จากการที่ผมได้เล่าถึงกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ตามหลัก COSO – ERM มาหลายขั้นตอน มาถึงตอนนี้จะเป็นกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ขั้นตอนที่ 4 นั่นก็คือ การประเมินความเสี่ยง (Risk Assessment) การประเมินค่าความเสี่ยงขององค์กรทั่วไป เปิดโอกาสให้องค์กรและผู้ที่เกี่ยวข้องพิจารณาขอบเขตซึ่งเหตุการณ์แฝง อาจส่งผลต่อการบรรลุวัตถุประสงค์ พันธกิจ มุ่งสู่วิสัยทัศน์ขององค์กร ผู้บริหารควรประเมินค่าเหตุการณ์จาก 2 แนวคิด คือ ความน่าจะเกิด (Likelihood) และผลกระทบ (Impact) ที่จะเกิดขึ้น
ผมมีคำอธิบายเพื่อการประเมินค่าความเสี่ยงที่นำไปสู่การปฏิบัติ เมื่อปัจจัยภายในและภายนอกส่งผลต่อเหตุการณ์แฝง และบางเหตุการณ์ก็ส่งผลต่อการบรรลุวัตถุประสงค์ขององค์กร แม้ว่าปัจจัยบางอย่างจะเป็นสิ่งปกติในการร่วมอยู่ในอุตสาหกรรม ปัจจัยจำนวนมากมีความเป็นเอกลักษณ์ในองค์กรใดองค์กรหนึ่งโดยเฉพาะ สาเหตุเนื่องจากเป็นสิ่งที่ก่อให้เกิดวัตถุประสงค์และตัวเลือกในอดีต
ในการประเมินค่าความเสี่ยงผู้บริหารได้พิจารณาการผสมผสานของเหตุการณ์แฝงในอนาคตที่สัมพันธ์กับองค์กรและกิจกรรมของเหตุการณ์ สิ่งเหล่านี้นำมาซึ่งการตรวจสอบปัจจัยต่าง ๆ รวมถึงขนาดองค์กร ความซับซ้อนของการปฏิบัติงานและระดับของกฎระเบียบที่ครอบคลุมกิจกรรม เป็นต้น ซึ่งได้ก่อร่างรูปแบบของความเสี่ยงขององค์กรและมีอิทธิพลต่อวิธีการซึ่งใช้ในการประเมินค่าความเสี่ยง
โดยมีหลักการย่อ ๆ ว่า เมื่อเจ้าภาพหรือเจ้าของแผนงานสามารถระบุหรือบ่งชี้ความเสี่ยงตามข้อ 2 ได้แล้วให้ประเมินต่อไปว่า เหตุการณ์ที่อาจมีผลกระทบต่อความสำเร็จของแต่ละกิจกรรมในแต่ละขั้นตอนของแผนงานนั้น ๆ จะสามารถจัดการหรือแก้ไขปัญหาให้ลุล่วงเพื่อผลักดันกิจกรรมขั้นตอนต่อ ๆ ไปให้ประสบความสำเร็จของแผนงานนั้นตามกรอบเวลาได้หรือไม่
ทั้งนี้ เจ้าของแผนงานจะต้องประเมินว่า ปัจจัยหรือเหตุการณ์ต่าง ๆ ที่อาจมีผลกระทบ (Impact) ต่อความไม่สำเร็จนั้น มีมากน้อยเพียงใด และมีโอกาสที่จะเกิดขึ้น (Likelihood) บ่อยเพียงใด ทั้งนี้เพื่อไปจัดลำดับความรุนแรงของความเสี่ยงที่จะมีผลต่อแผนงานและโครงการนั้น ๆ
ความเสี่ยงที่มีอยู่ (Inherent) และความเสี่ยงส่วนที่เหลือ (Residual Risk)
ผู้บริหาร องค์กร ต้องพิจารณาความเสี่ยงที่มีอยู่และความเสี่ยงส่วนที่เหลือ ความเสี่ยงที่มีอยู่เป็นความเสี่ยงขององค์กรที่ไม่ได้ดำเนินการใด ๆ ทั้งสิ้นของผู้บริหาร เพื่อเปลี่ยนแปลงผลกระทบและโอกาสเกิดของความเสี่ยง ความเสี่ยงส่วนที่เหลือคือความเสี่ยงที่ยังคงมีอยู่หลังจากผู้บริหารได้ตอบสนองต่อความเสี่ยงแล้ว
ในการประเมินค่าความเสี่ยง ผู้บริหารจะพิจารณาผลกระทบของเหตุการณ์แฝงที่คาดหวังและไม่ได้คาดหวัง หลาย ๆ เหตุการณ์เกิดเป็นประจำ และเกิดขึ้นอีกบ่อย ๆ และได้ถูกวางไว้ในโปรแกรมการบริหารและงบประมาณด้านปฏิบัติการ หลาย ๆ เหตุการณ์ไม่ได้ถูกคาดหวังไว้ และบ่อยครั้งมีความน่าจะเกิดต่ำ แต่อาจมีผลกระทบแฝงที่สำคัญ เหตุการณ์ที่ไม่ได้คาดไว้อาจถูกตอบสนองแยกต่างหาก
อย่างไรก็ตาม ความไม่แน่นอนยังคงอยู่กับทั้งเหตุการณ์แฝงที่คาดไว้และไม่ได้คาดไว้ และแต่ละเหตุการณ์ได้ส่งผลต่อการนำกลยุทธ์ไปปฏิบัติและการบรรลุวัตถุประสงค์ ผลก็คือผู้บริหารต้องประเมินค่าความเสี่ยงของเหตุการณ์แฝงทั้งหมด ซึ่งเหมือนกันในแง่มีผลกระทบสำคัญต่อองค์กร การประเมินค่าความเสี่ยงได้ถูกประยุกต์ไปสู่ความเสี่ยงที่มีอยู่ ทันทีที่การตอบสนองความเสี่ยงได้ถูกพิจารณา ดังนั้น ผู้บริหารได้ใช้เทคนิคการประเมินค่าความเสี่ยงในการกำหนดความเสี่ยงส่วนที่เหลือ
การประมาณค่าความน่าจะเกิด ( Likelihood) และผลกระทบ (Impact)
ความไม่แน่นอนของเหตุการณ์แฝงถูกประเมินจาก 2 แนวคิด คือความน่าจะเกิด (Likelihood) และผลกระทบ (Impact) ความน่าจะเกิด เปรียบเสมือนความเป็นไปได้ซึ่งเหตุการณ์จะเกิดขึ้น ในขณะที่ผลกระทบเปรียบเสมือนผลที่เกิดขึ้น
ความน่าจะเกิดและผลกระทบเป็นคำศัพท์ที่ใช้กันโดยทั่วไปแม้ว่าบางองค์กรจะใช้คำว่าความเป็นไปได้และความเข้มงวดหรือผลที่เกิดขึ้นก็ตาม บางครั้งคำศัพท์อาจมีความหมายเฉพาะ “ความน่าจะเกิด” แสดงถึงความเป็นไปได้ซึ่งจะทำให้เกิดเหตุการณ์ในเชิงคุณภาพ เช่น สูง กลาง และต่ำ หรือมาตรวัดอื่น ๆ ที่เที่ยงตรง ในขณะที่ความเป็นไปได้อาจถูกใช้ในการอธิบายการวัดเชิงปริมาณ เช่น เปอร์เซ็นต์ ความถี่ของเหตุการณ์ หรือมาตรวัดที่เป็นตัวเลข
ผู้บริหารอาจเลือกอธิบายความน่าจะเกิดและผลกระทบในลักษณะต่าง ๆ เช่น การประมาณค่า หรือขอบเขตหรือการกระจาย ซึ่งอาจอธิบายการแยกแยะหรือการประเมินค่าความเสี่ยงเป็นคำพูดหรือใส่ลงในกราฟ ตัวอย่างหนึ่งคือการทำแผนผังความเสี่ยง ซึ่งเป็นการวาดให้เห็นภาพโดยการแบ่งกลุ่มเหตุการณ์ วัตถุประสงค์องค์กร หรือกลุ่มอื่น ๆ ซึ่งจะช่วยรายงานความเสี่ยงในหลาย ๆ ระดับ รวมถึงระดับองค์กร ระดับธุรกิจ ระดับหน่วยงานหรือระดับกระบวนการ
การกำหนดปริมาณความตั้งใจในการประเมินค่าลำดับของความเสี่ยงที่องค์กรต้องเผชิญนั้นมีความยากและท้าทาย ผู้บริหารต้องระลึกไว้ว่าความเสี่ยงที่มีความน่าจะเกิดของเหตุการณ์ที่จะเกิดต่ำและมีผลกระทบเพียงเล็กน้อย ไม่สามารถรับประกันการพิจารณาอื่น ๆ ได้ ในทางตรงข้ามความเสี่ยงที่มีความน่าจะเกิดของการเกิดเหตุการณ์สูงและมีผลกระทบสำคัญที่ต้องการการพิจารณาอย่างตั้งใจ เหตุการณ์ทั้งสองประเภทต้องการการตัดสินที่ยากเย็น สิ่งสำคัญคือการวิเคราะห์ต้องมีเหตุมีผลและระมัดระวัง
เนื่องจากความเสี่ยงถูกประเมินในส่วนของกลยุทธ์องค์กรและวัตถุประสงค์องค์กร ผู้บริหารจะเฝ้ามุ่งเน้นดูความเสี่ยงด้วยช่วงระยะเวลาสั้นไปจนถึงกลาง อย่างไรก็ตามองค์ประกอบบางอย่างของทิศทางกลยุทธ์และวัตถุประสงค์ได้ขยายตัวเป็นช่วงเวลาที่ยาวนานขึ้น ผลก็คือผู้บริหารต้องมีความรู้ความเข้าใจในกรอบเวลาที่ยาวนาน และไม่เพิกเฉยต่อความเสี่ยงที่อาจหมดไป
ผู้บริหารมักใช้การวัดผลงานในการกำหนดขอบเขตที่ทำให้บรรลุวัตถุประสงค์และใช้หน่วยเดียวกันวัดว่าเมื่อไรจะพิจารณาผลกระทบแฝงของความเสี่ยงในการบรรลุวัตถุประสงค์เฉพาะ ตัวอย่างเช่น
องค์กรซึ่งมีวัตถุประสงค์ในการรักษาระดับของการบริการลูกค้าจะถูกให้คะแนนหรือการวัดแบบอื่น ๆ สำหรับวัตถุประสงค์นั้น ดังเช่น ดัชนีความพึงพอใจของผู้เกี่ยวข้อง จำนวนการร้องเรียน เมื่อการประเมินค่าผลกระทบของความเสี่ยงที่อาจส่งผลต่อการบริการ ดังเช่น ความเป็นไปได้ที่เว็บไซต์อาจใช้ไม่ได้ในช่วงเวลานั้น ผลกระทบเป็นตัวกำหนดที่ดีที่สุดในการใช้
การใช้ข้อมูลที่สังเกตได้
การประมาณค่าความน่าจะเกิดและความถี่ของผลกระทบถูกกำหนดให้ใช้ข้อมูลจากเหตุการณ์ที่สังเกตได้ที่ผ่านมาแล้ว ซึ่งอาจทำให้เกิดวัตถุประสงค์ได้มากกว่าการประมาณโดยการนึกคิด การสร้างข้อมูลที่เกิดจากประสบการณ์ในองค์กรของตนเองอาจสะท้อนความมีอคติของบุคคลได้น้อยกว่าและทำให้เกิดผลลัพธ์ได้ดีกว่าข้อมูลจากแหล่งภายนอก
อย่างไรก็ตามแม้ว่าข้อมูลที่สร้างจากภายในเป็นข้อมูลนำเข้าเบื้องต้น ข้อมูลจากภายนอกสามารถใช้ประโยชน์ในการเป็นที่ตรวจสอบหรือเพื่อช่วยส่งเสริมการวิเคราะห์ ข้อควรระวังเมื่อใช้เหตุการณ์ในอดีตคาดเดาอนาคตนั้นคือ อิทธิพลของปัจจัยอาจทำให้เหตุการณ์เปลี่ยนแปลงไปตามเวลา
สำหรับการประเมินความเสี่ยงนี้ ยังมีวิธีการและเทคนิคเชิงปริมาณและคุณภาพ รวมถึงขั้นตอนการประเมินความเสี่ยงที่เป็นขั้นตอนสำคัญที่ควรต้องติดตามต่อไปในโอกาสหน้านะครับ
โพสต์โดย Metha Suvanasarn 
Information Technology Governance 