แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

สิงหาคม 12, 2009

วันนี้เรายังคงเล่าสู่กันฟังในเรื่องของการตอบสนองความเสี่ยง ซึ่งเป็นหนึ่งในกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ทั้ง 8 ประการตามหลักของ COSO – ERM โดยเริ่มตั้งแต่ 1.สภาพแวดล้อมภายในองค์กร 2.การกำหนดวัตถุประสงค์ 3.การระบุเหตุการณ์ 4.การประเมินความเสี่ยง 5.การตอบสนองความเสี่ยง 6.กิจกรรมควบคุม 7.ระบบสารสนเทศและการติดต่อสื่อสาร 8.การติดตามและประเมินผล

โดยในครั้งที่แล้วผมได้พูดถึงแนวทางในการกำหนดกลยุทธ์ในการจัดการความเสี่ยง ครั้งนี้เรามาต่อกันถึงโอกาสในเงื่อนไขของการตอบสนองความเสี่ยงกันเลยดีกว่าครับ

ในการประเมินผลเงื่อนไขการตอบสนอง ผู้บริหารพิจารณาผลที่เกิดขึ้นจากความเป็นไปได้และผลกระทบของความเสี่ยง และจะต้องเข้าใจว่าสิ่งตอบสนองอาจส่งผลกระทบต่อความเป็นไปได้และผลกระทบต่างกัน

ขีดความสามารถในการตอบสนองต่อการประเมินค่าของความเป็นไปได้และผลกระทบอาจพิจารณาถึงเหตุการณ์ในอดีตและแนวโน้มและเหตุการณ์ในอนาคต ในการประเมินทางเลือกของการตอบสนอง

ผู้บริหารกำหนดผลกระทบที่ใช้หน่วยในการวัดเหมือนกันสำหรับวัตถุประสงค์และความเสี่ยงในฐานะที่ถูกสร้างขึ้นมา ในส่วนประกอบของการประเมินค่าความเสี่ยงการแยกแยะเหตุการณ์ เป็นการอธิบายว่าการจัดการความเสี่ยงขององค์กรแยกแยะเหตุการณ์ ซึ่งมีผลกระทบต่อความสำเร็จของวัตถุประสงค์ขององค์กรทั้งในด้านบวกและด้านลบได้อย่างไร เหตุการณ์ที่ส่งผลกระทบทางด้านบวกจะเป็นตัวแทนของโอกาสและจะถูกส่งกลับไปสู่กลยุทธ์หรือขั้นตอนการตั้งวัตถุประสงค์

เช่นเดียวกันโอกาสที่มีศักยภาพสำหรับผลลัพธ์สำคัญอาจถูกแยะแยะเมื่อมีการพิจารณาการตอบสนองความเสี่ยง ผู้บริหารอาจแยกแยะการตอบสนองที่แปลกใหม่ ซึ่งในขณะที่พอเหมาะกับกลุ่มของการตอบสนอง แล้วอาจจะยังใหม่ต่อองค์กรหรืออุตสาหกรรม โอกาสเช่นนี้อาจครอบคลุมเมื่อเงื่อนไขการตอบสนองที่มีอยู่มาใกล้ถึงขีดจำกัดของประสิทธิภาพ และเมื่อการทำให้ดีขึ้นมีลักษณะเป็นการเปลี่ยนแปลงเล็กน้อยให้เกิดกับผลกระทบของความเสี่ยงหรือความเป็นไปได้ เช่น การตอบสนองอย่างมีความคิดสร้างสรรค์โดยบริษัทประกันรถยนต์ที่มีต่ออุบัติเหตุจำนวนมากที่เกิดบนถนนที่เป็นทางแยก บริษัทประกันภัยจึงให้ทุนเพิ่มเติมโดยการติดสัญญาณไฟเพื่อเป็นการลดการเคลมอุบัติเหตุและทำให้เกิดกำไรเพิ่มขึ้น

การตอบสนองที่ถูกเลือก
ทันที่ที่ประเมินผลของทางเลือกในการตอบสนอง ผู้บริหารตัดสินใจว่าจะจัดการความเสี่ยงได้อย่างไร การจัดการความเสี่ยงที่มีประสิทธิภาพคือการที่ผู้บริหารเลือก หรือได้รวมการตอบสนองอันนำมาซึ่งความเป็นไปได้ของความเสี่ยงและผลกระทบที่คาดการณ์ไว้ภายในระดับความเสี่ยงที่ยอมรับได้

การเลือกการตอบสนองอาจจำเป็นต้องพัฒนาแผนปฏิบัติเพื่อให้บรรลุการตอบสนองและการวัดความเสี่ยงบนพื้นฐานของความเสี่ยงส่วนที่เหลือ ยิ่งกว่านั้นกระบวนการจำเป็นต้องทำให้ผู้บริหารมั่นใจในการนำไปปฏิบัติอย่างมีประสิทธิภาพ กระบวนการเหล่านี้นำเสนอในการควบคุมกิจกรรม

ผู้บริหารต้องระลึกไว้ว่าความเสี่ยงส่วนที่เหลือบางระดับจะคงอยู่เสมอ ไม่เพียงแต่เพราะว่าทรัพยากรถูกจำกัด แต่เป็นเพราะความไม่แน่นอนของอนาคตและข้อจำกัดตามธรรมชาติในทุก ๆ กิจกรรม

กระบวนการเน้นย้ำ
การประเมินทางเลือกที่จะตอบสนองต่อความเสี่ยงธรรมชาตินั้น ต้องการการพิจารณาเรื่องที่อาจเป็นผลมาจากการตอบสนองตัวเอง ซึ่งอาจเป็นการกระตุ้นกระบวนการเน้นย้ำก่อนที่ผู้บริหารจะตัดสินใจในขั้นสุดท้าย ซึ่งพิจารณาความเสี่ยงที่มีผลมากจากการตอบสนอง รวมถึงอาจไม่ได้ปรากฏให้เห็นได้ทันที

สำหรับกระบวนการที่ 5 ในการตอบสนองความเสี่ยงยังไม่จบเท่านี้ โปรดติดตามต่อในครั้งหน้านะครับ

Leave a Comment » | แนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร COSO-ERM Framework | ติดป้ายกำกับ: , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

ความมั่นคงปลอดภัยของประเทศกับการบริหารความเสี่ยงที่เป็นกระบวนการ

สิงหาคม 8, 2009

ครั้งที่แล้ว ผมได้ให้ข้อสังเกตถึงเรื่องความเตรียมพร้อมทางด้านความมั่นคงทางการทหารของประเทศเพื่อนบ้านในลักษณะกว้าง ๆ เพียงให้ข้อสังเกตในเบื้องต้นว่า การป้องกันดีกว่าการแก้ไข โดยเฉพาะอย่างยิ่งการต่อสู้ยุคใหม่ต้องอาศัยข้อมูลและข่าวสารสนเทศที่ถูกต้องแม่นยำ ทันเหตุการณ์และทันเวลา และต่อสู้กันด้วยความคิดว่า ผู้ไม่หวังดี รวมทั้งประเทศที่ไม่หวังดีนั้น คือใคร เพื่อจะหาทางป้องกันได้อย่างเหมาะสมต่อไป

ความเข้มแข็งและอาวุธสมัยใหม่ ประกอบกับข้อมูลข่าวสารที่ถูกต้อง ทันเหตุการณ์ ผสมผสานอย่างสอดคล้องกับกลยุทธ์ แผนงาน จากนโยบายที่ชัดเจนเป็นรูปธรรม +++ กำลังทางอากาศที่ทรงพลัง มีอานุภาพ จะทำให้ชนะในการรบ และสงครามได้ แต่ก็ไม่ชนะได้อย่างเด็ดขาด ถ้าไม่มีทหารราบที่มีคุณภาพ พร้อมอาวุธที่เหมาะสม ตามไปยึดและรักษาพื้นที่ที่กองกำลังทางอากาศได้ปูทางไว้แล้ว

หากประเทศใดประเทศหนึ่ง โดยเฉพาะอย่างยิ่งประเทศเพื่อนบ้านของเรา เคลื่อนกำลังรบผ่านอุโมงค์ หรือผ่านเส้นทางซึ่งประเทศไทยไม่อาจติดตามได้โดยวิธีการตามปกติ เช่น เรดาห์ หรือการสังเกตการจากดาวเทียม หรือแม้แต่เครื่องบิน ประเทศของเราคงจะเสียเปรียบทางด้านกลยุทธ์และการวางกำลังที่เหมาะสมได้

การกำหนด Risk Appetite และ Risk Tolerance ในระดับประเทศและในระดับองค์กร จะต้องกำหนดโดยรัฐบาล ร่วมกับหน่วยงานทางด้านความมั่นคง และถ้าหากเป็นระดับองค์กรต้องกำหนดโดยคณะกรรมการขององค์กรนั้น

ผมได้เคยพูดถึงความเสี่ยงที่ยอมรับได้ ที่เราเรียกว่า Risk Appetite และระดับความเบี่ยงเบนจากความเสี่ยงที่เรายอมรับได้ หรือยอมรับไม่ได้ ขึ้นกับมุมมองในระดับองค์กร และในระดับประเทศไปแล้วนั้น หากเราสมมุติเหตุการณ์ว่า หากภาคกลางตอนล่างของประเทศ ตั้งแต่ราชบุรี เพชรบุรี ประจวบคีรีขันธ์ลงไป ที่เป็นด้ามขวานทองของไทย แผ่นดินช่วงนี้มีเนื้อที่ค่อนข้างแคบมาก ถ้าผู้ไม่หวังดี รวมทั้งประเทศที่อาจมีปัญหากันในอนาคต โจมตีหลาย ๆ จุดพร้อม ๆ กัน ก็สามารถจะแบ่งแยกหรือเข้ายึดอาณาเขตในส่วนนี้เพื่อเป็นข้อต่อรองได้อย่างง่ายดาย จากการขนส่งกำลังพลและกำลังอาวุธที่มีการเตรียมพร้อมอย่างดี ประเทศไทยน่าจะเสียเปรียบเป็นอย่างมาก

ข้อคิดของผมที่ยกเรื่องข้างต้นขึ้นมากล่าวจากข้อเท็จจริงที่ปรากฎเป็นข่าวในช่วงที่ผ่านมาประมาณ 3 เดือนในเรื่องของการสร้างอุโมงค์เรียบชายแดนไทยตรงที่เป็นด้ามขวานทองของไทยนั้น ประเทศของเรา หน่วยงานความมั่นคงต่าง ๆ ของเราได้กำหนดกลยุทธ์ที่เหมาะสม ทั้งในเชิงป้องกัน และในเชิงรุกไว้เพียงใด มีการกำหนดระดับความเสี่ยงหรือความเสียหายที่ยอมรับได้ จากเหตุการณ์ต่าง ๆ ที่สามารถสร้างสมมุติฐาน เพื่อกำหนดระดับ Risk Appetite และ Risk Tolerance ที่สัมพันธ์กับกลยุทธ์และ Action Plan เพียงใด และการกำหนด Risk Appetite และ Risk Tolerance ในระดับประเทศและในระดับองค์กร จะต้องกำหนดโดยรัฐบาล ร่วมกับหน่วยงานทางด้านความมั่นคง และถ้าหากเป็นระดับองค์กรต้องกำหนดโดยคณะกรรมการขององค์กรนั้น ทั้งนี้เพราะการกำหนด Risk Appetite และ Risk Tolerance ดังกล่าว จะเกี่ยวข้องกับนโยบายของประเทศที่มีผลต่อการกำหนดกลยุทธ์และ Action Plan ตามที่ได้กล่าวแล้วข้างต้นนั่นเอง

ทั้งนี้เพราะกลยุทธ์และ Action Plan ที่มาจากนโยบายทางด้านความมั่นคงปลอดภัยของประเทศ ต้องมีการบริหารแบบสอดประสานและบูรณาการเป็นอย่างดี ซึ่งเรื่องนี้เพียงเทียบเคียงกับการบริหารงานในองค์กรหลายแห่ง โดยเฉพาะหลายหน่วยงานของรัฐ ก็จะพบว่าการบริหารแบบสอดประสานและบูรณาการยังมีข้อควรจะปรับปรุงได้อีกมากพอสมควร

ดังนั้น หากหน่วยงานที่เป็นความมั่นคงของประเทศ ขาดการบริหารและบูรณาการที่มีความชัดเจน ตามหลักของ GRC ซึ่งหมายถึง Governance ในที่นี้จะหมายถึงความมั่นคงและปลอดภัยอย่างยั่งยืนของชาติ ที่ต้องการการส่งสัญญาณในลักษณะ Top down จากจิตสำนึก (Spiritual) ที่มีความมุ่งมั่นอย่างสูงจากความรับผิดชอบตามหน้าที่ ดังที่เรียกกันว่า Responsibility และ Accountability +++

ประกอบกับการมีเครื่องมือที่มุ่งไปสู่ Governance ก็คือ การบริหารความเสี่ยงอย่างเป็นกระบวนการ ตามหลักการของ COSO – Enterprise Risk Management ซึ่งมีองค์ประกอบที่เกี่ยวข้องที่มีความสัมพันธ์กันอย่างใกล้ชิดอยู่ 8 องค์ประกอบด้วยกัน ซึ่งในเรื่องนี้สิ่งที่ประเทศและทุกองค์กรจะต้องดำเนินการก็คือ การกำหนด Risk Appetite และ Risk Tolerance ที่เป็นรูปธรรมและสัมพันธ์กับนโยบาย กลยุทธ์ แผนการดำเนินงานทางด้านความมั่นคง ที่ทุกหน่วยงานควรจะได้เข้าใจตรงกันอย่างแท้จริง

หากมีเวลาและโอกาสที่อำนวยให้มีการแลกเปลี่ยนกันในเชิงสร้างสรร และด้วยความเคารพในทุกฝ่ายที่เกี่ยวข้อง ผมจะขออนุญาติของความเห็น รวมทั้งการสร้างภาพจำลอง เพื่อให้มีการประเมินตนเอง ตามหลักการ Control Self Assessment – CSA ซึ่งเป็นส่วนหนึ่งของการบริหารความเสี่ยงและการควบคุมเหตุการณ์หรือปัจจัยเสี่ยงจากต้นเหตุ (Root Cause) ต่อไปนะครับ

Leave a Comment » | COSO-ERM กับ ITG และ GRC กับการวิเคราะห์เพื่อสร้างสรรสาระ | ติดป้ายกำกับ: , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

GRC กลยุทธ์ใหม่ในการบริหารเพื่อประสบความสำเร็จขององค์กรยุคใหม่ที่เรียกว่า Integrity – Driven Performance (ต่อ)

สิงหาคม 8, 2009

ในครั้งก่อนผมได้ทิ้งท้ายไว้ว่าจะมาบอกถึงปัจจัยสำคัญที่ใช้ในการขับเคลื่อนการดำเนินงาน/การปฏิบัติการที่มีศักยภาพอย่างยั่งยืนตามหลักการ GRC ซึ่งก็มีปัจจัยหลัก ๆ อยู่ 4 ปัจจัยด้วยกัน แต่ในวันนี้ผมจะนำเสนอเพียง 3 ปัจจัยหลัก ๆ ก่อนนะครับ

GRC Model นอกจากจะเป็น Model ในการพัฒนาองค์กรในการก้าวไปสู่หลักการปฏิบัติงาน และการดำเนินงานที่ดี (Best Practice) ที่ยอมรับได้ มาตรฐานที่ใช้เป็นสากล หรือมาตรฐานการปฏิบัติที่เป็นที่ยอมรับกันโดยทั่วไป ในการก้าวสู่การปฏิบัติงานที่ดีเพื่อก้าวสู่หลักการของ Governance หรือการเติบโตอย่างยั่งยืนดังที่ได้กล่าวไปในครั้งก่อนแล้ว

GRC Model ยังเป็นกลยุทธ์ในการดำเนินงานเพื่อขับเคลื่อนองค์กรไปสู่การบริหารองค์กรแบบบูรณาการ อย่างมีคุณค่า (Business Integrity) การมีคุณธรรมในการบริหาร เช่น การกำหนดกฎเกณฑ์ ระเบียบ คำสั่ง และการปฏิบัติ การให้คุณให้โทษ จะต้องมีความชัดเจน สอดคล้องทั่วทั้งองค์กรในทุกมุมมองของการบริหาร ตามหลัก Balanced Scorecards และมีการปฏิบัติอย่างจริงจัง อีกทั้งยังสนับสนุน และส่งเสริม (Support) การบริหารความเสี่ยงแบบบูรณาการ (Integrity Driven) โดยการกำหนด Performance Strategy ให้เหมาะสมอีกด้วย

GRC ก้าวสู่ CG และ ITG ด้วย GRC ที่เป็นรูปธรรม กับข้อคิดและความเข้าใจในภาพโดยรวม

GRC ก้าวสู่ CG และ ITG ด้วย GRC ที่เป็นรูปธรรม กับข้อคิดและความเข้าใจในภาพโดยรวม

ปัจจัยสำคัญที่จำเป็นอย่างยิ่งที่ผู้บริหารต้องใช้ในการขับเคลื่อนการดำเนินงาน/การปฏิบัติการที่มีศักยภาพอย่างยั่งยืนตามหลักการ GRC คือ

1. การบูรณาการด้าน G + R + C (GRC) ที่เป็นรูปธรรม
คณะกรรมการและผู้บริหารต้องจัดให้มีการบริหารการเปลี่ยนแปลง โดยเชื่อมโยงให้มีการจัดการที่ดี (Governance) เข้ากับกระบวนการบริหารความเสี่ยง (COSO – ERM) ทั่วทั้งองค์กร และการควบคุมความเสี่ยงของกิจกรรมต่าง ๆ ในลักษณะเชิงรุก คือ การป้องกันปัญหาที่อาจเกิดขึ้นและกระทบกับการสร้างคุณค่าเพิ่มอย่างมีประสิทธิภาพให้กับองค์กร

โดยความเป็นจริง หลักการนี้ก็มีการปฏิบัติกันแล้วในหลายองค์กร แต่ส่วนใหญ่มักจะไม่ประสบความสำเร็จเท่าที่ควร เพราะมักมีการบริหารจัดการแยกเป็นส่วน ๆ เป็นเรื่อง ๆ ที่มีลักษณะเป็น Silo มิใช่เป็นแบบ Integrated หรือบูรณาการ GRC จึงเป็น Statement ที่อธิบายวิธีการจัดการให้เป็นแบบบูรณาการที่เป็นรูปธรรม คณะกรรมการและผู้บริหารที่ต้องการยกระดับการจัดการที่ดีและพิสูจน์ได้จึงควรนำหลักการของ GRC มาใช้อย่างเข้าใจ

2. การเชื่อมโยง GRC เข้ากับการดำเนินการและมีการวัดผลที่ไม่กำกวม และตรงประเด็น
การบูรณาการด้าน Governance + Risk Management + Compliance ที่ดีมีคุณภาพจะก่อให้เกิดการขับเคลื่อนคุณค่าและส่งเสริมประสิทธิภาพในการดำเนินงานและการปฏิบัติการ เพราะจะช่วยลดช่องว่างของการดำเนินงานที่เกิดจากการแยกกันทำงานในแบบต่างคนต่างทำ หรือเป็น Silo ตามลักษณะหรือ Function ของงานแทนการเน้นการทำงานแบบเป็นกระบวนการ (Process) ข้างสายงาน โดยคำนึงถึงวัตถุประสงค์ในกิจกรรมนั้น ๆ จนได้ผลลัพธ์ที่สามารถวัดประสิทธิภาพของคุณค่าเพิ่มได้อย่างเป็นรูปธรรม จากการประเมินคุณค่าทางสินทรัพย์ที่ไม่มีตัวตน (Intangible Assets) และสินทรัพย์ที่มีตัวตน ซึ่งจับต้องได้ (Tangible Assets)

ITG/GRC & COSO กับการสร้างมูลค่าเพิ่ม

ITG/GRC & COSO กับการสร้างมูลค่าเพิ่ม

3. GRC ต้องการความเข้าใจคำจำกัดความของคำว่า วิสัยทัศน์ และการปฏิบัติตามกฎหมาย กฎเกณฑ์ หรือ Compliance ใหม่

คำว่า วิสัยทัศน์ขององค์กร ต้องมุ่งไปที่ความยั่งยืนที่แท้จริง ที่องค์กรยุคใหม่ รวมทั้งผู้บริหารต่างก็เข้าใจตรงกันแล้วว่า ต้องมุ่งไปที่ผู้มีผลประโยชน์ร่วม (Stakeholders) เป็นสำคัญ มิใช่เพียงแต่มุ่งกำไรสูงสุดเพื่อผู้ถือหุ้น (Shareholders) เป็นหลัก

ดังนั้น คำว่า “Compliance” ตามนัยยะ ของ GRC ใหม่ก็คือ การปกป้องรักษาชื่อเสียง ความไว้วางใจได้ และการสร้างคุณค่าเพิ่มจากการบริหารสินทรัพย์ที่ไม่มีตัวตน (Intangible Assets) ที่เป็นตัวขับเคลื่อน หรือเป็นกลไกในการสร้างผลสำเร็จตามเป้าหมายขององค์กร (Enablers) โดยรวม และที่เกี่ยวกับการสร้าง “Value” ในมุมมองของการบริหารสินทรัพย์ที่มีตัวตน (Tangible Assets) ด้วย

เพราะในที่สุด การสร้างความน่าเชื่อถือจากความเชื่อ (Belief) นี้จะไปสร้างความน่าเชื่อถือ (Trust) ซึ่งเป็น “Value” ที่มีคุณค่ายิ่ง และจะสะท้อนโดยตรงไปยังการสร้างกำไรจากประสิทธิภาพที่มีดุลยภาพ เพื่อการเติบโตอย่างยั่งยืนตามหลักการของ Governance ที่ประกอบไปด้วย Corporate Governance และ IT Governance ในที่สุด
อนึ่ง คณะกรรมการและผู้บริหารขององค์กรต่าง ๆ ควรเข้าใจตรงกันต่อไปด้วยว่า GRC เป็นทั้งกลยุทธ์ใหม่ที่นำไปสู่ความสำเร็จในทางปฏิบัติและเมื่อเข้าใจแนวคิดนี้แล้วก็จะสามารถสร้าง Integrity – Driven Performance ทั้งองค์กรได้อย่างเป็นรูปธรรม จาก GRC Operating Model ใหม่นี้

Model ของ GRC ในที่นี้ก็คือ การบูรณาการกลยุทธ์มุ่งความสำเร็จของการควบคุมความเสี่ยงตามหลักการ COSO – ERM S – O – F – C โดยเน้นการบริหาร Operational Risk ที่มุ่งพิจารณา People + Process + Technology (PPT) ขององค์กรที่มีบทบาทและความสำคัญสูงมาก ประมาณร้อยละ 75 – 80 ที่มีผลต่อความสำเร็จในการบริหารตามมุมมองต่าง ๆ ตามหลัก Balanced Scorecard ที่เน้นการมองอนาคต โดยมีตัวชี้วัดที่เป็น Leading Indicator มากขึ้นจากเดิม เนื่องจากกลยุทธ์การมอง Vision ใหม่ (Envision) จาก Shareholders เป็น Stakeholders นั่นเอง

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

สิงหาคม 5, 2009

สวัสดีครับ เข้าเดือน 8 ของปี 2009 นี้แล้ว เวลาช่างผ่านไปเร็วเสียจริง ๆ ผมคิดว่ายังมีอะไรอีกหลายอย่างที่อยากจะบอกเล่าสู่กันฟังจากความรู้ และประสบการณ์ที่ผมมีอยู่ แต่กลับมีเวลาเพียงน้อยนิดในการ update เนื้อหาในแต่ละหมวดหมู่ ซึ่งผมก็พยายามอย่างเต็มที่ในการนำเสนอข้อมูลที่คิดว่าน่าจะเป็นประโยชน์ต่อท่านผู้บริหาร และผู้สนใจเรื่องราวทางด้าน IT Governance

อย่างไรก็ตาม ผมจะพยายามจัดสรรเวลาเพื่อแบ่งปันข้อมูล และนำเสนอเนื้อหาที่มีสาระประโยชน์ ขอให้ท่านผู้บริหารและผู้ที่สนใจ หมั่นติดตาม itgthailand.com แห่งนี้อย่างสม่ำเสมอ โดยเฉพาะแนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร ที่ผมได้นำเสนอต่อเนื่องมาถึงกระบวนการบริหารความเสี่ยงและการควบคุมภายใน 8 ประการ ซึ่งเป็นหัวใจสำคัญของการบริหารความเสี่ยง และในกระบวนการที่ 5 ที่นำเสนออยู่นี้เป็นเรื่องของการตอบสนองต่อความเสี่ยง

จากครั้งที่แล้ว ผมได้นำเสนอกลยุทธ์ในการตอบสนองความเสี่ยง ซึ่งแบ่งเป็น 4 ประเภท ในวันนี้ผมมีแนวทางในการกำหนดกลยุทธ์ในการจัดการกับความเสี่ยงมานำเสนอครับ

แนวทางในการกำหนดกลยุทธ์ในการจัดการความเสี่ยง
กลยุทธ์การจัดการความเสี่ยงถูกกำหนดขึ้นเพื่อลดระดับของความเสี่ยง (ทั้งผลกระทบและโอกาสเกิด) ให้เป็นไปตามระดับความเสี่ยงที่ยอมรับได้(Risk Tolerance) โดยผู้บริหารควรพิจารณาทั้งผลจากการดำเนินตามกลยุทธ์ที่มีอยู่ในปัจจุบันว่า สามารถจัดการกับความเสี่ยงหนึ่ง ๆ หรือกลุ่มของความเสี่ยงได้มากน้อยเพียงใดก่อนที่จะพิจารณาถึงกลยุทธ์การจัดการเพิ่มเติม

ทั้งนี้ ในส่วนของการบริหารความเสี่ยงสำหรับความเสี่ยงที่สำคัญ องค์กรต้องพิจารณาการตอบสนองจากช่วงของประเภทความเสี่ยง ซึ่งทำให้ลงลึกพอที่จะเลือกการตอบสนองและท้าทายสถานะที่เป็นอยู่

ในการกำหนดการตอบสนองที่มีศักยภาพ ผู้บริหารควรพิจารณาสิ่งต่าง ๆ ดังต่อไปนี้
1. การประเมินผลกระทบการตอบสนองความเสี่ยงจากความเป็นไปได้ และผลกระทบของความเสี่ยงและเงื่อนไขการตอบสนองใดที่ไปในทิศทางเดียวกับระดับความเสี่ยงที่ยอมรับได้ขององค์กร

2. การประเมินค่าต้นทุนกับประโยชน์ของการตอบสนองความเสี่ยง และโอกาสที่เป็นไปได้ที่จะบรรลุวัตถุประสงค์องค์กรในการข้ามไปจัดการกับความเสี่ยงเฉพาะเจาะจง

เนื่องจากทรัพยากรส่วนใหญ่มีจำกัด องค์กรจึงมักพิจารณาต้นทุนและผลประโยชน์ของเงื่อนไขทางเลือกการตอบสนองความเสี่ยง การวัดผลในเรื่องต้นทุนและผลประโยชน์ของการสร้างเงื่อนไขการตอบสนองความเสี่ยง ได้ถูกสร้างขึ้นมาพร้อมกับระดับที่แตกต่างของความถูกต้อง การจัดการกับด้านต้นทุนของสมการจะง่ายกว่า ซึ่งในหลายกรณีสามารถวัดในเชิงปริมาณได้อย่างถูกต้องยุติธรรม ต้นทุนทางตรงทั้งหมดรวมกับการจัดการการตอบสนอง และต้นทุนทางอ้อมที่สามารถวัดผลได้จะถูกพิจารณาเสมอ ๆ บางองค์กรได้รวมเอาต้นทุนทางโอกาสรวมกับการใช้ทรัพยากร

อย่างไรก็ตาม การวัดต้นทุนเป็นสิ่งที่ทำได้ยาก การวัดปริมาณเวลาและความพยายามหรือการจัดการกับปัจจัยภายในเป็นสิ่งที่ทำได้ยาก ดังเช่น การยอมรับของผู้บริหารในการประเมินค่าทางจริยธรรม หรือการวัดความสามารถของพนักงานที่เป็นผู้ดำเนินการแยกแยะเหตุการณ์และประเมินค่าความเสี่ยง และอาจเป็นความยากที่จะจับข้อมูลข่าวสารภายนอก เช่น ความคิดสร้างสรรค์ทางการตลาดในการค้นหาความชอบของลูกค้า

ในด้านผลประโยชน์อาจรวมถึงคุณค่าทางวัตถุ เช่น ผลประโยชน์ของโปรแกรมการอบรมที่มีประสิทธิภาพ ปรากฏให้เห็นโดยทั่วไปแต่ยากต่อการวัดปริมาณ แม้กระนั้นปัจจัยภายในที่แท้จริงสามารถพิจารณาได้ในแง่การประเมินค่าผลประโยชน์แฝง ความเป็นไปได้ของเหตุการณ์ที่ไม่ปรารถนาให้เกิดขึ้น หรือเหตุการณ์ทางธรรมชาติ และปฏิบัติการและการเงินที่มีประสิทธิภาพมีผลกระทบต่อเหตุการณ์อาจเกิดขึ้นกับองค์กร

ในขณะที่ความท้าทายในการประเมินค่าต้นทุนและผลประโยชน์ยังคงอยู่ การวิเคราะห์ต้นทุน ผลประโยชน์ ควรดำเนินไปในระดับที่เพียงพอที่จะประเมินผลการตอบสนองความเสี่ยงจากพื้นฐานความเสี่ยงของแต่ละคน หรือจากประวัติที่ผ่านมา บางองค์กรอาจเลือกที่จะประเมินค่าการตอบสนองความเสี่ยงในแง่ของความต้องการเพิ่มทุน ตัวอย่างเช่น จุดคุ้มทุน หรือต้นทุน ณ จุดเสี่ยง และอาจพิจารณาในแง่เงินเฟ้อ การลดดอกเบี้ย และการวิเคราะห์ความอ่อนไหว

3. ประเมินโอกาสที่เกิดขึ้นจากการดำเนินการตามกลยุทธ์การจัดการความเสี่ยง
ความเสี่ยงที่เป็นธรรมชาติถูกวิเคราะห์และประเมินการตอบสนอง ด้วยเจตนาของการบรรลุระดับความเสี่ยงส่วนที่เหลือให้อยู่ในระดับความเสี่ยงที่ยอมรับได้ หลาย ๆ สิ่งตอบสนองอาจทำให้ความเสี่ยงส่วนที่อยู่ในระดับความเสี่ยงที่ยอมรับได้ และบางครั้งการรวมกันของสิ่งตอบสนองทำให้เกิดผลลัพธ์สูงสุด เช่นเดียวกันกับสิ่งตอบสนองจะส่งผลกระทบต่อความเสี่ยงของเหตุการณ์แฝงหลายเหตุการณ์ เนื่องจากการตอบสนองความเสี่ยงอาจทำให้เกิดความเสี่ยงมากมาย ผู้บริหารอาจค้นพบได้ว่าการกระทำที่เพิ่มขึ้นมาไม่ได้ถูกรับประกัน กระบวนการที่มีอยู่อาจเพียงพอหรือจำเป็นต้องปฏิบัติให้ดีกว่า ดังนั้นผู้บริหารจะพิจารณาว่าการตอบสนองที่แยกกันหรือรวมกันจะโต้ตอบกับผลกระทบของเหตุการณ์แฝงได้อย่างไร

หลังจากได้ทำการประเมินเพื่อกำหนดกลยุทธ์การจัดการความเสี่ยงที่มีประสิทธิผลจากแนวทางที่ได้กล่าวมาแล้วข้างต้น ผู้บริหารต้องทำการกำหนดแผนปฏิบัติงาน หรือขั้นตอนในการปฏิบัติ โดยต้องระบุเวลาแล้วเสร็จเพื่อให้มั่นใจได้ว่าจะมีการดำเนินงานตามกลยุทธ์เพื่อให้เกิดโอกาสตามที่คาดหวังไว้

Leave a Comment » | แนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร COSO-ERM Framework | ติดป้ายกำกับ: , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

GRC กลยุทธ์ใหม่ในการบริหารเพื่อประสบความสำเร็จขององค์กรยุคใหม่ที่เรียกว่า Integrity – Driven Performance (ต่อ)

สิงหาคม 1, 2009

ไม่ได้ update เรื่องของ GRC นานพอสมควร จากที่ทิ้งท้ายกันไว้ในเรื่องของการเชื่อมโยงกระบวนการ GRC เข้ากับระบบปฏิบัติการ (Performance) ที่จะช่วยสร้างคุณค่าเพิ่มได้อย่างยั่งยืน และเป็นสิ่งจำเป็นอย่างยิ่งยวดสำหรับองค์กรยุคใหม่ ฉะนั้น วันนี้เรามาพูดคุยกันต่อในเรื่องนี้กันเลยดีกว่าครับ

GRC Model ก็คือการพัฒนาองค์กรในการก้าวไปสู่หลักการปฏิบัติงาน และการดำเนินงานที่ดี (Best Practice) ที่ยอมรับได้ มาตรฐานที่ใช้เป็นสากล หรือมาตรฐานการปฏิบัติที่เป็นที่ยอมรับกันโดยทั่วไป ในการก้าวสู่การปฏิบัติงานที่ดีเพื่อก้าวสู่หลักการของ Governance หรือการเติบโตอย่างยั่งยืน

โดยมีองค์ประกอบต่าง ๆ ที่เกี่ยวข้องสัมพันธ์กับการบริหารความเสี่ยงทั่วทั้งองค์กร และสร้างความน่าเชื่อถือได้ ความเชื่อมั่นให้กับผู้มีผลประโยชน์ร่วมจากการปฏิบัติตามกฎหมาย กฎเกณฑ์ ประกาศ คำสั่งต่าง ๆ ทั้งจากหน่วยงานภายนอก และหน่วยงานภายใน

โดยยึดหลักการปฏิบัติตาม Compliance ที่เกี่ยวข้องทั้งด้าน IT และ Non – IT ทางด้าน Regulator และ Standard Compliance เพื่อสนับสนุน และส่งเสริม (Support) การบริหารความเสี่ยงแบบบูรณาการ (Integrity Driven)โดยการกำหนด Performance Strategy ให้เหมาะสม

GRC and Integrity - Driven Performance

GRC and Integrity - Driven Performance

การเชื่อมโยงกระบวนการ GRC เข้ากับระบบปฏิบัติการ (Performance)
สิ่งที่ทุกองค์กรควรพิจารณาในการเริ่มต้นเพื่อก้าวสู่ GRC และสร้างคุณค่าเพิ่มอย่างยั่งยืน คือ
1. พิจารณาภาพในมุมที่กว้างขึ้นของการสร้างความพึงพอใจให้กับผู้มีผลประโยชน์ร่วมสู่ CSR แทนการเน้นผู้ถือหุ้นหรือการทำกำไรเพียงอย่างเดียว แล้วคณะกรรมการ ผู้บริหารจะได้มุมมองใหม่ที่สามารถสร้างความพึงพอใจให้กับผู้เกี่ยวข้อง รวมทั้งผู้ถือหุ้นได้อย่างยั่งยืน

2. พัฒนาและสร้างความเข้าใจในเชิงลึก เพื่อกำหนดวิสัยทัศน์ พันธกิจ กลยุทธ์ นโยบาย แผนงานไปสู่การปฏิบัติ จากจิตสำนึก (Spiritual) ทั่วทั้งองค์กร เพื่อขับเคลื่อน “คุณค่า” ที่เป็นรูปธรรม และ

คณะกรรมการ ผู้บริหาร ควรตอบคำถามเพื่อประเมินตนเองในประเด็นต่าง ๆ ที่มีประสิทธิภาพ เหล่านี้ให้ได้ในการก้าวสู่ GRC + CSR (Corporate Social Responsibility)
1. GRC ในองค์กรของเราเป็นแค่รูปแบบ แต่ขาดสาระสำคัญในการปฏิบัติหรือไม่ และเราแน่ใจอย่างไรว่าองค์กรของเรามีการบริหารและการปฏิบัติที่ดี (Good Governance
Operational) ตามที่องค์กรของเราตั้งวิสัยทัศน์ กลยุทธ์ และแนวทางการปฏิบัติต่าง ๆ ไว้

2. ในกรณีที่องค์กรของเราต้องมีการปฏิรูปกฎเกณฑ์ ระเบียบ คำสั่ง รวมทั้งต้องจัดให้มีแนวทางการปฏิบัติงานใหม่ ๆ เพื่อก้าวไปสู่ GRC โดยเน้นเพียงเรื่องการควบคุมภายในต่าง ๆ รายงาน และการเปิดเผยข้อมูลอย่างโปร่งใสนั้น องค์กรของเรามองข้ามหรือไม่ได้พิจารณาความเสี่ยงและผลกระทบสำคัญ ๆ ที่มิใช่การเงินหรือไม่ เช่น ผลกระทบต่อชื่อเสียงขององค์กร

การไม่ปฏิบัติ หรือปฏิบัติไม่ครบถ้วนในการจัดการกระบวนการควบคุมความเสี่ยงต่าง ๆ รวมทั้งความเสี่ยงในการดำเนินงาน ซึ่งเป็นหัวใจสำคัญของกระบวนการบริหารในด้านพนักงาน กระบวนการทำงาน และเทคโนโลยี หรือ P + P + T ที่ส่งผลกระทบทางลบต่าง ๆ รวมทั้ง การไม่ปฏิบัติตามกฎหมาย กฎเกณฑ์ ประกาศ ระเบียบ คำสั่ง ++ และมาตรฐานต่าง ๆ ที่กำหนดโดยองค์กรภายนอก และภายนอกองค์กร เป็นต้น

3. ถึงแม้นโยบายองค์กรของเรามีความชัดเจนในการกำหนดให้องค์กรและทุกหน่วยงานมีการปฏิบัติตามกฎหมาย กฎเกณฑ์ มาตรฐาน ระเบียบ คำสั่งต่าง ๆ ของหน่วยงานภายนอก และหน่วยงานภายในแล้วก็ตามนั้น

คณะกรรมการและผู้บริหารมีความมั่นใจอย่างไรว่า ในลายลักษณ์อักษรต่าง ๆ ที่เป็นนโยบายและเป็นแนวทางการควบคุมภายในตามฐานความเสี่ยงแล้วระดับหนึ่ง จะมีการปฏิบัติจริงด้วยความรอบคอบจากจิตวิญญาณ (Spiritual) ที่ฝังอยู่ในใจของผู้บริหารและผู้ปฏิบัติงาน ในการลดความเสี่ยงอย่างเป็นกระบวนการเพื่อการเติบโตอย่างยั่งยืน

4. องค์กรของเราได้สร้างความสับสนในการบริหารและการจัดการในการบริหารความเสี่ยงในระดับองค์กรหรือไม่ เช่น ถ้าองค์กรไม่ปฏิบัติตามกฎหมาย กฎเกณฑ์ กับพนักงานผู้ปฏิบัติงาน เช่น ไม่มีนโยบาย กลยุทธ์ ที่ชัดเจนในการกำหนดแนวทางและวิธีการปฏิบัติตามมาตรฐาน กฎหมาย กฎเกณฑ์ (Compliance) ที่กำหนด ซึ่งพิจารณาได้ว่าเป็นการนำ GRC มาเชื่อมโยงกับระบบปฏิบัติการในมุมมองหนึ่ง

5. องค์กรของเราได้ขับเคลื่อนการสร้าง “คุณค่า” หรือสร้างคุณค่าเพิ่ม (Value Creation) โดยพิจารณาถึงดุลยภาพ การจัดการความเสี่ยงที่เป็นกระบวนการ และเป็นระบบที่ผสมผสานความสามารถทางด้านเทคโนโลยีสารสนเทศ มาขับเคลื่อนความสำเร็จในการบรรลุเป้าหมายทางธุรกิจที่เป็นรูปธรรมหรือไม่

มีการตรวจสอบ รายงาน กลไกที่เชื่อมั่นระหว่างมุมมองความสำเร็จทางธุรกิจและเชื่อมโยงกับตัวชี้วัดที่มีความหมาย ตรงประเด็น ไม่กำกวม กับเป้าประสงค์ในระดับองค์กร และระดับสายงานอย่างไร?

มีการบูรณาการและประสานงานที่มีดุลยภาพของ GRC คือ เป็น Integrity – Driven Performance ที่เป็นกลยุทธ์ใหม่ในการบริหารที่องค์กรสำคัญ ๆ ทั่วโลกจัดเป็น First Priority เพียงใด

คณะกรรมการชุดต่าง ๆ มีความเข้าใจในเรื่อง GRC และมีการประสานงานการบริหาร การประชุม การพิจารณาภาพรวมตามลักษณะงานที่กิจกรรมหนึ่ง ๆ จะต้องปฏิบัติในสายงานต่าง ๆ อย่างไร

มีหลักฐานอะไรในการดำเนินการดังกล่าวที่แสดงถึงความร่วมมือของคณะกรรมการชุดต่าง ๆ
คณะกรรมการตรวจสอบ ผู้ตรวจสอบภายใน มองภาพรวมของ GRC ได้ชัดเจน

แนวคิดและกลยุทธ์ในการดำเนินงานเพื่อขับเคลื่อนองค์กรไปสู่การบริหารความเสี่ยงแบบบูรณาการ และมีคุณค่า (Business Integrity)

แนวคิดและกลยุทธ์ในการดำเนินงานเพื่อขับเคลื่อนองค์กรไปสู่การบริหารความเสี่ยงแบบบูรณาการ และมีคุณค่า (Business Integrity)

6. เมื่อเราพอจะเข้าใจบทบาทและความสำคัญของ GRC ในการขับเคลื่อนคุณค่า และเพื่อการบรรลุเป้าหมายอย่างมีคุณภาพมากขึ้นแล้ว องค์กรและผู้บริหารจะต้องถามตนเองต่อไปว่า เราจะนำ GRC มาใช้ในการบริหาร เพื่อลดต้นทุนในการดำเนินงานหรือทำให้องค์กรลดต้นทุนได้มากขึ้นอย่างไร

องค์กรของเราจะสามารถดำเนินการปฏิบัติการให้เป็นไปตามมาตรฐานและกฎเกณฑ์ของสังคม (Compliance) จากทั้งภายนอกและภายในองค์กรให้มีศักยภาพ เพื่อรักษาชื่อเสียง ความเชื่อมั่น พร้อม ๆ กับการทำกำไรที่ได้ดุลยภาพอย่างยั่งยืนได้อย่างไร หรือต้องรอให้ภาครัฐออกหลักเกณฑ์และหลักการในลักษณะภาคบังคับให้ต้องมีการปฏิบัติเสียก่อน

7. ทุกองค์กรควรตระหนักจากความเข้าใจในการบริหารเชิงรุกว่า การปฎิบัติตาม Compliance โดยใช้หลักการ GRC ซึ่งมี Concept ที่ขยายความเพิ่มเติม ตั้งแต่ Vision ใหม่เพื่อ Stakeholders และการขับเคลื่อนองค์กรให้เป็น Integrity – Driven Performance และการปฏิบัติตามมาตรฐานและกฎเกณฑ์ของสังคมทั้งภายในและระหว่างประเทศนั้น เป็น “หัวใจ” ของช่องว่างในเชิงบริหารความเสี่ยงทั่วทั้งองค์กรของทุกหน่วยงานอย่างแท้จริง

8. ข้อสรุปในเบื้องต้นของทุกองค์กร โดยเฉพาะอย่างยิ่งการบริหารความเสี่ยง การควบคุมภายใน และการตรวจสอบภายในตามฐานความเสี่ยง ก็คือ

8.1. มุมมองเชิงกลยุทธ์ขององค์กรที่ต้องมีเป้าหมายหลักอยู่ที่ผู้มีผลประโยชน์ร่วม ดังนั้น องค์กรที่ไม่ได้มีเป้าหมายเช่นนี้จะต้องปรับเปลี่ยนวิสัยทัศน์ใหม่ (Envision)

8.2. เมื่อองค์กรพิจารณาว่า GRC คือแนวทางการจัดการที่ดี เป็นที่ยอมรับโดยทั่วไปแล้ว องค์กรจะปรับเปลี่ยนกระบวนการปฏิบัติการหรือกระบวนการดำเนินงานให้มีลักษณะ Integrity – Driven Performance อย่างไร เพราะ GRC เป็นแนวทางการบริหารที่ได้ถูกจัดและยอมรับกันทั่วโลกให้เป็น First Priority ขององค์กรชั้นนำในปัจจุบันแล้ว

ครั้งหน้าผมจะมาบอกถึงปัจจัยสำคัญที่ใช้ในการขับเคลื่อนการดำเนินงาน/การปฏิบัติการที่มีศักยภาพอย่างยั่งยืนตามหลักการ GRC ท่านผู้บริหารและผู้สนใจ GRC ที่เป็นกลยุทธ์ใหม่นี้อย่าพลาด! ติดตามตอนต่อไปนะครับ

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , , , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

กรกฎาคม 25, 2009

เมื่อมีการประเมินความเสี่ยงได้แล้วก็ต้องดำเนินการจัดการตอบสนองความเสี่ยงที่เกิดขึ้นเหล่านั้น การจัดการความเสี่ยงก็คือ กลยุทธ์หรือกิจกรรมที่กำหนดเพื่อจัดการความเสี่ยงให้สอดคล้องกับระดับที่องค์กรยอมรับได้

ผู้บริหารเป็นผู้กำหนดว่าจะประเมินค่าความเสี่ยงที่เชื่อมโยงกันได้อย่างไร การตอบสนองรวมถึงการหลีกเลี่ยงความเสี่ยง การลดความเสี่ยง การกระจายความเสี่ยง และการยอมรับความเสี่ยง

วันนี้ผมจึงขอนำเสนอการตอบสนองความเสี่ยง (Risk Response) ซึ่งเป็นกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ตามหลัก COSO – ERM ที่ต้องพิจารณาหลังจากมีการประเมินความเสี่ยงตามที่ได้กล่าวไปในครั้งก่อนแล้ว

ในการพิจารณาการตอบสนองความเสี่ยง ผู้บริหารจะพิจารณาต้นทุนและผลประโยชน์และเลือกการตอบสนองที่นำมาซึ่งความน่าจะเกิด (Likelihood) ที่คาดหวังและผลกระทบภายในระดับความเสี่ยงที่ยอมรับได้ที่ปรารถนา

วัตถุประสงค์ของการตอบสนองความเสี่ยง
– ลดโอกาสเกิดความเสี่ยงและผลกระทบของความเสี่ยงให้เหลือน้อยที่สุด โดยการจัดการสาเหตุของความเสี่ยงอย่างมีประสิทธิภาพ หรือจัดการผลกระทบที่อาจจะเกิดขึ้นของความเสี่ยง

– การลดผลกระทบของความเสี่ยง ซึ่งโดยมากมักใช้ระบบการเตือนภัยหรือระบบการบริหาร พร้อมด้วยการจัดทำแผนฉุกเฉิน หรือแผนฟื้นฟู

– การเพิ่ม/สร้าง หรือจัดการโอกาสเกิดความเสี่ยงและผลกระทบจากความเสี่ยง เพื่อให้ได้ผลลัพธ์ที่ดีขึ้น

กลยุทธ์ในการตอบสนอง/บริหารความเสี่ยง
การตอบสนองความเสี่ยงแบ่งเป็น 4 ประเภท ดังนี้
1. การหลีกเลี่ยงความเสี่ยง (Risk avoidance)
หมายถึง การเลิกหรือหลีกเลี่ยงการกระทำและเหตุการณ์ที่ก่อให้เกิดความเสี่ยง เช่น ในงานที่องค์กรไม่ถนัด อาจหลีกเลี่ยงโดยการเลิกหรือลดการกระทำให้เหลือเท่าที่จำเป็นเพื่อการเรียนรู้ การเพิ่มการใช้บริการจากบุคคลภายนอก หรือการทำสัญญารับช่วงเหมาต่อ เป็นต้น

กล่าวโดยสรุป การหลีกเลี่ยงความเสี่ยง คือ การไม่ยอมรับความเสี่ยง และอาจทำให้ต้องเปลี่ยนวัตถุประสงค์ของแผนงานหรือยกเลิกแผนงานโครงการนั้นเสีย

2. การควบคุม และการจัดการกับความเสี่ยง (Risk Control)
หมายถึง การหาวิธีการควบคุมสาเหตุหรือต้นเหตุของปัจจัยเสี่ยงและกำหนดวิธีการจัดการที่ เหมาะสมเพื่อขับเคลื่อนให้แผนงานและโครงการตามกิจกรรมที่กำหนดไว้ดำเนินการไปสู่เป้าประสงค์ได้ในเวลาที่กำหนด หากผู้ที่เกี่ยวข้องไม่อาจดำเนินการได้ต้องรายงานให้ผู้บังคับบัญชาทราบว่าไม่อาจดำเนินการต่อไปได้

การลดโอกาสความน่าจะเกิดหรือการลดความเสียหาย หรือการลดทั้ง 2 ด้านพร้อมกัน ก็เป็นการควบคุมและการจัดการความเสี่ยงแบบหนึ่ง การลดความเสี่ยงที่สำคัญคือ การจัดระบบการควบคุมเพื่อป้องกันหรือค้นพบความเสี่ยงเฉพาะวัตถุประสงค์นั้นอย่างเหมาะสมและทันกาลมากขึ้น

รวมถึงการกำหนดแผนสำรองในเหตุฉุกเฉิน (Contingency Planning) ได้แก่ การกำหนดแผนฉุกเฉินสำหรับความเสี่ยงที่คาดการณ์ไว้ล่วงหน้าแล้ว (Known risk) เช่น แผนฉุกเฉินเมื่อไฟฟ้าดับ และเครื่องคอมพิวเตอร์จะไม่ทำงาน ฯลฯ และการควบคุมโดยเครื่องจักรอัตโนมัติ การใช้ระบบการรายงานและการใช้เทคโนโลยีสารสนเทศเพื่อการบริหารและควบคุมที่ดี

3. การกระจายความเสี่ยง (Sharing)
หมายถึง การลดโอกาสความน่าจะเกิดหรือการลดความเสียหาย โดยการแบ่งโอน การหาผู้รับผิดชอบร่วมในความเสี่ยง การจัดประกันภัย การกระจายความเสี่ยง (Diversify the risk) ออกไปในหลายกิจกรรม หลายผลิตภัณฑ์ หลายตลาด เป็นต้น

หรือถ้าหากแผนงาน/โครงการภายใต้กลยุทธ์มีความเสี่ยงเกินกว่าจะยอมรับได้ หรือเกิดความล้มเหลว ทางฝ่ายบริหารขององค์กร ก็อาจจะให้น้ำหนักแผนงานหรือโครงการอื่น ๆ ภายใต้กลยุทธ์เดียวกันนั้น หรือให้น้ำหนักกับแผนงานอื่น ภายใต้กลยุทธ์เดียวกันหรือกลยุทธ์อื่นที่เหมาะกว่าก็ได้

4. การยอมรับความเสี่ยง (Acceptance)
เป็นการยอมรับ โดยใช้วิธีการเดิมต่อไปในการจัดการกับความเสี่ยง หมายถึง กิจกรรมของแผนงานนั้น ๆ มีความเสี่ยงในระดับหนึ่ง แต่ องค์กร รวมทั้งเจ้าของแผนงานสามารถควบคุมและจัดการได้ และสามารถผลักดันกิจกรรมและขั้นตอนต่าง ๆ ของแผนงานนั้น ๆ ไปสู่เป้าประสงค์ได้ในเวลาที่กำหนด หรืออาจอธิบายการยอมรับความเสี่ยงได้ว่า การไม่กระทำการใด ๆ เพิ่มเติม กรณีนี้ใช้กับความเสี่ยงที่มีสาระสำคัญน้อย ความน่าจะเกิดน้อย หรือเห็นว่ามีต้นทุนในการบริหารความเสี่ยงสูง

การตอบสนองแบบหลีกเลี่ยงนั้น คือ การยุติกิจกรรมที่ทำให้ความเสี่ยงเพิ่มขึ้น การตอบสนองแบบลดความเสี่ยงนั้นจะลดความน่าจะเกิดหรือผลกระทบที่จะเกิดของเหตุการณ์นั้นหรือทั้งสองอย่าง การกระจายความเสี่ยงจะลดความเสี่ยงที่มีความเป็นไปได้ที่จะเกิดและมีผลกระทบโดยโอนความเสี่ยงหรือในอีกแง่หนึ่งคือ การกระจายสัดส่วนของความเสี่ยง ส่วนการยอมรับความเสี่ยงนั้นจะไม่มีการกระทำอะไรที่มีผลต่อความเป็นได้ที่จะเกิดหรือผลกระทบ ในส่วนของ ERM สำหรับแต่ละความเสี่ยงที่มีนัยสำคัญ องค์กรควรพิจารณาศักยภาพของการตอบสนอง จากขอบเขตของลักษณะการตอบสนองแต่ละประเภท

การหลีกเลี่ยงการตอบสนอง ทำให้คิดว่าความคุ้มค่าหรือต้นทุนของการตอบสนองที่มีมากเกินไปกว่าผลประโยชน์ที่ปรารถนา หรือเงื่อนไขที่ไม่มีการตอบสนองถูกแยกแยะ ในแง่ที่จะลดผลกระทบและความน่าจะเกิด (Likelihood) เพื่อเข้าสู่ระดับที่ยอมรับได้ การลดลงและการกระจายการตอบสนองจะช่วยลดความเสี่ยงส่วนที่เหลือ ไปสู่ระดับซึ่งเข้ากันได้กับระดับความเสี่ยงที่ยอมรับได้ขององค์กร ในขณะที่การยอมรับการตอบสนอง ทำให้เห็นว่าความเสี่ยงที่เป็นธรรมชาติเข้ากันได้กับระดับความเสี่ยงที่ยอมรับได้

สำหรับความเสี่ยงจำนวนมาก จะเห็นเงื่อนไขการตอบสนองที่เหมาะสมได้ชัดและถูกยอมรับอย่างดี ตัวอย่างเช่น เงื่อนไขการตอบสนองเหมาะสมสำหรับการสูญเสียประโยชน์จากการการคิดคำนวณเป็นการพัฒนาแผนธุรกิจอย่างต่อเนื่อง สำหรับความเสี่ยงอื่น ๆ เงื่อนไขที่มีอยู่อาจไม่ปรากฏให้เห็นนั้น ต้องการกิจกรรมที่มีการกำหนดขอบเขตที่ชัดเจนมากขึ้น ตัวอย่างเงื่อนไขการตอบสนองที่สัมพันธ์กับการบรรเทาผลกระทบของกิจกรรมของคู่แข่งในเรื่องค่านิยมของตราสินค้า อาจต้องการการวิจัยทางการตลาดและการวิเคราะห์

เมื่อรู้แล้วว่าการตอบสนองความเสี่ยงนั้นมีกี่ประเภท แล้วเราจะมีแนวทางในการกำหนดกลยุทธ์ในการจัดการกับความเสี่ยงได้อย่างไร ก็คงต้องติดตามกันในครั้งต่อไปนะครับ

Leave a Comment » | แนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร COSO-ERM Framework | ติดป้ายกำกับ: , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

แผนกลยุทธ์การตรวจสอบและกรอบการตรวจสอบภายในขององค์กรโดยทั่วไป

กรกฎาคม 21, 2009

ครั้งที่แล้วผมได้นำเสนอกรอบการตรวจสอบเรื่องการทุจริต และตั้งใจว่าจะตามด้วยสัญญาเตือนภัยของเหตุการณ์ที่อาจก่อให้เกิดการทุจริต (Red Flag) ได้ อย่างไรก็ดี เพื่อให้ท่านผู้อ่านที่ติดตามเรื่องการตรวจสอบทางด้าน IT และ Non – IT Audit ได้ทราบถึงหัวข้อของแผนกลยุทธ์การตรวจสอบและกรอบการตรวจสอบภายในขององค์กรโดยทั่วไป ผมจึงจะขอนำเสนอและอธิบายด้วยแผนภาพ เพื่อให้เกิดความเข้าใจและติดตามได้โดยง่าย

Internal Auditing Standards and Auditors & CEA

Internal Auditing Standards and Auditors & CEA

มาถึงจุดนี้ ท่านผู้อ่านโดยเฉพาะอย่างยิ่ง ผู้ตรวจสอบภายในและผู้บริหารงานตรวจสอบภายในก็ยังไม่เห็นภาพการแบ่งแยก งานการตรวจสอบทางด้าน IT Audit และ Non – IT Audit ที่ชัดเจน ทั้งนี้เพราะการเข้าใจในลักษณะการปฏิบัติงานของหน่วยงานรับตรวจ รวมทั้งขอบเขตและเป้าประสงค์ในการตรวจสอบ เป็นเรื่องจำเป็นที่จะต้องทำความเข้าใจกระบวนการประมวลข้อมูลด้วยคอมพิวเตอร์ เพื่อให้แน่ใจอย่างสมเหตุสมผลว่า หากผู้ตรวจสอบได้รับมอบหมายให้ปฏิบัติงานตรวจสอบภายใน ในลักษณะที่เป็น manual ซึ่งไม่ใช่เป็นงานทางด้าน IT Audit ผู้ตรวจสอบก็ยังจำเป็นจะต้องศึกษาความน่าเชื่อถือของข้อมูลและสารสนเทศ ที่ประมวลโดยระบบคอมพิวเตอร์ก่อนวางแผนการตรวจสอบในขั้นตอนต่อไป

Lists the phases of a typical audit and Auditors

Lists the phases of a typical audit and Auditors

ในขั้นตอนนี้ สำหรับผู้ตรวจสอบที่ต้องการตรวจสอบภายในที่ไม่เกี่ยวข้องกับทางด้าน IT Audit อาจศึกษาแนวทางการตรวจสอบภายในของ สมาคมผู้ตรวจสอบภายในแห่งประเทศไทย ที่ร่วมกับ ตลาดหลักทรัพย์แห่งประเทศไทย จัดทำหนังสือแนวทางการตรวจสอบภายในขึ้นมา 2 เล่ม ที่ครอบคลุมภาพรวมของการตรวจสอบภายใน กระบวนการตรวจสอบ เทคนิคการตรวจสอบ และการบริหารงานตรวจสอบภายใน ซึ่งจัดทำได้ดีและเข้าใจได้ง่ายที่ผู้ตรวจสอบและผู้บริหารงานตรวจสอบ โดยเฉพาะงานตรวจสอบที่ไม่เกี่ยวข้องกับ IT Audit หรือเกี่ยวข้องในลักษณะเป็นพื้นฐานเบื้องต้น สามารถใช้หนังสือดังกล่าวในการศึกษาเพื่อปฏิบัติงานตรวจสอบภายในได้เป็นอย่างดี

ผมเองจะมุ่งให้คำอธิบายและแนะนำแนวทางการตรวจสอบที่ผสมผสานระหว่าง IT Audit และ Non – IT Audit ที่อาจไม่ได้กล่าวไว้ในหนังสือแนวทางดังกล่าวข้างต้น เพื่อให้เกิดความเข้าใจในอีกมุมมองหนึ่ง

Lists the phases of a typical audit and Auditors

Lists the phases of a typical audit and Auditors

เพื่อเป็นการสะท้อนถึงแนวทางดังกล่าว ผมจึงจะขอนำเสนอคำอธิบายในรูปแบบเป็น Slide ที่สามารถพิจารณาในรายละเอียดและสร้างความเข้าใจได้ลึกซึ้ง และเป็นกระบวนการที่ดีมากกว่าคำอธิบายเป็นลายลักษณ์อักษร ยกเว้นในกรณีจำเป็นที่เห็นว่าจะเป็นประโยชน์ต่อท่านผู้บริหารงานตรวจสอบภายใน และผู้ปฏิบัติงานการตรวจสอบภายใน ผมจึงจะยกตัวอย่างและอธิบายในรายละเอียด ซึ่งเป็นลายลักษณ์อักษรมากขึ้น

วันนี้ เราลองมาดูแผนภาพที่แสดงเป็น Slide ต่าง ๆ ให้ท่านได้ดู ซึ่งพยายามที่จะจัดลำดับให้ท่านผู้อ่านได้ติดตามและทำความเข้าใจได้ง่าย ดังที่เสนอในแผนภาพข้างต้นตามลำดับนะครับ

Risk-based Audit Approach and Auditors

Risk-based Audit Approach and Auditors

สำหรับการตรวจสอบการปฏิบัติการ โดยเฉพาะอย่างยิ่งการตรวจสอบที่เกี่ยวกับความเสี่ยงทางด้านผู้บริหาร และพนักงาน (People Risk) กระบวนการดำเนินงาน (Process Risk) และเทคโนโลยี (Technology Risk) ซึ่งเป็นเรื่องที่มีความสำคัญมาก โดยเฉพาะอย่างยิ่ง ธนาคารแห่งประเทศไทย ก็ให้ความสำคัญและให้น้ำหนักของกระบวนการตรวจสอบด้าน Operational Risk ซึ่งจะมีผลอย่างสำคัญต่อ Management Risk ที่มีผลกระทบต่อองค์กรในวงกว้าง และบางกรณีมีผลกระทบไม่เฉพาะหน่วยงานใด หน่วยงานหนึ่ง แต่มีผลกระทบต่อระบบงานและสังคมในภาพใหญ่เลยทีเดียว

Understand the Control Environment and Flow of Transactions

Understand the Control Environment and Flow of Transactions

สำหรับการตรวจสอบและประเมินศัยกภาพการปฏิบัติตาม Compliance ขอให้ท่าน CAE และผู้ตรวจสอบทุกท่าน ได้โปรดอย่าลืมว่า การบริหารเพื่อสร้างคุณค่าเพิ่มในลักษณะของ GRC ซึ่งเป็นกระบวนการขับเคลื่อนระบบบริหารแบบบูรณาการทั่วทั้งองค์กร ที่เรียกว่า Integrity – Driven Performance และเป็น A New Strategy for Success ผ่านกระบวนการ GRC ซึ่งเป็นแนวทางปฏิบัติของการบริหารยุคใหม่ที่เปลี่ยนคำจำกัดความในการบรรลุเป้าหมาย โดยมุ่งเน้น Stakeholders แทน Shareholders และได้เพิ่มการปฏิบัติตามมาตรฐาน และการสร้างจริยธรรมทางธุรกิจในการบริหารอย่างเป็นกระบวนการ ตามที่ผมได้กล่าวไว้ในหัวข้อ GRC ในวันนี้และในวันต่อ ๆ ไปนั้น ขอให้ท่านผู้บริหารงานตรวจสอบได้ลองติดตามดูว่า หากท่านจะวางแผนการตรวจสอบการบริหารงานยุคใหม่ที่ใช้กรอบของ GRC เป็นหลักแล้วละก็ ท่านควรจะวางแผนและปฏิบัติงานตรวจสอบเช่นใดจึงจะเหมาะสมนะครับ

1 ความเห็น | IT Audit, Non - IT Audit / การตรวจสอบโดยทั่วไป | ติดป้ายกำกับ: , , , , , , , , , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

GRC เป็นกลยุทธ์ใหม่ในการบริหารเพื่อประสบความสำเร็จขององค์กรยุคใหม่ที่เรียกว่า Integrity – Driven Performance

กรกฎาคม 21, 2009

Governance ในความหมายของ GRC ได้รวมถึงหลักทางด้านการปฏิรูปการบริหารแบบสอดประสานบูรณาการของ GRC ที่สำคัญมาก ก็คือ

1. การปกป้องและสร้างชื่อเสียง ความไว้วางใจและการสร้างคุณค่าเพิ่มขององค์กร จากการเน้นบริหารทรัพยากรที่ไม่มีตัวตน (Intangible Assets) ที่ยังมีความเข้าใจ การปฏิบัติที่แตกต่างกันมาก

2. การบริหารที่สอดคล้องกับความต้องการ ความคาดหวังใหม่ ๆ ของผู้มีผลประโยชน์ร่วม (Stakeholders) แทนการเน้นผู้ถือหุ้น (Shareholders) ซึ่งเน้นการทำกำไรที่ขาดความยั่งยืน ซึ่งไม่เป็นไปตามหลักการของ Governance

3. การขับเคลื่อนคุณค่าหรือ “Value” และการบริหาร/การจัดการการปฏิบัติงานที่ดี ตามแนวทางการเติบโตอย่างยั่งยืนที่เกี่ยวกับบุคลากร (People) กระบวนการทำงาน (Process) และเทคโนโลยีทางด้านสารสนเทศ (Technology) ที่ต้องเน้นความเป็นรูปธรรมในเรื่องของจรรยาบรรณ (Ethics) ที่เกี่ยวกับ Governance การบริหารความเสี่ยง (Risk Management) และการปฏิบัติตามมาตรฐาน และกฎเกณฑ์ของสังคม ทั้งภายนอกประเทศ ภายในประเทศ และระดับองค์กร

ความหมายของคำว่า Ethics และ Compliance (C) นั้น จำเป็นจะต้องทำความเข้าใจความหมายที่มีการปฏิรูปที่มีความชัดเจนและอาจแตกต่างจากเดิม ซึ่งผมจะอธิบายในตอนต่อ ๆ ไปให้มีความละเอียดและชัดเจนมากยิ่งขึ้นนั้น จะเกี่ยวข้องกับการพิจารณาการตัดสินใจในการบริหารการจัดการว่าผิดหรือถูก ที่อยู่บนพื้นฐานว่า องค์กรมีเป้าหมายหลักที่ Stakeholders หรือ Shareholders เป็นสำคัญ

4. การบริหารองค์กรในภาวะวิกฤติ และการแก้ไขภาวะวิกฤติให้สู่ภาวะปกติโดยเร็ว อันเกิดจากผลกระทบทางลบตามที่กล่าวใน ข้อ 1 – 3 ข้างต้น โดยเน้นชื่อเสียง ความไว้วางใจ การบริหารแบบบูรณาการในการสร้างคุณค่าเพิ่มที่เกิดจากจุดอ่อนหรือการบริหารความเสี่ยงที่ล้มเหลว หรือขาดประสิทธิภาพในการดำเนินการ ไม่เป็นไปตามความคาดหวังของผู้มีผลประโยชน์ร่วม (Stakeholders)

GRC A New Strategy for Success

GRC A New Strategy for Success

นอกจากนี้ องค์กร โดยเฉพาะอย่างยิ่ง คณะกรรมการ ผู้บริหาร ต้องมีความสามารถในการสร้างศักยภาพทางด้าน GRC โดยการขับเคลื่อนองค์กร ปฏิบัติงานได้อย่างสอดคล้องกับความต้องการของผู้กำกับ กฎเกณฑ์ และการเพิ่มความต้องการให้องค์กรปฏิบัติตามมาตรฐานและกฎหมายที่นำมาใช้ใหม่ ๆ และผลกระทบที่เป็นความเสี่ยงทางด้านต่าง ๆ ที่เพิ่มขึ้นขององค์กรได้อย่างเป็นรูปธรรม

การบริหารและการจัดการที่ดีในมุมมองของการบริหารเพื่อการเติบโตอย่างยั่งยืน ตามหลักการของ GRC ซึ่งพิจารณาได้ว่ามีความสำคัญยิ่งนั้น แต่ละองค์กรมีประสบการณ์และมีความสามารถในการรักษาเสถียรภาพที่ดีของการบริหารแบบ GRC ตามแนว Concept ปัจจุบันในความต้องการของผู้มีผลประโยชน์ร่วม (Stakeholders) ได้แตกต่างกัน ทำให้หลายองค์กรทั้งภายในและต่างประเทศ ต่างก็มีปัญหาตามมาได้มากมาย ตั้งแต่การเสียชื่อเสียง ความไม่น่าเชื่อถือที่ลดลงมา ไปจนกระทั่งต้องปิดกิจการหรือล้มละลายไปในที่สุด

Governance built on principles of ethiscs, independence, transparency, integrity and accountability

Governance built on principles of ethiscs, independence, transparency, integrity and accountability

แนวทางใหม่ในการบริหารตามแบบของ GRC ซึ่งเป็นการเน้นการบริหารแบบสอดประสานและเป็นบูรณาการ เพื่อสร้างศักยภาพ ความสามารถ เพิ่มประสิทธิภาพ เพิ่มประสิทธิผลจากการดำเนินงานที่มีกระบวนการทำงานทั้งองค์กรเกี่ยวพันกัน ตั้งแต่มุมมองของวิสัยทัศน์ใหม่ที่เน้นผู้มีผลประโยชน์ร่วม การตั้งวัตถุประสงค์โดยรวมกับองค์กรที่สอดประสานกันในลักษณะ P + P + T คือ People + Process + Technology :
P – การกำหนดและปรับปรุงกลยุทธ์และนโยบาย รวมทั้งวิธีการปฏิบัติงานที่ชัดเจน เป็นรูปธรรม มีการติดตามดูแลการบริหารอย่างใกล้ชิด โดยคณะกรรมการ และผู้บริหาร
P – การปรับปรุงให้กระบวนการบริหารมีคุณภาพดีอยู่เสมอ
T – การบริหารจัดการข้อมูลและสารสนเทศที่เกี่ยวข้องด้านหลัก ๆ คือ Input + Process + Output + Authorization และการปฏิบัติตามมาตรฐานที่เกี่ยวข้องกับ Information Security คือ CIA เป็นสำคัญ

การเชื่อมโยงกระบวนการสร้าง GRC เข้ากับระบบปฏิบัติการ (Performance) เป็นการสร้างคุณค่าเพิ่มอย่างยั่งยืน เพราะองค์กรที่ใช้หลักการของ GRC จะพิจารณาผลประโยชน์ของ Stakeholders แทน Shareholders เป็นสำคัญ อีกทั้งกลยุทธ์ นโยบาย แผนงานไปสู่การปฏิบัติที่เป็นรูปธรรมจากจิตสำนึก (Spiritual) ทั่วทั้งองค์กร เพื่อการขับเคลื่อนคุณค่าและสร้างความเชื่อมั่น พร้อม ๆ กับการสร้างวัฒนธรรม และจริยธรรมที่เหมาะสมให้กับองค์กรเป็นสิ่งที่จำเป็นอย่างยิ่งยวด

โปรดติดตามตอนต่อไปนะครับ

Leave a Comment » | CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง | ติดป้ายกำกับ: , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

เว็บใหม่ itgthailand.com

กรกฎาคม 21, 2009

เนื่องจาก ผมได้ปรับเปลี่ยนระบบของการเขียนเว็บบล็อก ด้วยการจดทะเบียนเป็นชื่อ itgthailand.com เพื่อให้มีศักยภาพ มีประสิทธิภาพ และมีความสเถียรมากขึ้น

ทุกท่านที่ติดตามเนื้อหา สาระ ข้อมูลความรู้ในหัวข้อต่าง ๆ ของ http://www.itgthailand.wordpress.com แห่งนี้ สามารถเข้าชมและติดตามเนื้อหาตอนต่อ ๆ ไปได้ใน http://www.itgthailand.com หรือคลิก link http://www.itgthailand.com ตั้งแต่วันนี้ (8 กรกฎาคม 2552) เป็นต้นไปครับ

Leave a Comment » | การดำเนินงานและการตรวจสอบสถาบันการเงินด้านคอมพิวเตอร์, แนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร COSO-ERM Framework, CG & ITG & GRC และองค์ประกอบที่เกี่ยวข้อง, COSO-ERM กับ ITG และ GRC กับการวิเคราะห์เพื่อสร้างสรรสาระ, IT Audit, Non - IT Audit / การตรวจสอบโดยทั่วไป | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

กรกฎาคม 20, 2009

เมื่อท่านผู้บริหาร และท่านผู้อ่านทั้งหลาย ได้ทราบถึงแนวคิดความน่าจะเกิด (Likelihood) และผลกระทบ (Impact) ที่จะเกิดขึ้นของปัจจัยหรือเหตุการณ์ต่าง ๆ ที่อาจมีผลกระทบต่อความไม่สำเร็จขององค์กร เพื่อจะนำมาประเมินค่าความเสี่ยงและโอกาสที่จะเกิดขึ้น รวมถึงการพิจารณาความเสี่ยงที่มีอยู่และความเสี่ยงส่วนที่เหลือ โดยการใช้ข้อมูลที่สังเกตได้ วิธีการและเทคนิคเชิงปริมาณและคุณภาพไปแล้วนั้น วันนี้ผมจะพาท่านไปสู่ขั้นตอนของการประเมินความเสี่ยงกันครับ

ขั้นตอนการประเมินความเสี่ยง

ขั้นตอนการประเมินความเสี่ยง

ขั้นตอนการประเมินความเสี่ยง

จากความเสี่ยงที่ได้ระบุไว้ข้างต้น จะนำรายการความเสี่ยงทั้งหมดมาพิจารณาเพื่อประเมินระดับความเสี่ยง

1. การประเมินระดับความเสี่ยง (Risk Score)
1.1. การประเมินความเป็นไปได้ (Likelihood)
การประเมินความเป็นไปได้ พิจารณาได้ในรูปแบบของความถี่ (Frequency) หรือโอกาสที่จะเกิดความเสี่ยง โดยแบ่งออกเป็น 4 ระดับ ดังนี้

การประเมินค่าความเป็นไปได้

การประเมินค่าความเป็นไปได้

1.2. การประเมินผลกระทบ (Impact)
การประเมินผลกระทบของความเสี่ยง ทั้งที่เป็นตัวเงินและไม่เป็นตัวเงินที่อาจเกิดขึ้นมีดังนี้
ผลกระทบด้านการเงิน เป็นผลกระทบหรือความเสียหายที่เกิดจากความเสี่ยง และสามารถประเมินค่าเป็นตัวเงินได้ ได้แก่
– ผลกระทบจากค่าความเสียหายในด้านต่าง ๆ ต่อทรัพย์สิน
– ผลกระทบจากการลงทุน/การร่วมลงทุน
– ผลกระทบค่าใช้จ่ายการลงทุนหรือการบรรลุวัตถุประสงค์ในระดับต่าง ๆ
– ผลกระทบต่อการเบิกจ่ายงบประมาณ

ผลกระทบต่อการดำเนินธุรกิจและความสามารถการแข่งขันทางธุรกิจหรือการบรรลุพันธกิจและวิสัยทัศน์ขององค์กร เป็นผลกระทบที่มีความเสียหายกับการดำเนินงานขององค์กรในภาพโดยรวม รวมถึงความสามารถในการแข่งขันทางธุรกิจ (ถ้ามี)

อย่างไรก็ดี ผลกระทบตามหัวข้อนี้ โดยทั่วไปจะมีผลต่อระบบการดำเนินงานต่อรูปแบบการดำเนินธุรกิจขององค์กร ได้แก่
– ผลกระทบจากปัจจัยภายนอก นโยบายรัฐบาล และกฎหมาย
– ผลกระทบจากการดำเนินงานตามแผนงาน/โครงการ

ผลกระทบด้านชื่อเสียงขององค์กร เป็นความเสียหายต่อชื่อเสียง ไม่ว่าจะเป็นผลจากการดำเนินงานทั้งทางตรงและทางอ้อม ที่ส่งผลต่อภาพพจน์และความเชื่อถือขององค์กรหรือขององค์กร

การประเมินระดับความเสี่ยง ซึ่งจะแบ่งระดับของความเสี่ยงออกเป็น 5 ระดับ และมีค่าความเสี่ยงรวมเท่ากับ 25 คะแนน (Level of Risk) โดยการนำผลที่ได้จากการประเมินความเป็นไปได้และผลกระทบ มาจัดทำแผนผังประเมินความเสี่ยง (Risk Assessment Matrix) อย่างไรก็ดี ระดับการบริหารความเสี่ยงอาจจะแบ่งออกเป็น 4 ระดับหรือ 3 ระดับก็ได้ ขึ้นอยู่กับการจัดกลุ่มความเสี่ยงตามที่องค์กรเห็นสมควร

Risk Assessment Matrix

Risk Assessment Matrix

จาก Risk Assessment Matrix นำรายการความเสี่ยงของแต่ละระดับความเสี่ยงที่ได้จัดเรียงลำดับไว้ (Risk Ranking) มาวิเคราะห์เปรียบเทียบกับเกณฑ์ความสามารถในการยอมรับความเสี่ยง

เกณฑ์ความสามารถในการยอมรับความเสี่ยง

เกณฑ์ความสามารถในการยอมรับความเสี่ยง

เกณฑ์ความสามารถในการยอมรับความเสี่ยง

* ระดับความเสี่ยงปานกลาง การควบคุมความเสี่ยงต้องมีการติดตามผลและประเมินผลต่อความเสี่ยงที่เกิดขึ้นจริงอย่างมีประสิทธิภาพ/ประสิทธิผล และมีผู้รับผิดชอบโดยตรง เช่น มีแผนปฏิบัติคู่มือปฏิบัติงาน มีการมอบหมายที่ชัดเจน ฯ

2. ความสำคัญของการควบคุมในปัจจุบัน
ในการจัดการความเสี่ยง ผู้รับผิดชอบต้องมีการรวบรวม ประมวลข้อมูล และศึกษาระบบการควบคุมภายใน หรือการบริหารจัดการที่ได้มีการปฏิบัติจริงในปัจจุบัน (ระดับการควบคุม) เพื่อให้การดำเนินงานในขั้นต่อไปเกิดประสิทธิภาพ

การควบคุม พิจารณาได้จาก
– หน้าที่ความรับผิดชอบของคณะกรรมการและหน่วยงานที่เกี่ยวข้อง
– แผนงาน/โครงการ
– แผนปฏิบัติงานประจำ
– งานของคณะกรรมการบริหารของ องค์กร หรือคณะทำงานภายในหน่วยงาน
– ฯลฯ

การพิจารณาการควบคุมมีวัตถุประสงค์เพื่อให้การจัดการความเสี่ยง และการจัดทำแผนบริหารความเสี่ยงในขั้นตอนต่อไปไม่เกิดความซ้ำซ้อน และสร้างมูลค่าเพิ่มในการบรรลุพันธกิจก้าวสู่วิสัยทัศน์ขององค์กร ซึ่งสามารถใช้เป็นข้อมูลประกอบการจัดทำรายละเอียดแผนบริหารความเสี่ยงขององค์กรได้ดี

องค์ประกอบสำคัญของการประเมินความเสี่ยง

องค์ประกอบสำคัญของการประเมินความเสี่ยง

Leave a Comment » | แนวทางการบริหารความเสี่ยงทั่วทั้งองค์กร COSO-ERM Framework | ติดป้ายกำกับ: , , , , , , , , | ลิงก์ถาวร
โพสต์โดย Metha Suvanasarn

กลับไปหน้าที่แล้ว
รายการถัดไป »