค์กรกำหนดระดับความถี่ไว้ 5 ระดับ และระดับความรุนแรงไว้ 5 ระดับ ดังนั้นระดับความเสียหาย จะอยู่ที่ระดับต่ำสุดคือ 1 และระดับสูงที่สุดคือ 25

ขั้นตอนของระบบในการประมวลผลและมีระบบเตือนภัย
1. ระบบสารสนเทศ จะทำการรวบรวมข้อมูลความเสี่ยงจากแต่ละหน่วยงาน โดยแต่ละหน่วยงานต้องระบุระดับความถี่และระดับความรุนแรงของความเสี่ยงแต่ละประเภท
2. องค์กรจะต้องระบุระดับความเสียหายที่ยอมรับได้ ซึ่งในที่นี้ ยกตัวอย่างระดับความเสียหายที่ยอมรับได้เท่ากับ 9
3. เมื่อระบบรวบรวมข้อมูลความเสี่ยงซึ่งระบุระดับความเสียหายของแต่ละหน่วยงานแล้ว ระบบจะต้องประเมินผลระดับความเสียหายของแต่ละปัจจัยเสี่ยง หากปัจจัยเสี่ยงใดมีระดับความเสียหายที่เกิน 9 (เกินระดับที่ยอมรับได้) ระบบจะต้องมีสัญญาณเตือน / รายงาน / แจ้งต่อผู้บริหารถึงระดับความเสียหายที่เกิดขึ้น เพื่อที่ผู้บริหารจะได้บริหารจัดการต่อความเสี่ยงนั้นได้ทันท่วงที

2.2.3 การบริหารเทคโนโลยีสารสนเทศเพื่อการจัดการที่ดี (IT Governance)

คณะกรรมการรัฐวิสาหกิจมีการประเมินผลฝ่ายบริหารในการจัดการกับความเสี่ยงและปัญหาที่อาจเกิดขึ้นทางด้าน IT ได้แก่
• การดูแลสภาพแวดล้อมที่ดี มีมาตรฐาน (IT Security) โดยรัฐวิสาหกิจสามารถเลือกมาตรฐานที่ใช้ควบคุมป้องกันมาตรฐานใดก็ได้ แต่ต้องเป็นมาตรฐานที่อ้างอิงได้ เช่น มาตรฐานที่ผู้ผลิตระบบ/อุปกรณ์คอมพิวเตอร์ กำหนด หรือ มาตรฐานสากล เช่น EN, DIN, BS ฯลฯ เป็นต้น โดยกำหนดความจำเป็นของมาตรการควบคุมป้องกันของแต่ละกลุ่มรัฐวิสาหกิจ ตามคุณลักษณะ ทั้งสิ้น 10 ประการ ดังนี้

IT Security ของศูนย์คอมพิวเตอร์หลัก

หมายเหตุ :
ความจำเป็นของมาตรการควบคุมป้องกันของแต่ละกลุ่มรัฐวิสาหกิจ ตามคุณลักษณะ จะแตกต่างกันตามการประเมินตนเองของรัฐวิสาหกิจด้วยการวิเคราะห์ Business Impact Analysis (BIA) และการระบุ / การวิเคราะห์ปัจจัยเสี่ยงขององค์กร

• การมีศูนย์คอมพิวเตอร์สำรองนอกสถานที่ทำการ (Off-site Back up) โดยรัฐวิสาหกิจต้องมีการควบคุมป้องกันศูนย์คอมพิวเตอร์สำรองตามคุณลักษณะที่กำหนดเช่นเดียวกัน ซึ่งรัฐวิสาหกิจสามารถเลือกมาตรฐานใดก็ได้ แต่ต้องเป็นมาตรฐานที่อ้างอิงได้ เช่น มาตรฐานที่ผู้ผลิตระบบ/อุปกรณ์คอมพิวเตอร์ กำหนด หรือ มาตรฐานสากล เช่น EN, DIN, BS ฯลฯ เป็นต้น โดยกำหนดความจำเป็นของมาตรการควบคุมป้องกันของแต่ละกลุ่มรัฐวิสาหกิจ ตามคุณลักษณะ ดังนี้

Off-site Back up

หมายเหตุ :
ความจำเป็นของมาตรการควบคุมป้องกันของแต่ละกลุ่มรัฐวิสาหกิจ ตามคุณลักษณะ จะแตกต่างกันตามการประเมินตนเองของรัฐวิสาหกิจด้วยการวิเคราะห์ Business Impact Analysis (BIA) และการระบุ / การวิเคราะห์ปัจจัยเสี่ยงขององค์กร

ครั้งหน้าจะไปต่อกันในส่วนของระบบสารสนเทศที่สนับสนุนการควบคุมและการตรวจสอบภายในกันครับ

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

ธันวาคม 30, 2009

ในครั้งที่แล้วผมได้กล่าวถึงลักษณะและรูปแบบของการติดตามผลการตรวจสอบ (Monitoring) ว่ามีลักษณะอย่างไร และท่านผู้บริหาร ผู้ตรวจสอบ สามารถที่จะติดตามผลของการตรวจสอบนั้นได้จากทางใดบ้าง สำหรับวันนี้ผมจะกล่าวต่อถึงขอบเขตของความถี่่ในการประเมินผล ซึ่งการประเมินผลในเรื่องการบริหารความเสี่ยงมีความแตกต่างกันในเรื่องขอบเขตและความถี่ ขึ้นอยู่กับความมีนัยสำคัญของความเสี่ยง และความสำคัญของการตอบสนองความเสี่ยงและการควบคุมที่เกี่ยวข้องในเรื่องการจัดการความเสี่ยง

พื้นที่ที่มีความเสี่ยงและการตอบสนองสูงกว่ามีแนวโน้มที่จะถูกประเมินผลบ่อยกว่า การประเมินผลความสมบูรณ์ของการบริหารความเสี่ยง ซึ่งโดยทั่วไปมีความถี่ในความจำเป็นน้อยกว่าการประเมินค่าเฉพาะส่วน อาจถูกกระตุ้นโดยเหตุผลมากมาย กลยุทธ์หลัก หรือการเปลี่ยนแปลงเรื่องการบริหาร การเข้าถือสิทธิ์หรืออำนาจในการควบคุม การเปลี่ยนแปลงทางเศรษฐกิจหรือเงื่อนไขทางการเมือง หรือการเปลี่ยนแปลงในการปฏิบัติการหรือวิธีการในการประมวลผลข้อมูล

เมื่อการตัดสินใจเกิดขึ้น เพื่อใช้เป็นการประเึมินผลที่ครอบคลุมของการบริหารความเสี่ยงขององค์กร ความตั้งใจควรมุ่งในการสร้างวิธีการเพื่อจัดตั้งกลยุทธ์ด้วยกิจกรรมที่สำคัญ ขอบเขตการประเมินผลขึ้นอยู่กับประเภทของวัตถุประสงค์ที่ถูกวางไว้ ว่าเป็นวัตถุประสงค์ประเภทใด รวมถึงมีใครเป็นผู้ประเมินผล บ่อยครั้งการประเมินผลใช้รูปแบบของการประเมินค่าตนเอง บุคคลผู้ซึ่งรับผิดชอบต่อหน่วยเฉพาะหรือหน้าที่กำหนดความมีประสิทธิภาพของการบริหารความเสี่ยงสำหรับกิจกรรมของพวกเขาเหล่านั้น

ผู้ตรวจสอบภายในทำการประเมินผลให้เป็นส่วนหนึ่งของหน้าที่ปกติ หรือเป็นคำขอร้องพิเศษของผู้บริหารอาวุโส กรรมการหรือผู้ช่วยหรือผู้บริหารของฝ่าย เช่นเดียวกันผู้บริหารอาจใช้ประโยชน์ สูงสุดจากผู้ตรวจสอบภายนอกในการพิจารณาความมีประสิทธิภาพของการบริหารความเสี่ยง การรวมกันของความพยายามต่าง ๆ ถูกใช้ในการดำเนินการ อย่างไรก็ตามการบริหารกระบวนการประเมินก็เป็นสิ่งจำเป็น

ขั้นตอนการประเมินผล
การประเมินผลการบริหารความเสี่ยงเป็นขั้นตอนภายในตัวเอง ขณะที่วิธีการหรือเทคนิคมีความแตกต่าง ความมีระเบียบควรนำมาใช้ในขั้นตอน ด้วยพื้นฐานที่มีอยู่อย่างถาวรและไม่แยกจากกัน

ผู้ทำการประเมินต้องเข้าใจในแต่ละกิจกรรมขององค์กรและแต่ละส่วนประกอบของการบริหารความเสี่ยง ซึ่งอาจเป็นประโยชน์ต่อการมุ่งเน้นเป็นอันดับแรกว่าการบริหารความเสี่ยงทำหน้าที่ได้ตามวัตถุประสงค์ได้อย่างไร ซึ่งบางครั้งอาจหมายถึงระบบหรือการออกแบบขั้นตอน

ผู้ทำการประเมินวิเคราะห์การออกแบบขั้นตอนการบริหารความเสี่ยงและผลของการทดสอบการปฏิบัติงาน การวิเคราะห์นี้เป็นการเปรียบเทียบกับการจัดฉากของผู้บริหารสำหรับแต่ละส่วน ประกอบด้วยเป้าหมายสูงสุดของการกำหนดว่ากระบวนการบริหารความเสี่ยงกระทำไปนั้นมั่นใจได้ว่าเข้ากันได้กับวัตถุประสงค์ที่กำหนดขึ้นหรือไม่

กลวิธีในการตรวจสอบ
ความหลากหลายของวิธีการประเมินผลและเครื่องมือสามารถหามาได้ที่ใช้ในการตรวจสอบการบริหารความเสี่ยง จะขึ้นอยู่กับเป้าหมายการตรวจสอบเป็นหลัก อย่างไรก็ดี ประสิทธิภาพและประสิทธิผลของกระบวนการบริหารความเสี่ยงจะต้องถูกประเมินด้วยการทดสอบการปฏิบัติงานจริง ซึ่งอาจจะใช้เทคนิคการประเมินความเสี่ยงตามฐานการตรวจสอบความเสี่ยง Risk Based Internal Audit (RBIA) ที่เน้นทางด้าน Manual หรือเน้นควบคู่กันไปกับการใช้คอมพิวเตอร์เข้าช่วยในการตรวจสอบ Computer Assisted Audit Technic (CAAT) เช่น ใช้ IDEA หรือ ACL และ/หรือเทคนิคการตรวจสอบแบบ Around The Computer หรือ Throgh The Computer เป็นต้น

ในฐานะที่เป็นส่วนหนึ่งของวิธีการประเมินผล บางองค์กรเปรียบเทียบขั้นตอนการบริหารความเสี่ยงกับองค์กรอื่น ๆ เช่น องค์กรหนึ่งอาจวัดผลกระบวนการกับบริษัทอื่นด้วยชื่อเสียงที่ได้จากการบริหารความเสี่ยง การเปรียบเทียบนี้อาจกระทำได้โดยตรงกับบริษัทอื่นหรือธุรกิจอื่น ๆ องค์กรอื่น ๆ อาจให้ข้อมูลเชิงเปรียบเทียบ การระวังเป็นสิ่งจำเป็นเมื่อดำเนินการเปรียบเทียบ ต้องพิจารณาความแตกต่างซึ่งคงอยู่ในวัตถุประสงค์ ข้อเท็จจริงและโอกาส และส่วนประกอบของการบริหารความเสี่ยงทั้ง 8 ประการ เช่นเดียวกับข้อจำกัดที่เป็นธรรมชาติของการบริหารความเสี่ยงจำเป็นต้องนำมาใส่ใจ

การทำเอกสารการรายงานความเสี่ยง
ขอบเขตในเรื่องเอกสารของการบริหารความเสี่ยงแตกต่างไปตามขนาดขององค์กร ความซับซ้อนและปัจจัยที่คล้ายกัน องค์กรที่มีขนาดใหญ่กว่ามักเขียนนโยบายเป็นลายลักษณ์อักษร มีแผนผังของโครงสร้างองค์กร มีการเขียน Job Description คำแนะนำในการปฏิบัติการ แผนผังระบบข้อมูล และอื่น ๆ องค์กรที่มีขนาดเล็กกว่าจะมีความใส่ใจในเรื่องเอกสารน้อยกว่า

การบริหารความเสี่ยงหลาย ๆ ด้าน เป็นสิ่งไม่เป็นทางการและไม่มีเอกสาร แต่มีผลการปฏิบัติงานที่ดีและมีประสิทธิภาพสูง กิจกรรมเหล่านี้อาจถูกทดสอบในแบบเดียวกันจนเหมือนเป็นเอกสาร ข้อเท็จจริงคือส่วนประกอบของการบริหารความเสี่ยงไม่ได้เป็นลายลักษณ์อักษร ไม่ได้หมายความว่าไม่มีประสิทธิภาพหรือไม่สามารถประเมินผลได้ อย่างไรก็ตาม ระดับที่เหมาะสมของเอกสารมักทำให้การตรวจติดตามมีประสิทธิภาพและประสิทธิผล

ผู้ทำการประเมินอาจตัดสินใจทำเอกสารขั้นตอนการประเมินผล ผู้ทำการประเมินจะร่างจากเอกสารของการบริหารความเสี่ยงที่มีอยู่ ซึ่งเป็นส่วนเสริมให้กับเอกสารที่เพิ่มขึ้นพร้อมกันกับอธิบายเรื่องการทดสอบและวิเคราะห์การปฏิบัติงานในขั้นตอนการประเมินผล

ผู้บริหารเจตนาทำประกาศให้ภายนอกทราบเกี่ยวกับความมีประสิทธิภาพของการบริหารความเสี่ยง ซึ่งจะต้องพัฒนาและรักษาเอกสารเพื่อสนับสนุนการประกาศ ดังนั้น เอกสารจึงมีประโยชน์หากประกาศนั้นถูกท้าทายในภายหลัง

การรายงานการบริหารความเสี่ยง
รูปแบบรายงานที่นำเสนอนี้สามารถใช้เพื่ออธิบายความเสี่ยง รายงานควรนำเสนอแนวทางที่ใช้ในการรวบรวมข้อมูลความเสี่ยงและแนวทางการให้คะแนนที่ใช้ในการประเมินความเสี่ยง และควรอธิบายคุณค่าซ่อนเร้นหรือโอกาสที่ถูกบ่งชี้เพื่อช่วยเหลือในการที่ผู้บริหารจะมุ่งเน้นในข้อมูลความเสี่ยงโดยรวม

หลักในการจัดทำรายงานความเสี่ยง
1. การจัดทำรายงานต้องทันเวลา กระชับ และอยู่ในรูปแบบที่ช่วยให้การติดตามผลและการควบคุมขององค์กรมีประสิทธิผล
2. รายงานเบื้องต้นควรเน้นที่การแสดงความเสี่ยงในภาพโดยรวม และกิจกรรมเพื่อลดความเสี่ยงในระดับองค์กร กระบวนการและโครงการ รายงานความเสี่ยงที่ทำเป็นปกติควรรายงานความเสี่ยงสำคัญที่เกิดขึ้นเป็นรายเดือน และรายงานสถานะความเสี่ยงในภาพรวมเป็นรายไตรมาส
3. เน้นการติดตามการจัดการความเสี่ยงหลัก ยกเว้น ในกรณีที่สภาพแวดล้อมต่าง ๆ แสดงให้เห็นว่าความเสี่ยงนั้นหมดไปแล้ว

การรายงานผลการบริหารความเสี่ยงและการควบคุม รวมทั้งการปรับปรุงแก้ไข
จุดอ่อนในการบริหารความเสี่ยงอาจครอบครอบคลุมจากหลายแหล่งรวมถึงกระบวนการการตรวจติดตามอย่างต่อเนื่อง การประเมินผลแยกต่างหากและบุคคลภายนอก คำว่า “จุดอ่อน” อาจจะหมายถึง ความบกพร่องที่นำมาสู่ความเสียหายของการบริหารแผนงานและโครงการต่าง ๆ ขององค์กร และยังหมายถึงสภาพภายในกระบวนการบริหารความเสี่ยง ดังนั้น จุดอ่อนที่ผู้ตรวจสอบภายในตรวจพบ อาจหมายถึง ศักยภาพของพนักงานที่อาจต้องมีการปรับปรุงแก้ไข เพื่อลดจุดอ่อน เพื่อช่วยเพิ่มความเป็นไปได้ซึ่งทำให้วัตถุประสงค์ขององค์กรบรรลุผล

แหล่งของข้อมูล
แหล่งที่ดีที่สุดของข้อมูลจากความบกพร่องในการบริหารความเสี่ยง คือ ตัวของการบริหารความเสี่ยงเอง

กิจกรรมการตรวจติดตามอย่างต่อเนื่องขององค์กร รวมถึงกิจกรรมทางการบริหารและการสั่งการผู้ใต้บังคับบัญชาทุก ๆ วัน การสร้างความเข้าใจลึกซึ้งจากผู้ที่เกี่ยวข้องโดยตรงในกิจกรรมขององค์กร ความเข้าใจลึกซึ้งนี้หาได้ในเวลาที่เป็นจริงและสามารถแยกแยะความบกพร่องได้อย่างรวดเร็ว แหล่งอื่นของความบกพร่องคือการประเมินผลที่แยกต่างหากของการบริหารความเสี่ยง การประเมินผลดำเนินการโดยผู้บริหาร ผู้ตรวจสอบภายใน หรือหน่วยงานอื่น ๆ ซึ่งสามารถเน้นพื้นที่ที่จะเป็นต้องปรับปรุง

หน่วยงานภายนอกเป็นผู้ให้ข้อมูลสำคัญบ่อย ๆ จากการทำงานในการบริหารความเสี่ยง ซึ่งรวมถึงลูกค้า คู่ค้า และผู้มีผลประโยชน์ร่วมที่ทำธุรกิจกับองค์กร ผู้ตรวจสอบภายนอกและผู้ดูแลกฎระเบียบ รายงานจากแหล่งภายนอกควรถูกพิจารณาอย่างระมัดระวังในเรื่องการตีความสำหรับการบริหารความเสี่ยงและควรมีการแก้ไขที่เหมาะสม

จากการประเมินและการติดตามผลการบริหารความเสี่ยง ผู้บริหาร ผู้ตรวจสอบต้องทำการรายงานการบริหารความเสี่ยงต่อคณะกรรมการบริหารความเสี่ยง โดยจะต้องรายงานเรื่องใด และอย่างไรนั้น ผมจะมาพูดคุยกันต่อในครั้งต่อไป โปรดติดตามนะครับ

Leave a Comment » | แนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร COSO-ERM Framework | ติดป้ายกำกับ: , , , , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

หลักเกณฑ์การพิจารณาให้ความเห็นชอบการแต่งตั้งกรรมการ ผู้จัดการผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน

ธันวาคม 26, 2009

วันนี้ผมมีเรื่องหลักเกณฑ์การพิจารณาให้ความเห็นชอบการแต่งตั้งกรรมการ ผู้จัดการผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน ของ ธปท. ซึ่งน่าจะมีประโยชน์ต่อผู้ที่สนใจ ในวงการสถาบันการเงิน และในวงการที่เกี่ยวข้อง ที่อาจนำไปประยุกต์ใช้ได้ตามที่เห็นสมควร สำหรับหน่วยงานอื่นที่ไม่ใช่สถาบันการเงิน แต่สำหรับหน่วยงานที่เป็นสถาบันการเงิน จะต้องปฏิบัติตามหลักเกณฑ์ฯ ที่ สนส. 14/2552 ลงวันที่ 9 กรกฎาคม 2552 อย่างเคร่งครัด

ธปท. ได้ระบุไว้ในเหตุผลในการออกประกาศฉบับนี้ โดยกล่าวว่า…ในสภาวะปัจจุบันระบบสถาบันการเงินมีการแข่งขันสูง และธุรกรรมต่าง ๆ ได้วิวัฒนาการไปอย่างรวดเร็ว มีความซับซ้อนและความเสี่ยงเพิ่มมากขึ้น กรรมการและผู้บริหารระดับสูงของสถาบันการเงิน จึงจำเป็นจะต้องมีคุณสมบัติที่เหมาะสม ทั้งในด้านจริยธรรม ความซื่อสัตย์สุจริต และความรู้ความสามารถในการบริหารจัดการ และควบคุมการดำเนินงาน ตลอดจนการกำกับดูแลให้สถาบันการเงินปฏิบัติตามกฎหมายและระเบียบข้อบังคับที่กำหนดไว้ เพื่อรักษาผลประโยชน์สูงสุดของสถาบันการเงิน และผู้มีส่วนเกี่ยวข้อง (Stakeholders) ซึ่งเป็นพื้นฐานสำคัญของการมีธรรมาภิบาลที่ดีในระบบสถาบันการเงิน

พระราชบัญญัติธุรกิจสถาบันการเงิน พ.ศ. 2551 จึงกำหนดให้การแต่งตั้งกรรมการผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน ต้องได้รับความเห็นชอบจากธนาคารแห่งประเทศไทยก่อนเข้ารับตำแหน่ง และบุคคลดังกล่าว ต้องมีคุณสมบัติครบถ้วน และไม่มีลักษณะต้องห้าม ตลอดระยะเวลาที่ดำรงตำแหน่ง

ด้วยเหตุผลดังกล่าวข้างต้น ธนาคารแห่งประเทศไทย จึงปรับปรุงคุณสมบัติ และหลักเกณฑ์การพิจารณาให้ความเห็นชอบกรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน ให้มีความชัดเจนมากยิ่งขึ้น สอดคล้องกับหลักเกณฑ์ที่เกี่ยวข้องของสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ และเป็นไปตามมาตรฐานสากล

อำนาจตามกฎหมาย
อาศัยอำนาจตามความในมาตรา 24 (4) ถึงมาตรา 24 (6) มาตรา 24 (7) ข มาตรา 24 (8) ถึงมาตรา 24 (10) และมาตรา 25 แห่งพระราชบัญญัติธุรกิจสถาบันการเงิน พ.ศ. 2551 อันเป็นกฎหมายที่มีบทบัญญัติบางประการเกี่ยวกับการจำกัดสิทธิเสรีภาพของบุคคล ซึ่งมาตรา 29 ประกอบกับมาตรา 31 มาตรา 33 มาตรา 36 มาตรา 39 มาตรา 41 และมาตรา 43 ของรัฐธรรมนูญแห่งราชอาณาจักรไทย บัญญัติให้กระทำได้โดยอาศัยอำนาจตามบทบัญญัติแห่งกฎหมาย ธนาคารแห่งประเทศไทยออกข้อกำหนดเกี่ยวกับคุณสมบัติ และหลักเกณฑ์การพิจารณาให้ความเห็นชอบการแต่งตั้งกรรมการ ผู้จัดการ ผู้มีอำนาจในการจัดการ หรือที่ปรึกษาของสถาบันการเงิน ให้สถาบันการเงินถือปฏิบัติ

ขอบเขตการบังคับใช้
ประกาศนี้ให้ใช้บังคับกับสถาบันการเงินตามกฎหมายว่าด้วยธุรกิจสถาบันการเงินทุกแห่ง ยกเว้นตำแหน่งกรรมการของธนาคารพาณิชย์ต่างประเทศ ที่มีสาขาในประเทศไทย ไม่อยู่ภายใต้บังคับของประกาศฉบับนี้

ประกาศที่อ้างอิง
ประกาศธนาคารแห่งประเทศไทย ที่ สนส. 13/2552 เรื่อง ธรรมาภิบาลของสถาบันการเงิน ลงวันที่ 9 กรกฎาคม 2552 และที่แก้ไขเพิ่มเติม

สำหรับเนื้อหาในประกาศฉบับนี้ จะเกี่ยวข้องกับคณะกรรมการสรรหา คณะกรรมการกำหนดผลตอบแทน ซึ่งคณะกรรมการดังกล่าวก็มีหลักการที่จะต้องปฏิบัติให้เป็นไปตามกฎเกณฑ์ และระเบียบของผู้กำกับต่อไปด้วยเช่นกัน และผมจะได้นำมาเล่าสู่กันฟังในโอกาสต่อไปนะครับ

Leave a Comment » | คุยกับผู้เขียน | ติดป้ายกำกับ: , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

เกณฑ์การประเมินผลการบริหารการจัดการสารสนเทศของรัฐวิสาหกิจ ประจำปี 2553 (ต่อ)

ธันวาคม 26, 2009

วันนี้ผมจะนำเสนอในรายละเอียดของ หลักเกณฑ์การประเมินผลการบริหารการจัดการสารสนเทศของรัฐวิสาหกิจ ประจำปี 2553 โดยจะกล่าวถึงหลักเกณฑ์การประเมินเฉพาะในส่วนที่ 1 ก่อน ซึ่งเป็นส่วนของการประเมินแผนแม่บทสารสนเทศ (IT Master Plan) สำหรับส่วนที่ 2 จะได้นำเสนอในครั้งต่อไป เนื่องจากมีรายละเอียดในแต่ละหัวข้อมากพอสมควร

ผมนำภาพมาให้ดูอีกครั้ง คงยังจำกันได้นะครับ

หลักเกณฑ์การประเมินส่วนที่ 1: การประเมินแผนแม่บทสารสนเทศ (IT Master Plan)
1.1 การตอบสนองต่อความต้องการขององค์กรและนโยบาย
แผนแม่บทฯ ต้องมีการพิจารณาให้เชื่อมโยงกับแผนวิสาหกิจขององค์กร และสอดคล้องกับนโยบายต่าง ๆ ซึ่งการประเมินจะพิจารณาตามเกณฑ์การประเมินดังนี้

1.1.1 ความสอดคล้องกับแผนวิสาหกิจเต็มตามศักยภาพของระบบสารสนเทศ พิจารณาจาก :
– แผนแม่บทฯ ตอบสนอง /สอดคล้อง / สนับสนุนต่อแผนวิสาหกิจครบทั้ง วิสัยทัศน์ ภารกิจ รวมทั้งกลยุทธ์ขององค์กรอย่างเหมาะสม
– มีการวิเคราะห์แผนงานหรือโครงการที่เกี่ยวข้องกับข้อ 2.1 ถึง 2.6 (ซึ่งจะนำเสนอในครั้งต่อไป)

1.1.2 การดำเนินการเพื่อตอบสนองต่อนโยบายที่สำคัญ มีหลักเกณฑ์การพิจารณาดังนี้
– การเพิ่มประสิทธิภาพ และ/หรือ ลดขั้นตอนการปฏิบัติงาน พิจารณาจาก :
ก) แผนแม่บทฯ ให้ความสำคัญที่ชัดเจนต่อการเพิ่มประสิทธิภาพ และ/หรือ ลดขั้นตอนการปฏิบัติงาน
ข) ขั้นตอนที่ปรับเปลี่ยนมีผลกระทบอย่างชัดเจนในการเพิ่มประสิทธิภาพ และลดขั้นตอนการปฏิบัติงาน ประหยัดค่าใช้จ่ายของรัฐวิสาหกิจ มีความเหมาะสมกับรัฐวิสาหกิจและงบประมาณ และไม่ส่งผลเสียหายต่อรัฐวิสาหกิจ

– ประชาชน/ผู้ใช้บริการได้รับความสะดวกและได้รับการตอบสนองตามความต้องการ พิจารณาจาก :
ก) แผนแม่บทฯ ให้ความสำคัญที่ชัดเจนต่อการตอบสนองตามความต้องการของประชาชน/ผู้ใช้บริการ
ข) มีการระบุข้อมูลถึงความต้องการของประชาชน/ผู้ใช้บริการ หรือ แนวทางการประเมินความต้องการของประชาชนผู้ใช้บริการ

– การใช้ข้อมูลร่วมกัน พิจารณาจาก :
ก) แผนแม่บทฯ ให้ความสำคัญที่ชัดเจนต่อการใช้ข้อมูลร่วมกัน รวมถึงให้กระทรวงเจ้าสังกัดสามารถดึงข้อมูลได้
ข) มีโครงการที่ดำเนินการเกี่ยวข้อง

1.2 องค์ประกอบหรือรายละเอียดแผนปฏิบัติการ
ในแผนปฎิบัติการระดับองค์กรที่ถ่ายทอดมาจากแผนแม่บทฯ ควรมีองค์ประกอบหรือรายละเอียดดังนี้

1.2.1 กลุ่ม / ลำดับความสำคัญของแผนงาน / โครงการดังกล่าวอย่างเหมาะสม พิจารณาจาก :
– มีการจัดเรียงกลุ่มลำดับความสำคัญของโครงการ / แผนงาน ซึ่งหลักเกณฑ์การแบ่งกลุ่มมีความเหมาะสม และสามารถระบุได้ว่า จะดำเนินการเรื่องใดก่อน-หลัง เช่น กลุ่มลำดับความสำคัญสูง กลุ่มลำดับความสำคัญปานกลาง เป็นต้น และในกรณีที่มีข้อจำกัดทางทรัพยากร เช่น งบประมาณที่จำกัด การจัดกลุ่มดังกล่าวสามารถคัดเลือกโครงการที่จะดำเนินการก่อนได้

1.2.2 KPI ที่แสดงถึงความสำเร็จและสะท้อนผลลัพธ์ที่คาดหวัง พิจารณาจาก :
– ทุกโครงการ / แผนงานควรมีการระบุถึง KPI ที่สะท้อนความสำเร็จและสะท้อนผลลัพธ์ที่คาดหวัง โดยเป้าหมายควรมีความท้าทาย รวมทั้งมีความชัดเจนและสามารถวัดได้อย่างเป็นรูปธรรม เช่น ในกรณีที่นำระบบสารสนเทศมาช่วยในการลดระยะเวลาการให้บริการ ควรมี KPI ที่เป็นระยะเวลาการให้บริการที่ลดลงในระหว่างการดำเนินงาน ณ สิ้นปีบัญชีแรก และระยะเวลาที่ลดลงในปีถัดไปหรือเมื่อการดำเนินงานเสร็จสิ้น เป็นต้น

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

กลับไปหน้าที่แล้ว
รายการถัดไป »