แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

มิถุนายน 8, 2009

คงต้องขออภัยท่านผู้อ่านที่ติดตามกรอบการบริหารความเสี่ยง เพราะช่วงนี้ผมกำลังเร่ง post ข้อมูลเกี่ยวกับ IT Audit และ Non – IT Audit ทางด้านการทุจริตที่กำลังเป็นข่าว และเป็นเรื่องสำคัญที่น่าสนใจและควรติดตาม ประกอบกับเกิดปัญหาทางด้านเทคนิคในการ update ข้อมูลในหัวข้อดังกล่าว ทำให้ข้อมูลที่เคย post และแก้ไขหายไป ก็ต้องขออภัยอีกครั้งสำหรับผู้ที่ติดตามเนื้อหาทางด้าน Audit อยู่ เป็นเหตุให้ห่างหายจากการ update เรื่องความเสี่ยงในหัวข้อนี้ไปบ้าง แต่ผมก็จะพยายามหาเวลา post ข้อมูลให้ได้ในทุกหัวข้อเพื่อท่านผู้อ่านจะได้ติดตามได้อย่างต่อเนื่องครับ

สำหรับวันนี้ ผมจะมาต่อในกระบวนการขั้นที่ 2 ของกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ตามหลัก COSO – ERM คือ การกำหนดวัตถุประสงค์ (Objective Setting) ในเรื่องของการกำหนดวัตถุประสงค์/เป้าประสงค์ที่ชัดเจนของแผนงานและโครงการ

การกำหนดวัตถุประสงค์ต้องมีความสอดคล้องกันทั่วทั้งองค์กร เพื่อให้เกิดความมั่นใจว่า ผู้บริหาร และพนักงานทุกคนกำลังดำเนินการเพื่อให้บรรลุวัตถุประสงค์ขององค์กร โดยใช้วิธีการที่เรียกว่า SMART ซึ่งอธิบายด้วยแผนภาพ เพื่อให้เข้าใจได้ง่าย ๆ ดังนี้

การกำหนดวัตถุประสงค์ที่ชัดเจนตามหลัก SMART

การกำหนดวัตถุประสงค์ที่ชัดเจนตามหลัก SMART

การกำหนดวัตถุประสงค์ที่ดี แบบ SMART
1. Sensible & Specific หมายถึง วัตถุประสงค์ที่ดีต้องมีความเป็นไปได้และชัดเจน นั่นคือ ควรกำหนดวัตถุประสงค์ให้มีความเป็นไปได้ สามารถปฏิบัติได้จริง นอกจากนี้ยังควรมีความชัดเจน โดยผู้ปฏิบัติสามารถเข้าใจความหมายได้ตรงกัน และปฏิบัติได้อย่างสอดคล้องและเป็นไปในแนวทางเดียวกัน

2. Measurable หมายถึง วัตถุประสงค์นั้นต้องสามารถวัดผลได้ นั่นคือในการกำหนดวัตถุประสงค์ควรพิจารณาถึงประเด็นเกี่ยวกับการวัดผลด้วย การกำหนดวัตถุประสงค์ที่สามารถวัดผลได้ทำให้สามารถรู้ได้แน่ชัดว่าดำเนินการถึงขั้นตอนใด และผลของการดำเนินการในแต่ละขั้นเป็นอย่างไร บรรลุผลสำเร็จหรือไม่

3. Attainable & Assignable หมายถึง วัตถุประสงค์ที่ดีต้องสามารถบรรลุผลและมอบหมายได้ ในการกำหนดวัตถุประสงค์นั้นไม่ควรกำหนดไว้สูงเกินไปจนไม่สามารถปฏิบัติเพื่อบรรลุตามวัตถุประสงค์ที่กำหนดไว้ได้ ทำให้ผู้ปฏิบัติรู้สึกท้อแท้เพราะทำอย่างไรก็ไม่สามารถบรรลุวัตถุประสงค์ได้ นอกจากนี้วัตถุประสงค์ที่ดีต้องสามารถมอบหมายให้ผู้ปฏิบัตินำไปปฏิบัติได้ สามารถนำมาแยกย่อยเป็นกิจกรรมหลาย ๆ กิจกรรมเพื่อมอบหมายให้ผู้ที่เกี่ยวข้องนำไปปฏิบัติตามความรับผิดชอบของตน เพื่อมุ่งไปสู่เป้าหมายเดียวกันคือการบรรลุตามวัตถุประสงค์ที่กำหนดไว้

4. Reasonable & Realistic หมายถึง วัตถุประสงค์ที่ดีต้องสามารถอธิบายได้ มีความสมเหตุสมผลและมีความเป็นจริง ปฏิบัติได้จริง

5. Time Available หมายถึง วัตถุประสงค์ที่ดีต้องเหมาะสมกับห้วงเวลาในขณะนั้น วัตถุประสงค์ข้อหนึ่งอาจมีความเหมาะสมกับช่วงเวลาใดเวลาหนึ่ง เมื่อเวลาเปลี่ยนไปวัตถุประสงค์ข้อนั้นอาจไม่เหมาะสมกับสถานการณ์ที่เปลี่ยนไปได้

ความซ้ำซ้อนของวัตถุประสงค์
วัตถุประสงค์ของหน่วยงานหนึ่งอาจซ้ำซ้อนกับอีกหน่วยงานหนึ่งได้ การจัดกลุ่มของวัตถุประสงค์เพื่อมุ่งสู่พันธกิจ และวิสัยทัศน์ขององค์กรนั้น อาจขึ้นอยู่กับโอกาส ยกตัวอย่างเช่น การเตรียมข้อมูลให้กับผู้บริหารระดับสูงเพื่อใช้ในการบริหารจัดการ และควบคุมกิจกรรมในการส่งเสริมการผลิต อาจมีลักษณะเป็นวัตถุประสงค์เชิงปฏิบัติการและวัตถุประสงค์เชิงรายงานไปพร้อม ๆ กัน

ในบางองค์กรใช้การแบ่งกลุ่มวัตถุประสงค์ในแบบอื่น ๆ “การป้องกันทรัพยากร” บางครั้งอาจหมายถึง “การป้องกันทรัพย์สิน” ซึ่งซ้ำซ้อนกับกลุ่มวัตถุประสงค์อื่น ๆ หากมองอย่างกว้าง ๆ การป้องกันทรัพย์สิน หมายถึง การป้องกันความสูญเสียของทรัพย์สินหรือทรัพยากรขององค์กร ไม่ว่าจะเป็นการลักขโมย ความสิ้นเปลือง ความบกพร่อง หรือสิ่งใดก็ตามที่ทำให้เกิดการตัดสินใจที่ไม่ดี เช่น การขายสินค้าราคาต่ำเกินไป ความล้มเหลวในการรักษาพนักงานคนสำคัญ หรือ การป้องกันการละเมิดสิทธิ์ หรือหนี้สินที่ไม่ได้คาดมาก่อน เป็นต้น

สิ่งเหล่านี้เป็นวัตถุประสงค์เชิงปฏิบัติการเบื้องต้น เมื่อประยุกต์กฎหมายหรือกฎเกณฑ์ต่าง ๆ ก็จะกลายเป็นวัตถุประสงค์เชิงความร่วมมือ ในทางตรงข้ามภาพสะท้อนการสูญเสียทรัพย์สินในสถานะทางการเงินขององค์กรเป็นการนำเสนอวัตถุประสงค์เชิงรายงาน เมื่อนำมาใช้ร่วมกับการรายงานต่อสาธารณะ คำจำกัดความที่แคบลงของการป้องกันทรัพย์สินจะหมายถึง การปกป้องการได้มาซึ่งอำนาจโดยไม่ชอบ การใช้หรือการเคลื่อนย้ายทรัพย์สินขององค์กร

การบรรลุผลสำเร็จของวัตถุประสงค์
การตั้งวัตถุประสงค์เป็นส่วนสำคัญของการบริหารความเสี่ยงของสายงานหรือของหน่วยงานธุรกิจที่เกี่ยวข้อง แม้ว่าวัตถุประสงค์จะช่วยในการสร้างเป้าหมายที่สามารถวัดได้ใกล้เคียงกับองค์กรเพื่อเคลื่อนสู่การดำเนินกิจกรรม แต่อาจมีความแตกต่างกันในเรื่องระดับความสำคัญและลำดับก่อนหลัง แม้ว่าองค์กรทั่วไปจะมั่นใจอย่างมีเหตุมีผลว่าจะบรรลุวัตถุประสงค์ได้ แต่ไม่ใช่กับทุกวัตถุประสงค์

การบริหารความเสี่ยงที่มีประสิทธิภาพจะนำความมั่นใจที่มีเหตุมีผลว่าวัตถุประสงค์เชิงรายงานขององค์กรกำลังบรรลุความสำเร็จ เช่นเดียวกันกับวัตถุประสงค์เชิงความร่วมมือ การรายงานที่บรรลุความสำเร็จและวัตถุประสงค์เชิงความร่วมมือโดยทั่วไปอยู่ภายในการควบคุมขององค์กร นั่นคือทันทีที่กำหนดวัตถุประสงค์แล้ว องค์กรจะควบคุมว่าจะต้องทำอย่างไรให้บรรลุวัตถุประสงค์นั้น แต่มีความแตกต่างเมื่อกลายเป็นวัตถุประสงค์เชิงปฏิบัติการด้วยเหตุผลหลายประการ องค์กรอาจปฏิบัติได้ดังที่ตั้งใจแต่ไม่สามารถสู้คู่แข่งขันได้ ซึ่งเป็นปัญหาจากปัจจัยภายนอก เช่น การเปลี่ยนแปลงรัฐบาล สภาวะแวดล้อมทางอากาศ และ/หรือเหตุการณ์ที่ไม่สามารถควบคุมได้

ซึ่งเหล่านี้อาจนำมาพิจารณาในขั้นตอนการตั้งวัตถุประสงค์ในแง่ของการมีความเป็นไปได้น้อย โดยใช้การวางแผนตามสถานการณ์ในกรณีที่มีเหตุการณ์เกิดขึ้น อย่างไรก็ตาม แม้ว่าแผนงานจะสามารถบรรเทาผลกระทบจากเหตุการณ์ภายนอกได้ แต่ก็ไม่สามารถมั่นใจได้ว่าวัตถุประสงค์จะบรรลุผลสำเร็จ

การบริหารความเสี่ยงขององค์กรที่มีจุดมุ่งหมายพื้นฐานในการพัฒนาความยั่งยืนของวัตถุประสงค์และเป้าหมายทั่วทั้งองค์กร การแยกแยะปัจจัยที่ทำให้สำเร็จและความเสี่ยง การเข้าหาความเสี่ยงและการตอบสนอง การดำเนินการตอบสนองความเสี่ยงที่เหมาะสม การควบคุมความต้องการ และการรายงานผลการทำงานและความคาดหวัง สำหรับวัตถุประสงค์เหล่านี้ การบริหารความเสี่ยงขององค์กรสามารถสร้างความมั่นใจได้ว่าผู้บริหารจะตระหนักถึงขอบเขตขององค์กรในการมุ่งสู่วัตถุประสงค์

ครั้งหน้าผมจะพูดถึงวัตถุประสงค์ขององค์กรกับความเสี่ยง และระดับความเสี่ยงที่องค์กรยอมรับได้ โปรดติดตามในครั้งต่อไปนะครับ


แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

มิถุนายน 1, 2009

วันนี้ ผมจะนำเสนอถึงกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ตามหลักการของ COSO – ERM ในกระบวนการถัดไป ซึ่งเป็นเรื่องของการกำหนดวัตถุประสงค์ (Objective Setting) และถือเป็นหัวใจสำคัญของกระบวนการบริหารความเสี่ยง COSO – ERM ทั้ง 8 ประการ หลังจากที่ได้พิจารณาสภาพแวดล้อมภายในองค์กรไปแล้ว

การบริหารงานเพื่อก้าวไปสู่พันธกิจ และวิสัยทัศน์ขององค์กร ซึ่งจะต้องถูกถ่ายทอดเป็นแผนปฏิบัติการและโครงการต่าง ๆ นั้น จำเป็นอย่างยิ่งที่ผู้เกี่ยวข้องจะต้องเข้าใจการกำหนดวัตถุประสงค์ให้ชัดเจน เพื่อกำหนดการควบคุมที่เหมาะสมได้ และมีหลักการโดยย่อตามรูปภาพ

การกำหนดวัตถุประสงค์ตามหลัก SMART

การกำหนดวัตถุประสงค์ตามหลัก SMART

เพราะการบริหารความเสี่ยงอย่างเป็นกระบวนการจะชี้ปัจจัยเสี่ยงจากความไม่แน่นอนต่าง ๆ ซึ่งเกิดจากเหตุการณ์ภายใน และเหตุการณ์ภายนอกขององค์กรนั้น จะมุ่งไปสู่การระบุเหตุการณ์ที่มีผลกระทบต่อการบรรลุวัตถุประสงค์และเป้าหมายของแผนงาน/โครงการต่าง ๆ ขององค์กร เป็นสำคัญ และการจัดการกับความเสี่ยงใด ๆ ก็จะมุ่งไปที่สาเหตุ หรือมูลเหตุที่แท้จริงที่สามารถควบคุมและจัดการกับความเสี่ยงให้ได้ผลเป็นรูปธรรม เพื่อสร้างความมั่นใจอย่างสมเหตุสมผลว่า แผนงานและโครงการขององค์กรจะก้าวสู่ความสำเร็จได้ตามแผนงานที่วางไว้

วัตถุประสงค์โดยรวมของทุกองค์กร อาจแบ่งได้เป็นวัตถุประสงค์เชิงกลยุทธ์ หรือวัตถุประสงค์หลักขององค์กร และตามด้วยวัตถุประสงค์ย่อยที่เกี่ยวข้องกับการดำเนินการตามแผนงาน ซึ่งจะอธิบายโดยแผนภาพย่อ ๆ ซึ่งเป็นกระบวนการหนึ่งของการบริหารความเสี่ยงทั่วทั้งองค์กร หรือ ERM 8 ประการ ดังนี้

องค์ประกอบสำคัญของการกำหนดวัตถุประสงค์ - หัวใจสำคัญของกระบวนการบริหารความเสี่ยง

องค์ประกอบสำคัญของการกำหนดวัตถุประสงค์ - หัวใจสำคัญของกระบวนการบริหารความเสี่ยง

ประเภทของวัตถุประสงค์
ทุก ๆ องค์กร จะต้องเผชิญกับความหลากหลายของความเสี่ยงจากแหล่งภายในและภายนอก รวมทั้งการคาดการณ์สำหรับการระบุเหตุการณ์ให้มีประสิทธิภาพ การประเมินความเสี่ยง การตอบสนองความเสี่ยงเป็นจุดเริ่มต้นของวัตถุประสงค์ โดยเชื่อมโยงกับระดับที่แตกต่างและมีความเหนียวแน่นอยู่ภายใน วัตถุประสงค์ถูกตั้งไว้ที่ระดับกลยุทธ์ เป็นพื้นฐานสำหรับการปฏิบัติการ การรายงานผล และการปฏิบัติตามวัตถุประสงค์ วัตถุประสงค์ได้ถูกวางเป็นแนวเดียวกับความเสี่ยงซึ่งผลักดันระดับความทนต่อความเสี่ยงเพื่อสร้างกิจกรรมต่าง ๆ ในองค์กร

การตั้งวัตถุประสงค์ คือ การคาดการณ์สำหรับการระบุเหตุการณ์ การประเมินความเสี่ยง และการตอบสนองความเสี่ยง การมีวัตถุประสงค์ก่อนการบริหารสามารถระบุความเสี่ยงสำหรับการบรรลุผลสำเร็จและเป็นการนำการปฏิบัติที่จำเป็นมาใช้ในการจัดการกับความเสี่ยง

การกำหนดวัตถุประสงค์จึงต้องมีความชัดเจนเพื่อให้การบ่งชี้ความเสี่ยงมีความน่าเชื่อถือ เมื่อได้กำหนดวัตถุประสงค์ขึ้นมาแล้วควรสื่อสารให้แก่หน่วยงานต่าง ๆ ที่เกี่ยวข้องในองค์กรด้วย เพื่อให้ผู้บริหารและพนักงานทุกคนมีความเข้าใจตรงกันและสามารถดำเนินการเพื่อมุ่งให้บรรลุเป้าหมายขององค์กรได้

1. วัตถุประสงค์เชิงกลยุทธ์ (Strategic Objective)/วัตถุประสงค์หลัก
พันธกิจขององค์กรถูกตั้งไว้อย่างกว้าง ๆ ว่าต้องการความสำเร็จอะไร อาจเรียกว่า พันธกิจ (Mission), วิสัยทัศน์ (Vision), หรือ เป้าหมาย (Purpose) ซึ่งล้วนแต่มีความสำคัญ ซึ่งฝ่ายบริหารที่มีความเอาใส่ใจได้สร้างไว้อย่างกว้าง ๆ ซึ่งเป็นเหตุผลในการเป็นอยู่ของกิจการ ผู้บริหารเป็นผู้ตั้งวัตถุประสงค์เชิงกลยุทธ์ สร้างกลยุทธ์และสร้างวัตถุประสงค์ที่เกี่ยวข้องเพื่อองค์กร ในขณะที่พันธกิจที่เป็นจริงและวัตถุประสงค์เชิงกลยุทธ์มีเสถียรภาพ กลยุทธ์และวัตถุประสงค์ที่เกี่ยวข้องจะมีความเป็นพลวัตรมากกว่าและสามารถปรับเปลี่ยนไปตามสภาพภายในและภายนอกได้

วัตถุประสงค์เชิงกลยุทธ์เป็นเป้าหมายระดับสูง เป็นแนวทางเดียวกันและสนับสนุนพันธกิจ วิสัยทัศน์ วัตถุประสงค์เชิงกลยุทธ์สะท้อนทางเลือกทางการบริหาร ในการทำอย่างไรให้องค์กรช่วยเพิ่มคุณค่าให้กับผู้มีผลประโยชน์ร่วม

ผู้บริหารเป็นผู้จัดตั้งเป้าหมายเชิงกลยุทธ์ (Strategic Objective) โดยเลือกกลยุทธ์ที่เกี่ยวข้องกับเป้าหมายระดับสูง (High-Level goal) และเป้าหมายดังกล่าวต้องสนับสนุนและเป็นไปในทิศทางเดียวกับวิสัยทัศน์และพันธกิจขององค์กร

ผู้บริหารระดับรองลงมา จะต้องกำหนดแผนปฏิบัติงานเพื่อรองรับแผนกลยุทธ์ และในแผนปฏิบัติงานนั้นต้องกำหนดวัตถุประสงค์เพื่อเชื่อมโยงและสอดคล้องกับเป้าหมายเชิงกลยุทธ์ ดังนั้นวัตถุประสงค์ที่กำหนดขึ้นจึงเป็นพื้นฐานสำคัญ ในการพิจารณาความเสี่ยงต่าง ๆ ที่อาจเกิดขึ้นและมีผลต่อความสำเร็จของวัตถุประสงค์นั้น ๆ

ในการพิจารณาเลือกกลยุทธ์เพื่อให้บรรลุผลสำเร็จ ผู้บริหารเป็นผู้ระบุความเสี่ยงกับระดับของกลยุทธ์ต่าง ๆ และพิจารณาสิ่งต่าง ๆ ที่เกี่ยวข้อง การระบุเหตุการณ์ที่หลากหลายและเทคนิคการประเมินความเสี่ยง สามารถนำมาใช้ในกระบวนการตั้งกลยุทธ์

2. วัตถุประสงค์ที่เกี่ยวข้อง
การตั้งวัตถุประสงค์ที่ถูกต้อง (ซึ่งสนับสนุนและเป็นไปในแนวทางเดียวกับกลยุทธ์ที่ได้เลือก) สัมพันธ์เกี่ยวข้องกับกิจกรรมขององค์กรเป็นสิ่งจำเป็นต่อความสำเร็จ หากมุ่งเน้นไปที่วัตถุประสงค์เชิงกลยุทธ์และกลยุทธ์ องค์กรได้ถูกวางไว้เพื่อพัฒนาวัตถุประสงค์ที่เกี่ยวข้องในระดับปฏิบัติการ ความสำเร็จจะสร้างและสงวนคุณค่าของวัตถุประสงค์เหล่านั้น ในวัตถุประสงค์แต่ละชุดจะเชื่อมโยงและรวมกับหลาย ๆ วัตถุประสงค์เฉพาะ ซึ่งลดหลั่นลงมาเป็นชั้น ๆ ผ่านองค์กรไปยังวัตถุประสงค์ย่อยซึ่งสร้างกิจกรรมที่หลากหลาย เช่น ยอดขาย การผลิต วิศวกรรมและงานด้านสาธารณูปโภคต่าง ๆ เป็นต้น

จากการตั้งวัตถุประสงค์ในระดับเอกลักษณ์และระดับกิจกรรมทำให้สามารถระบุปัจจัยสำคัญในความสำเร็จได้ ซึ่งหากต้องการไปถึงเป้าหมายจะต้องไปในทางที่ถูกต้อง ปัจจัยสำคัญมีอยู่เพื่อความเป็นจริงหน่วยธุรกิจ หน่วยงาน แผนกหรือปัจเจกบุคคล จากการตั้งวัตถุประสงค์ ผู้บริหารสามารถระบุเกณฑ์การวัดผลการปฏิบัติงานซึ่งมุ่งเน้นไปที่ปัจจัยสำคัญในความสำเร็จ

วัตถุประสงค์จะสอดคล้องกับการฝึกปฏิบัติและผลงาน การเชื่อมโยงระหว่างกิจกรรม อย่างไรก็ตามหากวัตถุประสงค์ใหม่มีความแตกต่างจากการปฏิบัติที่ผ่านมา ผู้บริหารมักเชื่อมต่อหรือเพิ่มความเสี่ยงขึ้น ซึ่งในกรณีนี้ความจำเป็นของวัตถุประสงค์ของหน่วยธุรกิจหรือวัตถุประสงค์ย่อยซึ่งสอดคล้องกับทิศทางใหม่จะมีความสำคัญมากกว่า

วัตถุประสงค์ต้องวัดได้และง่ายต่อการทำความเข้าใจ การบริหารความเสี่ยงของธุรกิจต้องการให้บุคลากรทุกระดับมีความเข้าใจวัตถุประสงค์ขององค์กรในแง่ที่มีความสัมพันธ์กับตนเอง พนักงานทุกคนจะต้องมีความเข้าใจสิ่งที่จะทำให้ประสบความสำเร็จและค่ากลางในการวัดผลของความสำเร็จ

กลุ่มของวัตถุประสงค์ที่เกี่ยวข้อง
เนื่องจากองค์กรต่าง ๆ มีวัตถุประสงค์ที่หลากหลาย จึงได้แบ่งเป็นกลุ่มได้ดังนี้
– วัตถุประสงค์เชิงปฏิบัติการ (Operation)
– เป็นวัตถุประสงค์ที่มุ่งสู่ความมีประสิทธิภาพและประสิทธิผลของการปฏิบัติงานขององค์กร ซึ่งรวมถึงวัตถุประสงค์ย่อยสำหรับการปฏิบัติที่มุ่งการส่งเสริมการปฏิบัติงานอย่างมีประสิทธิภาพและประสิทธิผล เพื่อที่จะนำพาองค์กรไปสู่เป้าหมายอันสูงสุด

– วัตถุประสงค์เชิงรายงาน(Reporting) – เป็นวัตถุประสงค์ที่เกี่ยวข้องกับความน่าเชื่อถือของการรายงาน ซึ่งรวมถึงรายงานภายในและภายนอก และอาจรวมถึงข้อมูลทางการเงินและข้อมูลที่ไม่ใช่การเงิน การรายงานที่น่าเชื่อถือทำให้ผู้บริหารได้รับข้อมูลที่ถูกต้องและสมบูรณ์เพื่อให้บรรลุเป้าหมายที่ตั้งไว้ และยังช่วยสนับสนุนการตัดสินใจของผู้บริหาร รวมทั้งช่วยตรวจสอบผลงานและกิจกรรมของผู้บริหาร ตัวอย่างของรายงานอาจรวมถึงผลของกิจกรรมทางการตลาด รายงานการขายประจำวัน คุณภาพการผลิต ลูกจ้าง และความพึงพอใจของลูกค้า รายงานที่น่าเชื่อถือทำให้ผู้บริหารมั่นใจในการเตรียมรายงานที่น่าเชื่อถือสำหรับการนำไปเผยแพร่ รายงานเหล่านี้รวมถึงเอกสารทางการเงินและเชิงอรรถ การอภิปรายและการวิเคราะห์ในระดับบริหารรวมทั้งรายงานต่างๆ ที่เก็บไว้คู่กับกฎระเบียบบริษัท

– วัตถุประสงค์ด้านการปฏิบัติตาม กฎ ระเบียบ ขององค์กร/ความร่วมมือ (Compliance ) – เป็นวัตถุประสงค์ที่ยึดตามกฎหมายและกฎระเบียบ ซึ่งขึ้นอยู่กับปัจจัยภายนอก เช่น กฎระเบียบเกี่ยวกับสิ่งแวดล้อม และมีแนวโน้มที่คล้ายคลึงกันทุกองค์กรและทุกอุตสาหกรรมในบางกรณี


แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

มิถุนายน 1, 2009

วันนี้ ผมจะนำเสนอถึงกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ตามหลักการของ COSO – ERM ในกระบวนการถัดไป ซึ่งเป็นเรื่องของการกำหนดวัตถุประสงค์ (Objective Setting) และถือเป็นหัวใจสำคัญของกระบวนการบริหารความเสี่ยง COSO – ERM ทั้ง 8 ประการ หลังจากที่ได้พิจารณาสภาพแวดล้อมภายในองค์กรไปแล้ว

การบริหารงานเพื่อก้าวไปสู่พันธกิจ และวิสัยทัศน์ขององค์กร ซึ่งจะต้องถูกถ่ายทอดเป็นแผนปฏิบัติการและโครงการต่าง ๆ นั้น จำเป็นอย่างยิ่งที่ผู้เกี่ยวข้องจะต้องเข้าใจการกำหนดวัตถุประสงค์ให้ชัดเจน เพื่อกำหนดการควบคุมที่เหมาะสมได้ และมีหลักการโดยย่อตามรูปภาพ

การกำหนดวัตถุประสงค์ตามหลัก SMART

การกำหนดวัตถุประสงค์ตามหลัก SMART

เพราะการบริหารความเสี่ยงอย่างเป็นกระบวนการจะชี้ปัจจัยเสี่ยงจากความไม่แน่นอนต่าง ๆ ซึ่งเกิดจากเหตุการณ์ภายใน และเหตุการณ์ภายนอกขององค์กรนั้น จะมุ่งไปสู่การระบุเหตุการณ์ที่มีผลกระทบต่อการบรรลุวัตถุประสงค์และเป้าหมายของแผนงาน/โครงการต่าง ๆ ขององค์กร เป็นสำคัญ และการจัดการกับความเสี่ยงใด ๆ ก็จะมุ่งไปที่สาเหตุ หรือมูลเหตุที่แท้จริงที่สามารถควบคุมและจัดการกับความเสี่ยงให้ได้ผลเป็นรูปธรรม เพื่อสร้างความมั่นใจอย่างสมเหตุสมผลว่า แผนงานและโครงการขององค์กรจะก้าวสู่ความสำเร็จได้ตามแผนงานที่วางไว้

วัตถุประสงค์โดยรวมของทุกองค์กร อาจแบ่งได้เป็นวัตถุประสงค์เชิงกลยุทธ์ หรือวัตถุประสงค์หลักขององค์กร และตามด้วยวัตถุประสงค์ย่อยที่เกี่ยวข้องกับการดำเนินการตามแผนงาน ซึ่งจะอธิบายโดยแผนภาพย่อ ๆ ซึ่งเป็นกระบวนการหนึ่งของการบริหารความเสี่ยงทั่วทั้งองค์กร หรือ ERM 8 ประการ ดังนี้

องค์ประกอบสำคัญของการกำหนดวัตถุประสงค์ - หัวใจสำคัญของกระบวนการบริหารความเสี่ยง

องค์ประกอบสำคัญของการกำหนดวัตถุประสงค์ - หัวใจสำคัญของกระบวนการบริหารความเสี่ยง

ประเภทของวัตถุประสงค์
ทุก ๆ องค์กร จะต้องเผชิญกับความหลากหลายของความเสี่ยงจากแหล่งภายในและภายนอก รวมทั้งการคาดการณ์สำหรับการระบุเหตุการณ์ให้มีประสิทธิภาพ การประเมินความเสี่ยง การตอบสนองความเสี่ยงเป็นจุดเริ่มต้นของวัตถุประสงค์ โดยเชื่อมโยงกับระดับที่แตกต่างและมีความเหนียวแน่นอยู่ภายใน วัตถุประสงค์ถูกตั้งไว้ที่ระดับกลยุทธ์ เป็นพื้นฐานสำหรับการปฏิบัติการ การรายงานผล และการปฏิบัติตามวัตถุประสงค์ วัตถุประสงค์ได้ถูกวางเป็นแนวเดียวกับความเสี่ยงซึ่งผลักดันระดับความทนต่อความเสี่ยงเพื่อสร้างกิจกรรมต่าง ๆ ในองค์กร

การตั้งวัตถุประสงค์ คือ การคาดการณ์สำหรับการระบุเหตุการณ์ การประเมินความเสี่ยง และการตอบสนองความเสี่ยง การมีวัตถุประสงค์ก่อนการบริหารสามารถระบุความเสี่ยงสำหรับการบรรลุผลสำเร็จและเป็นการนำการปฏิบัติที่จำเป็นมาใช้ในการจัดการกับความเสี่ยง

การกำหนดวัตถุประสงค์จึงต้องมีความชัดเจนเพื่อให้การบ่งชี้ความเสี่ยงมีความน่าเชื่อถือ เมื่อได้กำหนดวัตถุประสงค์ขึ้นมาแล้วควรสื่อสารให้แก่หน่วยงานต่าง ๆ ที่เกี่ยวข้องในองค์กรด้วย เพื่อให้ผู้บริหารและพนักงานทุกคนมีความเข้าใจตรงกันและสามารถดำเนินการเพื่อมุ่งให้บรรลุเป้าหมายขององค์กรได้

1. วัตถุประสงค์เชิงกลยุทธ์ (Strategic Objective)/วัตถุประสงค์หลัก
พันธกิจขององค์กรถูกตั้งไว้อย่างกว้าง ๆ ว่าต้องการความสำเร็จอะไร อาจเรียกว่า พันธกิจ (Mission), วิสัยทัศน์ (Vision), หรือ เป้าหมาย (Purpose) ซึ่งล้วนแต่มีความสำคัญ ซึ่งฝ่ายบริหารที่มีความเอาใส่ใจได้สร้างไว้อย่างกว้าง ๆ ซึ่งเป็นเหตุผลในการเป็นอยู่ของกิจการ ผู้บริหารเป็นผู้ตั้งวัตถุประสงค์เชิงกลยุทธ์ สร้างกลยุทธ์และสร้างวัตถุประสงค์ที่เกี่ยวข้องเพื่อองค์กร ในขณะที่พันธกิจที่เป็นจริงและวัตถุประสงค์เชิงกลยุทธ์มีเสถียรภาพ กลยุทธ์และวัตถุประสงค์ที่เกี่ยวข้องจะมีความเป็นพลวัตรมากกว่าและสามารถปรับเปลี่ยนไปตามสภาพภายในและภายนอกได้

วัตถุประสงค์เชิงกลยุทธ์เป็นเป้าหมายระดับสูง เป็นแนวทางเดียวกันและสนับสนุนพันธกิจ วิสัยทัศน์ วัตถุประสงค์เชิงกลยุทธ์สะท้อนทางเลือกทางการบริหาร ในการทำอย่างไรให้องค์กรช่วยเพิ่มคุณค่าให้กับผู้มีผลประโยชน์ร่วม

ผู้บริหารเป็นผู้จัดตั้งเป้าหมายเชิงกลยุทธ์ (Strategic Objective) โดยเลือกกลยุทธ์ที่เกี่ยวข้องกับเป้าหมายระดับสูง (High-Level goal) และเป้าหมายดังกล่าวต้องสนับสนุนและเป็นไปในทิศทางเดียวกับวิสัยทัศน์และพันธกิจขององค์กร

ผู้บริหารระดับรองลงมา จะต้องกำหนดแผนปฏิบัติงานเพื่อรองรับแผนกลยุทธ์ และในแผนปฏิบัติงานนั้นต้องกำหนดวัตถุประสงค์เพื่อเชื่อมโยงและสอดคล้องกับเป้าหมายเชิงกลยุทธ์ ดังนั้นวัตถุประสงค์ที่กำหนดขึ้นจึงเป็นพื้นฐานสำคัญ ในการพิจารณาความเสี่ยงต่าง ๆ ที่อาจเกิดขึ้นและมีผลต่อความสำเร็จของวัตถุประสงค์นั้น ๆ

ในการพิจารณาเลือกกลยุทธ์เพื่อให้บรรลุผลสำเร็จ ผู้บริหารเป็นผู้ระบุความเสี่ยงกับระดับของกลยุทธ์ต่าง ๆ และพิจารณาสิ่งต่าง ๆ ที่เกี่ยวข้อง การระบุเหตุการณ์ที่หลากหลายและเทคนิคการประเมินความเสี่ยง สามารถนำมาใช้ในกระบวนการตั้งกลยุทธ์

2. วัตถุประสงค์ที่เกี่ยวข้อง
การตั้งวัตถุประสงค์ที่ถูกต้อง (ซึ่งสนับสนุนและเป็นไปในแนวทางเดียวกับกลยุทธ์ที่ได้เลือก) สัมพันธ์เกี่ยวข้องกับกิจกรรมขององค์กรเป็นสิ่งจำเป็นต่อความสำเร็จ หากมุ่งเน้นไปที่วัตถุประสงค์เชิงกลยุทธ์และกลยุทธ์ องค์กรได้ถูกวางไว้เพื่อพัฒนาวัตถุประสงค์ที่เกี่ยวข้องในระดับปฏิบัติการ ความสำเร็จจะสร้างและสงวนคุณค่าของวัตถุประสงค์เหล่านั้น ในวัตถุประสงค์แต่ละชุดจะเชื่อมโยงและรวมกับหลาย ๆ วัตถุประสงค์เฉพาะ ซึ่งลดหลั่นลงมาเป็นชั้น ๆ ผ่านองค์กรไปยังวัตถุประสงค์ย่อยซึ่งสร้างกิจกรรมที่หลากหลาย เช่น ยอดขาย การผลิต วิศวกรรมและงานด้านสาธารณูปโภคต่าง ๆ เป็นต้น

จากการตั้งวัตถุประสงค์ในระดับเอกลักษณ์และระดับกิจกรรมทำให้สามารถระบุปัจจัยสำคัญในความสำเร็จได้ ซึ่งหากต้องการไปถึงเป้าหมายจะต้องไปในทางที่ถูกต้อง ปัจจัยสำคัญมีอยู่เพื่อความเป็นจริงหน่วยธุรกิจ หน่วยงาน แผนกหรือปัจเจกบุคคล จากการตั้งวัตถุประสงค์ ผู้บริหารสามารถระบุเกณฑ์การวัดผลการปฏิบัติงานซึ่งมุ่งเน้นไปที่ปัจจัยสำคัญในความสำเร็จ

วัตถุประสงค์จะสอดคล้องกับการฝึกปฏิบัติและผลงาน การเชื่อมโยงระหว่างกิจกรรม อย่างไรก็ตามหากวัตถุประสงค์ใหม่มีความแตกต่างจากการปฏิบัติที่ผ่านมา ผู้บริหารมักเชื่อมต่อหรือเพิ่มความเสี่ยงขึ้น ซึ่งในกรณีนี้ความจำเป็นของวัตถุประสงค์ของหน่วยธุรกิจหรือวัตถุประสงค์ย่อยซึ่งสอดคล้องกับทิศทางใหม่จะมีความสำคัญมากกว่า

วัตถุประสงค์ต้องวัดได้และง่ายต่อการทำความเข้าใจ การบริหารความเสี่ยงของธุรกิจต้องการให้บุคลากรทุกระดับมีความเข้าใจวัตถุประสงค์ขององค์กรในแง่ที่มีความสัมพันธ์กับตนเอง พนักงานทุกคนจะต้องมีความเข้าใจสิ่งที่จะทำให้ประสบความสำเร็จและค่ากลางในการวัดผลของความสำเร็จ

กลุ่มของวัตถุประสงค์ที่เกี่ยวข้อง
เนื่องจากองค์กรต่าง ๆ มีวัตถุประสงค์ที่หลากหลาย จึงได้แบ่งเป็นกลุ่มได้ดังนี้
– วัตถุประสงค์เชิงปฏิบัติการ (Operation)
– เป็นวัตถุประสงค์ที่มุ่งสู่ความมีประสิทธิภาพและประสิทธิผลของการปฏิบัติงานขององค์กร ซึ่งรวมถึงวัตถุประสงค์ย่อยสำหรับการปฏิบัติที่มุ่งการส่งเสริมการปฏิบัติงานอย่างมีประสิทธิภาพและประสิทธิผล เพื่อที่จะนำพาองค์กรไปสู่เป้าหมายอันสูงสุด

– วัตถุประสงค์เชิงรายงาน(Reporting) – เป็นวัตถุประสงค์ที่เกี่ยวข้องกับความน่าเชื่อถือของการรายงาน ซึ่งรวมถึงรายงานภายในและภายนอก และอาจรวมถึงข้อมูลทางการเงินและข้อมูลที่ไม่ใช่การเงิน การรายงานที่น่าเชื่อถือทำให้ผู้บริหารได้รับข้อมูลที่ถูกต้องและสมบูรณ์เพื่อให้บรรลุเป้าหมายที่ตั้งไว้ และยังช่วยสนับสนุนการตัดสินใจของผู้บริหาร รวมทั้งช่วยตรวจสอบผลงานและกิจกรรมของผู้บริหาร ตัวอย่างของรายงานอาจรวมถึงผลของกิจกรรมทางการตลาด รายงานการขายประจำวัน คุณภาพการผลิต ลูกจ้าง และความพึงพอใจของลูกค้า รายงานที่น่าเชื่อถือทำให้ผู้บริหารมั่นใจในการเตรียมรายงานที่น่าเชื่อถือสำหรับการนำไปเผยแพร่ รายงานเหล่านี้รวมถึงเอกสารทางการเงินและเชิงอรรถ การอภิปรายและการวิเคราะห์ในระดับบริหารรวมทั้งรายงานต่างๆ ที่เก็บไว้คู่กับกฎระเบียบบริษัท

– วัตถุประสงค์ด้านการปฏิบัติตาม กฎ ระเบียบ ขององค์กร/ความร่วมมือ (Compliance ) – เป็นวัตถุประสงค์ที่ยึดตามกฎหมายและกฎระเบียบ ซึ่งขึ้นอยู่กับปัจจัยภายนอก เช่น กฎระเบียบเกี่ยวกับสิ่งแวดล้อม และมีแนวโน้มที่คล้ายคลึงกันทุกองค์กรและทุกอุตสาหกรรมในบางกรณี


แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

พ.ค. 28, 2009

ในครั้งที่แล้วผมได้พูดถึงสภาพแวดล้อมในองค์กรที่เป็นปัจจัยสำคัญที่ผู้บริหารต้องพิจารณาและมีการกำหนดร่วมกันกับพนักงานในองค์กร อันจะส่งผลให้มีการสร้างจิตสำนึก การตระหนักและรับรู้เรื่องความเสี่ยงและการควบคุมแก่พนักงานทุกคนในองค์กร ซึ่งเป็นพื้นฐานที่สำคัญต่อส่วนประกอบของ ERM โดยได้กล่าวไว้เพียงบางส่วน และในวันนี้ผมจะกล่าวถึงสภาพแวดล้อมขององค์กรที่ผู้บริหารจะต้องพิจารณาในส่วนที่เหลือ ก่อนที่จะนำไปสู่กระบวนการบริหารความเสี่ยงและการควบคุมภายใน ในกระบวนการถัดไปในโอกาสหน้าครับ

7. ค่านิยมด้านความซื่อสัตย์และจริยธรรม
กลยุทธ์และวัตถุประสงค์ที่นำไปสู่วิธีการปฏิบัติเพื่อให้บรรลุผลสำเร็จมีพื้นฐานมาจากความนิยมชมชอบ การตัดสินคุณค่าและรูปแบบการบริหาร ความซื่อสัตย์และการยอมรับในค่านิยมด้านจริยธรรมมีผลต่อความชอบและการตัดสินคุณค่า ซึ่งจะถูกนำไปสู่มาตรฐานทางพฤติกรรม เนื่องจากชื่อเสียงขององค์กรเป็นสิ่งที่มีคุณค่ามาก มาตรฐานทางพฤติกรรมต้องดำเนินไปอย่างสอดคล้องกับกฎหมาย ผู้บริหารขององค์กรที่มีการดำเนินการที่ดีมีการยอมรับมากขึ้นว่ามุมมองในเรื่องพฤติกรรมที่มีความซื่อสัตย์และจริยธรรมเป็นธุรกิจที่ดี

ความซื่อสัตย์ทางการบริหารเป็นสิ่งที่จำเป็นสำหรับพฤติกรรมด้านจริยธรรมในทุกแง่ของกิจกรรมขององค์กร ประสิทธิผลของการจัดการความเสี่ยงขององค์กรไม่สามารถเพิ่มเหนือคุณค่าของความสื่อสัตย์และจริยธรรมของบุคลากรที่สร้าง ดำเนินการและดูแลกิจกรรมที่สำคัญ ค่านิยมด้านความซื่อสัตย์และจริยธรรมเป็นองค์ประกอบของสภาพแวดล้อมที่มีความสำคัญ มีผลต่อการออกแบบ การบริหารและการติดตามดูแลองค์ประกอบอื่น ๆ ของการบริหารความเสี่ยง

การสร้างคุณค่าทางจริยธรรมมักทำได้ยาก เนื่องจากความจำเป็นในการพิจารณาหลาย ๆ ด้าน ค่านิยมของฝ่ายบริหารต้องสมดุลกับองค์กร พนักงาน ลูกค้า คู่แข่งและ ผู้มีผลประโยชน์ร่วม ความสมดุลของเรื่องต่าง ๆ นั้น เป็นเรื่องที่มีความซับซ้อนและยุ่งยาก เนื่องจากความสนใจในแต่ละบุคคลนั้นแตกต่างกัน

พฤติกรรมทางจริยธรรมและความซื่อสัตย์ทางการบริหารเป็นผลพวงของวัฒนธรรมขององค์กร ซึ่งจริยธรรมและมาตรฐานทางพฤติกรรม รวมถึงวิธีที่ใช้สื่อสารและผลักดันนโยบายอย่างเป็นทางการชี้ให้เห็นถึงสิ่งที่คณะกรรมการและฝ่ายบริหารต้องการให้เกิดขึ้น วัฒนธรรมขององค์กรระบุให้เห็นถึงสิ่งที่เกิดขึ้นจริง และบทบาทที่ต้องปฏิบัติตามอย่างตั้งใจหรือหลีกเลี่ยง

8. การยอมรับในความสามารถ
ความสามารถสะท้อนให้เห็นถึงความรู้และทักษะที่จำเป็นสำหรับการปฏิบัติงานตามที่ได้รับมอบหมาย ฝ่ายบริหารจะตัดสินใจถึงวิธีต่าง ๆ ที่จำเป็นในการทำงานให้สำเร็จ โดยการให้น้ำหนักระหว่างกลยุทธ์และวัตถุประสงค์เทียบกับแผนในการนำกลยุทธ์ไปปฏิบัติและการบรรลุวัตถุประสงค์

ผู้บริหารควรกำหนดระดับของความรู้ความสามารถที่จำเป็นสำหรับการปฏิบัติงานแต่ละงาน เช่น การจัดทำเอกสารกำหนดลักษณะงาน (Job Description) เป็นต้น ความรู้และทักษะที่จำเป็นนั้นอาจขึ้นอยู่กับความฉลาด การฝึกอบรมและประสบการณ์ของแต่ละคน ปัจจัยที่ต้องพิจารณาในการพัฒนาระดับความรู้และทักษะจะรวมถึงธรรมชาติและระดับของการตัดสินในการนำไปประยุกต์ใช้ในงานที่มีความเฉพาะเจาะจง

9. ปรัชญาและสไตล์การบริหารงานของผู้บริหาร
ความแตกต่างในแนวความคิดและวิธีการทำงานของนักบริหาร อาทิเช่น ทัศนคติของผู้บริหารที่มีต่อการเลือกนโยบายบัญชี ลักษณะในการยอมรับความเสี่ยงของผู้บริหาร ความกล้าได้กล้าเสียหรือชอบระมัดระวัง เป็นต้น ย่อมมีอิทธิพลต่อวิธีการบริหาร รูปแบบของการยอมรับความเสี่ยง การควบคุมภายในขององค์กร เพราะผู้บริหารมีหน้าที่โดยตรงในการจัดให้มีนโยบาย มาตรการ และวิธีการควบคุมที่เหมาะสมในแต่ละสถานการณ์สำหรับองค์กร

องค์ประกอบของสภาพแวดล้อมภายในองค์กรกับกระบวนการบริหารความเสี่ยงและการควบคุมภายใน

องค์ประกอบของสภาพแวดล้อมภายในองค์กรกับกระบวนการบริหารความเสี่ยงและการควบคุมภายใน

10. โครงสร้างการจัดองค์กร
โครงสร้างองค์กรจะเป็นตัวกำหนดกรอบของงานที่จะวางแผน จัดการ ควบคุมและติดตามกิจกรรมต่าง ๆ โครงสร้างองค์กรประกอบด้วยการกำหนดจุดสำคัญของอำนาจหน้าที่และความรับผิดชอบและการกำหนดสายการบังคับบัญชาในการรายงาน

องค์กรทั่วไปจะต้องกำหนดโครงสร้างองค์กรที่เหมาะสมตามที่จำเป็น บางส่วนอาจต้องรวมอำนาจ บางส่วนก็อาจต้องกระจายอำนาจออกไป บางส่วนต้องมีการรายงานโดยตรง หรือบางส่วนอาจต้องใช้องค์กรแบบ Matrix

โครงสร้างขององค์กรทั่วไปที่เหมาะสมขึ้นอยู่กับขนาดขององค์กรและลักษณะของกิจกรรม องค์กรที่มีโครงสร้างสูง มีสายการบังคับบัญชาและความรับผิดชอบที่เป็นทางการ อาจเหมาะสมกับองค์กรขนาดใหญ่ที่มีฝ่ายปฏิบัติจำนวนมากและการปฏิบัติงานต่างประเทศ อย่างไรก็ตามบางโครงสร้างที่มีช่องทางการสื่อสารที่สะดวกอาจเหมาะสมกับองค์กรที่มีขนาดเล็ก

11. วิธีการมอบอำนาจและความรับผิดชอบ
การมอบอำนาจและความรับผิดชอบมีความสัมพันธ์กับระดับที่แต่ละบุคคลและทีมงานได้รับมอบหมายอำนาจ เป็นการส่งเสริมให้ใช้ความคิดริเริ่มในประเด็นต่าง ๆ การแก้ปัญหา และการใช้ขอบเขตของอำนาจ

ประเด็นที่สำคัญในการมอบหมายอำนาจก็คือต้องการให้บรรลุวัตถุประสงค์ นั่นหมายถึงต้องแน่ใจว่าการยอมรับความเสี่ยงนั้นมีพื้นฐานมาจากวิธีการในการระบุความเสี่ยง ประเมินความเสี่ยง รวมถึงขนาดและการให้น้ำหนักของการสูญเสียเทียบกับประโยชน์ที่ได้รับในระดับการตัดสินใจทางธุรกิจที่ดี

อีกประการหนึ่งคือทำให้แน่ใจว่าทุกคนเข้าใจวัตถุประสงค์ขององค์กรและประโยชน์ที่ทุกคนรู้วิธีการในการปฏิบัติเพื่อให้บรรลุวัตถุประสงค์

บางครั้งการเพิ่มการมอบอำนาจอาจขึ้นอยู่กับโครงสร้างขององค์กรว่าเป็นแบบแนวดิ่งหรือแนวราบ การเปลี่ยนแปลงโครงสร้างต้องสนับสนุนให้เกิดความคิดสร้างสรรค์ การริเริ่มและการตอบสนองการแข่งขันและความพึงพอใจของลูกค้าอย่างรวดเร็ว การเพิ่มการมอบอำนาจอาจต้องใช้ความสามารถของพนักงานในระดับที่สูงขึ้นและต้องสามารถตรวจสอบได้มากขึ้น และต้องมีวิธีการที่มีประสิทธิภาพเพื่อให้ฝ่ายบริหารสามารติดตามผลเพื่อการตัดสินใจเท่าที่จำเป็น

12. นโยบายบริหารงานด้านทรัพยากรมนุษย์
บุคลากรเป็นปัจจัยสำคัญและมีอิทธิพลต่อการปฏิบัติงานทุกด้าน รวมทั้งการควบคุมภายใน ดังนั้น ผู้บริหารควรมีการกำหนดนโยบายและวิธีปฏิบัติที่กำหนดในส่วนที่เกี่ยวข้องกับการบริหารทรัพยากรมนุษย์ที่ชัดเจนด้านการคัดเลือก การปฐมนิเทศ การฝึกอบรม การประเมินผล การให้คำปรึกษา การเลื่อนตำแหน่ง การบริหารค่าตอบแทน เป็นต้น

การจ้างงานควรมีมาตรฐานโดยพิจารณาจากพื้นฐานทางการศึกษา ประสบการณ์การทำงาน ความสำเร็จที่ผ่านมาและพฤติกรรมด้านจริยธรรมและความซื่อสัตย์ การแสดงให้เห็นว่าเป็นบุคคลที่มีความผูกพันต่อองค์กรและมีความน่าเชื่อถือได้ วิธีการในการสรรหาจะประกอบด้วยการสัมภาษณ์ที่เป็นทางการ การสัมภาษณ์เชิงลึก และข้อมูลและการแสดงออกที่สามารถมองเห็นได้จากองค์กรเดิม วัฒนธรรมและรูปแบบการปฏิบัติงาน

นโยบายการฝึกอบรมมีอิทธิพลต่อระดับการปฏิบัติงานและพฤติกรรมที่คาดหวังไว้โดยการสื่อสารบทบาทและความรับผิดชอบที่คาดหวังไว้ และการดำเนินงานเหมือนโรงเรียนฝึกอบรมและสัมมนา แบบฝึกหัดที่เป็นกรณีศึกษาให้ปฏิบัติและการแสดงบทบาทสมมติ

การโยกย้ายและการเลื่อนตำแหน่งต้องเกิดจากการประเมินผลการปฏิบัติที่สะท้อนให้เห็นถึงความผูกพันขององค์กรต่อพนักงานที่มีคุณภาพสูง

โปรแกรมการจ่ายค่าตอบแทนที่ใช้ในการแข่งขันจะประกอบด้วยการจ่ายโบนัสจูงใจเพื่อตอบสนองและจูงใจผู้ที่มีผลการปฏิบัติงานที่ดีเลิศ

การลงโทษทางวินัยจะเป็นตัวส่งสัญญาณให้เห็นถึงพฤติกรรมที่ไม่ควรปฏิบัติ ควรหลีกเลี่ยง

13. ความแตกต่างทางสภาพแวดล้อมและความหมายของสภาพแวดล้อม
สภาพแวดล้อมภายในขององค์กรทั่วไป ย่อมมีความแตกต่างกัน ซึ่งสภาพแวดล้อมภายในที่แตกต่างกันนี้ ถือเป็นองค์ประกอบหนึ่งของกรอบการบริหารความเสี่ยงขององค์กร หากองค์กรมีสภาพแวดล้อมภายในที่ไม่มีประสิทธิภาพจะส่งผลกระทบต่อความสูญเสียทางการเงิน ภาพพจน์ขององค์กรต่อบุคคล/สังคมภายนอก รวมไปถึงอาจก่อให้เกิดความล้มเหลวทางธุรกิจได้


แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

พ.ค. 28, 2009

ในครั้งที่แล้วผมได้พูดถึงสภาพแวดล้อมในองค์กรที่เป็นปัจจัยสำคัญที่ผู้บริหารต้องพิจารณาและมีการกำหนดร่วมกันกับพนักงานในองค์กร อันจะส่งผลให้มีการสร้างจิตสำนึก การตระหนักและรับรู้เรื่องความเสี่ยงและการควบคุมแก่พนักงานทุกคนในองค์กร ซึ่งเป็นพื้นฐานที่สำคัญต่อส่วนประกอบของ ERM โดยได้กล่าวไว้เพียงบางส่วน และในวันนี้ผมจะกล่าวถึงสภาพแวดล้อมขององค์กรที่ผู้บริหารจะต้องพิจารณาในส่วนที่เหลือ ก่อนที่จะนำไปสู่กระบวนการบริหารความเสี่ยงและการควบคุมภายใน ในกระบวนการถัดไปในโอกาสหน้าครับ

7. ค่านิยมด้านความซื่อสัตย์และจริยธรรม
กลยุทธ์และวัตถุประสงค์ที่นำไปสู่วิธีการปฏิบัติเพื่อให้บรรลุผลสำเร็จมีพื้นฐานมาจากความนิยมชมชอบ การตัดสินคุณค่าและรูปแบบการบริหาร ความซื่อสัตย์และการยอมรับในค่านิยมด้านจริยธรรมมีผลต่อความชอบและการตัดสินคุณค่า ซึ่งจะถูกนำไปสู่มาตรฐานทางพฤติกรรม เนื่องจากชื่อเสียงขององค์กรเป็นสิ่งที่มีคุณค่ามาก มาตรฐานทางพฤติกรรมต้องดำเนินไปอย่างสอดคล้องกับกฎหมาย ผู้บริหารขององค์กรที่มีการดำเนินการที่ดีมีการยอมรับมากขึ้นว่ามุมมองในเรื่องพฤติกรรมที่มีความซื่อสัตย์และจริยธรรมเป็นธุรกิจที่ดี

ความซื่อสัตย์ทางการบริหารเป็นสิ่งที่จำเป็นสำหรับพฤติกรรมด้านจริยธรรมในทุกแง่ของกิจกรรมขององค์กร ประสิทธิผลของการจัดการความเสี่ยงขององค์กรไม่สามารถเพิ่มเหนือคุณค่าของความสื่อสัตย์และจริยธรรมของบุคลากรที่สร้าง ดำเนินการและดูแลกิจกรรมที่สำคัญ ค่านิยมด้านความซื่อสัตย์และจริยธรรมเป็นองค์ประกอบของสภาพแวดล้อมที่มีความสำคัญ มีผลต่อการออกแบบ การบริหารและการติดตามดูแลองค์ประกอบอื่น ๆ ของการบริหารความเสี่ยง

การสร้างคุณค่าทางจริยธรรมมักทำได้ยาก เนื่องจากความจำเป็นในการพิจารณาหลาย ๆ ด้าน ค่านิยมของฝ่ายบริหารต้องสมดุลกับองค์กร พนักงาน ลูกค้า คู่แข่งและ ผู้มีผลประโยชน์ร่วม ความสมดุลของเรื่องต่าง ๆ นั้น เป็นเรื่องที่มีความซับซ้อนและยุ่งยาก เนื่องจากความสนใจในแต่ละบุคคลนั้นแตกต่างกัน

พฤติกรรมทางจริยธรรมและความซื่อสัตย์ทางการบริหารเป็นผลพวงของวัฒนธรรมขององค์กร ซึ่งจริยธรรมและมาตรฐานทางพฤติกรรม รวมถึงวิธีที่ใช้สื่อสารและผลักดันนโยบายอย่างเป็นทางการชี้ให้เห็นถึงสิ่งที่คณะกรรมการและฝ่ายบริหารต้องการให้เกิดขึ้น วัฒนธรรมขององค์กรระบุให้เห็นถึงสิ่งที่เกิดขึ้นจริง และบทบาทที่ต้องปฏิบัติตามอย่างตั้งใจหรือหลีกเลี่ยง

8. การยอมรับในความสามารถ
ความสามารถสะท้อนให้เห็นถึงความรู้และทักษะที่จำเป็นสำหรับการปฏิบัติงานตามที่ได้รับมอบหมาย ฝ่ายบริหารจะตัดสินใจถึงวิธีต่าง ๆ ที่จำเป็นในการทำงานให้สำเร็จ โดยการให้น้ำหนักระหว่างกลยุทธ์และวัตถุประสงค์เทียบกับแผนในการนำกลยุทธ์ไปปฏิบัติและการบรรลุวัตถุประสงค์

ผู้บริหารควรกำหนดระดับของความรู้ความสามารถที่จำเป็นสำหรับการปฏิบัติงานแต่ละงาน เช่น การจัดทำเอกสารกำหนดลักษณะงาน (Job Description) เป็นต้น ความรู้และทักษะที่จำเป็นนั้นอาจขึ้นอยู่กับความฉลาด การฝึกอบรมและประสบการณ์ของแต่ละคน ปัจจัยที่ต้องพิจารณาในการพัฒนาระดับความรู้และทักษะจะรวมถึงธรรมชาติและระดับของการตัดสินในการนำไปประยุกต์ใช้ในงานที่มีความเฉพาะเจาะจง

9. ปรัชญาและสไตล์การบริหารงานของผู้บริหาร
ความแตกต่างในแนวความคิดและวิธีการทำงานของนักบริหาร อาทิเช่น ทัศนคติของผู้บริหารที่มีต่อการเลือกนโยบายบัญชี ลักษณะในการยอมรับความเสี่ยงของผู้บริหาร ความกล้าได้กล้าเสียหรือชอบระมัดระวัง เป็นต้น ย่อมมีอิทธิพลต่อวิธีการบริหาร รูปแบบของการยอมรับความเสี่ยง การควบคุมภายในขององค์กร เพราะผู้บริหารมีหน้าที่โดยตรงในการจัดให้มีนโยบาย มาตรการ และวิธีการควบคุมที่เหมาะสมในแต่ละสถานการณ์สำหรับองค์กร

องค์ประกอบของสภาพแวดล้อมภายในองค์กรกับกระบวนการบริหารความเสี่ยงและการควบคุมภายใน

องค์ประกอบของสภาพแวดล้อมภายในองค์กรกับกระบวนการบริหารความเสี่ยงและการควบคุมภายใน

10. โครงสร้างการจัดองค์กร
โครงสร้างองค์กรจะเป็นตัวกำหนดกรอบของงานที่จะวางแผน จัดการ ควบคุมและติดตามกิจกรรมต่าง ๆ โครงสร้างองค์กรประกอบด้วยการกำหนดจุดสำคัญของอำนาจหน้าที่และความรับผิดชอบและการกำหนดสายการบังคับบัญชาในการรายงาน

องค์กรทั่วไปจะต้องกำหนดโครงสร้างองค์กรที่เหมาะสมตามที่จำเป็น บางส่วนอาจต้องรวมอำนาจ บางส่วนก็อาจต้องกระจายอำนาจออกไป บางส่วนต้องมีการรายงานโดยตรง หรือบางส่วนอาจต้องใช้องค์กรแบบ Matrix

โครงสร้างขององค์กรทั่วไปที่เหมาะสมขึ้นอยู่กับขนาดขององค์กรและลักษณะของกิจกรรม องค์กรที่มีโครงสร้างสูง มีสายการบังคับบัญชาและความรับผิดชอบที่เป็นทางการ อาจเหมาะสมกับองค์กรขนาดใหญ่ที่มีฝ่ายปฏิบัติจำนวนมากและการปฏิบัติงานต่างประเทศ อย่างไรก็ตามบางโครงสร้างที่มีช่องทางการสื่อสารที่สะดวกอาจเหมาะสมกับองค์กรที่มีขนาดเล็ก

11. วิธีการมอบอำนาจและความรับผิดชอบ
การมอบอำนาจและความรับผิดชอบมีความสัมพันธ์กับระดับที่แต่ละบุคคลและทีมงานได้รับมอบหมายอำนาจ เป็นการส่งเสริมให้ใช้ความคิดริเริ่มในประเด็นต่าง ๆ การแก้ปัญหา และการใช้ขอบเขตของอำนาจ

ประเด็นที่สำคัญในการมอบหมายอำนาจก็คือต้องการให้บรรลุวัตถุประสงค์ นั่นหมายถึงต้องแน่ใจว่าการยอมรับความเสี่ยงนั้นมีพื้นฐานมาจากวิธีการในการระบุความเสี่ยง ประเมินความเสี่ยง รวมถึงขนาดและการให้น้ำหนักของการสูญเสียเทียบกับประโยชน์ที่ได้รับในระดับการตัดสินใจทางธุรกิจที่ดี

อีกประการหนึ่งคือทำให้แน่ใจว่าทุกคนเข้าใจวัตถุประสงค์ขององค์กรและประโยชน์ที่ทุกคนรู้วิธีการในการปฏิบัติเพื่อให้บรรลุวัตถุประสงค์

บางครั้งการเพิ่มการมอบอำนาจอาจขึ้นอยู่กับโครงสร้างขององค์กรว่าเป็นแบบแนวดิ่งหรือแนวราบ การเปลี่ยนแปลงโครงสร้างต้องสนับสนุนให้เกิดความคิดสร้างสรรค์ การริเริ่มและการตอบสนองการแข่งขันและความพึงพอใจของลูกค้าอย่างรวดเร็ว การเพิ่มการมอบอำนาจอาจต้องใช้ความสามารถของพนักงานในระดับที่สูงขึ้นและต้องสามารถตรวจสอบได้มากขึ้น และต้องมีวิธีการที่มีประสิทธิภาพเพื่อให้ฝ่ายบริหารสามารติดตามผลเพื่อการตัดสินใจเท่าที่จำเป็น

12. นโยบายบริหารงานด้านทรัพยากรมนุษย์
บุคลากรเป็นปัจจัยสำคัญและมีอิทธิพลต่อการปฏิบัติงานทุกด้าน รวมทั้งการควบคุมภายใน ดังนั้น ผู้บริหารควรมีการกำหนดนโยบายและวิธีปฏิบัติที่กำหนดในส่วนที่เกี่ยวข้องกับการบริหารทรัพยากรมนุษย์ที่ชัดเจนด้านการคัดเลือก การปฐมนิเทศ การฝึกอบรม การประเมินผล การให้คำปรึกษา การเลื่อนตำแหน่ง การบริหารค่าตอบแทน เป็นต้น

การจ้างงานควรมีมาตรฐานโดยพิจารณาจากพื้นฐานทางการศึกษา ประสบการณ์การทำงาน ความสำเร็จที่ผ่านมาและพฤติกรรมด้านจริยธรรมและความซื่อสัตย์ การแสดงให้เห็นว่าเป็นบุคคลที่มีความผูกพันต่อองค์กรและมีความน่าเชื่อถือได้ วิธีการในการสรรหาจะประกอบด้วยการสัมภาษณ์ที่เป็นทางการ การสัมภาษณ์เชิงลึก และข้อมูลและการแสดงออกที่สามารถมองเห็นได้จากองค์กรเดิม วัฒนธรรมและรูปแบบการปฏิบัติงาน

นโยบายการฝึกอบรมมีอิทธิพลต่อระดับการปฏิบัติงานและพฤติกรรมที่คาดหวังไว้โดยการสื่อสารบทบาทและความรับผิดชอบที่คาดหวังไว้ และการดำเนินงานเหมือนโรงเรียนฝึกอบรมและสัมมนา แบบฝึกหัดที่เป็นกรณีศึกษาให้ปฏิบัติและการแสดงบทบาทสมมติ

การโยกย้ายและการเลื่อนตำแหน่งต้องเกิดจากการประเมินผลการปฏิบัติที่สะท้อนให้เห็นถึงความผูกพันขององค์กรต่อพนักงานที่มีคุณภาพสูง

โปรแกรมการจ่ายค่าตอบแทนที่ใช้ในการแข่งขันจะประกอบด้วยการจ่ายโบนัสจูงใจเพื่อตอบสนองและจูงใจผู้ที่มีผลการปฏิบัติงานที่ดีเลิศ

การลงโทษทางวินัยจะเป็นตัวส่งสัญญาณให้เห็นถึงพฤติกรรมที่ไม่ควรปฏิบัติ ควรหลีกเลี่ยง

13. ความแตกต่างทางสภาพแวดล้อมและความหมายของสภาพแวดล้อม
สภาพแวดล้อมภายในขององค์กรทั่วไป ย่อมมีความแตกต่างกัน ซึ่งสภาพแวดล้อมภายในที่แตกต่างกันนี้ ถือเป็นองค์ประกอบหนึ่งของกรอบการบริหารความเสี่ยงขององค์กร หากองค์กรมีสภาพแวดล้อมภายในที่ไม่มีประสิทธิภาพจะส่งผลกระทบต่อความสูญเสียทางการเงิน ภาพพจน์ขององค์กรต่อบุคคล/สังคมภายนอก รวมไปถึงอาจก่อให้เกิดความล้มเหลวทางธุรกิจได้


แนวทาง/คู่มือการบริหารความเสี่ยงทั่วทั้งองค์กร

พ.ค. 25, 2009

วันนี้ ผมจะเล่าสู่กันฟังถึงกระบวนการบริหารความเสี่ยงและการควบคุมภายใน 8 ประการ ตามเกณฑ์ของ COSO ใหม่ ดังที่ผมเคยกล่าวไว้ในครั้งก่อน ๆ แล้วว่าเป็นปัจจัยสำคัญหลักของ ERM – Enterprise Risk Management โดยเฉพาะอย่างยิ่ง กระบวนการบริหารความเสี่ยงและการควบคุมภายใน ในเรื่องของสภาพแวดล้อมภายในองค์กร (Internal Environment) ที่เป็นกระบวนการที่ให้ความสำคัญเป็นอันดับแรก

ผมอยากให้ท่านผู้บริหาร หรือท่านผู้อ่าน เห็นภาพของกระบวนการบริหารความเสี่ยงทั้ง 8 ประการที่กล่าวถึงนี้ว่า มีแนวทางในการบริหารความเสี่ยงและสามารถจะนำไปปฏิบัติได้อย่างไร ก่อนที่จะกล่าวถึงในรายละเอียดต่อไปครับ

แนวทางการบริหารความเสี่ยงแบบบูรณาการ

แนวทางการบริหารความเสี่ยงแบบบูรณาการ

สภาพแวดล้อมภายในองค์กร (Internal Environment)
ภาพแวดล้อมภายในองค์กรเป็นพื้นฐานสำหรับองค์ประกอบอื่น ๆ ของ ERM เพื่อใช้ในการกำหนดหลักเกณฑ์และโครงสร้าง สภาพแวดล้อมภายในมีผลต่อการประเมินและการดำเนินการในการกำหนดกลยุทธ์และวัตถุประสงค์ขององค์กร การกำหนดกิจกรรมทางธุรกิจ และการกระบุความเสี่ยง มีอิทธิพลต่อการออกแบบและการกำหนดหน้าที่ของกิจกรรม ในการควบคุมระบบข้อมูลข่าวสารและการสื่อสาร และกิจกรรมการติดตามดูแล ในทางตรงข้ามสภาพแวดล้อมภายในนั้นก็ได้รับอิทธิพลมาจากประวัติและวัฒนธรรมในอดีตขององค์กร

สภาพแวดล้อมภายในประกอบด้วยองค์ประกอบต่าง ๆ หลายประการ เช่น ค่านิยมทางจริยธรรม ศักยภาพและการพัฒนาของบุคลากร รูปแบบการจัดการของฝ่ายบริหารและวิธีการมอบหมายอำนาจหน้าที่และความรับผิดชอบ คณะกรรมการบริหารเองก็เป็นส่วนหนึ่งของการควบคุมภายในและมีความสำคัญเป็นอย่างมากในการกำหนดสภาพแวดล้อมการควบคุมภายใน แม้ว่าทุกองค์ประกอบจะมีความสำคัญแต่ในองค์กรที่แตกต่างกันก็จะให้ความสำคัญที่แตกต่างกันกันออกไป

สภาพแวดล้อมภายในองค์กร หมายถึงปัจจัยต่าง ๆ ซึ่งผู้บริหารต้องมีการกำหนดร่วมกันกับพนักงานในองค์กร ส่งผลให้มีการสร้างจิตสำนึก การตระหนักและรับรู้เรื่องความเสี่ยงและการควบคุมแก่พนักงานทุกคนในองค์กร และเป็นพื้นฐานที่สำคัญต่อส่วนประกอบของ ERM

สภาพแวดล้อมภายในองค์กรพิจารณาได้ดังนี้
1. ปรัชญาการบริหารความเสี่ยงขององค์กร
ปรัชญาการบริหารความเสี่ยงขององค์กร เป็นปรัชญาที่คนในองค์กรมีความเข้าใจตระหนักถึงและสามารถนำมาใช้ในการจัดการกับความเสี่ยงได้อย่างมีประสิทธิภาพ ปรัชญาที่ว่าความเชื่อเกี่ยวกับความเสี่ยงและการเลือกวิธีจัดการกับความเสี่ยงขององค์กรทั่วไป จะสะท้อนให้เห็นค่านิยมที่องค์กรแสวงหาจาก ERM และมีอิทธิพลต่อวิธีการจัดการกับองค์ประกอบต่าง ๆ ของความเสี่ยงขององค์กร ทั้งนี้ ปรัชญาการบริหารความเสี่ยงขององค์กรทั่วไป จะต้องสะท้อนให้เห็นถึงนโยบายขององค์กรและมีการสื่อสารให้พนักงานทุกระดับเข้าใจและนำไปสู่การปฏิบัติได้จริง

2. ความเสี่ยงที่ยอมรับได้
ระดับหรือมูลค่าของความเสี่ยงที่องค์กรยอมรับ ฝ่ายบริหารและผู้ที่เกี่ยวข้องจะพิจารณาความเสี่ยงในเชิงคุณภาพในแต่ละประเภทว่าสูง ปานกลาง หรือต่ำ หรืออาจใช้วิธีการเชิงปริมาณเพื่อสะท้อนและสร้างความสมดุลของวัตถุประสงค์เพื่อการเติบโต ผลตอบแทนและความเสี่ยง

ความเสี่ยงที่ยอมรับได้จะต้องเกี่ยวเนื่องกับกลยุทธ์ขององค์กรโดยตรง โดยการนำไปใช้ในการกำหนดกลยุทธ์ ผลตอบแทนที่ต้องการได้รับจากกลยุทธ์ กลยุทธ์ที่ต่างกันจะทำให้องค์กรมีความเสี่ยงที่ต่างกัน ERM จึงถูกนำมาประยุกต์ใช้ในการกำหนดกลยุทธ์ ช่วยผู้บริหารในการเลือกกลยุทธ์เพื่อให้องค์กรมีความเสี่ยงที่ยอมรับได้

3. ความเสี่ยงทางด้านวัฒนธรรม
วัฒนธรรมด้านความเสี่ยงคือทัศนคติร่วมกันขององค์กร คุณค่าและแนวทางการปฏิบัติขององค์กรว่าองค์กรมีการพิจารณาความเสี่ยงแบบไหน ผู้บริหารองค์กรจะเป็นผู้ปรับให้วัฒนธรรมทางด้านความเสี่ยงขององค์กรไปในทิศทางเดียวกับปรัชญาการบริหารความเสี่ยงขององค์กรและความเสี่ยงที่ยอมรับได้

4. วัฒนธรรมย่อยด้านความเสี่ยง
แต่ละหน่วยธุรกิจหรือแต่ละหน่วยงานขององค์กร ความหมายต่างกัน สายงาน/ฝ่ายงานตามหน้าที่ และส่วนต่าง ๆ จะมีลักษณะงาน รวมทั้งวัฒนธรรมการบริหารความเสี่ยงที่แตกต่างกัน ผู้อำนวยการ/ผู้จัดการจึงต้องมีการเตรียมตัวในการเผชิญกับความเสี่ยงมากขึ้น เช่น สายงานหนึ่งอาจเน้นไปยังยอดขายโดยไม่ได้ระวังในเรื่องการปฏิบัติตามกฎเกณฑ์

ส่วนค่านิยมร่วมกันของสายงานอื่นอาจต้องการให้เน้นความสนใจเพื่อให้เกิดความแน่ใจว่ามีการการปฏิบัติตามหลักเกณฑ์ที่เกี่ยวข้อง วัฒนธรรมย่อย ๆ ที่แตกต่างกันนี้อาจส่งผลต่อองค์กรได้ แต่ถ้าสายงานเหล่านี้ทำงานร่วมกัน ส่งเสริมซึ่งกันและกัน วัฒนธรรมที่แตกต่างกันอาจสะท้อนออกมาเป็นความเสี่ยงที่องค์กรยอมรับได้และปรัชญาขององค์กร สำหรับองค์กรทั่วไป สายงานและฝ่ายงานต่าง ๆ ก็มีคุณลักษณะในการบรรลุเป้าหมายและการจัดการกับความเสี่ยงที่ต้องแตกต่างกันด้วย ดังนั้น ความเข้าใจในการบริหารความเสี่ยงในภาพรวมทั้งองค์กร และของแต่ละหน่วยงาน ซึ่งจะถ่ายทอดไปสู่แผนงานและโครงการต่าง ๆ เพื่อก้าวไปสู่เป้าประสงค์ และวิสัยทัศน์ จึงแตกต่างกัน

5. ความตระหนักถึงความเสี่ยงที่แท้จริง
องค์กรทั่วไปที่มีประวัติที่ไม่เคยได้รับความสูญเสียและไม่มีความเสี่ยงที่มีนัยสำคัญที่สังเกตเห็นได้ อาจเชื่อว่าจะมีโอกาสเกิดขึ้น ในขณะที่องค์กรอาจมีพนักงานที่มีความสามารถ มีกระบวนการที่มีประสิทธิผลและเทคโนโลยีที่น่าเชื่อถือได้ มีความหลากหลายของสภาพแวดล้อมภายในและภายนอก ซึ่งสิ่งต่าง ๆ เหล่านี้สามารถเปลี่ยนแปลงได้อย่างรวดเร็ว ฝ่ายบริหารควรตระหนักว่าการดำเนินการที่ดีนั้นย่อมเกิดความอ่อนแอได้ ความอ่อนแอในมิติต่าง ๆ เป็นเรื่องของความเสี่ยง ซึ่งทำให้การบรรลุเป้าหมายอาจเบี่ยงเบนไปได้

6. คณะกรรมการบริหาร
คณะกรรมการบริหารขององค์กร เป็นส่วนหนึ่งของสภาพแวดล้อมภายในที่สำคัญยิ่งและมีอิทธิพลต่อองค์ประกอบของสภาพแวดล้อมภายในอื่น ๆ อย่างมีนัยสำคัญ คณะกรรมการมีความเป็นอิสระจากฝ่ายบริหาร ประสบการณ์และภูมิความรู้ของพนักงาน ขอบเขตขององค์ประกอบและการพิจารณากิจกรรม และความเหมาะสมของการปฏิบัติการ

การบริหารความเสี่ยงขององค์กร ที่ได้ผลไม่อาจเกิดขึ้นได้หากคณะกรรมการบริหารและผู้บริหาร และพนักงานทุกคน มีความเข้าใจที่แตกต่างกันในเรื่องการบริหารเชิงรุกหรือการบริหารความเสี่ยงในภาพโดยรวมทั้งองค์กร

ปัจจุบันสำนักงานตรวจเงินแผ่นดิน (สตง.) และกระทรวงการคลังและหน่วยงานของรัฐ ได้กำหนดเกณฑ์ประเมินผลการบริหารความเสี่ยง IT Governance และการควบคุมภายใน รวมทั้งการตรวจสอบภายในตามฐานความเสี่ยงอย่างเป็นระบบ สำหรับรายงานการบริหารความเสี่ยงของ สตง. มีภาพโดยย่อของการรายงานดังนี้

ตัวอย่าง การรายงานการบริหารความเสี่ยงและการควบคุมภายใน โดยใช้แนวทาง CSA ของ สตง.

ตัวอย่าง การรายงานการบริหารความเสี่ยงและการควบคุมภายใน โดยใช้แนวทาง CSA ของ สตง.

ภาพสรุปโดยรวมในมุมมองของการวัดประสิทธิภาพการบริหารความเสี่ยงของกระทรวงการคลัง ดังนี้

การวัดระดับการบริหารความเสี่ยง ตามเกณฑ์ของกระทรวงการคลัง

การวัดระดับการบริหารความเสี่ยง ตามเกณฑ์ของกระทรวงการคลัง

องค์ประกอบของการพิจารณาการบริหารความเสี่ยงในเรื่องของสภาพแวดล้อมภายในองค์กร ยังมีอีกหลายหัวข้อที่ท่านผู้บริหารต้องพิจารณา ผมจะนำเสนอในโอกาสต่อไปครับ


แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

พ.ค. 20, 2009

หลังจากที่ผมได้กล่าวถึงแนวความคิด และภาพรวมของการบริหารจัดการความเสี่ยง ก็เพื่อให้ท่านผู้อ่านได้ทำความเข้าใจถึงความเป็นมาเป็นไป และความสำคัญของการบริหารจัดการกับความเสี่ยง ซึ่งได้นำเสนอไปในครั้งที่ผ่าน ๆ มา แล้ว

จากนี้ไป ผมจะขอเข้าสู่เนื้อหาหลักที่สำคัญของการบริหารความเสี่ยงทั่วทั้งองค์กร นั่นก็คือกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ทั้ง 8 ประการ ตามเกณฑ์ของ COSO ใหม่ ซึ่งจะได้นำเสนอในรายละเอียดอย่างเป็นกระบวนการ เป็นขั้นเป็นตอนในโอกาสต่อ ๆ ไปครับ

ความมีประสิทธิผลในการบริหารความเสี่ยงทั่วทั้งองค์กร
ในขณะที่ ERM หรือ การบริหารความเสี่ยงทั่วทั้งองค์กร เป็นกระบวนการ ดังนั้นความมีประสิทธิผลของ ERM จึงขึ้นอยู่กับเงื่อนไขในแต่ละช่วงเวลา และขึ้นอยู่กับผลของการประเมินจากองค์ประกอบ 8 ประการ

การทำ ERM จะบรรลุผลสำเร็จต้องพิจารณาองค์ประกอบทั้ง 8 ประการ และมีการระบุหน้าที่ที่เกี่ยวข้อง แต่ไม่ได้หมายความว่าจะต้องระบุหน้าที่ในแต่ละองค์ประกอบหรือแม่แต่ในระดับเดียวกัน และอาจมีการสับเปลี่ยนระหว่างองค์ประกอบต่าง ๆ เนื่องจากเทคนิคด้าน ERM สามารถแก้ปัญหาในวัตถุประสงค์ที่หลากหลาย การตอบสนองความเสี่ยงจะมีระดับที่แตกต่างกันขึ้นอยู่กับการกำหนดความเสี่ยง

แนวคิดที่กล่าวถึงในที่นี้สามารถประยุกต์ใช้ได้ทั่วทั้งองค์กร แต่สำหรับองค์กรที่มีขนาดเล็กกว่า วิธีการสำหรับแต่ละองค์ประกอบควรมีลักษณะที่เป็นทางการและมีความเป็นโครงสร้างให้น้อยที่สุด

การควบคุมภายใน
การควบคุมภายในก็เป็นอีกส่วนประกอบหนึ่งที่สำคัญของ ERM โดยกรอบแนวคิด ERM เน้นในเรื่องการควบคุมภายใน การจัดรูปแบบแนวคิดที่เข้มแข็งมากขึ้นและเป็นเครื่องมือในการบริหาร การควบคุมภายในถูกให้ความหมายและให้คำอธิบายในกรอบแนวคิดเชิงบูรณาการเรื่องการควบคุมภายใน

การควบคุมภายในได้รับการออกแบบเพื่อให้ความมั่นใจในการบรรลุวัตถุประสงค์ขององค์กร เพื่อให้เกิดประสิทธิภาพและประสิทธิผลในการปฏิบัติงาน ความน่าเชื่อถือของรายงานทางการเงิน และการปฏิบัติตามกฎ ระเบียบที่เกี่ยวข้อง

เนื่องจาก ERM เป็นส่วนหนึ่งของกระบวนการบริหาร องค์ประกอบของกรอบแนวคิด ERM ได้ถูกอธิบายในเนื้อหาที่ว่าฝ่ายบริหารจะสามารถดำเนินธุรกิจไปได้อย่างไร สิ่งที่คณะกรรมการและผู้บริหารจัดการเกี่ยวกับการบริหารองค์กรไม่ใช่ ERM ในทุกเรื่อง แต่ ERM เป็นส่วนหนึ่งของกิจกรรมด้านการบริหารทั่วไป ซึ่งอธิบายโดยย่อได้ดังนี้

การบริหารความเสี่ยงขององค์กร เพื่อให้มีการบริหารจัดการความเสี่ยงทั่วทั้งองค์กร

การบริหารความเสี่ยงขององค์กร เพื่อให้มีการบริหารจัดการความเสี่ยงทั่วทั้งองค์กร

จากตารางต่อไปนี้เป็นการแสดงรายการของสิ่งที่ฝ่ายบริหารปฏิบัติและสิ่งที่เป็นส่วนหนึ่งของ การบริหารความเสี่ยงทั่วทั้งองค์กร หรือ ERM

กิจกรรมด้านการบริหารความเสี่ยงและกิจกรรมด้านการบริหารทั่วไปที่ผู้บริหารต้องปฏิบัติ

กิจกรรมด้านการบริหารความเสี่ยงและกิจกรรมด้านการบริหารทั่วไปที่ผู้บริหารต้องปฏิบัติ

ครั้งหน้า ผมจะพูดถึงสภาพแวดล้อมภายในองค์กร (Internal Environment) ซึ่งเป็นหนึ่งในกระบวนการบริหารความเสี่ยงอันดับแรก จาก ERM ทั้ง 8 ประการ ตามหลักเกณฑ์ของ COSO ใหม่ครับ


แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

พ.ค. 20, 2009

หลังจากที่ผมได้กล่าวถึงแนวความคิด และภาพรวมของการบริหารจัดการความเสี่ยง ก็เพื่อให้ท่านผู้อ่านได้ทำความเข้าใจถึงความเป็นมาเป็นไป และความสำคัญของการบริหารจัดการกับความเสี่ยง ซึ่งได้นำเสนอไปในครั้งที่ผ่าน ๆ มา แล้ว

จากนี้ไป ผมจะขอเข้าสู่เนื้อหาหลักที่สำคัญของการบริหารความเสี่ยงทั่วทั้งองค์กร นั่นก็คือกระบวนการบริหารความเสี่ยงและการควบคุมภายใน ทั้ง 8 ประการ ตามเกณฑ์ของ COSO ใหม่ ซึ่งจะได้นำเสนอในรายละเอียดอย่างเป็นกระบวนการ เป็นขั้นเป็นตอนในโอกาสต่อ ๆ ไปครับ

ความมีประสิทธิผลในการบริหารความเสี่ยงทั่วทั้งองค์กร
ในขณะที่ ERM หรือ การบริหารความเสี่ยงทั่วทั้งองค์กร เป็นกระบวนการ ดังนั้นความมีประสิทธิผลของ ERM จึงขึ้นอยู่กับเงื่อนไขในแต่ละช่วงเวลา และขึ้นอยู่กับผลของการประเมินจากองค์ประกอบ 8 ประการ

การทำ ERM จะบรรลุผลสำเร็จต้องพิจารณาองค์ประกอบทั้ง 8 ประการ และมีการระบุหน้าที่ที่เกี่ยวข้อง แต่ไม่ได้หมายความว่าจะต้องระบุหน้าที่ในแต่ละองค์ประกอบหรือแม่แต่ในระดับเดียวกัน และอาจมีการสับเปลี่ยนระหว่างองค์ประกอบต่าง ๆ เนื่องจากเทคนิคด้าน ERM สามารถแก้ปัญหาในวัตถุประสงค์ที่หลากหลาย การตอบสนองความเสี่ยงจะมีระดับที่แตกต่างกันขึ้นอยู่กับการกำหนดความเสี่ยง

แนวคิดที่กล่าวถึงในที่นี้สามารถประยุกต์ใช้ได้ทั่วทั้งองค์กร แต่สำหรับองค์กรที่มีขนาดเล็กกว่า วิธีการสำหรับแต่ละองค์ประกอบควรมีลักษณะที่เป็นทางการและมีความเป็นโครงสร้างให้น้อยที่สุด

การควบคุมภายใน
การควบคุมภายในก็เป็นอีกส่วนประกอบหนึ่งที่สำคัญของ ERM โดยกรอบแนวคิด ERM เน้นในเรื่องการควบคุมภายใน การจัดรูปแบบแนวคิดที่เข้มแข็งมากขึ้นและเป็นเครื่องมือในการบริหาร การควบคุมภายในถูกให้ความหมายและให้คำอธิบายในกรอบแนวคิดเชิงบูรณาการเรื่องการควบคุมภายใน

การควบคุมภายในได้รับการออกแบบเพื่อให้ความมั่นใจในการบรรลุวัตถุประสงค์ขององค์กร เพื่อให้เกิดประสิทธิภาพและประสิทธิผลในการปฏิบัติงาน ความน่าเชื่อถือของรายงานทางการเงิน และการปฏิบัติตามกฎ ระเบียบที่เกี่ยวข้อง

เนื่องจาก ERM เป็นส่วนหนึ่งของกระบวนการบริหาร องค์ประกอบของกรอบแนวคิด ERM ได้ถูกอธิบายในเนื้อหาที่ว่าฝ่ายบริหารจะสามารถดำเนินธุรกิจไปได้อย่างไร สิ่งที่คณะกรรมการและผู้บริหารจัดการเกี่ยวกับการบริหารองค์กรไม่ใช่ ERM ในทุกเรื่อง แต่ ERM เป็นส่วนหนึ่งของกิจกรรมด้านการบริหารทั่วไป ซึ่งอธิบายโดยย่อได้ดังนี้

การบริหารความเสี่ยงขององค์กร เพื่อให้มีการบริหารจัดการความเสี่ยงทั่วทั้งองค์กร

การบริหารความเสี่ยงขององค์กร เพื่อให้มีการบริหารจัดการความเสี่ยงทั่วทั้งองค์กร

จากตารางต่อไปนี้เป็นการแสดงรายการของสิ่งที่ฝ่ายบริหารปฏิบัติและสิ่งที่เป็นส่วนหนึ่งของ การบริหารความเสี่ยงทั่วทั้งองค์กร หรือ ERM

กิจกรรมด้านการบริหารความเสี่ยงและกิจกรรมด้านการบริหารทั่วไปที่ผู้บริหารต้องปฏิบัติ

กิจกรรมด้านการบริหารความเสี่ยงและกิจกรรมด้านการบริหารทั่วไปที่ผู้บริหารต้องปฏิบัติ

ครั้งหน้า ผมจะพูดถึงสภาพแวดล้อมภายในองค์กร (Internal Environment) ซึ่งเป็นหนึ่งในกระบวนการบริหารความเสี่ยงอันดับแรก จาก ERM ทั้ง 8 ประการ ตามหลักเกณฑ์ของ COSO ใหม่ครับ


แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

พ.ค. 15, 2009

จากครั้งที่แล้ว ผมได้พูดถึงเรื่องของกระบวนการบริหารความเสี่ยงทั่วทั้งองค์กร ซึ่งมีขั้นตอนค่อนข้างเยอะ แต่ผมก็ได้พยายามอธิบายในลักษณะเป็นขั้นเป็นตอนพร้อมรูปภาพประกอบในแต่ละขั้น คงทำให้หลายท่านพอจะเข้าใจได้ง่ายขึ้นนะครับ

สำหรับวันนี้ ผมจะกล่าวถึงเรื่ององค์ประกอบของการบริหารความเสี่ยงทั่วทั้งองค์กร (ERM – Enterprise Risk Management) ซึ่งเป็นแนวทางการบริหารความเสี่ยงตามหลักการของ COSO ที่ประกอบด้วยส่วนประกอบหลัก ๆ 8 ประการ ได้แก่

1. สภาพแวดล้อมภายใน – ฝ่ายบริหารต้องกำหนดปรัชญาเกี่ยวกับความเสี่ยงและความเสี่ยงที่ยอมรับได้ขึ้นมา สภาพแวดล้อมภายในจะกำหนดพื้นฐานเพื่อใช้ในการวิธีการจัดการความเสี่ยงและควบคุม หลักสำคัญขององค์กรคือบุคลากรและสภาพแวดล้อมการทำงาน เช่น โครงสร้าง วัฒนธรรมการทำงาน เป็นต้น

2. การกำหนดวัตถุประสงค์ – ต้องมีการกำหนดวัตถุประสงค์ก่อน ฝ่ายบริหารจึงจะสามารถระบุสถานการณ์ที่อาจทำให้ไม่บรรลุผลสำเร็จได้ ERM จะสร้างความแน่ใจให้กับฝ่ายบริหารว่ามีกระบวนการกำหนดวัตถุประสงค์และเลือกวัตถุประสงค์ที่สนับสนุนและสอดคล้องกับภารกิจ/วิสัยทัศน์และมีความเสี่ยงในระดับที่องค์กรยอมรับได้

3. การระบุสถานการณ์ – ปัจจัยในการระบุสถานการณ์ประกอบด้วย ปัจจัยทั้งภายในและภายนอกที่ส่งผลต่อการนำกลยุทธ์ไปปฏิบัติและการบรรลุวัตถุประสงค์

4. การประเมินความเสี่ยง – การระบุความเสี่ยงเป็นพื้นฐานนำมาวิเคราะห์ว่าจะจัดการกับความเสี่ยงอย่างไร

5. การตอบสนองความเสี่ยง – ฝ่ายบริหารต้องเลือกวิธีการจัดการกับความเสี่ยงที่ประเมินได้ให้อยู่ในระดับที่องค์กรยอมรับได้ วิธีการจัดการกับความเสี่ยงประกอบด้วย การหลีกเลี่ยง การยอมรับ การลดและการกระจายความเสี่ยง

6. กิจกรรมการควบคุม – เป็นนโยบายและวิธีการที่สร้างขึ้นมาและใช้ในการช่วยให้ฝ่ายบริหารสามารถจัดการกับความเสี่ยงที่อย่างมั่นใจ

7. ข้อมูลสารสนเทศและการสื่อสาร – มีการระบุ จัดการและสื่อสารข้อมูลที่เกี่ยวข้องในรูปแบบและช่วงเวลาที่สามารถทำให้บุคลากรปฏิบัติหน้าที่ความรับผิดชอบได้ ข้อมูลสารสนเทศเป็นสิ่งจำเป็นในทุกระดับขององค์กรในการระบุ ประเมิน และตอบสนองความเสี่ยง

8. การติดตาม – ต้องมีการติดตามดูแลกระบวนการ ERM ขององค์กร และดัดแปลงเท่าที่จำเป็น การติดตามดูแลต้องทำเป็นกิจกรรมที่ต่อเนื่อง แยกออกมาจากการประเมินผลกระบวนการ ERM หรือผสมผสานทั้งสองอย่างเข้าด้วยกัน

อธิบายไปครบทั้ง 8 ประการแล้ว เราไปดูแผนภาพของส่วนประกอบของ ERM ให้เห็นภาพที่ชัดเจนขึ้นกันครับ

องค์ประกอบของ ERM 8 ประการ

องค์ประกอบของ ERM 8 ประการ

ความสัมพันธ์ของวัตถุประสงค์และองค์ประกอบของ ERM สามารถแสดงให้เห็นได้ใน 3 มิติ ในลักษณะของลูกเต๋าดังภาพ

ความสัมพันธ์ของวัตถุประสงค์และองค์ประกอบของ ERM

ความสัมพันธ์ของวัตถุประสงค์และองค์ประกอบของ ERM

– วัตถุประสงค์ 4 ข้อที่แสดงในแนวตั้ง ได้แก่ กลยุทธ์ การดำเนินงาน การรายงาน และการปฏิบัติตาม
– องค์ประกอบ 8 ประการที่แสดงให้เห็นในแนวนอนและ
– องค์กรและหน่วยต่าง ๆ ขององค์กรจะบรรยายในมิติที่ 3


แนวทาง/กรอบการบริหารความเสี่ยงทั่วทั้งองค์กร

พ.ค. 15, 2009

จากครั้งที่แล้ว ผมได้พูดถึงเรื่องของกระบวนการบริหารความเสี่ยงทั่วทั้งองค์กร ซึ่งมีขั้นตอนค่อนข้างเยอะ แต่ผมก็ได้พยายามอธิบายในลักษณะเป็นขั้นเป็นตอนพร้อมรูปภาพประกอบในแต่ละขั้น คงทำให้หลายท่านพอจะเข้าใจได้ง่ายขึ้นนะครับ

สำหรับวันนี้ ผมจะกล่าวถึงเรื่ององค์ประกอบของการบริหารความเสี่ยงทั่วทั้งองค์กร (ERM – Enterprise Risk Management) ซึ่งเป็นแนวทางการบริหารความเสี่ยงตามหลักการของ COSO ที่ประกอบด้วยส่วนประกอบหลัก ๆ 8 ประการ ได้แก่

1. สภาพแวดล้อมภายใน – ฝ่ายบริหารต้องกำหนดปรัชญาเกี่ยวกับความเสี่ยงและความเสี่ยงที่ยอมรับได้ขึ้นมา สภาพแวดล้อมภายในจะกำหนดพื้นฐานเพื่อใช้ในการวิธีการจัดการความเสี่ยงและควบคุม หลักสำคัญขององค์กรคือบุคลากรและสภาพแวดล้อมการทำงาน เช่น โครงสร้าง วัฒนธรรมการทำงาน เป็นต้น

2. การกำหนดวัตถุประสงค์ – ต้องมีการกำหนดวัตถุประสงค์ก่อน ฝ่ายบริหารจึงจะสามารถระบุสถานการณ์ที่อาจทำให้ไม่บรรลุผลสำเร็จได้ ERM จะสร้างความแน่ใจให้กับฝ่ายบริหารว่ามีกระบวนการกำหนดวัตถุประสงค์และเลือกวัตถุประสงค์ที่สนับสนุนและสอดคล้องกับภารกิจ/วิสัยทัศน์และมีความเสี่ยงในระดับที่องค์กรยอมรับได้

3. การระบุสถานการณ์ – ปัจจัยในการระบุสถานการณ์ประกอบด้วย ปัจจัยทั้งภายในและภายนอกที่ส่งผลต่อการนำกลยุทธ์ไปปฏิบัติและการบรรลุวัตถุประสงค์

4. การประเมินความเสี่ยง – การระบุความเสี่ยงเป็นพื้นฐานนำมาวิเคราะห์ว่าจะจัดการกับความเสี่ยงอย่างไร

5. การตอบสนองความเสี่ยง – ฝ่ายบริหารต้องเลือกวิธีการจัดการกับความเสี่ยงที่ประเมินได้ให้อยู่ในระดับที่องค์กรยอมรับได้ วิธีการจัดการกับความเสี่ยงประกอบด้วย การหลีกเลี่ยง การยอมรับ การลดและการกระจายความเสี่ยง

6. กิจกรรมการควบคุม – เป็นนโยบายและวิธีการที่สร้างขึ้นมาและใช้ในการช่วยให้ฝ่ายบริหารสามารถจัดการกับความเสี่ยงที่อย่างมั่นใจ

7. ข้อมูลสารสนเทศและการสื่อสาร – มีการระบุ จัดการและสื่อสารข้อมูลที่เกี่ยวข้องในรูปแบบและช่วงเวลาที่สามารถทำให้บุคลากรปฏิบัติหน้าที่ความรับผิดชอบได้ ข้อมูลสารสนเทศเป็นสิ่งจำเป็นในทุกระดับขององค์กรในการระบุ ประเมิน และตอบสนองความเสี่ยง

8. การติดตาม – ต้องมีการติดตามดูแลกระบวนการ ERM ขององค์กร และดัดแปลงเท่าที่จำเป็น การติดตามดูแลต้องทำเป็นกิจกรรมที่ต่อเนื่อง แยกออกมาจากการประเมินผลกระบวนการ ERM หรือผสมผสานทั้งสองอย่างเข้าด้วยกัน

อธิบายไปครบทั้ง 8 ประการแล้ว เราไปดูแผนภาพของส่วนประกอบของ ERM ให้เห็นภาพที่ชัดเจนขึ้นกันครับ

องค์ประกอบของ ERM 8 ประการ

องค์ประกอบของ ERM 8 ประการ

ความสัมพันธ์ของวัตถุประสงค์และองค์ประกอบของ ERM สามารถแสดงให้เห็นได้ใน 3 มิติ ในลักษณะของลูกเต๋าดังภาพ

ความสัมพันธ์ของวัตถุประสงค์และองค์ประกอบของ ERM

ความสัมพันธ์ของวัตถุประสงค์และองค์ประกอบของ ERM

– วัตถุประสงค์ 4 ข้อที่แสดงในแนวตั้ง ได้แก่ กลยุทธ์ การดำเนินงาน การรายงาน และการปฏิบัติตาม
– องค์ประกอบ 8 ประการที่แสดงให้เห็นในแนวนอนและ
– องค์กรและหน่วยต่าง ๆ ขององค์กรจะบรรยายในมิติที่ 3