Information Technology Governance

ครั้งก่อนผมได้กล่าวถึง แนวทางของการระบุปัจจัยเสี่ยงและเครื่องมือที่ใช้วัดการระบุปัจจัยเสี่ยงไปแล้ว ครั้งนี้เราจะมาดูกันว่า โครงสร้างของการบริหารความเสี่ยงประกอบไปด้วยใครกันบ้าง และในแต่ละคน/แต่ละส่วนงานมีหน้าที่และความรับผิดชอบในการบริหารความเสี่ยงอย่างไรกันบ้าง ซึ่งผมจะพูดถึงบทบาทและความรับผิดชอบหลักของผู้ที่เกี่ยวข้องโดยตรงกับการบริหารความเสี่ยง โดยจะแบ่งเป็นหัวข้อ ๆ เพื่อให้เข้าใจได้ง่าย เรามาดูกันต่อเลยครับ

โครงสร้างการบริหารความเสี่ยง
โครงสร้างของการบริหารความเสี่ยง ไม่มีรูปแบบที่เป็นมาตรฐานเพียงแบบเดียว แต่ต้องมีการปรับใช้ให้เหมาะสมกับแต่ละองค์กร โดยจะพิจารณาได้จากวัฒนธรรม ความซับซ้อนของการดำเนินงาน ประเภทและลักษณะขององค์กรเป็นองค์ประกอบ สิ่งสำคัญของโครงสร้างการบริหารความเสี่ยง คือการที่คณะกรรมการและผู้บริหารทุกระดับมีบทบาทและมีส่วนร่วมในการพัฒนาการบริหารความเสี่ยงขององค์กร

โครงสร้างการบริหารความเสี่ยงที่มีประสิทธิผลขององค์กรจะช่วยในการประเมิน ควบคุมและติดตามความเสี่ยงของแต่ละหน่วยงาน และทำให้เกิดความมั่นใจว่าการปฏิบัติงานในการบริหารความเสี่ยงโดยทุกคนในองค์กรอยู่ภายใต้กรอบเดียวกัน

โครงสร้างการบริหารความเสี่ยงที่มีประสิทธิผลประกอบด้วย
– คณะกรรมการที่มีความรับผิดชอบโดยตรงในการกำกับดูแลการบริหารความเสี่ยง
– คณะกรรมการบริหารความเสี่ยงที่ได้รับแต่งตั้งให้ทำหน้าที่ในการพัฒนาการบริหารความเสี่ยงอย่างน้อยควรประกอบด้วยผู้บริหารระดับสูงขององค์กร เช่น กรรมการผู้จัดการ และรองกรรมการผู้จัดการ
– หน่วยงานหรือผู้รับผิดชอบในการบริหารความเสี่ยงที่รับผิดชอบในการนำเอาวิสัยทัศน์ขององค์กรในส่วนที่เกี่ยวกับการบริหารความเสี่ยงไปกำหนดเป็นนโยบายและวิธีการปฏิบัติ

อย่างที่ได้กล่าวไปในช่วงต้นแล้วว่า โครงสร้างของการบริหารความเสี่ยง ไม่มีรูปแบบที่เป็นมาตรฐานตายตัว แต่ต้องมีการปรับใช้ให้เหมาะสมกับแต่ละองค์กร ดังนั้น ผมจึงขอนำแผนภาพที่เป็นตัวอย่างของโครงสร้างการบริหารความเสี่ยงมาให้ดูกันครับ

โครงสร้างการบริหารความเสี่ยงขององค์กร

การพัฒนาโครงสร้างการบริหารความเสี่ยงอย่างเป็นทางการ จะทำให้ผู้บริหารและพนักงานในหน่วยงานต่าง ๆ มีความเข้าใจในหน้าที่และความรับผิดชอบที่เกี่ยวข้องกับการบริหารความเสี่ยง ซึ่งมีผลให้เกิดการตัดสินใจที่ถูกต้อง ทันเวลา ป้องกันความสูญเสียและเพิ่มโอกาสทางธุรกิจให้แก่องค์กร

การพัฒนาโครงสร้างการบริหารความเสี่ยงต้องการความรับผิดชอบและความร่วมมือจากทุกคนดังนี้
– คณะกรรมการ
– คณะกรรมการตรวจสอบ
– คณะกรรมการบริหารความเสี่ยง
– ผู้บริหารระดับสูง
– หน่วยงานหรือผู้รับผิดชอบการบริหารความเสี่ยง
– ผู้ตรวจสอบภายใน
– หัวหน้างานและพนักงาน

บทบาทและความรับผิดชอบหลักของผู้ที่เกี่ยวข้องโดยตรงกับการบริหารความเสี่ยง
คณะกรรมการ
– จะต้องเข้าใจถึงความเสี่ยงที่อาจมีผลกระทบร้ายแรงต่อการบรรลุวัตถุประสงค์ขององค์กร และทำให้มั่นใจว่ามีการดำเนินการที่เหมาะสมเพื่อจัดการความเสี่ยงนั้น ๆ

คณะกรรมการตรวจสอบ
– ต้องทำให้มั่นใจว่ามีการควบคุมภายในองค์กรที่เหมาะสมเพื่อจัดการความเสี่ยงทั่วทั้งองค์กร
– มีหน้าที่กำกับดูแลและติดตามการบริหารความเสี่ยงอย่างเป็นอิสระ
– ติดตามประสิทธิภาพการทำงานของหน่วยงานตรวจสอบภายใน
– รายงานต่อคณะกรรมการและผู้ถือหุ้นเกี่ยวกับประสิทธิภาพและประสิทธิผลของการควบคุมภายในองค์กร
– คณะกรรมการตรวจสอบมีการสื่อสารกับคณะกรรมการบริหารความเสี่ยง เพื่อให้เข้าใจความเสี่ยงที่สำคัญและเชื่อมโยงให้สอดคล้องกับการควบคุมภายใน

คณะกรรมการบริหารความเสี่ยง
– มีหน้าที่ในการพิจารณาและอนุมัตินโยบายและกรอบการบริหารความเสี่ยง
– ติดตามการพัฒนากรอบการบริหารความเสี่ยง
– ติดตามกระบวนการบ่งชี้และการประเมินความเสี่ยง
– ประเมินและอนุมัติแผนการจัดการความเสี่ยง
– รายงานต่อคณะกรรมการเกี่ยวกับความเสี่ยง และการจัดการความเสี่ยง
– มีการสื่อสารกับคณะกรรมการตรวจสอบเกี่ยวกับความเสี่ยงที่สำคัญ

กรรมการผู้จัดการหรือ ผู้อำนวยการ
– มีหน้าที่ติดตามความเสี่ยงที่สำคัญทั้งองค์กร และทำให้มั่นใจได้ว่ามีแผนการจัดการกับความเสี่ยงที่เหมาะสม
– ส่งเสริมนโยบายการบริหารความเสี่ยง และทำให้มั่นใจว่ากระบวนการบริหารความเสี่ยงได้รับการปฏิบัติทั่วทั้งองค์กร

รองกรรมการผู้จัดการ หรือ รองผู้อำนวยการ
– ต้องติดตามความเสี่ยงทางกลยุทธ์และความเสี่ยงด้านการปฏิบัติการที่สำคัญ และทำให้มั่นใจได้ว่ามีแผนการจัดการความเสี่ยงที่เหมาะสม
– ส่งเสริมวัฒนธรรมการบริหารความเสี่ยง และทำให้มั่นใจได้ว่าผู้อำนวยการฝ่ายให้ความสำคัญกับการบริหารความเสี่ยงในฝ่ายของตน

ผู้อำนวยการฝ่าย
– ต้องทำให้มั่นใจว่าการปฏิบัติงานรายวันมีการประเมิน จัดการและรายงานความเสี่ยงอย่างเพียงพอ
– มีการส่งเสริมพนักงานในฝ่ายให้ตระหนักถึงความสำคัญของการบริหารความเสี่ยง

หัวหน้างานหรือพนักงาน
– มีหน้าที่ระบุและรายงานความเสี่ยงที่เกี่ยวข้องกับการปฏิบัติงานต่อผู้อำนวยการฝ่าย และเข้าร่วมในการจัดทำแผนจัดการความเสี่ยง และนำแผนไปปฏิบัติ

หน่วยงานหรือผู้รับผิดชอบการบริหารความเสี่ยง
– ต้องปฏิบัติหน้าที่ประจำวันแทนคณะกรรมการบริหารความเสี่ยง
– จัดทำนโยบายความเสี่ยง กรอบและกระบวนการให้กับหน่วยงานและเสนอคณะกรรมการบริหารความเสี่ยงเพื่ออนุมัติ
– มีหน้าที่ให้การสนับสนุน และแนะนำกระบวนการบริหารความเสี่ยง แก่หน่วยงานต่าง ๆ ภายในองค์กรตามที่มีการร้องขอ

ผู้ตรวจสอบภายใน
– ต้องทำให้มั่นใจว่ามีการควบคุมภายในองค์กรที่เหมาะสมต่อการจัดการความเสี่ยง และการควบคุมเหล่านั้นได้รับการปฏิบัติตาม
– ทำให้มั่นใจว่าได้มีการนำระบบการบริหารความเสี่ยงมาปรับใช้อย่างเหมาะสมและมีการปฏิบัติตามทั่วทั้งองค์กร
– มีการสอบทานการปฏิบัติงานของหน่วยงานการบริหารความเสี่ยง
– ต้องสื่อสารกับหน่วยงานการบริหารความเสี่ยงเพื่อทำความเข้าใจเกี่ยวกับความเสี่ยง และดำเนินการตรวจสอบภายในตามแนวความเสี่ยง (Risk Based Auditing)

ถึงแม้ว่าจะมีการกำหนดบทบาทและหน้าที่ความรับผิดชอบของผู้เกี่ยวข้องกับการบริหารความเสี่ยงไว้อย่างชัดเจนแล้วก็ตาม แต่อย่างไรก็ตาม องค์กรทั่วไปควรกำหนดให้การบริหารความเสี่ยงเป็นความรับผิดชอบร่วมกันของผู้บริหารและพนักงานทุกระดับ และให้มีการปฏิบัติอย่างต่อเนื่อง เพื่อให้การบริหารความเสี่ยงประสบความสำเร็จและมีประสิทธิภาพสูงสุด

ผมจะขอทิ้งท้ายด้วยภาพของบทบาทและหน้าที่ความรับผิดชอบของผู้บริหารความเสี่ยง ดังที่ได้อธิบายในข้างต้นไว้ให้ได้ชมกันครับ

บทบาทและหน้าที่ความรับผิดชอบของผู้บริหารความเสี่ยง

ครั้งก่อนผมได้กล่าวถึง แนวทางของการระบุปัจจัยเสี่ยงและเครื่องมือที่ใช้วัดการระบุปัจจัยเสี่ยงไปแล้ว ครั้งนี้เราจะมาดูกันว่า โครงสร้างของการบริหารความเสี่ยงประกอบไปด้วยใครกันบ้าง และในแต่ละคน/แต่ละส่วนงานมีหน้าที่และความรับผิดชอบในการบริหารความเสี่ยงอย่างไรกันบ้าง ซึ่งผมจะพูดถึงบทบาทและความรับผิดชอบหลักของผู้ที่เกี่ยวข้องโดยตรงกับการบริหารความเสี่ยง โดยจะแบ่งเป็นหัวข้อ ๆ เพื่อให้เข้าใจได้ง่าย เรามาดูกันต่อเลยครับ

โครงสร้างการบริหารความเสี่ยง
โครงสร้างของการบริหารความเสี่ยง ไม่มีรูปแบบที่เป็นมาตรฐานเพียงแบบเดียว แต่ต้องมีการปรับใช้ให้เหมาะสมกับแต่ละองค์กร โดยจะพิจารณาได้จากวัฒนธรรม ความซับซ้อนของการดำเนินงาน ประเภทและลักษณะขององค์กรเป็นองค์ประกอบ สิ่งสำคัญของโครงสร้างการบริหารความเสี่ยง คือการที่คณะกรรมการและผู้บริหารทุกระดับมีบทบาทและมีส่วนร่วมในการพัฒนาการบริหารความเสี่ยงขององค์กร

โครงสร้างการบริหารความเสี่ยงที่มีประสิทธิผลขององค์กรจะช่วยในการประเมิน ควบคุมและติดตามความเสี่ยงของแต่ละหน่วยงาน และทำให้เกิดความมั่นใจว่าการปฏิบัติงานในการบริหารความเสี่ยงโดยทุกคนในองค์กรอยู่ภายใต้กรอบเดียวกัน

โครงสร้างการบริหารความเสี่ยงที่มีประสิทธิผลประกอบด้วย
– คณะกรรมการที่มีความรับผิดชอบโดยตรงในการกำกับดูแลการบริหารความเสี่ยง
– คณะกรรมการบริหารความเสี่ยงที่ได้รับแต่งตั้งให้ทำหน้าที่ในการพัฒนาการบริหารความเสี่ยงอย่างน้อยควรประกอบด้วยผู้บริหารระดับสูงขององค์กร เช่น กรรมการผู้จัดการ และรองกรรมการผู้จัดการ
– หน่วยงานหรือผู้รับผิดชอบในการบริหารความเสี่ยงที่รับผิดชอบในการนำเอาวิสัยทัศน์ขององค์กรในส่วนที่เกี่ยวกับการบริหารความเสี่ยงไปกำหนดเป็นนโยบายและวิธีการปฏิบัติ

อย่างที่ได้กล่าวไปในช่วงต้นแล้วว่า โครงสร้างของการบริหารความเสี่ยง ไม่มีรูปแบบที่เป็นมาตรฐานตายตัว แต่ต้องมีการปรับใช้ให้เหมาะสมกับแต่ละองค์กร ดังนั้น ผมจึงขอนำแผนภาพที่เป็นตัวอย่างของโครงสร้างการบริหารความเสี่ยงมาให้ดูกันครับ

โครงสร้างการบริหารความเสี่ยงขององค์กร

การพัฒนาโครงสร้างการบริหารความเสี่ยงอย่างเป็นทางการ จะทำให้ผู้บริหารและพนักงานในหน่วยงานต่าง ๆ มีความเข้าใจในหน้าที่และความรับผิดชอบที่เกี่ยวข้องกับการบริหารความเสี่ยง ซึ่งมีผลให้เกิดการตัดสินใจที่ถูกต้อง ทันเวลา ป้องกันความสูญเสียและเพิ่มโอกาสทางธุรกิจให้แก่องค์กร

การพัฒนาโครงสร้างการบริหารความเสี่ยงต้องการความรับผิดชอบและความร่วมมือจากทุกคนดังนี้
– คณะกรรมการ
– คณะกรรมการตรวจสอบ
– คณะกรรมการบริหารความเสี่ยง
– ผู้บริหารระดับสูง
– หน่วยงานหรือผู้รับผิดชอบการบริหารความเสี่ยง
– ผู้ตรวจสอบภายใน
– หัวหน้างานและพนักงาน

บทบาทและความรับผิดชอบหลักของผู้ที่เกี่ยวข้องโดยตรงกับการบริหารความเสี่ยง
คณะกรรมการ
– จะต้องเข้าใจถึงความเสี่ยงที่อาจมีผลกระทบร้ายแรงต่อการบรรลุวัตถุประสงค์ขององค์กร และทำให้มั่นใจว่ามีการดำเนินการที่เหมาะสมเพื่อจัดการความเสี่ยงนั้น ๆ

คณะกรรมการตรวจสอบ
– ต้องทำให้มั่นใจว่ามีการควบคุมภายในองค์กรที่เหมาะสมเพื่อจัดการความเสี่ยงทั่วทั้งองค์กร
– มีหน้าที่กำกับดูแลและติดตามการบริหารความเสี่ยงอย่างเป็นอิสระ
– ติดตามประสิทธิภาพการทำงานของหน่วยงานตรวจสอบภายใน
– รายงานต่อคณะกรรมการและผู้ถือหุ้นเกี่ยวกับประสิทธิภาพและประสิทธิผลของการควบคุมภายในองค์กร
– คณะกรรมการตรวจสอบมีการสื่อสารกับคณะกรรมการบริหารความเสี่ยง เพื่อให้เข้าใจความเสี่ยงที่สำคัญและเชื่อมโยงให้สอดคล้องกับการควบคุมภายใน

คณะกรรมการบริหารความเสี่ยง
– มีหน้าที่ในการพิจารณาและอนุมัตินโยบายและกรอบการบริหารความเสี่ยง
– ติดตามการพัฒนากรอบการบริหารความเสี่ยง
– ติดตามกระบวนการบ่งชี้และการประเมินความเสี่ยง
– ประเมินและอนุมัติแผนการจัดการความเสี่ยง
– รายงานต่อคณะกรรมการเกี่ยวกับความเสี่ยง และการจัดการความเสี่ยง
– มีการสื่อสารกับคณะกรรมการตรวจสอบเกี่ยวกับความเสี่ยงที่สำคัญ

กรรมการผู้จัดการหรือ ผู้อำนวยการ
– มีหน้าที่ติดตามความเสี่ยงที่สำคัญทั้งองค์กร และทำให้มั่นใจได้ว่ามีแผนการจัดการกับความเสี่ยงที่เหมาะสม
– ส่งเสริมนโยบายการบริหารความเสี่ยง และทำให้มั่นใจว่ากระบวนการบริหารความเสี่ยงได้รับการปฏิบัติทั่วทั้งองค์กร

รองกรรมการผู้จัดการ หรือ รองผู้อำนวยการ
– ต้องติดตามความเสี่ยงทางกลยุทธ์และความเสี่ยงด้านการปฏิบัติการที่สำคัญ และทำให้มั่นใจได้ว่ามีแผนการจัดการความเสี่ยงที่เหมาะสม
– ส่งเสริมวัฒนธรรมการบริหารความเสี่ยง และทำให้มั่นใจได้ว่าผู้อำนวยการฝ่ายให้ความสำคัญกับการบริหารความเสี่ยงในฝ่ายของตน

ผู้อำนวยการฝ่าย
– ต้องทำให้มั่นใจว่าการปฏิบัติงานรายวันมีการประเมิน จัดการและรายงานความเสี่ยงอย่างเพียงพอ
– มีการส่งเสริมพนักงานในฝ่ายให้ตระหนักถึงความสำคัญของการบริหารความเสี่ยง

หัวหน้างานหรือพนักงาน
– มีหน้าที่ระบุและรายงานความเสี่ยงที่เกี่ยวข้องกับการปฏิบัติงานต่อผู้อำนวยการฝ่าย และเข้าร่วมในการจัดทำแผนจัดการความเสี่ยง และนำแผนไปปฏิบัติ

หน่วยงานหรือผู้รับผิดชอบการบริหารความเสี่ยง
– ต้องปฏิบัติหน้าที่ประจำวันแทนคณะกรรมการบริหารความเสี่ยง
– จัดทำนโยบายความเสี่ยง กรอบและกระบวนการให้กับหน่วยงานและเสนอคณะกรรมการบริหารความเสี่ยงเพื่ออนุมัติ
– มีหน้าที่ให้การสนับสนุน และแนะนำกระบวนการบริหารความเสี่ยง แก่หน่วยงานต่าง ๆ ภายในองค์กรตามที่มีการร้องขอ

ผู้ตรวจสอบภายใน
– ต้องทำให้มั่นใจว่ามีการควบคุมภายในองค์กรที่เหมาะสมต่อการจัดการความเสี่ยง และการควบคุมเหล่านั้นได้รับการปฏิบัติตาม
– ทำให้มั่นใจว่าได้มีการนำระบบการบริหารความเสี่ยงมาปรับใช้อย่างเหมาะสมและมีการปฏิบัติตามทั่วทั้งองค์กร
– มีการสอบทานการปฏิบัติงานของหน่วยงานการบริหารความเสี่ยง
– ต้องสื่อสารกับหน่วยงานการบริหารความเสี่ยงเพื่อทำความเข้าใจเกี่ยวกับความเสี่ยง และดำเนินการตรวจสอบภายในตามแนวความเสี่ยง (Risk Based Auditing)

ถึงแม้ว่าจะมีการกำหนดบทบาทและหน้าที่ความรับผิดชอบของผู้เกี่ยวข้องกับการบริหารความเสี่ยงไว้อย่างชัดเจนแล้วก็ตาม แต่อย่างไรก็ตาม องค์กรทั่วไปควรกำหนดให้การบริหารความเสี่ยงเป็นความรับผิดชอบร่วมกันของผู้บริหารและพนักงานทุกระดับ และให้มีการปฏิบัติอย่างต่อเนื่อง เพื่อให้การบริหารความเสี่ยงประสบความสำเร็จและมีประสิทธิภาพสูงสุด

ผมจะขอทิ้งท้ายด้วยภาพของบทบาทและหน้าที่ความรับผิดชอบของผู้บริหารความเสี่ยง ดังที่ได้อธิบายในข้างต้นไว้ให้ได้ชมกันครับ

บทบาทและหน้าที่ความรับผิดชอบของผู้บริหารความเสี่ยง

เมื่อได้ทราบถึงภาพรวมของการบริหารความเสี่ยง กรอบของการบริหารความเสี่ยง ความหมายของความเสี่ยง ประเภทและแหล่งที่มาหรือเหตุแห่งความเสี่ยง เป็นซึ่งเป็นพื้นฐานเบื้องต้นที่ผมได้กล่าวถึงไปบ้างแล้ว วันนี้เราจะมาพูดกันถึงแนวทางและเครื่องมือที่ใช้ในการระบุความเสี่ยงกันครับ

ก่อนอื่นผมมีภาพที่อยากให้เห็นถึงการระบุปัจจัยเสี่ยงกับแนวคิดด้านความเสี่ยงบางประการ เพื่อความเข้าใจที่ชัดเจนยิ่งขึ้น โปรดดูตามภาพด้านล่างนี้เลยครับ

การระบุปัจจัยเสี่ยงและแนวคิดบางประการ

แนวทางที่สามารถใช้ในการระบุความเสี่ยงขององค์กร

1. การใช้ประสบการณ์ของผู้ประเมินในการระบุเหตุการณ์ที่เคยเกิดขึ้น หรือพิจารณาแล้วว่ามีโอกาสที่จะเกิดขึ้นได้ หรือใช้การเก็บข้อมูลเกี่ยวกับปัญหา/ข้อผิดพลาดในกระบวนการทำงานที่เคยเกิดขึ้นในอดีตและได้มีการบันทึกไว้ หรือเป็นข้อมูลที่บันทึกอยู่ในระบบคอมพิวเตอร์ สามารถนำมาใช้เป็นแนวทาง และเป็นข้อมูลเบื้องต้นได้

2. การใช้คู่มือปฏิบัติงาน หรือ Work flow charts เพื่อลำดับขั้นตอนของกระบวนการทำงาน และพิจารณาว่าในแต่ละขั้นตอนอาจจะเกิดเหตุการณ์ต่าง ๆ ซึ่งอาจจะทำให้กิจกรรมนั้น ๆ หยุดชะงัก หรือผิดพลาดจนก่อให้เกิดความเสียหายขึ้นได้

3. การระดมความคิดจากพนักงานที่มีส่วนเกี่ยวข้องกับกิจกรรมดังกล่าว ทั้งภายในและภายนอกหน่วยงาน เพื่อร่วมกันพิจารณาว่ามีเหตุการณ์ใดบ้างที่เกิดขึ้นแล้วส่งผลกระทบเสียหายต่องานที่ดูแล

4. การใช้แบบสอบถามความคิดเห็นไปยังผู้รับผิดชอบกิจกรรมการทำงานต่าง ๆ ว่ามีปัญหาข้อผิดพลาด หรือความเสี่ยงในลักษณะใด ก่อให้เกิดความเสียหายมากน้อยแค่ไหน ซึ่งการสอบถามควรกระทำกับเจ้าหน้าที่ที่เกี่ยวข้องโดยตรง ซึ่งเป็นผู้ทราบข้อมูลต่าง ๆ อย่างแท้จริง นอกจากนี้คำตอบที่ได้รับอาจจะไม่ใช่ข้อเท็จจริงทั้งหมด เพราะการตอบคำถามอาจจะรวมข้อคิดเห็น ความรู้สึก และทัศนคติส่วนตัว ดังนั้นผู้ประเมินควรใช้วิธีอื่นควบคู่กันไปด้วย

5. การใช้แบบตรวจสอบรายการ เพื่อใช้เป็นแนวทางในการติดตามและตรวจสอบรายละเอียดของงานต่าง ๆ เพื่อพิจารณาความเสี่ยงในแต่ละกิจกรรม

การเลือกใช้แหล่งข้อมูล/วิธีการใด ๆ ในการระบุความเสี่ยงนั้น อาจแตกต่างกันในแต่ละฝ่ายงานและแต่ละเหตุความเสี่ยง โดยขึ้นอยู่กับลักษณะงานและวิธีปฏิบัติของแต่ละฝ่ายงาน

เครื่องมือสำหรับการระบุความเสี่ยงด้านปฏิบัติการ ประกอบด้วย
1. แบบประเมินตนเอง
ซึ่งเป็นเครื่องมือที่ใช้ในการประเมินการควบคุมตนเอง (Control Self Assessment) และรับผิดชอบให้มีการประเมินตนเอง โดยกำหนดให้ทุกฝ่ายงานมีหน้าที่ต้องประเมินตนเองอย่างน้อยปีละ 1 ครั้ง ทั้งนี้ผู้ประเมินต้องระบุประเภทความเสี่ยงที่เผชิญอยู่ในแต่ละกิจกรรม หรือแต่ละกระบวนการปฏิบัติงานที่อยู่ภายใต้ความรับผิดชอบของตน รวมทั้งประเด็นของความพร้อมของบุคคลากร ทรัพยากร และระบบงานที่เกี่ยวข้อง พร้อมทั้งเสนอแนะแนวทางที่จะบริหารความเสี่ยงที่เผชิญอยู่นั้น

2. ดัชนีเครื่องชี้ความเสี่ยง
ดัชนีเครื่องชี้ความเสี่ยง (Key Risk Indicators) จะถูกใช้เป็นเครื่องมือระบุความเสี่ยงที่เกิดขึ้นในกระบวนการปฏิบัติงานต่าง ๆ ดัชนีเครื่องชี้ความเสี่ยงจะถูกสร้างขึ้น โดยความเห็นชอบร่วมกันระหว่างหน่วยงานที่เกี่ยวข้องกับโครงการและแผนงานต่าง ๆ กับฝ่ายบริหารความเสี่ยง (ถ้ามี) เพื่อชี้ให้เห็นถึงความเสี่ยงที่อาจจะเกิดความเสียหายขึ้นในกระบวนการตามแผนงานต่าง ๆ ซึ่งนอกจากจะเป็นเครื่องมือที่ใช้ในการติดตามความเสี่ยงแล้ว ยังจะช่วยนําไปสู่การค้นหาสาเหตุเพื่อป้องกันและ/หรือแก้ไขเพื่อป้องกันหรือบรรเทาผลกระทบที่จะเกิดขึ้นในอนาคตได้อีกด้วย โดยกำหนดให้ทุกฝ่ายงานมีหน้าที่ต้องจัดทำดัชนีเครื่องชี้ความเสี่ยง

เมื่อได้ทราบถึงภาพรวมของการบริหารความเสี่ยง กรอบของการบริหารความเสี่ยง ความหมายของความเสี่ยง ประเภทและแหล่งที่มาหรือเหตุแห่งความเสี่ยง เป็นซึ่งเป็นพื้นฐานเบื้องต้นที่ผมได้กล่าวถึงไปบ้างแล้ว วันนี้เราจะมาพูดกันถึงแนวทางและเครื่องมือที่ใช้ในการระบุความเสี่ยงกันครับ

ก่อนอื่นผมมีภาพที่อยากให้เห็นถึงการระบุปัจจัยเสี่ยงกับแนวคิดด้านความเสี่ยงบางประการ เพื่อความเข้าใจที่ชัดเจนยิ่งขึ้น โปรดดูตามภาพด้านล่างนี้เลยครับ

การระบุปัจจัยเสี่ยงและแนวคิดบางประการ

แนวทางที่สามารถใช้ในการระบุความเสี่ยงขององค์กร

1. การใช้ประสบการณ์ของผู้ประเมินในการระบุเหตุการณ์ที่เคยเกิดขึ้น หรือพิจารณาแล้วว่ามีโอกาสที่จะเกิดขึ้นได้ หรือใช้การเก็บข้อมูลเกี่ยวกับปัญหา/ข้อผิดพลาดในกระบวนการทำงานที่เคยเกิดขึ้นในอดีตและได้มีการบันทึกไว้ หรือเป็นข้อมูลที่บันทึกอยู่ในระบบคอมพิวเตอร์ สามารถนำมาใช้เป็นแนวทาง และเป็นข้อมูลเบื้องต้นได้

2. การใช้คู่มือปฏิบัติงาน หรือ Work flow charts เพื่อลำดับขั้นตอนของกระบวนการทำงาน และพิจารณาว่าในแต่ละขั้นตอนอาจจะเกิดเหตุการณ์ต่าง ๆ ซึ่งอาจจะทำให้กิจกรรมนั้น ๆ หยุดชะงัก หรือผิดพลาดจนก่อให้เกิดความเสียหายขึ้นได้

3. การระดมความคิดจากพนักงานที่มีส่วนเกี่ยวข้องกับกิจกรรมดังกล่าว ทั้งภายในและภายนอกหน่วยงาน เพื่อร่วมกันพิจารณาว่ามีเหตุการณ์ใดบ้างที่เกิดขึ้นแล้วส่งผลกระทบเสียหายต่องานที่ดูแล

4. การใช้แบบสอบถามความคิดเห็นไปยังผู้รับผิดชอบกิจกรรมการทำงานต่าง ๆ ว่ามีปัญหาข้อผิดพลาด หรือความเสี่ยงในลักษณะใด ก่อให้เกิดความเสียหายมากน้อยแค่ไหน ซึ่งการสอบถามควรกระทำกับเจ้าหน้าที่ที่เกี่ยวข้องโดยตรง ซึ่งเป็นผู้ทราบข้อมูลต่าง ๆ อย่างแท้จริง นอกจากนี้คำตอบที่ได้รับอาจจะไม่ใช่ข้อเท็จจริงทั้งหมด เพราะการตอบคำถามอาจจะรวมข้อคิดเห็น ความรู้สึก และทัศนคติส่วนตัว ดังนั้นผู้ประเมินควรใช้วิธีอื่นควบคู่กันไปด้วย

5. การใช้แบบตรวจสอบรายการ เพื่อใช้เป็นแนวทางในการติดตามและตรวจสอบรายละเอียดของงานต่าง ๆ เพื่อพิจารณาความเสี่ยงในแต่ละกิจกรรม

การเลือกใช้แหล่งข้อมูล/วิธีการใด ๆ ในการระบุความเสี่ยงนั้น อาจแตกต่างกันในแต่ละฝ่ายงานและแต่ละเหตุความเสี่ยง โดยขึ้นอยู่กับลักษณะงานและวิธีปฏิบัติของแต่ละฝ่ายงาน

เครื่องมือสำหรับการระบุความเสี่ยงด้านปฏิบัติการ ประกอบด้วย
1. แบบประเมินตนเอง
ซึ่งเป็นเครื่องมือที่ใช้ในการประเมินการควบคุมตนเอง (Control Self Assessment) และรับผิดชอบให้มีการประเมินตนเอง โดยกำหนดให้ทุกฝ่ายงานมีหน้าที่ต้องประเมินตนเองอย่างน้อยปีละ 1 ครั้ง ทั้งนี้ผู้ประเมินต้องระบุประเภทความเสี่ยงที่เผชิญอยู่ในแต่ละกิจกรรม หรือแต่ละกระบวนการปฏิบัติงานที่อยู่ภายใต้ความรับผิดชอบของตน รวมทั้งประเด็นของความพร้อมของบุคคลากร ทรัพยากร และระบบงานที่เกี่ยวข้อง พร้อมทั้งเสนอแนะแนวทางที่จะบริหารความเสี่ยงที่เผชิญอยู่นั้น

2. ดัชนีเครื่องชี้ความเสี่ยง
ดัชนีเครื่องชี้ความเสี่ยง (Key Risk Indicators) จะถูกใช้เป็นเครื่องมือระบุความเสี่ยงที่เกิดขึ้นในกระบวนการปฏิบัติงานต่าง ๆ ดัชนีเครื่องชี้ความเสี่ยงจะถูกสร้างขึ้น โดยความเห็นชอบร่วมกันระหว่างหน่วยงานที่เกี่ยวข้องกับโครงการและแผนงานต่าง ๆ กับฝ่ายบริหารความเสี่ยง (ถ้ามี) เพื่อชี้ให้เห็นถึงความเสี่ยงที่อาจจะเกิดความเสียหายขึ้นในกระบวนการตามแผนงานต่าง ๆ ซึ่งนอกจากจะเป็นเครื่องมือที่ใช้ในการติดตามความเสี่ยงแล้ว ยังจะช่วยนําไปสู่การค้นหาสาเหตุเพื่อป้องกันและ/หรือแก้ไขเพื่อป้องกันหรือบรรเทาผลกระทบที่จะเกิดขึ้นในอนาคตได้อีกด้วย โดยกำหนดให้ทุกฝ่ายงานมีหน้าที่ต้องจัดทำดัชนีเครื่องชี้ความเสี่ยง

นอกจากความเสี่ยงในด้านต่าง ๆ และความเสี่ยงในด้านการปฏิบัติการที่ได้กล่าวไปในครั้งก่อนแล้ว องค์กรต่าง ๆ อาจเผชิญกับความเสี่ยงที่เป็นความไม่แน่นอนและอยู่ใกล้ตัวมากที่สุด ซึ่งมีความสำคัญที่จะกระทบปัจจัยเสี่ยงอื่น ๆ ในทุกเรื่อง รวมถึงความเสี่ยงจากสภาพแวดล้อมทั่วไปด้วยเช่นกันที่องค์กรควรต้องกำหนดแนวทาง ระบุความเสี่ยง และจัดหาเครื่องมือในการจัดการกับความเสี่ยงที่จะอาจเกิดขึ้น

ความเสี่ยงจากสภาพแวดล้อมทั่วไปขององค์กร เช่น จริยธรรม คุณธรรมในการบริหารงาน ปรัชญา ความเชื่อในเรื่องการบริหารความเสี่ยงที่เป็นรูปธรรม แนวความคิดและความเข้าใจของการนำการบริหารความเสี่ยงมาใช้ในองค์กร การกำหนดความเสี่ยงที่ยอมรับได้ (Risk Appetite) การจัดโครงสร้างขององค์กร การมอบหมายอำนาจและหน้าที่ ขั้นตอนการปฏิบัติงาน วัฒนธรรมในการดำเนินงานขององค์กร ความเกรงใจ ความเห็นแก่หน้า การไม่เคารพกฎและกติกาตามหลักการกำกับดูแลกิจการที่ดี การขาดการประสานงาน การทำงานเป็นทีมที่ด้อยคุณภาพ ความไม่มีใจต่อความสำเร็จขององค์กร การมีอัตตาหรือการไม่รับฟังความคิดเห็นจากผู้ร่วมงาน การให้คุณให้โทษที่ไม่เป็นธรรม โดยไม่ยึดผลสำเร็จของงาน การขาดการติดตามวัดผลสำเร็จของแผนงาน โครงการ ตามพันธกิจที่ได้ดุลยภาพและมีคุณภาพ รวมทั้งทัศนคติของผู้บริหารที่อาจชอบฟังหรือรับทราบเฉพาะเรื่องดี ๆ โดยไม่ยอมรับฟังเรื่องเชิงลบ ทั้งที่เป็นเรื่องจริงที่เป็นความเสี่ยงและมีผลกระทบต่อเป้าประสงค์ ทั้งระยะสั้น ระยะยาว เป็นต้น

ซึ่งความเสี่ยงจากสภาพแวดล้อมทั่วไปเหล่านี้จะมีผลอย่างสำคัญต่อความสำเร็จของการบริหารความเสี่ยงทางด้านกลยุทธ์ ทางด้านการดำเนินงาน ทางด้านการเงินและการรายงาน ทางด้านการปฏิบัติตามกฎหมาย กฎเกณฑ์ และคำสั่งต่าง ๆ ของทุกองค์กรได้

องค์กรทั่วไป ควรจะมีการสอบทานความเหมาะสม และระบุปัจจัยเสี่ยงที่อาจเกิดจากสภาพแวดล้อมทั่วไปดังกล่าวข้างต้นควบคู่กันไปกับการบริหารความเสี่ยงขององค์ประกอบอื่น ๆ และพิจารณาหาแนวทางควบคุมและจัดการกับความเสี่ยงที่มีนัยสำคัญให้อยู่ในระดับที่องค์กรยอมรับได้ โดยใช้เครื่องมือสำหรับระบุความเสี่ยงในแบบการประเมินตนเองหรือ CSA – Control Self Assessment โดยใช้บุคคลภายในองค์กรเอง หรือ QAR – Quality Assurance Review โดยใช้บุคคลภายนอก หรือดัชนีเครื่องชี้ความเสี่ยง (Key Risk Indicators) ตามความเหมาะสมต่อไป

นี่คือ ตัวอย่างบางประการที่มีความสำคัญต่อการบริหารความเสี่ยง ซึ่งเป็นเครื่องมือและกระบวนการบริหารเชิงรุกภายใต้กรอบการกำกับดูแลกิจการที่ดี ที่คณะกรรมการบริหาร ผู้บริหาร ผู้ปฏิบัติงานทุกคนขององค์กรทั่วไป จะมีส่วนร่วมอย่างสำคัญในการนำไปปฏิบัติควบคู่กับการบริหารแผนงานและโครงการต่าง ๆ ขององค์กร เพื่อสร้างความมั่นใจอย่างสมเหตุสมผลว่า องค์กรจะบรรลุเป้าประสงค์หลักโดยมีการจัดการและควบคุมความเสี่ยงอย่างพอเพียงและเหมาะสม

นอกจากความเสี่ยงในด้านต่าง ๆ และความเสี่ยงในด้านการปฏิบัติการที่ได้กล่าวไปในครั้งก่อนแล้ว องค์กรต่าง ๆ อาจเผชิญกับความเสี่ยงที่เป็นความไม่แน่นอนและอยู่ใกล้ตัวมากที่สุด ซึ่งมีความสำคัญที่จะกระทบปัจจัยเสี่ยงอื่น ๆ ในทุกเรื่อง รวมถึงความเสี่ยงจากสภาพแวดล้อมทั่วไปด้วยเช่นกันที่องค์กรควรต้องกำหนดแนวทาง ระบุความเสี่ยง และจัดหาเครื่องมือในการจัดการกับความเสี่ยงที่จะอาจเกิดขึ้น

ความเสี่ยงจากสภาพแวดล้อมทั่วไปขององค์กร เช่น จริยธรรม คุณธรรมในการบริหารงาน ปรัชญา ความเชื่อในเรื่องการบริหารความเสี่ยงที่เป็นรูปธรรม แนวความคิดและความเข้าใจของการนำการบริหารความเสี่ยงมาใช้ในองค์กร การกำหนดความเสี่ยงที่ยอมรับได้ (Risk Appetite) การจัดโครงสร้างขององค์กร การมอบหมายอำนาจและหน้าที่ ขั้นตอนการปฏิบัติงาน วัฒนธรรมในการดำเนินงานขององค์กร ความเกรงใจ ความเห็นแก่หน้า การไม่เคารพกฎและกติกาตามหลักการกำกับดูแลกิจการที่ดี การขาดการประสานงาน การทำงานเป็นทีมที่ด้อยคุณภาพ ความไม่มีใจต่อความสำเร็จขององค์กร การมีอัตตาหรือการไม่รับฟังความคิดเห็นจากผู้ร่วมงาน การให้คุณให้โทษที่ไม่เป็นธรรม โดยไม่ยึดผลสำเร็จของงาน การขาดการติดตามวัดผลสำเร็จของแผนงาน โครงการ ตามพันธกิจที่ได้ดุลยภาพและมีคุณภาพ รวมทั้งทัศนคติของผู้บริหารที่อาจชอบฟังหรือรับทราบเฉพาะเรื่องดี ๆ โดยไม่ยอมรับฟังเรื่องเชิงลบ ทั้งที่เป็นเรื่องจริงที่เป็นความเสี่ยงและมีผลกระทบต่อเป้าประสงค์ ทั้งระยะสั้น ระยะยาว เป็นต้น

ซึ่งความเสี่ยงจากสภาพแวดล้อมทั่วไปเหล่านี้จะมีผลอย่างสำคัญต่อความสำเร็จของการบริหารความเสี่ยงทางด้านกลยุทธ์ ทางด้านการดำเนินงาน ทางด้านการเงินและการรายงาน ทางด้านการปฏิบัติตามกฎหมาย กฎเกณฑ์ และคำสั่งต่าง ๆ ของทุกองค์กรได้

องค์กรทั่วไป ควรจะมีการสอบทานความเหมาะสม และระบุปัจจัยเสี่ยงที่อาจเกิดจากสภาพแวดล้อมทั่วไปดังกล่าวข้างต้นควบคู่กันไปกับการบริหารความเสี่ยงขององค์ประกอบอื่น ๆ และพิจารณาหาแนวทางควบคุมและจัดการกับความเสี่ยงที่มีนัยสำคัญให้อยู่ในระดับที่องค์กรยอมรับได้ โดยใช้เครื่องมือสำหรับระบุความเสี่ยงในแบบการประเมินตนเองหรือ CSA – Control Self Assessment โดยใช้บุคคลภายในองค์กรเอง หรือ QAR – Quality Assurance Review โดยใช้บุคคลภายนอก หรือดัชนีเครื่องชี้ความเสี่ยง (Key Risk Indicators) ตามความเหมาะสมต่อไป

นี่คือ ตัวอย่างบางประการที่มีความสำคัญต่อการบริหารความเสี่ยง ซึ่งเป็นเครื่องมือและกระบวนการบริหารเชิงรุกภายใต้กรอบการกำกับดูแลกิจการที่ดี ที่คณะกรรมการบริหาร ผู้บริหาร ผู้ปฏิบัติงานทุกคนขององค์กรทั่วไป จะมีส่วนร่วมอย่างสำคัญในการนำไปปฏิบัติควบคู่กับการบริหารแผนงานและโครงการต่าง ๆ ขององค์กร เพื่อสร้างความมั่นใจอย่างสมเหตุสมผลว่า องค์กรจะบรรลุเป้าประสงค์หลักโดยมีการจัดการและควบคุมความเสี่ยงอย่างพอเพียงและเหมาะสม

หลังจากที่ได้เข้าใจในความหมายของความเสี่ยง แนวคิดและมุมมองการบริหารความเสี่ยงกันไปพอสมควรแล้ว ผมจะขอพูดถึงกรอบของการบริหารความเสี่ยง ซึ่งกรอบการบริหารความเสี่ยงจะช่วยให้ทุกหน่วยงานในองค์กรมีวิธีการในการระบุ ประเมิน และจัดการความเสี่ยงไปในทิศทางเดียวกัน อันจะส่งผลให้การบริหารความเสี่ยงเกิดประสิทธิผลสูงสุด

กรอบการบริหารความเสี่ยงควรประกอบไปด้วย 4 องค์ประกอบหลัก ซึ่งมีคุณลักษณะ ดังนี้

กรอบการบริหารความเสี่ยง

– วัฒนธรรมองค์กร (Culture)
ในการบริหารความเสี่ยงในทุก ๆ ระดับขององค์กร ผู้บริหารระดับสูงควรกำหนดนโยบาย วัตถุประสงค์ และกลยุทธ์ในการบริหารความเสี่ยงและระดับความเสี่ยงที่องค์กรยอมรับได้ และชี้แจงสิ่งเหล่านี้ให้ทุกคนในองค์กรได้รับทราบเพื่อจะได้ตระหนักถึงความสำคัญของการบริหารความเสี่ยง

– โครงสร้างการบริหารความเสี่ยง (Structure)กำหนดโครงสร้างการบริหารความเสี่ยงที่เหมาะสม และระบุหน้าที่และความรับผิดชอบต่อการบริหารความเสี่ยงอย่างชัดเจน โดยถือว่าการบริหารความเสี่ยงเป็นหน้าที่และความรับผิดชอบของทุกคนในองค์กร

– กระบวนการ (Process)ปฏิบัติตามกระบวนการบริหารความเสี่ยงอย่างเป็นระบบและต่อเนื่อง โดยมีการปรับปรุงกระบวนการให้มีความเหมาะสมกับการดำเนินธุรกิจอยู่เสมอ

– ปัจจัยพื้นฐาน (Infrastructure)มีปัจจัยพื้นฐานที่ดี ซึ่งประกอบด้วย
 บุคลากรที่มีความสามารถ
 วิธีการวัดผลการดำเนินงาน
 การให้ความรู้และฝึกอบรม
 ช่องทางในการสื่อสารทั้งภายในและภายนอกองค์กร
 วิธีการสอบทานคุณภาพเพื่อทำให้มั่นใจได้ว่าองค์กร สามารถดำเนินการบริหารความเสี่ยงได้อย่างมีประสิทธิผลและประสิทธิภาพ

หลังจากที่ได้เข้าใจในความหมายของความเสี่ยง แนวคิดและมุมมองการบริหารความเสี่ยงกันไปพอสมควรแล้ว ผมจะขอพูดถึงกรอบของการบริหารความเสี่ยง ซึ่งกรอบการบริหารความเสี่ยงจะช่วยให้ทุกหน่วยงานในองค์กรมีวิธีการในการระบุ ประเมิน และจัดการความเสี่ยงไปในทิศทางเดียวกัน อันจะส่งผลให้การบริหารความเสี่ยงเกิดประสิทธิผลสูงสุด

กรอบการบริหารความเสี่ยงควรประกอบไปด้วย 4 องค์ประกอบหลัก ซึ่งมีคุณลักษณะ ดังนี้

กรอบการบริหารความเสี่ยง

– วัฒนธรรมองค์กร (Culture)
ในการบริหารความเสี่ยงในทุก ๆ ระดับขององค์กร ผู้บริหารระดับสูงควรกำหนดนโยบาย วัตถุประสงค์ และกลยุทธ์ในการบริหารความเสี่ยงและระดับความเสี่ยงที่องค์กรยอมรับได้ และชี้แจงสิ่งเหล่านี้ให้ทุกคนในองค์กรได้รับทราบเพื่อจะได้ตระหนักถึงความสำคัญของการบริหารความเสี่ยง

– โครงสร้างการบริหารความเสี่ยง (Structure)กำหนดโครงสร้างการบริหารความเสี่ยงที่เหมาะสม และระบุหน้าที่และความรับผิดชอบต่อการบริหารความเสี่ยงอย่างชัดเจน โดยถือว่าการบริหารความเสี่ยงเป็นหน้าที่และความรับผิดชอบของทุกคนในองค์กร

– กระบวนการ (Process)ปฏิบัติตามกระบวนการบริหารความเสี่ยงอย่างเป็นระบบและต่อเนื่อง โดยมีการปรับปรุงกระบวนการให้มีความเหมาะสมกับการดำเนินธุรกิจอยู่เสมอ

– ปัจจัยพื้นฐาน (Infrastructure)มีปัจจัยพื้นฐานที่ดี ซึ่งประกอบด้วย
 บุคลากรที่มีความสามารถ
 วิธีการวัดผลการดำเนินงาน
 การให้ความรู้และฝึกอบรม
 ช่องทางในการสื่อสารทั้งภายในและภายนอกองค์กร
 วิธีการสอบทานคุณภาพเพื่อทำให้มั่นใจได้ว่าองค์กร สามารถดำเนินการบริหารความเสี่ยงได้อย่างมีประสิทธิผลและประสิทธิภาพ